微软详解 Windows 10 扩展安全更新（ESU）要求与激活方式

随着微软在 2025 年 10 月发布 KB5066791 更新，Windows 10 的主流支持正式结束。对于仍需继续使用该系统的用户和企业，微软提供了 扩展安全更新（Extended Security Updates, ESU）计划，以确保设备在未来一段时间内仍能获得关键的安全补丁。

什么是 Windows 10 ESU？

ESU 计划允许符合条件的设备在主流支持结束后，继续接收为期三年的安全更新，最终截止日期为 2026 年 10 月 13 日。该计划适用于无法立即升级至 Windows 11 的企业或特定场景设备。

• 第一年：可通过付费或特定许可免费获取；
• 第二年及以后：通常需按设备付费；
• LTSC 版本用户注意：若你使用的是仍在支持周期内的 Windows 10 LTSC，收到“支持已结束”提示属于误报，可忽略或通过官方方法修复。

企业云 PC 的 ESU 要求（Windows 365）

对于使用 Windows 365 Enterprise 或 Frontline Cloud PCs 的企业，微软明确了自动获得三年 ESU 的条件：

必须满足的先决条件：

• 端点设备（本地 PC）运行 Windows 10 22H2，并已安装 KB5066791 或更高版本；
• 拥有有效的 Windows 365 订阅许可证；
• 管理员具备相应权限。

配置步骤：

1. 在 Microsoft Intune 或其他 MDM（移动设备管理）平台中创建自定义策略；
2. 使用 OMA-URI 策略路径设置注册表项：
   • 路径：./Device/Vendor/MSFT/Policy/Config/Security/EnableESUSubscriptionCheck
   • 数据类型：Integer
   • 值：1

验证是否启用：

在连接到 Cloud PC 的本地设备上检查以下注册表项：

键:    HKLM:\SOFTWARE\Microsoft\Windows NT\CurrentVersion\SoftwareProtectionPlatform\ESU
名称:  EnableESUSubscriptionCheck
类型:  REG_DWORD
值:    1

此外，用户必须每 22 天至少一次使用其 Microsoft Entra ID 账户登录本地 Windows 10 设备，以维持 ESU 资格。

物理设备的 ESU 激活 ID

对于不依赖 Windows 365 的本地企业设备，微软公布了官方激活 ID，可用于部署和验证：

这些 ID 可用于批量激活和配置管理工具中，确保设备持续获得安全更新。