Актуализация на защитата за защитено стартиране DBX: 12 януари 2021 г.

Въпрос

Заобиколно решение

Възможно е Фърмуерът на някои първоначални устройства (OEM) да не позволява инсталирането на тази актуализация.

За да отстраните този проблем, обърнете се към вашия фърмуер OEM.

Ако груповите правила за BitLocker конфигурират профил за валидиране на TPM платформата за локални конфигурации на фърмуера на UEFI е активиран и PCR7 е избрано от правилата, може да доведе до това, че ключът за възстановяване на BitLocker да се изисква на някои устройства, където не е възможно PCR7 свързване.

За да видите състоянието за обвързване на PCR7, изпълнете инструмента Microsoft System Information (Msinfo32.exe) с администраторски разрешения.

За да заобиколите този проблем, направете едно от следните неща в зависимост от конфигурацията на Guard за идентификационни данни, преди да разположите тази актуализация:

• На устройство, което не е разрешена поддръжка на идентификационни данни, изпълнете следната команда от команден подкана за управление, за да прекратите BitLocker за 1 цикъл на отскачане:

  Manage-bde –Protectors –Disable C: -RebootCount 1

  
  След това рестартирайте устройството, за да възобновите защитата с BitLocker.
  
  Забележка Не разрешавайте защитата от BitLocker, без допълнително рестартиране на устройството, тъй като това ще доведе до възстановяване на BitLocker.

• На устройство, на което има активиран предпазител за идентификационни данни, може да има няколко рестартирания по време на актуализацията, за която е необходимо BitLocker да бъде временно прекратен. Изпълнете следната команда от команден ред на администратор, за да преустановите BitLocker за 3 рестартира цикъла. Управление – BDE – протектори – забрани C:-RebootCount 3

  Тази актуализация се очаква да рестартира системата два пъти. Рестартирайте устройството още веднъж, за да възобновите защитата с BitLocker.

  Забележка Не разрешавайте защитата от BitLocker без допълнително рестартиране, тъй като това ще доведе до възстановяване на BitLocker.

Можете да въведете възстановяване на BitLocker, ако са конфигурирани настройки на групови правила за защитено стартиране, след като BitLocker е разрешен в средата. Възстановяване на BitLocker може да се задейства поради някоя от настройките по-долу за групови правила:

• Налагане на явна конфигурация на PCR свързването , което е различно от това, което вече е избрано от BitLocker.

• Конфигуриране на GP "Разрешаване на защитено стартиране за проверка на целостта" за разрешаването на защитената обувка за проверка на целостта, но BitLocker вече използва защитено зареждане (PCR7).

• Конфигуриране на групови правила, за да се изисква допълнително удостоверяване при стартиране , но BitLocker е конфигуриран преди разполагането на груповите правила.

Ако тази актуализация вече е приложена и устройството не се рестартира, преинсталирайте BitLocker и рестартирайте, след като изпълните стъпките по-долу:

• Ако е зададена изрична конфигурация за PCR чрез групови правила или е конфигурирано да не се разрешава използването на защитено стартиране за проверка на целостта, да се прекрати и възобнови защитеното стартиране, за да се изчистят конфликтите в GP.

• Ако изискваното допълнително удостоверяване по време на правилата за стартиране е конфигурирано да изисква TPM и ПИН, изпълнете следната команда от административна командна подкана и въведете желания ПИН: управление – BDE-протектори – Add c:-TPMAndPin

• Ако изискваното допълнително удостоверяване по време на правилата за стартиране е конфигурирано да изисква начален ключ, изпълнете следната команда, за да създадете ключ за стартиране: управление – BDE-протектори – Add c:-tpmandstartupkey <path към директорията>за външни ключове

• Ако изискване на допълнително удостоверяване по време на правилата за стартиране е конфигурирано да изисква ключ за стартиране и ПИН, изпълнете следната команда от командната подкана за администриране, за да създадете PIN и ключ за стартиране. Когато бъдете подканени, въведете желания ПИН: управление – BDE-протектори – Add c: -tpmandpinandstartupkey <Path към директорията за външни ключове>