KB4535680: Актуализация на защитата за защитено стартиране DBX: 12 януари 2021 г.

Проблем

Заобиколно решение

Възможно е някои производители на оригинално оборудване (OEM) да не позволяват инсталирането на тази актуализация.

За да решите този проблем, свържете се с вашия OEM на фърмуера.

Ако BitLocker групови правила Конфигуриране на профил за проверка на платформата на TPM за вградени UEFI конфигурации на фърмуера е разрешено и PCR7 е избран по правила, това може да доведе до това ключът за възстановяване на BitLocker да се изисква на някои устройства, където свързването с PCR7 не е възможно.

За да видите състоянието на обвързване на PCR7, изпълнете инструмента Microsoft System Information (Msinfo32.exe) с административни разрешения.

За да заобиколите този проблем, направете едно от следните неща въз основа на конфигурацията на credential guard, преди да разположите тази актуализация:

• На устройство, което няма разрешено Credential Gard, изпълнете следната команда от команден прозорец на администратора, за да преустановите BitLocker за 1 цикъл на рестартиране:

  Manage-bde –Protectors –Disable C: -RebootCount 1

  
  След това рестартирайте устройството, за да възобновите защитата на BitLocker.
  
  Забележка Не разрешавайте защитата с BitLocker, без допълнително да рестартирате устройството, тъй като това ще доведе до възстановяване на BitLocker.

• На устройство, което има разрешен Credential Guard, може да има няколко рестартирания по време на актуализацията, които изискват временно преустановяване на BitLocker. Изпълнете следната команда от команден прозорец на администратор, за да преустановите BitLocker за 3 цикъла на рестартиране. Manage-bde –Протектори – Забраняване на C: -RebootCount 3

  Тази актуализация се очаква да рестартира системата два пъти. Рестартирайте устройството отново, за да възобновите защитата с BitLocker.

  Забележка Не разрешавайте защитата с BitLocker без допълнително рестартиране, тъй като това ще доведе до възстановяване на BitLocker.

Може да въведете възстановяване на Bitlocker, ако са конфигурирани конфликтни настройки на групови правила за BitLocker, след като BitLocker е разрешен в среда. Възстановяването на Bitlocker може да бъде задействано поради някоя от настройките по-долу групови правила:

• Налагане на изрична конфигурация на PCR обвързвания , която е различна от това, което вече е избрано от BitLocker.

• Конфигурирането на GP "Позволяване на защитено стартиране за проверка на целостта" за забраняване на защитеното стартиране за проверка на целостта, но BitLocker вече използва защитено стартиране (PCR7).

• Конфигурирането на групови правила да изисква допълнително удостоверяване по време на стартиране, но BitLocker е конфигуриран преди разполагането на тези групови правила.

Ако тази актуализация вече е приложена и устройството не се е рестартирало, преустановете BitLocker и рестартирайте след като изпълните стъпките по-долу:

• Ако е зададена изрична PCR конфигурация чрез групови правила или ако правило е конфигурирано да забранява използването на защитено стартиране за проверка на целостта, преустановете и възобновете BitLocker, за да изчистите конфликтите с GP.

• Ако правилото Изисквай допълнително удостоверяване по време на стартиране е конфигурирано да изисква TPM и ПИН, изпълнете следната команда от административния команден прозорец и въведете желания ПИН код: manage-bde -protectors -add c: -TPMAndPin

• Ако правилото Изисквай допълнително удостоверяване по време на стартиране е конфигурирано да изисква ключ за стартиране, изпълнете следната команда, за да създадете ключ за стартиране: manage-bde -protectors -add c: -tpmandstartupkey <път до директорията с външен ключ>

• Ако правилото Изисквай допълнително удостоверяване по време на стартиране е конфигурирано да изисква ключ за стартиране и закачване, изпълнете следната команда от Администрация команден прозорец, за да създадете ключ за закачване и стартиране. Когато получите подкана, въведете желания ПИН код: manage-bde -protectors -add c: -tpmandpinandstartupkey <път до директорията с външни ключове>

Тази актуализация може да не се инсталира на устройства с неподписан файл на диспечера за зареждане, който не е на Microsoft bootx64.efi.  Тази актуализация може да се предлага и предоставя повторно чрез актуализиране на Windows, но може да не се инсталира.  Когато се опитате да инсталирате тази актуализация ръчно, може да получите съобщение за грешка "Някои актуализации не са инсталирани" в списъка KB4565680.  Можете също да проверите регистрационния файл на CBS в %systemroot%\logs\cbs за следната грешка: 

onecore\base\secureboot\servicing\advancedinstaller\securebootai.cpp(277): Грешката TRUST_E_NOSIGNATURE възникна от функция Windows::WCP::SecureBoot::BasicInstaller::Израз за инсталиране: ApplySecureBootUpdate( dwAvailableUpdates)

Работим върху решение и смятаме, че такова ще бъде налично за Windows 10, версия 1909, Windows 10, версия 2004 и Windows 10, версия 20H2 в края на март.  Очаква се останалите поддържани версии на Windows да имат налично решение в средата на април.

За допълнителни указания преди издаването на разделителната способност се свържете с производителя на вашето устройство (OEM).