KB4535680: Sikkerhedsopdatering til Sikker bootstart DBX: 12. januar 2021

Problem

Løsning

Nogle OEM-firmware (Original Equipment Manufacturer) tillader muligvis ikke installation af denne opdatering.

Du kan løse dette problem ved at kontakte firmware-OEM'en.

Hvis BitLocker Gruppepolitik Konfigurer TPM platform validation profile for native UEFI firmware configurations is enabled and PCR7 is selected by policy, it may result in the BitLocker recovery key being required on some devices where PCR7 binding is not possible.

Du kan få vist PCR7-bindingsstatussen ved at køre værktøjet Microsoft Systemoplysninger (Msinfo32.exe) med administrative tilladelser.

Du kan løse dette problem ved at gøre et af følgende baseret på konfiguration af Credential Guard, før du installerer denne opdatering:

• Kør følgende kommando fra en administratorkommandoprompt for at afbryde BitLocker i 1 genstartscyklus på en enhed, der ikke har Credential Gard aktiveret:

  Manage-bde –Protectors –Disable C: -RebootCount 1

  
  Genstart derefter enheden for at fortsætte BitLocker-beskyttelsen.
  
  Bemærk Aktivér ikke BitLocker-beskyttelse uden desuden at genstarte enheden, da det ville resultere i BitLocker-genoprettelse.

• På en enhed, hvor Credential Guard er aktiveret, kan der være flere genstarter under opdateringen, der kræver, at BitLocker afbrydes midlertidigt. Kør følgende kommando fra en administratorkommandoprompt for at afbryde BitLocker i 3 genstartscyklusser. Manage-bde –Protectors –Disable C: -RebootCount 3

  Denne opdatering forventes at genstarte systemet to gange. Genstart enheden igen for at fortsætte BitLocker-beskyttelsen.

  Bemærk! Aktivér ikke BitLocker-beskyttelse uden desuden at genstarte, da det ville resultere i BitLocker-genoprettelse.

Du kan angive Bitlocker-genoprettelse, hvis der er konfigureret modstridende indstillinger for BitLocker-gruppepolitik, når BitLocker er blevet aktiveret i miljøet. Bitlocker-genoprettelse kan udløses på grund af en af nedenstående Gruppepolitik indstillinger:

• Gennemtvingelse af eksplicit konfiguration af PCR-bindinger, der er forskellig fra det, bitLocker allerede har valgt.

• Konfiguration af gruppepolitik "Tillad sikker bootstart til validering af integritet" for at deaktivere sikker bootstart til integritetsvalidering, men BitLocker bruger allerede sikker start (PCR7).

• Konfiguration af Gruppepolitik til Kræver yderligere godkendelse under start, men BitLocker er konfigureret, før denne gruppepolitik installeres.

Hvis denne opdatering allerede er installeret, og enheden ikke er genstartet, skal du suspendere BitLocker og genstarte, når du har fulgt nedenstående trin:

• Hvis der er konfigureret en eksplicit PCR-konfiguration via gruppepolitik, eller en politik er konfigureret til ikke at give tilladelse til brug af sikker start til validering af integritet, skal du afbryde og fortsætte BitLocker for at rydde GP-konflikterne.

• Hvis politikken Kræv yderligere godkendelse under start er konfigureret til at kræve TPM og pinkode, skal du køre følgende kommando fra en administrativ kommandoprompt og angive den ønskede pinkode: manage-bde -protectors -add c: -TPMAndPin

• Hvis politikken Kræv yderligere godkendelse under start er konfigureret til at kræve en startnøgle, skal du udføre følgende kommando for at oprette startnøglen: manage-bde -protectors -add c: -tpmandstartupkey <sti til ekstern nøglemappe>

• Hvis politikken Kræv yderligere godkendelse under start er konfigureret til at kræve startnøgle og fastgøre, skal du udføre følgende kommando fra Administration kommandoprompt for at oprette Pinkode og startnøgle. Når du bliver bedt om det, skal du angive den ønskede pinkode: manage-bde -protectors -add c: -tpmandpinandstartupkey <sti til mappen med eksterne nøgler>

Denne opdatering installeres muligvis ikke på enheder med en usigneret, ikke-Microsoft bootx64.efi boot manager-fil.  Denne opdatering kan blive tilbudt og tilbudt igen via Windows Update, men installeres muligvis ikke.  Når du forsøger at installere denne opdatering manuelt, får du muligvis vist en fejlmeddelelse, "Nogle opdateringer blev ikke installeret", der viser KB4565680.  Du kan også kontrollere CBS-logfilen i %systemroot%\logs\cbs for følgende fejl: 

onecore\base\secureboot\servicing\advancedinstaller\securebootai.cpp(277): Fejl TRUST_E_NOSIGNATURE opstod i funktionen Windows::WCP::SecureBoot::BasicInstaller::Install expression: ApplySecureBootUpdate( dwAvailableUpdates)

Vi arbejder på en løsning og forventer, at en løsning vil være tilgængelig for Windows 10 version 1909, Windows 10, version 2004 og Windows 10 version 20H2 sidst i marts.  De resterende understøttede versioner af Windows skønnes at have en løsning tilgængelig i midten af april.

Du kan få yderligere vejledning før udgivelsen af opløsningen ved at kontakte producenten af enheden (OEM).