Opdateringer i registreringsdatabasenøglen til sikker bootstart: Windows-enheder med it-administrerede opdateringer
Gælder for
Oprindelig publiceret dato: 14. oktober 2025
KB-id: 5068202
Denne artikel indeholder vejledning til:
-
Organisationer med IT-administrerede Windows-enheder og -opdateringer.
Tilgængelighed af denne support:
Registreringsdatabasenøglerne AvailableUpdates, UEFICA2023Status, UEFICA2023Error, HighConfidenceOptOut og MicrosoftUpdateManagedOptIn er inkluderet i opdateringer, der er udgivet på eller efter følgende datoer:
-
14. oktober 2025: Understøttede versioner omfatter Windows 10, version 22H2 og nyere versioner (herunder 21H2 LTSC), alle understøttede versioner af Windows 11 samt Windows Server 2022 og nyere.
-
11. november 2025: For versioner af Windows, der stadig understøttes.
|
Skift dato |
Skift beskrivelse |
|
4. november 2025 |
|
|
11. november 2025 |
|
|
16. november 2025 |
Indholdet er opdateret under "Enhedstest ved hjælp af registreringsdatabasenøgler". Værdien Tilgængelig opdatering er ændret fra "0x0100" til "0x4000". |
I denne artikel
Introduktion
I dette dokument beskrives understøttelse af installation, administration og overvågning af sikker bootstartcertifikatopdateringer ved hjælp af Registreringsdatabasenøgler i Windows. Tasterne består af følgende:
-
En nøgle til at udløse installationen af certifikater og boot manager på enheden.
-
To nøgler til overvågning af status for udrulningen.
-
To nøgler til administration af tilvalgs-/fravalgsindstillingerne for de to tilgængelige installationsassistenter.
Disse registreringsdatabasenøgler kan indstilles manuelt på enheden eller eksternt via tilgængelig flådeadministrationssoftware. Andre installationsmetoder, f.eks. Gruppepolitik, Microsoft Intune og WinCS, er beskrevet i artiklen Windows-enheder til virksomheder og organisationer med it-administrerede opdateringer.
Registreringsdatabasenøgler til sikker bootstart
I dette afsnit
Registreringsdatabasenøgler
Alle registreringsdatabasenøgler til sikker bootstart, der er beskrevet nedenfor, er placeret under denne sti til registreringsdatabasen:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecureBoot
I følgende tabel beskrives hver af registreringsdatabaseværdierne:
|
Registreringsdatabaseværdi |
Type |
Beskrivelse og brug |
|---|---|---|
|
Tilgængelige opdateringer |
REG_DWORD (bitmaske) |
Opdater udløserflag. Styrer, hvilke handlinger til opdatering af sikker bootstart, der skal udføres på enheden. Hvis du angiver det relevante bitfelt her, startes installationen af nye certifikater til sikker bootstart og relaterede opdateringer. For virksomhedsinstallation skal denne indstilles til 0x5944 (hex) – en værdi, der aktiverer alle relevante opdateringer (tilføjelse af de nye 2023 CA-certifikater, opdatering af KEK og installation af den nye startstyring). Indstillinger:
|
|
HighConfidenceOptOut |
REG_DWORD |
En fravalgsmulighed. For virksomheder, der ønsker at fravælge høj tillid buckets, der automatisk vil blive anvendt som en del af LCU. Du kan angive denne nøgle til en værdi, der ikke er nul, for at fravælge buckets med høj konfidens. Indstillinger
|
|
MicrosoftUpdateAdministrerdOptIn |
REG_DWORD |
En indstilling for tilmelding. For virksomheder, der ønsker at tilmelde sig cfr-vedligeholdelse (Controlled Feature Rollout), også kaldet Microsoft Managed. Ud over at angive denne nøgle skal du tillade afsendelse af påkrævede diagnosticeringsdata (se Konfigurer Windows-diagnosticeringsdata i din organisation). Indstillinger
|
Alle registreringsdatabasenøgler til sikker bootstart, der er beskrevet nedenfor, er placeret under denne sti til registreringsdatabasen:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecureBoot\Servicing
I følgende tabel beskrives hver af registreringsdatabaseværdierne:
|
Registreringsdatabaseværdi |
Type |
Beskrivelse og brug |
|---|---|---|
|
UEFICA2023Status |
REG_SZ (streng) |
Indikator for installationsstatus. Afspejler den aktuelle tilstand for opdateringen af sikker bootstartnøgle på enheden. Den indstilles til en af følgende tekstværdier:
I første omgang er status NotStarted. Den ændres til InProgress, når opdateringen starter, og til sidst til Opdateret, når alle nye nøgler og den nye boot manager er blevet installeret. Hvis der er en fejl, er registreringsdatabaseværdien UEFICA2023Error indstillet til en kode, der ikke er nul. |
|
UEFICA2023Fejl |
REG_DWORD (kode) |
Fejlkode (hvis relevant). Denne værdi forbliver 0 ved succes. Hvis opdateringsprocessen støder på en fejl, er UEFICA2023Error indstillet til en fejlkode, der ikke er nul, svarende til den første fejl, der blev fundet. En fejl her betyder, at sikker bootstart ikke blev gennemført fuldt ud og kan kræve undersøgelse eller afhjælpning på den pågældende enhed. Hvis opdatering af DB (database med pålidelige signaturer) mislykkedes på grund af et firmwareproblem, kan denne registreringsdatabasenøgle vise en fejlkode fra firmwaren. Når denne nøgle findes og ikke er nul, anbefaler vi, at du søger efter Hændelser for sikker bootstart i Windows-hændelseslogfilerne – se Hændelser for sikker bootstart DB og DBX-variable opdateringshændelser for at få flere oplysninger. |
|
WindowsUEFICA2023 Ude af stand |
REG_DWORD (kode) |
Denne registreringsdatabasenøgle er beregnet til begrænsede installationsscenarier og anbefales ikke til generel brug. I de fleste tilfælde skal du bruge registreringsdatabasenøglen UEFICA2023Status i stedet. Gyldige værdier: 0 – eller nøglen findes ikke – certifikatet "Windows UEFI CA 2023" findes ikke i DB 1 - Certifikatet "Windows UEFI CA 2023" findes i DB 2 - Certifikatet "Windows UEFI CA 2023" findes i DB, og systemet starter fra den 2023-signerede startstyring |
Sådan fungerer disse taster sammen
It-administratorer konfigurerer registreringsdatabaseværdien AvailableUpdates til at 0x5944, hvilket signalerer, at Windows udfører opdateringen og installationen af sikker bootstartnøgle på enheden.
Når processen kører, opdaterer systemet UEFICA2023Status fra NotStarted til InProgress og til sidst til Opdateret efter succes. Da hver bit i 0x5944 behandles korrekt, ryddes den.
Hvis et trin mislykkes, registreres en fejlkode i UEFICA2023Error (og statussen forbliver InProgress).
Denne mekanisme giver administratorer en klar metode til at udløse og spore implementeringen pr. enhed.
Installation ved hjælp af registreringsdatabasenøgler
Installation til en gruppe af enheder består af følgende trin:
-
Indstil registreringsdatabaseværdien AvailableUpdates til at 0x5944 på hver af de enheder, der skal opdateres.
-
Overvåg registreringsdatabasenøglerne UEFICA2023Status og UEFICA2023Error for at se, at enhederne gør fremskridt. Den opgave, der behandler disse opdateringer, kører hver 12. time. Bemærk, at opdateringen til Boot Manager muligvis ikke finder sted, før der er opstået en genstart.
-
Undersøg problemer, hvis de opstår. Hvis UEFICA2023Error er ikke-nul på en enhed, kan du kontrollere hændelsesloggen for hændelser, der er relateret til dette problem. Se Sikker bootstart DB- og DBX-variable opdateringshændelser for at få en komplet liste over Secure Boot-hændelser.
En bemærkning om genstart: Selvom det kan være nødvendigt at genstarte for at fuldføre processen, vil start af installationen af opdateringerne til sikker bootstart ikke medføre en genstart. Hvis det er nødvendigt at genstarte, afhænger installationen af Sikker bootstart af, at genstart sker som den normale brug af enheden.
Enhedstest ved hjælp af registreringsdatabasenøgler
Når du tester individuelle enheder for at sikre, at enhederne behandler opdateringerne korrekt, kan registreringsdatabasenøglerne være en nem måde at teste på.
Hvis du vil teste, skal du køre hver af følgende kommandoer adskilt fra en PowerShell-administratorprompt:
reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x5944 /f
Start-ScheduledTask -TaskName "\Microsoft\Windows\PI\Secure-Boot-Update"
Genstart systemet manuelt, når AvailableUpdates bliver 0x4100
Start-ScheduledTask -TaskName "\Microsoft\Windows\PI\Secure-Boot-Update"
Den første kommando starter installationen af certifikatet og startstyringen på enheden. Den anden kommando medfører, at den opgave, der behandler registreringsdatabasenøglen AvailableUpdates , kører med det samme. Normalt kører opgaven hver 12. time. Registreringsdatabasenøglen bør hurtigt ændres til 0x4100. Hvis du genstarter og kører opgaven igen, opdateres bootstyringen, og AvailableUpdates bliver 0x4000. Se Fejlfinding for at få flere oplysninger om, hvordan AvailableUpdates fungerer.
Du kan finde resultaterne ved at observere registreringsdatabasenøglerne UEFICA2023Status og UEFICA2023Error og hændelseslogfilerne som beskrevet i hændelserne Sikker bootstart DB og DBX-variable opdateringshændelser.
Tilvælge og fravælge assister
Registreringsdatabasenøglerne HighConfidenceOptOut og MicrosoftUpdateManagedOptIn kan bruges til at administrere de to "hjælpeinstallationer", der er beskrevet i Windows-enheder med it-administrerede opdateringer.
-
Registreringsdatabasenøglen HighConfidenceOptOut styrer automatisk opdatering af enheder via de samlede opdateringer. For de enheder, hvor Microsoft har observeret, at bestemte enheder opdateres korrekt, betragtes de som "enheder med høj sikkerhed", og opdateringer af certifikat til sikker bootstart sker automatisk. Standardindstillingen er tilvalg.
-
Registreringsdatabasenøglen MicrosoftUpdateManagedOptIn giver it-afdelinger mulighed for at tilmelde sig automatisk installation, der administreres af Microsoft. Denne indstilling er som standard deaktiveret og indstiller den til 1 tilmelding. Denne indstilling kræver også, at enheden sender valgfrie diagnosticeringsdata.
Understøttede versioner af Windows
Denne tabel opdeler yderligere understøttelsen baseret på registreringsdatabasenøglen.
|
Nøgle |
Understøttede versioner af Windows |
|
Tilgængelige opdateringer UEFICA2023Status UEFICA2023Fejl |
Alle versioner af Windows, der understøtter sikker bootstart (Windows Server 2012 og nyere Versioner af Windows). Bemærk: Mens tillidsdataene indsamles på Windows 10, versioner LTSC, 22H2 og nyere versioner af Windows, kan de anvendes på enheder, der kører på tidligere versioner af Windows.
|
|
HighConfidenceOptOut |
|
|
MicrosoftUpdateAdministrerdOptIn |
Hændelser med sikker bootstart
Fejlhændelser har en kritisk rapporteringsfunktion til at informere om status og status for sikker bootstart. Du kan finde oplysninger om fejlhændelser under Secure Boot DB- og DBX-variable opdateringshændelser. Fejlhændelserne opdateres med yderligere hændelsesoplysninger for Sikker bootstart.
Har du brug for mere hjælp?
Vil du have flere indstillinger?
Udforsk abonnementsfordele, gennemse kurser, få mere at vide om, hvordan du sikrer din enhed og meget mere.
Communities hjælper dig med at stille og besvare spørgsmål, give feedback og høre fra eksperter med omfattende viden.
