Vigtige opdateringer i registreringsdatabasen til sikker bootstart: Windows-enheder med it-administrerede opdateringer

Registreringsdatabasenøgler

Alle registreringsdatabasenøgler til sikker bootstart, der er beskrevet i dette dokument, er placeret under denne sti i registreringsdatabasen: 

I følgende tabel beskrives hver af registreringsdatabaseværdierne. 

Sådan fungerer disse taster sammen

It-administratoren konfigurerer registreringsdatabaseværdien AvailableUpdates til at 0x5944, hvilket signalerer, at Windows udfører opdateringen og installationen af nøglen til sikker bootstart på enheden.

Når processen kører, opdaterer systemet UEFICA2023Status fra NotStarted til InProgress og til sidst til Opdateret efter succes. Da hver bit i 0x5944 behandles korrekt, ryddes den.

Hvis et trin mislykkes, registreres en fejlkode i UEFICA2023Error (og statussen forbliver InProgress).

Denne mekanisme giver administratorer en klar metode til at udløse og spore implementeringen pr. enhed. 

Installation ved hjælp af registreringsdatabasenøgler 

Installation til en gruppe af enheder består af følgende trin: 

1. Indstil registreringsdatabaseværdien AvailableUpdates til at 0x5944 på hver af de enheder, der skal opdateres.

2. Overvåg registreringsdatabasenøglerne UEFICA2023Status og UEFICA2023Error for at se, at enhederne gør fremskridt. Husk, at den opgave, der behandler disse opdateringer, kører én gang hver 12. time. Bemærk, at opdateringen til Boot Manager muligvis ikke finder sted, før der er opstået en genstart.

3. Undersøg problemer, hvis de opstår. Hvis UEFICA2023Error er ikke-nul på en enhed, kan du kontrollere hændelsesloggen for hændelser, der er relateret til dette problem. Se Sikker bootstart DB- og DBX-variable opdateringshændelser for at få en komplet liste over Secure Boot-hændelser.

En bemærkning om genstart: Selvom det kan være nødvendigt at genstarte for at fuldføre processen, vil start af installationen af opdateringerne til sikker bootstart ikke medføre en genstart. Hvis det er nødvendigt at genstarte, afhænger installationen af Sikker bootstart af, at genstart sker som den normale brug af enheden. 

Enhedstest ved hjælp af registreringsdatabasenøgler 

Når du tester individuelle enheder for at sikre, at enhederne behandler opdateringerne korrekt, kan registreringsdatabasenøglerne være en nem måde at teste på. 

Hvis du vil teste, skal du køre hver af følgende kommandoer adskilt fra en PowerShell-administratorprompt: 

Den første kommando starter installationen af certifikatet og startstyringen på enheden. Den anden kommando medfører, at den opgave, der behandler registreringsdatabasenøglen AvailableUpdates , kører med det samme. Normalt kører opgaven hver 12. time. 

Du kan finde resultaterne ved at observere registreringsdatabasenøglerne UEFICA2023Status og UEFICA2023Error og hændelseslogfilerne som beskrevet i hændelserne Sikker bootstart DB og DBX-variable opdateringshændelser. 

Tilmelding og fravalg af assister 

Registreringsdatabasenøglerne HighConfidenceOptOut og MicrosoftUpdateManagedOptIn kan bruges til at administrere de to "hjælpeinstallationer", der er beskrevet i Windows-enheder med it-administrerede opdateringer. 

• Registreringsdatabasenøglen HighConfidenceOptOut styrer automatisk opdatering af enheder via de samlede opdateringer. For de enheder, hvor Microsoft har observeret, at bestemte enheder opdateres korrekt, betragtes de som "enheder med høj sikkerhed", og opdateringer af certifikat til sikker bootstart sker automatisk. Standardindstillingen for dette tilvalg.

• Registreringsdatabasenøglen MicrosoftUpdateManagedOptIn giver it-afdelinger mulighed for at tilmelde sig automatisk installation, der administreres af Microsoft. Denne indstilling er som standard deaktiveret og indstiller den til 1 tilmelding. Denne indstilling kræver også, at enheden sender valgfrie diagnosticeringsdata.

Understøttede versioner af Windows

Denne tabel opdeler yderligere understøttelsen baseret på registreringsdatabasenøglen. 

TPMTasks-ændringer 

Rediger TPMTasks for at afgøre, om enhedens tilstand har de opdaterede certifikater til sikker bootstart. I øjeblikket kan den træffe denne beslutning, men kun hvis CFR vælger en computer til opdatering. Denne bestemmelse og efterfølgende logføring bør ske i alle bootsessioner uanset CFR. Hvis certifikater til sikker bootstart ikke er helt opdateret, udsender de de to fejlhændelser, der er beskrevet ovenfor. Hvis certifikaterne er opdaterede, udsender de oplysningshændelsen. De certifikater til sikker bootstart, der skal kontrolleres, er:  

• Windows UEFI CA 2023

• Microsoft UEFI CA 2023 og Microsoft Option ROM UEFI CA 2023 – Disse to nøglecentre må kun være til stede, hvis Microsoft UEFI CA 2011 er til stede. Hvis Microsoft UEFI CA 2011 ikke er til stede, er det ikke nødvendigt at kontrollere det.

• Microsoft Corporation KEK 2K CA 2023

Hændelse med maskinmetadata 

Hændelsen indsamler computerens metadata og udsteder følgende hændelse:

• BucketId + konfidensbedømmelseshændelse   

Denne hændelse bruger computerens metadata til at finde den tilsvarende post i databasen over computere (bucket-indtastning). Computeren formaterer og udsender en hændelse med disse data sammen med eventuelle tillidsoplysninger om bucket'en. ​​​​​​​ 

Enhedshjælp med høj sikkerhed 

For enheder med høj tillid til buckets anvendes certifikater til sikker bootstart og 2023-signeret bootstyring automatisk.   

Opdateringen udløses, samtidig med at de to fejlhændelser genereres, og hændelsen BucketId + Konfidensvurdering indeholder en høj konfidensvurdering.   

Fravælge

For kunder, der vil fravælge, vil en ny registreringsdatabasenøgle være tilgængelig på følgende måde: