Nota
- Fecha de publicación original: 14 de octubre de 2025
- Id. de KB: 5068202
Este artículo contiene instrucciones para:
- Organizaciones con dispositivos Windows administrados por TI y actualizaciones.
Nota
Disponibilidad de este soporte:
Las claves del Registro se incluyen en las actualizaciones publicadas a partir de la fecha siguiente:
11 de noviembre de 2025: Para las versiones de Windows que aún están en período de soporte.
Registro de cambios
| Cambiar fecha | Cambiar descripción |
|---|---|
| 20 de marzo de 2026 |
|
| 20 de febrero de 2026 |
|
| 4 de noviembre de 2025 |
|
| 11 de noviembre de 2025 |
|
| 16 de noviembre de 2025 | Se ha actualizado el contenido de "Pruebas de dispositivos con claves del Registro". El valor de la actualización disponible se cambió de "0x0100" a "0x4000". |
En este artículo
Introducción
En este documento se describe la compatibilidad para implementar, administrar y supervisar las actualizaciones de certificados de arranque seguro mediante claves del Registro de Windows. Las claves constan de lo siguiente:
- Una clave para desencadenar la implementación de los certificados y el administrador de arranque en el dispositivo.
- Dos claves para supervisar el estado de la implementación.
- Dos claves para administrar la configuración de participación y desactivación de las dos asistencias de implementación disponibles.
Estas claves de registro se pueden configurar manualmente en el dispositivo o de forma remota a través del software de administración de flotas disponible. Otros métodos de implementación, como la directiva de grupo, Microsoft Intune y WinCS, se describen en el artículo Dispositivos Windows para empresas y organizaciones con actualizaciones administradas por TI.
Claves del Registro de arranque seguro
En esta sección
- Claves del Registro
- Cómo funcionan estas claves juntas
- Implementación mediante claves del Registro
- Pruebas de dispositivos con claves del Registro
- Participación y exclusión voluntaria de las asistencias
- Versiones compatibles de Windows
Claves del Registro
Todas las claves del Registro de arranque seguro que se describen a continuación se encuentran en esta ruta del Registro:
Nota
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecureBoot
En la tabla siguiente se describe cada uno de los valores del Registro:
| Valor del Registro | Tipo | Descripción y uso |
|---|---|---|
| Actualizaciones disponibles | REG_DWORD (máscara de bits) | Actualice las marcas de desencadenador. Controla las acciones de actualización de arranque seguro que se realizarán en el dispositivo. Establecer el campo de bits adecuado aquí inicia la implementación de nuevos certificados de arranque seguro y actualizaciones relacionadas. Para la implementación empresarial, debe establecerse en 0x5944 (hexadecimal), un valor que habilita todas las actualizaciones pertinentes (agregar los nuevos certificados de CA de 2023, actualizar el KEK e instalar el nuevo administrador de arranque). Configuración:
|
| HighConfidenceOptOut | REG_DWORD | Una opción de exclusión. Para las empresas que desean optar por no participar en los cubos de alta confianza que se aplicarán automáticamente como parte de la LCU. Puede establecer esta clave en un valor distinto de cero para dejar de participar en los cubos de alta confianza. Configuración
|
| MicrosoftUpdateManagedOptIn | REG_DWORD | Una opción opcional. Para las empresas que deseen participar en el servicio Controlled Feature Rollout (CFR), también conocido como administrado por Microsoft. Además de establecer esta clave, permita el envío de datos de diagnóstico necesarios (consulte Configurar los datos de diagnóstico de Windows en su organización). Configuración
|
| AvailableUpdatesPolicy | REG_DWORD (máscara de bits) |
Solo a modo de referencia, no actualice esta clave a través del registro. Esta clave es la que usan directiva de grupo y Intune para comunicar acciones relacionadas con el arranque seguro a Windows. Representa la directiva establecida por Intune o la directiva de grupo. |
Todas las claves del Registro de arranque seguro que se describen a continuación se encuentran en esta ruta del Registro:
Nota
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecureBoot\Servicing
En la tabla siguiente se describe cada uno de los valores del Registro:
| Valor del Registro | Tipo | Descripción y uso |
|---|---|---|
| UEFICA2023Estado | REG_SZ (cadena) | Indicador de estado de implementación. Refleja el estado actual de la actualización de clave de arranque seguro en el dispositivo. Se establecerá en uno de los siguientes valores de texto:
|
| UEFICA2023Error | REG_DWORD (código) | Código de error (si existe). Este valor sigue siendo 0 si se realiza correctamente. Si el proceso de actualización encuentra un error, UEFICA2023Error se establece en un código de error distinto de cero correspondiente al primer error encontrado. Un error aquí implica que la actualización de arranque seguro no se completó correctamente y puede requerir investigación o corrección en ese dispositivo. Por ejemplo, si la actualización de la DB (base de datos de firmas de confianza) falló debido a un problema de firmware, esta clave del Registro podría mostrar un código de error del firmware. Cuando esta clave existe y no es cero, se recomienda buscar eventos de arranque seguro en los registros de eventos de Windows. Para obtener más información, consulte Eventos de actualización de variables DB y DBX de arranque seguro . |
| UEFICA2023ErrorEvent | REG_DWORD (código) | UEFICA2023ErrorEvent especifica el identificador de evento que Windows usó para notificar un error relacionado con la aplicación de las actualizaciones de arranque seguro Windows UEFI CA 2023. Este valor se correlaciona con la clave del Registro UEFICA2023Error y se rellena cuando se establece esa clave, lo que indica que Windows encontró un error al intentar aplicar la actualización de arranque seguro. Cuando esto ocurre, Windows registra el evento de arranque seguro correspondiente documentado en la página pública Eventos de actualización de variables DB y DBX de arranque seguro, lo que proporciona detalles adicionales sobre por qué no se pudo completar la actualización y qué acción puede ser necesaria. |
| WindowsUEFICA2023Capable | REG_DWORD (código) | Solo como referencia, no use esta clave cuando obtenga el estado de las actualizaciones de arranque seguro. En su lugar, use la clave UEFICA2023Status. Esta clave del Registro está pensada para escenarios de implementación limitada y no se recomienda para un uso general. Valores válidos: 0 – o la clave no existe – el certificado "Windows UEFI CA 2023" no está en la base de datos 1: el certificado "Windows UEFI CA 2023" está en la base de datos 2: el certificado "Windows UEFI CA 2023" está en la base de datos y el sistema se está iniciando desde el administrador de arranque firmado de 2023 |
| BucketHash | REG_SZ (cadena) | BucketHash identifica el cubo de implementación al que se asigna un dispositivo como parte del lanzamiento del certificado de arranque seguro. El valor es un hash derivado de las características del dispositivo y se usa para agrupar dispositivos con firmware y atributos de plataforma similares para la implementación por etapas y la administración de riesgos. Este es el mismo hash de cubo que aparece en los eventos específicos del dispositivo documentados en la página de eventos de actualización de variables DB y DBX de arranque seguro , lo que permite a los administradores correlacionar el estado del registro con las entradas del registro de eventos y comprender cómo se dirige un dispositivo durante el proceso de actualización de arranque seguro. |
| Nivel de confianza | REG_SZ (cadena) | ConfidenceLevel indica la evaluación de confianza asociada con el cubo de implementación de arranque seguro del dispositivo. Este valor corresponde al BucketConfidenceLevel que Windows asigna al dispositivo en función del comportamiento de actualización observado en configuraciones de hardware y firmware similares. El mismo nivel de confianza se incluye en los eventos específicos del dispositivo documentados en la página de eventos de actualización de variables DB y DBX de arranque seguro , lo que permite a los administradores correlacionar el valor del Registro con las entradas del registro de eventos. Para obtener más información sobre los valores posibles de esta clave, consulte las descripciones de eventos de registro de eventos específicas del dispositivo. |
Cómo funcionan estas claves juntas
Los administradores de TI configuran el valor del registro AvailableUpdates en 0x5944, lo que indica a Windows que ejecute la actualización e instalación de la clave de arranque seguro en el dispositivo.
A medida que se ejecuta el proceso, el sistema actualiza UEFICA2023Status de NotStarted a InProgress y, finalmente, a Updated tras el éxito. A medida que cada bit de 0x5944 se procesa correctamente, se borra.
Si se produce un error en algún paso, se registra un código de error en UEFICA2023Error (y el estado permanece en curso).
Este mecanismo proporciona a los administradores una manera clara de desencadenar y realizar un seguimiento del lanzamiento por dispositivo.
Implementación mediante claves del Registro
La implementación en un grupo de dispositivos consta de los siguientes pasos:
- Establezca el valor del registro AvailableUpdates en 0x5944 en cada uno de los dispositivos que se van a actualizar.
- Supervise las claves del Registro UEFICA2023Status y UEFICA2023Error para ver si los dispositivos avanzan. La tarea que procesa estas actualizaciones se ejecuta cada 12 horas. Tenga en cuenta que es posible que la actualización del administrador de arranque no se produzca hasta después de reiniciar.
- Investigue los problemas si se producen. Si UEFICA2023Error no es cero en un dispositivo, puede comprobar el registro de eventos en busca de eventos relacionados con este problema. Consulte Eventos de actualización de variables DB y DBX de arranque seguro para obtener una lista completa de los eventos de arranque seguro.
Una nota sobre los reinicios: aunque es posible que se requiera un reinicio para completar el proceso, iniciar la implementación de las actualizaciones de arranque seguro no provocará un reinicio. Si es necesario reiniciar, la implementación de arranque seguro depende de los reinicios que se producen como el curso normal del uso del dispositivo.
Pruebas de dispositivos con claves del Registro
Al probar dispositivos individuales para asegurarse de que los dispositivos procesarán las actualizaciones correctamente, las claves del Registro pueden ser una forma sencilla de probar.
Para probar, ejecute cada uno de los siguientes comandos por separado desde un símbolo del sistema de PowerShell de administrador:
Nota
- reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x5944 /f
- Start-ScheduledTask -TaskName "\Microsoft\Windows\PI\Secure-Boot-Update"
- Reinicie manualmente el sistema cuando AvailableUpdates se vuelva 0x4100
- Start-ScheduledTask -TaskName "\Microsoft\Windows\PI\Secure-Boot-Update"
El primer comando inicia la implementación del certificado y del administrador de arranque en el dispositivo. El segundo comando hace que la tarea que procesa la clave del registro AvailableUpdates se ejecute inmediatamente. Normalmente, la tarea se ejecuta cada 12 horas. La clave del Registro debería cambiar rápidamente a 0x4100. Si reinicia y se vuelve a ejecutar la tarea, se actualizará el administrador de arranque y se 0x4000 las AvailableUpdates. Consulta Solución de problemas para obtener más información sobre cómo se comporta AvailableUpdates.
Puede encontrar los resultados observando las claves del Registro UEFICA2023Status y UEFICA2023Error y los registros de eventos como se describe en Eventos de actualización de variables DB y DBX de arranque seguro.
Participar y dejar de participar para las asistencias
Las claves del Registro HighConfidenceOptOut y MicrosoftUpdateManagedOptIn se pueden usar para administrar las dos "asistencias" de implementación descritas en dispositivos Windows con actualizaciones administradas por TI.
- La clave del Registro HighConfidenceOptOut controla la actualización automática de los dispositivos a través de las actualizaciones acumulativas. En el caso de los dispositivos en los que Microsoft haya observado que dispositivos específicos se actualicen correctamente, se considerarán dispositivos de "alta confianza" y las actualizaciones del certificado de arranque seguro se realizarán automáticamente. La configuración predeterminada es opt in.
- La clave del Registro MicrosoftUpdateManagedOptIn permite a los departamentos de TI participar en la implementación automática administrada por Microsoft. Esta configuración está deshabilitada de forma predeterminada y se establece en 1 participación. Esta configuración también requiere que el dispositivo envíe datos de diagnóstico opcionales.
Versiones compatibles de Windows
En esta tabla se desglosa aún más la compatibilidad en función de la clave del Registro.
| Tecla | Versiones compatibles de Windows |
|---|---|
|
Actualizaciones disponibles UEFICA2023Estado UEFICA2023Error |
Todas las versiones de Windows que admiten el arranque seguro (Windows Server 2012 y versiones posteriores de Windows). Nota: Aunque los datos de confianza se recopilan en Windows 10, las versiones LTSC, 22H2 y posteriores de Windows, se pueden aplicar a dispositivos que se ejecutan en versiones anteriores de Windows.
|
| HighConfidenceOptOut | |
| MicrosoftUpdateManagedOptIn |
Eventos de error de arranque seguro
Los eventos de error tienen una función de informe crítica para informar sobre el estado y el progreso del arranque seguro. Para obtener información acerca de los eventos de error, consulte Eventos de actualización de variables DB y DBX de arranque seguro. Los eventos de error se actualizan con información de eventos adicional para el arranque seguro.