KB4535680: Suojatun käynnistyksen DBX suojauspäivitys: 12. tammikuuta 2021

Ongelma

Vaihtoehtoinen menetelmä

Jotkin alkuperäiset laitevalmistajan laiteohjelmistot eivät ehkä salli tämän päivityksen asentamista.

Voit ratkaista tämän ongelman ottamalla yhteyttä laiteohjelmiston alkuperäiseen laitevalmistajaan.

Jos BitLocker ryhmäkäytäntö Määritä TPM-ympäristön kelpoisuustarkistusprofiili alkuperäisille UEFI-laiteohjelmistomäärityksille on otettu käyttöön ja PCR7 on valittu käytännöllä, se voi johtaa siihen, että BitLocker-palautusavainta tarvitaan joissakin laitteissa, joissa PCR7-sidonta ei ole mahdollista.

Voit tarkastella PCR7-sidonnan tilaa suorittamalla Microsoftin järjestelmätietotyökalun (Msinfo32.exe) järjestelmänvalvojan oikeuksin.

Voit kiertää ongelman tekemällä jonkin seuraavista tunnistetietosuojan määritysten perusteella ennen tämän päivityksen käyttöönottoa:

• Jos laitteessa ei ole Credential Gardia käytössä, suorita seuraava komento Järjestelmänvalvojan komentokehotteesta, jos haluat keskeyttää BitLockerin 1 uudelleenkäynnistysjakson ajan:

  Manage-bde –Protectors –Disable C: -RebootCount 1

  
  Käynnistä sitten laite uudelleen ja jatka BitLocker-suojausta.
  
  Huomautus Älä ota BitLocker-suojausta käyttöön käynnistämättä laitetta uudelleen, sillä se johtaisi BitLocker-palautukseen.

• Laitteessa, jossa on Credential Guard käytössä, päivityksen aikana voi olla useita uudelleenkäynnistyksiä, jotka edellyttävät BitLockerin keskeyttämistä. Suorita seuraava komento Järjestelmänvalvojan komentokehotteesta, jos haluat keskeyttää BitLockerin kolme uudelleenkäynnistysjaksoa. Manage-bde –Protectors –Disable C: -RebootCount 3

  Tämän päivityksen odotetaan käynnistävän järjestelmän uudelleen kaksi kertaa. Käynnistä laite uudelleen ja jatka BitLocker-suojausta.

  Huomautus Älä ota BitLocker-suojausta käyttöön käynnistämättä sitä uudelleen, sillä se johtaisi BitLocker-palautukseen.

Voit siirtyä Bitlocker-palautukseen, jos ristiriitaiset BitLocker-ryhmäkäytäntöasetukset määritetään sen jälkeen, kun BitLocker on otettu käyttöön ympäristössä. Bitlocker-palautus voidaan käynnistää jonkin alla olevan ryhmäkäytäntö asetuksen vuoksi:

• Pakotetaan eksplisiittinen pcr-sidontojen määritys , joka poikkeaa BitLockerin jo valitsemista toiminnoista.

• Gp:n "Salli suojattu käynnistys eheyden tarkistamiselle" määrittäminen sallimaan suojatun käynnistyksen eheyden tarkistaminen, mutta BitLocker käyttää jo suojattua käynnistystä (PCR7).

• Ryhmäkäytäntö määrittäminen edellyttämään lisätodennusta käynnistyksen aikana, mutta BitLocker on määritetty ennen tämän ryhmäkäytännön käyttöönottoa.

Jos tämä päivitys on jo otettu käyttöön eikä laite ole käynnistynyt uudelleen, keskeytä BitLocker ja käynnistä se uudelleen seuraavien ohjeiden mukaisesti:

• Jos eksplisiittinen PCR-määritys on määritetty ryhmäkäytännön avulla tai käytäntö on määritetty hylkäämään suojatun käynnistyksen käyttäminen eheyden tarkistamista varten, keskeytä ja jatka BitLockeria gp-ristiriitojen poistamiseksi.

• Jos Edellytä lisätodennusta käynnistyksen aikana -käytäntö on määritetty edellyttämään TPM- ja PIN-turvapiiriä, suorita seuraava komento Hallinta-komentokehotteesta ja anna haluamasi PIN-koodi: manage-bde -protectors -add c: -TPMAndPin

• Jos Edellytä lisätodennusta käynnistyksen aikana -käytäntö on määritetty edellyttämään käynnistysavainta, luo käynnistysavain suorittamalla seuraava komento: manage-bde -protectors -add c: -tpmandstartupkey <polku ulkoisen avaimen hakemistoon>

• Jos Edellytä lisätodennusta käynnistyksen aikana -käytäntö on määritetty edellyttämään käynnistysavainta ja pin-koodia, luo Kiinnitä- ja käynnistysavain suorittamalla seuraava komento Hallinta komentokehotteesta. Anna pyydettäessä haluamasi PIN-koodi: manage-bde -protectors -add c: -tpmandpinandstartupkey <polku ulkoisen avaimen hakemistoon>

Tämä päivitys ei ehkä asennu laitteisiin, joissa on allekirjoittamaton, muu kuin Microsoft bootx64.efi -käynnistyksen hallintatiedosto.  Tämä päivitys voidaan tarjota ja asentaa uudelleen Windows Update kautta, mutta sitä ei ehkä asenneta.  Kun yrität asentaa tämän päivityksen manuaalisesti, saatat saada virhesanoman KB4565680 "Joitakin päivityksiä ei ole asennettu".  Voit myös tarkistaa CBS-lokitiedoston kohteessa %systemroot%\logs\cbs seuraavan virheen vuoksi: 

onecore\base\secureboot\servicing\advancedinstaller\securebootai.cpp(277): Virhe TRUST_E_NOSIGNATURE peräisin funktiosta Windows::WCP::SecureBoot::BasicInstaller::Install expression: ApplySecureBootUpdate( dwAvailableUpdates)

Kehitämme parhaillaan ratkaisua ja arvioimme, että ratkaisu on saatavilla Windows 10, versiolle 1909, Windows 10, versiolle 2004 ja Windows 10, versiolle 20H2 maaliskuun lopulla.  Jäljellä olevien tuettujen Windows-versioiden arvioidaan sisältävän ratkaisun huhtikuun puolivälissä.

Jos haluat lisäohjeita ennen tarkkuuden julkaisua, ota yhteyttä laitteen valmistajaan (OEM).