Ažuriranja ključa registra za sigurno pokretanje: uređaji sa sustavom Windows s ažuriranjima kojima upravlja IT

Ključevi registra

Svi ključevi registra sigurnog pokretanja opisani u ovom dokumentu nalaze se u ovom putu registra: 

U sljedećoj su tablici opisane sve vrijednosti registra. 

Kako ti ključevi funkcioniraju zajedno

IT administrator konfigurira vrijednost registra AvailableUpdatestako da 0x5944, što sustavu Windows signalizira izvršavanje ažuriranja i instalacije ključa sigurnog pokretanja na uređaju.

Dok se postupak pokreće, sustav ažurira UEFICA2023Status iz NotStarted u InProgress i na kraju na Ažuriran nakon uspjeha. Kako se svaki bit 0x5944 uspješno obrađuje, briše se.

Ako neki korak ne uspije, kod pogreške bilježi se u UEFICA2023Pogreška (a status ostaje InProgress).

Taj mehanizam administratorima omogućuje jasnu aktivaciju i praćenje rollouta po uređaju. 

Implementacija pomoću ključeva registra 

Implementacija na grupu uređaja sastoji se od sljedećih koraka: 

1. Postavite vrijednost registra AvailableUpdates0x5944 na svakom uređaju koji će se ažurirati.

2. Pratite ključeve registra UEFICA2023Status i UEFICA2023Error da biste vidjeli jesu li uređaji u tijeku. Imajte na umu da se zadatak koji obrađuje ta ažuriranja pokreće jednom svakih 12 sati. Imajte na umu da se ažuriranje upravitelja pokretanja može dogoditi tek nakon ponovnog pokretanja.

3. Istražite probleme ako se pojave. Ako UEFICA2023Error nije nula na uređaju, možete provjeriti zapisnik događaja za događaje povezane s tim problemom. Potpuni popis događaja sigurnog pokretanja potražite u člancima Događaji ažuriranja sigurnog pokretanja DB i DBX varijabli.

Napomena o ponovnom pokretanju: pokretanjem postupka pokretanjem pokretanja neće se ponovno pokrenuti pokretanje ažuriranja sigurnog pokretanja. Ako je potrebno ponovno pokretanje, implementacija sigurnog pokretanja oslanja se na ponovna pokretanja koja se odvijaju kao uobičajeni tijek korištenja uređaja. 

Testiranje uređaja pomoću ključeva registra 

Prilikom testiranja pojedinačnih uređaja kako bi uređaji ispravno obradili ažuriranja, ključevi registra mogu biti jednostavan način testiranja. 

Da biste to provjerili, svaku od sljedećih naredbi pokrenite zasebno od administratorskog upita ljuske PowerShell: 

Prva naredba pokreće implementaciju certifikata i upravitelja pokretanja na uređaju. Druga naredba uzrokuje da zadatak koji obrađuje ključ registra AvailableUpdates odmah pokrene. Zadatak se obično pokreće svakih 12 sati. 

Rezultate možete pronaći tako da promatrate ključeve registra UEFICA2023Status i UEFICA2023Error i zapisnike događaja kao što je opisano u događajima ažuriranja secure boot DB i DBX varijabli. 

Uključivanje i odustajanje od pomoći 

Ključevi registra HighConfidenceOptOut i MicrosoftUpdateManagedOptIn mogu se koristiti za upravljanje dvama "pomoćnim programima za implementaciju" opisanima na uređajima sa sustavom Windows s ažuriranjima kojima upravlja IT. 

• Ključ registra HighConfidenceOptOut upravlja automatskim ažuriranjem uređaja putem kumulativnih ažuriranja. Za uređaje na kojima je Microsoft primijetio da se određeni uređaji uspješno ažuriraju, oni će se smatrati "uređajima visoke pouzdanosti", a ažuriranja certifikata za sigurno pokretanje automatski će se dogoditi. Zadana postavka za to je uključena.

• Ključ registra MicrosoftUpdateManagedOptIn it odjelima omogućuje uključivanje u automatsku implementaciju e-pošte kojim upravlja Microsoft. Ta je postavka prema zadanim postavkama onemogućena i postavljena je na 1 mogućnost. Ta postavka zahtijeva i da uređaj šalje neobavezne dijagnostičke podatke.

Podržane verzije sustava Windows

U ovoj se tablici dodatno razgrađuje podrška na temelju ključa registra. 

Promjene TPM-a 

Izmijenite TPMTasks da biste utvrdili ima li stanje uređaja ažurirane certifikate za sigurno pokretanje. Trenutno to može odrediti, ali samo ako CFR odabire računalo za ažuriranje. To određivanje i daljnje zapisivanje trebali bi se dogoditi u svakoj sesiji pokretanja bez obzira na CFR. Ako certifikati za sigurno pokretanje nisu u potpunosti ažurni, oni će emitirati dva prethodno opisana događaja pogreške. Ako su certifikati ažurni, oni će emitirati događaj Informacije. Certifikati za sigurno pokretanje koje će se provjeriti su:  

• Windows UEFI CA 2023

• Microsoft UEFI CA 2023 i Microsoft Option ROM UEFI CA 2023 – ta dva CA-a moraju biti prisutna samo ako postoji Microsoft UEFI CA 2011. Ako Microsoft UEFI CA 2011 nije prisutan, nije potrebna provjera.

• Microsoft Corporation KEK 2K CA 2023

Događaj metapodataka računala 

Ovaj događaj će prikupiti strojne metapodate i izdati sljedeći događaj:

• BucketId + Confidence Rating event   

Ovaj događaj koristit će metapodake računala za pronalaženje odgovarajućeg unosa u bazi podataka računala (unos u grupi). Računalo će oblikovati i emitirati događaj s tim podacima zajedno sa svim podacima o pouzdanosti vezane uz grupu. ​​​​​​​ 

Visoko pouzdana pomoć za uređaj 

Za uređaje u grupama visoke pouzdanosti automatski će se primijeniti certifikati za sigurno pokretanje i potpisani upravitelj pokretanja verzije 2023.   

Ažuriranje će se aktivirati u isto vrijeme kada se generiraju dva događaja pogreške, a događaj BucketId + ocjena pouzdanosti uključuje ocjenu visoke pouzdanosti.   

Odustajanje

Za korisnike koji žele odustati, novi ključ registra bit će dostupan na sljedeći način: