KB4535680: Biztonsági frissítés a Secure Boot DBX-hez: 2021. január 12.

Probléma

Kerülő megoldás

Előfordulhat, hogy egyes eredeti berendezésgyártó (OEM) belső vezérlőprogramja nem engedélyezi a frissítés telepítését.

A probléma megoldásához lépjen kapcsolatba a belső vezérlőprogram oem-ével.

Ha a BitLocker Csoportházirend A TPM platformérvényesítési profil konfigurálása natív UEFI belső vezérlőprogram-konfigurációkhoz beállítás engedélyezve van, és a HÁZIREND a PCR7-et választja, előfordulhat, hogy a BitLocker helyreállítási kulcsra van szükség bizonyos eszközökön, ahol a PCR7-kötés nem lehetséges.

A PCR7 kötési állapotának megtekintéséhez futtassa a Microsoft Rendszerinformáció (Msinfo32.exe) eszközt rendszergazdai engedélyekkel.

A probléma kerülő megoldásához tegye az alábbiak egyikét a hitelesítő adatok őrének konfigurációja alapján a frissítés üzembe helyezése előtt:

• Olyan eszközön, amelyen nincs engedélyezve a hitelesítő adatok gard szolgáltatása, futtassa a következő parancsot egy rendszergazdai parancssorból a BitLocker 1 újraindítási ciklusra való felfüggesztéséhez:

  Manage-bde –Protectors –Disable C: -RebootCount 1

  
  Ezután indítsa újra az eszközt a BitLocker-védelem folytatásához.
  
  Megjegyzés Ne engedélyezze a BitLocker-védelmet az eszköz további újraindítása nélkül, mivel az a BitLocker helyreállítását eredményezné.

• Olyan eszközön, amelyen engedélyezve van a Credential Guard, előfordulhat, hogy a frissítés során többször is újra kell indítani a BitLockert. Futtassa a következő parancsot egy rendszergazdai parancssorból a BitLocker 3 újraindítási ciklusra való felfüggesztéséhez. Manage-bde –Protectors –Disable C: -RebootCount 3

  Ez a frissítés várhatóan kétszer indítja újra a rendszert. A BitLocker-védelem folytatásához indítsa újra újra az eszközt.

  Megjegyzés Ne engedélyezze a BitLocker-védelmet a további újraindítás nélkül, mivel ez a BitLocker helyreállítását eredményezné.

Előfordulhat, hogy a BitLocker-helyreállítást akkor adja meg, ha a BitLocker csoportházirend-beállításai ütköznek, miután a BitLocker engedélyezve lett a környezetben. A Bitlocker helyreállítása az alábbi Csoportházirend beállítások bármelyike miatt aktiválható:

• Olyan PCR-kötések explicit konfigurációjának kényszerítése, amelyek eltérnek a BitLocker által már kiválasztottaktól.

• A "Biztonságos rendszerindítás engedélyezése integritás-ellenőrzéshez" csoportházirend-objektum konfigurálásával tiltsa le a biztonságos rendszerindítást az integritás ellenőrzéséhez, de a BitLocker már használja a biztonságos rendszerindítást (PCR7).

• A Csoportházirend konfigurálása további hitelesítés megkövetelése indításkor, de a BitLocker konfigurálva lett a csoportházirend telepítése előtt.

Ha ez a frissítés már alkalmazva van, és az eszköz nem indul újra, az alábbi lépések végrehajtása után függessze fel a BitLockert, és indítsa újra:

• Ha egy explicit PCR-konfiguráció csoportházirenden keresztül lett beállítva, vagy egy szabályzat úgy van konfigurálva, hogy ne használja a biztonságos rendszerindítást az integritás ellenőrzéséhez, a Gp-ütközések törléséhez függessze fel és folytassa a BitLockert.

• Ha a További hitelesítés megkövetelése indításkor szabályzat úgy van konfigurálva, hogy megkövetelje a TPM-et és a PIN-kódot, futtassa a következő parancsot egy rendszergazdai parancssorból, és adja meg a kívánt PIN-kódot: manage-bde -protectors -add c: -TPMAndPin

• Ha a További hitelesítés megkövetelése indításkor szabályzat úgy van konfigurálva, hogy indítókulcsot igényeljen, futtassa a következő parancsot az indítási kulcs létrehozásához: manage-bde -protectors -add c: -tpmandstartupkey <külső kulcs könyvtárának elérési útja>

• Ha a További hitelesítés megkövetelése indításkor szabályzat úgy van konfigurálva, hogy indítási kulcsot és pin-kódot igényeljen, hajtsa végre a következő parancsot Rendszergazda parancssorból a Pin és az indítókulcs létrehozásához. Amikor a rendszer kéri, adja meg a kívánt PIN-kódot: manage-bde -protectors -add c: -tpmandpinandstartupkey <külső kulcskönyvtár elérési útja>

Előfordulhat, hogy ez a frissítés nem telepíthető aláíratlan, nem Microsoft bootx64.efi rendszerindítás-kezelő fájllal rendelkező eszközökre.  Előfordulhat, hogy ez a frissítés Windows Update érhető el, de nem telepíthető.  Amikor megpróbálja manuálisan telepíteni ezt a frissítést, a KB4565680-ra vonatkozó "Néhány frissítés nem lett telepítve" hibaüzenet jelenhet meg.  A CBS-naplófájlt a %systemroot%\logs\cbs fájlban is ellenőrizheti a következő hiba esetén: 

onecore\base\secureboot\servicing\advancedinstaller\securebootai.cpp(277): A hiba TRUST_E_NOSIGNATURE a Windows függvényből származik::WCP::SecureBoot::BasicInstaller::Install expression: ApplySecureBootUpdate( dwAvailableUpdates)

Dolgozunk a megoldáson, és becslésünk szerint március végén elérhető lesz egy megoldás a Windows 10 1909-es, Windows 10-es, 2004-es és Windows 10-es, 20H2-es verziójához.  A Windows többi támogatott verziója várhatóan április közepén elérhető megoldással rendelkezik.

A felbontás kiadása előtt további útmutatásért forduljon az eszköz gyártójához (OEM).