KB4535680: セキュア ブート DBX のセキュリティ更新プログラム: 2021 年 1 月 12 日

問題

回避策

一部の相手先ブランド供給 (OEM) ファームウェアでは、この更新プログラムのインストールが許可されていない場合があります。

この問題を解決するには、ファームウェア OEM にお問い合わせください。

BitLocker グループ ポリシー [ネイティブの UEFI ファームウェア構成の TPM プラットフォーム検証プロファイルを構成する] が有効で、ポリシーによって PCR7 が選択されている場合、PCR7 バインドが不可能な一部のデバイスで BitLocker 回復キーが必要になる場合があります。

PCR7 バインド状態を表示するには、管理者権限で Microsoft システム情報 (Msinfo32.exe) ツールを実行します。

この問題を回避するには、この更新プログラムを展開する前に、Credential Guard の構成に基づいて次のいずれかを実行します。

• Credential Guard が有効になっていないデバイスで、管理者コマンド プロンプトから次のコマンドを実行して、BitLocker を 1 回の再起動サイクルで一時停止します。

  Manage-bde –Protectors –Disable C: -RebootCount 1

  
  次に、デバイスを再起動して BitLocker 保護を再開します。
  
  注 BitLocker の回復が発生するため、デバイスを追加で再起動せずに BitLocker 保護を有効にしないでください。

• Credential Guard が有効になっているデバイスでは、更新中に BitLocker の中断が必要な再起動が複数回発生する場合があります。 管理者コマンド プロンプトから次のコマンドを実行して、BitLocker を 3 回の再起動サイクルで一時停止します。 Manage-bde –保護機能の –無効化 C: -RebootCount 3

  この更新プログラムにより、システムが 2 回再起動する予定です。 デバイスをもう一度再起動して、BitLocker 保護を再開します。

  注 BitLocker の回復につながるため、追加で再起動せずに BitLocker 保護を有効にしないでください。

環境で BitLocker が有効になった後に競合する BitLocker グループ ポリシー設定が構成されている場合は、Bitlocker 回復を入力できます。 次のいずれかのグループ ポリシー設定により、Bitlocker 回復をトリガーできます。

• PCR バインドの明示的な構成 を強制、BitLocker によって既に選択されているものとは異なります。

• GP「整合性検証のためにセキュア ブートを許可する」を構成して、整合性検証のためにセキュア ブートを許可解除しますが、BitLocker は既にセキュア ブート (PCR7) を使用しています。

• 起動時に追加の認証を必要とするようにグループ ポリシーを構成しています が、このグループ ポリシーを展開する前に BitLocker が構成されています。

この更新プログラムが既に適用されていて、デバイスが再起動されていない場合は、次の手順に従って BitLocker を中断し、再起動します。

• 明示的な PCR 構成がグループ ポリシーを使用して設定されているか、ポリシーが整合性検証にセキュア ブートの使用を禁止するように構成されている場合は、BitLocker を中断および再開して GP の競合をクリアします。

• 起動時に追加の認証を要求する ポリシーが TPM と PIN を要求するように構成されている場合、 管理コマンド プロンプトから次のコマンドを実行し、目的の PIN を入力します: manage-bde -protectors -add c: -TPMAndPin

• スタートアップ 時に追加の認証を要求する ポリシーがスタートアップ キーを必要とするように構成されている場合は、次のコマンドを実行してスタートアップ キーを作成します: manage-bde -protectors -add c: -tpmandstartupkey  <外部キー ディレクトリへのパス>

• 起動時に追加の認証を要求する ポリシーがスタートアップ キーと PIN を必要とするように構成されている場合、 管理コマンド プロンプトから次のコマンドを実行して、Pin キーとスタートアップ キーを作成します。 プロンプトが表示されたら、必要な PIN を 入力します: manage-bde -protectors -add c: -tpmandpinandstartupkey <外部キー ディレクトリへのパス>

この更新プログラムは、Microsoft 以外の署名されていない bootx64.efi ブート マネージャー ファイルを持つデバイスにはインストールされない可能性があります。  この更新プログラムは、Windows Updateを通じて提供および提供される可能性がありますが、インストールされない可能性があります。  この更新プログラムを手動でインストールしようとすると、「一部の更新プログラムがインストールされませんでした」というエラーが表示され、KB4565680 が一覧表示される場合があります。  %systemroot%\logs\cbs の CBS ログ ファイルで次のエラーを確認することもできます: 

onecore\base\secureboot\servicing\advancedinstaller\securebootai.cpp(277): Error TRUST_E_NOSIGNATURE originated in function Windows::WCP::SecureBoot::BasicInstaller::Install expression: ApplySecureBootUpdate( dwAvailableUpdates)

解決に取り組んでおり、Windows 10、バージョン 1909、Windows 10、バージョン 2004、Windows 10、バージョン 20H2 のソリューションが 3 月末に利用可能になると見積もっています。  サポートされている残りのバージョンの Windows では、4 月中旬にソリューションが利用可能と見積もられます。

解決策のリリース前の追加のガイダンスについては、デバイスの製造元 (OEM) にお問い合わせください。