高信頼度データベースを詳しく見る

信頼度分類

高信頼度データベースは、セキュリティで保護されたブート証明書の更新準備に関する Microsoft の現在の評価を反映し、展開の決定を導くために使用される信頼度の分類にデバイスをグループ化します。

• 高い信頼度: このグループのデバイスは、新しいセキュア ブート証明書を使用してファームウェアを正常に更新できることを、観察されたデータを通じて実証しました。

• 一時的に一時停止: このグループ内のデバイスは、既知の問題の影響を受けます。 リスクを軽減するために、Microsoft とパートナーがサポートされている解決に向けて取り組んでいる間、セキュア ブート証明書の更新が一時的に一時停止されます。 これにはファームウェアの更新が必要な場合があります。 詳細については、1802 イベントを探してください。

• サポートされていません - 既知の制限事項: このグループ内のデバイスは、ハードウェアまたはファームウェアの制限により、自動セキュア ブート証明書の更新パスをサポートしていません。 現在、この構成でサポートされている自動解決は使用できません。

• [観測 - その他のデータが必要] の下で次の手順を実行します。 このグループ内のデバイスは現在ブロックされていませんが、高信頼度として分類するのに十分なデータはまだありません。 セキュア ブート証明書の更新は、十分なデータが使用可能になるまで延期される場合があります。

• データの監視なし - アクションが必要です。 Microsoft は、セキュア ブート更新データでこのデバイスを観察していません。 その結果、このデバイスに対して証明書の自動更新を評価できないため、管理者の操作が必要になる可能性があります。 この分類は高信頼度データベースには含まれず、デバイスがデータベースに見つからない場合に Windows によって生成されます。

先頭に戻る 

GitHub でのデータへのアクセス

Microsoft は、セキュリティで保護されたブート証明書の更新の準備状況を評価するために使用されるデータの透明性を提供するために、人間が判読できるバージョンの高信頼度データベースを GitHub に公開しています。 このバージョンには、信頼バケットを形成するために使用されるデバイス属性が含まれており、人間による検査と分析を目的としています。 Windows サービスでは直接使用されません。

このデータは 、Microsoft Secure Boot Objects GitHub リポジトリ で入手でき、次の対象ユーザーにとって役立つ場合があります。

• IT 管理者とセキュリティ チーム: セキュア ブート展開の準備状況を評価し、累積的な更新プログラムを通じて配信される証明書の更新プログラムの対象となるデバイス クラスを理解します。

• デバイスの製造元: Windows エコシステム全体でデバイスとファームウェアの構成がどのように表されるかを確認します。

• Linux ディストリビューションを含むその他のオペレーティング システム ベンダー: デバイスとファームウェアの構成の分類方法を理解し、該当する場合は Microsoft の段階的なロールアウト アプローチに合わせます。

データは毎月 2 回更新され、月の第 2 火曜日の毎月のセキュリティ更新プログラムと、月の第 4 火曜日のオプションのセキュリティ以外のプレビュー更新プログラムに合わせて更新されます。 ​​​​​

先頭に戻る

サービス更新プログラムに含まれる高信頼度データ

高信頼度データベースの署名済みバージョンは、Windows の累積的な更新プログラムに含まれており、セキュリティで保護されたブート証明書の更新の準備状況を評価するために Windows サービスによって直接使用されます。 このデータは整合性が保護され、ローカルで評価されるため、デバイスが Microsoft テレメトリに表示されない場合でもサービスの決定が可能になります。

デバイスでは、データは次の 下にBucketConfidenceData.cab として格納されます。

このサービス統合バージョンには、信頼バケットのコンパクトで構造化された表現が含まれています。 これには、バケットメンバーシップと関連する信頼度分類を決定するために必要な属性のみが含まれます。 バージョンとタイムスタンプのメタデータにより、適用できる最新のデータが確実に使用されます。 このバージョンは信頼性、サイズ、およびセキュリティ用に最適化されており、直接検査や変更を目的としたものではありません。

先頭に戻る

信頼性の高いデータベース更新プログラムの受信頻度が高い

Windows 11バージョン 24H2 または 25H2 を実行しているデバイスは、毎月のセキュリティ更新プログラムの頻度よりも高信頼度データベース更新プログラムを頻繁に受け取ることができます。 これらのバージョンでは、毎月のセキュリティ更新プログラムに加えて、オプションのセキュリティ以外のプレビュー更新プログラムも受け取ります。これには、新しい信頼度データが含まれる場合があります。 これらの更新プログラムをインストールすると、お客様は、標準の Windows サービス内に留まりながら、最新の信頼度データに近づけることができます。

先頭に戻る

Windows バージョン間での高信頼度データの再利用

一部の環境では、管理者は、サポートされている Windows バージョン (Windows 11 バージョン 24H2 または 25H2 より古いバージョン) に高信頼度データベースを展開することを選択できます。

このシナリオでは、データベースはバージョン 24H2 または 25H2 Windows 11から取得され、オプションのセキュリティ以外のプレビュー更新プログラムを通じて新しい信頼度データを受け取ります。 このデータベースを展開すると、月単位のセキュリティ更新プログラムのみでよりも早く、サポートされている以前のバージョンの Windows で新しい信頼度評価を評価できます。 これにより、信頼度の計算方法やセキュア ブート証明書の更新プログラムの適用方法は変わりません。

先頭に戻る

高信頼度データベースを他の Windows バージョンに展開する

BucketConfidenceData.cabデプロイするには、organizationのデプロイ ツールとプラクティスに沿ったプロセスを使用します。

1. 最新のセキュリティ以外の更新プログラムを実行しているWindows 11バージョン 24H2 または 25H2 システムからBucketConfidenceData.cabを取得します。 ファイルは次の場所にあります。

   %SystemRoot%\System32\SecureBootUpdates\

2. ターゲット デバイスで、管理者として、まだ存在しない場合は、次のディレクトリを作成します:
   ​​​​​​​

   %ProgramData%\Microsoft\Windows\SecureBootUpdates

3. BucketConfidenceData.cab をそのディレクトリにデプロイします。

スケジュールされたタスクを次回実行する場合 (通常は 12 時間以内)、サービス更新プログラムに含まれるバージョンよりも新しい場合、Windows はこのファイルを使用します。

先頭に戻る

Windows が信頼度データを選択する方法

1 つのデバイスに、高信頼度データベースの複数のコピーが含まれている場合があります。 一貫性のある動作を保証するために、信頼度データを評価するときに、Windows によって定義された優先順位モデルが適用されます。

署名された信頼度データ ファイルが累積的な更新プログラムに含まれている場合、そのサービス コピーは既定で使用されます。 複数のコピーが存在する場合、Windows はバージョンとタイムスタンプのメタデータに基づいて最新の適用可能なバージョンを選択します。

先頭に戻る