KB4535680: Saugos naujinimas, skirtas saugiosios įkrovos DBX: 2021 m. sausio 12 d.

Problema

Sprendimas

Kai kurios originalios įrangos gamintojo (OĮG) programinė-aparatinė įranga gali neleisti diegti šio naujinimo.

Norėdami išspręsti šią problemą, kreipkitės į programinės-aparatinės įrangos OĮG.

Jei "BitLocker" Grupės strategija Konfigūruoti TPM platformos tikrinimo profilį vietinėms UEFI programinės-aparatinės įrangos konfigūracijoms ir PCR7 pasirinkta pagal strategiją, kai kuriuose įrenginiuose, kuriuose PCR7 susiejimas neįmanomas, gali reikėti "BitLocker" atkūrimo rakto.

Norėdami peržiūrėti PCR7 susiejimo būseną, paleiskite "Microsoft" sistemos informacijos (Msinfo32.exe) įrankį administratoriaus teisėmis.

Norėdami išspręsti šią problemą, atlikite vieną iš toliau nurodytų veiksmų, atsižvelgdami į kredencialų apsaugos konfigūraciją prieš diegdami šį naujinimą:

• Įrenginyje, kuriame neįgalintas kredencialų gardas, paleiskite šią administratoriaus komandą iš administratoriaus komandinės eilutės, kad sustabdytumėte "BitLocker" 1 perkrovimo ciklui:

  Manage-bde –Protectors –Disable C: -RebootCount 1

  
  Tada iš naujo paleiskite įrenginį, kad pratęstumėte "BitLocker" apsaugą.
  
  Pastaba Neįjunkite "BitLocker" apsaugos be papildomai iš naujo paleisdami įrenginį, nes tai lemtų "BitLocker" atkūrimą.

• Įrenginyje, kuriame įjungta "Credential Guard", naujinimo metu gali būti keli paleidimai iš naujo, kuriems reikia sustabdyti "BitLocker". Vykdykite šią administratoriaus komandą iš administratoriaus komandinės eilutės, kad sustabdytumėte "BitLocker" 3 paleidimo iš naujo ciklus. Manage-bde -Protectors -Disable C: -RebootCount 3

  Tikimasi, kad šis naujinimas du kartus iš naujo paleis sistemą. Dar kartą paleiskite įrenginį iš naujo, kad tęstumėte "BitLocker" apsaugą.

  Pastaba Nejunkite "BitLocker" apsaugos be pakartotinio paleidimo iš naujo, nes tai lemtų "BitLocker" atkūrimą.

Galite įvesti "BitLocker" atkūrimą, jei nesuderinami "BitLocker" grupės strategijos parametrai sukonfigūruoti aplinkoje įgalinus "BitLocker". "BitLocker" atkūrimas gali būti paleistas dėl bet kurio iš toliau pateiktų Grupės strategija parametrų:

• Forcing Explicit configuration of PCR bindings that is different from what is already chosen by BitLocker.

• Konfigūruojama GP "Leisti saugią įkrovą vientisumo tikrinimui", kad būtų neleidžiama saugi įkrova vientisumo tikrinimui, bet "BitLocker" jau naudoja saugią įkrovą (PCR7).

• Konfigūruojant Grupės strategija reikalauti papildomo autentifikavimo paleisties metu, bet "BitLocker" sukonfigūruota prieš diegiant šią grupės strategiją.

Jei šis naujinimas jau pritaikytas ir įrenginys nebuvo paleistas iš naujo, sustabdykite "BitLocker" ir paleiskite iš naujo atlikdami toliau nurodytus veiksmus:

• Jei atskira PCR konfigūracija nustatyta naudojant grupės strategiją arba strategija sukonfigūruota neleisti naudoti saugios įkrovos vientisumo tikrinimui, sustabdykite ir tęskite "BitLocker", kad išvalytumėte GP konfliktus.

• Jei strategija Reikalauti papildomo autentifikavimo paleisties metu sukonfigūruota reikalauti TPM ir PIN, administravimo komandinėje eilutėje vykdykite šią komandą ir įveskite norimą PIN: manage-bde -protectors -add c: -TPMAndPin

• Jei strategija Reikalauti papildomo autentifikavimo paleisties metu sukonfigūruota reikalauti paleisties rakto, vykdykite šią komandą, kad sukurtumėte paleisties raktą: manage-bde -protectors -add c: -tpmandstartupkey <kelią į išorinio rakto katalogą>

• Jei strategija Reikalauti papildomo autentifikavimo paleisties metu sukonfigūruota reikalauti paleisties rakto ir pin, vykdykite šią komandą iš Administratorius komandinę eilutę, kad sukurtumėte prisegimo ir paleisties raktą. Kai būsite paraginti, įveskite norimą PIN: manage-bde -protectors -add c: -tpmandpinandstartupkey <kelią į išorinio rakto katalogą>

Šis naujinimas gali būti neįdiegtas įrenginiuose, kuriuose yra nepasirašytas, ne "Microsoft bootx64.efi" įkrovos tvarkytuvo failas.  Šis naujinimas gali būti siūlomas ir įdiegtas per "Windows Update" bet gali būti neįdiegtas.  Kai bandote įdiegti šį naujinimą rankiniu būdu, galite gauti klaidos pranešimą, kuriame KB4565680 pateikiamas pranešimas "Kai kurie naujinimai neįdiegti".  Taip pat galite patikrinti, ar CBS žurnalo faile %systemroot%\logs\cbs nėra šios klaidos: 

onecore\base\secureboot\servicing\advancedinstaller\securebootai.cpp(277): klaidos TRUST_E_NOSIGNATURE atsirado dėl funkcijos Windows::WCP::SecureBoot::BasicInstaller::Install expression: ApplySecureBootUpdate( dwAvailableUpdates)

Ieškome sprendimo ir numatome, kad Windows 10 versijai 1909, Windows 10, 2004 versijai ir Windows 10 20H2 versijai bus galima naudoti kovo pabaigoje.  Numatoma, kad likusios palaikomos "Windows" versijos turės sprendimą balandžio viduryje.

Jei reikia papildomų nurodymų prieš išleidžiant skiriamąją gebą, kreipkitės į įrenginio gamintoją (OĮG).