2026. gada 14. aprīlis — KB5083769 (operētājsistēmas būvējumi 26200.8246 un 26100.8246)

Windows drošās palaišanas sertifikāta derīguma termiņš

Svarīgi! Drošās palaišanas sertifikātiem, ko izmanto lielākā daļa Windows ierīču, iestatītais derīgums beidzas, sākot ar 2026. gada jūniju. Tas var ietekmēt noteiktu personisko un darba ierīču drošas palaišanas spēju, ja sertifikāti netiek laikus atjaunināti. Lai izvairītos no traucējumiem, iesakām pārskatīt norādījumus un veikt darbības, lai jau iepriekš atjauninātu sertifikātus. Detalizētu informāciju un sagatavošanās darbības skatiet rakstā Windows drošās palaišanas sertifikāta derīguma termiņš un CA atjauninājumi.

Simptoms

Dažām ierīcēm ar neieteicamu BitLocker grupas politikas konfigurāciju, iespējams, būs jāievada BitLocker atkopšanas atslēga, pirmo reizi restartējot pēc šī atjauninājuma instalēšanas.

Šī problēma ietekmē tikai ierobežotu sistēmu skaitu, kurās ir izpildīti VISI tālāk minētie nosacījumi. Maz ticams, ka šie nosacījumi tiks atrasti personiskajās ierīcēs, ko nepārvalda IT nodaļas.

1. BitLocker ir iespējots operētājsistēmas diskā.

2. Grupas politika "Konfigurēt TPM platformas validācijas profilu vietējām UEFI aparātprogrammatūras konfigurācijām" ir konfigurēta, un PCR7 ir iekļauts validācijas profilā (vai ekvivalenta reģistra atslēga tiek iestatīta manuāli).

3. Sistēmas informācijas (msinfo32.exe) ziņo par drošās palaišanas stāvokli PCR7 saistījumu kā "Nav iespējams".

4. Windows UEFI CA 2023 sertifikāts ir ierīces drošās palaišanas parakstu datu bāzē (DB), tāpēc ierīce ir piemērota 2023. gadā parakstītajam Windows palaišanas pārvaldniekam kā noklusējuma programmai.

5. Ierīcē vēl nedarbojas 2023. gadā parakstītais Windows palaišanas pārvaldnieks.

Šādā gadījumā BitLocker atkopšanas atslēga ir jāievada tikai vienreiz — turpmāka restartēšana neaktivizē BitLocker atkopšanas ekrānu, kamēr grupas politikas konfigurācija netiek mainīta. Lai saņemtu palīdzību par BitLocker atkopšanas atslēgas atrašanu, skatiet rakstu BitLocker atkopšanas atslēgas atrašana.

Uzņēmumiem ieteicams auditēt to BitLocker grupu politikas, lai noteiktu tiešu PCR7 iekļaušanu, un pirms šā atjauninājuma instalēšanas pārbaudīt msinfo32.exe PCR7 saistīšanas statusu. (Skatiet tālāk aprakstīto risinājumu.)

Risinājums 

Šī problēma ir novērsta KB5089549. Pēc KB5089549instalēšanas ierīcēs ar šo nesaderīgo grupas politikas konfigurāciju netiek atļauta 2023. gada parakstītā Windows palaišanas pārvaldnieka instalēšana. Ja jūsu ierīce tika ietekmēta, instalējot Windows atjauninājumus, sistēmas notikumu žurnālā tiks parādīts notikuma ID 1032: "Drošās palaišanas atjauninājums Palaišanas pārvaldnieks (2023) netika lietots, jo ir zināma nesaderība ar pašreizējo BitLocker konfigurāciju."

Ja saņemat notikuma ID 1032, Microsoft stingri iesaka pirms atjauninājumu instalēšanas noņemt grupas politikas konfigurāciju, lai jūs varētu instalēt 2023. gadā parakstīto Windows palaišanas pārvaldnieku un turpināt saņemt jaunāko drošās palaišanas aizsardzību.

Pirms atjauninājuma instalēšanas noņemiet grupas politikas konfigurāciju (ieteicams) 

1. Atveriet grupas politikas redaktoru (gpedit.msc) vai grupas politikas pārvaldības konsoli.

2. Pārejiet uz: Datora konfigurācija > Administrēšanas veidnes > Windows komponenti > BitLocker diska šifrēšana > operētājsistēmas diski.

3. Iestatiet "Konfigurēt TPM platformas validācijas profilu vietējā UEFI aparātprogrammatūras konfigurācijām" uz "Nav konfigurēts".

4. Izpildiet tālāk norādīto komandu ietekmētajās ierīcēs, lai izplatītu politikas izmaiņas: gpupdate /force

5. Palaidiet tālāk norādīto komandu, lai aizturētu BitLocker (ja C: diskā ir iespējots BitLocker): manage-bde -protectors -disable C:

6. Palaidiet tālāk norādīto komandu, lai atsāktu BitLocker darbību (ja C: diskā ir iespējots BitLocker): manage-bde -protectors -enable C:

7. Ar šo tiek atjaunināti BitLocker saistījumi, lai izmantotu Windows atlasīto noklusējuma PCR profilu.

Ja nevēlaties noņemt šo grupas politikas konfigurāciju, varat instalēt jauno Windows palaišanas pārvaldnieku, īslaicīgi apturot BitLocker un instalējot drošās palaišanas atjauninājumu. Lai to paveiktu:

1. Palaidiet tālāk norādīto komandu, lai aizturētu BitLocker (ja C: diskā ir iespējots BitLocker): manage-bde -protectors -disable C:

2. Palaidiet šādu komandu: Start-ScheduledTask -TaskName "\Microsoft\Windows\PI\Secure-Boot-Update"

3. Restartējiet jūsu ierīci.

4. Kad jaunais Windows palaišanas pārvaldnieks ir sekmīgi instalēts, iespējojiet BitLocker, izpildot komandu: manage-bde -protectors -enable C: