KB4535680: Secure Boot DBX drošības atjauninājums: 2021. gada 12. janvāris

Problēma

Risinājums

Daži oriģinālā aprīkojuma ražotāja (OEM) aparātprogrammatūras var neļautu instalēt šo atjauninājumu.

Lai atrisinātu šo problēmu, sazinieties ar aparātprogrammatūru OEM.

Ja BitLocker grupas politika Konfigurēt TPM platformas validācijas profilu vietējo UEFI aparātprogrammatūras konfigurācijām ir iespējota un PCR7 ir atlasīta pēc politikas, tā var izraisīt BitLocker atkopšanas atslēgas pieprasīt dažās ierīcēs, kur PCR7 saistīšana nav iespējama.

Lai skatītu PCR7 saistīšanas statusu, palaidiet Microsoft sistēmas informācijas (Msinfo32.exe) rīku ar administratora atļaujām.

Lai novērstu šo problēmu, pirms šī atjauninājuma izvietošanas veiciet kādu no šīm darbībām, pamatojoties uz akreditācijas datu aizsardzība konfigurāciju:

• Ierīcē, kurā nav iespējota akreditācijas datu gard, izpildiet administratora komandu komandu, lai aizturētu BitLocker 1 atkārtotas palaišanas ciklam:

  Manage-bde –Protectors –Disable C: -RebootCount 1

  
  Pēc tam restartējiet ierīci, lai atsāktu BitLocker aizsardzību.
  
  Piezīme Neiespējojiet BitLocker aizsardzību bez papildu ierīces restartēšanas, jo tas izraisītu BitLocker atkopšanu.

• Ierīcē, kurā ir iespējots akreditācijas datu aizsardzība, atjaunināšanas laikā var būt vairākas restartēšanas, kuru dēļ tiek aizturēts BitLocker. Palaidiet administratora komandu uzvednē tālāk norādīto komandu, lai aizturētu BitLocker 3 restartēšanas cikliem. Manage-bde –Protectors –Disable C: -RebootCount 3

  Šis atjauninājums ir paredzēts, lai restartētu sistēmu divas reizes. Restartējiet ierīci vēlreiz, lai atsāktu BitLocker aizsardzību.

  Piezīme Neiespējojiet BitLocker aizsardzību bez papildu restartēšanas, jo tādējādi tiek izraisīta BitLocker atkopšana.

Varat ievadīt Bitlocker atkopšanu, ja konfliktējoši BitLocker grupas politikas iestatījumi ir konfigurēti pēc BitLocker iespējošanas vidē. Bitlocker atkopšanas aktivizēšanu var izraisīt kāds no tālāk norādītajiem grupas politika iestatījumiem.

• Lai precīzi konfigurētu PCR saistījumus , kas atšķiras no bitLocker jau izvēlētās.

• GP "Allow Secure Boot for integrity validation" konfigurēšana, lai ļautu veikt drošo sāknēšanu integritātes validācijai, bet BitLocker jau izmanto drošo sāknēšanas programmu (PCR7).

• Konfigurēšana grupas politika pieprasīt papildu autentifikāciju startēšanas laikā, bet BitLocker ir konfigurēts pirms šīs grupas politikas izvietošanas.

Ja šis atjauninājums jau ir lietots un ierīce nav restartēta, aizapturiet BitLocker un restartējiet pēc šādu darbību veikšanas:

• Ja tieša PCR konfigurācija ir iestatīta, izmantojot grupas politiku vai politika ir konfigurēta tā, lai neatļautu izmantot drošo sāknēšanu integritātes validācijai, aizturiet un atsāciet BitLocker, lai notīrītu GP konfliktus.

• Ja startēšanas politikas laikā pieprasīt papildu autentifikāciju , lai pieprasītu TPM un PIN, izpildiet tālāk norādīto komandu administratora komandu uzvednē un ievadiet vēlamo PIN kodu: manage-bde -protectors -add c: -TPMAndPin

• Ja startēšanas politikas pieprasīt papildu autentifikāciju ir konfigurēta tā, lai būtu nepieciešama startēšanas atslēga, izpildiet šo komandu, lai izveidotu startēšanas atslēgu: manage-bde -protectors -add c: -tpmandstartupkey <path to external key directory>

• Ja startēšanas politikā Pieprasīt papildu autentifikāciju startēšanas laikā ir konfigurēta startēšanas atslēga un piespraušana, izpildiet tālāk norādīto komandu no Administrēšana uzvednes, lai izveidotu pin un startēšanas atslēgu. Pēc uzaicinājuma ievadiet vajadzīgo PIN kodu: manage-bde -protectors -add c: -tpmandpinandstartupkey <ceļš uz ārējās atslēgas direktoriju>

Šo atjauninājumu nevar instalēt ierīcēs, kurās ir neparakstīts fails, kas nav Microsoft bootx64.efi boot manager fails.  Šis atjauninājums var tikt piedāvāts un to Windows Update bet nevar instalēt.  Mēģinot manuāli instalēt šo atjauninājumu, var tikt parādīts kļūdas ziņojums "Daži atjauninājumi netika instalēti", kurā uzskaitīti KB4565680.  Varat arī pārbaudīt CBS žurnālfailu sistēmā %systemroot%\logs\cbs, lai iegūtu šādu kļūdu: 

onecore\base\secureboot\servicing\advancedinstaller\securebootai.cpp(277): TRUST_E_NOSIGNATURE kļūda radās funkcijā Windows:WCP::SecureBoot::BasicInstaller::Install expression: ApplySecureBootUpdate( dwAvailableUpdates)

Mēs strādājam, lai rastu risinājumu, kas, izmantojot Windows 10, Windows 10, 2004 un Windows 10, versiju 20H2, būs pieejams Windows 10, Windows 10 versijai un Windows 10 versijai 20H2 marta beigās.  Tiek prognozēts, ka atlikušajā Windows atbalstītajā versijā risinājums ir pieejams aprīļa vidū.

Lai iegūtu papildu norādījumus pirms izšķirtspējas izlaišanas, sazinieties ar ierīces ražotāju (OEM).