12. mai 2026 – KB5087544 (OS-bygg 19045.7291 og 19044.7291)

Enheter med en ikke-bekreftet BitLocker-gruppepolicy konfigurasjon kan være nødvendig for å angi BitLocker-gjenopprettingsnøkkelen

Symptomer

Noen enheter med en ikke-anbefalt BitLocker-gruppepolicy kan bli bedt om å oppgi BitLocker-gjenopprettingsnøkkelen ved første omstart etter installasjon av denne oppdateringen.

Dette problemet gjelder bare et begrenset antall systemer der ALLE følgende betingelser er oppfylt. Disse betingelsene finnes sannsynligvis ikke på personlige enheter som ikke administreres av IT-avdelinger.

1. BitLocker er aktivert på operativsystemstasjonen.

2. Gruppepolicyen «Konfigurer TPM-plattformvalideringsprofil for opprinnelige UEFI-fastvarekonfigurasjoner» er satt, og PCR7 er inkludert i valideringsprofilen (eller tilsvarende registernøkkel er manuelt konfigurert).

3. Systeminformasjon (msinfo32.exe) viser Secure Boot State PCR7 Binding som «Ikke mulig».

4. Windows UEFI CA 2023-sertifikatet finnes i enhetens Secure Boot Signature Database (DB), noe som gjør enheten kvalifisert for at den 2023-signerte Windows Boot Manager skal settes som standard.

5. Enheten kjører ikke allerede den 2023-signerte Windows Boot Manager.

I dette scenarioet trenger BitLocker-gjenopprettingsnøkkelen bare å angis én gang – etterfølgende omstarter utløser ikke et BitLocker-gjenopprettingsskjermbilde så lenge gruppepolicykonfigurasjonen forblir uendret. For hjelp til å finne BitLocker-gjenopprettingsnøkkelen din, se Finn BitLocker-gjenopprettingsnøkkelen.

Virksomheter anbefales å kontrollere BitLocker-gruppepolicyene for eksplisitt PCR7-inkludering og sjekke msinfo32.exe for PCR7-bindingsstatus før denne oppdateringen installeres.

Oppløsning

Vi arbeider med en løsning, og kommer med mer informasjon når mer informasjon er tilgjengelig.

For å midlertidig omgå dette problemet, fjern gruppepolicy-konfigurasjonen før oppdateringen installeres (anbefalt) 

1. Åpne Gruppepolicyredigering (gpedit.msc) eller Konsoll for gruppepolicybehandling.

2. Gå til: Datamaskinkonfigurasjon > Administrative maler > Windows-komponenter > BitLocker-stasjonskryptering > Operativsystemstasjoner.

3. Sett «Konfigurer TPM-plattformvalideringsprofil for opprinnelige UEFI-fastvarekonfigurasjoner» til «Ikke konfigurert».

4. Kjør denne kommandoen på berørte enheter for å oppdatere policyendringen: gpupdate /force

5. Kjør denne kommandoen for å suspendere BitLocker (hvis aktivert på C:-stasjonen): manage-bde -protectors -disable C: 

6. Kjør denne kommandoen for å gjenoppta BitLocker (der BitLocker er aktivert på C:-stasjonen): manage-bde -protectors -enable C: 

7. Dette oppdaterer BitLocker-bindingene til å bruke Windows-valgt standard PCR-profil.

Enheter med en ikke-bekreftet BitLocker-gruppepolicy konfigurasjon kan være nødvendig for å angi BitLocker-gjenopprettingsnøkkelen

Symptomer

Noen enheter med en ikke-anbefalt BitLocker-gruppepolicy kan bli bedt om å oppgi BitLocker-gjenopprettingsnøkkelen ved første omstart etter installasjon av denne oppdateringen.

Dette problemet gjelder bare et begrenset antall systemer der ALLE følgende betingelser er oppfylt. Disse betingelsene finnes sannsynligvis ikke på personlige enheter som ikke administreres av IT-avdelinger.

1. BitLocker er aktivert på operativsystemstasjonen.

2. Gruppepolicyen «Konfigurer TPM-plattformvalideringsprofil for opprinnelige UEFI-fastvarekonfigurasjoner» er satt, og PCR7 er inkludert i valideringsprofilen (eller tilsvarende registernøkkel er manuelt konfigurert).

3. Systeminformasjon (msinfo32.exe) viser Secure Boot State PCR7 Binding som «Ikke mulig».

4. Windows UEFI CA 2023-sertifikatet finnes i enhetens Secure Boot Signature Database (DB), noe som gjør enheten kvalifisert for at den 2023-signerte Windows Boot Manager skal settes som standard.

5. Enheten kjører ikke allerede den 2023-signerte Windows Boot Manager.

I dette scenarioet trenger BitLocker-gjenopprettingsnøkkelen bare å angis én gang – etterfølgende omstarter utløser ikke et BitLocker-gjenopprettingsskjermbilde så lenge gruppepolicykonfigurasjonen forblir uendret. For hjelp til å finne BitLocker-gjenopprettingsnøkkelen din, se Finn BitLocker-gjenopprettingsnøkkelen.

Virksomheter anbefales å kontrollere BitLocker-gruppepolicyene for eksplisitt PCR7-inkludering og sjekke msinfo32.exe for PCR7-bindingsstatus før denne oppdateringen installeres.

Oppløsning

Vi arbeider med en løsning, og kommer med mer informasjon når mer informasjon er tilgjengelig.

For å midlertidig omgå dette problemet, fjern gruppepolicy-konfigurasjonen før oppdateringen installeres (anbefalt) 

1. Åpne Gruppepolicyredigering (gpedit.msc) eller Konsoll for gruppepolicybehandling.

2. Gå til: Datamaskinkonfigurasjon > Administrative maler > Windows-komponenter > BitLocker-stasjonskryptering > Operativsystemstasjoner.

3. Sett «Konfigurer TPM-plattformvalideringsprofil for opprinnelige UEFI-fastvarekonfigurasjoner» til «Ikke konfigurert».

4. Kjør denne kommandoen på berørte enheter for å oppdatere policyendringen: gpupdate /force

5. Kjør denne kommandoen for å suspendere BitLocker (hvis aktivert på C:-stasjonen): manage-bde -protectors -disable C: 

6. Kjør denne kommandoen for å gjenoppta BitLocker (der BitLocker er aktivert på C:-stasjonen): manage-bde -protectors -enable C: 

7. Dette oppdaterer BitLocker-bindingene til å bruke Windows-valgt standard PCR-profil.