KB4535680: Sikkerhetsoppdatering for sikker oppstart av DBX: 12. januar 2021

Problem

Løsning

Det kan hende at en original OEM-fastvare (originalutstyrsprodusent) ikke tillater installasjon av denne oppdateringen.

Hvis du vil løse dette problemet, kontakter du fastvare-OEM-en.

Hvis BitLocker gruppepolicy konfigurer valideringsprofil for TPM-plattform for opprinnelige UEFI-fastvarekonfigurasjoner er aktivert og PCR7 er valgt av policyen, kan det føre til at BitLocker-gjenopprettingsnøkkelen kreves på enkelte enheter der PCR7-binding ikke er mulig.

Hvis du vil vise bindingsstatusen for PCR7, kjører du verktøyet Microsoft Systeminformasjon (Msinfo32.exe) med administrative tillatelser.

Hvis du vil omgå dette problemet, gjør du ett av følgende basert på konfigurasjon av legitimasjonsbeskyttelse før du distribuerer denne oppdateringen:

• På en enhet som ikke har legitimasjonsgard aktivert, kjører du følgende kommando fra en administratorkommandoledetekst for å suspendere BitLocker for én omstartssyklus:

  Manage-bde –Protectors –Disable C: -RebootCount 1

  
  Start deretter enheten på nytt for å gjenoppta BitLocker-beskyttelsen.
  
  Merk Ikke aktiver BitLocker-beskyttelse uten å starte enheten på nytt i tillegg, da det ville resultere i BitLocker-gjenoppretting.

• På en enhet som har Credential Guard aktivert, kan det være flere omstarter under oppdateringen som krever at BitLocker suspenderes. Kjør følgende kommando fra en ledetekst for administrator for å stoppe BitLocker i tre omstartssykluser. Manage-bde –Protectors –Disable C: -RebootCount 3

  Denne oppdateringen forventes å starte systemet på nytt to ganger. Start enheten på nytt for å gjenoppta BitLocker-beskyttelsen.

  Obs!   Ikke aktiver BitLocker-beskyttelse uten å starte på nytt i tillegg, da det vil resultere i BitLocker-gjenoppretting.

Du kan angi Bitlocker-gjenoppretting hvis motstridende innstillinger for BitLocker-gruppepolicy er konfigurert etter at BitLocker er aktivert i miljøet. Bitlocker-gjenoppretting kan utløses på grunn av noen av innstillingene nedenfor gruppepolicy:

• Fremtving eksplisitt konfigurasjon av PCR-bindinger som er forskjellig fra det som allerede er valgt av BitLocker.

• Konfigurere gp "Tillat sikker oppstart for integritetsvalidering" for å fjerne tillatelse fra sikker oppstart for integritetsvalidering, men BitLocker bruker allerede sikker oppstart (PCR7).

• Konfigurerer gruppepolicy krever ekstra godkjenning under oppstart, men BitLocker er konfigurert før denne gruppepolicyen distribueres.

Hvis denne oppdateringen allerede er tatt i bruk og enheten ikke har startet på nytt, stopper du BitLocker og starter på nytt etter å ha fulgt fremgangsmåten nedenfor:

• Hvis en eksplisitt PCR-konfigurasjon er angitt gjennom gruppepolicy eller en policy er konfigurert til å forby bruk av sikker oppstart for integritetsvalidering, kan du avbryte og gjenoppta BitLocker for å fjerne GP-konfliktene.

• Hvis krever ekstra godkjenning under oppstartspolicyen er konfigurert til å kreve TPM og PIN-kode, kjører du følgende kommando fra en administrativ ledetekst og angir ønsket PIN-kode: manage-bde -protectors -add c: -TPMAndPin

• Hvis krev ekstra godkjenning under oppstartspolicyen er konfigurert til å kreve en oppstartsnøkkel, kjører du følgende kommando for å opprette oppstartsnøkkel: manage-bde -protectors -add c: -tpmandstartupkey <bane til ekstern nøkkelkatalog>

• Hvis krev ekstra godkjenning under oppstartspolicyen er konfigurert til å kreve oppstartsnøkkel og PIN-kode, kjører du følgende kommando fra Admin ledetekst for å opprette PIN-kode og oppstartsnøkkel. Når du blir bedt om det, skriver du inn ønsket PIN-kode: manage-bde -protectors -add c: -tpmandpinandstartupkey <bane til ekstern nøkkelkatalog>

Denne oppdateringen kan ikke installeres på enheter med en usignert, ikke-Microsoft bootx64.efi boot manager-fil.  Denne oppdateringen kan bli tilbudt og reoffered gjennom Windows Update men kan ikke installeres.  Når du prøver å installere denne oppdateringen manuelt, kan det hende du får en feilmelding om at noen oppdateringer ikke ble installert, med KB4565680.  Du kan også kontrollere CBS-loggfilen i %systemroot%\logs\cbs for følgende feil: 

onecore\base\secureboot\servicing\advancedinstaller\securebootai.cpp(277): Feil TRUST_E_NOSIGNATURE oppsto i funksjonen Windows::WCP::SecureBoot::BasicInstaller::Installer uttrykk: ApplySecureBootUpdate( dwAvailableUpdates)

Vi arbeider med en løsning og anslår at en løsning vil være tilgjengelig for Windows 10, versjon 1909, Windows 10, versjon 2004 og Windows 10, versjon 20H2 i slutten av mars.  De gjenværende støttede versjonene av Windows anslås å ha en løsning tilgjengelig i midten av april.

Hvis du vil ha mer veiledning før løsningen lanseres, kan du kontakte enhetsprodusenten (OEM).