Registernøkkeloppdateringer for sikker oppstart: Windows-enheter med IT-administrerte oppdateringer

Registernøkler

Alle registernøkler for sikker oppstart som er beskrevet i dette dokumentet, er plassert under denne registerbanen: 

Tabellen nedenfor beskriver hver av registerverdiene. 

Slik fungerer disse nøklene sammen

IT-administratoren konfigurerer registerverdien AvailableUpdates til 0x5944, noe som signaliserer windows til å kjøre sikker oppstart-nøkkeloppdatering og installasjon på enheten.

Når prosessen kjører, oppdaterer systemet UEFICA2023Status fra NotStarted til InProgress, og til slutt til Oppdatert etter suksess. Ettersom hver bit i 0x5944 behandles, fjernes den.

Hvis et trinn mislykkes, registreres en feilkode i UEFICA2023Error (og statusen forblir InProgress).

Denne mekanismen gir administratorer en klar måte å utløse og spore utrullingen per enhet på. 

Distribusjon ved hjelp av registernøkler 

Distribusjon til en gruppe enheter består av følgende trinn: 

1. Angi registerverdien AvailableUpdates til å 0x5944 på hver av enhetene som skal oppdateres.

2. Overvåk UEFICA2023Status - og UEFICA2023Error-registernøklene for å se at enhetene går fremover. Husk at oppgaven som behandler disse oppdateringene, kjører én gang hver 12. time. Vær oppmerksom på at oppstartsbehandlingsoppdateringen kanskje ikke skjer før etter en omstart.

3. Undersøk problemer hvis de oppstår. Hvis UEFICA2023Error ikke er null på en enhet, kan du kontrollere hendelsesloggen for hendelser relatert til dette problemet. Se hendelser for variabel oppdatering av sikker oppstart og DBX for en fullstendig liste over hendelser for sikker oppstart.

Et notat om omstarter: Selv om en omstart kan være nødvendig for å fullføre prosessen, vil ikke det å starte distribusjonen av oppdateringene for sikker oppstart føre til en omstart. Hvis en omstart er nødvendig, er sikker oppstart-distribusjonen avhengig av omstarter som vanlig bruk av enheten. 

Enhetstesting ved hjelp av registernøkler 

Når du tester individuelle enheter for å sikre at enhetene behandler oppdateringene på riktig måte, kan registernøklene være en enkel måte å teste på. 

Kjør hver av følgende kommandoer separat fra en PowerShell-ledetekst for administrator for å teste: 

Den første kommandoen starter distribusjonen av sertifikatet og oppstartsbehandlingen på enheten. Den andre kommandoen fører til at oppgaven som behandler registernøkkelen AvailableUpdates, kjøres umiddelbart. Vanligvis kjører oppgaven hver 12. time. 

Du finner resultatene ved å observere UEFICA2023Status - og UEFICA2023Error-registernøklene og hendelsesloggene som beskrevet i variable oppdateringshendelser for sikker oppstart og DBX. 

Melde deg på og velge bort assister 

Registernøklene HighConfidenceOptOut og MicrosoftUpdateManagedOptIn kan brukes til å administrere de to distribusjonsassister som er beskrevet i Windows-enheter med IT-administrerte oppdateringer. 

• Registernøkkelen HighConfidenceOptOut styrer den automatiske oppdateringen av enheter gjennom de kumulative oppdateringene. For enhetene der Microsoft har observert at spesifikke enheter oppdateres, anses de som «høy visshet»-enheter, og oppdateringene for sertifikatet for sikker oppstart skjer automatisk. Standardinnstillingen for dette er valgt.

• MicrosoftUpdateManagedOptIn-registernøkkelen gjør det mulig for IT-avdelinger å melde seg på automatisk distribusjon som administreres av Microsoft. Denne innstillingen er deaktivert som standard og setter den til 1 valgfri. Denne innstillingen krever også at enheten sender valgfrie diagnosedata.

Støttede versjoner av Windows

Denne tabellen bryter ytterligere ned støtten basert på registernøkkelen. 

TPMTasks-endringer 

Endre TPMTasks for å finne ut om tilstanden til enheten har de oppdaterte sertifikatene for sikker oppstart. For øyeblikket kan det bestemme, men bare hvis CFR velger en maskin for oppdatering. Denne besluttsomheten og påfølgende logging skal skje i hver oppstartsøkt uavhengig av CFR. Hvis sertifikatene for sikker oppstart ikke er helt oppdatert, vil de avgi de to feilhendelsene som er beskrevet ovenfor. Hvis sertifikatene er oppdatert, avgir de informasjonshendelsen. Sertifikatene for sikker oppstart som skal kontrolleres, er:  

• Windows UEFI CA 2023

• Microsoft UEFI CA 2023 og Microsoft Option ROM UEFI CA 2023 – disse to CAene må bare finnes hvis Microsoft UEFI CA 2011 finnes. Hvis Microsoft UEFI CA 2011 ikke finnes, er ingen kontroll nødvendig.

• Microsoft Corporation KEK 2K CA 2023

Hendelse for maskinmetadata 

Denne hendelsen samler inn maskinmetadata og utsteder følgende hendelse:

• BucketId + Konfidensvurderingshendelse   

Denne hendelsen bruker metadataene for maskinen til å finne den tilsvarende oppføringen i databasen med maskiner (samlingsoppføring). Maskinen vil formatere og avgi en hendelse med disse dataene sammen med eventuell konfidensinformasjon om samlingen. ​​​​​​​ 

Høy-trygg enhetsassistent 

For enheter i samlinger med høy visshet brukes sertifikatene for sikker oppstart og 2023-signert oppstartsbehandling automatisk.   

Oppdateringen utløses samtidig som de to feilhendelsene genereres, og hendelsen BucketId + Confidence Rating inkluderer en vurdering med høy konfidens.   

Melde deg ut

For kunder som ønsker å melde seg ut, vil en ny registernøkkel være tilgjengelig på følgende måte: