Registersleutelupdates voor Beveiligd opstarten: Windows-apparaten met door IT beheerde updates

Registersleutels

Alle registersleutels voor beveiligd opstarten die in dit document worden beschreven, bevinden zich onder dit registerpad: 

In de volgende tabel worden alle registerwaarden beschreven. 

Hoe deze sleutels samenwerken

De IT-beheerder configureert de registerwaarde AvailableUpdates voor 0x5944, waarmee Windows wordt signalen geeft om de update en installatie van de Secure Boot-sleutel op het apparaat uit te voeren.

Terwijl het proces wordt uitgevoerd, werkt het systeem UEFICA2023Status bij van NotStarted naar InProgress en ten slotte naar Bijgewerkt wanneer dit is gelukt. Als elke bit in 0x5944 is verwerkt, wordt deze gewist.

Als een stap mislukt, wordt een foutcode vastgelegd in UEFICA2023Error (en blijft de status InProgress).

Dit mechanisme biedt beheerders een duidelijke manier om de implementatie per apparaat te activeren en bij te houden. 

Implementatie met behulp van registersleutels 

Implementatie naar een groep apparaten bestaat uit de volgende stappen: 

1. Stel de registerwaarde AvailableUpdates in op 0x5944 op elk van de apparaten die moeten worden bijgewerkt.

2. Controleer de registersleutels UEFICA2023Status en UEFICA2023Error om te zien dat de apparaten vooruitgang boeken. Houd er rekening mee dat de taak die deze updates verwerkt eens per 12 uur wordt uitgevoerd. Houd er rekening mee dat de update van opstartbeheer mogelijk pas plaatsvindt nadat het opnieuw is opgestart.

3. Problemen onderzoeken als ze optreden. Als UEFICA2023Error niet nul is op een apparaat, kunt u het gebeurtenislogboek controleren op gebeurtenissen die betrekking hebben op dit probleem. Zie Updategebeurtenissen voor Secure Boot DB en DBX-variabelen voor een volledige lijst met gebeurtenissen voor beveiligd opstarten.

Een opmerking over opnieuw opstarten: hoewel opnieuw opstarten mogelijk vereist is om het proces te voltooien, zal het initiëren van de implementatie van de Secure Boot-updates niet leiden tot opnieuw opstarten. Als een herstart nodig is, is de implementatie van Beveiligd opstarten afhankelijk van het opnieuw opstarten als de normale manier waarop het apparaat wordt gebruikt. 

Apparaattests met behulp van registersleutels 

Wanneer u afzonderlijke apparaten test om ervoor te zorgen dat de apparaten de updates correct verwerken, kunnen de registersleutels een eenvoudige manier zijn om te testen. 

Als u wilt testen, voert u elk van de volgende opdrachten afzonderlijk uit van een PowerShell-prompt van de beheerder: 

De eerste opdracht initieert de implementatie van het certificaat en opstartbeheer op het apparaat. De tweede opdracht zorgt ervoor dat de taak die de registersleutel AvailableUpdates verwerkt, direct wordt uitgevoerd. Normaal gesproken wordt de taak elke 12 uur uitgevoerd. 

U kunt de resultaten vinden door de registersleutels UEFICA2023Status en UEFICA2023Error en de gebeurtenislogboeken te observeren, zoals beschreven in Updategebeurtenissen van Secure Boot DB en DBX-variabelen. 

Aanmelden en afmelden voor hulp 

De registersleutels HighConfidenceOptOut en MicrosoftUpdateManagedOptIn kunnen worden gebruikt voor het beheren van de twee implementatiehulpen die worden beschreven in Windows-apparaten met door IT beheerde updates. 

• De registersleutel HighConfidenceOptOut bepaalt het automatisch bijwerken van apparaten via de cumulatieve updates. Voor de apparaten waarvan Microsoft heeft vastgesteld dat specifieke apparaten zijn bijgewerkt, worden ze beschouwd als apparaten met een hoge betrouwbaarheid en worden de certificaatupdates voor beveiligd opstarten automatisch uitgevoerd. De standaardinstelling hiervoor is aangemeld.

• Met de registersleutel MicrosoftUpdateManagedOptIn kunnen IT-afdelingen zich aanmelden voor automatische implementatie die wordt beheerd door Microsoft. Deze instelling is standaard uitgeschakeld en ingesteld op 1 opts-in. Voor deze instelling moet het apparaat ook optionele diagnostische gegevens verzenden.

Ondersteunde versies van Windows

In deze tabel wordt de ondersteuning verder uitgesplitst op basis van de registersleutel. 

TPMTaken wijzigen 

Wijzig TPMTasks om te bepalen of de status van het apparaat de bijgewerkte Certificaten voor beveiligd opstarten heeft. Momenteel kan deze bepaling worden uitgevoerd, maar alleen als CFR een computer selecteert voor update. Deze bepaling en daaropvolgende logboekregistratie moeten in elke opstartsessie plaatsvinden, ongeacht de CFR. Als de certificaten voor beveiligd opstarten niet volledig up-to-date zijn, worden de twee hierboven beschreven fout gebeurtenissen verzonden. Als de certificaten up-to-date zijn, wordt de gebeurtenis Information verzonden. De certificaten voor beveiligd opstarten die worden gecontroleerd, zijn:  

• Windows UEFI CA 2023

• Microsoft UEFI CA 2023 en Microsoft Option ROM UEFI CA 2023: deze twee CA's mogen alleen aanwezig zijn als de Microsoft UEFI CA 2011 aanwezig is. Als de Microsoft UEFI CA 2011 niet aanwezig is, is er geen controle nodig.

• Microsoft Corporation KEK 2K CA 2023

Metagegevens-gebeurtenis van machine 

Met deze gebeurtenis worden de metagegevens van de machine verzameld en wordt de volgende gebeurtenis uitgevoerd:

• BucketId + betrouwbaarheidsclassificatie-gebeurtenis   

Deze gebeurtenis gebruikt de metagegevens van de machine om de bijbehorende vermelding in de database van machines (bucket-vermelding) te vinden. De machine formatteert en verzendt een gebeurtenis met deze gegevens, samen met eventuele betrouwbaarheidsinformatie met betrekking tot de bucket. ​​​​​​​ 

Zeer betrouwbare apparaathulp 

Voor apparaten in buckets met hoge betrouwbaarheid worden de certificaten voor beveiligd opstarten en het 2023-ondertekende opstartbeheer automatisch toegepast.   

De update wordt op hetzelfde moment geactiveerd als de twee foutgebeurtenissen worden gegenereerd en de gebeurtenis BucketId + Betrouwbaarheidsbeoordeling bevat een hoge betrouwbaarheidsclassificatie.   

Afmelden

Voor klanten die zich willen afmelden, is er als volgt een nieuwe registersleutel beschikbaar: