KB4535680: Aktualizacja zabezpieczeń bazy danych bezpiecznego rozruchu: 12 stycznia 2021 r.

Problem

Obejście

Niektóre oryginalne oprogramowanie układowe producenta sprzętu (OEM) może nie zezwalać na zainstalowanie tej aktualizacji.

Aby rozwiązać ten problem, skontaktuj się z OEM oprogramowania układowego.

Jeśli funkcja BitLocker zasady grupy Konfigurowanie profilu sprawdzania poprawności platformy modułu TPM dla natywnych konfiguracji oprogramowania układowego UEFI jest włączona, a pcr7 jest wybierany przez zasady, może to spowodować wymaganie klucza odzyskiwania funkcji BitLocker na niektórych urządzeniach, na których powiązanie PCR7 nie jest możliwe.

Aby wyświetlić stan powiązania PCR7, uruchom narzędzie Microsoft System Information (Msinfo32.exe) z uprawnieniami administracyjnymi.

Aby obejść ten problem, przed wdrożeniem tej aktualizacji wykonaj jedną z następujących czynności na podstawie konfiguracji credential guard:

• Na urządzeniu, na które nie włączono poświadczeń Gard, uruchom następujące polecenie z wiersza polecenia administratora, aby zawiesić funkcję BitLocker na 1 cykl ponownego uruchamiania:

  Manage-bde –Protectors –Disable C: -RebootCount 1

  
  Następnie uruchom ponownie urządzenie, aby wznowić ochronę funkcji BitLocker.
  
  Uwaga Nie włączaj ochrony funkcji BitLocker bez ponownego uruchamiania urządzenia, ponieważ spowodowałoby to odzyskiwanie funkcji BitLocker.

• Na urządzeniu z włączoną funkcją Credential Guard w trakcie aktualizacji może wystąpić wiele ponownych uruchomień, które wymagają zawieszenia funkcji BitLocker. Uruchom następujące polecenie z wiersza polecenia administratora, aby zawiesić funkcję BitLocker na 3 cykle ponownego uruchamiania. Manage-bde –Protectors –Disable C: -RebootCount 3

  Oczekuje się, że ta aktualizacja uruchomi ponownie system dwa razy. Ponownie uruchom urządzenie, aby wznowić ochronę funkcji BitLocker.

  Uwaga Nie włączaj ochrony funkcji BitLocker bez dodatkowego ponownego uruchamiania, ponieważ spowodowałoby to odzyskiwanie funkcji BitLocker.

Jeśli ustawienia zasad grupy funkcji BitLocker są skonfigurowane po włączeniu funkcji BitLocker w środowisku, możesz wprowadzić funkcję odzyskiwania funkcji Bitlocker. Odzyskiwanie funkcji Bitlocker może być wyzwalane ze względu na dowolne z poniższych ustawień zasady grupy:

• Wymuszanie jawnej konfiguracji powiązań PCR, która różni się od tego, co jest już wybrane przez funkcję BitLocker.

• Konfigurowanie zasad grupy "Zezwalaj na sprawdzanie integralności bezpiecznego rozruchu" w celu wyłączenia bezpiecznego rozruchu w celu weryfikacji integralności, ale funkcja BitLocker już używa bezpiecznego rozruchu (PCR7).

• Konfigurowanie zasady grupy wymagać dodatkowego uwierzytelniania podczas uruchamiania, ale funkcja BitLocker została skonfigurowana przed wdrożeniem tych zasad grupy.

Jeśli ta aktualizacja została już zastosowana i urządzenie nie zostało ponownie uruchomione, wstrzymaj funkcję BitLocker i uruchom ponownie po wykonaniu poniższych czynności:

• Jeśli w zasadach grupy ustawiono jawną konfigurację PCR lub skonfigurowano zasady uniemożliwiające używanie bezpiecznego rozruchu na potrzeby sprawdzania poprawności integralności, wstrzymaj i wznów działanie funkcji BitLocker w celu usunięcia konfliktów zasad grupy.

• Jeśli zasady Wymagaj dodatkowego uwierzytelniania podczas uruchamiania są skonfigurowane tak, aby wymagać modułu TPM i numeru PIN, uruchom następujące polecenie z administracyjnego wiersza polecenia i wprowadź żądany kod PIN: manage-bde -protectors -add c: -TPMAndPin

• Jeśli zasady Wymagaj dodatkowego uwierzytelniania podczas uruchamiania są skonfigurowane tak, aby wymagać klucza startowego, wykonaj następujące polecenie, aby utworzyć klucz startowy: manage-bde -protectors -add c: -tpmandstartupkey <ścieżkę do katalogu kluczy zewnętrznych>

• Jeśli zasady Wymagaj dodatkowego uwierzytelniania podczas uruchamiania są skonfigurowane tak, aby wymagać użycia klawisza startowego i przypinania, wykonaj następujące polecenie z wiersza polecenia Administracja, aby utworzyć kod Pin i klucz startowy. Po wyświetleniu monitu wprowadź żądany kod PIN: manage-bde -protectors -add c: -tpmandpinandstartupkey <ścieżkę do katalogu kluczy zewnętrznych>

Ta aktualizacja może nie zostać zainstalowana na urządzeniach z niepodpisanym plikiem menedżera rozruchu non-Microsoft bootx64.efi.  Ta aktualizacja może być oferowana i ponownie oferowana za pośrednictwem Windows Update ale może nie zostać zainstalowana.  Podczas próby zainstalowania tej aktualizacji ręcznie może zostać wyświetlony komunikat o błędzie "Niektóre aktualizacje nie zostały zainstalowane" z listą KB4565680.  Możesz również sprawdzić plik dziennika CBS w %systemroot%\logs\cbs pod kątem następującego błędu: 

onecore\base\secureboot\servicing\advancedinstaller\securebootai.cpp(277): TRUST_E_NOSIGNATURE błędu pochodzi z funkcji Windows::WCP::SecureBoot::BasicInstaller::Install wyrażenie: ApplySecureBootUpdate( dwAvailableUpdates)

Pracujemy nad rozwiązaniem i szacujemy, że będzie ono dostępne dla Windows 10, wersja 1909, Windows 10, wersja 2004 i Windows 10, wersja 20H2 pod koniec marca.  Szacuje się, że pozostałe obsługiwane wersje systemu Windows będą miały rozwiązanie dostępne w połowie kwietnia.

Aby uzyskać dodatkowe wskazówki przed wydaniem rozdzielczości, skontaktuj się z producentem urządzenia (OEM).