Atualizações de chaves de registo para Arranque Seguro: dispositivos Windows com atualizações geridas por TI
Aplica-se A
Data Original Publicada: 14 de outubro de 2025
ID da BDC: 5068202
Este artigo tem orientações para:
-
Organizações com dispositivos Windows geridos por TI e atualizações.
Disponibilidade deste suporte:
As chaves de registo AvailableUpdates, UEFICA2023Status, UEFICA2023Error, HighConfidenceOptOut e MicrosoftUpdateManagedOptIn são incluídas nas atualizações lançadas nas datas seguintes:
-
14 de outubro de 2025: As versões suportadas incluem Windows 10, versão 22H2 e versões mais recentes (incluindo 21H2 LTSC), todas as versões suportadas do Windows 11, bem como Windows Server 2022 e posterior.
-
11 de novembro de 2025: Para versões do Windows ainda em suporte.
|
Alterar data |
Alterar descrição |
|
4 de novembro de 2025 |
|
|
11 de novembro de 2025 |
|
|
16 de novembro de 2025 |
O conteúdo foi atualizado em "Teste de dispositivos com Chaves de Registo". O valor atualização Disponível foi alterado de "0x0100" para "0x4000". |
Neste artigo
Introdução
Este documento descreve o suporte para implementar, gerir e monitorizar as atualizações de certificados de Arranque Seguro com chaves de registo do Windows. As chaves consistem nas seguintes:
-
Uma chave para acionar a implementação dos certificados e do gestor de arranque no dispositivo.
-
Duas chaves para monitorizar o estado da implementação.
-
Duas chaves para gerir as definições optar ativamente por participar/optar ativamente por não participar nas duas assistências de implementação disponíveis.
Estas chaves de registo podem ser definidas manualmente no dispositivo ou remotamente através do software de gestão de frotas disponível. Outros métodos de implementação, como Política de Grupo, Microsoft Intune e WinCS, são descritos no artigo Dispositivos Windows para empresas e organizações com atualizações geridas por TI.
Chaves de registo de Arranque Seguro
Nesta secção
Chaves de registo
Todas as chaves de registo de Arranque Seguro descritas abaixo estão localizadas neste caminho de registo:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecureBoot
A tabela seguinte descreve cada um dos valores do registo:
|
Valor do Registo |
Tipo |
Descrição e Utilização |
|---|---|---|
|
AvailableUpdates |
REG_DWORD (máscara de bits) |
Atualize os sinalizadores do acionador. Controla as ações de atualização de Arranque Seguro a executar no dispositivo. Definir o campo de bits adequado aqui inicia a implementação de novos certificados de Arranque Seguro e atualizações relacionadas. Para a implementação empresarial, deve ser definido como 0x5944 (hex) – um valor que permite todas as atualizações relevantes (adicionar os novos certificados de AC de 2023, atualizar o KEK e instalar o novo gestor de arranque). Definições:
|
|
HighConfidenceOptOut |
REG_DWORD |
Uma opção de optar ativamente por não participar. Para empresas que pretendam optar ativamente por não participar em registos de alta confiança que serão automaticamente aplicados como parte da LCU. Pode definir esta chave como um valor diferente de zero para optar ativamente por não participar nos registos de alta confiança. Definições
|
|
MicrosoftUpdateManagedOptIn |
REG_DWORD |
Uma opção de optar ativamente por participar. Para empresas que pretendam optar ativamente por participar na manutenção da Implementação de Funcionalidades Controladas (CFR), também conhecida como Microsoft Managed. Além de definir esta chave, permita o envio de dados de diagnóstico necessários (veja Configurar dados de diagnóstico do Windows na sua organização). Definições
|
Todas as chaves de registo de Arranque Seguro descritas abaixo estão localizadas neste caminho de registo:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecureBoot\Servicing
A tabela seguinte descreve cada um dos valores do registo:
|
Valor do Registo |
Tipo |
Descrição e Utilização |
|---|---|---|
|
UEFICA2023Status |
REG_SZ (cadeia) |
Indicador de estado de implementação. Reflete o estado atual da atualização da chave de Arranque Seguro no dispositivo. Será definido como um dos seguintes valores de texto:
Inicialmente, o estado é NotStarted. Muda para InProgress assim que a atualização é iniciada e, por fim, para Atualizada quando todas as novas chaves e o novo gestor de arranque tiverem sido implementados. Se existir um erro, o valor do registo UEFICA2023Error é definido como um código diferente de zero. |
|
UEFICA2023Error |
REG_DWORD (código) |
Código de erro (se existir). Este valor permanece 0 com êxito. Se o processo de atualização encontrar uma falha, UEFICA2023Error está definido para um código de erro diferente de zero correspondente ao primeiro erro encontrado. Um erro aqui implica que a atualização de Arranque Seguro não foi totalmente bem-sucedida e pode exigir investigação ou remediação nesse dispositivo. Por exemplo, se a atualização da BD (base de dados de assinaturas fidedignas) tiver falhado devido a um problema de firmware, esta chave de registo poderá mostrar um código de erro do firmware. Quando esta chave existir e não for zero, recomendamos que procure eventos de Arranque Seguro nos Registos de Eventos do Windows . Veja Eventos de atualização de variáveis DB e DBX de Arranque Seguro para obter mais detalhes. |
|
WindowsUEFICA2023Capable |
REG_DWORD (código) |
Esta chave de registo destina-se a cenários de implementação limitados e não é recomendada para utilização geral. Na maioria dos casos, utilize a chave de registo UEFICA2023Status. Valores válidos: 0 – ou a chave não existe – o certificado "WINDOWS UEFI CA 2023" não está na base de dados 1 - O certificado "WINDOWS UEFI CA 2023" está na base de dados 2 - O certificado "WINDOWS UEFI CA 2023" está na BD e o sistema começa a partir do gestor de arranque assinado em 2023 |
Como estas chaves funcionam em conjunto
Os administradores de TI configuram o valor de registo AvailableUpdates para 0x5944, o que sinaliza o Windows para executar a atualização e instalação da chave de Arranque Seguro no dispositivo.
À medida que o processo é executado, o sistema atualiza UEFICA2023Status de NotStarted para InProgress e, por fim, para Atualizado após o êxito. À medida que cada bit no 0x5944 é processado com êxito, é limpo.
Se algum passo falhar, é registado um código de erro no UEFICA2023Error (e o estado permanece InProgress).
Este mecanismo dá aos administradores uma forma clara de acionar e controlar a implementação por dispositivo.
Implementação com chaves de registo
A implementação num grupo de dispositivos consiste nos seguintes passos:
-
Defina o valor do registo AvailableUpdates para 0x5944 em cada um dos dispositivos a atualizar.
-
Monitorize as chaves de registo UEFICA2023Status e UEFICA2023Error para ver se os dispositivos estão a progredir. A tarefa que processa estas atualizações é executada a cada 12 horas. Tenha em atenção que a atualização do gestor de arranque pode não acontecer até que ocorra um reinício.
-
Investigue os problemas se ocorrerem. Se UEFICA2023Error não estiver a zero num dispositivo, pode verificar se existem eventos relacionados com este problema no registo de eventos. Veja Secure Boot DB and DBX variable update events (Eventos de atualização de variáveis DBX e Secure Boot ) para obter uma lista completa dos eventos de Arranque Seguro.
Nota sobre reinícios: embora possa ser necessário reiniciar para concluir o processo, iniciar a implementação das atualizações de Arranque Seguro não causará um reinício. Se for necessário reiniciar, a implementação de Arranque Seguro depende de reinícios que ocorrem como o curso normal de utilização do dispositivo.
Teste de dispositivos com chaves de registo
Ao testar dispositivos individuais para garantir que os dispositivos irão processar as atualizações corretamente, as chaves de registo podem ser uma forma simples de testar.
Para testar, execute cada um dos seguintes comandos separadamente a partir de uma linha de comandos do PowerShell do administrador:
reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x5944 /f
Start-ScheduledTask -TaskName "\Microsoft\Windows\PI\Secure-Boot-Update"
Reinicie manualmente o sistema quando o AvailableUpdates se tornar 0x4100
Start-ScheduledTask -TaskName "\Microsoft\Windows\PI\Secure-Boot-Update"
O primeiro comando inicia a implementação do certificado e do gestor de arranque no dispositivo. O segundo comando faz com que a tarefa que processa a chave de registo AvailableUpdates seja executada imediatamente. Normalmente, a tarefa é executada a cada 12 horas. A chave do registo deve mudar rapidamente para 0x4100. Reiniciar e executar novamente a tarefa fará com que o gestor de arranque seja atualizado e que as Atualizações Disponíveis se tornem 0x4000. Veja Resolução de problemas para obter mais detalhes sobre o comportamento de AvailableUpdates.
Pode encontrar os resultados observando as chaves de registo UEFICA2023Status e UEFICA2023Error e os registos de eventos, conforme descrito em Eventos de atualização da variável DBX e Secure Boot.
Optar ativamente por participar e optar ativamente por não participar nas assistências
As chaves de registo HighConfidenceOptOut e MicrosoftUpdateManagedOptIn podem ser utilizadas para gerir as duas "assistências" de implementação descritas em dispositivos Windows com atualizações geridas por TI.
-
A chave de registo HighConfidenceOptOut controla a atualização automática de dispositivos através das atualizações cumulativas. Para os dispositivos em que a Microsoft observou dispositivos específicos a serem atualizados com êxito, serão considerados dispositivos de "alta confiança" e as atualizações de certificados de Arranque Seguro ocorrerão automaticamente. A predefinição é optar ativamente por participar.
-
A chave de registo MicrosoftUpdateManagedOptIn permite que os departamentos de TI optem ativamente por participar na implementação automática gerida pela Microsoft. Esta definição está desativada por predefinição e está a defini-la como 1 opt-in. Esta definição também requer que o dispositivo envie dados de diagnóstico opcionais.
Versões suportadas do Windows
Esta tabela divide ainda mais o suporte com base na chave de registo.
|
Chave |
Versões suportadas do Windows |
|
AvailableUpdates UEFICA2023Status UEFICA2023Error |
Todas as versões do Windows que suportam o Arranque Seguro (Windows Server 2012 e versões posteriores do Windows). Nota: Embora os dados de confiança sejam recolhidos no Windows 10, versões LTSC, 22H2 e versões posteriores do Windows, podem ser aplicados a dispositivos em execução em versões anteriores do Windows.
|
|
HighConfidenceOptOut |
|
|
MicrosoftUpdateManagedOptIn |
Eventos de erro de Arranque Seguro
Os eventos de erro têm uma função de relatório crítica para informar sobre o Estado e o progresso do Arranque Seguro. Para obter informações sobre os eventos de erro, veja Secure Boot DB and DBX variable update events (Eventos de atualização de variáveis DBX e Secure Boot). Os eventos de erro estão a ser atualizados com informações de evento adicionais para o Arranque Seguro.
Precisa de mais ajuda?
Quer mais opções?
Explore os benefícios da subscrição, navegue em cursos de formação, saiba como proteger o seu dispositivo e muito mais.
As comunidades ajudam-no a colocar e a responder perguntas, a dar feedback e a ouvir especialistas com conhecimentos abrangentes.
