Actualizări de chei de registry pentru Bootare sigură: dispozitive Windows cu actualizări gestionate de IT

Chei de registry

Toate cheile de registry Secure Boot descrise în acest document se află sub această cale de registry: 

Următorul tabel descrie fiecare dintre valorile de registry. 

Cum funcționează împreună aceste taste

Administratorul IT configurează valoarea de registry AvailableUpdates pentru a 0x5944, ceea ce semnalează Windows să execute actualizarea și instalarea cheii Secure Boot pe dispozitiv.

Pe măsură ce procesul rulează, sistemul actualizează UEFICA2023Status de la NotStarted la InProgress și, în cele din urmă, la Actualizat după succes. Deoarece fiecare bit din 0x5944 este procesat cu succes, este șters.

Dacă vreun pas nu reușește, un cod de eroare este înregistrat în UEFICA2023Error (iar starea rămâne InProgress).

Acest mecanism oferă administratorilor o modalitate clară de a declanșa și a urmări implementarea fiecărui dispozitiv. 

Implementare utilizând chei de registry 

Implementarea pentru un grup de dispozitive constă din următorii pași: 

1. Setați valoarea de registry AvailableUpdates pentru a 0x5944 pe fiecare dintre dispozitivele care vor fi actualizate.

2. Monitorizați cheile de registry UEFICA2023Status și UEFICA2023Error pentru a vedea că dispozitivele progresează. Rețineți că activitatea care procesează aceste actualizări rulează o dată la fiecare 12 ore. Rețineți că actualizarea managerului de boot poate avea loc abia după ce are loc o repornire.

3. Investigați problemele dacă apar. Dacă UEFICA2023Eroare nu este zero pe un dispozitiv, puteți verifica jurnalul de evenimente pentru evenimente legate de această problemă. Consultați Evenimentele de actualizare a variabilei Secure Boot DB și DBX pentru o listă completă de evenimente secure Boot.

Notă despre reporniri: Deși poate fi necesară o repornire pentru a finaliza procesul, inițierea implementării actualizărilor secure boot nu va provoca o repornire. Dacă este necesară o repornire, implementarea Bootării securizate se bazează pe reporniri care au loc ca un curs normal de utilizare a dispozitivului. 

Testarea dispozitivului utilizând chei de registry 

Atunci când testați dispozitive individuale pentru a vă asigura că dispozitivele vor procesa corect actualizările, cheile de registry pot fi o modalitate simplă de a testa. 

Pentru a testa, rulați fiecare dintre următoarele comenzi separat de o solicitare PowerShell administrator: 

Prima comandă inițiază implementarea managerului de certificate și de boot pe dispozitiv. A doua comandă face ca activitatea care procesează cheia de registry AvailableUpdates să ruleze imediat. În mod normal, activitatea rulează la fiecare 12 ore. 

Puteți găsi rezultatele observând cheile de registry UEFICA2023Status și UEFICA2023Error și jurnalele de evenimente, așa cum este descris în evenimentele de actualizare a variabilelor Secure Boot DB și DBX. 

Opt-in and opt-out for assists 

Cheile de registry HighConfidenceOptOut și MicrosoftUpdateManagedOptIn pot fi utilizate pentru a gestiona cele două "asistări" de implementare descrise în dispozitivele Windows cu actualizări gestionate de IT. 

• Cheia de registry HighConfidenceOptOut controlează actualizarea automată a dispozitivelor prin intermediul actualizărilor cumulative. Pentru dispozitivele pe care Microsoft a observat actualizarea cu succes a anumitor dispozitive, acestea vor fi considerate dispozitive "de mare încredere", iar actualizările certificatului de bootare securizată vor avea loc automat. Setarea implicită pentru această opțiune a optat.

• Cheia de registry MicrosoftUpdateManagedOptIn permite departamentelor IT să opteze pentru implementarea automată gestionată de Microsoft. Această setare este dezactivată în mod implicit și o setează la 1 opțiune de înscriere. Această setare necesită, de asemenea, ca dispozitivul să trimită date de diagnosticare opționale.

Versiuni acceptate de Windows

Acest tabel împarte și mai mult asistența pe baza cheii de registry. 

Modificări TPMTasks 

Modificați TPMTasks pentru a determina dacă starea dispozitivului are certificatele secure boot actualizate. În prezent, se poate face această determinare, dar numai în cazul în care CFR selectează o mașină de actualizare. Această determinare și înregistrarea ulterioară în jurnal ar trebui să aibă loc în fiecare sesiune de boot, indiferent de CFR. În cazul în care certificatele Secure Boot nu sunt complet actualizate, atunci vor emite cele două evenimente de eroare descrise mai sus. Dacă certificatele sunt actualizate, atunci vor emite evenimentul Informații. Certificatele Secure Boot care vor fi verificate sunt:  

• Windows UEFI CA 2023

• Microsoft UEFI CA 2023 și Microsoft Option ROM UEFI CA 2023 – Aceste două cae trebuie să fie prezente doar dacă Microsoft UEFI CA 2011 este prezent. Dacă Microsoft UEFI CA 2011 nu este prezent, atunci nu este necesară nicio verificare.

• Microsoft Corporation KEK 2K CA 2023

Eveniment metadate mașină 

Acest eveniment va colecta metadatele computerului și va emite următorul eveniment:

• Eveniment BucketId + Evaluare de încredere   

Acest eveniment va utiliza meta-datele computerului pentru a găsi intrarea corespunzătoare în baza de date a computerelor (intrare bucket). Mașina va formata și va emite un eveniment cu aceste date, împreună cu orice informații de încredere cu privire la bucket. ​​​​​​​ 

Asistență pentru dispozitive cu încredere mare 

Pentru dispozitivele în bucketuri de mare încredere, se vor aplica automat certificatele secure Boot și managerul de boot semnat 2023.   

Actualizarea va fi declanșată în același timp cu generarea celor două evenimente de eroare, iar evenimentul BucketId + Evaluare de încredere include o evaluare de mare încredere.   

Renunțare

Pentru clienții care doresc să renunțe, o nouă cheie de registry va fi disponibilă după cum urmează: