Руководство по устранению неполадок безопасной загрузки

Применяется к
Windows 10, version 1607, all editions Win 10 Ent LTSB 2016 Win 10 IoT Ent LTSB 2016 Windows 10, version 1809, all editions Win 10 Ent LTSC 2019 Win 10 IoT Ent LTSC 2019 Windows 10 ESU Windows 10 Enterprise LTSC 2021 Windows 10 IoT Enterprise LTSC 2021 Windows 11 version 23H2, all editions Windows 11 version 24H2, all editions Windows 11 version 25H2, all editions Windows 11 version 26H1, all editions Windows Server 2016 Windows Server 2019 Windows Server 2022 Windows Server, version 23H2 Windows Server 2025

Примечание

  • Дата первоначальной публикации: 19 марта 2026 г.
  • Идентификатор базы знаний: 5085046

В этом разделе...

Обзор

Эта страница помогает администраторам и специалистам службы поддержки диагностировать и устранять проблемы, связанные с безопасной загрузкой, на устройствах с Windows. Темы включают сбои обновления сертификата безопасной загрузки, неправильные состояния безопасной загрузки, неожиданные запросы на восстановление BitLocker и сбои загрузки, следующие за изменениями конфигурации безопасной загрузки.

В этом руководстве описано, как проверить обслуживание и конфигурацию Windows, просмотреть соответствующие значения реестра и журналы событий, а также определить, когда ограничения встроенного ПО или платформы требуют обновления OEM. Это содержимое предназначено для диагностики проблем на существующих устройствах. Она не предназначена для планирования новых развертываний. Этот документ будет обновляться по мере определения новых сценариев и рекомендаций по устранению неполадок.

к началу

Как работает обслуживание сертификатов безопасной загрузки

Обслуживание сертификатов безопасной загрузки в Windows — это скоординированный процесс операционной системы и встроенного ПО UEFI устройства. Цель состоит в том, чтобы обновить критически важные якоря доверия с сохранением возможности загрузки на каждом этапе.

Этот процесс управляется запланированной задачей Windows, последовательностью действий обновления на основе реестра, встроенным поведением ведения журнала и повторных попыток. Вместе эти компоненты обеспечивают контролируемое, упорядоченное обновление сертификатов безопасной загрузки и диспетчера загрузки Windows только после успешного выполнения необходимых действий.

к началу

С чего начать устранение неполадок

Если устройство не демонстрирует ожидаемых результатов при применении обновлений сертификата безопасной загрузки, начните с определения категории проблемы. Большинство проблем относятся к одной из четырех областей: состояние обслуживания Windows, механизм обновления безопасной загрузки, поведение встроенного ПО, ограничения платформы или изготовителя оборудования.

Начните с проверок ниже в указанном порядке. Во многих случаях этих шагов достаточно, чтобы объяснить наблюдаемое поведение и определить дальнейшие действия без более глубокого исследования.

  1. Подтвердите обслуживание Windows и соответствие платформы требованиям

    1. Убедитесь, что устройство соответствует базовым требованиям для получения обновлений сертификата безопасной загрузки:
    2. На устройстве установлена поддерживаемая версия Windows.
    3. Установлены последние необходимые обновления для системы безопасности Windows.
    4. Безопасная загрузка включена во встроенном ПО UEFI.
    5. Если какое-либо из этих условий не выполняется, устраните их, прежде чем продолжить дальнейшее устранение неполадок.

  2. Проверка состояния задачи Secure-Boot-Update

    1. Убедитесь, что механизм Windows, отвечающий за применение обновлений сертификатов безопасной загрузки, присутствует и работает:
    2. Существует запланированная задача Secure-Boot-Update.
    3. Задача включена и выполняется как локальная система.
    4. Эта задача выполнялась по крайней мере один раз с момента установки последнего обновления системы безопасности Windows.
    5. Если задача отключена, удалена или не выполняется, обновления сертификата безопасной загрузки не могут быть применены. При устранении неполадок следует сосредоточиться на восстановлении задачи, прежде чем исследовать другие причины.

  3. Проверьте параметры реестра для ожидаемого прогресса
    Проверьте состояние обслуживания безопасной загрузки устройства в реестре:

    1. Изучите UEFICA2023Status, UEFICA2023Error и UEFICA2023ErrorEvent.
    2. Изучите AvailableUpdates и сравните его с ожидаемой прогрессией (см. Справочные материалы и внутреннее руководство).

    Вместе эти значения указывают, идет ли обслуживание нормально, повторяется ли операция или на определенном этапе остановлено.

  4. Сопоставление состояния реестра с событиями безопасной загрузки
    Просмотр событий, связанных с безопасной загрузкой, в журнале системных событий и сопоставление их с состоянием реестра. Данные событий обычно подтверждают, выполняет ли устройство дальнейшее выполнение вперед, повторяет ли попытку из-за переходного состояния или заблокирован из-за проблем со встроенным ПО либо платформой.
    Вместе реестр и журналы событий обычно указывают, является ли поведение ожидаемым, временным или требует корректирующих действий.

к началу

Безопасная загрузка — обновление запланированной задачи

Обслуживание сертификатов безопасной загрузки реализуется с помощью запланированной задачи Windows с именем Secure-Boot-Update. Задача регистрируется по следующему пути:

Примечание

\Microsoft\Windows\PI\Secure-Boot-Update

Задача выполняется как локальная система. По умолчанию она запускается при запуске системы и каждые 12 часов после этого. При каждом запуске он проверяет, находятся ли ожидающие обновления безопасной загрузки, и пытается применить их последовательно.

Если эта задача отключена или отсутствует, обновления сертификата безопасной загрузки не могут быть применены. Задача Secure-Boot-Update должна оставаться включенной, чтобы обслуживание безопасной загрузки работало.

к началу

Зачем нужна запланированная задача

Обновления сертификатов безопасной загрузки требуют координации между Windows и встроенным ПО UEFI, включая запись переменных UEFI, в которых хранятся ключи и сертификаты безопасной загрузки. Запланированная задача позволяет Windows попытаться выполнить эти обновления, когда система находится в состоянии, в котором переменные встроенного ПО могут быть изменены.

Повторяющееся 12-часовое расписание предоставляет дополнительные возможности для повторных попыток установки обновлений, если предыдущая попытка завершилась сбоем или если устройство оставалось включенным без перезапуска. Такая конструкция помогает обеспечить продвижение вперед без необходимости ручного вмешательства.

к началу

Битовая маска реестра AvailableUpdates

Задача Secure-Boot-Update управляется значением реестра AvailableUpdates . Это значение представляет собой 32-битовую маску, расположенную в точке:

Примечание

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecureBoot

Каждый бит в значении представляет определенное действие обновления безопасной загрузки. Процесс обновления начинается, когда параметру AvailableUpdates автоматически или явно устанавливается администратором значение. Например, такое значение, как 0x5944 , указывает, что ожидается несколько действий по обновлению.

Когда выполняется задача Secure-Boot-Update, она интерпретирует заданные биты как ожидающие работы и обрабатывает их в определенном порядке.

к началу

Поведение последовательных обновлений, ведения журнала и повторной попытки

Обновления сертификата безопасной загрузки применяются в фиксированном порядке. Каждое действие обновления разработано таким образом, чтобы его можно было безопасно повторить, и оно выполняется независимо. Задача Secure-Boot-Update не переходит к следующему шагу, пока текущее действие не будет выполнено успешно и соответствующий бит не будет очищен из AvailableUpdates.

Каждая операция использует стандартные интерфейсы UEFI для обновления переменных безопасной загрузки, таких как DB и KEK, или для установки обновленного диспетчера загрузки Windows. Windows записывает результат каждого шага в журнал системных событий. События успеха подтверждают ход выполнения, а события сбоя указывают, почему действие не может быть завершено.

При сбое этапа обновления задача прекращает обработку, регистрирует ошибку и оставляет соответствующий бит установленным. Операция будет повторена при следующем выполнении задачи. Это поведение повторной попытки позволяет устройствам автоматически восстанавливаться после временных условий, таких как отсутствие поддержки встроенного ПО или задержка обновлений OEM.

Администраторы могут отслеживать ход выполнения, сопоставляя состояние реестра с записями журнала событий. Значения реестра, такие как UEFICA2023Status, UEFICA2023Error и UEFICA2023ErrorEvent, вместе с битовой маской AvailableUpdates указывают, какой шаг активен, завершен или заблокирован.

Это сочетание показывает, идет ли устройство нормально, повторяет операцию или зависло.

к началу

Интеграция с OEM-прошивкой

Обновления сертификата безопасной загрузки зависят от корректного поведения и поддержки во встроенном ПО UEFI устройства. Хотя Windows управляет процессом обновления, встроенное ПО отвечает за применение политики безопасной загрузки и обслуживание баз данных безопасной загрузки.

Изготовители оборудования предоставляют два критически важных элемента, обеспечивающих обслуживание сертификатов безопасной загрузки:

  • Ключи обмена ключами платформы, подписанные ключами (KEK), позволяющие устанавливать новые сертификаты безопасной загрузки.
  • Реализации встроенного ПО, которые правильно сохраняют, добавляют и проверяют базы данных безопасной загрузки во время обновлений.

Если встроенное ПО не полностью поддерживает такое поведение, обновления безопасной загрузки могут зависнуть, повторяться в течение неограниченного времени или приводить к сбоям загрузки. В таких случаях Windows не сможет завершить обновление без изменений во встроенном ПО.

Корпорация Майкрософт сотрудничает с изготовителями оборудования для выявления проблем со встроенным ПО и предоставления исправленных обновлений. Если устранение неполадок указывает на ограничение или дефект встроенного ПО, администраторам может потребоваться установить последнее обновление встроенного ПО UEFI, предоставленное производителем устройства, чтобы успешно завершить обновление сертификата безопасной загрузки.

к началу

Распространенные сценарии сбоев и способы их разрешения

Обновления безопасной загрузки применяются запланированной задачей Secure-Boot-Update на основе состояния реестра AvailableUpdates .

В обычных условиях эти действия выполняются автоматически и регистрируют события успеха по мере завершения каждого этапа. В некоторых случаях поведение встроенного ПО, конфигурация платформы или необходимые условия обслуживания могут помешать ходу выполнения или привести к неожиданному поведению при загрузке.

В разделах ниже описаны наиболее распространенные сценарии отказов, способы их распознавания, причины их возникновения, а также соответствующие дальнейшие действия для восстановления нормальной работы. Сценарии упорядочены от наиболее часто встречающихся до более серьезных случаев, влияющих на загрузку.

Обновления безопасной загрузки не применяются (ход выполнения отсутствует)

Если обновления безопасной загрузки не показывают хода выполнения, это обычно означает, что процесс обновления никогда не запускался. В результате ожидаемые значения реестра безопасной загрузки и журналы событий отсутствуют, так как механизм обновления никогда не запускался.

Что произошло

Процесс обновления безопасной загрузки не запустился, поэтому к устройству не были применены сертификаты безопасной загрузки или обновленный диспетчер загрузки.

Как распознать

  • Значения реестра для обслуживания безопасной загрузки отсутствуют, например UEFICA2023Status.
  • Ожидаемые события безопасной загрузки (например, 1043, 1044, 1045, 1799, 1801) отсутствуют в журнале системных событий.
  • Устройство продолжает использовать старые сертификаты безопасной загрузки и компоненты загрузки.

Причины

Этот сценарий обычно возникает, если выполняются одно или несколько из следующих условий:

  • Запланированная задача Secure-Boot-Update отключена или отсутствует.
  • Безопасная загрузка отключена во встроенном ПО UEFI.
  • Устройство не соответствует требованиям обслуживания Windows, таким как запуск поддерживаемой версии Windows или установка необходимых обновлений.

Дальнейшие действия

  • Убедитесь, что устройство соответствует требованиям обслуживания Windows и подходящей платформе.
  • Убедитесь, что безопасная загрузка включена во встроенном ПО.
  • Убедитесь, что запланированная задача SecureBootUpdate существует и включена.

Если запланированная задача отключена или отсутствует, выполните инструкции в разделе "Безопасная загрузка: запланированная задача отключена или удалена ", чтобы восстановить ее. После восстановления задачи перезапустите устройство или запустите задачу вручную, чтобы запустить обслуживание безопасной загрузки.

Устройство загружается в режим восстановления BitLocker после обновления безопасной загрузки

В некоторых случаях обновления, связанные с безопасной загрузкой, могут привести к тому, что устройство перейдет в режим восстановления BitLocker. Поведение может быть временным или постоянным, в зависимости от основной причины.

Сценарий 1. Однократное восстановление BitLocker после обновления безопасной загрузки

Что происходит

Устройство входит в систему восстановления BitLocker при первой загрузке после обновления безопасной загрузки, но при последующих перезапусках загружается нормально.

Причины

Во время первой загрузки после обновления встроенное ПО еще не сообщает обновленные значения безопасной загрузки, когда Windows пытается повторно запечатать BitLocker. Это вызывает временное несоответствие измеренных значений загрузки и запускает восстановление. При следующей загрузке встроенное ПО правильно сообщает обновленные значения, BitLocker успешно повторно запечатывается, и проблема больше не возникает.

Как распознать

  • Восстановление BitLocker выполняется один раз.
  • После ввода ключа восстановления последующие загрузки не предлагают восстановление.
  • Отсутствует текущий порядок загрузки или участия PXE.

Дальнейшие действия

  • Введите ключ восстановления BitLocker, чтобы возобновить работу Windows.
  • Проверьте наличие обновлений встроенного ПО.

Сценарий 2. Повторное восстановление BitLocker из-за настройки первой загрузки PXE

Что происходит

Устройство переходит в режим восстановления BitLocker при каждой загрузке.

Причины

Устройство настроено на первую попытку загрузки PXE (сети). Попытка загрузки PXE завершается сбоем, после чего встроенное ПО возвращается к диспетчеру загрузки Windows на диске.

Это приводит к измерению двух разных центров подписи в течение одного цикла загрузки:

  • Путь загрузки PXE подписан сертификатом Microsoft UEFI CA 2011.
  • Диспетчер загрузки Windows на диске подписан сертификатом ЦС UEFI Windows 2023.

Так как BitLocker наблюдает разные цепочки доверия безопасной загрузки во время запуска, он не может установить устойчивый набор замеров TPM для повторного запечатывания. В результате BitLocker входит в систему восстановления при каждой загрузке.

Как распознать

  • Восстановление BitLocker запускается при каждом перезапуске.
  • После ввода ключа восстановления Windows запускается, но запрос появляется снова при следующей загрузке.
  • Загрузка PXE или по сети настраивается перед локальным диском в порядке загрузки встроенного ПО.

Дальнейшие действия

  • Настройте порядок загрузки встроенного ПО, чтобы диспетчер загрузки Windows на диске был первым.
  • Отключите загрузку PXE, если она не требуется.
  • Если требуется PXE, убедитесь, что инфраструктура PXE использует загрузчик Windows, подписанный 2023 годом.
Устройство не загружается после сброса безопасной загрузки

Что произошло

Это отражает изменение на уровне встроенного ПО, а не проблему Windows. Обновление безопасной загрузки было успешно завершено, но после последующего перезапуска устройство больше не загружается в Windows.

Как распознать

  • Устройство не загружает Windows и может отображать сообщение встроенного ПО или BIOS, указывающее на нарушение безопасной загрузки.
  • Сбой происходит после сброса параметров безопасной загрузки до значений по умолчанию встроенного ПО.
  • Отключение безопасной загрузки может позволить устройству загрузиться снова.

Причины

Сброс безопасной загрузки до значений по умолчанию во встроенном ПО приводит к очистке баз данных безопасной загрузки, хранящихся во встроенном ПО. На устройствах, которые уже перешли на диспетчер загрузки, подписанный Windows UEFI CA 2023, при этом сбрасываются сертификаты, необходимые для доверия этому диспетчеру загрузки.

В результате встроенное ПО больше не распознает установленный диспетчер загрузки Windows как доверенный и блокирует процесс загрузки.

Этот сценарий вызван не самим обновлением безопасной загрузки, а последующим действием встроенного ПО, которое удаляет обновленные якоря доверия.

Дальнейшие действия

  • Используйте служебную программу восстановления безопасной загрузки для восстановления необходимого сертификата, чтобы устройство могло загрузиться снова.
  • После восстановления убедитесь, что на устройстве установлена последняя доступная версия встроенного ПО от производителя устройства.
  • Не сбрасывайте безопасную загрузку до значений по умолчанию для встроенного ПО, если только встроенное ПО OEM не содержит обновленные параметры безопасной загрузки по умолчанию, которые доверяют сертификатам 2023 года.

Служебная программа восстановления безопасной загрузки

Восстановление системы:

  1. На втором компьютере с Windows с установленным обновлением Windows за июль 2024 г. или более поздним сроком действия скопируйте файл SecureBootRecovery.efi из каталога C:\Windows\Boot\EFI\.
  2. Поместите файл на USB-накопитель с файловой системой FAT32 в раздел \EFI\BOOT\ и переименуйте его в bootx64.efi.
  3. Загрузите затронутое устройство с USB-накопителя и разрешите запустить служебную программу восстановления. Утилита добавит в базу данных Windows UEFI CA 2023.

После восстановления сертификата и перезапуска системы Windows должна запуститься в обычном режиме.

Важно! Этот процесс повторно применит только один из новых сертификатов. После восстановления устройства убедитесь, что на него повторно применены последние сертификаты, и подумайте об обновлении BIOS/UEFI системы до последней доступной версии. Это поможет предотвратить повторение проблемы сброса параметров безопасной загрузки, так как многие изготовители оборудования выпустили исправления встроенного ПО для этой конкретной проблемы.

Устройство не может загрузиться после обновления безопасной загрузки из-за перезаписи базы данных встроенным ПО

Что произошло

После применения обновления сертификата безопасной загрузки и перезапуска устройство не загружается и не достигает Windows.

Как распознать

  • Устройство дает сбой сразу после перезапуска, необходимого для обновления безопасной загрузки.
  • Может отображаться ошибка встроенного ПО или безопасной загрузки, либо система может остановиться до загрузки Windows.
  • Отключение безопасной загрузки может позволить устройству загрузиться.

Причины

Эта проблема может быть вызвана дефектом в реализации прошивки UEFI устройства.

Когда Windows применяет обновления сертификатов безопасной загрузки, ожидается, что встроенное ПО добавит новые сертификаты в существующую базу данных подписей (БД) разрешенной безопасной загрузки. Некоторые реализации встроенного ПО неправильно перезаписывают базу данных, а не добавляют в нее.

В этом случае

  • Ранее доверенные сертификаты, в том числе сертификат загрузчика Microsoft 2011, удаляются.
  • Если в этот момент система все еще использует диспетчер загрузки, подписанный сертификатом 2011, встроенное ПО больше не доверяет ему.
  • Встроенное ПО отклоняет диспетчер загрузки и блокирует процесс загрузки.

В некоторых случаях база данных может также быть повреждена, а не перезаписана, что приводит к тому же результату. Такое поведение наблюдалось в определенных реализациях встроенного ПО и не ожидается в соответствующем встроенном ПО.

Дальнейшие действия

  • Войдите в меню настройки встроенного ПО и попытайтесь сбросить параметры безопасной загрузки.
  • Если устройство загружается после сброса, проверка сайт поддержки производителя устройства для обновления встроенного ПО, которое исправит работу с безопасной загрузкой DB.
  • Если доступно обновление встроенного ПО, установите его перед повторным включением безопасной загрузки и повторным применением обновлений сертификата безопасной загрузки.

Если сброс безопасной загрузки не восстанавливает функциональность загрузки, для дальнейшего восстановления, вероятно, требуются инструкции для конкретного изготовителя оборудования.

Обновление безопасной загрузки заблокировано из-за отсутствия ключа kek, подписанного OEM-производителем

Что произошло

Обновление сертификата безопасной загрузки не завершено и остается заблокированным на этапе обновления ключа обмена ключами (KEK).

Как распознать

  • Значение реестра AvailableUpdates остается установленным с битом KEK (0x0004) и не очищается.
  • UEFICA2023Status не переходит в состояние завершения.
  • В журнале системных событий постоянно записывается событие с кодом 1803, что указывает на то, что обновление KEK применить не удалось.
  • Устройство продолжает повторять попытку обновления без дальнейших действий.

Причины

Для обновления ключа безопасной загрузки требуется авторизация с помощью ключа платформы (PK) устройства, владельцем которого является OEM.

Для успешного обновления изготовитель устройства должен предоставить Майкрософт ключ KEK с подписью PK для этой конкретной платформы. Этот подписанный изготовителем оборудования ключ KEK входит в состав обновлений Windows и позволяет Windows обновлять переменную KEK встроенного ПО.

Если изготовитель оборудования не предоставил для устройства KEK с подписью PK, Windows не сможет завершить обновление KEK. В этом состоянии:

  • Обновления безопасной загрузки блокируются по умолчанию.
  • Windows не может обойти отсутствующую авторизацию.
  • Устройство может навсегда остаться неспособным завершить обслуживание сертификата безопасной загрузки.

Это может произойти на старых или неподдерживаемых устройствах, если изготовитель оборудования больше не предоставляет обновления встроенного ПО или ключей. Для этого состояния не существует поддерживаемого ручного пути восстановления.

к началу

События обновления сертификата безопасной загрузки и индикаторы сбоев

Если обновления сертификата безопасной загрузки не применяются, Windows записывает события диагностики, объясняющие, почему ход выполнения был заблокирован. Эти события записываются, когда невозможно безопасно обновить базу данных сигнатур (DB) безопасной загрузки или ключ обмена ключами (KEK) из-за встроенного ПО, состояния платформы или условий конфигурации. Сценарии, описанные в этом разделе, ссылаются на эти события, чтобы выявить распространенные шаблоны сбоев и определить соответствующие меры по их устранению. Этот раздел предназначен для поддержки диагностики и интерпретации проблем, описанных ранее, а не для введения новых сценариев сбоев.

Полный список идентификаторов событий, описаний и примеров записей см. в разделе События обновления переменных DB безопасной загрузки и DBX (KB5016061).

Сбой обновления KEK (обновление базы данных успешно, KEK — нет)

Устройство может успешно обновлять сертификаты в базе данных безопасной загрузки, но не обновлять KEK. В этом случае процесс обновления безопасной загрузки не может быть завершен.

Симптомы

  • События сертификата базы данных указывают на ход выполнения, но этап KEK не завершен.
  • Для параметра AvailableUpdates остается значение 0x4004, и 0x0004 бит не очищается после нескольких запусков задачи.
  • Событие 1795 или 1803 может присутствовать.

Устный перевод

  • Число 1795 обычно указывает на сбой встроенного ПО при попытке обновить переменную безопасной загрузки.
  • 1803 указывает на то, что обновление KEK не может быть авторизовано, так как для платформы недоступны необходимые полезные данные KEK, подписанные первичным ключом изготовителя оборудования.

Дальнейшие действия

  • Для версии 1795 проведите проверку обновлений встроенного ПО OEM и проверьте поддержку встроенного ПО для обновлений переменных безопасной загрузки.
  • Для версии 1803 убедитесь, что изготовитель оборудования предоставил корпорации Майкрософт требуемый ключ KEK с подписью ключа ключевого ключа для модели устройства.

Ошибка обновления KEK на гостевых виртуальных машинах, размещенных в Hyper-V

На виртуальных машинах Hyper-V обновления сертификата безопасной загрузки требуют установки обновлений Windows от марта 2026 г. как на узле Hyper-V, так и в гостевой ОС.

Отчеты о сбоях обновления поступают из среды гостевого доступа, но в событии указывается, в каких случаях требуется исправление:

  • Событие 1795 (например, "Носитель защищен для записи"), отправляемое в гостевую команду, указывает, что на узле Hyper-V отсутствует обновление за март 2026 г. и его необходимо обновить.
  • Событие 1803 , о котором сообщается в гостевой системе, указывает на то, что на самой гостевой виртуальной машине отсутствует обновление за март 2026 г. и ее необходимо обновить.

к началу

Ссылка и внутреннее устройство

В этом разделе содержатся дополнительные справочные сведения, предназначенные для диагностики и устранения неполадок и оказания технической поддержки. Он не предназначен для планирования развертывания. Он расширяет ранее обобщенную механику обслуживания безопасной загрузки и предоставляет подробные справочные материалы для интерпретации состояния реестра и журналов событий.

Примечание (развертывания, управляемые ИТ-отделом). При настройке с помощью групповой политики или Microsoft Intune не следует путать два схожих параметра. Значение AvailableUpdatesPolicy представляет настроенное состояние политики. Между тем, AvailableUpdates отображает текущее состояние работы по очистке битов. Оба могут привести к одному и тому же результату, но ведут себя по-разному, потому что политика применяется повторно с течением времени.

к началу

Биты AvailableUpdates, используемые для обслуживания сертификатов

Эти фрагменты используются для действий диспетчера сертификатов и загрузки, описанных в этом документе. Столбец «Порядок » отражает последовательность, в которой задача «Безопасная загрузка-обновление» обрабатывает каждый бит.

Порядок Параметр битов Использование
1 0x0040 Этот бит сообщает запланированной задаче добавить сертификат Windows UEFI CA 2023 в базу данных безопасной загрузки. Это позволяет Windows доверять диспетчерам загрузки, подписанным этим сертификатом.
2 0x0800 Этот бит сообщает запланированной задаче применить Microsoft Option ROM UEFI CA 2023 к базе данных.
Условное поведение: если установлен флаг 0x4000, запланированная задача сначала проверка базе данных для сертификата UEFI CA корпорации Microsoft 2011. Он будет применять сертификат Microsoft Option ROM UEFI CA 2023только при наличии сертификата 2011.
3 0x1000 Этот бит сообщает запланированной задаче применить Microsoft UEFI CA 2023 к базе данных.
Условное поведение: если установлен флаг 0x4000, запланированная задача сначала проверка базе данных для сертификата UEFI CA корпорации Microsoft 2011. Он будет применять сертификат Microsoft UEFI CA 2023только при наличии сертификата 2011.
Модификатор (флаг поведения) 0x4000 Этот бит изменяет поведение 0x0800 и 0x1000 битов таким образом, что Microsoft UEFI CA 2023 и Microsoft Option ROM UEFI CA 2023 применяются только в том случае, если база данных уже содержит Microsoft Corporation UEFI CA 2011.

Чтобы гарантировать неизменность профиля безопасности устройства, этот бит применяет эти новые сертификаты только в том случае, если устройство доверяет сертификату UEFI CA корпорации Майкрософт 2011. Не все устройства с Windows доверяют этому сертификату.
4 0x0004 Этот бит сообщает запланированной задаче искать ключ для обмена ключами, подписанный ключом платформы устройства (PK). Ключ к загрузке управляется изготовителем оборудования. Изготовители оборудования подписывают Microsoft KEK с помощью ключа пользователя и доставляют его в Майкрософт, где он включается в ежемесячные накопительные обновления.
5 0x0100 Этот бит сообщает запланированной задаче применить диспетчер загрузки, подписанный сертификатом Windows UEFI CA 2023, к загрузочному разделу. Он заменит подписанный диспетчер загрузки Microsoft Windows Production PCA 2011 .

Примечания.

  • Бит 0x4000 останется заданным после обработки всех остальных битов.
  • Каждый бит обрабатывается запланированной задачей Secure-Boot-Update в порядке, показанном выше.
  • Если бит 0x0004 не может быть обработан из-за отсутствующего ключа ключа, подписанного PK, запланированная задача все равно применит обновление диспетчера загрузки, указанное битом 0x0100.

к началу

Ожидаемый прогресс (AvailableUpdates)

При успешном завершении операции Windows удаляет соответствующий бит из AvailableUpdates. В случае сбоя операции Windows регистрирует событие и повторяет попытку при повторном выполнении задачи.

В таблице ниже показано ожидаемое изменение значений AvailableUpdates по мере завершения каждого действия обновления безопасной загрузки.

Шаг Бит обработан Доступные обновления Описание Регистрация события успеха Возможные коды событий ошибок
Начать 0x5944 Начальное состояние до начала обслуживания сертификатов безопасной загрузки. - -
1 0x0040 0x5944 → 0x5904 Windows UEFI CA 2023 добавлен в базу данных безопасной загрузки. 1036 1032, 1795, 1796, 1802
2 0x0800 0x5904 → 0x5104 Добавьте Microsoft Option ROM UEFI CA 2023 в базу данных, если устройство ранее доверяло Microsoft UEFI CA 2011. 1044 1032, 1795, 1796, 1802
3 0x1000 0x5104 → 0x4104 Microsoft UEFI CA 2023 добавляется в базу данных, если устройство ранее доверяло Microsoft UEFI CA 2011. 1045 1032, 1795, 1796, 1802
4 0x0004 0x4104 → 0x4100 Применяется новый Microsoft KEK 2K CA 2023, подписанный ключом платформы OEM. 1043 1032, 1795, 1796, 1802, 1803
5 0x0100 0x4100 → 0x4000 Диспетчер загрузки с подписью Windows UEFI CA 2023 установлен. 1799 1797

Примечания

  • После успешного завершения операции, связанной с битом, этот бит удаляется из AvailableUpdates.
  • Если одна из этих операций завершается сбоем, событие регистрируется в журнале и операция повторяется при следующем запуске запланированной задачи.
  • Бит 0x4000 является модификатором и не очищается. Последнее значение AvailableUpdates 0x4000 указывает на успешное завершение всех применимых действий по обновлению.
  • События 1032, 1795, 1796, 1802 обычно указывают ограничения встроенного ПО или платформы.
  • Событие 1803 указывает на отсутствие ключа KEK с подписью PK изготовителя оборудования.

к началу

Процедуры устранения последствий

В этом разделе представлены пошаговые процедуры устранения определенных проблем с безопасной загрузкой. Каждая процедура ограничена четко определенным состоянием и предназначена для выполнения только после того, как первоначальная диагностика подтвердит, что проблема актуальна. Используйте эти процедуры, чтобы восстановить ожидаемое поведение безопасной загрузки и безопасно продолжить обновление сертификата. Не применяйте эти процедуры широко или превентивно.

к началу

Включение безопасной загрузки во встроенном ПО

Если безопасная загрузка отключена во встроенном ПО устройства, см. раздел Windows 11 и безопасная загрузка для получения подробной информации о включении безопасной загрузки.

к началу

Безопасная загрузка: запланированная задача отключена или удалена

Запланированная задача Secure-Boot-Update требуется Windows для применения обновлений сертификатов безопасной загрузки. Если задача отключена или отсутствует, обслуживание сертификатов безопасной загрузки не выполняется.

Сведения о задаче

Имя задачи Безопасная загрузка — Update
Путь к задаче \Microsoft\Windows\PI\
Полный путь \Microsoft\Windows\PI\Secure-Boot-Update
Работает как SYSTEM (локальная система)
Триггеры При запуске и каждые 12 часов
Требуемое состояние Включено

Проверка состояния задачи

Запуск из командной строки PowerShell с повышенными привилегиями:
schtasks.exe /query /TN "\Microsoft\Windows\PI\Secure-Boot-Update" /FO LIST /V

Найдите поле "Состояние ":

Состояние Значение
Готов Задача существует и включена.
Disabled Задача существует, но должна быть включена.
Ошибка / не найдено Задача отсутствует и должна быть создана заново.

Как включить или повторно создать задачу

Если поле состояния для Secure-Boot-Update имеет значение "Отключено", "Ошибка" или "Не найдено", используйте пример сценария, чтобы включить задачу: Пример Enable-SecureBootUpdateTask.ps1

Примечание. Это пример сценария, он не поддерживается корпорацией Майкрософт. Администраторам следует проверить и адаптировать его к своей среде.

Пример:

Примечание

.\Enable-SecureBootUpdateTask.ps1 -Quiet

Руководство по запуску

  • Если вам отказано в доступе, перезапустите PowerShell от имени администратора.
  • Если сценарий не запускается из-за политики выполнения, используйте обход области процесса:

Примечание

Set-ExecutionPolicy -Scope Process -ExecutionPolicy Bypass

к началу