Aktualizácie kľúčov databázy Registry pre zabezpečené spustenie: Zariadenia s Windowsom s aktualizáciami spravovanými IT

Tento článok obsahuje pokyny pre:

• Organizácie so zariadeniami s Windowsom a aktualizáciami spravovanými IT.

Zoznam zmien

Zmeniť dátum	Popis zmeny
Marec 20, 2026	Do prvej tabuľky v časti Kľúče databázy Registry bola pridaná hodnota AvailableUpdatesPolicy (Kľúče databázy Registry). Aktualizácia hodnoty databázy Registry WindowsUEFICA2023Capable "Popis a použitie" v druhej tabuľke v časti Kľúče databázy Registry.
Februára 20, 2026	Do článku boli pridané 3 nové kľúče databázy Registry - "UEFICA2023ErrorEvent", " BucketHash" & " ConfidenceLevel". Aktualizovali sme sekciu Dostupnosť tejto podpory.
Novembra 4, 2025	Na stránku bol pridaný ešte jeden kľúč databázy Registry. Oprava výkazu z "Napríklad, ak aktualizácia databázy dôveryhodných podpisov zlyhala z dôvodu problému s firmvérom, tento kľúč databázy Registry môže zobraziť kód chyby, ktorý možno priradiť k denníku udalostí alebo zdokumentovanému identifikátoru chyby v" a povedzme "Napríklad, ak aktualizácia databázy DB (databázy dôveryhodných podpisov) zlyhala z dôvodu problému s firmvérom, Tento kľúč databázy Registry môže zobrazovať kód chyby z firmvéru. Keď tento kľúč existuje a jeho hodnota nie je nulová, odporúčame vám hľadať udalosti zabezpečeného zavedenia systému v denníkoch udalostí systému Windows – ďalšie podrobnosti nájdete v (prepojenie)". Nižšie sme pridali dve samostatné cesty ku kľúčom databázy Registry
Novembra 11, 2025	Aktualizovali sme odsek v časti Testovanie zariadenia pomocou kľúčov databázy Registry o ďalšie informácie: Kľúč databázy Registry by sa mal rýchlo zmeniť na 0x4100. Reštartovanie a opätovné spustenie úlohy spôsobí aktualizáciu správcu zavádzania a 0x0100 AvailableUpdates. Ďalšie podrobnosti o správaní dostupných aktualizácií nájdete v téme Riešenie problémov." Aktualizujte text v sivom poli v časti Testovanie zariadenia pomocou kľúčov databázy Registry tak, aby ste mali dva ďalšie príkazy prostredia PowerShell V časti Kľúče databázy Registry bola hodnota databázy Registry – MicrosoftUpdateManagedOptIn – zmenená z hodnoty 1 – Explicitný súhlas na hodnotu 1 alebo ľubovoľná nenulová hodnota – Explicitný súhlas
Novembra 16, 2025	Aktualizovali sme obsah v časti Testovanie zariadenia pomocou kľúčov databázy Registry. Hodnota dostupnej aktualizácie bola zmenená z 0x0100 na 0x4000.

Obsah tohto článku

• Úvod
• Kľúče Secure Boot databázy Registry
• Udalosti chýb zabezpečeného zavedenia systému

Úvod

Tento dokument popisuje podporu nasadenia, správy a monitorovania aktualizácií certifikátov zabezpečeného zavedenia systému pomocou kľúčov databázy Registry systému Windows. Klávesy obsahujú nasledujúce funkcie:

• Jeden kľúč na spustenie nasadenia certifikátov a správcu spustenia v zariadení.
• Dva klávesy na monitorovanie stavu nasadenia.
• Dva klávesy na správu nastavení prihlásenia alebo vyjadrenia explicitného nesúhlasu pre dvoch dostupných asistencií pri nasadení.

Tieto kľúče databázy registry je možné nastaviť manuálne v zariadení alebo vzdialene prostredníctvom dostupného softvéru na správu vozového parku. Ďalšie spôsoby nasadenia, ako sú napríklad skupinová politika, Microsoft Intune a WinCS, sú popísané v článku Zariadenia s Windowsom pre podniky a organizácie s aktualizáciami spravovanými IT.

Kľúče Secure Boot databázy Registry

Obsah tejto časti

• Kľúče databázy Registry
• Ako tieto klávesy spolupracujú
• Nasadenie pomocou kľúčov databázy Registry
• Testovanie zariadenia s použitím kľúčov databázy Registry
• Prihlásenie a vyjadrenie explicitného nesúhlasu s asistenciou
• Podporované verzie Windowsu

Kľúče databázy Registry

Všetky kľúče Secure Boot popísané nižšie sa nachádzajú pod touto cestou databázy Registry:

Nasledujúca tabuľka popisuje jednotlivé hodnoty databázy Registry:

Hodnota databázy Registry	Typ	Popis a používanie
AvailableUpdates (Dostupné aktualizácie)	REG_DWORD (bitová maska)	Aktualizovať príznaky spúšťačov. Určuje, ktoré akcie aktualizácie zabezpečeného zavedenia systému sa majú v zariadení vykonať. Nastavením príslušného bitového poľa na tomto mieste sa iniciuje nasadenie nových certifikátov zabezpečeného zavedenia systému a súvisiacich aktualizácií. Pri podnikovom nasadení by malo byť nastavené na 0x5944 (šestnástkovo) – hodnotu, ktorá umožňuje všetky relevantné aktualizácie (pridanie nových certifikátov certifikačnej autority 2023, aktualizácia KEK a inštalácia nového správcu zavádzania). Nastavenie: 0 alebo not set – nevykoná sa žiadna aktualizácia kľúča Secure Boot. 0x5944 – nasaďte všetky potrebné certifikáty a aktualizujte PCA2023 podpísaného správcu spustenia.
HighConfidenceOptOut	REG_DWORD	Možnosť vyjadrenia explicitného nesúhlasu. Pre podniky, ktoré chcú explicitne nesúhlasiť s sektormi s vysokou spoľahlivosťou, ktoré sa automaticky použijú ako súčasť LCU. Ak chcete vyjadriť explicitný nesúhlas so sektormi s vysokou spoľahlivosťou, môžete tento kľúč nastaviť na nenulovú hodnotu. Nastavenia 0 alebo kľúč neexistuje – explicitný súhlas 1 – Odhlásiť sa
MicrosoftUpdateManagedOptIn	REG_DWORD	Možnosť explicitného súhlasu. Pre podniky, ktoré sa chcú prihlásiť na používanie služby Controlled Feature Rollout (CFR), známej aj ako Microsoft Managed. Okrem nastavenia tohto kľúča povoľte aj odosielanie požadovaných diagnostických údajov (pozrite si tému Konfigurácia diagnostických údajov systému Windows vo vašej organizácii). Nastavenia 0 alebo kľúč neexistuje – explicitný nesúhlas 1 alebo ľubovoľná nenulová hodnota – explicitný súhlas
AvailableUpdatesPolicy (DostupnéAktualizáciePolitiky)	REG_DWORD (bitová maska)	Len pre referenciu – tento kľúč neaktualizujte prostredníctvom databázy Registry. Tento kľúč používajú skupinová politika a služba Intune na oznamovanie akcií súvisiacich so zabezpečeným spustením Windowsu. Predstavuje politiku nastavenú službou Intune alebo skupinovou politikou.

Všetky kľúče Secure Boot popísané nižšie sa nachádzajú pod touto cestou databázy Registry:

Nasledujúca tabuľka popisuje jednotlivé hodnoty databázy Registry:

Hodnota databázy Registry	Typ	Popis a používanie
UEFICA2023Stav	REG_SZ (reťazec)	Indikátor stavu nasadenia. Odráža aktuálny stav aktualizácie kľúča Secure Boot v zariadení. Nastaví sa na jednu z nasledujúcich textových hodnôt: NotStarted: Aktualizácia ešte nie je spustená. Prebieha: Na aktualizácii aktívne prebieha. Aktualizované: Aktualizácia sa úspešne dokončila. Spočiatku je stav NotStarted. Po spustení aktualizácie sa zmení na InProgress a nakoniec na Updated po nasadení všetkých nových kľúčov a nového správcu spustenia. Ak sa vyskytne chyba, hodnota databázy Registry UEFICA2023Error je nastavená na nenulový kód.
UEFICA2023Error	REG_DWORD (kód)	Kód chyby (ak existuje). V prípade úspechu zostáva táto hodnota 0 . Ak proces aktualizácie narazí na chybu, UEFICA2023Error je nastavený na nenulový kód chyby zodpovedajúci prvej zistenej chybe. Táto chyba naznačuje, že aktualizácia Zabezpečeného zavedenia systému nebola úplne úspešná a môže vyžadovať preskúmanie alebo nápravu v tomto zariadení. Ak napríklad aktualizácia databázy dôveryhodných podpisov zlyhala z dôvodu problému s firmvérom, tento kľúč databázy Registry môže zobraziť kód chyby z firmvéru. Keď kľúč existuje a jeho hodnota je nenulová, odporúčame vám hľadať udalosti zabezpečeného zavedenia systému v denníku udalostí systému Windows – ďalšie podrobnosti nájdete v časti Udalosti aktualizácie premennej DB a DBX .
UEFICA2023ErrorEvent	REG_DWORD (kód)	UEFICA2023ErrorEvent určuje ID udalosti, ktoré Windows použil na nahlásenie chyby súvisiacej s aplikáciou aktualizácií Zabezpečeného spustenia Windows UEFI CA 2023. Táto hodnota koreluje s kľúčom databázy Registry UEFICA2023Error a naplní sa, keď sa tento kľúč nastaví, čo znamená, že pri pokuse o aktualizáciu Zabezpečeného spustenia sa v systéme Windows vyskytla chyba. Keď k tomu dôjde, systém Windows zaznamená príslušnú udalosť zabezpečeného zavedenia systému zdokumentovanú na verejnej stránke Secure Boot DB a udalosti aktualizácie premennej DBX, ktoré poskytujú ďalšie podrobnosti o tom, prečo nebolo možné aktualizáciu dokončiť a aká akcia môže byť potrebná.
WindowsS podporou UEFICA2023	REG_DWORD (kód)	Len pre informáciu – nepoužívajte tento kľúč pri získavaní stavu aktualizácií Zabezpečeného zavedenia systému. Namiesto toho použite kľúč UEFICA2023Status. Tento kľúč databázy Registry je určený pre scenáre obmedzeného nasadenia a neodporúča sa na všeobecné používanie. Platné hodnoty: 0 – alebo kľúč neexistuje – certifikát "Windows UEFI CA 2023" nie je v databáze 1 – Certifikát "Windows UEFI CA 2023" je v databáze 2 - Certifikát "Windows UEFI CA 2023" je v databáze a systém začína z 2023 podpísaného správcu spúšťania
BucketHash	REG_SZ (reťazec)	BucketHash identifikuje sektor nasadenia, ku ktorému je zariadenie priradené v rámci zavádzania certifikátu zabezpečeného zavedenia systému. Hodnota je hodnota hash odvodená od charakteristík zariadenia a používa sa na zoskupenie zariadení s podobnými atribútmi firmvéru a platformy pre čiastočné nasadenie a riadenie rizík. Ide o rovnakú hodnotu hash sektora, ktorá sa zobrazuje v udalostiach špecifických pre zariadenie zdokumentovaných na stránke Secure Boot DB a udalostí aktualizácie premennej DBX , čo umožňuje správcom korelovať stav databázy Registry s položkami denníka udalostí a pochopiť, na aké zariadenie sa zameriava počas procesu aktualizácie Zabezpečeného zavedenia systému.
Úroveň spoľahlivosti	REG_SZ (reťazec)	ConfidenceLevel označuje hodnotenie spoľahlivosti spojené s kontajnerom nasadenia zabezpečeného zavedenia systému v zariadení. Táto hodnota zodpovedá úrovni BucketConfidenceLevel, ktorú Windows priraďuje zariadeniu na základe pozorovaného správania aktualizácie v podobných konfiguráciách hardvéru a firmvéru. Rovnaká úroveň spoľahlivosti je zahrnutá v udalostiach špecifických pre zariadenie zdokumentovaných na stránke Secure Boot DB a udalostí aktualizácie premennej DBX , čo umožňuje správcom korelovať hodnotu databázy Registry s položkami denníka udalostí. Ďalšie podrobnosti o možných hodnotách pre tento kľúč nájdete v popise udalostí denníka udalostí pre konkrétne zariadenie.

Ako tieto klávesy spolupracujú

Správcovia IT nakonfigurujú hodnotu databázy Registry AvailableUpdates na 0x5944, ktorá signalizuje systému Windows, aby spustil aktualizáciu kľúča zabezpečeného spustenia a inštaláciu v zariadení.

Počas procesu sa systém aktualizuje UEFICA2023Status z NotStarted na InProgress a nakoniec na Updated po úspešnom. Každý bit v 0x5944 sa úspešne spracuje, ale vymaže.

Ak niektorý krok zlyhá, v UEFICA2023Error sa zaznamená kód chyby (a stav zostane Prebieha).

Tento mechanizmus poskytuje správcom jasný spôsob spustenia a sledovania zavádzania pre jednotlivé zariadenia.

Nasadenie pomocou kľúčov databázy Registry

Nasadenie do skupiny zariadení pozostáva z týchto krokov:

1. Nastavte hodnotu databázy Registry AvailableUpdates na 0x5944 na každom zo zariadení, ktoré chcete aktualizovať.
2. Sledujte kľúče databázy Registry UEFICA2023Status a UEFICA2023Error , aby ste videli, či zariadenia napredujú. Úloha, ktorá spracúva tieto aktualizácie, sa spúšťa každých 12 hodín. Upozorňujeme, že aktualizácia správcu spustenia sa môže vykonať až po reštarte.
3. Ak sa vyskytnú problémy, preskúmajte ich. Ak je hodnota UEFICA2023Error v zariadení nenulová, môžete skontrolovať, či sa v denníku udalostí nenachádzajú udalosti súvisiace s týmto problémom. Úplný zoznam udalostí zabezpečeného zavedenia systému nájdete v téme Secure Boot DB a udalosti aktualizácie premennej DBX

Poznámka k reštartovaniu: Hoci na dokončenie procesu môže byť potrebné reštartovanie, spustenie nasadenia aktualizácií Zabezpečeného zavedenia systému nespôsobí reštart. Ak je potrebné reštartovanie, nasadenie Zabezpečeného zavedenia systému sa spolieha na reštartovanie, ktoré je bežným spôsobom používania zariadenia.

Testovanie zariadenia s použitím kľúčov databázy Registry

Pri testovaní jednotlivých zariadení s cieľom zabezpečiť, aby zariadenia spracovali aktualizácie správne, môžete jednoduchým spôsobom testovania použiť kľúče databázy Registry.

Ak to chcete otestovať, spustite každý z nasledujúcich príkazov nezávisle od príkazu správcu v prostredí PowerShell:

Prvý príkaz iniciuje nasadenie certifikátu a správcu spustenia v zariadení. Druhý príkaz spôsobí, že úloha, ktorá spracováva kľúč databázy Registry AvailableUpdates , sa spustí okamžite. Úloha sa bežne spúšťa každých 12 hodín. Kľúč databázy Registry by sa mal rýchlo zmeniť na 0x4100. Reštartovanie a opätovné spustenie úlohy spôsobí aktualizáciu správcu spúšťania a zmenu 0x4000 AvailableUpdates. Ďalšie podrobnosti o tom, ako sa správa funkcia AvailableUpdates, nájdete v téme Riešenie problémov.

Výsledky nájdete dodržaním kľúčov databázy Registry UEFICA2023Status a UEFICA2023Error a denníkov udalostí, ako je to popísané v udalostiach aktualizácie premenných DB zabezpečeného zavedenia systému DB.

Prihlásenie a vyjadrenie explicitného nesúhlasu s asistenciou

Kľúče HighConfidenceOptOptOut a MicrosoftUpdateManagedOptIn databázy Registry možno použiť na spravovanie dvoch "asistencií" pri nasadzovaní popísaných v zariadeniach s Windowsom pomocou aktualizácií spravovaných IT.

• Kľúč databázy Registry HighConfidenceOptOut riadi automatickú aktualizáciu zariadení prostredníctvom kumulatívnych aktualizácií. V prípade zariadení, v ktorých spoločnosť Microsoft úspešne zaznamenala aktualizáciu konkrétnych zariadení, sa tieto zariadenia budú považovať za zariadenia s vysokou spoľahlivosťou a aktualizácie certifikátu zabezpečeného spustenia budú prebiehať automaticky. Predvolené nastavenie je explicitný súhlas.
• Kľúč databázy Registry MicrosoftUpdateManagedOptIn umožňuje IT oddeleniam prihlásiť sa do automatického nasadenia spravovaného spoločnosťou Microsoft. Toto nastavenie je predvolene zakázané a nastavuje sa na možnosť 1 výslovného súhlasu. Toto nastavenie tiež vyžaduje, aby zariadenie odosielalo voliteľné diagnostické údaje.

Podporované verzie Windowsu

V tejto tabuľke je podrobnejšie uvedený zoznam podpory na základe kľúča databázy Registry.

Kláves	Podporované verzie Windowsu
AvailableUpdates (Dostupné aktualizácie) UEFICA2023Stav UEFICA2023Error	všetky verzie Windowsu, ktoré podporujú zabezpečené spustenie (Windows Server 2012 a novšie verzie Windowsu). Poznámka: Zatiaľ čo údaje o spoľahlivosti sa zhromažďujú vo Windowse 10, verziách LTSC, 22H2 a novších verziách Windowsu, možno ich použiť na zariadenia so staršími verziami Windowsu. Windows 10, verzie LTSC a 22H2 Windows 11, verzie 22H2 a 23H2 Windows 11, verzia 24H2 Windows Server 2025
HighConfidenceOptOut
MicrosoftUpdateManagedOptIn

Udalosti chýb zabezpečeného zavedenia systému

Udalosti chýb majú dôležitú funkciu hlásenia, ktorá informuje o stave a priebehu zabezpečeného spustenia.  Informácie o chybových udalostiach nájdete v téme Secure Boot DB a udalosti aktualizácie premennej DBX. Chybové udalosti sa aktualizujú o ďalšie informácie o udalostiach pre Zabezpečené spustenie.