Aktualizácie kľúčov databázy Registry pre zabezpečené spustenie: zariadenia s Windowsom s aktualizáciami spravovanými IT

Kľúče databázy Registry

Všetky kľúče databázy Registry zabezpečeného spustenia popísané v tomto dokumente sa nachádzajú pod touto cestou databázy Registry: 

Nasledujúca tabuľka popisuje každú hodnotu databázy Registry. 

Ako tieto kľúče spolupracujú

Správca IT nakonfiguruje hodnotu databázy Registry AvailableUpdates na 0x5944, čo signalizuje, že Windows spustí aktualizáciu a inštaláciu kľúča zabezpečeného spustenia v zariadení.

Pri spustení procesu systém aktualizuje UEFICA2023Status z NotStarted na InProgress a nakoniec na možnosť Aktualizované po úspešnom spustení. Keďže každý bit v 0x5944 sa úspešne spracuje, vymaže sa.

Ak niektorý krok zlyhá, kód chyby sa zaznamená v UEFICA2023Error (a stav zostane InProgress).

Tento mechanizmus poskytuje správcom jasný spôsob spustenia a sledovania uvedenia na každé zariadenie. 

Nasadenie pomocou kľúčov databázy Registry 

Nasadenie do skupiny zariadení pozostáva z nasledujúcich krokov: 

1. Nastavte hodnotu databázy Registry AvailableUpdates na 0x5944 v každom zariadení, ktoré sa má aktualizovať.

2. Sledujte kľúče databázy Registry UEFICA2023Status a UEFICA2023Error a zistite, či zariadenia napredujú. Nezabudnite, že úloha, ktorá spracúva tieto aktualizácie, sa spúšťa raz za 12 hodín. Všimnite si, že aktualizácia správcu spustenia sa môže vyskytnúť až po reštarte.

3. Preskúmajte problémy, ak sa vyskytnú. Ak UEFICA2023Error nie je v zariadení nula, môžete skontrolovať udalosti súvisiace s týmto problémom v denníku udalostí. Úplný zoznam udalostí zabezpečeného spustenia nájdete v témach Secure Boot DB a DBX variable update events .

Poznámka o reštartovaní: Hoci na dokončenie procesu môže byť potrebný reštart, spustenie nasadenia aktualizácií zabezpečeného spustenia nespôsobí reštartovanie. Ak je potrebné reštartovať, nasadenie zabezpečeného spustenia závisí od reštartovania, ktoré prebieha ako bežný priebeh používania zariadenia. 

Testovanie zariadenia pomocou kľúčov databázy Registry 

Pri testovaní jednotlivých zariadení s cieľom zabezpečiť, aby zariadenia spracovávali aktualizácie správne, kľúče databázy Registry môžu byť jednoduchým spôsobom testovania. 

Ak chcete testovať, spustite každý z nasledujúcich príkazov oddelene od výzvy prostredia PowerShell správcu: 

Prvý príkaz inicializuje nasadenie správcu certifikátu a spustenia v zariadení. Druhý príkaz spôsobí, že úloha, ktorá spracuje kľúč databázy Registry AvailableUpdates , sa spustí okamžite. Zvyčajne sa úloha spúšťa každých 12 hodín. 

Výsledky nájdete sledovaním kľúčov databázy Registry UEFICA2023Status a UEFICA2023Error a denníkov udalostí, ako je popísané v udalostiach aktualizácie premenných Secure Boot DB a DBX. 

Prihlásenie a odhlásenie pre pomoc 

Kľúče databázy Registry HighConfidenceOptOut a MicrosoftUpdateManagedOptIn možno použiť na spravovanie dvoch "asistencií" nasadenia popísaných v zariadeniach s Windowsom s aktualizáciami spravovanými IT. 

• Kľúč databázy Registry HighConfidenceOptOut ovláda automatickú aktualizáciu zariadení prostredníctvom kumulatívnych aktualizácií. V zariadeniach, v ktorých spoločnosť Microsoft zaznamenala úspešnú aktualizáciu konkrétnych zariadení, sa tieto zariadenia budú považovať za zariadenia s vysokou spoľahlivosťou a aktualizácie certifikátov zabezpečeného spustenia sa vykonajú automaticky. Predvolené nastavenie pre tento explicitný súhlas.

• Kľúč databázy Registry MicrosoftUpdateManagedOptIn umožňuje IT oddeleniam prihlásiť sa do automatického nasadenia spravovaného spoločnosťou Microsoft. Toto nastavenie je predvolene vypnuté a nastaví sa na 1 explicitný súhlas. Toto nastavenie tiež vyžaduje, aby zariadenie odosielal voliteľné diagnostické údaje.

Podporované verzie Windowsu

Táto tabuľka ďalej rozdeľuje podporu na základe kľúča databázy Registry. 

Zmeny úloh modulu TPM 

Upravte úlohy modulu TPM a zistite, či stav zariadenia obsahuje aktualizované certifikáty zabezpečeného spustenia. V súčasnosti môže vykonať toto stanovenie, ale len vtedy, ak CFR vyberie počítač na aktualizáciu. Toto určenie a následné zapisovanie do denníka by sa malo uskutočniť v každej relácii spustenia bez ohľadu na CFR. Ak certifikáty zabezpečeného spustenia nie sú úplne aktuálne, vyžarujú dve vyššie popísané chybové udalosti. Ak sú certifikáty aktuálne, vyžarujú udalosť Information. Certifikáty zabezpečeného spustenia, ktoré sa skontrolujú, sú:  

• Windows UEFI CA 2023

• Microsoft UEFI CA 2023 a Microsoft Option ROM UEFI CA 2023 – tieto dva CA musia byť prítomné iba vtedy, ak je prítomný Microsoft UEFI CA 2011. Ak nie je k dispozícii microsoft UEFI CA 2011, nie je potrebná žiadna kontrola.

• Microsoft Corporation KEK 2K CA 2023

Udalosť metaúdajov počítača 

Táto udalosť zhromaždí metaúdaje počítača a vydá nasledujúcu udalosť:

• BucketId + Udalosť hodnotenia spoľahlivosti   

Táto udalosť použije metaúdaje počítača na vyhľadanie zodpovedajúcej položky v databáze počítačov (položka sektora). Zariadenie naformátuje a vyžaruje udalosť s touto údajmi spolu s informáciami o spoľahlivosti týkajúcich sa sektora. ​​​​​​​ 

Vysoko sebavedomá pomoc so zariadením 

V prípade zariadení s vysokou spoľahlivosťou sa automaticky použijú certifikáty zabezpečeného spustenia a správca spúšťania podpísaný verziou 2023.   

Aktualizácia sa spustí v rovnakom čase ako sa vygenerujú dve chybové udalosti a udalosť BucketId + Confidence Rating obsahuje hodnotenie vysokej spoľahlivosti.   

Odhlásiť sa

Pre zákazníkov, ktorí sa chcú odhlásiť, bude nový kľúč databázy Registry k dispozícii takto: