Pôvodný dátum publikovania: 10. marca 2026
KB ID: 5084464
V tomto článku
Úvod a rozsah
Databáza s vysokou spoľahlivosťou podporuje spôsob, akým Windows poskytuje aktualizácie certifikátov zabezpečeného spustenia identifikovaním konfigurácií zariadení a firmvéru, ktoré preukázali úspešné správanie aktualizácie na základe pozorovaných signálov údržby a spoľahlivosti.
Tento článok vysvetľuje, čo predstavuje databáza s vysokou spoľahlivosťou, ako sa určuje spoľahlivosť a ako sú údaje publikované a používané službou systému Windows. Je určená pre IT profesionálov, tímy zabezpečenia a technickí pracovníci, ktorí chcú pochopiť, ako údaje o dôvere informujú o rozhodnutiach o aktualizácii certifikátu zabezpečeného spustenia vrátane toho, ako sa tieto údaje zobrazujú prostredníctvom kumulatívnych aktualizácií a publikujú na účely viditeľnosti zákazníkov.
Čo predstavuje databáza s vysokou spoľahlivosťou
Databáza vysokej spoľahlivosti odráža hodnotenie spoločnosti Microsoft, ktoré konfigurácie zariadení a firmvéru sú pripravené na prijímanie aktualizácií certifikátov zabezpečeného spustenia na základe pozorovaných signálov údržby a spoľahlivosti.
Vzhľadom na rozsah a rozmanitosť kombinácií hardvéru a firmvéru v ekosystéme Windows poskytuje databáza praktický spôsob, ako vyhodnotiť pripravenosť na aktualizáciu zoskupením zariadení s podobnými charakteristikami a meraním výsledkov aktualizácií v reálnom svete. Tieto údaje spoľahlivosti sú zahrnuté v kumulatívnych aktualizáciách, ktoré pomáhajú Systému Windows poskytovať aktualizácie certifikátov zabezpečeného spustenia kontrolovaným spôsobom, ktorý uprednostňuje úspešné výsledky.
Dôležité informácie o obmedzeniach a pokrytí
Databáza vysokej spoľahlivosti odráža, kde spoločnosť Microsoft má dostatočné pozorované údaje o údržbe na posúdenie pripravenosti aktualizácie certifikátu zabezpečeného spustenia. Väčšina týchto údajov pochádza z klientskych zariadení s Windowsom, kde sú signály údržby široké a konzistentné. V dôsledku toho sú klientske platformy viac zastúpené.
Iné typy zariadení, napríklad Windows Server a Windows IoT, majú nižšiu reprezentáciu v dôsledku rozdielov v modeloch nasadenia, dostupnosti telemetrie a pracovných postupov aktualizácie. To však neznamená zníženú podporu pre tieto platformy. Odzrkadľuje, že na informovanie hodnotení dôvery je k dispozícii menej pozorovaných signálov. Zákazníci, ktorí nasadzujú aktualizácie certifikátov zabezpečeného spustenia v týchto prostrediach, by mali plánovať nasadenia s ďalším zameraním a overením v súlade s ich modelom nasadenia a prevádzkovými požiadavkami.
Štruktúra a klasifikácia údajov
Databáza s vysokou spoľahlivosťou je usporiadaná do sektorov zariadení, ktoré zoskupujú zariadenia, ktoré zdieľajú spoločný hardvér, firmvér a atribúty platformy. Tento prístup umožňuje službe systému Windows vyhodnotiť správanie aktualizácie zabezpečeného spustenia na úrovni triedy zariadenia, a nie podľa jednotlivých systémov.
Každému sektoru je priradená klasifikácia spoľahlivosti, ktorá odráža aktuálne hodnotenie pripravenosti aktualizácie certifikátu zabezpečeného spustenia. Tieto klasifikácie sa zobrazujú prostredníctvom udalostí Windowsu vrátane udalostí 1801, 1802, 1803 a 1808. Ďalšie informácie nájdete v téme Udalosti aktualizácie premenných Secure Boot DB a DBX. Klasifikácia spoľahlivosti je k dispozícii aj prostredníctvom kľúča databázy Registry ConfidenceLevel . Podrobnosti nájdete v aktualizáciách kľúčov databázy Registry pre zabezpečené spustenie: podrobnosti nájdete v zariadeniach s Windowsom s aktualizáciami spravovanými IT .
Klasifikácie spoľahlivosti
Databáza s vysokou spoľahlivosťou zoskupuje zariadenia do klasifikácií spoľahlivosti, ktoré odrážajú aktuálne hodnotenie pripravenosti spoločnosti Microsoft na aktualizáciu certifikátu zabezpečeného spustenia a používajú sa na usmernenie rozhodnutí o nasadení.
-
Vysoká spoľahlivosť: Zariadenia v tejto skupine prostredníctvom pozorovaných údajov preukázali, že môžu úspešne aktualizovať firmvér pomocou nových certifikátov zabezpečeného spustenia.
-
Dočasne pozastavené: Zariadenia v tejto skupine sú ovplyvnené známym problémom. S cieľom znížiť riziko sa aktualizácie certifikátov zabezpečeného spustenia dočasne pozastavia, kým spoločnosť Microsoft a partneri pracujú na podporovanom riešení. Môže to vyžadovať aktualizáciu firmvéru. Ďalšie podrobnosti nájdete v udalosti z roku 1802.
-
Nepodporované – známe obmedzenie: Zariadenia v tejto skupine nepodporujú cestu aktualizácie certifikátu zabezpečeného spustenia z dôvodu hardvéru alebo obmedzenia firmvéru. Pre túto konfiguráciu nie je momentálne k dispozícii žiadne podporované automatické rozlíšenie.
-
Pod dohľadom – ďalšie potrebné údaje: Zariadenia v tejto skupine nie sú momentálne blokované, ale zatiaľ nie je k dispozícii dostatok údajov na ich klasifikáciu ako vysokú spoľahlivosť. Aktualizácie certifikátov zabezpečeného spustenia sa môžu odložiť, kým nebudú k dispozícii dostatočné údaje.
-
Nezistili sa žiadne údaje – vyžaduje sa akcia: Spoločnosť Microsoft nepozorovala toto zariadenie v údajoch aktualizácie zabezpečeného spustenia. V dôsledku toho nie je možné vyhodnotiť automatické aktualizácie certifikátov pre toto zariadenie a je pravdepodobne potrebná akcia správcu. Táto klasifikácia nie je zahrnutá v databáze s vysokou spoľahlivosťou a windows ju vysiela, keď sa zariadenie v databáze nenašlo.
Publikovanie databázy s vysokou spoľahlivosťou
Databáza vysokej spoľahlivosti sa publikuje prostredníctvom dvoch doplnkových mechanizmov. Jeden podporuje automatizovanú údržbu systému Windows. Druhý poskytuje prehľad o údajoch spoľahlivosti pre zákazníkov a partnerov.
Prístup k údajom v GitHube
Spoločnosť Microsoft publikuje v GitHube verziu databázy vysokej spoľahlivosti čitateľnú pre ľudí s cieľom zabezpečiť transparentnosť údajov použitých na posúdenie pripravenosti na aktualizáciu certifikátu zabezpečeného spustenia. Táto verzia obsahuje atribúty zariadenia používané na vytvorenie kontajnerov spoľahlivosti a je určená na kontrolu a analýzu ľuďmi. Nepoužíva ho priamo údržba systému Windows.
Údaje sú k dispozícii v odkladacom priestore GitHub Objektov zabezpečeného spustenia spoločnosti Microsoft a môžu byť užitočné pre nasledujúce cieľové skupiny:
-
Správcovia IT a tímy zabezpečenia: Vyhodnotiť pripravenosť nasadenia zabezpečeného spustenia a zistiť, ktoré triedy zariadení môžu mať nárok na aktualizácie certifikátu dodané prostredníctvom kumulatívnych aktualizácií.
-
Výrobcovia zariadení: Skontrolujte, ako sú konfigurácie zariadení a firmvéru zastúpené v rámci celého ekosystému Windowsu.
-
Ďalší dodávatelia operačného systému vrátane distribúcií Linuxu: Oboznámte sa s tým, ako sa klasifikujú konfigurácie zariadení a firmvéru a v prípade potreby sú v súlade s postupným zavádzaním spoločnosti Microsoft.
Údaje sa aktualizujú dvakrát mesačne, v súlade s mesačnými aktualizáciami zabezpečenia v druhý utorok v mesiaci a voliteľné aktualizácie bez zabezpečenia vo štvrtom utorok v mesiaci.
Údaje s vysokou spoľahlivosťou zahrnuté v aktualizáciách údržby
Podpísaná verzia databázy vysokej spoľahlivosti je súčasťou kumulatívnych aktualizácií Windowsu a používa ju priamo služba systému Windows na vyhodnotenie pripravenosti na aktualizáciu certifikátu zabezpečeného spustenia. Tieto údaje sú chránené a vyhodnotené lokálne bezúhonne, čo umožňuje prijímať rozhodnutia o údržbe aj vtedy, keď zariadenie nie je viditeľné pre telemetriu spoločnosti Microsoft.
V zariadení sú údaje uložené ako BucketConfidenceData.cab v časti:
%SystemRoot%\System32\SecureBootUpdates\
Táto verzia integrovaná údržby obsahuje kompaktné štruktúrované znázornenie sektorov spoľahlivosti. Obsahuje iba atribúty potrebné na určenie členstva v sektore a priradenú klasifikáciu spoľahlivosti. Metaúdaje verzií a časovej pečiatky zabezpečujú použitie najnovších použiteľných údajov. Táto verzia je optimalizovaná na spoľahlivosť, veľkosť a zabezpečenie a nie je určená na priamu kontrolu ani úpravu.
Častejšie prijímanie aktualizácií databázy s vysokou spoľahlivosťou
Zariadenia so systémom Windows 11, verzia 24H2 alebo 25H2 môžu dostávať aktualizácie databázy s vysokou spoľahlivosťou častejšie ako mesačná frekvencia aktualizácií zabezpečenia. Okrem mesačných aktualizácií zabezpečenia dostávajú tieto verzie aj voliteľné aktualizácie verzie Preview netýkané zabezpečenia, ktoré môžu zahŕňať novšie údaje o spoľahlivosti. Inštalácia týchto aktualizácií umožňuje zákazníkom zostať bližšie k najnovším údajom o spoľahlivosti a zároveň zostať v štandardnej údržbe Systému Windows.
Opätovné ladenie údajov vysokej spoľahlivosti vo verziách Windowsu
V niektorých prostrediach sa správcovia môžu rozhodnúť nasadiť databázu s vysokou spoľahlivosťou na podporované verzie Windowsu staršie ako Windows 11, verzie 24H2 alebo 25H2.
V tomto scenári sa databáza získava z Windows 11 verzie 24H2 alebo 25H2, ktoré získavajú novšie údaje o spoľahlivosti prostredníctvom voliteľných aktualizácií bez zabezpečenia verzie Preview. Nasadenie tejto databázy umožňuje vyhodnotiť novšie hodnotenia spoľahlivosti v starších podporovaných verziách Windowsu skôr ako len prostredníctvom mesačných aktualizácií zabezpečenia. Nezmení sa tým spôsob výpočtu spoľahlivosti ani spôsob použitia aktualizácií certifikátu zabezpečeného spustenia.
Nasadenie databázy s vysokou spoľahlivosťou do iných verzií Windowsu
Ak chcete nasadiťBucketConfidenceData.cab, použite proces, ktorý je v súlade s nástrojmi a postupmi nasadenia vašej organizácie.
-
Získajte BucketConfidenceData.cab zo systému Windows 11 verzie 24H2 alebo 25H2 s najnovšími aktualizáciami bez zabezpečenia. Súbor sa nachádza na adrese:
%SystemRoot%\System32\SecureBootUpdates\
-
V cieľových zariadeniach vytvorte ako správca nasledujúci adresár, ak ešte neexistuje:
%ProgramData%\Microsoft\Windows\SecureBootUpdates
-
Nasadiť BucketConfidenceData.cab do adresára.
Pri ďalšom spustení naplánovanej úlohy, zvyčajne do 12 hodín, windows použije tento súbor, ak je novší ako verzia zahrnutá v aktualizáciách údržby.
Ako Windows vyberie údaje spoľahlivosti
Zariadenie môže obsahovať viac ako jednu kópiu databázy s vysokou spoľahlivosťou. Aby sa zabezpečilo konzistentné správanie, Windows pri vyhodnocovaní údajov spoľahlivosti použije definovaný model priority.
Keď je podpísaný údajový súbor spoľahlivosti zahrnutý do kumulatívnej aktualizácie, táto kópia údržby sa použije predvolene. Ak sa nachádza viacero kópií, Windows vyberie najnovšiu použiteľnú verziu na základe metaúdajov verzie a časovej pečiatky.
