Ispravke ključa registratora za bezbedno pokretanje sistema: Windows uređaji sa ispravkama kojima upravlja IT

Ključevi registratora

Svi ključevi registratora bezbednog pokretanja opisani u ovom dokumentu nalaze se ispod ove putanje registratora: 

Sledeća tabela opisuje svaku vrednost registratora. 

Kako ovi tasteri rade zajedno

IT administrator konfiguriše vrednost registratora AvailableUpdates na 0x5944 što windows signalizira da izvrši ažuriranje i instalaciju ključa za bezbedno pokretanje na uređaju.

Dok se proces pokreće, sistem ažurira UEFICA2023Status iz NotStarted u InProgress i na kraju na Ažurirano nakon uspeha. Kako se svaki 0x5944 u programu obradi, on se briše.

Ako neki korak ne uspe, kôd greške zapisuju se u UEFICA2023Error (i status ostaje InProgress).

Ovaj mehanizam administratorima pruža jasan način da aktiviraju i prate primenu po uređaju. 

Primena pomoću ključeva registratora 

Primena na grupu uređaja sastoji se od sledećih koraka: 

1. Postavite vrednost registratora AvailableUpdatesna 0x5944 na svakom uređaju koji će se ažurirati.

2. Nadgledajte ključeve registratora UEFICA2023Status i UEFICA2023Error da biste videli da uređaji napreduje. Ne zaboravite da se zadatak koji obrađuje ova ažuriranja pokreće jednom na svakih 12 časova. Imajte na umu da ažuriranje upravljača pokretanjem možda neće biti dok se ponovo ne pokrene.

3. Ispitajte probleme ako do njih dođe. Ako UEFICA2023Error na uređaju nije nula, možete da proverite da li u evidenciji događaja ima događaja vezanih za ovaj problem. Pogledajte događaje promenljivih promenljivih DBX-a za kompletnu listu događaja bezbednog pokretanja.

Napomena o ponovnom pokretanju: Iako može biti potrebno ponovno pokretanje da bi se dovršio proces, pokretanje primene ispravki za bezbedno pokretanje neće dovesti do ponovnog pokretanja. Ako je potrebno ponovno pokretanje, primena bezbednog pokretanja se oslanja na ponovno pokretanje, što je uobičajeni tok korišćenja uređaja. 

Testiranje uređaja pomoću ključeva registratora 

Prilikom testiranja pojedinačnih uređaja da biste se uverili da će uređaji ispravno obraditi ispravke, ključevi registratora mogu biti jednostavan način testiranja. 

Da biste testirali, pokrenite svaku od sledećih komandi odvojeno od odziva administratora PowerShell: 

Prva komanda pokreće primenu certifikata i upravljača pokretanja na uređaju. Druga komanda izaziva odmah pokretanje zadatka koji obrađuje ključ registratora AvailableUpdates . Zadatak se obično pokreće svakih 12 sati. 

Rezultate možete da pronađete tako što ćete posmatrati ključeve registratora UEFICA2023Status i UEFICA2023Error i evidencije događaja kao što je opisano u događajima ažuriranja promenljivih DBX i promenljivih DBX datoteka. 

Davanje saglasno i odjavljivanje za pomoć 

Ključevi registratora HighConfidenceOptOut i MicrosoftUpdateManagedOptIn mogu da se koriste za upravljanje dvema "pomoćima za primenu" opisanim na Windows uređajima sa ispravkama kojima upravlja IT. 

• Ključ registratora HighConfidenceOptOut kontroliše automatsko ažuriranje uređaja putem kumulativnih ispravki. Za uređaje na kojima je Microsoft uspešno posmatrao određene uređaje koji se ažuriraju, oni će se smatrati uređajima sa visokim stepenom pouzdanosti, a ažuriranja certifikata za bezbedno pokretanje će se automatski desiti. Podrazumevana postavka za ovu saglasost.

• Ključ registratora MicrosoftUpdateManagedOptIn omogućava IT sektorima da daju saglasnost za automatsku primenu koju upravlja Microsoft. Ova postavka je podrazumevano onemogućena i postavlja se na 1 saglasno. Ova postavka takođe zahteva da uređaj šalje opcionalne dijagnostičke podatke.

Podržane verzije operativnog sistema Windows

Ova tabela dodatno prekida podršku na osnovu ključa registratora. 

Promene TPMtasks 

Izmenite TPMTasks da biste utvrdili da li stanje uređaja ima ažurirane certifikate za bezbedno pokretanje. Trenutno to može da olakša, ali samo ako CFR izabere računar za ažuriranje. Ta determinacija i naredno evidentiranje treba da se dese u svakoj sesiji pokretanja bez obzira na CFR. Ako certifikati za bezbedno pokretanje nisu potpuno ažurirani, onda će emitovati dva događaja greške opisana iznad. Ako su certifikati ažurirani, onda će emitovati događaj Information. Certifikati za bezbedno pokretanje koji će biti provereni su:  

• Windows UEFI CA 2023

• Microsoft UEFI CA 2023 i Microsoft Option ROM UEFI CA 2023 – ova dva CA-ja moraju biti prisutna samo ako je prisutan Microsoft UEFI CA 2011. Ako Microsoft UEFI CA 2011 nije prisutan, onda nije potrebna provera.

• Microsoft Corporation KEK 2K CA 2023

Događaj metapodataka mašine 

Ovaj događaj će prikupiti metapodatke mašine i izdati sledeći događaj:

• BucketId + Confidence Rating event   

Ovaj događaj će koristiti metapodatke računara za pronalaženje odgovarajuće stavke u bazi podataka mašina (stavka kontejnera). Mašina će oblikovati i emitovati događaj sa ovim podacima zajedno sa bilo kojim informacijama o pouzdanosti u vezi sa kontejnerom. ​​​​​​​ 

Pomoć za uređaje sa visokim nivoom samopouzdanja 

Za uređaje u kontejnerima sa visokim stepenom pouzdanosti, certifikati za bezbedno pokretanje i 2023 potpisani upravljač pokretanjem će automatski biti primenjeni.   

Ažuriranje će se pokrenuti u isto vreme kada se generišu dva događaja greške, a događaj BucketId + Confidence Rating uključuje ocenu visokog stepena pouzdanosti.   

Odjavljivanje saglasno

Za klijente koji žele da odbiju saglasnje, novi ključ registratora biće dostupan na sledeći način: