Registernyckeluppdateringar för Säker start: Windows-enheter med IT-hanterade uppdateringar

Registernycklar

Alla registernycklar för säker start som beskrivs i det här dokumentet finns under den här registersökvägen: 

I följande tabell beskrivs var och en av registervärdena. 

Så här fungerar de här tangenterna tillsammans

IT-administratören konfigurerar registervärdet AvailableUpdates till 0x5944, vilket indikerar att Windows ska köra uppdateringen och installationen av nyckeln för säker start på enheten.

När processen körs uppdaterar systemet UEFICA2023Status från NotStarted till InProgress och slutligen till Uppdaterad när det lyckas. När varje bit i 0x5944 bearbetas korrekt rensas den.

Om ett steg misslyckas registreras en felkod i UEFICA2023Fel (och statusen förblir InProgress).

Den här mekanismen ger administratörer ett tydligt sätt att utlösa och spåra distributionen per enhet. 

Distribution med registernycklar 

Distribution till en grupp av enheter består av följande steg: 

1. Ange registervärdet AvailableUpdates till 0x5944 på varje enhet som ska uppdateras.

2. Övervaka registernycklarna UEFICA2023Status och UEFICA2023Fel för att se att enheterna gör framsteg. Kom ihåg att aktiviteten som bearbetar dessa uppdateringar körs en gång var 12:e timme. Observera att uppdateringen av starthanteraren kanske inte sker förrän efter en omstart.

3. Undersöka problem om de uppstår. Om UEFICA2023Fel inte är noll på en enhet kan du kontrollera händelseloggen efter händelser som är relaterade till det här problemet. Se Händelser för säker start DB och DBX-variabeluppdatering för en fullständig lista över händelser för säker start.

En anmärkning om omstarter: En omstart kan behövas för att slutföra processen, men en omstart orsakas inte om installationen av uppdateringarna för säker start. Om en omstart behövs förlitar sig säker start-distributionen på omstarter som vanligt när enheten används. 

Enhetstestning med registernycklar 

När du testar enskilda enheter för att säkerställa att enheterna bearbetar uppdateringarna korrekt kan registernycklarna vara ett enkelt sätt att testa. 

Testa genom att köra vart och ett av följande kommandon separat från en PowerShell-administratörsuppmaning: 

Det första kommandot initierar distributionen av certifikatet och starthanteraren på enheten. Det andra kommandot gör att aktiviteten som bearbetar registernyckeln AvailableUpdates körs direkt. Normalt körs aktiviteten var 12:e timme. 

Du kan hitta resultaten genom att observera registernycklarna UEFICA2023Status och UEFICA2023Fel och händelseloggarna enligt beskrivningen i uppdateringshändelserna för säker start DB och DBX. 

Anmäl dig och avregistrera dig från assistans 

Registernycklarna HighConfidenceOptOut och MicrosoftUpdateManagedOptIn kan användas för att hantera de två distributionsstöd som beskrivs i Windows-enheter med IT-hanterade uppdateringar. 

• Registernyckeln HighConfidenceOptOut styr den automatiska uppdateringen av enheter via de kumulativa uppdateringarna. För de enheter där Microsoft har observerat att vissa enheter uppdateras utan problem betraktas de som enheter med "högt förtroende" och uppdateringar av certifikat för säker start sker automatiskt. Standardinställningen för det här alternativet har valts.

• Med registernyckeln MicrosoftUpdateManagedOptIn kan IT-avdelningar registrera sig för automatisk distribution som hanteras av Microsoft. Den här inställningen är inaktiverad som standard och inställningen är 1 opts-in. Den här inställningen kräver också att enheten skickar valfria diagnostikdata.

Versioner av Windows som stöds

I den här tabellen bryts ytterligare stödet ned baserat på registernyckeln. 

Ändringar av TPMTasks 

Ändra TPMTasks för att avgöra om enhetens tillstånd har de uppdaterade certifikaten för säker start. För närvarande kan det göra den beslutsamheten men bara om CFR väljer en dator för uppdatering. Den beslutsamheten och efterföljande loggning ska ske i varje startsession oavsett CFR. Om certifikaten för säker start inte är helt uppdaterade släpper de ut de två felhändelser som beskrivs ovan. Om certifikaten är uppdaterade sänder de ut informationshändelsen. De certifikat för säker start som ska kontrolleras är:  

• Windows UEFI CA 2023

• Microsoft UEFI CA 2023 och Microsoft Option ROM UEFI CA 2023 – Dessa två certifikat måste bara finnas om Microsoft UEFI CA 2011 finns. Om Microsoft UEFI CA 2011 inte finns med behöver du inte kontrollera det.

• Microsoft Corporation KEK 2K CA 2023

Datormetadatahändelse 

Händelsen samlar in datorns metadata och utfärdar följande händelse:

• BucketId + Confidence Rating-händelse   

Den här händelsen använder datorns metadata för att hitta motsvarande post i databasen över datorer (bucketpost). Datorn formaterar och avger en händelse med dessa data tillsammans med eventuell konfidensinformation om bucketen. ​​​​​​​ 

Enhetshjälp med hög säkerhet 

För enheter i buckets med hög konfidens tillämpas Certifikat för säker start och 2023-signerad starthanterare automatiskt.   

Uppdateringen utlöses samtidigt som de två felhändelserna genereras, och händelsen BucketId + Confidence Rating innehåller en klassificering med högt förtroende.   

Avregistrera dig

För kunder som vill avregistrera sig finns en ny registernyckel på följande sätt: