คู่มือการแก้ไขปัญหาการบูตแบบปลอดภัย

ในบทความนี้

• ภาพรวม
• วิธีการทํางานของการให้บริการใบรับรองการบูตแบบปลอดภัย
• ตําแหน่งที่จะเริ่มต้นเมื่อแก้ไขปัญหา
• งานที่กําหนดเวลาไว้ Secure-Boot-Update
• เหตุใดจึงต้องใช้งานที่กําหนดเวลาไว้
• บิตมาสก์รีจิสทรี AvailableUpdates
• การผสานรวมกับเฟิร์มแวร์ OEM
• สถานการณ์ความล้มเหลวทั่วไปและวิธีแก้ไข
• ข้อมูลอ้างอิงและข้อมูลภายใน
• บิต AvailableUpdates ที่ใช้สําหรับการให้บริการใบรับรอง
• ความคืบหน้าที่คาดไว้ (AvailableUpdates)
• ขั้นตอนการแก้ไข
• การเปิดใช้งานการบูตแบบปลอดภัยในเฟิร์มแวร์
• Secure Boot งานที่กําหนดเวลาไว้ ปิดใช้งานหรือถูกลบ

ภาพรวม

หน้านี้จะแนะนําผู้ดูแลระบบและผู้เชี่ยวชาญด้านการสนับสนุนในการวินิจฉัยและแก้ไขปัญหาที่เกี่ยวข้องกับการบูตแบบปลอดภัยบนอุปกรณ์ Windows หัวข้อต่างๆ รวมถึงความล้มเหลวในการอัปเดตใบรับรองการบูตแบบปลอดภัย สถานะการบูตแบบปลอดภัยที่ไม่ถูกต้อง พร้อมท์การกู้คืน BitLocker ที่ไม่คาดคิด และความล้มเหลวในการบูตหลังการเปลี่ยนแปลงการกําหนดค่าการบูตแบบปลอดภัย

คําแนะนําอธิบายวิธีตรวจสอบบริการและการกําหนดค่าของ Windows ตรวจสอบค่ารีจิสทรีที่เกี่ยวข้องและบันทึกเหตุการณ์ และระบุเมื่อขีดจํากัดเฟิร์มแวร์หรือแพลตฟอร์มจําเป็นต้องอัปเดต OEM เนื้อหานี้มีไว้เพื่อการวินิจฉัยปัญหาบนอุปกรณ์ที่มีอยู่ ไม่ได้มีไว้สําหรับการวางแผนการปรับใช้ใหม่ เอกสารนี้จะได้รับการอัปเดตเมื่อมีการระบุสถานการณ์และคําแนะนําในการแก้ไขปัญหาใหม่

กลับไปด้านบน

วิธีการทํางานของการให้บริการใบรับรองการบูตแบบปลอดภัย

การให้บริการใบรับรองการบูตแบบปลอดภัยบน Windows เป็นกระบวนการที่ประสานกันระหว่างระบบปฏิบัติการและเฟิร์มแวร์ UEFI ของอุปกรณ์ เป้าหมายคือการอัปเดตจุดยึดความน่าเชื่อถือที่สําคัญในขณะที่รักษาความสามารถในการเริ่มต้นระบบในแต่ละขั้นตอน

กระบวนการนี้ขับเคลื่อนโดยงานที่กําหนดเวลาไว้ของ Windows ลําดับการดําเนินการอัปเดตตามรีจิสทรี และการบันทึกในตัวและพฤติกรรมการลองอีกครั้ง เมื่อทํางานร่วมกัน คอมโพเนนต์เหล่านี้จะช่วยให้แน่ใจว่าใบรับรองการบูตแบบปลอดภัยและตัวจัดการการเริ่มต้นระบบของ Windows ได้รับการอัปเดตในลักษณะที่มีการควบคุมและเป็นลําดับ และหลังจากขั้นตอนเบื้องต้นสําเร็จแล้วเท่านั้น

กลับไปด้านบน

ตําแหน่งที่จะเริ่มต้นเมื่อแก้ไขปัญหา

เมื่ออุปกรณ์ไม่แสดงความคืบหน้าตามที่คาดหวังในการใช้การอัปเดตใบรับรองการบูตแบบปลอดภัย ให้เริ่มต้นด้วยการระบุประเภทของปัญหา ปัญหาส่วนใหญ่อาจเป็นหนึ่งในสี่ด้านต่อไปนี้: สถานะการบริการของ Windows กลไกการอัปเดตการบูตแบบปลอดภัย ลักษณะการทํางานของเฟิร์มแวร์ หรือข้อจํากัดของแพลตฟอร์มหรือของ OEM

เริ่มด้วยการตรวจสอบด้านล่างตามลําดับ ในหลายกรณี ขั้นตอนเหล่านี้เพียงพอที่จะอธิบายพฤติกรรมที่สังเกตได้และกําหนดการดําเนินการต่อไปโดยไม่ต้องตรวจสอบในเชิงลึกยิ่งขึ้น

1. ยืนยันสิทธิ์ของบริการและแพลตฟอร์ม Windows

   1. ตรวจสอบว่าอุปกรณ์ตรงตามข้อกําหนดพื้นฐานเพื่อรับการอัปเดตใบรับรอง Secure Boot:
   2. อุปกรณ์กําลังใช้งาน Windows เวอร์ชันที่รองรับ
   3. การอัปเดตความปลอดภัยของ Windows ที่จําเป็นล่าสุดได้รับการติดตั้งแล้ว
   4. การบูตแบบปลอดภัยเปิดใช้งานในเฟิร์มแวร์ UEFI
   5. หากไม่ตรงตามเงื่อนไขใดๆ เหล่านี้ ให้แก้ไขปัญหาเหล่านั้นก่อนดําเนินการแก้ไขปัญหาเพิ่มเติม

2. ตรวจสอบสถานะงาน Secure-Boot-Update

   1. ยืนยันว่ากลไกของ Windows ที่รับผิดชอบในการใช้การอัปเดตใบรับรองการบูตแบบปลอดภัยมีอยู่และทํางาน:
   2. มีงานที่กําหนดเวลาไว้ของ Secure-Boot-Update
   3. งานถูกเปิดใช้งานและเรียกใช้เป็นระบบภายใน
   4. งานดังกล่าวมีการเรียกใช้อย่างน้อยหนึ่งครั้งนับตั้งแต่มีการติดตั้งการอัปเดตความปลอดภัยของ Windows ครั้งล่าสุด
   5. หากงานถูกปิดใช้งาน ถูกลบ หรือไม่ทํางาน การอัปเดตใบรับรองการบูตแบบปลอดภัยจะไม่สามารถใช้งานได้ การแก้ไขปัญหาควรมุ่งเน้นไปที่การคืนค่างานก่อนที่จะตรวจสอบสาเหตุอื่นๆ

3. ตรวจสอบการตั้งค่ารีจิสทรีสําหรับความคืบหน้าที่คาดไว้
   ตรวจสอบสถานะการบริการการบูตแบบปลอดภัยของอุปกรณ์ในรีจิสทรี:

   1. ตรวจสอบ UEFICA2023Status, UEFICA2023Error และ UEFICA2023ErrorEvent
   2. ตรวจสอบ AvailableUpdates และเปรียบเทียบกับความคืบหน้าที่คาดไว้ (ดูข้อมูลอ้างอิงและข้อมูลภายใน)

   เมื่อรวมเข้าด้วยกัน ค่าเหล่านี้จะระบุว่าการให้บริการกําลังดําเนินการตามปกติ ลองดําเนินการใหม่ หรือหยุดการทํางานในขั้นตอนใดขั้นตอนหนึ่ง

4. เชื่อมโยงสถานะรีจิสทรีกับเหตุการณ์การบูตแบบปลอดภัย
   ตรวจสอบเหตุการณ์ที่เกี่ยวข้องกับการบูตแบบปลอดภัยในบันทึกเหตุการณ์ของระบบ และเชื่อมโยงเหตุการณ์เหล่านั้นกับสถานะรีจิสทรี โดยทั่วไปข้อมูลเหตุการณ์จะยืนยันว่าอุปกรณ์กําลังดําเนินการต่อ ลองใหม่เนื่องจากสภาวะชั่วคราว หรือถูกบล็อกโดยปัญหาเฟิร์มแวร์หรือแพลตฟอร์มหรือไม่
   รีจิสทรีและบันทึกเหตุการณ์มักจะระบุว่าลักษณะการทํางานนั้นเป็นแบบคาดไว้ ชั่วคราว หรือจําเป็นต้องดําเนินการแก้ไข

กลับไปด้านบน

งานที่กําหนดเวลาไว้ Secure-Boot-Update

การให้บริการใบรับรองการบูตแบบปลอดภัยจะถูกนําไปใช้ผ่านงานที่กําหนดเวลาไว้ของ Windows ที่เรียกว่า การบูตแบบปลอดภัย-อัปเดต ลงทะเบียนงานที่เส้นทางต่อไปนี้:

งานจะทํางานเป็นระบบภายใน ตามค่าเริ่มต้น จะทํางานเมื่อเริ่มต้นระบบและทุกๆ 12 ชั่วโมงหลังจากนั้น ทุกครั้งที่ดําเนินการ ระบบจะตรวจสอบว่าการดําเนินการอัปเดตการบูตแบบปลอดภัยกําลังค้างอยู่หรือไม่ และพยายามนําไปใช้ตามลําดับ

หากงานนี้ถูกปิดใช้งานหรือหายไป จะไม่สามารถนําการอัปเดตใบรับรองการบูตแบบปลอดภัยไปใช้ได้ งาน Secure-Boot-Update ต้องเปิดใช้งานเพื่อให้การบริการ Secure Boot ทํางานได้

กลับไปด้านบน

เหตุใดจึงต้องใช้งานที่กําหนดเวลาไว้

การอัปเดตใบรับรองการบูตแบบปลอดภัยจําเป็นต้องมีการประสานงานระหว่างเฟิร์มแวร์ Windows และ UEFI ซึ่งรวมถึงการเขียนตัวแปร UEFI ที่จัดเก็บคีย์และใบรับรองการบูตแบบปลอดภัย งานที่กําหนดเวลาไว้ช่วยให้ Windows พยายามอัปเดตเหล่านี้เมื่อระบบอยู่ในสถานะที่สามารถแก้ไขตัวแปรเฟิร์มแวร์ได้

กําหนดการ 12 ชั่วโมงที่เป็นกิจวัตรมอบโอกาสเพิ่มเติมในการลองอัปเดตอีกครั้งหากความพยายามก่อนหน้านี้ล้มเหลว หรือหากอุปกรณ์ยังคงเปิดเครื่องอยู่โดยไม่เริ่มระบบใหม่ การออกแบบนี้ช่วยให้มั่นใจถึงความคืบหน้าไปข้างหน้าโดยไม่ต้องมีการแทรกแซงด้วยตนเอง

กลับไปด้านบน

บิตมาสก์รีจิสทรี AvailableUpdates

งาน Secure-Boot-Update ขับเคลื่อนโดยค่ารีจิสทรี AvailableUpdates ค่านี้เป็นบิตมาสก์ 32 บิตที่อยู่ที่:

แต่ละบิตในค่าแสดงการดําเนินการอัปเดตการบูตแบบปลอดภัยที่เฉพาะเจาะจง กระบวนการอัปเดตจะเริ่มต้นเมื่อ AvailableUpdates ถูกตั้งค่าเป็นค่าที่ไม่ใช่ศูนย์ ไม่ว่าจะโดยอัตโนมัติโดย Windows หรือโดยผู้ดูแลระบบอย่างชัดเจน ตัวอย่างเช่น ค่า เช่น 0x5944 จะระบุว่าการดําเนินการอัปเดตหลายรายการกําลังรอดําเนินการ

เมื่องาน Secure-Boot-Update ทํางาน จะแปลบิตที่ตั้งไว้ในงานที่ค้างอยู่ และประมวลผลบิตเหล่านั้นตามลําดับที่กําหนดไว้

กลับไปด้านบน

ลักษณะการทํางานการอัปเดต การบันทึก และการทดลองซ้ําตามลําดับ

การอัปเดตใบรับรองการบูตแบบปลอดภัยจะถูกนําไปใช้ตามลําดับคงที่ การดําเนินการอัปเดตแต่ละครั้งได้รับการออกแบบมาให้ลองอีกครั้งได้อย่างปลอดภัย และดําเนินการให้เสร็จสมบูรณ์ได้อย่างอิสระ งาน Secure-Boot-Update จะไม่ไปยังขั้นตอนถัดไปจนกว่าการดําเนินการปัจจุบันจะสําเร็จ และบิตที่เกี่ยวข้องจะถูกล้างออกจาก AvailableUpdates

แต่ละการดําเนินการใช้ส่วนติดต่อ UEFI มาตรฐานเพื่ออัปเดตตัวแปรการบูตแบบปลอดภัย เช่น DB และ KEK หรือเพื่อติดตั้งตัวจัดการการเริ่มต้นระบบ Windows ที่อัปเดตแล้ว Windows จะบันทึกผลลัพธ์ของทุกขั้นตอนในบันทึกเหตุการณ์ของระบบ เหตุการณ์ที่สําเร็จจะยืนยันความคืบหน้าในการส่งต่อ ในขณะที่เหตุการณ์ความล้มเหลวจะระบุสาเหตุที่ไม่สามารถดําเนินการให้เสร็จสมบูรณ์ได้

ถ้าขั้นตอนการอัปเดตล้มเหลว งานจะหยุดการประมวลผล บันทึกข้อผิดพลาด และปล่อยให้การตั้งค่าบิตที่เกี่ยวข้องอยู่ การดําเนินการจะถูกลองอีกครั้งในครั้งต่อไปที่งานทํางานนั้น ลักษณะการทดลองใช้ซ้ํานี้ช่วยให้อุปกรณ์สามารถกู้คืนโดยอัตโนมัติจากสภาวะชั่วคราว เช่น การสนับสนุนเฟิร์มแวร์ขาดหายไปหรือการอัปเดต OEM ล่าช้า

ผู้ดูแลระบบสามารถติดตามความคืบหน้าโดยเชื่อมโยงสถานะรีจิสทรีกับรายการบันทึกเหตุการณ์ ค่ารีจิสทรี เช่น UEFICA2023Status, UEFICA2023Error และ UEFICA2023ErrorEvent พร้อมกับบิตมาสก์ AvailableUpdates จะระบุว่าขั้นตอนใดที่ใช้งานอยู่ เสร็จสมบูรณ์ หรือถูกบล็อก

ชุดนี้แสดงให้เห็นว่าอุปกรณ์กําลังดําเนินการตามปกติ ลองดําเนินการใหม่ หรือหยุดกลางคัน

กลับไปด้านบน

การผสานรวมกับเฟิร์มแวร์ OEM

การอัปเดตใบรับรองการบูตแบบปลอดภัยจะขึ้นอยู่กับลักษณะการทํางานที่ถูกต้องและการสนับสนุนในเฟิร์มแวร์ UEFI ของอุปกรณ์ ในขณะที่ Windows ประสานกระบวนการอัปเดต เฟิร์มแวร์จะทําหน้าที่บังคับใช้นโยบายการบูตแบบปลอดภัยและดูแลรักษาฐานข้อมูลการบูตแบบปลอดภัย

OEM มีองค์ประกอบสําคัญสองอย่างที่เปิดใช้งานการให้บริการใบรับรองการบูตแบบปลอดภัย:

• Key Exchange Key (KEK) ที่ลงนามด้วยคีย์แพลตฟอร์มที่อนุญาตการติดตั้งใบรับรองการบูตแบบปลอดภัยใหม่
• การใช้งานเฟิร์มแวร์ที่รักษา ผนวก และตรวจสอบฐานข้อมูลการบูตแบบปลอดภัยระหว่างการอัปเดตอย่างถูกต้อง

หากเฟิร์มแวร์ไม่สนับสนุนลักษณะการทํางานเหล่านี้อย่างสมบูรณ์ การอัปเดตการบูตแบบปลอดภัยอาจหยุดทํางาน ลองอีกครั้งอย่างไม่มีกําหนด หรือส่งผลให้การบูตล้มเหลว ในกรณีเหล่านี้ Windows ไม่สามารถดําเนินการอัปเดตให้เสร็จสมบูรณ์ได้โดยไม่มีการเปลี่ยนแปลงเฟิร์มแวร์

Microsoft ทํางานร่วมกับ OEM เพื่อระบุปัญหาเฟิร์มแวร์และเตรียมการอัปเดตที่แก้ไขแล้ว เมื่อการแก้ไขปัญหาระบุข้อจํากัดเฟิร์มแวร์หรือข้อบกพร่อง ผู้ดูแลระบบอาจต้องติดตั้งการอัปเดตเฟิร์มแวร์ UEFI ล่าสุดที่ผู้ผลิตอุปกรณ์จัดหาให้ก่อน ก่อนที่การอัปเดตใบรับรองการบูตแบบปลอดภัยจะเสร็จสมบูรณ์

กลับไปด้านบน

สถานการณ์ความล้มเหลวทั่วไปและวิธีแก้ไข

การอัปเดตการบูตแบบปลอดภัยจะถูกนําไปใช้โดยงานที่กําหนดการบูตแบบปลอดภัย-บูต-อัปเดต ตามสถานะรีจิสทรี AvailableUpdates

ภายใต้สภาวะปกติ ขั้นตอนเหล่านี้จะเกิดขึ้นโดยอัตโนมัติและบันทึกเหตุการณ์ที่ประสบความสําเร็จเมื่อแต่ละขั้นตอนเสร็จสมบูรณ์ ในบางกรณี ลักษณะการทํางานของเฟิร์มแวร์ การกําหนดค่าแพลตฟอร์ม หรือข้อกําหนดเบื้องต้นในการให้บริการอาจขัดขวางความคืบหน้า หรือนําไปสู่พฤติกรรมการบูตที่ไม่คาดคิด

ส่วนด้านล่างนี้อธิบายสถานการณ์ความล้มเหลวที่พบบ่อยที่สุด วิธีการตรวจสอบ สาเหตุที่เกิดขึ้น และขั้นตอนถัดไปที่เหมาะสมในการคืนค่าการทํางานปกติ สถานการณ์จะเรียงลําดับจากกรณีที่พบบ่อยที่สุดไปจนถึงกรณีที่ส่งผลกระทบต่อการบูตรุนแรงกว่า

การอัปเดตการบูตแบบปลอดภัยไม่นําไปใช้ (ไม่มีความคืบหน้า)

เมื่อการอัปเดตการบูตแบบปลอดภัยไม่แสดงความคืบหน้า โดยทั่วไปหมายความว่ากระบวนการอัปเดตไม่เคยเริ่มต้นขึ้น ด้วยเหตุนี้ ค่ารีจิสทรีการบูตแบบปลอดภัยที่คาดไว้และบันทึกเหตุการณ์จะหายไปเนื่องจากกลไกการอัปเดตไม่เคยถูกทริกเกอร์

เกิดอะไรขึ้น

กระบวนการอัปเดตการบูตแบบปลอดภัยไม่เริ่มต้น ดังนั้นจึงไม่มีใบรับรองการบูตแบบปลอดภัยหรือตัวจัดการการบูตที่อัปเดตถูกนําไปใช้กับอุปกรณ์

วิธีจดจํา

• ไม่มีค่ารีจิสทรีการบริการการบูตแบบปลอดภัย เช่น UEFICA2023Status
• เหตุการณ์การบูตแบบปลอดภัยที่คาดไว้ (ตัวอย่างเช่น 1043, 1044, 1045, 1799, 1801) หายไปจากบันทึกเหตุการณ์ของระบบ
• อุปกรณ์ยังคงใช้ใบรับรองการบูตแบบปลอดภัยและคอมโพเนนต์การเริ่มต้นระบบที่เก่ากว่า

สาเหตุ

โดยปกติแล้วสถานการณ์นี้จะเกิดขึ้นเมื่อเงื่อนไขต่อไปนี้อย่างน้อยหนึ่งข้อเป็นจริง

• งานที่กําหนดเวลาไว้ของ Secure-Boot-Update ถูกปิดใช้งานหรือขาดหายไป
• การบูตแบบปลอดภัยถูกปิดใช้งานในเฟิร์มแวร์ UEFI
• อุปกรณ์ไม่ตรงตามข้อกําหนดเบื้องต้นในการให้บริการ Windows เช่น การเรียกใช้ Windows เวอร์ชันที่รองรับ หรือมีการติดตั้งการอัปเดตที่จําเป็น

จะทำอย่างไรต่อไป

• ตรวจสอบว่าอุปกรณ์ตรงตามข้อกําหนดสิทธิ์ของบริการและแพลตฟอร์มของ Windows
• ตรวจสอบว่าได้เปิดใช้งานการบูตแบบปลอดภัยในเฟิร์มแวร์
• ตรวจสอบให้แน่ใจว่ามีงานที่กําหนดเวลาไว้ SecureBootUpdate อยู่และเปิดใช้งานแล้ว

หากงานที่กําหนดเวลาไว้ถูกปิดใช้งานหรือหายไป ให้ทําตามคําแนะนําใน การ บูตแบบปลอดภัย งานที่กําหนดเวลาไว้ ถูกปิดใช้งานหรือลบออก เพื่อคืนค่า หลังจากงานได้รับการคืนค่า ให้เริ่มการทํางานของอุปกรณ์ใหม่หรือเรียกใช้งานด้วยตนเองเพื่อเริ่มต้นการบริการการบูตแบบปลอดภัย

อุปกรณ์บูตเข้าสู่การกู้คืน BitLocker หลังจากการอัปเดตการบูตแบบปลอดภัย

ในบางกรณี การอัปเดตที่เกี่ยวข้องกับการบูตแบบปลอดภัยอาจทําให้อุปกรณ์เข้าสู่การกู้คืน BitLocker ลักษณะการทํางานอาจเป็นแบบชั่วคราวหรือแบบถาวรก็ได้ ขึ้นอยู่กับสาเหตุที่ซ่อนอยู่

สถานการณ์ที่ 1: การกู้คืน BitLocker ครั้งเดียวหลังจากการอัปเดตการบูตแบบปลอดภัย

สิ่งที่เกิดขึ้น

อุปกรณ์จะเข้าสู่การกู้คืนของ BitLocker ในการบูตครั้งแรกหลังจากการอัปเดตการบูตแบบปลอดภัย แต่บูตตามปกติในการบูตใหม่ในภายหลัง

สาเหตุ

ในระหว่างการบูตครั้งแรกหลังจากการอัปเดต เฟิร์มแวร์ยังไม่รายงานค่าการบูตแบบปลอดภัยที่อัปเดตเมื่อ Windows พยายามปิดผนึก BitLocker อีกครั้ง ซึ่งทําให้เกิดค่าการบูตที่วัดได้ไม่ตรงกันชั่วคราวและทริกเกอร์การกู้คืน ในการบูตครั้งถัดไป เฟิร์มแวร์จะรายงานค่าที่อัปเดตอย่างถูกต้อง BitLocker จะปิดผนึกใหม่ได้สําเร็จ และปัญหาจะไม่เกิดขึ้นอีก

วิธีจดจํา

• การกู้คืน BitLocker เกิดขึ้นครั้งเดียว
• หลังจากใส่คีย์การกู้คืน การบูตในภายหลังจะไม่แจ้งให้กู้คืน
• ไม่มีลําดับการบูตที่กําลังดําเนินอยู่หรือมีส่วนเกี่ยวข้องของ PXE

จะทำอย่างไรต่อไป

• ป้อนคีย์การกู้คืน BitLocker เพื่อดําเนินการ Windows ต่อ
• ตรวจหาการอัปเดตเฟิร์มแวร์

สถานการณ์ที่ 2: การกู้คืน BitLocker ซ้ําๆ เนื่องจากการกําหนดค่าการบูตครั้งแรกของ PXE

สิ่งที่เกิดขึ้น

อุปกรณ์จะเข้าสู่การกู้คืน BitLocker ในการบูตทุกครั้ง

สาเหตุ

อุปกรณ์ได้รับการกําหนดค่าให้พยายามบูตแบบ PXE (เครือข่าย) ก่อน ความพยายามในการเริ่มต้นระบบ PXE ล้มเหลว และเฟิร์มแวร์จะกลับไปยังตัวจัดการการเริ่มต้นระบบ Windows บนดิสก์

ส่งผลให้มีการ วัดหน่วยงานการลงนามที่แตกต่างกันสองหน่วยงานในระหว่างรอบการบูตเดียว:

• เส้นทางการบูตแบบ PXE ลงนามโดย Microsoft UEFI CA 2011
• ตัวจัดการการเริ่มต้นระบบ Windows บนดิสก์ได้รับการรับรองโดย Windows UEFI CA 2023

เนื่องจาก BitLocker สังเกตเชนความน่าเชื่อถือของการบูตแบบปลอดภัยที่แตกต่างกันในระหว่างการเริ่มต้นทํางาน จึงไม่สามารถสร้างชุดการวัด TPM ที่เสถียรเพื่อปิดผนึกอีกครั้ง ด้วยเหตุนี้ BitLocker จึงเข้าสู่การกู้คืนในการบูตทุกครั้ง

วิธีจดจํา

• การกู้คืน BitLocker จะถูกทริกเกอร์ทุกครั้งที่รีสตาร์ต
• การป้อนคีย์การกู้คืนจะอนุญาตให้ Windows เริ่มต้นระบบ แต่พร้อมท์จะกลับมาในการบูตครั้งถัดไป
• PXE หรือการบูตเครือข่ายได้รับการกําหนดค่าก่อนดิสก์ภายในเครื่องในลําดับการบูตเฟิร์มแวร์

จะทำอย่างไรต่อไป

• กําหนดค่าลําดับการบูตเฟิร์มแวร์ เพื่อให้ตัวจัดการการเริ่มต้นระบบ Windows บนดิสก์เป็นลําดับแรก
• ปิดใช้งานการบูตแบบ PXE หากไม่จําเป็น
• หากจําเป็นต้องใช้ PXE ตรวจสอบให้แน่ใจว่าโครงสร้างพื้นฐาน PXE ใช้ Windows Boot loader ที่มีลายเซ็นปี 2023

อุปกรณ์ไม่สามารถเริ่มต้นระบบได้หลังจากรีเซ็ตการบูตแบบปลอดภัยใหม่

เกิดอะไรขึ้น

ซึ่งแสดงให้เห็นถึงการเปลี่ยนแปลงระดับเฟิร์มแวร์มากกว่าปัญหาของ Windows การอัปเดตการบูตแบบปลอดภัยเสร็จสมบูรณ์ แต่หลังจากรีสตาร์ตในภายหลัง อุปกรณ์จะไม่บูตเข้าสู่ Windows อีกต่อไป

วิธีจดจํา

• อุปกรณ์ไม่สามารถเริ่มต้น Windows และอาจแสดงเฟิร์มแวร์หรือข้อความ BIOS ที่บ่งชี้การละเมิดการบูตแบบปลอดภัย
• ความล้มเหลวเกิดขึ้นหลังจากมีการรีเซ็ตการตั้งค่าการบูตแบบปลอดภัยเป็นค่าเริ่มต้นของเฟิร์มแวร์
• การปิดใช้งานการบูตแบบปลอดภัยอาจทําให้อุปกรณ์สามารถบูตได้อีกครั้ง

สาเหตุ

การรีเซ็ตการบูตแบบปลอดภัยเป็นค่าเริ่มต้นเฟิร์มแวร์จะล้างฐานข้อมูลการบูตแบบปลอดภัยที่เก็บไว้ในเฟิร์มแวร์ ในอุปกรณ์ที่เปลี่ยนไปใช้ตัวจัดการการบูตที่ลงนามใน Windows UEFI CA 2023 แล้ว การรีเซ็ตนี้จะนําใบรับรองที่จําเป็นในการเชื่อถือตัวจัดการการบูตนั้นออก

ด้วยเหตุนี้ เฟิร์มแวร์จะไม่รู้จักตัวจัดการการเริ่มต้นระบบ Windows ที่ติดตั้งไว้ว่าเป็นเชื่อถือได้อีกต่อไป และจะบล็อกกระบวนการเริ่มต้นระบบ

สถานการณ์นี้ไม่ได้เกิดจากการอัปเดตการบูตแบบปลอดภัย แต่เกิดจากการดําเนินการของเฟิร์มแวร์ในภายหลังที่ลบจุดยึดความน่าเชื่อถือที่อัปเดตแล้ว

จะทำอย่างไรต่อไป

• ใช้โปรแกรมอรรถประโยชน์การกู้คืนการเริ่มต้นระบบแบบปลอดภัยเพื่อคืนค่าใบรับรองที่จําเป็น เพื่อให้อุปกรณ์สามารถเริ่มต้นระบบได้อีกครั้ง
• หลังจากการกู้คืน ตรวจสอบให้แน่ใจว่าอุปกรณ์มีเฟิร์มแวร์ล่าสุดที่ติดตั้งจากผู้ผลิตอุปกรณ์
• หลีกเลี่ยงการรีเซ็ตการบูตแบบปลอดภัยเป็นค่าเริ่มต้นเฟิร์มแวร์ เว้นแต่เฟิร์มแวร์ OEM จะมีค่าเริ่มต้นการบูตแบบปลอดภัยที่อัปเดตแล้วซึ่งเชื่อถือใบรับรองปี 2023

โปรแกรมอรรถประโยชน์การกู้คืนการบูตแบบปลอดภัย

ในการกู้คืนระบบ:

1. บนพีซี Windows เครื่องที่สองที่ติดตั้งการอัปเดต Windows เดือนกรกฎาคม 2024 หรือใหม่กว่า ให้คัดลอก SecureBootRecovery.efi จาก C:\Windows\Boot\EFI\
2. วางไฟล์บนไดรฟ์ USB ที่ฟอร์แมต FAT32 ภายใต้ \EFI\BOOT\ และเปลี่ยนชื่อเป็น bootx64.efi
3. เริ่มต้นระบบอุปกรณ์ที่ได้รับผลกระทบจากไดรฟ์ USB และอนุญาตให้โปรแกรมอรรถประโยชน์การกู้คืนทํางาน ยูทิลิตี้จะเพิ่ม Windows UEFI CA 2023 ลงในฐานข้อมูล

หลังจากใบรับรองได้รับการคืนค่าและระบบเริ่มระบบใหม่แล้ว Windows ควรเริ่มต้นการทํางานตามปกติ

สําคัญ: กระบวนการนี้จะใช้ใบรับรองใหม่เพียงใบรับรองเดียวเท่านั้น เมื่อกู้คืนอุปกรณ์แล้ว ตรวจสอบให้แน่ใจว่ามีการใช้ใบรับรองล่าสุดอีกครั้ง และพิจารณาอัปเดต BIOS/UEFI ของระบบเป็นเวอร์ชันใหม่ล่าสุดที่พร้อมใช้งาน วิธีนี้สามารถช่วยป้องกันไม่ให้เกิดปัญหาการรีเซ็ตการบูตแบบปลอดภัยซ้ําอีก เนื่องจาก OEM จํานวนมากได้เผยแพร่การแก้ไขเฟิร์มแวร์สําหรับปัญหาเฉพาะนี้

อุปกรณ์ไม่สามารถเริ่มต้นระบบได้หลังจากอัปเดตการบูตแบบปลอดภัย เนื่องจากเฟิร์มแวร์เขียนทับ DB

เกิดอะไรขึ้น

หลังจากใช้การอัปเดตใบรับรองการบูตแบบปลอดภัยและเริ่มระบบใหม่ อุปกรณ์ไม่สามารถเริ่มต้นระบบและไม่สามารถเข้าถึง Windows ได้

วิธีจดจํา

• อุปกรณ์ล้มเหลวทันทีหลังจากเริ่มระบบใหม่ที่จําเป็นสําหรับการอัปเดตการบูตแบบปลอดภัย
• อาจแสดงข้อผิดพลาดเฟิร์มแวร์หรือการบูตแบบปลอดภัย หรือระบบสามารถหยุดก่อนที่ Windows จะโหลด
• การปิดใช้งานการบูตแบบปลอดภัยอาจอนุญาตให้อุปกรณ์เริ่มต้นระบบได้

สาเหตุ

ปัญหานี้อาจเกิดจากข้อบกพร่องในการใช้งานเฟิร์มแวร์ UEFI ของอุปกรณ์

เมื่อ Windows ใช้การอัปเดตใบรับรองการบูตแบบปลอดภัย เฟิร์มแวร์คาดว่าจะ ผนวก ใบรับรองใหม่เข้ากับฐานข้อมูล (DB) ลายเซ็นที่อนุญาตการบูตแบบปลอดภัยที่มีอยู่ การใช้งานเฟิร์มแวร์บางอย่างเขียน ทับ DB อย่างไม่ถูกต้องแทนที่จะผนวกเข้ากับ DB

เมื่อเกิดเหตุการณ์นี้ขึ้น

• ใบรับรองที่เชื่อถือได้ก่อนหน้านี้ รวมถึงใบรับรอง Bootloader Microsoft 2011 จะถูกลบออก
• หากระบบยังคงใช้ตัวจัดการการเริ่มต้นระบบที่ลงชื่อด้วยใบรับรอง 2011 ณ จุดนั้น เฟิร์มแวร์จะไม่เชื่อถือตัวจัดการนั้นอีกต่อไป
• เฟิร์มแวร์ปฏิเสธตัวจัดการการเริ่มต้นระบบและบล็อกกระบวนการเริ่มต้นระบบ

ในบางกรณี DB อาจเสียหายแทนที่จะเขียนทับอย่างหมดจด ซึ่งนําไปสู่ผลลัพธ์เดียวกัน ลักษณะการทํางานนี้ได้รับการตรวจสอบในการใช้งานเฟิร์มแวร์ที่เฉพาะเจาะจง และไม่คาดว่าจะมีในเฟิร์มแวร์ที่ตรงตามมาตรฐาน

จะทำอย่างไรต่อไป

• เข้าสู่เมนูการตั้งค่าเฟิร์มแวร์ และพยายามรีเซ็ตการตั้งค่าการบูตแบบปลอดภัย
• หากอุปกรณ์บูตหลังจากรีเซ็ต ให้ตรวจสอบไซต์สนับสนุนของผู้ผลิตอุปกรณ์สําหรับการอัปเดตเฟิร์มแวร์ที่แก้ไขการจัดการ DB การบูตแบบปลอดภัย
• หากมีการอัปเดตเฟิร์มแวร์ ให้ติดตั้งก่อนที่จะเปิดใช้งานการบูตแบบปลอดภัยใหม่และใช้การอัปเดตใบรับรองการบูตแบบปลอดภัยอีกครั้ง

หากการรีเซ็ตการบูตแบบปลอดภัยไม่คืนค่าฟังก์ชันการบูต อาจจําเป็นต้องใช้คําแนะนําเฉพาะจาก OEM ในการกู้คืนเพิ่มเติม

การอัปเดตการบูตแบบปลอดภัยถูกบล็อกเนื่องจาก KEK ที่ลงนามโดย OEM หายไป

เกิดอะไรขึ้น

การอัปเดตใบรับรองการบูตแบบปลอดภัยยังไม่เสร็จสมบูรณ์และยังคงถูกบล็อกในขั้นตอนการอัปเดตคีย์การแลกเปลี่ยนคีย์ (KEK)

วิธีจดจํา

• ค่ารีจิสทรี AvailableUpdates จะยังคงตั้งค่าด้วยบิต KEK (0x0004) และไม่ถูกล้าง
• UEFICA2023Status ไม่ดําเนินการเป็นสถานะเสร็จสมบูรณ์
• บันทึกเหตุการณ์ของระบบบันทึก ID เหตุการณ์ 1803 ซ้ําๆ ซึ่งระบุว่าไม่สามารถใช้การอัปเดต KEK ได้
• อุปกรณ์ยังคงพยายามอัปเดตอีกครั้งโดยไม่มีความคืบหน้า

สาเหตุ

การอัปเดต KEK การบูตแบบปลอดภัยจําเป็นต้องมีการอนุญาตจาก แพลตฟอร์มคีย์ (PK) ของอุปกรณ์ ซึ่งเป็นของ OEM

เพื่อให้การอัปเดตประสบความสําเร็จ ผู้ผลิตอุปกรณ์จะต้องจัดหา KEK ที่ลงนามด้วย PK ให้กับ Microsoft สําหรับแพลตฟอร์มเฉพาะ KEK ที่ลงนามโดย OEM นี้รวมอยู่ในการอัปเดต Windows และอนุญาตให้ Windows อัปเดตตัวแปร KEK ของเฟิร์มแวร์

หาก OEM ไม่ได้ให้ KEK ที่ลงนามด้วย PK สําหรับอุปกรณ์ Windows จะไม่สามารถดําเนินการอัปเดต KEK ให้เสร็จสมบูรณ์ได้ ในสถานะนี้:

• การอัปเดตการบูตแบบปลอดภัยถูกบล็อกโดยการออกแบบ
• Windows ไม่สามารถแก้ไขการอนุญาตที่ขาดหายไป
• อุปกรณ์ยังคงไม่สามารถให้บริการใบรับรองการบูตแบบปลอดภัยให้เสร็จสมบูรณ์ได้ถาวร

ปัญหานี้อาจเกิดขึ้นได้บนอุปกรณ์รุ่นเก่าหรือไม่ได้รับการสนับสนุน ซึ่ง OEM ไม่ได้ให้เฟิร์มแวร์หรือการอัปเดตที่สําคัญอีกต่อไป ไม่มีเส้นทางการกู้คืนด้วยตนเองที่สนับสนุนสําหรับเงื่อนไขนี้

กลับไปด้านบน

เหตุการณ์การอัปเดตใบรับรองการบูตแบบปลอดภัยและตัวบ่งชี้ความล้มเหลว

เมื่อไม่สามารถใช้การอัปเดตใบรับรองการบูตแบบปลอดภัยได้ Windows จะบันทึกเหตุการณ์การวินิจฉัยที่อธิบายว่าเหตุใดความคืบหน้าจึงถูกบล็อก เหตุการณ์เหล่านี้จะถูกเขียนขึ้นเมื่อไม่สามารถอัปเดตฐานข้อมูลลายเซ็นการบูตแบบปลอดภัย (DB) หรือคีย์ Exchange Key (KEK) ให้เสร็จสมบูรณ์ได้อย่างปลอดภัยเนื่องจากเฟิร์มแวร์ สถานะของแพลตฟอร์ม หรือสภาวะการกําหนดค่า สถานการณ์ในส่วนนี้จะอ้างอิงเหตุการณ์เหล่านี้เพื่อระบุรูปแบบความล้มเหลวทั่วไปและกําหนดการแก้ไขที่เหมาะสม ส่วนนี้มีวัตถุประสงค์เพื่อสนับสนุนการวินิจฉัยและการตีความปัญหาที่อธิบายไว้ก่อนหน้านี้ ไม่ใช่เพื่อแนะนําสถานการณ์ความล้มเหลวใหม่

สําหรับรายการทั้งหมดของรหัสเหตุการณ์ คําอธิบาย และรายการตัวอย่าง โปรดดู Secure Boot DB และเหตุการณ์การอัปเดตตัวแปร DBX (KB5016061)

การอัปเดต KEK ล้มเหลว (การอัปเดต DB สําเร็จ KEK ไม่สําเร็จ)

อุปกรณ์สามารถอัปเดตใบรับรองใน DB การบูตแบบปลอดภัยได้สําเร็จ แต่ล้มเหลวระหว่างการอัปเดต KEK เมื่อเกิดเหตุการณ์นี้ขึ้น จะไม่สามารถดําเนินการกระบวนการอัปเดตการบูตแบบปลอดภัยให้เสร็จสมบูรณ์ได้

อาการ

• เหตุการณ์ใบรับรอง DB ระบุความคืบหน้า แต่ขั้นตอน KEK ยังไม่เสร็จสมบูรณ์
• AvailableUpdates จะยังคงถูกตั้งค่าเป็น 0x4004 และบิต 0x0004 จะไม่ถูกล้างหลังจากเรียกใช้งานหลายงาน
• เหตุการณ์ 1795 หรือ 1803 อาจมีอยู่

การตีความ

• โดยทั่วไปแล้ว 1795 จะระบุความล้มเหลวของเฟิร์มแวร์ขณะพยายามอัปเดตตัวแปรการบูตแบบปลอดภัย
• 1803 ระบุว่าไม่สามารถอนุญาตการอัปเดต KEK ได้เนื่องจากส่วนข้อมูล KEK ที่ลงนามใน OEM PK ที่จําเป็นไม่พร้อมใช้งานสําหรับแพลตฟอร์ม

ขั้นตอนถัดไป

• สําหรับ 1795 ให้ตรวจหาการอัปเดตเฟิร์มแวร์ OEM และตรวจสอบการสนับสนุนเฟิร์มแวร์สําหรับการอัปเดตตัวแปรการบูตแบบปลอดภัย
• สําหรับ 1803 ให้ยืนยันว่า OEM ได้จัดหา KEK ที่มีลายเซ็น PK ที่จําเป็นสําหรับรุ่นของอุปกรณ์ให้ Microsoft หรือไม่

การอัปเดต KEK ล้มเหลวบนเครื่องเสมือน Guest ที่โฮสต์บน Hyper-V

บนเครื่องเสมือน Hyper-V การอัปเดตใบรับรองการบูตแบบปลอดภัยจําเป็นต้องติดตั้งการอัปเดต Windows ประจําเดือนมีนาคม 2026 ทั้งบนโฮสต์ Hyper-V และระบบปฏิบัติการ guest

ความล้มเหลวในการอัปเดตจะถูกรายงาน จากภายในผู้เยี่ยมชม แต่เหตุการณ์จะระบุตําแหน่งที่จําเป็นต้องมีการแก้ไข:

• เหตุการณ์ 1795 (ตัวอย่างเช่น "สื่อถูกป้องกันการเขียน") ที่รายงานใน ผู้เยี่ยมชม ระบุว่า โฮสต์ Hyper-V ไม่มีการอัปเดตประจําเดือนมีนาคม 2026 และต้องได้รับการอัปเดต
• เหตุการณ์ 1803 ที่รายงานในตัว ผู้เยี่ยมชม ระบุว่า เครื่องเสมือนแบบผู้เยี่ยมชม ไม่มีการอัปเดตประจําเดือนมีนาคม 2026 และต้องได้รับการอัปเดต

กลับไปด้านบน

ข้อมูลอ้างอิงและข้อมูลภายใน

ส่วนนี้มีข้อมูลอ้างอิงขั้นสูงที่มีไว้สําหรับการแก้ไขปัญหาและการสนับสนุน ซึ่งไม่ได้มีไว้สําหรับการวางแผนการปรับใช้ ซึ่งขยายกลไกการให้บริการการบูตแบบปลอดภัยที่สรุปไว้ก่อนหน้านี้ และให้เอกสารอ้างอิงโดยละเอียดสําหรับการตีความสถานะรีจิสทรีและบันทึกเหตุการณ์

หมายเหตุ (การปรับใช้ที่มีการจัดการโดยฝ่าย IT): เมื่อกําหนดค่าผ่านนโยบายกลุ่มหรือ Microsoft Intune การตั้งค่าที่คล้ายกันสองอย่างไม่ควรสับสน ค่า AvailableUpdatesPolicy แสดงถึงสถานะนโยบายที่กําหนดค่าไว้ ในขณะเดียวกัน AvailableUpdates จะแสดงสถานะงานที่อยู่ระหว่างดําเนินการและมีการล้างบิต ทั้งสองอย่างสามารถขับเคลื่อนผลลัพธ์เดียวกัน แต่ทํางานแตกต่างกันเนื่องจากนโยบายจะนําไปใช้ใหม่เมื่อเวลาผ่านไป

กลับไปด้านบน

บิต AvailableUpdates ที่ใช้สําหรับการให้บริการใบรับรอง

บิตด้านล่างนี้ใช้สําหรับการดําเนินการของใบรับรองและตัวจัดการการเริ่มต้นระบบที่อธิบายไว้ในเอกสารนี้ คอลัมน์ Order จะแสดงลําดับที่งาน Secure-Boot-Update ประมวลผลแต่ละบิต

คําสั่งซื้อ	การตั้งค่าบิต	การใช้
1	0x0040	บิตนี้จะบอกงานที่กําหนดเวลาไว้ให้เพิ่มใบรับรอง Windows UEFI CA 2023 ลงในฐานข้อมูลการบูตแบบปลอดภัย การทําเช่นนี้จะช่วยให้ Windows เชื่อถือตัวจัดการการบูตที่ลงชื่อโดยใบรับรองนี้
2	0x0800	บิตนี้จะบอกงานที่กําหนดเวลาไว้เพื่อใช้ Microsoft Option ROM UEFI CA 2023 กับ DB ลักษณะการทํางานตามเงื่อนไข: เมื่อตั้งค่าสถานะ 0x4000 งานที่กําหนดเวลาไว้จะตรวจสอบฐานข้อมูลสําหรับใบรับรอง Microsoft Corporation UEFI CA 2011 ก่อน ซึ่งจะนําใบรับรอง Microsoft Option ROM UEFI CA 2023ไปใช้ก็ต่อเมื่อ มีใบรับรอง 2011 อยู่เท่านั้น
3	0x1000	บิตนี้จะบอกงานที่กําหนดเวลาไว้ให้นํา Microsoft UEFI CA 2023 ไปใช้กับ DB ลักษณะการทํางานตามเงื่อนไข: เมื่อตั้งค่าสถานะ 0x4000 งานที่กําหนดเวลาไว้จะตรวจสอบฐานข้อมูลสําหรับใบรับรอง Microsoft Corporation UEFI CA 2011 ก่อน ซึ่งจะนําใบรับรอง Microsoft UEFI CA 2023 ไปใช้ ก็ต่อเมื่อ มีใบรับรอง 2011 อยู่เท่านั้น
ตัวปรับเปลี่ยน (ค่าสถานะลักษณะการทํางาน)	0x4000	บิตนี้จะปรับเปลี่ยนลักษณะการทํางานของบิต 0x0800 และ 0x1000 เพื่อให้ Microsoft UEFI CA 2023 และ Microsoft Option ROM UEFI CA 2023 ถูกนําไปใช้เฉพาะเมื่อฐานข้อมูลมี Microsoft Corporation UEFI CA 2011 อยู่แล้ว เพื่อช่วยให้มั่นใจว่าโปรไฟล์ความปลอดภัยของอุปกรณ์ยังคงเหมือนเดิม บิตนี้จะนําใบรับรองใหม่เหล่านี้ไปใช้ก็ต่อเมื่ออุปกรณ์เชื่อถือ ใบรับรอง Microsoft Corporation UEFI CA 2011 เท่านั้น อุปกรณ์ Windows บางเครื่องไม่เชื่อถือใบรับรองนี้
4	0x0004	บิตนี้จะบอกงานที่กําหนดเวลาไว้ให้ค้นหาคีย์การแลกคีย์ที่เซ็นโดยคีย์แพลตฟอร์ม (PK) ของอุปกรณ์ PK ได้รับการจัดการโดย OEM OEM ลงนามใน Microsoft KEK ด้วย PK และส่งไปยัง Microsoft ซึ่งจะรวมอยู่ในการอัปเดตแบบสะสมรายเดือน
5	0x0100	บิตนี้จะบอกงานที่กําหนดเวลาไว้ให้นําตัวจัดการการเริ่มต้นระบบที่ลงชื่อโดย Windows UEFI CA 2023 ไปใช้กับพาร์ติชันการเริ่มต้นระบบ ซึ่งจะมาแทนที่ตัวจัดการการเริ่มต้นระบบที่ได้รับการรับรอง PCA 2011 ของ Microsoft Windows Production

หมายเหตุ:

• บิต 0x4000 จะยังคงตั้งค่าอยู่หลังจากประมวลผลบิตอื่นๆ ทั้งหมด
• แต่ละบิตจะถูกประมวลผลโดยงานที่กําหนดเวลาไว้ของ Secure-Boot-Update ตามลําดับที่แสดงไว้ข้างต้น
• หากไม่สามารถประมวลผลบิต 0x0004 ได้เนื่องจาก PK ที่ลงชื่อ KEK ขาดหายไป งานที่กําหนดเวลาไว้จะยังคงใช้การอัปเดตตัวจัดการการบูตที่ระบุโดยบิต 0x0100

กลับไปด้านบน

ความคืบหน้าที่คาดไว้ (AvailableUpdates)

เมื่อการดําเนินการเสร็จสมบูรณ์ Windows จะล้างบิตที่เกี่ยวข้องออกจาก AvailableUpdates หากการดําเนินการล้มเหลว Windows จะบันทึกเหตุการณ์และลองอีกครั้งเมื่องานนั้นทํางานอีกครั้ง

ตารางด้านล่างแสดงความคืบหน้าที่คาดหวังของค่า AvailableUpdates เมื่อการดําเนินการอัปเดตการบูตแบบปลอดภัยแต่ละรายการเสร็จสมบูรณ์

ขั้นตอน	ประมวลผลบิต	Available Updates	คำอธิบาย	บันทึกเหตุการณ์สําเร็จ	รหัสเหตุการณ์ข้อผิดพลาดที่เป็นไปได้
เริ่มต้น		0x5944	สถานะเริ่มต้นก่อนเริ่มให้บริการใบรับรองการบูตแบบปลอดภัย	-	-
1	0x0040	0x5944 → 0x5904	Windows UEFI CA 2023 ถูกเพิ่มลงในฐานข้อมูลการบูตแบบปลอดภัย	1036	1032, 1795, 1796, 1802
2	0x0800	0x5904 → 0x5104	เพิ่ม Microsoft Option ROM UEFI CA 2023 ไปยัง DB หากก่อนหน้านี้อุปกรณ์เชื่อถือ Microsoft UEFI CA 2011	1044	1032, 1795, 1796, 1802
3	0x1000	0x5104 → 0x4104	Microsoft UEFI CA 2023 จะถูกเพิ่มลงใน DB หากอุปกรณ์เชื่อถือ Microsoft UEFI CA 2011 ก่อนหน้านี้	1045	1032, 1795, 1796, 1802
4	0x0004	0x4104 → 0x4100	Microsoft KEK 2K CA 2023 ใหม่ที่เซ็นโดยคีย์แพลตฟอร์ม OEM จะถูกนําไปใช้	1043	1032, 1795, 1796, 1802, 1803
5	0x0100	0x4100 → 0x4000	ติดตั้งตัวจัดการการบูตที่ลงนามโดย Windows UEFI CA 2023 แล้ว	1799	1797

หมายเหตุ

• เมื่อการดําเนินการที่เกี่ยวข้องกับบิตเสร็จสมบูรณ์ บิตนั้นจะถูกล้างออกจาก AvailableUpdates
• ถ้าหนึ่งในการดําเนินการเหล่านี้ล้มเหลว เหตุการณ์จะถูกบันทึก และการดําเนินการจะถูกลองอีกครั้งในครั้งถัดไปที่งานที่จัดกําหนดการเรียกใช้
• บิต 0x4000 คือตัวปรับเปลี่ยนและไม่ได้ล้าง ค่า AvailableUpdates สุดท้ายของ 0x4000 ระบุว่าการดําเนินการอัปเดตที่เกี่ยวข้องทั้งหมดเสร็จสมบูรณ์เรียบร้อยแล้ว
• โดยทั่วไปเหตุการณ์ 1032, 1795, 1796, 1802 จะระบุถึงข้อจํากัดของเฟิร์มแวร์หรือแพลตฟอร์ม
• เหตุการณ์ 1803 ระบุว่า KEK ที่ลงนามกับ OEM PK หายไป

กลับไปด้านบน

ขั้นตอนการแก้ไข

ส่วนนี้แสดงกระบวนการทีละขั้นตอนในการแก้ไขปัญหาการบูตแบบปลอดภัยที่เฉพาะเจาะจง แต่ละขั้นตอนมีขอบเขตไว้ที่เงื่อนไขที่กําหนดไว้อย่างดี และมีวัตถุประสงค์เพื่อปฏิบัติตามหลังจากการวินิจฉัยเบื้องต้นยืนยันว่าปัญหามีผลจริงเท่านั้น ใช้ขั้นตอนเหล่านี้เพื่อคืนค่าลักษณะการบูตแบบปลอดภัยที่คาดไว้ และอนุญาตให้การอัปเดตใบรับรองดําเนินการได้อย่างปลอดภัย อย่าใช้ขั้นตอนเหล่านี้อย่างกว้างขวางหรือเชิงรุก

กลับไปด้านบน

การเปิดใช้งานการบูตแบบปลอดภัยในเฟิร์มแวร์

ถ้าการบูตแบบปลอดภัยถูกปิดใช้งานในเฟิร์มแวร์ของอุปกรณ์ ให้ดู Windows 11 และการบูตแบบปลอดภัยเพื่อดูรายละเอียดเกี่ยวกับการเปิดใช้งานการบูตแบบปลอดภัย

กลับไปด้านบน

Secure Boot งานที่กําหนดเวลาไว้ ปิดใช้งานหรือถูกลบ

งานที่กําหนดเวลาไว้ของ Secure-Boot-Update เป็นสิ่งจําเป็นสําหรับ Windows เพื่อใช้การอัปเดตใบรับรองการบูตแบบปลอดภัย หากงานถูกปิดใช้งานหรือขาดหายไป การให้บริการใบรับรองการบูตแบบปลอดภัยจะไม่ดําเนินการ

รายละเอียดงาน

ชื่องาน	Secure-Boot-Update
เส้นทางงาน	\Microsoft\Windows\PI\
เส้นทางแบบเต็ม	\Microsoft\Windows\PI\Secure-Boot-Update
เรียกใช้เป็น	SYSTEM (ระบบภายในเครื่อง)
ทริกเกอร์	เมื่อเริ่มต้นทํางานและทุกๆ 12 ชั่วโมง
สถานะที่ต้องการ	เปิดใช้งาน

วิธีตรวจสอบสถานะงาน

เรียกใช้จากพร้อมท์ PowerShell ด้วยสิทธิ์ผู้ดูแล:
schtasks.exe /query /TN "\Microsoft\Windows\PI\Secure-Boot-Update" /FO LIST /V

ค้นหาเขตข้อมูล สถานะ ดังนี้

สถานะ	ความหมาย
พร้อม	งานมีอยู่และเปิดใช้งานแล้ว
ปิดใช้งาน	งานมีอยู่แล้ว แต่ต้องเปิดใช้งาน
ข้อผิดพลาด / ไม่พบ	งานหายไป และต้องสร้างขึ้นใหม่

วิธีการเปิดใช้งานหรือสร้างงานใหม่

ถ้าเขตข้อมูลสถานะสําหรับ Secure-Boot-Update เป็น ปิดใช้งาน ข้อผิดพลาด หรือไม่พบ ให้ใช้สคริปต์ตัวอย่างเพื่อเปิดใช้งานงาน: ตัวอย่าง Enable-SecureBootUpdateTask.ps1

หมายเหตุ: นี่คือสคริปต์ตัวอย่าง และไม่ได้รับการสนับสนุนโดย Microsoft ผู้ดูแลระบบควรตรวจสอบและปรับให้เข้ากับสภาพแวดล้อมของตน

ตัวอย่าง:

คําแนะนําในการเรียกใช้

• ถ้าคุณเห็นการเข้าถึงถูกปฏิเสธ ให้เรียกใช้ PowerShell ในฐานะผู้ดูแลระบบอีกครั้ง
• ถ้าสคริปต์ไม่ทํางาน เนื่องจากนโยบายการดําเนินการ ให้ใช้การบายพาสขอบเขตกระบวนการ:

กลับไปด้านบน