Các bản cập nhật khóa đăng ký cho Khởi động An toàn: Các thiết bị Windows có bản cập nhật do CNTT quản lý

Khóa đăng ký

Tất cả các khóa đăng ký Khởi động An toàn được mô tả trong tài liệu này đều nằm trong đường dẫn đăng ký này: 

Bảng sau đây mô tả từng giá trị trong số các giá trị của sổ đăng ký. 

Các phím này hoạt động cùng nhau như thế nào

Người quản trị CNTT đặt cấu hình giá trị đăng ký AvailableUpdates thành 0x5944, điều này cho thấy Windows thực thi cài đặt và cập nhật khóa Khởi động An toàn trên thiết bị.

Khi tiến trình chạy, hệ thống sẽ cập nhật UEFICA2023Status từ NotStarted thành InProgress và cuối cùng là Cập nhật khi thành công. Vì mỗi bit trong 0x5944 được xử lý thành công, nó sẽ được xóa.

Nếu bất kỳ bước nào không thành công, mã lỗi sẽ được ghi lại trong UEFICA2023Error (và trạng thái vẫn là InProgress).

Cơ chế này cung cấp cho người quản trị một cách rõ ràng để kích hoạt và theo dõi việc triển khai trên mỗi thiết bị. 

Triển khai bằng khóa đăng ký 

Triển khai đến một nhóm thiết bị bao gồm các bước sau đây: 

1. Đặt giá trị đăng ký AvailableUpdatesthành 0x5944 cập nhật trên từng thiết bị.

2. Giám sát khóa đăng ký UEFICA2023Status và UEFICA2023Error để biết rằng các thiết bị đang tiến hành. Hãy nhớ rằng tác vụ xử lý các bản cập nhật này sẽ chạy 12 giờ một lần. Lưu ý rằng bản cập nhật trình quản lý khởi động có thể không xảy ra cho đến khi khởi động lại xảy ra.

3. Điều tra vấn đề nếu chúng xảy ra. Nếu UEFICA2023Error không phải là số không trên thiết bị, bạn có thể kiểm tra nhật ký sự kiện cho các sự kiện liên quan đến sự cố này. Xem các sự kiện cập nhật biến số Khởi động An toàn DB và DBX để biết danh sách đầy đủ các sự kiện Khởi động An toàn.

Lưu ý về việc khởi động lại: Mặc dù bạn có thể phải khởi động lại để hoàn tất quy trình, bắt đầu triển khai các bản cập nhật Khởi động An toàn sẽ không khởi động lại. Nếu cần khởi động lại, triển khai Khởi động An toàn dựa vào việc khởi động lại diễn ra như bình thường khi sử dụng thiết bị. 

Kiểm tra thiết bị bằng cách sử dụng khóa đăng ký 

Khi kiểm tra từng thiết bị để đảm bảo rằng các thiết bị sẽ xử lý chính xác các bản cập nhật, khóa đăng ký có thể là một cách đơn giản để kiểm tra. 

Để kiểm tra, hãy chạy từng lệnh sau riêng biệt với lời nhắc PowerShell của người quản trị: 

Lệnh đầu tiên khởi chạy triển khai chứng chỉ và trình quản lý khởi động trên thiết bị. Lệnh thứ hai khiến tác vụ xử lý khóa đăng ký AvailableUpdates chạy ngay lập tức. Thông thường, tác vụ chạy cứ 12 giờ một lần. 

Bạn có thể tìm thấy kết quả bằng cách quan sát khóa đăng ký UEFICA2023Status và UEFICA2023Error và nhật ký sự kiện như được mô tả trong các sự kiện cập nhật biến số Khởi động Bảo mật DB và DBX. 

Chọn tham gia và chọn không tham gia để nhận hỗ trợ 

Khóa đăng ký HighConfidenceOptOut và MicrosoftUpdateManagedOptIn có thể được sử dụng để quản lý hai "hỗ trợ" triển khai được mô tả trong các thiết bị Windows bằng các bản cập nhật được quản lý bởi bộ phận CNTT. 

• Khóa đăng ký HighConfidenceOptOut kiểm soát bản cập nhật tự động của thiết bị thông qua các bản cập nhật tích lũy. Đối với các thiết bị mà Microsoft đã quan sát các thiết bị cụ thể cập nhật thành công, các thiết bị đó sẽ được coi là thiết bị "có độ tin cậy cao" và các bản cập nhật chứng chỉ Khởi động An toàn sẽ tự động diễn ra. Cài đặt mặc định cho tùy chọn này được chọn.

• Khóa đăng ký MicrosoftUpdateManagedOptIn cho phép bộ phận CNTT chọn tham gia triển khai tự động do Microsoft quản lý. Cài đặt này được tắt theo mặc định và đặt thành 1 tùy chọn tham gia. Cài đặt này cũng yêu cầu thiết bị gửi dữ liệu chẩn đoán tùy chọn.

Các phiên bản Windows được hỗ trợ

Bảng này tiếp tục phá vỡ hỗ trợ dựa trên khóa đăng ký. 

Các thay đổi của TPMTasks 

Sửa đổi TPMTasks để xác định xem liệu trạng thái của thiết bị có chứng chỉ Khởi động An toàn cập nhật hay không. Hiện tại, tính năng này có thể đưa ra quyết định đó nhưng chỉ khi CFR chọn một máy để cập nhật. Việc xác định và ghi nhật ký sau đó sẽ xảy ra trong mỗi phiên khởi động bất kể CFR. Nếu chứng chỉ Khởi động An toàn không được cập nhật đầy đủ thì chúng sẽ phát ra hai sự kiện lỗi được mô tả ở trên. Nếu chứng chỉ được cập nhật, sau đó họ sẽ phát ra sự kiện Thông tin. Chứng chỉ Khởi động An toàn sẽ được kiểm tra là:  

• Windows UEFI CA 2023

• Microsoft UEFI CA 2023 và Microsoft Option ROM UEFI CA 2023 – Hai CAs này phải có mặt chỉ khi có Microsoft UEFI CA 2011. Nếu Microsoft UEFI CA 2011 không có mặt thì không cần kiểm tra.

• Microsoft Corporation KEK 2K CA 2023

Sự kiện siêu dữ liệu máy 

Sự kiện này sẽ thu thập siêu dữ liệu máy và phát hành sự kiện sau:

• Sự kiện BucketId + Confidence Rating   

Sự kiện này sẽ sử dụng siêu dữ liệu của máy để tìm mục nhập tương ứng trong cơ sở dữ liệu của máy (mục nhập bộ chứa). Máy sẽ định dạng và phát ra một sự kiện với dữ liệu này cùng với bất kỳ thông tin tự tin nào về bộ chứa. ​​​​​​​ 

Hỗ trợ thiết bị tin tưởng cao 

Đối với các thiết bị có bộ chứa độ tin cậy cao, chứng chỉ Khởi động An toàn và trình quản lý khởi động đã ký 2023 sẽ tự động được áp dụng.   

Bản cập nhật sẽ được kích hoạt cùng lúc với hai sự kiện lỗi được tạo và sự kiện BucketId + Confidence Rating bao gồm xếp hạng độ tin cậy cao.   

Chọn không tham gia

Đối với những khách hàng muốn chọn không tham gia, khóa đăng ký mới sẽ có sẵn như sau: