KB4535680: Bản cập nhật bảo mật cho DBX Khởi động An toàn: ngày 12 tháng 1 năm 2021

Vấn đề

Giải pháp

Một số nhà sản xuất thiết bị gốc (OEM) vi chương trình có thể không cho phép cài đặt bản cập nhật này.

Để khắc phục sự cố này, hãy liên hệ với OEM vi chương trình của bạn.

Nếu bitLocker chính sách nhóm Cấu hình cấu hình xác thực nền tảng TPM cho cấu hình vi chương trình UEFI gốc được bật và PCR7 được chọn theo chính sách, điều này có thể dẫn đến yêu cầu khóa khôi phục BitLocker trên một số thiết bị không thể gắn kết PCR7.

Để xem trạng thái ràng buộc PCR7, hãy chạy công cụ Thông tin Hệ thống Microsoft (Msinfo32.exe) với các quyền quản trị.

Để tránh sự cố này, hãy thực hiện một trong các thao tác sau dựa trên cấu hình credential guard trước khi bạn triển khai bản cập nhật này:

• Trên thiết bị không bật Credential Gard, hãy chạy lệnh sau từ dấu nhắc lệnh Người quản trị để tạm ngừng BitLocker cho chu kỳ khởi động lại 1:

  Manage-bde –Protectors –Disable C: -RebootCount 1

  
  Sau đó, khởi động lại thiết bị để tiếp tục bảo vệ BitLocker.
  
  Lưu ý Không bật tính năng bảo vệ BitLocker mà không khởi động lại thiết bị thêm vì sẽ dẫn đến sự phục hồi BitLocker.

• Trên thiết bị đã bật Credential Guard, có thể khởi động lại nhiều lần trong quá trình cập nhật yêu cầu tạm ngừng BitLocker. Chạy lệnh sau từ dấu nhắc lệnh Người quản trị để tạm ngừng BitLocker cho 3 chu kỳ khởi động lại. Manage-bde –Protectors –Disable C: -RebootCount 3

  Dự kiến, bản cập nhật này sẽ khởi động lại hệ thống hai lần. Khởi động lại thiết bị một lần nữa để tiếp tục bảo vệ BitLocker.

  Lưu ý Không bật tính năng bảo vệ BitLocker mà không khởi động lại thêm vì sẽ dẫn đến việc khôi phục BitLocker.

Bạn có thể nhập phục hồi Bitlocker nếu xung đột cài đặt chính sách nhóm BitLocker được đặt cấu hình sau khi BitLocker đã được bật trong môi trường. Bitlocker recovery can be triggered due to any of the below chính sách nhóm settings:

• Bắt buộc Cấu hình rõ ràng của ràng buộc PCR khác với cấu hình đã được BitLocker chọn.

• Cấu hình GP "Cho phép khởi động an toàn để xác thực tính toàn vẹn" để dis-allow Secure boot for integrity validation but BitLocker is already using secure boot (PCR7).

• Đặt cấu hình chính sách nhóm Yêu cầu Xác thực Bổ sung trong khi khởi động nhưng BitLocker đã được đặt cấu hình trước khi triển khai chính sách nhóm này.

Nếu bản cập nhật này đã được áp dụng và thiết bị chưa khởi động lại, hãy tạm ngừng BitLocker và khởi động lại sau khi làm theo các bước dưới đây:

• Nếu cấu hình PCR rõ ràng đã được đặt thông qua chính sách nhóm hoặc chính sách được đặt cấu hình để không cho phép sử dụng tính năng khởi động an toàn để xác thực tính toàn vẹn, hãy Tạm ngừng và tiếp tục BitLocker để xóa các xung đột GP.

• Nếu chính sách Yêu cầu Xác thực bổ sung trong quá trình khởi động được đặt cấu hình để yêu cầu TPM và MÃ PIN, hãy chạy lệnh sau từ dấu nhắc lệnh Quản trị và nhập mã PIN mong muốn: manage-bde -protectors -add c: -TPMAndPin

• Nếu chính sách Yêu cầu xác thực bổ sung trong quá trình khởi động được đặt cấu hình để yêu cầu khóa khởi động, hãy thực hiện lệnh sau để tạo khóa khởi động: manage-bde -protectors -add c: -tpmandstartupkey <path to external key directory>

• Nếu chính sách Yêu cầu xác thực bổ sung trong quá trình khởi động được đặt cấu hình để yêu cầu khóa khởi động và mã pin, hãy thực thi lệnh sau từ dấu nhắc lệnh Quản trị để tạo mã Pin và khóa khởi động. Khi được nhắc, hãy nhập mã PIN mong muốn: manage-bde -protectors -add c: -tpmandpinandstartupkey < dẫn tới thư mục khóa bên ngoài>

Bản cập nhật này có thể không cài đặt trên các thiết bị có tệp trình quản lý khởi động bootx64.efi không được ký của Microsoft.  Bản cập nhật này có thể được cung cấp và cung cấp lại thông qua Windows Update nhưng có thể không cài đặt được.  Khi cố gắng cài đặt bản cập nhật này theo cách thủ công, bạn có thể gặp lỗi "Một số bản cập nhật chưa được cài đặt" liệt kê KB4565680.  Bạn cũng có thể kiểm tra tệp Nhật ký CBS trong %systemroot%\logs\cbs để biết lỗi sau: 

onecore\base\secureboot\servicing\advancedinstaller\securebootai.cpp(277): Lỗi TRUST_E_NOSIGNATURE có nguồn gốc từ chức năng Windows::WCP::SecureBoot::BasicInstaller::Install expression: ApplySecureBootUpdate( dwAvailableUpdates)

Chúng tôi đang tìm cách giải quyết và dự kiến sẽ đưa ra giải pháp cho Windows 10, phiên bản 1909, Windows 10, phiên bản 2004 và Windows 10, phiên bản 20H2 vào cuối tháng 3.  Các phiên bản Windows được hỗ trợ còn lại dự kiến sẽ có giải pháp vào giữa tháng 4.

Để biết thêm hướng dẫn trước khi phát hành độ phân giải, vui lòng liên hệ với nhà sản xuất thiết bị (OEM).