Tóm tắt
Bài viết này giúp xác định và khắc phục sự cố thiết bị bị ảnh hưởng bởi lỗ hổng bảo mật được mô tả trong Microsoft Security ADV170012 tư vấn.
Quá trình này tập trung vào các sau Windows Hello cho doanh nghiệp (WHFB) và các trường hợp sử dụng Azure AD (AAD) của Microsoft:
-
Tham gia quảng cáo azure
-
Tham gia lai Azure AD
-
Azure AD đăng ký
Thông tin
Xác định các trường hợp của bạn sử dụng AAD
-
Mở cửa sổ dấu nhắc lệnh.
-
Nhận trạng thái thiết bị bằng cách chạy lệnh sau:
dsregcmd.exe /status -
Trong kết quả của lệnh kiểm tra giá trị của thuộc tính được liệt kê trong bảng sau để xác định các trường hợp sử dụng AAD của bạn.
Thuộc tính
Mô tả
AzureAdJoined
Chỉ định thiết bị được tham gia vào Azure AD.
EnterpriseJoined
Chỉ ra liệu t thiết bị được kết nối với AD FS. Đây là một phần của một trường hợp khách hàng trên cơ sở-chỉ khi Windows Hello dành cho doanh nghiệp được triển khai và quản lý tại chỗ.
DomainJoined
Chỉ định thiết bị được kết nối với truyền thống hoạt động thư mục tên miền.
WorkplaceJoined
Chỉ định người dùng hiện tại đã thêm tài khoản làm việc hay trường tiểu sử hiện tại của họ. Điều này được gọi là Azure AD đăng ký. Thiết đặt này sẽ bị bỏ qua bởi hệ thống nếu thiết bị AzureAdJoined.
Kết nối Azure AD
Nếu DomainJoined và AzureAdJoined thì cóthiết là kết nối Azure AD. Do đó, thiết bị được kết nối với một Azure Active Directory và truyền thống Active Directory miền.
Luồng công việc
Triển khai và triển khai có thể thay đổi toàn bộ tổ chức. Chúng tôi thiết kế luồng công việc sau đây cung cấp các công cụ mà bạn cần để xây dựng kế hoạch nội bộ để giảm thiểu bất kỳ thiết bị bị ảnh hưởng. Công việc có các bước sau:
-
Xác định thiết bị bị ảnh hưởng. Tìm kiếm môi trường của bạn cho ảnh hưởng đáng tin cậy nền tảng mô-đun (TPMs), khoá và thiết bị.
-
Nối thiết bị bị ảnh hưởng. Khắc phục các hiệu ứng trên thiết bị được xác định bằng cách làm theo các bước cụ thể kịch bản được liệt kê trong bài viết này.
Chú ý làm sạch TPMs
Vì tin cậy nền tảng mô-đun được sử dụng để lưu trữ bí mật được sử dụng các dịch vụ và ứng dụng, xóa TPM có tác động kinh doanh bất ngờ tiêu cực. Trước khi xóa bất kỳ TPM, đảm bảo và xác nhận rằng tất cả các dịch vụ và ứng dụng sử dụng hỗ trợ TPM bí mật đã được đúng cách xác định và chuẩn bị xóa bí mật và giải trí.
Làm thế nào để xác định thiết bị bị ảnh hưởng
Để xác định TPMs bị ảnh hưởng, là Microsoft Security ADV170012 tư vấn.
Làm thế nào để vá thiết bị bị ảnh hưởng
Sử dụng các bước sau trên thiết bị bị ảnh hưởng theo trường hợp sử dụng AAD của bạn.
-
Đảm bảo rằng tài khoản hợp lệ quản trị viên cục bộ tồn tại trên thiết bị hoặc tạo một tài khoản quản trị viên cục bộ.
Lưu ý
Đó là một thực tế được khuyến nghị để xác minh rằng tài khoản đang hoạt động bằng cách đăng nhập vào thiết bị bằng cách sử dụng tài khoản quản trị viên cục bộ mới và xác nhận quyền phù hợp bằng cách mở một dấu nhắc lệnh nâng cao.
-
Nếu bạn đã đăng nhập bằng tài khoản Microsoft trên điện thoại, hãy cài đặt > tài khoản > tài khoản Email và ứng dụng và loại bỏ các tài khoản được kết nối.
-
Cài đặt bản cập nhật phần mềm cho thiết bị.
Lưu ý
Làm theo hướng dẫn của OEM áp dụng bản cập nhật phần mềm TPM. Xem Bước 4: "Áp dụng bản Cập Nhật áp dụng phần mềm" trong Microsoft Security ADV170012 tư vấn thông tin về cách tải bản Cập Nhật TPM từ OEM.
-
Unjoin thiết bị từ Azure.
Lưu ý
Đảm bảo rằng khóa BitLocker an toàn sao lưu ở một nơi khác với máy tính trước khi tiếp tục.
-
Đi tới cài đặt > hệ thống > về, và sau đó bấm quản lý hoặc ngắt kết nối hoạt động hoặc trường.
-
Bấm kết nối đến < AzureAD >và nhấp vào ngắt kết nối.
-
Bấm có khi bạn được nhắc nhập thừa nhận.
-
Nhấp vào ngắt kết nối khi bạn được nhắc "Ngắt kết nối từ tổ chức."
-
Nhập thông tin tài khoản quản trị viên cục bộ cho thiết bị.
-
Bấm khởi động lại sau.
-
-
Xoá TPM.
Lưu ý
Xoá TPM sẽ loại bỏ tất cả các phím và bí mật được lưu trữ trên thiết bị của bạn. Đảm bảo rằng các dịch vụ đang sử dụng TPM treo hoặc xác nhận trước khi tiếp tục.
Windows 8 hoặc mới hơn: BitLocker tự động bị tạm ngưng nếu bạn sử dụng một trong hai phương pháp được khuyến nghị cho việc xoá TPM của bạn bên dưới.Windows 7: Hướng dẫn sử dụng treo BitLocker cần trước khi tiếp tục. (Xem thêm thông tin về đình chỉ BitLocker.)
-
Để xoá TPM, sử dụng một trong các phương pháp sau:
-
Sử dụng Microsoft Management Console.
-
Bấm Win + R, nhập tpm.msc và nhấn OK.
-
Bấm bỏ chọn TPM.
-
-
-
Bấm khởi động lại.
Lưu ý Bạn có thể được nhắc xoá TPM khi khởi động.
-
-
Sau khi thiết bị khởi động lại, đăng nhập vào thiết bị bằng cách sử dụng tài khoản quản trị viên cục bộ.
-
Kết nối lại điện thoại Azure AD. Bạn có thể được nhắc để thiết lập mã PIN mới ở phần tiếp theo đăng nhập.
-
Nếu bạn đăng nhập bằng tài khoản Microsoft trên điện thoại, hãy cài đặt > tài khoản > tài khoản Email và ứng dụng và loại bỏ các tài khoản được kết nối.
-
Từ dấu nhắc lệnh nâng cao, hãy chạy lệnh sau:
dsregcmd.exe /leave /debugLưu ý
Đầu ra của lệnh sẽ cho biết AzureADJoined: không.
-
Cài đặt bản cập nhật phần mềm cho thiết bị.
Lưu ý
Chú ý Làm theo hướng dẫn của OEM áp dụng bản cập nhật phần mềm TPM. Xem Bước 4: "Áp dụng bản Cập Nhật áp dụng phần mềm" trong Microsoft Security ADV170012 tư vấn thông tin về cách tải bản Cập Nhật TPM từ OEM.
-
Xoá TPM.
Lưu ý
Xoá TPM sẽ loại bỏ tất cả các phím và bí mật được lưu trữ trên thiết bị của bạn. Đảm bảo rằng các dịch vụ đang sử dụng TPM treo hoặc xác nhận trước khi tiếp tục.
Windows 8 hoặc mới hơn: BitLocker tự động bị tạm ngưng nếu bạn sử dụng một trong hai phương pháp được khuyến nghị cho việc xoá TPM của bạn bên dưới.Windows 7: Hướng dẫn sử dụng treo BitLocker cần trước khi tiếp tục. (Xem thêm thông tin về đình chỉ BitLocker.)
-
Để xoá TPM, sử dụng một trong các phương pháp sau:
-
Sử dụng Microsoft Management Console.
-
Bấm Win + R, nhập tpm.msc và nhấn OK.
-
Bấm bỏ chọn TPM.
-
-
-
Bấm khởi động lại.
Lưu ý Bạn có thể được nhắc xoá TPM khi khởi động.
-
Khi thiết bị khởi động, Windows tạo khoá mới và tự động rejoins điện thoại Azure AD. Trong thời gian này, bạn có thể tiếp tục sử dụng thiết bị. Tuy nhiên, truy cập vào tài nguyên như Microsoft Outlook, OneDrive và các ứng dụng yêu cầu SSO hoặc chính sách điều kiện truy cập có giới hạn.
Lưu ý Nếu bạn sử dụng tài khoản Microsoft, bạn phải biết mật khẩu.
-
Cài đặt bản cập nhật phần mềm cho thiết bị.
Lưu ý
Làm theo hướng dẫn của OEM áp dụng bản cập nhật phần mềm TPM. Xem Bước 4: "Áp dụng bản Cập Nhật áp dụng phần mềm" trong Microsoft Security ADV170012 tư vấn thông tin về cách tải bản Cập Nhật TPM từ OEM.
-
Xoá tài khoản Azure AD làm việc.
-
Đi tới cài đặt > tài khoản > công việc truy cập hoặc trường, bấm vào tài khoản của bạn làm việc hay trường rồi sau đó bấm ngắt kết nối.
-
Bấm vào có trong lời nhắc xác nhận ngắt kết nối.
-
-
Xoá TPM.
Lưu ý
Xoá TPM sẽ loại bỏ tất cả các phím và bí mật được lưu trữ trên thiết bị của bạn. Đảm bảo rằng các dịch vụ đang sử dụng TPM treo hoặc xác nhận trước khi tiếp tục.
Windows 8 hoặc mới hơn: BitLocker tự động bị tạm ngưng nếu bạn sử dụng một trong hai phương pháp được khuyến nghị cho việc xoá TPM của bạn bên dưới.Windows 7: Hướng dẫn sử dụng treo BitLocker cần trước khi tiếp tục. (Xem thêm thông tin về đình chỉ BitLocker.)
-
Để xoá TPM, sử dụng một trong các phương pháp sau:
-
Sử dụng Microsoft Management Console.
-
Bấm Win + R, nhập tpm.msc và nhấn OK.
-
Bấm bỏ chọn TPM.
-
-
-
Bấm khởi động lại.
Lưu ý Bạn có thể được nhắc xoá TPM của bạn khi khởi động. -
Nếu bạn sử dụng tài khoản Microsoft có mã PIN, bạn phải đăng nhập vào thiết bị bằng cách sử dụng mật khẩu.
-
Thêm tài khoản hoạt động trở lại thiết bị.
-
Đi tới cài đặt > tài khoản > công việc truy cập hoặc trường và bấm kết nối.
-
Nhập tài khoản công việc của bạn và sau đó nhấp vào tiếp theo.
-
Nhập hoạt động tài khoản và mật khẩu của bạn, và sau đó bấm đăng nhập.
-
Nếu tổ chức của bạn đã cấu hình xác thực nhiều yếu tố Azure đã tham gia thiết bị quảng cáo Azure, cung cấp các yếu tố thứ hai trước khi tiếp tục.
-
Xác nhận rằng thông tin được hiển thị là chính xác, và sau đó bấm kết nối. Bạn sẽ thấy thông báo sau:
You’re all set! We’ve added your account successfully You now have access to your organizations apps and services.
-
-
