安全启动故障排除指南

当安全启动更新未显示进度时，通常意味着更新过程从未启动。 因此，由于从未触发更新机制，因此缺少预期的安全启动注册表值和事件日志。

发生了什么事

安全启动更新过程未启动，因此没有将安全启动证书或更新的启动管理器应用到设备。

如何识别它

• 不存在安全启动服务注册表值，例如 UEFICA2023Status。

• 系统事件日志中缺少预期的安全启动事件 (，例如 1043、1044、1045、1799、1801) 。

• 设备继续使用较旧的安全启动证书和启动组件。

发生的原因

当满足以下一个或多个条件时，通常会出现这种情况：

• Secure-Boot-Update 计划任务已禁用或缺失。

• 在 UEFI 固件中禁用安全启动。

• 设备不满足 Windows 服务先决条件，例如运行受支持的 Windows 版本或安装所需的更新。

下一步操作

• 验证设备是否符合 Windows 服务和平台资格要求。

• 确认在固件中启用了安全启动。

• 确保 SecureBootUpdate 计划任务存在且已启用。

如果已禁用或缺少计划任务，请按照 禁用或删除安全启动计划任务 中的指导进行还原。 还原任务后，请重启设备或手动运行任务以启动安全启动服务。

在某些情况下，与安全启动相关的更新可能会导致设备进入 BitLocker 恢复。 该行为可以是暂时性的，也可以是永久性的，具体取决于根本原因。

方案 1：安全启动更新后一次性 BitLocker 恢复

发生的情况

设备在安全启动更新后首次启动时进入 BitLocker 恢复，但在后续重启时正常启动。

发生的原因

在更新后的首次启动期间，当 Windows 尝试重新密封 BitLocker 时，固件尚未报告更新的安全启动值。 这会导致测量的启动值暂时不匹配，并触发恢复。 下次启动时，固件会正确报告更新的值，BitLocker 成功重新密封，并且问题不会再次出现。

如何识别它

• BitLocker 恢复发生一次。

• 输入恢复密钥后，后续启动不会提示恢复。

• 不存在正在进行的启动顺序或 PXE 参与。

下一步操作

• 输入 BitLocker 恢复密钥以恢复 Windows。

• 检查固件更新。

方案 2：由于 PXE 首次启动配置而导致重复 BitLocker 恢复

发生的情况

设备在每次启动时进入 BitLocker 恢复。

发生的原因

设备配置为 先尝试 PXE (网络) 启动。 PXE 启动尝试失败，固件随后回退到磁盘上的 Windows 启动管理器。

这会导致在 单个启动周期中测量两个不同的签名颁发机构：

• PXE 启动路径由 Microsoft UEFI CA 2011 签名。

• 磁盘上的 Windows 启动管理器由 Windows UEFI CA 2023 签名。

由于 BitLocker 在启动期间会观察到不同的安全启动信任链，因此无法建立一组稳定的 TPM 度量值来重新密封。 因此，BitLocker 在每次启动时都会进入恢复状态。

如何识别它

• 每次重启时都会触发 BitLocker 恢复。

• 输入恢复密钥允许 Windows 启动，但提示将在下次启动时返回。

• PXE 或网络启动按固件启动顺序在本地磁盘之前配置。

下一步操作

• 配置固件启动顺序，以便首先使用磁盘上的 Windows 启动管理器。

• 如果不需要，请禁用 PXE 启动。

• 如果需要 PXE，请确保 PXE 基础结构使用 2023 年签名的 Windows 启动加载程序。

发生了什么事

这反映了固件级别的更改，而不是 Windows 问题。 安全启动更新已成功完成，但稍后重启后，设备不再启动到 Windows。

如何识别它

• 设备无法启动 Windows，并可能显示固件或 BIOS 消息，指示安全启动冲突。

• 在将安全启动设置重置为固件默认值后，将发生失败。

• 禁用安全启动可能会允许设备再次启动。

发生的原因

将安全启动重置为固件默认值会清除存储在固件中的安全启动数据库。 在已转换为 Windows UEFI CA 2023 签名启动管理器的设备上，此重置会删除信任该启动管理器所需的证书。

因此，固件不再将已安装的 Windows 启动管理器识别为受信任，并阻止启动过程。

此方案不是由安全启动更新本身引起的，而是由删除更新的信任定位点的后续固件操作引起的。

下一步操作

• 使用安全启动恢复实用工具还原所需的证书，以便设备可以再次启动。

• 恢复后，请确保设备已安装设备制造商提供的最新可用固件。

• 除非 OEM 固件包含信任 2023 证书的更新安全启动默认值，否则避免将安全启动重置为固件默认值。

安全启动恢复实用工具

若要恢复系统，请执行以下命令：

1. 在安装了 2024 年 7 月或更高版本 Windows 更新的第二台 Windows 电脑上，从 C：\Windows\Boot\EFI\复制 SecureBootRecovery.efi。

2. 将文件放在 \EFI\BOOT\ 下的 FAT32 格式 U 盘上，并将其重命名为 bootx64.efi。

3. 从 U 盘启动受影响的设备，并允许恢复实用工具运行。 该实用工具会将 Windows UEFI CA 2023 添加到 DB。

还原证书并重启系统后，Windows 应正常启动。

重要说明： 此过程只会重新应用其中一个新证书。 恢复设备后，请确保它已重新应用最新的证书，并考虑将系统的 BIOS/UEFI 更新到可用的最新版本。 这有助于防止安全启动重置问题再次出现，因为许多 OEM 都发布了针对此特定问题的固件修补程序。

发生了什么事

应用安全启动证书更新并重启后，设备无法启动，并且无法访问 Windows。

如何识别它

• 安全启动更新要求重启后，设备立即发生故障。

• 可能会显示固件或安全启动错误，或者系统可能会在 Windows 加载之前停止。

• 禁用安全启动可能会允许设备启动。

发生的原因

此问题可能是由设备的 UEFI 固件实现中的缺陷引起的。

当 Windows 应用安全启动证书更新时，固件应将新证书 追加 到现有的安全启动允许签名数据库 (DB) 。 某些固件实现错误地 覆盖 了数据库，而不是追加到数据库。

发生这种情况时，

• 删除以前受信任的证书，包括 Microsoft 2011 引导加载程序证书。

• 如果系统当时仍在使用使用 2011 证书签名的启动管理器，则固件不再信任它。

• 固件拒绝启动管理器并阻止启动过程。

在某些情况下，数据库也可能损坏，而不是完全覆盖，从而导致相同的结果。 在特定固件实现上观察到了此行为，在合规固件上预计不会出现此行为。

下一步操作

• 输入固件设置菜单并尝试重置安全启动设置。

• 如果设备在重置后启动，检查设备制造商的支持站点，以获取更正安全启动 DB 处理的固件更新。

• 如果固件更新可用，请先安装它，然后再重新启用安全启动并重新应用安全启动证书更新。

如果重置安全启动无法还原启动功能，则进一步的恢复可能需要特定于 OEM 的指导。

发生了什么事

安全启动证书更新未完成，在密钥交换密钥 (KEK) 更新阶段仍被阻止。

如何识别它

• AvailableUpdates 注册表值仍使用 KEK 位 (0x0004) 设置，不会清除。

• UEFICA2023Status 不会进入已完成状态。

• 系统事件日志重复记录 事件 ID 1803，指示无法应用 KEK 更新。

• 设备会继续重试更新，而不会向前推进。

发生的原因

更新安全启动 KEK 需要设备 平台密钥 (PK) 授权，该密钥归 OEM 所有。

若要成功更新，设备制造商必须为Microsoft提供该特定平台的 PK 签名 KEK 。 此 OEM 签名的 KEK 包含在 Windows 更新中，并允许 Windows 更新固件 KEK 变量。

如果 OEM 尚未为设备提供 PK 签名的 KEK，则 Windows 无法完成 KEK 更新。 在此状态下：

• 安全启动更新被设计阻止。

• Windows 无法解决缺少授权的问题。

• 设备可能始终无法完成安全启动证书服务。

如果 OEM 不再提供固件或密钥更新，则可能会出现这种情况。 这种情况不支持手动恢复路径。

返回页首

当安全启动证书更新无法应用时，Windows 会记录诊断事件，解释进度被阻止的原因。 更新安全启动签名数据库时会写入这些事件， (DB) 或密钥交换密钥 (KEK) 由于固件、平台状态或配置条件而无法安全完成。 本部分中的方案引用这些事件，以确定常见的故障模式并确定适当的修正。 本部分旨在支持对前面所述的问题的诊断和解释，而不是引入新的故障方案。

有关事件 ID、说明和示例条目的完整列表，请参阅 安全启动 DB 和 DBX 变量更新事件 (KB5016061)。

KEK 更新失败 (数据库更新成功，KEK 不会)

设备可以成功更新安全启动 DB 中的证书，但在 KEK 更新期间会失败。 发生这种情况时，无法完成安全启动更新过程。

症状

• 数据库证书事件指示进度，但 KEK 阶段未完成。

• AvailableUpdates 仍设置为0x4004且多个任务运行后不会清除0x0004位。

• 可能存在事件 1795 或 1803 。

解释

• 1795 通常表示尝试更新安全启动变量时固件失败。

• 1803 指示无法授权 KEK 更新，因为所需的 OEM PK 签名 KEK 有效负载不适用于平台。

后续步骤

• 对于 1795，检查 OEM 固件更新，并验证安全启动变量更新的固件支持。

• 对于 1803，请确认 OEM 是否向Microsoft提供了设备型号所需的 PK 签名 KEK。

Hyper-V 上托管的来宾 VM 上的 KEK 更新失败 

在 Hyper-V 虚拟机上，安全启动证书更新要求在 Hyper-V 主机和来宾 OS 上安装 2026 年 3 月 Windows 更新。

从 来宾中报告更新失败，但事件指示需要修正的位置：

• 事件 1795 (例如，来宾中报告的“媒体受写保护”) 指示 Hyper-V 主机缺少 2026 年 3 月更新，并且必须更新。

• 来宾中报告的事件 1803 指示来宾虚拟机本身缺少 2026 年 3 月更新，必须更新。