2019 年 Windows 和 WSUS 的 SHA-2 程式碼簽署支援需求 (機器翻譯)

早期發布了 SHA-2 程式碼簽署支援，以確保大多數客戶在微軟變更為 SHA-2 簽署獲得系統更新支援。 獨立更新包括一些其他修復程序，並且可用於確保所有 SHA-2 更新都包含少量易於識別的更新。 Microsoft 建議維護這些操作系統的系統映像的客戶進行映像更新。

從 Windows Server 2012 上的 WSUS 4.0 開始，WSUS 已支援 SHA-2 簽署更新，而這些版本不需要任何客戶動作。

只有 WSUS 3.0 SP2 需要安裝 KB4484071 以支援僅 SHA2 簽名的更新。

假設您的電腦搭載 Windows 伺服器 2008 SP2 如果使用 Windows 伺服器 2008 R2 SP1/Windows 7 SP1 進行雙重開機，則此類系統的啟動管理器來自 Windows 伺服器 2008 R2/Windows 7 系統。 為了成功更新這兩個系統以使用 SHA-2 支援，您必須首先更新 Windows 伺服器 2008 R2/Windows 7 系統，以便引導管理器更新到支援 SHA-2 的版本。 然後，使用 SHA-2 支援更新 Windows 伺服器 2008 SP2 系統。

與雙重開機情況類似，Windows 7 PE 環境必須更新為 SHA-2 支援。 然後，Windows 伺服器 2008 SP2 系統必須更新為 SHA-2 支援。

1. 於 2019 年 8 月 13 日安裝或更高版本的更新之前，Run Windows 設置以完成並啟動至 Windows 中
2. 打開管理員命令提示字元視窗，執行 bcdboot.exe。 這將從 Windows 目錄複寫開啟檔並設置開啟環境。 有關詳細資訊，請參閱《BCDBoot 命令列選項》。
3. 在安裝任何額外更新前，請先安裝 2019 年 8 月 13 日重新發行的 Windows 7 SP1 KB4474419 和 KB4490628 Windows Server 2008 R2 SP1。
4. 重新開啟作業系統 必須重新開機。
5. 安裝任何剩餘的更新。

1. 在硬碟上安裝映像檔並開機為 Windows 。
2. 在命令提示字元後輸入bcdboot.exe。 這將從 Windows 目錄複寫開啟檔並設置開啟環境。 有關詳細資訊，請參閱《BCDBoot 命令列選項》。
3. 在安裝任何額外更新前，請先安裝 2019 年 9 月 23 日重新發行的 Windows 7 SP1 KB4474419 和 KB4490628 Windows Server 2008 R2 SP1。
4. 重新開啟作業系統 必須重新開機。
5. 安裝任何剩餘的更新。

是的，你需要先安裝必要的更新才能繼續：SSU (KB4490628) ，SHA-2 更新 (KB4474419) 。  此外，請在安裝所需的更新後重新開機，然後再安裝任何其他更新。

Windows 10 版本 1903 自發行後持續支援 SHA-2，且所有更新都僅對 SHA-2 進行簽名。  此版本的 Windows 不需要任何操作。

Windows 7 SP1 和 Windows Server 2008 R2 SP1

1. 在安裝任何 2019 年 8 月 13 日或更高版本的更新之前，開機啟動 Windows。
2. 在安裝任何額外更新前，請先安裝 2019 年 9 月 23 日重新發行的 Windows 7 SP1 KB4474419 和 KB4490628 Windows Server 2008 R2 SP1。
3. 重新開啟作業系統 必須重新開機。
4. 安裝任何剩餘的更新。

Windows Server 2008 SP2

1. 在安裝任何 2019 年 7 月 9 日或更新版本的更新之前，先行啟動 Windows。
2. 在安裝任何額外更新前，請先安裝 2019 年 9 月 23 日重新發行的 KB4474419 和 KB4493730，適用於 2008 Windows Server SP2。
3. 重新開啟作業系統 必須重新開機。
4. 安裝任何剩餘的更新。

如果您看到錯誤 0xc0000428，並顯示訊息「Windows cannot verify the digital signature for this file. 最近的硬體或軟體變更可能安裝了錯誤或損壞的檔案，或是來自未知來源的惡意軟體。」 請遵循以下步驟恢復。

1. 使用恢復媒體啟動作業系統。
2. 在安裝任何額外更新前，請使用部署映像服務與管理 (DISM) for Windows 7 SP1 及 2008 R2 SP1 Windows Server安裝日期為 2019 年 9 月 23 日或更晚日期的更新KB4474419。
3. 在命令提示字元後輸入bcdboot.exe。 這將從 Windows 目錄複寫開啟檔並設置開啟環境。 有關詳細資訊，請參閱《BCDBoot 命令列選項》。
4. 重新開啟作業系統

1. 停止部署到其他設備，不要重新開機尚未重新開機的任何裝置或 VM。
2. 使用 2019 年 8 月 13 日或以後發佈的更新，識別處於重新開機待命狀態的裝置和 VM，並打開已提升權限的命令提示字元
3. 使用以下指令，使用該更新的 KB 號碼找到你想移除的更新的套件身份 (如果不是 2019 年 8 月 13 日發佈的每月整合， ) 4512506 替換成你目標的 KB 號碼 ： dism /online /get-packages | findstr 4512506
4. 請使用以下指令移除更新，將套件身份>替換<為前一個指令中的格式： Dism.exe /online /remove-package /packagename：<package identity>
5. 現在，您需要安裝《如何獲取更新》中列出的所需更新，或本文《目前狀態》 部分所列出的所需更新。

注意 您目前收到錯誤0xc0000428或正在進入復原環境的裝置或虛擬機，您需要依照常見問題中的錯誤0xc0000428步驟操作。

如果遇到這些錯誤，則需要安裝《如何獲取更新》部分中列出的所需更新，或上述《目前狀態》部分中列出的所需更新。

如果您看到錯誤 0xc0000428，並顯示訊息「Windows cannot verify the digital signature for this file. 最近的硬體或軟體變更可能安裝了錯誤或損壞的檔案，或是來自未知來源的惡意軟體。」 請遵循以下步驟恢復。

1. 使用恢復媒體啟動作業系統。
2. 使用 Windows 7 SP1 和 Windows 伺服器 2008 R2 SP1 的部署映像服務與管理（DISM），以安裝發佈於 2019 年 8 月 13 日或更新的 SHA-2 更新 （KB4474419）。
3. 重新開機至復原媒體。  必須重新開機。
4. 在命令提示字元後輸入bcdboot.exe。 這將從 Windows 目錄複寫開啟檔並設置開啟環境。 有關詳細資訊，請參閱《BCDBoot 命令列選項》。
5. 重新開啟作業系統

如果你遇到這個問題，可以透過打開命令提示字元視窗並執行以下指令安裝更新， (將 MSU 位置>的佔位符替換<成更新的實際位置和檔名來緩解) ：

wusa.exe <MSU 地點> /安靜

2019 年 10 月 8 日發佈的 KB4474419 已解決此問題。 Windows Server Update Service（WSUS）和 Windows 更新會自動安裝此更新。 如果需要手動安裝此更新，則需要使用上述解決方法。

注意 如果你之前安裝 KB4474419 於 2019 年 9 月 23 日發布，那麼你已經安裝了最新版本的更新，不需要重新安裝。