設定原生 UEFI 韌體設定的 TPM 平台驗證設定檔

這個原則設定可讓您設定電腦的信賴平台模組 (TPM) 安全性硬體保護 BitLocker 加密金鑰的方式。如果電腦不含相容的 TPM，或是已開啟具有 TPM 保護的 BitLocker，則這個原則設定不適用。

重要事項: 這個群組原則僅適用於含有原生 UEFI 韌體設定的電腦。含有 BIOS 或 UEFI 韌體以及啟用相容性服務模組 (CSM) 的電腦會在平台設定暫存器 (PCR) 儲存不同的值。使用「設定 BIOS 韌體設定的 TPM 平台驗證設定檔」群組原則設定，為含有 BIOS 設定的電腦或啟用 CSM 之 UEFI 韌體的電腦設定 TPM PCR 設定檔。

如果在開啟 BitLocker 前啟用這個原則設定，您可以設定 TPM 在解除鎖定對 BitLocker 加密作業系統磁碟機的存取之前所驗證的開機元件。如果在 BitLocker 保護有效的狀態下，對其中任一元件進行變更，TPM 將不會釋出解除鎖定磁碟機的加密金鑰，而是電腦將顯示 BitLocker 修復主控台，並要求提供修復密碼或修復金鑰，以解除鎖定磁碟機。

如果您停用或未設定這個原則設定，BitLocker 會使用預設的平台驗證設定檔或安裝指令碼所指定的平台驗證設定檔。平台驗證設定檔由一組平台設定暫存器 (PCR) 索引組成，範圍從 0 到 23。預設平台驗證設定檔會在核心系統韌體可執行程式碼 (PCR 0)、延伸或可插式可執行程式碼 (PCR 2)、開機管理程式 (PCR 4) 以及 BitLocker 存取控制 (PCR 11) 變更時，保護加密金鑰。

警告: 對預設平台驗證設定檔進行變更將會影響電腦的安全性及管理性。BitLocker 對 (惡意或授權的) 平台修改敏感度的增加或減少，須視其包含或排除 (分別) 的 PCR 項目而定。具體來說，設定這個原則時省略 PCR 7，將會覆寫 [允許在完整性確認使用安全開機] 群組原則，防止 BitLocker 在平台或開機設定資料 (BCD) 完整性確認使用安全開機。設定這個原則可能導致韌體更新時進行 BitLocker 修復。如果您設定這個原則包含 PCR 0，在套用韌體更新之前請先暫停 BitLocker。

平台驗證設定檔由一組平台設定暫存器 (PCR) 索引組成。每個 PCR 索引與 Windows 啟動時執行的元件相關聯。

使用下列核取方塊選擇要包括在設定檔中的 PCR 索引。

變更此設定時請務必小心謹慎。

建議使用預設的 PCR 0、2、4 及 11。

若要讓 BitLocker 保護生效，必須包含 PCR 11。

如需有關變更預設 TPM 平台驗證設定檔之優點和風險的詳細資訊，請參閱線上文件。

PCR 0: 核心系統韌體可執行程式碼

Registry Hive	HKEY_LOCAL_MACHINE
Registry Path	SOFTWARE\Policies\Microsoft\FVE\OSPlatformValidation_UEFI
Value Name	0
Value Type	REG_DWORD
Default Value	1
True Value	1
False Value	0

PCR 1: 核心系統韌體資料

Registry Hive	HKEY_LOCAL_MACHINE
Registry Path	SOFTWARE\Policies\Microsoft\FVE\OSPlatformValidation_UEFI
Value Name	1
Value Type	REG_DWORD
Default Value	0
True Value	1
False Value	0

PCR 2: 延伸或可插式可執行程式碼

Registry Hive	HKEY_LOCAL_MACHINE
Registry Path	SOFTWARE\Policies\Microsoft\FVE\OSPlatformValidation_UEFI
Value Name	2
Value Type	REG_DWORD
Default Value	1
True Value	1
False Value	0

PCR 3: 延伸或可插式韌體資料

Registry Hive	HKEY_LOCAL_MACHINE
Registry Path	SOFTWARE\Policies\Microsoft\FVE\OSPlatformValidation_UEFI
Value Name	3
Value Type	REG_DWORD
Default Value	0
True Value	1
False Value	0

PCR 4: 開機管理程式

Registry Hive	HKEY_LOCAL_MACHINE
Registry Path	SOFTWARE\Policies\Microsoft\FVE\OSPlatformValidation_UEFI
Value Name	4
Value Type	REG_DWORD
Default Value	1
True Value	1
False Value	0

PCR 5: GPT / 磁碟分割表格

Registry Hive	HKEY_LOCAL_MACHINE
Registry Path	SOFTWARE\Policies\Microsoft\FVE\OSPlatformValidation_UEFI
Value Name	5
Value Type	REG_DWORD
Default Value	0
True Value	1
False Value	0

PCR 6: 從 S4 和 S5 電源狀態事件繼續

Registry Hive	HKEY_LOCAL_MACHINE
Registry Path	SOFTWARE\Policies\Microsoft\FVE\OSPlatformValidation_UEFI
Value Name	6
Value Type	REG_DWORD
Default Value	0
True Value	1
False Value	0

PCR 7: 安全開機狀態

Registry Hive	HKEY_LOCAL_MACHINE
Registry Path	SOFTWARE\Policies\Microsoft\FVE\OSPlatformValidation_UEFI
Value Name	7
Value Type	REG_DWORD
Default Value	0
True Value	1
False Value	0

PCR 8: 初始化至 0 無延伸 (保留供以後使用)

Registry Hive	HKEY_LOCAL_MACHINE
Registry Path	SOFTWARE\Policies\Microsoft\FVE\OSPlatformValidation_UEFI
Value Name	8
Value Type	REG_DWORD
Default Value	0
True Value	1
False Value	0

PCR 9: 初始化至 0 無延伸 (保留供以後使用)

Registry Hive	HKEY_LOCAL_MACHINE
Registry Path	SOFTWARE\Policies\Microsoft\FVE\OSPlatformValidation_UEFI
Value Name	9
Value Type	REG_DWORD
Default Value	0
True Value	1
False Value	0

PCR 10: 初始化至 0 無延伸 (保留供以後使用)

Registry Hive	HKEY_LOCAL_MACHINE
Registry Path	SOFTWARE\Policies\Microsoft\FVE\OSPlatformValidation_UEFI
Value Name	10
Value Type	REG_DWORD
Default Value	0
True Value	1
False Value	0

PCR 11: BitLocker 存取控制

Registry Hive	HKEY_LOCAL_MACHINE
Registry Path	SOFTWARE\Policies\Microsoft\FVE\OSPlatformValidation_UEFI
Value Name	11
Value Type	REG_DWORD
Default Value	1
True Value	1
False Value	0

PCR 12: 資料事件和高度變動事件

Registry Hive	HKEY_LOCAL_MACHINE
Registry Path	SOFTWARE\Policies\Microsoft\FVE\OSPlatformValidation_UEFI
Value Name	12
Value Type	REG_DWORD
Default Value	0
True Value	1
False Value	0

PCR 13: 開機模組詳細資料

Registry Hive	HKEY_LOCAL_MACHINE
Registry Path	SOFTWARE\Policies\Microsoft\FVE\OSPlatformValidation_UEFI
Value Name	13
Value Type	REG_DWORD
Default Value	0
True Value	1
False Value	0

PCR 14: 開機授權單位

Registry Hive	HKEY_LOCAL_MACHINE
Registry Path	SOFTWARE\Policies\Microsoft\FVE\OSPlatformValidation_UEFI
Value Name	14
Value Type	REG_DWORD
Default Value	0
True Value	1
False Value	0

PCR 15: 保留供以後使用

Registry Hive	HKEY_LOCAL_MACHINE
Registry Path	SOFTWARE\Policies\Microsoft\FVE\OSPlatformValidation_UEFI
Value Name	15
Value Type	REG_DWORD
Default Value	0
True Value	1
False Value	0

PCR 16: 保留供以後使用

Registry Hive	HKEY_LOCAL_MACHINE
Registry Path	SOFTWARE\Policies\Microsoft\FVE\OSPlatformValidation_UEFI
Value Name	16
Value Type	REG_DWORD
Default Value	0
True Value	1
False Value	0

PCR 17: 保留供以後使用

Registry Hive	HKEY_LOCAL_MACHINE
Registry Path	SOFTWARE\Policies\Microsoft\FVE\OSPlatformValidation_UEFI
Value Name	17
Value Type	REG_DWORD
Default Value	0
True Value	1
False Value	0

PCR 18: 保留供以後使用

Registry Hive	HKEY_LOCAL_MACHINE
Registry Path	SOFTWARE\Policies\Microsoft\FVE\OSPlatformValidation_UEFI
Value Name	18
Value Type	REG_DWORD
Default Value	0
True Value	1
False Value	0

PCR 19: 保留供以後使用

Registry Hive	HKEY_LOCAL_MACHINE
Registry Path	SOFTWARE\Policies\Microsoft\FVE\OSPlatformValidation_UEFI
Value Name	19
Value Type	REG_DWORD
Default Value	0
True Value	1
False Value	0

PCR 20: 保留供以後使用

Registry Hive	HKEY_LOCAL_MACHINE
Registry Path	SOFTWARE\Policies\Microsoft\FVE\OSPlatformValidation_UEFI
Value Name	20
Value Type	REG_DWORD
Default Value	0
True Value	1
False Value	0

PCR 21: 保留供以後使用

Registry Hive	HKEY_LOCAL_MACHINE
Registry Path	SOFTWARE\Policies\Microsoft\FVE\OSPlatformValidation_UEFI
Value Name	21
Value Type	REG_DWORD
Default Value	0
True Value	1
False Value	0

PCR 22: 保留供以後使用

Registry Hive	HKEY_LOCAL_MACHINE
Registry Path	SOFTWARE\Policies\Microsoft\FVE\OSPlatformValidation_UEFI
Value Name	22
Value Type	REG_DWORD
Default Value	0
True Value	1
False Value	0

PCR 23: 保留供以後使用

Registry Hive	HKEY_LOCAL_MACHINE
Registry Path	SOFTWARE\Policies\Microsoft\FVE\OSPlatformValidation_UEFI
Value Name	23
Value Type	REG_DWORD
Default Value	0
True Value	1
False Value	0