A TPM platformérvényesítési profil konfigurálása natív UEFI belsővezérlőprogram-konfigurációk esetében
Ezzel a házirend-beállítással konfigurálhatja, hogy a számítógép platformmegbízhatósági moduljának (TPM) biztonsági hardvere hogyan biztosítsa a BitLocker titkosítási kulcsát. Ez a házirend-beállítás nem érvényes, ha a számítógép nem rendelkezik kompatibilis TPM modullal, vagy ha a BitLocker már be van kapcsolva TPM-védelemmel.
Fontos: Ez a csoportházirend csak natív UEFI belsővezérlőprogram-konfigurációval rendelkező számítógépekre vonatkozik. A BIOS vagy UEFI belső vezérlőprogrammal és engedélyezett kompatibilitástámogató modullal (CSM) rendelkező számítógépek különböző értékeket tárolnak a platformkonfigurációs regiszterekben (PCR-ekben). „A TPM platformérvényesítési profil konfigurálása BIOS-alapú belsővezérlőprogram-konfigurációk esetében" csoportházirend-beállítás használatával konfigurálhatja a TPM PCR profilt a BIOS-konfigurációval rendelkező és az UEFI belső vezérlőprogramot használó, engedélyezett CSM modullal rendelkező számítógépek számára.
Ha engedélyezi ezt a házirend-beállítást a BitLocker bekapcsolása előtt, akkor a BitLocker által titkosított operációsrendszer-meghajtóhoz való hozzáférés zárolásának feloldása előtt konfigurálhatja a rendszerindításnak a TPM által érvényesítendő összetevőit. Ha az összetevők bármelyike módosul a BitLocker-védelem alatt, a TPM nem engedi, hogy a titkosítási kulcs feloldja a meghajtó zárolását, a számítógép pedig megjeleníti a BitLocker helyreállítási konzolt, és megköveteli a helyreállítási jelszót vagy a helyreállítási kulcsot a meghajtó zárolásának feloldásához.
Ha letiltja vagy nem konfigurálja ezt a házirend-beállítást, a BitLocker az alapértelmezett platformérvényesítési profilt vagy a telepítő parancsfájl által megadott platformérvényesítési profilt használja. A platformérvényesítési profil platformkonfigurációs regiszterek (PCR) 0-tól 23-ig terjedő indexeiből áll. Az alapértelmezett platformérvényesítési profil pedig biztosítja a titkosítási kulcsot a fő rendszerszintű belső vezérlőprogram végrehajtható kódjának (PCR 0), a bővített vagy moduláris végrehajtható kód (PCR 2), a rendszertöltés-vezérlő (PCR 4) és a BitLocker hozzáférés-vezérlés (PCR 11) módosításai ellen.
Figyelmeztetés: Az alapértelmezett platformérvényesítési profilról való átváltás hatással van a számítógép biztonságára és kezelhetőségére. A BitLocker érzékenysége a platform (rosszindulatú vagy hitelesített) módosításaira attól függően növekszik vagy csökken, hogy a PCR regisztereket hozzáadják-e a rendszerhez vagy nem. Konkrétan, ha ezt a házirendet a PCR 7 kihagyásával állítja be, azzal felülírja a „Biztonságos rendszerindítás engedélyezése az integritás-ellenőrzéshez" csoportházirendet, megakadályozva ezzel, hogy a BitLocker a biztonságos rendszerindítást használja a platformérvényesítéshez vagy a rendszerindítási konfigurációs adatokat (BCD) az integritás-ellenőrzéshez. A házirend beállítása azzal járhat, hogy a belső vezérlőprogram frissítésekor BitLocker helyreállításra kerül sor. Ha a PCR 0 regisztert is a házirend részeként adja meg, akkor függessze fel a BitLockert a belső vezérlőprogram frissítéseinek alkalmazása előtt.
Támogatott a következőn: Legalább Windows Server 2012, Windows 8 vagy Windows RT
Registry Hive | HKEY_LOCAL_MACHINE |
Registry Path | SOFTWARE\Policies\Microsoft\FVE\OSPlatformValidation_UEFI |
Value Name | Enabled |
Value Type | REG_DWORD |
Enabled Value | 1 |
Disabled Value | 0 |
A platformérvényesítési profil platformkonfigurációs regiszterek (PCR) indexeinek halmaza. Az egyes PCR-indexek olyan összetevőkhöz vannak társítva, amelyek a Windows indulásakor futnak.
Az alábbi jelölőnégyzetekkel kiválaszthatja, hogy melyik PCR-indexeket tartalmazza a profil.
A beállítás módosításakor figyelmesen járjon el.
Ajánlott a 0, 2, 4 és 11 számú alapértelmezett PCR regiszterek használata.
A BitLocker védelme akkor hatásos, ha meghatározza a PCR 11 védelmet.
Az alapértelmezett TPM platformérvényesítési profil megváltoztatásának előnyeiről és kockázatairól az online dokumentációban talál további tájékoztatást.
PCR 0: A fő rendszerszintű belső vezérlőprogram végrehajtható kódja
Registry Hive | HKEY_LOCAL_MACHINE |
Registry Path | SOFTWARE\Policies\Microsoft\FVE\OSPlatformValidation_UEFI |
Value Name | 0 |
Value Type | REG_DWORD |
Default Value | 1 |
True Value | 1 |
False Value | 0 |
PCR 1: A fő rendszerszintű belső vezérlőprogram adatai
Registry Hive | HKEY_LOCAL_MACHINE |
Registry Path | SOFTWARE\Policies\Microsoft\FVE\OSPlatformValidation_UEFI |
Value Name | 1 |
Value Type | REG_DWORD |
Default Value | 0 |
True Value | 1 |
False Value | 0 |
PCR 2: Bővített vagy moduláris végrehajtható kód
Registry Hive | HKEY_LOCAL_MACHINE |
Registry Path | SOFTWARE\Policies\Microsoft\FVE\OSPlatformValidation_UEFI |
Value Name | 2 |
Value Type | REG_DWORD |
Default Value | 1 |
True Value | 1 |
False Value | 0 |
PCR 3: A belső vezérlőprogram bővített vagy moduláris adatai
Registry Hive | HKEY_LOCAL_MACHINE |
Registry Path | SOFTWARE\Policies\Microsoft\FVE\OSPlatformValidation_UEFI |
Value Name | 3 |
Value Type | REG_DWORD |
Default Value | 0 |
True Value | 1 |
False Value | 0 |
PCR 4: Rendszerindítás-kezelő
Registry Hive | HKEY_LOCAL_MACHINE |
Registry Path | SOFTWARE\Policies\Microsoft\FVE\OSPlatformValidation_UEFI |
Value Name | 4 |
Value Type | REG_DWORD |
Default Value | 1 |
True Value | 1 |
False Value | 0 |
PCR 5: GPT / partíciós tábla
Registry Hive | HKEY_LOCAL_MACHINE |
Registry Path | SOFTWARE\Policies\Microsoft\FVE\OSPlatformValidation_UEFI |
Value Name | 5 |
Value Type | REG_DWORD |
Default Value | 0 |
True Value | 1 |
False Value | 0 |
PCR 6: Folytatás az S4 és S5 energiaállapot-eseménytől
Registry Hive | HKEY_LOCAL_MACHINE |
Registry Path | SOFTWARE\Policies\Microsoft\FVE\OSPlatformValidation_UEFI |
Value Name | 6 |
Value Type | REG_DWORD |
Default Value | 0 |
True Value | 1 |
False Value | 0 |
PCR 7: Biztonságos rendszerindítási állapot
Registry Hive | HKEY_LOCAL_MACHINE |
Registry Path | SOFTWARE\Policies\Microsoft\FVE\OSPlatformValidation_UEFI |
Value Name | 7 |
Value Type | REG_DWORD |
Default Value | 0 |
True Value | 1 |
False Value | 0 |
PCR 8: 0 értékre inicializálva, kiterjesztés nélkül (későbbi használatra fenntartva)
Registry Hive | HKEY_LOCAL_MACHINE |
Registry Path | SOFTWARE\Policies\Microsoft\FVE\OSPlatformValidation_UEFI |
Value Name | 8 |
Value Type | REG_DWORD |
Default Value | 0 |
True Value | 1 |
False Value | 0 |
PCR 9: 0 értékre inicializálva, kiterjesztés nélkül (későbbi használatra fenntartva)
Registry Hive | HKEY_LOCAL_MACHINE |
Registry Path | SOFTWARE\Policies\Microsoft\FVE\OSPlatformValidation_UEFI |
Value Name | 9 |
Value Type | REG_DWORD |
Default Value | 0 |
True Value | 1 |
False Value | 0 |
PCR 10: 0 értékre inicializálva, kiterjesztés nélkül (későbbi használatra fenntartva)
Registry Hive | HKEY_LOCAL_MACHINE |
Registry Path | SOFTWARE\Policies\Microsoft\FVE\OSPlatformValidation_UEFI |
Value Name | 10 |
Value Type | REG_DWORD |
Default Value | 0 |
True Value | 1 |
False Value | 0 |
PCR 11: BitLocker hozzáférés-vezérlés
Registry Hive | HKEY_LOCAL_MACHINE |
Registry Path | SOFTWARE\Policies\Microsoft\FVE\OSPlatformValidation_UEFI |
Value Name | 11 |
Value Type | REG_DWORD |
Default Value | 1 |
True Value | 1 |
False Value | 0 |
PCR 12: Adatesemények és nagy mértékben ideiglenes események
Registry Hive | HKEY_LOCAL_MACHINE |
Registry Path | SOFTWARE\Policies\Microsoft\FVE\OSPlatformValidation_UEFI |
Value Name | 12 |
Value Type | REG_DWORD |
Default Value | 0 |
True Value | 1 |
False Value | 0 |
PCR 13: Rendszerindítási modul részletei
Registry Hive | HKEY_LOCAL_MACHINE |
Registry Path | SOFTWARE\Policies\Microsoft\FVE\OSPlatformValidation_UEFI |
Value Name | 13 |
Value Type | REG_DWORD |
Default Value | 0 |
True Value | 1 |
False Value | 0 |
PCR 14: Rendszerindítási hitelesítésszolgáltató
Registry Hive | HKEY_LOCAL_MACHINE |
Registry Path | SOFTWARE\Policies\Microsoft\FVE\OSPlatformValidation_UEFI |
Value Name | 14 |
Value Type | REG_DWORD |
Default Value | 0 |
True Value | 1 |
False Value | 0 |
PCR 15: Későbbi használatra fenntartva
Registry Hive | HKEY_LOCAL_MACHINE |
Registry Path | SOFTWARE\Policies\Microsoft\FVE\OSPlatformValidation_UEFI |
Value Name | 15 |
Value Type | REG_DWORD |
Default Value | 0 |
True Value | 1 |
False Value | 0 |
PCR 16: Későbbi használatra fenntartva
Registry Hive | HKEY_LOCAL_MACHINE |
Registry Path | SOFTWARE\Policies\Microsoft\FVE\OSPlatformValidation_UEFI |
Value Name | 16 |
Value Type | REG_DWORD |
Default Value | 0 |
True Value | 1 |
False Value | 0 |
PCR 17: Későbbi használatra fenntartva
Registry Hive | HKEY_LOCAL_MACHINE |
Registry Path | SOFTWARE\Policies\Microsoft\FVE\OSPlatformValidation_UEFI |
Value Name | 17 |
Value Type | REG_DWORD |
Default Value | 0 |
True Value | 1 |
False Value | 0 |
PCR 18: Későbbi használatra fenntartva
Registry Hive | HKEY_LOCAL_MACHINE |
Registry Path | SOFTWARE\Policies\Microsoft\FVE\OSPlatformValidation_UEFI |
Value Name | 18 |
Value Type | REG_DWORD |
Default Value | 0 |
True Value | 1 |
False Value | 0 |
PCR 19: Későbbi használatra fenntartva
Registry Hive | HKEY_LOCAL_MACHINE |
Registry Path | SOFTWARE\Policies\Microsoft\FVE\OSPlatformValidation_UEFI |
Value Name | 19 |
Value Type | REG_DWORD |
Default Value | 0 |
True Value | 1 |
False Value | 0 |
PCR 20: Későbbi használatra fenntartva
Registry Hive | HKEY_LOCAL_MACHINE |
Registry Path | SOFTWARE\Policies\Microsoft\FVE\OSPlatformValidation_UEFI |
Value Name | 20 |
Value Type | REG_DWORD |
Default Value | 0 |
True Value | 1 |
False Value | 0 |
PCR 21: Későbbi használatra fenntartva
Registry Hive | HKEY_LOCAL_MACHINE |
Registry Path | SOFTWARE\Policies\Microsoft\FVE\OSPlatformValidation_UEFI |
Value Name | 21 |
Value Type | REG_DWORD |
Default Value | 0 |
True Value | 1 |
False Value | 0 |
PCR 22: Későbbi használatra fenntartva
Registry Hive | HKEY_LOCAL_MACHINE |
Registry Path | SOFTWARE\Policies\Microsoft\FVE\OSPlatformValidation_UEFI |
Value Name | 22 |
Value Type | REG_DWORD |
Default Value | 0 |
True Value | 1 |
False Value | 0 |
PCR 23: Későbbi használatra fenntartva
Registry Hive | HKEY_LOCAL_MACHINE |
Registry Path | SOFTWARE\Policies\Microsoft\FVE\OSPlatformValidation_UEFI |
Value Name | 23 |
Value Type | REG_DWORD |
Default Value | 0 |
True Value | 1 |
False Value | 0 |
volumeencryption.admx