A TPM platformérvényesítési profil konfigurálása natív UEFI belsővezérlőprogram-konfigurációk esetében

Ezzel a házirend-beállítással konfigurálhatja, hogy a számítógép platformmegbízhatósági moduljának (TPM) biztonsági hardvere hogyan biztosítsa a BitLocker titkosítási kulcsát. Ez a házirend-beállítás nem érvényes, ha a számítógép nem rendelkezik kompatibilis TPM modullal, vagy ha a BitLocker már be van kapcsolva TPM-védelemmel.

Fontos: Ez a csoportházirend csak natív UEFI belsővezérlőprogram-konfigurációval rendelkező számítógépekre vonatkozik. A BIOS vagy UEFI belső vezérlőprogrammal és engedélyezett kompatibilitástámogató modullal (CSM) rendelkező számítógépek különböző értékeket tárolnak a platformkonfigurációs regiszterekben (PCR-ekben). „A TPM platformérvényesítési profil konfigurálása BIOS-alapú belsővezérlőprogram-konfigurációk esetében" csoportházirend-beállítás használatával konfigurálhatja a TPM PCR profilt a BIOS-konfigurációval rendelkező és az UEFI belső vezérlőprogramot használó, engedélyezett CSM modullal rendelkező számítógépek számára.

Ha engedélyezi ezt a házirend-beállítást a BitLocker bekapcsolása előtt, akkor a BitLocker által titkosított operációsrendszer-meghajtóhoz való hozzáférés zárolásának feloldása előtt konfigurálhatja a rendszerindításnak a TPM által érvényesítendő összetevőit. Ha az összetevők bármelyike módosul a BitLocker-védelem alatt, a TPM nem engedi, hogy a titkosítási kulcs feloldja a meghajtó zárolását, a számítógép pedig megjeleníti a BitLocker helyreállítási konzolt, és megköveteli a helyreállítási jelszót vagy a helyreállítási kulcsot a meghajtó zárolásának feloldásához.

Ha letiltja vagy nem konfigurálja ezt a házirend-beállítást, a BitLocker az alapértelmezett platformérvényesítési profilt vagy a telepítő parancsfájl által megadott platformérvényesítési profilt használja. A platformérvényesítési profil platformkonfigurációs regiszterek (PCR) 0-tól 23-ig terjedő indexeiből áll. Az alapértelmezett platformérvényesítési profil pedig biztosítja a titkosítási kulcsot a fő rendszerszintű belső vezérlőprogram végrehajtható kódjának (PCR 0), a bővített vagy moduláris végrehajtható kód (PCR 2), a rendszertöltés-vezérlő (PCR 4) és a BitLocker hozzáférés-vezérlés (PCR 11) módosításai ellen.

Figyelmeztetés: Az alapértelmezett platformérvényesítési profilról való átváltás hatással van a számítógép biztonságára és kezelhetőségére. A BitLocker érzékenysége a platform (rosszindulatú vagy hitelesített) módosításaira attól függően növekszik vagy csökken, hogy a PCR regisztereket hozzáadják-e a rendszerhez vagy nem. Konkrétan, ha ezt a házirendet a PCR 7 kihagyásával állítja be, azzal felülírja a „Biztonságos rendszerindítás engedélyezése az integritás-ellenőrzéshez" csoportházirendet, megakadályozva ezzel, hogy a BitLocker a biztonságos rendszerindítást használja a platformérvényesítéshez vagy a rendszerindítási konfigurációs adatokat (BCD) az integritás-ellenőrzéshez. A házirend beállítása azzal járhat, hogy a belső vezérlőprogram frissítésekor BitLocker helyreállításra kerül sor. Ha a PCR 0 regisztert is a házirend részeként adja meg, akkor függessze fel a BitLockert a belső vezérlőprogram frissítéseinek alkalmazása előtt.

Támogatott a következőn: Legalább Windows Server 2012, Windows 8 vagy Windows RT

Registry HiveHKEY_LOCAL_MACHINE
Registry PathSOFTWARE\Policies\Microsoft\FVE\OSPlatformValidation_UEFI
Value NameEnabled
Value TypeREG_DWORD
Enabled Value1
Disabled Value0

A platformérvényesítési profil platformkonfigurációs regiszterek (PCR) indexeinek halmaza. Az egyes PCR-indexek olyan összetevőkhöz vannak társítva, amelyek a Windows indulásakor futnak.

Az alábbi jelölőnégyzetekkel kiválaszthatja, hogy melyik PCR-indexeket tartalmazza a profil.

A beállítás módosításakor figyelmesen járjon el.

Ajánlott a 0, 2, 4 és 11 számú alapértelmezett PCR regiszterek használata.

A BitLocker védelme akkor hatásos, ha meghatározza a PCR 11 védelmet.

Az alapértelmezett TPM platformérvényesítési profil megváltoztatásának előnyeiről és kockázatairól az online dokumentációban talál további tájékoztatást.

PCR 0: A fő rendszerszintű belső vezérlőprogram végrehajtható kódja
Registry HiveHKEY_LOCAL_MACHINE
Registry PathSOFTWARE\Policies\Microsoft\FVE\OSPlatformValidation_UEFI
Value Name0
Value TypeREG_DWORD
Default Value1
True Value1
False Value0
PCR 1: A fő rendszerszintű belső vezérlőprogram adatai
Registry HiveHKEY_LOCAL_MACHINE
Registry PathSOFTWARE\Policies\Microsoft\FVE\OSPlatformValidation_UEFI
Value Name1
Value TypeREG_DWORD
Default Value0
True Value1
False Value0
PCR 2: Bővített vagy moduláris végrehajtható kód
Registry HiveHKEY_LOCAL_MACHINE
Registry PathSOFTWARE\Policies\Microsoft\FVE\OSPlatformValidation_UEFI
Value Name2
Value TypeREG_DWORD
Default Value1
True Value1
False Value0
PCR 3: A belső vezérlőprogram bővített vagy moduláris adatai
Registry HiveHKEY_LOCAL_MACHINE
Registry PathSOFTWARE\Policies\Microsoft\FVE\OSPlatformValidation_UEFI
Value Name3
Value TypeREG_DWORD
Default Value0
True Value1
False Value0
PCR 4: Rendszerindítás-kezelő
Registry HiveHKEY_LOCAL_MACHINE
Registry PathSOFTWARE\Policies\Microsoft\FVE\OSPlatformValidation_UEFI
Value Name4
Value TypeREG_DWORD
Default Value1
True Value1
False Value0
PCR 5: GPT / partíciós tábla
Registry HiveHKEY_LOCAL_MACHINE
Registry PathSOFTWARE\Policies\Microsoft\FVE\OSPlatformValidation_UEFI
Value Name5
Value TypeREG_DWORD
Default Value0
True Value1
False Value0
PCR 6: Folytatás az S4 és S5 energiaállapot-eseménytől
Registry HiveHKEY_LOCAL_MACHINE
Registry PathSOFTWARE\Policies\Microsoft\FVE\OSPlatformValidation_UEFI
Value Name6
Value TypeREG_DWORD
Default Value0
True Value1
False Value0
PCR 7: Biztonságos rendszerindítási állapot
Registry HiveHKEY_LOCAL_MACHINE
Registry PathSOFTWARE\Policies\Microsoft\FVE\OSPlatformValidation_UEFI
Value Name7
Value TypeREG_DWORD
Default Value0
True Value1
False Value0
PCR 8: 0 értékre inicializálva, kiterjesztés nélkül (későbbi használatra fenntartva)
Registry HiveHKEY_LOCAL_MACHINE
Registry PathSOFTWARE\Policies\Microsoft\FVE\OSPlatformValidation_UEFI
Value Name8
Value TypeREG_DWORD
Default Value0
True Value1
False Value0
PCR 9: 0 értékre inicializálva, kiterjesztés nélkül (későbbi használatra fenntartva)
Registry HiveHKEY_LOCAL_MACHINE
Registry PathSOFTWARE\Policies\Microsoft\FVE\OSPlatformValidation_UEFI
Value Name9
Value TypeREG_DWORD
Default Value0
True Value1
False Value0
PCR 10: 0 értékre inicializálva, kiterjesztés nélkül (későbbi használatra fenntartva)
Registry HiveHKEY_LOCAL_MACHINE
Registry PathSOFTWARE\Policies\Microsoft\FVE\OSPlatformValidation_UEFI
Value Name10
Value TypeREG_DWORD
Default Value0
True Value1
False Value0
PCR 11: BitLocker hozzáférés-vezérlés
Registry HiveHKEY_LOCAL_MACHINE
Registry PathSOFTWARE\Policies\Microsoft\FVE\OSPlatformValidation_UEFI
Value Name11
Value TypeREG_DWORD
Default Value1
True Value1
False Value0
PCR 12: Adatesemények és nagy mértékben ideiglenes események
Registry HiveHKEY_LOCAL_MACHINE
Registry PathSOFTWARE\Policies\Microsoft\FVE\OSPlatformValidation_UEFI
Value Name12
Value TypeREG_DWORD
Default Value0
True Value1
False Value0
PCR 13: Rendszerindítási modul részletei
Registry HiveHKEY_LOCAL_MACHINE
Registry PathSOFTWARE\Policies\Microsoft\FVE\OSPlatformValidation_UEFI
Value Name13
Value TypeREG_DWORD
Default Value0
True Value1
False Value0
PCR 14: Rendszerindítási hitelesítésszolgáltató
Registry HiveHKEY_LOCAL_MACHINE
Registry PathSOFTWARE\Policies\Microsoft\FVE\OSPlatformValidation_UEFI
Value Name14
Value TypeREG_DWORD
Default Value0
True Value1
False Value0
PCR 15: Későbbi használatra fenntartva
Registry HiveHKEY_LOCAL_MACHINE
Registry PathSOFTWARE\Policies\Microsoft\FVE\OSPlatformValidation_UEFI
Value Name15
Value TypeREG_DWORD
Default Value0
True Value1
False Value0
PCR 16: Későbbi használatra fenntartva
Registry HiveHKEY_LOCAL_MACHINE
Registry PathSOFTWARE\Policies\Microsoft\FVE\OSPlatformValidation_UEFI
Value Name16
Value TypeREG_DWORD
Default Value0
True Value1
False Value0
PCR 17: Későbbi használatra fenntartva
Registry HiveHKEY_LOCAL_MACHINE
Registry PathSOFTWARE\Policies\Microsoft\FVE\OSPlatformValidation_UEFI
Value Name17
Value TypeREG_DWORD
Default Value0
True Value1
False Value0
PCR 18: Későbbi használatra fenntartva
Registry HiveHKEY_LOCAL_MACHINE
Registry PathSOFTWARE\Policies\Microsoft\FVE\OSPlatformValidation_UEFI
Value Name18
Value TypeREG_DWORD
Default Value0
True Value1
False Value0
PCR 19: Későbbi használatra fenntartva
Registry HiveHKEY_LOCAL_MACHINE
Registry PathSOFTWARE\Policies\Microsoft\FVE\OSPlatformValidation_UEFI
Value Name19
Value TypeREG_DWORD
Default Value0
True Value1
False Value0
PCR 20: Későbbi használatra fenntartva
Registry HiveHKEY_LOCAL_MACHINE
Registry PathSOFTWARE\Policies\Microsoft\FVE\OSPlatformValidation_UEFI
Value Name20
Value TypeREG_DWORD
Default Value0
True Value1
False Value0
PCR 21: Későbbi használatra fenntartva
Registry HiveHKEY_LOCAL_MACHINE
Registry PathSOFTWARE\Policies\Microsoft\FVE\OSPlatformValidation_UEFI
Value Name21
Value TypeREG_DWORD
Default Value0
True Value1
False Value0
PCR 22: Későbbi használatra fenntartva
Registry HiveHKEY_LOCAL_MACHINE
Registry PathSOFTWARE\Policies\Microsoft\FVE\OSPlatformValidation_UEFI
Value Name22
Value TypeREG_DWORD
Default Value0
True Value1
False Value0
PCR 23: Későbbi használatra fenntartva
Registry HiveHKEY_LOCAL_MACHINE
Registry PathSOFTWARE\Policies\Microsoft\FVE\OSPlatformValidation_UEFI
Value Name23
Value TypeREG_DWORD
Default Value0
True Value1
False Value0

volumeencryption.admx

Felügyeleti sablonok (számítógépek)

Felügyeleti sablonok (felhasználók)