Dell Encryption Enterprise und Dell Encryption Personal Best Practices: Windows 10-Funktionsupdate oder -Migration

Die Aktualisierung von Windows 10 muss von einem unverschlüsselten Verzeichnis aus ausgeführt werden. Weil USER oder COMMON Verschlüsselung wird während des Windows 10-Upgrade-Vorgangs NICHT entsperrt, wenn das Upgrade von einem USER oder COMMON verschlüsselten Verzeichnisses verwenden, schlägt das Upgrade fehl, obwohl das Upgrade auf Dell Encryption auf Windows 10 korrekt durchgeführt wurde.

Dell empfiehlt, die folgenden Ausschlüsse zu den Dell Encryption-Policys für Windows-Feature-Updates hinzuzufügen, die auf dieser Anforderung basieren. Diese müssen sowohl zu den Ausnahmen des fest eingebauten Laufwerks (Für SDE-Schlüssel) und zu den allgemeinen Verschlüsselungsausnahmen (Allgemein/Benutzer) hinzugefügt werden.

-^%ENV:SYSTEMDRIVE%\$WINDOWS.~BT
-^%ENV:SYSTEMDRIVE%\_SMSTaskSequence
-^%ENV:SYSTEMDRIVE%\$GetCurrent\
-^%ENV:SYSTEMDRIVE%\$SysReset\
-^%ENV:SYSTEMDRIVE%\$Windows.~WS\
-^%ENV:SYSTEMDRIVE%\$Hyper-v.tmp\
-^%ENV:SYSTEMDRIVE%\Windows\SoftwareDistribution\
-^%ENV:SYSTEMDRIVE%\Windows10Upgrade\

Erforderlich für Feature-Updates über SCCM und andere Anwendungen von Drittanbietern:

-^%ENV:SYSTEMDRIVE%\Windows\ccmcache
-^%ENV:SYSTEMDRIVE%\Windows\TEMP\BootImages
-^%ENV:SYSTEMDRIVE%\Windows\Security\database\;chk.edb.jrs.log.sdb
-^%ENV:SYSTEMDRIVE%\_SMSTSVolumeID.7159644d-f741-45d5-ab29-0ad8aa4771ca

Es sind bei Windows-Funktionsupdates keine Änderungen erforderlich, wenn Dell Encryption Version 8.18.0 oder höher ausgeführt wird. Bei Funktionsupdates über Windows Update wird man nicht mehr aufgefordert, Dell Encryption zu entfernen.

Microsoft bietet die Möglichkeit zum Herunterladen von Funktionsupdates als ISO-Dateien für Upgrades und die Bereitstellung. Sie können diese Medien hier beziehen: https://support.microsoft.com/en-us/help/12387/windows-10-update-history

Es sind bei Windows-Funktionsupdates keine Änderungen erforderlich, wenn Dell Encryption Version 8.18.0 oder höher ausgeführt wird. Bei Funktionsupdates über Datenträger wird man nicht mehr aufgefordert, Dell Encryption zu entfernen.

Microsoft bietet die Möglichkeit zum Herunterladen von Funktionsupdates als ISO-Dateien für Upgrades und die Bereitstellung. Sie können diese Medien hier beziehen: https://support.microsoft.com/en-us/help/12387/windows-10-update-history

Um ein Windows-Funktionsupdate für die Bereitstellung vorzubereiten, müssen die meisten Umgebungen ein install.wim Datei. Aufgrund der Art und Weise, wie Dell Encryption den Pfad des Windows Feature-Updates unterstützt, müssen wir die Treiber und notwendigen Registrierungsdateien zum Installationsmedium hinzufügen.

Dazu ist das Windows 10 Application Development Kit (ADK) erforderlich. Die neueste Version finden Sie hier: https://developer.microsoft.com/en-us/windows/hardware/windows-assessment-deployment-kit

Sie benötigen außerdem eine Batch-Datei und entsprechende Registrierungsschlüssel, die nicht extern für den Kunden-Download verlinkt werden können. Sie erhalten diese vom Support, indem Sie die Support-Hotline unter folgender Nummer anrufen: 877.459.7304 Ext. 4310039 Informationen zu Support außerhalb der USA finden Sie in der Liste mit internationalen Kontaktnummern von ProSupport. Diese Batchdatei erstellt eine erweiterte ISO-Datei für das Windows Feature Update (siehe oben) und fügt Treiber und Registrierungsdateien in das install.wim und WinRE.wim Dateien innerhalb der Upgrade-ISO.

Wir müssen die Treiber von einem Gerät abrufen, auf dem die Version von Dell Encryption ausgeführt wird, die auf Ihren Endpunkten installiert ist, um die entsprechenden Treiber für Ihre Upgrademedien und die entsprechende Betriebssystembitrate (32-Bit oder 64-Bit) zu finden. In 8.10.1 bis 8.17.2 finden Sie Treiber für Dell Encryption unter "C:\ProgramData\Dell\Dell Data Protection\Encryption\DDPEDrivers\.“ In 8.18.0 und höher wurde dieser Speicherort verschoben zu: “C:\Windows\System32\Update\Run\B67DD994-EDF9-4D19-8A1C-88B12D796657\ReflectDrivers“

Wir müssen die Treiber von einem Gerät abrufen, auf dem die Version von Dell Encryption ausgeführt wird, die auf Ihren Endpunkten installiert ist, um die entsprechenden Treiber für Ihre Upgrademedien und die entsprechende Betriebssystembitrate (32-Bit oder 64-Bit) zu finden. Diese finden Sie unter C:\ProgramData\Dell\Dell Data Protection\Encryption\DDPEDrivers\

Dell Encryption ab Version 8.18 gleicht automatisch die Version des Betriebssystems, das installiert wird, mit einer internen Liste unterstützter Versionen des Betriebssystems ab. Wenn keine Übereinstimmung gefunden wird, wird das Funktionsupdate blockiert und eine Benachrichtigung an den angemeldeten Nutzer gesendet:

Diese Blockierungen können überschrieben werden, um Tests mit einem nicht unterstützten Betriebssystem zu ermöglichen. Ein Registrierungsschlüssel ermöglicht Folgendes:

HKLM\Software\Dell\Dell Data Protection\Encryption
REG_SZ:SupportedWindows10Upgrade
Value: <HighestSupportedBuildHere>

In diesem Beispiel könnten alle Windows 10-Builds bis 10.0.17300.1 installiert werden.

HKLM\Software\Dell\Dell Data Protection\Encryption
REG_SZ:SupportedWindows10Upgrade
Value: <10.0.17300.1>

Diese Funktion beruht darauf, dass Windows 10-Buildversionen zukünftige Granularität der kumulativen Updates und Funktionsupdates unterstützen. Die Buildnummer des derzeit installierten Feature-Updates wird im Windows-Update angezeigt:

In diesem Beispiel muss der Wert für „SupportedWindows10Upgrade“ „10.0.17686.1003“ oder höher sein.

Die Aktualisierung von Windows 10 muss von einem unverschlüsselten Verzeichnis aus ausgeführt werden. Weil USER oder COMMON Die Verschlüsselung wird während des Windows 10-Upgradeprozesses nicht entsperrt, wenn das Upgrade von einem USER oder COMMON verschlüsselten Verzeichnisses verwenden, schlägt das Upgrade fehl, obwohl das Upgrade auf Dell Encryption auf Windows 10 korrekt durchgeführt wurde.

Dell empfiehlt, die folgenden Ausschlüsse zu den Dell Encryption-Policys für Windows-Feature-Updates hinzuzufügen, die auf dieser Anforderung basieren. Diese müssen sowohl zu den Ausnahmen des fest eingebauten Laufwerks (Für SDE-Schlüssel) und zu den allgemeinen Verschlüsselungsausnahmen (Allgemein/Benutzer) hinzugefügt werden.

-^%ENV:SYSTEMDRIVE%\$WINDOWS.~BT
-^%ENV:SYSTEMDRIVE%\_SMSTaskSequence
-^%ENV:SYSTEMDRIVE%\$GetCurrent\
-^%ENV:SYSTEMDRIVE%\$SysReset\
-^%ENV:SYSTEMDRIVE%\$Windows.~WS\
-^%ENV:SYSTEMDRIVE%\$Hyper-v.tmp\
-^%ENV:SYSTEMDRIVE%\Windows\SoftwareDistribution\
-^%ENV:SYSTEMDRIVE%\Windows10Upgrade\

Erforderlich für Feature-Updates über SCCM und andere Anwendungen von Drittanbietern:

-^%ENV:SYSTEMDRIVE%\Windows\ccmcache
-^%ENV:SYSTEMDRIVE%\Windows\TEMP\BootImages
-^%ENV:SYSTEMDRIVE%\Windows\Security\database\;chk.edb.jrs.log.sdb
-^%ENV:SYSTEMDRIVE%\_SMSTSVolumeID.7159644d-f741-45d5-ab29-0ad8aa4771ca

Die Schritte zum Abrufen von Funktionsupdates über Windows Updates sind unten gezeigt.

Es kann sein, dass ein Fehler angezeigt wird, der darauf hinweist, dass Dell Encryption erst deinstalliert werden muss, bevor fortgefahren werden kann.

Schließen Sie diesen Bildschirm und führen Sie Folgendes aus: WSProbe -z (als Administrator über die Eingabeaufforderung) und versuchen Sie dann erneut, das Update durchzuführen.

Das Update weist darauf hin, dass mehr Vorbereitungsaufgaben im Hintergrund ausgeführt werden.

Der Status für Aktualisierungen kann im neuen Menü "Einstellungen" für Windows 10 überprüft werden.

Greifen Sie wie folgt über das Einstellungsmenü auf die Update-Elemente zu:

1. Klicken Sie auf die Schaltfläche Start und dann auf Einstellungen.
   
2. Klicken Sie unter Einstellungen auf Update und Sicherheit.
   
3. Wenn Sie bereit sind, wird im Abschnitt "Update und Sicherheit" angezeigt, dass ein Neustart geplant wurde. Durch den Neustart wird der Updatevorgang gestartet.
   
   
4. Das Upgrade wird abgeschlossen. Windows zeigt während der Anmeldung an, dass der PC aktualisiert wurde und sich alle Ihre Daten am selben Speicherort befinden.

Sie können überprüfen, ob die neue Version von Windows ordnungsgemäß installiert wurde, indem Sie die Version von Windows mit dem Befehl "winver", über eine Eingabeaufforderung oder in PowerShell ausführen.

Hinweis: Einige Geräte, auf denen Dell Data Protection | Encryption-Version 8.10.1 oder 8.11.0 muss ihre SetupConfig.ini Datei innerhalb von aktualisieren C:\Users\Default\AppData\Local\Microsoft\Windows\WSUS. In der aktuellen Datei fehlt ein Header von [SetupConfig]. Wir zeigen:

Fügen Sie den Header hinzu, um ihn zu erstellen:

Diese Datei gilt für alle lokalen Updates und automatisiert die Übergabe an die reflectdrivers Befehl für das Windows-Funktionsupdate, das über Windows Update kommt. Die Änderungen wurden innerhalb des Produkts vorgenommen und erfordern ab Version 8.12.0 keine manuellen Änderungen mehr.

Microsoft bietet die Möglichkeit zum Herunterladen von Funktionsupdates als ISO-Dateien für Upgrades und die Bereitstellung. Hier gelangen Sie zum Download: https://support.microsoft.com/en-us/help/12387/windows-10-update-history

Führen Sie vor dem Einlegen des Mediums Folgendes aus: WSProbe -z als Administrator über die Eingabeaufforderung. Dadurch werden die verschlüsselten Daten für den Upgrade-Vorgang vorbereitet (es findet keine Entschlüsselung statt).

Wenn dieses Medium in einen Computer eingelegt wird, auf dem frühere Versionen von Microsoft Windows ausgeführt werden, wird eine Aufforderung zum Upgrade angezeigt.

Sie müssen diese Eingabeaufforderung schließen, da das Upgrade mit einem bestimmten Befehl ausgeführt werden muss.

Öffnen Sie eine administrative Eingabeaufforderung (oder nutzen Sie die Eingabeaufforderung, die für die WSProbe -z Funktionalität).

Navigieren Sie zu dem Laufwerksbuchstaben, der die Windows Feature-Update-Medien enthält. In diesem Beispiel ist D: das Laufwerk, das die Windows-Funktionsupdate-Medien enthält.

Führen Sie setup.exe mit diesem Befehl aus, um Dell Encryption Treiber einzufügen:

Setup.exe /reflectdrivers "C:\ProgramData\Dell\Dell Data Protection\Encryption\DDPEDrivers"

Mit diesem Befehl wird der Windows Feature Update-Prozess gestartet. Folgen Sie den Aufforderungen, es sind keine weiteren Schritte erforderlich.

Microsoft bietet die Möglichkeit zum Herunterladen von Funktionsupdates als ISO-Dateien für Upgrades und die Bereitstellung. Hier gelangen Sie zum Download: https://support.microsoft.com/en-us/help/12387/windows-10-update-history

Um ein Windows-Funktionsupdate für die Bereitstellung vorzubereiten, müssen die meisten Umgebungen ein install.wim Datei. Aufgrund der Art und Weise, wie Dell Encryption den Pfad des Windows Feature-Updates unterstützt, müssen wir die Treiber und notwendigen Registrierungsdateien zum Installationsmedium hinzufügen.

Dazu ist das Windows 10 Application Development Kit (ADK) erforderlich. Die neueste Version finden Sie hier: https://developer.microsoft.com/en-us/windows/hardware/windows-assessment-deployment-kit

Sie benötigen eine Batchdatei und die entsprechenden Registrierungsschlüssel, die nicht extern für den Kundendownload verknüpft werden können. Sie erhalten diese vom Support, indem Sie die Support-Hotline unter folgender Nummer anrufen: 877.459.7304 Ext. 4310039 Informationen zu Support außerhalb der USA finden Sie in der Liste mit internationalen Kontaktnummern von ProSupport. Diese Batchdatei erstellt eine erweiterte ISO-Datei für das Windows Feature Update (siehe oben) und fügt Treiber und Registrierungsdateien in das install.wim und WinRE.wim Dateien innerhalb der Upgrade-ISO.

Um die entsprechenden Treiber für Ihre Upgrademedien zu finden, müssen wir die Treiber von einem Gerät abrufen, das 8.10.1 oder höher für die entsprechende Betriebssystembitrate (32-Bit oder 64-Bit) ist. Diese finden Sie unter C:\ProgramData\Dell\Dell Data Protection\Encryption\DDPEDrivers\. In 8.18.0 und höher wurde dieser Ordner in "C:\Windows\System32\Update\Run\B67DD994-EDF9-4D19-8A1C-88B12D796657\ReflectDrivers.“

• Batch-Skript (wird vom Dell Support zur Verfügung gestellt)
• Extrahierte ISO des Installationsprogramms der Windows Feature-Aktualisierung (Bereitgestellt von Microsoft)
• Registrierungsschlüssel (von Dell Support mit Skript zur Verfügung gestellt)
• Dell Encryption Treiber (aus einem Gerät in Ihrem Netzwerk oder vom Dell Support bereitgestellt)

So generieren Sie Medien:

1. Öffnen Sie die Umgebung der Bereitstellungs- und Imaging-Tools als Administrator.
   
2. Führen Sie das Batch-Skript aus. Die Eingabe der Batchdatei enthält Informationen über die Syntax.
   

Die Syntax lautet:

Verwendung: Build-FFE-Integrated-Dell-Image "Win10UpgradeDir" "DDPEDriversDir"

Wo:

Win10UpgradeDir Pfad zu den Windows 10 ISO-Dateien, die in ein Verzeichnis extrahiert werden.
DDPEDriversDir -- Optionaler Pfad zum DDP|E-Treiberverzeichnis (Dell Data Protection | Verschlüsselungstreiber werden von der lokalen Installation abgerufen, wenn dieser Parameter nicht angegeben ist.)

Sobald der Prozess abgeschlossen ist, erhalten Sie eine aktualisierte install.wim Datei im extrahierten ISO-Verzeichnis, das Sie dem Tool zur Verfügung gestellt haben.

Die Installationsdateien sind nun bereit für die Verwendung.

• Öffnen Sie als Administrator eine Eingabeaufforderung am selben Speicherort wie die WSProbe.exe Datei und geben Sie den entsprechenden Befehl ein:
  • Windows 10-Upgrademodus zur Authentifizierung anhand einer Schlüsselpaketdatei für Dell Encryption Personal (ehemals Dell Data Protection | Personal Edition) müssen Sie zunächst den folgenden Befehl verwenden, der Teil der Upgradevorbereitung ist (die LSARecovery Datei, die während des Bereitstellungsprozesses von Dell Encryption Personal gesichert wird):
    • WSProbe -E -B "backup_file_path" "password"

Für die Überprüfung des Fortschritts des Vorbereitungsvorgangs können Sie Folgendes ausführen: WSProbe –E

1. Der Computer ist bereit für das Upgrade, wenn die folgende Meldung angezeigt wird: "Vorbereitung abgeschlossen. Run Windows Upgrade now.“
2. Starten Sie den Computer neu, wenn Sie dazu aufgefordert werden.
3. Führen Sie die Windows-Aktualisierung aus.
4. Führen Sie einen Neustart des Computers durch.
5. Öffnen Sie nach Abschluss des Upgrades eine Eingabeaufforderung und geben Sie Folgendes ein:
   • WSProbe -R
     Hinweis: Der WSProbe -R Der Befehl setzt die normale Encryption-Client-Funktionalität fort und wird ausgeführt, nachdem der Computer erfolgreich aktualisiert wurde. Er kann auch für ein Rollback zur normalen Funktion des Verschlüsselungs-Clients verwendet werden, bevor eine Aktualisierung durchgeführt wird.
6. Starten Sie den Computer neu, wenn Sie dazu aufgefordert werden.

Für die Überprüfung des Fortschritts des Vorbereitungsvorgangs können Sie Folgendes ausführen: WSProbe –E

1. Wenn die folgende Meldung nicht angezeigt wird: Vorbereitung abgeschlossen. Führen Sie jetzt das Windows-Upgrade aus.
   1. Befolgen Sie die angezeigten Aufforderungen.
   2. Führen Sie WSProbe erneut und bis die Aufforderung zum Ausführen des Windows-Upgrades angezeigt wird:
      • WSProbe -E
   3. Führen Sie die Windows-Aktualisierung aus.
   4. Starten Sie den Computer neu, wenn Sie dazu aufgefordert werden.
   5. Öffnen Sie nach Abschluss des Upgrades eine Eingabeaufforderung und geben Sie Folgendes ein:
      • WSProbe -R

Diese Methode kann bei Dateien, die nicht entschlüsselt werden, zu Fehlern führen. Um dies zu verhindern, müssen wir für Folgendes einen Registrierungsschlüssel automatisch erstellen:

HKLM\Software\Credant\DecryptAgent\
DWORD: MaxBytesReboot
Value: 0

Für die Überprüfung des Fortschritts des Vorbereitungsvorgangs können Sie Folgendes ausführen: WSProbe –E

Für die Überprüfung des Fortschritts des Vorbereitungsvorgangs führen Sie Folgendes aus: WSProbe –E

Öffnen Sie als Administrator eine Eingabeaufforderung am selben Speicherort wie die WSProbe.exe Datei und geben Sie den entsprechenden Befehl ein:

• Auf diese Weise kann der Windows 10-Upgrademodus eine bereits vorhandene Schlüsselpaketdatei importieren und sich anhand einer bereits vorhandenen Schlüsselpaketdatei authentifizieren (kann vom Dell Security Management Server [ehemals Dell Data Protection | Enterprise Edition]):
  • WSProbe -E -I "import_file_path" "password"
• Dadurch wird der Dell Security Management Server oder Dell Security Management Virtual Server (ehemals Dell Data Protection | Virtual Edition), die das Schlüsselbündel überträgt, das verwendet wird, um zu überprüfen, ob das richtige Schlüsselmaterial vorhanden ist:
  • WSProbe -E -S "forensics_admin_name" "password"
• Für die Überprüfung des Fortschritts des Vorbereitungsvorgangs können Sie Folgendes ausführen:
  • WSProbe -E

1. Der Computer ist bereit für das Upgrade, wenn die folgende Meldung angezeigt wird: Vorbereitung abgeschlossen. Führen Sie jetzt das Windows-Upgrade aus.
2. Starten Sie den Computer neu, wenn Sie dazu aufgefordert werden.
3. Führen Sie die Windows-Aktualisierung aus.
4. Führen Sie einen Neustart des Computers durch.
5. Öffnen Sie nach Abschluss des Upgrades eine Eingabeaufforderung und geben Sie Folgendes ein:
   • WSProbe -R
6. Starten Sie den Computer neu, wenn Sie dazu aufgefordert werden.

Wenn die Vorbereitung abgeschlossen ist. Die Meldung "Windows Upgrade jetzt ausführen " wird nicht angezeigt. Führen Sie die folgenden Schritte aus:

1. Befolgen Sie die angezeigten Aufforderungen.
2. Führen Sie WSProbe erneut und bis die Aufforderung zum Ausführen des Windows-Upgrades angezeigt wird:
   • WSProbe -E
3. Führen Sie die Windows-Aktualisierung aus.
4. Starten Sie den Computer neu, wenn Sie dazu aufgefordert werden.
5. Öffnen Sie nach Abschluss des Upgrades eine Eingabeaufforderung und geben Sie Folgendes ein:
   • WSProbe -R

Diese Methode kann bei Dateien, die nicht entschlüsselt werden, zu Fehlern führen. Um dies zu verhindern, müssen wir für Folgendes einen Registrierungsschlüssel automatisch erstellen:

HKLM\Software\Credant\DecryptAgent\
DWORD: MaxBytesReboot
Value: 0