Особисті передові практики Dell Encryption Enterprise і Dell Encryption: Оновлення функцій Windows 10 або міграція

Оновлення до Windows 10 має запускатися з незашифрованого каталогу. Бо USER або COMMON шифрування НЕ розблоковується під час процесу оновлення Windows 10, коли оновлення виконується з USER або COMMON зашифрованого каталогу, оновлення не вдається, навіть якщо оновлення Dell Encryption Windows 10 виконано правильно.

Dell пропонує додати наступні винятки до політики шифрування Dell для оновлень функцій Windows на основі цієї вимоги. Їх слід додати як до виключень фіксованого диска (для SDE ключів), так і до загальних виключень шифрування (звичайні/користувацькі):

-^%ENV:SYSTEMDRIVE%\$WINDOWS.~BT
-^%ENV:SYSTEMDRIVE%\_SMSTaskSequence
-^%ENV:SYSTEMDRIVE%\$GetCurrent\
-^%ENV:SYSTEMDRIVE%\$SysReset\
-^%ENV:SYSTEMDRIVE%\$Windows.~WS\
-^%ENV:SYSTEMDRIVE%\$Hyper-v.tmp\
-^%ENV:SYSTEMDRIVE%\Windows\SoftwareDistribution\
-^%ENV:SYSTEMDRIVE%\Windows10Upgrade\

Потрібно для оновлень функцій, які надсилаються через SCCM та інші сторонні програми керування:

-^%ENV:SYSTEMDRIVE%\Windows\ccmcache
-^%ENV:SYSTEMDRIVE%\Windows\TEMP\BootImages
-^%ENV:SYSTEMDRIVE%\Windows\Security\database\;chk.edb.jrs.log.sdb
-^%ENV:SYSTEMDRIVE%\_SMSTSVolumeID.7159644d-f741-45d5-ab29-0ad8aa4771ca

Під час використання оновлень функцій Windows під час використання Dell Encryption версії 8.18.0 або новішої не потрібно вносити зміни. Усі оновлення функцій через Windows Update більше не пропонуватимуть видалити шифрування Dell.

Корпорація Майкрософт пропонує можливість завантажувати оновлення функцій Windows як ISO-файли для оновлень і розгортання. Ви можете отримати це медіа тут: https://support.microsoft.com/en-us/help/12387/windows-10-update-history

Під час використання оновлень функцій Windows під час використання Dell Encryption версії 8.18.0 або новішої не потрібно вносити зміни. Усі оновлення функцій через автономні медіа більше не пропонуватимуть видалити шифрування Dell.

Корпорація Майкрософт пропонує можливість завантажувати оновлення функцій Windows як ISO-файли для оновлень і розгортання. Ви можете отримати це медіа тут: https://support.microsoft.com/en-us/help/12387/windows-10-update-history

Щоб підготувати оновлення функцій Windows до розгортання, більшість середовищ мають використовувати install.wim файл. У зв'язку з природою того, як Dell Encryption підтримує шлях оновлення функцій Windows, нам потрібно вставити драйвери та необхідні файли реєстру на інсталяційний носій.

Для цього потрібен комплект для розробки додатків Windows 10 (ADK). Останню версію можна знайти тут: https://developer.microsoft.com/en-us/windows/hardware/windows-assessment-deployment-kit

Вам також потрібен пакетний файл і відповідні ключі реєстру, які не можна зв'язати ззовні для завантаження клієнтом. Ви можете отримати їх у службі підтримки, зателефонувавши на лінію підтримки за адресою: 877.459.7304 Дод. 4310039, щоб отримати підтримку за межами США, зверніться до списку міжнародних контактних номерів ProSupport. Цей пакетний файл приймає розширений ISO Windows Feature Update (завантажений вище) і вставляє драйвери та файли реєстру в install.wim і WinRE.wim файлів у межах оновлення ISO.

Ми повинні отримати драйвери з пристрою, який працює під керуванням версії Dell Encryption, встановленої на ваших кінцевих точках, щоб знайти відповідні драйвери для вашого носія оновлення та відповідну швидкість передачі даних операційної системи (32-розрядна або 64-розрядна). У версіях від 8.10.1 до 8.17.2 драйвери для Dell Encryption знаходяться в меню «C:\ProgramData\Dell\Dell Data Protection\Encryption\DDPEDrivers\." У версії 8.18.0 і пізніших версіях це місце було перенесено на: "C:\Windows\System32\Update\Run\B67DD994-EDF9-4D19-8A1C-88B12D796657\ReflectDrivers"

Ми повинні витягнути драйвери з пристрою, який працює під керуванням версії Dell Encryption, встановленої на ваших кінцевих точках, щоб знайти відповідні драйвери для вашого носія оновлення та відповідну швидкість передачі даних операційної системи (32-розрядна або 64-розрядна). Вони містяться в C:\ProgramData\Dell\Dell Data Protection\Encryption\DDPEDrivers\

Dell Encryption, починаючи з версії 8.18 і новіших, автоматично звіряє версію операційної системи, яка встановлюється, із внутрішнім списком підтримуваних версій операційної системи. Якщо збіг не знайдено, оновлення функцій блокується, а користувачу, який увійшов у систему, надається сповіщення:

Ці блоки можуть бути перезаписані, щоб дозволити тестування з непідтримуваною операційною системою. Розділ реєстру дає змогу виконувати такі дії:

HKLM\Software\Dell\Dell Data Protection\Encryption
REG_SZ:SupportedWindows10Upgrade
Value: <HighestSupportedBuildHere>

Цей приклад дозволить будь-якій збірці Windows 10 інсталюватися до 10.0.17300.1.

HKLM\Software\Dell\Dell Data Protection\Encryption
REG_SZ:SupportedWindows10Upgrade
Value: <10.0.17300.1>

Ця функція залежить від версій збірки Windows 10, щоб забезпечити подальшу деталізацію підтримки кумулятивних оновлень і оновлень функцій. Номер збірки оновлення функції інсталяції відображається в оновленні Windows:

У цьому прикладі значення "SupportedWindows10Upgrade" має бути "10.0.17686.1003" або вище.

Оновлення до Windows 10 має запускатися з незашифрованого каталогу. Бо USER або COMMON шифрування не розблоковується під час процесу оновлення Windows 10, коли оновлення виконується з USER або COMMON зашифрованого каталогу, оновлення не вдається, навіть якщо оновлення Dell Encryption Windows 10 виконано правильно.

Dell пропонує додати наступні винятки до політики шифрування Dell для оновлень функцій Windows на основі цієї вимоги. Їх слід додати як до виключень фіксованого диска (для SDE ключів), так і до загальних виключень шифрування (звичайні/користувацькі):

-^%ENV:SYSTEMDRIVE%\$WINDOWS.~BT
-^%ENV:SYSTEMDRIVE%\_SMSTaskSequence
-^%ENV:SYSTEMDRIVE%\$GetCurrent\
-^%ENV:SYSTEMDRIVE%\$SysReset\
-^%ENV:SYSTEMDRIVE%\$Windows.~WS\
-^%ENV:SYSTEMDRIVE%\$Hyper-v.tmp\
-^%ENV:SYSTEMDRIVE%\Windows\SoftwareDistribution\
-^%ENV:SYSTEMDRIVE%\Windows10Upgrade\

Потрібно для оновлень функцій, які надсилаються через SCCM та інші сторонні програми керування:

-^%ENV:SYSTEMDRIVE%\Windows\ccmcache
-^%ENV:SYSTEMDRIVE%\Windows\TEMP\BootImages
-^%ENV:SYSTEMDRIVE%\Windows\Security\database\;chk.edb.jrs.log.sdb
-^%ENV:SYSTEMDRIVE%\_SMSTSVolumeID.7159644d-f741-45d5-ab29-0ad8aa4771ca

Кроки для отримання оновлень функцій через Windows Update показані нижче.

Ви можете зіткнутися з помилкою, яка вказує на те, що Dell Encryption потрібно видалити, перш ніж продовжити.

Закрийте цей екран, запустіть WSProbe -z (від імені адміністратора з командного рядка) і повторіть спробу оновлення.

В оновленні з'явиться повідомлення про те, що більше підготовчих елементів виконуються у фоновому режимі.

Статус оновлень можна перевірити в новому меню налаштувань для Windows 10.

Щоб отримати доступ до елементів оновлення за допомогою меню налаштувань:

1. Натисніть кнопку Пуск , а потім виберіть пункт Настройки.
   
2. У меню «Налаштування» натисніть «Оновлення та безпека».
   
3. Коли все буде готово, у розділі «Оновлення та безпека» з'явиться повідомлення про те, що перезавантаження заплановано. При перезавантаженні починається процес оновлення.
   
   
4. Оновлення закінчується, під час входу Windows вказує на те, що персональний комп'ютер був оновлений, і всі ваші дані знаходяться в тому ж місці.

Ви можете перевірити правильність установки нової версії Windows, перевіривши версію Windows за допомогою команди «winver», запустіть у командному рядку або в PowerShell.

Примітка: Деякі пристрої під керуванням Dell Data Protection | Версії шифрування 8.10.1 або 8.11.0 мають оновити файл SetupConfig.ini протягом C:\Users\Default\AppData\Local\Microsoft\Windows\WSUS. У поточному файлі відсутній заголовок [SetupConfig]. Ми показуємо:

Додайте заголовок, щоб зробити це:

Цей файл застосовується до всіх локальних оновлень і автоматизує прохід до reflectdrivers команду оновлення функцій Windows, що надходить через Windows Update. Зміни було внесено в продукт, і з версії 8.12.0 їх більше не потрібно змінювати вручну.

Корпорація Майкрософт пропонує можливість завантажувати оновлення функцій Windows як ISO-файли для оновлень і розгортання. Завантажте його тут: https://support.microsoft.com/en-us/help/12387/windows-10-update-history

Перш ніж вставляти носій, запустіть WSProbe -z від імені адміністратора з командного рядка. Це підготує зашифровані дані до процесу оновлення (розшифрування не виконується).

Коли цей носій вставляється в комп'ютер під керуванням більш ранніх версій Microsoft Windows, з'являється запит на оновлення.

Закрийте цей рядок, оскільки оновлення має бути запущено за допомогою певної команди.

Відкрийте адміністративний командний рядок (або скористайтеся командним рядком, відкритим для WSProbe -z функціональність).

Перейдіть до букви диска, який містить носій для оновлення функцій Windows. У цьому прикладі D: – це диск, який містить носій оновлення функцій Windows.

Запустіть setup.exe за допомогою цієї команди, щоб впровадити драйвери шифрування Dell:

Setup.exe /reflectdrivers "C:\ProgramData\Dell\Dell Data Protection\Encryption\DDPEDrivers"

Ця команда запускає процес оновлення функцій Windows. Дотримуйтесь підказок, жодних інших дій робити не потрібно.

Корпорація Майкрософт пропонує можливість завантажувати оновлення функцій Windows як ISO-файли для оновлень і розгортання. Завантажте його тут: https://support.microsoft.com/en-us/help/12387/windows-10-update-history

Щоб підготувати оновлення функцій Windows до розгортання, більшість середовищ мають використовувати install.wim файл. У зв'язку з природою того, як Dell Encryption підтримує шлях оновлення функцій Windows, нам потрібно вставити драйвери та необхідні файли реєстру на інсталяційний носій.

Для цього потрібен комплект для розробки додатків Windows 10 (ADK). Останню версію можна знайти тут: https://developer.microsoft.com/en-us/windows/hardware/windows-assessment-deployment-kit

Вам потрібен пакетний файл і відповідні розділи реєстру, які не можна зв'язати ззовні для завантаження клієнтом. Ви можете отримати їх у службі підтримки, зателефонувавши на лінію підтримки за адресою: 877.459.7304 Дод. 4310039, щоб отримати підтримку за межами США, зверніться до списку міжнародних контактних номерів ProSupport. Цей пакетний файл приймає розширений ISO Windows Feature Update (завантажений вище) і вставляє драйвери та файли реєстру в install.wim і WinRE.wim файлів у межах оновлення ISO.

Щоб знайти відповідні драйвери для вашого носія оновлення, ми повинні отримати драйвери з пристрою 8.10.1 або новішої версії для відповідної швидкості передачі даних операційної системи (32-розрядна або 64-розрядна). Вони містяться в C:\ProgramData\Dell\Dell Data Protection\Encryption\DDPEDrivers\. У версії 8.18.0 і пізніших версіях цю папку було змінено на "C:\Windows\System32\Update\Run\B67DD994-EDF9-4D19-8A1C-88B12D796657\ReflectDrivers."

• Пакетний сценарій (надано службою підтримки Dell)
• Витягнутий образ ISO інсталятора Windows Feature Update (надано Microsoft)
• Розділи реєстру (надані Dell Support зі сценарієм)
• Драйвери шифрування Dell (отримані з пристрою у вашій мережі або надані службою підтримки Dell)

Щоб згенерувати медіа:

1. Відкрийте середовище Deployment and Imaging Tools від імені адміністратора.
   
2. Запустіть пакетний сценарій. Введення пакетного файлу надає інформацію про синтаксис.
   

Синтаксис такий:

Використання: Build-FFE-Integrated-Dell-Image "Win10UpgradeDir" "DDPEDriversDir"

Де:

Win10UpgradeDir -- Шлях до ISO-файлів Windows 10, які видобуваються в каталог.
DDPEDriversDir -- Необов'язковий шлях до DDP|E drivers directory (Dell Data Protection | Драйвери шифрування виходять з локальної установки, якщо цей параметр не надається).

Як тільки процес закінчиться, ви отримаєте оновлений install.wim у витягнутому каталозі ISO, який ви надали інструменту.

Тепер інсталяційні файли готові до використання.

• Як адміністратор, відкрийте командний рядок у тому самому місці, що й файл WSProbe.exe і введіть відповідну команду:
  • Режим оновлення Windows 10 для автентифікації за допомогою файлу пакета ключів для Dell Encryption Personal (офіційно Dell Data Protection | Personal Edition) спочатку слід скористатися наведеною нижче командою, яка є частиною підготовки до оновлення ( LSARecovery файл, резервна копія якого створюється під час процесу підготовки Dell Encryption Personal):
    • WSProbe -E -B "backup_file_path" "password"

Щоб перевірити хід підготовчого процесу, можна запустити. WSProbe –E

1. Комп'ютер готовий до оновлення, коли з'явиться таке повідомлення: «Підготовку завершено. Запустіть оновлення Windows зараз."
2. Перезавантажте комп'ютер, якщо з'явиться відповідний запит.
3. Запустіть оновлення Windows.
4. Перезавантажте комп'ютер.
5. Після завершення оновлення відкрийте командний рядок і введіть:
   • WSProbe -R
     Примітка: Об'єкт WSProbe -R команда відновлює звичайну функціональність клієнта шифрування та виконується після успішного оновлення комп'ютера. Його також можна використовувати для відкату до звичайної функціональності клієнта Encryption перед виконанням оновлення.
6. Перезавантажте комп'ютер, якщо з'явиться відповідний запит.

Щоб перевірити хід підготовчого процесу, можна запустити. WSProbe –E

1. Якщо таке повідомлення не відображається: Підготовка завершена. Запустіть оновлення Windows зараз.
   1. Дотримуйтесь наведених підказок.
   2. Бігти WSProbe знову і до тих пір, поки не з'явиться запит на запуск Windows Upgrade:
      • WSProbe -E
   3. Запустіть оновлення Windows.
   4. Перезавантажте комп'ютер, якщо з'явиться відповідний запит.
   5. Після завершення оновлення відкрийте командний рядок і введіть:
      • WSProbe -R

Цей метод може зіткнутися з проблемами з нерозшифруванням файлів. Щоб цього уникнути, ми повинні автоматично створити розділ реєстру з:

HKLM\Software\Credant\DecryptAgent\
DWORD: MaxBytesReboot
Value: 0

Щоб перевірити хід підготовчого процесу, ви можете виконати: WSProbe –E

Щоб перевірити хід процесу підготовки, запустіть WSProbe –E

Як адміністратор, відкрийте командний рядок у тому самому місці, що й файл WSProbe.exe і введіть відповідну команду:

• Це дозволяє в режимі оновлення Windows 10 імпортувати та автентифікуватися за вже існуючим файлом пакета ключів (можна завантажити з Dell Security Management Server [офіційно Dell Data Protection | Enterprise Edition]):
  • WSProbe -E -I "import_file_path" "password"
• Для цього використовується сервер керування безпекою Dell або віртуальний сервер Dell Security Management (офіційно Dell Data Protection | Virtual Edition), який передає пакет ключів, який використовується для перевірки належного ключового матеріалу, присутній:
  • WSProbe -E -S "forensics_admin_name" "password"
• Щоб перевірити хід підготовчого процесу, ви можете виконати:
  • WSProbe -E

1. Комп'ютер готовий до оновлення, коли з'явиться таке повідомлення: Підготовка завершена. Запустіть оновлення Windows зараз.
2. Перезавантажте комп'ютер, якщо з'явиться відповідний запит.
3. Запустіть оновлення Windows.
4. Перезавантажте комп'ютер.
5. Після завершення оновлення відкрийте командний рядок і введіть:
   • WSProbe -R
6. Перезавантажте комп'ютер, якщо з'явиться відповідний запит.

Якщо підготовка завершена. Будь ласка, запустіть Windows Upgrade now , повідомлення не відображається, виконайте такі дії:

1. Дотримуйтесь наведених підказок.
2. Бігти WSProbe знову і до тих пір, поки не з'явиться запит на запуск Windows Upgrade:
   • WSProbe -E
3. Запустіть оновлення Windows.
4. Перезавантажте комп'ютер, якщо з'явиться відповідний запит.
5. Після завершення оновлення відкрийте командний рядок і введіть:
   • WSProbe -R

Цей метод може зіткнутися з проблемами з нерозшифруванням файлів. Щоб цього уникнути, ми повинні автоматично створити розділ реєстру з:

HKLM\Software\Credant\DecryptAgent\
DWORD: MaxBytesReboot
Value: 0