Best Practices für Dell Encryption Enterprise undDell Encryption Personal: Windows 10 Feature-Update oder -Migration

Die Aktualisierung von Windows 10 muss von einem unverschlüsselten Verzeichnis aus ausgeführt werden. Da die USER oder COMMON Verschlüsselung während des Windows 10-Upgrade-Prozesses NICHT entsperrt wird, wenn das Upgrade von einem USER oder COMMON verschlüsselten Verzeichnisses ausgeführt wird; schlägt das Upgrade fehl, obwohl das Dell Encryption Windows 10-Upgrade korrekt durchgeführt wurde.

Dell empfiehlt, die folgenden Ausschlüsse zu den Dell Encryption-Policys für Windows-Feature-Updates hinzuzufügen, die auf dieser Anforderung basieren. Diese müssen sowohl zu den Ausnahmen des fest eingebauten Laufwerks (Für SDE-Schlüssel) und zu den allgemeinen Verschlüsselungsausnahmen (Allgemein/Benutzer) hinzugefügt werden.

-^%ENV:SYSTEMDRIVE%\$WINDOWS.~BT
-^%ENV:SYSTEMDRIVE%\_SMSTaskSequence
-^%ENV:SYSTEMDRIVE%\$GetCurrent\
-^%ENV:SYSTEMDRIVE%\$SysReset\
-^%ENV:SYSTEMDRIVE%\$Windows.~WS\
-^%ENV:SYSTEMDRIVE%\$Hyper-v.tmp\
-^%ENV:SYSTEMDRIVE%\Windows\SoftwareDistribution\
-^%ENV:SYSTEMDRIVE%\Windows10Upgrade\

Erforderlich für Feature-Updates über SCCM und andere Anwendungen von Drittanbietern:

-^%ENV:SYSTEMDRIVE%\Windows\ccmcache
-^%ENV:SYSTEMDRIVE%\Windows\TEMP\BootImages
-^%ENV:SYSTEMDRIVE%\Windows\Security\database\;chk.edb.jrs.log.sdb
-^%ENV:SYSTEMDRIVE%\_SMSTSVolumeID.7159644d-f741-45d5-ab29-0ad8aa4771ca

Es sind bei Windows-Funktionsupdates keine Änderungen erforderlich, wenn Dell Encryption Version 8.18.0 oder höher ausgeführt wird. Bei Funktionsupdates über Windows Update wird man nicht mehr aufgefordert, Dell Encryption zu entfernen.

Microsoft bietet die Möglichkeit zum Herunterladen von Funktionsupdates als ISO-Dateien für Upgrades und die Bereitstellung. Sie können diese Medien hier beziehen: https://support.microsoft.com/en-us/help/12387/windows-10-update-history

Es sind bei Windows-Funktionsupdates keine Änderungen erforderlich, wenn Dell Encryption Version 8.18.0 oder höher ausgeführt wird. Bei Funktionsupdates über Datenträger wird man nicht mehr aufgefordert, Dell Encryption zu entfernen.

Microsoft bietet die Möglichkeit zum Herunterladen von Funktionsupdates als ISO-Dateien für Upgrades und die Bereitstellung. Sie können diese Medien hier beziehen: https://support.microsoft.com/en-us/help/12387/windows-10-update-history

Um ein Windows Feature Update für die Bereitstellung vorzubereiten, muss in den meisten Umgebungen eine install.wim Datei verwendet werden. Aufgrund der Art und Weise, wie Dell Encryption den Pfad des Windows Feature-Updates unterstützt, müssen wir die Treiber und notwendigen Registrierungsdateien zum Installationsmedium hinzufügen.

Dazu ist das Windows 10 Application Development Kit (ADK) erforderlich. Die neueste Version finden Sie hier: https://developer.microsoft.com/en-us/windows/hardware/windows-assessment-deployment-kit

Sie benötigen außerdem eine Batch-Datei und entsprechende Registrierungsschlüssel, die nicht extern für den Kunden-Download verlinkt werden können. Sie erhalten diese vom Support, indem Sie die Support-Hotline unter folgender Nummer anrufen: 877.459.7304 Ext. 4310039. Für Support außerhalb der USA rufen Sie die Liste der internationalen Telefonnummern von ProSupport auf. Diese Batch-Datei nimmt eine erweiterte Windows Feature-Update-ISO (wie oben angegeben heruntergeladen) und fügt Treiber und Registrierungsdateien in die install.wim und WinRE.wim Dateien in die Upgrade-ISO ein.

Wir müssen die Treiber von einem Gerät beziehen, auf dem die Version von Dell Encryption ausgeführt wird, die auf Ihren Endpunkten installiert ist, um die entsprechenden Treiber für Ihre Upgrademedien und die entsprechende Betriebssystembitrate (32-Bit oder 64-Bit) zu finden. In 8.10.1 bis 8.17.2 finden Sie Treiber für Dell Encryption unter „C:\ProgramData\Dell\Dell Data Protection\Encryption\DDPEDrivers\.“ In 8.18.0 und höher wurde dieser Speicherort verschoben zu: “C:\Windows\System32\Update\Run\B67DD994-EDF9-4D19-8A1C-88B12D796657\ReflectDrivers“

Wir müssen die Treiber von einem Gerät beziehen, auf dem die Version von Dell Encryption ausgeführt wird, die auf Ihren Endpunkten installiert ist, um die entsprechenden Treiber für Ihre Upgrademedien und die entsprechende Betriebssystembitrate (32-Bit oder 64-Bit) zu finden. Diese finden Sie unter C:\ProgramData\Dell\Dell Data Protection\Encryption\DDPEDrivers\

Dell Encryption ab Version 8.18 gleicht automatisch die Version des Betriebssystems, das installiert wird, mit einer internen Liste unterstützter Versionen des Betriebssystems ab. Wenn keine Übereinstimmung gefunden wird, wird das Feature-Update blockiert und dem/der angemeldeten NutzerIn eine Benachrichtigung gezeigt.

Diese Blockierungen können überschrieben werden, um Tests mit einem nicht unterstützten Betriebssystem zu ermöglichen. Ein Registrierungsschlüssel aktiviert diese Möglichkeit:

HKLM\Software\Dell\Dell Data Protection\Encryption
REG_SZ:SupportedWindows10Upgrade
Value: <HighestSupportedBuildHere>

In diesem Beispiel könnten alle Windows 10-Builds bis 10.0.17300.1 installiert werden.

HKLM\Software\Dell\Dell Data Protection\Encryption
REG_SZ:SupportedWindows10Upgrade
Value: <10.0.17300.1>

Diese Funktion beruht darauf, dass Windows 10-Buildversionen zukünftige Granularität der kumulativen Updates und Funktionsupdates unterstützen. Die Buildnummer des derzeit installierten Feature-Updates wird im Windows-Update angezeigt:

In diesem Beispiel muss der Wert für „SupportedWindows10Upgrade“ „10.0.17686.1003“ oder höher sein.

Die Aktualisierung von Windows 10 muss von einem unverschlüsselten Verzeichnis aus ausgeführt werden. Da die USER oder COMMON Verschlüsselung während des Windows 10-Upgrade-Prozesses nicht entsperrt wird, wenn das Upgrade von einem USER oder COMMON verschlüsselten Verzeichnisses ausgeführt wird; schlägt das Upgrade fehl, obwohl das Dell Encryption Windows 10-Upgrade korrekt durchgeführt wurde.

Dell empfiehlt, die folgenden Ausschlüsse zu den Dell Encryption-Policys für Windows-Feature-Updates hinzuzufügen, die auf dieser Anforderung basieren. Diese müssen sowohl zu den Ausnahmen des fest eingebauten Laufwerks (Für SDE-Schlüssel) und zu den allgemeinen Verschlüsselungsausnahmen (Allgemein/Benutzer) hinzugefügt werden.

-^%ENV:SYSTEMDRIVE%\$WINDOWS.~BT
-^%ENV:SYSTEMDRIVE%\_SMSTaskSequence
-^%ENV:SYSTEMDRIVE%\$GetCurrent\
-^%ENV:SYSTEMDRIVE%\$SysReset\
-^%ENV:SYSTEMDRIVE%\$Windows.~WS\
-^%ENV:SYSTEMDRIVE%\$Hyper-v.tmp\
-^%ENV:SYSTEMDRIVE%\Windows\SoftwareDistribution\
-^%ENV:SYSTEMDRIVE%\Windows10Upgrade\

Erforderlich für Feature-Updates über SCCM und andere Anwendungen von Drittanbietern:

-^%ENV:SYSTEMDRIVE%\Windows\ccmcache
-^%ENV:SYSTEMDRIVE%\Windows\TEMP\BootImages
-^%ENV:SYSTEMDRIVE%\Windows\Security\database\;chk.edb.jrs.log.sdb
-^%ENV:SYSTEMDRIVE%\_SMSTSVolumeID.7159644d-f741-45d5-ab29-0ad8aa4771ca

Die Schritte zum Abrufen von Feature-Updates über Windows Updates sind unten dargestellt.

Es kann sein, dass ein Fehler angezeigt wird, der darauf hinweist, dass Dell Encryption erst deinstalliert werden muss, bevor fortgefahren werden kann.

Schließen Sie diesen Bildschirm und führen Sie WSProbe -z (als Administrator über die Eingabeaufforderung) aus und versuchen Sie, das Update erneut durchzuführen.

Das Update weist darauf hin, dass mehr Vorbereitungsaufgaben im Hintergrund ausgeführt werden.

Der Status für Aktualisierungen kann im neuen Menü "Einstellungen" für Windows 10 überprüft werden.

Greifen Sie wie folgt über das Einstellungsmenü auf die Update-Elemente zu:

1. Klicken Sie auf die Schaltfläche Start und dann auf Einstellungen.
   
2. Klicken Sie in den Einstellungen auf Update und Sicherheit.
   
3. Bei Bereitschaft zeigt der Abschnitt „Update und Sicherheit“ an, dass ein Neustart geplant ist. Durch den Neustart wird der Updatevorgang gestartet.
   
   
4. Das Upgrade wird abgeschlossen. Während der Anmeldung zeigt Windows an, dass der PC aktualisiert wurde und sich alle Ihre Daten am selben Speicherort befinden.

Sie können überprüfen, ob die neue Version von Windows ordnungsgemäß installiert wurde, indem Sie die Version von Windows über den Befehl „winver,“ in der Eingabeaufforderung oder in PowerShell abfragen.

Hinweis: Einige Geräte, auf denen Dell Data Protection | Encryption Version 8.10.1 oder 8.11.0 ausgeführt wird, müssen ihre SetupConfig.ini-Datei in C:\Users\Default\AppData\Local\Microsoft\Windows\WSUS aktualisieren. Bei der aktuellen Datei fehlt der Header von [SetupConfig]. Wir zeigen:

Fügen Sie den Header hinzu, damit sich Folgendes ergibt:

Diese Datei gilt für alle lokalen Updates und automatisiert die Übergabe des Befehls reflectdrivers an das Windows-Feature-Update, das über Windows Update erfolgt. Die Änderungen wurden innerhalb des Produkts vorgenommen und erfordern ab Version 8.12.0 keine manuellen Änderungen mehr.

Microsoft bietet die Möglichkeit zum Herunterladen von Funktionsupdates als ISO-Dateien für Upgrades und die Bereitstellung. Hier gelangen Sie zum Download: https://support.microsoft.com/en-us/help/12387/windows-10-update-history

Vor der Eingabe der Medien muss WSProbe -z als Administrator über die Eingabeaufforderung ausgeführt werden. Dadurch werden die verschlüsselten Daten für den Upgrade-Vorgang vorbereitet (es findet keine Entschlüsselung statt).

Wenn dieses Medium in einen Computer eingelegt wird, auf dem frühere Versionen von Microsoft Windows ausgeführt werden, wird eine Aufforderung zum Upgrade angezeigt.

Sie müssen diese Eingabeaufforderung schließen, da das Upgrade mit einem bestimmten Befehl ausgeführt werden muss.

Öffnen Sie eine administrative Eingabeaufforderung (oder nutzen Sie die bereits offene, um die WSProbe -z Funktionalität zu verwenden).

Navigieren Sie zu dem Laufwerksbuchstaben, der die Windows Feature-Update-Medien enthält. In diesem Beispiel ist D: das Laufwerk, das die Windows-Funktionsupdate-Medien enthält.

Führen Sie setup.exe mit diesem Befehl aus, um Dell Encryption Treiber einzufügen:

Setup.exe /reflectdrivers "C:\ProgramData\Dell\Dell Data Protection\Encryption\DDPEDrivers"

Mit diesem Befehl wird der Windows Feature Update-Prozess gestartet. Folgen Sie den Aufforderungen, es sind keine weiteren Schritte erforderlich.

Microsoft bietet die Möglichkeit zum Herunterladen von Funktionsupdates als ISO-Dateien für Upgrades und die Bereitstellung. Hier gelangen Sie zum Download: https://support.microsoft.com/en-us/help/12387/windows-10-update-history

Um ein Windows Feature Update für die Bereitstellung vorzubereiten, muss in den meisten Umgebungen eine install.wim Datei. Aufgrund der Art und Weise, wie Dell Encryption den Pfad des Windows Feature-Updates unterstützt, müssen wir die Treiber und notwendigen Registrierungsdateien zum Installationsmedium hinzufügen.

Dazu ist das Windows 10 Application Development Kit (ADK) erforderlich. Die neueste Version finden Sie hier: https://developer.microsoft.com/en-us/windows/hardware/windows-assessment-deployment-kit

Sie benötigen eine Batch-Datei und entsprechende Registrierungsschlüssel, die nicht extern für den Kunden-Download verlinkt werden können. Sie erhalten diese vom Support, indem Sie die Support-Hotline unter folgender Nummer anrufen: 877.459.7304 Ext. 4310039. Für Support außerhalb der USA rufen Sie die Liste der internationalen Telefonnummern von ProSupport auf. Diese Batch-Datei nimmt eine erweiterte Windows Feature-Update-ISO (wie oben angegeben heruntergeladen) und fügt Treiber und Registrierungsdateien in die install.wim und WinRE.wim Dateien in die Upgrade-ISO ein.

Um die passenden Treiber für Ihr Upgrade-Medium zu finden, müssen wir die Treiber von einem Gerät mit der Version 8.10.1 oder höher für die entsprechende Bitrate des Betriebssystems (32 Bit oder 64 Bit) beziehen. Diese finden Sie unter C:\ProgramData\Dell\Dell Data Protection\Encryption\DDPEDrivers\. In 8.18.0 und höher wurde dieser Ordner in „C:\Windows\System32\Update\Run\B67DD994-EDF9-4D19-8A1C-88B12D796657\ReflectDrivers“ geändert.

• Batch-Skript (wird vom Dell Support zur Verfügung gestellt)
• Extrahierte ISO des Installationsprogramms der Windows Feature-Aktualisierung (Bereitgestellt von Microsoft)
• Registrierungsschlüssel (von Dell Support mit Skript zur Verfügung gestellt)
• Dell Encryption Treiber (aus einem Gerät in Ihrem Netzwerk oder vom Dell Support bereitgestellt)

So generieren Sie Medien:

1. Öffnen Sie die Umgebung der Bereitstellungs- und Imaging-Tools als Administrator.
   
2. Führen Sie das Batch-Skript aus. Bei der Eingabe der Batch-Datei erhalten Sie Informationen zur Syntax.
   

Die Syntax lautet:

Verwendung: Build-FFE-Integrated-Dell-Image "Win10UpgradeDir" "DDPEDriversDir"

Wo:

Win10UpgradeDir – Pfad zu den ISO-Dateien von Windows 10, die in ein Verzeichnis extrahiert wurden
DDPEDriversDir – Optionaler Pfad zum DDP|E-Treiberverzeichnis | Encryption-Treiber werden von der lokalen Installation abgerufen, wenn dieser Parameter nicht angegeben ist.

Sobald der Prozess abgeschlossen ist, erhalten Sie eine aktualisierte install.wim Datei im extrahierten ISO-Verzeichnis, das Sie dem Tool zur Verfügung gestellt haben.

Die Installationsdateien sind nun bereit für die Verwendung.

• Öffnen Sie als Administrator eine Eingabeaufforderung am selben Speicherort wie die WSProbe.exe Datei und geben Sie den entsprechenden Befehl ein:
  • Um den Windows 10 Upgrade-Modus mit einer Schlüssel-Bundle-Datei für Dell Encryption Personal (ehemals Dell Data Protection | Personal Edition) zu authentifizieren, müssen Sie zunächst den unten stehenden Befehl verwenden, der Teil der Upgrade-Vorbereitung ist (die LSARecovery Datei, die während des Bereitstellungsprozesses von Dell Encryption Personal gesichert wird):
    • WSProbe -E -B "backup_file_path" "password"

Für die Überprüfung des Fortschritts des Vorbereitungsvorgangs können Sie Folgendes ausführen: WSProbe –E

1. Der Computer ist für das Upgrade bereit, wenn die folgende Meldung angezeigt wird: „Preparation complete. Run Windows Upgrade now.“
2. Starten Sie den Computer neu, wenn Sie dazu aufgefordert werden.
3. Führen Sie die Windows-Aktualisierung aus.
4. Führen Sie einen Neustart des Computers durch.
5. Sobald die Aktualisierung abgeschlossen ist, öffnen Sie eine Eingabeaufforderung und geben Folgendes ein:
   • WSProbe -R
     Hinweis: Der Befehl WSProbe -R nimmt die normale Funktion des Verschlüsselungs-Clients wieder auf und wird ausgeführt, nachdem der Computer erfolgreich aktualisiert wurde. Er kann auch für ein Rollback zur normalen Funktion des Verschlüsselungs-Clients verwendet werden, bevor eine Aktualisierung durchgeführt wird.
6. Starten Sie den Computer neu, wenn Sie dazu aufgefordert werden.

Für die Überprüfung des Fortschritts des Vorbereitungsvorgangs können Sie Folgendes ausführen: WSProbe –E

1. Wenn die folgende Meldung nicht angezeigt wird: „Preparation complete. Please run Windows Upgrade now." (Vorbereitung abgeschlossen. Führen Sie jetzt die Windows-Aktualisierung aus.).
   1. Befolgen Sie die angezeigten Aufforderungen.
   2. Führen Sie WSProbe erneut aus, bis die Aufforderung zur Ausführung der Windows-Aktualisierung Folgendes anzeigt:
      • WSProbe -E
   3. Führen Sie die Windows-Aktualisierung aus.
   4. Starten Sie den Computer neu, wenn Sie dazu aufgefordert werden.
   5. Sobald die Aktualisierung abgeschlossen ist, öffnen Sie eine Eingabeaufforderung und geben Folgendes ein:
      • WSProbe -R

Diese Methode kann bei Dateien, die nicht entschlüsselt werden, zu Fehlern führen. Um dies zu verhindern, müssen wir für Folgendes einen Registrierungsschlüssel automatisch erstellen:

HKLM\Software\Credant\DecryptAgent\
DWORD: MaxBytesReboot
Value: 0

Für die Überprüfung des Fortschritts des Vorbereitungsvorgangs können Sie Folgendes ausführen: WSProbe –E

Für die Überprüfung des Fortschritts des Vorbereitungsvorgangs führen Sie Folgendes aus: WSProbe –E

Öffnen Sie als Administrator eine Eingabeaufforderung am selben Speicherort wie die WSProbe.exe Datei und geben Sie den entsprechenden Befehl ein:

• Dies sorgt dafür, dass der Windows 10-Upgrade-Modus gegenüber einer bereits vorhandenen Schlüssel-Bundle-Datei (kann vom Dell Security Management-Server heruntergeladen werden [ehemals Dell Data Protection | Enterprise Edition]) importieren und authentifizieren kann:
  • WSProbe -E -I "import_file_path" "password"
• Kontaktiert den Dell Security Management-Server oder virtuellen Dell Security Management-Server (ehemals Dell Data Protection | Virtual Edition), der das wichtige Bundle weiterleitet, das verwendet wird, um zu bestätigen, dass das richtige Schlüsselmaterial vorhanden ist:
  • WSProbe -E -S "forensics_admin_name" "password"
• Für die Überprüfung des Fortschritts des Vorbereitungsvorgangs können Sie Folgendes ausführen:
  • WSProbe -E

1. Der Computer ist für das Upgrade bereit, wenn die folgende Meldung angezeigt wird: „Preparation complete. Please run Windows Upgrade now." (Vorbereitung abgeschlossen. Führen Sie jetzt die Windows-Aktualisierung aus.).
2. Starten Sie den Computer neu, wenn Sie dazu aufgefordert werden.
3. Führen Sie die Windows-Aktualisierung aus.
4. Führen Sie einen Neustart des Computers durch.
5. Sobald die Aktualisierung abgeschlossen ist, öffnen Sie eine Eingabeaufforderung und geben Folgendes ein:
   • WSProbe -R
6. Starten Sie den Computer neu, wenn Sie dazu aufgefordert werden.

Wenn die Meldung Preparation complete. Please run Windows Upgrade now. (Vorbereitung abgeschlossen. Führen Sie jetzt die Windows-Aktualisierung aus.) nicht angezeigt wird, gehen Sie folgendermaßen vor:

1. Befolgen Sie die angezeigten Aufforderungen.
2. Führen Sie WSProbe erneut aus, bis die Aufforderung zur Ausführung der Windows-Aktualisierung Folgendes anzeigt:
   • WSProbe -E
3. Führen Sie die Windows-Aktualisierung aus.
4. Starten Sie den Computer neu, wenn Sie dazu aufgefordert werden.
5. Sobald die Aktualisierung abgeschlossen ist, öffnen Sie eine Eingabeaufforderung und geben Folgendes ein:
   • WSProbe -R

Diese Methode kann bei Dateien, die nicht entschlüsselt werden, zu Fehlern führen. Um dies zu verhindern, müssen wir für Folgendes einen Registrierungsschlüssel automatisch erstellen:

HKLM\Software\Credant\DecryptAgent\
DWORD: MaxBytesReboot
Value: 0