Метод ProtectKeyWithTPM класса Win32_EncryptableVolume

Метод ProtectKeyWithTPM класса Win32_EncryptableVolume защищает ключ шифрования тома с помощью оборудования безопасности доверенного платформенного модуля (TPM) на компьютере, если оно доступно.

Для тома создается предохранитель ключа типа TPM, если он еще не существует.

Этот метод применим только для тома, содержащего текущую операционную систему, и если предохранитель ключа еще не существует на томе.

Синтаксис

uint32 ProtectKeyWithTPM(
  [in, optional] string FriendlyName,
  [in, optional] uint8  PlatformValidationProfile[],
  [out]          string VolumeKeyProtectorID
);

Параметры

FriendlyName [in, необязательный]

Тип: string

Строка, указывающая назначаемый пользователем строковый идентификатор для этого предохранителя ключа. Если этот параметр не указан, используется пустое значение.

PlatformValidationProfile [в, необязательно]

Тип: uint8[]

Массив целых чисел, указывающий, каким образом оборудование безопасности доверенного платформенного модуля (TPM) компьютера защищает ключ шифрования тома диска.

Профиль проверки платформы состоит из набора индексов регистра конфигурации платформы (PCR) в диапазоне от 0 до 23 включительно. Повторяющиеся значения в параметре игнорируются. Каждый индекс PCR связан со службами, которые запускаются при запуске операционной системы. При каждом запуске компьютера доверенный платформенный модуль будет проверка, что службы, указанные в профиле проверки платформы, не изменились. Если какая-либо из этих служб изменится, пока защита шифрования дисков BitLocker (BDE) остается включенной, доверенный платформенный модуль не выпустит ключ шифрования для разблокировки тома диска, и компьютер перейдет в режим восстановления.

Если этот параметр указан при включении соответствующего параметра групповая политика, он должен соответствовать параметру групповая политика.

Если этот параметр не указан, используется значение по умолчанию 0, 2, 4, 5, 8, 9, 10 и 11. Профиль проверки платформы по умолчанию защищает ключ шифрования от изменений в основном корне доверия измерения (CRTM), BIOS и расширения платформы (PCR 0), код дополнительного ПЗУ (PCR 2), код основной загрузочной записи (MBR) (PCR 4), таблица разделов главной загрузочной записи (MBR) (PCR 5), загрузочный сектор NTFS (PCR 8), код загрузки NTFS (PCR 9), диспетчер загрузки (PCR 10) и шифрование диска BitLocker контроль доступа (PCR 11). Для обеспечения безопасности компьютера рекомендуется использовать профиль по умолчанию. Компьютеры на основе UEFI по умолчанию не используют PCR 5. Для дополнительной защиты от изменений конфигурации раннего запуска используйте профиль PCR 0, 1, 2, 3, 4, 5, 8, 9, 10, 11.

Изменение профиля по умолчанию влияет на безопасность и управляемость компьютера. Чувствительность BitLocker к изменениям платформы (вредоносным или авторизованным) увеличивается или уменьшается в зависимости от включения или исключения соответственно PCR. Чтобы включить защиту BitLocker, профиль проверки платформы должен включать PCR 11.

Значение	Значение
0	Core Root of Trust of Measurement (CRTM), BIOS и Platform Extensions.
1	Конфигурация платформы и системной платы и данные
2	Код дополнительного ПЗУ
3	Конфигурация и данные дополнительного ПЗУ
4	Код главной загрузочной записи (MBR)
5	Таблица разделов главной загрузочной записи (MBR)
6	События перехода состояния и пробуждения
7	Manufacturer-Specific компьютера
8	Загрузочный сектор NTFS
9	Код загрузки NTFS
10	Диспетчер загрузки
11	Контроль доступа шифрования диска BitLocker
12	Определяется для использования статической операционной системой
13	Определяется для использования статической операционной системой
14	Определяется для использования статической операционной системой
15	Определяется для использования статической операционной системой
16	Используется для отладки
17	Динамический CRTM
18	Определяемая платформой
19	Используется доверенной операционной системой
20	Используется доверенной операционной системой
21	Используется доверенной операционной системой
22	Используется доверенной операционной системой
23	Поддержка приложений

 

VolumeKeyProtectorID [out]

Тип: string

Строка, однозначно идентифицирующая созданный предохранитель и которая может использоваться для управления предохранителем ключа.

Если диск поддерживает аппаратное шифрование и BitLocker не стал владельцем группы, для строки идентификатора устанавливается значение BitLocker, а предохранитель ключа записывается в метаданные каждого диапазона.

Возвращаемое значение

Тип: uint32

Этот метод возвращает один из следующих кодов или другой код ошибки в случае сбоя.

Вопросы безопасности

Для обеспечения безопасности компьютера рекомендуется использовать профиль по умолчанию. Для дополнительной защиты от изменений конфигурации раннего запуска используйте профиль PCR 0, 1, 2, 3, 4, 5, 8, 9, 10, 11.

Изменение профиля по умолчанию влияет на безопасность или удобство использования компьютера.

Комментарии

Для тома в любое время может существовать не более одного предохранителя ключа типа TPM. Если вы хотите изменить отображаемое имя или профиль проверки платформы, используемый существующим предохранителем ключа TPM, необходимо сначала удалить существующий предохранитель ключа, а затем вызвать ProtectKeyWithTPM , чтобы создать новый.

Для индексов PCR от 0 до 5 текущие измерения в регистрах используются для защиты ключа шифрования. Для значений PCR от 8 до 11 используются измерения, которые, как ожидается, будут существовать в следующем начальном цикле.

Для разблокировки тома в сценариях восстановления, где невозможно получить доступ к ключу шифрования тома, необходимо указать дополнительные предохранители ключей. например, если доверенный платформенный модуль не может успешно выполнить проверку по профилю проверки платформы. Используйте ProtectKeyWithExternalKey или ProtectKeyWithNumericalPassword , чтобы создать один или несколько предохранителей ключа для восстановления заблокированного в противном случае тома.

MOF-файлы содержат определения для классов инструментария управления Windows (WMI). MOF-файлы не устанавливаются в составе пакета Windows SDK. Они устанавливаются на сервере при добавлении связанной роли с помощью диспетчер сервера. Дополнительные сведения о MOF-файлах см. в разделе Формат управляемого объекта (MOF).

Требования

См. также раздел

Win32_EncryptableVolume

Win32_Tpm