Best Practices für Dell Encryption Enterprise und Dell Encryption Personal: Windows 10 Funktionsaktualisierung oder -migration

Die Aktualisierung von Windows 10 muss von einem unverschlüsselten Verzeichnis aus ausgeführt werden. Da die USER- oder COMMON-Verschlüsselung während des Windows 10-Upgrade-Prozesses nicht entsperrt wird, schlägt das Upgrade fehl, wenn es von einem USER- oder COMMON-verschlüsselten Verzeichnis aus ausgeführt wird, obwohl das Dell Encryption Windows 10-Upgrade korrekt durchgeführt wurde.

Dell empfiehlt, die folgenden Ausschlüsse zu den Dell Encryption-Policys für Windows-Feature-Updates hinzuzufügen, die auf dieser Anforderung basieren. Diese müssen sowohl zu den Ausnahmen des fest eingebauten Laufwerks (Für SDE-Schlüssel) und zu den allgemeinen Verschlüsselungsausnahmen (Allgemein/Benutzer) hinzugefügt werden.

-^%ENV:SYSTEMDRIVE%\$WINDOWS.~BT
-^%ENV:SYSTEMDRIVE%\_SMSTaskSequence
-^%ENV:SYSTEMDRIVE%\$GetCurrent\
-^%ENV:SYSTEMDRIVE%\$SysReset\
-^%ENV:SYSTEMDRIVE%\$Windows.~WS\
-^%ENV:SYSTEMDRIVE%\$Hyper-v.tmp\
-^%ENV:SYSTEMDRIVE%\Windows\SoftwareDistribution\
-^%ENV:SYSTEMDRIVE%\Windows10Upgrade\

Erforderlich für Feature-Updates über SCCM und andere Anwendungen von Drittanbietern:

-^%ENV:SYSTEMDRIVE%\Windows\ccmcache
-^%ENV:SYSTEMDRIVE%\Windows\TEMP\BootImages
-^%ENV:SYSTEMDRIVE%\Windows\Security\database\;chk.edb.jrs.log.sdb
-^%ENV:SYSTEMDRIVE%\_SMSTSVolumeID.7159644d-f741-45d5-ab29-0ad8aa4771ca

Die Schritte zum Abrufen von Funktionsaktualisierungen über Windows Updates sind unten dargestellt.

Abbildung 8: (Nur Englisch) Windows Update

Es kann sein, dass ein Fehler angezeigt wird, der darauf hinweist, dass Dell Encryption erst deinstalliert werden muss, bevor fortgefahren werden kann.

Abbildung 9: (Nur Englisch) Deinstallieren und fortfahren

Schließen Sie diesen Bildschirm, führen Sie WSProbe -z (als Administrator über die Eingabeaufforderung) aus und versuchen Sie, das Update erneut durchzuführen.

Abbildung 10: (Nur Englisch) Geben Sie WSProbe -z ein.

Das Update weist darauf hin, dass mehr Vorbereitungsaufgaben im Hintergrund ausgeführt werden.

Abbildung 11: (Nur Englisch) Windows Update bereitet Elemente vor

Der Status für Aktualisierungen kann im neuen Menü "Einstellungen" für Windows 10 überprüft werden.

Greifen Sie wie folgt über das Einstellungsmenü auf die Update-Elemente zu:

1. Klicken Sie auf die Schaltfläche "Start" und dann auf "Einstellungen".

Abbildung 12: (Nur Englisch) Klicken Sie auf „Einstellungen“.

2. Klicken Sie in den Einstellungen auf "Updates & Sicherheit".

Abbildung 13: (Nur Englisch) Klicken Sie auf „Update“ & „Sicherheit“.

3. Bei Bereitschaft zeigt der Abschnitt „Update und Sicherheit“ an, dass ein Neustart geplant ist. Durch den Neustart wird der Updatevorgang gestartet.

Abbildung 14: (Nur Englisch) Klicken Sie auf „Jetzt neu starten“.

Abbildung 15: (Nur Englisch) Windows Update-Statusfenster

4. Das Upgrade wird abgeschlossen. Während der Anmeldung zeigt Windows an, dass der PC aktualisiert wurde und sich alle Ihre Daten am selben Speicherort befinden.

Sie können überprüfen, ob die neue Version von Windows ordnungsgemäß installiert wurde, indem Sie die Version von Windows über den Befehl „winver“ in der Eingabeaufforderung oder in PowerShell abfragen.

Abbildung 16: (Nur Englisch) Informationen zu Windows

Microsoft bietet die Möglichkeit zum Herunterladen von Funktionsupdates als ISO-Dateien für Upgrades und die Bereitstellung. Hier gelangen Sie zum Download: https://support.microsoft.com/en-us/help/12387/windows-10-update-history

Vor der Eingabe der Medien muss WSProbe -z als Administrator über die Eingabeaufforderung ausgeführt werden. Dadurch werden die verschlüsselten Daten für den Upgrade-Vorgang vorbereitet (es findet keine Entschlüsselung statt).

Abbildung 19: (Nur Englisch) Geben Sie WSProbe -z ein.

Wenn dieses Medium in einen Computer eingelegt wird, auf dem frühere Versionen von Microsoft Windows ausgeführt werden, wird eine Aufforderung zum Upgrade angezeigt.

Sie müssen diese Eingabeaufforderung schließen, da das Upgrade mit einem bestimmten Befehl ausgeführt werden muss.

Abbildung 20: (Nur Englisch) Schließen Sie diese Aufforderung.

Öffnen Sie eine administrative Eingabeaufforderung (oder nutzen Sie die bereits offene, um die WSProbe -z-Funktionalität zu verwenden).

Navigieren Sie zu dem Laufwerksbuchstaben, der die Windows Feature-Update-Medien enthält. In diesem Beispiel ist D: das Laufwerk, das die Windows-Funktionsupdate-Medien enthält.

Abbildung 21: (Nur Englisch) Ändern Sie DIR auf Laufwerk mit Windows Feature Update-Medien

Führen Sie setup.exe mit diesem Befehl aus, um Dell Encryption Treiber einzufügen:

Setup.exe /reflectdrivers "C:\ProgramData\Dell\Dell Data Protection\Encryption\DDPEDrivers"

Abbildung 22: (Nur Englisch) Geben Sie Setup.exe /reflectdrivers "C:\ProgramData\Dell\Dell Data Protection\Encryption\DDPEDrivers" ein.

Mit diesem Befehl wird der Windows Feature Update-Prozess gestartet. Folgen Sie den Aufforderungen, es sind keine weiteren Schritte erforderlich.

Microsoft bietet die Möglichkeit zum Herunterladen von Funktionsupdates als ISO-Dateien für Upgrades und die Bereitstellung. Hier gelangen Sie zum Download: https://support.microsoft.com/en-us/help/12387/windows-10-update-history

Um ein Windows Feature Update für die Bereitstellung vorzubereiten, muss in den meisten Umgebungen eine install.wim-Datei verwendet werden. Aufgrund der Art und Weise, wie Dell Encryption den Pfad des Windows Feature-Updates unterstützt, müssen wir die Treiber und notwendigen Registrierungsdateien zum Installationsmedium hinzufügen.

Dazu ist das Windows 10 Application Development Kit (ADK) erforderlich. Die neueste Version finden Sie hier: https://developer.microsoft.com/en-us/windows/hardware/windows-assessment-deployment-kit

Sie benötigen eine Batch-Datei und entsprechende Registrierungsschlüssel, die nicht extern für den Kunden-Download verlinkt werden können. Sie erhalten diese vom Support, indem Sie die Support-Hotline unter folgender Nummer anrufen: 877.459.7304 Ext. 4310039. Für Support außerhalb der USA rufen Sie die Liste der internationalen Telefonnummern von ProSupport auf. Diese Batch-Datei nimmt eine erweiterte Windows Feature-Update-ISO (wie oben angegeben heruntergeladen) und fügt Treiber und Registrierungsdateien in die install.wim- und WinRE.wim-Dateien in die Upgrade-ISO ein.

Um die passenden Treiber für Ihr Upgrade-Medium zu finden, müssen wir die Treiber von einem Gerät mit der Version 8.10.1 oder höher für die entsprechende Bitrate des Betriebssystems (32 Bit oder 64 Bit) beziehen. Diese finden Sie unter C:\ProgramData\Dell\Dell Data Protection\Encryption\DDPEDrivers\. In 8.18.0 und höher wurde dieser Ordner in „C:\Windows\System32\Update\Run\B67DD994-EDF9-4D19-8A1C-88B12D796657\ReflectDrivers“ geändert.

Abbildung 23: (Nur Englisch) DDPE-Treiber in Windows Explorer

• Batch-Skript (wird vom Dell Support zur Verfügung gestellt)
• Extrahierte ISO des Installationsprogramms der Windows Feature-Aktualisierung (Bereitgestellt von Microsoft)
• Registrierungsschlüssel (von Dell Support mit Skript zur Verfügung gestellt)
• Dell Encryption Treiber (aus einem Gerät in Ihrem Netzwerk oder vom Dell Support bereitgestellt)

So generieren Sie Medien:

1. Öffnen Sie die Umgebung der Bereitstellungs- und Imaging-Tools als Administrator.

Abbildung 24: (Nur in englischer Sprache) Ausführen der Bereitstellungs- und Imaging-Tools-Umgebung als Administrator

2. Führen Sie das Batch-Skript aus. Bei der Eingabe der Batch-Datei erhalten Sie Informationen zur Syntax.

Abbildung 25: (Nur Englisch) Geben Sie Build-FFE-Integrated-Dell-Image "Win10UpgradeDir" "DDPEDriversDir" ein.

Die Syntax lautet:

Verwendung: Build-FFE-Integrated-Dell-Image "Win10UpgradeDir" "DDPEDriversDir"

Wo:

Win10UpgradeDir – Pfad zu den Windows 10-ISO-Dateien, die in ein Verzeichnis extrahiert werden
DDPEDriversDir – Optionaler Pfad zum Verzeichnis der DDP|E-Treiber. Dell Data Protection | Encryption-Treiber werden von der lokalen Installation abgerufen, wenn dieser Parameter nicht angegeben ist.

Sobald der Prozess abgeschlossen ist, erhalten Sie eine aktualisierte install.wim Datei im extrahierten ISO-Verzeichnis, das Sie das Tool bereitgestellt haben.

Die Installationsdateien sind nun bereit für die Verwendung.

• Öffnen Sie als Administrator eine Eingabeaufforderung am Speicherort, an dem sich auch die WSProbe.exe-Datei befindet, und geben Sie den entsprechenden Befehl ein:
  • Um den Windows 10 Upgrade-Modus mit einer Schlüssel-Bundle-Datei für Dell Encryption Personal (ehemals Dell Data Protection | Personal Edition) zu authentifizieren, müssen Sie zunächst den unten stehenden Befehl verwenden, der Teil der Upgrade-Vorbereitung ist (die LSARecovery-Datei, die während des Bereitstellungsprozesses von Dell Encryption Personal gesichert wird):
    • WSProbe -E -B "backup_file_path" "password"

Für die Überprüfung des Fortschritts des Vorbereitungsvorgangs können Sie Folgendes ausführen: WSProbe –E

1. Das System ist für das Upgrade bereit, wenn die folgende Meldung angezeigt wird: "Preparation complete. Run Windows Upgrade now.“
2. Starten Sie den Computer neu, wenn Sie dazu aufgefordert werden.
3. Führen Sie die Windows-Aktualisierung aus.
4. Führen Sie einen Neustart des Computers durch.
5. Sobald das Upgrade abgeschlossen ist, öffnen Sie eine Eingabeaufforderung und geben Sie Folgendes ein:
   • WSProbe -R

6. Starten Sie den Computer neu, wenn Sie dazu aufgefordert werden.

Für die Überprüfung des Fortschritts des Vorbereitungsvorgangs können Sie Folgendes ausführen: WSProbe –E

1. Wenn die folgende Meldung nicht angezeigt wird: Vorbereitung abgeschlossen. Führen Sie das Windows-Upgrade jetzt aus.
   1. Befolgen Sie die angezeigten Aufforderungen.
   2. Führen Sie WSProbe erneut aus, bis die Aufforderung zur Ausführung der Windows-Aktualisierung angezeigt wird.
      • WSProbe -E
   3. Führen Sie die Windows-Aktualisierung aus.
   4. Starten Sie den Computer neu, wenn Sie dazu aufgefordert werden.
   5. Sobald das Upgrade abgeschlossen ist, öffnen Sie eine Eingabeaufforderung und geben Sie Folgendes ein:
      • WSProbe -R

Diese Methode kann bei Dateien, die nicht entschlüsselt werden, zu Fehlern führen. Um dies zu verhindern, müssen wir für Folgendes einen Registrierungsschlüssel automatisch erstellen:

HKLM\Software\Credant\DecryptAgent\
DWORD: MaxBytesReboot
Value: 0

Für die Überprüfung des Fortschritts des Vorbereitungsvorgangs können Sie Folgendes ausführen: WSProbe –E

Für die Überprüfung des Fortschritts des Vorbereitungsvorgangs führen Sie Folgendes aus: WSProbe –E

Öffnen Sie als Administrator eine Eingabeaufforderung am Speicherort, an dem sich auch die WSProbe.exe-Datei befindet, und geben Sie den entsprechenden Befehl ein:

• Um dafür zu sorgen, dass der Windows 10-Upgrade-Modus gegenüber einer bereits vorhandenen Schlüsselbundle-Datei (kann vom Dell Security Management-Server heruntergeladen werden [ehemals Dell Data Protection | Enterprise Edition]) importieren und authentifizieren kann:
  • WSProbe -E -I "import_file_path" "password"
• Um den Dell Security Management-Server oder virtuellen Dell Security Management-Server (ehemals Dell Data Protection | Virtual Edition) zu kontaktieren, der das wichtige Bundle weiterleitet, das verwendet wird, um zu bestätigen, dass das richtige Schlüsselmaterial vorhanden ist:
  • WSProbe -E -S "forensics_admin_name" "password"
• Für die Überprüfung des Fortschritts des Vorbereitungsvorgangs können Sie Folgendes ausführen:
  • WSProbe -E

1. Das System ist für das Upgrade bereit, wenn die folgende Meldung angezeigt wird: Vorbereitung abgeschlossen. Führen Sie das Windows-Upgrade jetzt aus.
2. Starten Sie den Computer neu, wenn Sie dazu aufgefordert werden.
3. Führen Sie die Windows-Aktualisierung aus.
4. Führen Sie einen Neustart des Computers durch.
5. Sobald das Upgrade abgeschlossen ist, öffnen Sie eine Eingabeaufforderung und geben Sie Folgendes ein:
   • WSProbe -R

6. Starten Sie den Computer neu, wenn Sie dazu aufgefordert werden.

Wenn die Vorbereitung abgeschlossen ist. Führen Sie die Meldung "Windows Upgrade now" (Windows-Upgrade jetzt ausführen) nicht aus. Führen Sie die folgenden Schritte aus:

1. Befolgen Sie die angezeigten Aufforderungen.
2. Führen Sie WSProbe erneut aus, bis die Aufforderung zur Ausführung der Windows-Aktualisierung Folgendes anzeigt:
   • WSProbe -E
3. Führen Sie die Windows-Aktualisierung aus.
4. Starten Sie den Computer neu, wenn Sie dazu aufgefordert werden.
5. Sobald das Upgrade abgeschlossen ist, öffnen Sie eine Eingabeaufforderung und geben Sie Folgendes ein:
   • WSProbe -R

Diese Methode kann bei Dateien, die nicht entschlüsselt werden, zu Fehlern führen. Um dies zu verhindern, müssen wir für Folgendes einen Registrierungsschlüssel automatisch erstellen:

HKLM\Software\Credant\DecryptAgent\
DWORD: MaxBytesReboot
Value: 0