Dell Encryption Enterprise 和 Dell Encryption Personal 最佳做法：Windows 10 功能更新或迁移

Windows 10升级必须从未加密的目录运行。由于 USER 或 COMMON 加密在 Windows 10 升级过程中未解锁，从 USER 或 COMMON 加密的目录运行升级时，即使正确执行 Dell Encryption Windows 10 升级，升级也会失败。

基于此要求，戴尔建议在适用于 Windows 功能更新的 Dell Encryption 策略中添加以下排除项。这些应添加到固定磁盘排除项（适用于 SDE 密钥）和常规加密排除项（通用/用户）中：

-^%ENV:SYSTEMDRIVE%\$WINDOWS.~BT
-^%ENV:SYSTEMDRIVE%\_SMSTaskSequence
-^%ENV:SYSTEMDRIVE%\$GetCurrent\
-^%ENV:SYSTEMDRIVE%\$SysReset\
-^%ENV:SYSTEMDRIVE%\$Windows.~WS\
-^%ENV:SYSTEMDRIVE%\$Hyper-v.tmp\
-^%ENV:SYSTEMDRIVE%\Windows\SoftwareDistribution\
-^%ENV:SYSTEMDRIVE%\Windows10Upgrade\

通过 SCCM 和其它第三方管理应用程序推送的功能更新需要：

-^%ENV:SYSTEMDRIVE%\Windows\ccmcache
-^%ENV:SYSTEMDRIVE%\Windows\TEMP\BootImages
-^%ENV:SYSTEMDRIVE%\Windows\Security\database\;chk.edb.jrs.log.sdb
-^%ENV:SYSTEMDRIVE%\_SMSTSVolumeID.7159644d-f741-45d5-ab29-0ad8aa4771ca

通过 Windows 更新提取功能更新的步骤如下所示。

图 8：（仅限英文）Windows Update

您可能会遇到一个故障，指示需要先卸载Dell Encryption才能继续。

图 9：（仅限英文）卸载并继续

关闭此屏幕，运行 WSProbe -z（从命令提示符以管理员身份运行），然后再次尝试更新。

图 10：（仅限英文）键入 WSProbe -z

更新提示声称更多的准备项目已在后台运行。

图 11：（仅限英文）Windows Update 正在准备项目

可在Windows 10的新Settings（设置）菜单中检查更新状态。

要使用“设置”菜单访问更新项目，请执行以下操作：

1. 单击“开始”按钮，然后单击“设置”。

图 12：（仅限英文）单击“设置”

2. 在Settings（设置）中，单击Update & Security（更新和安全）。

图 13：（仅限英文）单击“更新和安全”

3. 准备就绪后，“更新和安全”部分会显示已安排重新启动。重新启动将开始更新过程。

图 14：（仅限英文）单击“立即重新启动”

图 15：（仅限英文）Windows Update 状态窗口

4. 升级完成后，在登录过程中，Windows 指示个人计算机已更新，并且您的所有数据都位于同一位置。

您可以通过在命令提示符下或 PowerShell 中运行命令“winver”，检查 windows 的版本，来验证是否已正确安装 Windows 的新版本。

图 16：（仅限英文）关于 Windows

Microsoft 提供将 Windows 功能更新作为 ISO 文件下载以便用于升级和部署的能力。在此处获取下载：https://support.microsoft.com/en-us/help/12387/windows-10-update-history

插入介质之前，运行 WSProbe -z（从命令提示符以管理员身份运行）。这将为升级过程准备加密数据（不进行解密）。

图 19：（仅限英文）键入 WSProbe -z

将此介质插入运行较早版本的 Microsoft Windows 的计算机时，将出现升级提示。

关闭此提示，因为必须使用特定命令运行升级。

图 20：（仅限英文）关闭此提示

打开管理命令提示符（或利用为 WSProbe -z 功能打开的命令提示符）。

转至包含 Windows 功能更新介质的驱动器盘符。在此示例中，D:是Windows功能更新介质的驱动器。

图 21：（仅限英文）将目录切换到具有 Windows 功能更新介质的驱动器

使用此命令运行setup.exe以注入Dell Encryption驱动程序：

Setup.exe /reflectdrivers "C:\ProgramData\Dell\Dell Data Protection\Encryption\DDPEDrivers"

图 22：（仅限英文）键入 Setup.exe /reflectdrivers "C:\ProgramData\Dell\Dell Data Protection\Encryption\DDPEDrivers"

此命令会启动 Windows 功能更新过程。按照提示进行操作，无需执行其他步骤。

Microsoft 提供将 Windows 功能更新作为 ISO 文件下载以便用于升级和部署的能力。在此处获取下载：https://support.microsoft.com/en-us/help/12387/windows-10-update-history

要为部署准备 Windows 功能更新，大多数环境都必须利用 install.wim 文件。由于 Dell Encryption 支持 Windows 功能更新路径方式的性质，我们必须将驱动程序和必要的注册表文件注入安装介质。

要完成此操作，需要 Windows 10 应用程序开发工具包 (ADK)。您可以在此处找到最新版本：https://developer.microsoft.com/en-us/windows/hardware/windows-assessment-deployment-kit

您需要批处理文件和相应的注册表项，它们无法从外部链接供客户下载。您可以通过拨打支持热线电话从支持部门那里获得这些东西：877.459.7304，分机号：4310039。对于美国境外的支持，请参考ProSupport的国际联系号码列表。此批处理文件采用扩展的 Windows 功能更新 ISO（上面下载的），并将驱动程序和注册表文件注入升级 ISO 内的 install.wim 和 WinRE.wim 文件。

要为您的升级介质查找相应的驱动程序，我们必须从运行 8.10.1 或更高版本的设备获取适合相应操作系统位速率（32 位或 64 位）的驱动程序。这些可在 C:\ProgramData\Dell\Dell Data Protection\Encryption\DDPEDrivers\ 中找到。在 8.18.0 及更高版本中，此文件夹已更改为“C:\Windows\System32\Update\Run\B67DD994-EDF9-4D19-8A1C-88B12D796657\ReflectDrivers”。

图 23：（仅限英文）Windows 资源管理器中的 DDPE 驱动程序

• 批处理脚本（由戴尔支持提供）
• Windows功能更新安装程序（由Microsoft提供）解压缩的ISO
• 注册表项（与脚本一起由戴尔支持提供）
• Dell Encryption驱动程序（取自网络上的设备，或由戴尔支持提供）

要生成介质：

1. 以管理员身份打开部署和映像工具环境。

图 24：（仅限英文）以管理员身份运行部署和映像工具环境

2. 运行批处理脚本。输入批处理文件会提供有关语法的信息。

图 25：（仅英文）键入 Build-FFE-Integrated-Dell-Image "Win10UpgradeDir" "DDPEDriversDir"

语法是：

用法：Build-FFE-Integrated-Dell-Image "Win10UpgradeDir" "DDPEDriversDir"

其中：

Win10UpgradeDir -- 解压到目录
DDPEDriversDir 的 Windows 10 ISO 文件的路径 -- DDP|E 驱动程序目录的可选路径。如果未提供此参数，则从本地安装获取 Dell Data Protection | Encryption 驱动程序。

该过程完成后，您最终会在您提供的工具所提取的 ISO 目录中添加一个升级 install.wim 的文件。

安装文件现可随时使用。

• 以管理员身份在与 WSProbe.exe 文件相同的位置打开命令提示符，并输入适用命令：
  • 要允许 Windows 10 升级模式针对 Dell Encryption Personal（以前称为 Dell Data Protection | Personal Edition）的密钥包文件进行身份验证，您必须先使用以下命令，这是升级准备的一部分（在 Dell Encryption Personal 资源调配过程中备份的 LSARecovery 文件）：
    • WSProbe -E -B "backup_file_path" "password"

要检查准备过程的进度，可运行 WSProbe –E

1. 显示以下消息时表明系统已准备好升级：“Preparation complete.Run Windows Upgrade now.”（准备已完成。请立即运行 Windows 升级。）
2. 如果系统提示重启，则重新启动计算机。
3. 运行Windows升级。
4. 重新启动计算机。
5. 升级完成后，打开命令提示符并输入：
   • WSProbe -R

6. 如果系统提示重启，则重新启动计算机。

要检查准备过程的进度，可运行 WSProbe –E

1. 如果未显示以下消息：准备完成。请立即运行 Windows 升级。
   1. 请按照列出的提示进行操作。
   2. 再次运行 WSProbe，直到显示运行 Windows 升级的提示。
      • WSProbe -E
   3. 运行Windows升级。
   4. 如果系统提示重启，则重新启动计算机。
   5. 升级完成后，打开命令提示符并输入：
      • WSProbe -R

对于未解密的文件，此方法可能会遇到问题。要避免这种情况，我们应自动创建以下项的注册表项：

HKLM\Software\Credant\DecryptAgent\
DWORD: MaxBytesReboot
Value: 0

要检查准备过程的进度，可运行：WSProbe –E

要检查准备过程的进度，可运行 WSProbe –E

以管理员身份在与 WSProbe.exe 文件相同的位置打开命令提示符，并输入适用命令：

• 要允许 Windows 10 升级模式导入预先存在的密钥包文件（可从 Dell Security Management Server [以前称为 Dell Data Protection | Enterprise Edition] 下载）并针对该密钥包文件进行身份验证：
  • WSProbe -E -I "import_file_path" "password"
• 联系Dell Security Management Server或Dell Security Management Virtual Server（前称Dell Data Protection | Virtual Edition），它会传输用于验证正确的密钥材料是否存在的密钥捆绑：
  • WSProbe -E -S "forensics_admin_name" "password"
• 要检查准备过程的进度，可运行：
  • WSProbe -E

1. 当显示以下消息时，系统已准备好升级：准备完成。请立即运行 Windows 升级。
2. 如果系统提示重启，则重新启动计算机。
3. 运行Windows升级。
4. 重新启动计算机。
5. 升级完成后，打开命令提示符并输入：
   • WSProbe -R

6. 如果系统提示重启，则重新启动计算机。

如果 准备完成。请运行 Windows Upgrade now 消息未显示，请执行以下步骤：

1. 请按照列出的提示进行操作。
2. 再次运行 WSProbe，直到显示运行 Windows 升级的提示：
   • WSProbe -E
3. 运行Windows升级。
4. 如果系统提示重启，则重新启动计算机。
5. 升级完成后，打开命令提示符并输入：
   • WSProbe -R

对于未解密的文件，此方法可能会遇到问题。要避免这种情况，我们应自动创建以下项的注册表项：

HKLM\Software\Credant\DecryptAgent\
DWORD: MaxBytesReboot
Value: 0