PowerEdge: Erros de DUP do chipset 14G, 15G e 16G WDAC não assinado quando alterado de auditoria para imposto

O pacote DUP do chipset Intel Lewisburg C62xx dos PowerEdge 15G e 16G versão 10.1.19485.8386 ( #VGX10) para o sistema operacional Windows, lançado como parte da versão em bloco de dezembro de 2023 (publicação na fábrica e na Web), inclui componentes não assinados da Intel para o Windows Defender Application Control (WDAC).

O pacote de DUP versão 2.18.30.202 (#NJ9WJ) do driver do chipset AMD Milan R6515/R7515 para o sistema operacional Windows que fez parte da versão em bloco de outubro de 2023 (publicação na fábrica e na Web) inclui componentes não assinados da AMD para o Windows Defender Application Control (WDAC).

O pacote DUP do chipset Intel Lewisburg C72xx do PowerEdge 14G versão 10.1.18807.8279 ( #K69PV) destinado ao próximo bloco de março de 2024 inclui componentes não assinados da Intel para o Windows Defender Application Control (WDAC).

O WDAC é um novo recurso da Microsoft lançado inicialmente no pacote de drivers de chipset em dezembro. A integração completa de recursos requer atualizações do iDRAC que ainda não estão disponíveis.

O WDAC é descrito no artigo da Microsoft: Entender as regras de diretiva e as regras de arquivo do Windows Defender Application Control (WDAC) - Segurança do Windows | Microsoft Learn. A configuração inicial do WDAC está no modo Audit.

Se um WDAC for alterado do modo de auditoria para o modo Forçado, ao tentar instalar o pacote DUP do chipset Intel (versão 10.1.19485.8386), a instalação falhará com os seguintes erros:

Status        : NotSigned
StatusMessage : The file C:\Temp\intel15G\Bootstrapper.dll is not digitally signed. You cannot run this script on the current system. For more information about running scripts and setting execution policy, see about_Execution_Policies at https:/go.microsoft.com/fwlink/?LinkID=135170
Path          : C:\Temp\intel15G\Bootstrapper.dll

Status        : NotSigned
StatusMessage : The file C:\Temp\intel15G\Chipset.Bootstrapper.dll is not digitally signed. You cannot run this script on the current system. For more information about running scripts and setting execution policy, see about_Execution_Policies at https:/go.microsoft.com/fwlink/?LinkID=135170
Path          : C:\Temp\intel15G\Chipset.Bootstrapper.dll

Status        : NotSigned
StatusMessage : The file C:\Temp\intel15G\CommandLineUtility.dll is not digitally signed. You cannot run this script on the current system. For more information about running scripts and setting execution policy, see about_Execution_Policies at https:/go.microsoft.com/fwlink/?LinkID=135170
Path          : C:\Temp\intel15G\CommandLineUtility.dll

Status        : NotSigned
StatusMessage : The file C:\Temp\intel15G\Intel.Tools.dll is not digitally signed. You cannot run this script on the current system. For more information about running scripts and setting execution policy, see about_Execution_Policies at https:/go.microsoft.com/fwlink/?LinkID=135170
Path          : C:\Temp\intel15G\Intel.Tools.dll

Status        : NotSigned
StatusMessage : The file C:\Temp\intel15G\winterop.dll is not digitally signed. You cannot run this script on the current system. For more information about running scripts and setting execution policy, see  about_Execution_Policies at https:/go.microsoft.com/fwlink/?LinkID=135170
Path          : C:\Temp\intel15G\winterop.dll

Status        : NotSigned
StatusMessage : The file C:\Temp\intel15G\wix.dll is not digitally signed. You cannot run this script on the current system. For more information about running scripts and setting execution policy, see about_Execution_Policies at https:/go.microsoft.com/fwlink/?LinkID=135170
Path          : C:\Temp\intel15G\wix.dll

Os erros no log do Windows CodeIntegrity serão semelhantes a:

Figura 1: Exemplo de log do Windows CodeIntegrity

O PowerEdge R6515/R7515 com o pacote DUP do chipset AMD Milan versão 2.18.30.202 identifica erros semelhantes, mas os nomes de arquivos destacados serão os nomes de arquivos relacionados à AMD que não foram assinados, como nsExec.dll.


Há dois casos de uso conhecidos da Dell para WDAC como imposto:

• APEX Cloud Platform for Azure - WDAC como Imposto por padrão em todas as implementações
• A solução no mercado com 23H2 também tem o WDAC como Imposto por padrão.

A engenharia da Dell está ciente do problema ao definir o WDAC como imposto e está trabalhando em um pacote DUP atualizado com componentes devidamente assinados por nosso fornecedor.

A recomendação atual da engenharia é instalar os pacotes DUP de chipset atualizados quando estiverem disponíveis.
 

O pacote DUP do driver de chipset Intel atualizado para 15G e 16G está planejado para ser promovido na Web no início de janeiro de 2024 com uma instalação de fábrica prevista para o bloco de junho de 2024.
O pacote DUP do driver do chipset Intel 14G atualizado está planejado para ser lançado no próximo bloco de junho de 2024.
O pacote DUP do driver do chipset AMD de atualização está planejado para ser promovido pela Web e instalado de fábrica em abril de 2024.

A ativação do recurso WDAC no iDRAC está prevista para uma versão bloco de março de 2024.

As soluções que usam o WDAC configurado como "imposto" usam outros métodos de atualização até que os pacotes atualizados de chipset DUP estejam disponíveis.
 

Este artigo é atualizado à medida que novas informações são disponibilizadas.