Best practice per Dell Encryption Enterprise e Dell Encryption Personal: Aggiornamento o migrazione delle funzionalità di Windows 10

L'aggiornamento di Windows 10 deve essere eseguito da una directory non crittografata. Poiché la crittografia con chiavi USER o COMMON non viene sbloccata durante il processo di aggiornamento delle funzionalità di Windows 10, se si esegue l'aggiornamento da una directory crittografata con chiavi USER o COMMON, l'aggiornamento non riesce anche se l'operazione avviene correttamente.

Sulla base a questo requisito, Dell consiglia di aggiungere le seguenti esclusioni alle policy di Dell Encryption per gli aggiornamenti delle funzionalità di Windows. Tali esclusioni devono essere aggiunte sia in Fixed Disk Exclusions (Esclusioni disco fisso) (per le chiavi SDE) e in General Encryption Exclusions (Esclusioni crittografia generale) (Common/User):

-^%ENV:SYSTEMDRIVE%\$WINDOWS.~BT
-^%ENV:SYSTEMDRIVE%\_SMSTaskSequence
-^%ENV:SYSTEMDRIVE%\$GetCurrent\
-^%ENV:SYSTEMDRIVE%\$SysReset\
-^%ENV:SYSTEMDRIVE%\$Windows.~WS\
-^%ENV:SYSTEMDRIVE%\$Hyper-v.tmp\
-^%ENV:SYSTEMDRIVE%\Windows\SoftwareDistribution\
-^%ENV:SYSTEMDRIVE%\Windows10Upgrade\

Esclusioni necessarie per gli aggiornamenti delle funzionalità con push tramite SCCM e altre applicazioni di gestione di terze parti:

-^%ENV:SYSTEMDRIVE%\Windows\ccmcache
-^%ENV:SYSTEMDRIVE%\Windows\TEMP\BootImages
-^%ENV:SYSTEMDRIVE%\Windows\Security\database\;chk.edb.jrs.log.sdb
-^%ENV:SYSTEMDRIVE%\_SMSTSVolumeID.7159644d-f741-45d5-ab29-0ad8aa4771ca

Di seguito sono illustrati i passaggi per eseguire il pull degli aggiornamenti delle funzionalità tramite Gli aggiornamenti di Windows.

Figura 8. (Solo in inglese) Windows Update

È possibile che venga visualizzato un errore in cui è indicato che Dell Encryption deve essere disinstallato prima di continuare.

Figura 9. (solo in inglese) Pulsante Disinstalla e continua

Chiudere questa schermata, eseguire WSProbe -z (come amministratore dal prompt dei comandi) e provare di nuovo a eseguire l'aggiornamento.

Figura 10. (Solo in inglese) Digitare WSProbe -z

Durante l'aggiornamento, un messaggio informa che vengono eseguite in background alcune operazioni di preparazione.

Figura 11. (Solo in inglese) Windows Update sta eseguendo alcune operazioni di preparazione

È possibile verificare lo stato degli aggiornamenti nel menu delle impostazioni per Windows 10.

Per accedere agli elementi di aggiornamento tramite il menu Impostazioni:

1. Cliccare sul pulsante Start e quindi su Impostazioni.

Figura 12. (Solo in inglese) Cliccare su Impostazioni

2. In impostazioni, cliccare su Aggiornamento e sicurezza.

Figura 13. (solo in inglese) Cliccare su Aggiornamento e sicurezza

3. Quando è tutto pronto, nella sezione Aggiornamento e sicurezza viene indicato che è stato pianificato un riavvio. Il riavvio avvia il processo di aggiornamento.

Figura 14: (Solo in inglese) Cliccare su Riavvia ora

Figura 15. (Solo in inglese) Finestra di stato di Windows Update

4. Il completamento dell'aggiornamento, durante l'accesso, Windows indica che il personal computer è stato aggiornato e tutti i dati si trovano nella stessa posizione.

È possibile verificare la corretta installazione della nuova versione di Windows controllando la versione di Windows con il comando "winver", da eseguire in un prompt dei comandi o in PowerShell.

Figura 16. (Solo in inglese) Informazioni su Windows

Microsoft offre la possibilità di scaricare gli aggiornamenti delle funzionalità di Windows come file ISO per le operazioni di aggiornamento e deployment. Il download è disponibile qui: https://support.microsoft.com/en-us/help/12387/windows-10-update-history

Prima di inserire il supporto, eseguire WSProbe -z come amministratore dal prompt dei comandi. In questo modo si prepareranno i dati crittografati per il processo di aggiornamento (non avviene alcuna operazione di decrittografia).

Figura 19. (Solo in inglese) Digitare WSProbe -z

Quando si inserisce questo supporto in un sistema che esegue versioni precedenti di Microsoft Windows, viene visualizzato un prompt di aggiornamento.

È necessario chiudere questo prompt, poiché l'aggiornamento deve essere eseguito con un comando specifico.

Figura 20. (Solo in inglese) Chiusura del prompt

Aprire un prompt dei comandi con diritti di amministratore (o utilizzare il prompt dei comandi aperto per la funzionalità WSProbe -z).

Passare alla lettera dell'unità che contiene il supporto di aggiornamento delle funzionalità di Windows. In questo esempio, l'unità che contiene il supporto di aggiornamento delle funzionalità di Windows è la D:.

Figura 21. (Solo in inglese) Cambiare la directory impostandola sull'unità con il supporto di aggiornamento delle funzionalità di Windows

Eseguire setup.exe con il comando seguente per integrare i driver di Dell Encryption:

Setup.exe /reflectdrivers "C:\ProgramData\Dell\Dell Data Protection\Encryption\DDPEDrivers"

Figura 22. (Solo in inglese) Digitare Setup.exe /reflectdrivers "C:\ProgramData\Dell\Dell Data Protection\Encryption\DDPEDrivers"

Questo comando avvia il processo di aggiornamento delle funzionalità di Windows. Procedere attraverso i vari prompt. Non sono necessari altri passaggi.

Microsoft offre la possibilità di scaricare gli aggiornamenti delle funzionalità di Windows come file ISO per le operazioni di aggiornamento e deployment. Il download è disponibile qui: https://support.microsoft.com/en-us/help/12387/windows-10-update-history

Per preparare il deployment di un aggiornamento delle funzionalità di Windows, nella maggior parte degli ambienti è necessario utilizzare un file install.wim. Per il modo in cui Dell Encryption supporta il percorso di aggiornamento delle funzionalità di Windows, occorre aggiungere i driver e i file del Registro di sistema necessari nel supporto di installazione.

A tale scopo è necessario l'Application Development Kit (ADK) di Windows 10. La versione più recente è disponibile al seguente indirizzo: https://developer.microsoft.com/en-us/windows/hardware/windows-assessment-deployment-kit

È necessario un file batch e chiavi del Registro di sistema appropriate, elementi che non possono essere scaricati dal cliente tramite un collegamento esterno. Per ottenerli, è possibile rivolgersi al supporto al numero 877.459.7304 int. 4310039. Per i clienti al di fuori degli Stati Uniti, consultare l'elenco dei numeri di contatto internazionali ProSupport. Questo file batch utilizza un'immagine ISO dell'aggiornamento delle funzionalità di Windows (scaricato in precedenza) e aggiunge driver e file del Registro di sistema nei file install.wim e WinRE.wim all'interno dell'ISO dell'aggiornamento.

Per trovare i driver appropriati per il proprio supporto di aggiornamento, è necessario eseguirne il pull da un dispositivo che esegue la versione 8.10.1 o successiva per la velocità in bit appropriata del sistema operativo (32 bit o 64 bit). Questi driver sono disponibili in C:\ProgramData\Dell\Dell Data Protection\Encryption\DDPEDrivers\. Dalla versione 8.18.0 in poi, questa cartella è cambiata in "C:\Windows\System32\Update\Run\B67DD994-EDF9-4D19-8A1C-88B12D796657\ReflectDrivers".

Figura 23. (Solo in inglese) DDPEDrivers in Esplora risorse

• Script di tipo batch (fornito dal supporto Dell)
• Immagine ISO estratta del programma di installazione dell'aggiornamento di Windows (fornita da Microsoft)
• Chiavi del Registro di sistema (fornite dal supporto Dell mediante script)
• Driver Dell Encryption (pull eseguito da un dispositivo presente in rete o forniti dal supporto Dell)

Per generare il supporto:

1. Aprire Ambiente degli strumenti di distribuzione e creazione immagini come amministratore.

Figura 24. (solo in inglese) Esecuzione di Deployment and Imaging Tools Environment come amministratore

2. Eseguire lo script di tipo batch. L'inserimento del file batch fornisce informazioni sulla sintassi.

Figura 25. Digitare Build-FFE-Integrated-Dell-Image "Win10UpgradeDir" "DDPEDriversDir" (solo in inglese)

La sintassi è:

Usage: Build-FFE-Integrated-Dell-Image "Win10UpgradeDir" "DDPEDriversDir"

Dove:

Win10UpgradeDir è il percorso dei file ISO di Windows 10 estratti in una directory.
DDPEDriversDir è il percorso opzionale della directory dei driver DDP|E. Se questo parametro non viene fornito, i driver Dell Data Protection | Encryption vengono ottenuti dall'installazione locale.

Al termine del processo, si terminare con un file aggiornato install.wim all'interno della directory ISO estratta in cui è stato fornito lo strumento.

I file di installazione sono ora pronti per l'utilizzo.

• Aprire un prompt dei comandi come amministratore nella stessa posizione del file WSProbe.exe e inserire il comando applicabile:
  • Per consentire l'autenticazione della modalità di aggiornamento di Windows 10 a fronte di un file con un pacchetto di chiavi per Dell Encryption Personal (formalmente Dell Data Protection | Personal Edition), è prima necessario utilizzare il comando riportato di seguito, che fa parte della preparazione all'aggiornamento (il file LSARecovery sottoposto a backup durante il processo di provisioning di Dell Encryption Personal):
    • WSProbe -E -B "backup_file_path" "password"

Per verificare l'avanzamento del processo di preparazione, è possibile eseguire WSProbe –E.

1. Il sistema è pronto per l'aggiornamento quando viene visualizzato il messaggio seguente "Preparation complete. Run Windows Upgrade now".
2. Riavviare il computer, se richiesto.
3. Eseguire l'aggiornamento di Windows.
4. Riavviare il computer.
5. Una volta terminato l'aggiornamento, aprire un prompt dei comandi e immettere:
   • WSProbe -R

6. Riavviare il computer, se richiesto.

Per verificare l'avanzamento del processo di preparazione, è possibile eseguire WSProbe –E.

1. Se non viene visualizzato il messaggio Preparazione completata. Eseguire ora l'aggiornamento di Windows.
   1. Seguire le istruzioni riportate.
   2. Eseguire di nuovo WSProbe fino a quando non viene visualizzato il prompt di esecuzione dell'aggiornamento di Windows.
      • WSProbe -E
   3. Eseguire l'aggiornamento di Windows.
   4. Riavviare il computer, se richiesto.
   5. Al termine dell'aggiornamento, aprire un prompt dei comandi e immettere:
      • WSProbe -R

Con questo metodo potrebbero verificarsi problemi con file che non vengono decrittografati. Per evitare che ciò succeda, creare automaticamente una chiave del Registro di sistema:

HKLM\Software\Credant\DecryptAgent\
DWORD: MaxBytesReboot
Value: 0

Per verificare l'avanzamento del processo di preparazione, è possibile eseguire WSProbe –E.

Per verificare l'avanzamento del processo di preparazione, eseguire WSProbe –E.

Aprire un prompt dei comandi come amministratore nella stessa posizione del file WSProbe.exe e inserire il comando applicabile:

• Per consentire l'importazione e l'autenticazione della modalità di aggiornamento di Windows 10 a fronte di un file con un pacchetto di chiavi preesistente (può essere scaricato da Dell Security Management Server [formalmente Dell Data Protection | Enterprise Edition]):
  • WSProbe -E -I "import_file_path" "password"
• Contattare il Dell Security Management Server o Dell Security Management Virtual Server (formalmente Dell Data Protection | Virtual Edition) che trasferisce il bundle di chiavi utilizzato per verificare che sia presente il materiale giusto:
  • WSProbe -E -S "forensics_admin_name" "password"
• Per verificare l'avanzamento del processo di preparazione, è possibile eseguire:
  • WSProbe -E

1. Il sistema è pronto per l'aggiornamento quando viene visualizzato il messaggio Preparazione completata. Eseguire ora l'aggiornamento di Windows.
2. Riavviare il computer, se richiesto.
3. Eseguire l'aggiornamento di Windows.
4. Riavviare il computer.
5. Al termine dell'aggiornamento, aprire un prompt dei comandi e immettere:
   • WSProbe -R

6. Riavviare il computer, se richiesto.

Se la preparazione è stata completata. Eseguire l'aggiornamento di Windows ora non viene visualizzato. Attenersi alla seguente procedura:

1. Seguire le istruzioni riportate.
2. Eseguire di nuovo WSProbe fino a quando non viene visualizzato il prompt di esecuzione dell'aggiornamento di Windows:
   • WSProbe -E
3. Eseguire l'aggiornamento di Windows.
4. Riavviare il computer, se richiesto.
5. Al termine dell'aggiornamento, aprire un prompt dei comandi e immettere:
   • WSProbe -R

Con questo metodo potrebbero verificarsi problemi con file che non vengono decrittografati. Per evitare che ciò succeda, creare automaticamente una chiave del Registro di sistema:

HKLM\Software\Credant\DecryptAgent\
DWORD: MaxBytesReboot
Value: 0