本文提供了在操作系统更新后设备丢失其系统和用户证书的问题的解决方法。
适用于： Windows 10 版本 20H2;Windows 10 版本 2004;Windows 10 版本 1909;Windows 10 版本 1903
现象
你有一个运行 Windows 10 版本 1809 或更高版本的设备。 设备还有一个最新的累积更新（LCU），该更新于 2020 年 9 月 16 日发布，或更高版本的 LCU。 将设备更新到更高版本的 Windows 后，设备会丢失其系统和用户证书。
原因
如果用于更新设备的安装源或媒体已过期，则可能会出现此行为。 此更新不包括在 2020 年 10 月 13 日或更高版本上发布的 LCU。 此行为通常影响更新管理工具（例如 Windows Server Update Services（WSUS）或Microsoft Endpoint Configuration Manager 下载更新并将其分发到设备的环境中的托管设备。 它还会影响使用过时的物理媒体或 ISO 映像进行更新的设备。
此行为不会影响使用适用于企业的Windows 更新或直接连接到Windows 更新的设备。 连接到Windows 更新的任何设备应始终接收最新版本的功能更新，包括最新的 LCU，而无需执行任何额外的步骤。
解决方法
若要缓解此问题，请执行以下任一操作：
- 从Microsoft更新目录或批量许可服务中心下载新的源映像，以替换以前的源映像。 然后，使用该映像更新设备。
- 将设备回滚到以前的 Windows 版本，将缺少的 LCU 添加到更新，然后重新安装更新。
重要
回滚过程不会影响你的个人文件，但它会删除安装更新后安装的任何应用和驱动程序。 它还会撤消对安装更新后所做的设置所做的任何更改。
默认情况下，只能在安装更新后的 10 天内回滚更新。 可以通过运行以下命令在命令提示符窗口中更改此时间限制：
Dism /Online /Set-OSUninstallWindow /Value:<days>在此命令中， <天> 是介于 2 和 60 之间的整数。
若要回滚，请执行以下步骤：
- 选择“开始>设置>更新和安全>恢复”。
- 在 “返回到以前版本的 Windows 10”下，选择“ 入门”。
若要将最新的 LCU 添加到更新源，请执行以下步骤：
装载源 ISO 映像，然后将 Install.wim 文件复制到可写位置。
注意
如果映像具有 Install.esd 文件而不是 Install.wim 文件，请使用 Dism /Export-Image 命令将 .esd 文件转换为 .wim 文件。
转到 Windows 10 更新历史记录 ，查找系统版本的正确 LCU 编号。
转到 Microsoft更新目录，然后下载 LCU。
注意
- 如果使用 WSUS 管理更新，请参阅 WSUS 和目录网站。 本文介绍如何使用 WSUS 从 Microsoft 更新目录下载更新。
- 如果使用 Microsoft Intune 管理更新，请参阅 软件更新管理文档。
若要将 LCU 添加到映像，请打开管理命令提示符窗口，然后运行以下命令：
Dism /Add-Package /Image:"C:\Mount\Windows" /PackagePath="windows10.0-kb4586781-x64_bd543ce012ec1695201cdb2d324a2206bd445132.msu" /LogPath=C:\Mount\Dism.log查看命令生成的包
Dism列表，并验证列表是否包含包。 若要查看列表，请运行以下命令：Dism /Get-Packages /Image:<Path_to_Image>注意
在此命令中， <Path_to_Image> 是图像文件的路径和文件名。
提交并卸载映像。 为此，请运行以下命令：
Dism /Unmount-Image /MountDir:<Path_to_Mount_Directory> /Commit注意
在此命令中， <Path_to_Mount_Directory> 是已装载映像的路径。
（可选）使用更新的文件重新创建映像。 为此，请运行以下命令：
Oscdimg –n –d –m "<Source>" "<Target.iso>"注意
在此命令中， <源> 是要生成到映像中的文件的位置， <Target.iso> 是 ISO 映像文件的名称。
数据收集
如果需要 Microsoft 支持方面的帮助，建议按照使用 TSS 针对与部署相关的问题收集信息中所述的步骤收集信息。