策略 CSP - ADMX_sam

提示

此 CSP 包含 ADMX 支持的策略，这些策略需要特殊的 SyncML 格式才能启用或禁用。必须在 SyncML 中将数据类型指定为 <Format>chr</Format>。有关详细信息，请参阅了解 ADMX 支持的策略。

SyncML 的有效负载必须是 XML 编码的;对于此 XML 编码，可以使用各种联机编码器。若要避免对有效负载进行编码，可以使用 CDATA（如果 MDM 支持）。有关详细信息，请参阅 CDATA 节。

SamNGCKeyROCAValidation

范围	版本	适用的操作系统
✅ 设备 ❌ 用户	✅ 专业版 ✅ 企业版 ✅ 教育版 ✅ Windows SE ✅ IoT 企业版/IoT 企业版 LTSC	✅Windows 10版本 2004 [10.0.19041.1202] 及更高版本 ✅Windows 10版本 2009 [10.0.19042.1202] 及更高版本 ✅Windows 10版本 21H1 [10.0.19043.1202] 及更高版本 ✅Windows 11版本 21H2 [10.0.22000] 及更高版本

./Device/Vendor/MSFT/Policy/Config/ADMX_sam/SamNGCKeyROCAValidation

此策略设置允许配置域控制器如何处理Windows Hello 企业版 (WHfB) 密钥，这些密钥容易受到“铜匠攻击的返回” (ROCA) 漏洞。

有关 ROCA 漏洞的详细信息，请参阅：

如果启用此策略设置，则支持以下选项：

忽略：在身份验证期间，域控制器不会探测 ROCA 漏洞的任何 WHfB 密钥。

审核：在身份验证期间，域控制器将为受 ROCA 漏洞约束的 WHfB 密钥发出审核事件， (身份验证) 仍会成功。

阻止：在身份验证期间，域控制器将阻止使用受 ROCA 漏洞约束的 WHfB 密钥， (身份验证) 失败。

此设置仅在域控制器上生效。

如果未配置，域控制器将默认使用其本地配置。默认本地配置为 Audit。

对此设置的更改无需重新启动即可生效。

请注意，为了避免意外中断，在执行适当的缓解措施（例如修补易受攻击的 TPM）之前，不应将此设置设置为“阻止”。

描述框架属性:

属性名	属性值
格式	`chr` (字符串)
访问类型	添加、删除、获取、替换

提示

这是 ADMX 支持的策略，需要 SyncML 格式进行配置。有关 SyncML 格式的示例，请参阅启用策略。

ADMX 映射：

名称	值
名称	SamNGCKeyROCAValidation
友好名称	在身份验证期间配置 ROCA 易受攻击的 WHfB 密钥的验证
位置	“计算机配置”
路径	系统 > 安全帐户管理器
注册表项名称	Software\Microsoft\Windows\CurrentVersion\Policies\System\SAM
ADMX 文件名	sam.admx