通过

启动配置数据设置和 BitLocker

本文介绍 BitLocker 使用的启动配置数据 (BCD) 设置。

在启动过程中，BitLocker 验证自上次启用、恢复或恢复 BitLocker 以来，安全敏感型 BCD 设置是否未更改。

如果认为从验证配置文件中排除特定 BCD 设置存在风险，则可以在 BCD 验证范围中包含该 BCD 设置，以适合验证首选项。
如果默认 BCD 设置持续触发良性更改的恢复，则可以从验证范围中排除该 BCD 设置。

重要提示

具有 UEFI 固件的设备可以使用安全启动来提供增强的启动安全性。 如果 BitLocker 能够按照允许安全启动进行完整性验证策略设置的定义，将安全启动用于平台和 BCD 完整性验证 策略，则忽略 使用增强的启动配置数据验证配置文件 策略。

使用安全启动的一个好处是，它可以在启动期间更正 BCD 设置，而无需触发恢复事件。 安全启动强制实施与 BitLocker 相同的 BCD 设置。 无法从操作系统内部配置安全启动 BCD 强制实施。

自定义 BCD 验证设置

若要修改 BitLocker 验证的 BCD 设置，管理员将通过启用和配置 “使用增强的启动配置数据验证配置文件 ”策略设置，在平台验证配置文件中添加或排除 BCD 设置。

出于 BitLocker 验证的目的，BCD 设置与一组特定的 Microsoft 启动应用程序相关联。 这些 BCD 设置还可以应用于不属于 BCD 设置已适用的集的其他 Microsoft 启动应用程序。 可以通过将以下任何前缀附加到正在组策略设置对话框中输入的 BCD 设置来完成此设置：

  • winload
  • winresume
  • memtest
  • 上述所有内容

所有 BCD 设置都是通过将前缀值与十六进制 (十六进制) 值或 友好名称相结合来指定的。

当 BitLocker 进入恢复模式时，将报告 BCD 设置十六进制值，并存储在事件日志中， (事件 ID 523) 。 十六进制值唯一标识导致恢复事件的 BCD 设置。

可以使用 命令 bcdedit.exe /enum all快速获取计算机上 BCD 设置的友好名称。

并非所有 BCD 设置都有友好名称。 对于没有友好名称的设置，十六进制值是配置排除策略的唯一方法。

在 “使用增强的启动配置数据验证配置文件 ”策略设置中指定 BCD 值时，请使用以下语法：

  • 使用启动应用程序前缀为设置添加前缀
  • 追加冒号 :
  • 追加十六进制值或友好名称
  • 如果输入多个 BCD 设置，则需要在新行上输入每个 BCD 设置

例如，“”winload:hypervisordebugport或“”winload:0x250000f4生成相同的值。

适用于所有启动应用程序的设置只能应用于单个应用程序。 但是，情况并非如此。 例如，可以指定“”all:locale或“winresume:locale”，但由于 BCD 设置“”win-pe不适用于所有启动应用程序，因此“”winload:winpe有效，但“”all:winpe无效。 控制启动调试 (“bootdebug或0x16000010) 的设置将始终进行验证，如果包含在提供的字段中，则不会生效。

注意

在策略设置中配置 BCD 条目时要小心。 本地组策略 编辑器不会验证 BCD 条目的正确性。 如果指定的策略设置无效，则无法启用 BitLocker。

默认 BCD 验证配置文件

下表包含 BitLocker 使用的默认 BCD 验证配置文件：

十六进制值 前缀 友好名称
0x11000001 全部 设备
0x12000002 全部 path
0x12000030 全部 loadoptions
0x16000010 全部 bootdebug
0x16000040 全部 advancedoptions
0x16000041 全部 optionsedit
0x16000048 全部 nointegritychecks
0x16000049 全部 testsigning
0x16000060 全部 isolatedcontext
0x1600007b 全部 forcefipscrypto
0x22000002 winload systemroot
0x22000011 winload 内核
0x22000012 winload 哈尔
0x22000053 winload evstore
0x25000020 winload Nx
0x25000052 winload restrictapiccluster
0x26000022 winload winpe
0x26000025 winload lastknowngood
0x26000081 winload safebootalternateshell
0x260000a0 winload 调试
0x260000f2 winload hypervisordebug
0x26000116 winload hypervisorusevapic
0x21000001 winresume filedevice
0x22000002 winresume filepath
0x26000006 winresume debugoptionenabled

忽略的 BCD 设置的友好名称的完整列表

以下列表是具有友好名称的 BCD 设置的完整列表，默认情况下会忽略这些设置。 这些设置不是默认 BitLocker 验证配置文件的一部分，但如果在允许受 BitLocker 保护的操作系统驱动器解锁之前，需要验证这些设置中的任何一个，则可以添加这些设置。

注意

存在具有十六进制值但没有友好名称的其他 BCD 设置。 这些设置不包括在此列表中。

十六进制值 前缀 友好名称
0x12000004 全部 description
0x12000005 全部 区域设置
0x12000016 全部 targetname
0x12000019 全部 busparams
0x1200001d 全部 key
0x1200004a 全部 fontpath
0x14000006 全部 继承
0x14000008 全部 recoverysequence
0x15000007 全部 truncatememory
0x1500000c 全部 firstmegabytepolicy
0x1500000d 全部 relocatephysical
0x1500000e 全部 avoidlowmemory
0x15000011 全部 debugtype
0x15000012 全部 debugaddress
0x15000013 全部 debugport
0x15000014 全部 baudrate
0x15000015 全部 通道
0x15000018 全部 debugstart
0x1500001a 全部 hostip
0x1500001b 全部 端口
0x15000022 全部 emsport
0x15000023 全部 emsbaudrate
0x15000042 全部 keyringaddress
0x15000047 全部 configaccesspolicy
0x1500004b 全部 integrityservices
0x1500004c 全部 volumebandid
0x15000051 全部 initialconsoleinput
0x15000052 全部 graphicsresolution
0x15000065 全部 displaymessage
0x15000066 全部 displaymessageoverride
0x15000081 全部 logcontrol
0x16000009 全部 recoveryenabled
0x1600000b 全部 badmemoryaccess
0x1600000f 全部 traditionalkseg
0x16000017 全部 noumex
0x1600001c 全部 Dhcp
0x1600001e 全部 Vm
0x16000020 全部 bootems
0x16000046 全部 graphicsmodedisabled
0x16000050 全部 extendedinput
0x16000053 全部 restartonfailure
0x16000054 全部 highestmode
0x1600006c 全部 bootuxdisabled
0x16000072 全部 nokeyboard
0x16000074 全部 bootshutdowndisabled
0x1700000a 全部 badmemorylist
0x17000077 全部 allowedinmemorysettings
0x22000040 全部 fverecoveryurl
0x22000041 全部 fverecoverymessage
0x31000003 全部 ramdisksdidevice
0x32000004 全部 ramdisksdipath
0x35000001 全部 ramdiskimageoffset
0x35000002 全部 ramdisktftpclientport
0x35000005 全部 ramdiskimagelength
0x35000007 全部 ramdisktftpblocksize
0x35000008 全部 ramdisktftpwindowsize
0x36000006 全部 exportascd
0x36000009 全部 ramdiskmcenabled
0x3600000a 全部 ramdiskmctftpfallback
0x3600000b 全部 ramdisktftpvarwindow
0x21000001 winload osdevice
0x22000013 winload dbgtransport
0x220000f9 winload hypervisorbusparams
0x22000110 winload hypervisorusekey
0x23000003 winload resumeobject
0x25000021 winload Pae
0x25000031 winload removememory
0x25000032 winload increaseuserva
0x25000033 winload perfmem
0x25000050 winload clustermodeaddressing
0x25000055 winload x2apicpolicy
0x25000061 winload numproc
0x25000063 winload configflags
0x25000066 winload groupsize
0x25000071 winload 微星
0x25000072 winload pciexpress
0x25000080 winload safeboot
0x250000a6 winload tscsyncpolicy
0x250000c1 winload driverloadfailurepolicy
0x250000c2 winload bootmenupolicy
0x250000e0 winload bootstatuspolicy
0x250000f0 winload hypervisorlaunchtype
0x250000f3 winload hypervisordebugtype
0x250000f4 winload hypervisordebugport
0x250000f5 winload hypervisorbaudrate
0x250000f6 winload hypervisorchannel
0x250000f7 winload bootux
0x250000fa winload hypervisornumproc
0x250000fb winload hypervisorrootprocpernode
0x250000fd winload hypervisorhostip
0x250000fe winload hypervisorhostport
0x25000100 winload tpmbootentropy
0x25000113 winload hypervisorrootproc
0x25000115 winload hypervisoriommupolicy
0x25000120 winload xsavepolicy
0x25000121 winload xsaveaddfeature0
0x25000122 winload xsaveaddfeature1
0x25000123 winload xsaveaddfeature2
0x25000124 winload xsaveaddfeature3
0x25000125 winload xsaveaddfeature4
0x25000126 winload xsaveaddfeature5
0x25000127 winload xsaveaddfeature6
0x25000128 winload xsaveaddfeature7
0x25000129 winload xsaveremovefeature
0x2500012a winload xsaveprocessorsmask
0x2500012b winload xsavedisable
0x25000130 winload claimedtpmcounter
0x26000004 winload stampdisks
0x26000010 winload detecthal
0x26000024 winload nocrashautoreboot
0x26000030 winload nolowmem
0x26000040 winload Vga
0x26000041 winload quietboot
0x26000042 winload novesa
0x26000043 winload novga
0x26000051 winload usephysicaldestination
0x26000054 winload uselegacyapicmode
0x26000060 winload onecpu
0x26000062 winload maxproc
0x26000064 winload maxgroup
0x26000065 winload groupaware
0x26000070 winload usefirmwarepcisettings
0x26000090 winload bootlog
0x26000091 winload Sos
0x260000a1 winload halbreakpoint
0x260000a2 winload useplatformclock
0x260000a3 winload forcelegacyplatform
0x260000a4 winload useplatformtick
0x260000a5 winload disabledynamictick
0x260000b0 winload Ems
0x260000c3 winload onetimeadvancedoptions
0x260000c4 winload onetimeoptionsedit
0x260000e1 winload disableelamdrivers
0x260000f8 winload hypervisordisableslat
0x260000fc winload hypervisoruselargevtlb
0x26000114 winload hypervisordhcp
0x21000005 winresume associatedosdevice
0x25000007 winresume bootux
0x25000008 winresume bootmenupolicy
0x26000003 winresume customsettings
0x26000004 winresume Pae
0x25000001 memtest passcount
0x25000002 memtest testmix
0x25000005 memtest stridefailcount
0x25000006 memtest invcfailcount
0x25000007 memtest matsfailcount
0x25000008 memtest randfailcount
0x25000009 memtest chckrfailcount
0x26000003 memtest cacheenable
0x26000004 memtest failuresenabled