Paramètres des données de configuration de démarrage et BitLocker
Cet article décrit les paramètres de données de configuration de démarrage (BCD) utilisés par BitLocker.
Pendant le processus de démarrage, BitLocker vérifie que les paramètres BCD sensibles à la sécurité n’ont pas changé depuis que BitLocker a été activé, repris ou récupéré pour la dernière fois.
S’il est estimé qu’il existe un risque d’exclure un paramètre BCD particulier du profil de validation, vous pouvez inclure ce paramètre BCD dans la couverture de validation BCD en fonction des préférences de validation.
Si le paramètre BCD par défaut déclenche de manière permanente une récupération pour des modifications sans gravité, vous pouvez exclure ce paramètre BCD de la couverture de validation.
Important
Les appareils avec microprogramme UEFI peuvent utiliser le démarrage sécurisé pour fournir une sécurité de démarrage renforcée. Lorsque BitLocker est en mesure d’utiliser le démarrage sécurisé pour la validation de l’intégrité de la plateforme et bcD, comme défini par le paramètre de stratégie Autoriser le démarrage sécurisé pour la validation de l’intégrité , la stratégie Utiliser le profil de validation des données de configuration de démarrage améliorée est ignorée.
L’un des avantages de l’utilisation du démarrage sécurisé est qu’il peut corriger les paramètres BCD pendant le démarrage sans déclencher d’événements de récupération. Le démarrage sécurisé applique les mêmes paramètres BCD que BitLocker. L’application bcd de démarrage sécurisé n’est pas configurable à partir du système d’exploitation.
Personnaliser les paramètres de validation BCD
Pour modifier les paramètres BCD validés par BitLocker, l’administrateur ajoute ou exclut les paramètres BCD du profil de validation de la plateforme en activant et en configurant le paramètre de stratégie Utiliser le profil de validation des données de configuration de démarrage améliorée .
Pour les besoins de la validation BitLocker, les paramètres BCD sont associés à un ensemble spécifique d’applications de démarrage Microsoft. Ces paramètres BCD peuvent également être appliqués aux autres applications de démarrage Microsoft qui ne font pas partie de l’ensemble auquel les paramètres BCD sont déjà applicables. Pour ce faire, joignez l’un des préfixes suivants aux paramètres BCD entrés dans la boîte de dialogue paramètres de stratégie de groupe :
- winload
- winresume
- Memtest
- tout ce qui précède
Tous les paramètres BCD sont spécifiés en combinant la valeur de préfixe avec une valeur hexadécimale (hexadécimale) ou un nom convivial.
La valeur hexadécimale du paramètre BCD est signalée lorsque BitLocker passe en mode de récupération et est stocké dans le journal des événements (ID d’événement 523). La valeur hexadécimale identifie de façon unique le paramètre BCD qui a provoqué l’événement de récupération.
Vous pouvez obtenir rapidement le nom convivial des paramètres BCD sur un ordinateur à l’aide de la commande bcdedit.exe /enum all.
Tous les paramètres BCD n’ont pas de noms conviviaux. Pour les paramètres sans nom convivial, la valeur hexadécimale est la seule façon de configurer une stratégie d’exclusion.
Lorsque vous spécifiez des valeurs BCD dans le paramètre de stratégie Utiliser le profil de validation des données de configuration de démarrage améliorée , utilisez la syntaxe suivante :
- Préfixer le paramètre avec le préfixe de l’application de démarrage
- Ajouter un signe deux-points
: - Ajoutez la valeur hexadécimale ou le nom convivial
- Si vous entrez plusieurs paramètres BCD, chaque paramètre BCD doit être entré sur une nouvelle ligne
Par exemple, «winload:hypervisordebugport » ou «winload:0x250000f4 » génère la même valeur.
Un paramètre qui s’applique à toutes les applications de démarrage peut être appliqué uniquement à une application individuelle. Toutefois, l’inverse n’est pas vrai. Par exemple, vous pouvez spécifier «all:locale » ou «winresume:locale », mais comme le paramètre BCD «win-pe » ne s’applique pas à toutes les applications de démarrage, «winload:winpe » est valide, mais «all:winpe » n’est pas valide. Le paramètre qui contrôle le débogage de démarrage (« bootdebug » ou 0x16000010) sera toujours validé et n’aura aucun effet s’il est inclus dans les champs fournis.
Remarque
Faites attention lors de la configuration des entrées BCD dans le paramètre de stratégie. La stratégie de groupe Rédacteur locale ne valide pas l’exactitude de l’entrée BCD. BitLocker ne peut pas être activé si le paramètre de stratégie spécifié n’est pas valide.
Profil de validation BCD par défaut
Le tableau suivant contient le profil de validation BCD par défaut utilisé par BitLocker :
| Valeur hexadécimale | Préfixe | Nom convivial |
|---|---|---|
| 0x11000001 | tous | appareil |
| 0x12000002 | tous | path |
| 0x12000030 | tous | Loadoptions |
| 0x16000010 | tous | bootdebug |
| 0x16000040 | tous | options avancées |
| 0x16000041 | tous | optionsmodifier |
| 0x16000048 | tous | nointegritychecks |
| 0x16000049 | tous | testsigning |
| 0x16000060 | tous | isolatedcontext |
| 0x1600007b | tous | forcefipscrypto |
| 0x22000002 | winload | systemroot |
| 0x22000011 | winload | Noyau |
| 0x22000012 | winload | Hal |
| 0x22000053 | winload | evstore |
| 0x25000020 | winload | Nx |
| 0x25000052 | winload | restrictapiccluster |
| 0x26000022 | winload | Winpe |
| 0x26000025 | winload | lastknowngood |
| 0x26000081 | winload | safebootalternateshell |
| 0x260000a0 | winload | déboguer |
| 0x260000f2 | winload | hypervisordebug |
| 0x26000116 | winload | hypervisorusevapic |
| 0x21000001 | winresume | filedevice |
| 0x22000002 | winresume | Filepath |
| 0x26000006 | winresume | debugoptionenabled |
Liste complète des noms conviviaux pour les paramètres BCD ignorés
La liste suivante est une liste complète des paramètres BCD avec des noms conviviaux, qui sont ignorés par défaut. Ces paramètres ne font pas partie du profil de validation BitLocker par défaut, mais peuvent être ajoutés si vous voyez qu’il est nécessaire de valider l’un de ces paramètres avant d’autoriser le déverrouillage d’un lecteur de système d’exploitation protégé par BitLocker.
Remarque
Il existe des paramètres BCD supplémentaires qui ont des valeurs hexadécimale, mais qui n’ont pas de noms conviviaux. Ces paramètres ne sont pas inclus dans cette liste.
| Valeur hexadécimale | Préfixe | Nom convivial |
|---|---|---|
| 0x12000004 | tous | description |
| 0x12000005 | tous | paramètres régionaux |
| 0x12000016 | tous | Targetname |
| 0x12000019 | tous | busparams |
| 0x1200001d | tous | key |
| 0x1200004a | tous | fontpath |
| 0x14000006 | tous | Hériter |
| 0x14000008 | tous | recoverysequence |
| 0x15000007 | tous | truncatememory |
| 0x1500000c | tous | firstmegabytepolicy |
| 0x1500000d | tous | relocalisationphysique |
| 0x1500000e | tous | avoidlowmemory |
| 0x15000011 | tous | debugtype |
| 0x15000012 | tous | debugaddress |
| 0x15000013 | tous | debugport |
| 0x15000014 | tous | Baudrate |
| 0x15000015 | tous | Canal |
| 0x15000018 | tous | debugstart |
| 0x1500001a | tous | hostip |
| 0x1500001b | tous | port |
| 0x15000022 | tous | emsport |
| 0x15000023 | tous | emsbaudrate |
| 0x15000042 | tous | porte-clés |
| 0x15000047 | tous | configaccesspolicy |
| 0x1500004b | tous | integrityservices |
| 0x1500004c | tous | volumebandid |
| 0x15000051 | tous | initialconsoleinput |
| 0x15000052 | tous | graphicsresolution |
| 0x15000065 | tous | displaymessage |
| 0x15000066 | tous | displaymessageoverride |
| 0x15000081 | tous | logcontrol |
| 0x16000009 | tous | recoveryenabled |
| 0x1600000b | tous | badmemoryaccess |
| 0x1600000f | tous | traditionalkseg |
| 0x16000017 | tous | noumex |
| 0x1600001c | tous | Dhcp |
| 0x1600001e | tous | Vm |
| 0x16000020 | tous | bootems |
| 0x16000046 | tous | graphicsmodedisabled |
| 0x16000050 | tous | extendedinput |
| 0x16000053 | tous | restartonfailure |
| 0x16000054 | tous | highestmode |
| 0x1600006c | tous | bootuxdisabled |
| 0x16000072 | tous | nokeyboard |
| 0x16000074 | tous | bootshutdowndisabled |
| 0x1700000a | tous | badmemorylist |
| 0x17000077 | tous | allowedinmemorysettings |
| 0x22000040 | tous | fverecoveryurl |
| 0x22000041 | tous | fverecoverymessage |
| 0x31000003 | tous | ramdisksdidevice |
| 0x32000004 | tous | ramdisksdipath |
| 0x35000001 | tous | ramdiskimageoffset |
| 0x35000002 | tous | ramdisktftpclientport |
| 0x35000005 | tous | ramdiskimagelength |
| 0x35000007 | tous | ramdisktftpblocksize |
| 0x35000008 | tous | ramdisktftpwindowsize |
| 0x36000006 | tous | exportascd |
| 0x36000009 | tous | ramdiskmcenabled |
| 0x3600000a | tous | ramdiskmctftpfallback |
| 0x3600000b | tous | ramdisktftpvarwindow |
| 0x21000001 | winload | osdevice |
| 0x22000013 | winload | dbgtransport |
| 0x220000f9 | winload | hypervisorbusparams |
| 0x22000110 | winload | hypervisorusekey |
| 0x23000003 | winload | resumeobject |
| 0x25000021 | winload | Pae |
| 0x25000031 | winload | removememory |
| 0x25000032 | winload | increaseuserva |
| 0x25000033 | winload | perfmem |
| 0x25000050 | winload | clustermodeaddressing |
| 0x25000055 | winload | x2apicpolicy |
| 0x25000061 | winload | numproc |
| 0x25000063 | winload | configflags |
| 0x25000066 | winload | groupsize |
| 0x25000071 | winload | Msi |
| 0x25000072 | winload | pciexpress |
| 0x25000080 | winload | Safeboot |
| 0x250000a6 | winload | tscsyncpolicy |
| 0x250000c1 | winload | driverloadfailurepolicy |
| 0x250000c2 | winload | bootmenupolicy |
| 0x250000e0 | winload | bootstatuspolicy |
| 0x250000f0 | winload | hypervisorlaunchtype |
| 0x250000f3 | winload | hypervisordebugtype |
| 0x250000f4 | winload | hypervisordebugport |
| 0x250000f5 | winload | hypervisorbaudrate |
| 0x250000f6 | winload | hypervisorchannel |
| 0x250000f7 | winload | bootux |
| 0x250000fa | winload | hypervisornumproc |
| 0x250000fb | winload | hypervisorrootprocpernode |
| 0x250000fd | winload | hypervisorhostip |
| 0x250000fe | winload | hypervisorhostport |
| 0x25000100 | winload | tpmbootentropy |
| 0x25000113 | winload | hypervisorrootproc |
| 0x25000115 | winload | hypervisoriommupolicy |
| 0x25000120 | winload | xsavepolicy |
| 0x25000121 | winload | xsaveaddfeature0 |
| 0x25000122 | winload | xsaveaddfeature1 |
| 0x25000123 | winload | xsaveaddfeature2 |
| 0x25000124 | winload | xsaveaddfeature3 |
| 0x25000125 | winload | xsaveaddfeature4 |
| 0x25000126 | winload | xsaveaddfeature5 |
| 0x25000127 | winload | xsaveaddfeature6 |
| 0x25000128 | winload | xsaveaddfeature7 |
| 0x25000129 | winload | xsaveremovefeature |
| 0x2500012a | winload | xsaveprocessorsmask |
| 0x2500012b | winload | xsavedisable |
| 0x25000130 | winload | claimedtpmcounter |
| 0x26000004 | winload | stampdisks |
| 0x26000010 | winload | detecthal |
| 0x26000024 | winload | nocrashautoreboot |
| 0x26000030 | winload | nolowmem |
| 0x26000040 | winload | Vga |
| 0x26000041 | winload | quietboot |
| 0x26000042 | winload | novesa |
| 0x26000043 | winload | novga |
| 0x26000051 | winload | usephysicaldestination |
| 0x26000054 | winload | uselegacyapicmode |
| 0x26000060 | winload | onecpu |
| 0x26000062 | winload | maxproc |
| 0x26000064 | winload | maxgroup |
| 0x26000065 | winload | groupaware |
| 0x26000070 | winload | usefirmwarepcisettings |
| 0x26000090 | winload | bootlog |
| 0x26000091 | winload | Sos |
| 0x260000a1 | winload | halbreakpoint |
| 0x260000a2 | winload | useplatformclock |
| 0x260000a3 | winload | forcelegacyplateforme |
| 0x260000a4 | winload | useplatformtick |
| 0x260000a5 | winload | disabledynamictick |
| 0x260000b0 | winload | Ems |
| 0x260000c3 | winload | onetimeadvancedoptions |
| 0x260000c4 | winload | onetimeoptionsedit |
| 0x260000e1 | winload | disableelamdrivers |
| 0x260000f8 | winload | hypervisordisableslat |
| 0x260000fc | winload | hypervisoruselargevtlb |
| 0x26000114 | winload | hypervisordhcp |
| 0x21000005 | winresume | associatedosdevice |
| 0x25000007 | winresume | bootux |
| 0x25000008 | winresume | bootmenupolicy |
| 0x26000003 | winresume | customsettings |
| 0x26000004 | winresume | Pae |
| 0x25000001 | Memtest | passcount |
| 0x25000002 | Memtest | testmix |
| 0x25000005 | Memtest | stridefailcount |
| 0x25000006 | Memtest | invcfailcount |
| 0x25000007 | Memtest | matsfailcount |
| 0x25000008 | Memtest | randfailcount |
| 0x25000009 | Memtest | chckrfailcount |
| 0x26000003 | Memtest | cacheenable |
| 0x26000004 | Memtest | failuresenabled |