設定 BIOS 韌體設定的 TPM 平台驗證設定檔
- 原則 ID
- PlatformValidation_BIOS_Name
- 適用範圍
- 電腦設定
- 支援的作業系統
- 至少需要 Windows Server 2012 或 Windows 8
- 來源
- Administrative Templates (.admx) for Windows 11 2026 Update (26H2) (版本 1.0)
- 類別
- Windows 元件 › BitLocker 磁碟機加密 › 作業系統磁碟機
說明
這個原則設定可讓您設定電腦的信賴平台模組 (TPM) 安全性硬體保護 BitLocker 加密金鑰的方式。如果電腦不含相容的 TPM，或是已開啟具有 TPM 保護的 BitLocker，則這個原則設定不適用。
重要事項: 這個群組原則僅適用於含有 BIOS 設定的電腦，或含有啟用相容性服務模組 (CSM) 之UEFI 韌體的電腦。 使用原生 UEFI 韌體設定的電腦會在平台設定暫存器 (PCR) 儲存不同的值。 使用「設定原生 UEFI 韌體設定的 TPM 平台驗證設定檔」群組原則設定，為使用原生 UEFI 韌體的電腦設定 TPM PCR 設定檔。
如果在開啟 BitLocker 前啟用這個原則設定，您可以設定 TPM 在解除鎖定對 BitLocker 加密作業系統磁碟機的存取之前所驗證的開機元件。如果在 BitLocker 保護有效的狀態下，對其中任一元件進行變更，TPM 將不會釋出解除鎖定磁碟機的加密金鑰，而是電腦將顯示 BitLocker 修復主控台，並要求提供修復密碼或修復金鑰，以解除鎖定磁碟機。
如果您停用或未設定這個原則設定，BitLocker 會使用預設的平台驗證設定檔或安裝指令碼所指定的平台驗證設定檔。平台驗證設定檔由一組平台設定暫存器 (PCR) 索引組成，範圍從 0 到 23。預設的平台驗證設定檔可保護加密金鑰，防止變更 Core Root of Trust of Measurement (CRTM)、BIOS 及 Platform Extensions (PCR 0)、Option ROM 碼 (PCR 2)、主開機記錄 (MBR) 碼 (PCR 4)、NTFS 開機磁區 (PCR 8)、NTFS 啟動區 (PCR 9)、開機管理程式 (PCR 10)，以及 BitLocker 存取控制 (PCR 11)。
警告: 對預設平台驗證設定檔進行變更將會影響電腦的安全性及管理性。BitLocker 對 (惡意或授權的) 平台修改敏感度的增加或減少，須視其包含或排除 (分別) 的 PCR 項目而定。
選項
登錄
- EnabledREG_DWORD
- 0REG_DWORD
- 1REG_DWORD
- 2REG_DWORD
- 3REG_DWORD
- 4REG_DWORD
- 5REG_DWORD
- 6REG_DWORD
- 7REG_DWORD
- 8REG_DWORD
- 9REG_DWORD
- 10REG_DWORD
- 11REG_DWORD
- 12REG_DWORD
- 13REG_DWORD
- 14REG_DWORD
- 15REG_DWORD
- 16REG_DWORD
- 17REG_DWORD
- 18REG_DWORD
- 19REG_DWORD
- 20REG_DWORD
- 21REG_DWORD
- 22REG_DWORD
- 23REG_DWORD