Clean repo

2026-06-08 15:38:04 +02:00
parent ee4f8db4ea
commit 2712030aea
4 changed files with 141 additions and 1259 deletions
@@ -1380,6 +1380,20 @@ $prereqs = Get-Prerequisites -R $result -IsAdmin $isAdmin
 # Zobrazení stavu (4 sekce: předpoklady, certifikáty, registry, události)
 Show-Status -R $result -Prereqs $prereqs

+# ── VMware: upozornění na manuální import KEK certifikátu ────────────────────
+# Pokud bylo VM vytvořeno na ESXi starším než 9.x, nelze KEK nasadit automaticky.
+if ($result.EnvironmentType -eq 'VMware VM' -and $result.SecureBoot.IsEnabled) {
+    Write-Host ''
+    Write-Host '  ┌─ UPOZORNĚNÍ — VMware VM ───────────────────────────────────────────────────┐' -ForegroundColor Yellow
+    Write-Host '  │ Pokud bylo toto VM vytvořeno na VMware ESXi starším než verze 9.x,         │' -ForegroundColor Yellow
+    Write-Host '  │ certifikát KEK nelze nasadit automaticky a vyžaduje ruční import do         │' -ForegroundColor Yellow
+    Write-Host '  │ UEFI firmware VM prostřednictvím správce ESXi hostitele.                   │' -ForegroundColor Yellow
+    Write-Host '  │                                                                              │' -ForegroundColor Yellow
+    Write-Host '  │ Postup: https://totalservice.atlassian.net/browse/KB-543                   │' -ForegroundColor Cyan
+    Write-Host '  └──────────────────────────────────────────────────────────────────────────┘' -ForegroundColor Yellow
+    Add-LogLine 'Upozornění: VMware VM — na ESXi < 9.x je nutný ruční import KEK (KB-543)'
+}
+
 # ── CheckOnly: konec bez akce ─────────────────────────────────────────────────
 if ($CheckOnly) {
    Write-Host ''; Write-Rule
@@ -1504,6 +1518,30 @@ if ($isWhatIf) {
    $autoRestartNote = if ($AutoRestart) { 'ANO (-AutoRestart)' } else { 'NE (nabídne dotaz)' }
    Write-Host ("   - Restart serveru: {0}" -f $autoRestartNote) -ForegroundColor Gray
 } else {
+    # ── Upozornění na BitLocker před souhlasem s remediací ───────────────────
+    # Zobrazuje se vždy, když je BitLocker aktivní — bez ohledu na typ protektoru.
+    $blPre     = $result.BitLocker
+    $blPreActv = $blPre -and ($blPre.Status -eq 'On' -or $blPre.Status -eq '1' -or $blPre.Status -eq '2')
+    if ($blPreActv) {
+        Write-Host ''
+        if ($blPre.UsesPcr) {
+            Write-Host '  ┌─ DOPORUČENÍ PŘED REMEDIACÍ — BitLocker ───────────────────────────────────┐' -ForegroundColor Yellow
+            Write-Host '  │ Systémový svazek je chráněn nástrojem BitLocker s vazbou na TPM/PCR7.     │' -ForegroundColor Yellow
+            Write-Host '  │ Aktualizace Boot Manageru může při příštím restartu vyvolat recovery       │' -ForegroundColor Yellow
+            Write-Host '  │ prompt a znemožnit automatické spuštění serveru.                           │' -ForegroundColor Yellow
+            Write-Host '  │                                                                              │' -ForegroundColor Yellow
+            Write-Host '  │ Před zahájením remediace ověřte dostupnost recovery klíče:                 │' -ForegroundColor Yellow
+            Write-Host '  │   Active Directory (AD DS), Azure AD nebo bezpečný trezor klíčů.          │' -ForegroundColor Yellow
+            Write-Host '  └──────────────────────────────────────────────────────────────────────────┘' -ForegroundColor Yellow
+        } else {
+            Write-Host '  ┌─ DOPORUČENÍ PŘED REMEDIACÍ — BitLocker ───────────────────────────────────┐' -ForegroundColor Yellow
+            Write-Host '  │ Systémový svazek je chráněn nástrojem BitLocker.                          │' -ForegroundColor Yellow
+            Write-Host '  │ Před zahájením remediace ověřte dostupnost recovery klíče (AD, trezor).   │' -ForegroundColor Yellow
+            Write-Host '  └──────────────────────────────────────────────────────────────────────────┘' -ForegroundColor Yellow
+        }
+        Add-LogLine ("Upozornění: BitLocker aktivní před remediací (Protectors: {0}, PCR: {1})" -f $blPre.Protectors, $blPre.UsesPcr)
+    }
+
    # ── Nabídnout remediaci ──────────────────────────────────────────────────
    $question = switch ($result.Category) {
        'UPDATE_NEEDED'          { 'Server potřebuje aktualizaci Secure Boot certifikátů. Chcete zahájit proces?' }