Rozhraní API systému Windows Configuration System (WinCS) pro zabezpečené spouštění

Rozhraní příkazového řádku zabezpečeného spouštění pomocí systému Windows Configuration System (WinCS)

Cíl: Správci domény můžou alternativně použít systém Windows Configuration System (WinCS) vydaný s aktualizacemi operačního systému Windows k nasazení aktualizací zabezpečeného spouštění na klienty a servery Windows připojené k doméně. Skládá se z nástroje rozhraní příkazového řádku (CLI) pro dotazování a místní použití konfigurací zabezpečeného spouštění na počítač.  

Služba WinCS pracuje s konfiguračním klíčem, který lze použít s nástrojem příkazového řádku k úpravě stavu konfigurace zabezpečeného spouštění na počítači. Po použití provede další naplánované zabezpečené spouštění akce podle klíče. 

Platformy podporované službou WinCS

Nástroj příkazového řádku WinCS je podporován v Windows 11 verze 23H2 Windows 11 verze 24H2 Windows 11 verze 25H2 v říjnu 2025.  

Poznámka: Pracujeme na tom, abychom tuto podporu WinCS mohli přenést do Windows 10 platforem. Tento článek aktualizujeme, jakmile bude podpora povolená. 

Tady je klíč funkce konfigurace zabezpečeného spouštění, na který se budou správci domény dotazovat a aplikovat na zařízení prostřednictvím winCS. 

Hodnota klíče WinCS: 

• F33E0C8E002 – stav konfigurace zabezpečeného spouštění = Povoleno

Dotazování konfigurace zabezpečeného spouštění 

Konfigurace zabezpečeného spouštění se dá dotazovat pomocí následujícího příkazového řádku:

Tím se vrátí následující informace (na čistém počítači): 

Všimněte si, že aktuální konfigurace zařízení je F33E0C8E001, což znamená, že klíč zabezpečeného spouštění je ve stavu Zakázáno .  

Jak použít konfiguraci zabezpečeného spouštění  

Konkrétní konfiguraci pro povolení certifikátů zabezpečeného spouštění je možné nakonfigurovat následujícím způsobem: 

Úspěšné použití klíče by mělo vrátit následující informace: 

Audit konfigurace zabezpečeného spouštění  

Pokud chcete později zjistit stav konfigurace zabezpečeného spouštění, můžete znovu použít příkaz počátečního dotazu: 

Vrácené informace budou podobné následujícímu v závislosti na stavu příznaku: 

Všimněte si, že stav klíče je nyní Povoleno a aktuální konfigurace je F33E0C8E002. 

Úlohu údržby zabezpečeného spouštění můžete také aktivovat ručně pomocí následujících kroků: 

1. Otevřete powershellový řádek jako správce a pak spusťte následující příkaz:

   Start-ScheduledTask -TaskName "\Microsoft\Windows\PI\Secure-Boot-Update"

2. Po spuštění příkazu dvakrát restartujte zařízení, abyste potvrdili, že zařízení začíná s aktualizovanou databází důvěryhodných podpisů (DB).

3. Pokud chcete ověřit, že aktualizace databáze zabezpečeného spouštění proběhla úspěšně, otevřete jako správce příkazOvý řádek PowerShellu a spusťte následující příkaz: 

   [System.Text.Encoding]::ASCII. GetString((Get-SecureBootUEFI db).bytes) -match 'Windows UEFI CA 2023'

   

   Pokud příkaz vrátí hodnotu True, aktualizace byla úspěšná.
   
   V případě chyb při instalaci aktualizace databáze si přečtěte článek KB5016061: Řešení problémů s ohroženými a odvolaných správců spouštění.