Rozhraní API systému Windows Configuration System (WinCS) pro zabezpečené spouštění

Rozhraní příkazového řádku zabezpečeného spouštění pomocí systému Windows Configuration System (WinCS)

Cíl: Správci domény můžou alternativně použít systém Windows Configuration System (WinCS) vydaný s aktualizacemi operačního systému Windows k nasazení aktualizací zabezpečeného spouštění na klienty a servery Windows připojené k doméně. Skládá se z nástroje rozhraní příkazového řádku (CLI) pro dotazování a místní použití konfigurací zabezpečeného spouštění na počítač.  

Služba WinCS pracuje s konfiguračním klíčem, který lze použít s nástrojem příkazového řádku k úpravě stavu konfigurace zabezpečeného spouštění na počítači. Po použití provede další naplánované zabezpečené spouštění akce podle klíče. 

Nejprve zkontrolujte, jestli jsou na vaší platformě aktualizované certifikáty zabezpečeného spouštění. 

Stav zabezpečeného spouštění můžete zkontrolovat pomocí příkazu PowerShellu:

(Get-ItemProperty 'HKLM:\SYSTEM\CurrentControlSet\Control\SecureBoot\Servicing' -Name 'UEFICA2023Status'). UEFICA2023Status

Pokud se v seznamu Stav zobrazuje "Aktualizováno", nemusíte spouštět WinCS a můžete přeskočit následující kroky.

Pokud certifikáty nejsou aktualizovány na verze 2023, platí následující další kroky.

Platformy podporované službou WinCS

Nástroj příkazového řádku WinCS je podporován v Windows 10 verze 21H2, Windows 10, verze 22H2, Windows 10 1607, Windows Server 2022, Windows Server 2019, Windows Server 2016, Windows 11, verze 23H2, Windows 11, verze 24H2, Windows 11 verze 25H2.

Tento nástroj je k dispozici v aktualizacích systému Windows vydaných 28. října 2025 a po Windows 11 verze 24H2 a Windows 11 verze 23H2.

Tento nástroj je také k dispozici v aktualizacích systému Windows vydaných 11. listopadu 2025 a později pro Windows 10 verze 21H2, Windows 10, verze 22H2 a Windows Server 2022.

Pro Windows Server 2019 se tento nástroj dodává v aktualizacích Windows vydaných 13. ledna 2026 a později. 

Pro Windows Server 2016, Windows 10 1607, se tento nástroj dodává v aktualizacích Windows vydaných 14. dubna 2026 a později.

A pro Windows Server 2012 a Windows Server 2012 R2 (ESU) se tento nástroj dodává v aktualizacích Windows vydaných 14. dubna 2026 a později.

Tady je klíč funkce konfigurace zabezpečeného spouštění, na který se budou správci domény dotazovat a aplikovat na zařízení prostřednictvím winCS. 

Hodnota klíče WinCS: 

• F33E0C8E002 – stav konfigurace zabezpečeného spouštění = Povoleno

Dotazování konfigurace zabezpečeného spouštění 

Konfiguraci zabezpečeného spouštění je možné dotazovat otevřením příkazového řádku jako správce a spuštěním tohoto příkazu:

Tím se vrátí následující informace (na čistém počítači): 

Všimněte si, že aktuální konfigurace zařízení je F33E0C8E001, což znamená, že klíč zabezpečeného spouštění je ve stavu Zakázáno .  

Jak použít konfiguraci zabezpečeného spouštění  

Konfiguraci zabezpečeného spouštění můžete použít tak, že otevřete příkazový řádek jako správce a spustíte tento příkaz:

Úspěšné použití klíče by mělo vrátit následující informace: 

Audit konfigurace zabezpečeného spouštění  

Pokud chcete později zjistit stav konfigurace zabezpečeného spouštění, můžete znovu spustit příkaz počátečního dotazu tak, že otevřete příkazový řádek jako správce:

Vrácené informace budou podobné následujícímu v závislosti na stavu příznaku: 

Všimněte si, že stav klíče je nyní Povoleno a aktuální konfigurace je F33E0C8E002. 

Úlohu údržby zabezpečeného spouštění můžete také aktivovat ručně pomocí následujících kroků: 

1. Otevřete powershellový řádek jako správce a pak spusťte následující příkaz:

   Start-ScheduledTask -TaskName "\Microsoft\Windows\PI\Secure-Boot-Update"

2. Po spuštění příkazu dvakrát restartujte zařízení, abyste potvrdili, že zařízení začíná s aktualizovanou databází důvěryhodných podpisů (DB).

3. Pokud chcete rychle zkontrolovat, jestli byla aktualizace zabezpečeného spouštění databáze úspěšná, otevřete jako správce příkaz PowerShellu a spusťte následující příkaz: 

   [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Windows UEFI CA 2023'

   

   Pokud příkaz vrátí hodnotu True, aktualizace byla úspěšná.
   
   V případě chyb při instalaci aktualizace databáze si přečtěte článek KB5016061: Řešení problémů s ohroženými a odvolaných správců spouštění.

   Poznámka: Kontroluje se jenom jedna certifikační autorita, a ne všechny certifikační autority.

4. Pokud chcete ověřit, že jsou všechny certifikáty aktualizované, přečtěte si téma Aktualizace certifikátů zabezpečeného spouštění: Pokyny pro IT profesionály a organizace a postupujte podle pokynů v části Monitorování protokolů událostí. Tato část obsahuje SEZNAM ID události: 1801 a ID události: 1808 , což je úplnější způsob, jak auditovat, že se certifikáty aktualizovaly.