PowerShell: Uso del parámetro -Decoded en Get-SecureBootUEFI

Se aplica a
Win 10 Ent LTSB 2016 Win 10 Ent LTSC 2019 Windows 10 IoT Enterprise LTSC 2021 Windows 10, version 22H2, all editions Windows 11 Home and Pro, version 22H2 Windows 11 Enterprise Multi-Session, version 22H2 Windows 11 Enterprise and Education, version 22H2 Windows 11 IoT Enterprise, version 22H2 Windows 11 SE, version 23H2 Windows 11 Home and Pro, version 23H2 Windows 11 Enterprise and Education, version 23H2 Windows 11 Enterprise Multi-Session, version 23H2 Windows 11 version 24H2, all editions Windows 11 version 25H2, all editions Windows 11 version 26H1, all editions Windows Server 2012 ESU Windows Server 2012 R2 ESU Windows Server 2016 Windows Server 2019 Windows Server 2022 Windows Server 2025

Nota

Fecha de publicación original: 28 de abril de 2026
KB ID: 5093574

Nota

El parámetro -Decoded se agregó a los cmdlets de PowerShell de Get-SecureBootUEFI en las actualizaciones acumulativas mensuales del 14 de abril de 2026 y las actualizaciones publicadas después de esa fecha.

Introducción

El cmdlet de PowerShell Get-SecureBootUEFI recupera variables de arranque seguro UEFI, como PK (clave de plataforma), KEK (clave de Intercambio de claves), DB (base de datos de firmas permitidas) y DBX (base de datos de firmas revocadas). Estas variables normalmente devuelven datos binarios sin procesar, que pueden ser difíciles de interpretar directamente.

El nuevo parámetro -Decoded proporciona una vista más accesible de esta información.

¿Qué hace el parámetro -Decoded?

Al usar el parámetro -Decoded , el cmdlet muestra el contenido de las bases de datos de arranque seguro en un formato legible por el usuario. En lugar de bytes sin procesar, descodifica y presenta los datos subyacentes, incluidos certificados, hashes y metadatos asociados almacenados en variables autenticadas UEFI.

Con el parámetro -Decoded , la salida incluye información legible del certificado, como:

  • Asunto (por ejemplo, Microsoft Windows Production PCA 2011)
  • Algoritmo y versión
  • Número de serie
  • Período de validez

Esto hace que sea más fácil lo siguiente:

  • Inspeccionar elementos de arranque seguro, como certificados, hashes y claves públicas
  • Ver las propiedades del certificado, como el asunto, el emisor y las fechas de validez
  • Comprender más fácilmente lo que es de confianza en la PK, la KEK y la DB, y lo que se revoca en DBX sin análisis adicional

Ejemplo

Uso de comandos en PowerShell:

Nota

Get-SecureBootUEFI -Name db -Decoded

Comando devuelve:

Nota

  • SignatureOwner : 77fa9abd-0359-4d32-bd60-28f4e78f784b
  • Subject        : CN=Microsoft Windows Production PCA 2011, O=Microsoft Corporation, L=Redmond, S=Washington, C=US
  • Version        : 3
  • Algorithm      : sha256RSA
  • SerialNumber   : 61077656000000000008
  • ValidFrom      : 2011-10-19 11:41:42Z
  • ValidTo        : 2026-10-19 11:51:42Z
  • SignatureOwner : 77fa9abd-0359-4d32-bd60-28f4e78f784b
  • Subject        : CN=Windows UEFI CA 2023, O=Microsoft Corporation, C=US
  • Version        : 3
  • Algorithm      : sha256RSA
  • SerialNumber   : 330000001A888B9800562284C100000000001A
  • ValidFrom      : 2023-06-13 11:58:29Z
  • ValidTo        : 2035-06-13 12:08:29Z

Cuándo usarla

Usa el parámetro -Decoded cuando necesites analizar o validar la configuración de arranque seguro, en lugar de recuperar sus valores sin procesar.

Más información

Para obtener detalles completos del cmdlet, parámetros y ejemplos adicionales, consulta la documentación de Get-SecureBootUEFI .

Nota

La documentación a la que se hace referencia aún no incluye el parámetro -Decoded . La documentación se actualizará en una revisión futura.

Registro de cambios

Cambiar fecha Cambiar descripción
30 de abril de 2026
  • Se ha agregado el texto descriptivo de las variables de arranque seguro UEFI PK, KEK, DB y DBX en la sección "Introducción"
  • Se ha agregado una "Nota" para indicar que el parámetro -Decoded se agregó en la actualización de seguridad mensual de abril de 2026.