Windowsi konfiguratsioonisüsteemi (WinCS) API-d turvaliseks käivitamiseks

Secure Boot CLI using Windows Configuration System (WinCS)

Eesmärk: domeeniadministraatorid saavad turvalise algkäivituse värskenduste juurutamiseks kõigis domeeniga liitunud Windowsi klientrakendustes ja serverites kasutada ka Windowsi konfiguratsioonisüsteemi (WinCS) välja antud Windowsi konfiguratsioonisüsteemi (WinCS ). See koosneb käsurealiidese (CLI) utiliidist, mille abil saab teha päringuid ja rakendada seadmele kohalikult secure Booti konfiguratsioone.  

WinCS töötab konfiguratsioonivõtmega, mida saab kasutada käsureautiliidiga arvuti Secure Booti konfiguratsioonioleku muutmiseks. Pärast rakendamist sooritab järgmine ajastatud Secure Boot toimingud võtme järgi. 

WinCS-i toetatud platvormid

WinCS-i käsureautiliiti toetatakse Windows 11 versioonis 23H2 Windows 11 versioonis 24H2 Windows 11 versioonis 25H2. See utiliit on saadaval Windowsi värskendustes, mis on välja antud 28. oktoobril 2025 ja hiljem Windows 11 versiooni 24H2 ja Windows 11 versiooni 23H2 jaoks.

Märkus. Tegeleme selle WinCS-i toe toomisega Windows 10 platvormidele. Värskendame seda artiklit kohe, kui tugi on lubatud. 

Siin on Secure Booti konfigureerimise funktsioonivõti, mida domeeni administraatorid saavad WinCS-i kaudu seadmetele esitada ja rakendada. 

WinCS-i võtme väärtus: 

• F33E0C8E002 – Secure Booti konfigureerimisolek = lubatud

Secure Booti konfiguratsiooni päringu esitamine 

Secure Booti konfiguratsiooni saab esitada järgmise käsureaga:

See tagastab järgmise teabe (puhtas seadmes): 

Pange tähele, et seadme praegune konfiguratsioon on F33E0C8E001, mis tähendab, et Secure Booti võti on keelatud olekus.  

Secure Booti konfiguratsiooni rakendamine  

Secure Booti sertide lubamise konkreetse konfiguratsiooni saab konfigureerida järgmiselt: 

Võtme edukas rakendamine peaks tagastama järgmise teabe: 

Secure Booti konfiguratsiooni auditeerimine  

Secure Booti konfiguratsiooni oleku hiljem määramiseks saate algset päringukäsku uuesti kasutada. 

Olenevalt lipu olekust on tagastatud teave sarnane järgmisega: 

Pange tähele, et võtme olek on nüüd Lubatud ja praegune konfiguratsioon on F33E0C8E002. 

Secure Booti teenindustoimingu käsitsi käivitamiseks tehke järgmist. 

1. Avage PowerShelli viip administraatorina ja käivitage järgmine käsk:

   Start-ScheduledTask - TaskName "\Microsoft\Windows\PI\Secure-Boot-Update"

2. Taaskäivitage seade kaks korda pärast käsu käitamist, et kontrollida, kas seade käivitub usaldusväärsete allkirjade värskendatud andmebaasiga (DB).

3. Veendumaks, et Secure Boot DB värskendus õnnestus, avage PowerShelli viip administraatorina ja seejärel käivitage järgmine käsk: 

   [System.Text.Encoding]::ASCII. GetString((Get-SecureBootUEFI db).bytes) - match 'Windows UEFI CA 2023'

   

   Kui käsk tagastab väärtuse True, õnnestus värskendamine.
   
   DB värskenduse rakendamisel esinevate tõrgete korral lugege artiklit KB5016061: Haavatavate ja tühistatud algkäivitushaldurite käsitlemine.