API Windows Configuration System (WinCS) pour le démarrage sécurisé

Interface CLI de démarrage sécurisé à l’aide du système de configuration Windows (WinCS)

Objectif : Les administrateurs de domaine peuvent également utiliser le système de configuration Windows (WinCS) publié avec les mises à jour du système d’exploitation Windows pour déployer les mises à jour de démarrage sécurisé sur des clients et serveurs Windows joints à un domaine. Il se compose d’un utilitaire d’interface de ligne de commande (CLI) pour interroger et appliquer des configurations de démarrage sécurisé localement à un ordinateur.  

WinCS fonctionne à partir d’une clé de configuration qui peut être utilisée avec l’utilitaire de ligne de commande pour modifier l’état de configuration de démarrage sécurisé sur l’ordinateur. Une fois appliqué, le démarrage sécurisé planifié suivant effectue des actions en fonction de la clé. 

Plateformes prises en charge par WinCS

L’utilitaire en ligne de commande WinCS est pris en charge dans Windows 11, version 23H2, Windows 11, version 24H2, Windows 11, version 25H2. Cet utilitaire est disponible dans les mises à jour Windows publiées le 28 octobre 2025 pour Windows 11, version 24H2 et Windows 11, version 23H2.

Remarque : Nous travaillons actuellement à la prise en charge de WinCS pour Windows 10 plateformes. Nous allons mettre à jour cet article dès que la prise en charge sera activée. 

Voici la clé de fonctionnalité de configuration de démarrage sécurisé que les administrateurs de domaine interrogeront et appliqueront aux appareils via WinCS. 

Valeur de clé WinCS : 

• F33E0C8E002 – État de configuration du démarrage sécurisé = Activé

Comment interroger la configuration du démarrage sécurisé 

La configuration du démarrage sécurisé peut être interrogée avec la ligne de commande suivante :

Cette opération retourne les informations suivantes (sur un ordinateur propre) : 

Notez que la configuration actuelle sur un appareil est F33E0C8E001, ce qui signifie que la clé de démarrage sécurisé est dans l’état Désactivé .  

Comment appliquer la configuration de démarrage sécurisé  

La configuration spécifique pour activer les certificats de démarrage sécurisé peut être configurée de la manière suivante : 

Une application réussie de la clé doit retourner les informations suivantes : 

Comment auditer la configuration du démarrage sécurisé  

Pour déterminer l’état de la configuration de démarrage sécurisé ultérieurement, vous pouvez réutiliser la commande de requête initiale : 

Les informations retournées sont similaires aux suivantes, en fonction de l’état de l’indicateur : 

Notez que l’état de la clé est désormais Activé et que la configuration actuelle est F33E0C8E002. 

Vous pouvez également déclencher manuellement la tâche de maintenance de démarrage sécurisé en suivant les étapes ci-dessous : 

1. Ouvrez une invite PowerShell en tant qu’administrateur, puis exécutez la commande suivante :

   Start-ScheduledTask -TaskName « \Microsoft\Windows\PI\Secure-Boot-Update »

2. Redémarrez l’appareil deux fois après avoir exécuté la commande pour confirmer que l’appareil démarre avec la base de données de signatures approuvées (DB) mise à jour.

3. Pour vérifier que la mise à jour de la base de données de démarrage sécurisé a réussi, ouvrez une invite PowerShell en tant qu’administrateur, puis exécutez la commande suivante : 

   [System.Text.Encoding] ::ASCII. GetString((Get-SecureBootUEFI db).bytes) -match 'Windows UEFI CA 2023'

   

   Si la commande retourne True, la mise à jour a réussi.
   
   En cas d’erreurs lors de l’application de la mise à jour de base de données, consultez l’article KB5016061 : Résolution des gestionnaires de démarrage vulnérables et révoqués.