ממשקי API של מערכת התצורה של Windows (WinCS) לאתחול מאובטח

CLI של אתחול מאובטח באמצעות מערכת התצורה של Windows (WinCS)

מטרה: מנהלי תחום יכולים לחילופין להשתמש במערכת התצורה של Windows (WinCS) שהופצה עם עדכוני מערכת ההפעלה Windows כדי לפרוס את עדכוני האתחול המאובטח בכל הלקוחות והשרתים המצורפים לתחום של Windows. הוא כולל כלי שירות של ממשק שורת פקודה (CLI) כדי לבצע שאילתה ולהחיל תצורות אתחול מאובטח באופן מקומי על מחשב.  

WinCS פועל את מפתח התצורה שניתן להשתמש בו עם כלי השירות של שורת הפקודה כדי לשנות את מצב התצורה של אתחול מאובטח במחשב. לאחר החלת האתחול המאובטח המתוזמן הבא, יתבצעו פעולות בהתאם למפתח. 

פלטפורמות נתמכות של WinCS

כלי שירות שורת הפקודה של WinCS נתמך ב- Windows 11, גירסה 23H2, Windows 11, גירסה 24H2, Windows 11, גירסה 25H2. כלי שירות זה זמין בעדכוני Windows שהופצו ב- 28 באוקטובר 2025 ולאחר מכן עבור Windows 11, גירסה 24H2 ו- Windows 11, גירסה 23H2.

הערה: אנו עובדים על הבאת תמיכה זו של WinCS לפלטפורמות Windows 10 אלה. אנו נעדכן מאמר זה ברגע שהתמיכה תהיה זמינה. 

הנה מפתח התכונה 'תצורת אתחול מאובטח' שמנהלי תחום יבצעו שאילתות ויחילו על מכשירים באמצעות WinCS. 

ערך מפתח של WinCS: 

• F33E0C8E002 – מצב תצורת אתחול מאובטח = זמין

כיצד לבצע שאילתה על תצורת אתחול מאובטח 

ניתן לבצע שאילתה על תצורת אתחול מאובטח באמצעות שורת הפקודה הבאה:

פעולה זו תחזיר את המידע הבא (במחשב נקי): 

שים לב שהתצורה הנוכחית במכשיר היא F33E0C8E001, כלומר מפתח האתחול המאובטח נמצא במצב לא זמין.  

כיצד להחיל תצורת אתחול מאובטח  

ניתן לקבוע את התצורה הספציפית כדי להפוך אישורי אתחול מאובטח לזמינים באופן הבא: 

יישום מוצלח של המפתח אמור להחזיר את המידע הבא: 

כיצד לבצע ביקורת של תצורת אתחול מאובטח  

כדי לקבוע את המצב של תצורת האתחול המאובטח מאוחר יותר, באפשרותך להשתמש שוב בפקודת השאילתה ההתחלתית: 

המידע המוחזר יהיה דומה לתנאים הבאים, בהתאם למצב הדגל: 

שים לב כי מצב המפתח זמין כעת, והתצורה הנוכחית אינה F33E0C8E002. 

באפשרותך גם להפעיל באופן ידני את המשימה של שירות אתחול מאובטח על-ידי ביצוע השלבים הבאים: 

1. פתח שורת PowerShell כמנהל מערכת ולאחר מכן הפעל את הפקודה הבאה:

   Start-ScheduledTask -TaskName "\Microsoft\Windows\PI\Secure-Boot-Update"

2. הפעל מחדש את המכשיר פעמיים לאחר הפעלת הפקודה כדי לוודא שהמכשיר מתחיל במסד הנתונים המעודכן של חתימות מהימנות (DB).

3. כדי לוודא שעדכון מסד הנתונים של האתחול המאובטח הצליח, פתח בקשה של PowerShell כמנהל מערכת ולאחר מכן הפעל את הפקודה הבאה: 

   [System.text.encoding]::ASCII. GetString((Get-SecureBootUEFI db).bytes) -match 'Windows UEFI CA 2023'

   

   אם הפקודה מחזירה True, העדכון הצליח.
   
   במקרה של שגיאות בעת החלת העדכון של מסד הנתונים, עיין במאמר KB5016061: טופלו מנהלי אתחול פגיעים בוטלים.