ממשקי API של מערכת התצורה של Windows ‏(WinCS) לאתחול מאובטח

יומן רישום שינויים

שנה תאריך	תיאור השינוי
16 באפריל. 2026	הוסר המקטע 'זמינות תמיכה זו' מאחר שהמידע כלול בסעיף 'פלטפורמות הנתמכות של WinCS'.
10 באפריל 2026	עודכן התאריך עבור גירסה 1607 / של Windows 10 ל- Windows Server 2016 תחת המקטע " פלטפורמות נתמכות של WinCS ". נוספה פלטפורמה חדשה התמיכה בפלטפורמה עבור Windows Server 2012 ו- Windows Server 2012 R2 (ESU) תחת המקטע "פלטפורמות נתמכות של WinCS".
פברואר 20, 2026	נוסף סעיף חדש, "בדוק תחילה אם אישורי אתחול מאובטח מעודכנים בפלטפורמה שלך"
16 בדצמבר 2025	תוקנה שורת הפקודה במקטע "כיצד להחיל תצורת אתחול מאובטח" מכיוון שהיא כללה תווים שגויים. אל: WinCsFlags.exe /החל –-מקש "F33E0C8E002" תיקנו את שורת הפקודה בסעיף "כיצד לבקר תצורת אתחול מאובטחת" מכיוון שהיא כללה רווח בסוף השורה. אל: Start-ScheduledTask -TaskName "\Microsoft\Windows\PI\Secure-Boot-Update" בסעיף 'זמינות תמיכה זו', נוסף ש- Windows 10, גרסאות 21H2 ו- 22H2 ו- Windows Server 2022 נוספו במהדורות מתאריך 11 בנובמבר 2025 ואילך. בנוסף, תמיכה בגרסאות אחרות של Windows תיכלל בעדכונים שיופצו במהלך הרבעון הראשון של 2026.
11 בדצמבר 2025	השתנה שלב 3 של הסעיף "כיצד לבצע ביקורת על תצורת אתחול מאובטח": מ: כדי לוודא שעדכון Secure Boot DB בוצע בהצלחה, פתח שורת PowerShell כמנהל מערכת ולאחר מכן הפעל את הפקודה הבאה: אל: כבדיקה מהירה אם עדכון Secure Boot DB בוצע בהצלחה, פתח שורת PowerShell כמנהל מערכת ולאחר מכן הפעל את הפקודה הבאה: נוסף שלב 4 לסעיף 'כיצד לבצע ביקורת תצורת אתחול מאובטח': כדי לוודא שכל האישורים מעודכנים, עיין בעדכוני אישור אתחול מאובטח: הדרכה עבור מומחי IT וארגונים ופעל בהתאם להנחיות במקטע 'ניטור יומני אירועים'. סעיף זה מפרט את מזהה האירוע: 1801ומזהה האירוע: 1808, שהוא דרך מלאה לבקר את עדכון האישורים.

Secure Boot CLI באמצעות מערכת התצורה של Windows (WinCS)

מטרה: מנהלי תחומים יכולים לחלופין להשתמש במערכת התצורה של Windows (WinCS) שפורסמה עם עדכוני מערכת ההפעלה של Windows כדי לפרוס את עדכוני האתחול המאובטח בכל הלקוחות והשרתים של Windows המצורפים לתחום. הוא מורכב מתוכנית שירות של ממשק שורת פקודה (CLI) לביצוע שאילתות ולהחיל תצורות אתחול מאובטח באופן מקומי על מחשב.

WinCS מפעיל מפתח תצורה שניתן להשתמש בו עם כלי שורת הפקודה כדי לשנות את מצב התצורה של אתחול מאובטח במחשב. לאחר ההחלה, האתחול המאובטח המתוזמן הבא יבצע פעולות בהתאם למפתח.

תחילה, בדוק אם אישורי אתחול מאובטח מתעדכנים בפלטפורמה שלך

באפשרותך לבדוק את המצב של אתחול מאובטח באמצעות הפקודה Powershell:

(Get-ItemProperty 'HKLM:\SYSTEM\CurrentControlSet\Control\SecureBoot\Servicing' -Name 'UEFICA2023Status'). UEFICA2023סטטוס

אם המצב מציג "עודכן", אין צורך להפעיל את WinCS ובאפשרותך לדלג על השלבים הבאים.

אם האישורים אינם מעודכנים לגירסאות 2023, חלים השלבים הנוספים הבאים.

פלטפורמות נתמכות של WinCS

כלי שורת הפקודה WinCS נתמך ב- Windows 10, גירסה 21H2, Windows 10, גירסה 22H2, Windows 10 1607, Windows Server 2022, Windows Server 2019, Windows Server 2016, Windows 11, גרסה 23H2, Windows 11, גרסה 24H2, Windows 11, גרסה 25H2.

תוכנית שירות זו זמינה בעדכוני Windows שהופצו ב- 28 באוקטובר 2025 ואילך, עבור Windows 11, גרסה 24H2 ו- Windows 11, גרסה 23H2.

כלי שירות זה זמין גם בעדכוני Windows שהופצו ב- 11 בנובמבר 2025 ואילך, עבור Windows 10, גרסה 21H2, Windows 10, גרסה 22H2 ו- Windows Server 2022.

עבור Windows Server 2019, תוכנית שירות זו מופצת בעדכוני Windows שהופצו ב- 13 בינואר 2026 ואילך.

עבור Windows Server 2016, Windows 10 1607, תוכנית שירות זו מופצת בעדכוני Windows שהופצו ב- 14 באפריל 2026 ואילך.

ועבור Windows Server 2012 ו- Windows Server 2012 R2 (ESU), כלי שירות זה נשלח בעדכוני Windows שהופצו ב- 14 באפריל 2026 ואילך.

הנה מפתח התכונה של תצורת האתחול המאובטח שמנהלי תחומים יבצעו בו שאילתה ויחילו על מכשירים באמצעות WinCS.

שם תכונה	מפתח WinCS	תיאור
Feature_AllKeysAndBootMgrByWinCS	F33E0C8E002	הפיכת מפתח זה לזמין מאפשרת התקנה של אישורי האתחול המאובטח החדשים הבאים שסופקו על-ידי Microsoft במכשיר שלך. Microsoft Corporation KEK 2K CA 2023 Windows UEFI CA 2023 Microsoft UEFI CA 2023 MICROSOFT OPTION UEFI ROM CA 2023

ערך מפתח של WinCS:

• F33E0C8E002 - מצב תצורת אתחול מאובטח = מופעל

כיצד לבצע שאילתה בתצורת אתחול מאובטח

ניתן לבצע שאילתה בתצורת אתחול מאובטח על-ידי פתיחת שורת פקודה כמנהל מערכת והפעלת פקודה זו:

פעולה זו תחזיר את המידע הבא (במחשב נקי):

שים לב שהתצורה הנוכחית במכשיר היא F33E0C8E001, כלומר מפתח אתחול מאובטח נמצא במצב מושבת .

כיצד להחיל תצורת אתחול מאובטח

ניתן להחיל תצורת אתחול מאובטח על-ידי פתיחת שורת פקודה כמנהל מערכת והפעלת פקודה זו:

יישום מוצלח של המפתח אמור להחזיר את המידע הבא:

כיצד לבצע ביקורת תצורת אתחול מאובטח

כדי לקבוע את המצב של תצורת האתחול המאובטח מאוחר יותר, באפשרותך להפעיל מחדש את פקודת השאילתה הראשונית על-ידי פתיחת שורת פקודה כמנהל מערכת:

המידע שיוחזר יהיה דומה למידע הבא, בהתאם למצב הדגל:

שים לב שמצב המפתח זמין כעת, והתצורה הנוכחית F33E0C8E002.

באפשרותך גם להפעיל באופן ידני את משימת השירות 'אתחול מאובטח' באמצעות ביצוע השלבים הבאים:

1. פתח שורת פקודה של PowerShell כמנהל מערכת ולאחר מכן הפעל את הפקודה הבאה:

   הערה

   Start-ScheduledTask -TaskName "\Microsoft\Windows\PI\Secure-Boot-Update"

2. הפעל מחדש את המכשיר פעמיים לאחר הפעלת הפקודה כדי לוודא שהמכשיר מופעל עם מסד הנתונים המעודכן של חתימות מהימנות (DB).

3. כבדיקה מהירה אם עדכון Secure Boot DB בוצע בהצלחה, פתח שורת PowerShell כמנהל מערכת ולאחר מכן הפעל את הפקודה הבאה:

   הערה

   [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Windows UEFI CA 2023'

   
   אם הפקודה מחזירה True, העדכון הושלם בהצלחה.

   במקרה של שגיאות בעת החלת עדכון מסד הנתונים, עיין במאמר KB5016061: טיפול במנהלי אתחול פגיעים ומבוטלים.

   הערה

   פעולה זו בודקת רק רשות אישורים אחת ולא את כל רשות האישורים.

4. כדי לוודא שכל האישורים מעודכנים, עיין בעדכוני אישור אתחול מאובטח: הדרכה עבור מומחי IT וארגונים ופעל בהתאם להנחיות במקטע 'ניטור יומני אירועים'. סעיף זה מפרט את מזהה האירוע: 1801ומזהה האירוע: 1808, שהוא דרך מלאה יותר לבקר את עדכון האישורים.