ממשקי API של מערכת התצורה של Windows (WinCS) לאתחול מאובטח

CLI של אתחול מאובטח באמצעות מערכת התצורה של Windows (WinCS)

מטרה: מנהלי תחום יכולים לחילופין להשתמש במערכת התצורה של Windows (WinCS) שהופצה עם עדכוני מערכת ההפעלה Windows כדי לפרוס את עדכוני האתחול המאובטח בכל הלקוחות והשרתים המצורפים לתחום של Windows. הוא כולל כלי שירות של ממשק שורת פקודה (CLI) כדי לבצע שאילתה ולהחיל תצורות אתחול מאובטח באופן מקומי על מחשב.  

WinCS פועל את מפתח התצורה שניתן להשתמש בו עם כלי השירות של שורת הפקודה כדי לשנות את מצב התצורה של אתחול מאובטח במחשב. לאחר החלת האתחול המאובטח המתוזמן הבא, יתבצעו פעולות בהתאם למפתח. 

בדוק תחילה אם אישורי אתחול מאובטח מעודכנים בפלטפורמה שלך 

באפשרותך לבדוק את המצב של אתחול מאובטח באמצעות הפקודה Powershell:

(Get-ItemProperty 'HKLM:\SYSTEM\CurrentControlSet\Control\SecureBoot\Servicing' -Name 'UEFICA2023Status'). UEFICA2023Status

אם המצב מציג "עודכן", אין צורך להפעיל את WinCS ובאפשרותך לדלג על השלבים הבאים.

אם האישורים אינם מעודכנים לגירסאות 2023, השלבים הנו נוספים שלהלן חלים.

פלטפורמות נתמכות של WinCS

כלי שירות שורת הפקודה של WinCS נתמך ב- Windows 10, גירסה 21H2, Windows 10, גירסה 22H2, Windows 10 1607, Windows Server 2022, Windows Server 2019, Windows Server 2016, Windows 11, גירסה 23H2, Windows 11 24H2, Windows 11, גירסה 25H2.

כלי שירות זה זמין בעדכוני Windows שהופצו ב- 28 באוקטובר 2025 ולאחר מכן עבור Windows 11, גירסה 24H2 ו- Windows 11, גירסה 23H2.

כלי שירות זה זמין גם בעדכוני Windows שהופצו ב- 11 בנובמבר 2025 ולאחר מכן עבור Windows 10, גירסה 21H2, Windows 10, גירסה 22H2 ו- Windows Server 2022.

עבור Windows Server 2019, כלי שירות זה נשלח בעדכונים של Windows שהופצו ב- 13 בינואר 2026 ולאחר מכן. 

עבור Windows Server 2016, Windows 10 1607, כלי שירות זה נשלח בעדכוני Windows שהופצו ב- 14 באפריל 2026 ולאחר מכן.

עבור Windows Server 2012 ו- Windows Server 2012 R2 (ESU), כלי שירות זה נשלח בעדכוני Windows שהופצו ב- 14 באפריל 2026 ולאחר מכן.

הנה מפתח התכונה 'תצורת אתחול מאובטח' שמנהלי תחום יבצעו שאילתות ויחילו על מכשירים באמצעות WinCS. 

ערך מפתח של WinCS: 

• F33E0C8E002 – מצב תצורת אתחול מאובטח = זמין

כיצד לבצע שאילתה על תצורת אתחול מאובטח 

ניתן לבצע שאילתה על תצורת אתחול מאובטח על-ידי פתיחת שורת פקודה כמנהל והפעלת פקודה זו:

פעולה זו תחזיר את המידע הבא (במחשב נקי): 

שים לב שהתצורה הנוכחית במכשיר היא F33E0C8E001, כלומר מפתח האתחול המאובטח נמצא במצב לא זמין.  

כיצד להחיל תצורת אתחול מאובטח  

ניתן להחיל את תצורת האתחול המאובטח על-ידי פתיחת שורת פקודה כמנהל מערכת והפעלת פקודה זו:

יישום מוצלח של המפתח אמור להחזיר את המידע הבא: 

כיצד לבצע ביקורת של תצורת אתחול מאובטח  

כדי לקבוע את המצב של תצורת האתחול המאובטח מאוחר יותר, באפשרותך להפעיל מחדש את פקודת השאילתה הראשונית על-ידי פתיחת שורת פקודה כמנהל מערכת:

המידע המוחזר יהיה דומה לתנאים הבאים, בהתאם למצב הדגל: 

שים לב כי מצב המפתח זמין כעת, והתצורה הנוכחית אינה F33E0C8E002. 

באפשרותך גם להפעיל באופן ידני את המשימה של שירות אתחול מאובטח על-ידי ביצוע השלבים הבאים: 

1. פתח שורת PowerShell כמנהל מערכת ולאחר מכן הפעל את הפקודה הבאה:

   Start-ScheduledTask -TaskName "\Microsoft\Windows\PI\Secure-Boot-Update"

2. הפעל מחדש את המכשיר פעמיים לאחר הפעלת הפקודה כדי לוודא שהמכשיר מתחיל במסד הנתונים המעודכן של חתימות מהימנות (DB).

3. כבדיקת מצב מהירה אם עדכון מסד הנתונים של האתחול המאובטח הצליח, פתח בקשה של PowerShell כמנהל מערכת ולאחר מכן הפעל את הפקודה הבאה: 

   [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Windows UEFI CA 2023'

   

   אם הפקודה מחזירה True, העדכון הצליח.
   
   במקרה של שגיאות בעת החלת העדכון של מסד הנתונים, עיין במאמר KB5016061: טופלו מנהלי אתחול פגיעים בוטלים.

   הערה: פעולה זו בודקת רשות אישורים אחת בלבד ולא את כולם.

4. כדי לוודא שכל האישורים מעודכנים, עיין בנושא עדכוני אישור אתחול מאובטח : הדרכה עבור מומחי IT וארגונים ופעל בהתאם להנחיות בסעיף "ניטור יומני אירועים". סעיף זה מפרט את מזהה האירוע: 1801 ומזהה האירוע : 1808 , שהוא דרך מלאה יותר לביקורת על כך שהאישורים עודכנו.