API Windows Configuration System (WinCS) per l'avvio protetto

Secure Boot CLI using Windows Configuration System (WinCS)

Obiettivo: gli amministratori del dominio possono in alternativa usare il sistema di configurazione di Windows (WinCS) rilasciato con gli aggiornamenti del sistema operativo Windows per distribuire gli aggiornamenti di Avvio protetto tra client e server Windows aggiunti a un dominio. È costituito da un'utilità di interfaccia della riga di comando per eseguire query e applicare le configurazioni di avvio protetto in locale a un computer.  

WinCS disattiva una chiave di configurazione che può essere utilizzata con l'utilità della riga di comando per modificare lo stato di configurazione di avvio protetto nel computer. Una volta applicato, il successivo avvio protetto pianificato eseguirà azioni in base alla chiave. 

Piattaforme supportate da WinCS

L'utilità della riga di comando WinCS è supportata in Windows 10, versione 21H2, Windows 10, versione 22H2, Windows Server 2022, Windows 11, versione 23H2, Windows 11, versione 24H2, Windows 11, versione 25H2.

Questa utilità è disponibile negli aggiornamenti di Windows rilasciati dopo il 28 ottobre 2025 per Windows 11, versione 24H2 e Windows 11, versione 23H2.

Questa utilità è disponibile anche negli aggiornamenti di Windows rilasciati dopo l'11 novembre 2025 per Windows 10, versione 21H2, Windows 10, versione 22H2 e Windows Server 2022.

Nota: stiamo lavorando per rendere disponibile il supporto WinCS per Windows 10 piattaforme. Questo articolo verrà aggiornato non appena il supporto sarà abilitato. 

Ecco la chiave della funzionalità di configurazione di avvio protetto che gli amministratori del dominio esercicheranno e applicano ai dispositivi tramite WinCS. 

Valore della chiave WinCS: 

• F33E0C8E002 - Stato di configurazione di Avvio protetto = Abilitato

Come eseguire query sulla configurazione di avvio protetto 

È possibile eseguire una query sulla configurazione di Avvio protetto con la seguente riga di comando:

Verranno restituite le seguenti informazioni (su una macchina pulita): 

Si noti che la configurazione corrente in un dispositivo è F33E0C8E001, il che significa che la chiave di avvio protetto è in stato disabilitato .  

Come applicare la configurazione di avvio protetto  

La configurazione specifica per abilitare i certificati di avvio protetto può essere configurata nel modo seguente: 

Una corretta applicazione della chiave dovrebbe restituire le seguenti informazioni: 

Come controllare la configurazione di avvio protetto  

Per determinare lo stato della configurazione di avvio protetto in un secondo momento, è possibile riutilizzazione del comando di query iniziale:

Le informazioni restituite saranno simili alle seguenti, a seconda dello stato del flag: 

Si noti che lo stato della chiave è ora Abilitato e la configurazione corrente è F33E0C8E002. 

Puoi anche attivare manualmente l'attività di manutenzione di Avvio protetto eseguendo le operazioni seguenti: 

1. Aprire un prompt di PowerShell come amministratore e quindi eseguire il comando seguente:

   Start-ScheduledTask -TaskName "\Microsoft\Windows\PI\Secure-Boot-Update"

2. Riavvia il dispositivo due volte dopo aver eseguito il comando per verificare che il dispositivo inizi con il database aggiornato delle firme attendibili (DB).

3. Per verificare rapidamente se l'aggiornamento di Secure Boot DB è riuscito, apri un prompt di PowerShell come amministratore ed esegui il comando seguente: 

   [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Windows UEFI CA 2023'

   

   Se il comando restituisce True, l'aggiornamento è riuscito.
   
   In caso di errori durante l'applicazione dell'aggiornamento DB, vedi l'articolo KB5016061: Risoluzione dei problemi relativi a boot manager vulnerabili e revocati.

   Nota: Questa operazione esegue il controllo di una sola CA e non di tutte le CA.

4. Per verificare che tutti i certificati siano aggiornati, fare riferimento agli aggiornamenti del certificato di avvio protetto: linee guida per professionisti IT e organizzazioni e seguire le indicazioni nella sezione "Monitoraggio dei registri eventi". Questa sezione elenca l'ID evento: 1801 e l'ID evento: 1808 , che è un modo più completo per controllare che i certificati siano stati aggiornati.