セキュア ブート用の Windows 構成システム (WinCS) API

Windows 構成システム (WinCS) を使用したセキュア ブート CLI

目標: ドメイン管理者は、Windows OS 更新プログラムでリリースされた Windows 構成システム (WinCS) を使用して、ドメインに参加している Windows クライアントとサーバー間でセキュア ブート更新プログラムを展開することもできます。 これは、コマンド ライン インターフェイス (CLI) ユーティリティで構成され、セキュア ブート構成をコンピューターに対してローカルに照会して適用します。  

WinCS は、コマンド ライン ユーティリティで使用できる構成キーをオフにして、マシンのセキュア ブート構成状態を変更します。 適用されると、次にスケジュールされたセキュア ブートがキーに従ってアクションを実行します。 

プラットフォームでセキュア ブート証明書が更新される場合の最初のチェック 

Powershell コマンドを使用して、セキュア ブートの状態をチェックできます。

(Get-ItemProperty 'HKLM:\SYSTEM\CurrentControlSet\Control\SecureBoot\Servicing' -Name 'UEFICA2023Status')。UEFICA2023Status

[状態] に "更新済み" と表示されている場合は、WinCS を実行する必要がなく、以下の手順をスキップできます。

証明書が 2023 バージョンに更新されない場合は、次の追加の手順が適用されます。

WinCS でサポートされているプラットフォーム

WinCS コマンド ライン ユーティリティは、Windows 10、バージョン 21H2、Windows 10、バージョン 22H2、Windows 10 1607、Windows Server 2022、Windows Server 2019、Windows Server 2016、Windows 11、バージョン 23H2、Windows 11、バージョン 24H2、Windows 11、バージョン 25H2。

このユーティリティは、2025 年 10 月 28 日以降にリリースされた Windows 更新プログラムで、Windows 11、バージョン 24H2、Windows 11バージョン 23H2 で使用できます。

このユーティリティは、2025 年 11 月 11 日以降にリリースされた Windows 更新プログラムでも、Windows 10、バージョン 21H2、Windows 10、バージョン 22H2、Windows Server 2022 で利用できます。

Windows Server 2019 の場合、このユーティリティは 2026 年 1 月 13 日以降にリリースされた Windows 更新プログラムに付属しています。 

Windows Server 2016、1607 Windows 10、このユーティリティは、2026 年 4 月 14 日以降にリリースされた Windows 更新プログラムに付属しています。

また、Windows Server 2012および Windows Server 2012 R2 (ESU) の場合、このユーティリティは 2026 年 4 月 14 日以降にリリースされた Windows 更新プログラムに付属しています。

ドメイン管理者が WinCS を介してデバイスにクエリを実行して適用するセキュア ブート構成機能キーを次に示します。 

WinCS キー値: 

• F33E0C8E002 – セキュア ブート構成状態 = 有効

セキュア ブート構成のクエリを実行する方法 

セキュア ブート構成を照会するには、管理者としてコマンド プロンプトを開き、次のコマンドを実行します。

これにより、(クリーン コンピューター上の) 次の情報が返されます。 

デバイスの現在の構成が F33E0C8E001されていることに注意してください。つまり、セキュア ブート キーが 無効 状態です。  

セキュア ブート構成を適用する方法  

セキュア ブート構成は、管理者としてコマンド プロンプトを開き、次のコマンドを実行することで適用できます。

キーを正常に適用すると、次の情報が返されます。 

セキュア ブート構成を監査する方法  

セキュア ブート構成の状態を後で確認するには、管理者としてコマンド プロンプトを開いて最初のクエリ コマンドを再実行します。

返される情報は、フラグの状態に応じて、次のようになります。 

キーの状態が [有効] になり、現在の構成がF33E0C8E002されていることに注意してください。 

次の手順に従って、セキュア ブート サービス タスクを手動でトリガーすることもできます。 

1. 管理者として PowerShell プロンプトを開き、次のコマンドを実行します。

   Start-ScheduledTask -TaskName "\Microsoft\Windows\PI\Secure-Boot-Update"

2. コマンドを実行した後、デバイスを 2 回 再起動して、信頼された署名 (DB) の更新されたデータベースでデバイスが起動していることを確認します。

3. セキュア ブート DB の更新が成功した場合の簡単なチェックとして、管理者として PowerShell プロンプトを開き、次のコマンドを実行します。 

   [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Windows UEFI CA 2023'

   

   コマンドが True を返した場合、更新は成功しました。
   
   DB 更新プログラムの適用中にエラーが発生した場合は、「KB5016061: 脆弱なブート マネージャーと取り消されたブート マネージャーの対処」の記事を参照してください。

   注: これは、1 つの CA のみをチェックし、すべての CA をチェックしているわけではありません。

4. すべての証明書が更新されていることを確認するには、「 セキュア ブート証明書の更新: IT プロフェッショナルと組織向けのガイダンス」を参照し、「イベント ログの監視」セクションのガイダンスに従ってください。 このセクションでは、 イベント ID: 1801 と イベント ID: 1808 を示します。これは、証明書が更新されたことを監査するより完全な方法です。