元の発行日: 2025 年 10 月 14 日
KB ID: 5068197
|
この記事には、次のガイダンスがあります。
注: 個人の Windows デバイスを所有している個人の場合は、Microsoft が管理する更新プログラムを使用してホーム ユーザー、企業、学校向けの Windows デバイスに関する記事にアクセスしてください。 |
|
このサポートの可用性:
|
Windows 構成システム (WinCS) を使用したセキュア ブート CLI
目標: ドメイン管理者は、Windows OS 更新プログラムでリリースされた Windows 構成システム (WinCS) を使用して、ドメインに参加している Windows クライアントとサーバー間でセキュア ブート更新プログラムを展開することもできます。 これは、コマンド ライン インターフェイス (CLI) ユーティリティで構成され、セキュア ブート構成をコンピューターに対してローカルに照会して適用します。
WinCS は、コマンド ライン ユーティリティで使用できる構成キーをオフにして、マシンのセキュア ブート構成状態を変更します。 適用されると、次にスケジュールされたセキュア ブートがキーに従ってアクションを実行します。
WinCS でサポートされているプラットフォーム
WinCS コマンド ライン ユーティリティは、2025 年 10 月Windows 11バージョン 23H2、Windows 11、バージョン 24H2、Windows 11、バージョン 25H2 でサポートされています。
注: この WinCS サポートをWindows 10プラットフォームに導入しています。 サポートが有効になり次第、この記事を更新します。
ドメイン管理者が WinCS を介してデバイスにクエリを実行して適用するセキュア ブート構成機能キーを次に示します。
|
機能名 |
WinCS キー |
説明 |
|
Feature_AllKeysAndBootMgrByWinCS |
F33E0C8E002 |
このキーを有効にすると、次の Microsoft が提供するセキュア ブートの新しい証明書をデバイスにインストールできます。
|
WinCS キー値:
-
F33E0C8E002 – セキュア ブート構成状態 = 有効
セキュア ブート構成のクエリを実行する方法
セキュア ブート構成は、次のコマンド ラインで照会できます。
WinCsFlags.exe /query -key F33E0C8E002
これにより、(クリーン コンピューター上の) 次の情報が返されます。
フラグ: F33E0C8E
現在の構成: F33E0C8E001
状態: 無効
保留中の構成: なし
保留中のアクション: なし
FwLink: https://aka.ms/getsecureboot
使用可能な構成:
F33E0C8E002
F33E0C8E001
デバイスの現在の構成が F33E0C8E001されていることに注意してください。つまり、セキュア ブート キーが 無効 状態です。
セキュア ブート構成を適用する方法
セキュア ブート証明書を有効にする特定の構成は、次の方法で構成できます。
WinCsFlags /apply –key “F33E0C8E002”
キーを正常に適用すると、次の情報が返されます。
フラグ: F33E0C8E
現在の構成: F33E0C8E002
状態: 有効
保留中の構成: なし
保留中のアクション: なし
FwLink: https://aka.ms/getsecureboot
使用可能な構成:
F33E0C8E002
F33E0C8E001
セキュア ブート構成を監査する方法
セキュア ブート構成の状態を後で確認するには、最初のクエリ コマンドを再利用します。
/query -key F33E0C8E002の WinCsFlags.exe
返される情報は、フラグの状態に応じて、次のようになります。
フラグ: F33E0C8E
現在の構成: F33E0C8E002
状態: 有効
保留中の構成: なし
保留中のアクション: なし
FwLink: https://aka.ms/getsecureboot
使用可能な構成:
F33E0C8E002
F33E0C8E001
キーの状態が [有効] になり、現在の構成がF33E0C8E002されていることに注意してください。
注: WinCS を介してセキュア ブート キーを適用しても、セキュア ブート証明書のインストール プロセスが開始されているか、完了したことを意味するものではありません。 これは、次に利用可能な機会にそのマシンでセキュア ブート サービス タスク (TPMTasks) が実行されたときに、マシンがセキュア ブート更新プログラムを続行することを示しているだけです。 TPMTasks はそのマシンで実行されると、0x5944を検出して更新を実行します。 設計上、Secure-Boot-Update スケジュールされたタスクは、このようなセキュア ブート更新フラグを処理するために 12 時間ごとに実行されます。 管理者は、タスクを手動で実行するか、必要に応じて再起動することで迅速化することもできます。
次の手順に従って、セキュア ブート サービス タスクを手動でトリガーすることもできます。
-
管理者として PowerShell プロンプトを開き、次のコマンドを実行します。
Start-ScheduledTask -TaskName "\Microsoft\Windows\PI\Secure-Boot-Update"
-
コマンドを実行した後、デバイスを 2 回 再起動して、信頼された署名 (DB) の更新されたデータベースでデバイスが起動していることを確認します。
-
セキュア ブート DB の更新が成功したことを確認するには、管理者として PowerShell プロンプトを開き、次のコマンドを実行します。
[System.Text.Encoding]::ASCII。GetString((Get-SecureBootUEFI db).bytes) -match 'Windows UEFI CA 2023'
コマンドが True を返した場合、更新は成功しました。DB 更新プログラムの適用中にエラーが発生した場合は、「KB5016061: 脆弱なブート マネージャーと取り消されたブート マネージャーの対処」の記事を参照してください。
