Windows konfigurācijas sistēmas (WinCS) API drošai palaišanai

Droša sāknēšanas CLI, izmantojot Windows konfigurācijas sistēmu (WinCS)

Mērķis. Domēnu administratori var arī izmantot Windows konfigurācijas sistēmu (WinCS ), kas izlaista ar Windows OS atjauninājumiem, lai izvietotu drošās sāknēšanas atjauninājumus domēnam savienotos Windows klientos un serveros. To veido komandrindas interfeisa (COMMAND-line interface — CLI) utilīta, kas nodrošina vaicājumus un lokālas drošās sāknēšanas konfigurācijas lietojiet datorā.  

WinCS darbojas ārpus konfigurācijas atslēgas, ko var izmantot ar komandrindas utilītu, lai modificētu drošas sāknēšanas konfigurācijas stāvokli datorā. Pēc lietošanas nākamā ieplānotā drošā sāknēšana veiks darbības atbilstoši atslēgai. 

WinCS atbalstītās platformas

WinCS komandrindas utilīta tiek atbalstīta Windows 10 versijā 21H2, Windows 10, versijā 22H2, Windows Server 2022, Windows 11, 23H2, Windows 11, 24H2, Windows 11, versijā 25H2.

Šī utilīta ir pieejama Windows atjauninājumos, kas izlaisti 2025. gada 28. oktobrī un pēc Windows 11. oktobra versija 24H2 un Windows 11, versija 23H2.

Šī utilīta ir pieejama arī Windows atjauninājumos, kas izlaisti 2025. gada 11. novembrī un Windows 10 versijā 21H2, Windows 10, 22H2 un Windows Server 2022.

Piezīme. Mēs strādājam, lai nodrošinātu šo WinCS atbalstu Windows 10 platformās. Tiklīdz atbalsts būs iespējots, mēs atjaunināsim šo rakstu. 

Šeit ir drošās sāknēšanas konfigurācijas līdzekļu atslēga, ko domēnu administratori veiks vaicājumus un lieto ierīcēs, izmantojot WinCS. 

WinCS atslēgas vērtība: 

• F33E0C8E002 — drošas sāknēšanas konfigurācijas stāvoklis = iespējots

Kā veikt vaicājumu drošās sāknēšanas konfigurāciju 

Var veikt vaicājumu par drošās sāknēšanas konfigurāciju, izmantojot šādu komandrindu:

Tādējādi tiks atgriezta šāda informācija (tīrā datorā): 

Tiek mainīta pašreizējās ierīces konfigurācija, F33E0C8E001 nozīmē, ka drošā sāknēšanas atslēga ir atspējotā stāvoklī.  

Kā lietot drošās sāknēšanas konfigurāciju  

Konkrētu konfigurāciju drošas sāknēšanas sertifikātu iespējošanai var konfigurēt šādi: 

Sekmīgai atslēgas lietojumprogrammai ir jāatgriež šāda informācija: 

Kā auditēt drošās sāknēšanas konfigurāciju  

Lai vēlāk noteiktu drošās sāknēšanas konfigurācijas stāvokli, varat atkārtoti izmantot sākotnējo vaicājuma komandu:

Atkarībā no karodziņa statusa atgrieztā informācija ir līdzīga tālāk norādītajiem nosacījumiem. 

Ievērojiet, ka atslēgas stāvoklis tagad ir iespējots, un pašreizējā konfigurācija ir F33E0C8E002. 

Varat arī manuāli aktivizēt drošās sāknēšanas apkalpošanas uzdevumu, veicot tālāk norādītās darbības. 

1. Kā administrators atveriet PowerShell uzvedni un pēc tam izpildiet šādu komandu:

   Start-ScheduledTask -TaskName "\Microsoft\Windows\PI\Secure-Boot-Update"

2. Restartējiet ierīci divas reizes pēc komandas palaišanas, lai apstiprinātu, ka ierīce tiek startēta ar atjauninātu uzticamo parakstu datu bāzi (DB).

3. Kā ātru pārbaudi, ja Secure Boot DB atjaunināšana bija sekmīga, atveriet PowerShell uzvedni kā administrators un pēc tam izpildiet šādu komandu: 

   [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Windows UEFI CA 2023'

   

   Ja komanda atgriež vērtību True, atjaunināšana bija sekmīga.
   
   Ja, lietojot DB atjauninājumu, rodas kļūdas, skatiet rakstu KB5016061: Neaizsargātu un atsauktu sāknēšanas pārvaldnieku adresēšana.

   Piezīme.: Šādi tiek pārbaudīts tikai viena CA, bet ne visas sācējas.

4. Lai pārbaudītu, vai visi sertifikāti ir atjaunināti, skatiet sadaļu Drošas sāknēšanas sertifikātu atjauninājumi: Norādījumi IT speciālistiem un organizācijām un izpildiet norādījumus sadaļā "Notikumu žurnālu pārraudzība". Šajā sadaļā ir norādīts Notikuma ID: 1801 un Notikuma ID: 1808 , kas ir pilnīgāk, lai auditētu, ka sertifikāti ir atjaunināti.