Windows Configuration System (WinCS)-API-er for sikker oppstart

Secure Boot CLI ved hjelp av Windows Configuration System (WinCS)

Mål: Domeneadministratorer kan alternativt bruke Windows Configuration System (WinCS) utgitt med Windows OS-oppdateringer for å distribuere oppdateringene for sikker oppstart på tvers av domenetilknyttede Windows-klienter og -servere. Den består av et kommandolinjegrensesnitt (CLI)-verktøy for å spørre og bruke konfigurasjoner for sikker oppstart lokalt på en maskin.  

WinCS fungerer av en konfigurasjonsnøkkel som kan brukes med kommandolinjeverktøyet for å endre konfigurasjonstilstanden for sikker oppstart på maskinen. Når den er brukt, utfører den neste planlagte sikre oppstarten handlinger i henhold til nøkkelen. 

WinCS-støttede plattformer

WinCS-kommandolinjeverktøyet støttes i Windows 10, versjon 21H2, Windows 10, versjon 22H2, Windows Server 2022, Windows 11, versjon 23H2, Windows 11, versjon 24H2, Windows 11, versjon 25H2.

Dette verktøyet er tilgjengelig i Windows-oppdateringene som ble utgitt 28. oktober 2025, for Windows 11, versjon 24H2 og Windows 11, versjon 23H2.

Dette verktøyet er også tilgjengelig i Windows-oppdateringene som ble utgitt 11. november 2025, for Windows 10, versjon 21H2, Windows 10, versjon 22H2 og Windows Server 2022.

Obs! Vi jobber med å bringe denne WinCS-støtten til Windows 10 plattformer. Vi oppdaterer denne artikkelen så snart støtten er aktivert. 

Her er funksjonsnøkkelen for konfigurasjon av sikker oppstart som domeneadministratorer vil spørre og bruke på enheter via WinCS. 

WinCS-nøkkelverdi: 

• F33E0C8E002 – konfigurasjonstilstand for sikker oppstart = aktivert

Slik spør du konfigurasjon for sikker oppstart 

Konfigurasjon av sikker oppstart kan spørres med følgende kommandolinje:

Dette vil returnere følgende informasjon (på en ren maskin): 

Legg merke til at den gjeldende konfigurasjonen på en enhet er F33E0C8E001, noe som betyr at nøkkelen for sikker oppstart er i deaktivert tilstand.  

Slik bruker du konfigurasjon for sikker oppstart  

Den spesifikke konfigurasjonen for å aktivere sertifikater for sikker oppstart kan konfigureres på følgende måte: 

En vellykket bruk av nøkkelen skal returnere følgende informasjon: 

Slik overvåker du konfigurasjonen for sikker oppstart  

Hvis du vil fastslå tilstanden til konfigurasjonen for sikker oppstart senere, kan du bruke den opprinnelige spørringskommandoen på nytt:

Informasjonen som returneres, ligner på følgende, avhengig av tilstanden til flagget: 

Legg merke til at nøkkeltilstanden nå er aktivert, og at gjeldende konfigurasjon er F33E0C8E002. 

Du kan også manuelt utløse vedlikeholdsoppgaven for sikker oppstart ved å følge disse trinnene: 

1. Åpne en PowerShell-ledetekst som administrator, og kjør deretter følgende kommando:

   Start-ScheduledTask -TaskName "\Microsoft\Windows\PI\Secure-Boot-Update"

2. Start enheten på nytt to ganger etter at du har kjørt kommandoen for å bekrefte at enheten starter med den oppdaterte databasen med klarerte signaturer (DB).

3. Som en rask kontroll av om DB-oppdateringen for sikker oppstart var vellykket, åpner du en PowerShell-melding som administrator og kjører deretter følgende kommando: 

   [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Windows UEFI CA 2023'

   

   Hvis kommandoen returnerer Sann, var oppdateringen vellykket.
   
   Hvis det oppstår feil under bruk av DB-oppdateringen, kan du se artikkelen KB5016061: Adressering av sårbare og tilbakekalte oppstartsbehandlere.

   Obs!: Dette kontrollerer bare én sertifiseringsinstans og ikke alle sertifiseringsinstanser.

4. Hvis du vil kontrollere at alle sertifikatene er oppdatert, kan du se oppdateringer for sertifikater for sikker oppstart: Veiledning for IT-teknikere og organisasjoner, og følg veiledningen i delen Overvåkingshendelseslogger. Denne delen viser hendelses-ID: 1801 og hendelses-ID: 1808 , som er en mer fullstendig måte å overvåke at sertifikatene er oppdatert på.