Windows Configuration System (WinCS) API's voor Beveiligd opstarten

Cli voor beveiligd opstarten met Windows Configuration System (WinCS)

Doel: Domeinbeheerders kunnen ook het Windows Configuration System (WinCS) gebruiken dat is uitgebracht met Windows-besturingssysteemupdates om de updates voor beveiligd opstarten te implementeren op Windows-clients en -servers die lid zijn van een domein. Het bestaat uit een cli-hulpprogramma (opdrachtregelinterface) om query's uit te voeren en configuraties voor beveiligd opstarten lokaal toe te passen op een computer.  

WinCS werkt met een configuratiesleutel die kan worden gebruikt met het opdrachtregelprogramma om de configuratiestatus beveiligd opstarten op de computer te wijzigen. Nadat de volgende geplande beveiligd opstarten is toegepast, worden acties uitgevoerd op basis van de sleutel. 

Controleer eerst of Secure Boot-certificaten zijn bijgewerkt in uw platform 

U kunt de status van Beveiligd opstarten controleren met behulp van de Powershell-opdracht:

(Get-ItemProperty 'HKLM:\SYSTEM\CurrentControlSet\Control\SecureBoot\Servicing' -Naam 'UEFICA2023Status'). UEFICA2023Status

Als in de Status 'Bijgewerkt' wordt weergegeven, hoeft u WinCS niet uit te voeren en kunt u de onderstaande stappen overslaan.

Als de certificaten niet zijn bijgewerkt naar 2023-versies, zijn de volgende aanvullende stappen van toepassing.

Door WinCS ondersteunde platforms

Het opdrachtregelprogramma WinCS wordt ondersteund in Windows 10 versie 21H2, Windows 10, versie 22H2, Windows 10 1607, Windows Server 2022, Windows Server 2019, Windows Server 2016, Windows 11, versie 23H2, Windows 11, versie 24H2, Windows 11, versie 25H2.

Dit hulpprogramma is beschikbaar in de Windows-updates die zijn uitgebracht op en na 28 oktober 2025 voor Windows 11, versie 24H2 en Windows 11 versie 23H2.

Dit hulpprogramma is ook beschikbaar in de Windows-updates die zijn uitgebracht op en na 11 november 2025 voor Windows 10, versie 21H2, Windows 10, versie 22H2 en Windows Server 2022.

Voor Windows Server 2019 wordt dit hulpprogramma geleverd in de Windows-updates die zijn uitgebracht op en na 13 januari 2026. 

Voor Windows Server 2016, Windows 10 1607, wordt dit hulpprogramma geleverd in de Windows-updates die zijn uitgebracht op en na 14 april 2026.

En voor Windows Server 2012 en Windows Server 2012 R2 (ESU) wordt dit hulpprogramma geleverd in de Windows-updates die zijn uitgebracht op en na 14 april 2026.

Dit is de configuratiesleutel voor beveiligd opstarten die domeinbeheerders via WinCS opvragen en toepassen op apparaten. 

WinCS-sleutelwaarde: 

• F33E0C8E002 : configuratiestatus beveiligd opstarten = ingeschakeld

Configuratie van beveiligd opstarten opvragen 

Configuratie van beveiligd opstarten kan worden opgevraagd door als beheerder een opdrachtprompt te openen en deze opdracht uit te voeren:

Hiermee retourneert u de volgende informatie (op een schone computer): 

U ziet dat de huidige configuratie op een apparaat is F33E0C8E001, wat betekent dat de sleutel beveiligd opstarten de status Uitgeschakeld heeft.  

Configuratie voor beveiligd opstarten toepassen  

Configuratie van beveiligd opstarten kan worden toegepast door als beheerder een opdrachtprompt te openen en deze opdracht uit te voeren:

Een geslaagde toepassing van de sleutel moet de volgende informatie retourneren: 

Configuratie van beveiligd opstarten controleren  

Als u de status van de configuratie beveiligd opstarten later wilt bepalen, kunt u de eerste queryopdracht opnieuw uitvoeren door een opdrachtprompt te openen als beheerder:

De geretourneerde informatie is vergelijkbaar met de volgende, afhankelijk van de status van de vlag: 

U ziet dat de status van de sleutel nu is ingeschakeld en dat de huidige configuratie is F33E0C8E002. 

U kunt de onderhoudstaak Beveiligd opstarten ook handmatig activeren door de onderstaande stappen te volgen: 

1. Open een PowerShell-prompt als beheerder en voer vervolgens de volgende opdracht uit:

   Start-ScheduledTask -TaskName "\Microsoft\Windows\PI\Secure-Boot-Update"

2. Start het apparaat twee keer opnieuw op nadat u de opdracht hebt uitgevoerd om te bevestigen dat het apparaat wordt gestart met de bijgewerkte database met vertrouwde handtekeningen (DB).

3. Als een snelle controle of de secure boot DB-update is geslaagd, opent u een PowerShell-prompt als beheerder en voert u vervolgens de volgende opdracht uit: 

   [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Windows UEFI CA 2023'

   

   Als de opdracht Waar retourneert, is de update geslaagd.
   
   In het geval van fouten tijdens het toepassen van de DB-update raadpleegt u het artikel KB5016061: Kwetsbare en ingetrokken opstartmanagers aanpakken.

   Opmerking: Hiermee wordt slechts één CA gecontroleerd en niet alle CA's.

4. Als u wilt controleren of alle certificaten zijn bijgewerkt, raadpleegt u Certificaatupdates voor beveiligd opstarten: richtlijnen voor IT-professionals en organisaties en volgt u de richtlijnen in de sectie Gebeurtenislogboeken bewaken. In deze sectie vindt u gebeurtenis-id: 1801 en gebeurtenis-id: 1808 . Dit is een volledigere manier om te controleren of de certificaten zijn bijgewerkt.