APIs do Sistema de Configuração do Windows (WinCS) para Inicialização Segura

CLI de Arranque Seguro com o Sistema de Configuração do Windows (WinCS)

Objetivo: os administradores de domínio podem, em alternativa, utilizar o Sistema de Configuração do Windows (WinCS) lançado com atualizações do SO Windows para implementar as atualizações de Arranque Seguro em clientes e servidores Windows associados a um domínio. Consiste num utilitário de interface de linha de comandos (CLI) para consultar e aplicar configurações de Arranque Seguro localmente a um computador.  

O WinCS funciona com uma chave de configuração que pode ser utilizada com o utilitário da linha de comandos para modificar o estado de configuração de Arranque Seguro no computador. Depois de aplicado, o Próximo Arranque Seguro agendado executará ações de acordo com a chave. 

Primeiro marcar se os certificados de Arranque Seguro forem atualizados na sua plataforma 

Pode marcar o status de Arranque Seguro com o comando do PowerShell:

(Get-ItemProperty 'HKLM:\SYSTEM\CurrentControlSet\Control\SecureBoot\Servicing' -Name 'UEFICA2023Status'). UEFICA2023Status

Se o Estado mostrar "Atualizado", não precisa de executar o WinCS e pode ignorar os passos abaixo.

Se os Certificados não forem atualizados para versões de 2023, aplicam-se os passos adicionais abaixo.

Plataformas suportadas do WinCS

O utilitário da linha de comandos WinCS é suportado em Windows 10, versão 21H2, Windows 10, versão 22H2, Windows 10 1607, Windows Server 2022, Windows Server 2019, Windows Server 2016, Windows 11, versão 23H2, Windows 11, versão 24H2, Windows 11, versão 25H2.

Este utilitário está disponível nas atualizações do Windows lançadas em e depois de 28 de outubro de 2025, para Windows 11, versão 24H2 e Windows 11, versão 23H2.

Este utilitário também está disponível nas atualizações do Windows lançadas em e depois de 11 de novembro de 2025, para Windows 10, versão 21H2, Windows 10, versão 22H2 e Windows Server 2022.

Para Windows Server 2019, este utilitário é enviado nas atualizações do Windows lançadas em e depois de 13 de janeiro de 2026. 

Por Windows Server 2016, Windows 10 1607, este utilitário é enviado nas atualizações do Windows lançadas a 14 de abril de 2026.

E para Windows Server 2012 e Windows Server 2012 R2 (ESU), este utilitário é enviado nas atualizações do Windows lançadas em e depois de 14 de abril de 2026.

Eis a chave de funcionalidade de configuração de Arranque Seguro que os administradores de domínio irão consultar e aplicar aos dispositivos através do WinCS. 

Valor da chave WinCS: 

• F33E0C8E002 – Estado de configuração do Arranque Seguro = Ativado

Como consultar a configuração do Arranque Seguro 

A configuração de Arranque Seguro pode ser consultada ao abrir uma linha de comandos como administrador e ao executar este comando:

Isto irá devolver as seguintes informações (num computador limpo): 

Repare que a configuração atual num dispositivo é F33E0C8E001, o que significa que a chave de Arranque Seguro está no estado Desativado .  

Como aplicar a configuração de Arranque Seguro  

A configuração de Arranque Seguro pode ser aplicada ao abrir uma linha de comandos como administrador e ao executar este comando:

Uma aplicação com êxito da chave deve devolver as seguintes informações: 

Como auditar a configuração de Arranque Seguro  

Para determinar o estado da configuração de Arranque Seguro mais tarde, pode executar novamente o comando de consulta inicial ao abrir uma linha de comandos como administrador:

As informações devolvidas serão semelhantes às seguintes, consoante o estado do sinalizador: 

Repare que o estado da chave está agora Ativado e a configuração atual é F33E0C8E002. 

Também pode acionar manualmente a tarefa de manutenção de Arranque Seguro ao seguir os passos abaixo: 

1. Abra um prompt do PowerShell como administrador e execute o seguinte comando:

   Start-ScheduledTask -TaskName "\Microsoft\Windows\PI\Secure-Boot-Update"

2. Reinicie o dispositivo duas vezes depois de executar o comando para confirmar que o dispositivo está começando com o banco de dados atualizado de assinaturas confiáveis (DB).

3. Como um marcar rápido se a atualização do DB de Inicialização Segura tiver sido bem-sucedida, abra um prompt do PowerShell como administrador e execute o seguinte comando: 

   [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Windows UEFI CA 2023'

   

   Se o comando retornar True, a atualização será bem-sucedida.
   
   No caso de erros ao aplicar a atualização do DB, consulte o artigo KB5016061: Abordando gerenciadors de inicialização vulneráveis e revogados.

   Observação: Isso está verificando apenas uma AC e não todos os CAs.

4. Para verificar se todos os certificados estão atualizados, consulte Atualizações do Certificado de Inicialização Segura: Diretrizes para profissionais e organizações de TI e siga as diretrizes na seção "Monitoramento de Logs de Eventos". Esta seção lista A ID do Evento: 1801 e ID de Evento: 1808 , que é uma maneira mais completa de auditar se os certificados foram atualizados.