APIs do Sistema de Configuração do Windows (WinCS) para Arranque Seguro

CLI de Inicialização Segura usando o WinCS (Sistema de Configuração do Windows)

Meta: os administradores de domínio podem, alternativamente, usar o WinCS (Sistema de Configuração do Windows) lançado com atualizações do sistema operacional Windows para implantar as atualizações de Inicialização Segura entre clientes e servidores windows ingressados no domínio. Ele consiste em um utilitário de CLI (interface de linha de comando) para consultar e aplicar configurações de Inicialização Segura localmente a um computador.  

O WinCS funciona com uma chave de configuração que pode ser usada com o utilitário de linha de comando para modificar o estado de configuração de Inicialização Segura no computador. Depois de aplicada, a próxima Inicialização Segura agendada executará ações de acordo com a chave. 

Primeiro marcar se os certificados de Inicialização Segura forem atualizados em sua plataforma 

Você pode marcar o status de Inicialização Segura usando o comando powershell:

(Get-ItemProperty 'HKLM:\SYSTEM\CurrentControlSet\Control\SecureBoot\Servicing' -Name 'UEFICA2023Status'). UEFICA2023Status

Se o Status mostrar "Atualizado", você não precisará executar o WinCS e pode ignorar as etapas abaixo.

Se os Certificados não forem atualizados para versões de 2023, as etapas adicionais abaixo serão aplicadas.

Plataformas com suporte do WinCS

O utilitário de linha de comando WinCS tem suporte em Windows 10, versão 21H2, Windows 10, versão 22H2, Windows 10 1607, Windows Server 2022, Windows Server 2019, Windows Server 2016, Windows 11, versão 23H2, Windows 11, versão 24H2, Windows 11, versão 25H2.

Esse utilitário está disponível nas atualizações do Windows lançadas em e após 28 de outubro de 2025, para Windows 11, versão 24H2 e Windows 11, versão 23H2.

Esse utilitário também está disponível nas atualizações do Windows lançadas em e após 11 de novembro de 2025, para Windows 10, versão 21H2, Windows 10, versão 22H2 e Windows Server 2022.

Para Windows Server 2019, esse utilitário é enviado nas atualizações do Windows lançadas em e após 13 de janeiro de 2026. 

E para Windows Server 2016, Windows 10 1607, esse utilitário é enviado nas atualizações do Windows lançadas em e após 10 de fevereiro de 2026.

Observação: estamos trabalhando para trazer esse suporte do WinCS para plataformas Windows 10. Atualizaremos este artigo assim que o suporte estiver habilitado. 

Aqui está a chave de recurso de configuração de Inicialização Segura que os administradores de domínio consultarão e aplicarão aos dispositivos por meio do WinCS. 

Valor da chave WinCS: 

• F33E0C8E002 – Estado de configuração de Inicialização Segura = Habilitado

Como consultar a configuração de Inicialização Segura 

A configuração de Inicialização Segura pode ser consultada abrindo um prompt de comando como administrador e executando este comando:

Isso retornará as seguintes informações (em um computador limpo): 

Observe que a configuração atual em um dispositivo está F33E0C8E001, o que significa que a chave Inicialização Segura está no estado desabilitado .  

Como aplicar a configuração de Inicialização Segura  

A configuração de Inicialização Segura pode ser aplicada abrindo um prompt de comando como administrador e executando este comando:

Um aplicativo bem-sucedido da chave deve retornar as seguintes informações: 

Como auditar a configuração de Inicialização Segura  

Para determinar o estado da configuração de Inicialização Segura posteriormente, você pode executar novamente o comando de consulta inicial abrindo um prompt de comando como administrador:

As informações retornadas serão semelhantes às seguintes, dependendo do estado do sinalizador: 

Observe que o estado da chave agora está habilitado e a configuração atual está F33E0C8E002. 

Também pode acionar manualmente a tarefa de manutenção de Arranque Seguro ao seguir os passos abaixo: 

1. Abra uma linha de comandos do PowerShell como administrador e, em seguida, execute o seguinte comando:

   Start-ScheduledTask -TaskName "\Microsoft\Windows\PI\Secure-Boot-Update"

2. Reinicie o dispositivo duas vezes depois de executar o comando para confirmar que o dispositivo está a começar com a base de dados atualizada de assinaturas fidedignas (BD).

3. Como uma marcar rápida se a atualização da BD de Arranque Seguro tiver sido bem-sucedida, abra uma linha de comandos do PowerShell como administrador e, em seguida, execute o seguinte comando: 

   [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Windows UEFI CA 2023'

   

   Se o comando devolver Verdadeiro, a atualização foi efetuada com êxito.
   
   Em caso de erros ao aplicar a atualização da BD, veja o artigo KB5016061: Abordar Gestores de Arranque vulneráveis e revogados.

   Observação: Isto está a verificar apenas uma AC e nem todas as ACs.

4. Para verificar se todos os certificados estão atualizados, veja Atualizações do Certificado de Arranque Seguro: Orientações para profissionais de TI e organizações e siga as orientações na secção "Monitorizar Registos de Eventos". Esta secção lista O ID do Evento: 1801 e ID do Evento: 1808 , que é uma forma mais completa de auditar se os certificados foram atualizados.