APIs do Sistema de Configuração do Windows (WinCS) para Inicialização Segura

CLI de Inicialização Segura usando o WinCS (Sistema de Configuração do Windows)

Meta: os administradores de domínio podem, alternativamente, usar o WinCS (Sistema de Configuração do Windows) lançado com atualizações do sistema operacional Windows para implantar as atualizações de Inicialização Segura entre clientes e servidores windows ingressados no domínio. Ele consiste em um utilitário de CLI (interface de linha de comando) para consultar e aplicar configurações de Inicialização Segura localmente a um computador.  

O WinCS funciona com uma chave de configuração que pode ser usada com o utilitário de linha de comando para modificar o estado de configuração de Inicialização Segura no computador. Depois de aplicada, a próxima Inicialização Segura agendada executará ações de acordo com a chave. 

Plataformas com suporte do WinCS

O utilitário de linha de comando WinCS tem suporte em Windows 10, versão 21H2, Windows 10, versão 22H2, Windows Server 2022, Windows 11, versão 23H2, Windows 11, versão 24H2, Windows 11, versão 25H2.

Esse utilitário está disponível nas atualizações do Windows lançadas em e após 28 de outubro de 2025, para Windows 11, versão 24H2 e Windows 11, versão 23H2.

Esse utilitário também está disponível nas atualizações do Windows lançadas em e após 11 de novembro de 2025, para Windows 10, versão 21H2, Windows 10, versão 22H2 e Windows Server 2022.

Observação: estamos trabalhando para trazer esse suporte do WinCS para plataformas Windows 10. Atualizaremos este artigo assim que o suporte estiver habilitado. 

Aqui está a chave de recurso de configuração de Inicialização Segura que os administradores de domínio consultarão e aplicarão aos dispositivos por meio do WinCS. 

Valor da chave WinCS: 

• F33E0C8E002 – Estado de configuração de Inicialização Segura = Habilitado

Como consultar a configuração de Inicialização Segura 

A configuração de Inicialização Segura pode ser consultada com a seguinte linha de comando:

Isso retornará as seguintes informações (em um computador limpo): 

Observe que a configuração atual em um dispositivo está F33E0C8E001, o que significa que a chave Inicialização Segura está no estado desabilitado .  

Como aplicar a configuração de Inicialização Segura  

A configuração específica para habilitar certificados de Inicialização Segura pode ser configurada da seguinte forma: 

Um aplicativo bem-sucedido da chave deve retornar as seguintes informações: 

Como auditar a configuração de Inicialização Segura  

Para determinar o estado da configuração de Inicialização Segura posteriormente, você pode reutilizar o comando de consulta inicial:

As informações retornadas serão semelhantes às seguintes, dependendo do estado do sinalizador: 

Observe que o estado da chave agora está habilitado e a configuração atual está F33E0C8E002. 

Você também pode disparar manualmente a tarefa de manutenção da Inicialização Segura seguindo as etapas abaixo: 

1. Abra um prompt do PowerShell como administrador e execute o seguinte comando:

   Start-ScheduledTask -TaskName "\Microsoft\Windows\PI\Secure-Boot-Update"

2. Reinicie o dispositivo duas vezes depois de executar o comando para confirmar que o dispositivo está começando com o banco de dados atualizado de assinaturas confiáveis (DB).

3. Como um marcar rápido se a atualização do DB de Inicialização Segura tiver sido bem-sucedida, abra um prompt do PowerShell como administrador e execute o seguinte comando: 

   [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Windows UEFI CA 2023'

   

   Se o comando retornar True, a atualização será bem-sucedida.
   
   No caso de erros ao aplicar a atualização do DB, consulte o artigo KB5016061: Abordando gerenciadors de inicialização vulneráveis e revogados.

   Observação: Isso está verificando apenas uma AC e não todos os CAs.

4. Para verificar se todos os certificados estão atualizados, consulte Atualizações do Certificado de Inicialização Segura: Diretrizes para profissionais e organizações de TI e siga as diretrizes na seção "Monitoramento de Logs de Eventos". Esta seção lista A ID do Evento: 1801 e ID de Evento: 1808 , que é uma maneira mais completa de auditar se os certificados foram atualizados.