APIs do Sistema de Configuração do Windows (WinCS) para Arranque Seguro

CLI de Arranque Seguro com o Sistema de Configuração do Windows (WinCS)

Objetivo: os administradores de domínio podem, em alternativa, utilizar o Sistema de Configuração do Windows (WinCS) lançado com atualizações do SO Windows para implementar as atualizações de Arranque Seguro em clientes e servidores Windows associados a um domínio. Consiste num utilitário de interface de linha de comandos (CLI) para consultar e aplicar configurações de Arranque Seguro localmente a um computador.  

O WinCS funciona com uma chave de configuração que pode ser utilizada com o utilitário da linha de comandos para modificar o estado de configuração de Arranque Seguro no computador. Depois de aplicado, o Próximo Arranque Seguro agendado executará ações de acordo com a chave. 

Primeiro, verifique se os certificados de Arranque Seguro estão atualizados na sua plataforma 

Pode verificar o estado do Arranque Seguro com o comando do PowerShell:

(Get-ItemProperty 'HKLM:\SYSTEM\CurrentControlSet\Control\SecureBoot\Servicing' -Name 'UEFICA2023Status'). UEFICA2023Status

Se o Estado mostrar "Atualizado", não precisa de executar o WinCS e pode ignorar os passos abaixo.

Se os Certificados não forem atualizados para versões de 2023, aplicam-se os passos adicionais abaixo.

Plataformas suportadas do WinCS

O utilitário da linha de comandos WinCS é suportado em Windows 10, versão 21H2, Windows 10, versão 22H2, Windows 10 1607, Windows Server 2022, Windows Server 2019, Windows Server 2016, Windows 11, versão 23H2, Windows 11, versão 24H2, Windows 11, versão 25H2.

Este utilitário está disponível nas atualizações do Windows lançadas em e depois de 28 de outubro de 2025, para Windows 11, versão 24H2 e Windows 11, versão 23H2.

Este utilitário também está disponível nas atualizações do Windows lançadas em e depois de 11 de novembro de 2025, para Windows 10, versão 21H2, Windows 10, versão 22H2 e Windows Server 2022.

Para Windows Server 2019, este utilitário é enviado nas atualizações do Windows lançadas em e depois de 13 de janeiro de 2026. 

E para Windows Server 2016, Windows 10 1607, este utilitário é enviado nas atualizações do Windows lançadas em e depois de 10 de fevereiro de 2026.

Nota: estamos a trabalhar para disponibilizar este suporte do WinCS para Windows 10 plataformas. Atualizaremos este artigo assim que o suporte estiver ativado. 

Eis a chave de funcionalidade de configuração de Arranque Seguro que os administradores de domínio irão consultar e aplicar aos dispositivos através do WinCS. 

Valor da chave WinCS: 

• F33E0C8E002 – Estado de configuração do Arranque Seguro = Ativado

Como consultar a configuração do Arranque Seguro 

A configuração de Arranque Seguro pode ser consultada ao abrir uma linha de comandos como administrador e ao executar este comando:

Isto irá devolver as seguintes informações (numa máquina limpa): 

Repare que a configuração atual num dispositivo é F33E0C8E001, o que significa que a chave de Arranque Seguro está no estado Desativado .  

Como aplicar a configuração de Arranque Seguro  

A configuração de Arranque Seguro pode ser aplicada ao abrir uma linha de comandos como administrador e ao executar este comando:

Uma aplicação com êxito da chave deve devolver as seguintes informações: 

Como auditar a configuração de Arranque Seguro  

Para determinar o estado da configuração de Arranque Seguro mais tarde, pode executar novamente o comando de consulta inicial ao abrir uma linha de comandos como administrador:

As informações devolvidas serão semelhantes às seguintes, consoante o estado do sinalizador: 

Repare que o estado da chave está agora Ativado e a configuração atual é F33E0C8E002. 

Também pode acionar manualmente a tarefa de manutenção de Arranque Seguro ao seguir os passos abaixo: 

1. Abra uma linha de comandos do PowerShell como administrador e, em seguida, execute o seguinte comando:

   Start-ScheduledTask -TaskName "\Microsoft\Windows\PI\Secure-Boot-Update"

2. Reinicie o dispositivo duas vezes depois de executar o comando para confirmar que o dispositivo está a começar com a base de dados atualizada de assinaturas fidedignas (BD).

3. Como uma verificação rápida se a atualização da BD de Arranque Seguro foi bem-sucedida, abra uma linha de comandos do PowerShell como administrador e, em seguida, execute o seguinte comando: 

   [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Windows UEFI CA 2023'

   

   Se o comando devolver Verdadeiro, a atualização foi efetuada com êxito.
   
   Em caso de erros ao aplicar a atualização da BD, veja o artigo KB5016061: Abordar Gestores de Arranque vulneráveis e revogados.

   Nota: Isto está a verificar apenas uma AC e nem todas as ACs.

4. Para verificar se todos os certificados estão atualizados, veja Atualizações do Certificado de Arranque Seguro: Orientações para profissionais de TI e organizações e siga as orientações na secção "Monitorizar Registos de Eventos". Esta secção lista O ID do Evento: 1801 e ID do Evento: 1808 , que é uma forma mais completa de auditar se os certificados foram atualizados.