API-uri Windows Configuration System (WinCS) pentru bootare sigură

Secure Boot CLI using Windows Configuration System (WinCS)

Obiectiv: Administratorii de domeniu pot utiliza alternativ Sistemul de configurare Windows (WinCS) lansat cu actualizările sistemului de operare Windows pentru a implementa actualizările bootării securizate pe toți clienții și serverele Windows asociate la domeniu. Aceasta constă într-un utilitar de interfață linie de comandă (CLI) pentru a interoga și a aplica local configurații secure Boot la un computer.  

WinCS funcționează cu o cheie de configurare care poate fi utilizată cu utilitarul linie de comandă pentru a modifica starea de configurare Secure Boot de pe computer. Odată aplicată, următoarea bootare securizată programată va efectua acțiuni în funcție de cheie. 

Platforme acceptate winCS

Utilitarul winCS din linia de comandă este acceptat în Windows 11, versiunea 23H2, Windows 11, versiunea 24H2, Windows 11, versiunea 25H2. Acest utilitar este disponibil în actualizările Windows lansate la și după 28 octombrie 2025, pentru Windows 11, versiunea 24H2 și Windows 11, versiunea 23H2.

Notă: Lucrăm la aducerea acestui suport WinCS pe Windows 10 platforme. Vom actualiza acest articol imediat ce este activată asistența. 

Iată cheia caracteristicii de configurare secure boot pe care administratorii de domeniu o vor interoga și o vor aplica dispozitivelor prin WinCS. 

Valoare cheie WinCS: 

• F33E0C8E002 - Stare de configurare a bootării securizate = Activat

Cum se interoghează configurarea bootării securizate 

Configurația Secure Boot poate fi interogată cu următoarea linie de comandă:

Astfel se vor returna următoarele informații (pe o mașină curată): 

Observați că este F33E0C8E001 configurația curentă pe un dispozitiv, ceea ce înseamnă că cheia Secure Boot este în starea Dezactivat .  

Cum se aplică configurația Secure Boot  

Configurația specifică pentru activarea certificatelor Secure Boot poate fi configurată astfel: 

O aplicare reușită a cheii ar trebui să returneze următoarele informații: 

Cum să auditați configurația Secure Boot  

Pentru a determina mai târziu starea configurației Secure Boot, puteți reutiliza comanda inițială a interogării: 

Informațiile returnate vor fi similare cu următoarele, în funcție de starea semnalizării: 

Observați că starea cheii este acum Activată, iar configurația curentă este F33E0C8E002. 

De asemenea, puteți declanșa manual activitatea de service Secure Boot urmând pașii de mai jos: 

1. Deschideți o solicitare PowerShell ca administrator, apoi rulați următoarea comandă:

   Start-ScheduledTask -TaskName "\Microsoft\Windows\PI\Secure-Boot-Update"

2. Reporniți dispozitivul de două ori după rularea comenzii, pentru a confirma că dispozitivul începe cu baza de date actualizată de semnături de încredere (DB).

3. Pentru a verifica dacă actualizarea Secure Boot DB a reușit, deschideți o solicitare PowerShell ca administrator, apoi rulați următoarea comandă: 

   [System.Text.Encoding]::ASCII. GetString((Get-SecureBootUEFI db).bytes) - potrivire "Windows UEFI CA 2023"

   

   Dacă comanda returnează True, actualizarea a reușit.
   
   În cazul erorilor din timpul aplicării actualizării BAZEi de date, consultați articolul KB5016061: Abordarea managerilor de boot vulnerabili și revocați.