API системы конфигурации Windows (WinCS) для безопасной загрузки

Интерфейс командной строки безопасной загрузки с помощью системы конфигурации Windows (WinCS)

Цель. Администраторы домена могут использовать систему конфигурации Windows (WinCS), выпущенную с обновлениями ОС Windows, для развертывания обновлений безопасной загрузки на клиентах и серверах Windows, присоединенных к домену. Она состоит из служебной программы интерфейса командной строки (CLI) для локального запроса и применения конфигураций безопасной загрузки к компьютеру.  

WinCS работает с ключом конфигурации, который можно использовать с программой командной строки для изменения состояния конфигурации безопасной загрузки на компьютере. После применения следующая запланированная безопасная загрузка выполнит действия в соответствии с ключом. 

Поддерживаемые платформы WinCS

Служебная программа командной строки WinCS поддерживается в Windows 11 версии 23H2, Windows 11, версии 24H2, Windows 11 версии 25H2. Эта служебная программа доступна в обновлениях Windows, выпущенных 28 октября 2025 г. и позже для Windows 11 версии 24H2 и Windows 11 версии 23H2.

Примечание. Мы работаем над переносом этой поддержки WinCS на Windows 10 платформы. Мы обновим эту статью, как только поддержка будет включена. 

Ниже приведен ключ конфигурации безопасной загрузки, который администраторы домена будут запрашивать и применять к устройствам через WinCS. 

Значение ключа WinCS: 

• F33E0C8E002 — состояние конфигурации безопасной загрузки = включено

Запрос конфигурации безопасной загрузки 

Конфигурацию безопасной загрузки можно запросить с помощью следующей командной строки:

При этом будут возвращены следующие сведения (на чистом компьютере): 

Обратите внимание, что текущая конфигурация на устройстве F33E0C8E001, что означает, что ключ безопасной загрузки находится в состоянии Отключено .  

Применение конфигурации безопасной загрузки  

Конкретную конфигурацию для включения сертификатов безопасной загрузки можно настроить следующим образом: 

При успешном применении ключа должны быть возвращены следующие сведения: 

Аудит конфигурации безопасной загрузки  

Чтобы определить состояние конфигурации безопасной загрузки позже, можно повторно использовать начальную команду запроса: 

Возвращаемые сведения будут выглядеть следующим образом в зависимости от состояния флага: 

Обратите внимание, что состояние ключа теперь включено, а текущая конфигурация F33E0C8E002. 

Вы также можете вручную запустить задачу обслуживания безопасной загрузки, выполнив следующие действия. 

1. Откройте командную строку PowerShell от имени администратора и выполните следующую команду:

   Start-ScheduledTask -TaskName "\Microsoft\Windows\PI\Secure-Boot-Update"

2. Перезапустите устройство два раза после выполнения команды, чтобы убедиться, что устройство начинается с обновленной базы данных доверенных сигнатур (БД).

3. Чтобы убедиться, что обновление базы данных безопасной загрузки прошло успешно, откройте командную строку PowerShell от имени администратора, а затем выполните следующую команду: 

   [System.Text.Encoding]::ASCII. GetString((Get-SecureBootUEFI db).bytes) -match 'Windows UEFI CA 2023'

   

   Если команда возвращает значение True, обновление прошло успешно.
   
   В случае ошибок при применении обновления базы данных см. статью KB5016061: Устранение уязвимых и отозванных диспетчеров загрузки.