Rozhrania API systému Windows Configuration System (WinCS) na bezpečné spustenie

Secure Boot CLI pomocou systému Windows Configuration System (WinCS)

Cieľ: Správcovia domén môžu alternatívne použiť windowsový konfiguračný systém (WinCS) vydaný s aktualizáciami operačného systému Windows na nasadenie aktualizácií zabezpečeného spustenia v rámci klientov a serverov Windowsu pripojených k doméne. Pozostáva z pomôcky rozhrania príkazového riadka (CLI) na dotazovanie a lokálne použitie konfigurácií zabezpečeného spustenia v počítači.  

WinCS vypne konfiguračný kľúč, ktorý možno použiť s pomôckou príkazového riadka na úpravu stavu konfigurácie zabezpečeného spustenia v počítači. Po použití bude ďalšie naplánované bezpečné spustenie vykonávať akcie podľa kľúča. 

Podporované platformy WinCS

Pomôcka príkazového riadka WinCS je podporovaná vo verzii Windows 10, verzia 21H2, Windows 10, verzia 22H2, Windows Server 2022, Windows 11, verzia 23H2, Windows 11, verzia 24H2, Windows 11, verzia 25H2.

Tento nástroj je k dispozícii v aktualizáciách Windowsu vydaných 28. októbra 2025 a po tomto dátume pre Windows 11 verzie 24H2 a Windows 11 verzie 23H2.

Tento nástroj je k dispozícii aj v aktualizáciách Windowsu vydaných 11. novembra 2025 a po ich vydaní pre Windows 10, verziu 21H2, Windows 10, verziu 22H2 a Windows Server 2022.

Poznámka: Pracujeme na tom, aby sa táto podpora wincs pre Windows 10 platformy. Tento článok aktualizujeme hneď po povolení podpory. 

Tu je kľúč funkcie konfigurácie zabezpečeného spustenia, ktorý budú správcovia domény dotazovať a vzťahovať sa na zariadenia prostredníctvom WinCS. 

Hodnota kľúča WinCS: 

• F33E0C8E002 – stav konfigurácie zabezpečeného spustenia = Povolené

Ako dotazovať konfiguráciu zabezpečeného spustenia 

Konfiguráciu zabezpečeného spustenia je možné dotazovať pomocou nasledujúceho príkazového riadka:

Vrátia sa nasledujúce informácie (v čistom zariadení): 

Všimnite si, že aktuálna konfigurácia v zariadení je F33E0C8E001, čo znamená, že kľúč zabezpečeného spustenia je v stave Vypnuté.  

Použitie konfigurácie zabezpečeného spustenia  

Konkrétnu konfiguráciu na povolenie certifikátov zabezpečeného spustenia je možné nakonfigurovať nasledujúcim spôsobom: 

Úspešné použitie kľúča by malo vrátiť nasledujúce informácie: 

Ako auditovať konfiguráciu zabezpečeného spustenia  

Ak chcete neskôr zistiť stav konfigurácie zabezpečeného spustenia, môžete znova použiť počiatočný príkaz dotazu:

Vrátené informácie budú podobné nasledujúcim informáciám v závislosti od stavu príznaku: 

Všimnite si, že stav kľúča je teraz povolený a aktuálna konfigurácia je F33E0C8E002. 

Úlohu údržby zabezpečeného spustenia môžete spustiť aj manuálne pomocou nasledujúcich krokov: 

1. Otvorte výzvu prostredia PowerShell ako správca a potom spustite nasledujúci príkaz:

   Start-ScheduledTask -TaskName "\Microsoft\Windows\PI\Secure-Boot-Update"

2. Reštartujte zariadenie dvakrát po spustení príkazu a potvrďte, že zariadenie začína s aktualizovanou databázou dôveryhodných podpisov (DB).

3. Ak chcete rýchlo skontrolovať, či bola aktualizácia databázy zabezpečeného spustenia úspešná, otvorte výzvu prostredia PowerShell ako správca a potom spustite nasledujúci príkaz: 

   [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Windows UEFI CA 2023'

   

   Ak príkaz vráti hodnotu True, aktualizácia bola úspešná.
   
   V prípade chýb pri použití aktualizácie databázy si pozrite článok KB5016061: Riešenie zraniteľných a zrušených správcov spustenia.

   Poznámka: Kontroluje sa iba jedna certifikačná autorita a nie všetky certifikačné autority.

4. Ak chcete overiť aktualizáciu všetkých certifikátov, pozrite si aktualizácie certifikátov zabezpečeného spustenia: Pokyny pre IT profesionálov a organizácie a postupujte podľa pokynov v časti Monitorovanie denníkov udalostí. V tejto časti sa nachádza identifikácia udalosti: 1801 a identifikácia udalosti: 1808 , čo predstavuje úplnejší spôsob kontroly aktualizácie certifikátov.