Rozhrania API systému Windows Configuration System (WinCS) na bezpečné spustenie

Secure Boot CLI pomocou systému Windows Configuration System (WinCS)

Cieľ: Správcovia domén môžu alternatívne použiť windowsový konfiguračný systém (WinCS) vydaný s aktualizáciami operačného systému Windows na nasadenie aktualizácií zabezpečeného spustenia v rámci klientov a serverov Windowsu pripojených k doméne. Pozostáva z pomôcky rozhrania príkazového riadka (CLI) na dotazovanie a lokálne použitie konfigurácií zabezpečeného spustenia v počítači.  

WinCS vypne konfiguračný kľúč, ktorý možno použiť s pomôckou príkazového riadka na úpravu stavu konfigurácie zabezpečeného spustenia v počítači. Po použití bude ďalšie naplánované bezpečné spustenie vykonávať akcie podľa kľúča. 

Najskôr skontrolujte, či sa certifikáty zabezpečeného spustenia aktualizujú vo vašej platforme 

Stav zabezpečeného spustenia môžete skontrolovať pomocou príkazu prostredia Powershell:

(Get-ItemProperty 'HKLM:\SYSTEM\CurrentControlSet\Control\SecureBoot\Servicing' -name 'UEFICA2023Status'). UEFICA2023Status

Ak sa v stave zobrazuje stav Aktualizované, nie je potrebné spustiť WinCS a môžete vynechať kroky uvedené nižšie.

Ak sa certifikáty neaktualizujú na verzie 2023, použite ďalšie kroky uvedené nižšie.

Podporované platformy WinCS

Pomôcka príkazového riadka WinCS je podporovaná v Windows 10 verzii 21H2, Windows 10, verzii 22H2, Windows 10 1607, Windows Server 2022, Windows Server 2019 Windows Server 2016, Windows 11, verzia 23H2, Windows 11, verzia 24H2, Windows 11, verzia 25H2.

Tento nástroj je k dispozícii v aktualizáciách Windowsu vydaných 28. októbra 2025 a po tomto dátume pre Windows 11 verzie 24H2 a Windows 11 verzie 23H2.

Tento nástroj je k dispozícii aj v aktualizáciách Windowsu vydaných 11. novembra 2025 a po ich vydaní pre Windows 10, verziu 21H2, Windows 10, verziu 22H2 a Windows Server 2022.

Pre Windows Server 2019 sa tento nástroj dodáva v aktualizáciách Windowsu vydaných 13. januára 2026 a po tomto dátume. 

Pre Windows Server 2016, Windows 10 1607, sa tento nástroj dodáva v aktualizáciách Windowsu vydaných 14. apríla 2026 a po tomto dátume.

A pre Windows Server 2012 a Windows Server 2012 R2 (ESU) je tento nástroj dodávaný v aktualizáciách Windowsu vydaných 14. apríla 2026 a po tomto dátume.

Tu je kľúč funkcie konfigurácie zabezpečeného spustenia, ktorý budú správcovia domény dotazovať a vzťahovať sa na zariadenia prostredníctvom WinCS. 

Hodnota kľúča WinCS: 

• F33E0C8E002 – stav konfigurácie zabezpečeného spustenia = Povolené

Ako dotazovať konfiguráciu zabezpečeného spustenia 

Konfiguráciu zabezpečeného spustenia je možné dotazovať otvorením príkazového riadka ako správca a spustením tohto príkazu:

Vrátia sa nasledujúce informácie (v čistom zariadení): 

Všimnite si, že aktuálna konfigurácia v zariadení je F33E0C8E001, čo znamená, že kľúč zabezpečeného spustenia je v stave Vypnuté.  

Použitie konfigurácie zabezpečeného spustenia  

Konfiguráciu zabezpečeného spustenia možno použiť otvorením príkazového riadka ako správca a spustením tohto príkazu:

Úspešné použitie kľúča by malo vrátiť nasledujúce informácie: 

Ako auditovať konfiguráciu zabezpečeného spustenia  

Ak chcete zistiť stav konfigurácie zabezpečeného spustenia neskôr, môžete znova spustiť počiatočný príkaz dotazu otvorením príkazového riadka ako správca:

Vrátené informácie budú podobné nasledujúcim informáciám v závislosti od stavu príznaku: 

Všimnite si, že stav kľúča je teraz povolený a aktuálna konfigurácia je F33E0C8E002. 

Úlohu údržby zabezpečeného spustenia môžete spustiť aj manuálne pomocou nasledujúcich krokov: 

1. Otvorte výzvu prostredia PowerShell ako správca a potom spustite nasledujúci príkaz:

   Start-ScheduledTask -TaskName "\Microsoft\Windows\PI\Secure-Boot-Update"

2. Reštartujte zariadenie dvakrát po spustení príkazu a potvrďte, že zariadenie začína s aktualizovanou databázou dôveryhodných podpisov (DB).

3. Ak chcete rýchlo skontrolovať, či bola aktualizácia databázy zabezpečeného spustenia úspešná, otvorte výzvu prostredia PowerShell ako správca a potom spustite nasledujúci príkaz: 

   [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Windows UEFI CA 2023'

   

   Ak príkaz vráti hodnotu True, aktualizácia bola úspešná.
   
   V prípade chýb pri použití aktualizácie databázy si pozrite článok KB5016061: Riešenie zraniteľných a zrušených správcov spustenia.

   Poznámka: Kontroluje sa iba jedna certifikačná autorita a nie všetky certifikačné autority.

4. Ak chcete overiť aktualizáciu všetkých certifikátov, pozrite si aktualizácie certifikátov zabezpečeného spustenia: Pokyny pre IT profesionálov a organizácie a postupujte podľa pokynov v časti Monitorovanie denníkov udalostí. V tejto časti sa nachádza identifikácia udalosti: 1801 a identifikácia udalosti: 1808 , čo predstavuje úplnejší spôsob kontroly aktualizácie certifikátov.