Windows Configuration System (WinCS) API-ji za bezbedno pokretanje sistema

Secure Boot CLI using Windows Configuration System (WinCS)

Cilj: Administratori domena mogu alternativno da koriste Windows configuration System (WinCS) objavljen uz ispravke operativnog sistema Windows da bi primenili ispravke bezbednog pokretanja na Windows klijente i servere pridružene domenu. Sastoji se od uslužnog interfejsa komandne linije (CLI) za upit i primenjuje konfiguracije bezbednog pokretanja lokalno na računar.  

WinCS radi sa konfiguracionom ključem koji se može koristiti sa uslužnim programom komandne linije za izmenu stanja konfiguracije bezbednog pokretanja na računaru. Kada se primeni, sledeće planirano bezbedno pokretanje će izvršiti radnje u skladu sa ključem. 

Prvo proverite da li su certifikati za bezbedno pokretanje ažurirani na platformi 

Status bezbednog pokretanja možete da proverite pomoću Powershell komande:

(Get-ItemProperty "HKLM:\SYSTEM\CurrentControlSet\Control\SecureBoot\Servicing" -Name "UEFICA2023Status"). UEFICA2023Status

Ako status prikazuje "Ažurirano", onda ne morate da pokrenete WinCS i možete da preskočite dolenavedene korake.

Ako se certifikati ne ažuriraju na verzije 2023, primenjuju se dodatni koraci u nastavku.

WinCS podržane platforme

WinCS uslužni program komandne linije podržan je u verzijama Windows 10 21H2, Windows 10, verziji 22H2, Windows 10 1607, Windows Server 2022, Windows Server 2019, Windows Server 2016, Windows 11, verzija 23H2, Windows 11, verzija 24H2, Windows 11, verzija 25H2.

Ovaj uslužni program je dostupan u Windows ispravkama objavljenim 28. oktobra 2025. za Windows 11, verzija 24H2 i Windows 11, verzija 23H2.

Ovaj uslužni program je dostupan i u Windows ispravkama objavljenim 11. novembra 2025. za Windows 10, verzije 21H2, Windows 10, verzije 22H2 i Windows Server 2022.

Za Windows Server 2019, ovaj uslužni program se isporučuje u Windows ispravkama objavljenim 13. januara 2026. i posle 13. januara 2026. 

A za Windows Server 2016. Windows 10 1607, ovaj uslužni program se isporučuje u ispravkama za Windows objavljenim 10. februara 2026.

Napomena: Radimo na tome da ovu WinCS podršku prenesite Windows 10 platformama. Ažuriraćemo ovaj članak čim se omogući podrška. 

Evo funkcije konfiguracije bezbednog pokretanja koju će administratori domena izvršavati upit i primeniti na uređaje putem winCS protokola. 

Ključna vrednost za WinCS: 

• F33E0C8E002 – stanje konfiguracije bezbednog pokretanja = Omogućeno

Kako izvršiti upit za konfigurisanje bezbednog pokretanja 

Konfiguracija bezbednog pokretanja može se upitati tako što ćete otvoriti komandnu liniju kao administrator i pokrenuti ovu komandu:

Ovo će vratiti sledeće informacije (na čistom računaru): 

Obratite pažnju na to da je trenutna konfiguracija na uređaju F33E0C8E001, što znači da je ključ za bezbedno pokretanje u onemogućeno stanje .  

Kako da primenite konfiguraciju bezbednog pokretanja  

Konfiguracija bezbednog pokretanja može se primeniti tako što ćete otvoriti komandnu liniju kao administrator i pokrenuti ovu komandu:

Uspešna primena ključa trebalo bi da vrati sledeće informacije: 

Kako se nadzire konfiguracija bezbednog pokretanja  

Da biste utvrdili stanje konfiguracije bezbednog pokretanja kasnije, možete ponovo pokrenuti početnu komandu upita tako što ćete otvoriti komandnu liniju kao administrator:

Dobijene informacije biće slične sledećim, u zavisnosti od stanja zastavice: 

Obratite pažnju na to da je stanje ključa sada omogućeno i da je trenutna konfiguracija F33E0C8E002. 

Zadatak servisiranja bezbednog pokretanja možete da pokrenete i ručno tako što ćete pratiti dolenavedene korake: 

1. Otvorite PowerShell odziv kao administrator, a zatim pokrenite sledeću komandu:

   Start-ScheduledTask -TaskName "\Microsoft\Windows\PI\Secure-Boot-Update"

2. Ponovo pokrenite uređaj dva puta nakon pokretanja komande da biste potvrdili da uređaj počinje sa ažuriranom bazom podataka pouzdanih potpisa (DB).

3. Da biste brzo proverili da li je ažuriranje baze podataka za bezbedno pokretanje uspešno, otvorite PowerShell odziv kao administrator, a zatim pokrenite sledeću komandu: 

   [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Windows UEFI CA 2023'

   

   Ako komanda vraća vrednost "Tačno", ažuriranje je uspelo.
   
   U slučaju grešaka prilikom primene ispravke baze podataka, pogledajte članak KB5016061: Adresiranje ranjivih i opozvanih menadžera pokretanja.

   Napomena: Ovo proverava samo jedan CA, a ne svi CA- i.

4. Da biste potvrdili da su svi certifikati ažurirani, pogledajte članak Ispravke certifikata za bezbedno pokretanje sistema: Vodič za IT stručnjake i organizacije i pratite uputstva u odeljku "Nadgledanje evidencija događaja". Ovaj odeljak navodi ID događaja: 1801 i ID događaja : 1808 , što predstavlja kompletniji način da nadzirete da li su certifikati ažurirani.