Windows Configuration System (WinCS) API:er för säker start

Secure Boot CLI med Windows Configuration System (WinCS)

Mål: Domänadministratörer kan också använda Windows Configuration System (WinCS) som släppts med Windows OS-uppdateringar för att distribuera uppdateringar för säker start mellan domänanslutna Windows-klienter och -servrar. Den består av ett CLI-verktyg (Command Line Interface) för frågor och tillämpar konfigurationer för säker start lokalt på en dator.  

WinCS arbetar med en konfigurationsnyckel som kan användas med kommandoradsverktyget för att ändra läget för säker start på datorn. När den har tillämpats utför nästa schemalagda Säker start åtgärder enligt nyckeln. 

Kontrollera först om certifikat för säker start uppdateras på din plattform 

Du kan kontrollera statusen för Säker start med powershell-kommandot:

(Get-ItemProperty 'HKLM:\SYSTEM\CurrentControlSet\Control\SecureBoot\Servicing' -Name 'UEFICA2023Status'). UEFICA2023Status

Om statusen visar "Uppdaterad" behöver du inte köra WinCS och kan hoppa över stegen nedan.

Om certifikaten inte uppdateras till 2023-versioner gäller de ytterligare stegen nedan.

Plattformar som stöds av WinCS

Kommandoradsverktyget WinCS stöds i Windows 10 version 21H2, Windows 10 version 22H2, Windows 10 1607, Windows Server 2022, Windows Server 2019, Windows Server 2016 Windows 11 version 23H2, Windows 11 version 24H2, Windows 11 version 25H2.

Det här verktyget är tillgängligt i Windows-uppdateringarna som släpptes den 28 oktober 2025 för Windows 11 version 24H2 och Windows 11 version 23H2.

Det här verktyget är också tillgängligt i Windows-uppdateringarna som släpptes den 11 november 2025 för Windows 10 version 21H2, Windows 10 version 22H2 och Windows Server 2022.

För Windows Server 2019 levereras det här verktyget i Windows-uppdateringarna som släpptes den 13 januari 2026. 

I Windows Server 2016, Windows 10 1607, levereras det här verktyget i Windows-uppdateringarna som släpptes den 14 april 2026.

Och för Windows Server 2012 och Windows Server 2012 R2 (ESU) levereras det här verktyget i Windows-uppdateringarna som släpptes den 14 april 2026.

Här är funktionsnyckeln för säker start som domänadministratörer kommer att fråga och tillämpa på enheter via WinCS. 

WinCS-nyckelvärde: 

• F33E0C8E002 – konfigurationstillstånd för säker start = Aktiverad

Så här gör du en fråga för konfiguration av säker start 

Konfiguration av säker start kan du fråga genom att öppna en kommandotolk som administratör och köra det här kommandot:

Följande information returneras (på en ren dator): 

Observera att den aktuella konfigurationen på en enhet är F33E0C8E001, vilket innebär att nyckeln Säker start är inaktiverad .  

Så här tillämpar du säker start-konfiguration  

Säker start-konfiguration kan användas genom att öppna en kommandotolk som administratör och köra det här kommandot:

En lyckad tillämpning av nyckeln bör returnera följande information: 

Granska konfiguration för säker start  

Om du vill ta reda på statusen för konfigurationen för säker start senare kan du köra det första frågekommandot igen genom att öppna en kommandotolk som administratör:

Informationen som returneras liknar följande, beroende på flaggans status: 

Observera att nyckelns status nu är Aktiverad och att den aktuella konfigurationen är F33E0C8E002. 

Du kan också manuellt utlösa underhållsuppgiften Säker start genom att följa stegen nedan: 

1. Öppna en PowerShell-fråga som administratör och kör sedan följande kommando:

   Start-ScheduledTask -TaskName "\Microsoft\Windows\PI\Secure-Boot-Update"

2. Starta om enheten två gånger efter att kommandot har körts för att bekräfta att enheten börjar med den uppdaterade databasen med betrodda signaturer (DB).

3. Som en snabbkolla om DB-uppdateringen för säker start lyckades öppnar du en PowerShell-uppmaning som administratör och kör sedan följande kommando: 

   [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Windows UEFI CA 2023'

   

   Om kommandot returnerar True lyckades uppdateringen.
   
   Om det uppstår fel när du installerar DB-uppdateringen kan du läsa artikeln KB5016061: Hantera sårbara och återkallade starthanterare.

   Obs!: Detta kontrollerar bara en certifikatorm och inte alla certifikator.

4. Information om hur du verifierar att alla certifikat uppdateras finns i Uppdateringar av certifikat för säker start: Vägledning för IT-personal och organisationer och följ anvisningarna i avsnittet Övervaka händelseloggar. I det här avsnittet visas händelse-ID: 1801 och händelse-ID: 1808 , vilket är ett mer komplett sätt att granska att certifikaten har uppdaterats.