API системи конфігурації Windows (WinCS) для безпечного завантаження

Застосовується до
Windows 10 Windows 10, version 1607, all editions Win 10 Ent LTSC 2019 Win 10 IoT Ent LTSC 2019 Windows 10 IoT Core LTSC Windows 10 Enterprise LTSC 2021 Windows 10 IoT Enterprise LTSC 2021 Windows 10, version 22H2, all editions Windows 11 Home and Pro, version 21H2 Windows 11 Enterprise Multi-Session, version 21H2 Windows 11 Enterprise and Education, version 21H2 Windows 11 IoT Enterprise, version 21H2 Windows 11 Home and Pro, version 22H2 Windows 11 Enterprise Multi-Session, version 22H2 Windows 11 Enterprise and Education, version 22H2 Windows 11 IoT Enterprise, version 22H2 Windows 11 SE, version 23H2 Windows 11 Home and Pro, version 23H2 Windows 11 Enterprise and Education, version 23H2 Windows 11 Enterprise Multi-Session, version 23H2 Windows 11 SE, version 24H2 Windows 11 Enterprise and Education, version 24H2 Windows 11 Enterprise Multi-Session, version 24H2 Windows 11 Home and Pro, version 24H2 Windows 11 IoT Enterprise, version 24H2 Windows Server 2012 ESU Windows Server 2012 R2 ESU Windows Server 2016 Windows Server 2019 Windows Server 2022 Windows Server 2025

Примітка.

  • Дата початкової публікації: 14 жовтня 2025 р.
  • Ідентифікатор бази знань: 5068197
Журнал змін
Змінення дати Змінити опис
16 квітня. 2026
  • Видалено розділ "Доступність цієї підтримки", оскільки інформація міститься в розділі "Платформи з підтримкою WinCS".
10 квітня 2026 р.
  • Оновлено дату для Windows 10Windows 10 1607Windows / ServerWindows Server 2016 у розділі " Підтримувані платформи WinCS".
  • Додано підтримку нової платформи для Windows ServerWindows Server 2012 і Windows ServerWindows Server 2012 R2 (ESU) в розділі " Платформи підтримки WinCS".
20 лютого 2026 р.
  • Додано новий розділ "Спочатку перевірте, чи оновлюються сертифікати безпечного завантаження на вашій платформі"
16 грудня 2025 р.
  • Виправлено командний рядок у розділі "Як застосовувати конфігурацію безпечного завантаження", оскільки він містив неправильні символи.

    To: WinCsFlags.exe /apply –-key "F33E0C8E002"
  • Виправлено командний рядок у розділі "Аудит конфігурації безпечного завантаження", оскільки він містив пробіл у кінці рядка.

    To: Start-ScheduledTask -TaskName "\Microsoft\Windows\PI\Secure-Boot-Update"
  • У розділі "Доступність цієї підтримки" додано, що у випусках від 11 листопада 2025 року та після цієї версії додано Windows 10Windows 10, версій 21H2 та 22H2, а також Windows ServerWindows Server 2022. Крім того, підтримку інших версій Windows буде включено в оновлення, випущені в першому кварталі 2026 року.
11 грудня 2025 р.
  • Змінено крок 3 розділу "Аудит конфігурації безпечного завантаження":

    Від: Щоб переконатися в успішності оновлення бази даних безпечного завантаження, відкрийте командний рядок PowerShell від імені адміністратора, а потім виконайте таку команду:

    Кому: Щоб швидко перевірити, чи успішно оновлено базу даних безпечного завантаження, відкрийте командний рядок PowerShell від імені адміністратора, а потім виконайте таку команду:
  • Додано крок 4 до розділу "Аудит конфігурації безпечного завантаження":

    Щоб перевірити, чи всі сертифікати оновлено, див. розділ "Оновлення сертифікатів безпечного завантаження: Рекомендації для ІТ-фахівців і організацій " і виконайте вказівки з розділу "Моніторинг журналів подій". У цьому розділі наведено ідентифікатори подій: 1801 та 1808 , що дає змогу повністю перевірити наявність оновлених сертифікатів.

Secure Boot CLI using Windows Configuration System (WinCS)

Ціль: адміністратори домену можуть також використовувати систему конфігурації Windows (WinCS), випущену з оновленнями ОС Windows, щоб розгортати оновлення безпечного завантаження на всіх клієнтах і серверах Windows, приєднаних до домену. Він складається з утиліти інтерфейсу командного рядка (CLI), яка запитує та застосовує конфігурації безпечного завантаження локально до комп'ютера.

WinCS використовує ключ конфігурації, який можна використовувати з утилітою командного рядка, щоб змінити стан конфігурації безпечного завантаження на комп'ютері. Після застосування наступне заплановане безпечне завантаження виконуватиме дії відповідно до ключа.

Спочатку перевірте, чи оновлюються сертифікати безпечного завантаження на вашій платформі

Перевірити стан безпечного завантаження можна за допомогою команди Powershell:

(Get-ItemProperty 'HKLM:\SYSTEM\CurrentControlSet\Control\SecureBoot\Servicing' -Name 'UEFICA2023Status'). UEFICA2023Статус

Якщо відображається стан "Оновлено", Windows можна не запускати, а наведені нижче кроки можна пропустити.

Якщо сертифікати не оновлено до версій 2023 року, застосовуються описані нижче додаткові дії.

Платформи з підтримкою WinCS

Утиліта командного рядка WinCS підтримується в Windows 10Windows 10, version 21H2, Windows 10Windows 10, version 22H2, Windows 10Windows 10 1607, Windows ServerWindows Server 2022, Windows ServerWindows Server 2019, Windows ServerWindows Server 2016, Windows 11Windows 11, version 23H2, Windows 11Windows 11, version 24H2, Windows 11Windows 11, version 25H2.

Ця утиліта доступна в оновленнях Windows, випущених 28 жовтня 2025 р. і пізніше, для Windows 11Windows 11, версії 24H2 та Windows 11Windows 11, версії 23H2.

Ця утиліта також доступна в оновленнях Windows від 11 листопада 2025 р. для Windows 10Windows 10, версії 21H2, Windows 10Windows 10, версії 22H2 та Windows ServerWindows Server 2022.

Для Windows ServerWindows Server 2019 ця утиліта входить до оновлень Windows, випущених 13 січня 2026 р. і пізніше.

Для Windows ServerWindows Server 2016, Windows 10Windows 10 1607 ця утиліта входить до оновлень Windows, випущених 14 квітня 2026 р. і пізніше.

А для Windows ServerWindows Server 2012 і Windows ServerWindows Server 2012 R2 (ESU) ця утиліта входить до оновлень Windows, випущених 14 квітня 2026 р. і пізніше.

Нижче наведено ключ функції конфігурації безпечного завантаження, який адміністратори доменів надсилатимуть на запити й застосовуватимуть до пристроїв через WinCS.

Назва функції Ключ WinCS Опис
Feature_AllKeysAndBootMgrByWinCS F33E0C8E002 Увімкнувши цей ключ, ви зможете інсталювати на пристрої такі нові сертифікати безпечного завантаження, як надані корпорацією Майкрософт.
  • Microsoft Corporation KEK 2K CA 2023
  • Windows UEFI CA 2023
  • Microsoft UEFI CA 2023
  • Microsoft Option UEFI ROM CA 2023

Значення ключа WinCS:

  • F33E0C8E002 – стан конфігурації безпечного завантаження = увімкнуто

Створення запиту на конфігурацію безпечного завантаження

Запит конфігурації безпечного завантаження можна отримати, відкривши командний рядок від імені адміністратора та виконавши таку команду:

Примітка.

WinCsFlags.exe /query --key F33E0C8E002

Ця дія поверне такі відомості (на чистому комп'ютері):

Примітка.

  • Позначка: F33E0C8E
  • Поточна конфігурація: F33E0C8E001
  • Стан: вимкнуто
  • Конфігурація в стані очікування: немає
  • Дія в очікуванні: немає
  • FwLink: https://aka.ms/getsecureboot
  • Доступні конфігурації:
  • F33E0C8E002
  • F33E0C8E001

Зверніть увагу, що поточна конфігурація на пристрої має значення F33E0C8E001, що означає, що ключ безпечного завантаження перебуває у стані "Вимкнуто ".

Застосування конфігурації безпечного завантаження

Конфігурацію безпечного завантаження можна застосувати, відкривши командний рядок від імені адміністратора та виконавши таку команду:

Примітка.

WinCsFlags.exe /apply --key "F33E0C8E002"

Вдале застосування ключа повинно повернути наступну інформацію:

Примітка.

  • Позначка: F33E0C8E
  • Поточна конфігурація: F33E0C8E002
  • Стан: увімкнуто
  • Конфігурація в стані очікування: немає
  • Дія в очікуванні: немає
  • FwLink: https://aka.ms/getsecureboot
  • Доступні конфігурації:
  • F33E0C8E002
  • F33E0C8E001

Аудит конфігурації безпечного завантаження

Щоб визначити стан конфігурації безпечного завантаження пізніше, можна повторно виконати початкову команду запиту, відкривши командний рядок від імені адміністратора.

Примітка.

WinCsFlags.exe /query --key F33E0C8E002

Інформація, що повертається, буде приблизно такою, залежно від стану прапорця:

Примітка.

  • Позначка: F33E0C8E
  • Поточна конфігурація: F33E0C8E002
  • Стан: увімкнуто
  • Конфігурація в стані очікування: немає
  • Дія в очікуванні: немає
  • FwLink: https://aka.ms/getsecureboot
  • Доступні конфігурації:
  • F33E0C8E002
  • F33E0C8E001

Зверніть увагу, що стан ключа тепер має значення "Увімкнуто", а поточна конфігурація - F33E0C8E002.

Примітка.

Примітка. Застосування ключа безпечного завантаження за допомогою WinCS не означає, що інсталяція сертифіката безпечного завантаження почалася або завершилася.  Він лише вказує на те, що комп'ютер продовжить оновлення безпечного завантаження, коли завдання обслуговування безпечного завантаження (TPMTasks) запуститься на ньому за наступної доступної можливості. Коли TPMTasks працює на цьому комп'ютері, він виявляє 0x5944 та виконує оновлення. Заплановане завдання безпечного завантаження запускається кожні 12 годин для обробки таких позначок оновлення безпечного завантаження. Адміністратори також можуть прискорити роботу, запустивши завдання вручну або перезавантаживши його, якщо потрібно.

Ви також можете вручну ініціювати обслуговування безпечного завантаження, виконавши дії нижче.

  1. Відкрийте командний рядок PowerShell із правами адміністратора та виконайте таку команду:

    Примітка.

    Start-ScheduledTask -TaskName "\Microsoft\Windows\PI\Secure-Boot-Update"

  2. Після виконання команди перезавантажте пристрій двічі , щоб переконатися, що пристрій запускається з оновленою базою довірених підписів (DB).

  3. Щоб швидко перевірити, чи успішно оновлено базу даних безпечного завантаження, відкрийте командний рядок PowerShell від імені адміністратора, а потім виконайте таку команду:

    Примітка.

    [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Windows UEFI CA 2023'

    Безпека завантаження
    Якщо команда повертає значення "True", оновлення виконано успішно.

    У разі виникнення помилок під час застосування оновлення бази даних, див. статтю KB5016061: Вирішення проблеми вразливих і відкликаних диспетчерів завантаження.

    Примітка.

    Це перевірка лише одного ЦА, а не всіх.

  4. Щоб перевірити, чи всі сертифікати оновлено, див. розділ "Оновлення сертифікатів безпечного завантаження: Рекомендації для ІТ-фахівців і організацій " і виконайте вказівки з розділу "Моніторинг журналів подій". У цьому розділі перелічено ідентифікатори подій: 1801 та 1808 , що забезпечує повнішу перевірку актуальності сертифікатів.