API системи конфігурації Windows (WinCS) для безпечного завантаження

CLI безпечного завантаження за допомогою системи конфігурації Windows (WinCS)

Мета. Адміністратори домену можуть також використовувати систему конфігурації Windows (WinCS), випущену з оновленнями ОС Windows, щоб розгортати оновлення безпечного завантаження для клієнтів і серверів Windows, підключених до домену. Вона складається з утиліти інтерфейсу командного рядка (CLI) для запиту та застосування локальних конфігурацій безпечного завантаження до комп'ютера.  

WinCS працює від ключа конфігурації, який можна використовувати з утилітою командного рядка, щоб змінити стан конфігурації безпечного завантаження на комп'ютері. Після застосування наступне заплановане безпечне завантаження виконуватиме дії відповідно до ключа. 

Платформи, що підтримуються WinCS

Утиліта командного рядка WinCS підтримується в Windows 10 версії 21H2, Windows 10 версії 22H2, Windows Server 2022, Windows 11 версії 23H2, Windows 11 версії 24H2, Windows 11 версії 25H2.

Ця утиліта доступна в оновленнях Windows, випущених 28 жовтня 2025 р., для Windows 11 версії 24H2 та Windows 11 версії 23H2.

Ця утиліта також доступна в оновленнях Windows, випущених 11 листопада 2025 р., для Windows 10 версії 21H2, Windows 10, версії 22H2 та Windows Server 2022.

Примітка. Ми працюємо над наданням цієї підтримки WinCS Windows 10 платформам. Ми оновимо цю статтю, щойно підтримку буде ввімкнуто. 

Ось ключ функції конфігурації безпечного завантаження, який адміністратори домену запитуватимуть і застосовуватимуть до пристроїв через WinCS. 

Значення ключа WinCS: 

• F33E0C8E002 – стан конфігурації безпечного завантаження = Увімкнуто

Запит конфігурації безпечного завантаження 

Конфігурацію безпечного завантаження можна запитувати за допомогою такого командного рядка:

Це поверне такі відомості (на чистому комп'ютері): 

Зверніть увагу, що поточна конфігурація на пристрої F33E0C8E001, що означає, що ключ безпечного завантаження перебуває в неактивному стані.  

Застосування конфігурації безпечного завантаження  

Конкретну конфігурацію для ввімкнення сертифікатів безпечного завантаження можна настроїти таким чином: 

Успішне застосування ключа має повернути такі відомості: 

Перевірка конфігурації безпечного завантаження  

Щоб визначити стан конфігурації безпечного завантаження пізніше, можна повторно використати команду початкового запиту:

Повернуті відомості будуть схожі на такі, залежно від стану позначки: 

Зверніть увагу, що стан ключа тепер увімкнуто, а поточна конфігурація F33E0C8E002. 

Ви також можете вручну запустити завдання обслуговування безпечного завантаження, виконавши наведені нижче дії. 

1. Відкрийте запит PowerShell із правами адміністратора, а потім виконайте таку команду:

   Start-ScheduledTask -TaskName "\Microsoft\Windows\PI\Secure-Boot-Update"

2. Перезавантажте пристрій два рази після виконання команди, щоб переконатися, що пристрій запускається з оновленої бази даних надійних сигнатур (БД).

3. Щоб швидко перевірити, чи успішно виконано оновлення бази даних безпечного завантаження, відкрийте запит PowerShell із правами адміністратора та виконайте таку команду: 

   [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Windows UEFI CA 2023'

   

   Якщо команда повертає значення True, оновлення успішно виконано.
   
   У разі помилок під час застосування оновлення бази даних див. статтю KB5016061: Вирішення вразливих і відкликаних диспетчерів завантаження.

   Примітка.: Перевіряється лише один ЦС, а не всі CAs.

4. Щоб переконатися, що всі сертифікати оновлено, див. статтю Оновлення сертифіката безпечного завантаження: Рекомендації для ІТ-фахівців і організацій і дотримуйтеся вказівок у розділі "Моніторинг журналів подій". У цьому розділі наведено ідентифікатор події 1801 та ідентифікатор події: 1808 , який є повнішим способом перевірки оновлення сертифікатів.