API Hệ thống Cấu hình Windows (WinCS) để Khởi động An toàn

Khởi động AN TOÀN CLI bằng Hệ thống Cấu hình Windows (WinCS)

Mục tiêu: Người quản trị miền có thể sử dụng Hệ thống Cấu hình Windows (WinCS) được phát hành cùng với các bản cập nhật HĐH Windows để triển khai các bản cập nhật Khởi động An toàn trên các máy khách và máy chủ Windows đã tham gia miền. Nó bao gồm một tiện ích giao diện dòng lệnh (CLI) để truy vấn và áp dụng cấu hình Khởi động An toàn cục bộ cho một máy tính.  

WinCS hoạt động tắt một khóa cấu hình có thể được sử dụng với tiện ích dòng lệnh để sửa đổi trạng thái cấu hình Khởi động an toàn trên máy tính. Sau khi được áp dụng, Khởi động An toàn theo lịch tiếp theo sẽ thực hiện các hành động theo khóa. 

Các nền tảng được WinCS hỗ trợ

Tiện ích dòng lệnh WinCS được hỗ trợ trong Windows 11, phiên bản 23H2, Windows 11, phiên bản 24H2, Windows 11, phiên bản 25H2. Tiện ích này có sẵn trong các bản cập nhật Windows được phát hành vào và sau ngày 28 tháng 10 năm 2025, cho Windows 11, phiên bản 24H2 và Windows 11, phiên bản 23H2.

Lưu ý: Chúng tôi đang nỗ lực đưa hỗ trợ WinCS này vào các nền Windows 10 khác. Chúng tôi sẽ cập nhật bài viết này ngay khi hỗ trợ được bật. 

Đây là khóa tính năng cấu hình Khởi động An toàn mà người quản trị miền sẽ truy vấn và áp dụng cho các thiết bị thông qua WinCS. 

Giá trị khóa WinCS: 

• F33E0C8E002 – Trạng thái cấu hình Khởi động An toàn = Đã bật

Cách truy vấn cấu hình Khởi động An toàn 

Cấu hình Khởi động An toàn có thể được truy vấn với dòng lệnh sau đây:

Thao tác này sẽ trả về các thông tin sau (trên máy sạch): 

Lưu ý rằng cấu hình hiện tại trên thiết bị F33E0C8E001, điều này có nghĩa là phím Khởi động An toàn đang ở trạng thái Tắt .  

Cách áp dụng cấu hình Khởi động An toàn  

Cấu hình cụ thể để kích hoạt chứng chỉ khởi động an toàn có thể được cấu hình theo cách sau: 

Việc áp dụng khóa thành công sẽ trả về các thông tin sau: 

Cách kiểm tra cấu hình Khởi động An toàn  

Để xác định trạng thái của cấu hình Khởi động An toàn sau này, bạn có thể sử dụng lại lệnh truy vấn ban đầu: 

Thông tin được trả về sẽ tương tự như sau, tùy thuộc vào trạng thái cờ: 

Lưu ý rằng trạng thái của khóa hiện đã Được bật và cấu hình hiện tại sẽ được F33E0C8E002. 

Bạn cũng có thể kích hoạt tác vụ dịch vụ Khởi động An toàn theo cách thủ công bằng cách làm theo các bước sau: 

1. Mở lời nhắc PowerShell với tư cách người quản trị, rồi chạy lệnh sau:

   Start-ScheduledTask -TaskName "\Microsoft\Windows\PI\Secure-Boot-Update"

2. Khởi động lại thiết bị hai lần sau khi chạy lệnh để xác nhận rằng thiết bị đang bắt đầu với cơ sở dữ liệu cập nhật của chữ ký tin cậy (DB).

3. Để xác minh rằng cập nhật Secure Boot DB đã thành công, hãy mở lời nhắc PowerShell với tư cách người quản trị, rồi chạy lệnh sau: 

   [System.Text.Encoding]::ASCII. GetString((Get-SecureBootUEFI db).byte) -match 'Windows UEFI CA 2023'

   

   Nếu lệnh trả về True thì quá trình cập nhật đã thành công.
   
   Trong trường hợp có lỗi trong khi áp dụng bản cập nhật DB, hãy xem bài viết KB5016061: Khắc phục người quản lý Khởi động dễ bị tấn công và bị thu hồi.