Windows 設定系統 (WinCS) API 進行安全開機

套用到
Windows 10 Windows 10, version 1607, all editions Win 10 Ent LTSC 2019 Win 10 IoT Ent LTSC 2019 Windows 10 IoT Core LTSC Windows 10 Enterprise LTSC 2021 Windows 10 IoT Enterprise LTSC 2021 Windows 10, version 22H2, all editions Windows 11 Home and Pro, version 21H2 Windows 11 Enterprise Multi-Session, version 21H2 Windows 11 Enterprise and Education, version 21H2 Windows 11 IoT Enterprise, version 21H2 Windows 11 Home and Pro, version 22H2 Windows 11 Enterprise Multi-Session, version 22H2 Windows 11 Enterprise and Education, version 22H2 Windows 11 IoT Enterprise, version 22H2 Windows 11 SE, version 23H2 Windows 11 Home and Pro, version 23H2 Windows 11 Enterprise and Education, version 23H2 Windows 11 Enterprise Multi-Session, version 23H2 Windows 11 SE, version 24H2 Windows 11 Enterprise and Education, version 24H2 Windows 11 Enterprise Multi-Session, version 24H2 Windows 11 Home and Pro, version 24H2 Windows 11 IoT Enterprise, version 24H2 Windows Server 2012 ESU Windows Server 2012 R2 ESU Windows Server 2016 Windows Server 2019 Windows Server 2022 Windows Server 2025

注意

  • 原始發佈日期： 2025年10月14日
  • KB ID： 5068197
變更日誌
變更日期 變更描述
4月16日。 2026
  • 移除了「此支援可用性」部分，因為相關資訊已包含在「WinCS 支援平台」部分。
2026年4月10日
  • 更新了 Windows 10 1607 / Windows Server 2016 的日期，內容為「WinCS 支援平台」一節。
  • 在「WinCS 支援平台」部分新增了 Windows Server 2012 和 Windows Server 2012 R2 (ESU) 的新平台支援。
2026年2月20日
  • 新增了一個章節：「首先檢查你的平台是否更新了安全啟動憑證」
2025年12月16日
  • 修正了「如何套用安全啟動設定」部分的命令列，因為其中包含錯誤的字元。

    收件人： WinCsFlags.exe /apply –-鍵「F33E0C8E002」
  • 在「如何審核安全啟動設定」部分的命令列修正了，因為該行末尾有空格。

    收件人： Start-ScheduledTask -TaskName 「\Microsoft\Windows\PI\Secure-Boot-Update」
  • 在「此支援的可用性」部分，新增了 Windows 10、21H2 和 22H2 版本，以及 Windows Server 2022，已加入 2025 年 11 月 11 日及之後的版本。 此外，其他版本的 Windows 支援也將包含在 2026 年第一季釋出的更新中。
2025年12月11日
  • 更改了「如何稽核安全開機設定」部分的第 3 步：

    來源： 要確認安全開機資料庫更新是否成功，請以管理員身份開啟 PowerShell 提示，然後執行以下指令：

    目的： 作為快速檢查安全開機資料庫更新是否成功，請以管理員身份開啟 PowerShell 提示，然後執行以下指令：
  • 在「如何稽核安全開機設定」部分新增了步驟 4：

    為確認所有憑證皆已更新，請參閱 安全啟動憑證更新：IT 專業人員與組織指引 ，並依照「監控事件日誌」章節的指引操作。 本節列出 事件 ID：1801 與 事件 ID：1808 ，完整地驗證憑證是否已更新。

使用 Windows 設定系統 (WinCS) 的安全開機 CLI

目標：網域管理員可選擇使用 Windows 作業系統更新 (Windows 配置系統) WinCS ，將安全開機更新部署於已加入網域的 Windows 用戶端與伺服器。 它包含 命令列介面 (CLI) 工具 ，用於查詢並套用安全開機設定至本地機器。

WinCS 是根據一個設定鍵運作，該金鑰可搭配命令列工具來修改機器上的安全開機設定狀態。 套用後，下一次排程的安全啟動會依照金鑰執行動作。

首先確認你的平台是否有更新 Secure Boot 憑證

你可以使用 Powershell 指令檢查安全開機狀態：

(Get-ItemProperty 'HKLM：\SYSTEM\CurrentControlSet\Control\Control\SecureBoot\Servicing' -名稱 'UEFICA2023Status') 。UEFICA2023Status

如果狀態顯示「更新」，那你就不需要執行 WinCS，可以跳過以下步驟。

若憑證未更新至 2023 版本，則適用以下額外步驟。

支援 WinCS 的平台

WinCS 命令列工具支援於 Windows 10、21H2、Windows 10、22H2、Windows 10 1607、Windows Server 2022、Windows Server 2019、Windows Server 2016，Windows 11，版本 23H2，Windows 11，版本 24H2，Windows 11，版本 25H2。

此工具可在 2025 年 10 月 28 日及之後發布的 Windows 更新中取得，適用於 Windows 11（版本 24H2）及 Windows 11（版本 23H2）。

此工具也包含於 2025 年 11 月 11 日及之後發布的 Windows 更新中，適用於 Windows 10、21H2、Windows 10、22H2 版本及 Windows Server 2022。

針對 Windows Server 2019，此工具隨 2026 年 1 月 13 日及之後發布的 Windows 更新中推出。

針對 Windows Server 2016、Windows 10 1607，此工具於 2026 年 4 月 14 日及之後發布的 Windows 更新中。

而對於 Windows Server 2012 和 Windows Server 2012 R2 (ESU) ，這個工具會隨 2026 年 4 月 14 日及之後發布的 Windows 更新一起推出。

這是安全開機設定的金鑰，網域管理員會透過 WinCS 查詢並套用到裝置上。

功能名稱 WinCS 金鑰 描述
Feature_AllKeysAndBootMgrByWinCS F33E0C8E002 啟用此金鑰後，可在您的裝置上安裝以下 Microsoft 提供的安全開機新憑證。
  • Microsoft Corporation KEK 2K CA 2023
  • Windows UEFI CA 2023
  • Microsoft UEFI CA 2023
  • Microsoft Option UEFI ROM CA 2023

WinCS 關鍵價值：

  • F33E0C8E002 – 安全開機設定狀態 = 啟用

如何查詢安全啟動設定

安全開機設定可透過以管理員身份開啟命令提示字元並執行以下指令來查詢：

注意

WinCsFlags.exe /query --key F33E0C8E002

這會回傳以下資訊， (乾淨的機器) ：

注意

  • 旗幟：F33E0C8E
  • 目前配置：F33E0C8E001
  • 狀態：殘障
  • 待配置：無
  • 待處理：無
  • FwLink：https://aka.ms/getsecureboot
  • 可選配置：
  • F33E0C8E002
  • F33E0C8E001

請注意，裝置目前的設定是 F33E0C8E001，表示安全開機金鑰處於 停用 狀態。

如何套用安全開機設定

安全開機設定可透過以管理員身份開啟命令提示字元並執行以下指令來套用：

注意

WinCsFlags.exe /apply --key "F33E0C8E002"

成功應用金鑰應回傳以下資訊：

注意

  • 旗幟：F33E0C8E
  • 目前配置：F33E0C8E002
  • 狀態：啟用
  • 待配置：無
  • 待處理：無
  • FwLink：https://aka.ms/getsecureboot
  • 可選配置：
  • F33E0C8E002
  • F33E0C8E001

如何稽核安全開機設定

若要日後判斷安全開機設定的狀態，您可以以管理員身份開啟命令提示字元，重新執行初始查詢指令：

注意

WinCsFlags.exe /query --key F33E0C8E002

回傳的資訊將依旗幟狀態而定，類似以下內容：

注意

  • 旗幟：F33E0C8E
  • 目前配置：F33E0C8E002
  • 狀態：啟用
  • 待配置：無
  • 待處理：無
  • FwLink：https://aka.ms/getsecureboot
  • 可選配置：
  • F33E0C8E002
  • F33E0C8E001

請注意，金鑰的狀態現在是 啟用，目前的配置則是F33E0C8E002。

注意

注意： 透過 WinCS 套用安全開機金鑰並不代表安全開機憑證安裝程序已經開始或結束。  它僅表示當 TPMTask 的安全開機服務任務在該機器執行時) 該機器下一次可用時 (該機器將繼續進行安全開機更新。 當 TPMTasks 在該機器上執行時，會偵測到0x5944並執行更新。 設計上，Secure-Boot-Update 排程任務每 12 小時執行一次，以處理此類安全啟動更新標誌。 管理員也可以透過手動執行任務或重新啟動來加速處理。

您也可以透過以下步驟手動觸發安全開機服務任務：

  1. 以管理員身份開啟 PowerShell 提示字元，然後執行以下指令：

    注意

    Start-ScheduledTask -TaskName "\Microsoft\Windows\PI\Secure-Boot-Update"

  2. 執行指令後重新啟動 裝置 兩次，以確認裝置已啟動更新的信任簽章資料庫 (資料庫) 。

  3. 作為快速檢查安全啟動資料庫更新是否成功，請以管理員身份開啟 PowerShell 提示，然後執行以下指令：

    注意

    [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Windows UEFI CA 2023'

    開機安全
    若指令回傳 True，則表示更新成功。

    若在套用資料庫更新時發生錯誤，請參閱文章 KB5016061：解決易受攻擊及撤銷的開機管理器。

    注意

    這只檢查一個 CA，不是所有 CA。

  4. 為確認所有憑證皆已更新，請參閱 安全啟動憑證更新：IT 專業人員與組織指引 ，並依照「監控事件日誌」章節的指引操作。 本區列出 事件 ID：1801 與 事件 ID：1808 ，這是更完整的審核憑證是否已更新的方式。