用于安全启动的 Windows 配置系统 (WinCS) API

使用 Windows 配置系统 (WinCS) 的安全启动 CLI

目标：域管理员也可以使用随 Windows OS 更新一起发布的 Windows 配置系统 (WinCS) 跨已加入域的 Windows 客户端和服务器部署安全启动更新。 它包含命令行接口 (CLI) 实用工具，用于在本地查询安全启动配置并将其应用于计算机。  

WinCS 使用可与命令行实用工具一起使用的配置密钥来修改计算机上的安全启动配置状态。 应用后，下一个计划的安全启动将根据密钥执行作。 

WinCS 支持的平台

Windows 11 版本 23H2、Windows 11 版本 24H2、Windows 11 版本 25H2 中支持 WinCS 命令行实用工具。 此实用工具在 2025 年 10 月 28 日及之后发布的 Windows 更新中提供，适用于 Windows 11 版本 24H2 和 Windows 11 版本 23H2。

注意：我们正在努力将此 WinCS 支持引入Windows 10平台。 启用支持后，我们将立即更新本文。 

下面是域管理员将通过 WinCS 查询并应用到设备的安全启动配置功能密钥。 

WinCS 键值： 

• F33E0C8E002 – 安全启动配置状态 = 已启用

如何查询安全启动配置 

可以使用以下命令行查询安全启动配置：

这将 (干净计算机) 返回以下信息： 

请注意，设备上的当前配置 F33E0C8E001，这意味着安全启动密钥处于 “禁用” 状态。  

如何应用安全启动配置  

可以按以下方式配置用于启用安全启动证书的特定配置： 

成功应用密钥应返回以下信息： 

如何审核安全启动配置  

若要在以后确定安全启动配置的状态，可以重复使用初始查询命令： 

返回的信息将类似于以下内容，具体取决于标志的状态： 

请注意，密钥的状态现在为 “已启用”，当前配置已F33E0C8E002。 

还可以按照以下步骤手动触发安全启动服务任务： 

1. 以管理员身份打开 PowerShell 提示符，然后运行以下命令：

   Start-ScheduledTask -TaskName “\Microsoft\Windows\PI\Secure-Boot-Update”

2. 运行 命令后 重启设备两次 ，以确认设备是否以更新的受信任签名数据库 (DB) 启动。

3. 若要验证安全启动数据库更新是否成功，请以管理员身份打开 PowerShell 提示符，然后运行以下命令： 

   [System.Text.Encoding]：：ASCII。GetString ( (Get-SecureBootUEFI db) .bytes) -match “Windows UEFI CA 2023”

   

   如果命令返回 True，则表示更新成功。
   
   如果应用数据库更新时出错，请参阅文章KB5016061：解决易受攻击和撤销的启动管理器问题。