Désactivation de Credential Guard dans Windows 11 et vérification de sa désactivation.
Découvrez comment désactiver Credential Guard dans Windows 11 et vérifiez qu'il est bien désactivé. Notre guide pas à pas vous aidera à résoudre les problèmes et à rétablir les performances. Commencez dès maintenant !
Les choses les plus importantes que vous devez savoir
- Bien que Credential Guard soit une fonctionnalité de sécurité, il peut entraîner des problèmes de compatibilité avec des applications courantes telles que l'enregistrement des mots de passe RDP, l'exécution de machines virtuelles tierces (VMware/VirtualBox) et les protocoles d'authentification hérités (MSCHAPv2, NTLMv1).
- Pour vérifier l'état de Credential Guard, utilisez la commande PowerShell suivante avec des privilèges d'administrateur : (Get-CimInstance -ClassName Win32_DeviceGuard -Namespace rootMicrosoftWindowsDeviceGuard).SecurityServicesRunning , où la valeur 1 indique l'activation et 0 indique la désactivation.
- Pour désactiver Credential Guard, la stratégie de groupe peut être utilisée en définissant « Activer la sécurité basée sur la virtualisation » sur « Désactivé » et en modifiant LsaCfgFlags à 0 , ou si un verrou UEFI est présent, il est nécessaire de créer une entrée de démarrage temporaire à l'aide bcdedit et d'appuyer sur F3 au redémarrage.
Credential Guard isole les informations d'identification sensibles, telles que les hachages de mots de passe NTLM et les tickets Kerberos, dans un conteneur de sécurité basé sur la virtualisation (VBS), les protégeant même des administrateurs locaux. Bien que cette protection soit importante, elle peut perturber certaines tâches courantes sous Windows 11. La désactiver nécessite de désactiver le VBS , de supprimer deux indicateurs de registre et, sur les systèmes verrouillés UEFI, de confirmer la modification au démarrage.
Réponse rapide : Ajuster Turn On Virtualization Based Security على Hors Ligne Dans la stratégie de groupe, définissez les deux valeurs d'enregistrement. LsaCfgFlags على 0Redémarrez ensuite l'appareil. Si le verrouillage UEFI est actif, exécutez le fichier de démarrage SecConfig.efi et appuyez sur F3 Au démarrage, pour confirmer.
Pourquoi désactiver Credential Guard ?
Credential Guard est automatiquement activé sur les appareils compatibles exécutant Windows 11 22H2 ou version ultérieure (éditions Entreprise ou Éducation), certains composants étant également disponibles dans l'édition Professionnelle. Les appareils doivent être équipés d'un module TPM 1.2 ou 2.0, du démarrage sécurisé, d'un processeur 64 bits avec SLAT et d'un hyperviseur Hyper-V. Une fois activé, il bloque de nombreux flux de travail courants.
| Quel est le dysfonctionnement ? | La raison |
|---|---|
| Enregistrement des mots de passe RDP | Les informations d'identification réutilisables ne sont pas stockées lors de l'utilisation de l'authentification NTLM. |
| Station de travail VMware/VirtualBox | Les machines virtuelles tierces (VM) échouent avec l'erreur « Device/Credential Guard ne sont pas compatibles ». |
| Connectez-vous au Wi-Fi et au VPN | Les protocoles MSCHAPv2, y compris PEAP-MSCHAPv2 et EAP-MSCHAPv2, cessent l'authentification. |
| Ancienne authentification | Les applications qui utilisent NTLMv1 ou une délégation Kerberos non restreinte cesseront de fonctionner. |
| Services de bureau à distance (SSO) | L'authentification unique échoue sur l'hôte RDS. |
Remarque : Il n’est pas recommandé d’exécuter Credential Guard sur les contrôleurs de domaine , car cela n’apporte aucun avantage en matière de sécurité et peut entraîner des problèmes de compatibilité avec des logiciels tiers.
Comment vérifier l'état de Credential Guard sous Windows 11
Avant toute modification, il est essentiel de vérifier l'état actuel de Credential Guard sur Windows 11 à l'aide d'une fenêtre PowerShell avec des privilèges d'administrateur. Cette commande affiche la liste des services de sécurité actifs sur votre système.
(Get-CimInstance -ClassName Win32_DeviceGuard -Namespace rootMicrosoftWindowsDeviceGuard).SecurityServicesRunningLa valeur indique 1 Tant que Credential Guard n'est pas activé, la valeur signifie 0 Il n'est pas encore activé.
Désactivation de Credential Guard à l'aide de la stratégie de groupe et de l'Éditeur du Registre
Cette méthode est la procédure standard pour désactiver Credential Guard sur les systèmes sans verrouillage UEFI. Ce processus désactive VBS et efface les indicateurs de configuration LSA qui maintiennent l'isolation des informations d'identification activée.
1. Appuyez sur mes deux touches Win + REt puis tapez gpedit.msc, Et ouvert Éditeur de stratégie de groupe locale (Éditeur de stratégie de groupe locale). Accédez au chemin suivant : Configuration ordinateur → Modèles d’administration → Système → Device Guard.
2. Double-cliquez Turn On Virtualization Based Security Et réglez-le sur Hors LigneSi l'état actuel est « Non configuré », modifiez-le explicitement en « Désactivé » pour appliquer la stratégie, puis cliquez sur OK.
3. Ouvrez l'invite de commandes avec les privilèges d'administrateur et supprimez les deux indicateurs de configuration LSA en définissant leurs valeurs REG_DWORD sur 0.
reg add HKLMSYSTEMCurrentControlSetControlLsa /f /v LsaCfgFlags /t REG_DWORD /d 0
reg add HKLMSOFTWAREPoliciesMicrosoftWindowsDeviceGuard /f /v LsaCfgFlags /t REG_DWORD /d 0
4. Redémarrez votre ordinateur. Cette étape désactive Credential Guard sur les appareils où la fonction de verrouillage UEFI ne protège pas les paramètres du microprogramme sous Windows 11.
Astuce: Vous pouvez également définir EnableVirtualizationBasedSecurity إلى 0 Sous HKLMSYSTEMCurrentControlSetControlDeviceGuard Pour forcer l'arrêt de VBS, veillez à sauvegarder le registre avant de le modifier.
Comment supprimer Credential Guard lorsque le verrouillage UEFI est activé
Si un verrouillage UEFI empêche toute modification logicielle du firmware , les modifications du registre ne suffisent pas. Il vous faudra configurer une entrée de démarrage temporaire qui s'exécute avec l'isolation des informations d'identification désactivée, puis confirmer la modification dans la console lors du processus de démarrage.
1. Ouvrez l'invite de commandes en tant qu'administrateur. Montez la partition système EFI, copiez-y l'outil SecConfig.efi, puis créez une entrée de chargeur de démarrage temporaire.
mountvol X: /s
copy %WINDIR%System32SecConfig.efi X:EFIMicrosoftBootSecConfig.efi /Y
bcdedit /create {0cb3b571-2f2e-4343-a879-d86a476d7215} /d "DebugTool" /application osloader
bcdedit /set {0cb3b571-2f2e-4343-a879-d86a476d7215} path "EFIMicrosoftBootSecConfig.efi"
bcdedit /set {bootmgr} bootsequence {0cb3b571-2f2e-4343-a879-d86a476d7215}
bcdedit /set {0cb3b571-2f2e-4343-a879-d86a476d7215} loadoptions DISABLE-LSA-ISO
bcdedit /set {0cb3b571-2f2e-4343-a879-d86a476d7215} device partition=X:
mountvol X: /d
2. Redémarrez votre ordinateur. Au début du processus de démarrage, l'outil de désactivation de Credential Guard vous demandera si vous souhaitez désactiver Credential Guard.
3. Appuyez sur F3 dans les secondes qui suivent pour confirmer. Si vous ne répondez pas dans le délai imparti, la modification du chargeur de démarrage sera annulée et Credential Guard restera activé.
Pour désactiver la sécurité basée sur la virtualisation via le même port, vous pouvez développer les options de chargement et désactiver le type de démarrage VSM avant de redémarrer l'appareil.
bcdedit /set {0cb3b571-2f2e-4343-a879-d86a476d7215} loadoptions DISABLE-LSA-ISO,DISABLE-VBS
bcdedit /set vsmlaunchtype off
Utilisez les outils de préparation Device Guard et Credential Guard.
Microsoft propose un script PowerShell permettant de signaler et d'activer/désactiver ces fonctionnalités sur les appareils compatibles. Il s'agit d'une alternative pratique à la modification manuelle du chargeur de démarrage.
1. Télécharger dgreadiness_v3.6.zip Extrait de la page officielle de Outils de préparation Device Guard et Credential Guard Extrayez-le dans un dossier local, puis accédez à ce répertoire.
cd C:PSdgreadiness_v3.6
2. Si l'exécution de scripts est bloquée, n'autorisez que les scripts signés pour la session en cours.
Set-ExecutionPolicy -Scope Process RemoteSigned
3. Vérifiez les fonctions de sécurité Defender actives, puis exécutez la commande de désactivation qui cible Credential Guard.
DG_Readiness_Tool_v3.6.ps1 -Ready
DG_Readiness_Tool_v3.6.ps1 -Disable -CG
4. Redémarrez votre ordinateur et appuyez sur F3 au démarrage pour confirmer la modification.
Confirmation de la désactivation réussie de Credential Guard
Après le redémarrage, exécutez à nouveau la même analyse PowerShell. Lorsqu'elle affiche la valeur 0Cela signifie que Credential Guard ne fonctionne plus. Vous pouvez également vérifier le résultat en ouvrant mstsc.exeSaisissez une adresse de serveur et assurez-vous que l'option « Autoriser l'enregistrement des informations d'identification » enregistre bien le mot de passe.
Si la valeur est toujours 1, Le causes les plus fréquentes Il est donc préférable d'ignorer la confirmation F3 au démarrage, de laisser le paramètre de stratégie de groupe sur « Non configuré » au lieu de « Désactivé », ou de conserver l'option Credential Guard activée au niveau du firmware. Dans le BIOS/UEFISur les appareils proposant la sécurité basée sur la virtualisation ou Credential Guard directement dans le firmware, désactivez ces options et redémarrez. Fonctionnalités de virtualisation À l'instar d'Hyper-V, la suppression de la plateforme hyperviseur met fin à la dernière dépendance dont VBS s'appuie.
Les commentaires sont fermés.