Wyłączanie funkcji Credential Guard w systemie Windows 11 i sprawdzanie, czy jest ona wyłączona

Funkcja Credential Guard izoluje poufne dane logowania, takie jak skróty haseł NTLM i bilety Kerberos, w kontenerze bezpieczeństwa opartym na wirtualizacji (VBS), chroniąc je nawet przed administratorami lokalnymi. Chociaż ta ochrona jest istotna, może ona zakłócać niektóre codzienne zadania w systemie Windows 11. Wyłączenie jej wymaga wyłączenia VBS , wyczyszczenia dwóch flag rejestru oraz, w systemach z blokadą UEFI, potwierdzenia zmiany podczas rozruchu.

Szybka odpowiedź: ustawić Turn On Virtualization Based Security على Niepełnosprawni W zasadach grupy ustaw obie wartości rekordu. LsaCfgFlags على 0Następnie uruchom ponownie urządzenie. Jeśli blokada UEFI jest aktywna, uruchom wpis rozruchowy SecConfig.efi i naciśnij F3 Przy uruchomieniu, w celu potwierdzenia.

---

Dlaczego Credential Guard powinno zostać wyłączone?

Funkcja Credential Guard jest automatycznie włączona na zgodnych urządzeniach z systemem Windows 11 22H2 lub nowszym w wersjach Enterprise lub Education, a niektóre komponenty są dostępne również w wersji Pro. Urządzenia wymagają modułu TPM 1.2 lub 2.0, funkcji Secure Boot, 64-bitowego procesora z funkcją SLAT oraz hiperwizora Hyper-V. Po włączeniu blokuje wiele typowych przepływów pracy.

Co oznacza nieprawidłowe działanie?	Powód
Zapisywanie haseł RDP	W przypadku uwierzytelniania NTLM dane uwierzytelniające wielokrotnego użytku nie są przechowywane.
VMware Workstation/VirtualBox	W przypadku maszyn wirtualnych innych firm (VM) pojawia się błąd „Device/Credential Guard nie są zgodne”.
Zaloguj się do Wi-Fi i VPN	Protokoły MSCHAPv2, w tym PEAP-MSCHAPv2 i EAP-MSCHAPv2, przerywają uwierzytelnianie.
Stare uwierzytelnianie	Aplikacje wykorzystujące protokół NTLMv1 lub nieograniczone delegowanie Kerberos przestaną działać.
Usługi pulpitu zdalnego (SSO)	Logowanie jednokrotne nie powiodło się na hoście RDS.

Uwaga: Nie zaleca się uruchamiania Credential Guard na kontrolerach domeny , ponieważ nie zapewnia on żadnych dodatkowych zabezpieczeń, a może powodować problemy ze zgodnością z oprogramowaniem innych firm.

---

Jak sprawdzić stan funkcji Credential Guard w systemie Windows 11

Przed wprowadzeniem jakichkolwiek zmian należy koniecznie sprawdzić aktualny stan funkcji Credential Guard w systemie Windows 11 za pomocą okna programu PowerShell z uprawnieniami administratora. To polecenie wyświetla listę aktywnych usług zabezpieczeń w systemie.

(Get-CimInstance -ClassName Win32_DeviceGuard -Namespace rootMicrosoftWindowsDeviceGuard).SecurityServicesRunning

Wartość wskazuje 1 Dopóki funkcja Credential Guard nie zostanie włączona, wartość ta oznacza 0 W rzeczywistości nie jest aktywowany.

---

Wyłączanie funkcji Credential Guard za pomocą zasad grupy i Edytora rejestru

Ta metoda to standardowy sposób wyłączania funkcji Credential Guard w systemach bez blokady UEFI. Proces ten wyłącza VBS i czyści flagi konfiguracji LSA, które utrzymują izolację poświadczeń włączoną.

1. Naciśnij moje dwa klawisze Win + R, a następnie wpisz gpedit.msci otwórz Edytor lokalnych zasad grupy (Edytor lokalnych zasad grupy). Przejdź do następującej ścieżki: Konfiguracja komputera → Szablony administracyjne → System → Device Guard.

2. Kliknij dwukrotnie Turn On Virtualization Based Security I ustaw to na NiepełnosprawniJeśli aktualny stan to „Nieskonfigurowane”, zmień go jawnie na Wyłączone, aby wymusić politykę, a następnie kliknij OK.

3. Otwórz wiersz poleceń z uprawnieniami administratora i usuń dwie flagi konfiguracji LSA, ustawiając ich wartości REG_DWORD na 0.

reg add HKLMSYSTEMCurrentControlSetControlLsa /f /v LsaCfgFlags /t REG_DWORD /d 0
reg add HKLMSOFTWAREPoliciesMicrosoftWindowsDeviceGuard /f /v LsaCfgFlags /t REG_DWORD /d 0

4. Uruchom ponownie komputer. Ten krok wyłącza funkcję Credential Guard na urządzeniach, na których funkcja blokady UEFI nie chroni ustawień oprogramowania układowego w systemie Windows 11.

Rada: Możesz również ustawić EnableVirtualizationBasedSecurity Dla mnie 0 w ciągu HKLMSYSTEMCurrentControlSetControlDeviceGuard Aby wymusić zamknięcie programu VBS, przed modyfikacją rejestru należy wykonać jego kopię zapasową.

---

Jak usunąć Credential Guard, gdy włączona jest blokada UEFI

Jeśli blokada UEFI chroni oprogramowanie układowe przed modyfikacją oprogramowania, same zmiany w rejestrze nie wystarczą. Konieczne będzie skonfigurowanie tymczasowego wpisu rozruchowego, który będzie działał z wyłączoną izolacją poświadczeń, a następnie potwierdzenie zmiany w konsoli podczas procesu rozruchu.

1. Otwórz wiersz polecenia jako administrator. Zamontuj partycję systemową EFI, skopiuj do niej narzędzie SecConfig.efi, a następnie utwórz tymczasowy wpis bootloadera.

mountvol X: /s
copy %WINDIR%System32SecConfig.efi X:EFIMicrosoftBootSecConfig.efi /Y
bcdedit /create {0cb3b571-2f2e-4343-a879-d86a476d7215} /d "DebugTool" /application osloader
bcdedit /set {0cb3b571-2f2e-4343-a879-d86a476d7215} path "EFIMicrosoftBootSecConfig.efi"
bcdedit /set {bootmgr} bootsequence {0cb3b571-2f2e-4343-a879-d86a476d7215}
bcdedit /set {0cb3b571-2f2e-4343-a879-d86a476d7215} loadoptions DISABLE-LSA-ISO
bcdedit /set {0cb3b571-2f2e-4343-a879-d86a476d7215} device partition=X:
mountvol X: /d

2. Uruchom ponownie komputer. Na początku procesu rozruchu narzędzie Credential Guard Opt-out Tool zapyta, czy chcesz wyłączyć Credential Guard.

3. Naciśnij klawisz F3 w ciągu kilku sekund, aby potwierdzić. Jeśli nie odpowiesz w określonym czasie, zmiana bootloadera zostanie anulowana, a funkcja Credential Guard pozostanie włączona.

Aby wyłączyć zabezpieczenia oparte na wirtualizacji przez ten sam port, możesz rozszerzyć opcje ładowania i wyłączyć typ uruchomienia VSM przed ponownym uruchomieniem urządzenia.

bcdedit /set {0cb3b571-2f2e-4343-a879-d86a476d7215} loadoptions DISABLE-LSA-ISO,DISABLE-VBS
bcdedit /set vsmlaunchtype off

---

Użyj narzędzi gotowości Device Guard i Credential Guard.

Firma Microsoft publikuje skrypt programu PowerShell, który umożliwia raportowanie i przełączanie tych funkcji na obsługiwanych urządzeniach. To wygodna alternatywa dla ręcznej modyfikacji bootloadera.

1. Pobierz dgreadiness_v3.6.zip Ze strony oficjalnej Narzędzia gotowości Device Guard i Credential Guard Wypakuj plik do folderu lokalnego, a następnie przejdź do tego katalogu.

cd C:PSdgreadiness_v3.6

2. Jeśli wykonywanie skryptu jest zablokowane, zezwól tylko na skrypty podpisane dla bieżącej sesji.

Set-ExecutionPolicy -Scope Process RemoteSigned

3. Sprawdź aktywne funkcje bezpieczeństwa programu Defender, a następnie uruchom polecenie disable skierowane przeciwko usłudze Credential Guard.

DG_Readiness_Tool_v3.6.ps1 -Ready
DG_Readiness_Tool_v3.6.ps1 -Disable -CG

4. Uruchom ponownie komputer i naciśnij klawisz F3 podczas uruchamiania, aby potwierdzić zmianę.

---

Potwierdzenie pomyślnego wyłączenia funkcji Credential Guard

Po ponownym uruchomieniu uruchom ponownie to samo skanowanie programu PowerShell. Gdy wyświetli się wartość 0Oznacza to, że Credential Guard nie działa. Możesz również sprawdzić praktyczny efekt, otwierając mstsc.exeWprowadź adres serwera i upewnij się, że opcja „Pozwól mi zapisać dane logowania” zapisuje teraz hasło.

Jeśli wartość jest nadal 1, ten Najczęstsze przyczyny Dlatego najlepiej pominąć potwierdzenie klawiszem F3 podczas rozruchu, pozostawić ustawienie zasad grupy na „Nie skonfigurowano” zamiast „Wyłączone” lub pozostawić opcję Credential Guard włączoną na poziomie oprogramowania sprzętowego. W BIOS-ie/UEFIW urządzeniach, które oferują zabezpieczenia oparte na wirtualizacji lub ochronę poświadczeń bezpośrednio w oprogramowaniu układowym, ustaw te opcje na „Wyłączone” i uruchom ponownie. Jeśli nie Funkcje wirtualizacji Podobnie jak w przypadku Hyper-V, usunięcie platformy hypervisora ​​usuwa ostatnią zależność, od której zależy działanie VBS.