Comment désactiver ou activer Credential Guard sous Windows 11

Credential Guard sous Windows est censé renforcer la sécurité en isolant les informations d’identification sensibles dans un environnement virtualisé. En théorie, c’est parfait, mais si vous rencontrez des problèmes (machines virtuelles qui refusent de démarrer, problèmes d’authentification RDP, applications qui génèrent des erreurs, etc.), il est parfois nécessaire de le désactiver. Il est assez étrange qu’il soit activé par défaut sur certaines machines, surtout si vous ne l’utilisez pas ou s’il cause plus de problèmes que de protection. Ce guide vous explique comment désactiver Credential Guard, ce qui peut aider à résoudre ces problèmes de compatibilité. Préparez-vous à utiliser la ligne de commande et à modifier les paramètres système : Windows a la fâcheuse habitude de compliquer les choses inutilement.

Comment désactiver Credential Guard dans Windows 11

Méthode 1 : Utilisation de l’éditeur de stratégie de groupe

Cette méthode convient parfaitement si vous souhaitez simplement désactiver Credential Guard via l’interface graphique. La désactivation via la stratégie de groupe est généralement la méthode la plus propre et permet d’éviter les modifications du registre. Elle est également pertinente dans les environnements d’entreprise où les stratégies de groupe sont strictement appliquées.

Ouvrez gpedit.msc en le tapant dans le menu Démarrer ou la boîte de dialogue Exécuter ( Win + Rpuis tapez gpedit.msc).
Accédez à Configuration ordinateur > Modèles d’administration > Système > Device Guard.
Recherchez le paramètre nommé Activer la sécurité basée sur la virtualisation.
Désactivez l’option, puis appliquez les applications. Cela devrait désactiver Credential Guard.

Cette méthode est assez simple, surtout si vous êtes à l’aise avec la manipulation des stratégies locales. Une fois cette opération effectuée, Windows devrait cesser d’appliquer la sécurité de virtualisation qui assure le fonctionnement de Credential Guard.

Méthode 2 : Modification manuelle des paramètres du registre

Si la stratégie de groupe ne suffit pas ou si vous travaillez sur une machine autonome, la modification du registre peut résoudre le problème. Cette opération est délicate ; pensez donc à sauvegarder votre registre au préalable, ou au moins à créer un point de restauration. Voici la marche à suivre :

Ouvrez une fenêtre d’invite de commandes ou PowerShell en tant qu’administrateur.
Exécutez ces commandes pour définir la clé de registre qui contrôle Credential Guard :

reg add HKLM\SYSTEM\CurrentControlSet\Control\Lsa /f /v LsaCfgFlags /t REG_DWORD /d 0 reg add HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard /f /v LsaCfgFlags /t REG_DWORD /d 0

La première commande désactive Credential Guard s’il est activé via LsaCfgFlags. La seconde s’applique aux appareils utilisant certaines protections de verrouillage UEFI, en s’assurant que Credential Guard est complètement désactivé. Sur certaines configurations, ces commandes suffisent, mais sur d’autres, notamment si le verrouillage UEFI est activé, il faudra effectuer des opérations supplémentaires.

Option 3 : Gestion des systèmes compatibles avec le verrouillage UEFI

Voici la partie la plus délicate. Si votre firmware UEFI est protégé par un mot de passe et que le démarrage sécurisé est activé, une étape supplémentaire est nécessaire : désactiver Credential Guard au niveau du firmware. Cela implique la création d’une configuration de démarrage spécifique, une opération assez radicale, mais indispensable si vous souhaitez désactiver Credential Guard et que le verrouillage UEFI est activé.

Tout d’abord, ouvrez une invite de commandes en tant qu’administrateur.
Montez la partition système EFI : mountvol X: /s(remplacez X : par une lettre de lecteur disponible).

Copiez le chargeur de démarrage EFI avec Credential Guard désactivé :

copy %WINDIR%\System32\SecConfig.efi X:\EFI\Microsoft\Boot\SecConfig.efi /Y

Créez une nouvelle entrée BCD pour démarrer avec Credential Guard désactivé :

bcdedit /create {0cb3b571-2f2e-4343-a879-d86a476d7215} /d "DebugTool" /application osloader bcdedit /set {0cb3b571-2f2e-4343-a879-d86a476d7215} path "\EFI\Microsoft\Boot\SecConfig.efi" bcdedit /set {bootmgr} bootsequence {0cb3b571-2f2e-4343-a879-d86a476d7215} bcdedit /set {0cb3b571-2f2e-4343-a879-d86a476d7215} loadoptions DISABLE-LSA-ISO bcdedit /set {0cb3b571-2f2e-4343-a879-d86a476d7215} device partition=X: mountvol X: /d

Cette opération est extrêmement délicate ; veillez à suivre scrupuleusement les instructions, car une erreur dans le chargeur de démarrage pourrait empêcher Windows de démarrer correctement. Après le redémarrage, il vous sera demandé de désactiver Credential Guard au démarrage. Appuyez simplement et rapidement sur F3 lorsque le système vous le demande ; la fonctionnalité sera alors désactivée.

Vérifications finales et nettoyage

Une fois toutes ces étapes effectuées, vérifiez que Credential Guard est désactivé. Téléchargez le script PowerShell depuis le dépôt GitHub officiel Winhance ou utilisez les outils fournis DG_Readiness_Tool_v3.6.ps1. Exécutez-le comme suit :

cd C:\PS\dgreadiness_v3.6\ Set-ExecutionPolicy -Scope Process -ExecutionPolicy RemoteSigned.\DG_Readiness_Tool_v3.6.ps1 -Ready

Et si vous souhaitez désactiver complètement Credential Guard, exécutez :

.\DG_Readiness_Tool_v3.6.ps1 -Disable -CG

Redémarrez et appuyez de nouveau rapidement sur F3. Croisons les doigts, Credential Guard devrait avoir disparu. Sur certaines configurations, il faut procéder par essais et erreurs, surtout avec les problèmes de démarrage sécurisé/verrouillage UFEI, mais en résumé, voici la marche à suivre.

Honnêtement, c’est un peu frustrant que Windows rende la désactivation de certaines fonctions de sécurité aussi compliquée, mais bon, maintenant vous avez une bonne chance de résoudre les problèmes de machines virtuelles ou d’applications causés par Credential Guard.

Résumé

Désactivez Credential Guard via la stratégie de groupe ou en modifiant le registre.
Si le verrouillage UEFI est activé, désactivez-le via des modifications du chargeur de démarrage.
Utilisez des scripts comme Winhance pour la vérification et un contrôle accru.

Conclure

Désactiver Credential Guard n’est pas la procédure la plus simple, mais elle reste faisable si vous êtes à l’aise avec la ligne de commande et un redémarrage. Cela a permis de résoudre certains problèmes de compatibilité étranges entre machines virtuelles et applications, et sur certaines machines, c’est même la seule solution. Pensez à conserver une sauvegarde ou un point de restauration, car toute modification de la sécurité système comporte des risques. J’espère que cela vous fera gagner du temps. Bonne chance !