Disabilitare Credential Guard in Windows 11 e verificare che sia disattivato.

Credential Guard isola le credenziali di accesso sensibili, come gli hash delle password NTLM e i ticket Kerberos, all'interno di un contenitore di sicurezza basato sulla virtualizzazione (VBS), proteggendole persino dagli amministratori locali. Sebbene questa protezione sia importante, può interferire con alcune attività quotidiane in Windows 11. Per disabilitarla è necessario disabilitare VBS , cancellare due flag del registro di sistema e, sui sistemi con UEFI bloccato, confermare la modifica all'avvio.

Risposta rapida: set Turn On Virtualization Based Security على disabile Nelle Criteri di gruppo, impostare entrambi i valori dei record. LsaCfgFlags على 0Quindi riavvia il dispositivo. Se il blocco UEFI è attivo, esegui la voce di avvio SecConfig.efi e premi F3 All'avvio, per confermare.

---

Perché Credential Guard dovrebbe essere disabilitato?

Credential Guard è abilitato automaticamente sui dispositivi compatibili con Windows 11 22H2 o versioni successive nelle edizioni Enterprise o Education, con alcuni componenti disponibili anche nell'edizione Pro. I dispositivi richiedono un TPM 1.2 o 2.0, Secure Boot, una CPU a 64 bit con SLAT e un hypervisor Hyper-V. Una volta abilitato, blocca molti flussi di lavoro comuni.

Qual è il problema?	Motivo
Scrittura delle password RDP	Le credenziali riutilizzabili non vengono memorizzate quando si utilizza l'autenticazione NTLM.
VMware Workstation/VirtualBox	Le macchine virtuali (VM) di terze parti non funzionano e restituiscono l'errore "Dispositivo/Credential Guard non sono compatibili".
Accedi al Wi-Fi e alla VPN	I protocolli MSCHAPv2, inclusi PEAP-MSCHAPv2 ed EAP-MSCHAPv2, interrompono l'autenticazione.
Vecchia autenticazione	Le applicazioni che si basano su NTLMv1 o sulla delega Kerberos illimitata smetteranno di funzionare.
Servizi desktop remoto (SSO)	L'autenticazione single sign-on non riesce sull'host RDS.

Nota: si sconsiglia di eseguire Credential Guard sui controller di dominio , poiché non offre alcun vantaggio in termini di sicurezza e potrebbe causare problemi di compatibilità con software di terze parti.

---

Come verificare lo stato di Credential Guard in Windows 11

Prima di apportare qualsiasi modifica, è fondamentale verificare lo stato attuale di Credential Guard su Windows 11 utilizzando una finestra di PowerShell con privilegi di amministratore. Questo comando visualizza un elenco dei servizi di sicurezza attivi sul sistema.

(Get-CimInstance -ClassName Win32_DeviceGuard -Namespace rootMicrosoftWindowsDeviceGuard).SecurityServicesRunning

Il valore indica 1 Fino a quando Credential Guard non è abilitato, il valore significa 0 In realtà non è attivato.

---

Disabilitazione di Credential Guard tramite Criteri di gruppo e Editor del Registro di sistema

Questo metodo è la procedura standard per disabilitare Credential Guard sui sistemi senza blocco UEFI. Questa procedura disabilita VBS e cancella i flag di configurazione LSA che mantengono attivo l'isolamento delle credenziali.

1. Premi i miei due tasti Win + R, quindi digita gpedit.msce apri Editor criteri di gruppo locali (Editor Criteri di gruppo locali). Accedere al seguente percorso: Configurazione computer → Modelli amministrativi → Sistema → Device Guard.

2. Fare doppio clic Turn On Virtualization Based Security e impostalo su disabileSe lo stato corrente è "Non configurato", modificarlo esplicitamente in Disabilitato per applicare i criteri, quindi fare clic su OK.

3. Aprire il prompt dei comandi con privilegi di amministratore ed eliminare i due flag di configurazione LSA impostando i relativi valori REG_DWORD a 0.

reg add HKLMSYSTEMCurrentControlSetControlLsa /f /v LsaCfgFlags /t REG_DWORD /d 0
reg add HKLMSOFTWAREPoliciesMicrosoftWindowsDeviceGuard /f /v LsaCfgFlags /t REG_DWORD /d 0

4. Riavvia il computer. Questo passaggio disabilita Credential Guard sui dispositivi in ​​cui la funzione di blocco UEFI non protegge le impostazioni del firmware in Windows 11.

Consigli: Puoi anche impostare EnableVirtualizationBasedSecurity per me 0 entro HKLMSYSTEMCurrentControlSetControlDeviceGuard Per forzare l'arresto di VBS, assicurati di eseguire un backup del registro di sistema prima di modificarlo.

---

Come rimuovere Credential Guard quando è attivo il blocco UEFI

Se un blocco UEFI protegge il firmware dalle modifiche software, le sole modifiche al registro di sistema non sono sufficienti. È necessario configurare una voce di avvio temporanea che venga eseguita con l'isolamento delle credenziali disabilitato e quindi confermare la modifica nella console durante il processo di avvio.

1. Apri il prompt dei comandi come amministratore. Monta la partizione di sistema EFI, copia lo strumento SecConfig.efi al suo interno e crea una voce temporanea per il bootloader.

mountvol X: /s
copy %WINDIR%System32SecConfig.efi X:EFIMicrosoftBootSecConfig.efi /Y
bcdedit /create {0cb3b571-2f2e-4343-a879-d86a476d7215} /d "DebugTool" /application osloader
bcdedit /set {0cb3b571-2f2e-4343-a879-d86a476d7215} path "EFIMicrosoftBootSecConfig.efi"
bcdedit /set {bootmgr} bootsequence {0cb3b571-2f2e-4343-a879-d86a476d7215}
bcdedit /set {0cb3b571-2f2e-4343-a879-d86a476d7215} loadoptions DISABLE-LSA-ISO
bcdedit /set {0cb3b571-2f2e-4343-a879-d86a476d7215} device partition=X:
mountvol X: /d

2. Riavvia il computer. All'inizio del processo di avvio, lo strumento di disattivazione di Credential Guard ti chiederà se desideri disabilitare Credential Guard.

3. Premi F3 entro pochi secondi per confermare. Se non rispondi entro il tempo specificato, la modifica del bootloader verrà annullata e Credential Guard rimarrà attivo.

Per disattivare la sicurezza basata sulla virtualizzazione tramite la stessa porta, è possibile espandere le opzioni di caricamento e disabilitare il tipo di esecuzione VSM prima di riavviare il dispositivo.

bcdedit /set {0cb3b571-2f2e-4343-a879-d86a476d7215} loadoptions DISABLE-LSA-ISO,DISABLE-VBS
bcdedit /set vsmlaunchtype off

---

Utilizza gli strumenti di verifica della conformità di Device Guard e Credential Guard.

Microsoft pubblica uno script PowerShell in grado di segnalare e attivare/disattivare queste funzionalità sui dispositivi supportati. Si tratta di un'alternativa pratica alla modifica manuale del bootloader.

1. Scarica dgreadiness_v3.6.zip Dalla pagina ufficiale di Strumenti di preparazione per Device Guard e Credential Guard Estrai il file in una cartella locale, quindi accedi a questa directory.

cd C:PSdgreadiness_v3.6

2. Se l'esecuzione dello script è bloccata, consenti solo gli script firmati per la sessione corrente.

Set-ExecutionPolicy -Scope Process RemoteSigned

3. Verifica le funzionalità di sicurezza di Defender attive, quindi esegui il comando di disabilitazione che riguarda Credential Guard.

DG_Readiness_Tool_v3.6.ps1 -Ready
DG_Readiness_Tool_v3.6.ps1 -Disable -CG

4. Riavvia il computer e premi F3 durante l'avvio per confermare la modifica.

---

Conferma dell'avvenuta disattivazione di Credential Guard

Dopo il riavvio, esegui nuovamente la stessa scansione PowerShell. Quando viene visualizzato il valore 0Ciò significa che Credential Guard non funziona più. Puoi anche testare il risultato pratico aprendo mstsc.exeInserisci l'indirizzo del server e assicurati che l'opzione "Consenti di salvare le credenziali" memorizzi la password.

Se il valore è ancora 1, il Cause più comuni Pertanto, è preferibile saltare la conferma F3 durante l'avvio, lasciare l'impostazione dei Criteri di gruppo su "Non configurato" anziché "Disabilitato" oppure mantenere l'opzione Credential Guard abilitata a livello di firmware. Nel BIOS/UEFISui dispositivi che offrono Sicurezza basata sulla virtualizzazione o Credential Guard direttamente nel firmware, impostare queste opzioni su "Disabilitato" e riavviare. Quando non Funzionalità di virtualizzazione Analogamente a Hyper-V, la rimozione della piattaforma hypervisor elimina l'ultima dipendenza da cui dipende VBS.