配置 Credential Guard

本文介绍如何使用Microsoft Intune、组策略或注册表配置 Credential Guard。

从 Windows 11 版本 22H2 开始，默认情况下，Credential Guard 在满足要求的设备上处于打开状态。 默认启用 没有 UEFI 锁定，它允许管理员在需要时远程禁用 Credential Guard。

如果在设备更新为 Windows 11 版本 22H2 或更高版本之前禁用 Credential Guard 或 VBS，则默认启用不会覆盖现有设置。

当 Credential Guard 的默认状态已更改时，系统管理员可以使用本文所述的方法之一启用或禁用它。

重要提示

有关与默认启用相关的已知问题的信息，请参阅 Credential Guard：已知问题。

注意

运行 Windows 11 专业版/Pro Edu 22H2 或更高版本的设备可以自动启用基于虚拟化的安全 (VBS) 和/或 Credential Guard（如果它们满足默认启用的其他要求，并且以前运行过 Credential Guard）。 例如，如果在后来降级为 Pro 的企业设备上启用了 Credential Guard。

若要确定 Pro 设备是否处于此状态，检查是否存在以下注册表项：Computer\HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\MSV1_0\IsolatedCredentialsRootSecret。 在此方案中，如果要禁用 VBS 和 Credential Guard，请按照说明 禁用基于虚拟化的安全性。 如果只想禁用 Credential Guard，而不禁用 VBS，请使用过程 禁用 Credential Guard。

应在设备加入域之前或域用户首次登录之前启用 Credential Guard。 如果在加入域后启用了 Credential Guard，则用户和设备机密可能已泄露。

若要启用 Credential Guard，可以使用：

以下说明详细介绍了如何配置设备。 选择最适合你需求的选项。

若要使用Microsoft Intune配置设备，请创建设置目录策略并使用以下设置：

重要提示

如果希望能够远程关闭 Credential Guard，请选择选项 “启用且不锁定”。

将策略分配给一个组，该组包含要配置的设备或用户作为成员。

提示

还可以使用终结点安全性中的 帐户保护 配置文件配置 Credential Guard。 有关详细信息，请参阅 Microsoft Intune 中终结点安全的帐户保护策略设置。

或者，可以通过 DeviceGuard 策略 CSP 使用自定义策略配置设备。

应用策略后，重启设备。

若要使用组策略配置设备，请使用本地组策略编辑器。 若要配置多个已加入 Active Directory 的设备，请 (GPO) 创建或编辑 组策略对象，并使用以下设置：

重要提示

如果希望能够远程关闭 Credential Guard，请选择选项 “启用且不锁定”。

组策略可以 链接到 域或组织单位， 使用安全组进行筛选， 或使用 WMI 筛选器进行筛选。

应用策略后，重启设备。

若要使用注册表配置设备，请使用以下设置：

重启设备以应用更改。

提示

可以通过在 FirstLogonCommands 无人参与设置中设置注册表项来启用 Credential Guard。

检查任务管理器是否 LsaIso.exe 正在运行不是确定 Credential Guard 是否正在运行的建议方法。 请改用以下方法之一：

可以使用 系统信息 来确定 Credential Guard 是否在设备上运行。

可以使用 PowerShell 来确定 Credential Guard 是否在设备上运行。 在提升的 PowerShell 会话中，使用以下命令：

命令生成以下输出：

使用安全审核策略或 WMI 查询定期评审启用了 Credential Guard 的设备。 打开事件查看器 (eventvwr.exe) ，转到Windows Logs\System并筛选 WinInit 的事件源：

事件 ID

Description

13 (信息)

14 (信息)

15 (警告)

16 (警告)

17

以下事件指示 TPM 是否用于密钥保护。 路径： Applications and Services logs > Microsoft > Windows > Kernel-Boot

事件 ID

Description

51 (信息)

如果使用 TPM 运行，则 TPM PCR 掩码值不是 0。

可通过不同的选项禁用 Credential Guard。 选择的选项取决于 Credential Guard 的配置方式：

以下说明详细介绍了如何配置设备。 选择最适合你需求的选项。

如果通过 Intune 启用 Credential Guard 且没有 UEFI 锁定，则禁用同一策略设置将禁用 Credential Guard。

若要使用Microsoft Intune配置设备，请创建设置目录策略并使用以下设置：

将策略分配给一个组，该组包含要配置的设备或用户作为成员。

或者，可以通过 DeviceGuard 策略 CSP 使用自定义策略配置设备。

应用策略后，重启设备。

如果通过 组策略 启用了 Credential Guard 且没有 UEFI 锁定，则禁用同一组策略设置将禁用 Credential Guard。

若要使用组策略配置设备，请使用本地组策略编辑器。 若要配置多个已加入 Active Directory 的设备，请 (GPO) 创建或编辑 组策略对象，并使用以下设置：

组策略可以 链接到 域或组织单位， 使用安全组进行筛选， 或使用 WMI 筛选器进行筛选。

应用策略后，重启设备。

如果在未启用 UEFI Lock 且未组策略的情况下启用 Credential Guard，则编辑注册表项即可禁用它。

注意

删除这些注册表设置可能不会禁用 Credential Guard。 它们必须设置为值 0。

重启设备以应用更改。

有关禁用基于虚拟化的安全性 (VBS) 的信息，请参阅 禁用基于虚拟化的安全性。

如果使用 UEFI 锁启用 Credential Guard，请遵循此过程，因为设置将保留在 EFI (固件) 变量中。

注意

此方案要求计算机中存在物理状态，才能按功能键接受更改。

按照禁用 Credential Guard 中的步骤操作

使用 bcdedit 删除 Credential Guard EFI 变量。 在提升的命令提示符下键入以下命令：

重启设备。 在 OS 启动之前，系统会显示一条提示，通知 UEFI 已修改，并要求确认。 必须确认提示，更改才能保留。

在主机中，可以使用以下命令为虚拟机禁用 Credential Guard：

如果禁用基于虚拟化的安全性 (VBS) ，则会自动禁用 Credential Guard 和其他依赖于 VBS 的功能。

重要提示

Credential Guard 以外的其他安全功能依赖于 VBS。 禁用 VBS 可能会产生意外的副作用。

使用以下选项之一禁用 VBS：

以下说明详细介绍了如何配置设备。 选择最适合你需求的选项。

如果 VBS 是通过 Intune 启用的，并且没有 UEFI 锁定，则禁用相同的策略设置将禁用 VBS。

若要使用Microsoft Intune配置设备，请创建设置目录策略并使用以下设置：

将策略分配给一个组，该组包含要配置的设备或用户作为成员。

或者，可以通过 DeviceGuard 策略 CSP 使用自定义策略配置设备。

应用策略后，重启设备。

配置用于将 VBS 启用为 “已禁用”的策略。

若要使用组策略配置设备，请使用本地组策略编辑器。 若要配置多个已加入 Active Directory 的设备，请 (GPO) 创建或编辑 组策略对象，并使用以下设置：

组策略可以 链接到 域或组织单位， 使用安全组进行筛选， 或使用 WMI 筛选器进行筛选。

应用策略后，重启设备

删除以下注册表项：

重要提示

如果手动删除注册表设置，请确保将其全部删除，否则设备可能会进入 BitLocker 恢复。

重启设备以应用更改。

如果使用 UEFI 锁定启用 Credential Guard，则必须使用 命令 bcdedit.exe清除固件中存储的 EFI 变量。 在提升的命令提示符下，运行以下命令：