停用 Windows 11 中的憑證保護並驗證其是否已關閉

憑證保護功能將敏感的登入金鑰（例如 NTLM 密碼雜湊和 Kerberos 票證）隔離在基於虛擬化的安全容器 (VBS) 中，即使本機管理員也無法存取這些金鑰。雖然這種保護非常重要，但它可能會幹擾Windows 11中的一些日常任務。停用此功能需要停用 VBS、清除兩個登錄項目，並且在 UEFI 鎖定的系統上，還需要在啟動過程中確認變更。

簡答： 放 Turn On Virtualization Based Security على 殘疾人 在群組原則中，設定這兩個記錄值。 LsaCfgFlags على 0然後重啟設備。如果 UEFI 鎖定已啟用，請執行 SecConfig.efi 啟動項目並按 F3 啟動時，請確認。

---

為什麼要停用憑證保護？

在執行Windows 11 22H2 或更高版本（企業版或教育版）的相容裝置上，憑證保護功能會自動啟用，部分元件在專業版中也可使用。設備需要 TPM 1.2 或 2.0、安全啟動、支援 SLAT 的 64 位元 CPU 以及 Hyper-V 虛擬機器管理程式。啟用後，它會阻止許多常見的工作流程。

哪裡出了故障？	原因
儲存 RDP 密碼	使用 NTLM 驗證時，不會儲存可重複使用的憑證。
VMware Workstation/VirtualBox	第三方虛擬機器 (VM) 出現「裝置/憑證保護不相容」錯誤。
登入 Wi-Fi 和 VPN	MSCHAPv2 協定（包括 PEAP-MSCHAPv2 和 EAP-MSCHAPv2）停止認證。
舊版身份驗證	依賴 NTLMv1 或不受限制的 Kerberos 委派的應用程式將停止運作。
遠端桌面服務（SSO）	RDS主機上的單一登入失敗。

注意：不建議在網域控制器上執行 Credential Guard ，因為它不會增加任何安全優勢，並且可能會導致與第三方軟體的相容性問題。

---

如何在 Windows 11 中檢查憑證保護狀態

在進行任何變更之前，請務必使用具有管理員權限的 PowerShell 視窗檢查Windows 11上 Credential Guard 的目前狀態。此指令會顯示系統上所有活動安全服務的清單。

(Get-CimInstance -ClassName Win32_DeviceGuard -Namespace rootMicrosoftWindowsDeviceGuard).SecurityServicesRunning

該值表示 1 直到啟用憑證保護，而該值表示 0 它實際上並未被激活。

---

使用群組原則和登錄編輯器停用憑證保護

這是在沒有 UEFI 鎖定的系統上停用憑證保護的標準方法。此程序會停用 VBS 並清除保持憑證隔離啟用狀態的 LSA 設定標誌。

1. 按下我的兩個鍵 Win + R，然後鍵入 gpedit.msc, 並打開 本地組策略編輯器 （本機群組原則編輯器）。導覽至以下路徑：電腦設定 → 管理範本 → 系統 → Device Guard。

2. 雙擊 Turn On Virtualization Based Security 並將其設置為 殘疾人如果目前狀態為“未配置”，請將其明確變更為“已停用”以強制執行該策略，然後按一下“確定”。

3. 以管理員權限開啟命令提示符，並將兩個 LSA 設定標誌的 REG_DWORD 值設為 0，從而刪除這兩個 LSA 設定標誌。

reg add HKLMSYSTEMCurrentControlSetControlLsa /f /v LsaCfgFlags /t REG_DWORD /d 0
reg add HKLMSOFTWAREPoliciesMicrosoftWindowsDeviceGuard /f /v LsaCfgFlags /t REG_DWORD /d 0

4. 重啟計算機。此步驟會停用 UEFI 鎖定功能無法保護 Windows 11 韌體設定的裝置上的憑證保護功能。

نصيحة： 您還可以設置 EnableVirtualizationBasedSecurity إ 0 之內 HKLMSYSTEMCurrentControlSetControlDeviceGuard 若要強制 VBS 關閉，請務必在修改註冊表之前備份註冊表。

---

如何在啟用 UEFI 鎖定的情況下移除 Credential Guard？

如果 UEFI 鎖定保護韌體免於軟體修改，僅修改登錄機碼是不夠的。您需要設定一個停用憑證隔離的臨時啟動項，然後在啟動過程中在控制台中確認變更。

1. 以管理員身分開啟命令提示字元。掛載 EFI 系統分割區，將 SecConfig.efi 工具複製到該分割區，然後建立一個臨時開機載入程式條目。

mountvol X: /s
copy %WINDIR%System32SecConfig.efi X:EFIMicrosoftBootSecConfig.efi /Y
bcdedit /create {0cb3b571-2f2e-4343-a879-d86a476d7215} /d "DebugTool" /application osloader
bcdedit /set {0cb3b571-2f2e-4343-a879-d86a476d7215} path "EFIMicrosoftBootSecConfig.efi"
bcdedit /set {bootmgr} bootsequence {0cb3b571-2f2e-4343-a879-d86a476d7215}
bcdedit /set {0cb3b571-2f2e-4343-a879-d86a476d7215} loadoptions DISABLE-LSA-ISO
bcdedit /set {0cb3b571-2f2e-4343-a879-d86a476d7215} device partition=X:
mountvol X: /d

2. 重啟電腦。在啟動程序的早期階段，「憑證保護選擇退出工具」會詢問您是否要停用「憑證保護」。

3. 請在幾秒鐘內按下F3 鍵進行確認。如果您在指定時間內沒有回應，引導程式變更將會取消，憑證保護功能將保持啟用狀態。

若要透過相同連接埠關閉基於虛擬化的安全功能，您可以展開載入選項，並在重新啟動裝置之前停用 VSM 啟動類型。

bcdedit /set {0cb3b571-2f2e-4343-a879-d86a476d7215} loadoptions DISABLE-LSA-ISO,DISABLE-VBS
bcdedit /set vsmlaunchtype off

---

使用設備防護和憑證防護準備工具。

微軟發布了一個 PowerShell 腳本，可以報告並切換支援設備上的這些功能。這比手動修改引導程式更方便。

1. 下載 dgreadiness_v3.6.zip 來自官方頁面 Device Guard 和 Credential Guard 準備工具 將其解壓縮到本機資料夾，然後導航到該目錄。

cd C:PSdgreadiness_v3.6

2. 如果腳本執行被阻止，則只允許目前會話簽署的腳本執行。

Set-ExecutionPolicy -Scope Process RemoteSigned

3. 檢查已啟動的 Defender 安全功能，然後執行針對 Credential Guard 的停用指令。

DG_Readiness_Tool_v3.6.ps1 -Ready
DG_Readiness_Tool_v3.6.ps1 -Disable -CG

4. 重新啟動計算機，並在啟動過程中按F3確認更改。

---

已確認成功停用憑證保護功能

重新啟動後，再次執行相同的 PowerShell 掃描。當它顯示該值時。 0這意味著 Credential Guard 已不再運作。您也可以透過開啟來測試實際結果。 mstsc.exe輸入伺服器位址，並確保「允許我保存憑證」選項現在正在儲存密碼。

如果該值仍然 1， 這 最常見的原因 因此，最好在啟動時跳過 F3 確認，將群組原則設定保留為“未配置”而不是“已停用”，或在韌體層級啟用憑證保護選項。 在 BIOS/UEFI 中對於韌體中直接提供基於虛擬化的安全或憑證保護功能的設備，請將這些選項設為「停用」並重新啟動。 虛擬化功能 與 Hyper-V 類似，移除虛擬機器管理程式平台會終止 VBS 所依賴的最後一個相依性。