Impossibilité d'activer l'autologon sur poste intégré à un domain AD d'un poste en Windows 11

Question

Bonjour,

Nous aimerions mettre en place une connexion automatique d'un compte sur un poste intégré à un domaine AD.

Configurations :

• Poste en Windows 11 Education - 24H2
• Poste intégré dans un domaine ActiveDirectory
• Compte en local sans mot de passe - Type Utilisateur

---

Nous avons essayé plusieurs solutions :

• Utilisation du logiciel Autologon v3.10 du Sysinternals (https://learn.microsoft.com/en-us/sysinternals/downloads/autologon)
• Modification de la base de registre en dur ou par GPO (https://learn.microsoft.com/fr-fr/troubleshoot/windows-server/user-profiles-and-logon/turn-on-automatic-logon)
  • AutoAdminLogon à 1
  • DefaultUserName : nom du compte
  • DefaultPassword : vide ou avec mot de passe
  • DefaultDomain : avec le nom du domaine ou le nom de la machine ou pas d'entrée en base de registre du tout
• Netplwiz
  • Modification de l'entrée de base de registre "DevicePasswordLessBuildVersion" à 0 pour avoir l'option "Les utilisateurs doivent [...] utiliser cet ordinateur.
    • Malgré cette modification, l'option n'apparaît pas.

---

Impossible de faire fonctionner l'autologon lorsque le poste est intégré au domaine. Lorsque l'on sort du domaine, cela fonctionne directement (sans modification des éléments que nous avons mis en place). Dès lors que nous le réintégrons, nous arrivons sur la page d'accueil du poste.

L'entrée "AutoAdminLogon" repasse à 0 et l'entrée "DefaultPassword" est supprimée après chaque redémarrage. Les autres entrées ne bougent pas.

Nous avons essayé de mettre un mot de passe sur le compte local, même résultat.

Nous avons également essayé avec un compte utilisateur AD, même résultat.

---

Nous sommes dans une impasse, auriez-vous une solution ?

Cordialement,

Paul

Answer 1

Salut Paul,

Le correctif consiste à appliquer un objet de stratégie de groupe d'ordinateur dédié à ce périphérique unique qui réactive la connexion par mot de passe et autorise l'ouverture de session automatique, puis à le définir AutoAdminLogon une fois de plus.

Faites-le sur l'unité d'organisation qui contient le PC. Créez un nouvel objet de stratégie de groupe d'ordinateur limité à cette machine :

• Dans Configuration de l'ordinateur > Paramètres Windows > Paramètres de sécurité > Stratégies locales > Options de sécurité définies :
  • Interactive logon: Do not display last user name À Disabled
  • Interactive logon: Do not require CTRL+ALT+DEL à Enabled.
• Dans Configuration de l'ordinateur > Modèles d'administration > Composants Windows > Windows Hello Entreprise définissez Use Windows Hello for Business la valeur Disabled.
• Dans Configuration de l'ordinateur > Modèles d'administration > Système > l'ouverture de session définie Turn on convenience PIN sign-in sur Disabled.

Si votre environnement applique la base de référence de sécurité Windows, assurez-vous que ce nouvel objet de stratégie de groupe a une priorité plus élevée que la base de référence sur ce PC afin que ces quatre paramètres l'emportent. Exécutez gpupdate /force ou redémarrez deux fois pour vous assurer que la stratégie prend effet.

Une fois les stratégies actives, donnez au compte local cible un mot de passe non vide. Maintenant, réglez autologon à nouveau à l'aide de Sysinternals, Autologon.exe exécutez en tant qu'administrateur et entrez ComputerName\LocalUser plus le mot de passe.

Redémarrez et il devrait se connecter automatiquement. Si vous préférez la route du registre, confirmez sous HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon celle-ci :

• AutoAdminLogon est 1
• DefaultUserName correspond au compte local ou au compte de domaine
• DefaultDomainName est ComputerName destiné à un compte local ou votre domaine AD à un utilisateur de domaine.

Laissez Autologon gérer le stockage du mot de passe plutôt que de le créer DefaultPassword manuellement.

Deux vérifications rapides : Tout d'abord, vérifiez qu'aucun objet de stratégie de groupe ou référence de sécurité de priorité supérieure n'est défini Do not display last user name sur Enabled ou Use Windows Hello for Business sur Enabled. Si c'est le cas, déplacez le PC vers une unité d'organisation intermédiaire ou liez d'abord le nouvel objet de stratégie de groupe. Deuxièmement, assurez-vous qu'aucun script de post-démarrage ou agent de sécurité ne réécrit les Winlogon clés. En dernier recours, testez avec le PC temporairement supprimé de tous les GPO à l'aide d'un héritage de bloc sur une unité d'organisation de test. Si AutoAdminLogon cela fonctionne, le bloqueur est définitivement une politique en amont et vous pouvez le restreindre à l'un des paramètres ci-dessus. S'il vous plaît, faites-moi savoir les résultats !