Microsoft-Windows-DeviceGuard-Unattend

  • Article

Le Microsoft-Windows-DeviceGuard-Unattend composant spécifie les paramètres d’initialisation et d’application de la sécurité basée sur la virtualisation, ce qui permet de protéger la mémoire système et les applications en mode noyau et les pilotes contre toute falsification possible.

Les administrateurs peuvent définir des valeurs pour les paramètres suivants afin de contrôler la sécurité basée sur la virtualisation.

Contenu de cette section

Paramètre Description
EnableVirtualizationBasedSecurity Utilisez pour activer la sécurité basée sur la virtualisation.
HypervisorEnforcedCodeIntegrity Spécifie l’intégrité du code qui sera appliquée pour l’hyperviseur, qui est une couche de logiciel sous le système d’exploitation qui exécute des machines virtuelles.
LsaCfgFlags Permet d’activer Credential Guard, qui utilise la sécurité basée sur la virtualisation pour isoler les secrets afin que seuls les logiciels système privilégiés puissent y accéder lorsqu’ils sont stockés sur disque ou en mémoire. Pour plus d’informations, consultez Credential Guard.

Exemple XML

L’exemple xml sans assistance suivant montre comment activer la sécurité basée sur la virtualisation.

<?xml version="1.0" encoding="UTF-8"?>
<unattend xmlns="urn:schemas-microsoft-com:unattend">
   <settings pass="offlineServicing">
      <component language="neutral" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xmlns:wcm="http://schemas.microsoft.com/WMIConfig/2002/State" versionScope="nonSxS" publicKeyToken="31bf3856ad364e35" processorArchitecture="amd64" name="Microsoft-Windows-DeviceGuard-Unattend">
         <EnableVirtualizationBasedSecurity>1</EnableVirtualizationBasedSecurity>
         <HypervisorEnforcedCodeIntegrity>1</HypervisorEnforcedCodeIntegrity>
         <LsaCfgFlags>1</LsaCfgFlags>
      </component>
   </settings>
   <cpi:offlineImage xmlns:cpi="urn:schemas-microsoft-com:cpi" cpi:source="wim:c:/install2/sources/install.wim#Windows 10 Enterprise"/>
</unattend>

Activation de Device Guard ou Credential Guard

En plus des paramètres Unattend dans Microsoft-Windows-DeviceGuard-Unattend, vous devez également activer Hyper-V et IUM pour activer Device Guard ou Credential Guard, ou vous pouvez définir directement des clés de Registre à l’aide de FirstLogonCommands.

  • Activez Hyper-V et IUM pour activer Device Guard ou Credential Guard en exécutant les commandes DISM suivantes :
    • DISM.EXE /Image:<chemin d’accès complet à l’image> hors connexion/Enable-Feature:Microsoft-Hyper-V-Hypervisor /All
    • DISM.EXE /Image:<chemin d’accès complet à l’image> hors connexion/Enable-Feature : IsolatedUserMode /All
  • Définissez les clés de Registre suivantes à l’aide du paramètre FirstLogonCommands :
    • REG ADD « HKLM\SYSTEM\CurrentControlSet\Control\DeviceGuard » /v « EnableVirtualizationBasedSecurity » /t REG_DWORD /d 1 /f
    • REG ADD « HKLM\SYSTEM\CurrentControlSet\Control\Lsa » /v « LsaCfgFlags » /t REG_DWORD /d 1 /f
    • REG ADD « HKLM\SYSTEM\CurrentControlSet\Control\DeviceGuard » /v « HypervisorEnforcedCodeIntegrity » /t REG_DWORD /d 1 /f

Lisez les articles suivants pour en savoir plus sur Device Guard et Credential Guard :

S'applique à

Pour déterminer si un composant s’applique à l’image que vous générez, chargez votre image dans Windows SIM et recherchez le nom du composant ou du paramètre. Pour plus d’informations sur l’affichage des composants et des paramètres, consultez Configurer des composants et des paramètres dans un fichier de réponses.

Composants