Configurar o Credential Guard

Este artigo descreve como configurar o Credential Guard usando o Microsoft Intune, a Política de Grupo ou o Registro.

Habilitação padrão

A partir do Windows 11, 22H2 e Windows Server 2025, o Credential Guard é habilitado por padrão em dispositivos que atendem aos requisitos.

Os administradores do sistema podem habilitar ou desabilitar explicitamente o Credential Guard usando um dos métodos descritos neste artigo. Valores configurados explicitamente substituem o estado de ativação padrão após uma reinicialização.

Se um dispositivo tiver o Credential Guard explicitamente desativado antes de atualizar para uma versão mais recente do Windows em que o Credential Guard está habilitado por padrão, ele permanecerá desabilitado mesmo após a atualização.

Importante

Para obter informações sobre problemas conhecidos relacionados à habilitação padrão, consulte Credential Guard: problemas conhecidos.

Habilitar o Credential Guard

O Credential Guard deve ser habilitado antes de um dispositivo ingressar em um domínio ou antes de um usuário de domínio entrar pela primeira vez. Se o Credential Guard for habilitado após o ingresso no domínio, os segredos do usuário e do dispositivo já poderão estar comprometidos.

Para habilitar o Credential Guard, você pode usar:

  • Microsoft Intune/MDM
  • Política de grupo
  • Registro

As instruções a seguir fornecem detalhes sobre como configurar seus dispositivos. Selecione a opção que melhor atende às suas necessidades.

Configurar o Credential Guard com o Intune

Para configurar dispositivos com o Microsoft Intune, crie uma política de catálogo de configurações e use as seguintes configurações:

Categoria Nome da configuração Valor
Device Guard Credential Guard Selecione uma das opções:
  - Habilitado com bloqueio UEFI
  - Habilitado sem bloqueio

Importante

Se você quiser desativar o Credential Guard remotamente, escolha a opção Habilitado sem bloqueio.

Atribua a política a um grupo que contenha como membros os dispositivos ou usuários que você deseja configurar.

Dica

Você também pode configurar o Credential Guard usando um perfil de proteção de conta na segurança do ponto de extremidade. Para obter mais informações, consulte Configurações da política de proteção de conta para segurança de ponto de extremidade no Microsoft Intune.

Como alternativa, você pode configurar dispositivos usando uma política personalizada com o CSP de políticas do Device Guard.

Configuração
Nome da configuração: Ativar a Segurança Baseada em Virtualização
OMA-URI:./Device/Vendor/MSFT/Policy/Config/DeviceGuard/EnableVirtualizationBasedSecurity
Tipo de dados: int
Valor: 1
Nome da configuração: Configuração do Credential Guard
OMA-URI:./Device/Vendor/MSFT/Policy/Config/DeviceGuard/LsaCfgFlags
Tipo de dados: int
Valor:
  Habilitado com bloqueio UEFI: 1
  Habilitado sem bloqueio: 2

Depois que a política for aplicada, reinicie o dispositivo.

Verificar se o Credential Guard está habilitado

Verificar se LsaIso.exe o Gerenciador de Tarefas está em execução não é um método recomendado para determinar se o Credential Guard está em execução. Em vez disso, use um dos seguintes métodos:

  • Informações do sistema
  • Windows PowerShell
  • Visualizador de Eventos

Informações do sistema

Você pode usar as Informações do Sistema para determinar se o Credential Guard está em execução em um dispositivo.

  1. Selecione Iniciar, digite msinfo32.exee selecione Informações do Sistema
  2. Selecione Resumo do Sistema
  3. Confirme se o Credential Guard é mostrado ao lado de Serviços de Segurança Baseados em Virtualização Em Execução

Windows PowerShell

Você pode usar o PowerShell para determinar se o Credential Guard está em execução em um dispositivo. Em uma sessão do PowerShell com privilégios elevados, use o seguinte comando:

(Get-CimInstance -ClassName Win32_DeviceGuard -Namespace root\Microsoft\Windows\DeviceGuard).SecurityServicesRunning

O comando gera a seguinte saída:

  • 0: o Credential Guard está desabilitado (não está em execução)
  • 1: o Credential Guard está habilitado (em execução)

Visualizador de eventos

Realize revisões regulares dos dispositivos que têm a Proteção de Credenciais habilitada, usando políticas de auditoria de segurança ou consultas WMI.
Abra o Visualizador de Eventos (eventvwr.exe) e vá para Windows Logs\System filtrar as origens de eventos para o WinInit:

ID do evento

Descrição

13 (Informações)

Credential Guard (LsaIso.exe) was started and will protect LSA credentials.

14 (Informações)

Credential Guard (LsaIso.exe) configuration: [**0x0** | **0x1** | **0x2**], **0**
  • A primeira variável: 0x1 ou 0x2 significa que o Credential Guard está configurado para ser executado. 0x0 significa que ele não está configurado para ser executado.
  • A segunda variável: 0 significa que ele está configurado para ser executado no modo de proteção. 1 significa que ele está configurado para ser executado no modo de teste. Essa variável deve ser sempre 0.

15 (Atenção)

Credential Guard (LsaIso.exe) is configured but the secure kernel isn't running;
continuing without Credential Guard.

16 (Atenção)

Credential Guard (LsaIso.exe) failed to launch: [error code]

17

Error reading Credential Guard (LsaIso.exe) UEFI configuration: [error code]

Desabilitar o Credential Guard

Existem diferentes opções para desabilitar o Credential Guard. A opção escolhida depende de como o Credential Guard está configurado:

As instruções a seguir fornecem detalhes sobre como configurar seus dispositivos. Selecione a opção que melhor atende às suas necessidades.

Desabilitar o Credential Guard com o Intune

Se o Credential Guard estiver habilitado por meio do Intune e sem o Bloqueio UEFI, desabilitar a mesma configuração de política desabilitará o Credential Guard.

Para configurar dispositivos com o Microsoft Intune, crie uma política de catálogo de configurações e use as seguintes configurações:

Categoria Nome da configuração Valor
Device Guard Credential Guard Desabilitado

Atribua a política a um grupo que contenha como membros os dispositivos ou usuários que você deseja configurar.

Como alternativa, você pode configurar dispositivos usando uma política personalizada com o CSP de políticas do Device Guard.

Configuração
Nome da configuração: Configuração do Credential Guard
OMA-URI:./Device/Vendor/MSFT/Policy/Config/DeviceGuard/LsaCfgFlags
Tipo de dados: int
Valor: 0

Depois que a política for aplicada, reinicie o dispositivo.

Desabilitar o Credential Guard com bloqueio UEFI

Se o Credential Guard estiver habilitado com bloqueio UEFI, siga este procedimento, pois as configurações são mantidas em variáveis EFI (firmware).

Observação

Este cenário requer presença física no computador para pressionar uma tecla de função para aceitar a alteração.

  1. Siga as etapas em Desabilitar o Credential Guard

  2. Exclua as variáveis EFI do Credential Guard usando bcdedit. Em um prompt de comando elevado, digite os seguintes comandos:

    mountvol X: /s
copy %WINDIR%\System32\SecConfig.efi X:\EFI\Microsoft\Boot\SecConfig.efi /Y
bcdedit /create {0cb3b571-2f2e-4343-a879-d86a476d7215} /d "DebugTool" /application osloader
bcdedit /set {0cb3b571-2f2e-4343-a879-d86a476d7215} path "\EFI\Microsoft\Boot\SecConfig.efi"
bcdedit /set {bootmgr} bootsequence {0cb3b571-2f2e-4343-a879-d86a476d7215}
bcdedit /set {0cb3b571-2f2e-4343-a879-d86a476d7215} loadoptions DISABLE-LSA-ISO
bcdedit /set {0cb3b571-2f2e-4343-a879-d86a476d7215} device partition=X:
mountvol X: /d

  3. Reinicie o dispositivo. Antes da inicialização do sistema operacional, um prompt é exibido notificando que a UEFI foi modificada e solicitando confirmação. O prompt deve ser confirmado para que as alterações persistam.

Desabilitar o Credential Guard para uma máquina virtual

No host, você pode desabilitar o Credential Guard para uma máquina virtual com o seguinte comando:

Set-VMSecurity -VMName <VMName> -VirtualizationBasedSecurityOptOut $true

Próximas etapas

  • Última atualização em