共用方式為

原則 CSP - 安全性

  • 發行項

AllowAddProvisioningPackage

領域 版本 適用的作業系統
✅ 裝置
❌ 使用者		 ✅ 專業版
✅ 企業版
✅ 教育版
✅ Windows SE
✅ IoT 企業版 / IoT 企業版 LTSC		 ✅Windows 10，版本 1507 [10.0.10240] 和更新版本 
./Device/Vendor/MSFT/Policy/Config/Security/AllowAddProvisioningPackage

指定是否允許運行時間設定代理程式安裝布建套件。

描述架構屬性:

屬性名稱 屬性值
格式 int
存取類型 新增、刪除、取得、取代
預設值 1

允許的值:

值 說明
0 不允許。
1 (預設) 已允許。

AllowManualRootCertificateInstallation

注意

此原則已被取代，並可能在未來的版本中移除。

領域 版本 適用的作業系統
✅ 裝置
❌ 使用者		 ❌ 專業版
❌ 企業版
❌ 教育版
❌ Windows SE
❌ IoT 企業版 / IoT 企業版 LTSC		 ✅Windows 10，版本 1507 [10.0.10240] 和更新版本 
./Device/Vendor/MSFT/Policy/Config/Security/AllowManualRootCertificateInstallation

此原則已被取代。

描述架構屬性:

屬性名稱 屬性值
格式 int
存取類型 新增、刪除、取得、取代
預設值 1

允許的值:

值 說明
0 不允許。
1 (預設) 已允許。

AllowRemoveProvisioningPackage

領域 版本 適用的作業系統
✅ 裝置
❌ 使用者		 ✅ 專業版
✅ 企業版
✅ 教育版
✅ Windows SE
✅ IoT 企業版 / IoT 企業版 LTSC		 ✅Windows 10，版本 1507 [10.0.10240] 和更新版本 
./Device/Vendor/MSFT/Policy/Config/Security/AllowRemoveProvisioningPackage

指定是否允許運行時間設定代理程式移除布建套件。

描述架構屬性:

屬性名稱 屬性值
格式 int
存取類型 新增、刪除、取得、取代
預設值 1

允許的值:

值 說明
0 不允許。
1 (預設) 已允許。

AntiTheftMode

注意

此原則已被取代，並可能在未來的版本中移除。

領域 版本 適用的作業系統
✅ 裝置
❌ 使用者		 不適用 ✅Windows 10，版本 1507 [10.0.10240] 和更新版本 
./Device/Vendor/MSFT/Policy/Config/Security/AntiTheftMode

此原則已被取代。

描述架構屬性:

屬性名稱 屬性值
格式 int
存取類型 新增、刪除、取得、取代
預設值 1

允許的值:

值 說明
0 停用。
1 (預設) 啟用。

ClearTPMIfNotReady

領域 版本 適用的作業系統
✅ 裝置
❌ 使用者		 ✅ 專業版
✅ 企業版
✅ 教育版
✅ Windows SE
✅ IoT 企業版 / IoT 企業版 LTSC		 ✅Windows 10，版本 1709 [10.0.16299] 和更新版本 
./Device/Vendor/MSFT/Policy/Config/Security/ClearTPMIfNotReady

如果偵測到 TPM 處於 Ready 以外的任何狀態，此原則設定會設定系統提示使用者清除 TPM。 只有當系統的 TPM 處於「就緒」以外的狀態時，此原則才會生效，包括 TPM 為「就緒，功能已減少」時。 只有在登入的使用者是系統的 Administrators 群組一部分時，才會在使用者登入時，在下次重新啟動後開始提示清除 TPM。 提示可以關閉，但會在每次重新啟動並登入之後重新出現，直到原則停用或 TPM 處於就緒狀態為止。

描述架構屬性:

屬性名稱 屬性值
格式 int
存取類型 新增、刪除、取得、取代
預設值 0

允許的值:

值 描述
0 (預設值) 不會強制從未就緒 TPM 狀態復原。
1 如果 TPM 處於未就緒狀態，則會提示您清除 TPM， (或縮減功能) 可使用 TPM Clear 進行補救。

群組原則對應:

名稱 值
名稱 ClearTPMIfNotReady_Name
易記名稱 將系統設定為在 TPM 未處於就緒狀態時清除它。
位置 [電腦設定]
路徑 系統 > 信任平臺模組服務
登錄機碼名稱 Software\Policies\Microsoft\TPM
登錄值名稱 ClearTPMIfNotReadyGP
ADMX 檔案名稱 TPM.admx

ConfigureWindowsPasswords

領域 版本 適用的作業系統
✅ 裝置
❌ 使用者		 ✅ 專業版
✅ 企業版
✅ 教育版
✅ Windows SE
✅ IoT 企業版 / IoT 企業版 LTSC		 ✅Windows 10 版本 1803 [10.0.17134] 和更新版本 
./Device/Vendor/MSFT/Policy/Config/Security/ConfigureWindowsPasswords

設定 Windows 功能的密碼使用方式。

注意

只有 Windows 10 S 才支援此原則。

描述架構屬性:

屬性名稱 屬性值
格式 int
存取類型 新增、刪除、取得、取代
預設值 2

允許的值:

值 說明
0 不允許 (非對稱認證的密碼會升級為取代 Windows 功能) 上的密碼。
1 允許密碼 (繼續允許密碼用於 Windows 功能) 。
2 (預設) 根據 SKU 和裝置功能。 Windows 10 S 裝置會呈現「不允許密碼」預設值，而所有其他裝置則預設為「允許密碼」) 。

PreventAutomaticDeviceEncryptionForAzureADJoinedDevices

領域 版本 適用的作業系統
✅ 裝置
❌ 使用者		 ✅ 專業版
✅ 企業版
✅ 教育版
✅ Windows SE
✅ IoT 企業版 / IoT 企業版 LTSC		 ✅Windows 10，版本 1607 [10.0.14393] 和更新版本 
./Device/Vendor/MSFT/Policy/Config/Security/PreventAutomaticDeviceEncryptionForAzureADJoinedDevices

指定當裝置 Microsoft Entra 加入時，是否要在 OOBE 期間允許自動裝置加密。

如需詳細資訊，請參閱 BitLocker 裝置加密

描述架構屬性:

屬性名稱 屬性值
格式 int
存取類型 新增、刪除、取得、取代
預設值 0

允許的值:

值 描述
0 (預設值) 已啟用加密。
1 已停用加密。

RecoveryEnvironmentAuthentication

領域 版本 適用的作業系統
✅ 裝置
✅ 使用者		 ✅ 專業版
✅ 企業版
✅ 教育版
✅ Windows SE
✅ IoT 企業版 / IoT 企業版 LTSC		 ✅Windows 10 版本 1809 [10.0.17763] 和更新版本 
./User/Vendor/MSFT/Policy/Config/Security/RecoveryEnvironmentAuthentication

./Device/Vendor/MSFT/Policy/Config/Security/RecoveryEnvironmentAuthentication

此原則會控制在 RecoveryEnvironment 中 管理員 驗證的需求。

驗證程式：

若要驗證此原則，請檢查重新整理是否 (「保留我的檔案」) 並重設 (「移除所有專案」，) 需要 Windows Recovery Environment (WinRE) 中的系統管理員驗證。

  1. 首先，在 WinRE 中 (PBR) 啟動 [按鍵重設]。 以系統管理員身分開啟命令提示字元，然後執行下列命令： reagentc /boottore
  2. 裝置應該會重新啟動至 WinRE。 在 WinRE 介面中，移至 [疑難解答 ]，然後選取 [ 重設此計算機]。 您應該會看到兩個選項： 保留我的檔案 和 移除所有專案。
  3. 選擇 [ 保留我的檔案] 選項。 檢視驗證的行為。
  4. 選取向後箭號，然後選擇 [移除所有專案]。 檢視驗證的行為。

您也可以在最終確認頁面上完成重設選項，然後選取 [ 取消 ]，而不是返回。 然後，它會返回主要 WinRE 介面。

下表顯示每個案例的原則設定預期的行為：

  • ✔️ 它會提示您進行驗證。
  • ❌ 不需要驗證，且會繼續重設選項。
原則 保留我的檔案 移除所有項目
默認 (0) ✔️ ❌
RequireAuthentication“ (1) ✔️ ✔️
NoRequireAuthentication“ (2) ❌ ❌

描述架構屬性:

屬性名稱 屬性值
格式 int
存取類型 新增、刪除、取得、取代
預設值 0

允許的值:

值 描述
0 (預設值) 目前) 行為。
1 RequireAuthentication：管理員 RecoveryEnvironment 中的元件一律需要驗證。
2 NoRequireAuthentication：管理員 RecoveryEnvironment 中的元件不需要驗證。

RequireDeviceEncryption

領域 版本 適用的作業系統
✅ 裝置
❌ 使用者		 ✅ 專業版
✅ 企業版
✅ 教育版
✅ Windows SE
✅ IoT 企業版 / IoT 企業版 LTSC		 ✅Windows 10，版本 1607 [10.0.14393] 和更新版本 
./Device/Vendor/MSFT/Policy/Config/Security/RequireDeviceEncryption

允許企業開啟內部記憶體加密。 限制程度最高的值為 1。 重要。 如果已啟用加密，則無法使用此原則關閉。

描述架構屬性:

屬性名稱 屬性值
格式 int
存取類型 新增、刪除、取得、取代
預設值 0

允許的值:

值 描述
0 (預設值) 不需要加密。
1 需要加密。

RequireProvisioningPackageSignature

領域 版本 適用的作業系統
✅ 裝置
❌ 使用者		 ✅ 專業版
✅ 企業版
✅ 教育版
✅ Windows SE
✅ IoT 企業版 / IoT 企業版 LTSC		 ✅Windows 10，版本 1507 [10.0.10240] 和更新版本 
./Device/Vendor/MSFT/Policy/Config/Security/RequireProvisioningPackageSignature

指定布建套件是否必須具有由裝置信任授權單位簽署的憑證。

描述架構屬性:

屬性名稱 屬性值
格式 int
存取類型 新增、刪除、取得、取代
預設值 0

允許的值:

值 描述
0 (預設值) 不需要。
1 必要。

RequireRetrieveHealthCertificateOnBoot

領域 版本 適用的作業系統
✅ 裝置
❌ 使用者		 ✅ 專業版
✅ 企業版
✅ 教育版
✅ Windows SE
✅ IoT 企業版 / IoT 企業版 LTSC		 ✅Windows 10，版本 1507 [10.0.10240] 和更新版本 
./Device/Vendor/MSFT/Policy/Config/Security/RequireRetrieveHealthCertificateOnBoot

指定是否要擷取和張貼 TCG 開機記錄，以及從 Microsoft Health 證明服務取得或快取加密或已簽署的健康情況證明報告， (裝置開機或重新啟動時，HAS) 。 將此原則設定為 1 (必要) ：確認裝置是否有 TPM 2，以判斷裝置是否能夠進行遠端裝置健康情況證明。 0. 讓裝置能夠擷取和快取數據，以減少裝置健康情況驗證期間的延遲，以改善裝置的效能。

注意

建議您在 MDM 註冊之後，將此原則設定為 [必要]。 限制程度最高的值為 1。

描述架構屬性:

屬性名稱 屬性值
格式 int
存取類型 新增、刪除、取得、取代
預設值 0

允許的值:

值 描述
0 (預設值) 不需要。
1 必要。

原則設定服務提供者