Windows 11에서 자격 증명 보호 기능을 비활성화하고 비활성화되었는지 확인하는 방법

Windows 11에서 자격 증명 보호 기능을 비활성화하고 완전히 꺼졌는지 확인하는 방법을 알아보세요. 단계별 가이드를 통해 문제를 해결하고 성능을 복원할 수 있습니다. 지금 시작하세요!

가장 중요한 사항들

보안 기능임에도 불구하고, Credential Guard는 RDP 암호 저장, 타사 가상 머신 실행(VMware/VirtualBox), 기존 인증 프로토콜(MSCHAPv2, NTLMv1)과 같은 일반적인 애플리케이션에서 호환성 문제를 일으킬 수 있습니다.
Credential Guard의 상태를 확인하려면 관리자 권한으로 다음 PowerShell 명령을 사용하십시오. (Get-CimInstance -ClassName Win32_DeviceGuard -Namespace rootMicrosoftWindowsDeviceGuard).SecurityServicesRunning , 여기서 값 1 활성화를 나타내고 0 비활성화를 나타냅니다.
Credential Guard를 비활성화하려면 그룹 정책을 사용하여 "가상화 기반 보안 켜기"를 "사용 안 함"으로 설정하고 LsaCfgFlags 레지스트리 키를 0 으로 수정하거나, UEFI 잠금이 있는 경우 bcdedit 사용하여 임시 부팅 항목을 생성하고 재부팅 시 F3 를 눌러야 합니다.

Credential Guard는 NTLM 암호 해시 및 Kerberos 티켓과 같은 민감한 로그인 정보를 가상화 기반 보안 컨테이너(VBS) 내에 격리하여 로컬 관리자조차도 접근할 수 없도록 보호합니다. 이러한 보호 기능은 중요하지만 Windows 11 에서 일부 일상적인 작업에 지장을 줄 수 있습니다. Credential Guard 를 비활성화하려면 VBS를 비활성화하고 레지스트리 플래그 두 개를 삭제해야 하며, UEFI로 잠긴 시스템에서는 부팅 중에 변경 사항을 확인해야 합니다.

Windows 11에서 자격 증명 보호 기능을 비활성화하고 비활성화되었는지 확인하는 방법

빠른 답변: 세트 Turn On Virtualization Based Security على 장애인 그룹 정책에서 두 레코드 값을 모두 설정합니다. LsaCfgFlags على 0그런 다음 장치를 다시 시작하십시오. UEFI 잠금이 활성화된 경우 SecConfig.efi 부팅 항목을 실행하고 누르십시오. F3 시작 시 확인합니다.

Credential Guard를 비활성화해야 하는 이유는 무엇입니까?

Credential Guard는 Windows 11 22H2 이상 버전의 Enterprise 또는 Education 에디션을 실행하는 호환 장치에서 자동으로 활성화됩니다 . 일부 구성 요소는 Pro 에디션에서도 사용할 수 있습니다. 해당 장치는 TPM 1.2 또는 2.0, Secure Boot, SLAT를 지원하는 64비트 CPU 및 Hyper-V 하이퍼바이저가 필요합니다. Credential Guard가 활성화되면 여러 일반적인 워크플로가 차단됩니다.

무엇이 오작동하고 있나요?	이유
RDP 비밀번호 저장	NTLM 인증을 사용할 때는 재사용 가능한 자격 증명이 저장되지 않습니다.
VMware Workstation/VirtualBox	타사 가상 머신(VM)에서 "장치/자격 증명 보호 기능이 호환되지 않습니다"라는 오류가 발생합니다.
Wi-Fi 및 VPN에 로그인하세요	PEAP-MSCHAPv2 및 EAP-MSCHAPv2를 포함한 MSCHAPv2 프로토콜은 인증을 중단합니다.
이전 인증	NTLMv1 또는 무제한 Kerberos 위임에 의존하는 애플리케이션은 작동을 멈춥니다.
원격 데스크톱 서비스(SSO)	RDS 호스트에서 싱글 사인온(SSO)이 실패합니다.

참고: 도메인 컨트롤러 에서 Crential Guard를 실행하는 것은 권장되지 않습니다 . Crential Guard는 도메인 컨트롤러에서 보안상의 이점을 제공하지 않으며 타사 소프트웨어와의 호환성 문제를 일으킬 수 있습니다.

Windows 11에서 Crential Guard 상태를 확인하는 방법

변경 작업을 진행하기 전에 관리자 권한으로 PowerShell 창을 열어 Windows 11 의 Credential Guard 현재 상태를 확인하는 것이 중요합니다 . 다음 명령은 시스템에서 활성화된 보안 서비스 목록을 표시합니다.

(Get-CimInstance -ClassName Win32_DeviceGuard -Namespace rootMicrosoftWindowsDeviceGuard).SecurityServicesRunning

값은 나타냅니다 1 Credential Guard가 활성화될 때까지 해당 값은 다음을 의미합니다. 0 실제로 활성화되어 있지 않습니다.

Credential Guard 상태를 확인하는 PowerShell 명령의 결과를 보여주는 스크린샷입니다.

그룹 정책 및 레지스트리 편집기를 사용하여 Credential Guard를 비활성화하는 방법

이 방법은 UEFI 잠금이 없는 시스템에서 Credential Guard를 비활성화하는 표준적인 방법입니다. 이 과정을 통해 VBS가 비활성화되고 Credential Isolation을 활성화 상태로 유지하는 LSA 구성 플래그가 지워집니다.

1. 내 키 두 개를 누르세요 Win + R, 입력 gpedit.msc, 그리고 열기 로컬 그룹 정책 편집기 (로컬 그룹 정책 편집기). 다음 경로로 이동하십시오. 컴퓨터 구성 → 관리 템플릿 → 시스템 → Device Guard.

로컬 그룹 정책 편집기의 스크린샷으로 Device Guard 경로가 표시됩니다.

2. 더블 클릭 Turn On Virtualization Based Security 그리고 그것을 설정 장애인현재 상태가 "구성되지 않음"인 경우, 정책을 적용하려면 명시적으로 "사용 안 함"으로 변경한 다음 "확인"을 클릭하십시오.

3. 관리자 권한으로 명령 프롬프트를 열고 두 개의 LSA 구성 플래그의 REG_DWORD 값을 0으로 설정하여 삭제합니다.

reg add HKLMSYSTEMCurrentControlSetControlLsa /f /v LsaCfgFlags /t REG_DWORD /d 0
reg add HKLMSOFTWAREPoliciesMicrosoftWindowsDeviceGuard /f /v LsaCfgFlags /t REG_DWORD /d 0

4. 컴퓨터를 다시 시작하십시오. 이 단계는 Windows 11에서 UEFI 잠금 기능으로 펌웨어 설정을 보호하지 않는 장치에서 자격 증명 보호 기능을 비활성화합니다.

조언: 당신은 또한 설정할 수 있습니다 EnableVirtualizationBasedSecurity 나에게 0 이내에 HKLMSYSTEMCurrentControlSetControlDeviceGuard VBS를 강제로 종료하려면 레지스트리를 수정하기 전에 반드시 백업하십시오.

UEFI 잠금이 활성화된 경우 Crential Guard를 제거하는 방법

UEFI 잠금으로 펌웨어가 소프트웨어 수정으로부터 보호되는 경우, 레지스트리 수정만으로는 충분하지 않습니다. 자격 증명 격리가 비활성화된 상태로 실행되는 임시 부팅 항목을 구성한 다음, 부팅 과정 중에 콘솔에서 변경 사항을 확인해야 합니다.

1. 관리자 권한으로 명령 프롬프트를 엽니다 . EFI 시스템 파티션을 마운트하고 SecConfig.efi 도구를 해당 파티션에 복사한 다음 임시 부트로더 항목을 생성합니다.

mountvol X: /s
copy %WINDIR%System32SecConfig.efi X:EFIMicrosoftBootSecConfig.efi /Y
bcdedit /create {0cb3b571-2f2e-4343-a879-d86a476d7215} /d "DebugTool" /application osloader
bcdedit /set {0cb3b571-2f2e-4343-a879-d86a476d7215} path "EFIMicrosoftBootSecConfig.efi"
bcdedit /set {bootmgr} bootsequence {0cb3b571-2f2e-4343-a879-d86a476d7215}
bcdedit /set {0cb3b571-2f2e-4343-a879-d86a476d7215} loadoptions DISABLE-LSA-ISO
bcdedit /set {0cb3b571-2f2e-4343-a879-d86a476d7215} device partition=X:
mountvol X: /d

2. 컴퓨터를 다시 시작하십시오. 부팅 과정 초기에 Credential Guard 옵트아웃 도구가 Credential Guard를 비활성화할지 여부를 묻습니다.

3. 몇 초 이내에 F3 키를 눌러 확인하십시오. 지정된 시간 내에 응답하지 않으면 부트로더 변경이 취소되고 Crential Guard가 활성화된 상태로 유지됩니다.

동일한 포트를 통해 가상화 기반 보안을 해제하려면 로딩 옵션을 확장하고 장치를 다시 시작하기 전에 VSM 실행 유형을 비활성화하면 됩니다.

bcdedit /set {0cb3b571-2f2e-4343-a879-d86a476d7215} loadoptions DISABLE-LSA-ISO,DISABLE-VBS
bcdedit /set vsmlaunchtype off

가상화 기반 보안 및 VSM을 비활성화하기 위해 명령 프롬프트에서 BCDedit 명령어를 실행한 화면 캡처입니다.

Device Guard 및 Credential Guard 준비 도구를 사용하십시오.

마이크로소프트는 지원되는 장치에서 이러한 기능을 보고하고 켜고 끌 수 있는 PowerShell 스크립트를 제공합니다. 이는 부트로더를 수동으로 수정하는 것보다 편리한 대안입니다.

1. 다운로드 dgreadiness_v3.6.zip 공식 페이지에서 발췌 Device Guard 및 Credential Guard 준비 도구 압축을 풀어 로컬 폴더에 저장한 다음 해당 디렉토리로 이동하세요.

cd C:PSdgreadiness_v3.6

파일 탐색기에서 압축 해제된 dgreadiness_v3.6.zip 폴더의 스크린샷입니다.

2. 스크립트 실행이 차단된 경우, 현재 세션에 대해 서명된 스크립트만 허용합니다.

Set-ExecutionPolicy -Scope Process RemoteSigned

PowerShell에서 Set-ExecutionPolicy 명령을 실행한 화면 캡처입니다.

3. 활성화된 Defender 보안 기능을 확인한 다음, Credential Guard를 대상으로 하는 비활성화 명령을 실행합니다.

DG_Readiness_Tool_v3.6.ps1 -Ready
DG_Readiness_Tool_v3.6.ps1 -Disable -CG

Credential Guard를 비활성화하는 데 사용된 PowerShell 명령의 스크린샷

4. 컴퓨터를 다시 시작하고 시작 중에 F3 키를 눌러 변경 사항을 확인하십시오.

Credential Guard 비활성화가 성공적으로 완료되었음을 확인합니다.

재부팅 후 동일한 PowerShell 검사를 다시 실행하십시오. 값이 표시되면 0이는 Crential Guard가 더 이상 작동하지 않음을 의미합니다. 실제 결과를 확인하려면 해당 파일을 열어보세요. mstsc.exe서버 주소를 입력하고 "자격 증명 저장 허용" 옵션이 암호를 저장하도록 설정되어 있는지 확인하십시오.

값이 여전히 1, NS 가장 흔한 원인 따라서 부팅 시 F3 확인 절차를 건너뛰거나, 그룹 정책 설정을 "사용 안 함" 대신 "구성 안 함"으로 유지하거나, 펌웨어 수준에서 자격 증명 보호 옵션을 활성화 상태로 유지하는 것이 가장 좋습니다. BIOS/UEFI에서펌웨어에서 직접 가상화 기반 보안 또는 자격 증명 보호 기능을 제공하는 장치의 경우, 이러한 옵션을 "사용 안 함"으로 설정하고 다시 시작하십시오. 가상화 기능 Hyper-V와 마찬가지로 하이퍼바이저 플랫폼을 제거하면 VBS가 의존하는 마지막 종속성이 사라집니다.

Windows