Windows 11에서 자격 증명 보호 기능을 비활성화하고 비활성화되었는지 확인하는 방법

تعلم كيفية تعطيل Credential Guard في Windows 11 وتأكيد إيقافه بشكل كامل. دليلنا خطوة بخطوة يساعدك على حل المشكلات واستعادة الأداء. ابدأ الآن!

기술

By 메르완 레다

저희를 팔로우하고 Google에서 즐겨찾는 소스로 추가해 주세요.

가장 중요한 사항들

قد يتسبب Credential Guard، رغم كونه ميزة أمنية، في مشاكل توافق مع تطبيقات شائعة مثل حفظ كلمات مرور RDP، وتشغيل الأجهزة الافتراضية لجهات خارجية (VMware/VirtualBox)، وبروتوكولات المصادقة القديمة (MSCHAPv2، NTLMv1).
للتحقق من حالة Credential Guard، استخدم أمر PowerShell التالي بصلاحيات المسؤول: <code>(Get-CimInstance -ClassName Win32_DeviceGuard -Namespace rootMicrosoftWindowsDeviceGuard).SecurityServicesRunning</code>، حيث تشير القيمة <code>1</code> إلى التفعيل و<code>0</code> إلى التعطيل.
لتعطيل Credential Guard، يمكن استخدام سياسة المجموعة بتعيين “Turn On Virtualization Based Security” إلى “Disabled” وتعديل مفتاحي سجل <code>LsaCfgFlags</code> إلى <code>0</code>، 또는 في حال وجود قفل UEFI، يتطلب الأمر إنشاء إدخال تمهيد مؤقت باستخدام <code>bcdedit</code> والضغط على <code>F3</code> عند إعادة التشغيل.

يعزل Credential Guard أسرار تسجيل الدخول الحساسة، مثل تجزئات كلمات مرور NTLM وتذاكر Kerberos، داخل حاوية أمان قائمة على المحاكاة الافتراضية (VBS)، مما يحميها حتى من المسؤولين المحليين. على الرغم من أهمية هذه الحماية، إلا أنها قد تعطل بعض المهام اليومية في 윈도우 11. يتطلب إيقاف تشغيلها تعطيل VBS، ومسح قيمتين في سجل النظام (registry flags)، وفي الأنظمة المزودة بقفل UEFI، تأكيد التغيير أثناء الإقلاع.

Windows 11에서 자격 증명 보호 기능을 비활성화하고 비활성화되었는지 확인하는 방법

빠른 답변: 세트 Turn On Virtualization Based Security على 장애인 في Group Policy، واضبط كلتا قيمتي سجل LsaCfgFlags على 0، ثم أعد تشغيل الجهاز. إذا كان قفل UEFI نشطًا، قم بتشغيل إدخال الإقلاع SecConfig.efi واضغط على F3 عند بدء التشغيل للتأكيد.

لماذا يجب تعطيل Credential Guard؟

يتم تمكين Credential Guard تلقائيًا على الأجهزة المتوافقة التي تعمل بنظام 윈도우 11 22H2 또는 أحدث في إصدارات Enterprise 또는 Education، مع توفر بعض المكونات أيضًا في إصدار Pro. تتطلب الأجهزة وحدة TPM 1.2 또는 2.0، 그리고 Secure Boot، ووحدة معالجة مركزية 64 بت مع SLAT، ومنصة Hyper-V hypervisor. بمجرد تفعيله، فإنه يمنع العديد من سير العمل الشائعة.

ما الذي يتعطل	이유
حفظ كلمات مرور RDP	لا يتم تخزين بيانات الاعتماد القابلة لإعادة الاستخدام عند استخدام مصادقة NTLM.
VMware Workstation / VirtualBox	تفشل الأجهزة الافتراضية (VMs) التابعة لجهات خارجية مع ظهور خطأ “Device/Credential Guard are not compatible”.
تسجيل الدخول إلى Wi-Fi 그리고 VPN	تتوقف بروتوكولات MSCHAPv2، بما في ذلك PEAP-MSCHAPv2 그리고 EAP-MSCHAPv2، عن المصادقة.
المصادقة القديمة	التطبيقات التي تعتمد على NTLMv1 또는 تفويض Kerberos غير المقيد تتوقف عن العمل.
Remote Desktop Services SSO	يفشل تسجيل الدخول الموحد (Single Sign-On) على مضيف RDS.

ملاحظة : لا يُنصح بتشغيل Credential Guard على وحدات تحكم المجال (domain controllers)، لأنه لا يضيف أي فائدة أمنية هناك وقد يسبب مشاكل توافق مع برامج الجهات الخارجية.

كيفية التحقق من حالة Credential Guard في Windows 11

قبل إجراء أي تغييرات، من الضروري التحقق من الحالة الحالية لـ Credential Guard على 윈도우 11 باستخدام نافذة PowerShell تعمل بصلاحيات المسؤول. يعرض هذا الأمر قائمة بخدمات الأمان النشطة على نظامك.

(Get-CimInstance -ClassName Win32_DeviceGuard -Namespace rootMicrosoftWindowsDeviceGuard).SecurityServicesRunning

تشير القيمة 1 إلى أن Credential Guard مفعّلة، بينما تعني القيمة 0 أنها غير مفعّلة بالفعل.

لقطة شاشة تعرض نتيجة أمر PowerShell للتحقق من حالة Credential Guard

تعطيل Credential Guard باستخدام سياسة المجموعة (Group Policy) ومحرر السجل (Registry)

تُعد هذه الطريقة هي المسار القياسي لـ تعطيل Credential Guard على الأنظمة التي لا تحتوي على قفل UEFI. تقوم هذه العملية بإيقاف تشغيل VBS ومسح علامات تكوين LSA التي تحافظ على تشغيل عزل بيانات الاعتماد.

1. 내 키 두 개를 누르세요 Win + R, 입력 gpedit.msc, 그리고 열기 로컬 그룹 정책 편집기 (Local Group Policy Editor). انتقل إلى المسار التالي: Computer Configuration → Administrative Templates → System → Device Guard.

لقطة شاشة لمحرر سياسة المجموعة المحلية تعرض مسار Device Guard

2. 더블 클릭 Turn On Virtualization Based Security 그리고 그것을 설정 장애인. إذا كانت الحالة الحالية “Not Configured”، فغيّرها صراحةً إلى Disabled لفرض تطبيق السياسة، ثم انقر على OK.

3. افتح موجه الأوامر (Command Prompt) بصلاحيات المسؤول وامسح علامتي تكوين LSA بتعيينهما كقيم REG_DWORD تساوي 0.

reg add HKLMSYSTEMCurrentControlSetControlLsa /f /v LsaCfgFlags /t REG_DWORD /d 0
reg add HKLMSOFTWAREPoliciesMicrosoftWindowsDeviceGuard /f /v LsaCfgFlags /t REG_DWORD /d 0

صورة توضيحية لعملية إعادة تشغيل الكمبيوتر

4. أعد تشغيل الكمبيوتر. تؤدي هذه الخطوة إلى تعطيل Credential Guard على الأجهزة التي لا تحمي فيها ميزة UEFI lock إعدادات البرامج الثابتة في نظام Windows 11.

조언: 당신은 또한 설정할 수 있습니다 EnableVirtualizationBasedSecurity 나에게 0 이내에 HKLMSYSTEMCurrentControlSetControlDeviceGuard لفرض إيقاف تشغيل VBS. احرص على عمل نسخة احتياطية من الريجستري قبل تعديله.

كيفية إزالة Credential Guard عند تمكين قفل UEFI

إذا كان قفل UEFI يحمي 펌웨어 من التغيير بواسطة البرامج، فإن تعديلات الريجستري وحدها لا تكفي. ستحتاج إلى إعداد إدخال تمهيد مؤقت يتم تشغيله مع إيقاف عزل بيانات الاعتماد، ثم تأكيد التغيير في وحدة التحكم أثناء عملية التمهيد.

1. 열기 명령 프롬프트 كمسؤول. قم بتركيب قسم نظام EFI، وانسخ أداة SecConfig.efi إليه، ثم أنشئ إدخال محمل تمهيد مؤقت.

mountvol X: /s
copy %WINDIR%System32SecConfig.efi X:EFIMicrosoftBootSecConfig.efi /Y
bcdedit /create {0cb3b571-2f2e-4343-a879-d86a476d7215} /d "DebugTool" /application osloader
bcdedit /set {0cb3b571-2f2e-4343-a879-d86a476d7215} path "EFIMicrosoftBootSecConfig.efi"
bcdedit /set {bootmgr} bootsequence {0cb3b571-2f2e-4343-a879-d86a476d7215}
bcdedit /set {0cb3b571-2f2e-4343-a879-d86a476d7215} loadoptions DISABLE-LSA-ISO
bcdedit /set {0cb3b571-2f2e-4343-a879-d86a476d7215} device partition=X:
mountvol X: /d

2. أعد تشغيل الكمبيوتر. في وقت مبكر من عملية التمهيد، ستسألك أداة Credential Guard Opt-out Tool عما إذا كنت ترغب في تعطيل Credential Guard.

3. 누르기 F3 في غضون ثوانٍ قليلة للتأكيد. إذا لم تستجب في الوقت المحدد، فسيتم إلغاء تغيير محمل التمهيد، وسيظل Credential Guard ممكّنًا.

لإيقاف تشغيل الأمان المستند إلى المحاكاة الافتراضية من خلال نفس المدخل، يمكنك توسيع خيارات التحميل وتعطيل نوع تشغيل VSM قبل إعادة تشغيل الجهاز.

bcdedit /set {0cb3b571-2f2e-4343-a879-d86a476d7215} loadoptions DISABLE-LSA-ISO,DISABLE-VBS
bcdedit /set vsmlaunchtype off

لقطة شاشة لأوامر BCDedit في موجه الأوامر لتعطيل الأمان المستند إلى المحاكاة الافتراضية 그리고 VSM.

استخدم أداة جاهزية Device Guard 그리고 Credential Guard

تنشر Microsoft سكريبت PowerShell يمكنه الإبلاغ عن هذه الميزات وتبديلها على الأجهزة المدعومة. يُعد هذا بديلًا مناسبًا لتعديل محمل الإقلاع يدويًا.

1. قم بتنزيل dgreadiness_v3.6.zip من الصفحة الرسمية لـ أداة جاهزية أجهزة Device Guard 그리고 Credential Guard واستخرجه إلى مجلد محلي، ثم انتقل إلى هذا الدليل.

cd C:PSdgreadiness_v3.6

لقطة شاشة لمجلد dgreadiness_v3.6.zip المستخرج في مستكشف الملفات.

2. إذا تم حظر تنفيذ السكريبت، اسمح بالسكريبتات الموقعة للجلسة الحالية فقط.

Set-ExecutionPolicy -Scope Process RemoteSigned

لقطة شاشة لأمر Set-ExecutionPolicy في PowerShell.

3. تحقق من ميزات أمان Defender النشطة، ثم قم بتشغيل أمر التعطيل الذي يستهدف Credential Guard.

DG_Readiness_Tool_v3.6.ps1 -Ready
DG_Readiness_Tool_v3.6.ps1 -Disable -CG

لقطة شاشة لأوامر PowerShell المستخدمة لتعطيل Credential Guard

4. أعد تشغيل الكمبيوتر واضغط على F3 أثناء الإقلاع لتأكيد التغيير.

تأكيد نجاح عملية تعطيل Credential Guard

بعد إعادة التشغيل، أعد تشغيل نفس فحص PowerShell مرة أخرى. عندما يعرض القيمة 0، فهذا يعني أن Credential Guard لم يعد يعمل. يمكنك أيضًا اختبار النتيجة العملية بفتح mstsc.exe، وإدخال عنوان خادم، والتأكد من أن خيار “Allow me to save credentials” يقوم الآن بتخزين كلمة المرور.

إذا كانت القيمة لا تزال 1, NS 가장 흔한 원인 لذلك هي تخطي تأكيد F3 أثناء الإقلاع، 또는 ترك إعداد Group Policy على “Not Configured” بدلاً من “Disabled”، 또는 بقاء خيار Credential Guard على مستوى البرامج الثابتة (firmware) ممكّنًا في BIOS/UEFI. في الأجهزة التي تعرض Virtualization-Based Security 또는 Credential Guard مباشرة في البرامج الثابتة، قم بتعيين هذه الخيارات على “Disabled” وأعد التشغيل. عندما لا تكون ميزات المحاكاة الافتراضية مثل Hyper-V مطلوبة، فإن إزالة منصة المحاكاة الفائقة (hypervisor platform) تنهي آخر تبعية يعتمد عليها VBS.

Windows