Desativar o Credential Guard no Windows 11 e verificar se ele está realmente desativado.

يعزل Credential Guard أسرار تسجيل الدخول الحساسة، مثل تجزئات كلمات مرور NTLM وتذاكر Kerberos، داخل حاوية أمان قائمة على المحاكاة الافتراضية (VBS)، مما يحميها حتى من المسؤولين المحليين. على الرغم من أهمية هذه الحماية، إلا أنها قد تعطل بعض المهام اليومية في Windows 11. يتطلب إيقاف تشغيلها تعطيل VBS، ومسح قيمتين في سجل النظام (registry flags)، وفي الأنظمة المزودة بقفل UEFI، تأكيد التغيير أثناء الإقلاع.

Resposta rápida: definir Turn On Virtualization Based Security على Desativado في Group Policy، واضبط كلتا قيمتي سجل LsaCfgFlags على 0، ثم أعد تشغيل الجهاز. إذا كان قفل UEFI نشطًا، قم بتشغيل إدخال الإقلاع SecConfig.efi واضغط على F3 عند بدء التشغيل للتأكيد.

---

لماذا يجب تعطيل Credential Guard؟

يتم تمكين Credential Guard تلقائيًا على الأجهزة المتوافقة التي تعمل بنظام Windows 11 22H2 أو أحدث في إصدارات Enterprise أو Education، مع توفر بعض المكونات أيضًا في إصدار Pro. تتطلب الأجهزة وحدة TPM 1.2 أو 2.0، و Secure Boot، ووحدة معالجة مركزية 64 بت مع SLAT، ومنصة Hyper-V hypervisor. بمجرد تفعيله، فإنه يمنع العديد من سير العمل الشائعة.

ما الذي يتعطل	Razão
حفظ كلمات مرور RDP	لا يتم تخزين بيانات الاعتماد القابلة لإعادة الاستخدام عند استخدام مصادقة NTLM.
VMware Workstation / VirtualBox	تفشل الأجهزة الافتراضية (VMs) التابعة لجهات خارجية مع ظهور خطأ “Device/Credential Guard are not compatible”.
تسجيل الدخول إلى Wi-Fi و VPN	تتوقف بروتوكولات MSCHAPv2، بما في ذلك PEAP-MSCHAPv2 و EAP-MSCHAPv2، عن المصادقة.
المصادقة القديمة	التطبيقات التي تعتمد على NTLMv1 أو تفويض Kerberos غير المقيد تتوقف عن العمل.
Remote Desktop Services SSO	يفشل تسجيل الدخول الموحد (Single Sign-On) على مضيف RDS.

ملاحظة: لا يُنصح بتشغيل Credential Guard على وحدات تحكم المجال (domain controllers)، لأنه لا يضيف أي فائدة أمنية هناك وقد يسبب مشاكل توافق مع برامج الجهات الخارجية.

---

كيفية التحقق من حالة Credential Guard في Windows 11

قبل إجراء أي تغييرات، من الضروري التحقق من الحالة الحالية لـ Credential Guard على Windows 11 باستخدام نافذة PowerShell تعمل بصلاحيات المسؤول. يعرض هذا الأمر قائمة بخدمات الأمان النشطة على نظامك.

(Get-CimInstance -ClassName Win32_DeviceGuard -Namespace rootMicrosoftWindowsDeviceGuard).SecurityServicesRunning

تشير القيمة 1 إلى أن Credential Guard مفعّلة، بينما تعني القيمة 0 أنها غير مفعّلة بالفعل.

---

تعطيل Credential Guard باستخدام سياسة المجموعة (Group Policy) ومحرر السجل (Registry)

تُعد هذه الطريقة هي المسار القياسي لـ تعطيل Credential Guard على الأنظمة التي لا تحتوي على قفل UEFI. تقوم هذه العملية بإيقاف تشغيل VBS ومسح علامات تكوين LSA التي تحافظ على تشغيل عزل بيانات الاعتماد.

1

Pressione minha tecla Win + R, Então digite gpedit.msc, e abrir Editor de Diretiva de Grupo Local (Local Group Policy Editor). انتقل إلى المسار التالي: Computer Configuration → Administrative Templates → System → Device Guard.

2Clique duas vezes em Turn On Virtualization Based Security e configurá-lo para Desativado . إذا كانت الحالة الحالية “Not Configured”، فغيّرها صراحةً إلى Disabled لفرض تطبيق السياسة، ثم انقر على OK.

3افتح موجه الأوامر (Command Prompt) بصلاحيات المسؤول وامسح علامتي تكوين LSA بتعيينهما كقيم REG_DWORD تساوي 0.

reg add HKLMSYSTEMCurrentControlSetControlLsa /f /v LsaCfgFlags /t REG_DWORD /d 0
reg add HKLMSOFTWAREPoliciesMicrosoftWindowsDeviceGuard /f /v LsaCfgFlags /t REG_DWORD /d 0

4

أعد تشغيل الكمبيوتر. تؤدي هذه الخطوة إلى تعطيل Credential Guard على الأجهزة التي لا تحمي فيها ميزة UEFI lock إعدادات البرامج الثابتة في Sistema Windows 11.

Adendo: Você também pode definir EnableVirtualizationBasedSecurity إلى 0 Dentro de HKLMSYSTEMCurrentControlSetControlDeviceGuard لفرض إيقاف تشغيل VBS. احرص على عمل نسخة احتياطية من الريجستري قبل تعديله.

---

كيفية إزالة Credential Guard عند تمكين قفل UEFI

إذا كان قفل UEFI يحمي Firmware من التغيير بواسطة البرامج، فإن تعديلات الريجستري وحدها لا تكفي. ستحتاج إلى إعداد إدخال تمهيد مؤقت يتم تشغيله مع إيقاف عزل بيانات الاعتماد، ثم تأكيد التغيير في وحدة التحكم أثناء عملية التمهيد.

1

Abrir Prompt de comando كمسؤول. قم بتركيب قسم نظام EFI، وانسخ أداة SecConfig.efi إليه، ثم أنشئ إدخال محمل تمهيد مؤقت.

mountvol X: /s
copy %WINDIR%System32SecConfig.efi X:EFIMicrosoftBootSecConfig.efi /Y
bcdedit /create {0cb3b571-2f2e-4343-a879-d86a476d7215} /d "DebugTool" /application osloader
bcdedit /set {0cb3b571-2f2e-4343-a879-d86a476d7215} path "EFIMicrosoftBootSecConfig.efi"
bcdedit /set {bootmgr} bootsequence {0cb3b571-2f2e-4343-a879-d86a476d7215}
bcdedit /set {0cb3b571-2f2e-4343-a879-d86a476d7215} loadoptions DISABLE-LSA-ISO
bcdedit /set {0cb3b571-2f2e-4343-a879-d86a476d7215} device partition=X:
mountvol X: /d

2

أعد تشغيل الكمبيوتر. في وقت مبكر من عملية التمهيد، ستسألك أداة Credential Guard Opt-out Tool عما إذا كنت ترغب في تعطيل Credential Guard.

3Clique em F3 في غضون ثوانٍ قليلة للتأكيد. إذا لم تستجب في الوقت المحدد، فسيتم إلغاء تغيير محمل التمهيد، وسيظل Credential Guard ممكّنًا.

لDesligar الأمان المستند إلى المحاكاة الافتراضية من خلال نفس المدخل، يمكنك توسيع خيارات التحميل وتعطيل نوع تشغيل VSM قبل إعادة تشغيل الجهاز.

bcdedit /set {0cb3b571-2f2e-4343-a879-d86a476d7215} loadoptions DISABLE-LSA-ISO,DISABLE-VBS
bcdedit /set vsmlaunchtype off

---

استخدم أداة جاهزية Device Guard و Credential Guard

تنشر Microsoft سكريبت PowerShell يمكنه الإبلاغ عن هذه الميزات وتبديلها على Dispositivos suportados. يُعد هذا بديلًا مناسبًا لتعديل محمل الإقلاع يدويًا.

1

Faça o download do dgreadiness_v3.6.zip من الصفحة الرسمية لـ أداة جاهزية أجهزة Device Guard و Credential Guard واستخرجه إلى مجلد محلي، ثم انتقل إلى هذا الدليل.

cd C:PSdgreadiness_v3.6

2

إذا تم حظر تنفيذ السكريبت، اسمح بالسكريبتات الموقعة للجلسة الحالية فقط.

Set-ExecutionPolicy -Scope Process RemoteSigned

3

تحقق من ميزات أمان Defender النشطة، ثم قم بتشغيل أمر التعطيل الذي يستهدف Credential Guard.

DG_Readiness_Tool_v3.6.ps1 -Ready
DG_Readiness_Tool_v3.6.ps1 -Disable -CG

4

Reinicie o seu computador e pressione F3 أثناء الإقلاع لتأكيد التغيير.

---

تأكيد نجاح عملية تعطيل Credential Guard

بعد إعادة التشغيل، أعد تشغيل نفس فحص PowerShell مرة أخرى. عندما يعرض القيمة 0, significa que Credential Guard لم يعد يعمل. يمكنك أيضًا اختبار النتيجة العملية بفتح mstsc.exe، وإدخال عنوان خادم، والتأكد من أن خيار “Allow me to save credentials” يقوم الآن بتخزين كلمة المرور.

إذا كانت القيمة لا تزال 1, Então Causas mais comuns لذلك هي تخطي تأكيد F3 أثناء الإقلاع، أو ترك إعداد Group Policy على “Not Configured” بدلاً من “Disabled”، أو بقاء خيار Credential Guard على مستوى البرامج الثابتة (firmware) ممكّنًا في BIOS/UEFI. في الأجهزة التي تعرض Virtualization-Based Security أو Credential Guard مباشرة في البرامج الثابتة، قم بتعيين هذه الخيارات على “Disabled” وأعد التشغيل. عندما لا تكون ميزات المحاكاة الافتراضية مثل Hyper-V مطلوبة، فإن إزالة منصة المحاكاة الفائقة (hypervisor platform) تنهي آخر تبعية يعتمد عليها VBS.