Limiter la délégation d’informations d’identification à des serveurs distants
Vérifié avec Windows 11 25H2 — mis à jour le 30 juillet 2026
Pris en charge sur : Au minimum Windows Server 2012 R2, Windows 8.1 ou Windows RT 8.1
Chemin dans la console GPO
Configuration ordinateur\Modèles d'administration\Système\Délégation d’informations d’identification Description
Lors d’une exécution en mode d’administration restreinte ou Credential Guard à distance, les applications participantes n’exposent pas les informations d’identification fournies ou utilisées pour la connexion à un hôte distant. Le mode d’administration restreinte limite l’accès aux ressources situées sur d’autres serveurs ou réseaux vis-à-vis de l'hôte distant car les informations d’identification ne sont pas déléguées. Credential Guard à distance ne limite pas l’accès aux ressources car il redirige de nouveau toutes les demandes vers l’appareil client. Applications participantes : Client Bureau à distance Si vous activez ce paramètre de stratégie, les options suivantes sont prises en charge : Limiter la délégation d’informations d’identification : les applications participantes doivent utiliser le mode d’administration restreinte ou Credential Guard à distance pour se connecter aux hôtes distants. Requérir Credential Guard à distance : les applications participantes doivent utiliser Credential Guard à distance pour se connecter aux hôtes distants Requérir une administration restreinte : les applications participantes doivent utiliser le mode d'administration restreinte pour se connecter aux hôtes distants. Si vous désactivez ce paramètre de stratégie ou ne le configurez pas, le mode d’administration restreinte et Credential Guard à distance ne sont pas appliqués, et les applications participantes peuvent déléguer les informations d’identification aux appareils distants. Remarque : pour désactiver la délégation de la plupart des informations d’identification, il peut être suffisant de refuser la délégation dans le protocole CredSSP (Credential Security Support Provider) en modifiant les paramètres des modèles d’administration (situés dans Configuration ordinateur\Modèles d’administration\Système\Délégation d’informations d’identification). Remarque : sur Windows 8.1 et Windows Server 2012 R2, l’activation de cette stratégie applique le mode d’administration restreinte, quel que soit le mode choisi. Ces versions ne prennent pas en charge Credential Guard à distance.
Registre
Software\Policies\Microsoft\Windows\CredentialsDelegation Nom de valeur : RestrictedRemoteAdministration
Activé : RestrictedRemoteAdministration = 1
Désactivé : RestrictedRemoteAdministration = 0
MDM / Intune (CSP)
./Device/Vendor/MSFT/Policy/Config/ADMX_CredSsp/RestrictedRemoteAdministration Documentation Microsoft Learn Données de correspondance : Microsoft Learn (CC BY 4.0)
Générateur d'exports
BETAConfigurez l'état, la portée et les options, puis générez les sorties .reg, PowerShell, Intune et SCCM — ou ajoutez le paramètre à une collection multi-paramètres.
Ces exports écrivent le registre — ce n'est pas une GPO managée. ⓘ
Fichier .reg
Windows Registry Editor Version 5.00
; Exported from gporais.com
; Policy: Limiter la délégation d’informations d’identification à des serveurs distants
; State: Enabled
; Supported on: Au minimum Windows Server 2012 R2, Windows 8.1 ou Windows RT 8.1
[HKEY_LOCAL_MACHINE\Software\Policies\Microsoft\Windows\CredentialsDelegation]
"RestrictedRemoteAdministration"=dword:00000001
"RestrictedRemoteAdministrationType"=dword:00000003Autres formats (PowerShell, Intune, SCCM)
PowerShell
# Exported from gporais.com
# Policy: Limiter la délégation d’informations d’identification à des serveurs distants
# State: Enabled
# Supported on: Au minimum Windows Server 2012 R2, Windows 8.1 ou Windows RT 8.1
$path = 'HKLM:\Software\Policies\Microsoft\Windows\CredentialsDelegation'
New-Item -Path $path -Force | Out-Null
Set-ItemProperty -Path $path -Name 'RestrictedRemoteAdministration' -Value 1 -Type DWord
Set-ItemProperty -Path $path -Name 'RestrictedRemoteAdministrationType' -Value 3 -Type DWordIntune XML
OMA-URI: ./Device/Vendor/MSFT/Policy/Config/ADMX_CredSsp/RestrictedRemoteAdministration
Data type: String
Value:
<enabled/>
<data id="RestrictedRemoteAdministrationDrop" value="3"/>Intune Remediation
# === Detection script ===
# Exported from gporais.com
# Policy: Limiter la délégation d’informations d’identification à des serveurs distants
# State: Enabled
# Supported on: Au minimum Windows Server 2012 R2, Windows 8.1 ou Windows RT 8.1
function Test-RegistryValue {
param(
[Parameter(Mandatory = $true)][string]$Path,
[Parameter(Mandatory = $true)][string]$Name,
[object]$Expected,
[ValidateSet('String', 'DWord', 'MultiString')][string]$Kind = 'String',
[switch]$Absent
)
try {
$item = Get-ItemProperty -LiteralPath $Path -Name $Name -ErrorAction Stop
} catch {
return $Absent.IsPresent
}
if ($Absent.IsPresent) { return $false }
$actual = $item.$Name
if ($Kind -eq 'DWord') { return ([int64]$actual) -eq ([int64]$Expected) }
if ($Kind -eq 'MultiString') {
$actualValues = @($actual)
$expectedValues = @($Expected)
if ($actualValues.Count -ne $expectedValues.Count) { return $false }
for ($i = 0; $i -lt $expectedValues.Count; $i++) {
if ([string]$actualValues[$i] -ne [string]$expectedValues[$i]) { return $false }
}
return $true
}
return [string]$actual -eq [string]$Expected
}
$checks = @(
(Test-RegistryValue -Path 'HKLM:\Software\Policies\Microsoft\Windows\CredentialsDelegation' -Name 'RestrictedRemoteAdministration' -Expected 1 -Kind DWord)
(Test-RegistryValue -Path 'HKLM:\Software\Policies\Microsoft\Windows\CredentialsDelegation' -Name 'RestrictedRemoteAdministrationType' -Expected 3 -Kind DWord)
)
if ($checks -notcontains $false) {
Write-Output 'Compliant'
exit 0
}
Write-Output 'Non-compliant'
exit 1
# === Remediation script ===
# Exported from gporais.com
# Policy: Limiter la délégation d’informations d’identification à des serveurs distants
# State: Enabled
# Supported on: Au minimum Windows Server 2012 R2, Windows 8.1 ou Windows RT 8.1
$path = 'HKLM:\Software\Policies\Microsoft\Windows\CredentialsDelegation'
New-Item -Path $path -Force | Out-Null
Set-ItemProperty -Path $path -Name 'RestrictedRemoteAdministration' -Value 1 -Type DWord
Set-ItemProperty -Path $path -Name 'RestrictedRemoteAdministrationType' -Value 3 -Type DWordScripts SCCM
# Exported from gporais.com
# Policy: Limiter la délégation d’informations d’identification à des serveurs distants
# State: Enabled
# Supported on: Au minimum Windows Server 2012 R2, Windows 8.1 ou Windows RT 8.1
# SCCM Configuration Item guidance:
# Create a Configuration Item of type "Setting: Script".
# Discovery script: use the Detection script below.
# Remediation script: use the Remediation script below.
# Compliance rule: the Discovery script output equals 'Compliant'.
# === Detection script ===
# Exported from gporais.com
# Policy: Limiter la délégation d’informations d’identification à des serveurs distants
# State: Enabled
# Supported on: Au minimum Windows Server 2012 R2, Windows 8.1 ou Windows RT 8.1
function Test-RegistryValue {
param(
[Parameter(Mandatory = $true)][string]$Path,
[Parameter(Mandatory = $true)][string]$Name,
[object]$Expected,
[ValidateSet('String', 'DWord', 'MultiString')][string]$Kind = 'String',
[switch]$Absent
)
try {
$item = Get-ItemProperty -LiteralPath $Path -Name $Name -ErrorAction Stop
} catch {
return $Absent.IsPresent
}
if ($Absent.IsPresent) { return $false }
$actual = $item.$Name
if ($Kind -eq 'DWord') { return ([int64]$actual) -eq ([int64]$Expected) }
if ($Kind -eq 'MultiString') {
$actualValues = @($actual)
$expectedValues = @($Expected)
if ($actualValues.Count -ne $expectedValues.Count) { return $false }
for ($i = 0; $i -lt $expectedValues.Count; $i++) {
if ([string]$actualValues[$i] -ne [string]$expectedValues[$i]) { return $false }
}
return $true
}
return [string]$actual -eq [string]$Expected
}
$checks = @(
(Test-RegistryValue -Path 'HKLM:\Software\Policies\Microsoft\Windows\CredentialsDelegation' -Name 'RestrictedRemoteAdministration' -Expected 1 -Kind DWord)
(Test-RegistryValue -Path 'HKLM:\Software\Policies\Microsoft\Windows\CredentialsDelegation' -Name 'RestrictedRemoteAdministrationType' -Expected 3 -Kind DWord)
)
if ($checks -notcontains $false) {
Write-Output 'Compliant'
exit 0
}
Write-Output 'Non-compliant'
exit 1
# === Remediation script ===
# Exported from gporais.com
# Policy: Limiter la délégation d’informations d’identification à des serveurs distants
# State: Enabled
# Supported on: Au minimum Windows Server 2012 R2, Windows 8.1 ou Windows RT 8.1
$path = 'HKLM:\Software\Policies\Microsoft\Windows\CredentialsDelegation'
New-Item -Path $path -Force | Out-Null
Set-ItemProperty -Path $path -Name 'RestrictedRemoteAdministration' -Value 1 -Type DWord
Set-ItemProperty -Path $path -Name 'RestrictedRemoteAdministrationType' -Value 3 -Type DWordVous construisez une collection multi-paramètres ? Ajoutez ce paramètre et générez des exports combinés (.reg, PowerShell, GPO).