Autoriser les applications Windows Runtime à révoquer des données d’entreprise

Vérifié avec Windows 11 25H2 — mis à jour le 30 juillet 2026

Pris en charge sur : Au minimum Windows Server 2012 R2, Windows 8.1 ou Windows RT 8.1

Chemin dans la console GPO

Configuration utilisateur\Modèles d'administration\Composants Windows\Révocation de fichiers

Description

Les applications Windows Runtime peuvent protéger le contenu qui a été associé à un identificateur d’entreprise (EID), mais peuvent uniquement révoquer l’accès au contenu qu’il protégeait. Pour autoriser une application à révoquer l’accès à tout le contenu d’un appareil protégé par une entreprise donnée, ajoutez une entrée à la liste sur une nouvelle ligne qui contient l’identificateur d’entreprise, séparé par une virgule, et le nom de famille de packages de l’application. L’EID doit être un domaine Internet appartenant à l’entreprise au format de nom de domaine international standard. Exemple de valeur : Contoso.com,ContosoIT.HumanResourcesApp_m5g0r7arhahqy Si vous activez ce paramètre de stratégie, l’application identifiée par le nom de famille de packages est autorisée à révoquer l’accès à tout le contenu protégé à l’aide de l’EID spécifié sur l’appareil. Si vous désactivez ce paramètre de stratégie ou si vous ne le configurez pas, les seules applications Windows Runtime pouvant révoquer l’accès à tout le contenu protégé par l’entreprise sur l’appareil sont Windows Mail et l’application gestionnaire du protocole mailto sélectionnée par l’utilisateur. Les autres applications Windows Runtime ne pourront révoquer que l’accès au contenu qu’elles protégeaient. Remarque : la révocation de fichiers s’applique à tout le contenu protégé sous le même domaine de second niveau que l’identificateur d’entreprise fourni. Par conséquent, révoquer un ID d’entreprise mail.contoso.com revient à révoquer l’accès de l’utilisateur à tout le contenu protégé sous la hiérarchie contoso.com.

Registre

HKCU Software\Policies\Microsoft\Windows\FileRevocation

Plus d'options disponibles

Options

DelegatedTuples multiText

MDM / Intune (CSP)

./User/Vendor/MSFT/Policy/Config/ADMX_FileRevocation/DelegatedPackageFamilyNames

Utilisateur Depuis Windows 10, version 2004 with KB5005101 [10.0.19041.1202] and later | Windows 10, version 20H2 with KB5005101 [10.0.19042.1202] and later | Windows 10, version 21H1 with KB5005101 [10.0.19043.1202] and later | Windows 11, version 21H2 [10.0.22000] and later Mapping officiel (Microsoft Learn)

Documentation Microsoft Learn Données de correspondance : Microsoft Learn (CC BY 4.0)

Générateur d'exports

BETA

Configurez l'état, la portée et les options, puis générez les sorties .reg, PowerShell, Intune et SCCM — ou ajoutez le paramètre à une collection multi-paramètres.

Ces exports écrivent le registre — ce n'est pas une GPO managée. ⓘ

Non configuré Activé Désactivé

DelegatedTuples

Fichier .reg

Windows Registry Editor Version 5.00

; Exported from gporais.com
; Policy: Autoriser les applications Windows Runtime à révoquer des données d’entreprise
; State: Enabled
; Supported on: Au minimum Windows Server 2012 R2, Windows 8.1 ou Windows RT 8.1

[HKEY_CURRENT_USER\Software\Policies\Microsoft\Windows\FileRevocation]
"DelegatedTuples"=hex(7):00,00
; REG_MULTI_SZ: one string per input line; edit in regedit if you need richer formatting.

Autres formats (PowerShell, Intune, SCCM)

PowerShell

# Exported from gporais.com
# Policy: Autoriser les applications Windows Runtime à révoquer des données d’entreprise
# State: Enabled
# Supported on: Au minimum Windows Server 2012 R2, Windows 8.1 ou Windows RT 8.1
# Warning: In SYSTEM context (the Intune default), HKCU targets the SYSTEM profile. Run this script using the logged-on credentials.

$path = 'HKCU:\Software\Policies\Microsoft\Windows\FileRevocation'
New-Item -Path $path -Force | Out-Null
Set-ItemProperty -Path $path -Name 'DelegatedTuples' -Value @() -Type MultiString
# REG_MULTI_SZ: one string per input line; edit in regedit if you need richer formatting.

Intune XML

OMA-URI: ./User/Vendor/MSFT/Policy/Config/ADMX_FileRevocation/DelegatedPackageFamilyNames
Data type: String
Value:
<enabled/>
<!-- DelegatedPackageFamilyNames_EIDs: enter one value per line before copying this XML payload. -->

Intune Remediation

# === Detection script ===
# Exported from gporais.com
# Policy: Autoriser les applications Windows Runtime à révoquer des données d’entreprise
# State: Enabled
# Supported on: Au minimum Windows Server 2012 R2, Windows 8.1 ou Windows RT 8.1
# Warning: In SYSTEM context (the Intune default), HKCU targets the SYSTEM profile. Run this script using the logged-on credentials.

function Test-RegistryValue {
  param(
    [Parameter(Mandatory = $true)][string]$Path,
    [Parameter(Mandatory = $true)][string]$Name,
    [object]$Expected,
    [ValidateSet('String', 'DWord', 'MultiString')][string]$Kind = 'String',
    [switch]$Absent
  )

  try {
    $item = Get-ItemProperty -LiteralPath $Path -Name $Name -ErrorAction Stop
  } catch {
    return $Absent.IsPresent
  }

  if ($Absent.IsPresent) { return $false }
  $actual = $item.$Name

  if ($Kind -eq 'DWord') { return ([int64]$actual) -eq ([int64]$Expected) }
  if ($Kind -eq 'MultiString') {
    $actualValues = @($actual)
    $expectedValues = @($Expected)
    if ($actualValues.Count -ne $expectedValues.Count) { return $false }
    for ($i = 0; $i -lt $expectedValues.Count; $i++) {
      if ([string]$actualValues[$i] -ne [string]$expectedValues[$i]) { return $false }
    }
    return $true
  }

  return [string]$actual -eq [string]$Expected
}

$checks = @(
  (Test-RegistryValue -Path 'HKCU:\Software\Policies\Microsoft\Windows\FileRevocation' -Name 'DelegatedTuples' -Expected @() -Kind MultiString)
)

if ($checks -notcontains $false) {
  Write-Output 'Compliant'
  exit 0
}

Write-Output 'Non-compliant'
exit 1

# === Remediation script ===
# Exported from gporais.com
# Policy: Autoriser les applications Windows Runtime à révoquer des données d’entreprise
# State: Enabled
# Supported on: Au minimum Windows Server 2012 R2, Windows 8.1 ou Windows RT 8.1
# Warning: In SYSTEM context (the Intune default), HKCU targets the SYSTEM profile. Run this script using the logged-on credentials.

$path = 'HKCU:\Software\Policies\Microsoft\Windows\FileRevocation'
New-Item -Path $path -Force | Out-Null
Set-ItemProperty -Path $path -Name 'DelegatedTuples' -Value @() -Type MultiString
# REG_MULTI_SZ: one string per input line; edit in regedit if you need richer formatting.

Scripts SCCM

# Exported from gporais.com
# Policy: Autoriser les applications Windows Runtime à révoquer des données d’entreprise
# State: Enabled
# Supported on: Au minimum Windows Server 2012 R2, Windows 8.1 ou Windows RT 8.1
# SCCM Configuration Item guidance:
# Create a Configuration Item of type "Setting: Script".
# Discovery script: use the Detection script below.
# Remediation script: use the Remediation script below.
# Compliance rule: the Discovery script output equals 'Compliant'.

# === Detection script ===
# Exported from gporais.com
# Policy: Autoriser les applications Windows Runtime à révoquer des données d’entreprise
# State: Enabled
# Supported on: Au minimum Windows Server 2012 R2, Windows 8.1 ou Windows RT 8.1
# Warning: In SYSTEM context (the Intune default), HKCU targets the SYSTEM profile. Run this script using the logged-on credentials.

function Test-RegistryValue {
  param(
    [Parameter(Mandatory = $true)][string]$Path,
    [Parameter(Mandatory = $true)][string]$Name,
    [object]$Expected,
    [ValidateSet('String', 'DWord', 'MultiString')][string]$Kind = 'String',
    [switch]$Absent
  )

  try {
    $item = Get-ItemProperty -LiteralPath $Path -Name $Name -ErrorAction Stop
  } catch {
    return $Absent.IsPresent
  }

  if ($Absent.IsPresent) { return $false }
  $actual = $item.$Name

  if ($Kind -eq 'DWord') { return ([int64]$actual) -eq ([int64]$Expected) }
  if ($Kind -eq 'MultiString') {
    $actualValues = @($actual)
    $expectedValues = @($Expected)
    if ($actualValues.Count -ne $expectedValues.Count) { return $false }
    for ($i = 0; $i -lt $expectedValues.Count; $i++) {
      if ([string]$actualValues[$i] -ne [string]$expectedValues[$i]) { return $false }
    }
    return $true
  }

  return [string]$actual -eq [string]$Expected
}

$checks = @(
  (Test-RegistryValue -Path 'HKCU:\Software\Policies\Microsoft\Windows\FileRevocation' -Name 'DelegatedTuples' -Expected @() -Kind MultiString)
)

if ($checks -notcontains $false) {
  Write-Output 'Compliant'
  exit 0
}

Write-Output 'Non-compliant'
exit 1

# === Remediation script ===
# Exported from gporais.com
# Policy: Autoriser les applications Windows Runtime à révoquer des données d’entreprise
# State: Enabled
# Supported on: Au minimum Windows Server 2012 R2, Windows 8.1 ou Windows RT 8.1
# Warning: In SYSTEM context (the Intune default), HKCU targets the SYSTEM profile. Run this script using the logged-on credentials.

$path = 'HKCU:\Software\Policies\Microsoft\Windows\FileRevocation'
New-Item -Path $path -Force | Out-Null
Set-ItemProperty -Path $path -Name 'DelegatedTuples' -Value @() -Type MultiString
# REG_MULTI_SZ: one string per input line; edit in regedit if you need richer formatting.

Vous construisez une collection multi-paramètres ? Ajoutez ce paramètre et générez des exports combinés (.reg, PowerShell, GPO).

Ouvrir le Builder

Rechercher dans GPORais