Certificats TLS qui doivent être approuvés par Microsoft Edge pour l’authentification serveur avec contraintes
Vérifié avec Microsoft Edge 152.0.4191.53 — mis à jour le 12 juillet 2026
Pris en charge sur : Microsoft Edge version 133, Windows 7 ou version ultérieure
Chemin dans la console GPO
Configuration ordinateur\Modèles d'administration\Microsoft Edge\Paramètres de gestion des certificats Configuration utilisateur\Modèles d'administration\Microsoft Edge\Paramètres de gestion des certificats Description
Cette stratégie active une liste de certificats TLS qui doivent être approuvés par Microsoft Edge pour l’authentification du serveur, avec des contraintes ajoutées en dehors du certificat. Si aucune contrainte d’un certain type n’est présente, tout nom de ce type est autorisé. Les certificats doivent être encodés en base64. Pour chaque certificat, au moins une contrainte doit être spécifiée. Le champ permitted_dns_names est une liste de noms DNS autorisés pour le certificat. Si le nom DNS dans la demande de certificat ne correspond pas à l’un des noms DNS spécifiés, le certificat n’est pas approuvé. Le champ permitted_cidrs est une liste de plages CIDR (Routage inter-domaines sans classe) qui seront autorisées pour le certificat. Si l’adresse IP de la demande de certificat ne se trouve pas dans l’une des plages CIDR autorisées, le certificat n’est pas approuvé. Exemple de valeur : [ { "certificate": "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", "constraints": { "permitted_dns_names": [ "example.org" ], "permitted_cidrs": [ "10.1.1.0/24" ] } } ]
Registre
Software\Policies\Microsoft\Edge Software\Policies\Microsoft\Edge Générateur d'exports
BETAConfigurez l'état, la portée et les options, puis générez les sorties .reg, PowerShell, Intune et SCCM — ou ajoutez le paramètre à une collection multi-paramètres.
Ces exports écrivent le registre — ce n'est pas une GPO managée. ⓘ
Appliquer les deux portées crée une configuration ambiguë (la portée ordinateur prévaut sur la portée utilisateur). Ne le faites que volontairement.
Fichier .reg
Windows Registry Editor Version 5.00
; Exported from gporais.com
; Policy: Certificats TLS qui doivent être approuvés par Microsoft Edge pour l’authentification serveur avec contraintes
; State: Enabled
; Scope: Computer (HKLM)
; Supported on: Microsoft Edge version 133, Windows 7 ou version ultérieure
[HKEY_LOCAL_MACHINE\Software\Policies\Microsoft\Edge]
"CACertificatesWithConstraints"=""Autres formats (PowerShell, Intune, SCCM)
PowerShell
# Exported from gporais.com
# Policy: Certificats TLS qui doivent être approuvés par Microsoft Edge pour l’authentification serveur avec contraintes
# State: Enabled
# Scope: Computer (HKLM)
# Supported on: Microsoft Edge version 133, Windows 7 ou version ultérieure
$path = 'HKLM:\Software\Policies\Microsoft\Edge'
New-Item -Path $path -Force | Out-Null
Set-ItemProperty -Path $path -Name 'CACertificatesWithConstraints' -Value '' -Type StringIntune XML
Aucune correspondance directe Policy CSP / OMA-URI pour cette stratégie. Utilisez l'onglet Intune Remediation, ou importez l'ADMX dans Intune.Intune Remediation
# === Detection script ===
# Exported from gporais.com
# Policy: Certificats TLS qui doivent être approuvés par Microsoft Edge pour l’authentification serveur avec contraintes
# State: Enabled
# Scope: Computer (HKLM)
# Supported on: Microsoft Edge version 133, Windows 7 ou version ultérieure
function Test-RegistryValue {
param(
[Parameter(Mandatory = $true)][string]$Path,
[Parameter(Mandatory = $true)][string]$Name,
[object]$Expected,
[ValidateSet('String', 'DWord', 'MultiString')][string]$Kind = 'String',
[switch]$Absent
)
try {
$item = Get-ItemProperty -LiteralPath $Path -Name $Name -ErrorAction Stop
} catch {
return $Absent.IsPresent
}
if ($Absent.IsPresent) { return $false }
$actual = $item.$Name
if ($Kind -eq 'DWord') { return ([int64]$actual) -eq ([int64]$Expected) }
if ($Kind -eq 'MultiString') {
$actualValues = @($actual)
$expectedValues = @($Expected)
if ($actualValues.Count -ne $expectedValues.Count) { return $false }
for ($i = 0; $i -lt $expectedValues.Count; $i++) {
if ([string]$actualValues[$i] -ne [string]$expectedValues[$i]) { return $false }
}
return $true
}
return [string]$actual -eq [string]$Expected
}
$checks = @(
(Test-RegistryValue -Path 'HKLM:\Software\Policies\Microsoft\Edge' -Name 'CACertificatesWithConstraints' -Expected '' -Kind String)
)
if ($checks -notcontains $false) {
Write-Output 'Compliant'
exit 0
}
Write-Output 'Non-compliant'
exit 1
# === Remediation script ===
# Exported from gporais.com
# Policy: Certificats TLS qui doivent être approuvés par Microsoft Edge pour l’authentification serveur avec contraintes
# State: Enabled
# Scope: Computer (HKLM)
# Supported on: Microsoft Edge version 133, Windows 7 ou version ultérieure
$path = 'HKLM:\Software\Policies\Microsoft\Edge'
New-Item -Path $path -Force | Out-Null
Set-ItemProperty -Path $path -Name 'CACertificatesWithConstraints' -Value '' -Type StringScripts SCCM
# Exported from gporais.com
# Policy: Certificats TLS qui doivent être approuvés par Microsoft Edge pour l’authentification serveur avec contraintes
# State: Enabled
# Scope: Computer (HKLM)
# Supported on: Microsoft Edge version 133, Windows 7 ou version ultérieure
# SCCM Configuration Item guidance:
# Create a Configuration Item of type "Setting: Script".
# Discovery script: use the Detection script below.
# Remediation script: use the Remediation script below.
# Compliance rule: the Discovery script output equals 'Compliant'.
# === Detection script ===
# Exported from gporais.com
# Policy: Certificats TLS qui doivent être approuvés par Microsoft Edge pour l’authentification serveur avec contraintes
# State: Enabled
# Scope: Computer (HKLM)
# Supported on: Microsoft Edge version 133, Windows 7 ou version ultérieure
function Test-RegistryValue {
param(
[Parameter(Mandatory = $true)][string]$Path,
[Parameter(Mandatory = $true)][string]$Name,
[object]$Expected,
[ValidateSet('String', 'DWord', 'MultiString')][string]$Kind = 'String',
[switch]$Absent
)
try {
$item = Get-ItemProperty -LiteralPath $Path -Name $Name -ErrorAction Stop
} catch {
return $Absent.IsPresent
}
if ($Absent.IsPresent) { return $false }
$actual = $item.$Name
if ($Kind -eq 'DWord') { return ([int64]$actual) -eq ([int64]$Expected) }
if ($Kind -eq 'MultiString') {
$actualValues = @($actual)
$expectedValues = @($Expected)
if ($actualValues.Count -ne $expectedValues.Count) { return $false }
for ($i = 0; $i -lt $expectedValues.Count; $i++) {
if ([string]$actualValues[$i] -ne [string]$expectedValues[$i]) { return $false }
}
return $true
}
return [string]$actual -eq [string]$Expected
}
$checks = @(
(Test-RegistryValue -Path 'HKLM:\Software\Policies\Microsoft\Edge' -Name 'CACertificatesWithConstraints' -Expected '' -Kind String)
)
if ($checks -notcontains $false) {
Write-Output 'Compliant'
exit 0
}
Write-Output 'Non-compliant'
exit 1
# === Remediation script ===
# Exported from gporais.com
# Policy: Certificats TLS qui doivent être approuvés par Microsoft Edge pour l’authentification serveur avec contraintes
# State: Enabled
# Scope: Computer (HKLM)
# Supported on: Microsoft Edge version 133, Windows 7 ou version ultérieure
$path = 'HKLM:\Software\Policies\Microsoft\Edge'
New-Item -Path $path -Force | Out-Null
Set-ItemProperty -Path $path -Name 'CACertificatesWithConstraints' -Value '' -Type StringVous construisez une collection multi-paramètres ? Ajoutez ce paramètre et générez des exports combinés (.reg, PowerShell, GPO).