Modèle de certificat d’authentification serveur
Vérifié avec Windows 11 25H2 — mis à jour le 30 juillet 2026
Pris en charge sur : Au minimum Windows Vista
Chemin dans la console GPO
Configuration ordinateur\Modèles d'administration\Composants Windows\Services Bureau à distance\Hôte de la session Bureau à distance\Sécurité Description
Ce paramètre de stratégie vous permet de spécifier le nom du modèle de certificat qui détermine quel certificat est sélectionné automatiquement pour authentifier un serveur Hôte de session Bureau à distance. Un certificat est nécessaire pour authentifier un serveur Hôte de session Bureau à distance lorsque TLS 1.0, 1.1 ou 1.2 est utilisé pour sécuriser les communications entre un client et un serveur Hôte de session Bureau à distance pendant des connexions RDP (Remote Desktop Protocol). Si ce paramètre de stratégie est activé, vous devez spécifier un nom de modèle de certificat. Seuls les certificats créés à l'aide du modèle de certificat spécifié sont pris en compte lors de la sélection automatique d'un certificat pour authentifier le serveur Hôte de session Bureau à distance. Un certificat est sélectionné automatiquement uniquement si aucun certificat n'a été spécifié. S'il n'existe aucun certificat créé à l'aide du modèle de certificat spécifié, le serveur Hôte de session Bureau à distance émet une demande d'inscription de certificat et utilise le certificat actif jusqu'à ce que la demande soit traitée. S'il existe plusieurs certificats créés à l'aide du modèle de certificat spécifié, le certificat dont la date d'expiration est la plus éloignée et qui correspond au nom actuel du serveur Hôte de session Bureau à distance est sélectionné. Si vous désactivez ce paramètre de stratégie ou si vous ne le configurez pas, le nom du modèle de certificat n'est pas spécifié au niveau de la stratégie de groupe. Par défaut, un certificat auto-signé est utilisé pour authentifier le serveur Hôte de session Bureau à distance. Remarque : si vous sélectionnez un certificat à utiliser pour authentifier le serveur Hôte de session Bureau à distance, ce certificat est prioritaire sur ce paramètre de stratégie.
Registre
SOFTWARE\Policies\Microsoft\Windows NT\Terminal Services MDM / Intune (CSP)
./Device/Vendor/MSFT/Policy/Config/ADMX_TerminalServer/TS_CERTIFICATE_TEMPLATE_POLICY Documentation Microsoft Learn Données de correspondance : Microsoft Learn (CC BY 4.0)
Générateur d'exports
BETAConfigurez l'état, la portée et les options, puis générez les sorties .reg, PowerShell, Intune et SCCM — ou ajoutez le paramètre à une collection multi-paramètres.
Ces exports écrivent le registre — ce n'est pas une GPO managée. ⓘ
Fichier .reg
Windows Registry Editor Version 5.00
; Exported from gporais.com
; Policy: Modèle de certificat d’authentification serveur
; State: Enabled
; Supported on: Au minimum Windows Vista
[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows NT\Terminal Services]
"CertTemplateName"=""Autres formats (PowerShell, Intune, SCCM)
PowerShell
# Exported from gporais.com
# Policy: Modèle de certificat d’authentification serveur
# State: Enabled
# Supported on: Au minimum Windows Vista
$path = 'HKLM:\SOFTWARE\Policies\Microsoft\Windows NT\Terminal Services'
New-Item -Path $path -Force | Out-Null
Set-ItemProperty -Path $path -Name 'CertTemplateName' -Value '' -Type StringIntune XML
OMA-URI: ./Device/Vendor/MSFT/Policy/Config/ADMX_TerminalServer/TS_CERTIFICATE_TEMPLATE_POLICY
Data type: String
Value:
<enabled/>
<data id="TS_CERTIFICATE_TEMPLATE_NAME" value=""/>Intune Remediation
# === Detection script ===
# Exported from gporais.com
# Policy: Modèle de certificat d’authentification serveur
# State: Enabled
# Supported on: Au minimum Windows Vista
function Test-RegistryValue {
param(
[Parameter(Mandatory = $true)][string]$Path,
[Parameter(Mandatory = $true)][string]$Name,
[object]$Expected,
[ValidateSet('String', 'DWord', 'MultiString')][string]$Kind = 'String',
[switch]$Absent
)
try {
$item = Get-ItemProperty -LiteralPath $Path -Name $Name -ErrorAction Stop
} catch {
return $Absent.IsPresent
}
if ($Absent.IsPresent) { return $false }
$actual = $item.$Name
if ($Kind -eq 'DWord') { return ([int64]$actual) -eq ([int64]$Expected) }
if ($Kind -eq 'MultiString') {
$actualValues = @($actual)
$expectedValues = @($Expected)
if ($actualValues.Count -ne $expectedValues.Count) { return $false }
for ($i = 0; $i -lt $expectedValues.Count; $i++) {
if ([string]$actualValues[$i] -ne [string]$expectedValues[$i]) { return $false }
}
return $true
}
return [string]$actual -eq [string]$Expected
}
$checks = @(
(Test-RegistryValue -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows NT\Terminal Services' -Name 'CertTemplateName' -Expected '' -Kind String)
)
if ($checks -notcontains $false) {
Write-Output 'Compliant'
exit 0
}
Write-Output 'Non-compliant'
exit 1
# === Remediation script ===
# Exported from gporais.com
# Policy: Modèle de certificat d’authentification serveur
# State: Enabled
# Supported on: Au minimum Windows Vista
$path = 'HKLM:\SOFTWARE\Policies\Microsoft\Windows NT\Terminal Services'
New-Item -Path $path -Force | Out-Null
Set-ItemProperty -Path $path -Name 'CertTemplateName' -Value '' -Type StringScripts SCCM
# Exported from gporais.com
# Policy: Modèle de certificat d’authentification serveur
# State: Enabled
# Supported on: Au minimum Windows Vista
# SCCM Configuration Item guidance:
# Create a Configuration Item of type "Setting: Script".
# Discovery script: use the Detection script below.
# Remediation script: use the Remediation script below.
# Compliance rule: the Discovery script output equals 'Compliant'.
# === Detection script ===
# Exported from gporais.com
# Policy: Modèle de certificat d’authentification serveur
# State: Enabled
# Supported on: Au minimum Windows Vista
function Test-RegistryValue {
param(
[Parameter(Mandatory = $true)][string]$Path,
[Parameter(Mandatory = $true)][string]$Name,
[object]$Expected,
[ValidateSet('String', 'DWord', 'MultiString')][string]$Kind = 'String',
[switch]$Absent
)
try {
$item = Get-ItemProperty -LiteralPath $Path -Name $Name -ErrorAction Stop
} catch {
return $Absent.IsPresent
}
if ($Absent.IsPresent) { return $false }
$actual = $item.$Name
if ($Kind -eq 'DWord') { return ([int64]$actual) -eq ([int64]$Expected) }
if ($Kind -eq 'MultiString') {
$actualValues = @($actual)
$expectedValues = @($Expected)
if ($actualValues.Count -ne $expectedValues.Count) { return $false }
for ($i = 0; $i -lt $expectedValues.Count; $i++) {
if ([string]$actualValues[$i] -ne [string]$expectedValues[$i]) { return $false }
}
return $true
}
return [string]$actual -eq [string]$Expected
}
$checks = @(
(Test-RegistryValue -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows NT\Terminal Services' -Name 'CertTemplateName' -Expected '' -Kind String)
)
if ($checks -notcontains $false) {
Write-Output 'Compliant'
exit 0
}
Write-Output 'Non-compliant'
exit 1
# === Remediation script ===
# Exported from gporais.com
# Policy: Modèle de certificat d’authentification serveur
# State: Enabled
# Supported on: Au minimum Windows Vista
$path = 'HKLM:\SOFTWARE\Policies\Microsoft\Windows NT\Terminal Services'
New-Item -Path $path -Force | Out-Null
Set-ItemProperty -Path $path -Name 'CertTemplateName' -Value '' -Type StringVous construisez une collection multi-paramètres ? Ajoutez ce paramètre et générez des exports combinés (.reg, PowerShell, GPO).