Seuil total de verrouillage pour l’utilisateur standard
Vérifié avec Windows 11 25H2 — mis à jour le 30 juillet 2026
Pris en charge sur : Au minimum Windows Server 2012, Windows 8 ou Windows RT
Chemin dans la console GPO
Configuration ordinateur\Modèles d'administration\Système\Services de module de plateforme sécurisée Description
Ce paramètre de stratégie vous permet de gérer le nombre maximal d’échecs d’autorisation pour tous les utilisateurs standard du module de plateforme sécurisée (TPM). Si le nombre total d’échecs d’autorisation de tous les utilisateurs standard atteint cette valeur au cours de la durée de verrouillage pour l’utilisateur standard, aucun utilisateur standard ne peut plus envoyer de commandes nécessitant une autorisation au module de plateforme sécurisée (TPM). Ce paramètre permet aux administrateurs d’empêcher le matériel du module de plateforme sécurisée de passer en mode de verrouillage, car cela ralentit la vitesse à laquelle les utilisateurs standard peuvent envoyer des commandes qui nécessitent l’autorisation au module de plateforme sécurisée. L’autorisation échoue à chaque fois qu’un utilisateur envoie une commande au module de plateforme sécurisée et reçoit une réponse d’erreur indiquant que l’autorisation a échoué. Les échecs d’autorisation antérieurs à la durée sont ignorés. Deux seuils s’appliquent à tous les utilisateurs standard. Le dépassement de l’un de ces seuils empêche l’utilisateur standard d’envoyer une commande au module de plateforme sécurisée qui requiert l’autorisation. La valeur Seuil individuel de verrouillage pour l’utilisateur standard est le nombre maximal d’échecs d’autorisation que peut rencontrer chaque utilisateur standard avant qu’il ne soit plus autorisé à envoyer de commandes nécessitant une autorisation au module de plateforme sécurisée. Cette valeur est le nombre total maximal d’échecs d’autorisation que peuvent rencontrer tous les utilisateurs standard avant qu’ils ne soient plus autorisés à envoyer de commandes nécessitant une autorisation au module de plateforme sécurisée. Le module de plateforme sécurisée est conçu pour se protéger contre les tentatives d’usurpation de mot de passe en passant en mode de verrouillage matériel lorsqu’il reçoit trop de commandes dont la valeur d’autorisation est incorrecte. Lorsque le module de plateforme sécurisée passe en mode de verrouillage, le mode s’applique à tous les utilisateurs y compris aux administrateurs et aux fonctionnalités Windows telles que le Chiffrement de lecteur BitLocker. Le nombre d’échecs d’autorisation autorisé par un module de plateforme sécurisée et la durée de verrouillage dépend du fabricant du module de plateforme sécurisée. Certains modules de plateforme sécurisée peuvent passer en mode de verrouillage pour des périodes successives de plus en plus longues avec moins d’échecs d’autorisation, en fonction des échecs précédents. Certains modules de plateforme sécurisée peuvent nécessiter un redémarrage du système pour quitter le mode de verrouillage. D’autres modules de plateforme sécurisée peuvent nécessiter que le système soit actif pour qu’un certain nombre de cycles d’horloge s’écoulent avant que le module de plateforme sécurisée quitte le mode de verrouillage. Un administrateur disposant du mot de passe propriétaire du module de plateforme sécurisée peut entièrement réinitialiser la logique de verrouillage matériel du module de plateforme sécurisée dans la console de gestion du module de plateforme sécurisée (tpm.msc). Chaque fois qu’un administrateur réinitialise la logique de verrouillage matériel du module de plateforme sécurisée, tous les précédents échecs d’autorisation du module de plateforme sécurisée pour les utilisateurs standard sont ignorés, permettant ainsi aux utilisateurs standard d’utiliser à nouveau le module de plateforme sécurisée normalement immédiatement. Si cette valeur n’est pas configurée, une valeur par défaut de 9 est utilisée. Une valeur de zéro signifie que le système d’exploitation n’autorise pas les utilisateurs standard à envoyer des commandes au module de plateforme sécurisée pouvant entraîner un échec d’autorisation.
Registre
Software\Policies\Microsoft\Tpm Nom de valeur : StandardUserAuthorizationFailureTotalThreshold
MDM / Intune (CSP)
./Device/Vendor/MSFT/Policy/Config/ADMX_TPM/StandardUserAuthorizationFailureTotalThreshold_Name Documentation Microsoft Learn Données de correspondance : Microsoft Learn (CC BY 4.0)
Générateur d'exports
BETAConfigurez l'état, la portée et les options, puis générez les sorties .reg, PowerShell, Intune et SCCM — ou ajoutez le paramètre à une collection multi-paramètres.
Ces exports écrivent le registre — ce n'est pas une GPO managée. ⓘ
Fichier .reg
Windows Registry Editor Version 5.00
; Exported from gporais.com
; Policy: Seuil total de verrouillage pour l’utilisateur standard
; State: Enabled
; Supported on: Au minimum Windows Server 2012, Windows 8 ou Windows RT
[HKEY_LOCAL_MACHINE\Software\Policies\Microsoft\Tpm]
"StandardUserAuthorizationFailureTotalThreshold"=dword:00000001
"StandardUserAuthorizationFailureTotalThreshold"=dword:00000009Autres formats (PowerShell, Intune, SCCM)
PowerShell
# Exported from gporais.com
# Policy: Seuil total de verrouillage pour l’utilisateur standard
# State: Enabled
# Supported on: Au minimum Windows Server 2012, Windows 8 ou Windows RT
$path = 'HKLM:\Software\Policies\Microsoft\Tpm'
New-Item -Path $path -Force | Out-Null
Set-ItemProperty -Path $path -Name 'StandardUserAuthorizationFailureTotalThreshold' -Value 1 -Type DWord
Set-ItemProperty -Path $path -Name 'StandardUserAuthorizationFailureTotalThreshold' -Value 9 -Type DWordIntune XML
OMA-URI: ./Device/Vendor/MSFT/Policy/Config/ADMX_TPM/StandardUserAuthorizationFailureTotalThreshold_Name
Data type: String
Value:
<enabled/>
<data id="DXT_StandardUserAuthorizationFailureTotalThreshold_Name" value="9"/>Intune Remediation
# === Detection script ===
# Exported from gporais.com
# Policy: Seuil total de verrouillage pour l’utilisateur standard
# State: Enabled
# Supported on: Au minimum Windows Server 2012, Windows 8 ou Windows RT
function Test-RegistryValue {
param(
[Parameter(Mandatory = $true)][string]$Path,
[Parameter(Mandatory = $true)][string]$Name,
[object]$Expected,
[ValidateSet('String', 'DWord', 'MultiString')][string]$Kind = 'String',
[switch]$Absent
)
try {
$item = Get-ItemProperty -LiteralPath $Path -Name $Name -ErrorAction Stop
} catch {
return $Absent.IsPresent
}
if ($Absent.IsPresent) { return $false }
$actual = $item.$Name
if ($Kind -eq 'DWord') { return ([int64]$actual) -eq ([int64]$Expected) }
if ($Kind -eq 'MultiString') {
$actualValues = @($actual)
$expectedValues = @($Expected)
if ($actualValues.Count -ne $expectedValues.Count) { return $false }
for ($i = 0; $i -lt $expectedValues.Count; $i++) {
if ([string]$actualValues[$i] -ne [string]$expectedValues[$i]) { return $false }
}
return $true
}
return [string]$actual -eq [string]$Expected
}
$checks = @(
(Test-RegistryValue -Path 'HKLM:\Software\Policies\Microsoft\Tpm' -Name 'StandardUserAuthorizationFailureTotalThreshold' -Expected 1 -Kind DWord)
(Test-RegistryValue -Path 'HKLM:\Software\Policies\Microsoft\Tpm' -Name 'StandardUserAuthorizationFailureTotalThreshold' -Expected 9 -Kind DWord)
)
if ($checks -notcontains $false) {
Write-Output 'Compliant'
exit 0
}
Write-Output 'Non-compliant'
exit 1
# === Remediation script ===
# Exported from gporais.com
# Policy: Seuil total de verrouillage pour l’utilisateur standard
# State: Enabled
# Supported on: Au minimum Windows Server 2012, Windows 8 ou Windows RT
$path = 'HKLM:\Software\Policies\Microsoft\Tpm'
New-Item -Path $path -Force | Out-Null
Set-ItemProperty -Path $path -Name 'StandardUserAuthorizationFailureTotalThreshold' -Value 1 -Type DWord
Set-ItemProperty -Path $path -Name 'StandardUserAuthorizationFailureTotalThreshold' -Value 9 -Type DWordScripts SCCM
# Exported from gporais.com
# Policy: Seuil total de verrouillage pour l’utilisateur standard
# State: Enabled
# Supported on: Au minimum Windows Server 2012, Windows 8 ou Windows RT
# SCCM Configuration Item guidance:
# Create a Configuration Item of type "Setting: Script".
# Discovery script: use the Detection script below.
# Remediation script: use the Remediation script below.
# Compliance rule: the Discovery script output equals 'Compliant'.
# === Detection script ===
# Exported from gporais.com
# Policy: Seuil total de verrouillage pour l’utilisateur standard
# State: Enabled
# Supported on: Au minimum Windows Server 2012, Windows 8 ou Windows RT
function Test-RegistryValue {
param(
[Parameter(Mandatory = $true)][string]$Path,
[Parameter(Mandatory = $true)][string]$Name,
[object]$Expected,
[ValidateSet('String', 'DWord', 'MultiString')][string]$Kind = 'String',
[switch]$Absent
)
try {
$item = Get-ItemProperty -LiteralPath $Path -Name $Name -ErrorAction Stop
} catch {
return $Absent.IsPresent
}
if ($Absent.IsPresent) { return $false }
$actual = $item.$Name
if ($Kind -eq 'DWord') { return ([int64]$actual) -eq ([int64]$Expected) }
if ($Kind -eq 'MultiString') {
$actualValues = @($actual)
$expectedValues = @($Expected)
if ($actualValues.Count -ne $expectedValues.Count) { return $false }
for ($i = 0; $i -lt $expectedValues.Count; $i++) {
if ([string]$actualValues[$i] -ne [string]$expectedValues[$i]) { return $false }
}
return $true
}
return [string]$actual -eq [string]$Expected
}
$checks = @(
(Test-RegistryValue -Path 'HKLM:\Software\Policies\Microsoft\Tpm' -Name 'StandardUserAuthorizationFailureTotalThreshold' -Expected 1 -Kind DWord)
(Test-RegistryValue -Path 'HKLM:\Software\Policies\Microsoft\Tpm' -Name 'StandardUserAuthorizationFailureTotalThreshold' -Expected 9 -Kind DWord)
)
if ($checks -notcontains $false) {
Write-Output 'Compliant'
exit 0
}
Write-Output 'Non-compliant'
exit 1
# === Remediation script ===
# Exported from gporais.com
# Policy: Seuil total de verrouillage pour l’utilisateur standard
# State: Enabled
# Supported on: Au minimum Windows Server 2012, Windows 8 ou Windows RT
$path = 'HKLM:\Software\Policies\Microsoft\Tpm'
New-Item -Path $path -Force | Out-Null
Set-ItemProperty -Path $path -Name 'StandardUserAuthorizationFailureTotalThreshold' -Value 1 -Type DWord
Set-ItemProperty -Path $path -Name 'StandardUserAuthorizationFailureTotalThreshold' -Value 9 -Type DWordVous construisez une collection multi-paramètres ? Ajoutez ce paramètre et générez des exports combinés (.reg, PowerShell, GPO).