Configurer l’utilisation du chiffrement au niveau matériel pour les lecteurs de données fixes
Vérifié avec Windows 11 25H2 — mis à jour le 10 juillet 2026
Pris en charge sur : Au minimum Windows Server 2012 ou Windows 8
Chemin dans la console GPO
Configuration ordinateur\Modèles d'administration\Composants Windows\Chiffrement de lecteur BitLocker\Lecteurs de données fixes Description
Ce paramètre de stratégie permet de gérer l’utilisation par BitLocker du chiffrement au niveau matériel sur les lecteurs de données fixes et de spécifier quels algorithmes de chiffrement il peut utiliser avec le chiffrement au niveau matériel. L’utilisation du chiffrement au niveau matériel permet d’améliorer les performances de fonctionnement des lecteurs sur lesquels des opérations de lecture et d’écriture de données sont fréquentes. Si vous activez ce paramètre de stratégie, vous pouvez spécifier des options supplémentaires qui contrôlent si le chiffrement au niveau logiciel BitLocker est utilisé à la place du chiffrement au niveau matériel sur les ordinateurs ne prenant pas en charge le chiffrement au niveau matériel, et si vous voulez restreindre les algorithmes et suites de chiffrement utilisés pour le chiffrement au niveau matériel. Si vous désactivez ce paramètre de stratégie, BitLocker ne peut pas utiliser le chiffrement au niveau matériel avec les lecteurs du système d’exploitation et le chiffrement au niveau logiciel BitLocker est utilisé par défaut pour chiffrer le lecteur. Si vous ne configurez pas ce paramètre de stratégie, BitLocker utilise le chiffrement au niveau logiciel, peu importe si le chiffrement au niveau matériel est disponible. Remarque : le paramètre de stratégie « Sélectionner la méthode et la puissance de chiffrement des lecteurs » ne s’applique pas au chiffrement au niveau matériel. L’algorithme de chiffrement utilisé par le chiffrement au niveau matériel est défini lors du partitionnement du lecteur. Par défaut, BitLocker utilise l’algorithme configuré sur le lecteur pour chiffrer le lecteur. L’option « Restreindre les algorithmes et suites de chiffrement autorisés pour le chiffrement au niveau matériel » permet de restreindre les algorithmes de chiffrement que BitLocker utilise avec le chiffrement au niveau matériel. Si le jeu d’algorithmes pour le lecteur n’est pas disponible, BitLocker désactive l’utilisation du chiffrement au niveau matériel. Les algorithmes de chiffrement sont spécifiés par des identificateurs d’objets (OID). Par exemple : - OID AES 128 en mode CBC : 2.16.840.1.101.3.4.1.2 - OID AES 256 en mode CBC : 2.16.840.1.101.3.4.1.42
Registre
SOFTWARE\Policies\Microsoft\FVE Nom de valeur : FDVHardwareEncryption
Activé : FDVHardwareEncryption = 1
Désactivé : FDVHardwareEncryption = 0
Générateur d'exports
BETAConfigurez l'état, la portée et les options, puis générez les sorties .reg, PowerShell, Intune et SCCM — ou ajoutez le paramètre à une collection multi-paramètres.
Ces exports écrivent le registre — ce n'est pas une GPO managée. ⓘ
Fichier .reg
Windows Registry Editor Version 5.00
; Exported from gporais.com
; Policy: Configurer l’utilisation du chiffrement au niveau matériel pour les lecteurs de données fixes
; State: Enabled
; Supported on: Au minimum Windows Server 2012 ou Windows 8
[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\FVE]
"FDVHardwareEncryption"=dword:00000001
"FDVAllowSoftwareEncryptionFailover"=dword:00000001
"FDVRestrictHardwareEncryptionAlgorithms"=dword:00000000
"FDVAllowedHardwareEncryptionAlgorithms"=""Autres formats (PowerShell, Intune, SCCM)
PowerShell
# Exported from gporais.com
# Policy: Configurer l’utilisation du chiffrement au niveau matériel pour les lecteurs de données fixes
# State: Enabled
# Supported on: Au minimum Windows Server 2012 ou Windows 8
$path = 'HKLM:\SOFTWARE\Policies\Microsoft\FVE'
New-Item -Path $path -Force | Out-Null
Set-ItemProperty -Path $path -Name 'FDVHardwareEncryption' -Value 1 -Type DWord
Set-ItemProperty -Path $path -Name 'FDVAllowSoftwareEncryptionFailover' -Value 1 -Type DWord
Set-ItemProperty -Path $path -Name 'FDVRestrictHardwareEncryptionAlgorithms' -Value 0 -Type DWord
Set-ItemProperty -Path $path -Name 'FDVAllowedHardwareEncryptionAlgorithms' -Value '' -Type StringIntune XML
Aucune correspondance directe Policy CSP / OMA-URI pour cette stratégie. Utilisez l'onglet Intune Remediation, ou importez l'ADMX dans Intune.Intune Remediation
# === Detection script ===
# Exported from gporais.com
# Policy: Configurer l’utilisation du chiffrement au niveau matériel pour les lecteurs de données fixes
# State: Enabled
# Supported on: Au minimum Windows Server 2012 ou Windows 8
function Test-RegistryValue {
param(
[Parameter(Mandatory = $true)][string]$Path,
[Parameter(Mandatory = $true)][string]$Name,
[object]$Expected,
[ValidateSet('String', 'DWord', 'MultiString')][string]$Kind = 'String',
[switch]$Absent
)
try {
$item = Get-ItemProperty -LiteralPath $Path -Name $Name -ErrorAction Stop
} catch {
return $Absent.IsPresent
}
if ($Absent.IsPresent) { return $false }
$actual = $item.$Name
if ($Kind -eq 'DWord') { return ([int64]$actual) -eq ([int64]$Expected) }
if ($Kind -eq 'MultiString') {
$actualValues = @($actual)
$expectedValues = @($Expected)
if ($actualValues.Count -ne $expectedValues.Count) { return $false }
for ($i = 0; $i -lt $expectedValues.Count; $i++) {
if ([string]$actualValues[$i] -ne [string]$expectedValues[$i]) { return $false }
}
return $true
}
return [string]$actual -eq [string]$Expected
}
$checks = @(
(Test-RegistryValue -Path 'HKLM:\SOFTWARE\Policies\Microsoft\FVE' -Name 'FDVHardwareEncryption' -Expected 1 -Kind DWord)
(Test-RegistryValue -Path 'HKLM:\SOFTWARE\Policies\Microsoft\FVE' -Name 'FDVAllowSoftwareEncryptionFailover' -Expected 1 -Kind DWord)
(Test-RegistryValue -Path 'HKLM:\SOFTWARE\Policies\Microsoft\FVE' -Name 'FDVRestrictHardwareEncryptionAlgorithms' -Expected 0 -Kind DWord)
(Test-RegistryValue -Path 'HKLM:\SOFTWARE\Policies\Microsoft\FVE' -Name 'FDVAllowedHardwareEncryptionAlgorithms' -Expected '' -Kind String)
)
if ($checks -notcontains $false) {
Write-Output 'Compliant'
exit 0
}
Write-Output 'Non-compliant'
exit 1
# === Remediation script ===
# Exported from gporais.com
# Policy: Configurer l’utilisation du chiffrement au niveau matériel pour les lecteurs de données fixes
# State: Enabled
# Supported on: Au minimum Windows Server 2012 ou Windows 8
$path = 'HKLM:\SOFTWARE\Policies\Microsoft\FVE'
New-Item -Path $path -Force | Out-Null
Set-ItemProperty -Path $path -Name 'FDVHardwareEncryption' -Value 1 -Type DWord
Set-ItemProperty -Path $path -Name 'FDVAllowSoftwareEncryptionFailover' -Value 1 -Type DWord
Set-ItemProperty -Path $path -Name 'FDVRestrictHardwareEncryptionAlgorithms' -Value 0 -Type DWord
Set-ItemProperty -Path $path -Name 'FDVAllowedHardwareEncryptionAlgorithms' -Value '' -Type StringScripts SCCM
# Exported from gporais.com
# Policy: Configurer l’utilisation du chiffrement au niveau matériel pour les lecteurs de données fixes
# State: Enabled
# Supported on: Au minimum Windows Server 2012 ou Windows 8
# SCCM Configuration Item guidance:
# Create a Configuration Item of type "Setting: Script".
# Discovery script: use the Detection script below.
# Remediation script: use the Remediation script below.
# Compliance rule: the Discovery script output equals 'Compliant'.
# === Detection script ===
# Exported from gporais.com
# Policy: Configurer l’utilisation du chiffrement au niveau matériel pour les lecteurs de données fixes
# State: Enabled
# Supported on: Au minimum Windows Server 2012 ou Windows 8
function Test-RegistryValue {
param(
[Parameter(Mandatory = $true)][string]$Path,
[Parameter(Mandatory = $true)][string]$Name,
[object]$Expected,
[ValidateSet('String', 'DWord', 'MultiString')][string]$Kind = 'String',
[switch]$Absent
)
try {
$item = Get-ItemProperty -LiteralPath $Path -Name $Name -ErrorAction Stop
} catch {
return $Absent.IsPresent
}
if ($Absent.IsPresent) { return $false }
$actual = $item.$Name
if ($Kind -eq 'DWord') { return ([int64]$actual) -eq ([int64]$Expected) }
if ($Kind -eq 'MultiString') {
$actualValues = @($actual)
$expectedValues = @($Expected)
if ($actualValues.Count -ne $expectedValues.Count) { return $false }
for ($i = 0; $i -lt $expectedValues.Count; $i++) {
if ([string]$actualValues[$i] -ne [string]$expectedValues[$i]) { return $false }
}
return $true
}
return [string]$actual -eq [string]$Expected
}
$checks = @(
(Test-RegistryValue -Path 'HKLM:\SOFTWARE\Policies\Microsoft\FVE' -Name 'FDVHardwareEncryption' -Expected 1 -Kind DWord)
(Test-RegistryValue -Path 'HKLM:\SOFTWARE\Policies\Microsoft\FVE' -Name 'FDVAllowSoftwareEncryptionFailover' -Expected 1 -Kind DWord)
(Test-RegistryValue -Path 'HKLM:\SOFTWARE\Policies\Microsoft\FVE' -Name 'FDVRestrictHardwareEncryptionAlgorithms' -Expected 0 -Kind DWord)
(Test-RegistryValue -Path 'HKLM:\SOFTWARE\Policies\Microsoft\FVE' -Name 'FDVAllowedHardwareEncryptionAlgorithms' -Expected '' -Kind String)
)
if ($checks -notcontains $false) {
Write-Output 'Compliant'
exit 0
}
Write-Output 'Non-compliant'
exit 1
# === Remediation script ===
# Exported from gporais.com
# Policy: Configurer l’utilisation du chiffrement au niveau matériel pour les lecteurs de données fixes
# State: Enabled
# Supported on: Au minimum Windows Server 2012 ou Windows 8
$path = 'HKLM:\SOFTWARE\Policies\Microsoft\FVE'
New-Item -Path $path -Force | Out-Null
Set-ItemProperty -Path $path -Name 'FDVHardwareEncryption' -Value 1 -Type DWord
Set-ItemProperty -Path $path -Name 'FDVAllowSoftwareEncryptionFailover' -Value 1 -Type DWord
Set-ItemProperty -Path $path -Name 'FDVRestrictHardwareEncryptionAlgorithms' -Value 0 -Type DWord
Set-ItemProperty -Path $path -Name 'FDVAllowedHardwareEncryptionAlgorithms' -Value '' -Type StringVous construisez une collection multi-paramètres ? Ajoutez ce paramètre et générez des exports combinés (.reg, PowerShell, GPO).