Spécifier le niveau de sécurisation renforcée des jetons de liaison de canaux
Vérifié avec Windows 11 25H2 — mis à jour le 30 juillet 2026
Pris en charge sur : Au minimum Windows Vista
Chemin dans la console GPO
Configuration ordinateur\Modèles d'administration\Composants Windows\Gestion à distance de Windows (WinRM)\Service WinRM Description
Ce paramètre de stratégie permet de définir le niveau de sécurisation renforcée que le service Gestion à distance de Windows (WinRM) applique pour les jetons de liaison de canaux. Si vous activez ce paramètre de stratégie, le service WinRM applique le niveau de sécurisation renforcée défini dans HardeningLevel pour déterminer s’il doit ou non accepter une demande qu’il a reçue, sur la base d’un jeton de liaison de canaux fourni. Si vous désactivez ce paramètre de stratégie ou ne le configurez pas, vous pouvez configurer le niveau de sécurisation renforcée localement sur chaque ordinateur. Si HardeningLevel a la valeur Strict, toute demande qui ne contient pas un jeton de liaison de canaux valide est rejetée. Si HardeningLevel a la valeur Détendu (valeur par défaut), toute demande qui contient un jeton de liaison de canaux non valide est rejetée. En revanche, une demande ne contenant aucun jeton de liaison de canaux est acceptée (mais elle n’est pas protégée contre les attaques par transfert d’informations d’identification). Si HardeningLevel a la valeur Aucun, toutes les demandes sont acceptées (mais elles ne sont pas protégées contre les attaques par transfert d’informations d’identification).
Registre
Software\Policies\Microsoft\Windows\WinRM\Service Nom de valeur : CBTHardeningLevelStatus
MDM / Intune (CSP)
./Device/Vendor/MSFT/Policy/Config/RemoteManagement/SpecifyChannelBindingTokenHardeningLevel Documentation Microsoft Learn Données de correspondance : Microsoft Learn (CC BY 4.0)
Générateur d'exports
BETAConfigurez l'état, la portée et les options, puis générez les sorties .reg, PowerShell, Intune et SCCM — ou ajoutez le paramètre à une collection multi-paramètres.
Ces exports écrivent le registre — ce n'est pas une GPO managée. ⓘ
Fichier .reg
Windows Registry Editor Version 5.00
; Exported from gporais.com
; Policy: Spécifier le niveau de sécurisation renforcée des jetons de liaison de canaux
; State: Enabled
; Supported on: Au minimum Windows Vista
[HKEY_LOCAL_MACHINE\Software\Policies\Microsoft\Windows\WinRM\Service]
"CBTHardeningLevelStatus"=dword:00000001
"CbtHardeningLevel"="Relaxed"Autres formats (PowerShell, Intune, SCCM)
PowerShell
# Exported from gporais.com
# Policy: Spécifier le niveau de sécurisation renforcée des jetons de liaison de canaux
# State: Enabled
# Supported on: Au minimum Windows Vista
$path = 'HKLM:\Software\Policies\Microsoft\Windows\WinRM\Service'
New-Item -Path $path -Force | Out-Null
Set-ItemProperty -Path $path -Name 'CBTHardeningLevelStatus' -Value 1 -Type DWord
Set-ItemProperty -Path $path -Name 'CbtHardeningLevel' -Value 'Relaxed' -Type StringIntune XML
OMA-URI: ./Device/Vendor/MSFT/Policy/Config/RemoteManagement/SpecifyChannelBindingTokenHardeningLevel
Data type: String
Value:
<enabled/>
<data id="HardeningLevelCombo" value="Relaxed"/>Intune Remediation
# === Detection script ===
# Exported from gporais.com
# Policy: Spécifier le niveau de sécurisation renforcée des jetons de liaison de canaux
# State: Enabled
# Supported on: Au minimum Windows Vista
function Test-RegistryValue {
param(
[Parameter(Mandatory = $true)][string]$Path,
[Parameter(Mandatory = $true)][string]$Name,
[object]$Expected,
[ValidateSet('String', 'DWord', 'MultiString')][string]$Kind = 'String',
[switch]$Absent
)
try {
$item = Get-ItemProperty -LiteralPath $Path -Name $Name -ErrorAction Stop
} catch {
return $Absent.IsPresent
}
if ($Absent.IsPresent) { return $false }
$actual = $item.$Name
if ($Kind -eq 'DWord') { return ([int64]$actual) -eq ([int64]$Expected) }
if ($Kind -eq 'MultiString') {
$actualValues = @($actual)
$expectedValues = @($Expected)
if ($actualValues.Count -ne $expectedValues.Count) { return $false }
for ($i = 0; $i -lt $expectedValues.Count; $i++) {
if ([string]$actualValues[$i] -ne [string]$expectedValues[$i]) { return $false }
}
return $true
}
return [string]$actual -eq [string]$Expected
}
$checks = @(
(Test-RegistryValue -Path 'HKLM:\Software\Policies\Microsoft\Windows\WinRM\Service' -Name 'CBTHardeningLevelStatus' -Expected 1 -Kind DWord)
(Test-RegistryValue -Path 'HKLM:\Software\Policies\Microsoft\Windows\WinRM\Service' -Name 'CbtHardeningLevel' -Expected 'Relaxed' -Kind String)
)
if ($checks -notcontains $false) {
Write-Output 'Compliant'
exit 0
}
Write-Output 'Non-compliant'
exit 1
# === Remediation script ===
# Exported from gporais.com
# Policy: Spécifier le niveau de sécurisation renforcée des jetons de liaison de canaux
# State: Enabled
# Supported on: Au minimum Windows Vista
$path = 'HKLM:\Software\Policies\Microsoft\Windows\WinRM\Service'
New-Item -Path $path -Force | Out-Null
Set-ItemProperty -Path $path -Name 'CBTHardeningLevelStatus' -Value 1 -Type DWord
Set-ItemProperty -Path $path -Name 'CbtHardeningLevel' -Value 'Relaxed' -Type StringScripts SCCM
# Exported from gporais.com
# Policy: Spécifier le niveau de sécurisation renforcée des jetons de liaison de canaux
# State: Enabled
# Supported on: Au minimum Windows Vista
# SCCM Configuration Item guidance:
# Create a Configuration Item of type "Setting: Script".
# Discovery script: use the Detection script below.
# Remediation script: use the Remediation script below.
# Compliance rule: the Discovery script output equals 'Compliant'.
# === Detection script ===
# Exported from gporais.com
# Policy: Spécifier le niveau de sécurisation renforcée des jetons de liaison de canaux
# State: Enabled
# Supported on: Au minimum Windows Vista
function Test-RegistryValue {
param(
[Parameter(Mandatory = $true)][string]$Path,
[Parameter(Mandatory = $true)][string]$Name,
[object]$Expected,
[ValidateSet('String', 'DWord', 'MultiString')][string]$Kind = 'String',
[switch]$Absent
)
try {
$item = Get-ItemProperty -LiteralPath $Path -Name $Name -ErrorAction Stop
} catch {
return $Absent.IsPresent
}
if ($Absent.IsPresent) { return $false }
$actual = $item.$Name
if ($Kind -eq 'DWord') { return ([int64]$actual) -eq ([int64]$Expected) }
if ($Kind -eq 'MultiString') {
$actualValues = @($actual)
$expectedValues = @($Expected)
if ($actualValues.Count -ne $expectedValues.Count) { return $false }
for ($i = 0; $i -lt $expectedValues.Count; $i++) {
if ([string]$actualValues[$i] -ne [string]$expectedValues[$i]) { return $false }
}
return $true
}
return [string]$actual -eq [string]$Expected
}
$checks = @(
(Test-RegistryValue -Path 'HKLM:\Software\Policies\Microsoft\Windows\WinRM\Service' -Name 'CBTHardeningLevelStatus' -Expected 1 -Kind DWord)
(Test-RegistryValue -Path 'HKLM:\Software\Policies\Microsoft\Windows\WinRM\Service' -Name 'CbtHardeningLevel' -Expected 'Relaxed' -Kind String)
)
if ($checks -notcontains $false) {
Write-Output 'Compliant'
exit 0
}
Write-Output 'Non-compliant'
exit 1
# === Remediation script ===
# Exported from gporais.com
# Policy: Spécifier le niveau de sécurisation renforcée des jetons de liaison de canaux
# State: Enabled
# Supported on: Au minimum Windows Vista
$path = 'HKLM:\Software\Policies\Microsoft\Windows\WinRM\Service'
New-Item -Path $path -Force | Out-Null
Set-ItemProperty -Path $path -Name 'CBTHardeningLevelStatus' -Value 1 -Type DWord
Set-ItemProperty -Path $path -Name 'CbtHardeningLevel' -Value 'Relaxed' -Type StringVous construisez une collection multi-paramètres ? Ajoutez ce paramètre et générez des exports combinés (.reg, PowerShell, GPO).