Comment désactiver l'authentification de base WinRM à l'aide de Microsoft Intune

Configurez les stratégies Microsoft Intune pour désactiver l'authentification de base de la gestion à distance de Windows, empêchant la transmission de crédentiels en texte clair et atteignant la conformité de sécurité Zero Trust.

17 avril 2026 15 min —

hardintune 10 étapes 15 min

Pourquoi désactiver l'authentification de base WinRM dans les environnements d'entreprise ?

L'authentification de base de Windows Remote Management (WinRM) représente une vulnérabilité de sécurité significative dans les réseaux d'entreprise modernes. Lorsqu'elle est activée, l'authentification de base transmet les identifiants utilisateur en texte clair sur le réseau, les rendant susceptibles aux attaques de capture de paquets et au vol d'identifiants. Cette configuration contredit directement les principes de sécurité Zero Trust qui exigent que toutes les communications soient chiffrées et authentifiées.

Quels risques de sécurité l'authentification de base WinRM crée-t-elle ?

L'authentification de base sur HTTP (port 5985) expose les identifiants aux attaques de sniffing réseau, permettant aux acteurs malveillants d'intercepter et de voler des identifiants administratifs. La ligne de base de sécurité MDM de Microsoft Intune définit spécifiquement "Autoriser l'authentification de base" sur Désactivé par défaut pour les configurations Client et Service WinRM, reconnaissant cela comme un contrôle de sécurité critique. Les organisations soumises à des cadres de conformité comme les benchmarks CIS doivent désactiver l'authentification de base pour répondre aux exigences de sécurité.

Comment Microsoft Intune applique-t-il les politiques de sécurité WinRM ?

Microsoft Intune fournit une gestion centralisée des politiques via des profils du catalogue de paramètres, permettant aux administrateurs de configurer des paramètres de sécurité Windows granulaires sur tous les appareils inscrits. Cette approche garantit une application cohérente de la posture de sécurité et fournit des rapports de conformité détaillés. Les modifications de politique ciblent des clés de registre spécifiques sous HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\WinRM, garantissant l'application à l'échelle du système des contrôles de sécurité. En mettant en œuvre ces configurations via Intune, les organisations peuvent atteindre un renforcement de la sécurité évolutif tout en maintenant une visibilité et un contrôle centralisés sur leur parc d'appareils.

Guide de mise en oeuvre

Procédure complète

Accédez au Centre d'administration Microsoft Intune et créez une nouvelle stratégie

Ouvrez votre navigateur web et accédez au Centre d'administration Microsoft Intune. Connectez-vous avec vos identifiants administratifs et accédez à la section de configuration des appareils.

Accédez à Appareils > Configuration > + Créer > + Nouvelle stratégie. Cela ouvre l'assistant de création de stratégie où vous configurerez les paramètres de sécurité WinRM.

Astuce pro : Ajoutez le lien du Centre d'administration Intune à vos favoris pour un accès rapide lors des tâches de configuration de sécurité.

Vérification : Confirmez que vous pouvez voir les options de création de stratégie et que votre compte dispose des autorisations nécessaires pour créer des stratégies de configuration des appareils.

Configurer les paramètres de la plateforme et du type de profil

Dans l'assistant de création de stratégie, sélectionnez Windows 10 et versions ultérieures comme plateforme cible. Cela garantit la compatibilité avec les appareils Windows modernes de votre organisation.

Choisissez Catalogue des paramètres comme type de profil. Le Catalogue des paramètres offre un contrôle granulaire sur les paramètres de configuration Windows et est l'approche recommandée pour les configurations de sécurité avancées.

Cliquez sur Créer pour passer à la page des paramètres de configuration.

Avertissement : Évitez d'utiliser le type de profil Modèles Administratifs pour cette configuration, car le Catalogue des paramètres offre de meilleures capacités de contrôle et de reporting.

Vérification : Assurez-vous que la plateforme affiche "Windows 10 et versions ultérieures" et que le type de profil affiche "Catalogue des paramètres" avant de continuer.

Ajouter les paramètres d'authentification de base WinRM

Dans l'onglet Paramètres de configuration, cliquez sur + Ajouter des paramètres pour ouvrir le Sélecteur de paramètres. Cette interface vous permet de parcourir et de sélectionner des options de configuration Windows spécifiques.

Parcourez par catégorie et naviguez à travers le chemin suivant :

Système > Modèles d'administration > Composants Windows > Gestion à distance Windows (WinRM) > Client WinRM

Localisez et sélectionnez Autoriser l'authentification de base dans la liste des paramètres disponibles. Ce paramètre contrôle si le client WinRM peut utiliser l'authentification de base pour la transmission des identifiants.

Vérification : Confirmez que le paramètre apparaît dans votre liste de configuration avec le chemin et la description corrects.

Désactiver l'authentification de base du client WinRM

Définissez la politique Autoriser l'authentification de base sur Désactivé. Cela empêche le client WinRM d'utiliser l'authentification de base, qui transmet les informations d'identification en texte clair sur le réseau.

La modification du registre que cela crée :

Clé de registre : HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\WinRM\Client
Nom de la valeur de registre : AllowBasic
Type de valeur : DWORD
Données de valeur : 0 (Désactivé)

Ajoutez un deuxième paramètre en répétant le processus pour Service WinRM > Autoriser l'authentification de base et définissez-le également sur Désactivé.

Astuce pro : Configurez à la fois les paramètres client et service pour garantir une protection complète contre les vulnérabilités de l'authentification de base.

Vérification : Les paramètres d'authentification de base du client et du service WinRM doivent apparaître comme "Désactivé" dans votre configuration de politique.

Configurer des paramètres de sécurité WinRM supplémentaires

Dans le Sélecteur de paramètres, ajoutez ces configurations de sécurité supplémentaires pour renforcer votre posture de sécurité WinRM :

Accédez à WinRM Client et ajoutez :

Autoriser le trafic non chiffré - Réglez sur Désactivé
Interdire l'authentification Digest - Réglez sur Activé

Accédez à WinRM Service et ajoutez :

Autoriser le trafic non chiffré - Réglez sur Désactivé
Interdire à WinRM de stocker les identifiants RunAs - Réglez sur Activé

Ces paramètres sont conformes aux recommandations de base de sécurité de Microsoft et aux principes de Zero Trust.

Avertissement : Désactiver le trafic non chiffré peut interrompre les connexions WinRM existantes utilisant HTTP. Assurez-vous que votre environnement utilise HTTPS (port 5986) pour les communications WinRM.

Vérification : Passez en revue tous les paramètres pour vous assurer qu'ils correspondent aux valeurs par défaut de la base de sécurité MDM de Microsoft Intune.

Nommer et attribuer la politique aux groupes cibles

Fournissez un nom descriptif pour votre politique, tel que "Renforcement de la sécurité WinRM - Désactiver l'authentification de base". Ajoutez une description claire expliquant l'objectif de la politique et ses avantages en matière de sécurité.

Cliquez sur Suivant pour passer à l'onglet Affectations. Sélectionnez les groupes de sécurité ou unités organisationnelles appropriés qui devraient recevoir cette politique.

Envisagez de créer un déploiement par phases :

Phase 1 : Groupe de test IT (10-20 appareils)
Phase 2 : Département IT (50-100 appareils)
Phase 3 : Tous les appareils de l'entreprise

Configurez les balises de portée si votre organisation les utilise pour la gestion et la délégation des politiques.

Vérification : Confirmez que les groupes cibles sont correctement sélectionnés et que la portée de l'affectation correspond à votre stratégie de déploiement.

Examiner la configuration et déployer la politique

Examinez tous les paramètres de la politique sur la page Révision + Création. Vérifiez que toutes les configurations de sécurité WinRM sont correctement définies :

Authentification de base du client WinRM : Désactivée
Authentification de base du service WinRM : Désactivée
Paramètres de trafic non chiffré : Désactivés
Renforcement supplémentaire de la sécurité : Activé

Cliquez sur Créer pour déployer la politique. La politique sera distribuée aux appareils cibles lors de leur prochain cycle de vérification.

Astuce pro : Documentez la date de création de la politique et les paramètres pour l'audit de conformité et les références futures.

Vérification : Vérifiez le statut de la politique dans le Centre d'administration Intune pour confirmer la création et le déploiement initial réussis.

Surveiller le déploiement et la conformité des politiques

Accédez à Appareils > Surveiller > Configuration de l'appareil pour suivre le statut de déploiement des politiques. Surveillez le tableau de bord de conformité pour l'application réussie des politiques.

Vérifiez la conformité des appareils individuels en accédant à Appareils > Tous les appareils et en sélectionnant des appareils spécifiques pour voir leur statut de configuration.

Forcez le rafraîchissement immédiat des politiques sur les appareils de test en utilisant :

Get-ScheduledTask | Where-Object {$_.TaskName -eq "PushLaunch"} | Start-ScheduledTask

Ou utilisez l'application Intune Company Portal pour synchroniser les politiques manuellement.

Vérification : Confirmez que la politique apparaît avec le statut "Réussi" sur les appareils cibles dans les 24 heures suivant le déploiement.

Valider la configuration de sécurité WinRM sur les appareils cibles

Connectez-vous à un appareil cible et vérifiez que les paramètres du registre ont été appliqués correctement. Ouvrez PowerShell en tant qu'administrateur et exécutez :

# Vérifier le paramètre d'authentification de base du client WinRM
Get-ItemProperty -Path "HKLM:\SOFTWARE\Policies\Microsoft\Windows\WinRM\Client" -Name "AllowBasic" -ErrorAction SilentlyContinue

# Vérifier le paramètre d'authentification de base du service WinRM
Get-ItemProperty -Path "HKLM:\SOFTWARE\Policies\Microsoft\Windows\WinRM\Service" -Name "AllowBasic" -ErrorAction SilentlyContinue

# Vérifier la configuration de WinRM
winrm get winrm/config/client/auth
winrm get winrm/config/service/auth

Les valeurs AllowBasic doivent être 0 (désactivé), et la configuration WinRM doit indiquer que l'authentification de base est fausse.

Avertissement : Si des applications existantes dépendent de l'authentification de base WinRM, elles échoueront après l'application de cette politique. Testez soigneusement dans un environnement contrôlé d'abord.

Vérification : Les valeurs du registre montrent AllowBasic = 0 et la configuration d'authentification WinRM affiche Basic = false pour le client et le service.

Tester la connectivité WinRM et résoudre les problèmes

Testez la connectivité WinRM en utilisant des méthodes d'authentification sécurisées pour garantir que la politique ne perturbe pas les scénarios de gestion à distance légitimes :

# Testez la connectivité WinRM avec l'authentification Kerberos
Test-WSMan -ComputerName "target-computer" -Authentication Kerberos

# Testez la gestion à distance PowerShell avec les informations d'identification actuelles
Enter-PSSession -ComputerName "target-computer" -Authentication Negotiate

# Vérifiez la configuration de l'écouteur WinRM
winrm enumerate winrm/config/listener

Si les connexions échouent, vérifiez que les écouteurs HTTPS sont configurés et que les certificats sont correctement installés. Pour le dépannage, consultez les journaux d'événements Windows :

Get-WinEvent -LogName "Microsoft-Windows-WinRM/Operational" -MaxEvents 50

Résolution courante : Configurez WinRM pour utiliser HTTPS (port 5986) au lieu de HTTP (port 5985) pour des communications sécurisées.

Vérification : Connexions WinRM réussies en utilisant l'authentification Kerberos ou Negotiate, et aucune tentative d'authentification Basic dans les journaux.

Questions Fréquentes

Que se passe-t-il pour les connexions WinRM existantes lorsque l'authentification de base est désactivée ?+

Les connexions WinRM existantes utilisant l'authentification de base échoueront immédiatement après l'application de la politique. Les applications et scripts s'appuyant sur l'authentification de base doivent être reconfigurés pour utiliser Kerberos, Negotiate ou l'authentification par certificat. Testez tous les systèmes dépendants de WinRM dans un environnement contrôlé avant de déployer cette politique à l'échelle de l'organisation pour éviter les interruptions de service.

Comment puis-je vérifier que l'authentification de base WinRM est désactivée avec succès sur les appareils cibles ?+

Utilisez PowerShell pour vérifier les valeurs du registre : Get-ItemProperty -Path "HKLM:\SOFTWARE\Policies\Microsoft\Windows\WinRM\Client" -Name "AllowBasic". La valeur doit être 0 (désactivé). De plus, exécutez "winrm get winrm/config/client/auth" et "winrm get winrm/config/service/auth" pour confirmer que l'authentification de base apparaît comme false dans la configuration WinRM.

La désactivation de l'authentification de base WinRM affecte-t-elle la fonctionnalité de télécommande PowerShell ?+

La communication à distance PowerShell continue de fonctionner normalement lorsque l'authentification de base est désactivée, car elle utilise principalement l'authentification Kerberos ou Negotiate par défaut. Cependant, si votre environnement dispose de scripts ou d'applications personnalisés spécifiquement configurés pour utiliser l'authentification de base, ceux-ci devront être mis à jour pour utiliser des méthodes d'authentification plus sécurisées comme Kerberos ou l'authentification basée sur des certificats.

Puis-je utiliser la stratégie de groupe au lieu de Microsoft Intune pour désactiver l'authentification de base WinRM ?+

Oui, vous pouvez désactiver l'authentification de base WinRM en utilisant la stratégie de groupe traditionnelle en configurant les mêmes paramètres sous Configuration de l'ordinateur > Modèles d'administration > Composants Windows > Gestion à distance Windows. Cependant, Intune offre de meilleures capacités de reporting, de surveillance de la conformité et de gestion basée sur le cloud, ce qui en fait la méthode préférée pour les environnements modernes hybrides et axés sur le cloud.

Quelles méthodes d'authentification alternatives devrais-je configurer après avoir désactivé l'authentification de base ?+

Configurez WinRM pour utiliser HTTPS (port 5986) avec une authentification basée sur des certificats, une authentification Kerberos pour les machines jointes au domaine, ou une authentification Negotiate qui sélectionne automatiquement la méthode la plus sécurisée disponible. Assurez-vous du déploiement correct des certificats via Intune ou les stratégies de groupe, et configurez les écouteurs WinRM pour n'accepter que les connexions chiffrées pour une sécurité maximale.

Intelligence Complémentaire

Approfondissez vos connaissances

tutorial

Windows

Comment télécharger et installer Windows 11 26H1 (mise à jour des fonctionnalités 2026)

Explorer

tutorial

Cybersecurity