Désactivez le composant de dépendance de la boîte de réception de l’applicationComposants Windows\Inventaire des applications et des appareilsOrdinateurUne fois activé, ce composant de l’inventaire des applications ne s’exécute plus. Il suit les dépendances des applications envers les composants intégrés à Windows pour repérer des problèmes de compatibilitéPermettre aux applications Windows d’accéder aux clés d’accèsComposants Windows\Confidentialité de l’applicationOrdinateurValeur par défaut pour toutes les applications (Sous le contrôle de l’utilisateur, Forcer l’autorisation ou Forcer le refus), avec des exceptions par nom de famille de packages. Non configuré : l’utilisateur décide dans Paramètres > ConfidentialitéAutorisez les applications Windows à remplir automatiquement des clés d’accèsComposants Windows\Confidentialité de l’applicationOrdinateurMêmes options que le paramètre précédent, appliquées au remplissage automatique des clés d’accès (passkeys) par les applicationsAutoriser les applications Windows à accéder au contenu texte à partir des applications de premier planComposants Windows\Confidentialité de l’applicationOrdinateurContrôle si les applications Windows peuvent lire le texte affiché par l’application au premier plan. Mêmes options : contrôle par l’utilisateur, autorisation ou refus forcé, avec exceptions par applicationConfigurer les options de caméraComposants Windows\Appareil photoOrdinateurAutoShare : la caméra est partagée et utilisable par plusieurs applications en même temps. SafeMode : partage automatique en mode restreint, pour améliorer la fiabilité. Non configuré : fonctionnement par défautConfigurer les connecteurs d’agentComposants Windows\Windows AIOrdinateurTrois choix : Utilisateur en contrôle, Forcer l’activation ou Forcer la désactivation des connecteurs d’agentStratégie d’accès du connecteur d’agentComposants Windows\Windows AIOrdinateurListe blanche au format JSON des connexions autorisées entre hôtes MCP et serveurs MCP. Non configuré : un hôte MCP peut se connecter à n’importe quel serveur MCP avec l’accord de l’utilisateurDurée du consentement de l’agentComposants Windows\Windows AIOrdinateurDurée de validité d’un consentement « Autoriser » donné aux fonctionnalités d’un agent, avant une nouvelle demande. De 1 à 8 760 heures (un an), 720 heures (30 jours) par défautNiveau de journalisation du registre sur l’appareilComposants Windows\Windows AIOrdinateurTrois niveaux : Erreur ou supérieur, Information ou supérieur, Débogage ou supérieur. Microsoft ne détaille pas le registre concernéDésactiver la Prise en mainComposants Windows\Contenu cloudOrdinateurL’application Prise en main ne se lance plus automatiquement et se ferme immédiatement si l’utilisateur l’ouvre. Ses tâches en arrière-plan ne s’exécutent plusDésactiver l’épinglage de l’écran CopilotComposants Windows\Contenu cloudOrdinateurBloque l’assistant de configuration de Microsoft 365 Copilot affiché à l’ouverture de session. Copilot et ses licences ne sont pas affectésAfficher l’indicateur d’emplacement d’appui NFC sur l’écran d’ouverture de sessionSystème\Ouverture de sessionOrdinateurSuperposition qui indique où présenter une clé de sécurité ou un badge NFC, si l’emplacement de l’antenne est configuré sur l’appareil. Affichée par défaut, la désactivation la masque toujoursDésactivez la fonctionnalité d’Explorer permettant de précharger une fenêtre en arrière-planComposants Windows\Explorateur de fichiersOrdinateurEmpêche les utilisateurs d’activer le prélancement, qui crée une fenêtre de l’Explorateur en arrière-plan pour accélérer son ouvertureRendre la touche Impr écran réactiveComposants Windows\Explorateur de fichiersOrdinateurActivé ou non configuré : les applications peuvent intercepter la touche et remplacer la capture d’écran native. Désactivé : la touche garde son comportement historique. Un redémarrage peut être nécessaireAutoriser les opérations de descripteur de groupe de fichiers à écrire dans n’importe quel chemin de destinationComposants Windows\Explorateur de fichiersOrdinateurDésactive une protection appliquée par défaut : les fichiers reçus par copier-coller ou glisser-déposer (CFSTR_FILEDESCRIPTOR) dont le nom tente de sortir du dossier de destination sont rejetés. À activer seulement si un usage métier en dépendAutoriser les SPN basés sur l’adresse IP lors de l’authentification KerberosSystème\KerberosOrdinateurUne fois activé, le client Kerberos tente d’utiliser un SPN basé sur l’adresse IP lorsqu’il se connecte à un service. Non configuré : il ne le fait pasInterdisez l’installation et la configuration d’un pont réseau sur votre réseau.Réseau\Connexions réseauOrdinateurParamètre existant qui empêche de créer un pont réseau (pont MAC de couche 2). Sur un appareil joint à Entra ID, il s’applique sur tous les réseaux. Sur un poste joint à l’AD, uniquement sur le réseau du domaineBlocage NTLM amélioréSystème\NTLMOrdinateurQuatre règles, chacune réglable sur Auditer, Activé (blocage) ou Désactivé : authentification unique des comptes de domaine, contrôleurs de domaine, échec de la liaison de la machine et blocage total. Liste verte commune (noms de cibles ou SPN)Configurez le classement des pilotes Windows Ready PrintImprimantesOrdinateurActivé : Windows privilégie le pilote de classe Microsoft IPP pour les imprimantes IPP, en réseau ou en USB. Actif par défaut si rien n’est configuré. Ne concerne que les nouvelles installations d’imprimantesAutoriser l’analyse hors connexion à partir de l’Environnement de récupération Windows approuvéSystème\RécupérationOrdinateurL’analyse hors connexion lancée depuis WinRE s’exécute sans demander la clé de récupération BitLocker, si BitLocker fait confiance à WinRE. Par défaut, la clé est demandée et l’analyse ne démarre pas sans elleContrôler le montage des volumes ReFS sur des disques USB et IEEE 1394Système\Système de fichiersOrdinateurTrois modes : Bloquer (montage refusé et événement journalisé), Auditer uniquement (montage autorisé et événement journalisé) ou Désactivé. Redémarrage nécessaire pour appliquer un changementContrôler le montage des volumes ReFS sur des disques connectables à chaudSystème\Système de fichiersOrdinateurMêmes modes, appliqués à tous les disques signalés comme connectables à chaud, quel que soit le bus. Pour un espace de stockage, ce sont les disques physiques du pool qui sont évaluésLimiter les données de service requises pour le démarrage sécuriséComposants Windows\Démarrage sécuriséOrdinateurSupprime l’événement quotidien qui remonte la configuration Secure Boot et l’état des variables du firmware, envoyé quel que soit le niveau de télémétrie. Destiné aux entreprises qui appliquent la base Windows Restricted Traffic Limited FunctionalityDésactiver la modification de la position de la barre des tâchesMenu Démarrer et barre des tâchesOrdinateur et utilisateurRamène la barre des tâches en bas de l’écran et grise l’option de position dans l’application ParamètresDésactiver la modification de la taille de la barre des tâchesMenu Démarrer et barre des tâchesOrdinateur et utilisateurRamène la barre des tâches à sa taille par défaut et grise l’option de taille dans l’application ParamètresSpécifier les empreintes numériques des certificats représentant des éditeurs .rdp approuvésComposants Windows\Services Bureau à distance\Client Connexion Bureau à distanceOrdinateur et utilisateurParamètre existant. Accepte désormais les empreintes SHA-256, SHA-384 et SHA-512 avec un préfixe (sha256:, sha384:, sha512:) et ajoute une case pour refuser le SHA-1, qui sera désactivé par défaut dans une prochaine mise à jourAutoriser les ruches du Registre du profil utilisateur et AppData depuis des chemins non standardSystème\Profils utilisateurOrdinateurAccepte des formats de chemins non standards pour les ruches de registre des profils et les dossiers AppData. Microsoft prévient des risques de sécurité et le réserve aux applications qui l’exigentDésactiver l’approbation BitLocker de l’Environnement de récupération Windows (WinRE)Composants Windows\Chiffrement de lecteur BitLocker\Lecteurs du système d’exploitationOrdinateurWinRE ne peut plus accéder au volume système sans la clé de récupération. La réparation du démarrage, la récupération rapide, Push-button Recovery et l’effacement à distance via MDM peuvent alors exiger une interventionSélectionnez le canal pour les mises à jour mensuelles de la plateforme Microsoft Defender [appelé à être abandonné]Composants Windows\Antivirus Microsoft DefenderOrdinateurParamètre existant, appelé à être remplacé par le canal de déploiement sécurisé. Choix entre canal Bêta, canal actuel (préversion, intermédiaire ou élargi) et un mode critique avec 48 heures de délaiSélectionnez le canal pour les mises à jour mensuelles du moteur de Microsoft Defender [appelé à être abandonné]Composants Windows\Antivirus Microsoft DefenderOrdinateurMême chose pour les mises à jour du moteur de DefenderSélectionnez le canal de déploiement sécurisé de Microsoft DefenderComposants Windows\Antivirus Microsoft DefenderOrdinateurCinq canaux pour les mises à jour de la plateforme et du moteur : validation (1 % des appareils au plus), mise en production anticipé, rapide ou large, et différé (environ 48 heures après le canal large, pour les actifs critiques)Configurer le nombre maximal de jours pendant lesquels les mises à jour peuvent être suspenduesComposants Windows\Windows Update\Gérer l’expérience utilisateur finalOrdinateurPlafonne la pause des mises à jour par l’utilisateur entre 1 et 35 jours. Une fois la limite atteinte, la pause ne peut plus être prolongée. L’option de pause reste disponible



Source link