Limiter l’invite de commandes pour les utilisateurs Windows
Sur un PC Windows partagé, un administrateur peut vouloir limiter l’accès de certains utilisateurs à l’invite de commandes. Par exemple, une école peut restreindre l’accès des élèves tout en autorisant les scripts batch nécessaires au fonctionnement courant. Désactiver l’accès à l’invite de commandes contrôle l’accès interactif à Cmd.exe et permet de choisir séparément le blocage des fichiers batch.
Problèmes que cette stratégie peut résoudre
Cette stratégie aide à empêcher des utilisateurs, notamment des élèves sur un PC administré, de lancer des commandes indésirables dans l’invite interactive. Elle ne garantit pas le blocage de toute activité nuisible ni des autres interpréteurs. Une fois activée, un message indique que l’administrateur a désactivé l’invite : c’est un résultat du réglage, pas une erreur préexistante.
Étapes
- Ouvrez l’éditeur de stratégie de groupe pour les utilisateurs concernés et accédez à
Configuration utilisateur › Modèles d'administration › Système. Dans un domaine, liez l’objet de stratégie à l’unité d’organisation contenant ces utilisateurs. - Ouvrez la stratégie et sélectionnez
Activé. Choisissez si le traitement des fichiers batch doit être désactivé, puis appliquez le réglage. - Actualisez la stratégie et vérifiez avec un compte utilisateur ciblé. Pour revenir en arrière, sélectionnez
DésactivéouNon configuré.
Ne bloquez pas le traitement batch si les utilisateurs dépendent de scripts batch d’ouverture ou de fermeture de session, de démarrage ou d’arrêt, ou utilisent les services Bureau à distance. Le blocage de Cmd.exe peut aussi perturber la communication de l’extension de navigateur Power Automate.
Paramètres du Registre
Connectez-vous avec le compte utilisateur ciblé et ouvrez l’Éditeur du Registre avec regedit. Avant de modifier la clé ci-dessous, exportez-la et notez si la valeur existe et quelles sont ses données initiales. Dans cette clé, créez ou modifiez la valeur DWORD suivante :
HKCU\Software\Policies\Microsoft\Windows\System
DisableCMD (REG_DWORD)
Définissez la valeur sur 2 pour bloquer Cmd.exe interactif tout en autorisant les fichiers batch, ou sur 1 pour bloquer les deux. Appliquez la modification et vérifiez avec l’utilisateur ciblé. Pour revenir à l’état précédent, restaurez la valeur notée ou supprimez uniquement cette valeur si elle était absente. Une stratégie administrée peut la réappliquer à l’actualisation.
Référence : modèles de stratégie Windows 11 version 26H2.