群組原則搜尋群組原則搜尋
繁體中文

開啟虛擬化型安全性 的登錄值 EnableVirtualizationBasedSecurity 等 7 個電腦HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard

原則 ID
VirtualizationBasedSecurity
適用範圍
電腦設定
支援的作業系統
至少需要 Windows Server 2016、Windows 10
來源
Administrative Templates (.admx) for Windows 11 2026 Update (26H2) (版本 1.0)
類別
系統 › Device Guard

登錄

EnableVirtualizationBasedSecurity

REG_DWORD電腦
HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard 目前的機碼
啟用時的值
1
停用時的值
0
以 .reg · CMD · PowerShell 套用
.reg
Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard]

; 選項 (只使用其中一個)
; 已啟用
"EnableVirtualizationBasedSecurity"=dword:00000001
; 已停用
"EnableVirtualizationBasedSecurity"=dword:00000000
CMD
:: 選項 (只使用其中一個)

:: 已啟用
reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard" /v "EnableVirtualizationBasedSecurity" /t REG_DWORD /d 1 /f
:: 已停用
reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard" /v "EnableVirtualizationBasedSecurity" /t REG_DWORD /d 0 /f
PowerShell
# 共通: 建立機碼
New-Item -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Force | Out-Null

# 選項 (只使用其中一個)
# 已啟用
New-ItemProperty -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Name 'EnableVirtualizationBasedSecurity' -PropertyType DWord -Value 1 -Force | Out-Null
# 已停用
New-ItemProperty -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Name 'EnableVirtualizationBasedSecurity' -PropertyType DWord -Value 0 -Force | Out-Null

RequirePlatformSecurityFeatures

REG_DWORD電腦
HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard 目前的機碼
啟用時的值
取決於選項值
元素
選取平台安全性層級:
選項
項目儲存的值
安全開機1
安全開機及 DMA 保護3
以 .reg · CMD · PowerShell 套用
.reg
Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard]

; 選項 (只使用其中一個)
; 安全開機
"RequirePlatformSecurityFeatures"=dword:00000001
; 安全開機及 DMA 保護
"RequirePlatformSecurityFeatures"=dword:00000003
CMD
:: 選項 (只使用其中一個)

:: 安全開機
reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard" /v "RequirePlatformSecurityFeatures" /t REG_DWORD /d 1 /f
:: 安全開機及 DMA 保護
reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard" /v "RequirePlatformSecurityFeatures" /t REG_DWORD /d 3 /f
PowerShell
# 共通: 建立機碼
New-Item -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Force | Out-Null

# 選項 (只使用其中一個)
# 安全開機
New-ItemProperty -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Name 'RequirePlatformSecurityFeatures' -PropertyType DWord -Value 1 -Force | Out-Null
# 安全開機及 DMA 保護
New-ItemProperty -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Name 'RequirePlatformSecurityFeatures' -PropertyType DWord -Value 3 -Force | Out-Null

HypervisorEnforcedCodeIntegrity

REG_DWORD電腦
HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard 目前的機碼
啟用時的值
取決於選項值
元素
程式碼完整性的虛擬化型保護:
選項
項目儲存的值
已停用0
在包含 UEFI 鎖定的情況下啟用1
在不含鎖定情況下啟用2
尚未設定3
以 .reg · CMD · PowerShell 套用
.reg
Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard]

; 選項 (只使用其中一個)
; 已停用
"HypervisorEnforcedCodeIntegrity"=dword:00000000
; 在包含 UEFI 鎖定的情況下啟用
"HypervisorEnforcedCodeIntegrity"=dword:00000001
; 在不含鎖定情況下啟用
"HypervisorEnforcedCodeIntegrity"=dword:00000002
; 尚未設定
"HypervisorEnforcedCodeIntegrity"=dword:00000003
CMD
:: 選項 (只使用其中一個)

:: 已停用
reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard" /v "HypervisorEnforcedCodeIntegrity" /t REG_DWORD /d 0 /f
:: 在包含 UEFI 鎖定的情況下啟用
reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard" /v "HypervisorEnforcedCodeIntegrity" /t REG_DWORD /d 1 /f
:: 在不含鎖定情況下啟用
reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard" /v "HypervisorEnforcedCodeIntegrity" /t REG_DWORD /d 2 /f
:: 尚未設定
reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard" /v "HypervisorEnforcedCodeIntegrity" /t REG_DWORD /d 3 /f
PowerShell
# 共通: 建立機碼
New-Item -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Force | Out-Null

# 選項 (只使用其中一個)
# 已停用
New-ItemProperty -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Name 'HypervisorEnforcedCodeIntegrity' -PropertyType DWord -Value 0 -Force | Out-Null
# 在包含 UEFI 鎖定的情況下啟用
New-ItemProperty -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Name 'HypervisorEnforcedCodeIntegrity' -PropertyType DWord -Value 1 -Force | Out-Null
# 在不含鎖定情況下啟用
New-ItemProperty -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Name 'HypervisorEnforcedCodeIntegrity' -PropertyType DWord -Value 2 -Force | Out-Null
# 尚未設定
New-ItemProperty -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Name 'HypervisorEnforcedCodeIntegrity' -PropertyType DWord -Value 3 -Force | Out-Null

HVCIMATRequired

REG_DWORD電腦
HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard 目前的機碼
已核取
1
未核取
0
元素
需要 UEFI 記憶體屬性表格
值類型
REG_DWORD
以 .reg · CMD · PowerShell 套用
.reg
Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard]

; 選項 (只使用其中一個)
; 已核取
"HVCIMATRequired"=dword:00000001
; 未核取
"HVCIMATRequired"=dword:00000000
CMD
:: 選項 (只使用其中一個)

:: 已核取
reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard" /v "HVCIMATRequired" /t REG_DWORD /d 1 /f
:: 未核取
reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard" /v "HVCIMATRequired" /t REG_DWORD /d 0 /f
PowerShell
# 共通: 建立機碼
New-Item -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Force | Out-Null

# 選項 (只使用其中一個)
# 已核取
New-ItemProperty -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Name 'HVCIMATRequired' -PropertyType DWord -Value 1 -Force | Out-Null
# 未核取
New-ItemProperty -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Name 'HVCIMATRequired' -PropertyType DWord -Value 0 -Force | Out-Null

LsaCfgFlags

REG_DWORD電腦
HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard 目前的機碼
啟用時的值
取決於選項值
元素
Credential Guard 設定:
選項
項目儲存的值
已停用0
在包含 UEFI 鎖定的情況下啟用1
在不含鎖定情況下啟用2
尚未設定3
以 .reg · CMD · PowerShell 套用
.reg
Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard]

; 選項 (只使用其中一個)
; 已停用
"LsaCfgFlags"=dword:00000000
; 在包含 UEFI 鎖定的情況下啟用
"LsaCfgFlags"=dword:00000001
; 在不含鎖定情況下啟用
"LsaCfgFlags"=dword:00000002
; 尚未設定
"LsaCfgFlags"=dword:00000003
CMD
:: 選項 (只使用其中一個)

:: 已停用
reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard" /v "LsaCfgFlags" /t REG_DWORD /d 0 /f
:: 在包含 UEFI 鎖定的情況下啟用
reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard" /v "LsaCfgFlags" /t REG_DWORD /d 1 /f
:: 在不含鎖定情況下啟用
reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard" /v "LsaCfgFlags" /t REG_DWORD /d 2 /f
:: 尚未設定
reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard" /v "LsaCfgFlags" /t REG_DWORD /d 3 /f
PowerShell
# 共通: 建立機碼
New-Item -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Force | Out-Null

# 選項 (只使用其中一個)
# 已停用
New-ItemProperty -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Name 'LsaCfgFlags' -PropertyType DWord -Value 0 -Force | Out-Null
# 在包含 UEFI 鎖定的情況下啟用
New-ItemProperty -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Name 'LsaCfgFlags' -PropertyType DWord -Value 1 -Force | Out-Null
# 在不含鎖定情況下啟用
New-ItemProperty -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Name 'LsaCfgFlags' -PropertyType DWord -Value 2 -Force | Out-Null
# 尚未設定
New-ItemProperty -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Name 'LsaCfgFlags' -PropertyType DWord -Value 3 -Force | Out-Null

MachineIdentityIsolation

REG_DWORD電腦
HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard 目前的機碼
啟用時的值
取決於選項值
元素
電腦身分識別隔離設定:
選項
項目儲存的值
已停用0
在稽核模式中啟用1
在強制模式中啟用2
尚未設定3
以 .reg · CMD · PowerShell 套用
.reg
Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard]

; 選項 (只使用其中一個)
; 已停用
"MachineIdentityIsolation"=dword:00000000
; 在稽核模式中啟用
"MachineIdentityIsolation"=dword:00000001
; 在強制模式中啟用
"MachineIdentityIsolation"=dword:00000002
; 尚未設定
"MachineIdentityIsolation"=dword:00000003
CMD
:: 選項 (只使用其中一個)

:: 已停用
reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard" /v "MachineIdentityIsolation" /t REG_DWORD /d 0 /f
:: 在稽核模式中啟用
reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard" /v "MachineIdentityIsolation" /t REG_DWORD /d 1 /f
:: 在強制模式中啟用
reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard" /v "MachineIdentityIsolation" /t REG_DWORD /d 2 /f
:: 尚未設定
reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard" /v "MachineIdentityIsolation" /t REG_DWORD /d 3 /f
PowerShell
# 共通: 建立機碼
New-Item -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Force | Out-Null

# 選項 (只使用其中一個)
# 已停用
New-ItemProperty -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Name 'MachineIdentityIsolation' -PropertyType DWord -Value 0 -Force | Out-Null
# 在稽核模式中啟用
New-ItemProperty -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Name 'MachineIdentityIsolation' -PropertyType DWord -Value 1 -Force | Out-Null
# 在強制模式中啟用
New-ItemProperty -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Name 'MachineIdentityIsolation' -PropertyType DWord -Value 2 -Force | Out-Null
# 尚未設定
New-ItemProperty -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Name 'MachineIdentityIsolation' -PropertyType DWord -Value 3 -Force | Out-Null

ConfigureSystemGuardLaunch

REG_DWORD電腦
HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard 目前的機碼
啟用時的值
取決於選項值
元素
安全啟動設定:
選項
項目儲存的值
尚未設定0
已啟用1
已停用2
以 .reg · CMD · PowerShell 套用
.reg
Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard]

; 選項 (只使用其中一個)
; 尚未設定
"ConfigureSystemGuardLaunch"=dword:00000000
; 已啟用
"ConfigureSystemGuardLaunch"=dword:00000001
; 已停用
"ConfigureSystemGuardLaunch"=dword:00000002
CMD
:: 選項 (只使用其中一個)

:: 尚未設定
reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard" /v "ConfigureSystemGuardLaunch" /t REG_DWORD /d 0 /f
:: 已啟用
reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard" /v "ConfigureSystemGuardLaunch" /t REG_DWORD /d 1 /f
:: 已停用
reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard" /v "ConfigureSystemGuardLaunch" /t REG_DWORD /d 2 /f
PowerShell
# 共通: 建立機碼
New-Item -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Force | Out-Null

# 選項 (只使用其中一個)
# 尚未設定
New-ItemProperty -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Name 'ConfigureSystemGuardLaunch' -PropertyType DWord -Value 0 -Force | Out-Null
# 已啟用
New-ItemProperty -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Name 'ConfigureSystemGuardLaunch' -PropertyType DWord -Value 1 -Force | Out-Null
# 已停用
New-ItemProperty -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Name 'ConfigureSystemGuardLaunch' -PropertyType DWord -Value 2 -Force | Out-Null

ConfigureKernelShadowStacksLaunch

REG_DWORD電腦
HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard 目前的機碼
啟用時的值
取決於選項值
元素
核心模式硬體強制堆疊保護:
選項
項目儲存的值
尚未設定0
在強制模式中啟用1
在稽核模式中啟用2
已停用3
以 .reg · CMD · PowerShell 套用
.reg
Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard]

; 選項 (只使用其中一個)
; 尚未設定
"ConfigureKernelShadowStacksLaunch"=dword:00000000
; 在強制模式中啟用
"ConfigureKernelShadowStacksLaunch"=dword:00000001
; 在稽核模式中啟用
"ConfigureKernelShadowStacksLaunch"=dword:00000002
; 已停用
"ConfigureKernelShadowStacksLaunch"=dword:00000003
CMD
:: 選項 (只使用其中一個)

:: 尚未設定
reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard" /v "ConfigureKernelShadowStacksLaunch" /t REG_DWORD /d 0 /f
:: 在強制模式中啟用
reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard" /v "ConfigureKernelShadowStacksLaunch" /t REG_DWORD /d 1 /f
:: 在稽核模式中啟用
reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard" /v "ConfigureKernelShadowStacksLaunch" /t REG_DWORD /d 2 /f
:: 已停用
reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard" /v "ConfigureKernelShadowStacksLaunch" /t REG_DWORD /d 3 /f
PowerShell
# 共通: 建立機碼
New-Item -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Force | Out-Null

# 選項 (只使用其中一個)
# 尚未設定
New-ItemProperty -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Name 'ConfigureKernelShadowStacksLaunch' -PropertyType DWord -Value 0 -Force | Out-Null
# 在強制模式中啟用
New-ItemProperty -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Name 'ConfigureKernelShadowStacksLaunch' -PropertyType DWord -Value 1 -Force | Out-Null
# 在稽核模式中啟用
New-ItemProperty -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Name 'ConfigureKernelShadowStacksLaunch' -PropertyType DWord -Value 2 -Force | Out-Null
# 已停用
New-ItemProperty -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Name 'ConfigureKernelShadowStacksLaunch' -PropertyType DWord -Value 3 -Force | Out-Null