Connexion

Select the product you need help with

Client, les services et les probl�mes de programmes peuvent se produire si vous modifiez les param�tres de s�curit� et des attributions de droits utilisateur

Num�ro d'article: 823659 - Voir les produits auxquels s'applique cet article

ATTENTION : Cet article est issu du syst�me de traduction automatique

Cliquez ici si vous souhaitez afficher en c�te � c�te l?article anglais et sa traduction automatique en fran�ais

Si vous �tes un client de Small Business, trouver des ressources p�dagogiques et de d�pannage suppl�mentaires le Prise en charge pour les petites entreprises
(http://smallbusiness.support.microsoft.com)
.

Agrandir tout | R�duire tout

Les param�tres de s�curit� et les attributions de droits utilisateur peuvent �tre modifi�es dans les strat�gies locales et les strat�gies de groupe pour aider � renforcer la s�curit� sur les contr�leurs de domaine et les ordinateurs membres. Toutefois, l'inconv�nient du renforcement de s�curit� est l'introduction d'incompatibilit�s avec les clients, services et programmes.

Cet article d�crit les incompatibilit�s qui peuvent se produire sur les ordinateurs clients qui ex�cutent Windows XP ou une version ant�rieure de Windows, lorsque vous modifiez les param�tres de s�curit� sp�cifiques et des attributions de droits utilisateur dans un domaine Windows Server 2003 ou un domaine Windows Server ant�rieur.

Pour plus d'informations sur la strat�gie de groupe pour Windows 7, Windows Server 2008 R2 et Windows Server 2008, consultez les articles suivants :

Pour Windows 7, consultez Gestion de strat�gie de groupe pour les informaticiens
(http://windows.microsoft.com/en-US/windows7/Group-Policy-management-for-IT-pros#BKMK_Usefultools)
Pour Windows 7 et Windows Server 2008 R2, consultez Nouveaut�s de la strat�gie de groupe
(http://technet.microsoft.com/en-us/library/dd367853.aspx)
Pour Windows Server 2008, consultez Informations sur les nouvelles pr�f�rences de strat�gie de groupe dans Windows Server 2008
(http://support.microsoft.com/kb/943729)

Remarque : Le contenu restant dans cet article est sp�cifique � Windows XP, Windows Server 2003 et versions ant�rieures de Windows.

Windows XP

Cliquez ici pour afficher des informations sp�cifiques � Windows XP

Pour augmenter la prise de conscience des param�tres de s�curit� mal configur�, utilisez l'outil �diteur d'objets de strat�gie de groupe pour modifier les param�tres de s�curit�. Lorsque vous utilisez �diteur d'objet de strat�gie de groupe, les attributions des droits d'utilisateur ont �t� am�lior�es sur les syst�mes d'exploitation suivants :

Windows XP Professionnel Service Pack 2 (SP2)
Windows Server 2003 Service Pack 1 (SP1)

La fonctionnalit� am�lior�e est une bo�te de dialogue qui contient un lien vers cet article. La bo�te de dialogue s'affiche lorsque vous modifiez un param�tre de s�curit� ou une attribution des droits utilisateur � un param�tre qui offre le niveau de compatibilit� inf�rieur et qui est plus restrictif. Si vous modifiez directement la m�me s�curit� utilisateur ou le param�tre attribution des droits � l'aide du Registre ou � l'aide de mod�les de s�curit�, l'effet est identique � la modification du param�tre dans l'�diteur d'objets de strat�gie de groupe. Toutefois, la bo�te de dialogue qui contient le lien vers cet article n'appara�t pas.

Cet article contient des exemples de clients, les programmes et les op�rations qui sont affect�es par les param�tres de s�curit� sp�cifiques ou des attributions de droits utilisateur. Toutefois, les exemples ne font pas autorit�s pour tous les syst�mes d'exploitation de Microsoft, pour tous les syst�mes d'exploitation de tierce partie ou toutes les versions des programmes qui sont affect�s. Pas tous les param�tres de s�curit� et des attributions des droits d'utilisateur sont incluses dans cet article.

Nous vous recommandons de valider la compatibilit� de toutes les modifications de configuration li�es � la s�curit� dans une for�t de test avant de les introduire dans un environnement de production. La for�t de test doit refl�ter la for�t de production dans l'une des mani�res suivantes :

Les versions de syst�me d'exploitation client et serveur, client et les programmes serveur, versions des service packs, correctifs, modifications de sch�ma, s�curit� groupes, les appartenances aux groupes, autorisations sur les objets dans le syst�me de fichiers partag�s dossiers, le Registre, le service d'annuaire Active Directory local et de groupe Objet et les param�tres de strat�gie de type et emplacement du nombre
T�ches administratives sont ex�cut�es, administration outils utilis�s et les syst�mes d'exploitation qui servent � effectuer t�ches d'administration
Op�rations sont effectu�es comme suit :
- Authentification d'ouverture de session utilisateur et ordinateur
- R�initialisations de mot de passe par les utilisateurs, ordinateurs et les administrateurs
- Navigation
- D�finition des autorisations pour le syst�me de fichiers, de dossiers partag�s, pour le Registre et pour les ressources Active Directory � l'aide de l'�diteur ACL dans tous les syst�mes d'exploitation client tous les domaines de ressources � partir de tous les syst�mes d'exploitation client tous les comptes ou domaines de ressources
- Impression � partir des comptes d'administration et non administratives

Windows Server 2003 SP1

Cliquez ici pour afficher des informations sp�cifiques � Windows Server SP1

Avertissements dans Gpedit.msc

Pour aider les clients prenant en charge que qu'ils modifient un droit d'utilisateur ou option de s�curit� qui pourrait avoir un impact n�gatif sur leur r�seau, deux m�canismes d'avertissement ont �t� ajout�s � gpedit.msc. Lorsque les administrateurs modifient un droit d'utilisateur qui peut nuire � l'entreprise, il voit appara�tre une nouvelle ic�ne qui ressemble � un panneau C�dez le passage. Ils recevront �galement un message d'avertissement qui a un lien vers l'article 823659 de la Base de connaissances Microsoft. Le texte de ce message est comme suit :

Modification de ce param�tre peut affecter la compatibilit� avec les clients, services et applications. Pour plus d'informations, consultez <user right="" or="" security="" option="" being="" modified="">(Q823659)</user>

Si vous avez �t� redirig� vers cet article de la Base de connaissances � partir d'un lien dans Gpedit.msc, assurez-vous de lire et de comprendre l'explication fournie et l'effet possible de modifier ce param�tre. La liste suivante d�crit les droits d'utilisateur qui contiennent le texte d'avertissement :

Acc�der � cet ordinateur � partir du r�seau
Ouvrez une session localement
Outrepasser le contr�le
Activer les ordinateurs et les utilisateurs pour la d�l�gation approuv�e

Voici les Options de s�curit� qui ont l'avertissement et un message contextuel :

Membre de domaine : Crypter ou signer num�riquement les donn�es des canaux s�curis�s (toujours) les
Membre de domaine : Exiger fort (Windows 2000 ou une version ult�rieure) la cl� de session
Contr�leur de domaine : Signature de serveur LDAP
Serveur r�seau Microsoft : communications sign�es num�riquement (toujours)
Acc�s r�seau : Permet de Sid anonyme / traduction du nom
Acc�s r�seau : Ne permettent pas l'�num�ration anonyme des SAM comptes et partages
S�curit� r�seau : niveau d'authentification LAN Manager
Audit : Arr�ter imm�diatement le syst�me s'Impossible de se connecter aux audits de s�curit�
Acc�s r�seau : Exigences de signature de client LDAP

Retour au d�but | Envoyer des commentaires

Plus d'informations

Les sections suivantes d�crivent les incompatibilit�s qui peuvent se produire lorsque vous modifiez des param�tres sp�cifiques dans les domaines Windows NT 4.0, les domaines Windows 2000 et les domaines Windows Server 2003.

Droits d'utilisateur

Cliquez ici pour afficher des informations sur les droits d'utilisateur

La liste suivante d�crit un droit d'utilisateur, identifie les param�tres de configuration qui peuvent provoquer des probl�mes, explique pourquoi vous devez appliquer le droit d'utilisateur et pourquoi vous voudrez peut-�tre supprimer le droit d'utilisateur et fournit des exemples de probl�mes de compatibilit� qui peuvent se produire lorsque le droit d'utilisateur est configur�.

Acc�der � cet ordinateur � partir du r�seau
1. Arri�re-plan
  
  La capacit� d'interagir avec des ordinateurs Windows � distance requiert le droit d'utilisateur acc�der � cet ordinateur � partir du r�seau . Exemples d'op�rations r�seau sont les suivants :
  - R�plication d'Active Directory entre contr�leurs de domaine dans une for�t ou un domaine commun
  - Demandes d'authentification pour les contr�leurs de domaine par les utilisateurs et ordinateurs
  - Acc�s aux dossiers partag�s, imprimantes et autres services du syst�me qui sont trouvent sur des ordinateurs distants sur le r�seau
  Les utilisateurs, ordinateurs et comptes de service de gains ou de perdre le droit d'utilisateur acc�der � cet ordinateur � partir du r�seau en �tant explicitement ou implicitement ajout�s � partir d'un groupe de s�curit� qui a �t� accord� ce droit d'utilisateur. Par exemple, un compte d'utilisateur ou un compte d'ordinateur peut �tre ajout� explicitement � un groupe de s�curit� personnalis� ou un groupe de s�curit� int�gr� par un administrateur, ou peut-�tre �tre ajout� implicitement par le syst�me d'exploitation � un groupe de s�curit� calcul� comme utilisateurs du domaine, utilisateurs authentifi�s ou contr�leurs de domaine d'entreprise.
  
  Par d�faut, les comptes d'utilisateurs et comptes d'ordinateurs sont accord�s l'utilisateur d'acc�der � cet ordinateur � partir du r�seau droit lorsque calcul�e comme tout le monde ou, mieux, le groupe utilisateurs authentifi�s et, pour les contr�leurs de domaine, le groupe Enterprise Domain Controllers, sont d�finis dans l'objet de strat�gie de groupe (GPO) les contr�leurs de domaine par d�faut.
2. Configurations � risque
  
  Param�tres de configuration nuisibles sont les suivantes :
  - Suppression de la s�curit� Enterprise Domain Controllers groupe � partir de ce droit d'utilisateur
  - Suppression du groupe utilisateurs authentifi�s ou un groupe explicite qui permet aux utilisateurs, ordinateurs et comptes de service � l'utilisateur droit de se connecter aux ordinateurs du r�seau.
  - Suppression de tous les utilisateurs et ordinateurs � partir de cet utilisateur droite
3. Raisons d'accorder ce droit d'utilisateur
  - L'octroi du droit d'utilisateur acc�der � cet ordinateur � partir du r�seau au groupe Enterprise Domain Controllers satisfait aux exigences d'authentification que la r�plication Active Directory doit avoir pour la r�plication entre contr�leurs de domaine dans la m�me for�t.
  - Ce droit d'utilisateur permet aux utilisateurs et ordinateurs acc�der aux fichiers partag�s, imprimantes et les services syst�me, y compris Active R�pertoire.
  - Ce droit d'utilisateur est requis pour les utilisateurs d'acc�der � courrier � l'aide de versions ant�rieures de Microsoft Outlook Web Access (OWA).
4. Raisons de supprimer ce droit d'utilisateur
  - Les utilisateurs qui peuvent se connecter leurs ordinateurs � la r�seau peut acc�der aux ressources sur des ordinateurs distants qu'ils disposent d'autorisations pour. Par exemple, ce droit d'utilisateur est requis pour un utilisateur � se connecter au partage imprimantes et aux dossiers. Si ce droit d'utilisateur est accord� � tout le monde groupe, les autorisations du syst�me de fichiers et si certains dossiers partag�s sont partage et NTFS configur� de sorte que le m�me groupe dispose d'un acc�s en lecture, tout le monde peut afficher les fichiers dans ces dossiers partag�s. Toutefois, il s'agit d'une situation peu probable pour les frais installations de Windows Server 2003, car le partage par d�faut et le NTFS autorisations dans Windows Server 2003 n'incluent pas le groupe tout le monde. Pour les syst�mes qui sont mis � niveau � partir de Microsoft Windows NT 4.0 ou Windows 2000, cela vuln�rabilit� peut-�tre avoir un niveau plus �lev� de risque, car le partage de la valeur par d�faut et le les autorisations de syst�me de fichiers pour ces syst�mes d'exploitation ne sont pas aussi restrictives que les autorisations par d�faut dans Windows Server 2003.
  - Il n'y a aucune raison valide de la suppression d'entreprise Groupe de contr�leurs de domaine � partir de ce droit d'utilisateur.
  - Le groupe tout le monde est g�n�ralement supprim� en faveur de le groupe utilisateurs authentifi�s. Si le groupe tout le monde est supprim�, le Groupe utilisateurs authentifi�s doit b�n�ficier de ce droit d'utilisateur.
  - Les domaines Windows NT 4.0 sont mis � niveau vers Windows 2000 n'accordent pas explicitement l'utilisateur d'acc�der � cet ordinateur � partir du r�seau vers la droite pour le groupe tout le monde, le groupe utilisateurs authentifi�s ou le groupe Enterprise Domain Controllers. Par cons�quent, lorsque vous supprimez le groupe tout le monde de la strat�gie de domaine Windows NT 4.0, la r�plication Active Directory �choue avec un message d'erreur � Acc�s refus� � apr�s la mise � niveau vers Windows 2000. Winnt32.exe dans Windows Server 2003 permet d'�viter ce probl�me de configuration en accordant que ce droit d'utilisateur au groupe Enterprise Domain Controllers lorsque vous mettez � niveau les contr�leurs de domaine principal Windows NT 4.0 (PDC). Accordez au groupe Enterprise Domain Controllers ce droit si elle n'est pas pr�sent dans l'�diteur d'objets de strat�gie de groupe d'utilisateur.
5. Exemples de probl�mes de compatibilit�
  - Windows 2000 et Windows Server 2003 : Comme signal� par les outils tels que REPLMON et REPADMIN ou la r�plication des �v�nements dans le journal des �v�nements de contr�le la r�plication des partitions suivantes �chouera avec des erreurs � Acc�s refus� �.
    - Partition de sch�ma d'annuaire Active
    - Partition de configuration
    - Partition de domaine
    - Partition du catalogue global
    - Partition d'application
  - Microsoft tous les syst�mes d'exploitation :Authentification de compte d'utilisateur � partir d'ordinateurs clients du r�seau � distance �choue � moins que l'utilisateur ou un groupe de s�curit� dont l'utilisateur est un membre a re�u ce droit d'utilisateur.
  - Microsoft tous les syst�mes d'exploitation :L'authentification de compte � partir de clients r�seau distants �choue sauf si le compte ou le compte est membre d'un groupe de s�curit� a re�u ce droit d'utilisateur. Ce sc�nario s'applique aux comptes d'utilisateurs, aux comptes d'ordinateurs et aux comptes de service.
  - Microsoft tous les syst�mes d'exploitation :Supprimez tous les comptes de ce droit utilisateur emp�che n'importe quel compte d'ouverture de session sur le domaine ni acc�der aux ressources r�seau. Si calcul�es des groupes tels que les contr�leurs de domaine d'entreprise, tout le monde ou utilisateurs authentifi�s sont supprim�s, vous devez explicitement accorder ce droit d'utilisateur aux comptes ou aux groupes de s�curit� dont le compte est un membre pour acc�der aux ordinateurs distants sur le r�seau. Ce sc�nario s'applique � tous les comptes d'utilisateurs, � tous les comptes d'ordinateur et � tous les comptes de service.
  - Microsoft tous les syst�mes d'exploitation :Le compte administrateur local utilise un mot de passe � vide �. Connectivit� r�seau avec des mots de passe vides n'est pas autoris�e pour les comptes d'administrateur dans un environnement de domaine. Avec cette configuration, vous pouvez vous attendre � recevoir un message d'erreur � Acc�s refus� �.
Permettre l'ouverture d'une session locale
1. Arri�re-plan
  
  Les utilisateurs qui essaient d'ouvrir une session sur la console d'un ordinateur fonctionnant sous Windows (en utilisant le raccourci clavier CTRL + ALT + SUPPR) et les comptes qui tentent de d�marrer un service doivent avoir des privil�ges d'ouverture de session locale sur l'ordinateur h�te. Les administrateurs qui ouvrent une session les consoles des ordinateurs membres ou contr�leurs de domaine tout au long de leur entreprise et de domaine qui ouvrent une session les ordinateurs membres d'acc�der � leur bureau en utilisant des comptes non privil�gi�s sont des exemples d'op�rations d'ouverture de session locale. Les utilisateurs qui utilisent une connexion Bureau � distance ou Terminal Server doivent avoir l'utilisateur Autoriser l'ouverture d'une session locale sur les ordinateurs de destination qui ex�cutent Windows 2000 ou Windows XP �tant donn� que ces modes d'ouverture de session sont consid�r�s comme locaux sur l'ordinateur h�te. Utilisateurs qui ouvrent une session sur un serveur Terminal Server et qui n'est pas le cas poss�dent ce droit peuvent toujours d�marrer une session interactive � distance dans Windows Domaines Server 2003 s'ils ont le droit d'utilisateur Autoriser acc�s via Terminal Services .
2. Configurations � risque
  
  Param�tres de configuration nuisibles sont les suivantes :
  - Suppression des groupes administratifs de s�curit�, y compris les op�rateurs de compte, op�rateurs de sauvegarde, op�rateurs d'impression ou op�rateurs de serveur et le groupe int�gr� Administrateurs de strat�gie du contr�leur de domaine par d�faut.
  - Suppression des comptes de service utilis�s par les composants et programmes sur les ordinateurs membres et sur les contr�leurs de domaine dans le domaine de la strat�gie du contr�leur de domaine par d�faut.
  - Suppression d'utilisateurs ou groupes de s�curit� qui ouvrent une session la console des ordinateurs membres du domaine.
  - Suppression des comptes de service sont d�finis dans la base de donn�es Gestionnaire de comptes de s�curit� (SAM) locale des ordinateurs membres ou des ordinateurs du groupe de travail.
  - Suppression non-int�gr�-comptes administratifs qui sont authentifient via les Services Terminal Server qui s'ex�cute sur un contr�leur de domaine.
  - Ajout de tous les comptes d'utilisateur explicitement dans le domaine ou implicitement par l'interm�diaire de tout le monde groupe le droit de connexion Refuser ouvrir une session localement . Cette configuration emp�che les utilisateurs de se connecter une session sur n'importe quel ordinateur membre ou � n'importe quel contr�leur de domaine dans le domaine.
3. Raisons d'accorder ce droit d'utilisateur
  - Les utilisateurs doivent disposer du droit d'utilisateur Autoriser l'ouverture d'une session locale pour acc�der � la console ou le bureau d'un groupe de travail ordinateur, un ordinateur membre ou un contr�leur de domaine.
  - Les utilisateurs doivent disposer de ce droit d'utilisateur ouvrir une session sur une session de Services Terminal Server s'ex�cute sur un ordinateur membre Windows 2000 ou un contr�leur de domaine.
4. Raisons de supprimer ce droit d'utilisateur
  - �chec pour restreindre l'acc�s � la console � l�gitime comptes d'utilisateurs peuvent entra�ner des utilisateurs non autoris�s peuvent t�l�charger et ex�cuter code malveillant � modifier leurs droits d'utilisateur.
  - Supprimer le droit d'utilisateur Autoriser l'ouverture d'une session locale emp�che les connexions non autoris�es sur les consoles de ordinateurs, tels que les contr�leurs de domaine ou serveurs d'applications.
  - La suppression de ce droit d'ouverture de session emp�che non-membre du domaine comptes d'ouvrir une session la console des ordinateurs membres dans le domaine.
5. Exemples de probl�mes de compatibilit�
  - Les serveurs Terminal Server Windows 2000 :Le droit d'utilisateur Autoriser l'ouverture d'une session localement est requis pour les utilisateurs � ouvrir une session sur Windows 2000 serveurs Terminal Server.
  - Windows NT 4.0, Windows 2000, Windows XP ou Windows Server 2003 :Comptes d'utilisateur doivent b�n�ficier de ce droit d'utilisateur ouvrir une session la console des ordinateurs qui ex�cutent Windows NT 4.0, Windows 2000, Windows XP ou Windows Server 2003.
  - Windows NT 4.0 et versions ult�rieur :Sur les ordinateurs qui ex�cutent Windows NT 4.0 et ult�rieure, si vous ajoutez le droit d'utilisateur permettre le journal locale , mais vous implicitement ou explicitement �galement accordent le droit d'ouverture de session de Refuser l'ouverture de localement , les comptes seront pas en mesure d'ouvrir une session sur le console des contr�leurs de domaine.
Outrepasser le contr�le
1. Arri�re-plan
  
  Le droit d'utilisateur Outrepasser le contr�le autorise l'utilisateur � parcourir les dossiers NTFS syst�me de fichiers ou dans le Registre sans v�rification de l'autorisation d'acc�s sp�cial de Parcourir le dossier . Le droit d'utilisateur Outrepasser le contr�le n'autorise pas l'utilisateur de r�pertorier le contenu d'un dossier. Il permet � l'utilisateur de parcourir ses dossiers uniquement.
2. Configurations � risque
  
  Param�tres de configuration nuisibles sont les suivantes :
  - Suppression des comptes non administratifs, ouvrez une session sur des ordinateurs fonctionnant sous Windows 2000 Terminal Services ou les Services Terminal Server Windows Server 2003 qui n'ont pas les autorisations d'acc�s aux fichiers et dossiers du syst�me de fichiers.
  - Supprimer le groupe tout le monde de la liste des entit�s de s�curit� qui poss�dent ce droit par d�faut. Syst�mes d'exploitation Windows et que de nombreux programmes sont con�us dans l'attente que quiconque ayant l�gitimement acc�s � l'ordinateur aura le droit d'utilisateur Outrepasser le contr�le . Par cons�quent, la suppression de tout le monde groupe dans la liste des entit�s de s�curit� qui ont ce droit d'utilisateur par d�faut peut entra�ner une instabilit� du syst�me d'exploitation ou d'�chec du programme. Il est pr�f�rable de laisser ce param�tre � sa valeur par d�faut.
3. Raisons d'accorder ce droit d'utilisateur
  
  Par d�faut, le droit d'utilisateur Outrepasser le contr�le est autorise toute personne � outrepasser le contr�le. Pour a rencontr� les administrateurs syst�me de Windows, c'est le comportement attendu, et ils configurent les listes de contr�le d'acc�s (SACL) du syst�me de fichiers en cons�quence. La seule sc�nario dans lequel la configuration par d�faut peut entra�ner un probl�me est si le administrateur qui configure les autorisations ne comprend pas le comportement et attend que les utilisateurs qui ne peuvent pas acc�der � un dossier parent ne sera pas en mesure d'acc�der le contenu des dossiers enfants.
4. Raisons de supprimer ce droit d'utilisateur
  
  Pour essayer d'emp�cher l'acc�s aux fichiers ou aux dossiers dans le syst�me de fichiers, les organisations tr�s engag�es sur la s�curit� peuvent �tre tent�es de supprimer le groupe tout le monde, ou m�me le groupe d'utilisateurs, dans la liste des groupes qui ont le droit d'utilisateur Outrepasser le contr�le .
5. Exemples de probl�mes de compatibilit�
  - Windows 2000, Windows Server 2003 :Si le droit d'utilisateur Outrepasser le contr�le est supprim� ou est mal configur� sur les ordinateurs qui sont Windows 2000 ou Windows Server 2003, les param�tres de strat�gie de groupe dans le SYSVOL dossier n'est pas r�pliqu�s entre les contr�leurs de domaine dans le domaine.
  - Windows 2000, Windows XP Professionnel, Windows Server 2003 :Les ordinateurs qui ex�cutent Windows 2000, Windows XP Professionnel ou Windows Server 2003 enregistrent les �v�nements 1000 et 1202 et ne sera pas en mesure d'appliquer des strat�gies ordinateur et utilisateur lorsque les autorisations de syst�me de fichiers requis sont supprim�es de l'arborescence SYSVOL si l'utilisateur Bypass traverse checking droit est supprim� ou est mal configur�.
    
    Pour plus d'informations, cliquez sur le num�ro ci-dessous pour afficher l'article correspondant dans la Base de connaissances Microsoft�:
    290647
    (http://support.microsoft.com/kb/290647/ )
    ID d'�v�nement 1000 et 1001 est enregistr� toutes les cinq minutes dans le journal des �v�nements Application
  - Windows 2000, Windows Server 2003 : Sur les ordinateurs qui ex�cutent Windows 2000 ou Windows Server 2003, le Quota onglet dans l'Explorateur Windows dispara�t lorsque afficher les propri�t�s d'un volume.
  - Windows 2000 : Les non-administrateurs ouvrent une session sur un serveur Terminal Server Windows 2000 peut recevoir le message d'erreur suivant :
    Userinit.exe Erreur d'application. L'application n'a pas pu s'initialiser correctement 0xc0000142 Cliquez sur OK pour quitter l'application.
    Pour plus d'informations, cliquez sur le num�ro ci-dessous pour afficher l'article correspondant dans la Base de connaissances Microsoft�:
    272142
    (http://support.microsoft.com/kb/272142/ )
    Les utilisateurs sont d�connect�s automatiquement lorsque vous tentez d'ouvrir une session sur Terminal Server
  - Windows NT 4.0, Windows 2000, Windows XP, Windows Server 2003 :Les utilisateurs dont les ordinateurs ex�cutent Windows NT 4.0, Windows 2000, Windows XP ou Windows Server 2003 n'est peut-�tre pas en mesure d'acc�der aux dossiers partag�s ou des fichiers sur les dossiers partag�s et recevra les messages d'erreur � Acc�s refus� � s'ils ne disposent pas du droit d'utilisateur Outrepasser le contr�le .
    
    Pour plus d'informations, cliquez sur le num�ro ci-dessous pour afficher l'article correspondant dans la Base de connaissances Microsoft�:
    277644
    (http://support.microsoft.com/kb/277644/ )
    Message d'erreur � Acc�s refus� � lorsque les utilisateurs tentent d'acc�der aux dossiers partag�s
  - Windows NT 4.0 :Sur les ordinateurs Windows NT 4.0, suppression du droit d'utilisateur Outrepasser le contr�le entra�ne une copie du fichier � l'abandon des flux de fichier. Si vous supprimer ce droit d'utilisateur, lorsqu'un fichier est copi� � partir d'un client Windows ou d'un Client de Macintosh � un contr�leur de domaine Windows NT 4.0 qui ex�cute les Services pour Macintosh, le flux de fichier de destination est perdu et le fichier s'affiche sous la forme d'un fichier texte.
    
    Pour plus d'informations, cliquez sur le num�ro ci-dessous pour afficher l'article correspondant dans la Base de connaissances Microsoft�:
    172930
    (http://support.microsoft.com/kb/172930/ )
    Le retrait de � Outrepasser le contr�le de � entra�ne un abandon des flux de la copie de fichier
  - Microsoft Windows 95, Microsoft Windows 98 :Sur un ordinateur client qui ex�cute Windows 95 ou Windows 98, le net use * /home commande �chouera avec un acc�s" Message d'erreur refus� � si le groupe utilisateurs authentifi�s n'est pas le droit Outrepasser le contr�le utilisateur.
  - Outlook Web Access :Les non-administrateurs ne pourront pas ouvrir une session sur Microsoft Outlook Web Access, et ils recevront un message d'erreur � Acc�s refus� � s'ils ne disposent pas du droit d'utilisateur Outrepasser le contr�le .

Param�tres de s�curit�

Cliquez ici pour afficher des informations sur les param�tres de s�curit�

La liste suivante identifie un param�tre de s�curit�, et la liste imbriqu�e fournit une description sur le param�tre de s�curit�, identifie les param�tres de configuration qui peuvent provoquer des probl�mes, explique pourquoi vous devez appliquer le param�tre de s�curit� et d�crit ensuite les raisons pourquoi vous souhaitez supprimer le param�tre de s�curit�. La liste imbriqu�e fournit ensuite un nom symbolique pour le param�tre de s�curit� et le chemin d'acc�s du Registre du param�tre de s�curit�. Enfin, les exemples sont fournis des probl�mes de compatibilit� qui peuvent se produire lorsque le param�tre de s�curit� est configur�.

Audit : Arr�ter imm�diatement le syst�me s'Impossible de se connecter aux audits de s�curit�
1. Arri�re-plan
  - La Audit : arr�ter imm�diatement le syst�me s'Impossible de se connecter aux audits de s�curit� d�termine si le syst�me s'arr�te si vous ne pouvez pas enregistrer les �v�nements de s�curit�. Ce param�tre est requis pour l'�valuation C2 du programme approuv� ordinateur s�curit� �valuation crit�res TCSEC () et pour le Common Criteria for Information Technology Security Evaluation emp�cher les �v�nements auditables si le syst�me d'audit ne peut pas consigner ces �v�nements. Si le syst�me d'audit �choue, le syst�me est arr�t�, et un message d'erreur Stop s'affiche.
  - Si l'ordinateur ne peut pas enregistrer les �v�nements dans le journal de s�curit�, les preuves critiques ou importantes informations de d�pannage peuvent ne pas �tre disponibles pour examen apr�s un incident de s�curit�.
2. Configuration � risque
  
  L'exemple suivant est un param�tre de configuration nuisible : le Audit : arr�ter imm�diatement le syst�me s'Impossible de se connecter aux audits de s�curit� est activ� et la taille du journal des �v�nements s�curit� est limit�e par l'option ne pas remplacer les �v�nements (nettoyage manuel du journal) , l'option Remplacer les �v�nements si n�cessaire , ou le Remplacer les �v�nements datant de plus nombre jours option dans l'Observateur d'�v�nements. Reportez-vous � la section � Exemples de compatibilit� Section des probl�mes � pour plus d'informations sur les risques sp�cifiques pour les ordinateurs la version d'origine de Windows 2000, Windows 2000 Service en cours d'ex�cution Pack 1 (SP1), Windows 2000 SP2 ou Windows 2000 SP3.
3. Raisons d'activer ce param�tre
  
  Si l'ordinateur ne peut pas enregistrer les �v�nements dans le journal de s�curit�, les informations de r�solution des probl�mes importantes ou des preuves strat�giques soient pas disponibles pour la r�vision apr�s un incident de s�curit�.
4. Raisons de d�sactiver ce param�tre
  - L'activation de la d'Audit : arr�ter imm�diatement le syst�me s'Impossible de se connecter aux audits de s�curit� param�tre arr�te le syst�me si un audit de s�curit� ne peut pas �tre consign� pour une raison quelconque. En r�gle g�n�rale, un �v�nement ne peut pas �tre enregistr� lorsque le journal d'audit de s�curit� est complet et lorsque la m�thode de r�tention est l'option ne pas remplacer les �v�nements (nettoyage manuel du journal) ou le Remplacer les �v�nements datant de plus nombre jours option.
  - La charge administrative de l'activation de la Audit : arr�ter imm�diatement le syst�me s'Impossible de se connecter aux audits de s�curit� param�tre peut �tre tr�s �lev�, surtout si vous activez �galement l'option ne pas remplacer les �v�nements (nettoyage manuel du journal) pour le journal de s�curit�. Ce param�tre permet une gestion individuelle des actions de l'op�rateur. Par exemple, un administrateur peut r�initialiser les autorisations sur tous les utilisateurs, ordinateurs et groupes dans une unit� d'organisation (UO) o� l'audit a �t� activ� � l'aide du compte administrateur int�gr� ou autre compte partag� et puis refuser qu'il a r�initialis� ces autorisations. Toutefois, l'activation du param�tre r�duit la robustesse du syst�me, car un serveur peut �tre forc� de fermer surcharg� par elle d'�v�nements d'ouverture de session et avec d'autres �v�nements de s�curit� sont �crits dans le journal de s�curit�. En outre, �tant donn� que l'arr�t n'est pas normal, un pr�judice irr�parable pour syst�me d'exploitation, des programmes ou des donn�es peut entra�ner. M�me si NTFS garantit l'int�grit� du syst�me de fichiers en un arr�t syst�me anormal, il ne peut pas garantir que chaque fichier de donn�es de chaque programme sera toujours pr�sent dans un formulaire utilisable lorsque le syst�me red�marre.
5. Nom symbolique :
  
  CrashOnAuditFail
6. Chemin d'acc�s du Registre :
  HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\CrashOnAuditFail (Reg_DWORD)
7. Exemples de probl�mes de compatibilit�
  - Windows 2000 :En raison d'un bogue, les ordinateurs qui ex�cutent la version d'origine de Windows 2000, Windows 2000 SP1, Windows 2000 SP2 ou Service Pack 3 de Windows Server peuvent cesser d'enregistrement des �v�nements avant que la taille est sp�cifi�e dans l'option taille maximale du journal pour le journal de s�curit� est atteinte. Ce bogue est r�solu. dans Windows 2000 Service Pack 4 (SP4). Assurez-vous que votre domaine Windows 2000 contr�leurs ont install� avant d'envisager de Windows 2000 Service Pack 4 l'activation de ce param�tre.
    
    Pour plus d'informations, cliquez sur le num�ro ci-dessous pour afficher l'article correspondant dans la Base de connaissances Microsoft�:
    312571
    (http://support.microsoft.com/kb/312571/ )
    Le journal des �v�nements arr�te l'enregistrement des �v�nements avant d'atteindre la taille maximale du journal
  - Windows 2000, Windows Server 2003 :Ordinateurs qui ex�cutent Windows 2000 ou Windows Server 2003 peut cesser de r�pondre et puis peut red�marrer spontan�ment si le Audit : arr�ter imm�diatement le syst�me s'Impossible de se connecter aux audits de s�curit� param�tre est activ�, le journal de s�curit� est plein, et une entr�e de journal des �v�nements existant ne peut pas �tre remplac�e. Lorsque l'ordinateur red�marre, le message d'erreur suivant s'affiche :
    STOP : C0000244 {L'audit a �chou�}
    Une tentative de g�n�ration d'un audit de s�curit� a �chou�.
    Pour r�cup�rer, un administrateur doit ouvrir une session, archiver le journal de s�curit� (facultatif) Effacer le journal de s�curit� et r�initialiser cette option (facultative et en fonction des besoins).
  - Client r�seau Microsoft pour MS-DOS, Windows 95, Windows 98, Windows NT 4.0, Windows 2000, Windows XP, Windows Server 2003 :Les non-administrateurs essaient d'ouvrir une session sur un domaine recevront le message d'erreur suivant :
    Votre compte est configur� pour vous emp�cher d'utiliser cet ordinateur. Veuillez essayer un autre ordinateur.
    Pour plus d'informations, cliquez sur le num�ro ci-dessous pour afficher l'article correspondant dans la Base de connaissances Microsoft�:
    160783
    (http://support.microsoft.com/kb/160783/ )
    Message d'erreur : les utilisateurs ne peuvent pas ouvrir une session sur une station de travail
  - Windows 2000 :Sur les ordinateurs Windows 2000, les utilisateurs non administrateurs ne pourront pas ouvrir une session sur les serveurs d'acc�s distant, et ils recevront un message d'erreur semblable au suivant :
    Utilisateur inconnu ou mauvais mot de passe
    Pour plus d'informations, cliquez sur le num�ro ci-dessous pour afficher l'article correspondant dans la Base de connaissances Microsoft�:
    285665
    (http://support.microsoft.com/kb/285665/ )
    Message d'erreur : votre compte est configur� pour emp�cher l'utilisation de cet ordinateur
  - Windows 2000 :Sur les contr�leurs de domaine Windows 2000, le service Messagerie inter-sites (Ismserv.exe) s'arr�te et ne peut pas �tre red�marr�. L'outil DCDIAG signale l'erreur "�chec du test des services ISMserv" et ID d'�v�nement 1083 est enregistr� dans le journal des �v�nements.
  - Windows 2000 :Sur les contr�leurs de domaine Windows 2000, la r�plication Active Directory �choue et un message � Acc�s refus� � s'affiche si le journal de s�curit� est plein.
  - Microsoft Exchange 2000 :Les serveurs qui ex�cutent Exchange 2000 ne seront pas en mesure de monter la base de donn�es de banque d'informations et d'�v�nement 2102 est enregistr� dans le journal des �v�nements.
    
    Pour plus d'informations, cliquez sur le num�ro ci-dessous pour afficher l'article correspondant dans la Base de connaissances Microsoft�:
    314294
    (http://support.microsoft.com/kb/314294/ )
    Messages d'erreur Exchange 2000 sont g�n�r�s en raison de droit SeSecurityPrivilege et � Policytest
  - Outlook, Outlook Web Access : Les non-administrateurs ne pourront pas acc�der � leur courrier par le biais de Microsoft Outlook ou via Microsoft Outlook Web Access, et ils seront une erreur 503.
Contr�leur de domaine : signature de serveur LDAP
1. Arri�re-plan
  
  Le contr�leur de domaine : signature de serveur LDAP param�tre de s�curit� d�termine si le serveur Lightweight Directory Access Protocol (LDAP) exige que les clients LDAP n�gocier la signature de donn�es. Les valeurs possibles pour ce param�tre de strat�gie sont les suivantes :
  - Aucun : Signature de donn�es n'est pas n�cessaire pour cr�er une liaison avec le serveur. Si le la signature des donn�es demandes client, le serveur prend en charge il.
  - N�cessite la signature : L'option de signature des donn�es LDAP doit �tre n�goci�e tant que le Transport Layer Security/Secure Socket Layer (SSL/TLS) est utilis�.
  - non d�fini : Ce param�tre n'est pas activ� ou d�sactiv�.
2. Configurations � risque
  
  Param�tres de configuration nuisibles sont les suivantes :
  - L'activation n�cessite la signature dans les environnements o� les clients ne g�rent pas la signature LDAP ou o� la signature LDAP c�t� client n'est pas activ�e sur le client
  - Appliquer le Windows 2000 ou Windows Server Mod�le de s�curit� Hisecdc.inf 2003 dans des environnements o� les clients ne prise en charge la signature LDAP ou o� la signature LDAP c�t� client n'est activ�
  - Appliquer le Windows 2000 ou Windows Server Mod�le de s�curit� Hisecws.inf 2003 dans des environnements o� les clients ne prise en charge la signature LDAP ou o� la signature LDAP c�t� client n'est activ�
3. Raisons d'activer ce param�tre
  
  Le trafic r�seau non sign� est sensible aux attaques man-in-the-middle o� un intrus intercepte des paquets entre le client et le serveur modifie les paquets et puis les transf�re au serveur. Lorsque ce probl�me se produit sur un serveur LDAP, un agresseur pourrait obliger le serveur � prendre des d�cisions qui reposent sur de fausses requ�tes provenant du client LDAP. Vous pouvez r�duire ce risque dans un r�seau d'entreprise en mettant en ?uvre des mesures de s�curit� physiques fortes pour prot�ger l'infrastructure r�seau. Mode en-t�te d'authentification Internet Protocol security (IPSec) peut aider � pr�venir les attaques man-in-the-middle. Car il effectue l'authentification mutuelle et l'int�grit� des paquets pour le trafic IP.
4. Raisons de d�sactiver ce param�tre
  - Les clients qui ne prennent pas en charge la signature LDAP ne seront pas �tre en mesure d'effectuer des requ�tes LDAP sur les contr�leurs de domaine et les global Si l'authentification NTLM est n�goci�e et si le bon service packs des catalogues ne sont pas install�s sur les contr�leurs de domaine Windows 2000.
  - Le tra�age r�seau du trafic LDAP entre clients et serveurs sera crypt�. Cela rend difficile l'examen des conversations LDAP.
  - Serveurs Windows 2000 ou doivent �tre Windows 2000 Service Pack 3 (SP3) install� lorsqu'ils sont administr�s par des programmes qui prennent en charge LDAP de signature qui sont ex�cut�s � partir d'ordinateurs clients qui ex�cutent Windows 2000 SP4, Windows XP ou Windows Server 2003. Pour plus d'informations, cliquez sur le num�ro ci-dessous pour afficher l'article correspondant dans la Base de connaissances Microsoft�:
    325465
    (http://support.microsoft.com/kb/325465/ )
    Les contr�leurs de domaine Windows 2000 n�cessitent le Service Pack 3 ou version ult�rieure lors de l'utilisation des outils d'administration Windows Server 2003
5. Nom symbolique :
  
  LDAPServerIntegrity
6. Chemin d'acc�s du Registre :
  HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NTDS\Parameters\LDAPServerIntegrity (Reg_DWORD)
7. Exemples de probl�mes de compatibilit�
  - Liaisons simples �chouent, et vous recevrez le message d'erreur suivant :
    �chec de Ldap_simple_bind_s() : Authentification forte requise.
  - Windows 2000 Service Pack 4, Windows XP, Windows Server 2003 :Sur les clients qui ex�cutent Windows 2000 SP4, Windows XP ou Windows Server 2003, certains outils d'administration Active Directory ne fonctionneront pas correctement sur les contr�leurs de domaine qui ex�cutent les versions de Windows 2000 ant�rieures au Service Pack 3 lorsque l'authentification NTLM est n�goci�e.
    
    Pour plus d'informations, cliquez sur le num�ro ci-dessous pour afficher l'article correspondant dans la Base de connaissances Microsoft�:
    325465
    (http://support.microsoft.com/kb/325465/ )
    Les contr�leurs de domaine Windows 2000 n�cessitent le Service Pack 3 ou version ult�rieure lors de l'utilisation des outils d'administration Windows Server 2003
  - Windows 2000 Service Pack 4, Windows XP, Windows Server 2003 :Sur les clients qui ex�cutent Windows 2000 SP4, Windows XP ou Windows Server 2003, certains outils d'administration Active Directory qui ciblent des contr�leurs de domaine ex�cutant des versions de Windows 2000 qui sont ant�rieures au Service Pack 3 ne fonctionnent pas correctement s'ils utilisent des adresses IP (par exemple "DSA.msc/Server =x.x.x.x� where x.x.x.x est une adresse IP).
    
    Pour plus d'informations, cliquez sur le num�ro ci-dessous pour afficher l'article correspondant dans la Base de connaissances Microsoft�:
    325465
    (http://support.microsoft.com/kb/325465/ )
    Les contr�leurs de domaine Windows 2000 n�cessitent le Service Pack 3 ou version ult�rieure lors de l'utilisation des outils d'administration Windows Server 2003
  - Windows 2000 Service Pack 4, Windows XP, Windows Server 2003 :Sur les clients qui ex�cutent Windows 2000 SP4, Windows XP ou Windows Server 2003, certains outils d'administration Active Directory qui ciblent des contr�leurs de domaine ex�cutant des versions de Windows 2000 qui sont ant�rieures au Service Pack 3 ne fonctionnent pas correctement.
    
    Pour plus d'informations, cliquez sur le num�ro ci-dessous pour afficher l'article correspondant dans la Base de connaissances Microsoft�:
    325465
    (http://support.microsoft.com/kb/325465/ )
    Les contr�leurs de domaine Windows 2000 n�cessitent le Service Pack 3 ou version ult�rieure lors de l'utilisation des outils d'administration Windows Server 2003
Membre de domaine : exiger une cl� de session forte (Windows 2000 ou version ult�rieure)
1. Arri�re-plan
  - Le membre de domaine : exiger une cl� de session forte (Windows 2000 ou version ult�rieure) d�termine si un canal s�curis� peut �tre �tabli. avec un contr�leur de domaine qui ne peut pas crypter le trafic de canal s�curis� avec un cl� de session forte de 128 bits. L'activation de ce param�tre emp�che l'�tablissement d'un canal s�curis� avec n'importe quel contr�leur de domaine qui ne peut pas crypter un canal s�curis� donn�es avec une cl� forte. La d�sactivation de ce param�tre permet de cl�s de session de 64 bits.
  - Avant de pouvoir activer ce param�tre sur un membre station de travail ou sur un serveur, tous les contr�leurs de domaine dans le domaine qui le membre appartient doivent �tre capables de crypter les donn�es des canaux s�curis�s avec un nom fort cl� de 128 bits. Cela signifie que tous ces contr�leurs de domaine doivent ex�cuter Windows 2000 ou version ult�rieure.
2. Configuration � risque
  
  L'activation de le membre de domaine : exiger une cl� de session forte (Windows 2000 ou version ult�rieure) param�tre est un param�tre de configuration nuisible.
3. Raisons d'activer ce param�tre
  - S�curiser les cl�s de session servent � �tablir canal de communications entre les ordinateurs membres et contr�leurs de domaine sont beaucoup plus fortes dans Windows 2000 que dans les versions ant�rieures de Microsoft syst�mes d'exploitation.
  - Lorsqu'il est possible, il est conseill� de tirer parti de ces cl�s de session fortes pour prot�ger les communications des canaux s�curis�s � partir de l'�coute clandestine et de r�seau de d�tournements de sessions.��coutes clandestines est une forme d'attaque malveillante, o� les donn�es de r�seau sont en lecture ou modifi� en transit. Les donn�es peuvent �tre modifi�es pour masquer ou changer l'exp�diteur, ou encore rediriger.
  Important : Un ordinateur qui ex�cute Windows Server 2008 R2 ou Windows 7 prend en charge uniquement des cl�s fortes lorsque les canaux s�curis�s sont utilis�s. Cette restriction emp�che une approbation entre un domaine Windows NT 4.0 et de n'importe quel domaine Windows Server 2008 R2. En outre, cette restriction bloque l'appartenance de domaine Windows NT 4.0 d'ordinateurs qui ex�cutent Windows 7 ou Windows Server 2008 R2, et vice versa.
4. Raisons de d�sactiver ce param�tre
  
  Le domaine contient des ordinateurs membres qui ex�cutent les syst�mes d'exploitation autres que Windows 2000, Windows XP ou Windows Server 2003.
5. Nom symbolique :
  
  StrongKey
6. Chemin d'acc�s du Registre :
  HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Netlogon\Parameters\RequireStrongKey (Reg_DWORD)
7. Exemples de probl�mes de compatibilit�
  
  Windows NT 4.0 :Sur les ordinateurs Windows NT 4.0, r�initialisation des canaux s�curis�s des relations d'approbation entre Windows NT 4.0 et les domaines Windows 2000 avec l'utilitaire NLTEST �choue. Un message d'erreur � Acc�s refus� � s'affiche :
  L'approbation relation entre le domaine principal et le domaine approuv� a �chou�.
  
  Windows 7 et Server 2008 R2 :Pour Windows 7 et versions ult�rieures et Windows Server 2008 R2 et versions ult�rieures, ce param�tre n'est pas respect� plus et une cl� forte est toujours utilis�e. Pour cette raison, les approbations de domaines Windows NT 4.0 ne fonctionnent pas plus.
Membre de domaine : crypter num�riquement ou signer les donn�es des canaux s�curis�s (toujours)
1. Arri�re-plan
  - L'activation de membre de domaine : crypter num�riquement ou signer les donn�es des canaux s�curis�s (toujours) Impossible d'�tablir un canal s�curis� avec n'importe quel contr�leur de domaine qui ne peut pas signer ou crypter toutes les donn�es des canaux s�curis�s. Pour prot�ger le trafic d'authentification contre les attaques man-in-the-middle, les attaques de relecture et d'autres types d'attaques r�seau, les ordinateurs Windows cr�ent un canal de communication est connu comme un canal s�curis� via le service Net Logon pour authentifier les comptes d'ordinateur. Les canaux s�curis�s sont �galement utilis�s lorsqu'un utilisateur dans un domaine se connecte � une ressource r�seau dans un domaine distant. Cette authentification comportant plusieurs domaines, ou l'authentification directe, permet � un ordinateur fonctionnant sous Windows qui s'est joint � un domaine l'acc�s � la base de donn�es de compte utilisateur dans son domaine et dans tous les domaines approuv�s.
  - Pour activer la membre de domaine : crypter num�riquement ou signer les donn�es des canaux s�curis�s (toujours) configuration sur un ordinateur membre, tous les contr�leurs de domaine dans le domaine auquel appartient le membre doivent �tre en mesure de signer ou crypter toutes les donn�es des canaux s�curis�s. Cela signifie que tous ces contr�leurs de domaine doivent ex�cuter Windows NT 4.0 avec Service Pack 6 a (SP6a) ou version ult�rieure.
  - L'activation de le membre de domaine : crypter num�riquement ou signer les donn�es des canaux s�curis�s (toujours) automatiquement permet le membre de domaine : crypter num�riquement ou signer les donn�es des canaux s�curis�s (lorsque cela est possible) param�tre.
2. Configuration � risque
  
  L'activation de le membre de domaine : crypter num�riquement ou signer les donn�es des canaux s�curis�s (toujours) dans des domaines o� pas tous les contr�leurs de domaine peuvent signer ou crypter les donn�es du canal s�curis� sont un param�tre de configuration nuisible.
3. Raisons d'activer ce param�tre
  
  Le trafic r�seau non sign� est sensible aux attaques man-in-the-middle, o� un intrus intercepte des paquets entre le serveur et le client et les modifie, puis les transf�re au client. Lorsque ce probl�me se produit sur un serveur LDAP Lightweight Directory Access Protocol (), l'agresseur pourrait obliger le client � prendre des d�cisions bas�es sur des enregistrements incorrects de l'annuaire LDAP. Vous pouvez r�duire le risque d'une telle attaque sur un r�seau d'entreprise en mettant en ?uvre des mesures de s�curit� physiques fortes pour prot�ger l'infrastructure r�seau. En outre, mise en ?uvre de la s�curit� du protocole Internet (IPSec) mode d'en-t�te d'authentification permet d'�viter les attaques man-in-the-middle. Ce mode effectue l'authentification mutuelle et l'int�grit� des paquets pour le trafic IP.
4. Raisons de d�sactiver ce param�tre
  - Ordinateurs de domaines locaux ou externes ne prennent pas en charge les canaux s�curis�s crypt�s.
  - Pas tous les contr�leurs de domaine dans le domaine du niveaux de r�vision de pack de service appropri� pour prendre en charge crypt� s�curis� canaux.
5. Nom symbolique :
  
  StrongKey
6. Chemin d'acc�s du Registre :
  HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Netlogon\Parameters\RequireSignOrSeal (REG_DWORD)
7. Exemples de probl�mes de compatibilit�
  - Windows NT 4.0 : Ordinateurs membres Windows 2000 ne sera pas en mesure de rejoindre Domaines Windows NT 4.0 et vous recevrez le message d'erreur suivant :
    Le compte n'est pas autoris� � ouvrir une session � partir de cette station.
    Pour plus d'informations, cliquez sur le num�ro ci-dessous pour afficher l'article correspondant dans la Base de connaissances Microsoft�:
    281648
    (http://support.microsoft.com/kb/281648/ )
    Message d'erreur : le compte n'est pas autoris� � se connecter depuis cette station
  - Windows NT 4.0 :Domaines Windows NT 4.0 ne sera pas en mesure d'�tablir une approbation de bas niveau avec un domaine Windows 2000 et re�oivent le message d'erreur suivant :
    Le compte n'est pas autoris� � ouvrir une session � partir de cette station.
    Approbations de bas niveau existantes peuvent �galement pas authentifier les utilisateurs du domaine approuv�. Certains utilisateurs peuvent avoir des probl�mes de connexion au domaine et ils peuvent recevoir un message d'erreur indiquant que le client ne peut pas trouver le domaine.
  - Windows XP :Les clients Windows XP qui sont joints � des domaines Windows NT 4.0 ne sera pas en mesure d'authentifier les tentatives d'ouverture de session et peuvent recevoir le message d'erreur suivant, ou les �v�nements suivants peuvent �tre enregistr�s dans le journal des �v�nements :
    Impossible de se connecter au domaine soit parce que le contr�leur de domaine est en panne ou est indisponible ou parce que votre ordinateur compte n'a pas �t� trouv�.
    �v�nement 5723 : La configuration de session � partir de l'ordinateur Nom_Ordinateur l'authentification a �chou�. Le nom du compte r�f�renc� dans la s�curit� base de donn�es est Nom_Ordinateur. L'erreur suivante s'est produite : l'acc�s est refus�.
    �v�nement 3227 : La configuration de session sur l'ordinateur Windows NT ou Windows contr�leur de domaine 2000 Nom du serveur pour le domaine Nom de domaine a �chou� car Serveur Nom ne prend pas en charge signature ni la cl�ture de la session Netlogon. Mise � niveau le contr�leur de domaine soit param�trer l'entr�e de Registre RequireSignOrSeal sur Cet ordinateur � 0.
    Pour plus d'informations, cliquez sur le num�ro ci-dessous pour afficher l'article correspondant dans la Base de connaissances Microsoft�:
    318266
    (http://support.microsoft.com/kb/318266/ )
    Un client Windows XP ne peut pas ouvrir une session sur un domaine Windows NT 4.0
  - R�seau Microsoft :Les clients Microsoft Network re�oit l'un des messages d'erreur suivants :
    �chec de la connexion : nom d'utilisateur inconnu ou mauvais mot de passe.
    Il n'existe aucune cl� de session utilisateur pour le ouverture de session sp�cifi�e.
Client r�seau Microsoft : communications sign�es num�riquement (toujours)
1. Arri�re-plan
  
  Server Message Block (SMB) est le protocole de partage des ressources pris en charge par de nombreux syst�mes d'exploitation de Microsoft. Il s'agit de la base de network basic input/output system (NetBIOS) et de nombreux autres protocoles. La signature SMB authentifie l'utilisateur et le serveur qui h�berge les donn�es. Si des c�t�s �choue le processus d'authentification, la transmission de donn�es n'aura pas lieu.
  
  Activation de la signature SMB d�marre au cours de la n�gociation du protocole SMB. Les strat�gies de signature SMB d�terminent si l'ordinateur signe toujours num�riquement les communications client.
  
  Le protocole d'authentification SMB de Windows 2000 prend en charge l'authentification mutuelle. L'authentification mutuelle ferme une attaque � man-in-the-middle �. Le protocole d'authentification SMB de Windows 2000 prend �galement en charge l'authentification des messages. L'authentification des messages permet d'emp�cher les attaques par messages actifs. Pour vous donner cette authentification, la signature SMB place une signature num�rique dans chaque SMB. Le client et le serveur de v�rifient la signature num�rique.
  
  Pour utiliser la signature SMB, vous devez activer la signature SMB ou exiger la signature SMB sur le client SMB et le serveur SMB. Si la signature SMB est activ�e sur un serveur, les clients qui sont �galement activ�s pour la signature SMB utilisent le protocole de signature au cours de toutes les sessions de paquet. Si la signature SMB est requise sur un serveur, un client ne peut pas �tablir une session, � moins que le client est activ� ou requise pour la signature SMB.
  
  Activation de la signature num�rique dans les r�seaux haute s�curit� permet d'emp�cher l'emprunt d'identit� des clients et des serveurs. Ce type d'emprunt d'identit� est appel� d�tournement de session. Un attaquant qui a acc�s au m�me r�seau que le client ou le serveur utilise les outils de piratage de session pour interrompre, d'arr�ter ou de subtiliser une session en cours. Un attaquant peut intercepter et modifier des paquets SBM non sign�s, modifier le trafic et puis le transf�rer � un serveur pour r�aliser des actions non souhait�es. Ou bien, l'attaquant pourrait poser en tant que le serveur ou le client apr�s une authentification l�gitime et ensuite acc�der aux donn�es.
  
  Le protocole SMB qui est utilis� pour le partage de fichiers et d'imprimantes sur des ordinateurs qui ex�cutent Windows 2000 Server, Windows 2000 Professionnel, Windows XP Professionnel ou Windows Server 2003 prend en charge l'authentification mutuelle. L'authentification mutuelle d�tournements de sessions et prend en charge l'authentification des messages. Par cons�quent, il emp�che les attaques man-in-the-middle. La signature SMB fournit cette authentification en pla�ant une signature num�rique dans chaque SMB. Le client et le serveur, puis v�rifient la signature.
  
  Remarques
  - Sous la forme d'une autre contre-mesure, vous pouvez activer les signatures num�riques avec IPSec pour prot�ger tout le trafic r�seau. Il existe des acc�l�rateurs mat�riels pour le cryptage IPSec et la signature que vous pouvez utiliser afin de minimiser l'impact sur les performances de l'UC du serveur. Il n'y a pas d'acc�l�rateurs qui sont disponibles pour la signature SMB.
    
    Pour plus d'informations, consultez le Signer num�riquement les communications serveur
    (http://msdn.microsoft.com/en-us/library/ms814158)
    chapitre sur le site Web MSDN de Microsoft.
    
    Configurer la signature SMB par le biais de l'�diteur d'objets de strat�gie de groupe dans la mesure o� une modification d'une valeur de Registre local n'a aucun effet s'il existe une strat�gie de domaine prioritaire.
  - Dans Windows 95, Windows 98 et Windows 98 Deuxi�me �dition, le Client Service d'annuaire utilise la signature SMB lors de l'authentification avec les serveurs Windows Server 2003 � l'aide de l'authentification NTLM. Toutefois, ces clients n'utilisent pas de signature SMB lorsqu'ils s'authentifient avec ces serveurs � l'aide de l'authentification NTLMv2. En outre, les serveurs Windows 2000 ne r�pondent pas aux demandes de ces clients de signature SMB. Pour plus d'informations, consultez l'article 10: � s�curit� r�seau : niveau d'authentification Lan Manager. "
2. Configuration � risque
  
  L'exemple suivant est un param�tre de configuration nuisible : en laissant les deux le client r�seau Microsoft : communications sign�es num�riquement (toujours) param�tre et le client r�seau Microsoft : communications sign�es num�riquement (lorsque le serveur l'accepte) param�tre la valeur � Non d�fini � ou d�sactiv�. Ces param�tres permettent au redirecteur d'envoyer des mots de passe en texte brut aux serveurs SMB non-Microsoft qui ne prennent pas en charge cryptage de mot de passe lors de l'authentification.
3. Raisons d'activer ce param�tre
  
  L'activation de client r�seau Microsoft : communications sign�es num�riquement (toujours) exige que les clients � signer le trafic SMB lorsqu'il contacte les serveurs qui ne n�cessitent pas la signature SMB. Cela rend les clients moins vuln�rables aux d�tournements de sessions.
4. Raisons de d�sactiver ce param�tre
  - L'activation de client r�seau Microsoft : communications sign�es num�riquement (toujours) emp�che les clients de communiquer avec les serveurs cible qui ne prennent pas en charge la signature SMB.
  - Configuration des ordinateurs pour ignorer toutes les PME/PMI non sign� emp�che les communications ant�rieures des programmes et des syst�mes d'exploitation � partir de la connexion.
5. Nom symbolique :
  
  RequireSMBSignRdr
6. Chemin d'acc�s du Registre :
  HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\LanmanWorkstation\Parameters\RequireSecuritySignature
7. Exemples de probl�mes de compatibilit�
  - Windows NT 4.0 :Vous ne pourrez pas r�initialiser le canal s�curis� d'une approbation entre un domaine Windows Server 2003 et un domaine Windows NT 4.0 � l'aide de NLTEST ou NETDOM, et vous recevrez un message d'erreur � Acc�s refus� �.
  - Windows XP :Copie des fichiers � partir de Windows XP aux clients pour les serveurs Windows 2000 et de serveurs bas�s sur Windows Server 2003 peuvent prendre plus de temps.
  - Vous ne serez pas en mesure de mapper un lecteur r�seau � partir d'un client avec ce param�tre est activ� et vous recevrez l'erreur suivante message :
    Le compte n'est pas autoris� � ouvrir une session � partir de Cette station.
8. N�cessit� d'un red�marrage
  
  Red�marrez l'ordinateur, ou le service station de travail. Pour ce faire, tapez les commandes suivantes � une invite de commande. Appuyez sur ENTR�E apr�s chaque commande.
  net stop workstation
  Net start workstation
Serveur r�seau Microsoft : communications sign�es num�riquement (toujours)
1. Arri�re-plan
  - Server Messenger Block (SMB) est le protocole de partage des ressources pris en charge par de nombreux syst�mes d'exploitation de Microsoft. Il s'agit de la base de network basic input/output system (NetBIOS) et de nombreux autres protocoles. La signature SMB authentifie l'utilisateur et le serveur qui h�berge les donn�es. Si des c�t�s �choue le processus d'authentification, la transmission de donn�es n'aura pas lieu.
    
    Activation de la signature SMB d�marre au cours de la n�gociation du protocole SMB. Les strat�gies de signature SMB d�terminent si l'ordinateur signe toujours num�riquement les communications client.
    
    Le protocole d'authentification SMB de Windows 2000 prend en charge l'authentification mutuelle. L'authentification mutuelle ferme une attaque � man-in-the-middle �. Le protocole d'authentification SMB de Windows 2000 prend �galement en charge l'authentification des messages. L'authentification des messages permet d'emp�cher les attaques par messages actifs. Pour vous donner cette authentification, la signature SMB place une signature num�rique dans chaque SMB. Le client et le serveur de v�rifient la signature num�rique.
    
    Pour utiliser la signature SMB, vous devez activer la signature SMB ou exiger la signature SMB sur le client SMB et le serveur SMB. Si la signature SMB est activ�e sur un serveur, les clients qui sont �galement activ�s pour la signature SMB utilisent le protocole de signature au cours de toutes les sessions de paquet. Si la signature SMB est requise sur un serveur, un client ne peut pas �tablir une session, � moins que le client est activ� ou requise pour la signature SMB.
    
    Activation de la signature num�rique dans les r�seaux haute s�curit� permet d'emp�cher l'emprunt d'identit� des clients et des serveurs. Ce type d'emprunt d'identit� est appel� d�tournement de session. Un attaquant qui a acc�s au m�me r�seau que le client ou le serveur utilise les outils de piratage de session pour interrompre, d'arr�ter ou de subtiliser une session en cours. Un attaquant peut intercepter et modifier des paquets de gestionnaire de bande passante de sous-r�seau (SBM) non sign�s, modifier le trafic et puis le transf�rer � un serveur pour r�aliser des actions non souhait�es. Ou bien, l'attaquant pourrait poser en tant que le serveur ou le client apr�s une authentification l�gitime et ensuite acc�der aux donn�es.
    
    Le protocole SMB qui est utilis� pour le partage de fichiers et d'imprimantes sur des ordinateurs qui ex�cutent Windows 2000 Server, Windows 2000 Professionnel, Windows XP Professionnel ou Windows Server 2003 prend en charge l'authentification mutuelle. L'authentification mutuelle d�tournements de sessions et prend en charge l'authentification des messages. Par cons�quent, il emp�che les attaques man-in-the-middle. La signature SMB fournit cette authentification en pla�ant une signature num�rique dans chaque SMB. Le client et le serveur, puis v�rifient la signature.
  - Sous la forme d'une autre contre-mesure, vous pouvez activer les signatures num�riques avec IPSec pour prot�ger tout le trafic r�seau. Il existe des acc�l�rateurs mat�riels pour le cryptage IPSec et la signature que vous pouvez utiliser afin de minimiser l'impact sur les performances de l'UC du serveur. Il n'y a pas d'acc�l�rateurs qui sont disponibles pour la signature SMB.
  - Dans Windows 95, Windows 98 et Windows 98 Deuxi�me �dition, le Client Service d'annuaire utilise la signature SMB lors de l'authentification avec les serveurs Windows Server 2003 � l'aide de l'authentification NTLM. Toutefois, ces clients n'utilisent pas de signature SMB lorsqu'ils s'authentifient avec ces serveurs � l'aide de l'authentification NTLMv2. En outre, les serveurs Windows 2000 ne r�pondent pas aux demandes de ces clients de signature SMB. Pour plus d'informations, consultez l'article 10: � s�curit� r�seau : niveau d'authentification Lan Manager. "
2. Configuration � risque
  
  L'exemple suivant est un param�tre de configuration nuisible : l'activation de la serveur r�seau Microsoft : communications sign�es num�riquement (toujours) sur les serveurs et contr�leurs de domaine qui sont accessibles par les ordinateurs Windows incompatibles et tiers bas�s sur le syst�me d'exploitation client dans les domaines locaux ou externes.
3. Raisons d'activer ce param�tre
  - Tous les ordinateurs clients qui activent ce param�tre directement via le Registre ou via le param�tre de strat�gie de groupe prennent en charge SMB la signature. En d'autres termes, tous les ordinateurs clients qui ont ce param�tre activ� ex�cutent Windows 95 avec le client DS install�, Windows 98, Windows NT 4.0, Windows 2000, Windows XP Professionnel ou Windows Server 2003.
  - Si serveur r�seau Microsoft : communications sign�es num�riquement (toujours) est d�sactiv�, la signature SMB est compl�tement d�sactiv�e. Compl�tement la d�sactivation de la signature SMB tous les laisse les ordinateurs plus vuln�rable aux d�tournement de session attaques.
4. Raisons de d�sactiver ce param�tre
  - L'activation de ce param�tre peut entra�ner la copie de fichiers plus lente et les performances du r�seau sur les ordinateurs clients.
  - L'activation de ce param�tre emp�che les clients qui ne peut pas n�gocier la signature SMB de communiquer avec les serveurs et domaine contr�leurs. Cela entra�ne des op�rations telles que les jointures de domaine, utilisateur et ordinateur l'authentification ou l'acc�s r�seau par des programmes � �chouer.
5. Nom symbolique :
  
  RequireSMBSignServer
6. Chemin d'acc�s du Registre :
  HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\LanManServer\Parameters\RequireSecuritySignature (REG_DWORD)
7. Exemples de probl�mes de compatibilit�
  - Windows 95 :Les clients Windows 95 qui n'ont pas install� le Client Services d'annuaire (DS) va �chouer l'authentification d'ouverture de session et recevront le message d'erreur suivant :
    Le mot de passe de domaine fourni n'est pas Corrigez ou acc�der � votre ouverture de session serveur a �t� refus�.
    Pour plus d'informations, cliquez sur le num�ro ci-dessous pour afficher l'article correspondant dans la Base de connaissances Microsoft�:
    811497
    (http://support.microsoft.com/kb/811497/ )
    Message d'erreur lorsque le client Windows 95 ou Windows NT 4.0 ouvre une session sur un domaine Windows Server 2003
  - Windows NT 4.0 : Ordinateurs clients qui ex�cutent des versions de Windows NT 4.0 ant�rieures au Service Pack 3 (SP3) sera l'authentification d'ouverture de session a �chou� et sera recevoir le message d'erreur suivant :
    Le syst�me n'a pas pu ouvrir une session. Assurez-vous que votre nom d'utilisateur et votre domaine sont corrects, puis entrez votre mot de passe.
    Certains serveurs SMB non-Microsoft prennent en charge uniquement les �changes de mot de passe non crypt� lors de l'authentification. (Ces �changes �galement connu sous le nom des �changes � texte brut �.)�Pour Windows NT 4.0 SP3 et versions ult�rieures, le redirecteur SMB n'envoie pas un mot de passe non crypt� lors de l'authentification � un serveur SMB sauf si vous ajoutez une entr�e de Registre sp�cifique.
    Pour activer les mots de passe non crypt�s pour le client SMB sur Windows NT 4.0 Service Pack 3 et versions ult�rieures, modifiez le Registre comme suit : HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Rdr\Parameters
    Nom de la valeur : EnablePlainTextPassword
    Type de donn�es : REG_DWORD
    Donn�es: 1
    
    Pour plus d'informations sur les rubriques connexes, cliquez sur les num�ros ci-dessous pour afficher les articles correspondants dans la Base de connaissances Microsoft :
    224287
    (http://support.microsoft.com/kb/224287/ )
    Message d'erreur : erreur syst�me 1240 s'est produite. Le compte n'est pas autoris� � se connecter depuis cette station.
    166730
    (http://support.microsoft.com/kb/166730/ )
    Les mots de passe non crypt�s peuvent provoquer le Service Pack 3 pour ne pas se connecter aux serveurs SMB
  - Windows Server 2003 : Par d�faut, les param�tres de s�curit� sur les contr�leurs de domaine qui ex�cutent Windows Server 2003 sont configur�s afin d'emp�cher les communications des contr�leurs de domaine ne soient intercept�s ou falsifi� par des utilisateurs malveillants. Pour les utilisateurs de communiquer correctement avec un contr�leur de domaine qui ex�cute Windows Server 2003, les ordinateurs clients doivent utiliser � la fois la signature SMB et le chiffrement ou la signature du trafic des canaux s�curis�s. Par d�faut, les clients qui ex�cutent Windows NT 4.0 avec Service Pack 2 (SP2) ou version ant�rieure et les clients qui ex�cutent Windows 95 n'ont pas activ� la signature des paquets SMB. Par cons�quent, ces clients ne peuvent pas �tre capables de s'authentifier � un contr�leur de domaine Windows Server 2003.
  - Param�tres de strat�gie Windows 2000 et Windows Server 2003 : Selon vos besoins sp�cifiques d'installation et la configuration, nous vous recommandons de d�finir les param�tres de strat�gie suivants � l'entit� minimale de port�e n�cessaire dans la hi�rarchie du composant logiciel enfichable �diteur de strat�gie de groupe de la Console MMC :
    - Ordinateur Configuration ordinateur\Param�tres Windows\Param�tres de s�curit� : Options
    - Envoyer le mot de passe non crypt� pour se connecter aux serveurs SMB de tiers (ce param�tre est pour Windows 2000)
    - Client r�seau Microsoft : envoyer un mot de passe non crypt� aux serveurs SMB de tiers (ce param�tre est pour Windows Server 2003)
    Remarque : Sur certains serveurs CIFS tiers, tels que les anciennes versions de Samba, vous ne pouvez pas utiliser des mots de passe crypt�s.
  - Les clients suivants sont incompatibles avec la serveur r�seau Microsoft : communications sign�es num�riquement (toujours) param�tre :
    - Apple Computer, Inc., Mac OS X clients
    - Microsoft MS-DOS (par exemple, les clients r�seau Microsoft LAN Manager)
    - Microsoft Windows pour Workgroups clients
    - Clients Microsoft Windows 95 sans le service d'annuaire Client install�
    - Ordinateurs Microsoft Windows NT 4.0 sans Service Pack 3 ou version ult�rieure
    - Clients CIFS Novell Netware 6
    - Clients SMB SAMBA qui n'ont pas de prise en charge de la signature SMB
8. N�cessit� d'un red�marrage
  
  Red�marrez l'ordinateur, ou le service serveur. Pour ce faire, tapez les commandes suivantes � une invite de commande. Appuyez sur ENTR�E apr�s chaque commande.
  net stop server
  Net start server
Acc�s r�seau : permet la traduction de noms/SID anonymes
1. Arri�re-plan
  
  Le acc�s r�seau : permet la traduction de noms/SID anonymes param�tre de s�curit� d�termine si un utilisateur anonyme peut demander Attributs de num�ro d'Identification (SID) de s�curit� pour un autre utilisateur.
2. Configuration � risque
  
  L'activation de la acc�s r�seau : permet la traduction de noms/SID anonymes param�tre est un param�tre de configuration nuisible.
3. Raisons d'activer ce param�tre
  
  Si le acc�s r�seau : permet la traduction de noms/SID anonymes param�tre est d�sactiv�s, ant�rieures syst�mes d'exploitation ou des applications ne peut pas �tre en mesure de communiquer avec les domaines Windows Server 2003. Par exemple, syst�mes d'exploitation, services ou applications suivantes peuvent ne pas fonctionnent :
  - Service de Windows NT 4.0-acc�s distant serveurs
  - Microsoft SQL Server qui s'ex�cutent sur les ordinateurs Windows NT 3.x ou Windows NT 4.0 sur les ordinateurs
  - Service d'acc�s distant est en cours d'ex�cution sur les ordinateurs Windows 2000 qui sont trouvent dans les domaines de Windows NT 3.x ou Windows NT 4.0
  - SQL Server qui s'ex�cute sur les ordinateurs Windows 2000 qui sont situ�s dans des domaines Windows NT 3.x ou Windows NT 4.0
  - Utilisateurs du domaine de ressources Windows NT 4.0 qui souhaitent accorder des autorisations d'acc�s aux fichiers, dossiers partag�s et objets de Registre utilisateur comptes de domaines de compte contenant le domaine Windows Server 2003 contr�leurs
4. Raisons de d�sactiver ce param�tre
  
  Si ce param�tre est activ�, un utilisateur malveillant pourrait utiliser le SID des administrateurs pour obtenir le nom r�el du compte administrateur int�gr�, m�me si le compte a �t� renomm�. Cette personne pourrait ensuite utiliser le nom du compte pour lancer une attaque visant � deviner le mot de passe.
5. Nom symbolique : N/A
6. Chemin d'acc�s du Registre : Aucun. Le chemin d'acc�s sp�cifi� dans le code de l'interface utilisateur.
7. Exemples de probl�mes de compatibilit�
  
  Windows NT 4.0 :Ordinateurs dans les domaines de ressources Windows NT 4.0 affichent le message d'erreur � Compte inconnu � dans l'�diteur ACL si des ressources, y compris les dossiers partag�s, les fichiers partag�s et les objets de Registre sont s�curis�s avec des entit�s de s�curit� qui r�sident dans les domaines de compte contenant des contr�leurs de domaine Windows Server 2003.
Acc�s r�seau : ne pas autoriser l'�num�ration anonyme des SAM comptes
1. Arri�re-plan
  - Le acc�s r�seau : ne pas autoriser l'�num�ration anonyme des SAM comptes param�tre d�termine quelles autorisations suppl�mentaires vont �tre accord�es pour les connexions anonymes � l'ordinateur. Windows autorise les utilisateurs anonymes � effectuer certaines activit�s, par exemple �num�rer les noms des comptes de gestionnaire de comptes de s�curit� (SAM) workstation et server et des partages r�seau. Par exemple, un administrateur peut utiliser ceci pour accorder l'acc�s aux utilisateurs dans un domaine approuv� ne conservant pas une approbation r�ciproque. Une fois une session, un utilisateur anonyme peut avoir le m�me acc�s est accord� � tout le monde groupe bas� sur le param�tre dans la acc�s r�seau : les autorisations vous permettent de tout le monde s'appliquent aux utilisateurs anonymes param�tre ou la liste de contr�le d'acc�s discr�tionnaire (DACL) de l'objet.
    
    En g�n�ral, les connexions anonymes sont demand�es par les versions ant�rieures de clients (clients de bas niveau) au cours de l'installation de la session SMB. Dans ces cas, une trace r�seau indique que l'ID du processus (PID) SMB est que le redirecteur du client comme 0xFEFF dans Windows 2000 ou 0xCAFE dans Windows NT RPC peut �galement tenter d'�tablir des connexions anonymes.
  - Important Ce param�tre n'a aucun impact sur le domaine contr�leurs. Sur les contr�leurs de domaine, ce comportement est contr�l� par la pr�sence de � NT AUTHORITY\ANONYMOUS LOGON � dans � Acc�s compatible pr�-Windows 2000 �.
  - Dans Windows 2000, un param�tre similaire appel� Additional Restrictions pour les connexions anonymes g�re le
    RestrictAnonymous
    valeur de Registre. L'emplacement de cette valeur est la suivante
    HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\LSA
    Pour plus d'informations sur la valeur de Registre RestrictAnonymous, cliquez sur les num�ros ci-dessous pour afficher les articles correspondants dans la Base de connaissances Microsoft :
    246261
    (http://support.microsoft.com/kb/246261/ )
    Comment utiliser la valeur de Registre RestrictAnonymous dans Windows 2000
    143474
    (http://support.microsoft.com/kb/143474/ )
    Restriction des informations disponibles aux utilisateurs de l'ouverture de session anonyme
2. Configurations � risque
  
  L'activation de la acc�s r�seau : ne pas autoriser l'�num�ration anonyme des SAM comptes param�tre est un param�tre de configuration nuisible � partir d'un point de vue de compatibilit�. Sa d�sactivation est un param�tre de configuration nuisible du point de vue s�curit�.
3. Raisons d'activer ce param�tre
  
  Un utilisateur non autoris� pourrait r�pertorier de fa�on anonyme les noms de compte, puis utilisez les informations pour essayer de deviner les mots de passe ou pour effectuer des attaques d'ing�nierie sociale . L'ing�nierie sociale est un jargon qui signifie que les personnes amener � r�v�ler leurs mot de passe ou des informations de s�curit�.
4. Raisons de d�sactiver ce param�tre
  
  Si ce param�tre est activ�, il est impossible d'�tablir des approbations avec des domaines Windows NT 4.0. Ce param�tre provoque �galement des probl�mes avec des clients de bas niveau (par exemple, les clients Windows NT 3.51 et Windows 95), essaient d'utiliser des ressources sur le serveur.
5. Nom symbolique :
  
  RestrictAnonymousSAM
6. Chemin d'acc�s du Registre :
  HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\RestrictAnonymousSAM (Reg_DWORD)
7. Exemples de probl�mes de compatibilit�
- D�couverte du r�seau SMS ne sera pas en mesure d'obtenir donn�es du syst�me d'exploitation et �crit � Inconnu � dans le Propri�t� OperatingSystemNameandVersion.
- Windows 95, Windows 98 :Clients Windows 95 et Windows 98 ne sera pas en mesure de modifier leur mot de passe.
- Windows NT 4.0 :Ordinateurs membres de NT 4.0 de Windows ne pourront pas �tre authentifi�.
- Windows 95, Windows 98 :Les ordinateurs Windows 95 et Windows 98 ne sera pas en mesure d'�tre authentifi�s par les contr�leurs de domaine Microsoft.
- Windows 95, Windows 98 :Les utilisateurs sur les ordinateurs Windows 95 et Windows 98 ne sera pas en mesure de modifier les mots de passe pour leur compte utilisateur.
Acc�s r�seau : ne pas autoriser l'�num�ration anonyme des SAM comptes et partages
1. Arri�re-plan
  - Le acc�s r�seau : ne pas autoriser l'�num�ration anonyme des SAM comptes et partages (�galement appel� RestrictAnonymous) d�termine si anonyme l'�num�ration des comptes de s�curit� Actions et des comptes SAM (Gestionnaire) est autoris�. Windows permet aux utilisateurs anonymes effectuer certaines activit�s, par exemple �num�rer les noms des comptes de domaine (utilisateurs, ordinateurs et groupes) et des partages r�seau. Cette m�thode est pratique pour exemple, lorsqu'un administrateur veut accorder l'acc�s aux utilisateurs dans une confiance domaine qui ne maintenance pas une approbation r�ciproque. Si vous ne souhaitez pas autoriser l'�num�ration anonyme des comptes SAM et des partages, activez ce param�tre.
  - Dans Windows 2000, un param�tre similaire appel� Additional Restrictions pour les connexions anonymes g�re le
    RestrictAnonymous
    valeur de Registre. L'emplacement de cette valeur est la suivante :
    HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\LSA
2. Configuration � risque
  
  L'activation de la acc�s r�seau : ne pas autoriser l'�num�ration anonyme des SAM comptes et partages param�tre est un param�tre de configuration nuisible.
3. Raisons d'activer ce param�tre
  - L'activation de la acc�s r�seau : ne pas autoriser l'�num�ration anonyme des SAM comptes et partages param�tre emp�che l'�num�ration des comptes SAM et des partages par les utilisateurs et les ordinateurs qui utilisent des comptes anonymes.
4. Raisons de d�sactiver ce param�tre
  - Si ce param�tre est activ�, un utilisateur non autoris� Impossible de r�pertorier de fa�on anonyme les noms de compte et puis utiliser les informations pour essayer de deviner les mots de passe ou d'effectuer des attaques d'ing�nierie sociale . L'ing�nierie sociale est un jargon qui signifie que les personnes amener � r�v�ler leurs mot de passe ou certaines des informations de s�curit�.
  - Si ce param�tre est activ�, il est impossible �tablir des approbations avec des domaines Windows NT 4.0. Ce param�tre provoque �galement probl�mes avec les clients de bas niveau tels que les clients Windows NT 3.51 et Windows 95 qui tentent d'utiliser des ressources sur le serveur.
  - Il est impossible d'accorder l'acc�s aux utilisateurs des domaines de ressources car les administrateurs du domaine d'approbation ne pourront pas �num�rer les listes de comptes dans l'autre domaine. Les utilisateurs qui acc�dent anonymement des serveurs de fichiers et impression ne sera pas en mesure de r�pertorier les ressources r�seau partag�es sur ces serveurs. Les utilisateurs doivent s'authentifier avant de pouvoir afficher les listes de dossiers et imprimantes partag�s.
5. Nom symbolique :
  
  RestrictAnonymous
6. Chemin d'acc�s du Registre :
  HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\RestrictAnonymous
7. Exemples de probl�mes de compatibilit�
  - Windows NT 4.0 : Les utilisateurs ne seront pas en mesure de modifier leur mot de passe de Windows NT stations de 4.0 travail lorsque le param�tre RestrictAnonymous est activ� sur les contr�leurs de domaine dans le domaine des utilisateurs. Pour plus d'informations, cliquez sur le num�ro ci-dessous pour afficher l'article correspondant dans la Base de connaissances Microsoft�:
    198941
    (http://support.microsoft.com/kb/198941/ )
    Les utilisateurs ne peuvent pas changer de mot de passe lors de la connexion
  - Windows NT 4.0 :Ajout d'utilisateurs ou groupes globaux � partir de domaines Windows 2000 � des groupes locaux Windows NT 4.0 dans le Gestionnaire des utilisateurs �choue et le message d'erreur suivant s'affiche :
    Il n'existe actuellement aucun serveur d'ouverture de session disponible pour traiter la demande d'ouverture de session.
    Pour plus d'informations, cliquez sur le num�ro ci-dessous pour afficher l'article correspondant dans la Base de connaissances Microsoft�:
    296405
    (http://support.microsoft.com/kb/296405/ )
    La valeur de Registre � RestrictAnonymous � peut rompre l'approbation � un domaine Windows 2000
  - Windows NT 4.0 :Windows NT 4.0 sur les ordinateurs ne seront pas en mesure de joindre des domaines lors de l'installation ou � l'aide de l'interface utilisateur de jonction de domaine.
    
    Pour plus d'informations, cliquez sur le num�ro ci-dessous pour afficher l'article correspondant dans la Base de connaissances Microsoft�:
    184538
    (http://support.microsoft.com/kb/184538/ )
    Message d'erreur : un contr�leur de ce domaine est introuvable.
  - Windows NT 4.0 :�tablissement d'une approbation de bas niveau avec les domaines de ressources Windows NT 4.0 �chouera. Le message d'erreur suivant s'affiche lorsque le param�tre RestrictAnonymous est activ� sur le domaine approuv� :
    N'a pas pu trouver un contr�leur de domaine pour ce domaine.
    Pour plus d'informations, cliquez sur le num�ro ci-dessous pour afficher l'article correspondant dans la Base de connaissances Microsoft�:
    178640
    (http://support.microsoft.com/kb/178640/ )
    Impossible de trouver de contr�leur de domaine lors de l'�tablissement d'une relation d'approbation
  - Windows NT 4.0 :Les utilisateurs qui ouvrent une session des ordinateurs fonctionnant sous Windows NT 4.0 Terminal Server mappe sur le r�pertoire par d�faut au lieu du r�pertoire de base est d�fini dans le Gestionnaire des utilisateurs pour les domaines.
    
    Pour plus d'informations, cliquez sur le num�ro ci-dessous pour afficher l'article correspondant dans la Base de connaissances Microsoft�:
    236185
    (http://support.microsoft.com/kb/236185/ )
    Les profils utilisateur Terminal Server et les chemins de dossier de base sont ignor�s apr�s l'application de SP4 ou version ult�rieure
  - Windows NT 4.0 :Contr�leurs de domaine secondaires Windows NT 4.0 (BDC) ne sera pas en mesure de d�marrer le service Net Logon, obtenir la liste des explorateurs secondaires ou synchroniser la base de donn�es SAM � partir de Windows 2000 ou � partir des contr�leurs de domaine Windows Server 2003 dans le m�me domaine.
    
    Pour plus d'informations, cliquez sur le num�ro ci-dessous pour afficher l'article correspondant dans la Base de connaissances Microsoft�:
    293127
    (http://support.microsoft.com/kb/293127/ )
    Le service Net Logon d'un BDC Windows NT 4.0 ne fonctionne pas dans un domaine Windows 2000
  - Windows 2000 :Les ordinateurs membres Windows 2000 dans les domaines Windows NT 4.0 ne sera pas en mesure d'afficher les imprimantes dans les domaines externes si le param�tre Aucun acc�s sans autorisation explicite est activ� dans la strat�gie de s�curit� locale du client ordinateur.
    
    Pour plus d'informations, cliquez sur le num�ro ci-dessous pour afficher l'article correspondant dans la Base de connaissances Microsoft�:
    280329
    (http://support.microsoft.com/kb/280329/ )
    Utilisateur ne peut pas g�rer ou d'afficher les propri�t�s de l'imprimante
  - Windows 2000 :Les utilisateurs de domaine Windows 2000 ne sera pas en mesure d'ajouter des imprimantes r�seau � partir d'Active Directory ; Toutefois, ils seront en mesure d'ajouter des imprimantes apr�s que les avoir s�lectionn�es dans l'arborescence.
    
    Pour plus d'informations, cliquez sur le num�ro ci-dessous pour afficher l'article correspondant dans la Base de connaissances Microsoft�:
    318866
    (http://support.microsoft.com/kb/318866/ )
    Les clients Outlook ne peut pas afficher la liste d'adresses globale apr�s l'installation du Security Rollup Package 1 (SRP1) sur le serveur de catalogue global
  - Windows 2000 :Sur les ordinateurs Windows 2000, l'�diteur ACL ne sera pas en mesure d'ajouter des utilisateurs ou groupes globaux � partir de domaines Windows NT 4.0 approuv�s.
    
    Pour plus d'informations, cliquez sur le num�ro ci-dessous pour afficher l'article correspondant dans la Base de connaissances Microsoft�:
    296403
    (http://support.microsoft.com/kb/296403/ )
    La valeur RestrictAnonymous rompt l'approbation dans un environnement de domaine mixte
  - L'outil ADMT version 2:Migration de mot de passe pour les comptes d'utilisateurs sont migr�s entre for�ts avec outil Active Directory Migration (ADMT) version 2 �choue.
    
    Pour plus d'informations, cliquez sur le num�ro ci-dessous pour afficher l'article correspondant dans la Base de connaissances Microsoft�:
    322981
    (http://support.microsoft.com/kb/322981/ )
    Comment faire pour r�soudre les probl�mes de migration de mot de passe entre for�ts avec ADMTv2
  - Les clients outlook :La liste d'adresses globale s'affiche vide pour les clients Microsoft Exchange Outlook.
    
    Pour plus d'informations, cliquez sur le num�ro ci-dessous pour afficher l'article correspondant dans la Base de connaissances Microsoft�:
    318866
    (http://support.microsoft.com/kb/318866/ )
    Les clients Outlook ne peut pas afficher la liste d'adresses globale apr�s l'installation du Security Rollup Package 1 (SR) sur le serveur de catalogue global
    321169
    (http://support.microsoft.com/kb/321169/ )
    Ralentissement des performances SMB lors de la copie de fichiers de Windows XP vers un contr�leur de domaine Windows 2000
  - SMS :D�couverte du r�seau de Microsoft Systems Management Server (SMS) ne sera pas en mesure d'obtenir les informations du syst�me d'exploitation. Par cons�quent, il �crit � Inconnu � dans la propri�t� OperatingSystemNameandVersion de la propri�t� DDR SMS de l'enregistrement de donn�es de d�couverte (DDR).
    
    Pour plus d'informations, cliquez sur le num�ro ci-dessous pour afficher l'article correspondant dans la Base de connaissances Microsoft�:
    229769
    (http://support.microsoft.com/kb/229769/ )
    Comment le Gestionnaire de donn�es de d�couverte d�termine quand g�n�rer une demande de configuration client
  - SMS :�Lorsque vous utilisez l'Assistant d'utilisateur administrateur SMS pour rechercher des utilisateurs et groupes, aucun utilisateur ou groupe n'appara�t. En outre, les clients avanc�s ne peuvent pas communiquer avec le Point de gestion. L'acc�s anonyme est requis sur le Point de gestion.
    
    Pour plus d'informations, cliquez sur le num�ro ci-dessous pour afficher l'article correspondant dans la Base de connaissances Microsoft�:
    302413
    (http://support.microsoft.com/kb/302413/ )
    Aucun utilisateur ou groupe n'est r�pertori�s dans l'Assistant utilisateur administrateur
  - SMS : Lorsque vous utilisez la fonctionnalit� de d�couverte du r�seau dans SMS 2.0 et dans l'Installation du Client distant avec l'option de d�couverte r�seau topologie, client et les syst�mes d'exploitation client activ�e, les ordinateurs peuvent �tre d�couvertes mais ne peut ne pas �tre install�.
    
    Pour plus d'informations, cliquez sur le num�ro ci-dessous pour afficher l'article correspondant dans la Base de connaissances Microsoft�:
    311257
    (http://support.microsoft.com/kb/311257/ )
    Ressources ne sont pas d�couvertes si les connexions anonymes sont d�sactiv�es

S�curit� r�seau : niveau d'authentification Lan Manager

Arri�re-plan

L'authentification LAN Manager (LM) est le protocole utilis� pour authentifier les clients Windows pour les op�rations de r�seau, y compris les jonctions de domaines, l'acc�s aux ressources r�seau et l'authentification utilisateur ou ordinateur. Le niveau d'authentification LM d�termine quel protocole d'authentification stimulation/r�ponse est n�goci� entre les ordinateurs clients et les serveur. En particulier, le niveau d'authentification LM d�termine les protocoles d'authentification que le client va tenter de n�gocier ou que le serveur acceptera. La valeur est d�finie pour LmCompatibilityLevel d�termine quel protocole d'authentification stimulation/r�ponse est utilis� pour les ouvertures de session r�seau. Cette valeur affecte le niveau de protocole d'authentification qu' utilisent les clients, le niveau de s�curit� de session n�goci� et le niveau d'authentification accept� par les serveurs.

Les param�tres possibles sont les suivantes.

R�duire ce tableauAgrandir ce tableau

Valeur	Param�tre	Description
0	Envoyer les r�ponses LM et NTLM &	Les clients utilisent l'authentification LM et NTLM et n'utilisent jamais la s�curit� de session NTLMv2. Contr�leurs de domaine acceptent l'authentification LM, NTLM et NTLMv2.
1	Envoyer LM et NTLM & - utiliser la s�curit� de session NTLMv2 si n�goci�e	Les clients utilisent l'authentification LM et NTLM et utilisent la s�curit� de session NTLMv2 si le serveur la prend en charge. Contr�leurs de domaine acceptent l'authentification LM, NTLM et NTLMv2.
2	Envoyer uniquement les r�ponses NTLM	Les clients utilisent uniquement l'authentification NTLM et utilisent la s�curit� de session NTLMv2 si le serveur la prend en charge. Contr�leurs de domaine acceptent l'authentification LM, NTLM et NTLMv2.
3	Envoyer uniquement les r�ponses NTLMv2	Les clients utilisent uniquement l'authentification NTLMv2 et utilisent la s�curit� de session NTLMv2 si le serveur la prend en charge. Contr�leurs de domaine acceptent l'authentification LM, NTLM et NTLMv2.
4	Envoyer uniquement les r�ponses NTLMv2 / refuser LM	Les clients utilisent uniquement l'authentification NTLMv2 et utilisent la s�curit� de session NTLMv2 si le serveur la prend en charge. Les contr�leurs de domaine refusent LM et acceptent uniquement l'authentification NTLM et NTLMv2.
5	Envoyer uniquement les r�ponses NTLMv2 / refuser LM et NTLM &	Les clients utilisent uniquement l'authentification NTLMv2 et utilisent la s�curit� de session NTLMv2 si le serveur la prend en charge. Contr�leurs de domaine refusent l'authentification LM et NTLM et acceptent uniquement l'authentification NTLMv2.

Remarque : Dans Windows 95, Windows 98 et Windows 98 Deuxi�me �dition, le Client Service d'annuaire utilise la signature SMB lors de l'authentification avec les serveurs Windows Server 2003 � l'aide de l'authentification NTLM. Toutefois, ces clients n'utilisent pas de signature SMB lorsqu'ils s'authentifient avec ces serveurs � l'aide de l'authentification NTLMv2. En outre, les serveurs Windows 2000 ne r�pondent pas aux demandes de ces clients de signature SMB.

V�rifier le niveau d'authentification LM: Vous devez modifier la strat�gie sur le serveur pour autoriser NTLM ou vous devez configurer l'ordinateur client pour prendre en charge NTLMv2.

Si la strat�gie est d�finie sur (5) envoyer des r�ponses NTLMv2 \ refuser LM et NTLM & sur l'ordinateur cible auquel vous souhaitez vous connecter, vous devez r�duire ce param�tre sur cet ordinateur ou d�finir la s�curit� sur le m�me param�tre qui se trouve sur l'ordinateur source que vous vous connectez � partir de.

Trouver l'emplacement o� vous pouvez modifier le Gestionnaire de r�seau local de niveau d'authentification pour d�finir le client et le serveur au m�me niveau. Apr�s avoir trouv� la strat�gie qui consiste � d�finir le Gestionnaire de r�seau local au niveau d'authentification, si vous souhaitez vous connecter � et � partir d'ordinateurs qui ex�cutent des versions ant�rieures de Windows, r�duisez la valeur au moins (1) Envoi LM & NTLM - utiliser NTLM version 2 si n�goci�e la s�curit� de session. L'un des effets des param�tres incompatibles sont que si le serveur n�cessite l'authentification NTLMv2 (valeur 5), mais le client est configur� pour utiliser LM et NTLMv1 uniquement (valeur 0), l'utilisateur qui essaie d'authentification rencontre un �chec d'ouverture de session qui a un mauvais mot de passe et qui incr�mente le nombre de mot de passe incorrect. Si le verrouillage de compte est configur�, l'utilisateur peut finalement �tre verrouill�.

Par exemple, vous devrez peut-�tre rechercher sur le contr�leur de domaine, ou vous devrez peut-�tre examiner les strat�gies du contr�leur de domaine.

Recherche sur le contr�leur de domaine

Remarque : Il se peut que vous deviez r�p�ter la proc�dure suivante sur tous les contr�leurs de domaine.

Cliquez sur D�marrer, pointez sur Programmes, puis cliquez sur Outils d'administration.
Sous Param�tres de s�curit� locaux, d�veloppez Strat�gies locales.
Cliquez sur Options de s�curit�.
Double-cliquez sur S�curit� r�seau : Niveau d'authentification LAN manager, puis cliquez sur une valeur dans la liste.

Si le param�tre en cours et le param�tre Local sont identiques, la strat�gie a �t� modifi�e � ce niveau. Si les param�tres sont diff�rents, vous devez v�rifier la strat�gie du contr�leur de domaine afin de d�terminer si la s�curit� r�seau : niveau d'authentification LAN manager y est d�fini. Si elle n'est pas d�finie, examinez les strat�gies du contr�leur de domaine.

Examinerstrat�gies du contr�leur de domaine

Cliquez sur D�marrer, pointez sur Programmes, puis cliquez sur Outils d'administration.
Dans le S�curit� du contr�leur de domaine strat�gie, d�veloppez Param�tres de s�curit�, puis d�veloppez Strat�gies locales.
Cliquez sur Options de s�curit�.
Double-cliquez sur la s�curit� r�seau : niveau d'authentification LAN manager, puis cliquez sur une valeur dans la liste.

Remarque

Vous devrez peut-�tre �galement v�rifier les strat�gies qui sont li�s au niveau du site, le niveau du domaine ou l'unit� d'organisation au niveau (UO) pour d�terminer o� vous devez configurer le niveau d'authentification LAN manager.
Si vous impl�mentez un param�tre de strat�gie de groupe en tant que la strat�gie de domaine par d�faut, la strat�gie est appliqu�e � tous les ordinateurs du domaine.
Si vous impl�mentez un param�tre de strat�gie de groupe en tant que strat�gie du contr�leur de domaine par d�faut, la strat�gie s'applique uniquement aux serveurs dans l'unit� d'organisation du contr�leur de domaine.
Il est conseill� de d�finir le niveau d'authentification LAN manager dans l'entit� minimale de port�e n�cessaire dans la hi�rarchie d'application de strat�gie.

Actualisation de la strat�gie une fois que vous apportez des modifications. (Si la modification est apport�e au niveau de param�tres de s�curit� locale, la modification est imm�diate. Toutefois, vous devez red�marrer les clients avant de tester.)

Par d�faut, les param�tres de strat�gie de groupe sont mises � jour sur les contr�leurs de domaine toutes les cinq minutes. Pour appliquer imm�diatement la mise � jour les param�tres de strat�gie sur Windows 2000 ou version ult�rieure, utilisez la commande gpupdate .

La commande gpupdate /force met � jour les param�tres de strat�gie de groupe locaux et les param�tres de strat�gie de groupe bas�s sur le service d'annuaire Active Directory, y compris les param�tres de s�curit�. Cette commande remplace l'option d�sormais obsol�te /refreshpolicy de la commande secedit .

La commande gpupdate utilise la syntaxe suivante :
gpupdate [/ target: {ordinateur|utilisateur[}] [/ force] [/ wait :valeur] [/logoff] [/ Boot]

Appliquer l'objet de strat�gie de groupe (GPO) nouvelle � l'aide de la commande gpupdate pour r�appliquer manuellement tous les param�tres de strat�gie. Pour ce faire, tapez la commande suivante � l'invite de commande et appuyez sur ENTR�E :

GPUpdate /Force

Examinez le journal des �v�nements applications pour vous assurer que le param�tre de strat�gie a �t� appliqu� avec succ�s.

Sur Windows XP et Windows Server 2003, vous pouvez utiliser le composant logiciel enfichable jeu de strat�gie r�sultant pour afficher le param�tre en cours. Pour ce faire, cliquez surD�marrer, cliquez sur Ex�cuter, type RSoP.msc, puis cliquez sur OK.

Si le probl�me persiste apr�s avoir apport� la modification � la strat�gie, red�marrez le serveur Windows et v�rifiez que le probl�me est r�solu.

Remarque : Si vous avez plusieurs contr�leurs de domaine Windows 2000, les contr�leurs de domaine Windows Server 2003 ou les deux, vous devrez peut-�tre r�pliquer Active Directory pour vous assurer que ces contr�leurs de domaine ont les modifications de mise � jour imm�diatement.

Le param�tre peut semble �tre d�finie pour le param�tre le plus bas dans la strat�gie de s�curit� locale. Si vous pouvez appliquer le param�tre au moyen d'une base de donn�es de s�curit�, vous pouvez �galement d�finir le niveau d'authentification LAN manager dans le Registre en modifiant l'entr�e LmCompatibilityLevel dans la sous-cl� de Registre suivante :

HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\Lsa

Windows Server 2003 a un nouveau param�tre par d�faut � utiliser NTLMv2 uniquement. Par d�faut, Windows Server 2003 et des contr�leurs de domaine Windows 2000 Server SP3 ont activ� le � serveur r�seau Microsoft : communications sign�es num�riquement (toujours) � strat�gie. Ce param�tre n�cessite le serveur SMB � signer les paquets SMB. Windows Server 2003 ont �t� modifi�es dans la mesure o� les contr�leurs de domaine, les serveurs de fichiers, les serveurs d'infrastructure r�seau et les serveurs Web dans n'importe quelle organisation n�cessitent des param�tres diff�rents pour optimiser leur s�curit�.

Si vous souhaitez impl�menter l'authentification NTLMv2 sur votre r�seau, vous devez vous assurer que tous les ordinateurs du domaine sont configur�s pour utiliser ce niveau d'authentification. Si vous appliquez Active Directory Client Extensions pour Windows 95 ou Windows 98 et Windows NT 4.0, les extensions client utilisent les fonctionnalit�s d'authentification am�lior�e disponibles dans NTLMv2. �tant donn� que les ordinateurs clients qui ex�cutent un des syst�me d'exploitation suivant ne sont pas affect�s par les objets de strat�gie de groupe Windows 2000, vous devrez peut-�tre configurer ces clients manuellement :

Microsoft Windows NT 4.0
Microsoft Windows Millennium Edition
Microsoft Windows 98
Microsoft Windows 95

Remarque : Si vous activez la S�curit� r�seau : ne pas stocker de valeurs de hachage LAN manager sur la prochaine modification de mot de passe ou d�finissez la NoLMHash cl� de Registre, les clients bas�s sur Windows 98 et Windows 95 qui n'ont pas le Client Service d'annuaire ne peut pas se connecter au domaine apr�s un changement de mot de passe.

De nombreux serveurs CIFS tiers, tels que Novell Netware 6 ne sont pas en charge NTLMv2 et utilisent NTLM uniquement. Par cons�quent, les niveaux sup�rieurs � 2 ne permettent pas de connectivit�.

Pour plus d'informations sur la fa�on de configurer manuellement le niveau d'authentification LAN manager, cliquez sur les num�ros ci-dessous pour afficher les articles correspondants dans la Base de connaissances Microsoft :

147706

(http://support.microsoft.com/kb/147706/ )

Comment faire pour d�sactiver l'authentification LM sous Windows NT

175641

(http://support.microsoft.com/kb/175641/ )

LMCompatibilityLevel et ses effets

299656

(http://support.microsoft.com/kb/299656/ )

Comment emp�cher Windows de stocker un hachage LAN manager de votre mot de passe dans Active Directory et des bases de donn�es SAM locales

312630

(http://support.microsoft.com/kb/312630/ )

Outlook continue � vous demander vos informations d'identification d'ouverture de session

Pour plus d'informations sur les niveaux d'authentification LM, cliquez sur le num�ro ci-dessous pour afficher l'article correspondant dans la Base de connaissances Microsoft :

239869

(http://support.microsoft.com/kb/239869/ )

Comment faire pour activer l'authentification NTLM 2

Configurations � risque

Param�tres de configuration nuisibles sont les suivantes :
- Param�tres non restrictifs qui envoient des mots de passe dans en clair et que refuser la n�gociation NTLMv2.
- Param�tres restrictifs qui emp�chent incompatible clients et les contr�leurs de domaine de n�gocier un protocole d'authentification commun
- Exiger l'authentification NTLMv2 sur les ordinateurs membres et sont des contr�leurs de domaine qui ex�cutent des versions de Windows NT 4.0 au plus t�t le Service Pack 4 (SP4)
- Exiger l'authentification NTLMv2 sur Windows 95 les clients ou sur les clients Windows 98 qui n'ont pas le r�pertoire Windows Client des services install�.
- Si vous cliquez sur pour s�lectionner le N�cessite une s�curit� de session NTLMv2 case � cocher dans Microsoft Management Console �diteur strat�gie de groupe enfichable sur un ordinateur Windows Server 2003 Service Pack 3 Windows 2000 bas�e ou ordinateur et vous r�duisez le niveau d'authentification LAN manager � 0, les deux param�tres entrent en conflit, et le message d'erreur suivant peut s'afficher dans le fichier Secpol.msc ou GPEdit.msc :
  Windows ne peut pas ouvrir la base de donn�es de strat�gie locale. Une erreur inconnue s'est produite lors de la tentative d'ouverture de la base de donn�es.
  Pour plus d'informations sur la Configuration de la s�curit� et l'outil d'analyse, consultez le Windows 2000 ou les fichiers d'aide de Windows Server 2003.
  
  Pour plus d'informations sur la fa�on d'analyser les niveaux de s�curit� sur Windows 2000 et Windows Server 2003, cliquez sur les num�ros ci-dessous pour afficher les articles correspondants dans la Base de connaissances Microsoft :
  313203
  (http://support.microsoft.com/kb/313203/ )
  Comment analyser la s�curit� syst�me dans Windows 2000
  816580
  (http://support.microsoft.com/kb/816580/ )
  Comment analyser la s�curit� syst�me dans Windows Server 2003
Raisons de modifier ce param�tre
- Vous souhaitez augmenter la commun le plus bas protocole d'authentification pris en charge par les clients et les contr�leurs de domaine votre organisation.
- O� l'authentification s�curis�e est une entreprise exigence, que vous souhaitez interdire la n�gociation de LM et le NTLM protocoles.
Raisons de d�sactiver ce param�tre

Client ou les exigences d'authentification de serveur ou les deux, ont augment� au point o� l'authentification � travers un protocole commun ne peut pas se produire.
Nom symbolique :

LmCompatibilityLevel
Chemin d'acc�s du Registre :
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\LmCompatibilityLevel
Exemples de probl�mes de compatibilit�
- Windows Server 2003 :Par d�faut, les r�ponses NTLM envoyer Windows Server 2003 NTLMv2 param�tre est activ�. Par cons�quent, Windows Server 2003 re�oit le message d'erreur � Acc�s refus� � apr�s l'installation initiale lorsque vous essayez de vous connecter � un cluster Windows NT 4.0 ou � des serveurs LanManager V2.1 tels que OS/2 Lanserver. Ce probl�me se produit �galement si vous essayez de vous connecter � partir d'un version ant�rieure de client � un serveur Windows Server 2003.
- Vous installez Windows 2000 Security Rollup Package 1 (SRP1).SRP1 force NTLM version 2 (NTLMv2). Ce package de correctifs a �t� publi� apr�s la publication de Windows 2000 Service Pack 2 (SP2). Pour plus d'informations sur SRP1, cliquez sur le num�ro ci-dessous pour afficher l'article correspondant dans la Base de connaissances Microsoft :
  
  311401
  (http://support.microsoft.com/kb/311401/ )
  Windows 2000 Security Rollup Package 1, janvier 2002
- Windows 7 et Windows Server 2008 R2: de nombreux serveurs CIFS tiers, tels que les serveurs Novell Netware 6 ou Samba bas� sur Linux, ne sont pas en charge NTLMv2 et utilisent NTLM uniquement. Par cons�quent, les niveaux sup�rieurs � � 2 � ne permettent pas de connectivit�. Maintenant dans cette version du syst�me d'exploitation, la valeur par d�faut pour LmCompatibilityLevel a �t� modifi� en � 3 �. Ainsi, lorsque vous mettez � niveau de Windows, ces syst�mes de fichiers tiers peuvent cesser de fonctionner.
- Les clients Microsoft Outlook peuvent �tre invit�s pour les informations d'identification m�me s'ils sont d�j� connect�s au domaine. Lorsque les utilisateurs entrent leurs informations d'identification, ils re�oivent le message d'erreur suivant : Windows 7 et Windows Server 2008 R2
  Les informations d'identification d'ouverture de session fournies sont incorrectes. Assurez-vous que votre nom d'utilisateur et le domaine sont corrects, puis entrez de nouveau votre mot de passe.
  Lorsque vous d�marrez Outlook, vous devrez peut-�tre utiliser vos informations d'identification m�me si votre param�tre de s�curit� de connexion au r�seau est d�fini sur Passthrough ou � l'authentification par mot de passe. Apr�s avoir tap� vos informations d'identification correctes, vous pouvez recevoir le message d'erreur suivant :
  Les informations d'identification fournies sont incorrectes.
  Une trace du Moniteur r�seau peut indiquer que le catalogue global �mis une erreur RPC (appel) de proc�dure distante avec un �tat 0 x 5. Un �tat 0 x 5 signifie � Acc�s refus� �.
- Windows 2000 :Une capture Moniteur r�seau peut afficher les erreurs suivantes dans le NetBIOS sur session de TCP/IP (NetBT) server message block (SMB) :
  Erreur SMB R Search Directory Dos, identificateur d'utilisateur non valide (91) ACCESS_DENIED (109) STATUS_LOGON_FAILURE (5)
- Windows 2000 : Si un domaine Windows 2000 avec NTLMv2 niveau 2 ou version ult�rieure est approuv� par un domaine Windows NT 4.0, les ordinateurs membres Windows 2000 dans la ressource domaine peut rencontrer des erreurs d'authentification.
  
  Pour plus d'informations, cliquez sur le num�ro ci-dessous pour afficher l'article correspondant dans la Base de connaissances Microsoft�:
  305379
  (http://support.microsoft.com/kb/305379/ )
  Probl�mes d'authentification dans Windows 2000 avec des niveaux NTLM 2 sup�rieurs � 2 dans un domaine Windows NT 4.0
- Windows 2000 et Windows XP : Par d�faut, Windows 2000 et Windows XP d�finissent l'option de LAN Manager d'authentification au niveau strat�gie de s�curit� locale sur 0. La valeur 0 signifie � r�ponses Envoyer LM et NTLM �.
  
  Remarque : Windows clusters bas�s sur NT 4.0 doivent utiliser LM pour l'administration.
- Windows 2000 : Gestion de clusters Windows 2000 n'authentifie pas un noeud � joindre si les deux noeuds font partie d'un 6 a Windows NT 4.0 Service Pack domaine (SP6a).
  
  Pour plus d'informations, cliquez sur le num�ro ci-dessous pour afficher l'article correspondant dans la Base de connaissances Microsoft�:
  305379
  (http://support.microsoft.com/kb/305379/ )
  Probl�mes d'authentification dans Windows 2000 avec des niveaux NTLM 2 sup�rieurs � 2 dans un domaine Windows NT 4.0
- L'outil IIS Lockdown (HiSecWeb) d�finit la valeur de LMCompatibilityLevel sur 5 et la valeur RestrictAnonymous � 2.
- Services pour Macintosh
  
  Module d'authentification utilisateur (UAM): Microsoft UAM (Module d'authentification de l'utilisateur) fournit une m�thode de chiffrement des mots de passe que vous utilisez pour vous connecter aux serveurs Windows AFP (AppleTalk Filing Protocol). Apple User Authentication Module (UAM) fournit uniquement un minimum ou aucun chiffrement. Par cons�quent, votre mot de passe peut �tre intercept� facilement sur le r�seau local ou sur Internet. Bien que le module UAM n'est pas obligatoire, il fournit une authentification chiffr�e aux serveurs Windows 2000 qui ex�cutent les Services pour Macintosh. Cette version prend en charge l'authentification chiffr�e NTLMv2 128 bits et une version de 10.1 compatible MacOS X.
  
  Par d�faut, les Services Windows Server 2003 pour le serveur Macintosh autorise uniquement Microsoft Authentication.
  
  Pour plus d'informations, cliquez sur les num�ros ci-dessous pour afficher les articles correspondants de la Base de connaissances Microsoft.
  834498
  (http://support.microsoft.com/kb/834498/ )
  Client Macintosh ne peut pas se connecter aux Services pour Macintosh sur Windows Server 2003
  838331
  (http://support.microsoft.com/kb/838331/ )
  Les utilisateurs de Mac OS X ne peut pas ouvrir les dossiers partag�s Macintosh sur un serveur Windows Server 2003
- Windows Server 2008, Windows Server 2003, Windows XP et Windows 2000 : Si vous configurez la valeur de LMCompatibilityLevel sur 0 ou 1, puis configurez la valeur de NoLMHash sur 1, applications et des composants peuvent �tre refus�s l'acc�s via NTLM. Ce probl�me se produit car l'ordinateur est configur� pour activer LM mais ne pas d'utiliser des mots de passe stock�s par LM.
  
  Si vous configurez la valeur de NoLMHash sur 1, vous devez configurer la valeur de LMCompatibilityLevel 2 ou version ult�rieure.

S�curit� r�seau : conditions de signature de client LDAP
1. Arri�re-plan
  
  La s�curit� r�seau : conditions de signature de client LDAP param�tre d�termine le niveau de signature des donn�es demand� sur compte de clients qui �mettent des acc�s protocole LDAP (Lightweight Directory) BIND demande comme suit :
  - Aucun: la requ�te LDAP BIND est �mise avec l'appelant sp�cifi� Options.
  - N�gocier la signature: si la Secure Sockets Layer/Transport Layer Security (SSL/TLS) n'a pas �t� d�marr�, la requ�te LDAP BIND est initi�e avec les donn�es LDAP option de signature en outre d�finie les options sp�cifi�es par l'appelant. Si SSL/TLS a �t� d�marr�, la requ�te LDAP BIND est initi�e avec l'appelant sp�cifi� Options.
  - Exiger la signature: c'est le m�me que n�gocier la signature. Toutefois, si l'interm�diaire du serveur LDAP saslBindInProgress r�ponse n'indique pas que la signature du trafic LDAP est requise, l'appelant est �chec de la requ�te BIND LDAP signal�.
2. Configuration � risque
  
  L'activation de la s�curit� r�seau : conditions de signature de client LDAP param�tre est un param�tre de configuration nuisible. Si vous d�finissez le serveur pour demander des signatures LDAP, vous devez �galement configurer la signature LDAP sur le client. N'est ne pas configur� le client pour utiliser des signatures LDAP emp�che la communication avec le serveur. Ainsi, l'authentification des utilisateurs, strat�gie de groupe param�tres, les scripts d'ouverture de session et autres fonctionnalit�s � �chouer.
3. Raisons de modifier ce param�tre
  
  Le trafic r�seau non sign� est sensible aux attaques man-in-the-middle o� un intrus intercepte des paquets entre le client et les serveurs, les modifie et puis les transf�re au serveur. Lorsque cela se produit sur un serveur LDAP, un agresseur pourrait obliger le serveur � r�pondre en fonction de fausses requ�tes provenant du client LDAP. Vous pouvez r�duire ce risque dans un r�seau d'entreprise en mettant en ?uvre des mesures de s�curit� physiques fortes pour prot�ger l'infrastructure r�seau. En outre, vous pouvez emp�cher tous les types d'attaques man-in-the-middle en exigeant des signatures num�riques sur tous les paquets r�seau au moyen d'en-t�tes d'authentification IPSec.
4. Nom symbolique :
  
  LDAPClientIntegrity
5. Chemin d'acc�s du Registre :
  HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\LDAP\LDAPClientIntegrity
Journal des �v�nements : Taille maximale du journal de s�curit�
1. Arri�re-plan
  
  Le journal des �v�nements : taille maximale du journal de s�curit� param�tre de s�curit� sp�cifie la taille maximale de l'�v�nement de s�curit� journal. Ce journal a une taille maximale de 4 Go. Pour trouver ce param�tre, d�veloppez Param�tres de Windows, puis d�veloppez S�curit� Param�tres.
2. Configurations � risque
  
  Param�tres de configuration nuisibles sont les suivantes :
  - Limiter la taille du journal de s�curit� et de la s�curit� log, m�thode de conservation lors de la Audit : arr�ter imm�diatement le syst�me s'Impossible de se connecter aux audits de s�curit� param�tre est activ�. Voir le � Audit : arr�ter imm�diatement le syst�me s'Impossible de se connecter aux audits de s�curit� � section de cet article pour plus de d�tails.
  - Limiter la taille du journal de s�curit� ainsi que la s�curit� �v�nements d'int�r�t sont remplac�s.
3. Raisons d'augmenter ce param�tre
  
  Exigences de s�curit� peuvent imposer que vous augmenter la taille du journal de s�curit� pour g�rer le d�tail du journal de s�curit� suppl�mentaires ou � conserver les journaux de s�curit� pour une p�riode plus longue.
4. Raisons de diminuer ce param�tre
  
  Journaux de l'Observateur d'�v�nements sont des fichiers mapp�s en m�moire. La valeur maximale taille d'un journal des �v�nements est limit�e par la quantit� de m�moire physique dans le ordinateur local et par la m�moire virtuelle qui est disponible dans le journal des �v�nements processus. Augmenter la taille du journal au-del� de la quantit� de m�moire virtuelle qui est disponible � l'Observateur d'�v�nements n'augmente pas le nombre d'entr�es de journal sont maintenue.
5. Exemples de probl�mes de compatibilit�
  
  Windows 2000 :Sont des ordinateurs qui ex�cutent des versions de Windows 2000 versions ant�rieures au Service Pack 4 (SP4) peuvent arr�ter l'enregistrement des �v�nements dans le journal des �v�nements avant Atteindre la taille qui est sp�cifi� dans le param�tre taille maximale du journal dans l'Observateur d'�v�nements si l'option ne pas remplacer les �v�nements (nettoyage manuel du journal) est activ�e.
  
  Pour plus d'informations, cliquez sur le num�ro ci-dessous pour afficher l'article correspondant dans la Base de connaissances Microsoft�:
  312571
  (http://support.microsoft.com/kb/312571/ )
  Le journal des �v�nements arr�te l'enregistrement des �v�nements avant d'atteindre la taille maximale du journal
Journal des �v�nements : Conserver le journal de s�curit�
1. Arri�re-plan
  
  Le journal des �v�nements : conserver le journal de s�curit� param�tre de s�curit� d�termine la m�thode de � pr�sentation � du journal de s�curit�. Pour trouver ce param�tre, d�veloppez Param�tres de Windows, puis d�veloppez Param�tres de s�curit�.
2. Configurations � risque
  
  Param�tres de configuration nuisibles sont les suivantes :
  - Incapables de conserver tous les �v�nements de s�curit� avant enregistr�s ils sont remplac�s
  - Configuration de la taille maximale du journal de s�curit� d�finissant trop petite pour que soient les �v�nements de s�curit� �cras�
  - Limiter la taille du journal de s�curit� et de r�tention la m�thode alors que la Audit : arr�ter imm�diatement le syst�me s'Impossible de se connecter aux audits de s�curit� s�curit� est activ�
3. Raisons d'activer ce param�tre
  
  Activer ce param�tre uniquement si vous s�lectionnez la Remplacer les �v�nements par jours m�thode de conservation. Si vous utilisez un syst�me de corr�lation d'�v�nements qui interroge les �v�nements, assurez-vous que le nombre de jours est la fr�quence d'interrogation au moins trois fois. Cela pour permettre � des cycles d'interrogation a �chou�.
Acc�s r�seau : tout le monde les autorisations s'appliquent aux utilisateurs anonymes
1. Arri�re-plan
  
  Par d�faut, le acc�s r�seau : les autorisations vous permettent de tout le monde s'appliquent aux utilisateurs anonymes est d�fini sur Non d�fini sur Windows Server 2003. Par d�faut, Windows Server 2003 n'inclut pas le jeton d'acc�s anonyme dans tout le monde groupe.
2. Exemple des probl�mes de compatibilit�
  
  La valeur suivante de
  HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\LSA\everyoneincludesanonymous
  [REG_DWORD] = 0 x 0 arr�te la cr�ation d'approbation entre Windows Server 2003 et Windows NT 4.0, lorsque le domaine Windows Server 2003 est le domaine de compte et le domaine Windows NT 4.0 est le domaine de ressources. Cela signifie que le domaine de compte est approuv� sur Windows NT 4.0 et le domaine de ressources est faible sur le c�t� de Windows Server 2003. Ce probl�me se produit car le processus de d�marrage de l'approbation apr�s la connexion anonyme initiale ACL serait avec le jeton qui inclut le SID anonyme sur Windows NT 4.0 tout le monde.
3. Raisons de modifier ce param�tre
  
  La valeur doit d�finir sur 0 x 1 ou d�finie � l'aide d'un objet de strat�gie de groupe sur unit� d'organisation du contr�leur de domaine pour �tre : acc�s r�seau : les autorisations vous permettent de tout le monde s'appliquent aux utilisateurs anonymes - activ�s pour rendre les cr�ations d'approbation possible.
  
  Remarque : La plupart des autres param�tres de s�curit� augmentent en valeur et non � 0 x 0 dans leur �tat le plus s�r. Une pratique plus s�curis�e consisterait � modifier le Registre sur l'�mulateur du contr�leur principal de domaine � la place de tous les contr�leurs de domaine. Si le r�le d'�mulateur de contr�leur principal de domaine est d�plac� pour une raison quelconque, le Registre doit �tre mis � jour sur le nouveau serveur.
  
  Un red�marrage est n�cessaire apr�s que cette valeur est d�finie.
4. Chemin d'acc�s du Registre
  HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\LSA\everyoneincludesanonymous
Authentification NTLMv2

S�curit� de session

La s�curit� de session d�termine les normes minimales de s�curit� pour les sessions client et serveur. Il est conseill� de v�rifier les param�tres de strat�gie de s�curit� suivant dans le composant logiciel enfichable �diteur de strat�gie de groupe de la Console MMC :
- Configuration ordinateur\Param�tres Windows\Param�tres de s�curit�\Strat�gies Locales\options de s�curit�
- La s�curit� du r�seau : S�curit� de session minimale pour les serveurs bas�s sur NTLM SSP (y compris RPC s�curis�)
- La s�curit� du r�seau : S�curit� de session minimale pour les clients bas�s sur NTLM SSP (y compris RPC s�curis�)
Les options de ces param�tres sont les suivants :
- Exiger l'int�grit� des messages
- Exiger la confidentialit� des messages
- Exiger de NTLM version 2 la s�curit� de session
- Exiger le cryptage 128 bits
Le param�tre par d�faut n'est aucune exigence.

Ces strat�gies d�terminent les normes minimales de s�curit� pour une session de communications d'application � application sur un serveur pour un client.

Historiquement, Windows NT prend en charge deux variantes d'authentification stimulation/r�ponse pour les ouvertures de session r�seau :
- Stimulation/r�ponse LM
- Stimulation/r�ponse NTLM version 1
LM permet une interop�rabilit� avec la base install�e de clients et serveurs. NTLM offre une s�curit� accrue pour les connexions entre clients et serveurs.

Les cl�s de Registre correspondantes sont comme suit :
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\MSV1_0\"NtlmMinServerSec"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\MSV1_0\"NtlmMinClientSec"

Synchronisation de l'heure

�chec de la synchronisation de l'heure. L'heure est d�cal�e de plus de 30 minutes sur un ordinateur affect�. Assurez-vous que l'horloge de l'ordinateur client est synchronis�e avec l'horloge du contr�leur de domaine.

Solution de contournement pour la signature SMB

Cliquez ici pour plus d'informations sur la fa�on de contourner des probl�mes de signature SMB

Nous vous conseillons d'installer Service Pack 6 a (SP6a) sur les clients Windows NT 4.0 qui interagissent dans un domaine Windows Server 2003. Clients bas�s sur Windows 98 Deuxi�me �dition, Windows 98, des clients et des clients Windows 95 doivent ex�cuter le Client Service d'annuaire pour effectuer l'authentification NTLMv2. Si les clients Windows NT 4.0 n'ont pas install� Windows NT 4.0 SP6 ou si des clients Windows 95, les clients bas�s sur Windows 98 et Windows 98SE bas�s sur les clients effectuent pas le Client Service d'annuaire install�, d�sactiver la signature SMB dans la strat�gie du contr�leur de domaine par d�faut sur l'unit� d'organisation du contr�leur de domaine et puis lier cette strat�gie � toutes les unit�s d'organisation qui h�bergent des contr�leurs de domaine.

Le Directory Services Client pour Windows 98 Deuxi�me �dition, Windows 98 et Windows 95 effectue la signature SMB avec les serveurs Windows 2003 l'authentification NTLM, mais pas l'authentification NTLMv2. En outre, les serveurs Windows 2000 r�pondra pas aux demandes de signature SMB de ces clients.

Bien que nous ne le recommandons pas, vous pouvez emp�cher la signature SMB est obligatoire sur tous les contr�leurs de domaine qui ex�cutent Windows Server 2003 dans un domaine. Pour configurer ce param�tre de s�curit�, proc�dez comme suit :

Ouvrez la strat�gie du contr�leur de domaine par d�faut.
Ouvrez le dossier Configuration ordinateur\Param�tres Windows\Param�tres de s�curit�\Strat�gies Locales\options de s�curit� .
Recherchez, puis cliquez sur le serveur r�seau Microsoft : communications sign�es num�riquement (toujours) param�tre de strat�gie, puis cliquez sur d�sactiv�.

Important : Cette section, la m�thode ou la t�che qui va suivre contient des �tapes qui vous indiquent la m�thode pour modifier le Registre de Windows. Toutefois, des probl�mes s�rieux peuvent survenir si vous modifiez le Registre de fa�on incorrecte. Par cons�quent, assurez-vous de suivre ces �tapes avec une attention toute particuli�re. Afin de couvrir votre syst�me d'une protection suppl�mentaire, veuillez sauvegarder le Registre avant d'intervenir pour y apporter des modifications. Ainsi, si � la suite des modifications un probl�me devait survenir, vous pourrez toujours restaurer le Registre. Pour obtenir des informations sur la marche � suivre pour sauvegarder ou restaurer la Base de Registre, cliquez sur le lien (num�ro) ci-dessous et afficher l'article correspondant dans la Base de connaissances Microsoft :

322756

(http://support.microsoft.com/kb/322756/ )

Comment sauvegarder et restaurer le Registre dans Windows

Vous pouvez �galement d�sactiver la signature SMB sur le serveur en modifiant le Registre. Pour ce faire, proc�dez comme suit :

Cliquez sur D�marrer, cliquez sur Ex�cuter, type Regedit, puis cliquez sur OK.
Recherchez et puis cliquez sur la sous-cl� suivante :
HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\Lanmanserver\Parameters
Cliquez sur le EnableSecuritySignature entr�e.
Sur la Modifier menu, cliquez sur Modifier.
Dans le Donn�es de la valeur zone, tapez 0, puis cliquez sur OK.
Quittez l'�diteur du Registre.
Red�marrez l'ordinateur, ou arr�ter et puis red�marrez le service serveur. Pour ce faire, tapez les commandes suivantes � une invite de commande et appuyez sur ENTR�E apr�s chaque commande :
net stop server
Net start server

Remarque : La cl� correspondante sur l'ordinateur client est dans la sous-cl� de Registre suivante :

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Lanmanworkstation\Parameters

Voici les num�ros de code d'erreur traduit pour les codes d'�tat et les messages d'erreur textuel mentionn�s plus haut :

erreur 5
ERROR_ACCESS_DENIED
Acc�s refus�.

erreur 1326
ERROR_LOGON_FAILURE
�chec de la connexion : nom d'utilisateur inconnu ou mauvais mot de passe.

erreur 1788
ERROR_TRUSTED_DOMAIN_FAILURE
La relation d'approbation entre le domaine principal et le domaine approuv� a �chou�.

erreur 1789
ERROR_TRUSTED_RELATIONSHIP_FAILURE
La relation d'approbation entre cette station de travail et le domaine principal a �chou�.

Pour plus d'informations, cliquez sur les num�ros ci-dessous pour afficher les articles correspondants de la Base de connaissances Microsoft.

324802

(http://support.microsoft.com/kb/324802/ )

Comment faire pour configurer des strat�gies de groupe pour d�finir la s�curit� pour les services syst�me dans Windows Server 2003

306771

(http://support.microsoft.com/kb/306771/ )

Message d'erreur � Acc�s refus� � lorsque vous configurez un cluster Windows Server 2003

101747

(http://support.microsoft.com/kb/101747/ )

Comment faire pour installer l'authentification Microsoft sur un ordinateur Macintosh

161372

(http://support.microsoft.com/kb/161372/ )

Comment faire pour activer la signature SMB dans Windows NT

236414

(http://support.microsoft.com/kb/236414/ )

Impossible d'utiliser des partages lorsque LMCompatibilityLevel est d�fini sur authentification NTLM 2 uniquement

241338

(http://support.microsoft.com/kb/241338/ )

Client Windows NT LAN Manager version 3 avec la premi�re ouverture de session emp�che toute activit� de l'ouverture de session ult�rieures

262890

(http://support.microsoft.com/kb/262890/ )

Impossible d'obtenir la connexion de lecteur de r�pertoire de base dans un environnement mixte

308580

(http://support.microsoft.com/kb/308580/ )

Mappages de dossier de base � des serveurs de bas niveau peut ne pas fonctionnent lors de l'ouverture de session

285901

(http://support.microsoft.com/kb/285901/ )

Acc�s � distance, VPN et RIS clients ne peut pas �tablir de session avec un serveur est configur� pour accepter uniquement l'authentification NTLM version 2

816585

(http://support.microsoft.com/kb/816585/ )

Comment appliquer des mod�les de s�curit� pr�d�finis dans Windows Server 2003

820281

(http://support.microsoft.com/kb/820281/ )

Vous devez fournir des informations d'identification du compte Windows lorsque vous vous connectez � Exchange Server 2003 � l'aide de la RPC d'Outlook 2003 sur la fonctionnalit� HTTP

Retour au d�but | Envoyer des commentaires

Propri�t�s

Num�ro d'article: 823659 - Derni�re mise � jour: jeudi 21 mars 2013 - Version: 28.0

Les informations contenues dans cet article s'appliquent au(x) produit(s) suivant(s):

Microsoft Windows Server 2003, Standard Edition (32-bit x86)
Microsoft Windows Server 2003, Datacenter Edition (32-bit x86)
Microsoft Windows Server 2003, Enterprise Edition (32-bit x86)
Microsoft Windows Server 2003, Enterprise x64 Edition
Microsoft Windows XP Professional
Microsoft Windows 2000 Server
Microsoft Windows 2000 Advanced Server
Microsoft Windows 2000 Professionnel
Microsoft Windows NT Server 4.0 Standard Edition
Microsoft Windows NT Workstation 4.0 �dition D�veloppeur
Microsoft Windows 98 Standard Edition
Microsoft Windows 95

kbinfo kbmt KB823659 KbMtfr

Traduction automatique

IMPORTANT : Cet article est issu du syst�me de traduction automatique mis au point par Microsoft (http://support.microsoft.com/gp/mtdetails). Un certain nombre d?articles obtenus par traduction automatique sont en effet mis � votre disposition en compl�ment des articles traduits en langue fran�aise par des traducteurs professionnels. Cela vous permet d?avoir acc�s, dans votre propre langue, � l?ensemble des articles de la base de connaissances r�dig�s originellement en langue anglaise. Les articles traduits automatiquement ne sont pas toujours parfaits et peuvent comporter des erreurs de vocabulaire, de syntaxe ou de grammaire (probablement semblables aux erreurs que ferait une personne �trang�re s?exprimant dans votre langue !). N�anmoins, mis � part ces imperfections, ces articles devraient suffire � vous orienter et � vous aider � r�soudre votre probl�me. Microsoft s?efforce aussi continuellement de faire �voluer son syst�me de traduction automatique.

La version anglaise de cet article est la suivante: 823659

(http://support.microsoft.com/kb/823659/en-us/ )

L'INFORMATION CONTENUE DANS CE DOCUMENT EST FOURNIE PAR MICROSOFT SANS GARANTIE D'AUCUNE SORTE, EXPLICITE OU IMPLICITE. L'UTILISATEUR ASSUME LE RISQUE DE L'UTILISATION DU CONTENU DE CE DOCUMENT. CE DOCUMENT NE PEUT ETRE REVENDU OU CEDE EN ECHANGE D'UN QUELCONQUE PROFIT.

Retour au d�but | Envoyer des commentaires

Envoyer des commentaires

Retour au d�but

Select the product you need help with

Client, les services et les probl�mes de programmes peuvent se produire si vous modifiez les param�tres de s�curit� et des attributions de droits utilisateur

Si vous �tes un client de Small Business, trouver des ressources p�dagogiques et de d�pannage suppl�mentaires le Prise en charge pour les petites entreprises
(http://smallbusiness.support.microsoft.com)
.

Sommaire

R�sum�

Windows XP

Windows Server 2003 SP1

Avertissements dans Gpedit.msc

Plus d'informations

Droits d'utilisateur

Param�tres de s�curit�

Synchronisation de l'heure

Solution de contournement pour la signature SMB

Propri�t�s

Les informations contenues dans cet article s'appliquent au(x) produit(s) suivant(s):

Mots-cl�s :�

Envoyer des commentaires

Traductions disponibles

Select the product you need help with

Client, les services et les probl�mes de programmes peuvent se produire si vous modifiez les param�tres de s�curit� et des attributions de droits utilisateur

Si vous �tes un client de Small Business, trouver des ressources p�dagogiques et de d�pannage suppl�mentaires le Prise en charge pour les petites entreprises (http://smallbusiness.support.microsoft.com) .

Sommaire

R�sum�

Windows XP

Windows Server 2003 SP1

Avertissements dans Gpedit.msc

Plus d'informations

Droits d'utilisateur

Param�tres de s�curit�

Synchronisation de l'heure

Solution de contournement pour la signature SMB

Propri�t�s

Les informations contenues dans cet article s'appliquent au(x) produit(s) suivant(s):

Mots-cl�s :�

Envoyer des commentaires

Traductions disponibles

Si vous �tes un client de Small Business, trouver des ressources p�dagogiques et de d�pannage suppl�mentaires le Prise en charge pour les petites entreprises
(http://smallbusiness.support.microsoft.com)
.