Glossaire
Remote Credential Guard
Mode RDP qui renvoie les requêtes Kerberos vers le client, de sorte que les identifiants de l'utilisateur ne sont jamais envoyés ni stockés sur l'hôte distant.
Remote Credential Guard protège les identifiants utilisés via le Bureau à distance. Dans une session RDP classique avec authentification au niveau du réseau (NLA), le client délègue les identifiants de l'utilisateur au serveur pour que l'authentification unique fonctionne dans la session, ce qui laisse des secrets réutilisables sur la machine distante. Avec Remote Credential Guard, le serveur ne les reçoit jamais : les requêtes Kerberos émises dans la session sont renvoyées vers l'appareil client, qui les exécute. L'utilisateur conserve l'authentification unique vers les ressources réseau, mais un serveur compromis ne peut pas extraire le mot de passe ni les clés à long terme. Le mécanisme repose sur Kerberos : il ne fonctionne pas lorsqu'une connexion se replie sur NTLM ou vise une adresse IP. Il se lance avec mstsc /remoteGuard ou s'impose par stratégie.
Il diffère du mode Restricted Admin, qui ouvre la session avec l'identité propre du serveur et n'offre aucune authentification unique réseau. Sur les hôtes cibles, autorisez les deux modes en fixant DisableRestrictedAdmin à 0 sous la clé de registre LSA et, sur les postes d'administration, utilisez la stratégie « Restreindre la délégation d'informations d'identification aux serveurs distants » pour exiger l'un des deux.
Voir RDP sans exposer d'identifiants : RCG et Restricted Admin et Durcir le Bureau à distance (RDP) sous Windows.