Les ordinateurs joints au domaine nécessitent une ouverture de session sécurisée (Ctrl+Alt+Suppr)
Oui. Quand un ordinateur Windows est joint à un domaine Active Directory, l'ouverture de session sécurisée (Ctrl+Alt+Suppr) est imposée par défaut via Stratégie de groupe. Cette exigence ne peut pas être désactivée par les utilisateurs standards et sert un but de sécurité critique.
Ce que fait l'ouverture de session sécurisée
- Chemin de confiance : Ctrl+Alt+Suppr est une interruption non masquable (NMI) gérée directement par le noyau Windows — aucune application en mode utilisateur ne peut l'intercepter ou la simuler.
- Prévient vol identifiants : Les malwares ne peuvent pas présenter un faux écran de connexion pour voler mots de passe car ils ne peuvent pas piéger la séquence d'attention sécurisée (SAS).
- Authentification domaine : Les identifiants sont validés contre un contrôleur de domaine (Kerberos/NTLM), pas le SAM local.
Réglage Stratégie de groupe
Configuration ordinateur → Paramètres Windows → Paramètres sécurité → Stratégies locales → Options sécurité → « Ouverture de session interactive : Ne pas exiger CTRL+ALT+SUPPR » = Désactivé (défaut sur membres domaine).
Différence Poste de travail (Non-domaine)
Sur machines autonomes/groupe de travail, ce réglage défaut à Activé (ouverture sécurisée non requise), permettant accès direct écran connexion. Administrateurs peuvent l'activer via même stratégie ou netplwiz → onglet Avancé.
Exceptions & Notes
- Modes kiosque / accès assigné peuvent contourner via shells personnalisés.
- Bureau à distance (RDP) utilise son propre canal sécurisé (CredSSP/TLS) ; SAS s'applique côté client.
- Windows Hello (biométrique/PIN) remplace saisie mot de passe mais nécessite toujours initiation SAS sur appareils joints domaine sauf config autrement.
En bref : appartenance domaine ⇒ Ctrl+Alt+Suppr obligatoire. C'est une défense fondamentale contre usurpation connexion.