Deshabilitar Credential Guard en Windows 11 y verificar que esté desactivado.

Credential Guard aísla los datos confidenciales de inicio de sesión, como los hashes de contraseñas NTLM y los tickets Kerberos, dentro de un contenedor de seguridad basado en virtualización (VBS), protegiéndolos incluso de los administradores locales. Si bien esta protección es importante, puede interrumpir algunas tareas cotidianas en Windows 11. Para desactivarla, es necesario deshabilitar VBS , borrar dos marcas del registro y, en sistemas con UEFI, confirmar el cambio durante el arranque.

Respuesta rápida: colocar Turn On Virtualization Based Security على Desactivado En la Directiva de grupo, configure ambos valores de registro. LsaCfgFlags على 0Luego, reinicie el dispositivo. Si el bloqueo UEFI está activo, ejecute la entrada de arranque SecConfig.efi y presione F3 Al iniciar, para confirmar.

---

¿Por qué debería desactivarse Credential Guard?

Credential Guard se habilita automáticamente en dispositivos compatibles con Windows 11 22H2 o posterior en las ediciones Enterprise o Education, y algunos componentes también están disponibles en la edición Pro. Los dispositivos requieren un TPM 1.2 o 2.0, arranque seguro, una CPU de 64 bits con SLAT y un hipervisor Hyper-V. Una vez habilitado, bloquea muchos flujos de trabajo comunes.

¿Qué es lo que no funciona correctamente?	Razón
Guardar contraseñas de RDP	Las credenciales reutilizables no se almacenan al usar la autenticación NTLM.
VMware Workstation/VirtualBox	Las máquinas virtuales (VM) de terceros fallan con el error "Device/Credential Guard no son compatibles".
Inicia sesión en Wi-Fi y VPN.	Los protocolos MSCHAPv2, incluidos PEAP-MSCHAPv2 y EAP-MSCHAPv2, dejan de autenticarse.
Autenticación antigua	Las aplicaciones que dependen de NTLMv1 o de la delegación Kerberos sin restricciones dejarán de funcionar.
Servicios de escritorio remoto (SSO)	El inicio de sesión único falla en el host RDS.

Nota: No se recomienda ejecutar Credential Guard en los controladores de dominio , ya que no aporta ninguna ventaja de seguridad y puede causar problemas de compatibilidad con software de terceros.

---

Cómo comprobar el estado de Credential Guard en Windows 11

Antes de realizar cualquier cambio, es fundamental comprobar el estado actual de Credential Guard en Windows 11 mediante una ventana de PowerShell con privilegios de administrador. Este comando muestra una lista de los servicios de seguridad activos en el sistema.

(Get-CimInstance -ClassName Win32_DeviceGuard -Namespace rootMicrosoftWindowsDeviceGuard).SecurityServicesRunning

El valor indica 1 Hasta que Credential Guard esté habilitado, el valor significa 0 En realidad no está activado.

---

Deshabilitar Credential Guard mediante directivas de grupo y el Editor del Registro.

Este método es la forma estándar de deshabilitar Credential Guard en sistemas sin bloqueo UEFI. Este proceso deshabilita VBS y borra los indicadores de configuración LSA que mantienen habilitado el aislamiento de credenciales.

1. Pulsa mis dos teclas Win + R, luego escriba gpedit.mscy abierto Editor de directivas de grupo local (Editor de directivas de grupo local). Navegue a la siguiente ruta: Configuración del equipo → Plantillas administrativas → Sistema → Device Guard.

2. Haga doble clic Turn On Virtualization Based Security y configúralo en DesactivadoSi el estado actual es "No configurado", cámbielo explícitamente a "Deshabilitado" para aplicar la política y, a continuación, haga clic en Aceptar.

3. Abra el símbolo del sistema con privilegios de administrador y elimine las dos banderas de configuración de LSA estableciendo sus valores REG_DWORD en 0.

reg add HKLMSYSTEMCurrentControlSetControlLsa /f /v LsaCfgFlags /t REG_DWORD /d 0
reg add HKLMSOFTWAREPoliciesMicrosoftWindowsDeviceGuard /f /v LsaCfgFlags /t REG_DWORD /d 0

4. Reinicie su computadora. Este paso desactiva Credential Guard en los dispositivos donde la función de bloqueo UEFI no protege la configuración del firmware en Windows 11.

Consejo: También puede configurar EnableVirtualizationBasedSecurity A 0 dentro de HKLMSYSTEMCurrentControlSetControlDeviceGuard Para forzar el cierre de VBS, asegúrese de hacer una copia de seguridad del registro antes de modificarlo.

---

Cómo eliminar Credential Guard cuando el bloqueo UEFI está habilitado

Si un bloqueo UEFI protege el firmware de modificaciones de software, los ajustes del registro por sí solos no son suficientes. Deberá configurar una entrada de arranque temporal que se ejecute con el aislamiento de credenciales deshabilitado y, a continuación, confirmar el cambio en la consola durante el proceso de arranque.

1. Abra el Símbolo del sistema como administrador. Monte la partición del sistema EFI, copie la herramienta SecConfig.efi en ella y, a continuación, cree una entrada de gestor de arranque temporal.

mountvol X: /s
copy %WINDIR%System32SecConfig.efi X:EFIMicrosoftBootSecConfig.efi /Y
bcdedit /create {0cb3b571-2f2e-4343-a879-d86a476d7215} /d "DebugTool" /application osloader
bcdedit /set {0cb3b571-2f2e-4343-a879-d86a476d7215} path "EFIMicrosoftBootSecConfig.efi"
bcdedit /set {bootmgr} bootsequence {0cb3b571-2f2e-4343-a879-d86a476d7215}
bcdedit /set {0cb3b571-2f2e-4343-a879-d86a476d7215} loadoptions DISABLE-LSA-ISO
bcdedit /set {0cb3b571-2f2e-4343-a879-d86a476d7215} device partition=X:
mountvol X: /d

2. Reinicie su computadora. Al inicio del proceso de arranque, la herramienta de exclusión voluntaria de Credential Guard le preguntará si desea deshabilitar Credential Guard.

3. Pulse F3 en unos segundos para confirmar. Si no responde en el tiempo especificado, se cancelará el cambio del gestor de arranque y Credential Guard permanecerá activado.

Para desactivar la seguridad basada en virtualización a través del mismo puerto, puede ampliar las opciones de carga y deshabilitar el tipo de arranque VSM antes de reiniciar el dispositivo.

bcdedit /set {0cb3b571-2f2e-4343-a879-d86a476d7215} loadoptions DISABLE-LSA-ISO,DISABLE-VBS
bcdedit /set vsmlaunchtype off

---

Utilice las herramientas de preparación Device Guard y Credential Guard.

Microsoft publica un script de PowerShell que permite informar sobre estas funciones y activarlas o desactivarlas en los dispositivos compatibles. Esta es una alternativa práctica a la modificación manual del gestor de arranque.

1. Descargar dgreadiness_v3.6.zip Desde la página oficial de Herramientas de preparación para Device Guard y Credential Guard Extraiga el archivo a una carpeta local y, a continuación, acceda a ese directorio.

cd C:PSdgreadiness_v3.6

2. Si la ejecución del script está bloqueada, permita solo los scripts firmados para la sesión actual.

Set-ExecutionPolicy -Scope Process RemoteSigned

3. Compruebe las funciones de seguridad activas de Defender y, a continuación, ejecute el comando de desactivación dirigido a Credential Guard.

DG_Readiness_Tool_v3.6.ps1 -Ready
DG_Readiness_Tool_v3.6.ps1 -Disable -CG

4. Reinicie su computadora y presione F3 durante el arranque para confirmar el cambio.

---

Confirmación de la desactivación exitosa de Credential Guard

Después de reiniciar, ejecute el mismo escaneo de PowerShell nuevamente. Cuando muestre el valor 0Esto significa que Credential Guard ya no funciona. También puede comprobar el resultado práctico abriendo mstsc.exeIntroduzca la dirección del servidor y asegúrese de que la opción "Permitirme guardar credenciales" esté almacenando la contraseña.

Si el valor sigue siendo 1, los Causas más comunes Por lo tanto, lo mejor es omitir la confirmación F3 durante el arranque, dejar la configuración de la Directiva de grupo en "No configurado" en lugar de "Deshabilitado", o mantener habilitada la opción Credential Guard a nivel de firmware. En BIOS/UEFIEn los dispositivos que ofrecen seguridad basada en virtualización o Credential Guard directamente en el firmware, configure estas opciones en "Deshabilitado" y reinicie. Cuando no Características de virtualización Al igual que con Hyper-V, eliminar la plataforma del hipervisor elimina la última dependencia de la que depende VBS.