Sur quelques parcs Windows, des utilisateurs disposent encore de droits d’administrateur local, par confort ou par contrainte applicative. Le problème est connu : un compte administrateur qui tourne en permanence avec un jeton élevé est une cible de choix pour les malwares, et une simple erreur de manipulation peut modifier le système en profondeur.
Administrator Protection est la réponse de Microsoft à ce problème dans Windows 11. Le principe : même si l’utilisateur est membre du groupe local Administrateurs, il travaille au quotidien avec des droits limités, et n’obtient des privilèges élevés que ponctuellement, après une approbation interactive.
Cette fonctionnalité a longtemps été réservée aux builds Windows Insider. Elle est aujourd’hui annoncée comme généralement disponible. Microsoft l’a même incluse dans la mise à jour de la baseline de sécurité Windows 11 26H2.
Cet article explique comment elle fonctionne, comment la configurer avec Intune, comment la valider et, surtout, quels pièges anticiper avant un déploiement.
Comment fonctionne Administrator Protection
Un jeton d’utilisateur standard par défaut
À l’ouverture de session, Windows remet à l’utilisateur un jeton sans privilèges, y compris s’il appartient au groupe Administrateurs. Le fonctionnement repose donc sur le principe du moindre privilège.
Une élévation à la demande, via un compte caché
Lorsqu’une action nécessite des droits d’administrateur, Windows demande à l’utilisateur de l’autoriser.
Une fois l’opération approuvée, Windows s’appuie sur un compte système caché, doté de son propre profil séparé, pour créer un jeton administrateur isolé. Ce jeton est attribué au processus demandeur et détruit à la fin du processus : les privilèges ne persistent jamais, et l’opération est à répéter pour chaque nouvelle tâche élevée.
Ce compte caché est facile à repérer :
- son nom commence par
ADMIN_; - il est ajouté au groupe Administrateurs ;
- il dispose de son propre profil.
Pour visualiser la différence, il suffit d’ouvrir un Terminal normal et d’exécuter whoami, puis d’ouvrir un Terminal avec « Exécuter en tant qu’administrateur » et de relancer whoami : les deux identités (et les dossiers de démarrage) sont différentes.
Avant :
Après :
Ce que cela change concrètement
- Plus d’élévation silencieuse : chaque élévation exige une approbation interactive.
- Isolation : la session élevée tourne dans un profil distinct, ce qui complique l’accès à un malware présent dans le contexte utilisateur.
- Intégration à Windows Hello pour l’autorisation.
- Moins d’erreurs : l’utilisateur doit consentir explicitement avant toute modification de niveau système.
Microsoft ne la présente pas comme une frontière de sécurité : il s’agit d’une fonctionnalité de durcissement (hardening). Elle réduit la surface d’attaque, elle ne remplace ni le retrait des droits administrateur locaux, ni les autres couches de protection.
Prérequis et périmètre
Côté appareils
- Windows 11 24H2 ou 25H2 avec la mise à jour KB5120998 (ou une mise à jour ultérieure), ou Windows 11 26H2, où la fonctionnalité est incluse par défaut mais non activée.
- Vérifier le niveau de correctifs avant le déploiement : Microsoft documente notamment des correctifs dans KB5124010 (icônes d’applications manquantes dans le menu Démarrer, extensions Edge demandant une élévation à tort).
- Un compte de test membre du groupe local Administrateurs et un appareil pilote. Ne démarrez pas sur un groupe de production.
Administrator Protection n’est pas disponible avec :
- les Windows 365 Cloud PC
- les hôtes de session Azure Virtual Desktop
- Windows Server (non pris en charge)
La fonctionnalité est désactivée par défaut tant qu’une stratégie ne l’active pas.
Configurer Administrator Protection avec Intune
Deux paramètres entrent en jeu, tous deux dans la catégorie Local Policies Security Options :
| Paramètre (catalogue de paramètres) | Valeur | Rôle |
|---|---|---|
| User Account Control Type Of Admin Approval Mode | Admin Approval Mode with Administrator protection | Active la fonctionnalité |
| User Account Control Behavior Of The Elevation Prompt For Administrator Protection | Prompt for credentials on the secure desktop | Définit le comportement de l’invite d’élévation |
Pour le second paramètre, l’invite peut demander des informations d’identification ou un simple consentement, l’option « informations d’identification » étant celle recommandée car plus sécurisée.
Comment paramétrer Administrator Protection via les Settings Catalog :
- Dans le centre d’administration Intune, allez dans Devices > Windows > Configuration
- Cliquez sur Create > New Policy.
- Choisissez la plateforme Windows 10 and later et le type de profil Settings Catalog.
- Donnez un nom explicite en fonction de votre politique de nommage, par exemple Windows – Administrator Protection – Pilote.
- Dans Add settings, cherchez la catégorie Local Policies Security Options et ajoutez les deux paramètres ci-dessus avec les valeurs indiquées.
- Configurez les scope tags si nécessaire.
- Affectez le profil à un groupe pilote restreint (utilisateurs ou appareils).
- Vérifiez la configuration dans Review + Create, puis créez le profil.
Redémarrage obligatoire : la fonctionnalité n’est effective qu’après un redémarrage de l’appareil.
Valider le déploiement côté client
- Synchroniser puis redémarrer. Forcez une synchronisation depuis Paramètres > Comptes > Accès Professionnel ou Scolaire > Informations, puis redémarrez. Une synchronisation réussie ne prouve pas que les paramètres sont appliqués : consultez dans Intune l’état du profil et des paramètres (succès, erreur ou conflit).
- Identifier la méthode d’authentification. L’invite s’intègre à Windows Hello et peut demander un mot de passe, un code PIN ou une authentification biométrique selon ce dont dispose l’utilisateur.
- Déclencher une élévation. Ouvrez Terminal, choisissez Exécuter en tant qu’administrateur : l’invite doit apparaître sur le bureau sécurisé et demander les informations d’identification. Après approbation, la fenêtre élevée s’ouvre ; à sa fermeture, le jeton élevé est détruit.
- Comparer les identités avec
whoamidans les deux contextes, et repérer le compteADMIN_dans le groupe Administrateurs et dans les profils.
Avant l’activation, un utilisateur administrateur local lançait sans friction des outils comme Gestion de l’ordinateur ; après activation avec invite d’informations d’identification, il doit s’authentifier pour démarrer l’opération élevée.
Impacts à connaître avant un déploiement élargi
Activer la fonctionnalité est simple ; le vrai travail est la recette applicative. Les effets de bord listés par Microsoft :
- Séparation des profils : les paramètres d’une application ne sont pas partagés entre le profil normal et le profil élevé. N’élevez que les applications réellement nécessaires.
- Pas de SSO dans les sessions élevées : l’authentification au domaine ou au cloud doit être refaite dans l’application élevée.
Cohabitation avec Intune Endpoint Privilege Management (EPM)
Administrator Protection et EPM répondent à des besoins différents, mais ils peuvent mal cohabiter.
Ne les activez pas ensemble sur un même appareil sans validation préalable.
Plan de déploiement recommandé
Les étapes suivantes synthétisent les conseils des deux articles :
- Inventaire : vérifier les baselines et stratégies UAC existantes, ainsi que la présence d’EPM.
- Niveau de correctifs : s’assurer de KB5120998 ou ultérieur, et de KB5124010 si vous êtes concerné par les anomalies citées.
- Pilote réduit : un petit groupe représentatif (dont des profils techniques), avec un profil Intune dédié.
- Recette applicative : tenir la liste des applications qui posent problème (profils, lecteurs réseau, SSO, outils de développement).
- Supervision : surveiller les événements 15031 et 15032
- Communication : informer les utilisateurs de la nouvelle invite et de la méthode d’authentification qu’ils verront.
- Généralisation progressive par vagues, en excluant les périmètres non pris en charge (Cloud PC, AVD….)
Conclusion
Administrator Protection apporte à Windows 11 une élévation de privilèges juste-à-temps, authentifiée et isolée, qui ramène par défaut l’utilisateur au moindre privilège. Intune permet de l’activer en quelques minutes avec deux paramètres, mais le succès du déploiement dépend de la préparation : pilote, recette applicative… Considérez-la comme une couche de durcissement complémentaire, et non comme un substitut à une politique de retrait des droits d’administrateur local.