VMware Workstation e Device / Credential Guard non sono compatibili

Ho eseguito VMware nell'ultimo anno senza problemi, oggi l'ho aperto per avviare una delle mie VM e ho ricevuto un messaggio di errore, vedi screenshot.

Ho seguito il collegamento e ho seguito i passaggi, al passaggio 4 ho bisogno di montare un volume usando "mountvol". quando provo a montare un volume usandolo mountvol X: \\?\Volume{5593b5bd-0000-0000-0000-c0f373000000}\continua a dire che The directory is not empty.ho persino creato una partizione con 2 GB e ancora lo stesso messaggio.

Le mie domande:

Come posso montare il volume che non è vuoto anche se lo è?

Perché questo dispositivo / protezione delle credenziali si è abilitato automaticamente e come posso eliminarlo o disabilitarlo.

CMD:

Device / Credential Guard è una macchina virtuale / modalità protetta virtuale basata su Hyper-V che ospita un kernel sicuro per rendere Windows 10 molto più sicuro.

... l'istanza VSM è separata dalle normali funzioni del sistema operativo ed è protetta dai tentativi di lettura delle informazioni in quella modalità. Le protezioni sono assistite dall'hardware, poiché l'hypervisor richiede all'hardware di trattare le pagine di memoria in modo diverso. Questo è lo stesso modo in cui due macchine virtuali sullo stesso host non possono interagire tra loro; la loro memoria è indipendente e regolata dall'hardware per garantire che ogni VM possa accedere solo ai propri dati.

Da qui, ora abbiamo una modalità protetta in cui possiamo eseguire operazioni sensibili alla sicurezza. Al momento della scrittura, supportiamo tre funzionalità che possono risiedere qui: la Local Security Authority (LSA) e le funzioni di controllo dell'integrità del codice sotto forma di Kernel Mode Code Integrity (KMCI) e il controllo dell'integrità del codice dell'hypervisor stesso, chiamato Integrità del codice hypervisor (HVCI).

Quando queste funzionalità vengono gestite dai Trustlet in VSM, il sistema operativo host comunica semplicemente con loro tramite canali e funzionalità standard all'interno del sistema operativo. Sebbene questa comunicazione specifica per Trustlet sia consentita, il tentativo di leggere o manipolare i dati in VSM da parte di utenti o codici dannosi nel sistema operativo host sarà notevolmente più difficile rispetto a un sistema senza questa configurazione, fornendo il vantaggio di sicurezza.

L'esecuzione di LSA in VSM fa sì che il processo LSA stesso (LSASS) rimanga nel sistema operativo host e viene creata un'istanza speciale aggiuntiva di LSA (chiamata LSAIso, che sta per LSA Isolated). Questo per consentire a tutte le chiamate standard a LSA di avere successo, offrendo un'eccellente compatibilità con le versioni precedenti e precedenti, anche per i servizi o le funzionalità che richiedono la comunicazione diretta con LSA. A questo proposito, puoi pensare all'istanza LSA rimanente nel sistema operativo host come a un'istanza "proxy" o "stub" che comunica semplicemente con la versione isolata nei modi prescritti.

E Hyper-V e VMware non hanno funzionato contemporaneamente fino al 2020 , quando VMware ha utilizzato la piattaforma Hyper-V per coesistere con Hyper-V a partire dalla versione 15.5.5 .

Come funziona VMware Workstation prima della versione 15.5.5?

VMware Workstation ha tradizionalmente utilizzato un Virtual Machine Monitor (VMM) che opera in modalità privilegiata che richiede l'accesso diretto alla CPU e l'accesso al supporto di virtualizzazione integrato della CPU (VT-x di Intel e AMD-V di AMD). Quando un host Windows abilita le funzionalità di protezione basata sulla virtualizzazione ("VBS"), Windows aggiunge un livello hypervisor basato su Hyper-V tra l'hardware e Windows. Qualsiasi tentativo di eseguire il VMM tradizionale di VMware fallisce perché essendo all'interno di Hyper-V il VMM non ha più accesso al supporto di virtualizzazione dell'hardware.

Presentazione di User Level Monitor

Per risolvere questo problema di compatibilità Hyper-V / Host VBS, il team della piattaforma VMware ha riprogettato l'Hypervisor di VMware per utilizzare le API WHP di Microsoft. Ciò significa modificare il nostro VMM in modo che venga eseguito a livello di utente anziché in modalità privilegiata, nonché modificarlo per utilizzare le API WHP per gestire l'esecuzione di un guest invece di utilizzare direttamente l'hardware sottostante.

Cosa significa questo per te?

VMware Workstation / Player ora può essere eseguito quando Hyper-V è abilitato. Non è più necessario scegliere tra l' esecuzione di VMware Workstation e funzionalità di Windows come WSL, Device Guard e Credential Guard. Quando Hyper-V è abilitato, verrà utilizzata automaticamente la modalità ULM in modo da poter eseguire normalmente VMware Workstation. Se non si utilizza affatto Hyper-V, VMware Workstation è abbastanza intelligente da rilevarlo e verrà utilizzato VMM.

Requisiti di sistema

Per eseguire Workstation / Player utilizzando le API di Windows Hypervisor, la versione di Windows 10 minima richiesta è Windows 10 20H1 build 19041.264. La versione minima di VMware Workstation / Player è 15.5.5.

Per evitare l'errore, aggiorna Windows 10 alla versione 2004 / Build 19041 (aggiornamento di maggio 2020) e utilizza almeno VMware 15.5.5 .

C'è un modo molto migliore per gestire questo problema. Piuttosto che rimuovere del tutto Hyper-V, è sufficiente eseguire l'avvio alternativo per disabilitarlo temporaneamente quando è necessario utilizzare VMWare. Come mostrato qui ...

http://www.hanselman.com/blog/SwitchEasilyBetweenVirtualBoxAndHyperVWithABCDEditBootEntryInWindows81.aspx

C:\>bcdedit /copy {current} /d "No Hyper-V" 
The entry was successfully copied to {ff-23-113-824e-5c5144ea}. 

C:\>bcdedit /set {ff-23-113-824e-5c5144ea} hypervisorlaunchtype off 
The operation completed successfully.

nota: l'ID generato dal primo comando è quello che usi nel secondo. Non limitarti a eseguirlo alla lettera.

Quando riavvii, vedrai solo un menu con due opzioni ...

• Windows 10
• Nessun Hyper-V

Quindi utilizzare VMWare è solo questione di riavviare e scegliere l'opzione No Hyper-V.

Se desideri rimuovere di nuovo una voce di avvio. È possibile utilizzare l'opzione / delete per bcdedit.

Per prima cosa, ottieni un elenco delle voci di avvio correnti ...

C:\>bcdedit /v

Questo elenca tutte le voci con i loro ID. Copia l'ID pertinente, quindi rimuovilo in questo modo ...

C:\>bcdedit /delete {ff-23-113-824e-5c5144ea}

Come accennato nei commenti, è necessario farlo da un prompt dei comandi con privilegi elevati, non da PowerShell. In PowerShell il comando verrà visualizzato in errore.

aggiornamento: è possibile eseguire questi comandi in PowerShell, se le parentesi graffe sono precedute da caratteri di escape (`). Così...

C:\WINDOWS\system32> bcdedit /copy `{current`} /d "No Hyper-V"

Non sono ancora convinto che Hyper-V sia The Thing per me, anche con le prove e le tribolazioni di Docker dello scorso anno e immagino che non vorrai cambiare molto frequentemente, quindi piuttosto che creare un nuovo avvio e confermare l'avvio predefinito o aspettando il timeout ad ogni avvio che passo su richiesta nella console in modalità amministratore da

bcdedit /set hypervisorlaunchtype off

Un altro motivo per questo post - per risparmiarti un po 'di mal di testa: pensavi di riaccendere Hyper-V con l'argomento "on"? No. Troppo semplice per MiRKoS..t. È auto !

Divertiti!
G.

Per renderlo super facile:

1. Basta scaricare questo script direttamente da Microsoft.

2. Esegui il tuo Powershell come amministratore e quindi esegui i seguenti comandi:

   • Per verificare se DG / CG è abilitato DG_Readiness.ps1 -Ready
   • Per disabilitare DG / CG. DG_Readiness.ps1 -Disable

Per coloro che potrebbero riscontrare questo problema con le recenti modifiche al computer che coinvolgono Hyper-V, sarà necessario disabilitarlo durante l'utilizzo di VMWare o VirtualBox. Non lavorano insieme. Windows Sandbox e WSL 2 richiedono l'attivazione dell'hypervisor Hyper-V, che attualmente interrompe VMWare. Fondamentalmente, dovrai eseguire i seguenti comandi per abilitare / disabilitare i servizi Hyper-V al prossimo riavvio.

Per disabilitare Hyper-V e far funzionare VMWare, in PowerShell come amministratore:

bcdedit /set hypervisorlaunchtype off

Per riattivare Hyper-V e interrompere VMWare per ora, in PowerShell come amministratore:

bcdedit /set hypervisorlaunchtype auto

Dopodiché dovrai riavviare. Ho scritto uno script PowerShell che lo attiverà per te e lo confermerà con le finestre di dialogo. Si eleva anche automaticamente ad amministratore utilizzando questa tecnica in modo che tu possa semplicemente fare clic con il pulsante destro del mouse ed eseguire lo script per modificare rapidamente la modalità Hyper-V. Potrebbe essere facilmente modificato per riavviare anche per te, ma personalmente non volevo che accadesse. Salvalo come hypervisor.ps1 e assicurati di aver eseguito in Set-ExecutionPolicy RemoteSignedmodo da poter eseguire gli script di PowerShell.

# Get the ID and security principal of the current user account
$myWindowsID = [System.Security.Principal.WindowsIdentity]::GetCurrent();
$myWindowsPrincipal = New-Object System.Security.Principal.WindowsPrincipal($myWindowsID);

# Get the security principal for the administrator role
$adminRole = [System.Security.Principal.WindowsBuiltInRole]::Administrator;

# Check to see if we are currently running as an administrator
if ($myWindowsPrincipal.IsInRole($adminRole))
{
    # We are running as an administrator, so change the title and background colour to indicate this
    $Host.UI.RawUI.WindowTitle = $myInvocation.MyCommand.Definition + "(Elevated)";
    $Host.UI.RawUI.BackgroundColor = "DarkBlue";
    Clear-Host;
}
else {
    # We are not running as an administrator, so relaunch as administrator

    # Create a new process object that starts PowerShell
    $newProcess = New-Object System.Diagnostics.ProcessStartInfo "PowerShell";

    # Specify the current script path and name as a parameter with added scope and support for scripts with spaces in it's path
    $newProcess.Arguments = "-windowstyle hidden & '" + $script:MyInvocation.MyCommand.Path + "'"

    # Indicate that the process should be elevated
    $newProcess.Verb = "runas";

    # Start the new process
    [System.Diagnostics.Process]::Start($newProcess);

    # Exit from the current, unelevated, process
    Exit;
}

Add-Type -AssemblyName System.Windows.Forms


$state = bcdedit /enum | Select-String -Pattern 'hypervisorlaunchtype\s*(\w+)\s*'


if ($state.matches.groups[1].ToString() -eq "Off"){

    $UserResponse= [System.Windows.Forms.MessageBox]::Show("Enable Hyper-V?" , "Hypervisor" , 4)

    if ($UserResponse -eq "YES" ) 
    {

        bcdedit /set hypervisorlaunchtype auto
        [System.Windows.Forms.MessageBox]::Show("Enabled Hyper-V. Reboot to apply." , "Hypervisor")

    } 

    else 

    { 

        [System.Windows.Forms.MessageBox]::Show("No change was made." , "Hypervisor")
        exit

    }

} else {

    $UserResponse= [System.Windows.Forms.MessageBox]::Show("Disable Hyper-V?" , "Hypervisor" , 4)

    if ($UserResponse -eq "YES" ) 
    {

        bcdedit /set hypervisorlaunchtype off
        [System.Windows.Forms.MessageBox]::Show("Disabled Hyper-V. Reboot to apply." , "Hypervisor")

    } 

    else 

    { 

        [System.Windows.Forms.MessageBox]::Show("No change was made." , "Hypervisor")
        exit

    }

}

la soluzione più semplice per questo problema è scaricare lo "strumento di preparazione hardware Device Guard e Credential Guard" per correggere l'incompatibilità:

• https://www.microsoft.com/en-us/download/details.aspx?id=53337
• Decomprimi la cerniera
• troverai :

• eseguire "DG_Readiness_Tool_v3.6.ps1" con PowerShell

• Ora dovresti essere in grado di accendere normalmente la tua macchina virtuale.

Non so perché, ma la versione 3.6 di DG_Readiness_Tool non ha funzionato per me. Dopo aver riavviato il mio laptop, il problema persisteva ancora. Stavo cercando una soluzione e alla fine mi sono imbattuto nella versione 3.7 dello strumento e questa volta il problema è andato via. Qui puoi trovare l'ultimo script PowerShell:

DG_Readiness_Tool_v3.7

Ho anche lottato molto con questo problema. Le risposte in questo thread sono state utili ma non sono state sufficienti per risolvere il mio errore. Dovrai disabilitare Hyper-V e Device guard come suggerito dalle altre risposte. Maggiori informazioni su questo possono essere trovate qui .

Includo le modifiche da apportare in aggiunta alle risposte fornite sopra. Il collegamento che finalmente mi ha aiutato è stato questo .

La mia risposta riassumerà solo la differenza tra il resto delle risposte (ovvero Disabilitazione di Hyper-V e Device guard) e i seguenti passaggi:

1. Se hai utilizzato Criteri di gruppo, disabilita l'impostazione Criteri di gruppo che hai usato per abilitare Windows Defender Credential Guard (Configurazione computer -> Modelli amministrativi -> Sistema -> Protezione dispositivo -> Attiva sicurezza basata sulla virtualizzazione).

2. Elimina le seguenti impostazioni di registro:

   HKEY_LOCAL_MACHINE \ System \ CurrentControlSet \ Control \ LSA \ LsaCfgFlags HKEY_LOCAL_MACHINE \ Software \ Policies \ Microsoft \ Windows \ DeviceGuard \ EnableVirtualizationBasedSecurity HKEY_LOCAL_MACHINE \ Software \ Policies \ Microsoft \ Windows \ DeviceGuard \ RequirePlatures

   Importante: se rimuovi manualmente queste impostazioni di registro, assicurati di eliminarle tutte. Se non li rimuovi tutti, il dispositivo potrebbe andare in ripristino di BitLocker.

3. Elimina le variabili EFI di Windows Defender Credential Guard usando bcdedit. Da un prompt dei comandi con privilegi elevati (avvia in modalità amministratore), digita i seguenti comandi:

    mountvol X: /s
   
    copy %WINDIR%\System32\SecConfig.efi X:\EFI\Microsoft\Boot\SecConfig.efi /Y
   
    bcdedit /create {0cb3b571-2f2e-4343-a879-d86a476d7215} /d "DebugTool" /application osloader
   
    bcdedit /set {0cb3b571-2f2e-4343-a879-d86a476d7215} path "\EFI\Microsoft\Boot\SecConfig.efi"
   
    bcdedit /set {bootmgr} bootsequence {0cb3b571-2f2e-4343-a879-d86a476d7215}
   
    bcdedit /set {0cb3b571-2f2e-4343-a879-d86a476d7215} loadoptions DISABLE-LSA-ISO
   
    bcdedit /set {0cb3b571-2f2e-4343-a879-d86a476d7215} device partition=X:
   
    mountvol X: /d
   

4. Riavvia il PC.

5. Accetta la richiesta di disabilitare Windows Defender Credential Guard.

6. In alternativa, puoi disabilitare le funzionalità di sicurezza basate sulla virtualizzazione per disattivare Windows Defender Credential Guard.

SOLUZIONE RAPIDA IN OGNI PASSO:

Corretto errore in VMware Workstation su Windows 10 host Transport (VMDB) errore -14: La connessione del tubo è stata interrotta.

Oggi ripareremo l'errore VMWare su un computer Windows 10.

1. Nella casella ESEGUI digita "gpedit" quindi vai a [ERRORE VEDERE PUNTO 3]

1- Configurazione del computer 2- Modelli amministrativi 3- Sistema - Protezione del dispositivo: SE NESSUNA PROTEZIONE DEL DISPOSITIVO: (SCARICA https://www.microsoft.com/en-us/download/100591 installa questa "c:\Program Files (x86)\Microsoft Group Policy\Windows 10 November 2019 Update (1909)\PolicyDefinitions" COPIA su c:\windows\PolicyDefinitions) 4- Attiva la virtualizzazione basata Sicurezza. Ora fai doppio clic e "Disabilita"

2. Apri il prompt dei comandi come amministratore e digita il seguente gpupdate / force [NON FARLO SE NON HAI LA PROTEZIONE DEL DISPOSITIVO ALTRIMENTI SARÀ DI NUOVO]

3. Apri l'editor del registro, ora vai a HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\DeviceGuard. Aggiungi un nuovo valore DWORD denominato EnableVirtualizationBasedSecuritye impostalo su 0 per disabilitarlo. Avanti Vai a HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\LSA. Aggiungi un nuovo valore DWORD denominato LsaCfgFlagse impostalo su 0 per disabilitarlo.

4. Nella casella ESEGUI, digita Attiva o disattiva le funzionalità di Windows, ora deseleziona Hyper-V e riavvia il sistema.

5. Apri il prompt dei comandi come amministratore e digita i seguenti comandi

    bcdedit /create {0cb3b571-2f2e-4343-a879-d86a476d7215} /d "DebugTool" /application osloader

    bcdedit /set {0cb3b571-2f2e-4343-a879-d86a476d7215} path "\EFI\Microsoft\Boot\SecConfig.efi"

    bcdedit /set {bootmgr} bootsequence {0cb3b571-2f2e-4343-a879-d86a476d7215}
    
    bcdedit /set {0cb3b571-2f2e-4343-a879-d86a476d7215} loadoptions DISABLE-LSA-ISO,DISABLE-VBS

    bcdedit /set hypervisorlaunchtype off

Ora riavvia il tuo sistema

Se sei qualcuno che mantiene sempre un prompt dei comandi "Esegui come amministratore" o una finestra della riga di comando di PowerShell personalizzati, puoi opzionalmente impostare i seguenti alias / macro per semplificare l'esecuzione dei comandi menzionati da @ gue22 per disabilitare semplicemente hypervisor hyper-v quando è necessario utilizzare vmware player o workstation e quindi abilitarlo nuovamente al termine.

doskey hpvEnb = choice /c:yn /cs /d n /t 30 /m "Are you running from elevated command prompt" ^& if not errorlevel 2 ( bcdedit /set hypervisorlaunchtype auto ^& echo.^&echo now reboot to enable hyper-v hypervisor )
doskey hpvDis = choice /c:yn /cs /d n /t 30 /m "Are you running from elevated command prompt" ^& if not errorlevel 2 ( bcdedit /set hypervisorlaunchtype off ^& echo.^&echo now reboot to disable hyper-v hypervisor )
doskey bcdL = bcdedit /enum ^& echo.^&echo now see boot configuration data store {current} boot loader settings

Con quanto sopra in atto, è sufficiente digitare i comandi "hpvenb" [hypervisor abilitato all'avvio], "hpvdis" [hypervisor disabilitato all'avvio] e "bcdl" [elenco dei dispositivi di configurazione dell'avvio] per eseguire i comandi on, off, list.

Bene Ragazzi e ragazze, dopo aver letto le note di rilascio per la build 17093 nelle prime ore della notte, ho trovato il punto di cambiamento che influisce sul fatto che la VM della mia VMware Workstation non le fa funzionare, sono le impostazioni di Core Isolation in Device Security sotto sicurezza di Windows (nuovo nome per la pagina di Windows Defender) nelle impostazioni .

Di default è acceso, tuttavia quando l'ho spento e riavviato il mio PC tutte le mie VM VMware hanno ripreso a funzionare correttamente. Forse un'opzione per dispositivo potrebbe essere incorporata nella prossima build per consentirci di testare le risposte di singoli dispositivi / app per consentire l'attivazione o la disattivazione dell'isolamento principale per dispositivo o app come richiesto.

Ecco le istruzioni adeguate in modo che tutti possano seguirle.

• Prima scarica lo strumento di preparazione hardware Device Guard e Credential Guard da questo link: https://www.microsoft.com/en-us/download/details.aspx?id=53337
• estrarre il contenuto della cartella zip in una posizione come: C: \ guard_tool
• avrai file come questo nome del file di copia del file di estensione ps1 nel mio caso è v3.6 quindi sarà: DG_Readiness_Tool_v3.6.ps1

• Quindi fai clic sul menu Start e cerca PowerShell, quindi fai clic con il pulsante destro del mouse ed esegui come amministratore.

• Dopodiché vedrai il terminale di colore blu inserire il comando cd C: \ guard_tool , sostituire il percorso dopo cd con la posizione estratta dello strumento
• Ora inserisci il comando:. \ DG_Readiness_Tool_v3.6.ps1 -Disable
• Dopo quel riavvio del sistema
• Quando il sistema si riavvia, il sistema all'avvio mostrerà una notifica con sfondo nero per verificare che si desidera disabilitare queste funzionalità, quindi premere F3 per confermare.
• fai +1 se ti è stato d'aiuto :)