Comment désactiver ou activer la boîte de dialogue Exécuter de Windows à l’aide de PowerShell ?

Dans le monde complexe de l’informatique, la gestion de l’accès des utilisateurs à certaines fonctionnalités du système est de la plus haute importance. L’une de ces fonctions est la boîte de dialogue Exécuter de Windows. Mais pourquoi les professionnels de l’informatique voudraient-ils en restreindre l’accès ? Ce guide examine en profondeur le script PowerShell conçu pour contrôler l’accessibilité de la boîte de dialogue Exécuter et ce qu’impliquent de telles actions.

Vue d’ensemble de la boîte de dialogue Exécuter de Windows

• Qu’est-ce que la boîte de dialogue Exécuter de Windows ?

  • La boîte de dialogue Exécuter de Windows est une fonction qui offre aux utilisateurs un moyen rapide de lancer des programmes, d’ouvrir des dossiers et d’exécuter des commandes système. En appuyant sur Windows + R, une petite boîte de dialogue apparaît, permettant aux utilisateurs de saisir directement des commandes.

• Comment la boîte de dialogue Exécuter de Windows est-elle utilisée ?

  • Elle est principalement utilisée pour un accès rapide. Au lieu de naviguer dans plusieurs menus ou dossiers, les utilisateurs peuvent simplement taper une commande ou un chemin dans la boîte de dialogue Exécuter pour lancer instantanément un programme ou ouvrir un répertoire.

Conséquences de la désactivation de la boîte de dialogue Exécuter de Windows sur la sécurité

Quels sont les risques ?

En désactivant la boîte de dialogue Exécuter, vous risquez d’entraver involontairement votre productivité. Certains utilisateurs avancés utilisent la boîte de dialogue Exécuter pour effectuer des tâches rapides et gérer le système. En outre, si elle n’est pas effectuée correctement, la manipulation des paramètres du système peut entraîner d’autres problèmes involontaires.

Quels sont les avantages ?

Le principal avantage est l’amélioration de la sécurité. La désactivation de la boîte de dialogue Exécuter peut empêcher des actions non autorisées ou malveillantes, en particulier de la part d’utilisateurs qui ne connaissent pas bien le fonctionnement du système. Il réduit le risque de modifications accidentelles ou d’exécution de commandes nuisibles.

Comment réduire les risques ?

Avant de mettre en œuvre tout changement, il est essentiel de :

• Communiquer avec les utilisateurs, en particulier avec ceux qui pourraient être affectés par le changement.
• Fournir des méthodes ou des outils alternatifs pour les tâches qui étaient auparavant effectuées à l’aide de la boîte de dialogue Exécuter.
• Veillez à ce qu’il y ait un moyen de revenir rapidement sur les modifications si nécessaire.

Contexte

Le script PowerShell fourni est un outil robuste permettant aux professionnels de l’informatique et aux fournisseurs de services gérés (MSP) de contrôler l’accessibilité de la boîte de dialogue Exécuter. Dans les environnements où la sécurité est une priorité absolue, ces outils deviennent indispensables. La capacité du script à exclure des utilisateurs spécifiques de ces restrictions ajoute une couche de flexibilité, garantissant que l’accès nécessaire n’est pas complètement supprimé.

Le script

#Requires -Version 2.0

<#
.SYNOPSIS
    Disables or enables the Run Dialog for all users and new users.
.DESCRIPTION
    Disables or enables the Run Dialog for all users and new users, and there is an option to exclude users.
    Reboot is required to apply changes.
.EXAMPLE
    -Disable
    Disables the Run Dialog for all users and new users.
.EXAMPLE
    -Disable -ExcludeUsers "Test1", "Test2"
    Disables the Run Dialog for all users and new users, but excludes Test1 and Test2 users.
.EXAMPLE
    -Enable
    Enables the Run Dialog for all users and new users.
.EXAMPLE
    -Enable -ExcludeUsers "Test1", "Test2"
    Enables the Run Dialog for all users and new users, but excludes Test1 and Test2 users.
.OUTPUTS
    None
.NOTES
    General notes
    Release Notes:
    Initial Release
By using this script, you indicate your acceptance of the following legal terms as well as our Terms of Use at https://www.ninjaone.com/terms-of-use.
    Ownership Rights: NinjaOne owns and will continue to own all right, title, and interest in and to the script (including the copyright). NinjaOne is giving you a limited license to use the script in accordance with these legal terms. 
    Use Limitation: You may only use the script for your legitimate personal or internal business purposes, and you may not share the script with another party. 
    Republication Prohibition: Under no circumstances are you permitted to re-publish the script in any script library or website belonging to or under the control of any other software provider. 
    Warranty Disclaimer: The script is provided “as is” and “as available”, without warranty of any kind. NinjaOne makes no promise or guarantee that the script will be free from defects or that it will meet your specific needs or expectations. 
    Assumption of Risk: Your use of the script is at your own risk. You acknowledge that there are certain inherent risks in using the script, and you understand and assume each of those risks. 
    Waiver and Release: You will not hold NinjaOne responsible for any adverse or unintended consequences resulting from your use of the script, and you waive any legal or equitable rights or remedies you may have against NinjaOne relating to your use of the script. 
    EULA: If you are a NinjaOne customer, your use of the script is subject to the End User License Agreement applicable to you (EULA).
#>

[CmdletBinding()]
param (
    [Parameter(Mandatory = $true, ParameterSetName = "Disable")]
    [Switch]
    $Disable,
    [Parameter(Mandatory = $true, ParameterSetName = "Enable")]
    [Switch]
    $Enable,
    [Parameter(Mandatory = $false, ParameterSetName = "Disable")]
    [Parameter(Mandatory = $false, ParameterSetName = "Enable")]
    [String[]]
    $ExcludeUsers
)

begin {
    function Set-ItemProp {
        param (
            $Path,
            $Name,
            $Value,
            [ValidateSet("DWord", "QWord", "String", "ExpandedString", "Binary", "MultiString", "Unknown")]
            $PropertyType = "DWord"
        )
        # Do not output errors and continue
        $ErrorActionPreference = [System.Management.Automation.ActionPreference]::SilentlyContinue
        if (-not $(Test-Path -Path $Path)) {
            # Check if path does not exist and create the path
            New-Item -Path $Path -Force | Out-Null
        }
        if ((Get-ItemProperty -Path $Path -Name $Name)) {
            # Update property and print out what it was changed from and changed to
            $CurrentValue = Get-ItemProperty -Path $Path -Name $Name
            try {
                Set-ItemProperty -Path $Path -Name $Name -Value $Value -Force -Confirm:$false -ErrorAction Stop | Out-Null
            }
            catch {
                Write-Error $_
            }
            Write-Host "$Path$Name changed from $CurrentValue to $(Get-ItemProperty -Path $Path -Name $Name)"
        }
        else {
            # Create property with value
            try {
                New-ItemProperty -Path $Path -Name $Name -Value $Value -PropertyType $PropertyType -Force -Confirm:$false -ErrorAction Stop | Out-Null
            }
            catch {
                Write-Error $_
            }
            Write-Host "Set $Path$Name to $(Get-ItemProperty -Path $Path -Name $Name)"
        }
        $ErrorActionPreference = [System.Management.Automation.ActionPreference]::Continue
    }
}
process {
    $Path = "SoftwareMicrosoftWindowsCurrentVersionPoliciesExplorer"
    $Name = "NoRun"
    $Value = if ($Disable) { 1 }elseif ($Enable) { 0 }else {
        Write-Host "Either -Enable or -Disable is required to function."
        exit 0
    }

    # Get each user profile SID and Path to the profile
    $UserProfiles = Get-ItemProperty "HKLM:SOFTWAREMicrosoftWindows NTCurrentVersionProfileList*" |
        Where-Object { $_.PSChildName -match "S-1-5-21-(d+-?){4}$" } |
        Select-Object @{Name = "SID"; Expression = { $_.PSChildName } }, @{Name = "UserHive"; Expression = { "$($_.ProfileImagePath)NTuser.dat" } }, @{Name = "UserName"; Expression = { "$($_.ProfileImagePath | Split-Path -Leaf)" } } |
        Where-Object { $ExcludeUsers -notcontains $_.UserName }
    
    # Add in the .DEFAULT User Profile
    $DefaultProfile = "" | Select-Object SID, UserHive, UserName
    $DefaultProfile.SID = ".DEFAULT"
    $DefaultProfile.UserHive = "C:UsersPublicNTuser.dat"
    try {
        # Fix for edge case where PSObject is missing the add operator
        $UserProfiles = {
            $UserProfiles | ForEach-Object { $_ }
            $DefaultProfile
        }.Invoke()
    }
    catch {
        Write-Host "Failed to update default profile, skipping."
    }
    

    # Loop through each profile on the machine
    Foreach ($UserProfile in $UserProfiles) {
        # Load User ntuser.dat if it's not already loaded
        If (($ProfileWasLoaded = Test-Path -Path "Registry::HKEY_USERS$($UserProfile.SID)") -eq $false) {
            Start-Process -FilePath "cmd.exe" -ArgumentList "/C reg.exe LOAD HKU$($UserProfile.SID) $($UserProfile.UserHive)" -Wait -WindowStyle Hidden
        }
        # Manipulate the registry
        $key = "Registry::HKEY_USERS$($UserProfile.SID)$($Path)"
        Set-ItemProp -Path $key -Name $Name -Value $Value
 
        # Unload NTuser.dat
        If ($ProfileWasLoaded -eq $false) {
            [gc]::Collect()
            Start-Sleep 1
            Start-Process -FilePath "cmd.exe" -ArgumentList "/C reg.exe UNLOAD HKU$($UserProfile.SID)" -Wait -WindowStyle Hidden | Out-Null
        }
    }
}
end {}

 

Description détaillée

Le script commence par définir des paramètres, permettant aux utilisateurs de désactiver ou d’activer la boîte de dialogue Exécuter et même d’exclure des utilisateurs spécifiques. Une fonction, Set-ItemProp, est ensuite définie pour gérer la création ou la modification des clés de registre. Le processus principal consiste à définir le chemin d’accès au registre relatif à la boîte de dialogue Exécuter, à récupérer tous les profils d’utilisateur, puis à parcourir en boucle chaque profil pour modifier le registre en conséquence.

Cas d’utilisation potentiels

Prenons l’exemple d’une professionnelle de l’informatique, Sarah, qui travaille dans une université. Pour s’assurer que les ordinateurs du laboratoire sont utilisés uniquement à des fins académiques, Sarah décide de désactiver la boîte de dialogue Exécuter, en excluant les profils des assistants du laboratoire. Ce script permet à Sarah d’atteindre cet équilibre entre sécurité et accessibilité.

Comparaisons

Bien que la stratégie de groupe permette de désactiver la boîte de dialogue Exécuter, il se peut qu’elle n’offre pas la même granularité que ce script. L’approche directe de ce script offre plus de souplesse, en particulier dans les grandes entreprises.

FAQ

• Puis-je utiliser ce script pour exclure plusieurs utilisateurs ?
  Oui, il est possible d’exclure plusieurs utilisateurs à l’aide du paramètre -ExcludeUsers.
• Un redémarrage est-il nécessaire après l’exécution du script ?
  Oui, un redémarrage garantit l’application des modifications.

Recommandations

• Sauvegarder l’état actuel du registre avant d’effectuer des modifications.
• Testez d’abord le script dans un environnement contrôlé.
• Maintenez à jour la liste des utilisateurs exclus.

Conclusions

Dans le monde dynamique de l’informatique, des outils comme NinjaOne offrent une plateforme centralisée pour la gestion informatique. L’intégration de scripts tels que celui présenté ici permet aux professionnels de l’informatique de rester équipés pour relever tous les défis, en particulier lorsqu’il s’agit de gérer des fonctions telles que la boîte de dialogue Exécuter de Windows.