Avec les versions 24H2 et 25H2 de Windows 11, Microsoft renforce une exigence technique cruciale : toute image système clonée doit impérativement passer par Sysprep. Cette mesure vise à éviter la duplication du SID (Security Identifier), source de nombreux problèmes de sécurité et de connectivité.

🔍 Qu’est-ce qu’un SID et pourquoi est-il si important ?

Le SID est un identifiant unique généré par Windows lors de l’installation. Il sert à :

• Identifier les comptes utilisateurs, groupes et ordinateurs
• Gérer les autorisations NTFS et les accès réseau
• Assurer la cohérence des objets dans Active Directory

Chaque machine doit avoir un SID distinct. Si plusieurs systèmes partagent le même SID (suite à une duplication sans préparation), cela crée des conflits graves.

⚠️ Problèmes causés par la duplication du SID

Microsoft précise que les utilisateurs concernés par une duplication du SID peuvent rencontrer les problèmes suivants :

Microsoft indique que les utilisateurs constateront les problèmes suivants, notamment des difficultés d’accès aux lecteurs réseau partagés :

• Les utilisateurs sont continuellement invités à saisir leurs identifiants.
• Les demandes d’accès échouent malgré des identifiants valides, avec des messages d’erreur tels que :
  • Échec de la tentative de connexion.
  • Échec de la connexion / vos identifiants n’ont pas fonctionné.
  • Incohérence partielle dans l’identifiant de la machine.
  • Le nom d’utilisateur ou le mot de passe est incorrect.
• Les dossiers réseau partagés sont inaccessibles, que ce soit via l’adresse IP ou le nom d’hôte.
• Les connexions Bureau à distance ne peuvent pas être établies, y compris les sessions RDP initiées via des solutions de gestion des accès privilégiés (PAM) ou des outils tiers.
• Le clustering de basculement échoue avec une erreur « accès refusé ».
• L’Observateur d’événements peut afficher l’une des erreurs suivantes dans les journaux Windows :
  • Le journal de sécurité contient l’erreur SEC_E_NO_CREDENTIALS.
  • Le journal système contient un événement du service Local Security Authority Server (lsasrv.dll), ID : 6167, avec le message : « Incohérence partielle dans l’identifiant de la machine. Cela indique que le ticket a été manipulé ou qu’il appartient à une autre session de démarrage. »

Il s’agit en réalité d’un nouveau mécanisme de sécurité mis en place pour empêcher tout accès non autorisé à des fichiers potentiellement restreints, qui pouvaient auparavant être accessibles depuis un autre système utilisant un SID dupliqué. Microsoft recommande aux administrateurs et aux utilisateurs d’utiliser Sysprep, l’outil natif de Windows, afin de garantir l’unicité du SID lors des opérations de clonage ou de duplication du système d’exploitation sur Windows 11 versions 24H2 et 25H2, ainsi que sur Windows Server 2025.

Ces problèmes sont souvent difficiles à diagnostiquer, car ils ne sont pas liés à des erreurs visibles mais à des conflits d’identifiants invisibles.

🛠️ Sysprep : la solution officielle et désormais obligatoire

Sysprep est l’outil intégré à Windows permettant de généraliser une installation avant sa duplication. Il est situé dans :

%windir%\System32\Sysprep

Ce que fait Sysprep :

• Supprime les données spécifiques à la machine (dont le SID)
• Prépare le système pour qu’un nouveau SID soit généré au prochain démarrage
• Réinitialise les journaux, les paramètres réseau, les identifiants matériels

Commande recommandée :

sysprep /generalize /oobe /shutdown

🖥️ Attention aux images virtuelles non généralisées

Les environnements virtualisés ne sont pas épargnés par cette exigence. Les images de machines virtuelles (VM) créées à partir d’une installation Windows non généralisée peuvent également contenir un SID dupliqué. Cela concerne notamment les templates utilisés dans Hyper-V, VMware, ou tout autre hyperviseur. Si ces images ne sont pas correctement sealées avec Sysprep avant d’être converties en modèles ou exportées, chaque VM déployée héritera du même SID, entraînant les mêmes problèmes de sécurité, d’accès réseau et d’authentification que sur du matériel physique. Il est donc impératif d’intégrer Sysprep dans le processus de création d’images virtuelles prêtes à être clonées.