Windows 11 关闭基于虚拟化的安全性（VBS） - 重庆思庄Oracle、KingBase、PostgreSQL、Redhat认证学习论坛

80983695d220066039.png (243.69 KB, 下载次数: 121)

下载附件

2026-1-6 22:53 上传

Scenario 2：打开虚拟机时直接提示启动失败。

96873695d221839091.png (61.64 KB, 下载次数: 119)

下载附件

2026-1-6 22:54 上传

Scenario 3：运行普通虚拟机提示如下，侧通道缓解问题。

16419695d222579b14.png (324.68 KB, 下载次数: 110)

下载附件

2026-1-6 22:54 上传

Scenario 4：运行带嵌套虚拟化的虚拟机如下（除提示侧通道环境问题外还提示硬件虚拟化未开启）。

9854695d222eb05cd.png (119.43 KB, 下载次数: 123)

下载附件

2026-1-6 22:54 上传

二、问题分析（VBS 影响）

CPU 硬件虚拟化支持（新设备默认开启 CPU 硬件虚拟化支持）

较旧设备可能默认未开启 CPU 虚拟化支持，需要在 BIOS 中手动启用 CPU 虚拟化支持，此时运行带硬件虚拟化的虚拟机时不会提示"此平台不支持虚拟化的 Intel VT-v/EPT"等 CPU 硬件虚拟化支持问题。而较新设备会在默认启用 DMA 时自动启用 CPU 虚拟化支持，并且新设备默认启用 CPU 虚拟化支持，在运行带硬件虚拟化的虚拟机时不会提示"此平台不支持虚拟化的 Intel VT-v/EPT"。

VMware Workstation Pro 需在 BIOS 开启 CPU 硬件虚拟化支持，开启 CPU 硬件虚拟化支持后，Windows 系统会自动开启基于虚拟化的安全性（VBS，Virtualization-based Security），而 VMware Workstation Pro 使用的虚拟化技术和 Windows 系统基于虚拟化的安全性技术冲突。

基于虚拟化的安全性（VBS）技术可以保护虚拟机和系统安全，但会降低电脑性能，也会让一些依赖硬件虚拟化程序与之冲突。

查看：Win + R 运行 msinfo32 可查看当前系统是否启用基于虚拟化的安全性（VBS）。

77884695d224d6ca0e.png (163.05 KB, 下载次数: 124)

下载附件

2026-1-6 22:55 上传

基于虚拟化的安全功能（VBS）使用硬件虚拟化和 Windows 虚拟机监控程序来创建独立的虚拟环境，该环境将成为假定内核遭到入侵的 OS 的信任根。 Windows 使用这种独立环境来托管许多安全解决方案，为它们提供了显著增强的保护，以防止操作系统中的漏洞，并防止利用恶意攻击试图破坏保护。 VBS 强制实施限制，以保护重要的系统和操作系统资源，或保护安全资产（如经过身份验证的用户凭据）。

其中一个安全解决方案是内存完整性，它通过在 VBS 的隔离虚拟环境中运行内核模式代码完整性来保护和强化 Windows。内核模式代码完整性是指 Windows 进程，它在启动所有内核模式驱动程序和二进制文件之前对其进行检查，并防止未签名或不受信任的驱动程序或系统文件加载到系统内存中。内存完整性还限制可用于入侵系统的内核内存分配，确保在安全运行时环境中传递代码完整性检查后，内核内存页才会成为可执行文件，并且可执行文件页本身永远不会可写。这样，即使存在允许恶意软件试图修改内存的缓冲区溢出等漏洞，也无法修改可执行代码页，并且修改后的内存也无法执行。

参考文档：基于虚拟化的安全(VBS)

Device Guard/Credential Guard 默认启用，也会拉起基于虚拟化的安全性（VBS）。

Windows 11 22H2、Windows Server 2025 开始，默认启用了Device Guard/Credential Guard。

对应的 Intel 12 代及以上 CPU，若硬件支持，则会自动启动此功能，并且将 基于虚拟化的安全性 启动。

参考文档：默认启用 Credential Guard【配置 Credential Guard】

分析（VBS 影响）

Windows 10 系统（关闭方法简单）。若已经在 BIOS 中开启 CPU 硬件虚拟化支持，在 Windows 10 系统中基于虚拟化的安全性（VBS）会在启用 Hyper-V 情况下默认启用，不带嵌套虚拟化功能的虚拟机启动会由产生典型 Hyper-V 冲突引起的侧通道缓解问题，不会提示不支持 Intel VT-v/EPT。此时可使用管理员身份运行命令bcdedit /set hypervisorlaunchtype off用以关闭 Hyper-V 的 Hypervisor，然后重启系统后，基于虚拟化的安全性（VBS）会被关闭。

正常 Windows 10 上的解决方案，可运行如下命令，并确保无任何 Hyper-V 相关功能，此时可直接关闭基于虚拟化的安全性（VBS）。

bcdedit /set hypervisorlaunchtype off

95459695d226b049b8.png (151.4 KB, 下载次数: 106)

下载附件

2026-1-6 22:55 上传

Windows 11 系统（关闭方法复杂）。一般安装 Windows 11 系统的硬件都比较新，默认 CPU 硬件虚拟化就已经开启，如若未开启，可手动进入 BIOS 确认并开启 CPU 硬件虚拟化支持。但在 Windows 11 系统上，即使开启 CPU 硬件虚拟化支持，也可能因为基于虚拟化的安全性（VBS）导致出现不支持 Intel VT-v/EPT 等异常，此时需要强制关闭基于虚拟化的安全性（VBS）。而在 Windows 11 系统上，根据不同的硬件设备，不同的 Windows 11 系统版本，能够真正关闭基于虚拟化的安全性（VBS）方法不一，并且在 Windows 11 系统上 Device Guard/Credential Guard 更会自动拉起基于虚拟化的安全性（VBS），故而要关闭 VBS，还要关闭 Device Guard/Credential Guard。对此，网上有很多解决方案，但是似乎根据不同的 Windows 11 版本或者不同厂商硬件，禁用方法会不完全相同。甚至有可能实施解决方案后，当时重启系统后基于虚拟化的安全性关闭成功，但是再次重启系统，又会再次运行基于虚拟化的安全性，而只要基于虚拟化的安全性处于运行状态，就会导致 VMware 虚拟机运行异常。本文中将列举多种禁用方法，可以都尝试下。

确认当前系统是否已经启用基于虚拟化的安全性（VBS）

若查看到基于虚拟化的安全性是“正在运行”或“已启用未运行”，都属于未关闭状态。

运行 msinfo32.exe 或者直接 Win + S 搜索“系统信息”，查看“基于虚拟化的安全性 ”（下图为禁用成功状态）

9641695d225989617.png (163.05 KB, 下载次数: 122)

下载附件

2026-1-6 22:55 上传

三、解决方案

网上解决方案很多，汇总解决方案可参考【Win11最新关闭VBS的几种方法（基于虚拟化的安全性）】

Windows 11 中 Device Guard/Credential Guard 默认启用，会拉起基于虚拟化的安全性（VBS）功能，故而Windows 11 还需要禁用Device Guard/Credential Guard才能完整关闭基于虚拟化的安全性。

网上方法很多，可以自行搜索，但是实测在 Windows 11 24H2 都不是单方案可以解决的类型，需要结合使用。

以下为此处解决方案，大致过程为组合常规禁用、注册表配置、组策略配置、关闭内存完整性、关闭 defender、运行工具脚本。

重要：关闭基于虚拟化的安全性，会连带禁用依赖此特性的操作系统其他功能。

1.Windows Hello：Windows Hello（PIN、面部/指纹识别）会受到影响。此时如果登录的是微软账户，并且无法退出微软账户，再次进入系统使用微软账户的密码进行登录（也可尝试新建管理员账号作为备用或者尝试删除 Windows Hello 功能，改用本地账户密码登录），如果未登录微软账户，但是有使用 Windows Hello，建议先删除 Windows Hello 的指纹、人脸和 PIN，改用本地账户密码进行登录。

2.Windows 沙盒功能：系统隔离测试环境。

3.Hyper-V：Hyper-V 虚拟机监控平台及其相关功能无法使用。

4.WSL2：在 WSL2 中为使得 Linux 系统支持原生内核，会使用到 Hyper-V 启动原生 Linux 系统内核。

3.1 方法 1：禁用 Hyper-V 虚拟机监视器

右击开始菜单，打开终端管理员，然后输入以下命令，点击回车。

关闭：bcdedit /set hypervisorlaunchtype off

恢复： bcdedit /set hypervisorlaunchtype auto

99834695d2279a99e1.png (76.84 KB, 下载次数: 122)

下载附件

2026-1-6 22:55 上传

53305695d2280cc6b0.png (151.4 KB, 下载次数: 115)

下载附件

2026-1-6 22:56 上传

3.2 方法 2：雷电模拟器

安装雷电模拟器，官网：https://www.ldmnq.com

安装雷电模拟器时，会提示开启了虚拟服务，然后点击重启电脑，雷电模拟器会自动帮您关闭掉VBS。

50385695d228893c79.png (208.6 KB, 下载次数: 120)

下载附件

2026-1-6 22:56 上传

3.3 方法 3：关闭内存完整性并同步设置组策略禁用 Device Guard

Windows 安全中心，手动将内核隔离中的内存完整性关闭，使用下列工具可以直接关闭，建议关闭内存完整、WDAC、启用基于虚拟化的安全性。

手动关闭“内存完整性”。在任务栏中找到打开“Windows安全中心”—设备安全性—内核隔离—关闭“内存完整性”开关。

4159695d22991087e.png (165.6 KB, 下载次数: 114)

下载附件

2026-1-6 22:56 上传

工具关闭“内存完整性”（下述工具仅其中之一，但不保证能百分百关闭成功，尤其是基于虚拟化的安全性这一项。）

【NEW】

Windows11轻松设置1.12正式版【20251207】.zip (309.8 KB, 下载次数: 194)

2026-1-6 22:42 上传

点击文件名下载附件
Windows11轻松设置1.12正式版【20251207】.zip

65363695d22a266d59.png (387.63 KB, 下载次数: 122)

下载附件

2026-1-6 22:56 上传

组策略设置：计算机配置 -> 管理模板 -> 系统 -> Device Guard -> 打开基于虚拟化的安全（设置为禁用）

88615695d22ac86565.png (157.11 KB, 下载次数: 110)

下载附件

2026-1-6 22:56 上传

最后重启操作系统。

3.4 方法 4：修改注册表禁用 Device Guard

修改注册表有系统稳定性风险，建议操作前备份资料。

注册表：HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\DeviceGuard

EnableVirtualizationBasedSecurity 值为 0

HypervisorEnforcedCodeIntegrity 值为 0

如果上述注册表值经过前面的步骤还是没有，则手动创建键值，最终结果如下。

55306695d22b694b14.png (295.75 KB, 下载次数: 122)

下载附件

2026-1-6 22:56 上传

此处由于最终都是需要重启操作系统，可以在配置完注册表、组策略，最后一次性重启操作系统。

3.5 方法 5【推荐】：工具方式关闭基于虚拟化的安全性（VBS）

关闭Device Guard/Credential Guard：在 Windows 11 系统中，由于 Device Guard 会自动拉起基于虚拟化的安全性（VBS），故而关闭 Device Guard 是必须做的，微软官方和一些电脑 OEM 厂商也提供了一些工具来关闭 Device Guard 以实现关闭基于虚拟化的安全性（VBS）。

强调：关闭基于虚拟化的安全性，会连带禁用依赖此特性的操作系统其他功能。

2.Windows 沙盒功能：系统隔离测试环境。

3.Hyper-V：Hyper-V 虚拟机监控平台及其相关功能无法使用。

4.WSL2：在 WSL2 中为使得 Linux 系统支持原生内核，会使用到 Hyper-V 启动原生 Linux 系统内核。

运行脚本前提：

1.无论是 BAT、Powershell 脚本还是 EXE 执行程序，此处必须以管理员身份执行。

2.如果是 Powershell 脚本，必须设置允许本地脚本执行策略。set-ExecutionPolicy RemoteSigned

网上流传的工具如下。部分工具可能与厂商硬件有一定适配，不一定确保百分百成功，但均可尝试一下。

工具汇总下载：

dgreadiness_v3.6.zip (31.67 KB, 下载次数: 213)

2026-1-6 22:38 上传

点击文件名下载附件
dgreadiness_v3.6.zip

【powershell】（来源微软官方 Device Guard and Credential Guard hardware readiness tool）

tool.zip (787 Bytes, 下载次数: 196)

2026-1-6 22:40 上传

点击文件名下载附件
tool.zip

【BAT 脚本】（来源华为笔记本关闭内存完整性和VBS后如何重新开启）

HyperV-off.zip (184.21 KB, 下载次数: 174)

2026-1-6 22:40 上传

点击文件名下载附件
HyperV-off.zip

【EXE】（来源雷电模拟器官网 Hyper-V 关闭教程）

1.【dgreadiness_v3.6.zip】【powershell】（来源微软官方 Device Guard and Credential Guard hardware readiness tool）

以管理员身份运行 powershell，然后依次输入下列命令

Set-ExecutionPolicy RemoteSigned

cd 解压后的文件夹，右键复制文件地址，粘贴

.\DG_Readiness_Tool_v3.6.ps1 -Disable

运行完后，需要重启操作系统，重启过程中会有提示，按 F3，再任意键，再 F3，再任意键（可以直接按 4 次 F3）。

78090695d22c2b3f06.png (102.67 KB, 下载次数: 121)

下载附件

2026-1-6 22:57 上传

2.【tool.zip】【BAT 脚本】（来源华为笔记本关闭内存完整性和VBS后如何重新开启）

以管理员身份直接运行 tools.bat 即可，运行完成脚本后会提示需要重启操作系统，在操作系统重启过程中会有提示（大致如下图所示），按 F3，再任意键，再 F3，再任意键（可以直接按 4 次 F3）。

18670695d22cada605.png (67.5 KB, 下载次数: 127)

下载附件

2026-1-6 22:57 上传

3.【HyperV-off.zip】【EXE】（来源雷电模拟器官网 Hyper-V 关闭教程）

69321695d22d29a374.png (97.28 KB, 下载次数: 115)

下载附件

2026-1-6 22:57 上传

四、其他说明
4.1 Bitlocker 问题

部分电脑重启系统后出现资源管理器中磁盘驱动器显示黄色感叹号，如下图（网图）。此时 Windows 设置中，以及 Bitlocker 管理器也无法手动禁用 Bitlocker（没有点击关闭的菜单）。

原因：系统中有 Bitlocker，但是暂未激活，Windows 11 默认会启用 Bitlocker，即使此前已经手动关闭 Bitlocker 加密，但是实际经过上述操作后重启系统还是会出现黄色感叹号，可能上述过程中改了很多关键安全性配置，故而出现此种情况。

解决：运行如下命令解密。

manage-bde -off c: 解密 C 盘的示例，其他盘自行替换

manage-bde -status 查看状态

拓展：锁定和解锁 bitlocker。

manage-bde.exe -lock F:

manage-bde.exe -unlock F: -pw

4.2 可能需要的 BIOS 设置

正常而言，BIOS 中启用硬件虚拟化，并关闭安全启动，部分新硬件有内存完整性的 BIOS 设置，直接关闭。

一般情况下，BIOS 中硬件虚拟化，DMA、安全启动同时开启并不影响此项禁用。

此处我的 ThinkPad T14p Gen3 是只关闭了 BIOS 中的内存保护，安全启动和 DMA 均开启的。