Contourner TPM 2.0 pour installer Windows 11 sur une VM

Apprendre à contourner TPM 2.0 VM Windows 11 est devenu un passage obligé pour tout administrateur qui déploie des machines virtuelles Windows sur un hyperviseur ne présentant pas de module TPM virtuel. Entre les exigences de Microsoft, les contraintes des hyperviseurs KVM/QEMU et les besoins réels en labo, ce tutoriel 2026 détaille les méthodes fiables pour installer Windows 11 sans blocage.

Pourquoi Windows 11 exige TPM 2.0 en environnement virtualisé

Depuis sa sortie, Windows 11 impose plusieurs prérequis matériels : TPM 2.0, Secure Boot, un CPU compatible et un minimum de 4 Go de RAM. Dans une VM, ces contrôles posent souvent problème car l'hyperviseur n'expose pas toujours un vTPM (TPM virtuel) par défaut.

Le TPM (Trusted Platform Module) est un composant cryptographique qui stocke clés, mesures d'intégrité et secrets de chiffrement. En production, il sécurise BitLocker et l'attestation de démarrage. Mais en contexte de test, de CI/CD ou de déploiement rapide sur un VPS, l'absence de puce TPM ne doit pas bloquer l'installation.

Le message d'erreur classique

Lors de l'installation, Windows 11 affiche : « Ce PC ne peut pas exécuter Windows 11 ». C'est le signal que le programme d'installation a détecté l'absence de TPM 2.0 ou de Secure Boot. L'objectif ici est de neutraliser ces vérifications proprement, sans casser la VM.

Quand contourner TPM a du sens

• Laboratoires de test et environnements éphémères.
• Pipelines d'automatisation où le provisioning doit être rapide.
• Hyperviseurs anciens ne supportant pas le vTPM.
• Images Windows légères pour validation applicative.

En production, privilégiez toujours l'activation d'un vTPM réel plutôt qu'un contournement. Le bypass reste une solution de confort technique, pas une recommandation de sécurité.

Méthodes pour contourner TPM 2.0 VM Windows 11 pendant l'installation

Il existe plusieurs approches pour contourner TPM 2.0 VM Windows 11. La plus propre consiste à activer un vTPM côté hyperviseur. Si ce n'est pas possible, on modifie le registre pendant le setup. Voici les deux voies principales.

Méthode 1 : le registre pendant le setup (la plus rapide)

Au moment où le message de blocage apparaît, ouvrez une invite de commandes avec Maj + F10, puis lancez regedit.

1. Naviguez jusqu'à HKEY_LOCAL_MACHINE\SYSTEM\Setup.
2. Créez une clé nommée LabConfig.
3. Dans cette clé, ajoutez trois valeurs DWORD (32 bits) :

BypassTPMCheck    = 1
BypassSecureBootCheck = 1
BypassRAMCheck    = 1

Fermez l'éditeur de registre, revenez à l'écran d'installation et relancez. Le contrôle TPM est désormais ignoré. Cette méthode est la plus universelle car elle fonctionne quel que soit l'hyperviseur sous-jacent.

Méthode 2 : contourner dès le premier écran

Pour éviter de progresser jusqu'à l'erreur, vous pouvez injecter la clé dès le tout premier écran d'installation. Ouvrez Maj + F10 et exécutez directement en PowerShell :

reg add "HKLM\SYSTEM\Setup\LabConfig" /v BypassTPMCheck /t REG_DWORD /d 1 /f
reg add "HKLM\SYSTEM\Setup\LabConfig" /v BypassSecureBootCheck /t REG_DWORD /d 1 /f
reg add "HKLM\SYSTEM\Setup\LabConfig" /v BypassRAMCheck /t REG_DWORD /d 1 /f
reg add "HKLM\SYSTEM\Setup\LabConfig" /v BypassCPUCheck /t REG_DWORD /d 1 /f

L'ajout de BypassCPUCheck couvre aussi les cas où le CPU virtuel exposé par la VM n'est pas reconnu comme compatible.

Méthode 3 : modifier l'ISO avec un fichier autounattend

Pour un déploiement automatisé, intégrez le bypass directement dans un fichier autounattend.xml placé à la racine du média d'installation. Dans la section specialize ou via un RunSynchronousCommand, vous injectez les mêmes clés de registre. Cette approche est idéale dans un pipeline CI/CD où aucune interaction manuelle n'est souhaitée.

Comparatif des méthodes

Méthode	Interaction	Cas d'usage
Registre via Maj+F10	Manuelle	Installation ponctuelle
vTPM côté hyperviseur	Configuration VM	Production / BitLocker
autounattend.xml	Automatisée	Déploiement en masse

Activer un vTPM côté hyperviseur KVM/QEMU

La solution la plus durable n'est pas de contourner TPM 2.0 VM Windows 11 mais de fournir un vrai TPM virtuel. Sur Linux avec KVM/QEMU, le paquet swtpm émule un TPM 2.0 complet. C'est la méthode recommandée quand vous gérez votre propre hyperviseur sur un VPS Linux OmegaCloud.

Installer swtpm sous Debian/Ubuntu

sudo apt update
sudo apt install swtpm swtpm-tools libtpms0

Déclarer le vTPM dans libvirt

Éditez la définition de la machine avec virsh edit nom-de-la-vm et ajoutez dans la section <devices> :

<tpm model='tpm-crb'>
  <backend type='emulator' version='2.0'/>
</tpm>

Assurez-vous également que le firmware est en mode UEFI (OVMF) avec Secure Boot, condition nécessaire pour que Windows 11 détecte correctement l'environnement :

sudo apt install ovmf
systemctl restart libvirtd

Après redémarrage de la VM, Windows 11 reconnaît le TPM 2.0 et l'installation se déroule sans contournement. Vous bénéficiez alors d'un support complet de BitLocker et de l'attestation de démarrage.

Vérifier le TPM dans Windows

Une fois Windows installé, vérifiez l'état du module en exécutant dans PowerShell :

Get-Tpm

Le champ TpmPresent doit retourner True et TpmReady également. Vous pouvez aussi lancer tpm.msc pour obtenir un rapport graphique complet.

Et sur un VPS Windows managé ?

Si vous ne voulez pas gérer l'hyperviseur vous-même, un VPS Windows OmegaCloud est livré avec une licence Windows Server incluse et un environnement RDP prêt à l'emploi. L'infrastructure sous-jacente (KVM, SSD SAS, kernel récent) est déjà configurée, ce qui évite la plupart des manipulations de firmware. Vous récupérez une machine opérationnelle sans devoir contourner quoi que ce soit.

Sécuriser et automatiser une VM Windows en production

Contourner TPM est acceptable en labo, mais une VM exposée doit être durcie. Voici les bonnes pratiques terrain pour un déploiement sérieux.

Durcissement réseau et accès

• Restreindre l'accès RDP à des IP connues via le pare-feu Windows.
• Activer la 2FA sur votre panel de gestion.
• Renommer le compte administrateur par défaut.
• Désactiver les protocoles obsolètes (SMBv1, TLS 1.0).

La protection anti-DDoS volumétrique est déjà gérée au niveau de l'infrastructure OmegaCloud, de façon transparente et kernel-level. Vous n'avez pas à installer d'agent ou de service de scrubbing : le filtrage volumétrique est inclus par défaut.

Gérer l'accès depuis une station Linux

Si vous administrez votre parc depuis Linux, générez une paire de clés dédiée pour vos accès SSH aux hyperviseurs ou aux VPS Linux de bastion :

ssh-keygen -t ed25519 -C "admin-infra"
ssh-copy-id -i ~/.ssh/id_ed25519.pub user@hyperviseur

Sur le serveur de rebond, limitez les connexions avec un pare-feu simple :

sudo ufw default deny incoming
sudo ufw allow 22/tcp
sudo ufw enable

Automatiser le provisioning Windows 11

Pour industrialiser le déploiement, combinez un autounattend.xml intégrant le bypass TPM avec un pipeline GitHub Actions ou GitLab CI. L'API REST et les webhooks disponibles via les Integrations & API OmegaCloud permettent de déclencher reboot, reinstall et snapshots sans intervention manuelle.

Snapshots avant toute manipulation

Avant de modifier le registre ou le firmware d'une VM, créez un snapshot. Le panel OmegaCloud propose snapshots, console KVM et reinstall en 1 clic, ce qui réduit drastiquement le risque en cas de manipulation ratée. Un snapshot bien placé transforme une erreur critique en simple rollback.

Pour les détails officiels des prérequis et de la configuration TPM, consultez la documentation Microsoft Learn.

Contourner le TPM reste une méthode de confort : documentez toujours la raison du bypass dans vos runbooks pour que vos équipes sachent qu'une VM n'applique pas les contrôles d'intégrité standards.

Conclusion

Contourner TPM 2.0 sur une VM Windows 11 se fait proprement via le registre, un fichier autounattend ou, mieux encore, l'activation d'un vTPM avec swtpm. Chaque méthode répond à un contexte précis. En production, privilégiez le TPM réel et le durcissement systématique. En labo, le bypass reste un gain de temps appréciable, à condition de rester rigoureux sur la traçabilité.

FAQ

Le contournement TPM empêche-t-il les mises à jour de Windows 11 ?

Non, les mises à jour fonctionnent dans la grande majorité des cas. Microsoft peut toutefois afficher un avertissement sur les configurations non supportées. Pour les montées de version majeures, prévoyez un snapshot avant l'opération afin de pouvoir revenir en arrière si un blocage survient.

Vaut-il mieux activer un vTPM ou contourner la vérification ?

Activez un vTPM dès que l'hyperviseur le permet, via swtpm sous KVM/QEMU par exemple. Vous obtenez le support complet de BitLocker et de l'attestation. Le contournement reste réservé aux labos, tests éphémères ou hyperviseurs anciens ne supportant pas l'émulation TPM.

Comment vérifier que le TPM est actif après installation ?

Exécutez Get-Tpm en PowerShell ou ouvrez tpm.msc. Si TpmPresent et TpmReady retournent True, le module fonctionne. Si vous avez utilisé le bypass, ces valeurs seront False, ce qui est normal mais signifie que BitLocker nécessitera une configuration alternative.