HP ProBook 455 G7 bloqué sur un ancien domaine : récupération et réinstallation de Windows sans accès au BIOS

Un étudiant en faculté m’a confié un HP ProBook 455 G7 devenu inutilisable à la suite d’un problème d’authentification Windows.

Le portable démarrait correctement, mais Windows 10 était toujours rattaché à un ancien domaine informatique EDU. Le poste essayait donc d’authentifier l’utilisateur auprès d’une infrastructure qui n’était plus accessible.

Le message affiché à l’ouverture de session était explicite :

« Nous n’avons pas pu vous connecter avec ces informations d’identification, car votre domaine n’est pas disponible. »

Le compte utilisateur dépend toujours de l’ancien domaine EDU, désormais inaccessible.

Un deuxième problème : impossible de démarrer sur une clé USB

Dans ce genre de situation, la solution classique consiste à démarrer le PC sur une clé USB de maintenance ou directement sur une clé d’installation de Windows.

Sur le HP ProBook 455 G7, la touche F9 permet normalement d’accéder au menu de démarrage et F10 aux paramètres du BIOS.

Mais sur cette machine, une protection supplémentaire était présente : le BIOS était protégé par un mot de passe administrateur inconnu.

Plus gênant encore, le mot de passe était également demandé pour accéder au Boot Menu F9.

Impossible de sélectionner une clé USB : le menu de démarrage est lui aussi protégé par le mot de passe administrateur BIOS.

Peut-on simplement réinitialiser le BIOS ?

Sur certains anciens ordinateurs, retirer la pile CMOS ou effectuer un Clear CMOS pouvait permettre de réinitialiser certains paramètres du BIOS.

Sur les machines professionnelles HP comme ce ProBook 455 G7, ce n’est pas une solution permettant de supprimer le mot de passe administrateur BIOS.

HP indique pour ses PC professionnels qu’un mot de passe BIOS perdu ou oublié ne peut pas être réinitialisé par la procédure de support habituelle. La solution officielle indiquée par HP est le remplacement de la carte mère.

Retirer la pile interne aurait donc principalement réinitialisé certains paramètres matériels, sans résoudre notre problème de mot de passe.

Le choix a donc été fait de ne pas intervenir sur le BIOS et de trouver une solution permettant de travailler malgré son verrouillage.

Sauvegarde et analyse du disque

Cette configuration du ProBook était équipée d’un disque SATA 2,5 pouces.

Le disque a été retiré du portable puis connecté sur un poste de maintenance afin de vérifier son contenu et de sauvegarder les données importantes avant toute autre intervention.

Premier point positif : le disque n’était pas chiffré avec BitLocker.

Il était donc possible d’accéder aux données et notamment au dossier de sauvegarde indiqué par le propriétaire.

Cette étape est importante : avant toute manipulation d’un système Windows déjà en difficulté, les données du client doivent être sécurisées en priorité.

Recherche d’un compte administrateur local

L’analyse de l’installation Windows a montré que le compte habituellement utilisé appartenait au domaine EDU.

Mais plusieurs comptes locaux existaient également sur la machine, dont un ancien compte disposant des droits administrateur.

L’analyse hors ligne de Windows révèle la présence d’un compte administrateur local encore exploitable.

L’accès à ce compte local a permis de remettre le disque dans le ProBook et de démarrer Windows normalement.

Pour demander explicitement à Windows d’utiliser un compte local plutôt que le domaine, la syntaxe suivante peut être utilisée :

.\utilisateur

Le préfixe .\ signifie simplement : utiliser le compte de cet ordinateur et non celui d’un domaine.

Création d’un nouveau compte pour le propriétaire

Une fois l’accès administrateur local récupéré, un nouveau compte local a été créé pour le propriétaire actuel du PC.

Ce compte a ensuite été ajouté au groupe Administrateurs.

La commande :

whoami

permet de vérifier immédiatement sous quel compte la session est ouverte.

Un nouveau compte administrateur local permet désormais d’utiliser le poste indépendamment du compte EDU.

Le PC était alors à nouveau utilisable.

Mais il restait toujours techniquement membre de l’ancien domaine.

Vérification du rattachement au domaine

Pour connaître précisément l’état de la machine, la commande suivante a été utilisée :

dsregcmd /status

Elle indiquait notamment :

AzureAdJoined : NO
EnterpriseJoined : NO
DomainJoined : YES
DomainName : EDU

Le poste est toujours joint à un domaine Active Directory classique, mais n’est pas rattaché à Azure AD / Microsoft Entra ID.

Cela confirmait donc qu’il ne s’agissait pas d’un simple compte Windows restant sur la machine : Windows lui-même était toujours membre du domaine EDU.

Pourquoi ne pas simplement sortir le PC du domaine ?

La solution classique consiste à modifier l’appartenance du poste et à le replacer dans un groupe de travail, par exemple :

WORKGROUP

Mais Windows demande alors les identifiants d’un compte autorisé par l’ancien domaine.

La méthode classique de sortie du domaine nécessite des identifiants de l’ancienne infrastructure, qui ne sont évidemment pas disponibles.

Le nouveau compte local permettait bien d’utiliser le PC, mais conserver cette ancienne configuration n’était pas souhaitable pour une remise en état définitive.

Une installation Windows très fortement personnalisée

L’analyse des fichiers présents sur le disque a également permis de retrouver un ancien journal du déploiement informatique de la machine.

Il confirmait que cette installation de Windows avait été préparée automatiquement depuis une infrastructure WDS/MDT et largement adaptée à son ancien environnement scolaire.

On y retrouvait notamment des traces de :

• GLPI et FusionInventory ;
• Kaspersky Network Agent ;
• WSUS ;
• WAPT ;
• configuration KWARTZ ;
• stratégies de groupe ;
• scripts PowerShell ;
• nombreuses modifications du registre ;
• activation du protocole SMB1 ;
• paramètres spécifiques de sécurité et d’administration.

Le poste n’avait donc pas simplement été « joint à un domaine ». Son installation complète avait été préparée pour fonctionner dans une infrastructure informatique administrée.

Dans ces conditions, essayer de supprimer manuellement toutes les anciennes stratégies et tous les composants aurait été beaucoup moins propre qu’une réinstallation complète de Windows.

Réinstaller Windows sans pouvoir démarrer sur une clé USB

Restait le principal problème : le BIOS et le Boot Menu étaient toujours verrouillés.

Impossible donc de procéder de manière classique en démarrant directement sur une clé USB Windows.

Mais puisque nous disposions maintenant d’une session administrateur locale fonctionnelle, une autre méthode était possible.

Une image ISO de Windows 10 a été montée directement depuis Windows puis le programme :

setup.exe

a été lancé depuis la session locale.

Après les différents contrôles de compatibilité, Windows Setup proposait l’installation de Windows avec l’option :

Ne rien conserver

Windows Setup est lancé directement depuis l’installation existante avec l’option « Ne rien conserver ».

Cette méthode présente ici un avantage essentiel : il n’est pas nécessaire de démarrer sur la clé USB après le redémarrage.

Windows Setup prépare les fichiers nécessaires sur le disque interne, configure temporairement Windows Boot Manager, puis redémarre automatiquement pour poursuivre l’installation.

Le BIOS continue donc simplement à démarrer sur le disque interne, comme il le faisait auparavant.

Finalisation de l’installation

Après plusieurs redémarrages, l’installation de Windows 10 s’est terminée normalement.

Point important dans cette intervention : à aucun moment il n’a été nécessaire d’accéder au BIOS ou au Boot Menu F9. Toute la phase d’installation s’est poursuivie automatiquement depuis le disque interne.

Une fois arrivé sur le nouveau bureau Windows, un compte local a été configuré pour l’étudiant et les premières vérifications ont été effectuées.

Vérification : le domaine EDU a bien disparu

L’objectif principal était de rendre ce portable totalement indépendant de son ancienne infrastructure.

Une nouvelle vérification avec :

dsregcmd /status

affiche désormais :

AzureAdJoined : NO
EnterpriseJoined : NO
DomainJoined : NO

La différence avec la situation initiale est donc claire : le HP ProBook n’est désormais rattaché à aucun domaine Active Directory, Azure AD ou environnement d’entreprise.

La vérification finale confirme la disparition complète de l’ancien rattachement au domaine EDU.

Activation de Windows

L’activation de Windows a également été vérifiée après la réinstallation.

Le système est bien reconnu comme activé de manière permanente, ce qui permet de disposer d’un Windows pleinement opérationnel après sa remise en état.

Windows est correctement activé après la réinstallation.

Windows Update et mise à jour du BIOS HP

La remise en service s’est poursuivie avec Windows Update, afin d’installer les dernières mises à jour disponibles ainsi que les pilotes nécessaires au HP ProBook 455 G7.

Le Gestionnaire de périphériques signalait initialement une anomalie concernant HP S79 System Firmware.

Lors d’un redémarrage demandé par Windows Update, le portable a automatiquement lancé une mise à jour officielle du BIOS HP.

Windows Update prend également en charge la mise à jour du firmware du HP ProBook.

Cette étape est particulièrement intéressante dans le contexte de cette intervention : le BIOS restait toujours protégé par son mot de passe administrateur, mais la mise à jour officielle du firmware a néanmoins pu être installée automatiquement sans avoir à entrer dans les paramètres du BIOS.

Après la dernière phase de mise à jour, le portable s’est éteint automatiquement puis a redémarré normalement sous Windows.

Réintégration des données de l’utilisateur

Avant la réinstallation de Windows, les données personnelles présentes sur l’ancien disque avaient été sauvegardées sur un support externe. Une fois le nouveau Windows correctement installé, mis à jour et vérifié, ces données ont été réintégrées dans le nouveau profil utilisateur.

Les fichiers utiles ont ainsi pu retrouver leur place sur la nouvelle installation sans conserver les anciens profils, paramètres ou éléments liés au domaine EDU.

Cette étape permet de repartir sur un système propre tout en conservant les documents personnels de l’étudiant.

Installation des logiciels utiles

Une fois Windows et les pilotes à jour, les logiciels nécessaires à l’étudiant ont été remis en place.

L’objectif était de conserver une machine simple et légère, adaptée à son utilisation quotidienne, avec notamment :

• OpenOffice pour la bureautique ;
• Google Chrome ;
• VLC Media Player ;
• SumatraPDF ;
• GIMP ;
• 7-Zip.

L’étudiant utilisant déjà OpenOffice, il n’était pas nécessaire d’installer une suite Microsoft Office supplémentaire.

Un PC de nouveau autonome

Au terme de l’intervention, le HP ProBook 455 G7 est redevenu un ordinateur totalement autonome :

• Windows a été réinstallé proprement ;
• l’ancien domaine EDU a disparu ;
• un compte utilisateur local est utilisé ;
• Windows est activé ;
• les mises à jour système ont été appliquées ;
• le firmware HP a été mis à jour ;
• les logiciels nécessaires à l’étudiant ont été installés.

Tout cela a pu être réalisé sans connaître ni supprimer le mot de passe administrateur du BIOS et sans jamais avoir besoin de démarrer sur une clé USB.

Conclusion

Cette intervention présentait une difficulté inhabituelle : le PC était à la fois bloqué par son ancien domaine et protégé par un BIOS empêchant tout démarrage sur un support externe.

La récupération temporaire d’un accès administrateur local a permis de lancer directement une nouvelle installation de Windows depuis le système existant.

Le résultat est un HP ProBook 455 G7 de nouveau pleinement opérationnel, propre, activé et totalement indépendant de son ancienne infrastructure EDU, prêt à reprendre du service pour les études de son propriétaire.