Installer le bac à sable de Windows 10 ou 11 (Windows Sandbox)

3. Processus utilisés par le Bac à sable Windows

Lorsque le Bac à sable Windows est ouvert, vous verrez l'application "Client Bac à sable Windows" et le processus en arrière-plan "Bac à sable Windows" apparaitre dans le gestionnaire des tâches.

Si vous descendez un peu plus bas, vous trouverez aussi le processus "Vmmem.exe" qui a tendance à consommer beaucoup de ressources.
En effet, il s'agit de l'instance du bureau virtuel sous Windows 10 ou 11 Entreprise.

Lorsque le Bac à sable Windows est ouvert, voici ce que donne le gestionnaire de tâches sur notre ordinateur physique.

Et voici ce qu'il se passe lorsqu'il est fermé.

Néanmoins, sachez que les ressources système (CPU / RAM) sont partagées entre le Windows 10 ou 11 installé sur votre ordinateur physique et celui fonctionnant dans le bureau virtuel (Bac à sable Windows).

4. Configurer le Bac à sable Windows

A partir du build 18342 (ce qui correspond à la version 19H1 ou 1903) de Windows 10, vous pouvez configurer le Bac à sable grâce à un script ayant pour extension ".wsb".

Grâce à ce fichier de configuration, vous pourrez :

• activer ou non l'utilisation d'un GPU (carte graphique) virtualisé
• configurer la mise en réseau pour le bac à sable
• mapper des dossiers de l'ordinateur physique dans le bac à sable. Ce qui simplifie la copie de fichiers entre l'ordinateur physique et le bac à sable, mais cela pourra aussi permettre aussi aux virus d'arriver sur votre ordinateur physique si vous lancez un logiciel malveillant dans le bac à sable.
• exécuter automatiquement une commande au démarrage du bac à sable Windows
• configurer l'entrée micro et l'utilisation de la webcam (caméra) depuis le bac à sable Windows
• configurer des paramètres de sécurité pour la session RDP dans le bac à sable Windows
• partager les imprimantes de votre ordinateur physique dans le bac à sable Windows
• activer la redirection du presse-papier pour pouvoir copier du texte ou des fichiers entre l'ordinateur physique et le bac à sable sans pour autant que les fichiers de l'ordinateur physique ne soient visibles facilement depuis le bac à sable Windows
• configurer la quantité de mémoire (en Mo) que vous souhaitez attribuer au bac à sable Windows

Sur le site de Microsoft, vous trouverez un script permettant d'accéder au dossier "Téléchargements publics" de votre ordinateur physique depuis le Windows 10 ou 11 installé dans le bac à sable Windows.

Voici quelques explications :

• HostFolder : indique que le dossier "C:\Users\Public\Downloads" sera accessible depuis le bac à sable Windows
• SandboxFolder : dans le bac à sable, le contenu du dossier ci-dessus, sera accessible à l'emplacement "C:\Users\WDAGUtilityAccount\Downloads".
  WDAGUtilityAccount étant le nom de l'utilisateur par défaut dans le bac à sable Windows.
  Ce qui veut dire que vous trouverez le contenu du dossier "Téléchargements publics" dans le dossier "Téléchargements" de l'utilisateur actuel connecté dans le bac à sable Windows.
• Readonly : indique que le dossier partagé depuis votre ordinateur physique ne sera accessible qu'en lecture seule. Ce qui empêchera les virus lancés dans le bac à sable Windows d'infecter votre ordinateur physique.
• LogonCommand : la commande "explorer.exe ..." sera exécutée au lancement du bac à sable Windows et affichera dans ce cas-ci, le contenu du dossier "Téléchargements" de l'utilisateur par défaut du bac à sable Windows.

XML

<Configuration>
  <VGpu>Disable</VGpu>
  <Networking>Disable</Networking>
  <MappedFolders>
    <MappedFolder>
      <HostFolder>C:\Users\Public\Downloads</HostFolder>
      <SandboxFolder>C:\Users\WDAGUtilityAccount\Downloads</SandboxFolder>
      <ReadOnly>true</ReadOnly>
    </MappedFolder>
  </MappedFolders>
  <LogonCommand>
    <Command>explorer.exe C:\users\WDAGUtilityAccount\Downloads</Command>
  </LogonCommand>
</Configuration>

Collez ce script dans le bloc-notes (par exemple).

Puis, cliquez sur : Fichier -> Enregistrer sous.

Indiquez "Downloads.wsb" (par exemple, tant que l'extension est ".wsb"), sélectionnez "Type : Tous les fichiers" et cliquez sur : Enregistrer.

Dans le dossier "Téléchargements publics" de notre ordinateur physique, nous avons créé un fichier "test file.txt".

Comme vous pouvez le voir, les scripts dont l'extension est ".wsb" sont reconnus automatiquement par le bac à sable Windows et possèdent donc une icône bleue et blanche comme ci-dessous.
Faites un double clic dessus pour lancer le bac à sable avec ce fichier de configuration.

Une fois le bac à sable ouvert, vous verrez que l'explorateur de fichiers s'ouvrira tout seul dans le bac à sable Windows et que son contenu sera celui du dossier "Téléchargements publics" de l'ordinateur physique.

Pour l'utilisateur "WDAGUtilityAccount", vous pouvez facilement voir qu'il s'agit de l'utilisateur sous lequel vous êtes automatiquement connecté dans le bac à sable Windows.

5. Comment fonctionne le bac à sable de Windows 10 ou 11 ?

5.1. Image du bac à sable Windows basée sur la copie de Windows déjà installée

Contrairement à un ordinateur virtuel (ou machine virtuelle) classique, le bac à sable n'utilise pas une image disque (disque dur virtuel) séparée, mais est basé sur l'image de Windows installée sur votre ordinateur.

En effet, comme l'indique Microsoft dans sa documentation officielle, certains fichiers de Windows sont immuables (= ne changent pas) et peuvent donc être partagés avec le bac à sable Windows.
Cette partie immuable de Windows est représentée en vert sur l'image ci-dessous.

Pour l'autre partie, représentée en jaune sur l'image ci-dessous, il s'agit de la partie mutable (= qui change). Pour ces fichiers mutables, Windows possède donc une copie de ces fichiers pour pouvoir les utiliser dans ce bac à sable Windows.
Cette partie de Windows pèse 30 Mo en version compressée sur votre ordinateur et pèse 500 Mo une fois que celle-ci est décompressée (lorsque vous installez le bac à sable Windows sur votre ordinateur sous Windows 10 ou 11).

Ceci permet de diminuer fortement l'espace disque nécessaire pour stocker le bac à sable sur votre ordinateur et permet de ne pas nécessiter le téléchargement d'une copie complète de Windows, comme ce serait le cas avec une machine virtuelle classique.

5.2. Gestion de la mémoire vive (RAM)

Contrairement à une solution de virtualisation où vous allouez souvent une quantité de RAM fixe, vous n'avez pas besoin de gérer l'allocation de la mémoire vive pour celui-ci étant donné que les ressources sont partagées de façon transparente entre l'hôte et le bac à sable Windows.
Cela est dû notamment au fait que le bac à sable fonctionne en tant que conteneur et non comme une machine virtuelle qui serait complètement indépendante du système hôte.

Cette technique permet également de diminuer la quantité de mémoire vive requise pour faire fonctionner le bac à sable Windows (Windows Sandbox) étant donné que seule la quantité de mémoire vive requise sera utilisée lorsque cela est nécessaire. (Voir schéma de gauche.)
Contrairement à une machine virtuelle à qui on devrait allouer tout le temps 4GB de RAM (par exemple). (Voir schéma de droite).

5.3. Partage de la mémoire vive (RAM)

Sans rentrer trop dans les détails, les données (processus, documents ouverts actuellement, ...) stockées temporairement dans la mémoire vive (RAM) de votre ordinateur sont stockées dans ce qu'on appelle des pages (que vous pouvez comparer à des boites si vous le souhaitez).

Etant donné que la mémoire vive d'une machine virtuelle est isolée de l'ordinateur physique (hôte), si vous ouvrez le même fichier dans l'ordinateur hôte et dans la machine virtuelle, ce fichier sera stocké à 2 endroits différents de la mémoire vive (comme vous pouvez le voir sur la partie gauche du schéma ci-dessous).

En ce qui concerne ce nouveau bac à sable Windows, étant donné que la mémoire vive (RAM) est partagée entre l'ordinateur hôte et le bac à sable, un même fichier ouvert sur l'ordinateur hôte et dans le bac à sable ne prendra qu'une seule fois la place en mémoire vive (RAM).
Autrement dit, la page de la mémoire vive dans laquelle ce fichier se trouve sera partagée entre l'ordinateur hôte et le bac à sable Windows.
Ce qui permet de diminuer la quantité de mémoire vive nécessaire pour faire fonctionner le bac à sable Windows en même temps que l'ordinateur hôte.

5.4. Planification des processeurs virtuels

Avec un ordinateur virtuel, c'est l'hyperviseur Windows qui gère la planification des processeurs virtuels de cet ordinateur virtuel.
Pour le bac à sable Windows, une technologie nommée "Planification intégrée" permet à l'hôte de décider quand le bac à sable obtiendra ses cycles de processeurs.

Ceci permet de gérer les processeurs virtuels comme des threads hôtes et ainsi de mieux gérer la priorité des différents processus (qu'ils soient exécutés sur l'ordinateur hôte ou dans le bac à sable Windows).

5.5. Virtualisation de la carte graphique (WDDM)

Grâce à ses partenaires, Microsoft peut intégrer des fonctionnalités de virtualisation graphique modernes dans Microsoft DirectX et WDDM (Wwindows Display Driver Model).
Cela vous permet d'obtenir une expérience d'utilisation fluide et de lancer sans problème des applications gourmandes en graphisme.

Pour que ceci puisse fonctionner correctement, il faut que votre graphique ainsi que son pilote graphique soit compatible avec WDDM 2.5 ou plus récent.
Dans le cas contraire, le bac à sable utilisera la plateforme de rastérisation avancée Windows (WARP).

5.6. Partage des infos de batterie

Grâce au fonctionnement différent de ce bac à sable, celui-ci est aussi en mesure de connaitre l'état de la batterie de votre PC portable (le cas échéant) et il peut donc s'adapter en conséquence pour diminuer sa consommation énergétique.
Ce qui permet d'améliorer l'autonomie de la batterie de votre PC portable.

Pour plus d'informations concernant le fonctionnement de ce bac à sable Windows, consultez la page : Architecture Bac à sable Windows | Microsoft Docs.