Sicherheitsempfehlungen für Azure Virtual Desktop

Azure Virtual Desktop ist ein verwalteter virtueller Desktopdienst, der viele Sicherheitsfunktionen enthält, um Ihre Organization zu schützen. Die Architektur von Azure Virtual Desktop besteht aus vielen Komponenten, aus denen der Dienst besteht, der Benutzer mit ihren Desktops und Apps verbindet.

Azure Virtual Desktop verfügt über viele integrierte erweiterte Sicherheitsfeatures, z. B. Reverse Connect, bei dem keine eingehenden Netzwerkports geöffnet sein müssen. Dies verringert das Risiko, das damit verbunden ist, dass Remotedesktops von überall aus zugänglich sind. Der Dienst profitiert auch von vielen weiteren Sicherheitsfeatures von Azure, wie mehrstufige Authentifizierung und bedingter Zugriff. In diesem Artikel werden die Schritte beschrieben, die Sie als Administrator ausführen können, um Ihre Azure Virtual Desktop-Bereitstellungen sicher zu halten, unabhängig davon, ob Sie Desktops und Apps für Benutzer in Ihrer Organization oder externen Benutzern bereitstellen.

Gemeinsame Sicherheitsverantwortlichkeiten

Vor der Einführung von Azure Virtual Desktop erfordern lokale Virtualisierungslösungen wie Remotedesktopdienste, dass Benutzer Zugriff auf Rollen wie Gateway, Broker, Webzugriff usw. erhalten. Diese Rollen mussten vollständig redundant sein und in der Lage sein, Spitzenkapazitäten zu bewältigen. Administratoren installierten diese Rollen als Teil des Windows Server-Betriebssystems und mussten mit bestimmten Ports, auf die öffentliche Verbindungen zugreifen konnten, der Domäne beigetreten sein. Um die Sicherheit der Bereitstellungen zu gewährleisten, mussten Administratoren ständig sicherstellen, dass alles in der Infrastruktur gewartet und auf dem neuesten Stand war.

Bei den meisten Clouddiensten gibt es jedoch gemeinsame Sicherheitsverantwortlichkeiten zwischen Microsoft und dem Kunden oder Partner. Bei Azure Virtual Desktop werden die meisten Komponenten von Microsoft verwaltet, aber Sitzungshosts und einige unterstützende Dienste und Komponenten werden vom Kunden oder vom Partner verwaltet. Weitere Informationen zu den von Microsoft verwalteten Komponenten von Azure Virtual Desktop finden Sie unter Architektur und Ausfallsicherheit von Azure Virtual Desktop.

Während einige Komponenten bereits für Ihre Umgebung gesichert sind, müssen Sie andere Bereiche selbst konfigurieren, um die Sicherheitsanforderungen Ihrer Organization oder Ihres Kunden zu erfüllen. Nachfolgend sind die Komponenten aufgeführt, für deren Sicherheit Sie in Ihrer Azure Virtual Desktop-Bereitstellung verantwortlich sind:

Sicherheitsgrenzwerte

Sicherheitsgrenzen trennen den Code und die Daten von Sicherheitsdomänen mit unterschiedlichen Vertrauensstufen. Beispielsweise gibt es normalerweise eine Sicherheitsgrenze zwischen dem Kernel- und dem Benutzermodus. Die meiste Microsoft-Software und -Dienste sind von mehreren Sicherheitsgrenzen abhängig, um Geräte in Netzwerken, virtuellen Maschinen (VMs) und Anwendungen auf Geräten zu isolieren. In der folgenden Tabelle sind die einzelnen Sicherheitsgrenzen für Windows und ihre Rolle für die allgemeine Sicherheit aufgeführt.

Empfohlene Sicherheitsgrenzwerte für Azure Virtual Desktop-Szenarien

Außerdem müssen Sie bestimmte Entscheidungen hinsichtlich Sicherheitsgrenzen von Fall zu Fall treffen. Wenn beispielsweise ein Benutzer in Ihrer Organization lokale Administratorrechte zum Installieren von Apps benötigt, müssen Sie ihm einen persönlichen Desktop anstelle eines freigegebenen Sitzungshosts zuweisen. Es wird nicht empfohlen, Benutzern in Szenarien mit mehreren Sitzungspools lokale Administratorrechte zu erteilen, da diese Benutzer Sicherheitsgrenzen für Sitzungen oder NTFS-Datenberechtigungen überschreiten, VMs mit mehreren Sitzungen herunterfahren oder andere Dinge tun können, die den Dienst unterbrechen oder Datenverluste verursachen könnten.

Benutzer aus derselben Organization, z. B. Wissensarbeiter mit Apps, für die keine Administratorrechte erforderlich sind, eignen sich hervorragend für Hosts für mehrere Sitzungen wie Windows 11 Enterprise für mehrere Sitzungen. Diese Sitzungshosts reduzieren die Kosten für Ihre Organization, da mehrere Benutzer eine einzelne VM gemeinsam nutzen können, wobei nur die Gemeinkosten einer VM pro Benutzer anfallen. Mit Produkten zur Verwaltung von Benutzerprofilen wie FSLogix können Benutzern beliebige VMs in einem Hostpool zugewiesen werden, ohne dass dies zu Dienstunterbrechungen kommt. Mit dieser Funktion können Sie auch die Kosten optimieren, indem Sie beispielsweise virtuelle Computer außerhalb der Spitzenzeiten herunterfahren.

Wenn Ihre Situation erfordert, dass Benutzer aus verschiedenen Organisationen eine Verbindung mit Ihrer Bereitstellung herstellen, empfehlen wir Ihnen, einen separaten Mandanten für Identitätsdienste wie Active Directory und Microsoft Entra ID zu verwenden. Es wird außerdem empfohlen, ein separates Abonnement für diese Benutzer zum Hosten von Azure-Ressourcen wie Azure Virtual Desktop und VMs zu verwenden.

In vielen Fällen ist die Verwendung von Multisession eine akzeptable Möglichkeit, Kosten zu senken, aber ob wir dies empfehlen, hängt von der Vertrauensstufe zwischen Benutzern mit gleichzeitigem Zugriff auf eine freigegebene Multisession-Instance ab. In der Regel verfügen Benutzer, die derselben Organization angehören, über eine ausreichende und vereinbarte Vertrauensstellung. Beispielsweise ist eine Abteilung oder Arbeitsgruppe, in der Personen zusammenarbeiten und auf persönliche Informationen der anderen zugreifen können, eine organization mit einer hohen Vertrauensstufe.

Windows verwendet Sicherheitsbegrenzungen und Kontrollen, um sicherzustellen, dass Benutzerprozesse und -daten zwischen Sitzungen isoliert sind. Windows bietet jedoch weiterhin Zugriff auf die Instance, an der der Benutzer arbeitet.

Bereitstellungen mit mehreren Sitzungen würden von einer umfassenden Sicherheitsstrategie profitieren, die mehr Sicherheitsgrenzen hinzufügt, die verhindern, dass Benutzer innerhalb und außerhalb der organization nicht autorisierten Zugriff auf persönliche Informationen anderer Benutzer erhalten. Ein nicht autorisierter Datenzugriff geschieht aufgrund eines Fehlers im Konfigurationsprozess des Systemadministrators, z. B. einer nicht offengelegten Sicherheitslücke oder einer bekannten Schwachstelle, die noch nicht behoben wurde.

Es wird nicht empfohlen, Benutzern, die für verschiedene oder konkurrierende Unternehmen arbeiten, Zugriff auf dieselbe Multisessionumgebung zu gewähren. Diese Szenarien weisen mehrere Sicherheitsgrenzen auf, die angegriffen oder missbraucht werden können, z. B. Netzwerk, Kernel, Prozess, Benutzer oder Sitzungen. Eine einzelne Sicherheitslücke kann zu nicht autorisiertem Daten- und Anmeldeinformationsdiebstahl, Verlust persönlicher Informationen, Identitätsdiebstahl und anderen Problemen führen. Anbieter virtualisierter Umgebungen sind dafür verantwortlich, gut konzipierte Systeme mit mehreren starken Sicherheitsgrenzen und zusätzlichen Sicherheitsfunktionen anzubieten, wo immer dies möglich ist.

Die Reduzierung dieser potenziellen Bedrohungen erfordert eine fehlerfreie Konfiguration, einen Patch-Management-Designprozess und regelmäßige Patch-Bereitstellungspläne. Es ist besser, die Prinzipien der tiefgreifenden Verteidigung zu befolgen und Umgebungen getrennt zu halten.

In der folgenden Tabelle sind unsere Empfehlungen für jedes Szenario zusammengefasst.

Best Practices für die Sicherheit in Azure

Azure Virtual Desktop ist ein Dienst unter Azure. Um die Sicherheit Ihrer Azure Virtual Desktop-Bereitstellung zu maximieren, sollten Sie sicherstellen, dass Sie auch die umgebende Azure-Infrastruktur und -Verwaltungsebene sichern. Überlegen Sie, wie sich Azure Virtual Desktop in Ihr größeres Azure-Ökosystem einfügt, um Ihre Infrastruktur zu schützen. Weitere Informationen zum Azure-Ökosystem finden Sie unter Bewährte Methoden und Muster für die Azure-Sicherheit.

Die heutige Bedrohungslandschaft erfordert Designs unter Berücksichtigung von Sicherheitsansätzen. Idealerweise sollten Sie eine Reihe von Sicherheitsmechanismen und Kontrollen erstellen, die über Ihr Computernetzwerk verteilt sind, um Ihre Daten und Ihr Netzwerk vor Kompromittierungen oder Angriffen zu schützen. Diese Art von Sicherheitsdesign wird von der USA Cybersecurity and Infrastructure Security Agency (CISA) als tiefgreifende Abwehr bezeichnet.

Die folgenden Abschnitte enthalten Empfehlungen zum Sichern einer Azure Virtual Desktop-Bereitstellung.

Aktivieren von Microsoft Defender für die Cloud

Es wird empfohlen, die erweiterten Sicherheitsfeatures von Microsoft Defender für Cloud zu aktivieren, um:

• Verwalten von Sicherheitsrisiken.
• Bewerten Sie die Einhaltung gängiger Frameworks wie des PCI Security Standards Council.
• Verbessern Sie die allgemeine Sicherheit Ihrer Umgebung.

Weitere Informationen finden Sie unter Aktivieren erweiterter Sicherheitsfunktionen.

Sicherheitsbewertung verbessern

Secure Score enthält Empfehlungen und Best Practice-Ratschläge zur Verbesserung Ihrer allgemeinen Sicherheit. Diese Empfehlungen werden priorisiert, damit Sie die wichtigsten auswählen können, und die Optionen zur schnellen Problembehebung helfen Ihnen, potenzielle Sicherheitsrisiken schnell zu beheben. Diese Empfehlungen werden ebenfalls im Laufe der Zeit aktualisiert, sodass Sie immer auf dem Laufenden bleiben, welche Möglichkeiten zur Aufrechterhaltung der Sicherheit Ihrer Umgebung am besten geeignet sind. Weitere Informationen finden Sie unter Verbessern Ihrer Sicherheitsbewertung in Microsoft Defender für die Cloud.

Mehrstufige Authentifizierung erfordern

Die mehrstufige Authentifizierung für alle Benutzer und Administratoren in Azure Virtual Desktop verbessert die Sicherheit Ihrer gesamten Bereitstellung. Weitere Informationen finden Sie unter Aktivieren der mehrstufigen Microsoft Entra-Authentifizierung für Azure Virtual Desktop.

Aktivieren von bedingtem Zugriff

Durch Aktivieren des bedingten Zugriffs können Sie Risiken verwalten, bevor Sie Benutzern Zugriff auf Ihre Azure Virtual Desktop-Umgebung gewähren. Bei der Entscheidung, welchen Benutzern Zugriff gewährt werden soll, sollten Sie auch berücksichtigen, wer der Benutzer ist, wie er sich anmeldet und welches Gerät er verwendet.

Erfassen von Überwachungsprotokollen

Durch Aktivieren der Überwachungsprotokollsammlung können Sie Benutzer- und Administratoraktivitäten im Zusammenhang mit Azure Virtual Desktop anzeigen. Einige Beispiele für wichtige Überwachungsprotokolle sind:

• Azure-Aktivitätsprotokoll
• Microsoft Entra-Aktivitätsprotokoll
• Microsoft Entra-ID
• Sitzungshosts
• Key Vault-Protokolle

Überwachen der Nutzung mit Azure Monitor

Überwachen Sie die Nutzung und Verfügbarkeit Ihres Azure Virtual Desktop-Diensts mit Azure Monitor. Erwägen Sie die Erstellung von Dienstintegritätswarnungen für den Azure Virtual Desktop-Dienst, um Benachrichtigungen zu erhalten, wenn ein Ereignis eintritt, das den Dienst beeinträchtigt.

Verschlüsseln von Sitzungshosts

Verschlüsseln Sie Ihre Sitzungshosts mit Verschlüsselungsoptionen für verwaltete Datenträger, um gespeicherte Daten vor unbefugtem Zugriff zu schützen.

Bewährte Sicherheitsmethoden für Sitzungshosts

Sitzungshosts sind virtuelle Computer, die in einem Azure-Abonnement und einem virtuellen Netzwerk ausgeführt werden. Die allgemeine Sicherheit Ihrer Azure Virtual Desktop-Bereitstellung hängt von den Sicherheitskontrollen ab, die Sie auf Sitzungshosts vornehmen. In diesem Abschnitt werden bewährte Methoden zum Schützen Ihrer Sitzungshosts beschrieben.

Aktivieren des Endpunktschutzes

Um Ihre Bereitstellung vor bekannter Schadsoftware zu schützen, wird empfohlen, den Endpunktschutz auf allen Sitzungshosts zu aktivieren. Sie können entweder Windows Defender Antivirus oder ein Drittanbieterprogramm verwenden. Weitere Informationen finden Sie im Bereitstellungshandbuch für Windows Defender Antivirus in einer VDI-Umgebung.

Für Profillösungen wie FSLogix oder andere Lösungen, die virtuelle Festplattendateien bereitstellen, empfehlen wir, diese Dateierweiterungen auszuschließen. Weitere Informationen zu FSLogix-Ausschlüssen finden Sie unter Konfigurieren von Antivirusdatei- und Ordnerausschlüssen.

Installieren eines Produkts für Endpunkterkennung und -reaktion

Es wird empfohlen, ein EDR-Produkt (Endpoint Detection and Response) zu installieren, das erweiterte Funktionen zur Erkennung und Reaktion bietet. Bei Serverbetriebssystemen mit aktiviertem Microsoft Defender for Cloud wird bei der Installation eines EDR-Produkts Microsoft Defender for Endpoint bereitgestellt. Für Clientbetriebssysteme können Sie Microsoft Defender for Endpoint oder ein Drittanbieterprodukt auf diesen Endpunkten bereitstellen.

Aktivieren der Bewertung des Bedrohungs- und Sicherheitsrisikomanagements

Die Identifizierung von Software-Schwachstellen, die in Betriebssystemen und Anwendungen vorhanden sind, ist entscheidend für die Sicherheit Ihrer Umgebung. Microsoft Defender for Cloud kann Ihnen helfen, Problemstellen über die Lösung für Bedrohungs- und Sicherheitsrisikomanagement von Microsoft Defender for Endpoint zu identifizieren. Sie können auch Produkte von Drittanbietern verwenden, wenn Sie möchten, obwohl wir die Verwendung von Microsoft Defender for Cloud und Microsoft Defender for Endpoint empfehlen.

Beheben von Softwareschwachstellen in Ihrer Umgebung

Sobald Sie eine Schwachstelle identifizieren, müssen Sie sie beheben. Dies gilt auch für virtuelle Umgebungen. Dies umfasst die ausgeführten Betriebssysteme, die darin bereitgestellten Anwendungen und die Images, aus denen Sie neue Computer erstellen. Verfolgen Sie die Mitteilungen Ihrer Anbieter-Patch-Benachrichtigungen und wenden Sie Patches rechtzeitig an. Es wird empfohlen, Ihre Basisimages monatlich zu patchen, um sicherzustellen, dass neu bereitgestellte Computer so sicher wie möglich sind.

Festlegen von Inaktivitätslimits und von Trennungsrichtlinien

Durch das Abmelden von inaktiven Benutzern werden Ressourcen erhalten und der Zugriff durch nicht autorisierte Benutzer verhindert. Es wird empfohlen, Timeouts um ein Gleichgewicht zwischen Benutzerproduktivität und Ressourcennutzung zu bringen. Für Benutzer, die mit zustandslosen Anwendungen interagieren, sollten Sie aggressivere Richtlinien in Betracht ziehen, die Computer ausschalten und Ressourcen sparen. Das Trennen von Anwendungen mit langer Ausführungszeit, die weiterhin ausgeführt werden, wenn sich ein Benutzer im Leerlauf befindet, z. B. eine Simulation oder ein CAD-Rendering, kann die Arbeit des Benutzers unterbrechen und sogar einen Neustart des Computers erforderlich machen.

Einrichten von Bildschirmsperren für Leerlaufsitzungen

Sie können unerwünschten Systemzugriff verhindern, indem Sie Azure Virtual Desktop so konfigurieren, dass der Bildschirm eines Computers während der Leerlaufzeit gesperrt wird und für die Entsperrung eine Authentifizierung erforderlich ist.

Mehrstufigen Administratorzugriff einrichten

Es wird empfohlen, Ihren Benutzern keinen Administratorzugriff auf virtuelle Desktops zu gewähren. Wenn Sie Softwarepakete benötigen, empfehlen wir, diese über Konfigurationsverwaltungshilfsprogramme wie Microsoft Intune verfügbar zu machen. In einer Multisessionumgebung empfehlen wir, Benutzer nicht Software direkt installieren zu lassen.

Überlegen Sie, welche Benutzer auf welche Ressourcen zugreifen sollen

Betrachten Sie Sitzungshosts als eine Erweiterung Ihrer vorhandenen Desktopbereitstellung. Es wird empfohlen, den Zugriff auf Netzwerkressourcen auf die gleiche Weise zu steuern wie bei anderen Desktops in Ihrer Umgebung, z. B. mithilfe von Netzwerksegmentierung und -filterung. Standardmäßig können Sitzungshosts eine Verbindung mit jeder Ressource im Internet herstellen. Es gibt mehrere Möglichkeiten, den Datenverkehr einzuschränken, z. B. mithilfe von Azure Firewall, virtuellen Netzwerkgeräten oder Proxys. Wenn Sie den Datenverkehr einschränken müssen, stellen Sie sicher, dass Sie die richtigen Regeln hinzufügen, damit Azure Virtual Desktop ordnungsgemäß funktionieren kann.

Verwalten von Microsoft 365 App Security

Zusätzlich zum Schutz Ihrer Sitzungshosts ist es wichtig, auch die darin ausgeführten Anwendungen zu schützen. Microsoft 365-Apps sind einige der am häufigsten in Sitzungshosts bereitgestellten Anwendungen. Um die Sicherheit der Bereitstellung von Microsoft 365 zu erhöhen, empfehlen wir die Verwendung des Ratgebers für Sicherheitsrichtlinien für Microsoft 365 Apps for Enterprise. Dieses Tool identifiziert Richtlinien, die Sie für mehr Sicherheit auf Ihre Bereitstellung anwenden können. Der Sicherheitsrichtlinienratgeber empfiehlt auch Richtlinien basierend auf ihren Auswirkungen auf Ihre Sicherheit und Produktivität.

Sicherheit von Benutzerprofilen

Benutzerprofile können vertrauliche Informationen enthalten. Sie sollten einschränken, wer Zugriff auf Benutzerprofile hat, und die Methoden für den Zugriff darauf, insbesondere wenn Sie FSLogix Profile Container verwenden, um Benutzerprofile in einer virtuellen Festplatte auf einer SMB-Freigabe zu speichern. Beachten Sie die Sicherheitsempfehlungen des Anbieters Ihrer SMB-Freigabe. Wenn Sie beispielsweise Azure Files zum Speichern dieser virtuellen Festplattendateien verwenden, können Sie private Endpunkte verwenden, um sie nur innerhalb eines virtuellen Azure-Netzwerks zugänglich zu machen.

Tokenschutz

Fordern Sie Tokenschutz auf dem Endpunkt an, auf dem die Windows-App ausgeführt wird, die eine Verbindung mit Azure Virtual Desktop herstellt. Der Tokenschutz gilt nicht für den Sitzungshost. Erfahren Sie mehr über die Unterstützung von Windows-App für den Tokenschutz nach Plattform.

Globaler sicherer Zugriff

Konfigurieren Sie Global Secure Access (GSA) auf Ihren Azure Virtual Desktop-Sitzungshosts, um den Zugriff auf Ihre Apps und Ressourcen zu sichern. Sie können die gleichen Zugriffssteuerungen auf private Anwendungen, Internetanwendungen und M365-Anwendungen auf externe Identitäten erweitern (Vorschau). Erfahren Sie mehr über GSA und wie Sie GSA für den B2B-Gastzugriff konfigurieren.

Weitere Sicherheitstipps für Sitzungshosts

Durch Einschränken der Betriebssystemfunktionen können Sie die Sicherheit Ihrer Sitzungshosts erhöhen. Hier sind ein paar Dinge, die Sie tun können:

• Schränken Sie die Geräteumleitung ein. Laufwerke, Zwischenablage, Drucker und USB-Geräte sind in einer Remotedesktopsitzung standardmäßig auf dem lokalen Gerät eines Benutzers deaktiviert. Es wird empfohlen, Ihre Sicherheitsanforderungen zu bewerten und zu prüfen, ob diese Umleitungen deaktiviert werden sollten oder nicht.

  • Laufwerk: Erwägen Sie die Verwendung von OneDrive for Business, um die Laufwerksumleitung für Dateiübertragungen zu ersetzen.

  • Zwischenablage: Berücksichtigen Sie die Übertragungsrichtung der Zwischenablage , um bidirektionale Übertragungen der Zwischenablage zu ersetzen. Durch Einschränken des Inhaltstyps kann die Zwischenablage aktiviert werden, ohne dass das Risiko besteht, dass Dateien übertragen werden.

  • Drucker: Erwägen Sie Universelles Drucken , um die Druckerumleitung zu ersetzen.

  • USB: Dies muss für viele gängige Peripheriegeräte wie Maus, Tastatur und Webcam nicht aktiviert sein. Erfahren Sie mehr unter Peripherie- und Ressourcenumleitung über das Remotedesktopprotokoll , wann die USB-Umleitung für die undurchsichtige Umleitung auf niedriger Ebene aktiviert werden sollte.

• Schränken Sie den Zugriff auf Windows Explorer ein, indem Sie lokale und Remotelaufwerkzuordnungen ausblenden. Dadurch wird verhindert, dass Benutzer unerwünschte Informationen über die Systemkonfiguration und die Benutzer entdecken.

• Vermeiden Sie den direkten RDP-Zugriff auf Sitzungshosts in Ihrer Umgebung. Wenn Sie direkten RDP-Zugriff für die Verwaltung oder Problembehandlung benötigen, aktivieren Sie den Just-In-Time-Zugriff, um die potenzielle Angriffsfläche auf einem Sitzungshost zu begrenzen.

• Gewähren Sie Benutzern eingeschränkte Berechtigungen für den Zugriff auf lokale und Remotedateisysteme. Sie können Berechtigungen einschränken, indem Sie sicherstellen, dass Ihre lokalen und Remotedateisysteme Zugriffssteuerungslisten mit den geringsten Berechtigungen verwenden. Auf diese Weise können Benutzer nur auf das zugreifen, was sie benötigen, und keine kritischen Ressourcen ändern oder löschen.

• Verhindern, dass unerwünschte Software auf Sitzungshosts ausgeführt wird. RemoteApp ist kein Sicherheitsfeature und verhindert durch seine Verwendung nicht den Start von Anwendungen über die in einer Anwendungsgruppe veröffentlichten Anwendungen hinaus. Um sicherzustellen, dass nur die Anwendungen, die Sie zulassen, auf einem Sitzungshost ausgeführt werden können, können Sie Features der Anwendungssteuerung für Windows wie App-Steuerung oder AppLocker verwenden.

Vertrauenswürdiger Start

Vertrauenswürdiger Start sind virtuelle Azure-Computer mit erweiterten Sicherheitsfunktionen zum Schutz vor dauerhaften Angriffstechniken wie Bedrohungen am unteren Ende des Stapels über Angriffsvektoren wie Rootkits, Bootkits und Schadsoftware auf Kernelebene. Es ermöglicht die sichere Bereitstellung von VMs mit verifizierten Startladeprogrammen, Betriebssystemkernels und Treibern und schützt außerdem Schlüssel, Zertifikate und Geheimnisse auf den VMs. Weitere Informationen zum vertrauenswürdigen Start finden Sie unter Vertrauenswürdiger Start für virtuelle Azure-Computer.

Wenn Sie Sitzungshosts mithilfe von Azure-Portal hinzufügen, ist der Standardsicherheitstyp "Vertrauenswürdige virtuelle Computer". Dadurch wird sichergestellt, dass Ihre VM die zwingenden Anforderungen für Windows 11 erfüllt. Weitere Informationen zu diesen Anforderungen finden Sie unter Unterstützung virtueller Computer.

Azure von virtuellen Confidential Computing-Computern

Die Unterstützung von Azure Virtual Desktop für Azure Confidential Computing-VMs stellt sicher, dass der virtuelle Desktop eines Benutzers im Arbeitsspeicher verschlüsselt, bei der Verwendung geschützt und durch einen Hardware-Vertrauensanker gesichert ist.

Die Bereitstellung vertraulicher virtueller Computer mit Azure Virtual Desktop ermöglicht Benutzern Zugriff auf Microsoft 365 und andere Anwendungen auf Sitzungshosts, die eine hardwarebasierte Isolation verwenden, die die Isolierung von anderen virtuellen Maschinen, dem Hypervisor und dem Hostbetriebssystem verstärkt. Speicherverschlüsselungsschlüssel werden von einem dedizierten sicheren Prozessor innerhalb der CPU generiert und geschützt, der nicht aus der Software gelesen werden kann. Weitere Informationen, einschließlich der verfügbaren VM-Größen, finden Sie in der Übersicht über Azure Confidential Computing.

Die folgenden Betriebssysteme werden für die Verwendung als Sitzungshosts mit vertraulichen virtuellen Computern auf Azure Virtual Desktop für Versionen unterstützt, die aktiv unterstützt werden. Die Supportdaten finden Sie in der Microsoft Lifecycle-Richtlinie.

• Windows 11 Enterprise
• Windows 11 Enterprise Mehrfachsitzung
• Windows 10 Enterprise
• Windows 10 Enterprise für mehrere Sitzungen
• Windows Server 2022
• Windows Server 2019

Sie können Sitzungshosts mithilfe vertraulicher virtueller Computer erstellen, wenn Sie Azure Virtual Desktop bereitstellen oder Sitzungshosts zu einem Hostpool hinzufügen.

Datenträgerverschlüsselung des Betriebssystems

Die Verschlüsselung des Betriebssystemdatenträgers ist eine zusätzliche Verschlüsselungsebene, die Datenträgerverschlüsselungsschlüssel an das Trusted Platform Module (TPM) der Confidential Computing-VM bindet. Durch diese Verschlüsselung kann der Datenträgerinhalt nur für den virtuellen Computer zugänglich gemacht werden. Die Integritätsüberwachung ermöglicht den kryptografischen Nachweis und die Überprüfung der VM-Startintegrität sowie Überwachungswarnungen, wenn die VM nicht gestartet wurde, weil der Nachweis mit der definierten Baseline fehlgeschlagen ist. Weitere Informationen zur Integritätsüberwachung finden Sie unter Microsoft Defender für Cloudintegration. Sie können die vertrauliche Computeverschlüsselung aktivieren, wenn Sie Sitzungshosts mit vertraulichen VMs erstellen, wenn Sie einen Hostpool erstellen oder Sitzungshosts zu einem Hostpool hinzufügen.

Sicherer Start

Der sichere Start ist ein von der Plattformfirmware unterstützter Modus, der Ihre Firmware vor Schadsoftware-basierten Rootkits und Bootkits schützt. In diesem Modus können nur signierte Betriebssysteme und Treiber gestartet werden.

Überwachen der Startintegrität mithilfe des Remotenachweises

Der Remotenachweis ist eine hervorragende Möglichkeit, die Integrität Ihrer virtuellen Computer zu überprüfen. Der Remotenachweis überprüft, ob die Datensätze für kontrollierten Start vorhanden und echt sind und aus dem Virtual Trusted Platform Module (vTPM) stammen. Als Integritätscheck bietet es kryptografische Sicherheit, dass eine Plattform korrekt gestartet wurde.

vTPM

Ein vTPM ist eine virtualisierte Version eines Hardware-TPM (Trusted Platform Module) mit einer virtuellen Instance eines TPM pro VM. vTPM ermöglicht den Remotenachweis durch Integritätsmessungen der gesamten Startkette der VM (UEFI, Betriebssystem, System und Treiber).

Es wird empfohlen, vTPM für die Verwendung des Remotenachweises auf Ihren VMs zu aktivieren. Wenn vTPM aktiviert ist, können Sie die BitLocker-Funktionalität auch mit Azure Disk Encryption aktivieren, das eine Verschlüsselung des gesamten Volumes zum Schutz ruhender Daten bereitstellt. Alle Features, die vTPM verwenden, führen zu Geheimnissen, die an den jeweiligen virtuellen Computer gebunden sind. Wenn Benutzer in einem Poolszenario eine Verbindung mit dem Azure Virtual Desktop-Dienst herstellen, können Benutzer zu einem beliebigen virtuellen Computer im Hostpool umgeleitet werden. Je nachdem, wie das Feature konzipiert ist, kann dies Auswirkungen haben.

Virtualisierungsbasierte Sicherheit

Die virtualisierungsbasierte Sicherheit (VBS) verwendet den Hypervisor, um einen sicheren Speicherbereich zu erstellen und zu isolieren, auf den das Betriebssystem nicht zugreifen kann. Hypervisor-Protected Code Integrity (HVCI) und Windows Defender Credential Guard verwenden VBS, um einen erhöhten Schutz vor Sicherheitsrisiken zu bieten.

Codeintegrität Hypervisor-Protected

HVCI ist eine leistungsstarke Systemminderung, die VBS verwendet, um Windows-Kernelmodusprozesse vor der Einschleusung und Ausführung von bösartigem oder nicht überprüftem Code zu schützen.

Windows Defender Credential Guard

Aktivieren Sie Windows Defender Credential Guard. Windows Defender Credential Guard verwendet VBS, um geheime Schlüssel zu isolieren und zu schützen, damit nur privilegierte Systemsoftware darauf zugreifen kann. Dadurch wird der nicht autorisierte Zugriff auf diese geheimen Schlüssel und Angriffe zum Diebstahl von Anmeldeinformationen, wie z. B. Pass-the-Hash-Angriffe, verhindert. Weitere Informationen finden Sie unter Übersicht über Credential Guard.

Windows Defender Application Control

Aktivieren Sie die Windows Defender-Anwendungssteuerung. Windows Defender Application Control wurde entwickelt, um Geräte vor Schadsoftware und anderer nicht vertrauenswürdiger Software zu schützen. Es verhindert die Ausführung von bösartigem Code, indem sichergestellt wird, dass nur genehmigter Code, den Sie kennen, ausgeführt werden kann. Weitere Informationen finden Sie unter Anwendungssteuerung für Windows.

Der Administratorschutz wird nicht unterstützt

Aktivieren Sie den Administratorschutz nicht auf Azure Virtual Desktop-Sitzungshosts unter Windows 11, auch nicht in benutzerdefinierten Images, die Sie zum Erstellen von Sitzungshosts verwenden. Diese Einstellung ist unter Windows Server nicht verfügbar. Komponenten im Remoteverbindungsstapel benötigen Updates, um mit dem Modell der geringsten Rechte des Administratorschutzes zu funktionieren. Die Unterstützung für diese Umgebung ist für eine zukünftige Version geplant. Konfigurieren Sie in der Zwischenzeit Benutzer als Standardbenutzer, um in dieser Umgebung die geringsten Berechtigungen beizubehalten.

Wenn es aktiviert ist, erhalten Benutzer möglicherweise eine unerwartete Authentifizierungsaufforderung bei der Anmeldung, zusätzliche Genehmigungsaufforderungen für Aufgaben, die eine Erhöhung erfordern, und Fehler bei Erhöhungen. Die Anmeldeaufforderung wirkt sich auf alle Benutzer aus. Die Eingabeaufforderungen und Fehler für erhöhte Rechte betreffen Benutzer mit lokalen Administratorrechten.

Um den Administratorschutz zu deaktivieren, legen Sie die Benutzerkontensteuerung fest: Konfigurieren Sie die Art des Admin-Genehmigungsmodus auf Legacy-Admin-Genehmigungsmodus, und starten Sie dann den Sitzungshost neu.

Windows Update

Halten Sie Ihre Sitzungshosts mit Updates von Windows Update auf dem neuesten Stand. Windows Update bietet eine sichere Möglichkeit, Ihre Geräte auf dem neuesten Stand zu halten. Der End-to-End-Schutz verhindert die Manipulation des Protokollaustauschs und stellt sicher, dass Updates nur genehmigte Inhalte enthalten. Möglicherweise müssen Sie die Firewall- und Proxyregeln für einige Ihrer geschützten Umgebungen aktualisieren, um ordnungsgemäßen Zugriff auf Windows-Updates zu erhalten. Weitere Informationen finden Sie unter Windows Update Sicherheit.

Windows-App-Client und Updates auf anderen Betriebssystemplattformen

Softwareupdates für die Windows-App-Clients, die Sie für den Zugriff auf Azure Virtual Desktop-Dienste auf anderen Betriebssystemplattformen verwenden können, werden gemäß den Sicherheitsrichtlinien ihrer jeweiligen Plattformen geschützt. Alle Clientupdates werden direkt von ihren Plattformen bereitgestellt. Weitere Informationen finden Sie auf den jeweiligen Store-Seiten für jede App:

• macOS
• iOS
• Android

Nächste Schritte

• Informationen zum Einrichten der mehrstufigen Authentifizierung.
• Anwenden von Zero Trust-Prinzipien auf eine Azure Virtual Desktop-Bereitstellung.