Eingabeschutz (Vorschau)

Übersicht

Windows 365 Cloud-PCs verschlüsseln bereits Sitzungen und erzwingen identitätsbasierte Authentifizierungsmethoden wie die mehrstufige Authentifizierung (MFA), um Hijacking und Man-in-the-Middle-Angriffe zu verhindern. Wenn Sie jedoch die Risiken durch Bedrohungen verringern, die auf dem Connect-Gerät vorhanden sein können, z. B. Keylogger, können vertrauliche Daten weiterhin kompromittiert werden, was zu Compliance-Risiken und finanziellen Verlusten führen kann.

Der Eingabeschutz schließt diese Lücke mit einem Treiber auf Kernel-Ebene und einer Verschlüsselung auf Systemebene, die Tastenanschläge sicher direkt an den Cloud-PC weiterleitet und so die für Malware anfälligen Betriebssystemebenen umgeht. Wenn Sie dieses Feature auf einem Cloud-PC oder einem Azure Virtual Desktop-Sitzungshost aktivieren, wird ein striktes Vertrauensmodell erzwungen:

• Nur physische Endpunktgeräte können eine Verbindung herstellen.
• Auf Endpunkten muss die Eingabeschutz-MSI installiert sein.
• Endpunkte müssen bei Ihrer organization registriert sein (Microsoft Entra registriert oder Microsoft Entra beigetreten).

Wenn das MSI-Paket fehlt oder der Endpunkt nicht bei Ihrer organization registriert ist, wird die Verbindung blockiert und eine Fehlermeldung wird angezeigt. Dieses Modell stellt einen sicheren Kanal zwischen Windows-App und dem Sitzungshost Cloud PC oder Azure Virtual Desktop sicher und bietet kompromisslosen Eingabeschutz.

Unterstützte Konfigurationen

Dieses Feature unterstützt die folgenden Konfigurationen:

• Cloud-PC oder Sitzungshost: Windows 365 Cloud-PC oder Azure Virtual Desktop-Sitzungshost mit einer unterstützten Windows-Clientbetriebssystemversion oder Windows Server.
• Unterstützte Clients: Windows-App unter Windows, wenn sie auf einem physischen Windows 11-Gerät ausgeführt wird und die Eingabeschutz-MSI installiert ist.
• Nicht unterstützte Clients: Geräte mit virtuellen Endpunkten (Virtual Endpoint Devices, VMs), macOS, iOS, Android, Webbrowser und Windows-Geräte, auf denen die Eingabeschutz-MSI nicht installiert ist, einschließlich Windows 365 Link-Geräte.

Installieren der MSI-Datei für den Eingabeschutz

Voraussetzungen

• Der Endpunkt muss ein physisches Gerät sein (virtuelle Computer werden nicht unterstützt), auf dem Windows 11 ausgeführt wird.
• Der Benutzer muss über lokale Admin-Rechte verfügen, um die MSI-Datei zu installieren.
• Windows-App Version 2.0.1236.0 oder neuer. Aktualisieren Sie im Microsoft Store auf die neueste Version.
• Der Endpunkt muss bei derselben organization (Microsoft Entra-Mandant) registriert sein, die den geschützten Cloud-PC oder Sitzungshost bereitstellt – das heißt, das Gerät muss bei Microsoft Entra registriert oder Microsoft Entra beigetreten sein. Schritte finden Sie unter Registrieren des Endpunktgeräts.

Installieren des MSI-Pakets

1. Wenn ein Benutzer versucht, von einem physischen Gerät ohne Eingabeschutz-MSI eine Verbindung mit einem Windows 365 Cloud-PC oder Azure Virtual Desktop-Sitzungshost herzustellen, wird die folgende Fehlermeldung angezeigt:

   

2. Laden Sie die entsprechende MSI-Datei herunter, und installieren Sie sie:

   • Windows x64
   • Windows ARM 64

Registrieren des Endpunktgeräts

Um den Endpunkt zu registrieren, fügen Sie ein Geschäfts-, Schul- oder Unikonto für die organization hinzu, die die geschützte Ressource bereitstellt:

1. Öffnen Sie auf dem Endpunkt Einstellungen>Konten>Zugriff auf Geschäfts-, Schul- oder Unikonto.
2. Wählen Sie Verbinden aus, und melden Sie sich dann mit den Anmeldeinformationen für die organization an, die den geschützten Cloud-PC oder Sitzungshost bereitstellt.
3. Starten Sie nach Abschluss der Registrierung die Windows-App neu, oder stellen Sie die Verbindung wieder her.

Konfigurieren des Eingabeschutzes

Sie können den Eingabeschutz für Azure Virtual Desktop (Azure-Portal) und für Windows 365 (Intune) konfigurieren.

Konfigurieren für Azure Virtual Desktop

1. Melden Sie sich beim Azure-Portal an.

2. Navigieren Sie zur RegisterkarteRDP-Eigenschaften>des Hostpools>Erweitert.

3. Geben Sie wie im folgenden Screenshot gezeigt ein enablewindowscloudiokeyboardinputprotection:i:1 :

   

   Um die Erzwingung des Eingabeschutzes für den Hostpool zu beenden, setzen Sie den Eigenschaftswert auf enablewindowscloudiokeyboardinputprotection:i:0.

Konfigurieren für Windows 365

1. Melden Sie sich beim Microsoft Intune Admin Center an.

2. Navigieren Sie zu Geräte>:Windows 365-Einstellungen>>Remoteverbindungserlebnis erstellen>(Vorschau).

   

3. Erstellen Sie ein Remoteverbindungs-Experience-Objekt, und navigieren Sie zu Konfigurationseinstellungen , um den Eingabeschutz zu aktivieren.

   

4. Nachdem Sie das Remote Connection Experience-Objekt erstellt und FürEingabeschutz aktivieren ausgewählt haben, wird die Einstellung wirksam. 2.In Abschnitt "Aufgaben" wählen Sie eine Entra Gruppe aus, die den Cloud-PC enthält, nicht den Benutzer.

   Um den Eingabeschutz zu deaktivieren, entfernen Sie die Einstellung "Remoteverbindungserfahrung" von den Cloud-Zielcomputern, oder heben Sie deren Zuweisung auf.

Schutz überprüfen

Nachdem Sie den Eingabeschutz aktiviert haben, überprüfen Sie, ob die Erzwingung wie erwartet funktioniert:

1. Stellen Sie von einem physischen Windows 11-Endpunkt mit Windows-App, auf dem die Eingabeschutz-MSI installiert ist, eine Verbindung mit einem Cloud-PC oder Sitzungshost her, auf dem der Eingabeschutz aktiviert ist. Die Verbindung ist erfolgreich.
2. Versuchen Sie von einem Windows 11-Endpunkt mit Windows-App, auf dem die MSI nicht installiert ist, eine Verbindung mit derselben geschützten Ressource herzustellen. Die Verbindung ist blockiert und eine Fehlermeldung wird angezeigt.
3. Vergewissern Sie sich, dass Verbindungen mit Ressourcen, für die der Eingabeschutz nicht aktiviert ist, von beiden Endpunkten aus weiterhin funktionieren.

Um den Eingabeschutz in Ihrem Mandanten zu überwachen, verwenden Sie die Cloud-PC-Überwachung (Vorschau), und überprüfen Sie das KeyboardInputProtectionState Verbindungsereignis auf der Seite " Verbindungsintegrität ". Die Schritte finden Sie unter Überwachen des Eingangs- und Ausgangsschutzes.

Problembehandlung für Eingabeschutz

Wenn eine Verbindung fehlschlägt oder das MSI-Paket nicht wie erwartet installiert wird, sammeln Sie die folgenden Informationen, bevor Sie sich an den Microsoft-Support wenden:

• MSI-Installationsprotokoll: %TEMP%\msi*.log, wird während der MSI-Installation generiert.
• Endpunktprotokolle: C:\Program Files\Windows Cloud IO Protection\logs.
• Client- und Paketversionen: Die Windows-App-Version und die installierte MSI-Version.
• Endpunktarchitektur: x64 oder ARM64
• Ressourcentyp: Windows 365 Cloud-PC oder Azure Virtual Desktop-Hostpool
• Aktivitäts-ID: Wählen Sie bei einem Verbindungsfehler Details anzeigen aus, und kopieren Sie dann die Aktivitäts-ID.

Wenn die Tastatureingabe in einer Sitzung nicht zu reagieren scheint, wählen Sie innerhalb des Remotesitzungsfensters aus und versuchen Sie es erneut, bevor Sie Protokolle sammeln.