Protección de entrada (versión preliminar)

Información general

Los PC en la nube con Windows 365 ya cifran las sesiones y aplican métodos de autenticación basados en identidades, como la autenticación multifactor (MFA), para evitar secuestros y ataques de intermediario. Sin embargo, la reducción de los riesgos derivados de amenazas que puedan residir en el dispositivo conectado, como los virus de la pestaña, puede poner en peligro los datos confidenciales, lo que conlleva riesgos de cumplimiento normativo y pérdidas financieras.

La protección de entrada resuelve esta brecha con un controlador a nivel de kernel y un cifrado a nivel de sistema que enruta de forma segura las pulsaciones de teclas directamente a la PC en la nube, omitiendo las capas del sistema operativo vulnerables al malware. Cuando se habilita esta característica en un PC en la nube o en un host de sesión de Azure Virtual Desktop, se aplica un modelo de confianza estricto:

• Solo se pueden conectar dispositivos físicos de punto de conexión protegidos.
• Los puntos de conexión deben tener instalado MSI de protección de entrada.
• Los puntos de conexión deben estar registrados en su organización (registrado en Microsoft Entra o unido a Microsoft Entra).

Si falta el MSI o el punto de conexión no está registrado con su organización, la conexión se bloquea y aparece un mensaje de error. Este modelo garantiza un canal seguro entre Aplicación de Windows y el PC en la nube o el host de sesión de Azure Virtual Desktop, lo que ofrece protección de entrada sin concesiones.

Configuraciones compatibles

Esta característica admite las siguientes configuraciones:

• PC en la nube o host de sesión: PC en la nube Windows 365 o host de sesión de Azure Virtual Desktop que ejecuta una versión compatible del sistema operativo de cliente de Windows o de Windows Server.
• Clientes compatibles: Aplicación de Windows en Windows, cuando se ejecuta en un dispositivo físico con Windows 11 y con la protección de entrada MSI instalada.
• Clientes no compatibles: Dispositivos de punto de conexión virtual (VM), MACS, IOS, Android, exploradores web y dispositivos Windows que no tienen instalada la protección de entrada MSI, incluidos los dispositivos de Windows 365 Link.

Instalar la protección de entrada MSI

Requisitos previos

• El punto de conexión debe ser un dispositivo físico (no se admiten máquinas virtuales) que ejecute Windows 11.
• El usuario debe tener derechos de Administración local para instalar el MSI.
• Aplicación de Windows versión 2.0.1236.0 o posterior. Actualiza a la versión más reciente desde Microsoft Store.
• El punto de conexión debe estar registrado en la misma organización (inquilino de Microsoft Entra) que proporciona el equipo en la nube protegido o el host de sesión; es decir, el dispositivo debe estar registrado en Microsoft Entra o unido a Microsoft Entra. Para conocer los pasos, consulte Registrar el dispositivo de punto de conexión.

Instalar MSI

1. Cuando un usuario intenta conectarse desde un dispositivo físico sin la protección de entrada MSI a un host de sesión de PC en la nube Windows 365 o Azure Virtual Desktop, aparece el siguiente mensaje de error:

   

2. Descargue e instale el MSI adecuado:

   • Windows x64
   • Windows ARM 64

Registrar el dispositivo de punto de conexión

Para registrar el punto de conexión, agregue una cuenta profesional o educativa para la organización que proporciona el recurso protegido:

1. En el punto de conexión, abra Configuración>Cuentas>Acceso a trabajo o escuela.
2. Seleccione Conectar e inicie sesión con las credenciales de la organización que proporciona el PC en la nube protegido o el host de sesión.
3. Cuando finalice el registro, reinicie Aplicación de Windows o vuelva a conectarse.

Configurar la protección de entrada

Puede configurar la protección de entrada para Azure Virtual Desktop (Portal de Azure) y para Windows 365 (Intune).

Configurar para Azure Virtual Desktop

1. Inicie sesión en el portal de Azure.

2. Vaya a la pestañaAvanzadas de propiedades> de RDPdelgrupo> de hosts.

3. Entrar enablewindowscloudiokeyboardinputprotection:i:1 como se muestra en la siguiente captura de pantalla:

   

   Para dejar de aplicar la protección de entrada para el grupo de hosts, establezca el valor de la propiedad en enablewindowscloudiokeyboardinputprotection:i:0.

Configurar para Windows 365

1. Inicie sesión en el Centro de administración de Microsoft Intune.

2. Navegar a dispositivos>: configuración de creación de>> conexiones remotas de Windows 365>(versión preliminar).

   

3. Cree un objeto de experiencia de conexión remota y vaya a Opciones de configuración para habilitar la protección de entrada.

   

4. Después de crear el objeto Experiencia de conexión remota y seleccionar Habilitar para protección de entrada, la configuración surte efecto. 2.In la sección Asignaciones, seleccione un grupo Entra que contenga el PC en la nube, no el usuario.

   Para deshabilitar la protección de entrada, quite o anule la asignación de la configuración de Experiencia de conexión remota de los equipos en la nube de destino.

Validar protección

Después de habilitar la protección de entrada, confirme que el cumplimiento funciona según lo previsto:

1. Desde un punto de conexión físico Windows 11 que use Aplicación de Windows que tenga instalada la protección de entrada MSI, conéctese a un PC en la nube o host de sesión que tenga habilitada la protección de entrada. La conexión se realiza correctamente.
2. Desde un punto de conexión de Windows 11 con la Aplicación de Windows que no tiene el MSI instalado, intente conectarse al mismo recurso protegido. La conexión se bloquea y aparece un mensaje de error.
3. Confirme que las conexiones a los recursos que no tienen habilitada la protección de entrada siguen funcionando desde ambos puntos de conexión.

Para supervisar la protección de entrada en todo el espacio empresarial, use la supervisión de PC en la nube (versión preliminar) y revise el evento de conexión en la página de estado de KeyboardInputProtectionState la conexión. Para conocer los pasos, consulte Protección de entrada y salida del monitor.

Solucionar problemas de protección de entrada

Si se produce un error en una conexión o el MSI no se instala según lo esperado, recopile la siguiente información antes de ponerse en contacto con el soporte técnico de Microsoft:

• Registro de instalación de MSI: %TEMP%\msi*.log, generado durante la instalación de MSI.
• Registros de puntos de conexión: C:\Program Files\Windows Cloud IO Protection\logs.
• Versiones de cliente y paquete: la versión de Aplicación de Windows y la versión de MSI instalada.
• Arquitectura de punto de conexión: x64 o ARM64.
• Tipo de recurso: PC en la nube Windows 365 o grupo de hosts de Azure Virtual Desktop.
• Id. de actividad: En caso de error de conexión, seleccione Ver detalles y, a continuación, copie el identificador de actividad.

Si parece que la entrada del teclado no responde en una sesión, selecciónela dentro de la ventana de la sesión remota e inténtelo de nuevo antes de recopilar registros.