Protection des entrées (préversion)

Importante

La protection des entrées est en préversion publique. Reportez-vous aux Conditions d’utilisation supplémentaires pour les préversions Microsoft Azure pour connaître les conditions juridiques applicables aux fonctionnalités Azure qui sont en version bêta, en préversion ou qui n’ont pas encore été mises en disponibilité générale. Si vous souhaitez en savoir plus sur les aperçus dans Windows 365, veuillez consulter cette page.

Vue d’ensemble

Les PC cloud Windows 365 chiffrent déjà les sessions et appliquent des méthodes d’authentification basées sur l’identité, telles que l’authentification multifacteur (MFA), afin d’empêcher les détournements d’avion et les attaques d’intercepteur. Toutefois, la réduction des risques liés aux menaces qui peuvent résider sur l’appareil connecté, telles que les enregistreurs de frappe, peut toujours compromettre les données sensibles, entraînant des risques de conformité et des pertes financières.

La protection des entrées comble cette lacune avec un pilote au niveau du noyau et un chiffrement au niveau du système qui achemine en toute sécurité les frappes directement vers le PC cloud, en contournant les couches de système d’exploitation vulnérables aux programmes malveillants. Lorsque vous activez cette fonctionnalité sur un hôte de session Cloud PC ou Azure Virtual Desktop, elle applique un modèle d’approbation strict :

  • Seuls les appareils physiques de point de terminaison protégés peuvent se connecter.
  • La protection d’entrée MSI doit être installée sur les points de terminaison.
  • Les points de terminaison doivent être inscrits auprès de votre organisation (inscrit à Microsoft Entra ou joint à Microsoft Entra).

Si le MSI est manquant ou si le point de terminaison n’est pas inscrit auprès de votre organisation, la connexion est bloquée et un message d’erreur s’affiche. Ce modèle garantit un canal sécurisé entre application Windows et l’hôte de session Cloud PC ou Azure Virtual Desktop, offrant une protection des entrées sans compromis.

Configurations prises en charge

Cette fonctionnalité prend en charge les configurations suivantes :

  • PC cloud ou hôte de session : Hôte de session Windows 365 PC Cloud PC ou Azure Virtual Desktop exécutant une version du système d’exploitation client Windows prise en charge ou Windows Server.
  • Clients pris en charge : application Windows sur Windows, lors de l’exécution sur un appareil Windows 11 physique et avec le MSI de protection d’entrée installé.
  • Clients non pris en charge : appareils de point de terminaison virtuels (VM), macOS, iOS, Android, navigateurs web et appareils Windows sur lesquels le MSI de protection des entrées n’est pas installé, y compris les appareils Windows 365 Link.

Installer le MSI de protection d’entrée

Configuration requise

  • Le point de terminaison doit être un appareil physique (les machines virtuelles ne sont pas prises en charge) exécutant Windows 11.
  • L’utilisateur doit disposer des droits d’Administration local pour installer la MSI.
  • application Windows version 2.0.1236.0 ou ultérieure. Effectuez une mise à jour vers la dernière version disponible à partir du Microsoft Store.
  • Le point de terminaison doit être inscrit auprès de la même organisation (client Microsoft Entra) que celle qui fournit le PC cloud ou l’hôte de session protégé, c’est-à-dire que l’appareil doit être inscrit auprès de Microsoft Entra ou joint à Microsoft Entra. Pour connaître les étapes à suivre, consultez Enregistrer l’appareil de point de terminaison.

Installer le MSI

  1. Lorsqu’un utilisateur tente de se connecter à partir d’un appareil physique sans le MSI de protection d’entrée à un hôte de session Windows 365 PC Cloud ou Azure Virtual Desktop, le message d’erreur suivant s’affiche :

    Capture d’écran du message d’erreur car le client de protection du clavier n’est pas installé.

  2. Téléchargez et installez la MSI appropriée :

Inscrire l’appareil de point de terminaison

Importante

La protection des entrées nécessite que le point de terminaison de connexion soit inscrit auprès de la même organisation (client Microsoft Entra) que celle qui fournit l’hôte de session Cloud PC ou Azure Virtual Desktop protégé. L’appareil doit être inscrit auprès de Microsoft Entra ou être joint à Microsoft Entra. Si le point de terminaison n’est pas inscrit, la validation de la connexion échoue et l’utilisateur reçoit un code 0x705d’erreur qui indique que le point de terminaison n’est pas inscrit.

Pour inscrire le point de terminaison, ajoutez un compte professionnel ou scolaire pour l’organisation qui fournit la ressource protégée :

  1. Sur le point de terminaison, ouvrez Paramètres>Comptes>Accès Professionnel ou Scolaire.
  2. Sélectionnez Se connecter, puis connectez-vous avec les informations d’identification de l’organisation qui fournit le PC cloud ou l’hôte de session protégé.
  3. Une fois l’inscription terminée, redémarrez application Windows ou reconnectez-vous.

Remarque

Immédiatement après l’enregistrement du périphérique, les premières tentatives de connexion peuvent échouer avec un code 0x702d’erreur. Si cela se produit, déconnectez-vous de l’application application Windows, supprimez le compte de l’application application Windows, connectez-vous à nouveau, puis reconnectez-vous.

Configurer la protection des entrées

Vous pouvez configurer la protection des entrées pour Azure Virtual Desktop (portail Azure) et pour Windows 365 (Intune).

Remarque

Si vous avez précédemment activé cette fonctionnalité à l’aide de la clé fWCIOKeyboardInputProtectionde Registre, procédez comme suit pour la supprimer. La prise en charge des clés de Registre pour Azure Virtual Desktop et Windows 365 sera déconseillée en faveur des propriétés RDP.

  1. Ouvrez l’application Éditeur du Registre.
  2. Accédez à la page HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows NT\Terminal Services.
  3. Supprimer fWCIOKeyboardInputProtection.

Configurer pour Azure Virtual Desktop

  1. Connectez-vous au Portail Azure.

  2. Accédez à l’ongletavancé despropriétés> RDP du pool> d’hôtes.

  3. Entrez enablewindowscloudiokeyboardinputprotection:i:1 comme indiqué dans la capture d’écran suivante :

    Capture d’écran du paramètre enablewindowscloudiokeyboardinputprotection dans les propriétés RDP du portail Azure.

    Pour arrêter d’appliquer la protection des entrées pour le pool d’hôtes, définissez la valeur de la propriété sur enablewindowscloudiokeyboardinputprotection:i:0.

Configurer pour Windows 365

  1. Connectez-vous au Centre d’administration Microsoft Intune.

  2. Accédez à Appareils>(phrasefix)Windows 365Paramètres>>Créer>une expérience de connexion à distance (préversion).

    Capture d’écran montrant l’expérience de connexion à distance des propriétés RDP Win365.

  3. Créez un objet d’expérience de connexion à distance et accédez aux Paramètres de configuration pour activer la protection des entrées.

    Capture d’écran montrant le paramètre de protection des entrées des propriétés Win365 RDP.

  4. Une fois que vous avez créé l’objet d’expérience de connexion à distance et sélectionné Activer pour la protection des entrées, le paramètre prend effet. 2.In la section Devoirs, sélectionnez un groupe de Entra contenant le PC cloud, et non l’utilisateur.

    Pour désactiver la protection des entrées, supprimez ou annulez l’attribution du paramètre Expérience de connexion à distance des PC cloud cibles.

Valider la protection

Une fois que vous avez activé la protection des entrées, vérifiez que la mise en œuvre fonctionne comme prévu :

  1. À partir d’un point de terminaison physique Windows 11 utilisant l’application application Windows sur laquelle le MSI de protection d’entrée est installé, connectez-vous à un PC cloud ou à un hôte de session sur lequel la protection d’entrée est activée. La connexion réussit.
  2. À partir d’un point de terminaison Windows 11 utilisant une application application Windows sur laquelle le MSI n’est pas installé, essayez de vous connecter à la même ressource protégée. La connexion est bloquée et un message d’erreur s’affiche.
  3. Confirmez que les connexions aux ressources pour lesquelles la protection des entrées n’est pas activée continuent de fonctionner à partir des deux points de terminaison.

Pour surveiller la protection des entrées sur votre client, utilisez Cloud PC Monitoring (préversion) et passez en revue l’événement de KeyboardInputProtectionState connexion sur la page d’intégrité de la connexion. Pour connaître les étapes à suivre, consultez la section Protection des entrées et des sorties du moniteur.

Résoudre les problèmes de protection des entrées

En cas d’échec de la connexion ou si MSI ne s’installe pas comme prévu, recueillez les informations suivantes avant de contacter le support Microsoft :

  • Journal d’installation MSI : %TEMP%\msi*.log, généré lors de l’installation MSI.
  • Journaux des points de terminaison : C:\Program Files\Windows Cloud IO Protection\logs.
  • Versions du client et du package : la version de l’application application Windows et la version MSI installée.
  • Architecture de point de terminaison : x64 ou ARM64.
  • Type de ressource : Pool d’hôtes Windows 365 PC Cloud PC ou Azure Virtual Desktop.
  • ID d’activité : En cas d’erreur de connexion, sélectionnez Afficher les détails, puis copiez l’ID d’activité.

Si l’entrée au clavier ne semble pas répondre dans une session, sélectionnez dans la fenêtre de session à distance et réessayez avant de collecter les journaux.

  • Dernière mise à jour :