Azure Virtual Desktop & Windows 365 で画面キャプチャ保護を有効にする

透 かしと共に画面キャプチャ保護は、特定のオペレーティング システム (OS) の機能や API を使用してクライアント デバイスで機密データがキャプチャされるのを防ぐのに役立ちます。 スクリーン キャプチャ保護を有効にすると、スクリーンショットと画面共有でリモート コンテンツが自動的にブロックされます。 この機能は、Azure Virtual Desktop 仮想マシンと Windows 365 クラウド PC に適用できます。

Screen Capture Protection (SCP) を有効にしてクライアントで画面キャプチャをブロックする場合、ユーザーは Microsoft Teams などのサポートされているコラボレーション エクスペリエンスを使用してリモート デスクトップまたは個々のアプリケーションを引き続き共有できます。 SCP と Teams の画面共有の互換性は、サポートされているクライアント構成の使用状況によって異なります。 サポートされていない構成を使用すると、共有中に保護されたコンテンツが黒い画面として表示されることがあります。 Teams との現在の互換性要件と構成ガイダンスについては、 ここを参照してください。

重要

スクリーン キャプチャ保護では、デジタル著作権管理 (DRM) レベルの保護は提供されません。 標準の OS 機能と API による画面キャプチャを防ぎ、DRM ソリューションの代わりではありません。 包括的なデータ保護のために、条件付きアクセス ポリシー、データ損失防止、エンドポイント管理などの他の制御を含む、より広範な多層防御セキュリティ戦略の一部として、スクリーン キャプチャ保護を使用します。

ヒント

  • 機密情報のセキュリティを強化するには、クリップボード、ドライブ、プリンターのリダイレクトも無効にする必要があります。 リダイレクトを無効にすると、ユーザーがリモート セッションからコンテンツをコピーできなくなります。 サポートされているリダイレクト値の詳細については、「 デバイス リダイレクト」を参照してください。

  • 物理カメラで画面の写真を撮るなど、他の画面キャプチャ方法の使用を抑えるには、透 かしを有効にして、管理者が QR コードを使用してセッションをトレースすることができます。

構成の決定

画面キャプチャ保護を構成する手順は、構成する場所、ユーザーが接続しているプラットフォーム、および実現するシナリオによって異なります。

  • Windows および macOS デバイス: Intune デバイス構成ポリシーまたはグループ ポリシーを使用して仮想マシン (Azure Virtual Desktop) またはクラウド PC (Windows 365) を構成することで、画面キャプチャを防止します。 Windows アプリ またはリモート デスクトップ クライアントは、追加の構成なしでスクリーン キャプチャ保護設定を強制します。

    仮想マシンまたはクラウド PC で画面キャプチャ保護を構成する場合、要件を満たすためにさらに 2 つの設定を構成できます。

    • クライアントでの画面キャプチャをブロック: リモート セッションで実行されているアプリケーションのローカル デバイスからの画面キャプチャを防止します。

    • クライアントとサーバーでの画面キャプチャのブロック: リモート セッションで実行されているアプリケーションのローカル デバイスからの画面キャプチャを防止します。ただし、仮想マシンまたはクラウド PC 内のツールやサービスが画面をキャプチャすることも防止します。

    このシナリオでは、各プラットフォーム タイプから接続した場合の結果を以下に示します。

プラットフォーム 接続が許可されている スクリーン キャプチャがブロックされました
Windows ✅ ✅
macOS ✅ ✅
iOS/iPadOS    ✅¹    ✅¹
Android    ✅ 1    ✅ 1
Web    ✅ 1    ✅ 1

1. ハイブリッドの適用 (iOS/iPadOS/Android/Web): 仮想マシンまたはクラウド PC で Screen Capture Protection が有効になっている場合、画面キャプチャをブロックする Intune MAM アプリ保護ポリシーによって保護されている場合、管理されている iOS/iPadOS および Android デバイスからの接続が許可されます。 Web では、Microsoft Edge for Business からの接続は、Edge の仕事用プロファイルが、Edge データ損失防止 (DLP) 機能を通じて画面キャプチャ保護を強制する Intune MAM アプリ保護ポリシーを受け取った場合に許可されます。 ハイブリッドの適用は、Intune MAM をサポートしていないプラットフォームには適用されません。

注:

ハイブリッドの適用には、次の最小バージョンのアプリが必要です。

  • iOS/iPadOS: Windows アプリ バージョン 11.2.4
  • Android: Windows アプリ バージョン 11.0.0.94 (またはそれ以降、ハイブリッドの強制をサポートする)
  • Web: Edge for Windows でサポートされている適用

  • Android、iOS/iPadOS、Web 接続: Microsoft Intune モバイル アプリケーション管理 (MAM) を使用してローカル デバイスを構成すると、画面キャプチャが防止されます。 仮想マシンまたはクラウド PC 内のツールとサービスが画面をキャプチャすることを妨げることはありません。 詳細については、「Microsoft Intune を使用してローカル デバイス リダイレクト設定を管理する」を参照してください。

    このシナリオでは、各プラットフォーム タイプから接続した場合の結果を以下に示します。

プラットフォーム 接続が許可されている スクリーン キャプチャがブロックされました
Windows ✅ ❌
macOS ✅ ❌
iOS/iPadOS ✅ ✅
Android ✅ ✅
Web ✅    ✅ 1

1. Web では、ユーザーが Edge for Business に接続し、Intune MAM アプリ保護ポリシーを受け取ると、Edge for Business Microsoft Edge for Business のデータ損失防止 (DLP) 機能によって画面キャプチャ保護が適用されます。 構成手順については、「 Intune MAM による画面キャプチャ保護を有効にする」を参照してください。

重要

Android および iOS/iPadOS デバイス、および Web クライアント (Windows) の場合、スクリーン キャプチャ保護は Intune モバイル アプリケーション管理 (MAM) を通じて適用されます。 いずれの場合も、2 つを構成します。画面キャプチャ保護を適用する Intune MAM アプリ保護ポリシーと、ポリシーがクライアントに適用されている場合にのみユーザーが接続できるようにアプリ保護ポリシーを必要とする条件付きアクセス ポリシーです。 正確なアプリ保護ポリシー設定はプラットフォームによって異なります。Android と iOS/iPadOS では画面キャプチャを直接ブロックしますが、Web では Microsoft Edge for Business を構成し、画面キャプチャ保護はエッジのデータ損失防止 (DLP) 機能によって適用されます。 これは、管理者が構成した SCP (Windows および macOS) が Intune で有効になっている場合にサポートされるモデルです。 構成手順については、「 Intune MAM による画面キャプチャ保護を有効にする」を参照してください。

macOS でのスクリーン キャプチャ保護に関するプラットフォームの考慮事項

Windows では完全にサポートされていますが、macOS ではプラットフォームの現在のセキュリティ アーキテクチャにより、既知の制限事項があります。

  • Microsoft Teams の互換性: macOS では、画面キャプチャ保護を有効にすると、Microsoft Teams での画面共有が妨げられ、共有ウィンドウが空白で表示されたり、正しく表示されなかったりする可能性があります。 Teams ベースの共同作業が必要な場合は、デバイスで画面キャプチャ保護を一時的に無効にすることが必要な場合があります。

  • プラットフォーム レベルの強制: macOS の制限により、一部のネイティブ アプリケーションは、スクリーン キャプチャ保護の強制を完全に尊重しない場合があります。 これはオペレーティング システムで使用できる API の制限であり、画面キャプチャ保護自体の欠陥ではありません。

これらの制限事項に関する推奨事項を次に示します。

  • コラボレーションの多い macOS ワークフローの場合は、ビジネス ニーズとリスク レベルに基づいて画面キャプチャの保護設定を構成することを検討してください。

  • 機密性の高いコンテンツの場合は、画面保護機能を完全に適用するために Windows エンドポイントをお勧めします。

  • 透かしと管理ポリシーを使用して、施行力が限定されたプラットフォームでの悪用をさらに阻止できます。

管理デプロイ パターン

次のパターンでは、スクリーン キャプチャ保護の一般的な展開シナリオについて説明します。

パターン 1: デスクトップ エンドポイント (Windows および macOS)

ユーザーが Windows または macOS デバイスからのみ接続する場合は、Intune デバイス構成ポリシーまたはグループ ポリシーを使用して、仮想マシン (Azure Virtual Desktop) またはクラウド PC (Windows 365) で画面キャプチャ保護を構成します。 MAM 構成は必要ありません。

  • 画面キャプチャ保護を有効にした仮想マシン (Azure Virtual Desktop) またはクラウド PC (Windows 365) を構成します。
  • Windows アプリ とリモート デスクトップ クライアントは、保護を自動的に適用します。

パターン 2: 混合エンドポイント (Windows/macOS および Android/iOS)

ユーザーがデスクトップ デバイスとモバイル デバイスの両方から接続する場合は、ハイブリッド強制を使用します。 仮想マシンまたはクラウド PC と Intune MAM アプリ保護ポリシーの両方でスクリーン キャプチャ保護を構成します。

  • 画面キャプチャ保護が有効になっている仮想マシン (Azure Virtual Desktop) またはクラウド PC (Windows 365) を構成します (Intune またはグループ ポリシー)。
  • Intune MAM アプリ保護ポリシーを構成して、Android および iOS/iPadOS デバイスで画面キャプチャをブロックします。
  • Android および iOS/iPadOS では、Windows アプリ はハイブリッド強制をサポートします。管理者が構成した SCP と MAM ポリシーの両方が画面キャプチャをブロックする場合、接続は許可され、画面キャプチャはブロックされます。 MAM ポリシーで画面キャプチャがブロックされない場合、Android および iOS/iPadOS の接続はブロックされます。

パターン 3: Web エンドポイント (ブラウザー アクセス)

ユーザーが Web クライアントから接続する場合は、Microsoft Edge for Business を通じて画面キャプチャ保護を適用します。 リモート リソースへのブラウザー アクセスに必要なアプリ保護ポリシーを必要とする条件付きアクセス ポリシーを、Microsoft Edge を対象とする Windows 用の Intune MAM アプリ保護ポリシーと共に構成します。

  • リモート リソース (Windows 365 または Azure Virtual Desktop) を対象とし、Windows デバイス プラットフォームとブラウザー クライアント アプリに適用され、アプリ保護ポリシーを必要とする条件付きアクセス ポリシーを作成します。
  • Microsoft Edge を対象とし、切り取り、コピー、貼り付けを組織のソースと宛先に制限する Windows 用の Intune MAM アプリ保護ポリシーを作成します。これにより、Edge の作業プロファイル全体で画面キャプチャ保護がアクティブになります。
  • 構成手順については、「 Intune MAM による画面キャプチャ保護を有効にする」を参照してください。

前提条件

スクリーン キャプチャ保護を構成する前に、次の前提条件を満たしていることを確認してください:

  • 仮想マシンまたはクラウド PC を構成する必要があるシナリオでは、それらの仮想マシンまたはクラウド PC が Windows 11、バージョン 22H2 以降、または Windows 10、バージョン 22H2 以降を実行している必要があります。

  • 画面キャプチャ保護を使用するには、ユーザーは Windows アプリ またはリモート デスクトップ アプリを使用して Azure Virtual Desktop に接続する必要があります。 次の表に、サポートされているシナリオを示します。

    • Windows アプリ:

      プラットフォーム 最小バージョン デスクトップ セッション RemoteApp セッション
      Windows の Windows アプリ 任意 はい はい。 ローカル デバイス OS は、Windows 11 バージョン 22H2 以降である必要があります。
      macOS の Windows アプリ 任意 はい はい
      iOS/iPadOS の Windows アプリ 11.2.4 はい はい
      Android の Windows アプリ¹ 11.0.0.94 はい はい

      1. Intune MAM は Chrome OS ではサポートされていないため、Chrome OS のサポートは含まれません。

    • リモート デスクトップ クライアント:

      プラットフォーム 最小バージョン デスクトップ セッション RemoteApp セッション
      Windows (デスクトップ クライアント) 1.2.1672 はい はい。 ローカル デバイス OS は、Windows 11 バージョン 22H2 以降である必要があります。
      macOS 10.7.0 以降 はい はい

  • Microsoft Intune を構成するには、以下が必要です。

  • グループ ポリシーを構成するには、以下が必要です。

    • ドメイン 管理者セキュリティ グループのメンバーであるドメイン アカウント。

    • 構成するデバイスを含むセキュリティ グループまたは組織単位 (OU)。

Intune デバイス構成ポリシーまたはグループ ポリシーを使用して、仮想マシンとクラウド PC で画面キャプチャ保護を有効にする

シナリオに関連するタブを選択します。

Microsoft Intune を使用して仮想マシン (Azure Virtual Desktop) またはクラウド PC (Windows 365) でスクリーン キャプチャ保護を構成するには:

  1. Microsoft Intune 管理センターにサインインします。

  2. 設定カタログ プロファイルの種類を使用して、Windows 10 以降のデバイス用に構成プロファイルを作成または編集します。

  3. 設定ピッカーで、[管理用テンプレート]>Windows コンポーネント>リモート デスクトップ サービス>リモート デスクトップ セッション ホスト>Azure 仮想デスクトップを参照します。

    Microsoft Intune ポータルの Azure Virtual Desktop オプションを示すスクリーンショット。

  4. [ 画面キャプチャ保護を有効にする] チェック ボックスをオンにして、設定ピッカーを閉じます。

  5. [管理用テンプレート] カテゴリを展開し、[画面キャプチャ保護を有効にする] のスイッチを [有効] に切り替えます。

    Microsoft Intune のスクリーン キャプチャ保護設定を示すスクリーンショット。

  6. 要件に基づいて、[Screen Capture Protection Options (Device)] のスイッチをオフに切り替えて、クライアントでの画面キャプチャのブロック、またはクライアントとサーバーでの画面キャプチャのブロックに切り替え、[OK] を選択します。

  7. [次へ] を選択します。

  8. 省略可能: [スコープ タグ] タブで、プロファイルをフィルター処理するスコープ タグを選択します。 スコープ タグの詳細については、「分散 IT にロールベースのアクセス制御 (RBAC) とスコープのタグを使用する」を参照してください。

  9. [割り当て] タブで、構成するリモート セッションを提供するコンピューターを含むグループを選択し、[次へ] を選択します。

  10. [レビューと作成] タブで、設定をレビューし、[作成] を選択します。

  11. ポリシーがリモート セッションを提供するコンピューターに適用されたら、設定を有効にするために再起動します。

Intune MAM による画面キャプチャ保護を有効にする

Android、iOS/iPadOS、Web クライアント (Windows) の場合、Intune モバイル アプリケーション管理 (MAM) を使用して画面キャプチャ保護を適用します。 これらのアプローチごとに、構成には 2 つの部分があります。

  1. 画面キャプチャ保護を適用する: クライアント アプリに画面キャプチャ保護を適用する Intune MAM アプリ保護ポリシーを構成します。
  2. アプリの保護ポリシーを適用する: アプリの保護ポリシーを必要とする条件付きアクセス ポリシーを構成して、ポリシーがクライアントに適用されている場合にのみユーザーが接続できるようにします。

手順 1: Intune MAM アプリ保護ポリシーを使用して画面キャプチャ保護を適用する

ユーザーが接続するプラットフォームの Intune MAM アプリ保護ポリシーを構成します。 「Microsoft Intune および Microsoft Entra 条件付きアクセスにローカル クライアント デバイスのセキュリティ コンプライアンスを要求する」の手順に従って、[データ保護] タブでプラットフォームの設定を構成します。

  • iOS/iPadOS (Windows アプリ): 画面キャプチャを [ブロック] に設定します。

    MAM ポリシーの iOS スクリーン キャプチャ保護設定を示すスクリーンショット。

  • Android (Windows アプリ): 画面キャプチャを [ブロック] に設定します。

    MAM ポリシーの Android 画面キャプチャ保護設定を示すスクリーンショット。

  • Web (Windows 上の Microsoft Edge for Business): Windows アプリ保護ポリシーで Microsoft Edge をターゲットにし、組織データの出力先と組織のデータ ソースへの切り取り、コピー、貼り付けを許可する を設定します。 これにより、Edge の作業プロファイル全体でスクリーン キャプチャ保護が自動的にアクティブになります。 Edge for Business のデータ損失防止 (DLP) 機能の詳細については、「Intune App Protection (MAM) を使用した Microsoft Edge のデータ保護機能」を参照してください。

要件に基づいてその他の設定を構成し、アプリ保護ポリシーをユーザーに割り当てます。

条件付きアクセスを使用してアプリ保護ポリシーを強制する

アプリの保護ポリシーは画面キャプチャ保護を適用しますが、条件付きアクセス ポリシーでは、ユーザーが接続する前にそのポリシーが存在する必要があります。 これがない場合、ユーザーはスクリーン キャプチャ保護の対象ではない管理されていないアプリまたはブラウザーから接続する可能性があります。 Android、iOS/iPadOS、Web クライアント (Windows) からの接続に準拠したアプリ保護ポリシーが必要になるように、条件付きアクセス ポリシーを作成します。

Microsoft Entra 管理センターで、次の設定を含むポリシーを作成します:

設定 値
ターゲット リソース>リソース (以前のクラウド アプリ) Windows 365 の場合は Windows 365、または Azure Virtual Desktop の場合は Azure Virtual Desktop を使用します。 すべてのリソースを選択することもできますが、特定のリソースをターゲットにすることをお勧めします。
許可 アプリ保護ポリシーが必要

[ 条件] で、保護するプラットフォームごとにデバイス プラットフォームとクライアント アプリを設定します:

プラットフォーム デバイス プラットフォーム クライアント アプリ
Android Android モバイル アプリとデスクトップ クライアント
iOS/iPadOS iOS モバイル アプリとデスクトップ クライアント
Web (Windows) Windows Browser

アプリ保護ポリシーと同じユーザーにポリシーを割り当てます。

画面キャプチャ保護を確認する

スクリーン キャプチャ保護が機能していることを確認するには:

  1. サポートされているクライアントを使用して新しいリモート セッションに接続します。 既存のセッションに再接続しないでください。 変更を有効にするには、既存のセッションからサインアウトし、再度サインインする必要があります。

  2. ローカル デバイスから、スクリーンショットを撮るか、Teams の通話や会議で画面を共有します。 コンテンツがブロックまたは非表示になっている。

  3. Windows および macOS デバイスで、仮想マシンまたはクラウド PC 上の クライアントとサーバーで画面キャプチャのブロック を有効にした場合は、仮想マシンまたはクラウド PC 内のツールまたはサービスを使用して画面のキャプチャを試みます。 コンテンツがブロックまたは非表示になっている。

仮想マシンまたはクラウド PC で画面キャプチャ保護を有効にする場合は、サポートされているデバイスから接続する必要があります。 これを行わなかった場合は、画面キャプチャ保護が有効になっていることを示すエラー メッセージが表示されます。 次のスクリーンショットのようなエラー メッセージが表示されます。

  • Web ブラウザー:

    画面キャプチャが有効になっており、サポートされているクライアントから接続する必要があるというエラー メッセージを示す Web ブラウザーの Windows アプリ のスクリーンショット。

  • iOS/iPadOS:

    iOS/iPadOS 用 Windows アプリ のスクリーンショット。画面キャプチャが有効になっており、サポートされているクライアントから接続する必要があるというエラー メッセージが表示されています。

Android または iOS/iPadOS ハイブリッド適用の確認とトラブルシューティング

管理者構成の SCP が有効になっている場合、Android または iOS/iPadOS 接続は、MAM アプリ保護ポリシーによってスクリーン キャプチャ (ハイブリッド強制) もブロックされている場合にのみ許可されます。

Android または iOS/iPadOS ハイブリッドの適用が機能していることを確認するには:

  1. Intune MAM アプリ保護ポリシーがユーザーとデバイスに適用されていることを確認します。 Microsoft Intune 管理センターで、ユーザーのアプリ保護ポリシーの状態を [アプリ>モニター>アプリ保護の状態] でチェックします。

  2. Android または iOS/iPadOS デバイスで、Windows アプリ からサインアウトし、再度サインインして最新のポリシー設定を取得します。

  3. リモート セッションに接続します。 管理者が構成した SCP と MAM ポリシーの両方が画面キャプチャをブロックする場合、接続は成功し、画面キャプチャはブロックされます。

Android または iOS/iPadOS の接続が予期せずブロックされる場合は、次の点をチェックします。

  • MAM アプリの保護ポリシーがユーザーに割り当てられており、 画面キャプチャ が [ブロック] に設定されていることを確認します。
  • Android または iOS/iPadOS デバイスで Windows アプリ を再起動するか、サインアウトしてから再度サインインします。
  • インストールされているバージョンの Android または iOS/iPadOS 用の Windows アプリ がハイブリッドの強制をサポートしていることを確認します。
  • Android デバイスで、Intune MAM をサポートしていない ChromeOS または Meta Quest が実行されていないことを確認します。

ヒント

MAM ポリシーが適用されていないか、または画面キャプチャをブロックしないためにユーザーがブロックされている場合は、問題の理解に役立つ次のメッセージを提示することをお勧めします。

「Your organization requires you capture protection to enforce on your device to connect to this remote session. 画面キャプチャをブロックするアプリ保護ポリシーが適用されている管理対象デバイスから Windows アプリ を使用していることを確認します。 IT 管理者に問い合わせてください。"

関連コンテンツ

  • 透 かしを有効にして、管理者は QR コードを使用してセッションをトレースできます。

  • Azure Virtual Desktop のデプロイをセキュリティで保護する方法については、「セキュリティのベスト プラクティス」を参照してください。

  • Last updated on