Azure Virtual Desktop は、organization の安全を維持するための多くのセキュリティ機能を含む管理された仮想デスクトップ サービスです。 Azure Virtual Desktop のアーキテクチャは、ユーザーをデスクトップおよびアプリに接続するサービスを構成する多くのコンポーネントで構成されています。
Azure Virtual Desktop には、受信ネットワーク ポートを開く必要がないリバース接続など、高度なセキュリティ機能が多数組み込まれているため、どこからでもリモート デスクトップにアクセスすることに伴うリスクが軽減されます。 このサービスは、多要素認証や条件付きアクセスなど、Azure の他の多くのセキュリティ機能の恩恵も受けます。 この記事では、デスクトップとアプリを組織内のユーザーに提供するか、外部ユーザーに提供するかに関係なく、Azure organization デプロイを安全に保つために管理者として実行できる手順について説明します。
共有されたセキュリティ責任
Azure Virtual Desktop より前は、リモート デスクトップ サービスなどのオンプレミス仮想化ソリューションで、ゲートウェイ、ブローカー、Web アクセスなどのロールへのアクセス権をユーザーに付与する必要があります。 これらの役割は完全に冗長であり、ピーク時の容量を処理できる必要がありました。 管理者はこれらの役割を Windows Server オペレーティング システムの一部としてインストールし、パブリック接続からアクセス可能な特定のポートでドメインに参加している必要があります。 デプロイメントを安全に保つために、管理者はインフラストラクチャ内のすべてが維持され、最新の状態であることを常に確認する必要がありました。
ただし、ほとんどのクラウド サービスでは、Microsoft と顧客またはパートナーの間で一連の セキュリティ責任が共有 されます。 Azure Virtual Desktop の場合、ほとんどのコンポーネントは Microsoft が管理しますが、セッション ホストと一部のサポート サービスとコンポーネントは、顧客またはパートナーが管理します。 Microsoft が管理する Azure Virtual Desktop コンポーネントの詳細については、「Azure Virtual Desktop サービスのアーキテクチャと回復性」を参照してください。
一部のコンポーネントはご使用の環境に対して既にセキュリティ保護されていますが、organization または顧客のセキュリティ ニーズに合わせて他の領域を自分で構成する必要があります。 Azure Virtual Desktop デプロイのセキュリティを担当するコンポーネントは次のとおりです。
| コンポーネント | 責任 |
|---|---|
| ID | 顧客またはパートナー |
| ユーザー デバイス (モバイルと PC) | 顧客またはパートナー |
| アプリのセキュリティ | 顧客またはパートナー |
| セッション ホスト オペレーティング システム | 顧客またはパートナー |
| 配置構成 | 顧客またはパートナー |
| ネットワーク制御 | 顧客またはパートナー |
| 仮想化コントロール プレーン | Microsoft |
| 物理ホスト | Microsoft |
| 物理ネットワーク | Microsoft |
| 物理データセンター | Microsoft |
セキュリティ境界
セキュリティ境界は、異なるレベルの信頼を持つセキュリティ ドメインのコードとデータを分離します。 たとえば、通常、カーネル モードとユーザー モードの間にはセキュリティ境界があります。 ほとんどの Microsoft ソフトウェアとサービスは、ネットワーク上のデバイス、仮想マシン (VM)、デバイス上のアプリケーションを分離するために、複数のセキュリティ境界に依存しています。 次の表に、Windows の各セキュリティ境界と、全体的なセキュリティに対する境界の一覧を示します。
| セキュリティ境界 | 説明 |
|---|---|
| ネットワーク境界 | 承認されていないネットワーク エンドポイントは、顧客のデバイス上のコードやデータにアクセスしたり、改ざんしたりすることはできません。 |
| カーネルの境界 | 非管理ユーザー モード プロセスは、カーネル コードとデータにアクセスしたり、改ざんしたりすることはできません。 管理者とカーネルの間はセキュリティの境界ではありません。 |
| プロセスの境界 | 承認されていないユーザー モード プロセスは、別のプロセスのコードやデータにアクセスしたり、改ざんしたりすることはできません。 |
| AppContainer サンドボックスの境界 | AppContainer ベースのサンドボックス プロセスは、コンテナーの機能に基づいてサンドボックスの外部のコードとデータにアクセスしたり、改ざんしたりすることはできません。 |
| ユーザー境界 | ユーザーは、許可されていない場合に、別のユーザーのコードやデータにアクセスしたり、改ざんしたりすることはできません。 |
| セッション境界 | ユーザー セッションは、承認されていない場合にのみ別のユーザー セッションにアクセスしたり、改ざんしたりすることはできません。 |
| Web ブラウザーの境界 | 未承認の Web サイトが同一生成元ポリシーに違反することはできず、Microsoft Edge Web ブラウザー サンドボックスのネイティブ コードとデータにアクセスしたり改ざんしたりすることもできません。 |
| 仮想マシンの境界 | 承認されていない Hyper-V ゲスト仮想マシンは、別のゲスト仮想マシンのコードとデータにアクセスしたり、改ざんしたりすることはできません。これには、Hyper-V 分離コンテナーも含まれます。 |
| 仮想保護モード (VSM) の境界 | VSM の信頼されたプロセスまたは孤立領域の外部で実行されているコードは、信頼されたプロセス内のデータやコードにアクセスしたり、改ざんしたりすることはできません。 |
Azure Virtual Desktop シナリオに推奨されるセキュリティ境界
また、セキュリティ境界については、ケースバイケースで特定の選択を行う必要があります。 たとえば、organization内のユーザーがアプリをインストールするためにローカル管理者権限を必要とする場合は、共有セッション ホストではなく個人用デスクトップを付与する必要があります。 マルチセッション プールされたシナリオでは、ユーザーがセッションまたは NTFS データのアクセス許可のセキュリティ境界を越えたり、マルチセッションの VM をシャットダウンしたり、サービスの中断やデータ損失の原因となる可能性のあるその他の操作を行ったりする可能性があるため、マルチセッション プールされたシナリオでは、ユーザーにローカル管理者特権を付与しないことをお勧めします。
管理者特権を必要としないアプリを持つナレッジ ワーカーなど、同じ organization のユーザーは、Windows 11 Enterprise マルチセッションなどのマルチセッション セッション ホストの優れた候補です。 これらのセッション ホストにより、複数のユーザーが 1 つの VM を共有でき、ユーザーごとの VM のオーバーヘッド コストのみで organization のコストが削減されます。 FSLogix などのユーザー プロファイル管理製品を使用すると、サービスの中断に気付くことなく、ホスト プール内の任意の VM をユーザーに割り当てることができます。 この機能を使用すると、オフピーク時に VM をシャットダウンするなどしてコストを最適化することもできます。
さまざまな組織のユーザーが展開に接続する必要がある状況の場合は、Active Directory や Microsoft Entra ID などの ID サービス用に別のテナントを設定することをお勧めします。 また、Azure Virtual Desktop や VM などの Azure リソースをホストするために、それらのユーザー用に別の Azure サブスクリプションを用意することもお勧めします。
多くの場合、マルチセッションの使用はコストを削減するために許容される方法ですが、推奨するかどうかは、共有マルチセッション インスタンスに同時にアクセスできるユーザー間の信頼レベルによって異なります。 通常、同じ organization に属するユーザーには、十分で合意された信頼関係があります。 たとえば、ユーザーが協力し、お互いの個人情報にアクセスできる部門またはワークグループは、信頼レベルが高い organization です。
Windows は、セキュリティ境界と制御を使用して、ユーザー プロセスとデータがセッション間で分離されるようにします。 ただし、ユーザーが作業しているインスタンスへのアクセスは Windows で引き続き提供されます。
マルチセッション展開では、organization 内外のユーザーが他のユーザーの個人情報に不正にアクセスできないようにするセキュリティ境界を追加する Security in depth 戦略の恩恵を受けます。 不正なデータ アクセスは、未公開のセキュリティの脆弱性や、まだ修正プログラムが適用されていない既知の脆弱性など、システム管理者による構成プロセスのエラーが原因で発生します。
異なる会社や競合する会社で働いているユーザーに、同じマルチセッション環境へのアクセスを許可することはお勧めしません。 これらのシナリオには、ネットワーク、カーネル、プロセス、ユーザー、またはセッションなど、攻撃または悪用される可能性のあるいくつかのセキュリティ境界があります。 1 つのセキュリティ脆弱性が、不正なデータや資格情報の盗難、個人情報の漏洩、個人情報の盗難、その他の問題を引き起こす可能性があります。 仮想化環境プロバイダーは、複数の強力なセキュリティ境界と、可能な限り追加の安全機能を有効にした適切に設計されたシステムを提供する責任があります。
これらの潜在的な脅威を軽減するには、障害のない構成、パッチ管理の設計プロセス、定期的なパッチ展開スケジュールが必要です。 多層防御の原則に従い、環境を分離しておくことをお勧めします。
次の表は、各シナリオに関する推奨事項をまとめたものです。
| 信頼レベルのシナリオ | 推奨されるソリューション |
|---|---|
| 標準権限を持つ 1 つの organization のユーザー | Windows Enterprise マルチセッション オペレーティング システム (OS) を使用します。 |
| ユーザーには管理者特権が必要です | 個人用ホスト プールを使用し、各ユーザーに独自のセッション ホストを割り当てます。 |
| 接続しているさまざまな組織のユーザー | Azure テナントと Azure サブスクリプションを分離する |
Azure セキュリティのベスト プラクティス
Azure Virtual Desktop は、Azure 傘下のサービスです。 Azure Virtual Desktop デプロイの安全性を最大限に高めるには、周囲の Azure インフラストラクチャと管理プレーンもセキュリティで保護する必要があります。 インフラストラクチャをセキュリティで保護するには、Azure Virtual Desktop が大規模な Azure エコシステムにどのように適合するかを検討してください。 Azure エコシステムの詳細については、「Azure セキュリティのベスト プラクティスとパターン」を参照してください。
今日の脅威の状況では、セキュリティ アプローチを念頭に置いた設計が必要です。 理想的には、コンピューター ネットワーク全体に階層化された一連のセキュリティ メカニズムと制御を構築して、データとネットワークが侵害されたり攻撃されたりするのを防ぐ必要があります。 このタイプのセキュリティ設計は、米国サイバーセキュリティ・インフラストラクチャセキュリティ庁(CISA)が「深層防御」と呼んでいるものです。
次のセクションでは、Azure Virtual Desktop のデプロイをセキュリティで保護するための推奨事項について説明します。
Microsoft Defender for Cloud を有効にする
次の目的で、Microsoft Defender for Cloud の強化されたセキュリティ機能を有効にすることをお勧めします。
- 脆弱性を管理します。
- PCI Security Standards Council などの一般的なフレームワークへの準拠を評価します。
- 環境の全体的なセキュリティを強化します。
詳細については、「 強化されたセキュリティ機能を有効にする」を参照してください。
セキュリティ スコアを向上させる
セキュア スコアは、全体的なセキュリティを向上させるための推奨事項とベスト プラクティスのアドバイスを提供します。 これらの推奨事項は、最も重要なものを選択するのに役立つように優先され、クイック修正オプションは潜在的な脆弱性に迅速に対処するのに役立ちます。 これらの推奨事項も時間の経過とともに更新されるため、環境のセキュリティを維持するための最適な方法を常に最新の状態に保ちます。 詳細については、「Microsoft Defender for Cloud のセキュリティ スコアを向上させる」を参照してください。
多要素認証が必要
Azure Virtual Desktop 内のすべてのユーザーと管理者に多要素認証を要求すると、デプロイ全体のセキュリティが向上します。 詳細については、「Azure Virtual Desktop の Microsoft Entra 多要素認証を有効にする」を参照してください。
条件付きアクセスの有効化
条件付きアクセスを有効にすると、ユーザーに Azure Virtual Desktop 環境へのアクセスを許可する前にリスクを管理できます。 アクセス権を付与するユーザーを決定するときは、そのユーザーが誰であるか、サインイン方法、使用しているデバイスも考慮することをお勧めします。
監査ログの収集
監査ログの収集を有効にすると、Azure Virtual Desktop に関連するユーザーと管理者のアクティビティを表示できます。 主要な監査ログの例を次に示します。
Azure Monitor による使用状況の監視
Azure Monitor を使用して、Azure Virtual Desktop サービスの使用状況と可用性を監視します。 サービスに影響を与えるイベントが発生した場合はいつでも通知を受け取るために、Azure Virtual Desktop サービスのサービス正常性アラートを作成することを検討してください。
セッション ホストを暗号化する
マネージド ディスク暗号化オプションを使用してセッション ホストを暗号化し、格納されているデータを不正アクセスから保護します。
セッション ホスト セキュリティのベスト プラクティス
セッション ホストは、Azure サブスクリプションと仮想ネットワーク内で実行される仮想マシンです。 Azure Virtual Desktop デプロイの全体的なセキュリティは、セッション ホストに配置するセキュリティ制御によって異なります。 このセクションでは、セッション ホストをセキュリティで保護するためのベスト プラクティスについて説明します。
エンドポイント保護の有効化
既知の悪意のあるソフトウェアから展開を保護するには、すべてのセッション ホストでエンドポイント保護を有効にすることをお勧めします。 Windows Defender ウイルス対策またはサードパーティ製プログラムのいずれかを使用できます。 詳しくは、「VDI 環境での Windows Defender ウイルス対策の展開ガイド」をご覧ください。
FSLogix のようなプロファイル ソリューションや、仮想ハード ディスク ファイルをマウントするその他のソリューションでは、これらのファイル拡張子を除外することをお勧めします。 FSLogix の除外の詳細については、「 ウイルス対策ファイルとフォルダーの除外を構成する」を参照してください。
エンドポイントの検出と応答の製品をインストールする
高度な検出と応答の機能を提供するには、エンドポイントの検出と応答 (EDR) 製品をインストールすることをお勧めします。 Microsoft Defender for Cloud が有効になっているサーバー オペレーティング システムの場合、EDR 製品をインストールすると、Microsoft Defender for Endpoint が展開されます。 クライアント オペレーティング システムの場合は、Microsoft Defender for Endpoint またはサードパーティ製品をそれらのエンドポイントに展開できます。
脅威および脆弱性管理の評価の有効化
オペレーティング システムとアプリケーションに存在するソフトウェアの脆弱性を特定することは、環境のセキュリティを維持するために重要です。 Microsoft Defender for Cloud は、Microsoft Defender for Endpoint の脅威と脆弱性の管理ソリューションを通じて問題点を特定するのに役立ちます。 必要に応じてサード パーティ製品を使用することもできますが、Microsoft Defender for Cloud と Microsoft Defender for Endpoint を使用することをお勧めします。
環境内のソフトウェアの脆弱性にパッチを適用する
脆弱性を特定したら、パッチを適用する必要があります。 これは仮想環境にも適用され、実行中のオペレーティング システム、オペレーティング システム内に展開されているアプリケーション、および新しいマシンの作成元となるイメージが含まれます。 ベンダー パッチ通知の通信に従い、適切なタイミングでパッチを適用します。 新しくデプロイされたマシンが可能な限り安全であることを保証するために、基本イメージに毎月パッチを適用することをお勧めします。
最大非アクティブ時間および切断ポリシーの確立
非アクティブなときにユーザーをサインアウトすると、リソースが保護され、承認されていないユーザーによるアクセスを防ぐことができます。 タイムアウトは、ユーザーの生産性とリソース使用量のバランスを取ることをお勧めします。 ステートレス アプリケーションと対話するユーザーには、マシンをオフにしてリソースを保護する、より積極的なポリシーを検討してください。 シミュレーションや CAD レンダリングなど、ユーザーがアイドル状態のときに引き続き実行される長時間実行されるアプリケーションを切断すると、ユーザーの作業が中断され、コンピューターの再起動が必要になることもあります。
アイドル セッションのスクリーン ロックを設定する
アイドル時間中にマシンの画面をロックするように Azure Virtual Desktop を構成し、ロック解除に認証を要求することで、不要なシステム アクセスを防ぐことができます。
階層化された管理者アクセス権を確立する
ユーザーに仮想デスクトップへの管理者アクセス権を付与しないことをお勧めします。 ソフトウェア パッケージが必要な場合は、Microsoft Intune などの構成管理ユーティリティで利用できるようにすることをお勧めします。 マルチセッション環境では、ユーザーにソフトウェアを直接インストールさせないことをお勧めします。
どのユーザーがどのリソースにアクセスするかを検討します。
セッション ホストを既存のデスクトップ展開の拡張機能と考えてください。 ネットワーク セグメンテーションやフィルター処理の使用など、環境内の他のデスクトップの場合と同様に、ネットワーク リソースへのアクセスを制御することをお勧めします。 既定では、セッション ホストはインターネット上の任意のリソースに接続できます。 トラフィックを制限する方法はいくつかあります。これには、Azure Firewall、ネットワーク仮想アプライアンス、プロキシの使用が含まれます。 トラフィックを制限する必要がある場合は、Azure Virtual Desktop が正常に動作できるように、適切なルールを追加してください。
Microsoft 365 アプリのセキュリティを管理する
セッション ホストをセキュリティで保護することに加えて、セッション ホスト内で実行されているアプリケーションを保護することも重要です。 Microsoft 365 アプリは、セッション ホストに展開される最も一般的なアプリケーションの一部です。 Microsoft 365 展開のセキュリティを向上させるには、Microsoft 365 Apps for enterprise のセキュリティ ポリシー アドバイザーを使用することをお勧めします。 このツールは、セキュリティを強化するために展開に適用できるポリシーを識別します。 また、セキュリティ ポリシー アドバイザーは、セキュリティと生産性への影響に基づいてポリシーを推奨します。
ユーザー プロファイルのセキュリティ
ユーザー プロファイルには機密情報が含まれている場合があります。 特に、 FSLogix プロファイル コンテナーを使用して SMB 共有上の仮想ハード ディスク ファイルにユーザー プロファイルを格納する場合は、ユーザー プロファイルにアクセスできるユーザーとそれらにアクセスする方法を制限する必要があります。 SMB 共有のプロバイダーのセキュリティに関する推奨事項に従う必要があります。 たとえば、これらの仮想ハード ディスク ファイルを格納するために Azure Files を使用している場合は、プライベート エンドポイントを使用して、Azure 仮想ネットワーク内でのみアクセスできるようにすることができます。
トークン保護
Azure Virtual Desktop に接続している Windows アプリ を実行しているエンドポイントでトークン保護が必要です。 トークン保護はセッション ホストには適用されません。 プラットフォーム別のトークン保護のための Windows アプリ のサポートの詳細について説明します。
Global Secure Access
Azure Virtual Desktop セッション ホストでグローバル セキュア アクセス (GSA) を構成して、アプリとリソースへのアクセスをセキュリティで保護します。 プライベート アプリケーション、インターネット アプリケーション、M365 アプリケーションと同じアクセス制御を外部 ID に拡張できます (プレビュー)。 GSA の詳細と、B2B ゲスト アクセス用に GSA を構成する方法について説明します。
セッション ホストに関するその他のセキュリティのヒント
オペレーティング システムの機能を制限することで、セッション ホストのセキュリティを強化できます。 以下の操作を実行します。
デバイスのリダイレクトを制限する。 リモート デスクトップ セッションでは、ドライブ、クリップボード、プリンター、および USB デバイスは、既定ではユーザーのローカル デバイスに対して無効になっています。 セキュリティ要件を評価し、これらのリダイレクトを無効にする必要があるかどうかをチェックすることをお勧めします。
ドライブ: ファイル転送のドライブ リダイレクトを許可する代わりに、OneDrive for Business の使用を検討してください。
クリップボード: 双方向のクリップボード転送を置き換えるために 、クリップボードの転送方向 を検討します。 コンテンツの種類を制限することで、ファイルが転送されるリスクなしにクリップボードを有効にすることができます。
プリンター: プリンター リダイレクトの必要性を代わりに 、ユニバーサル プリント を使用することを検討してください。
USB: マウス、キーボード、Web カメラなどの多くの一般的な周辺機器でこれを有効にする必要はありません。 不透明な低レベル リダイレクトに対して USB リダイレクトを有効にする必要がある場合については、「 リモート デスクトップ プロトコルを介した周辺機器とリソースのリダイレクト 」をご覧ください。
ローカル ドライブとリモート ドライブのマッピングを非表示にして、Windows エクスプローラーへのアクセスを制限します。 これにより、ユーザーがシステム構成やユーザーに関する不要な情報を検出できなくなります。
環境内のセッション ホストへの直接 RDP アクセスを避けます。 管理またはトラブルシューティングのために直接 RDP アクセスが必要な場合は、 Just-In-Time アクセスを有効にして、セッション ホストで潜在的な攻撃対象領域を制限します。
ユーザーがローカルおよびリモート ファイル システムにアクセスするときに、制限付きアクセス許可をユーザーに付与します。 ローカルおよびリモート ファイル システムでアクセス制御リストが最小限の特権で使用するようにすることで、アクセス許可を制限できます。 これにより、ユーザーは必要なものにのみアクセスでき、重要なリソースを変更または削除することはできません。
望ましくないソフトウェアがセッション ホストで実行されないようにします。 RemoteApp はセキュリティ機能ではなく、その使用によって、アプリケーション グループに発行されたアプリケーション以外のアプリケーションの起動が妨げられることはありません。 許可するアプリケーションのみがセッション ホストで実行できるようにするには、アプリ制御や AppLocker などの Windows 機能にアプリケーション制御 を使用できます。
信頼された起動
トラスト起動とは、ルートキット、ブート キット、カーネル レベルのマルウェアなどの攻撃ベクトルを介したスタック下層の脅威などの永続的な攻撃手法から保護することを目的とした、強化されたセキュリティ機能を備えた Azure VM です。 検証済みのブート ローダー、OS カーネル、ドライバーを使用して VM をセキュリティで保護したデプロイを可能にし、VM 内のキー、証明書、シークレットも保護します。 信頼できる起動の詳細については、「Azure 仮想マシンの信頼できる起動」を参照してください。
Azure portal を使用してセッション ホストを追加する場合、既定のセキュリティの種類は信頼された仮想マシンです。 これにより、VM が Windows 11 の必須要件を満たしていることを確認できます。 これらの要件の詳細については、「 仮想マシンのサポート」を参照してください。
Azure コンフィデンシャル コンピューティング仮想マシン
Azure コンフィデンシャル コンピューティング仮想マシンに対する Azure Virtual Desktop のサポートにより、ユーザーの仮想デスクトップがメモリ内で暗号化され、使用中に保護され、ハードウェア信頼のルートによってサポートされます。
Azure Virtual Desktop を使用して機密仮想マシンをデプロイすると、ユーザーはハードウェア ベースの分離を使用するセッション ホスト上の Microsoft 365 やその他のアプリケーションにアクセスできるようになります。これにより、他の仮想マシン、ハイパーバイザー、およびホスト OS からの分離が強化されます。 メモリ暗号化キーは、ソフトウェアから読み取ることができない CPU 内部の専用のセキュリティで保護されたプロセッサによって生成および保護されます。 使用可能な VM サイズなどの詳細については、「Azure コンフィデンシャル コンピューティングの概要」を参照してください。
アクティブなサポートを受けているバージョンでは、次のオペレーティング システムを Azure Virtual Desktop 上の機密仮想マシンのセッション ホストとして使用できます。 サポート日については、「 Microsoft ライフサイクル ポリシー」を参照してください。
- Windows 11 Enterprise
- Windows 11 Enterprise multi-session
- Windows 10 Enterprise
- Windows 10 Enterprise マルチセッション
- Windows Server 2022
- Windows Server 2019
Azure Virtual Desktop をデプロイするか、セッション ホストをホスト プールに追加するときに、機密仮想マシンを使用してセッション ホストを作成できます。
オペレーティング システム ディスク暗号化
オペレーティング システム ディスクの暗号化は、ディスク暗号化キーを機密コンピューティング VM のトラステッド プラットフォーム モジュール (TPM) にバインドする暗号化の追加レイヤーです。 この暗号化により、VM だけがディスクのコンテンツにアクセスできます。 整合性の監視を使用すると、定義されたベースラインで構成証明が失敗したために VM が起動しなかった場合は、VM ブート整合性を暗号化で構成証明と検証できます。 整合性の監視の詳細については、「Microsoft Defender for Cloud 統合」を参照してください。 ホスト プールを作成する とき、または ホスト プールにセッション ホストを追加するときに、機密 VM を使用してセッション ホストを作成するときに、機密コンピューティングの暗号化を有効にできます。
セキュア ブート
セキュア ブートは、プラットフォーム ファームウェアがサポートするモードであり、マルウェア ベースのルートキットやブート キットからファームウェアを保護します。 このモードでは、署名されたオペレーティング システムとドライバーのみを起動できます。
リモート構成証明を使用したブートの整合性の監視
リモート構成証明は、VM の正常性をチェックするための優れた方法です。 リモート構成証明は、メジャー ブート レコードが存在し、正規であり、仮想トラステッド プラットフォーム モジュール (vTPM) から作成されたものであることを確認します。 正常性チェックとして、プラットフォームが正常に起動したことの暗号的な確実性を提供します。
vTPM
vTPM は、ハードウェア トラステッド プラットフォーム モジュール (TPM) の仮想化バージョンであり、VM ごとに TPM の仮想インスタンスがあります。vTPM は、VM のブート チェーン全体 (UEFI、OS、システム、ドライバー) の整合性測定を実行することにより、リモート構成証明を有効にします。
VM でリモート構成証明を使用するには、vTPM を有効にすることをお勧めします。 vTPM を有効にすると、保存データを保護するためのフル ボリューム暗号化を提供する Azure Disk Encryption を使用して BitLocker 機能を有効にすることもできます。 vTPM を使用する機能では、特定の VM にシークレットがバインドされます。 ユーザーがプールされたシナリオで Azure Virtual Desktop サービスに接続すると、ユーザーはホスト プール内の任意の VM にリダイレクトできます。 機能の設計方法によっては、これが影響を受ける可能性があります。
注:
BitLocker を使用して、FSLogix プロファイル データを格納している特定のディスクの暗号化を使用しないでください。
仮想化ベースのセキュリティ
仮想化ベースのセキュリティ (VBS) は、ハイパーバイザーを使用して、OS にアクセスできないメモリの安全な領域を作成および分離します。 Hypervisor-Protected Code Integrity (HVCI) と Windows Defender Credential Guard はどちらも VBS を使用して脆弱性からの保護を強化します。
Hypervisor-Protected コードの整合性
HVCI は、VBS を使用して悪意のあるコードや未検証のコードの挿入と実行から Windows カーネル モード プロセスを保護する強力なシステム軽減策です。
Windows Defender Credential Guard
Windows Defender Credential Guard を有効にします。 Windows Defender Credential Guard では、VBS を使用してシークレットを分離して保護し、特権を持つシステム ソフトウェアのみがアクセスできるようにします。 これにより、これらのシークレットへの不正アクセスや、Pass-the-Hash 攻撃などの資格情報の盗難攻撃を防ぐことができます。 詳細については、「 Credential Guard の概要」を参照してください。
Windows Defender Application Control
Windows Defender アプリケーション制御を有効にします。 Windows Defender アプリケーション制御は、マルウェアやその他の信頼できないソフトウェアからデバイスを保護するように設計されています。 既知の、承認済みのコードのみを実行可能とすることで、悪意のあるコードの実行を防ぎます。 詳細については、「 Windows のアプリケーション制御」を参照してください。
注:
Windows Defender Access Control を使用する場合は、デバイス レベルのみを対象とするポリシーをお勧めします。 ポリシーの対象を個々のユーザーに設定することはできますが、ポリシーが適用されると、デバイス上のすべてのユーザーに等しく影響します。
管理者の保護はサポートされていません
セッション ホストの構築に使用するカスタム イメージを含め、Windows 11 を実行している Azure Virtual Desktop セッション ホストでは管理者保護を有効にしないでください。 この設定は Windows Server では使用できません。 リモート接続スタックのコンポーネントが管理者保護の最小特権モデルで動作するには更新プログラムが必要です。 この環境のサポートは、将来のリリースで計画されています。 それまでの間は、この環境で最小限の特権を維持するために、ユーザーを標準ユーザーとして構成してください。
有効になっている場合、サインイン時に予期しない認証プロンプト、昇格を必要とするタスクに対する追加の承認プロンプト、および昇格の失敗が発生する可能性があります。 サインイン プロンプトは、すべてのユーザーに影響します。 昇格時のプロンプトと失敗は、ローカル管理者権限を持つユーザーに影響します。
管理者保護をオフにするには、ユーザー アカウント制御: 管理承認モードの種類をレガシ管理承認モードに構成し、セッション ホストを再起動します。
Windows Update
Windows Update からの更新プログラムを使用してセッション ホストを最新の状態に保ちます。 Windows Update は、デバイスを最新の状態に保つための安全な方法を提供します。 エンドツーエンドの保護により、プロトコル交換の不正を防止し、更新プログラムに承認されたコンテンツのみが含まれるようにします。 Windows Updates に適切にアクセスするには、保護された環境の一部でファイアウォールとプロキシの規則を更新する必要がある場合があります。 詳細については、「Windows Update のセキュリティ」を参照してください。
Windows アプリ クライアントと他の OS プラットフォームでの更新プログラム
他の OS プラットフォーム上の Azure Virtual Desktop サービスへのアクセスに使用できる Windows アプリ クライアントのソフトウェア更新プログラムは、それぞれのプラットフォームのセキュリティ ポリシーに従って保護されます。 すべてのクライアント更新プログラムは、それぞれのプラットフォームによって直接配信されます。 詳細については、各アプリの各ストア ページを参照してください。
次の手順
- 多要素認証を設定する方法について説明します。
- Azure Virtual Desktop のデプロイにはゼロ トラスト原則を適用します。