Microsoft Defender Application Guard ポリシーを作成して展開する

Configuration Manager (現在のブランチ) に適用

Configuration Manager エンドポイント保護を使用して、Microsoft Defender Application Guard (Application Guard) ポリシーを作成および展開できます。 これらのポリシーは、オペレーティング システムの他の部分からアクセスできない、セキュリティで保護された分離コンテナーで信頼されていない Web サイトを開くことで、ユーザーを保護するのに役立ちます。

前提条件

Microsoft Defender Application Guard ポリシーを作成して展開するには、Windows 10 1709 以降を使用する必要があります。 ポリシーを展開する Windows 10 以降のデバイスは、ネットワーク分離ポリシーを使用して構成する必要があります。 詳細については、「Microsoft Defender Application Guard の概要」を参照してください。

ポリシーを作成し、使用可能な設定を参照する

  1. Configuration Manager コンソールで、[資産とコンプライアンス] を選択します。

  2. [資産とコンプライアンス] ワークスペースで、[概要>エンドポイント保護>Microsoft Defender Application Guard] を選択します。

  3. [ホーム] タブの [作成] グループで、[Microsoft Defender Application Guard ポリシーの作成] をクリックします。

  4. この記事を参照として使用して、使用可能な設定を参照して構成できます。 Configuration Manager では、次の特定のポリシー設定を設定できます。

  5. [ ネットワーク定義 ] ページで、企業 ID を指定し、企業ネットワーク境界を定義します。

    注:

    Windows 10 以降の PC は、クライアントに 1 つのネットワーク分離リストのみを格納します。 次の 2 種類のネットワーク分離リストを作成して、クライアントに展開できます。

    • Windows Information Protection から
    • 1 つは Microsoft Defender Application Guard からのものです

    両方のポリシーを展開する場合は、これらのネットワーク分離リストが一致している必要があります。 同じクライアントに一致しないリストをデプロイすると、デプロイは失敗します。 詳細については、Windows Information Protection のドキュメントを参照してください。

  6. 終了したら、ウィザードを完了し、1 つ以上の Windows 10 1709 以降のデバイスにポリシーを展開します。

アプリケーションの動作

ホスト デバイスと Application Guard コンテナー間の相互作用を構成します。 Configuration Manager バージョン 1802 より前では、アプリケーションの動作とホストの対話の両方が [設定] タブの下にありました。

  • クリップボード - Configuration Manager 1802 より前の設定
    • 許可されるコンテンツの種類
      • テキスト
      • 画像
  • 印刷:
    • XPS への印刷を有効にする
    • PDF への印刷を有効にする
    • ローカル プリンターへの印刷を有効にする
    • ネットワーク プリンターへの印刷を有効にする
  • グラフィックス: (Configuration Manager バージョン 1802 以降)
    • 仮想グラフィックス プロセッサへのアクセス
  • Files: (Configuration Manager バージョン 1802 以降)
    • ダウンロードしたファイルをホストに保存する
  • ポリシー: (Configuration Manager バージョン 2207 以降)
    • カメラとマイクを有効または無効にする
    • 拇印が分離されたコンテナーに一致する証明書

ホストの対話式操作の設定

Application Guard セッション内でのアプリケーションの動作を構成します。 Configuration Manager バージョン 1802 より前では、アプリケーションの動作とホストの対話の両方が [設定] タブの下にありました。

  • その他:
    • ユーザーが生成したブラウザー データを保持する
    • 分離された Application Guard セッションでのセキュリティ イベントの監査

Application Guard の設定を編集するには、[資産とコンプライアンス] ワークスペースで [エンドポイント保護] を展開し、Microsoft Defender Application Guard ノードをクリックします。 編集するポリシーを右クリックし、[ プロパティ] を選択します。

既知の問題

バージョン 2203 以前に適用

Windows 10 バージョン 2004 を実行しているデバイスでは、Microsoft Defender Application Guard ファイルの信頼基準のコンプライアンス レポートにエラーが表示されます。 この問題は、Windows 10 バージョン 2004 の WMI クラス MDM_WindowsDefenderApplicationGuard_Settings01から一部のサブクラスが削除されたために発生します。 他のすべての Microsoft Defender Application Guard 設定は引き続き適用されますが、ファイルの信頼条件のみが失敗します。 現時点では、このエラーを回避するための回避策はありません。

バージョン 2207 以降に適用

ポリシーを有効にしても、既定では Microsoft Defender Application Guard 機能はインストールされません。 ConfigMgr を使用して PowerShell スクリプトを該当するすべてのマシンにデプロイします。

次のコマンドを使用して、機能を有効にします。 Enable-WindowsOptionalFeature -online -FeatureName "Windows-Defender-ApplicationGuard"

次の手順

Microsoft Defender Application Guard の詳細については、

  • Last updated on