入力保護 (プレビュー)

概要

Windows 365 クラウド PC は既にセッションを暗号化し、ハイジャックや中間者攻撃を防ぐために多要素認証 (MFA) などの ID ベースの認証方法を適用しています。 ただし、キーロガーなどの接続デバイスに存在する可能性のある脅威によるリスクを軽減しても、機密データが侵害され、コンプライアンスのリスクや経済的損失につながる可能性があります。

入力保護は、カーネル レベルのドライバーとシステム レベルの暗号化によってこのギャップに対処し、マルウェアに対して脆弱な OS レイヤーをバイパスして、キーストロークをクラウド PC に直接安全にルーティングします。 クラウド PC または Azure 仮想デスクトップ セッション ホストでこの機能を有効にすると、厳密な信頼モデルが適用されます。

• 保護されたエンドポイントの物理デバイスのみが接続できます。
• エンドポイントには、入力保護 MSI がインストールされている必要があります。
• エンドポイントは、organization に登録されている必要があります (Microsoft Entra 登録済みまたは Microsoft Entra 参加済み)。

MSI が見つからない場合、またはエンドポイントが organization に登録されていない場合、接続はブロックされ、エラー メッセージが表示されます。 このモデルは、Windows アプリ とクラウド PC または Azure 仮想デスクトップ セッション ホスト間のセキュリティで保護されたチャネルを確保し、妥協のない入力保護を提供します。

サポートされる構成

この機能では、次の構成がサポートされます。

• クラウド PC またはセッション ホスト: サポートされている Windows 365 クラウド PC または Azure 仮想デスクトップ セッション ホストが、サポートされている Windows クライアント OS バージョンまたは Windows Server。
• サポートされているクライアント: 物理 Windows Windows 11 デバイスで実行され、入力保護 MSI がインストールされている場合の Windows アプリ。
• サポートされていないクライアント: 仮想エンドポイント デバイス (VM)、macOS、iOS、Android、Web ブラウザー、入力保護 MSI がインストールされていない Windows デバイス (Windows 365 Link デバイスを含む)。

入力保護 MSI をインストールする

前提条件

• エンドポイントは、Windows 11 を実行している物理デバイス (仮想マシンはサポートされていません) である必要があります。
• MSI をインストールするには、ユーザーにローカル管理権限が必要です。
• Windows アプリ バージョン 2.0.1236.0 以降。 Microsoft Store から最新バージョンに更新します。
• エンドポイントは、保護されたクラウド PC またはセッション ホストを提供する同じ organization (Microsoft Entra テナント) に登録されている必要があります。つまり、デバイスは Microsoft Entra に登録されているか、Microsoft Entra に参加している必要があります。 手順については、「 エンドポイント デバイスの登録」を参照してください。

MSI をインストールする

1. ユーザーが入力保護 MSI を使用せずに物理デバイスから Windows 365 クラウド PC または Azure 仮想デスクトップ セッション ホストに接続しようとすると、次のエラー メッセージが表示されます。

   

2. 適切な MSI をダウンロードしてインストールします。

   • Windows x64
   • Windows ARM 64

エンドポイント デバイスを登録する

エンドポイントを登録するには、保護されたリソースを提供する organization の職場または学校アカウントを追加します。

1. エンドポイントで、[設定]>[アカウント]>[職場または学校へのアクセス] を開きます。
2. [接続] を選択し、保護されたクラウド PC またはセッション ホストを提供する organization の資格情報を使用してサインインします。
3. 登録が完了したら、Windows アプリ を再起動するか、再接続します。

入力保護の構成

Azure Virtual Desktop (Azure portal) と Windows 365 (Intune) の入力保護を構成できます。

Azure Virtual Desktop 用に構成する

1. Azure portal にサインインし

2. [ホスト プール>RDP プロパティ]>詳細設定タブに移動します。

3. 次のスクリーンショットに示すように enablewindowscloudiokeyboardinputprotection:i:1 を入力します。

   

   ホスト プールに対する入力保護の強制を停止するには、プロパティ値を enablewindowscloudiokeyboardinputprotection:i:0 に設定します。

Windows 365 用に構成する

1. Microsoft Intune 管理センターにサインインします。

2. [デバイス>Windows 365>設定]>[リモート接続エクスペリエンスの作成]>[プレビュー] に移動します。

   

3. リモート接続エクスペリエンス オブジェクトを作成し、[ 構成設定 ] に移動して 入力保護を有効にします。

   

4. リモート接続エクスペリエンス オブジェクトを作成し、入力保護の [有効にする] を選択すると、設定が有効になります。 [割り当て] セクション 2.In、ユーザーではなくクラウド PC を含むEntraグループを選択します。

   入力保護を無効にするには、ターゲット クラウド PC からリモート接続エクスペリエンス設定を削除または割り当て解除します。

保護の検証

入力保護を有効にした後、強制が期待どおりに動作することを確認します。

1. 入力保護 MSI がインストールされている Windows アプリ を使用して Windows 11 物理エンドポイントから、入力保護が有効になっているクラウド PC またはセッション ホストに接続します。 接続に成功します。
2. MSI がインストールされていない Windows アプリ を使用する Windows 11 エンドポイントから、同じ保護されたリソースに接続してみてください。 接続がブロックされ、エラー メッセージが表示されます。
3. 入力保護が有効になっていないリソースへの接続が引き続き両方のエンドポイントから機能することを確認します。

テナント全体の入力保護を監視するには、クラウド PC 監視 (プレビュー) を使用し、[接続の正常性] ページでKeyboardInputProtectionState接続イベントを確認します。 手順については、「 入出力保護のモニター」を参照してください。

入力保護のトラブルシューティング

接続に失敗した場合、または MSI が正常にインストールされない場合は、Microsoft サポートに問い合わせる前に次の情報を収集してください。

• MSI インストール ログ: %TEMP%\msi*.log、MSI のインストール中に生成されます。
• エンドポイント ログ: C:\Program Files\Windows Cloud IO Protection\logs。
• クライアントとパッケージのバージョン: Windows アプリ のバージョンとインストールされている MSI のバージョン。
• エンドポイント アーキテクチャ: x64 または ARM64。
• リソースの種類: Windows 365 クラウド PC または Azure 仮想デスクトップ ホスト プール。
• アクティビティ ID: 接続エラーの場合は、[ 詳細を表示] を選択し、アクティビティ ID をコピーします。

セッションでキーボード入力が応答していないと思われる場合は、リモート セッション ウィンドウ内を選択し、ログを収集する前にもう一度やり直してください。