Schermopnamebeveiliging inschakelen in Azure Virtual Desktop & Windows 365

Bescherming van schermopname helpt, naast watermerken, voorkomen dat gevoelige gegevens worden vastgelegd op clientapparaten met behulp van specifieke functies en API's van het besturingssysteem (OS). Wanneer u schermopnamebeveiliging inschakelt, wordt externe inhoud automatisch geblokkeerd in schermopnamen en in gedeelde schermen. Deze functie kan worden toegepast op virtuele Azure Virtual Desktop-machines en Windows 365 Cloud-pc's.

Wanneer Bescherming tegen Noteren (SCP) is ingeschakeld om schermopname op de client te blokkeren, kunnen gebruikers hun extern bureaublad of afzonderlijke toepassingen blijven delen met behulp van ondersteunde samenwerkingservaringen, zoals Microsoft Teams. Compatibiliteit tussen SCP en Teams schermdeling is afhankelijk van het gebruik van ondersteunde clientconfiguraties. Wanneer niet-ondersteunde configuraties worden gebruikt, kan beveiligde inhoud tijdens het delen worden weergegeven als een zwart scherm. Zie hier voor de huidige compatibiliteitsvereisten en configuratierichtlijnen met Teams.

Uw configuratie bepalen

De stappen voor het configureren van schermopnamebeveiliging zijn afhankelijk van waar u deze configureert, vanaf welke platforms uw gebruikers verbinding maken en welk scenario u wilt bereiken.

• Windows- en macOS-apparaten: u voorkomt schermopname door virtuele machines (Azure Virtual Desktop) of cloud-pc's (Windows 365) te configureren met behulp van een apparaatconfiguratiebeleid of groepsbeleid van Intune. Windows-app of de Extern bureaublad-client dwingt instellingen voor schermopnamebeveiliging af zonder verdere configuratie.

  Wanneer u schermopnamebeveiliging configureert op virtuele machines of cloud-pc's, zijn er nog twee andere instellingen die u kunt configureren om aan uw vereisten te voldoen:

  • Schermopname blokkeren op client: voorkomt schermopname van het lokale apparaat van toepassingen die worden uitgevoerd in de externe sessie.

  • Schermopname blokkeren op client en server: hiermee voorkom je schermopname van het lokale apparaat van toepassingen die worden uitgevoerd in de externe sessie, maar wordt ook voorkomen dat hulpprogramma's en services op de virtuele machine of cloud-pc het scherm vastleggen.

  In dit scenario is dit het resultaat bij het maken van verbinding vanaf elk platformtype:

^{1. Hybride afdwinging (iOS/iPadOS/Android/Web): wanneer Screen Noteren Protection is ingeschakeld op de virtuele machine of cloud-pc, zijn verbindingen van beheerde iOS-/iPadOS- en Android-apparaten toegestaan indien beveiligd door een Intune MAM-app-beveiligingsbeleid dat schermopname blokkeert. Op internet zijn verbindingen van Microsoft Edge voor Bedrijven toegestaan wanneer het Edge-werkprofiel een Intune MAM-app-beveiligingsbeleid ontvangt dat bescherming van schermopnamen afdwingt via de Microsoft Edge-functies voor preventie van gegevensverlies. Hybride afdwinging is niet van toepassing op platforms die geen ondersteuning bieden voor Intune MAM.}

• Android-, iOS-/iPadOS- en webverbindingen: schermopnamen worden voorkomen door lokale apparaten te configureren met MAM (Mobile Application Management) van Microsoft Intune. Het voorkomt niet dat hulpprogramma's en services binnen de virtuele machine of cloud-pc het scherm vastleggen. Zie Omleidingsinstellingen voor lokale apparaten beheren met Microsoft Intune voor meer informatie.

  In dit scenario is dit het resultaat bij het maken van verbinding vanaf elk platformtype:

^{1. Op het web wordt bescherming tegen schermopname afgedwongen door de Microsoft Bedrijven-functies voor preventie van gegevensverlies (DLP) wanneer gebruikers verbinding maken met Microsoft Edge voor Bedrijven en een Intune MAM-app-beveiligingsbeleid ontvangen. Zie Beveiliging voor schermopnamen inschakelen met Intune MAM voor configuratiestappen.}

Platformoverwegingen voor schermopnamebeveiliging op macOS

Hoewel volledig ondersteund op Windows, zijn er bekende beperkingen op macOS vanwege de huidige beveiligingsarchitectuur van het platform:

• Compatibiliteit met Microsoft Teams: in macOS kan het inschakelen van schermopnamebeveiliging het delen van het scherm in Microsoft Teams verstoren, waardoor gedeelde vensters leeg kunnen lijken of niet correct worden weergegeven. Als op Teams gebaseerde samenwerking vereist is, moet schermopnamebeveiliging mogelijk tijdelijk worden uitgeschakeld op het apparaat.

• Handhaving op platformniveau: vanwege beperkingen van macOS houden sommige native toepassingen mogelijk niet volledig rekening met de handhaving van de bescherming tegen schermopnamen. Dit is een beperking van de beschikbare API's van het besturingssysteem, niet een defect in de schermopnamebeveiliging zelf.

Hier volgen enkele aanbevelingen voor deze beperkingen:

• Voor macOS-werkstromen die veel samenwerking vergen, kun je overwegen om instellingen voor schermopnamebeveiliging te configureren op basis van de bedrijfsbehoeften en het risiconiveau.

• Voor zeer gevoelige inhoud worden Windows-eindpunten aanbevolen voor volledige handhaving van functies voor schermbeveiliging.

• Watermerken en beheerbeleid kunnen worden gebruikt om misbruik verder te ontmoedigen op platforms met beperkte handhaving.

Implementatiepatronen voor Beheer

In de volgende patronen worden algemene implementatiescenario's voor schermopnamebeveiliging beschreven:

Patroon 1: Bureaubladeindpunten (Windows en macOS)

Als uw gebruikers alleen verbinding maken vanaf Windows- of macOS-apparaten, configureert u schermopnamebeveiliging op virtuele machines (Azure Virtual Desktop) of cloud-pc's (Windows 365) met behulp van een Intune-apparaatconfiguratiebeleid of groepsbeleid. Er is geen MAM-configuratie vereist.

• Configureer virtuele machines (Azure Virtual Desktop) of cloud-pc's (Windows 365) met ingeschakelde schermopnamebeveiliging.
• Windows-app en de Extern bureaublad-client dwingen de beveiliging automatisch af.

Patroon 2: Gemengde eindpunten (Windows/macOS en Android/iOS)

Als uw gebruikers zowel vanaf hun desktop als mobiele apparaten verbinding maken, moet u hybride handhaving gebruiken. Configureer schermopnamebeveiliging op zowel de virtuele machine of cloud-pc als het Intune MAM-app-beveiligingsbeleid.

• Configureer virtuele machines (Azure Virtual Desktop) of cloud-pc's (Windows 365) met schermopnamebeveiliging ingeschakeld (Intune of groepsbeleid).
• Configureer een Intune MAM-app-beveiligingsbeleid om schermopnamen te blokkeren op Android- en iOS-/iPadOS-apparaten.
• Op Android en iOS/iPadOS ondersteunt de Windows-app hybride afdwinging: als zowel het door de beheerder geconfigureerde SCP als het MAM-beleid schermopname blokkeren, is de verbinding toegestaan en wordt schermopname geblokkeerd. Als schermopnamen niet worden geblokkeerd door het MAM-beleid, wordt de verbinding tussen Android en iOS/iPadOS geblokkeerd.

Patroon 3: Webeindpunten (browsertoegang)

Als uw gebruikers verbinding maken via de webclient, dwingt u schermopnamebeveiliging af via Microsoft Edge voor Bedrijven. Configureer een beleid voor voorwaardelijke toegang waarvoor een app-beveiligingsbeleid is vereist voor browsertoegang tot uw externe bronnen, samen met een Intune MAM-app-beveiligingsbeleid voor Windows dat gericht is op Microsoft Edge.

• Maak een beleid voor voorwaardelijke toegang dat is gericht op uw externe bronnen (Windows 365 of Azure Virtual Desktop), dat van toepassing is op het Windows-apparaatplatform en de browserclient-app, en dat een app-beveiligingsbeleid vereist.
• Maak een Intune MAM-app-beveiligingsbeleid voor Windows dat gericht is op Microsoft Edge en dat knippen, kopiëren en plakken beperkt tot organisatorische bronnen en bestemmingen, waardoor schermopnamebeveiliging wordt geactiveerd in het Edge-werkprofiel.
• Zie Beveiliging voor schermopnamen inschakelen met Intune MAM voor configuratiestappen.

Vereisten

Voordat u schermopnamebeveiliging kunt configureren, moet u aan de volgende vereisten voldoen:

• Voor scenario's waarin u virtuele machines of cloud-pc's moet configureren, moeten die virtuele machines of cloud-pc's een Windows 11, versie 22H2 of hoger, of Windows 10, versie 22H2 of hoger uitvoeren.

• Gebruikers moeten verbinding maken met Azure virtuele bureaublad met Windows-app of de Extern bureaublad-app om schermopnamebeveiliging te gebruiken. In de volgende tabel ziet u ondersteunde scenario's:

  • Windows-app:

    Platform	Minimumversie	Bureaubladsessie	RemoteApp-sessie
    Windows-app in Windows	Alle	Ja	Ja. Het lokale besturingssysteem van het apparaat moet Windows 11, versie 22H2 of hoger zijn.
    Windows-app op macOS	Alle	Ja	Ja
    Windows-app op iOS/iPadOS	11.2.4	Ja	Ja
    Windows-app op Android¹	11.0.0.94	Ja	Ja

    ^{1. Biedt geen ondersteuning voor Chrome OS omdat Intune MAM niet wordt ondersteund in Chrome OS.}

  • Extern bureaublad-client:

    Platform	Minimumversie	Bureaubladsessie	RemoteApp-sessie
    Windows (bureaubladclient)	1.2.1672	Ja	Ja. Het lokale besturingssysteem van het apparaat moet Windows 11, versie 22H2 of hoger zijn.
    macOS	10.7.0 of hoger	Ja	Ja

• Als u Microsoft Intune wilt configureren, hebt u het volgende nodig:

  • Microsoft Entra ID-account waaraan de ingebouwde RBAC-rol voor beleids- en profielbeheer is toegewezen.

  • Een groep met de apparaten die u wilt configureren.

• Als u groepsbeleid wilt configureren, hebt u het volgende nodig:

  • Een domeinaccount dat lid is van de beveiligingsgroep Domeinbeheerders .

  • Een beveiligingsgroep of organisatie-eenheid (OU) met de apparaten die u wilt configureren.

Schakel schermopnamebeveiliging in op virtuele machines en cloud-pc's met behulp van een Intune apparaatconfiguratiebeleid of groepsbeleid

Selecteer het relevante tabblad voor uw scenario.

Schermopnamebeveiliging inschakelen met Intune MAM

Voor Android, iOS/iPadOS en de webclient (in Windows) dwingt u schermopnamebeveiliging af via Intune Mobile Application Management (MAM). De configuratie bestaat voor elk van deze benaderingen uit twee onderdelen:

1. Pas schermopnamebeveiliging toe: configureer een Intune MAM-app-beveiligingsbeleid dat schermopnamebeveiliging toepast op de client-app.
2. Dwing het app-beveiligingsbeleid af: configureer een beleid voor voorwaardelijke toegang waarvoor het app-beveiligingsbeleid is vereist, zodat gebruikers alleen verbinding kunnen maken wanneer het beleid wordt toegepast op de client.

Stap 1: Pas schermopnamebeveiliging toe met een beveiligingsbeleid voor Intune MAM-apps

Configureer een beveiligingsbeleid voor Intune MAM-apps voor het platform van waaruit uw gebruikers verbinding maken. Volg de stappen om naleving van de beveiliging van lokale clientapparaten met Microsoft Intune en voorwaardelijke toegang van Microsoft Entra te vereisen en configureer vervolgens op het tabblad Gegevensbescherming de instelling voor uw platform:

• iOS/iPadOS (Windows-app): stel Schermopname in op Blokkeren.

  

• Android (Windows-app): stel Schermopname in op Blokkeren.

  

• Web (Microsoft Edge voor Bedrijven op Windows): richt u op Microsoft Edge in een Windows-app-beveiligingsbeleid en stel Knippen, kopiëren en plakken toestaan in naar organisatiegegevensbestemmingen en organisatiegegevensbronnen. Hiermee wordt automatisch schermopnamebeveiliging geactiveerd in het Edge-werkprofiel. Zie Functies voor gegevensbeveiliging voor Microsoft Edge met Intune App Protection (MAM) voor meer informatie over de functies voor preventie van gegevensverlies in Edge voor bedrijven.

Configureer andere instellingen op basis van uw vereisten en wijs vervolgens het app-beveiligingsbeleid toe aan uw gebruikers.

Het app-beveiligingsbeleid afdwingen met voorwaardelijke toegang

Het app-beveiligingsbeleid past schermopnamebeveiliging toe, maar bij voorwaardelijke toegang moet dat beleid aanwezig zijn voordat een gebruiker verbinding kan maken. Zonder dit wachtwoord zou een gebruiker verbinding kunnen maken vanuit een onbeheerde app of browser die niet onderworpen is aan schermopnamebeveiliging. Maak een beleid voor voorwaardelijke toegang, zodat voor verbindingen vanaf Android, iOS/iPadOS en de webclient (op Windows) een compatibel app-beveiligingsbeleid is vereist.

Maak in het Microsoft Entra-beheercentrum een beleid met de volgende instellingen:

Stel onder Voorwaarden het apparaatplatform en de client-app in voor elk platform dat u wilt beveiligen:

Wijs het beleid toe aan dezelfde gebruikers als het beveiligingsbeleid voor apps.

Schermopnamebeveiliging controleren

Controleer of de schermopnamebeveiliging werkt:

1. Verbinding maken met een nieuwe externe sessie met een ondersteunde client. Maak geen verbinding met een bestaande sessie. Meld u af bij alle bestaande sessies en meld u opnieuw aan om de wijziging van kracht te laten worden.

2. Maak vanaf een lokaal apparaat een schermopname of deel uw scherm in een Teams-gesprek of -vergadering. De inhoud is geblokkeerd of verborgen.

3. Als u op Windows- en macOS-apparaten Schermopname blokkeren op client en server op uw virtuele machines of cloud-pc's hebt ingeschakeld, probeert u het scherm vast te leggen met behulp van een hulpprogramma of service op de virtuele machine of cloud-pc. De inhoud is geblokkeerd of verborgen.

Als u schermopnamebeveiliging inschakelt op virtuele machines of cloud-pc's, moet u verbinding maken vanaf een ondersteund apparaat. Als u dit niet doet, ziet u een foutbericht dat aangeeft dat schermopnamebeveiliging is ingeschakeld. Het foutbericht ziet er ongeveer uit als deze schermafbeeldingen:

• Webbrowser:

  

• iOS/iPadOS:

  

Het afdwingen van hybride besturingssystemen voor Android of iOS/iPadOS controleren en problemen hierbij oplossen

Wanneer door de beheerder geconfigureerde SCP is ingeschakeld, zijn Android- of iOS-/iPadOS-verbindingen alleen toegestaan als het beveiligingsbeleid voor MAM-apps ook schermopname blokkeert (hybride afdwinging).

Controleren of de hybride afdwinging voor Android of iOS/iPadOS werkt:

1. Controleer of het Intune beveiligingsbeleid voor MAM-apps wordt toegepast op de gebruiker en het apparaat. Controleer in het Microsoft Intune-beheercentrum de status van het app-beveiligingsbeleid voor de gebruiker onder Apps>MonitorApp-beveiligingsstatus>.

2. Meld u op het Android- of iOS-/iPadOS-apparaat af bij de Windows-app en meld u weer aan om de meest recente beleidsinstellingen op te halen.

3. Maak verbinding met de externe sessie. Als zowel het door de beheerder geconfigureerde SCP als het MAM-beleid schermopname blokkeren, slaagt de verbinding en wordt schermopname geblokkeerd.

Als Android- of iOS-/iPadOS-verbindingen onverwacht worden geblokkeerd, controleert u het volgende:

• Controleer of het beveiligingsbeleid van de MAM-app is toegewezen aan de gebruiker en of Schermopname is ingesteld op Blokkeren.
• Start de Windows-app opnieuw op het Android- of iOS-/iPadOS-apparaat of meld u af en weer aan.
• Controleer of de geïnstalleerde versie van de Windows-app voor Android of iOS/iPadOS hybride handhaving ondersteunt.
• Controleer of op het Android-apparaat geen ChromeOS of Meta Quest wordt uitgevoerd, die geen ondersteuning bieden voor Intune MAM.

Verwante onderwerpen

• Schakel watermerken in, waarbij beheerders een QR-code kunnen gebruiken om de sessie te traceren.

• Meer informatie over het beveiligen van uw Azure Virtual Desktop-implementatie vindt u op Aanbevolen procedures voor beveiliging.