Invoerbeveiliging (preview)

Overzicht

Op Windows 365 cloud-pc's worden sessies al versleuteld en worden op identiteit gebaseerde verificatiemethoden zoals meervoudige verificatie (MFA) afgedwongen om kaping en man-in-the-middle-aanvallen te voorkomen. Het verminderen van de risico's van bedreigingen die zich op het verbonden apparaat kunnen bevinden, zoals keyloggers, kan echter nog steeds gevoelige gegevens in gevaar brengen, wat leidt tot nalevingsrisico's en financieel verlies.

Invoerbeveiliging lost deze leemte op met een stuurprogramma op kernelniveau en versleuteling op systeemniveau waarmee toetsaanslagen veilig rechtstreeks naar de cloud-pc worden geleid, waarbij besturingssysteemlagen worden omzeild die kwetsbaar zijn voor malware. Wanneer u deze functie inschakelt op een cloud-pc of Azure Virtual Desktop-sessiehost, wordt een strikt vertrouwensmodel afgedwongen:

• Alleen beveiligde fysieke eindpuntapparaten kunnen verbinding maken.
• Voor eindpunten moet het MSI-beveiligingsprogramma voor invoerbeveiliging zijn geïnstalleerd.
• Eindpunten moeten worden geregistreerd bij uw organisatie (geregistreerd bij Microsoft Entra of lid van Microsoft Entra).

Als de MSI ontbreekt of het eindpunt niet is geregistreerd bij uw organisatie, wordt de verbinding geblokkeerd en wordt een foutbericht weergegeven. Dit model zorgt voor een veilig kanaal tussen Windows-app en de Cloud PC of Azure Virtual Desktop-sessiehost, waardoor ongecompromitteerde invoerbeveiliging wordt geboden.

Ondersteunde configuraties

Deze functie ondersteunt de volgende configuraties:

• Cloud-pc of sessiehost: Windows 365 Cloud-pc of Azure Virtual Desktop-sessiehost met een ondersteunde versie van het Windows-clientbesturingssysteem of Windows Server.
• Ondersteunde clients: Windows-app op Windows, wanneer uitgevoerd op een fysiek Windows 11-apparaat en met de ingangsbeveiliging MSI geïnstalleerd.
• Niet-ondersteunde clients: virtuele eindpuntapparaten (VM's), macOS, iOS, Android, webbrowsers en Windows-apparaten waarop de Input Protection MSI niet is geïnstalleerd, inclusief Windows 365 Link-apparaten.

De ingangsbeveiliging MSI installeren

Vereisten

• Het eindpunt moet een fysiek apparaat zijn (virtuele machines worden niet ondersteund) met Windows 11.
• De gebruiker moet over Local Beheer-rechten beschikken om het MSI-pakket te installeren.
• Windows-app versie 2.0.1236.0 of hoger. Werk bij naar de nieuwste versie vanuit de Microsoft Store.
• Het eindpunt moet zijn geregistreerd bij dezelfde organisatie (Microsoft Entra-tenant) die de beveiligde cloud-pc of sessiehost levert. Dat wil zeggen, het apparaat moet bij Microsoft Entra zijn geregistreerd of lid zijn van Microsoft Entra. Zie Het eindpuntapparaat registreren voor stappen.

Het MSI-pakket installeren

1. Wanneer een gebruiker vanaf een fysiek apparaat zonder de ingangsbeveiliging MSI verbinding probeert te maken met een Windows 365 Cloud-pc of Azure Virtual Desktop-sessiehost, wordt het volgende foutbericht weergegeven:

   

2. Download en installeer het juiste MSI-bestand:

   • Windows x64
   • Windows ARM 64

Het eindpuntapparaat registreren

Als u het eindpunt wilt registreren, voegt u een werk- of schoolaccount toe voor de organisatie die de beveiligde resource levert:

1. Open> InstellingenAccounts Toegang>tot werk of school op het eindpunt.
2. Selecteer Verbinding maken en meld u vervolgens aan met de referenties van de organisatie die de beveiligde cloud-pc of sessiehost levert.
3. Nadat de registratie is voltooid, start u de Windows-app opnieuw of maakt u opnieuw verbinding.

Invoerbeveiliging configureren

U kunt invoerbeveiliging configureren voor Azure Virtual Desktop (Azure Portal) en voor Windows 365 (Intune).

Configureren voor Azure Virtual Desktop

1. Meld u aan bij Azure Portal.

2. Ga naar hettabbladGeavanceerd van de RDP-eigenschappen> van de hostgroep>.

3. Enter enablewindowscloudiokeyboardinputprotection:i:1 zoals weergegeven in de volgende schermafbeelding:

   

   Als u wilt stoppen met het afdwingen van invoerbeveiliging voor de hostgroep, stelt u de eigenschapswaarde in op enablewindowscloudiokeyboardinputprotection:i:0.

Configureren voor Windows 365

1. Meld je aan bij het Microsoft Intune-beheercentrum.

2. Ga naar Apparaten>Windows 365>Instellingen>Externe verbinding maken>(preview).

   

3. Maak een Remote Connection Experience-object en navigeer naar Configuratie-instellingen om invoerbeveiliging in te schakelen.

   

4. Nadat u het Remote Connection Experience-object hebt gemaakt en Inschakelen voor invoerbeveiliging hebt geselecteerd, wordt de instelling van kracht. 2.In de sectie Opdrachten selecteert u een Entra groep met de cloud-pc, niet de gebruiker.

   Als u invoerbeveiliging wilt uitschakelen, verwijdert u de instelling Ervaring van externe verbinding van de doelcloud-pc's of trekt u de toewijzing ervan in.

Beveiliging valideren

Nadat u invoerbeveiliging hebt ingeschakeld, controleert u of de handhaving werkt zoals verwacht:

1. Maak vanaf een fysiek eindpunt van Windows 11 met behulp van een Windows-app-app waarop de MSI voor invoerbeveiliging is geïnstalleerd, verbinding met een cloud-pc of sessiehost waarvoor invoerbeveiliging is ingeschakeld. De verbinding slaagt.
2. Probeer vanaf een Windows 11-eindpunt met Windows-app waarvoor MSI niet is geïnstalleerd verbinding te maken met dezelfde beveiligde bron. De verbinding wordt geblokkeerd en er wordt een foutbericht weergegeven.
3. Controleer of verbindingen met resources waarvoor invoerbeveiliging niet is ingeschakeld, nog steeds werken vanaf beide eindpunten.

Als u de invoerbeveiliging in uw tenant wilt bewaken, gebruikt u Cloud-pc-bewaking (preview) en bekijkt u de KeyboardInputProtectionState verbindingsgebeurtenis op de pagina Verbindingsstatus . Zie Invoer- en uitvoerbeveiliging bewaken voor de stappen.

Problemen met invoerbeveiliging oplossen

Als een verbinding mislukt of de MSI niet wordt geïnstalleerd zoals verwacht, verzamelt u de volgende informatie voordat u contact opneemt met Microsoft-ondersteuning:

• MSI-installatielogboek: %TEMP%\msi*.log, gegenereerd tijdens de MSI-installatie.
• Eindpuntlogboeken: C:\Program Files\Windows Cloud IO Protection\logs.
• Client- en pakketversies: de Windows-app-versie en de geïnstalleerde MSI-versie.
• Eindpuntarchitectuur: x64 of ARM64.
• Resourcetype: Windows 365 Cloud-pc of hostgroep van Azure Virtual Desktop.
• Activiteits-ID: Bij een verbindingsfout selecteert u Details weergeven en kopieert u vervolgens de activiteits-ID.

Als toetsenbordinvoer in een sessie niet lijkt te reageren, selecteert u deze in het venster van de externe sessie en probeert u het opnieuw voordat u logboeken verzamelt.