Włączanie ochrony zrzutów ekranu w usłudze Azure Virtual Desktop i systemie Windows 365

Ochrona przed zrzutami ekranu, obok znaku wodnego, pomaga zapobiegać przechwytywaniu poufnych danych na urządzeniach klienckich przy użyciu określonych funkcji systemu operacyjnego (OS) i interfejsów API. Po włączeniu ochrony przed zrzutami ekranu zawartość zdalna na zrzutach ekranu i udostępnianiu ekranu jest automatycznie blokowana. Tę funkcję można zastosować do maszyn wirtualnych usługi Azure Virtual Desktop i komputerów w chmurze platformy Windows 365.

Po włączeniu ochrony przed zrzutami ekranu (SCP) w celu zablokowania przechwytywania ekranu w kliencie użytkownicy mogą nadal udostępniać pulpit zdalny lub poszczególne aplikacje przy użyciu obsługiwanych środowisk współpracy, takich jak Microsoft Teams. Kompatybilność między SCP i udostępnianiem ekranu w aplikacji Teams zależy od użycia obsługiwanych konfiguracji klienta. W przypadku użycia nieobsługiwanych konfiguracji podczas udostępniania chroniona zawartość może być wyświetlana jako ekran. Aby poznać bieżące wymagania dotyczące zgodności i wskazówki dotyczące konfiguracji usługi Teams, zobacz Ochrona zrzutów ekranu usługi Azure Virtual Desktop i zgodność z aplikacją Microsoft Teams.

Określanie konfiguracji

Czynności, które należy wykonać, aby skonfigurować ochronę przed zrzutami ekranu, zależą od tego, gdzie ją konfigurujesz, platform, z których łączą się użytkownicy, i od scenariusza, który chcesz osiągnąć.

• Klienci natywni w systemach Windows i macOS: gdy użytkownicy łączą się z natywnie zainstalowaną aplikacją aplikacja dla systemu Windows lub klientem pulpitu zdalnego, skonfiguruj ochronę przed zrzutami ekranu na maszynach wirtualnych (Azure Virtual Desktop) lub komputerach w chmurze (Windows 365) za pomocą zasad konfiguracji urządzeń usługi Intune lub zasad grupy. Klient natywny wymusza te ustawienia bez zasad ochrony aplikacji MAM usługi Intune. W przypadku połączeń z przeglądarki, w tym Microsoft Edge w systemie Windows, postępuj zgodnie ze wzorcem 3: Punkty końcowe sieci Web (dostęp przez przeglądarkę).

  Podczas konfigurowania ochrony przed zrzutami ekranu na maszynach wirtualnych lub komputerach w chmurze istnieją dwa dodatkowe ustawienia, które można skonfigurować, aby spełnić wymagania:

  • Blokuj przechwytywanie ekranu na kliencie: uniemożliwia przechwytywanie ekranu z urządzenia lokalnego aplikacji uruchomionych w sesji zdalnej.

  • Blokuj przechwytywanie ekranu na kliencie i serwerze: zapobiega przechwytywaniu ekranu z urządzenia lokalnego aplikacji uruchomionych w sesji zdalnej, ale także uniemożliwia przechwytywanie ekranu przez narzędzia i usługi w ramach maszyny wirtualnej lub komputera w chmurze.

  W tym scenariuszu wynik nawiązywania połączenia z każdego typu platformy wygląda następująco:

^{1. Wymuszanie hybrydowe (iOS/iPadOS/Android/Internet): Gdy ochrona zrzutów ekranu jest włączona na maszynie wirtualnej lub komputerze w chmurze, połączenia z aplikacji aplikacja dla systemu Windows w systemach iOS/iPadOS i Android są dozwolone, gdy do aplikacji mają zastosowanie zasady ochrony aplikacji MAM usługi Intune, które blokują przechwytywanie ekranu. W Internecie połączenia z przeglądarki Microsoft Edge dla firm są dozwolone, gdy profil służbowy przeglądarki Edge otrzyma zasady ochrony aplikacji MAM usługi Intune, które wymuszają ochronę zrzutów ekranu za pomocą funkcji ochrony przed utratą danych (DLP) przeglądarki Edge. Wymuszanie hybrydowe nie ma zastosowania na platformach, które nie obsługują zarządzania aplikacjami mobilnymi usługi Intune.}

• Android, iOS/iPadOS i połączenia internetowe: skonfiguruj zasady ochrony aplikacji MAM usługi Intune dla obsługiwanej aplikacji klienckiej i przypisz je do użytkowników, którzy potrzebują ochrony. W przypadku systemów Android i iOS/iPadOS zasady dotyczą aplikacji aplikacja dla systemu Windows. W przypadku połączeń internetowych w systemie Windows zasady dotyczą przeglądarki Microsoft Edge dla firm za pośrednictwem profilu służbowego użytkownika. Ta ochrona po stronie klienta zapobiega lokalnemu przechwytywaniu ekranu chronionej zawartości; nie uniemożliwia ona narzędziom i usługom w obrębie maszyny wirtualnej lub komputera w chmurze przechwytywania ekranu. Aby uzyskać instrukcje konfiguracji, zobacz Włączanie ochrony zrzutów ekranu za pomocą usługi MAM usługi Intune.

  W tym scenariuszu wynik nawiązywania połączenia z każdego typu platformy wygląda następująco:

^{1. W Internecie ochrona zrzutów ekranu jest wymuszana przez funkcje zapobiegania utracie danych (DLP) przeglądarki Edge dla firm, gdy użytkownicy łączą się z przeglądarką Microsoft Edge dla firm i otrzymują zasady ochrony aplikacji MAM usługi Intune. Aby uzyskać instrukcje konfiguracji, zobacz Włączanie ochrony zrzutów ekranu za pomocą usługi MAM usługi Intune.}

Zagadnienia dotyczące platformy w celu ochrony przed zrzutami ekranu w systemie macOS

Ochrona przed zrzutami ekranu jest w pełni obsługiwana w systemie Windows, ale ma znane ograniczenia w systemie macOS ze względu na bieżącą architekturę zabezpieczeń platformy:

• Zgodność aplikacji Microsoft Teams: w systemie macOS włączenie ochrony przed zrzutami ekranu może zakłócać udostępnianie ekranu w aplikacji Microsoft Teams, potencjalnie powodując, że udostępnione okna są puste lub nie wyświetlają się prawidłowo. Jeśli wymagana jest współpraca oparta na aplikacji Teams, być może będzie konieczne tymczasowe wyłączenie ochrony przed zrzutami ekranu na urządzeniu.

• Wymuszanie na poziomie platformy: ze względu na ograniczenia systemu macOS niektóre aplikacje natywne mogą nie w pełni respektować wymuszanie ochrony przed zrzutami ekranu. Jest to ograniczenie dostępnych interfejsów API systemu operacyjnego, a nie defekt samej ochrony przed zrzutami ekranu.

Oto kilka zaleceń dotyczących tych ograniczeń:

• W przypadku intensywnych przepływów pracy w systemie macOS rozważ skonfigurowanie ustawień ochrony przed zrzutami ekranu na podstawie potrzeb biznesowych i poziomu ryzyka.

• W przypadku wysoce poufnej zawartości punkty końcowe systemu Windows są zalecane w celu pełnego wymuszenia funkcji ochrony ekranu.

• Znaki wodne i zasady administracyjne mogą być wykorzystywane do dalszego zniechęcania do nadużyć na platformach o ograniczonym egzekwowaniu.

Wzorce wdrażania administracji

Poniższe wzorce opisują typowe scenariusze wdrażania ochrony przed zrzutami ekranu:

Wzorzec 1: Natywni klienci komputerowi (Windows i macOS)

Tego wzorca należy używać, gdy użytkownicy łączą się z natywnie zainstalowaną aplikacją aplikacja dla systemu Windows lub klientem pulpitu zdalnego w systemie Windows lub macOS.

• Skonfiguruj ochronę przed zrzutami ekranu na maszynach wirtualnych (Azure Virtual Desktop) lub Cloud PCs (Windows 365) przy użyciu zasad konfiguracji urządzeń usługi Intune lub zasady grupy.
• aplikacja dla systemu Windows i klient pulpitu zdalnego automatycznie wymuszają skonfigurowane ustawienia ochrony przed zrzutami ekranu.

Zasady ochrony aplikacji MAM usługi Intune nie są wymagane dla tych natywnych klientów. Połączenia przeglądarki mają inną konfigurację, nawet jeśli przeglądarka działa na urządzeniu z systemem Windows. W przypadku połączeń przeglądarki postępuj zgodnie ze Wzorcem 3: Punkty końcowe sieci Web (dostęp w przeglądarce).

Wzorzec 2: Mieszane punkty końcowe (Windows/macOS i Android/iOS)

Jeśli użytkownicy łączą się zarówno z urządzeń stacjonarnych, jak i przenośnych, użyj wymuszania hybrydowego. Skonfiguruj ochronę przechwytywania ekranu zarówno na maszynie wirtualnej lub komputerze w chmurze, jak i w zasadach ochrony aplikacji MAM usługi Intune.

• Skonfiguruj maszyny wirtualne (Azure Virtual Desktop) lub Cloud PC (Windows 365) z włączoną ochroną przed przechwytywaniem ekranu (Intune lub zasady grupy).
• Skonfiguruj zasady ochrony aplikacji MAM usługi Intune, aby zablokować przechwytywanie ekranu na urządzeniach z systemami Android i iOS/iPadOS.
• W systemach Android i iOS/iPadOS aplikacja aplikacja dla systemu Windows obsługuje wymuszanie hybrydowe: jeśli zarówno skonfigurowane przez administratora usługi SCP, jak i zasady MAM blokują przechwytywanie ekranu, połączenie jest dozwolone, a przechwytywanie ekranu jest zablokowane. Jeśli zasady zarządzania aplikacjami mobilnymi nie blokują przechwytywania ekranu, połączenie z systemami Android i iOS/iPadOS jest zablokowane.

Wzorzec 3. Punkty końcowe sieci Web (dostęp za pośrednictwem przeglądarki)

W przypadku aplikacji aplikacja dla systemu Windows w przeglądarce internetowej użyj przeglądarki Microsoft Edge dla firm w systemie Windows z zasadami ochrony aplikacji MAM usługi Intune przeznaczonymi dla przeglądarki Microsoft Edge. Skonfiguruj również zasady dostępu warunkowego, które wymagają ochrony aplikacji przed zezwoleniem na dostęp do zasobów zdalnych.

Użytkownik musi zalogować się do profilu służbowego przeglądarki Microsoft Edge przy użyciu konta służbowego organizacji i użyć tego samego konta w celu uzyskania dostępu do aplikacji aplikacja dla systemu Windows z tego profilu. Samo zalogowanie się do witryny internetowej aplikacja dla systemu Windows nie wystarczy: profil służbowy przeglądarki Edge musi otrzymać zasady ochrony aplikacji Twojej organizacji.

Przypisz zasady ochrony aplikacji do użytkowników, którzy wymagają ochrony. Jeśli na przykład kontrahent uzyskuje dostęp do zasobów zdalnych organizacji przy użyciu konta służbowego udostępnionego przez organizację, uwzględnij to konto w przypisaniu zasad. Przypisanie zasad do innego konta nie chroni profilu używanego dla tego połączenia.

Użytkownik może mieć konta służbowe z więcej niż jednej organizacji, na przykład kontrahenta, który pracuje dla kilku klientów. Na urządzeniu, którym nie zarządza żadna z tych organizacji, użytkownik loguje się do oddzielnego profilu służbowego przeglądarki Edge dla każdego konta służbowego. Każdy profil otrzymuje tylko własne zasady ochrony aplikacji organizacji. Aby nawiązać połączenie z zasobami zdalnymi z ochroną przed zrzutami ekranu, użytkownik musi otworzyć aplikacja dla systemu Windows z profilu, który jest zalogowany przy użyciu konta służbowego Twojej organizacji.

Użytkownicy nie muszą rejestrować swoich urządzeń w centrum zarządzania urządzeniami organizacji. Ochrona przechwytywania ekranu sieci Web jest obsługiwana na urządzeniach osobistych, a dzięki przeglądarce Microsoft Edge dla firm w wersji 147 lub nowszej na urządzeniach zarządzanych przez inną organizację, taką jak pracodawca kontrahenta. Obowiązują następujące ograniczenia:

• Urządzenia zarządzane przez organizację: urządzenia zarządzane przez tę samą dzierżawę, która stosuje zasady ochrony aplikacji, nie są obsługiwane w ramach tej konfiguracji. Użytkownicy na tych urządzeniach nie mogą uzyskiwać dostępu do zasobów zdalnych z przeglądarki, gdy mają zastosowanie zasady dostępu warunkowego. Zamiast tego mogą łączyć się z natywnie zainstalowaną aplikacją aplikacja dla systemu Windows, z ochroną przed zrzutami ekranu skonfigurowaną na maszynach wirtualnych lub komputerach w chmurze, jak opisano we wzorcu 1.
• Ochrona punktu końcowego na urządzeniu: jeśli funkcja DLP punktu końcowego na poziomie urządzenia jest włączona, zasad ochrony aplikacji nie można zastosować do profilu służbowego przeglądarki Edge, chyba że organizacja zarządzająca urządzeniem skonfiguruje MAMWithDeviceDLPEnabled zasady dla przeglądarki Microsoft Edge. W przypadku urządzenia zarządzanego przez pracodawcę wykonawcy pracodawca wykonawcy musi skonfigurować te zasady.
• Zasady DLP usługi Microsoft Defender for Cloud Apps: w przeglądarce Microsoft Edge w wersji 149 i nowszych, jeśli mają zastosowanie również zasady DLP usługi Microsoft Defender for Cloud Apps, są one wymuszane zamiast zasad ochrony aplikacji. Obie zasady należą do organizacji, więc możesz dostosować zasady usługi Defender for Cloud Apps, aby uzyskać pożądane zachowanie.

Aby uzyskać więcej informacji, zobacz Obsługiwane scenariusze i znane ograniczenia.

Aby skonfigurować ten wzorzec:

• Utwórz zasady dostępu warunkowego, które są przeznaczone dla zasobów zdalnych, mają zastosowanie do platformy urządzeń z systemem Windows i aplikacji klienckiej przeglądarki oraz wymagają zasad ochrony aplikacji. Aby zapoznać się z zasobami do wybrania, zobacz Krok 2: Wymagaj ochrony aplikacji przed zezwoleniem na dostęp za pomocą dostępu warunkowego.
• Utwórz zasady ochrony aplikacji MAM usługi Intune dla systemu Windows, które są przeznaczone dla przeglądarki Microsoft Edge i ograniczają wycinanie, kopiowanie i wklejanie do źródeł i miejsc docelowych organizacji, co aktywuje ochronę przed przechwytywaniem ekranu w profilu roboczym przeglądarki Edge.
• Aby uzyskać instrukcje konfiguracji, zobacz Włączanie ochrony zrzutów ekranu za pomocą usługi MAM usługi Intune.

Wymagania wstępne

Przed rozpoczęciem konfigurowania ochrony przed zrzutami ekranu upewnij się, że zostały spełnione następujące wymagania wstępne:

• W przypadku scenariuszy, w których należy skonfigurować maszyny wirtualne lub komputery w chmurze, te maszyny wirtualne lub komputery w chmurze muszą działać z systemem Windows 11 w wersji 22H2 lub nowszej albo systemem Windows 10 w wersji 22H2 lub nowszej.

• Użytkownicy łączący się z natywnie zainstalowanym klientem muszą używać obsługiwanej wersji aplikacji aplikacja dla systemu Windows lub klienta pulpitu zdalnego. W poniższych tabelach przedstawiono obsługiwane scenariusze klientów natywnych:

  • aplikacja dla systemu Windows:

    Platforma	Minimalna wersja	Sesja pulpitu	Sesja RemoteApp
    Aplikacja aplikacja dla systemu Windows w systemie Windows	Dowolna	Tak	Tak. System operacyjny urządzenia lokalnego musi być systemem Windows 11 w wersji 22H2 lub nowszej.
    Aplikacja aplikacja dla systemu Windows w systemie macOS	Dowolna	Tak	Tak
    Aplikacja aplikacja dla systemu Windows na urządzeniach z systemem iOS/iPadOS	11.2.4	Tak	Tak
    Aplikacja aplikacja dla systemu Windows na urządzeniach z systemem Android¹	11.0.0.94	Tak	Tak

    ^{1. Nie obejmuje obsługi ChromeOS, ponieważ zarządzanie aplikacjami mobilnymi usługi Intune nie jest obsługiwane w systemie ChromeOS.}

  • Klient pulpitu zdalnego:

    Platforma	Minimalna wersja	Sesja pulpitu	Sesja RemoteApp
    Windows (klient komputerowy)	1.2.1672	Tak	Tak. System operacyjny urządzenia lokalnego musi być systemem Windows 11 w wersji 22H2 lub nowszej.
    macOS	10.7.0	Tak	Tak

• Do korzystania z aplikacji aplikacja dla systemu Windows w przeglądarce sieci Web są potrzebne:

  • Microsoft Edge dla firm dla firm w systemie Windows w wersji 134.0.3124.51 lub nowszej. Na urządzeniach zarządzanych przez inną organizację wymagana jest wersja 147 lub nowsza. Zalecamy korzystanie z najnowszej wersji przeglądarki Microsoft Edge.
  • Osobiste urządzenie z systemem Windows lub urządzenie z systemem Windows zarządzane przez inną organizację. Urządzenia zarządzane przez tę samą dzierżawę, która stosuje zasady ochrony aplikacji, nie są obsługiwane. Aby zapoznać się z innymi ograniczeniami urządzeń, w tym DLP punktu końcowego, zobacz Obsługiwane scenariusze i znane ograniczenia.
  • Profil służbowy przeglądarki Microsoft Edge zalogowany przy użyciu konta służbowego organizacji, którego użytkownik używa w celu uzyskania dostępu do aplikacji aplikacja dla systemu Windows.
  • Grupa zabezpieczeń usługi Microsoft Entra ID zawierająca konta służbowe użytkowników. Użyj tej grupy podczas przypisywania zasad ochrony aplikacji usługi Intune i odpowiednich zasad dostępu warunkowego.

  Aby poznać dodatkowe wymagania wstępne usługi Intune i dostępu warunkowego, zobacz Wymagaj zgodności zabezpieczeń urządzeń klienta lokalnego z usługą Microsoft Intune i dostępem warunkowym usługi Microsoft Entra.

• Aby skonfigurować zasady konfiguracji urządzeń usługi Intune na maszynach wirtualnych lub komputerach w chmurze, potrzebne są:

  • Konto usługi Microsoft Entra ID z przypisaną wbudowaną rolą RBAC menedżera zasad i profilu.

  • Grupa zawierająca maszyny wirtualne lub komputery w chmurze, które chcesz skonfigurować.

• Aby skonfigurować zasady grupy, musisz mieć:

  • Konto domeny, które należy do grupy zabezpieczeń Administratorzy domeny .

  • Grupa zabezpieczeń lub jednostka organizacyjna (OU) zawierająca urządzenia, które chcesz skonfigurować.

Włączanie ochrony przed przechwytywaniem ekranu na maszynach wirtualnych i komputerach w chmurze przy użyciu zasad konfiguracji urządzeń usługi Intune lub zasady grupy

Wybierz kartę odpowiednią dla danego scenariusza.

Włączanie ochrony przed przechwytywaniem ekranu za pomocą funkcji zarządzania aplikacjami mobilnymi usługi Intune

W przypadku systemów Android, iOS/iPadOS i klienta sieci web (w systemie Windows) ochronę przed zrzutami ekranu wymusza się za pomocą zarządzania aplikacjami mobilnymi (MAM) usługi Intune). W przypadku każdego z tych podejść konfiguracja składa się z dwóch części:

1. Zastosuj ochronę przed przechwytywaniem ekranu: skonfiguruj zasady ochrony aplikacji MAM usługi Intune z wymaganymi ustawieniami ochrony przed przechwytywaniem ekranu. Te ustawienia są wymuszane przez obsługiwaną aplikację kliencką.
2. Wymagaj ochrony aplikacji przed zezwoleniem na dostęp: skonfiguruj zasady dostępu warunkowego, które wymagają zasad ochrony aplikacji, zanim użytkownicy będą mogli uzyskać dostęp do docelowych zasobów zdalnych.

Krok 1. Stosowanie ochrony przed zrzutami ekranu za pomocą zasad ochrony aplikacji MAM usługi Intune

Skonfiguruj zasady ochrony aplikacji MAM usługi Intune dla platformy, z której łączą się użytkownicy. Wykonaj czynności opisane w temacie Tworzenie zasad ochrony aplikacji i użyj wybranych aplikacji oraz ustawień ochrony przed zrzutami ekranu poniżej dla Twojej platformy:

• iOS/iPadOS (aplikacja dla systemu Windows): ustaw przechwytywanie ekranu na blokowanie.

  

• Android (aplikacja dla systemu Windows): ustaw Przechwytywanie ekranu na Blokowanie.

  

• Sieć Web (przeglądarka Microsoft Edge dla firm w systemie Windows): utwórz lub edytuj zasady ochrony aplikacji usługi Intune przy użyciu następujących ustawień:

  Ustawienie	Value
  Platforma zasad	Windows
  Aplikacje	Microsoft Edge
  Ochrona> danychZezwalaj na wycinanie, kopiowanie i wklejanie dla	Miejsca docelowe danych organizacji i źródła danych organizacji
  Zadania	Uwzględnij grupę zabezpieczeń zawierającą konta służbowe, za pomocą których użytkownicy logują się do swoich profilów służbowych przeglądarki Edge. Upewnij się, że ci użytkownicy nie są wykluczeni z zasad.

  W przypadku połączeń internetowych to Microsoft Edge otrzymuje zasady ochrony aplikacji, a nie natywnie zainstalowana aplikacja aplikacja dla systemu Windows. Użytkownik musi uzyskać dostęp do aplikacji aplikacja dla systemu Windows z profilu służbowego przeglądarki Edge, który otrzymuje tę zasadę.

  Powyższe ustawienie schowka ogranicza kopiowanie i wklejanie oraz automatycznie aktywuje ochronę przed zrzutami ekranu w całym chronionym profilu służbowym przeglądarki Microsoft Edge, w tym we wszystkich kartach w tym profilu. Ochrona nie jest ograniczona do karty aplikacja dla systemu Windows. Aby uzyskać więcej informacji, zobacz Funkcje ochrony danych dla przeglądarki Microsoft Edge przy użyciu funkcji ochrony aplikacji usługi Intune (MAM).

Skonfiguruj inne ustawienia na podstawie wymagań, a następnie przypisz zasady ochrony aplikacji do użytkowników.

Krok 2. Wymaganie ochrony aplikacji przed zezwoleniem na dostęp za pomocą dostępu warunkowego

Zasady ochrony aplikacji MAM usługi Intune konfigurują ochronę przed przechwytywaniem ekranu, a obsługiwana aplikacja kliencka wymusza ją. W przypadku połączeń internetowych przeglądarka Microsoft Edge dla firm wymusza ochronę profilu służbowego, który otrzymuje zasady.

Dostęp warunkowy nie blokuje samego przechwytywania ekranu. Wymaga zasad ochrony aplikacji przed udzieleniem dostępu do docelowych zasobów zdalnych, uniemożliwiając dostęp za pośrednictwem niechronionej aplikacji lub przeglądarki. W przypadku połączeń internetowych użytkownicy mogą zostać poproszeni o zalogowanie się do wymaganego profilu służbowego przeglądarki Microsoft Edge i ukończenie rejestracji zarządzania aplikacjami mobilnymi. Samo zalogowanie się nie wystarczy; Zasady ochrony aplikacji muszą być stosowane.

W przypadku połączeń internetowych wyróżnij cele zasad:

• Zasady ochrony aplikacji usługi Intune są skierowane do przeglądarki Microsoft Edge, aplikacji klienckiej, która wymusza ochronę.
• Zasady dostępu warunkowego są skierowane do zasobów zdalnych , do których mają dostęp użytkownicy. Wybierz pozycję Przeglądarka w obszarze Aplikacje klienckie, >a nie jako zasób docelowy.

W centrum administracyjnym Microsoft Entra utwórz zasady z następującymi ustawieniami:

W obszarze Warunki ustaw platformę urządzenia i aplikację kliencką dla każdej platformy, którą chcesz chronić:

Utwórz zasady sieci Web oddzielnie od wszelkich zasad systemów Android i iOS/iPadOS. Klienci natywni w systemie Windows, tacy jak aplikacja dla systemu Windows, nie obsługują zasad ochrony aplikacji. Zasady, które obejmują zarówno platformę urządzeń z systemem Windows , jak i aplikacje mobilne i klientów komputerowych , blokują ich połączenia.

Aby uzyskać więcej informacji o tych zasobach, w tym o tym, jak zasady przeznaczone dla systemu Windows 365 mogą również wpływać na logowanie w portalu administracyjnym, zobacz Ustawianie zasad dostępu warunkowego dla systemu Windows 365 i Wymuszanie uwierzytelniania wieloskładnikowego usługi Microsoft Entra dla usługi Azure Virtual Desktop przy użyciu dostępu warunkowego.

Przypisz poszczególne zasady do tych samych użytkowników, co odpowiednie zasady ochrony aplikacji.

Sprawdzanie ochrony zrzutów ekranu

Aby sprawdzić, czy działa ochrona przed zrzutami ekranu:

1. Nawiąż połączenie z nową sesją zdalną przy użyciu obsługiwanego klienta. Nie łącz się ponownie z istniejącą sesją. Aby zmiana została zastosowana, należy wylogować się z istniejących sesji i zalogować się ponownie.

2. Zrób zrzut ekranu lub udostępnij ekran podczas rozmowy lub spotkania w aplikacji Teams na urządzeniu lokalnym. Zawartość jest zablokowana lub ukryta.

3. Na urządzeniach z systemem Windows i macOS, jeśli włączono opcję Blokuj przechwytywanie ekranu na kliencie i serwerze na maszynach wirtualnych lub komputerach w chmurze, spróbuj przechwycić ekran przy użyciu narzędzia lub usługi w ramach maszyny wirtualnej lub komputera w chmurze. Zawartość jest zablokowana lub ukryta.

Jeśli włączysz ochronę przed zrzutami ekranu na maszynach wirtualnych lub komputerach w chmurze, musisz połączyć się z obsługiwanym urządzeniem. W przeciwnym razie zostanie wyświetlony komunikat o błędzie informujący, że włączono ochronę przed zrzutami ekranu. Komunikat o błędzie wygląda podobnie do następujących zrzutów ekranu:

• Przeglądarka internetowa:

  

• iOS/iPadOS:

  

Weryfikowanie i rozwiązywanie problemów związanych z ochroną zrzutów ekranu sieci Web

W przypadku aplikacji aplikacja dla systemu Windows w przeglądarce internetowej sprawdź, czy profil służbowy przeglądarki Edge otrzymuje wymagane zasady ochrony aplikacji i czy dostęp warunkowy wymaga ochrony aplikacji przed udzieleniem dostępu.

1. Sprawdź przeglądarkę i urządzenie. Potwierdź następujące warunki:

   • Użytkownik używa przeglądarki Microsoft Edge dla firm w systemie Windows, wersji 134.0.3124.51 lub nowszej albo wersji 147 lub nowszej na urządzeniu zarządzanym przez inną organizację.
   • Urządzenie nie jest zarządzane przez tę samą dzierżawę, która stosuje zasady ochrony aplikacji. Ta konfiguracja nie obsługuje tych urządzeń.
   • Ochrona punktu końcowego przed utratą danych nie blokuje zasad ochrony aplikacji. W przeglądarce Microsoft Edge przejdź do edge://edge-dlp-internals. Na stronie Stan funkcji , jeśli DLP punktu końcowego jest wymienione jako dostawca ze stanem Dostępny, DLP punktu końcowego jest włączone na poziomie urządzenia. Zasad ochrony aplikacji nie można zastosować, dopóki organizacja zarządzająca urządzeniem nie skonfiguruje MAMWithDeviceDLPEnabled zasad dla przeglądarki Microsoft Edge. Ta organizacja może ustawić to w usłudze Intune dla przeglądarki Edge 148 lub nowszej albo za pomocą zasady grupy lub rejestru przeglądarki Edge 147. Aby uzyskać więcej informacji, zobacz Jak sprawdzić, czy DLP punktu końcowego jest włączone na urządzeniu.

2. Sprawdź tożsamość, do której zalogowano się. Upewnij się, że użytkownik jest zalogowany do profilu służbowego przeglądarki Edge przy użyciu konta służbowego organizacji i uzyskuje dostęp do aplikacji aplikacja dla systemu Windows z tego profilu, używając tego samego konta. Samo zalogowanie się do witryny nie wystarczy. Wypełnij wszystkie wymagane monity dotyczące logowania do profilu służbowego i rejestracji w MAM. Jeśli użytkownik ma profil służbowy w więcej niż jednej organizacji, upewnij się, że korzysta z profilu w Twojej organizacji. Każdy profil otrzymuje tylko własne zasady ochrony aplikacji organizacji.

3. Sprawdź ustawienia docelowe i zasady ochrony aplikacji. Upewnij się, że zasady ochrony aplikacji systemu Windows są ukierunkowane na przeglądarkę Microsoft Edge, uwzględniają konto służbowe użytkownika za pośrednictwem przypisanej grupy i nie wykluczają tego użytkownika. W obszarze Ochrona danych upewnij się, że opcja Zezwalaj na wycinanie, kopiowanie i wklejanie jest ustawiona na Miejsca docelowe danych organizacji i źródła danych organizacji. Jeśli organizacja stosuje również zasady DLP usługi Microsoft Defender for Cloud Apps, w przeglądarce Microsoft Edge w wersji 149 i nowszych wymuszane są te zasady zamiast zasad ochrony aplikacji.

4. Sprawdź dostarczanie zasad. W centrum administracyjnym usługi Microsoft Intune przejdź do pozycji Stan ochrony aplikacji monitora > aplikacji>. Sprawdź nazwę zasad, wersję aplikacji i ostatnią synchronizację wystąpienia aplikacji użytkownika. Sprawdź, czy oczekiwane zasady zostały zgłoszone i czy aplikacja została zaewidencjonowana od momentu zmiany konfiguracji. Samo przypisanie nie potwierdza, że testowane wystąpienie aplikacji otrzymało najnowszą konfigurację. Aby uzyskać więcej informacji, zobacz Monitorowanie zasad ochrony aplikacji.

5. Sprawdź opcję Dostęp warunkowy. Upewnij się, że zasady obejmują zamierzonego użytkownika i zasoby zdalne, mają zastosowanie do systemu Windows i przeglądarki oraz używają zasady Wymagaj ochrony aplikacji. Zasady w trybie tylko do raportu nie wymuszają tego wymagania. Przejrzyj zdarzenie logowania użytkownika do usługi Microsoft Entra, aby ustalić, które zasady zostały zastosowane i jakie szczegóły niepowodzenia powiodły się. Zobacz Rozwiązywanie problemów z logowaniem z dostępem warunkowym.

6. Przetestuj nową sesję zdalną. Po zastosowaniu wymaganych zasad zapisz całą pracę i wyloguj się z istniejącej sesji zdalnej. Rozpocznij nową sesję z chronionego profilu służbowego przeglądarki Microsoft Edge i spróbuj wykonać lokalny zrzut ekranu. Chroniona zawartość zdalna powinna być zablokowana lub ukryta. Korzystając z konta testowego, sprawdź również, czy dostęp bez wymaganej ochrony aplikacji nie jest udzielany, dopóki nie zostaną spełnione wymagania dotyczące dostępu.

Jeśli wynik jest nieoczekiwany, zapisz dane konto służbowe, wersję przeglądarki Edge, nazwy zasad, czas reprodukcji oraz wszelkie błędy logowania lub identyfikatory korelacji na potrzeby dalszego rozwiązywania problemów. Sprawdź kierowanie zasad i dostarczanie przed stwierdzeniem, że scenariusz przeglądarki nie jest obsługiwany.

Weryfikowanie i rozwiązywanie problemów z wymuszaniem hybrydowym systemu Android lub iOS/iPadOS

Gdy skonfigurowane przez administratora usługi SCP jest włączone, połączenia z systemem Android lub iOS/iPadOS są dozwolone tylko wtedy, gdy zasady ochrony aplikacji zarządzania aplikacjami mobilnymi blokują również przechwytywanie ekranu (wymuszanie hybrydowe).

Aby sprawdzić, czy działa wymuszanie hybrydowe systemu Android lub iOS/iPadOS:

1. Potwierdź, że zasady ochrony aplikacji MAM usługi Intune są stosowane do użytkownika i urządzenia. W centrum administracyjnym Microsoft Intune sprawdź stan zasad ochrony aplikacji dla użytkownika w obszarzeMonitor>aplikacji>Ochrona aplikacji stan.

2. Na urządzeniu z systemem Android lub iOS/iPadOS wyloguj się z aplikacji aplikacja dla systemu Windows i zaloguj się ponownie, aby pobrać najnowsze ustawienia zasad.

3. Połącz się z sesją zdalną. Jeśli zarówno skonfigurowany przez administratora punkt SCP, jak i zasady zarządzania aplikacjami mobilnymi blokują przechwytywanie ekranu, połączenie kończy się powodzeniem i przechwytywanie ekranu jest blokowane.

Jeśli połączenia z systemem Android lub iOS/iPadOS są nieoczekiwanie blokowane, sprawdź następujące rzeczy:

• Sprawdź, czy zasady ochrony aplikacji zarządzania aplikacjami mobilnymi są przypisane do użytkownika i czy przechwytywanie ekranu jest ustawione na blokowanie.
• Uruchom ponownie aplikację aplikacja dla systemu Windows na urządzeniu z systemem Android lub iOS/iPadOS albo wyloguj się i zaloguj ponownie.
• Upewnij się, że zainstalowana wersja aplikacji aplikacja dla systemu Windows dla systemu Android lub iOS/iPadOS obsługuje wymuszanie hybrydowe.
• Upewnij się, że na urządzeniu z systemem Android nie są uruchomione aplikacje ChromeOS lub Meta Quest, które nie obsługują zarządzania aplikacjami mobilnymi usługi Intune.

Zawartość pokrewna

• Włącz znak wodny, w którym administratorzy mogą używać kodu QR do śledzenia sesji.

• Dowiedz się, jak zabezpieczyć wdrożenie usługi Azure Virtual Desktop za pomocą zaleceń dotyczących zabezpieczeń dla usługi Azure Virtual Desktop.