Ochrona ekranu (wersja zapoznawcza)

Dotyczy:

• Komputery w chmurze z systemem Windows 365
• Hosty sesji usługi Azure Virtual Desktop

Omówienie

Ochrona wyświetlacza jest składnikiem ochrony wyjściowej i stanowi część szerszego zestawu funkcji ochrony wejścia i wyjścia. Pomaga chronić dane wyjściowe wyświetlania na komputerach w chmurze Windows 365 i hostach sesji usługi Azure Virtual Desktop przed nieautoryzowanym przechwytywaniem ekranu i nagrywaniem z zagrożeń znajdujących się w punktach końcowych.

Po włączeniu ochrona ekranu pomaga chronić poufne informacje wyświetlane w sesji zdalnej poprzez szyfrowanie strumienia wyświetlania z komputera w chmurze do urządzenia końcowego. Zaszyfrowana zawartość może być odszyfrowywana i renderowana tylko w zaufanym środowisku na punkcie końcowym przy użyciu technologii ochrony sprzętowej lub programowej. Jeśli zgodny procesor graficzny jest dostępny, odszyfrowywanie odbywa się bezpośrednio w procesorze graficznym urządzenia (obsługiwane są zarówno urządzenia dyskretne, jak i zintegrowane). W przeciwnym razie jest używane renderowanie chronione oparte na oprogramowaniu. Takie podejście pomaga zmniejszyć ryzyko nieautoryzowanego przechwycenia ekranu lub wyświetlacza na urządzeniu końcowym przy zachowaniu bezproblemowego środowiska użytkownika.

Jak działa ochrona ekranu

Ochrona wyświetlacza zabezpiecza ścieżkę wyświetlania między sesją zdalną a urządzeniem końcowym. Ta funkcja obejmuje:

• Renderowanie chronionego wyświetlacza: strumień wyświetlania jest szyfrowany kompleksowo przed opuszczeniem komputera w chmurze i jest odszyfrowywany i renderowany tylko w zaufanej, chronionej ścieżce na obsługiwanych urządzeniach końcowych.
• Wymaganie dotyczące zaufanego punktu końcowego: Tylko obsługiwani klienci aplikacja dla systemu Windows, którzy spełniają wymagany poziom ochrony, mogą uzyskać dostęp do chronionych sesji.
• Konfigurowalne poziomy ochrony: Organizacje mogą wymagać programowej lub sprzętowej ochrony wyświetlaczy, z opcjonalnym wymuszaniem HDCP dla podłączonych wyświetlaczy.
• Ochrona specyficzna dla sesji: ochrona ma zastosowanie tylko do wyświetlanej sesji zdalnej i nie zmienia zachowania samego komputera w chmurze.

Obsługiwane konfiguracje

Ta funkcja obsługuje następujące konfiguracje:

• Komputer w chmurze lub host sesji: Host sesji Komputer w chmurze Windows 365 lub Azure Virtual Desktop z obsługiwaną wersją systemu operacyjnego klienta Windows lub systemem Windows Server.
• Obsługiwani klienci: aplikacja dla systemu Windows w systemie Windows uruchomiona na fizycznym urządzeniu z systemem Windows 11.
• Nieobsługiwani klienci: wirtualne urządzenia punktów końcowych, macOS, iOS, Android, przeglądarki internetowe.

Wymagania wstępne

Przed skonfigurowaniem ochrony ekranu upewnij się, że są spełnione następujące wymagania:

• aplikacja dla systemu Windows: wersja 2.0.1236.0 lub nowsza w systemie Windows. Zaktualizuj aplikację Microsoft Store do najnowszej wersji.

Konfigurowanie ochrony ekranu

Włącz ochronę wyświetlania tylko dla komputerów w chmurze lub hostów sesji usługi Azure Virtual Desktop, które chcesz uwzględnić w weryfikacji wersji zapoznawczej. Użyj odpowiedniej ścieżki konfiguracji dla usługi Azure Virtual Desktop lub Windows 365.

Poziomy ochrony wyświetlacza

Zarówno usługa Azure Virtual Desktop, jak i system Windows 365 obsługują następujące poziomy ochrony:

Konfigurowanie ochrony ekranu dla usługi Azure Virtual Desktop

W przypadku usługi Azure Virtual Desktop dodaj właściwość RDP ochrony ekranu w ustawieniach zaawansowanych puli hostów:

1. W witrynie Azure Portal otwórz docelową pulę hostów.

2. Przejdź do zakładkiZaawansowane właściwości >protokołu RDP.

3. Dodaj następującą właściwość RDP:

   enableWindowsCloudIODisplayProtection:i:<value>

   Gdzie <value> jest: 0 (nieskonfigurowane), 1 (wymuszanie sprzętu lub oprogramowania) lub 2 (wymagane wymuszenie sprzętu).

   

Ta właściwość umożliwia weryfikację po stronie serwera, czy ochrona ekranu jest wymuszana w punkcie końcowym.

Konfigurowanie ochrony ekranu dla systemu Windows 365

Dla systemu Windows 365, skonfiguruj ochronę ekranu w usłudze Microsoft Intune:

1. Zaloguj się do Centrum administracyjnego usługi Microsoft Intune.

2. Przejdź do strony Zarządzanie urządzeniami Zarządzaj> ustawieniami >komputerów w chmurze z systemem Windows 365.

3. W obszarze Ochrona we/wy wybierz odpowiedni poziom ochrony ekranu.

   

Po włączeniu ochrony ekranu lub zmianie jej poziomu w usłudze Intune lub we właściwościach protokołu RDP puli hosta ustawienie jest dostarczane do urządzenia końcowego za pośrednictwem właściwości połączenia (RDP) i buforowane na urządzeniu. Aby natychmiast zastosować zaktualizowaną konfigurację, wybierz pozycję Odśwież w aplikacji aplikacja dla systemu Windows. W przeciwnym razie dotarcie do punktu końcowego może potrwać do 8 godzin.

Jeśli połączenie zostanie nieoczekiwanie zablokowane błędem niezgodnego klienta (0x204z kodem 0x11f5rozszerzonym) krótko po włączeniu lub zmianie ochrony ekranu, wybierz pozycję Odśwież w aplikacji aplikacja dla systemu Windows, aby pobrać najnowszą konfigurację, lub poczekaj na jej propagację (do 8 godzin), a następnie spróbuj ponownie nawiązać połączenie.

Sprawdzanie poprawności ochrony

Po skonfigurowaniu ochrony wyświetlania na docelowych komputerach w chmurze lub hostach sesji:

1. Z fizycznego punktu końcowego systemu Windows 11 otwórz aplikację systemu aplikacja dla systemu Windows (wersja 2.0.1236.0 lub nowsza).
2. Połącz się z komputerem w chmurze lub hostem sesji, który ma włączoną ochronę ekranu.
3. Sprawdź, czy połączenie zostało nawiązane pomyślnie bez wyświetlania komunikatu o błędzie.
4. Spróbuj użyć narzędzia do przechwytywania ekranu na punkcie końcowym, gdy sesja zdalna jest aktywna. Przechwycona zawartość z sesji zdalnej powinna być zablokowana lub wyświetlana jako pusta.

Aby monitorować ochronę wyświetlacza w całej dzierżawie, użyj monitorowania komputera w chmurze (wersja zapoznawcza) i przejrzyj DisplayProtectionState zdarzenie połączenia na stronie Kondycja połączenia . Aby uzyskać instrukcje, zobacz Monitorowanie ochrony danych wejściowych i wyjściowych.

Kody błędów i komunikaty o błędach

Jeśli nie można ustanowić ochrony ekranu, być może połączenie zostało zablokowane i w punkcie końcowym został wyświetlony błąd. Poniższy zrzut ekranu przedstawia przykład błędu niezgodnego klienta:

W poniższej tabeli wymieniono typowe kody błędów i ich przyczyny.

Jeśli napotkasz błąd, który nie pasuje do kodów wymienionych tutaj, skontaktuj się z pomocą techniczną firmy Microsoft i podaj identyfikator działania, sygnaturę czasową awarii oraz kroki umożliwiające odtworzenie problemu.

Ograniczenia i zagadnienia

• Tylko urządzenia fizyczne: ochrona wyświetlacza wymaga fizycznego punktu końcowego systemu Windows 11. Maszyny wirtualne nie są obsługiwane jako urządzenia punktów końcowych.
• Obsługiwani klienci: aplikacja aplikacja dla systemu Windows w systemie Windows jest jedynym obsługiwanym klientem ochrony ekranu.
• Nieobsługiwani klienci: wirtualne urządzenia punktów końcowych (VM), macOS, iOS, Android, przeglądarki sieci Web i inne niż aplikacja dla systemu Windows na klientach z systemem Windows, w tym na urządzeniach z usługą Windows 365 Link.
• DisplayLink i karty graficzne USB: Wyświetlacze podłączone za pomocą DisplayLink lub innych kart graficznych USB nie są obsługiwane, ponieważ nie zapewniają chronionej ścieżki wyświetlania i zwykle nie obsługują HDCP. Sesje chronione nie mogą być wyświetlane na tych ekranach, więc połączenie może być zablokowane (błąd 0x110) lub chroniona zawartość może nie być renderowana. Podłącz sesje chronione do ekranu obsługiwanego przez wbudowany procesor GPU punktu końcowego, taki jak wyjście trybu alternatywnego HDMI, DisplayPort lub USB-C DisplayPort.
• Wydajność dzięki ochronie programowej: gdy ochrona sprzętowa nie jest dostępna, w sesji używana jest ochrona programowa. Ochrona programowa może wydłużyć czas potrzebny na ustanowienie sesji w porównaniu z ochroną sprzętową. W celu uzyskania najlepszego środowiska używaj punktów końcowych ze zgodnym procesorem GPU, który obsługuje ochronę sprzętową.
• Maksymalna rozdzielczość: ochrona ekranu obsługuje rozdzielczości do 4K (3840 x 2160). Wyższe rozdzielczości nie są obsługiwane w przypadku sesji chronionych.

Powiązane funkcje

• Ochrona wprowadzania danych: Chroni wprowadzanie danych z klawiatury przed zagrożeniami ze strony keyloggera. Ochrona wejścia jest oddzielnym składnikiem ochrony wejścia i wyjścia i jest konfigurowana niezależnie od ochrony ekranu.
• Włącz ochronę przed przechwytywaniem ekranu: oddzielna funkcja ochrony przed zrzutami ekranu dla usługi Azure Virtual Desktop.
• Znak wodny: Dodaje widoczne znaki wodne do sesji zdalnych, aby zniechęcić do przechwytywania ekranu na podstawie zdjęć.