Ochrona ekranu (wersja zapoznawcza)

Dotyczy:

• Komputery w chmurze z systemem Windows 365
• Hosty sesji usługi Azure Virtual Desktop

Omówienie

Ochrona ekranu pomaga chronić Komputer w chmurze Windows 365 i Azure wideo sesji pulpitu wirtualnego przed złośliwym oprogramowaniem przechwytującym zrzut ekranu na lokalnym urządzeniu użytkownika z systemem Windows. Urządzeniem lokalnym jest fizyczne urządzenie z systemem Windows z uruchomioną aplikacją aplikacja dla systemu Windows. Obsługuje ona zarówno zarządzane punkty końcowe, jak i niezarządzane lub przyniesione własne urządzenie (BYOD).

Ochrona wyświetlacza nie wymaga komputera w chmurze z obsługą procesora GPU. Ochrona sprzętowa używa zgodnego procesora GPU w punkcie końcowym.

Ta funkcja używa technologii PlayReady firmy Microsoft do szyfrowania wideo w sesji zdalnej i ochrony jego odszyfrowywania w punkcie końcowym. W zależności od skonfigurowanego poziomu ochrony i możliwości punktu końcowego używa sprzętowej technologii DRM (zarządzanie prawami cyfrowymi) lub programowej technologii DRM:

• Sprzętowy DRM (SL3000) wykorzystuje sprzętową ochronę PlayReady z kompatybilnym procesorem graficznym punktu końcowego, który może być dyskretny lub zintegrowany.
• Programowe zarządzanie prawami cyfrowymi (SL2000) wykorzystuje programową ochronę PlayReady. Rezerwa oprogramowania jest dozwolona tylko wtedy, gdy zezwala na to skonfigurowany poziom ochrony.

Aby uzyskać podstawowe informacje na temat tych poziomów zabezpieczeń, zobacz Poziomy zabezpieczeń PlayReady.

Jak działa ochrona ekranu

Ochrona ekranu dodaje chronioną ścieżkę wideo między sesją zdalną a środowiskiem odszyfrowywania PlayReady punktu końcowego. Ta funkcja obejmuje:

• Odszyfrowywanie chronionego wideo: Wideo sesji zdalnej jest szyfrowane, zanim opuści komputer w chmurze lub hosta sesji. Program PlayReady chroni odszyfrowywanie w punkcie końcowym.
• Wymuszenie poziomu ochrony: Połączenie jest dozwolone tylko wtedy, gdy aplikacja aplikacja dla systemu Windows może ustanowić skonfigurowany poziom ochrony PlayReady.
• Konfigurowalne poziomy ochrony: Organizacje mogą zezwolić na sprzętowe lub programowe zarządzanie prawami cyfrowymi lub wymagać sprzętowego zarządzania prawami cyfrowymi i punktami końcowymi bloków, które nie spełniają tego wymagania.
• Ochrona specyficzna dla sesji: ochrona ma zastosowanie do zdalnych sesji wideo, a nie do innych aplikacji działających lokalnie w punkcie końcowym.

Granice ochrony

Sprzętowa technologia DRM i technologia HDCP (High Bandwidth Digital Content Protection) chronią różne części ścieżki wyświetlania. Sprzętowa technologia DRM chroni odszyfrowywanie wideo w punkcie końcowym. HDCP dotyczy fizycznego połączenia wyjściowego z punktu końcowego do podłączonego wyświetlacza, takiego jak połączenie HDMI lub DisplayPort.

Ochrona wyświetlacza obecnie nie wymusza HDCP, także wtedy, gdy jest wybrana opcja Wymagane wymuszenie sprzętowe . To ustawienie wymaga sprzętowej funkcji zarządzania prawami cyfrowymi, a nie monitorów, stacji dokujących lub adapterów z obsługą HDCP. Sprzęt inny niż HDCP nie jest automatycznie odrzucany z powodu braku obsługi HDCP.

Wymuszanie HDCP dla połączeń wyświetlacza zewnętrznego jest planowane jako osobna opcja konfiguracyjna w przyszłej aktualizacji. Nie jest dostępna w bieżącej wersji.

Ta funkcja ma na celu ochronę przed złośliwym oprogramowaniem na urządzeniu z uruchomioną aplikacją aplikacja dla systemu Windows, a nie zapobieganie celowemu ujawnianiu przez użytkownika zawartości, którą może wyświetlać. Nie uwierzytelnia zewnętrznych ekranów ani urządzeń przechwytujących, nie gwarantuje, że zewnętrzny sprzęt przechwytujący nie może zarejestrować danych wyjściowych ani nie uniemożliwia komuś fotografowania ekranu. Nie traktuj udanego połączenia sprzętowego z zabezpieczeniem DRM jako dowodu na to, że zewnętrzna ścieżka wyświetlania jest chroniona.

Obsługiwane konfiguracje

Ta funkcja obsługuje następujące konfiguracje:

• Komputer w chmurze lub host sesji: Host sesji Komputer w chmurze Windows 365 lub Azure Virtual Desktop z obsługiwaną wersją systemu operacyjnego klienta Windows lub systemem Windows Server.
• Obsługiwani klienci: aplikacja dla systemu Windows w systemie Windows uruchomiona na fizycznym urządzeniu z systemem Windows 11.
• Nieobsługiwani klienci: wirtualne urządzenia punktów końcowych, macOS, iOS, Android, przeglądarki internetowe.

Wymagania wstępne

Przed skonfigurowaniem ochrony ekranu upewnij się, że są spełnione następujące wymagania:

• aplikacja dla systemu Windows: wersja 2.0.1236.0 lub nowsza w systemie Windows. Zaktualizuj aplikację Microsoft Store do najnowszej wersji.

Konfigurowanie ochrony ekranu

Włącz ochronę wyświetlania tylko dla komputerów w chmurze lub hostów sesji usługi Azure Virtual Desktop, które chcesz uwzględnić w weryfikacji wersji zapoznawczej. Użyj odpowiedniej ścieżki konfiguracji dla usługi Azure Virtual Desktop lub Windows 365.

Poziomy ochrony wyświetlacza

Zarówno usługa Azure Virtual Desktop, jak i system Windows 365 obsługują następujące poziomy ochrony. Etykiety sprzętu i oprogramowania odnoszą się do ochrony PlayReady w punkcie końcowym, a nie do wymuszania HDCP na podłączonych wyświetlaczach.

Konfigurowanie ochrony ekranu dla usługi Azure Virtual Desktop

W przypadku usługi Azure Virtual Desktop dodaj właściwość RDP ochrony ekranu w ustawieniach zaawansowanych puli hostów:

1. W witrynie Azure Portal otwórz docelową pulę hostów.

2. Przejdź do zakładkiZaawansowane właściwości >protokołu RDP.

3. Dodaj następującą właściwość RDP:

   enableWindowsCloudIODisplayProtection:i:<value>

   Gdzie <value> jest: 0 (nieskonfigurowane), 1 (wymuszanie sprzętu lub oprogramowania) lub 2 (wymagane wymuszenie sprzętu).

   

Ta właściwość umożliwia weryfikację po stronie serwera, czy ochrona ekranu jest wymuszana w punkcie końcowym.

Konfigurowanie ochrony ekranu dla systemu Windows 365

Dla systemu Windows 365, skonfiguruj ochronę ekranu w usłudze Microsoft Intune:

1. Zaloguj się do Centrum administracyjnego usługi Microsoft Intune.

2. Przejdź do strony Zarządzanie urządzeniami Zarządzaj> ustawieniami >komputerów w chmurze z systemem Windows 365.

3. W obszarze Ochrona we/wy wybierz odpowiedni poziom ochrony ekranu.

   

Po włączeniu ochrony ekranu lub zmianie jej poziomu w usłudze Intune lub we właściwościach protokołu RDP puli hosta ustawienie jest dostarczane do urządzenia końcowego za pośrednictwem właściwości połączenia (RDP) i buforowane na urządzeniu. Aby natychmiast zastosować zaktualizowaną konfigurację, wybierz pozycję Odśwież w aplikacji aplikacja dla systemu Windows. W przeciwnym razie dotarcie do punktu końcowego może potrwać do 8 godzin.

Jeśli krótko po włączeniu lub zmianie ochrony ekranu połączenie zostanie nieoczekiwanie zablokowane z powodu błędu niezgodnego klienta, wybierz pozycję Odśwież w aplikacji aplikacja dla systemu Windows, aby pobrać najnowszą konfigurację, lub poczekaj na propagację (maksymalnie 8 godzin), a następnie spróbuj ponownie nawiązać połączenie.

Sprawdzanie poprawności ochrony

Po skonfigurowaniu ochrony wyświetlania na docelowych komputerach w chmurze lub hostach sesji:

1. Z fizycznego punktu końcowego systemu Windows 11 otwórz aplikację systemu aplikacja dla systemu Windows (wersja 2.0.1236.0 lub nowsza).
2. Połącz się z komputerem w chmurze lub hostem sesji, który ma włączoną ochronę ekranu.
3. Sprawdź, czy połączenie zostało nawiązane pomyślnie bez wyświetlania komunikatu o błędzie.
4. Spróbuj użyć narzędzia do przechwytywania ekranu na punkcie końcowym, gdy sesja zdalna jest aktywna. Przechwycona zawartość z sesji zdalnej powinna być zablokowana lub wyświetlana jako pusta.

Ten test przechwytywania ocenia zachowanie punktu końcowego. Nie sprawdza on poprawności wymuszania HDCP ani nie pokazuje, że zewnętrzne urządzenie przechwytujące jest zablokowane.

Aby monitorować ochronę wyświetlacza w całej dzierżawie, użyj monitorowania komputera w chmurze (wersja zapoznawcza) i przejrzyj DisplayProtectionState zdarzenie połączenia na stronie Kondycja połączenia . Aby uzyskać instrukcje, zobacz Monitorowanie ochrony danych wejściowych i wyjściowych.

Rozwiązywanie problemów z ochroną ekranu

Jeśli nie można ustanowić ochrony ekranu na skonfigurowanym poziomie, połączenie jest blokowane, a w punkcie końcowym jest wyświetlany błąd. Sprawdź następujące kwestie:

• Użyj obsługiwanego fizycznego punktu końcowego systemu Windows 11 i wersji aplikacji aplikacja dla systemu Windows.
• Jeśli ostatnio włączono lub zmieniono ochronę ekranu, wybierz opcję Odśwież w aplikacji aplikacja dla systemu Windows, aby pobrać zaktualizowaną konfigurację, lub zaczekaj do 8 godzin na propagację.
• Jeśli wymagane jest wymuszenie sprzętu, należy sprawdzić, czy punkt końcowy może udostępniać sprzętowe zarządzanie prawami cyfrowymi. To wymaganie jest niezależne od możliwości HDCP podłączonego wyświetlacza.

Aby uzyskać pomoc dotyczącą błędów połączenia, zobacz Rozwiązywanie problemów z błędami połączenia. Jeśli problem będzie się powtarzać, skontaktuj się z pomocą techniczną firmy Microsoft i podaj identyfikator działania, sygnaturę czasową awarii i kroki umożliwiające odtworzenie problemu.

Ograniczenia i zagadnienia

• Tylko urządzenia fizyczne: ochrona wyświetlacza wymaga fizycznego punktu końcowego systemu Windows 11. Maszyny wirtualne nie są obsługiwane jako urządzenia punktów końcowych.
• Obsługiwani klienci: aplikacja aplikacja dla systemu Windows w systemie Windows jest jedynym obsługiwanym klientem ochrony ekranu.
• Nieobsługiwani klienci: wirtualne urządzenia punktów końcowych (VM), macOS, iOS, Android, przeglądarki sieci Web i inne niż aplikacja dla systemu Windows na klientach z systemem Windows, w tym na urządzeniach z usługą Windows 365 Link.
• Ekrany zewnętrzne, stacje dokujące i adaptery: sama obsługa HDCP nie określa, czy punkt końcowy spełnia skonfigurowany poziom ochrony PlayReady. Nie zakładaj, że ochrona ekranu blokuje monitor bez technologii HDCP, stację dokującą DisplayLink lub kartę wideo USB. Sprawdź punkt końcowy i konfigurację wyświetlania pod kątem wybranego poziomu ochrony; Nie zapewnia to ochrony przed zewnętrznymi urządzeniami przechwytującymi.
• Wydajność z programową funkcją DRM: Gdy sprzętowy DRM nie jest dostępny, a skonfigurowany poziom zezwala na programowy DRM, sesja używa programowego DRM. Programowy DRM może wydłużyć czas potrzebny na ustanowienie sesji. Jeśli zamiast tego jest wymagane wymuszenie sprzętowe, połączenie jest blokowane, a nie powraca.
• Rozdzielczość wyświetlacza: ochrona wyświetlacza obsługuje rozdzielczości do 4K (3840 x 2160). Monitory 5K nie są obecnie obsługiwane. W przypadku sesji chronionych używaj monitora o rozdzielczości 4K lub niższej.

Powiązane funkcje

• Ochrona wprowadzania danych: Chroni wprowadzanie danych z klawiatury przed zagrożeniami ze strony keyloggera. Ochrona wejścia jest oddzielnym składnikiem ochrony wejścia i wyjścia i jest konfigurowana niezależnie od ochrony ekranu.
• Włącz ochronę przed przechwytywaniem ekranu: oddzielna funkcja ochrony przed zrzutami ekranu dla usługi Azure Virtual Desktop.
• Znak wodny: Dodaje widoczne znaki wodne do sesji zdalnych, aby zniechęcić do przechwytywania ekranu na podstawie zdjęć.