Proteção de entrada (versão prévia)

Visão Geral

Os PCs na nuvem do Windows 365 já criptografam sessões e impõem métodos de autenticação baseados em identidade, como MFA (autenticação multifator), para evitar sequestros e ataques man-in-the-middle. No entanto, reduzir os riscos de ameaças que podem residir no dispositivo de conexão, como keyloggers, ainda pode comprometer dados confidenciais, levando a riscos de conformidade e perdas financeiras.

A proteção de entrada aborda essa lacuna com um driver no nível do kernel e criptografia no nível do sistema que roteia com segurança as teclas digitadas diretamente para o PC na nuvem, ignorando as camadas do sistema operacional vulneráveis a malware. Quando você habilita esse recurso em um PC na nuvem ou host de sessão da Área de Trabalho Virtual do Azure, ele impõe um modelo de confiança estrito:

• Somente dispositivos físicos de ponto de extremidade protegidos podem se conectar.
• Os pontos de extremidade devem ter o MSI de proteção de entrada instalado.
• Os pontos de extremidade devem ser registrados com sua organização (Microsoft Entra registrado ou Microsoft Entra ingressado).

Se o MSI estiver ausente ou o ponto de extremidade não estiver registrado na sua organização, a conexão será bloqueada e uma mensagem de erro será exibida. Esse modelo garante um canal seguro entre o aplicativo do Windows e o PC na nuvem ou o host de sessão da Área de Trabalho Virtual do Azure, fornecendo proteção de entrada sem compromissos.

Configurações suportadas

Esse recurso é compatível com as seguintes configurações:

• PC na nuvem ou host de sessão: PC na nuvem do Windows 365 ou host de sessão da Área de Trabalho Virtual do Azure executando uma versão do sistema operacional cliente Windows ou Windows Server com suporte.
• Clientes com suporte: aplicativo do Windows no Windows, ao executar em um dispositivo físico Windows 11 e com a proteção de entrada MSI instalada.
• Clientes sem suporte: dispositivos de ponto de extremidade virtual (VMs), macOS, iOS, Android, navegadores da Web e dispositivos Windows que não têm o MSI de Proteção de Entrada instalado, incluindo dispositivos Windows 365 Link.

Instalar o MSI de proteção de entrada

Pré-requisitos

• O ponto de extremidade deve ser um dispositivo físico (máquinas virtuais não têm suporte) executando o Windows 11.
• O usuário deve ter direitos de Administração Local para instalar o MSI.
• aplicativo do Windows versão 2.0.1236.0 ou mais recente. Atualize para a versão mais recente da Microsoft Store.
• O ponto de extremidade deve ser registrado na mesma organização (locatário do Microsoft Entra) que fornece o PC na nuvem protegido ou o host de sessão, ou seja, o dispositivo deve estar registrado no Microsoft Entra ou ingressado no Microsoft Entra. Para obter as etapas, consulte Registrar o dispositivo de ponto de extremidade.

Instalar o MSI

1. Quando um usuário tenta se conectar de um dispositivo físico sem a proteção de entrada MSI a um PC na nuvem do Windows 365 ou host de sessão da Área de Trabalho Virtual do Azure, a seguinte mensagem de erro é exibida:

   

2. Baixe e instale o MSI apropriado:

   • Windows x64
   • Windows ARM 64

Registrar o dispositivo de ponto de extremidade

Para registrar o ponto de extremidade, adicione uma conta corporativa ou de estudante para a organização que fornece o recurso protegido:

1. No ponto de extremidade, abra Configurações>Contas>Acesso corporativo ou de estudante.
2. Selecione Conectar e entre com as credenciais da organização que fornece o PC na nuvem protegido ou o host de sessão.
3. Após a conclusão do registro, reinicie o aplicativo do Windows ou reconecte-se.

Configurar proteção de entrada

Você pode configurar a proteção de entrada para a Área de Trabalho Virtual do Azure (Portal do Azure) e para o Windows 365 (Intune).

Configurar para a Área de Trabalho Virtual do Azure

1. Entre no portal do Azure.

2. Navegue até a guiaPropriedades RDPdo Pool de Hosts>,Avançado>.

3. Enter enablewindowscloudiokeyboardinputprotection:i:1 conforme mostrado na captura de tela a seguir:

   

   Para parar de impor proteção de entrada para o pool de hosts, defina o valor da propriedade como enablewindowscloudiokeyboardinputprotection:i:0.

Configurar para o Windows 365

1. Entre no Centro de administração do Microsoft Intune.

2. Navegue até Dispositivos>:Configurações do Windows 365>:>Criar>experiência de conexão remota (versão prévia).

   

3. Crie um objeto de Experiência de Conexão Remota e navegue até Definições de Configuração para habilitar a proteção de entrada.

   

4. Depois de criar o objeto Experiência de Conexão Remota e selecionar Habilitar para proteção de entrada, a configuração entrará em vigor. 2.In seção Atribuições, selecione um grupo de Entra que contém o PC na nuvem, não o usuário.

   Para desabilitar a proteção de entrada, remova ou cancele a atribuição da configuração Experiência de Conexão Remota dos PCs na nuvem de destino.

Validar proteção

Depois de habilitar a proteção de entrada, confirme se a imposição funciona conforme o esperado:

1. Em um ponto de extremidade físico do Windows 11 usando o aplicativo do aplicativo do Windows que tem a proteção de entrada MSI instalada, conecte-se a um PC na nuvem ou host de sessão que tenha a proteção de entrada habilitada. A conexão foi bem-sucedida.
2. Em um ponto de extremidade do Windows 11 usando o Aplicativo do aplicativo do Windows que não tem o MSI instalado, tente se conectar ao mesmo recurso protegido. A conexão é bloqueada e uma mensagem de erro é exibida.
3. Confirme se as conexões com recursos que não têm a proteção de entrada habilitada continuam funcionando em ambos os pontos de extremidade.

Para monitorar a proteção de entrada em seu locatário, use o monitoramento do PC na nuvem (versão prévia) e examine o evento de KeyboardInputProtectionState conexão na página Integridade da conexão . Para obter as etapas, consulte Proteção de entrada e saída do monitor.

Solucionar problemas de proteção de entrada

Se uma conexão falhar ou o MSI não for instalado conforme o esperado, colete as seguintes informações antes de entrar em contato com o suporte da Microsoft:

• Log de instalação do MSI: %TEMP%\msi*.log, gerado durante a instalação do MSI.
• Logs de ponto de extremidade: C:\Program Files\Windows Cloud IO Protection\logs.
• Versões de cliente e pacote: a versão do aplicativo do Windows e a versão do MSI instalada.
• Arquitetura do ponto de extremidade: x64 ou ARM64.
• Tipo de recurso: PC na nuvem do Windows 365 ou pool de host da Área de Trabalho Virtual do Azure.
• ID da atividade: Em um erro de conexão, selecione Ver detalhes e copie a ID da atividade.

Se a entrada do teclado parecer não responder em uma sessão, selecione dentro da janela de sessão remota e tente novamente antes de coletar os logs.