Azure Virtual Desktop での Windows デバイスのオンボード

  • 適用対象: Microsoft Defender for Endpoint Plan 1, Microsoft Defender for Endpoint Plan 2

6 分読み取り

Microsoft Defender for Endpointでは、VDI セッションと Azure Virtual Desktop セッションの両方の監視がサポートされています。 organizationのニーズに応じて、VDI または Azure Virtual Desktop セッションを実装して、従業員が管理されていないデバイス、リモートの場所、または同様のシナリオから企業データやアプリにアクセスできるようにする必要がある場合があります。 Microsoft Defender for Endpointを使用すると、これらの仮想マシンで異常なアクティビティを監視できます。

注:

Defender 展開ツールを使用して、Windows および Linux デバイスに Defender エンドポイント セキュリティを展開できます。 このツールは、デプロイ プロセスを合理化する軽量で自己更新型のアプリケーションです。 詳細については、「Defender 展開ツールを使用して Windows デバイスにMicrosoft Defenderエンドポイント セキュリティを展開する」および「Defender 展開ツール(プレビュー)を使用してLinux デバイスにMicrosoft Defenderエンドポイント セキュリティを展開する」を参照してください。

開始する前に

非永続的 VDI に関する考慮事項について理解します。 Azure Virtual Desktop では非永続化オプションは提供されませんが、新しいホストのプロビジョニングやマシンの再デプロイに使用できるゴールデン Windows イメージを使用する方法が提供されます。 これにより、環境の変動が増加するため、Microsoft Defender for Endpoint ポータルで作成および管理されるエントリに影響を与え、セキュリティ アナリストの可視性が低下する可能性があります。

注:

オンボーディング方法の選択に応じて、デバイスは次のようにポータルMicrosoft Defender for Endpoint表示できます。

  • 仮想デスクトップごとに 1 つのエントリ
  • 仮想デスクトップごとに複数のエントリ

Microsoft では、仮想デスクトップAzure 1 つのエントリとしてオンボードすることをお勧めします。 これにより、Microsoft Defender for Endpoint ポータルでの調査エクスペリエンスが、コンピューター名に基づいて 1 つのデバイスのコンテキストに確実に存在します。 AVD ホストを頻繁に削除および再デプロイする組織では、同じコンピューターの複数のオブジェクトがMicrosoft Defender for Endpoint ポータルで作成されるのを防ぐため、この方法の使用を強くお勧めします。 これは、インシデントを調査するときに混乱を招く可能性があります。 テスト環境または非揮発性環境の場合は、別の方法で選択することもできます。 仮想デスクトップ メソッドごとに 1 つのエントリを使用する場合は、仮想デスクトップをオフボードする必要はありません。

Microsoft では、MICROSOFT DEFENDER FOR ENDPOINT オンボード スクリプトを AVD ゴールデン イメージに追加することをお勧めします。 これにより、このオンボード スクリプトが最初の起動時にすぐに実行されることを確認できます。 これは、AVD ゴールデン イメージからプロビジョニングされたすべての AVD マシンで、最初の起動時にスタートアップ スクリプトとして実行されます。 ただし、いずれかのギャラリー イメージを変更せずに使用している場合は、スクリプトを共有の場所に配置し、ローカルまたはドメイン グループ ポリシーから呼び出します。

注:

AVD ゴールデン イメージ上の VDI オンボード スタートアップ スクリプトの配置と構成により、AVD の起動時に実行されるスタートアップ スクリプトとして構成されます。 実際の AVD ゴールデン イメージをオンボード することは お勧めしません。 もう 1 つの考慮事項は、スクリプトの実行に使用されるメソッドです。 スタートアップ/プロビジョニング プロセスの早い段階で実行して、マシンがセッションを受信できる時間と、サービスへのデバイス オンボードまでの時間を短縮する必要があります。 以下のシナリオ 1 と 2 では、これを考慮します。

シナリオ

AVD ホスト マシンをオンボードするには、いくつかの方法があります。

  • 起動時にゴールデン イメージ (または共有の場所から) でスクリプトを実行します。
  • 管理ツールを使用してスクリプトを実行します。
  • Microsoft Defender for Cloud との統合を通じて

シナリオ 1: ローカル グループ ポリシーの使用

このシナリオでは、スクリプトをゴールデン イメージに配置し、ローカル グループ ポリシーを使用してブート プロセスの早い段階で実行する必要があります。

「非永続的仮想デスクトップ インフラストラクチャ (VDI) デバイスのオンボード」の手順を使用します。

各デバイスの 1 つのエントリの手順に従います。

シナリオ 2: ドメイン グループ ポリシーの使用

このシナリオでは、中央に配置されたスクリプトを使用し、ドメイン ベースのグループ ポリシーを使用して実行します。 また、スクリプトをゴールデン イメージに配置し、同じ方法で実行することもできます。

Microsoft Defender ポータルから WindowsDefenderATPOnboardingPackage.zip ファイルをダウンロードする

  1. VDI 構成パッケージ .zip ファイルを開きます (WindowsDefenderATPOnboardingPackage.zip)

    1. [Microsoft Defender ポータル] ナビゲーション ウィンドウで、[設定]> [Endpoints>Onboarding (デバイス管理)] を選択します。
    2. オペレーティング システムとして [Windows 10] または [Windows 11] を選択します。
    3. [ デプロイ方法 ] フィールドで、非永続的エンドポイントの VDI オンボード スクリプトを選択します。
    4. [ パッケージのダウンロード ] をクリックし、.zip ファイルを保存します。

  2. デバイスからアクセスできる共有の読み取り専用の場所に、.zip ファイルの内容を抽出します。 OptionalParamsPolicy という名前のフォルダーと、ファイルがWindowsDefenderATPOnboardingScript.cmdされ、Onboard-NonPersistentMachine.ps1されている必要があります。

グループ ポリシー 管理コンソールを使用して、仮想マシンの起動時にスクリプトを実行する

  1. グループ ポリシー管理コンソール (GPMC) を開き、構成するグループ ポリシー オブジェクト (GPO) を右クリックし、［編集］ をクリックします。

  2. グループ ポリシー管理エディターで、コンピューターの構成>Preferences>Control パネルの設定に移動します。

  3. [ スケジュールされたタスク] を右クリックし、[ 新規] をクリックし、[ イミディエイト タスク (Windows 7 以上)] をクリックします。

  4. 開いた [タスク] ウィンドウで、[ 全般 ] タブに移動します。[ セキュリティ オプション ] の [ ユーザーの変更] または [グループ ] をクリックし、「SYSTEM」と入力します。 [ 名前の確認 ] をクリックし、[OK] をクリックします。 NT AUTHORITY\SYSTEM は、タスクを実行するユーザー アカウントとして表示されます。

  5. ［ユーザーがログオンしているかどうかに関係なく実行する］ を選択し、［最高の権限で実行する］ チェックボックスをオンにします。

  6. [ アクション ] タブに移動し、[ 新規] をクリックします。 [アクション] フィールド で [プログラムの開始 ] が選択されていることを確認します。 次のように入力します。 Action = "Start a program"

    Program/Script = C:\WINDOWS\system32\WindowsPowerShell\v1.0\powershell.exe

    Add Arguments (optional) = -ExecutionPolicy Bypass -command "& \\Path\To\Onboard-NonPersistentMachine.ps1"

    次に、[ OK] を 選択し、開いている GPMC ウィンドウを閉じます。

シナリオ 3: 管理ツールを使用したオンボード

管理ツールを使用してマシンを管理する場合は、Microsoft Configuration Managerを使用してデバイスをオンボードできます。

詳細については、「Configuration Managerを使用した Windows デバイスのオンボード」を参照してください。

注:

攻撃面縮小 (ASR) ルールを使用する予定の場合は、PSExec および WMI コマンドルールから生成されたプロセスの作成をブロックするルールを使用しないでください。 Configuration Manager クライアントは WMI に大きく依存しています。

デバイスのオンボード後、検出テストを実行して、デバイスがサービスに適切にオンボードされていることを確認できます。 詳細については、「新しくオンボードされた Microsoft Defender for Endpoint デバイスで検出テストを実行する」 を参照してください。

ゴールデン イメージを構築するときにマシンにタグを付ける

オンボードの一環として、Microsoft Security Center で AVD マシンをより簡単に区別するようにマシン タグを設定することを検討してください。 詳細については、「 レジストリ キー値を設定してデバイス タグを追加する」を参照してください。

ゴールデン イメージをビルドするときは、初期保護設定も構成できます。 詳細については、「 その他の推奨構成設定」を参照してください。

また、FSlogix ユーザー プロファイルを使用している場合は、「 FSLogix ウイルス対策の除外」で説明されているガイダンスに従うことをお勧めします。

ライセンスの要件

Windows Enterprise マルチセッションを使用する場合、セキュリティのベスト プラクティスに従って、仮想マシンはサーバーのMicrosoft Defenderを通じてライセンスを取得することも、次のいずれかのライセンスを通じてすべてのAzure Virtual Desktop 仮想マシン ユーザーにライセンスを付与するかを選択できます。

  • プラン 1 またはプラン 2 のMicrosoft Defender for Endpoint (ユーザーごと)
  • Windows エンタープライズ E3
  • Windows Enterprise E5
  • Microsoft 365 E3
  • Microsoft Defender スイート
  • Microsoft 365 E5

Microsoft Defender for Endpointのライセンス要件については、「ライセンス要件」を参照してください。

PowerShell を使用して Defender for Endpoint の除外を追加する

FSLogix マルウェア対策の除外

リモート デスクトップまたは仮想デスクトップ インフラストラクチャ環境でMicrosoft Defenderウイルス対策を構成する

  • Last updated on