多要素ロック解除

[アーティクル]
08/24/2024
適用対象:

✅ Windows 11, ✅ Windows 10

Windows Hello for Business では、デバイスのロックを解除するための 1 つの資格情報 (PIN と生体認証) の使用がサポートされています。そのため、それらのいずれかの資格情報が侵害 (のぞき見) された場合、攻撃者はシステムにアクセスできます。

Windows Hello for Business は、信頼されたシグナルを使用して Windows Hello を拡張することで、 多要素ロック解除を使用して構成できます。管理者は、デバイスのロックを解除するための要因と信頼できる信号の組み合わせを要求するようにデバイスを構成できます。

多要素ロック解除は、次の組織に最適です。

PIN だけではセキュリティニーズを満たさないと表明しました
インフォメーションワーカーが資格情報を共有できないようにする
組織が規制の 2 要素認証ポリシーに準拠するようにする
使い慣れた Windows サインインユーザーエクスペリエンスを維持し、カスタムソリューションを解決しない

動作のしくみ

最初のロック解除要素資格情報プロバイダー と 2 番目のロック解除資格情報プロバイダー は、構成の大部分を担当します。これらの各コンポーネントには、異なる Windows 資格情報プロバイダーを表すグローバル一意識別子 (GUID) が含まれています。ポリシー設定を有効にすると、ユーザーは、Windows がデスクトップに進む前に、各カテゴリから少なくとも 1 つの資格情報プロバイダーを使用してデバイスのロックを解除します。

ポリシー設定には、3 つのコンポーネントがあります。

第 1 のロック解除要素の資格情報プロバイダー
第 2 のロック解除要素の資格情報プロバイダー
デバイスのロック解除用の信号規則

ロック解除要素を構成する

注意

DontDisplayLastUserName セキュリティポリシーが有効になっている場合、多要素ロック解除を使用する機能を妨げることがわかされています。

ポリシー設定の第 1 のロック解除要素の資格情報プロバイダーと第 2 のロック解除要素の資格情報プロバイダーの部分には、資格情報プロバイダーのコンマ区切りリストが含まれています。

サポートされる資格情報プロバイダーは次のとおりです。

資格情報プロバイダー	GUID
PIN	`{D6886603-9D2F-4EB2-B667-1971041FA96B}`
Fingerprint	`{BEC09223-B018-416D-A0AC-523971B639F5}`
顔認識	`{8AF662BF-65A0-4D0A-A540-A338A999D36F}`
信頼された信号 (スマートフォンの近接通信、ネットワークの場所)	`{27FBDB57-B613-4AF2-9D7E-4FA7A66C21AD}`

注

多要素ロック解除では、上記の表に記載されていない Microsoft 以外の資格情報プロバイダーまたは資格情報プロバイダーはサポートされていません。

第 1 のロック解除要素の資格情報プロバイダーの既定の資格情報プロバイダーは、次のとおりです。

PIN
Fingerprint
顔認識

第 2 のロック解除要素の資格情報プロバイダーの既定の資格情報プロバイダーは、次のとおりです。

信頼された信号
PIN

第 1 および第２のロック解除要素として使用する資格情報プロバイダーの GUID のコンマ区切りリストを構成します。資格情報プロバイダーは両方のリストに表示できますが、そのプロバイダーでサポートされている資格情報は、ロック解除要素の 1 つのみを満たすことができます。一覧表示された資格情報プロバイダーは、特定の順序である必要はありません。

たとえば、暗証番号 (PIN) と指紋の資格情報プロバイダーを、第 1 要素と第 2 要素の両方のリストに含めた場合、ユーザーは指紋または PIN を第 1 のロック解除要素として使用できます。最初のロック解除係数を満たすために使用する要素は、2 番目のロック解除係数を満たすために使用できません。したがって、各要素を使用できるのは 1 回だけです。信頼された信号のプロバイダーは、第 2 のロック解除要素の資格情報プロバイダーのリストでのみ指定できます。

信頼された信号の資格情報プロバイダーの信号規則を構成する

[Signal rules for device unlock] (デバイスのロック解除用の信号規則) 設定には、デバイスのロック解除の条件を満たすために、信頼された信号の資格情報プロバイダーが使用する規則が含まれています。

rule 要素

信号規則は XML で表します。各シグナルルールには、schemaVersionの属性と値を含む開始要素と終了rule要素があります。現在サポートされているスキーマバージョンは 1.0。

例

<rule schemaVersion="1.0">
</rule>

signal 要素

各ルール要素には、 signal 要素があります。すべての信号要素には、 type 要素と valueがあります。サポートされる値は次のとおりです。

Bluetooth
ipConfig
wifi

Bluetooth

signal 要素では、より多くの属性を持つ Bluetooth 信号を定義します。 Bluetooth 構成では、他の要素は使用されません。短い終了タグ />で signal 要素を終了できます。

属性	設定値	必須
型	`bluetooth`	○
scenario	`Authentication`	○
classOfDevice	"数値"	×
rssiMin	"数値"	×
rssiMaxDelta	"数値"	×

以下に例を示します。

<rule schemaVersion="1.0">
    <signal type="bluetooth" scenario="Authentication" classOfDevice="512" rssiMin="-10" rssiMaxDelta="-10"/>
</rule>

classofDevice 属性の既定値は Phone で、次の表の値を使用します。

説明	設定値
その他	0
コンピューター	256
スマートフォン	512
LAN/ネットワークアクセスポイント	768
オーディオ/ビデオ	1024
周辺装置	1280
イメージング	1536
ウェアラブル	1792
玩具	2048
ヘルス	2304
カテゴリ化されていない	7936

rssiMin 属性の値は、デバイスが「範囲内」にあると判断されるために必要な信号強度です。既定値の -10 の場合、ユーザーが平均的な広さのオフィスやブース内を移動しても、Windows によってデバイスのロックがトリガーされることはありません。 rssiMaxDelta の既定値は -10 で、信号強度が 10 を超えて弱まったらデバイスをロックするように Windows に指示します。

RSSI の測定値は相対的であり、ペアリングされた 2 つのデバイス間の Bluetooth 信号が減少するため、低くなります。 0 の測定値は-10 より強くなります。 -10 の測定値は -60 より強く、デバイスが互いにさらに離れて移動していることを示します。

重要

Microsoft では、このポリシー設定に既定値を使用することをお勧めします。測定値は相対的であり、各環境のさまざまな条件に基づいています。そのため、同じ値でも結果が異なる場合があります。この設定を広く展開する前に、それぞれの環境でポリシー設定をテストします。グループポリシー管理エディターによって作成された XML ファイルの rssiMIN と rssiMaxDelta の値を使用するか、両方の属性を削除して既定値を使用します。

IP 構成

1 つまたは複数の ipConfiguration 要素を使用して IP 構成信号を定義します。各要素には文字列値が含まれます。 IpConfiguration 要素には属性や入れ子になった要素がありません。

IPv4Prefix

インターネット標準のドット区切り 10 進表記で表される IPv4 ネットワークプレフィックスです。クラスレスドメイン間ルーティング (CIDR) 表記を使用するネットワークプレフィックスは、ネットワーク文字列の一部として必要です。ネットワークポートは、ネットワーク文字列に含めないでください。 signal 要素に含めることができる ipv4Prefix 要素は 1 つだけです。以下に例を示します。

<ipv4Prefix>192.168.100.0/24</ipv4Prefix>

192.168.100.1 ～ 192.168.100.254 の範囲で割り当てられている IPv4 アドレスは、この信号の構成と一致します。

IPv4Gateway

インターネット標準のドット区切り 10 進表記で表される IPv4 ネットワークゲートウェイです。ネットワークポートやプレフィックスは、ネットワーク文字列に含めないでください。 signal 要素に含めることができる ipv4Gateway 要素は 1 つだけです。以下に例を示します。

<ipv4Gateway>192.168.100.10</ipv4Gateway>

IPv4DhcpServer

インターネット標準のドット区切り 10 進表記で表される IPv4 DHCP サーバーです。ネットワークポートやプレフィックスは、ネットワーク文字列に含めないでください。 signal 要素に含めることができる ipv4DhcpServer 要素は 1 つだけです。次に、例を示します。

<ipv4DhcpServer>192.168.100.10</ipv4DhcpServer>

IPv4DnsServer

インターネット標準のドット区切り 10 進表記で表される IPv4 DNS サーバーです。ネットワークポートやプレフィックスは、ネットワーク文字列に含めないでください。signal 要素には、1 つまたは複数の ipv4DnsServer 要素を含めることができます。

例:

<ipv4DnsServer>192.168.100.10</ipv4DnsServer>

IPv6Prefix

インターネット標準の 16 進数エンコーディングを使用して表される IPv6 ネットワークプレフィックスです。 CIDR 表記のネットワークプレフィックスは、ネットワーク文字列の一部として必要です。ネットワークポートやスコープ ID は、ネットワーク文字列に含めないでください。 signal 要素に含めることができる ipv6Prefix 要素は 1 つだけです。以下に例を示します。

<ipv6Prefix>21DA:D3::/48</ipv6Prefix>

IPv6Gateway

インターネット標準の 16 進数エンコーディングで表される IPv6 ネットワークゲートウェイです。 IPv6 スコープ ID は、ネットワーク文字列に含めることができます。ネットワークポートやプレフィックスは、ネットワーク文字列に含めないでください。 signal 要素に含めることができる ipv6Gateway 要素は 1 つだけです。以下に例を示します。

<ipv6Gateway>21DA:00D3:0000:2F3B:02AA:00FF:FE28:9C5A%2</ipv6Gateway>

IPv6DhcpServer

インターネット標準の 16 進数エンコーディングで表される IPv6 DNS サーバーです。 IPv6 スコープ ID は、ネットワーク文字列に含めることができます。ネットワークポートやプレフィックスは、ネットワーク文字列に含めないでください。 signal 要素に含めることができる ipv6DhcpServer 要素は 1 つだけです。以下に例を示します。

<ipv6DhcpServer>21DA:00D3:0000:2F3B:02AA:00FF:FE28:9C5A%2</ipv6DhcpServer

IPv6DnsServer

インターネット標準の 16 進数エンコーディングで表される IPv6 DNS サーバーです。 IPv6 スコープ ID は、ネットワーク文字列に含めることができます。ネットワークポートやプレフィックスは、ネットワーク文字列に含めないでください。 signal 要素には、1 つまたは複数の ipv6DnsServer 要素を含めることができます。以下に例を示します。

<ipv6DnsServer>21DA:00D3:0000:2F3B:02AA:00FF:FE28:9C5A%2</ipv6DnsServer>

dnsSuffix

この設定の完全修飾ドメイン名の一部がコンピューターのプライマリ DNS サフィックスに存在する、組織の内部 DNS サフィックスの完全修飾ドメイン名。 signal 要素には、1 つまたは複数の dnsSuffix 要素を含めることができます。次に、例を示します。

<dnsSuffix>corp.contoso.com</dnsSuffix>

Wi-Fi

Wi-Fi 信号は、1 つ以上の wifi 要素を使用して定義します。各要素には文字列値が含まれます。 Wifi 要素には属性や入れ子になった要素がありません。

SSID

ワイヤレスネットワークのサービスセット識別子 (SSID) が含まれます。 SSID はワイヤレスネットワークの名前です。 SSID 要素が必要です。以下に例を示します。

<ssid>corpnetwifi</ssid>

BSSID

ワイヤレスアクセスポイントの基本的なサービスセット識別子 (BSSID) が含まれます。 BSSID はワイヤレスアクセスポイントの mac アドレスです。 BSSID 要素は省略可能です。以下に例を示します。

<bssid>12-ab-34-ff-e5-46</bssid>

セキュリティ

クライアントがワイヤレスネットワークに接続するときに使用するセキュリティの種類が含まれます。 security 要素は必須であり、次のいずれかの値を含む必要があります。

値	説明
Open	ワイヤレスネットワークは、認証や暗号化を必要としないオープンネットワークです。
WEP	ワイヤレスネットワークは、有線同等のプライバシーを使用して保護されます。
WPA-Personal	ワイヤレスネットワークは、保護されたアクセス Wi-Fi 使用して保護されます。
WPA-Enterprise	ワイヤレスネットワークは、保護された Access-Enterprise Wi-Fi 使用して保護されます。
WPA2-Personal	ワイヤレスネットワークは、Wi-Fi Protected Access 2 を使用して保護されます。これは通常、事前共有キーを使用します。
WPA2-Enterprise	ワイヤレスネットワークは、Wi-Fi Protected Access 2-Enterprise を使用して保護されます。

以下に例を示します。

<security>WPA2-Enterprise</security>

TrustedRootCA

ワイヤレスネットワークの信頼されたルート証明書の拇印が含まれています。任意の有効な信頼されたルート証明書を使用できます。値は 16 進文字列として表され、文字列内の各バイトは 1 つのスペースで区切られます。要素は省略可能です。以下に例を示します。

<trustedRootCA>a2 91 34 aa 22 3a a2 3a 4a 78 a2 aa 75 a2 34 2a 3a 11 4a aa</trustedRootCA>

Sig_quality

信頼された信号と見なすために必要なワイヤレスネットワークの信号強度を表す、0 ~ 100 の範囲の数値が含まれます。

以下に例を示します。

<sig_quality>80</sig_quality>

信頼されたシグナル構成の例

重要

これらの例は、読みやすくするために改行されています。正しい形式では、XML コンテンツ全体が 1 行になっている必要があります。

例 1

次の例では、Ipv4Prefix、Ipv4DnsServer、DnsSuffix 要素を使用して IPConfig 信号の種類を構成します。

<rule schemaVersion="1.0">
    <signal type="ipConfig">
        <ipv4Prefix>10.10.10.0/24</ipv4Prefix>
        <ipv4DnsServer>10.10.0.1</ipv4DnsServer>
        <ipv4DnsServer>10.10.0.2</ipv4DnsServer>
        <dnsSuffix>corp.contoso.com</dnsSuffix>
    </signal>
</rule>

例 2

次の例では、dnsSuffix 要素と電話用の Bluetooth 信号を使用して IpConfig 信号の種類を構成します。この例は、結果として得られる信号評価が true になるには、IpConfig または Bluetooth ルールが true と評価される必要があることを意味します。

注

コンマを使用して各 rule 要素を区切ります。

<rule schemaVersion="1.0">
    <signal type="ipConfig">
        <dnsSuffix>corp.contoso.com</dnsSuffix>
    </signal>
</rule>,
<rule schemaVersion="1.0">
    <signal type="bluetooth" scenario="Authentication" classOfDevice="512" rssiMin="-10" rssiMaxDelta="-10"/>
</rule>

例 3

次の例では、複合 and 要素を使用して、例 2 と同じを構成します。この例は、結果として得られるシグナル評価が true になるには、IpConfig と Bluetooth ルールが true と評価される必要があることを意味します。

<rule schemaVersion="1.0">
<and>
  <signal type="ipConfig">
   <dnsSuffix>corp.microsoft.com</dnsSuffix>
  </signal>
  <signal type="bluetooth" scenario="Authentication" classOfDevice="512" rssiMin="-10" rssiMaxDelta="-10"/>
</and>
</rule>

例 4

次の例では、 Wi-Fi を 信頼された信号として構成します。

<rule schemaVersion="1.0">
  <signal type="wifi">
    <ssid>contoso</ssid>
    <bssid>12-ab-34-ff-e5-46</bssid>
    <security>WPA2-Enterprise</security>
    <trustedRootCA>a2 91 34 aa 22 3a a2 3a 4a 78 a2 aa 75 a2 34 2a 3a 11 4a aa</trustedRootCA>
    <sig_quality>80</sig_quality>
  </signal>
</rule>