信頼されたシグナルのロック解除を構成する

適用対象: ✅ Windows 11, ✅ Windows 10

Windows Hello for Businessでは、デバイスバインド資格情報 (所有係数) と PIN (ナレッジファクター) または生体認証ジェスチャ (顔認識や指紋スキャン (インヒーレンス係数) を組み合わせることにより、多要素認証がサポートされます。デバイスの所有だけでは十分な保証が得られない可能性がある環境では、たとえば、近くの攻撃者がユーザーの PIN を観察できる場合、PIN または生体認証ジェスチャと共に追加の信頼信号を必要とすると、Windows Hello for Businessサインインエクスペリエンスを強化し、不正アクセスのリスクを軽減できます。

Windows Hello for Businessは、信頼された信号を使用してWindows Helloを拡張することで、信頼された信号のロック解除を使用して構成できます。管理者は、使い慣れた追加のデバイスやネットワークへの接続など、追加の信号を重ねて従来のWindows Hello認証を補完する追加の信頼信号 "factor" を必要とするようにデバイスを構成できます。

信頼されたシグナルのロック解除は、次の組織に最適です。

PIN によって承認されたWindows Helloデバイスバインド資格情報がセキュリティニーズを満たしていないことを表明しました
資格情報を共有するインフォメーションワーカーの影響を軽減する
カスタムソリューションをデプロイする代わりに、使い慣れた Windows サインインユーザーエクスペリエンスを保持する

動作のしくみ

最初のロック解除要素資格情報プロバイダー と 2 番目のロック解除資格情報プロバイダー は、構成の大部分を担当します。これらの各コンポーネントには、異なる Windows 資格情報プロバイダーを表すグローバル一意識別子 (GUID) が含まれています。ポリシー設定を有効にすると、ユーザーは、Windows がデスクトップに進む前に、各カテゴリから少なくとも 1 つの資格情報プロバイダーを使用してデバイスのロックを解除します。

ポリシー設定には、3 つのコンポーネントがあります。

最初のロック解除要素資格情報プロバイダー
2 つ目のロック解除要素資格情報プロバイダー
デバイスのロック解除用の信号規則

ロック解除要素を構成する

注意

DontDisplayLastUserName セキュリティポリシーが有効になっている場合、信頼されたシグナルロック解除を使用する機能に干渉することがわかされています。

サポートされる資格情報プロバイダーは次のとおりです。

最初のロック解除要素資格情報プロバイダー	GUID
PIN	`{D6886603-9D2F-4EB2-B667-1971041FA96B}`
指紋スキャン	`{BEC09223-B018-416D-A0AC-523971B639F5}`
顔認識	`{8AF662BF-65A0-4D0A-A540-A338A999D36F}`

2 つ目のロック解除要素資格情報プロバイダー	GUID
信頼された信号 (Bluetooth、IP 構成、Wi-Fi)	`{27FBDB57-B613-4AF2-9D7E-4FA7A66C21AD}`

注

信頼されたシグナルロック解除では、上の表に示した資格情報プロバイダーのみがサポートされます。 1 番目または 2 番目のロック解除要素として構成されているその他の資格情報プロバイダーはサポートされていないため、予期しない結果になる可能性があります。

First unlock factor 資格情報プロバイダーの既定の資格情報プロバイダーには、次のものが含まれます。

PIN (必須)
指紋スキャン
顔認識

Second unlock factor 資格情報プロバイダーの既定の資格情報プロバイダーには、次のものが含まれます。

信頼されたシグナル (必須)

最初のロック解除要素として使用する資格情報プロバイダー GUID のコンマ区切りリストを構成します。一覧表示された資格情報プロバイダーは、特定の順序である必要はありません。

注

生体認証が失敗した場合、ユーザーは Windows Hello PIN を使用してサインインするように求められます。 PIN を使用すると、ユーザーが怪我のために生体認証を使用できない場合、またはセンサーが使用できないか、正常に動作していないためにサインインできます。詳細については、「生体認証を使用するために PIN が必要な理由」を参照してください。

重要

信頼されたシグナルは、2 番目のロック解除係数として必要であり、最初のロック解除係数としてサポートされていません。
ユーザーが信頼できる要素を構成していることを確認します。信頼できる要素が構成されていない場合、ユーザーはサインインエラーが発生し、デバイスからロックアウトされる可能性があります。
信頼されたシグナルロック解除を使用すると、1 番目と 2 番目のロック解除要因に対して代替プロバイダーを構成できますが、これらのプロバイダーはサポートされておらず、予期しない結果になる可能性があります。最初のロック解除係数には PIN (必須)、指紋スキャン、顔認識のみを使用し、2 番目のロック解除係数として信頼された信号を使用します。
信頼された信号係数が失われたり、盗まれたり、交換されたりした場合、新しい信頼された信号係数が構成されるまで、ユーザーはデバイスにサインインできない可能性があります。

信頼された信号の資格情報プロバイダーの信号規則を構成する

[Signal rules for device unlock] (デバイスのロック解除用の信号規則) 設定には、デバイスのロック解除の条件を満たすために、信頼された信号の資格情報プロバイダーが使用する規則が含まれています。

rule 要素

信号規則は XML で表します。各シグナルルールには、schemaVersionの属性と値を含む開始要素と終了rule要素があります。現在サポートされているスキーマバージョンは 1.0。

例

<rule schemaVersion="1.0">
</rule>

signal 要素

各ルール要素には、 signal 要素があります。すべての信号要素には、 type 要素と valueがあります。サポートされる値は次のとおりです。

Bluetooth
IP 構成
Wi-Fi

Bluetooth

signal 要素では、より多くの属性を使用してBluetoothシグナルを定義します。 Bluetooth構成では、他の要素は使用されません。短い終了タグ />で signal 要素を終了できます。

属性	設定値	必須
型	`Bluetooth`	○
scenario	`Authentication`	○
classOfDevice	"数値"	×
rssiMin	"数値"	×
rssiMaxDelta	"数値"	×

次に、例を示します。

<rule schemaVersion="1.0">
    <signal type="Bluetooth" scenario="Authentication" classOfDevice="512" rssiMin="-10" rssiMaxDelta="-10"/>
</rule>

rssiMin 属性の値は、デバイスが「範囲内」にあると判断されるために必要な信号強度です。既定値の -10 の場合、ユーザーが平均的な広さのオフィスやブース内を移動しても、Windows によってデバイスのロックがトリガーされることはありません。 rssiMaxDelta の既定値は -10 で、信号強度が 10 を超えて弱まったらデバイスをロックするように Windows に指示します。

RSSI の測定値は相対的であり、ペアリングされた 2 つのデバイス間のBluetooth信号が減少するため、低くなります。 0 の測定値は-10 より強くなります。 -10 の測定値は -60 より強く、デバイスが互いにさらに離れて移動していることを示します。

重要

Microsoft では、このポリシー設定に既定値を使用することをお勧めします。測定値は相対的であり、各環境のさまざまな条件に基づいています。そのため、同じ値でも結果が異なる場合があります。この設定を広く展開する前に、それぞれの環境でポリシー設定をテストします。グループポリシー管理エディターによって作成された XML ファイルの rssiMIN と rssiMaxDelta の値を使用するか、両方の属性を削除して既定値を使用します。

IP 構成

1 つまたは複数の ipConfiguration 要素を使用して IP 構成信号を定義します。各要素には文字列値が含まれます。 IpConfiguration 要素には属性や入れ子になった要素がありません。

IPv4Prefix

インターネット標準のドット区切り 10 進表記で表される IPv4 ネットワークプレフィックスです。クラスレスドメイン間ルーティング (CIDR) 表記を使用するネットワークプレフィックスは、ネットワーク文字列の一部として必要です。ネットワークポートは、ネットワーク文字列に含めないでください。 signal 要素に含めることができる ipv4Prefix 要素は 1 つだけです。次に、例を示します。

<ipv4Prefix>192.168.100.0/24</ipv4Prefix>

192.168.100.1 ～ 192.168.100.254 の範囲で割り当てられている IPv4 アドレスは、この信号の構成と一致します。

IPv4Gateway

インターネット標準のドット区切り 10 進表記で表される IPv4 ネットワークゲートウェイです。ネットワークポートやプレフィックスは、ネットワーク文字列に含めないでください。 signal 要素に含めることができる ipv4Gateway 要素は 1 つだけです。次に、例を示します。

<ipv4Gateway>192.168.100.10</ipv4Gateway>

IPv4DhcpServer

インターネット標準のドット区切り 10 進表記で表される IPv4 DHCP サーバーです。ネットワークポートやプレフィックスは、ネットワーク文字列に含めないでください。 signal 要素に含めることができる ipv4DhcpServer 要素は 1 つだけです。次に、例を示します。

<ipv4DhcpServer>192.168.100.10</ipv4DhcpServer>

IPv4DnsServer

インターネット標準のドット区切り 10 進表記で表される IPv4 DNS サーバーです。ネットワークポートやプレフィックスは、ネットワーク文字列に含めないでください。 signal 要素には、1 つ以上の ipv4DnsServer 要素を含めることができます。

例:

<ipv4DnsServer>192.168.100.10</ipv4DnsServer>

IPv6Prefix

インターネット標準の 16 進数エンコーディングを使用して表される IPv6 ネットワークプレフィックスです。 CIDR 表記のネットワークプレフィックスは、ネットワーク文字列の一部として必要です。ネットワークポートやスコープ ID は、ネットワーク文字列に含めないでください。 signal 要素に含めることができる ipv6Prefix 要素は 1 つだけです。次に、例を示します。

<ipv6Prefix>21DA:D3::/48</ipv6Prefix>

IPv6Gateway

インターネット標準の 16 進数エンコーディングで表される IPv6 ネットワークゲートウェイです。 IPv6 スコープ ID は、ネットワーク文字列に含めることができます。ネットワークポートやプレフィックスは、ネットワーク文字列に含めないでください。 signal 要素に含めることができる ipv6Gateway 要素は 1 つだけです。次に、例を示します。

<ipv6Gateway>21DA:00D3:0000:2F3B:02AA:00FF:FE28:9C5A%2</ipv6Gateway>

IPv6DhcpServer

インターネット標準の 16 進数エンコーディングで表される IPv6 DNS サーバーです。 IPv6 スコープ ID は、ネットワーク文字列に含めることができます。ネットワークポートやプレフィックスは、ネットワーク文字列に含めないでください。 signal 要素に含めることができる ipv6DhcpServer 要素は 1 つだけです。次に、例を示します。

<ipv6DhcpServer>21DA:00D3:0000:2F3B:02AA:00FF:FE28:9C5A%2</ipv6DhcpServer

IPv6DnsServer

インターネット標準の 16 進数エンコーディングで表される IPv6 DNS サーバーです。 IPv6 スコープ ID は、ネットワーク文字列に含めることができます。ネットワークポートやプレフィックスは、ネットワーク文字列に含めないでください。 signal 要素には、1 つまたは複数の ipv6DnsServer 要素を含めることができます。次に、例を示します。

<ipv6DnsServer>21DA:00D3:0000:2F3B:02AA:00FF:FE28:9C5A%2</ipv6DnsServer>

dnsSuffix

この設定の完全修飾ドメイン名の一部がコンピューターのプライマリ DNS サフィックスに存在する、organizationの内部 DNS サフィックスの完全修飾ドメイン名。 signal 要素には、1 つまたは複数の dnsSuffix 要素を含めることができます。次に、例を示します。

<dnsSuffix>corp.contoso.com</dnsSuffix>

Wi-Fi

Wi-Fi 信号は、1 つ以上の wifi 要素を使用して定義します。各要素には文字列値が含まれます。 Wifi 要素には属性や入れ子になった要素がありません。

Ssid

ワイヤレスネットワークのサービスセット識別子 (SSID) が含まれます。 SSID はワイヤレスネットワークの名前です。 SSID 要素が必要です。次に、例を示します。

<ssid>corpnetwifi</ssid>

Bssid

ワイヤレスアクセスポイントの基本的なサービスセット識別子 (BSSID) が含まれます。 BSSID はワイヤレスアクセスポイントの mac アドレスです。 BSSID 要素は省略可能です。次に、例を示します。

<bssid>12-ab-34-ff-e5-46</bssid>

セキュリティ

クライアントがワイヤレスネットワークに接続するときに使用するセキュリティの種類が含まれます。 security 要素は必須であり、次のいずれかの値を含む必要があります。

値	説明
Open	ワイヤレスネットワークは、認証や暗号化を必要としないオープンネットワークです。
Wep	ワイヤレスネットワークは、有線同等のプライバシーを使用して保護されます。
WPA-Personal	ワイヤレスネットワークは、保護されたアクセス Wi-Fi 使用して保護されます。
WPA-Enterprise	ワイヤレスネットワークは、保護された Access-Enterprise Wi-Fi 使用して保護されます。
WPA2-Personal	ワイヤレスネットワークは、Wi-Fi Protected Access 2 を使用して保護されます。これは通常、事前共有キーを使用します。
WPA2-Enterprise	ワイヤレスネットワークは、Wi-Fi Protected Access 2-Enterprise を使用して保護されます。
WPA3-Personal	ワイヤレスネットワークは、Wi-Fi Protected Access 3 を使用して保護されます。これは通常、事前共有キーを使用します。
WPA3-Enterprise	ワイヤレスネットワークは、Wi-Fi Protected Access 3-Enterprise を使用して保護されます。
WPA3-Enterprise-192	ワイヤレスネットワークは、Wi-Fi Protected Access 3-Enterprise 192 ビットを使用して保護されます。

次に、例を示します。

<security>WPA2-Enterprise</security>

TrustedRootCA

ワイヤレスネットワークの信頼されたルート証明書の拇印が含まれています。任意の有効な信頼されたルート証明書を使用できます。値は 16 進文字列として表され、文字列内の各バイトは 1 つのスペースで区切られます。要素は省略可能です。次に、例を示します。

<trustedRootCA>a2 91 34 aa 22 3a a2 3a 4a 78 a2 aa 75 a2 34 2a 3a 11 4a aa</trustedRootCA>

Sig_quality

信頼された信号と見なすために必要なワイヤレスネットワークの信号強度を表す、0 ~ 100 の範囲の数値が含まれます。

次に、例を示します。

<sig_quality>80</sig_quality>

信頼されたシグナル構成の例

重要

これらの例は、読みやすくするために改行されています。正しい形式では、XML コンテンツ全体が 1 行になっている必要があります。

例 1

次の例では、Ipv4Prefix、Ipv4DnsServer、DnsSuffix 要素を使用して IPConfig 信号の種類を構成します。

<rule schemaVersion="1.0">
    <signal type="ipConfig">
        <ipv4Prefix>10.10.10.0/24</ipv4Prefix>
        <ipv4DnsServer>10.10.0.1</ipv4DnsServer>
        <ipv4DnsServer>10.10.0.2</ipv4DnsServer>
        <dnsSuffix>corp.contoso.com</dnsSuffix>
    </signal>
</rule>

例 2

次の例では、dnsSuffix 要素と電話のBluetooth信号を使用して IpConfig 信号の種類を構成します。この例は、結果として得られる信号評価が true になるには、IpConfig または Bluetooth ルールが true と評価される必要があることを意味します。

注

コンマを使用して各 rule 要素を区切ります。

<rule schemaVersion="1.0">
    <signal type="ipConfig">
        <dnsSuffix>corp.contoso.com</dnsSuffix>
    </signal>
</rule>,
<rule schemaVersion="1.0">
    <signal type="Bluetooth" scenario="Authentication" classOfDevice="512" rssiMin="-10" rssiMaxDelta="-10"/>
</rule>

例 3

次の例では、複合 and 要素を使用して、例 2 と同じを構成します。この例は、結果として得られるシグナル評価が true になるには、IpConfig と Bluetooth ルールが true と評価される必要があることを意味します。

<rule schemaVersion="1.0">
<and>
  <signal type="ipConfig">
   <dnsSuffix>corp.microsoft.com</dnsSuffix>
  </signal>
  <signal type="Bluetooth" scenario="Authentication" classOfDevice="512" rssiMin="-10" rssiMaxDelta="-10"/>
</and>
</rule>

例 4

次の例では、 Wi-Fi を 信頼された信号として構成します。

<rule schemaVersion="1.0">
  <signal type="wifi">
    <ssid>contoso</ssid>
    <bssid>12-ab-34-ff-e5-46</bssid>
    <security>WPA2-Enterprise</security>
    <trustedRootCA>a2 91 34 aa 22 3a a2 3a 4a 78 a2 aa 75 a2 34 2a 3a 11 4a aa</trustedRootCA>
    <sig_quality>80</sig_quality>
  </signal>
</rule>