Zalecenia dotyczące zabezpieczeń usługi Azure Virtual Desktop

Azure Virtual Desktop to zarządzana usługa pulpitu wirtualnego, która zawiera wiele funkcji zabezpieczeń zapewniających bezpieczeństwo organizacji. Architektura usługi Azure Virtual Desktop składa się z wielu składników, które tworzą usługę łączącą użytkowników z ich pulpitami i aplikacjami.

Usługa Azure Virtual Desktop ma wiele wbudowanych zaawansowanych funkcji zabezpieczeń, takich jak połączenie odwrotne, w przypadku których nie są wymagane żadne przychodzące porty sieciowe, co zmniejsza ryzyko związane z dostępnością pulpitów zdalnych z dowolnego miejsca. Usługa korzysta również z wielu innych funkcji zabezpieczeń platformy Azure, takich jak uwierzytelnianie wieloskładnikowe i dostęp warunkowy. W tym artykule opisano kroki, które możesz wykonać jako administrator, aby zapewnić bezpieczeństwo wdrożeń usługi Azure Virtual Desktop, niezależnie od tego, czy udostępniasz pulpity i aplikacje użytkownikom w organizacji, czy użytkownikom zewnętrznym.

Wspólne obowiązki w zakresie zabezpieczeń

Przed udostępnieniem usługi Azure Virtual Desktop lokalne rozwiązania wirtualizacji, takie jak usługi pulpitu zdalnego, wymagają udzielenia użytkownikom dostępu do ról, takich jak brama, broker, dostęp do sieci Web i tak dalej. Role te musiały być w pełni redundantne i zdolne do obsługi szczytowej wydajności. Administratorzy instalowali te role jako część systemu operacyjnego Windows Server i musieli być połączeni z domeną z określonymi portami dostępnymi dla połączeń publicznych. Aby zapewnić bezpieczeństwo wdrożeń, administratorzy musieli stale sprawdzać, czy wszystko w infrastrukturze jest utrzymywane i aktualne.

Jednak w przypadku większości usług w chmurze istnieje zestaw obowiązków dotyczących zabezpieczeń wspólnych między firmą Microsoft a klientem lub partnerem. W przypadku usługi Azure Virtual Desktop większość składników jest zarządzana przez firmę Microsoft, ale hosty sesji oraz niektóre pomocnicze usługi i składniki są zarządzane przez klienta lub partnera. Aby dowiedzieć się więcej o składnikach usługi Azure Virtual Desktop zarządzanych przez firmę Microsoft, zobacz Architektura i odporność usługi Azure Virtual Desktop.

Niektóre składniki są już zabezpieczone dla danego środowiska, ale inne obszary trzeba będzie skonfigurować samodzielnie, aby odpowiadały potrzebom organizacji lub klienta w zakresie zabezpieczeń. Poniżej przedstawiono składniki, za których zabezpieczenia odpowiadasz we wdrożeniu usługi Azure Virtual Desktop:

Składnik Odpowiedzialność
Tożsamości Klient lub partner
Urządzenia użytkownika (urządzenia przenośne i komputery PC) Klient lub partner
Zabezpieczenia aplikacji Klient lub partner
System operacyjny hosta sesji Klient lub partner
Konfiguracja wdrożenia Klient lub partner
Sterowanie siecią Klient lub partner
Płaszczyzna sterowania wirtualizacją Microsoft
Gospodarze fizyczni Microsoft
Sieć fizyczna Microsoft
Fizyczne centrum danych Microsoft

Granice zabezpieczeń

Granice zabezpieczeń oddzielają kod i dane domen zabezpieczeń o różnych poziomach zaufania. Na przykład zwykle istnieje granica zabezpieczeń między trybem jądra a trybem użytkownika. Większość oprogramowania i usług firmy Microsoft korzysta z wielu granic zabezpieczeń, aby izolować urządzenia w sieciach, maszyny wirtualne i aplikacje na urządzeniach. W poniższej tabeli wymieniono poszczególne granice zabezpieczeń dla systemu Windows i ich działanie w odniesieniu do ogólnego poziomu zabezpieczeń.

Granica zabezpieczeń Opis
Granica sieci Nieautoryzowany punkt końcowy sieci nie może uzyskać dostępu do kodu i danych na urządzeniu klienta ani manipulować nimi.
Granica jądra Proces trybu użytkownika nieadministracyjnego nie może uzyskać dostępu do kodu jądra i danych ani manipulować nimi. Administrator-jądro nie stanowi granicy bezpieczeństwa.
Granica procesu Nieautoryzowany proces trybu użytkownika nie może uzyskać dostępu do kodu i danych innego procesu ani manipulować nimi.
Granica piaskownicy kontenera aplikacji AppContainer Proces piaskownicy oparty na kontenerze AppContainer nie może uzyskiwać dostępu do kodu i danych poza piaskownicą ani manipulować nimi w zależności od możliwości kontenera.
Granica użytkownika Użytkownik nie może uzyskiwać dostępu do kodu i danych innego użytkownika ani manipulować nimi bez autoryzacji.
Granica sesji Sesja użytkownika nie może uzyskać dostępu do sesji innego użytkownika ani manipulować nią bez autoryzacji.
Granica przeglądarki sieci Web Nieautoryzowana witryna internetowa nie może naruszać zasad dotyczących tego samego pochodzenia ani uzyskiwać dostępu do natywnego kodu i danych piaskownicy przeglądarki internetowej Microsoft Edge ani manipulować nimi.
Granica maszyny wirtualnej Nieautoryzowana maszyna wirtualna gościa Hyper-V nie może uzyskać dostępu do kodu i danych innej maszyny wirtualnej gościa ani manipulować nimi; Dotyczy to również izolowanych kontenerów Hyper-V.
Granica wirtualnego trybu bezpiecznego (VSM) Kod uruchomiony poza zaufanym procesem lub enklawą VSM nie może uzyskać dostępu do danych i kodu w zaufanym procesie ani manipulować nimi.

W zależności od sytuacji konieczne będzie również podjęcie pewnych decyzji dotyczących granic zabezpieczeń. Jeśli na przykład użytkownik w Twojej organizacji potrzebuje uprawnień administratora lokalnego, aby instalować aplikacje, musisz dać mu pulpit osobisty, a nie hosta sesji udostępnionej. Nie zalecamy nadawania użytkownikom uprawnień administratora lokalnego w scenariuszach z pulą wielu sesji, ponieważ ci użytkownicy mogą przekraczać granice zabezpieczeń sesji lub uprawnienia do danych NTFS, zamykać wielosesyjne maszyny wirtualne lub wykonywać inne czynności, które mogą przerwać działanie usługi lub spowodować utratę danych.

Użytkownicy z tej samej organizacji, tacy jak pracownicy wiedzy z aplikacjami, które nie wymagają uprawnień administratora, są doskonałymi kandydatami do hostów wielosesyjnych, takich jak wielosesyjne system Windows 11 Enterprise. Te hosty sesji obniżają koszty ponoszone przez organizację, ponieważ wielu użytkowników może współużytkować pojedynczą maszynę wirtualną, co wiąże się jedynie z kosztami ogólnymi maszyny wirtualnej na użytkownika. Dzięki produktom do zarządzania profilami użytkowników, takim jak FSLogix, użytkownikom można przypisać dowolną maszynę wirtualną w puli hostów bez zauważenia przerw w świadczeniu usług. Ta funkcja umożliwia również optymalizowanie kosztów poprzez wykonywanie takich czynności, jak zamykanie maszyn wirtualnych poza godzinami szczytu.

Jeśli Twoja sytuacja wymaga użytkowników z różnych organizacji do łączenia się z wdrożeniem, zalecamy posiadanie oddzielnej dzierżawy usług tożsamości, takich jak Active Directory i Microsoft Entra ID. Zalecamy również posiadanie oddzielnej subskrypcji dla tych użytkowników na potrzeby hostowania zasobów platformy Azure, takich jak usługa Azure Virtual Desktop i maszyny wirtualne.

W wielu przypadkach korzystanie z wielu sesji jest akceptowalnym sposobem na obniżenie kosztów, ale to, czy jest to zalecane, zależy od poziomu zaufania między użytkownikami mającymi jednoczesny dostęp do udostępnionego wystąpienia wielosesyjnego. Zazwyczaj użytkowników należących do tej samej organizacji łączy wystarczająca i uzgodniona relacja zaufania. Na przykład dział lub grupa robocza, w której członkowie współpracują ze sobą i mają dostęp do swoich informacji osobistych, to organizacja o wysokim poziomie zaufania.

System Windows stosuje ograniczenia zabezpieczeń i mechanizmy kontroli, aby zapewnić, że procesy użytkownika i dane są odizolowane między sesjami. Jednak system Windows nadal zapewnia dostęp do wystąpienia, nad którym pracuje użytkownik.

Wdrożeniom wielosesyjnym przydałaby się dogłębna strategia zabezpieczeń, która dodaje więcej granic zabezpieczeń, uniemożliwiając użytkownikom w organizacji i poza nią uzyskiwanie nieautoryzowanego dostępu do informacji osobistych innych użytkowników. Nieautoryzowany dostęp do danych może nastąpić z powodu błędu w procesie konfiguracji przez administratora systemu, takiego jak nieujawniona luka w zabezpieczeniach lub znana luka, która nie została jeszcze załatana.

Nie zalecamy udzielania użytkownikom pracującym w innych lub konkurencyjnych firmach dostępu do tego samego środowiska wielosesyjnego. Te scenariusze mają kilka granic zabezpieczeń, które mogą zostać zaatakowane lub nadużywane, takich jak sieć, jądro, proces, użytkownik lub sesje. Pojedyncza luka w zabezpieczeniach może spowodować nieautoryzowaną kradzież danych i poświadczeń, wyciek danych osobowych, kradzież tożsamości i inne problemy. Dostawcy środowisk zwirtualizowanych są odpowiedzialni za oferowanie dobrze zaprojektowanych systemów z wieloma silnymi granicami bezpieczeństwa i dodatkowymi funkcjami bezpieczeństwa włączonymi tam, gdzie to możliwe.

Ograniczenie tych potencjalnych zagrożeń wymaga konfiguracji odpornej na błędy, procesu projektowania zarządzania poprawkami i regularnych harmonogramów wdrażania poprawek. Lepiej jest dogłębnie przestrzegać zasad obrony i oddzielać środowiska.

Poniższa tabela zawiera podsumowanie naszych zaleceń dotyczących każdego scenariusza.

Scenariusz poziomu zaufania Zalecane rozwiązanie
Użytkownicy z jednej organizacji z uprawnieniami standardowymi Użyj wielosesyjnego systemu operacyjnego Windows Enterprise.
Użytkownicy wymagają uprawnień administracyjnych Użyj osobistej puli hostów i przypisz każdemu użytkownikowi własnego hosta sesji.
Użytkownicy z różnych organizacji nawiązujący połączenia Oddzielna dzierżawa platformy Azure i subskrypcja platformy Azure

Najlepsze rozwiązania dotyczące zabezpieczeń platformy Azure

Azure Virtual Desktop to usługa w ramach platformy Azure. Aby zmaksymalizować bezpieczeństwo wdrożenia usługi Azure Virtual Desktop, należy również zabezpieczyć otaczającą infrastrukturę platformy Azure i płaszczyznę zarządzania. Aby zabezpieczyć infrastrukturę, rozważ, jak usługa Azure Virtual Desktop pasuje do większego ekosystemu platformy Azure. Aby dowiedzieć się więcej o ekosystemie platformy Azure, zobacz Najlepsze rozwiązania i wzorce zabezpieczeń platformy Azure.

Współczesny krajobraz zagrożeń wymaga projektowania z uwzględnieniem podejścia uwzględniającego zabezpieczenia. Optymalnym rozwiązaniem jest skonstruowanie szeregu mechanizmów zabezpieczeń i mechanizmów kontroli rozmieszczonych warstwowo w sieci komputerowej w celu ochrony danych i sieci przed włamaniami lub atakami. Ten rodzaj projektu bezpieczeństwa jest tym, co Stany Zjednoczone Agencja Bezpieczeństwa Cybernetycznego i Infrastruktury (CISA) nazywa dogłębną obroną.

Poniższe sekcje zawierają zalecenia dotyczące zabezpieczania wdrożenia usługi Azure Virtual Desktop.

Włączanie usługi Microsoft Microsoft Defender dla chmury

Zalecamy włączenie rozszerzonych funkcji zabezpieczeń usługi Microsoft Defender dla Chmury, aby:

  • Zarządzanie lukami w zabezpieczeniach.
  • Oceń zgodność z typowymi ramami, takimi jak PCI Security Standards Council.
  • Wzmocnij ogólne zabezpieczenia swojego środowiska.

Aby dowiedzieć się więcej, zobacz Włączanie rozszerzonych funkcji zabezpieczeń.

Poprawianie wskaźnika bezpieczeństwa

Wskaźnik bezpieczeństwa zapewnia zalecenia i porady dotyczące najlepszych rozwiązań w zakresie poprawy ogólnego poziomu zabezpieczeń. Te zalecenia są traktowane priorytetowo, aby pomóc Ci wybrać najważniejsze z nich, a opcje szybkiej naprawy ułatwiają szybkie eliminowanie potencjalnych luk w zabezpieczeniach. Te zalecenia są również aktualizowane w czasie, dzięki czemu będziesz na bieżąco z najlepszymi sposobami utrzymania bezpieczeństwa środowiska. Aby dowiedzieć się więcej, zobacz Poprawianie wskaźnika bezpieczeństwa w usłudze Microsoft Microsoft Defender dla chmury.

Wymagaj uwierzytelniania wieloskładnikowego

Wymaganie uwierzytelniania wieloskładnikowego dla wszystkich użytkowników i administratorów w usłudze Azure Virtual Desktop zwiększa bezpieczeństwo całego wdrożenia. Aby dowiedzieć się więcej, zobacz Włączanie uwierzytelniania wieloskładnikowego usługi Microsoft Entra dla usługi Azure Virtual Desktop.

Włączanie dostępu warunkowego

Włączenie dostępu warunkowego umożliwia zarządzanie ryzykiem przed udzieleniem użytkownikom dostępu do środowiska usługi Azure Virtual Desktop. Zalecamy, aby przy podejmowaniu decyzji o użytkownikach, którym przyznać dostęp, wziąć pod uwagę także to, kim jest użytkownik, jak się loguje i z jakiego urządzenia korzysta.

Zbieranie dzienników inspekcji

Włączenie zbierania dzienników inspekcji umożliwia wyświetlanie działań użytkowników i administratorów związanych z usługą Azure Virtual Desktop. Oto kilka przykładów dzienników inspekcji kluczy:

Monitorowanie użycia za pomocą usługi Azure Monitor

Monitoruj użycie i dostępność usługi Azure Virtual Desktop za pomocą usługi Azure Monitor. Rozważ utworzenie alertów kondycji usługi dla usługi Azure Virtual Desktop, aby otrzymywać powiadomienia za każdym razem, gdy wystąpi zdarzenie wpływające na usługę.

Szyfrowanie hostów sesji

Szyfruj hosty sesji za pomocą opcji szyfrowania dysku zarządzanego , aby chronić przechowywane dane przed nieautoryzowanym dostępem.

Najlepsze rozwiązania dotyczące zabezpieczeń hosta sesji

Hosty sesji to maszyny wirtualne uruchamiane w subskrypcji platformy Azure i w sieci wirtualnej. Ogólne zabezpieczenia wdrożenia usługi Azure Virtual Desktop zależą od mechanizmów kontroli zabezpieczeń ustawionych na hostach sesji. W tej sekcji opisano najlepsze rozwiązania dotyczące zapewniania bezpieczeństwa hostów sesji.

Włączanie ochrony punktu końcowego

Aby chronić wdrożenie przed znanym złośliwym oprogramowaniem, zalecamy włączenie ochrony punktu końcowego na wszystkich hostach sesji. Możesz użyć programu antywirusowego Defender dla systemu Windows lub programu innej firmy. Aby uzyskać więcej informacji, zobacz Podręcznik wdrażania programu antywirusowy Defender systemu Windows w środowisku VDI.

W przypadku rozwiązań profilów, takich jak FSLogix lub innych rozwiązań, które instalują pliki wirtualnego dysku twardego, zalecamy wykluczenie tych rozszerzeń plików. Aby uzyskać więcej informacji na temat wykluczeń FSLogix, zobacz Konfigurowanie wykluczeń plików i folderów programu antywirusowego.

Instalowanie produktu do wykrywania i reagowania na punkty końcowe

Zalecamy zainstalowanie produktu EDR (Endpoint Detection and Response) w celu zapewnienia zaawansowanych możliwości wykrywania i reagowania. W przypadku serwerowych systemów operacyjnych z usługą Microsoft Defender dla chmury zainstalowanie produktu EDR spowoduje wdrożenie usługi Ochrona punktu końcowego w usłudze Microsoft Defender. W przypadku klienckich systemów operacyjnych możesz wdrożyć usługę Ochrona punktu końcowego w usłudze Microsoft Defender lub produkt innej firmy w tych punktach końcowych.

Włączanie ocen zarządzania zagrożeniami i lukami w zabezpieczeniach

Identyfikowanie luk w oprogramowaniu istniejących w systemach operacyjnych i aplikacjach ma kluczowe znaczenie dla zapewnienia bezpieczeństwa środowiska. Usługa Microsoft Defender dla Chmury może pomóc w identyfikowaniu problematycznych miejsc za pośrednictwem rozwiązania Ochrona punktu końcowego w usłudze Microsoft Defender w usłudze Microsoft Defender do zarządzania zagrożeniami i lukami. Możesz również użyć produktów innych firm, jeśli masz taką możliwość, chociaż zalecamy korzystanie z usług Microsoft Defender dla Chmury i Ochrona punktu końcowego w usłudze Microsoft Defender.

Łatanie luk w oprogramowaniu w środowisku

Po zidentyfikowaniu luki w zabezpieczeniach należy ją załatać. Dotyczy to również środowisk wirtualnych, które obejmują uruchomione systemy operacyjne, aplikacje wdrożone w nich oraz obrazy, na podstawie których tworzysz nowe maszyny. Postępuj zgodnie z powiadomieniami dostawcy o poprawkach i stosuj poprawki w odpowiednim czasie. Zalecamy comiesięczne stosowanie poprawek do obrazów podstawowych, aby upewnić się, że nowo wdrożone maszyny są tak bezpieczne, jak to tylko możliwe.

Ustanawianie zasad maksymalnej liczby dni nieaktywności i rozłączania

Wylogowanie użytkowników, gdy są nieaktywni, pozwala zachować zasoby i uniemożliwia dostęp nieautoryzowanym użytkownikom. Zalecamy, aby limity czasu równoważyły zarówno produktywność użytkowników, jak i użycie zasobów. W przypadku użytkowników, którzy wchodzą w interakcję z aplikacjami bezstanowymi, rozważ bardziej agresywne zasady, które wyłączają maszyny i zachowują zasoby. Odłączenie długo działających aplikacji, które nadal działają, gdy użytkownik jest bezczynny, takich jak symulacja lub renderowanie CAD, może przerwać pracę użytkownika, a nawet może wymagać ponownego uruchomienia komputera.

Konfigurowanie blokad ekranu w przypadku bezczynnych sesji

Niepożądanemu dostępowi do systemu można zapobiec, konfigurując w usłudze Azure Virtual Desktop blokowanie ekranu komputera w czasie bezczynności i wymagając uwierzytelniania w celu jego odblokowania.

Ustanawianie wielopoziomowego dostępu administracyjnego

Nie zaleca się udzielania użytkownikom dostępu administratora do pulpitów wirtualnych. Jeśli potrzebujesz pakietów oprogramowania, zalecamy udostępnienie ich za pomocą narzędzi do zarządzania konfiguracją, takich jak usługa Microsoft Intune. W środowisku z wieloma sesjami zalecamy, aby nie zezwalać użytkownikom na bezpośrednie instalowanie oprogramowania.

Określanie, którzy użytkownicy powinni uzyskiwać dostęp do poszczególnych zasobów

Hosty sesji należy traktować jako rozszerzenie istniejącego wdrożenia aplikacji klasycznych. Zaleca się kontrolowanie dostępu do zasobów sieciowych w taki sam sposób, jak w przypadku innych komputerów stacjonarnych w danym środowisku, na przykład za pomocą segmentacji sieci i filtrowania. Domyślnie hosty sesji mogą łączyć się z dowolnym zasobem w Internecie. Istnieje kilka sposobów ograniczania ruchu, w tym przy użyciu usługi Azure Firewall, wirtualnych urządzeń sieciowych lub serwerów proxy. Jeśli musisz ograniczyć ruch, dodaj odpowiednie reguły, aby usługa Azure Virtual Desktop mogła działać prawidłowo.

Zarządzanie zabezpieczeniami aplikacji platformy Microsoft 365

Oprócz zabezpieczania hostów sesji ważne jest również zabezpieczenie aplikacji działających wewnątrz nich. Aplikacje Microsoft 365 to jedne z najpopularniejszych aplikacji wdrażanych na hostach sesji. Aby poprawić zabezpieczenia wdrożenia platformy Microsoft 365, zalecamy korzystanie z Doradcy zasad zabezpieczeń dla platformy Aplikacje Microsoft 365 dla przedsiębiorstw. To narzędzie identyfikuje zasady, które można zastosować do wdrożenia w celu zwiększenia bezpieczeństwa. Doradca ds. zasad zabezpieczeń zaleca również zasady na podstawie ich wpływu na bezpieczeństwo i produktywność.

Zabezpieczenia profilu użytkownika

Profile użytkowników mogą zawierać informacje poufne. Należy ograniczyć dostęp do profilów użytkowników i metod uzyskiwania do nich dostępu, zwłaszcza jeśli używasz kontenera profilów FSLogix do przechowywania profilów użytkowników w pliku wirtualnego dysku twardego w udziale SMB. Należy postępować zgodnie z zaleceniami dotyczącymi zabezpieczeń dostawcy udziału SMB. Jeśli na przykład używasz usługi Azure Files do przechowywania tych plików wirtualnego dysku twardego, możesz użyć prywatnych punktów końcowych, aby były one dostępne tylko w sieci wirtualnej platformy Azure.

Ochrona tokenu

Wymagaj ochrony tokenu w punkcie końcowym z uruchomioną aplikacją aplikacja dla systemu Windows łączącą się z usługą Azure Virtual Desktop. Ochrona tokenu nie ma zastosowania do hosta sesji. Dowiedz się więcej na temat obsługi ochrony tokenów przez aplikację aplikacja dla systemu Windows według platformy.

Globalny bezpieczny dostęp

Skonfiguruj globalny bezpieczny dostęp (GSA) na hostach sesji usługi Azure Virtual Desktop, aby zabezpieczyć dostęp do swoich aplikacji i zasobów. Możesz rozszerzyć te same mechanizmy kontroli dostępu na aplikacje prywatne, aplikacje internetowe i aplikacje platformy M365 na tożsamości zewnętrzne (wersja zapoznawcza). Dowiedz się więcej o GSA i jak skonfigurować GSA dla dostępu gościa B2B.

Inne porady dotyczące zabezpieczeń dla hostów sesji

Ograniczając możliwości systemu operacyjnego, można wzmocnić zabezpieczenia hostów sesji. Oto kilka rzeczy, które możesz zrobić:

  • Ogranicz przekierowywanie urządzeń. Dyski, schowek, drukarki i urządzenia USB są domyślnie wyłączone dla urządzenia lokalnego użytkownika w sesji pulpitu zdalnego. Zalecamy ocenę wymagań dotyczących zabezpieczeń i sprawdzenie, czy te przekierowania powinny być wyłączone, czy nie.

    • Dysk: rozważ użycie usługi OneDrive dla Firm, aby zastąpić zezwolenie na przekierowywanie dysku dla transferów plików.

    • Schowek: Rozważ kierunek transferu schowka , aby zastąpić dwukierunkowe transfery schowka. Dzięki ograniczeniu typu zawartości schowek można włączyć bez ryzyka przesłania plików.

    • Drukarka: rozważ drukowanie uniwersalne , aby wyeliminować potrzebę przekierowywania drukarki.

    • USB: Nie trzeba tego używać dla wielu popularnych urządzeń peryferyjnych, takich jak mysz, klawiatura i kamera internetowa. Dowiedz się więcej na temat przekierowywania urządzeń peryferyjnych i zasobów za pośrednictwem protokołu Remote Desktop Protocol , gdy przekierowanie USB powinno być włączone dla nieprzezroczystego przekierowania niskiego poziomu.

  • Ogranicz dostęp Eksploratora Windows, ukrywając mapowania dysków lokalnych i zdalnych. Zapobiega to odnajdowaniu przez użytkowników niechcianych informacji o konfiguracji systemu i użytkownikach.

  • Unikaj bezpośredniego dostępu RDP do hostów sesji w środowisku. Jeśli potrzebujesz bezpośredniego dostępu za pomocą protokołu RDP do administrowania lub rozwiązywania problemów, włącz dostęp just in time , aby ograniczyć potencjalny obszar ataków na hosta sesji.

  • Udzielanie użytkownikom ograniczonych uprawnień podczas uzyskiwania dostępu do lokalnych i zdalnych systemów plików. Uprawnienia można ograniczyć, upewniając się, że lokalne i zdalne systemy plików korzystają z list kontroli dostępu z najmniejszymi uprawnieniami. W ten sposób użytkownicy mają dostęp tylko do tego, czego potrzebują, i nie mogą zmieniać ani usuwać krytycznych zasobów.

  • Uniemożliwia uruchamianie niechcianego oprogramowania na hostach sesji. Funkcja RemoteApp nie jest funkcją zabezpieczeń i jej użycie nie uniemożliwia uruchamiania aplikacji poza aplikacjami opublikowanymi dla grupy aplikacji. Aby upewnić się, że na hoście sesji można uruchamiać tylko dozwolone aplikacje, możesz użyć funkcji kontroli aplikacji dla systemu Windows , takich jak Kontrola aplikacji lub Funkcja AppLocker.

Zaufane uruchamianie

Zaufane uruchamianie to maszyny wirtualne platformy Azure z ulepszonymi funkcjami zabezpieczeń mającymi na celu ochronę przed technikami uporczywych ataków, takimi jak zagrożenia typu "bottom-of-the-stack" za pośrednictwem wektorów ataków, takich jak programy typu rootkit, zestawy rozruchowe i złośliwe oprogramowanie na poziomie jądra. Umożliwia bezpieczne wdrażanie maszyn wirtualnych ze zweryfikowanymi modułami ładującymi rozruchu, jądrami systemu operacyjnego i sterownikami, a także chroni klucze, certyfikaty i wpisy tajne w maszynach wirtualnych. Dowiedz się więcej o zaufanym uruchamianiu w artykule Zaufane uruchamianie maszyn wirtualnych platformy Azure.

Podczas dodawania hostów sesji przy użyciu portalu Azure Portal domyślnym typem zabezpieczeń są Zaufane maszyny wirtualne. Dzięki temu maszyna wirtualna spełnia obowiązkowe wymagania systemu Windows 11. Aby uzyskać więcej informacji na temat tych wymagań, zobacz Obsługa maszyn wirtualnych.

Poufne maszyny wirtualne do przetwarzania na platformie Azure

Obsługa poufnych maszyn wirtualnych do przetwarzania na platformie Azure w usłudze Azure Virtual Desktop zapewnia, że pulpit wirtualny użytkownika jest zaszyfrowany w pamięci, chroniony w użyciu i wspierany przez sprzętowy rdzeń zaufania.

Wdrażanie poufnych maszyn wirtualnych za pomocą usługi Azure Virtual Desktop zapewnia użytkownikom dostęp do platformy Microsoft 365 i innych aplikacji na hostach sesji używających izolacji sprzętowej, która wzmacnia izolację od innych maszyn wirtualnych, funkcji hypervisor i systemu operacyjnego hosta. Klucze szyfrowania pamięci są generowane i chronione przez dedykowany bezpieczny procesor wewnątrz procesora, którego nie można odczytać z oprogramowania. Aby uzyskać więcej informacji, w tym dostępne rozmiary maszyn wirtualnych, zobacz Omówienie poufnego przetwarzania na platformie Azure.

Następujące systemy operacyjne są obsługiwane do użycia jako hosty sesji z poufnymi maszynami wirtualnymi w usłudze Azure Virtual Desktop w przypadku wersji, które są aktywnie wspierane. Daty świadczenia pomocy technicznej można znaleźć w Zasadach cyklu życia produktów firmy Microsoft.

  • System Windows 11 dla firm
  • Windows 11 Enterprise multi-session
  • System Windows10 dla firm
  • Windows 10 Enterprise multi-session
  • Windows Server 2022
  • Windows Server 2019

Hosty sesji można tworzyć przy użyciu poufnych maszyn wirtualnych podczas wdrażania usługi Azure Virtual Desktop lub dodawania hostów sesji do puli hostów.

Szyfrowanie dysku systemu operacyjnego

Szyfrowanie dysku systemu operacyjnego to dodatkowa warstwa szyfrowania, która wiąże klucze szyfrowania dysku z modułem TPM maszyny wirtualnej do przetwarzania poufnego. To szyfrowanie sprawia, że zawartość dysku jest dostępna tylko dla maszyny wirtualnej. Monitorowanie integralności umożliwia kryptograficzne zaświadczanie i weryfikację integralności rozruchu maszyny wirtualnej oraz alerty monitorowania, jeśli maszyna wirtualna nie została uruchomiona, ponieważ zaświadczanie nie powiodło się przy użyciu zdefiniowanego punktu odniesienia. Aby uzyskać więcej informacji na temat monitorowania integralności, zobacz Usługa Microsoft Defender dla integracji z chmurą. Poufne szyfrowanie danych obliczeniowych można włączyć podczas tworzenia hostów sesji przy użyciu poufnych maszyn wirtualnych podczas tworzenia puli hostów lub dodawania hostów sesji do puli hostów.

Bezpieczny rozruch

Bezpieczny rozruch to tryb obsługiwany przez oprogramowanie układowe platformy, który chroni oprogramowanie układowe przed programami typu rootkit i zestawami rozruchowymi opartymi na złośliwym oprogramowaniu. Ten tryb zezwala na rozruch tylko podpisanych systemów operacyjnych i sterowników.

Monitorowanie integralności rozruchu przy użyciu funkcji zdalnego zaświadczania

Zdalna zaświadczanie to doskonały sposób sprawdzania kondycji maszyn wirtualnych. Zdalne zaświadczanie sprawdza, czy rekordy mierzonego rozruchu są obecne, oryginalne i pochodzą z wirtualnego modułu TPM (Trusted Platform Module). Jako kontrola kondycji zapewnia kryptograficzną pewność, że platforma została uruchomiona poprawnie.

vTPM

Moduł vTPM to zwirtualizowana wersja sprzętowego modułu TPM z wirtualnym wystąpieniem modułu TPM na maszynę wirtualną. vTPM umożliwia zdalne zaświadczanie poprzez wykonanie pomiaru integralności całego łańcucha rozruchowego maszyny wirtualnej (UEFI, system operacyjny, system operacyjny i sterowniki).

Zalecamy włączenie usługi vTPM w celu korzystania ze zdalnego zaświadczania na maszynach wirtualnych. Po włączeniu modułu vTPM można również włączyć funkcję BitLocker za pomocą szyfrowania dysków platformy Azure, które zapewnia szyfrowanie pełnych woluminów w celu ochrony danych magazynowanych. Wszystkie funkcje korzystające z vTPM spowodują powiązanie wpisów tajnych z określoną maszyną wirtualną. Gdy użytkownicy łączą się z usługą Azure Virtual Desktop w scenariuszu w puli, użytkownicy mogą zostać przekierowani do dowolnej maszyny wirtualnej w puli hostów. W zależności od tego, jak funkcja jest zaprojektowana, może to mieć wpływ.

Uwaga

Funkcja BitLocker nie powinna być używana do szyfrowania określonego dysku, na którym są przechowywane dane profilu FSLogix.

Zabezpieczenia oparte na wirtualizacji

Zabezpieczenia oparte na wirtualizacji (VBS) używają funkcji hypervisor do tworzenia i izolowania bezpiecznego regionu pamięci, który jest niedostępny dla systemu operacyjnego. Technologie Hypervisor-Protected Code Integrity (HVCI) i Windows Defender Credential Guard używają zabezpieczeń VBS, aby zapewnić lepszą ochronę przed lukami w zabezpieczeniach.

Hypervisor-Protected integralności kodu

HVCI to zaawansowany środek zaradczy systemu, który używa VBS do ochrony procesów trybu jądra systemu Windows przed wstrzykiwaniem i wykonywaniem złośliwego lub niezweryfikowanego kodu.

Windows Defender Credential Guard

Włącz funkcję Windows Defender Credential Guard. Windows Defender Credential Guard używa zabezpieczeń VBS do izolowania i ochrony kluczy tajnych, aby tylko uprzywilejowane oprogramowanie systemowe mogło uzyskać do nich dostęp. Zapobiega to nieautoryzowanemu dostępowi do tych wpisów tajnych i atakom kradzieży poświadczeń, takim jak ataki typu Pass-the-Hash. Aby uzyskać więcej informacji, zobacz Omówienie funkcji Credential Guard.

Kontrola aplikacji usługi Windows Defender

Włącz funkcję Kontrola aplikacji usługi Windows Defender. Kontrola aplikacji usługi Windows Defender służy do ochrony urządzeń przed złośliwym oprogramowaniem i innym niezaufanym oprogramowaniem. Zapobiega uruchamianiu złośliwego kodu, zapewniając, że można uruchomić tylko zatwierdzony kod, który znasz. Aby uzyskać więcej informacji, zobacz Kontrola aplikacji dla systemu Windows.

Uwaga

W przypadku korzystania z narzędzia Access Control usługi Windows Defender zaleca się kierowanie zasad tylko na poziomie urządzenia. Mimo że możliwe jest kierowanie zasad do poszczególnych użytkowników, po zastosowaniu zasady mają one jednakowy wpływ na wszystkich użytkowników na urządzeniu.

Ochrona administratora nie jest obsługiwana

Nie włączaj ochrony administratora na hostach sesji usługi Azure Virtual Desktop z systemem Windows 11, w tym we wszelkich niestandardowych obrazach używanych do tworzenia hostów sesji. To ustawienie nie jest dostępne w systemie Windows Server. Składniki w stosie połączeń zdalnych wymagają aktualizacji, aby mogły działać z modelem najmniejszych uprawnień ochrony administratora. Pomoc techniczna dla tego środowiska jest planowana w przyszłej wersji. W międzyczasie skonfiguruj użytkowników jako użytkowników standardowych, aby zachować jak najmniejsze uprawnienia w tym środowisku.

Jeśli jest włączona, użytkownicy mogą zobaczyć nieoczekiwany monit o uwierzytelnienie podczas logowania, dodatkowe monity o zatwierdzenie zadań wymagających podniesienia uprawnień i błędy podniesienia uprawnień. Monit o zalogowanie ma wpływ na wszystkich użytkowników. Monity o podniesienie uprawnień i niepowodzenia mają wpływ na użytkowników z uprawnieniami administratora lokalnego.

Aby wyłączyć ochronę administratora, ustaw Kontrolę konta użytkownika: Skonfiguruj typ trybu zatwierdzania administracji na Starszy tryb zatwierdzania administracji, a następnie uruchom ponownie hosta sesji.

Windows Update

Zapewnij aktualność hostów sesji za pomocą aktualizacji z usługi Windows Update. Usługa Windows Update zapewnia bezpieczny sposób aktualizowania urządzeń. Jego kompleksowa ochrona zapobiega manipulacji wymianą protokołów i zapewnia, że aktualizacje obejmują tylko zatwierdzone treści. W niektórych środowiskach chronionych może być konieczne zaktualizowanie reguł zapory i serwera proxy w celu uzyskania właściwego dostępu do aktualizacji systemu Windows. Aby uzyskać więcej informacji, zobacz Zabezpieczenia usługi Windows Update.

Klient aplikacji aplikacja dla systemu Windows i aktualizacje na innych platformach systemu operacyjnego

Aktualizacje oprogramowania dla klientów aplikacja dla systemu Windows, za pomocą których można uzyskać dostęp do usług Azure Virtual Desktop na innych platformach systemów operacyjnych, są zabezpieczone zgodnie z zasadami zabezpieczeń odpowiednich platform. Wszystkie aktualizacje klienta są dostarczane bezpośrednio przez jego platformy. Aby uzyskać więcej informacji, zobacz odpowiednie strony w sklepie dla każdej aplikacji:

Następne kroki

  • Last updated on