Блокировка конфигурации защищенного ядра компьютера
В корпоративной организации ИТ-администраторы применяют политики на своих корпоративных устройствах, чтобы обеспечить соответствие устройств требованиям и защитить ОС, не позволяя пользователям изменять конфигурации и создавать смещение конфигураций. Смещение конфигурации происходит, когда пользователи с правами локального администратора изменяют параметры и не синхронизируют устройство с политиками безопасности. Устройства в несоответствуемом состоянии могут быть уязвимы до следующей синхронизации и сброса конфигурации с помощью MDM. Windows 11 с блокировкой конфигурации позволяет ИТ-администраторам предотвратить смещение конфигурации и сохранить конфигурацию ОС в нужном состоянии. При блокировке конфигурации ОС отслеживает ключи реестра, настраивающие каждую функцию, и при обнаружении смещения возвращается к требуемому ИТ-специалистами состоянию за считанные секунды.
Блокировка конфигурации с защищенными ядрами (блокировка конфигурации) — это новая функция защищенного ядра (SCPC), которая предотвращает смещение конфигурации от функций защищенного ядра компьютера, вызванное непреднамеренной неправильной настройкой. Короче говоря, это гарантирует, что устройство, предназначенное для защищенного ядра, остается защищенным.
Подведем итоги: блокировка конфигурации:
- Позволяет ИТ-службам "блокировать" функции защищенного ядра компьютера при управлении с помощью MDM
- Обнаруживает исправления смещения в течение нескольких секунд
- Не предотвращает вредоносные атаки
Требования к выпуску и лицензированию Windows
В следующей таблице перечислены выпуски Windows, поддерживающие блокировку конфигурации secured-core:
| Windows Pro | Windows Корпоративная | Windows Pro для образовательных учреждений/SE | Windows для образовательных учреждений |
|---|---|---|---|
| Да | Да | Да | Да |
Лицензии на блокировку защищенной конфигурации предоставляются следующими лицензиями:
| Windows Pro/Pro для образовательных учреждений/SE | Windows Корпоративная E3 | Windows Корпоративная E5 | Windows для образовательных учреждений A3 | Windows для образовательных учреждений A5 |
|---|---|---|---|---|
| Да | Да | Да | Да | Да |
Дополнительные сведения о лицензировании Windows см. в статье Обзор лицензирования Windows.
Поток конфигурации
После того как компьютеры с защищенными ядрами достигнут рабочего стола, блокировка конфигурации предотвратит смещение конфигурации, определив, является ли устройство защищенным ядром. Если устройство не является защищенным компьютером, блокировка не применяется. Если устройство является компьютером с защищенными ядрами, блокировка конфигурации блокирует политики, перечисленные в списке заблокированных политик.
Включение блокировки конфигурации с помощью Microsoft Intune
Блокировка конфигурации не включена по умолчанию или не включена ОС во время загрузки. Скорее, вам нужно включить его.
Ниже приведены действия по включению блокировки конфигурации с помощью Microsoft Intune.
Убедитесь, что устройство, включающее блокировку конфигурации, зарегистрировано в Microsoft Intune.
В Центре администрирования Intune выберите Устройства>Профили> конфигурацииСоздать профиль.
Выберите следующее и нажмите кнопку Создать:
-
Платформа:
Windows 10 and later -
Тип профиля:
Templates - Имя шаблона: Пользовательское
-
Платформа:
Присвойте своему профилю имя.
Когда вы перейдете к шагу Параметры конфигурации, выберите "Добавить" и добавьте следующие сведения:
-
OMA-URI:
./Vendor/MSFT/DMClient/Provider/MS%20DM%20Server/ConfigLock/Lock -
Тип данных:
Integer -
Значение:
1
Чтобы отключить блокировку конфигурации, измените значение на 0.
-
OMA-URI:
Выберите устройства, чтобы включить блокировку конфигурации. Если вы используете тестовый клиент, можно выбрать "+ Добавить все устройства".
Вам не нужно задавать какие-либо правила применимости для тестовых целей.
Проверьте конфигурацию и выберите "Создать", если все правильно.
После синхронизации устройства с сервером Microsoft Intune можно проверить, успешно ли включена блокировка конфигурации.
Настройка функций защищенного ядра компьютера
Блокировка конфигурации предназначена для обеспечения непреднамеренно неправильной настройки защищенного компьютера. Вы сохраните возможность включения или отключения функций SCPC, например защиты встроенного ПО. Эти изменения можно внести с помощью групповых политик или служб MDM, таких как Microsoft Intune.
Вопросы и ответы
- Можно ли отключить блокировку конфигурации? Да. С помощью MDM можно полностью отключить блокировку конфигурации или переключить ее во временный режим разблокировки для действий службы технической поддержки.
Список заблокированных политик
| Поставщики служб конфигурации |
|---|
| BitLocker |
| PassportForWork |
| WindowsDefenderApplicationGuard |
| ApplicationControl |