你当前正在访问 Microsoft Azure Global Edition 技术文档网站。 如果需要访问由世纪互联运营的 Microsoft Azure 中国技术文档网站，请访问 https://docs.azure.cn。
Azure 虚拟桌面是一种托管虚拟桌面服务，它包含许多安全功能，可确保组织安全。 Azure 虚拟桌面的体系结构包含许多组件，这些组件构成了将用户连接到其桌面和应用的服务。
Azure 虚拟桌面具有许多内置的高级安全功能，例如反向连接，无需打开入站网络端口，这降低了从任何地方访问远程桌面所涉及的风险。 该服务还受益于 Azure 的许多其他安全功能，例如多重身份验证和条件访问。 本文介绍了无论向组织中的用户还是向外部用户提供桌面和应用，作为管理员可以采取的步骤来确保 Azure 虚拟桌面部署的安全。
共同的安全责任
在 Azure 虚拟桌面之前，远程桌面服务等本地虚拟化解决方案需要向用户授予对网关、代理、Web 访问等角色的访问权限。 这些角色必须是完全冗余的，并且能够处理峰值容量。 管理员会将这些角色安装为 Windows Server 操作系统的一部分，并且必须使用公共连接可访问的特定端口加入域。 为了确保部署安全，管理员必须不断确保基础设施中的所有内容都得到维护和最新。
然而，在大多数云服务中，Microsoft 与客户或合作伙伴之间都有 一组共同的安全责任 。 对于 Azure 虚拟桌面，大多数组件由 Microsoft 管理，但会话主机和某些支持服务和组件由客户管理或合作伙伴管理。 若要了解有关 Azure 虚拟桌面的 Microsoft 托管组件的详细信息，请参阅 Azure 虚拟桌面服务体系结构和复原能力。
虽然某些组件已针对你的环境进行了保护，但你需要自行配置其他区域以满足组织或客户的安全需求。 下面是你负责 Azure 虚拟桌面部署中的安全性的组件：
| 组件 | 职责 |
|---|---|
| 标识 | 客户或合作伙伴 |
| 移动设备和电脑) (用户设备 | 客户或合作伙伴 |
| 应用程序安全 | 客户或合作伙伴 |
| 会话主机操作系统 | 客户或合作伙伴 |
| 部署配置 | 客户或合作伙伴 |
| 网络控制 | 客户或合作伙伴 |
| 虚拟化控制平面 | Microsoft |
| 物理主机 | Microsoft |
| 物理网络 | Microsoft |
| 物理数据中心 | Microsoft |
安全边界
安全边界将具有不同信任级别的安全域的代码和数据分隔开来。 例如，内核模式和用户模式之间通常存在安全边界。 大多数Microsoft软件和服务依赖于多个安全边界来隔离网络上的设备、虚拟机 (VM) 以及设备上的应用程序。 下表列出了 Windows 的每个安全边界及其对整体安全性的作用。
| 安全边界 | 说明 |
|---|---|
| 网络边界 | 未经授权的网络终结点无法访问或篡改客户设备上的代码和数据。 |
| 内核边界 | 非管理用户模式进程无法访问或篡改内核代码和数据。 管理员到内核不是安全边界。 |
| 进程边界 | 未经授权的用户模式进程无法访问或篡改其他进程的代码和数据。 |
| AppContainer 沙盒边界 | 基于 AppContainer 的沙盒进程无法根据容器功能访问或篡改沙盒外部的代码和数据。 |
| 用户边界 | 未经授权，用户不得访问或篡改其他用户的代码和数据。 |
| 会话边界 | 未经授权，用户会话无法访问或篡改其他用户会话。 |
| Web 浏览器边界 | 未经授权的网站不能违反同源策略，也不能访问或篡改 Microsoft Edge Web 浏览器沙盒的本机代码和数据。 |
| 虚拟机边界 | 未经授权的 Hyper-V 来宾虚拟机无法访问或篡改另一个来宾虚拟机的代码和数据;这包括 Hyper-V 隔离容器。 |
| 虚拟安全模式 (VSM) 边界 | 在 VSM 受信任进程或区域外部运行的代码无法访问或篡改受信任进程内的数据和代码。 |
Azure 虚拟桌面方案的建议安全边界
您还需要根据具体情况对安全边界做出某些选择。 例如，如果你组织中的用户需要本地管理员权限来安装应用，则你需要为他们提供个人桌面，而不是共享会话主机。 我们不建议在多会话池方案中授予用户本地管理员权限，因为这些用户可以跨越会话或 NTFS 数据权限的安全边界、关闭多会话 VM 或执行其他可能中断服务或导致数据丢失的操作。
来自同一组织的用户（如应用不需要管理员权限的知识工作者）非常适合使用多会话会话主机（如 Windows 11 企业版多会话）。 这些会话主机可降低组织的成本，因为多个用户可以共享单个 VM，每个用户只需支付 VM 的开销。 借助 FSLogix 等用户配置文件管理产品，可以为用户分配主机池中的任何 VM，而不会注意到任何服务中断。 此功能还允许你通过在非高峰时段关闭 VM 等操作来优化成本。
如果你的情况需要来自不同组织的用户连接到你的部署，我们建议你为标识服务（如 Active Directory 和 Microsoft Entra ID）设置单独的租户。 我们还建议为这些用户单独订阅，用于托管 Azure 虚拟桌面和 VM 等 Azure 资源。
在许多情况下，使用多会话是降低成本的可接受方式，但是否推荐使用取决于同时访问共享多会话实例的用户之间的信任级别。 通常，属于同一组织的用户具有充分且商定的信任关系。 例如，人们协作并可以访问彼此个人信息的部门或工作组是具有高信任级别的组织。
Windows 使用安全边界和控制来确保会话之间隔离用户进程和数据。 但是，Windows 仍提供对用户正在处理的实例的访问权限。
多会话部署将受益于深度安全性策略，该策略增加了更多安全边界，可防止组织内外的用户未经授权访问其他用户的个人信息。 未经授权的数据访问是由于系统管理员在配置过程中出现错误，例如未公开的安全漏洞或尚未修补的已知漏洞。
我们不建议为不同公司或竞争公司工作的用户授予对同一多会话环境的访问权限。 这些方案具有多个可能受到攻击或滥用的安全边界，例如网络、内核、进程、用户或会话。 单个安全漏洞可能会导致未经授权的数据和凭据盗窃、个人信息泄露、身份盗用和其他问题。 虚拟化环境提供商负责提供精心设计的系统，这些系统具有多个强大的安全边界，并尽可能启用额外的安全功能。
减少这些潜在威胁需要防错配置、补丁管理设计流程和定期补丁部署计划。 最好深入遵循防御原则，将环境分开。
下表总结了针对每个方案的建议。
| 信任级别方案 | 建议的解决方案 |
|---|---|
| 一个组织中具有标准权限的用户 | 使用 Windows 企业版多会话操作系统 (OS) 。 |
| 用户需要管理权限 | 使用个人主机池，并为每个用户分配自己的会话主机。 |
| 来自不同组织的用户正在连接 | 将 Azure 租户和 Azure 订阅分开 |
Azure 安全最佳做法
Azure 虚拟桌面是 Azure 下的一项服务。 为了最大限度地提高 Azure 虚拟桌面部署的安全性，还应确保保护周围的 Azure 基础结构和管理平面。 若要保护基础结构，请考虑 Azure 虚拟桌面如何适应更大的 Azure 生态系统。 若要了解有关 Azure 生态系统的详细信息，请参阅 Azure 安全最佳做法和模式。
当今的威胁形势要求在设计时考虑到安全方法。 理想情况下，您需要在整个计算机网络中构建一系列分层的安全机制和控件，以保护您的数据和网络免受损害或攻击。 这种类型的安全设计是 美国 网络安全和基础设施安全局 (CISA) 所说的深度防御。
以下部分包含有关保护 Azure 虚拟桌面部署的建议。
启用 Microsoft Defender for Cloud
建议启用 Microsoft Defender for Cloud 的增强安全功能，以便：
- 管理漏洞。
- 评估对通用框架（例如 PCI 安全标准委员会）的遵守情况。
- 加强环境的整体安全性。
若要了解详细信息，请参阅 启用增强的安全功能。
提高安全分数
安全分数提供提高整体安全性的建议和最佳做法建议。 这些建议具有优先级，可帮助你选择最重要的建议，而快速修复选项可帮助你快速解决潜在漏洞。 这些建议也会随着时间的推移而更新，让您及时了解维护环境安全性的最佳方法。 若要了解详细信息，请参阅提高 Microsoft Defender for Cloud 中的安全功能分数。
要求多重身份验证
要求对 Azure 虚拟桌面中的所有用户和管理员进行多重身份验证可提高整个部署的安全性。 若要了解详细信息，请参阅为 Azure 虚拟桌面启用 Microsoft Entra 多重身份验证。
启用条件访问
通过启用条件访问，可以在授予用户访问 Azure 虚拟桌面环境的权限之前管理风险。 在决定向哪些用户授予访问权限时，建议你还考虑用户是谁、他们如何登录以及他们正在使用哪台设备。
收集审核日志
启用审核日志收集可让你查看与 Azure 虚拟桌面相关的用户和管理员活动。 关键审核日志的一些示例如下：
使用 Azure Monitor 监视使用情况
使用 Azure Monitor 监视 Azure 虚拟桌面服务的使用情况和可用性。 请考虑为 Azure 虚拟桌面服务创建服务运行状况警报，以便在发生影响服务的事件时接收通知。
加密会话主机
使用 托管磁盘加密选项 加密会话主机，以保护存储的数据免遭未经授权的访问。
会话主机安全最佳做法
会话主机是在 Azure 订阅和虚拟网络中运行的虚拟机。 Azure 虚拟桌面部署的整体安全性取决于对会话主机施加的安全控制。 本节介绍确保会话主机安全的最佳做法。
启用终结点保护
为了保护部署免受已知恶意软件的侵害，建议在所有会话主机上启用 Endpoint Protection。 可以使用 Windows Defender 防病毒或第三方程序。 有关详细信息，请参阅 VDI 环境中的 Windows Defender 防病毒部署指南。
对于 FSLogix 等配置文件解决方案或其他装载虚拟硬盘文件的解决方案，建议排除这些文件扩展名。 有关 FSLogix 排除项的详细信息，请参阅 配置防病毒文件和文件夹排除项。
安装终结点检测和响应产品
建议安装终结点检测和响应 (EDR) 产品，以提供高级检测和响应功能。 对于启用了 Microsoft Defender for Cloud 的服务器操作系统，安装 EDR 产品将部署 Microsoft Defender for Endpoint。 对于客户端操作系统，可以将 Microsoft Defender for Endpoint 或第三方产品部署到这些终结点。
启用威胁和漏洞管理评估
识别操作系统和应用程序中存在的软件漏洞对于确保环境安全至关重要。 Microsoft Defender for Cloud 可通过 Microsoft Defender for Endpoint 的危险和漏洞管理解决方案帮助你识别问题点。 如果你愿意，也可以使用第三方产品，但我们建议使用 Microsoft Defender for Cloud 和 Microsoft Defender for Endpoint。
修补环境中的软件漏洞
识别漏洞后，必须修补它。 这也适用于虚拟环境，其中包括正在运行的操作系统、部署在其中的应用程序以及从中创建新计算机的映像。 关注您的供应商补丁通知通信并及时应用补丁。 建议每月修补基础映像，以确保新部署的计算机尽可能安全。
建立最大非活动时间和断开连接策略
在用户不活动时注销用户可保留资源并防止未经授权的用户进行访问。 建议超时来平衡用户工作效率和资源使用。 对于与无状态应用程序交互的用户，请考虑关闭计算机并保留资源的更积极的策略。 断开在用户空闲时继续运行的长时间运行的应用程序（例如模拟或 CAD 渲染）可能会中断用户的工作，甚至可能需要重新启动计算机。
为空闲会话设置屏幕锁定
可以通过将 Azure 虚拟桌面配置为在空闲时间锁定计算机的屏幕并要求进行身份验证才能解锁来防止不必要的系统访问。
建立分层管理员访问权限
建议不要向用户授予对虚拟桌面的管理员访问权限。 如果需要软件包，建议通过配置管理实用程序（如 Microsoft Intune）提供它们。 在多会话环境中，建议不要让用户直接安装软件。
考虑用户的对应访问资源
将会话主机视为现有桌面部署的扩展。 建议按照与控制环境中其他桌面相同的方式来控制对网络资源的访问，例如使用网络分段和筛选。 默认情况下，会话主机可以连接到 Internet 上的任何资源。 有多种方法可以限制流量，包括使用 Azure 防火墙、网络虚拟设备或代理。 如果需要限制流量，请确保添加适当的规则，以便 Azure 虚拟桌面可以正常工作。
管理 Microsoft 365 应用安全性
除了保护会话主机之外，还必须保护在其中运行的应用程序。 Microsoft 365 应用是部署在会话主机中的一些最常见的应用程序。 若要提高 Microsoft 365 部署安全性，建议使用 Microsoft 365 企业应用版安全策略顾问。 此工具确定可应用于部署以提高安全性的策略。 安全策略顾问还会根据策略对安全性和工作效率的影响推荐策略。
用户配置文件安全性
用户配置文件可能包含敏感信息。 应限制有权访问用户配置文件的人及其访问方法，尤其是当您使用 FSLogix 配置文件容器 将用户配置文件存储在 SMB 共享上的虚拟硬盘文件中时。 你应该遵循 SMB 共享提供商的安全建议。 例如，如果使用 Azure 文件存储存储这些虚拟硬盘文件，则可以使用专用终结点使它们仅在 Azure 虚拟网络内可访问。
令牌保护
在运行连接到 Azure 虚拟桌面的 Windows 应用 终结点上需要令牌保护。 令牌保护不适用于会话主机。 详细了解按平台划分的令牌保护的 Windows 应用 支持。
全局安全访问
在Azure虚拟桌面会话主机上配置全局安全访问 (GSA) ，以保护对应用和资源的访问。 可以将相同的访问控制扩展到专用应用程序、Internet 应用程序和 M365 应用程序，以 (预览版) 。 了解有关 GSA 以及如何 为 B2B 访客访问配置 GSA 的更多信息。
会话主机的其他安全提示
通过限制操作系统功能，可以增强会话主机的安全性。 可以执行以下操作：
限制设备重定向。 默认情况下，驱动器、剪贴板、打印机和 USB 设备在远程桌面会话中禁用用户的本地设备。 我们建议您评估您的安全要求并检查是否应该禁用这些重定向。
驱动器：请考虑使用 OneDrive for Business 来取代允许驱动器重定向以进行文件传输。
剪贴板：考虑 剪贴板传输方向 以替换双向剪贴板传输。 通过限制内容类型，可以启用剪贴板，而不会有文件被传输的风险。
打印机：考虑使用 通用打印来 替代打印机重定向的需要。
USB：不必为许多常见外围设备（如鼠标、键盘和网络摄像头）启用此功能。 有关何时应为不透明低级别重定向启用 USB 重定向，请参阅通过 远程桌面协议进行的外设和资源重定向 。
通过隐藏本地和远程驱动器映射来限制 Windows 资源管理器访问。 这可以防止用户发现有关系统配置和用户的不需要的信息。
避免直接 RDP 访问环境中的会话主机。 如果需要直接 RDP 访问以进行管理或故障排除，请启用 实时 访问以限制会话主机上的潜在攻击面。
在用户访问本地和远程文件系统时授予有限的权限。 您可以通过确保本地和远程文件系统使用具有最低权限的访问控制列表来限制权限。 这样，用户只能访问他们需要的内容，而无法更改或删除关键资源。
阻止不需要的软件在会话主机上运行。 RemoteApp 不是一项安全功能，使用它不会阻止在发布到应用程序组的应用程序之外启动应用程序。 若要确保只有允许的应用程序才能在会话主机上运行，可以使用适用于 Windows 的应用程序控制 功能，如应用控制或 AppLocker。
受信任的启动
受信任启动是具有增强安全功能的 Azure VM，旨在通过 rootkit、启动工具包和内核级恶意软件等攻击途径抵御持续性攻击技术，例如堆栈底层威胁。 它允许使用经过验证的启动加载程序、操作系统内核和驱动程序安全部署 VM，还可以保护 VM 中的密钥、证书和机密。 有关受信任启动的详细信息，请参阅 Azure 虚拟机的受信任启动。
使用 Azure 门户添加会话主机时，默认安全类型为受信任的虚拟机。 这可确保 VM 满足 Windows 11 的强制要求。 有关这些要求的详细信息，请参阅 虚拟机支持。
Azure 机密计算虚拟机
对 Azure 机密计算虚拟机的 Azure 虚拟桌面支持可确保用户的虚拟桌面在内存中加密、在使用中受到保护，并由硬件信任根提供支持。
使用 Azure 虚拟桌面部署机密虚拟机可让用户访问使用基于硬件的隔离的会话主机上的 Microsoft 365 和其他应用程序，这可强化与其他虚拟机、虚拟机监控程序和主机 OS 的隔离。 内存加密密钥由 CPU 内部的专用安全处理器生成和保护，该处理器无法从软件中读取。 有关详细信息，包括可用的 VM 大小，请参阅 Azure 机密计算概述。
对于处于活动支持状态的版本，支持以下操作系统作为 Azure 虚拟桌面上具有机密虚拟机的会话主机。 有关支持日期，请参阅 Microsoft 生命周期策略。
- Windows 11 企业版
- Windows 11 企业版多会话
- Windows 10 企业版
- Windows 10 企业版多会话
- Windows Server 2022
- Windows Server 2019
部署 Azure 虚拟桌面或将会话主机添加到主机池时，可以使用机密虚拟机创建会话主机。
操作系统磁盘加密
加密操作系统磁盘是额外的加密层，它将磁盘加密密钥绑定到机密计算 VM 的受信任的平台模块 (TPM) 。 此加密使得只有 VM 可以访问磁盘内容。 完整性监视允许对 VM 启动完整性进行加密证明和验证，如果 VM 由于验证未能通过定义的基线而未启动，则可以监视警报。 有关完整性监视的详细信息，请参阅 Microsoft Defender for Cloud 集成。 在使用机密 VM 创建会话主机时，可以在创建 主机池 或 将会话主机添加到主机池时启用机密计算加密。
安全启动
安全启动是平台固件支持的一种模式，可保护固件免受基于恶意软件的 rootkit 和启动工具包的侵害。 此模式仅允许启动签名的操作系统和驱动程序。
使用远程证明监视启动完整性
远程证明是检查 VM 运行状况的好方法。 远程证明验证测量的启动记录是否存在、真实且源自虚拟受信任的平台模块 (vTPM) 。 作为一种健康检查，它提供了平台正确启动的加密确定性。
vTPM
vTPM 是硬件受信任平台模块 (TPM) 的虚拟化版本，每个 VM 都有一个 TPM 的虚拟实例。vTPM 通过对 VM 的整个启动链 (UEFI、操作系统、系统和驱动程序) 执行完整性测量来实现远程证明。
建议启用 vTPM 以在 VM 上使用远程证明。 启用 vTPM 后，还可以使用 Azure 磁盘加密启用 BitLocker 功能，这提供全卷加密来保护静态数据。 使用 vTPM 的任何功能都将导致机密绑定到特定 VM。 当用户在池化方案中连接到 Azure 虚拟桌面服务时，可将用户重定向到主机池中的任何 VM。 根据功能的设计方式，这可能会产生影响。
注意
BitLocker 不应用于加密存储 FSLogix 配置文件数据的特定磁盘。
基于虚拟化的安全性
基于虚拟化的安全性 (VBS) 使用虚拟机监控程序创建和隔离操作系统无法访问的安全内存区域。 Hypervisor-Protected 代码完整性 (HVCI) 和 Windows Defender Credential Guard 都使用 VBS 来增强对漏洞的保护。
Hypervisor-Protected 代码完整性
HVCI 是一种功能强大的系统缓解措施，它使用 VBS 保护 Windows 内核模式进程，防止注入和执行恶意或未经验证的代码。
Windows Defender Credential Guard
启用 Windows Defender Credential Guard。 Windows Defender Credential Guard 使用 VBS 隔离和保护密钥，只有拥有相应权限的系统软件才能访问它们。 这可以防止未经授权访问这些机密和凭据盗窃攻击，例如哈希传递攻击。 有关详细信息，请参阅 Credential Guard 概述。
Windows Defender 应用程序控制
启用 Windows Defender 应用程序控制。 Windows Defender 应用程序控制旨在保护设备免受恶意软件和其他不受信任的软件的侵害。 它通过确保只有你知道的已批准代码才能运行来防止运行恶意代码。 有关详细信息，请参阅 适用于 Windows 的应用程序控制。
注意
使用 Windows Defender 访问控制时，我们建议仅针对设备级别的策略。 虽然可以将策略定向到单个用户，但应用策略后，它会平等地影响设备上的所有用户。
不支持管理员保护
不要在运行 Windows 11 的 Azure 虚拟桌面会话主机上启用管理员保护，包括用于生成会话主机的任何自定义映像。 此设置在 Windows Server 上不可用。 远程连接堆栈中的组件需要更新才能使用管理员保护的最小特权模型。 计划在未来版本中支持此环境。 同时，将用户配置为标准用户，以在此环境中保持最低权限。
如果启用，用户在登录时可能会看到意外的身份验证提示、需要提升的任务的额外审批提示，以及提升失败。 登录提示会影响所有用户。 提升权限提示和失败会影响具有本地管理员权限的用户。
如果通过组策略将 Microsoft 安全 Compliance Toolkit 中的 Windows 安全基线应用于会话主机，则管理员保护将从 2026 年 10 月 Windows 安全更新开始打开，即使你未启用该更新也是如此。
若要关闭管理员保护，请将“用户帐户控制”设置为“管理员批准模式”类型配置为“旧版管理员批准模式”，然后重新启动会话主机。
Windows 更新
使用 Windows 更新中的更新使会话主机保持最新状态。 Windows 更新提供了一种使设备保持最新状态的安全方法。 其端到端保护可防止操纵协议交换，并确保更新仅包含批准的内容。 可能需要更新某些受保护环境的防火墙和代理规则，以便正确访问 Windows 汇报。 有关详细信息，请参阅 Windows 更新安全性。
Windows 应用 客户端和其他操作系统平台上的更新
可用于访问其他操作系统平台上的 Azure 虚拟桌面服务的 Windows 应用 客户端的软件更新将根据其各自平台的安全策略进行保护。 所有客户端更新均由其平台直接提供。 有关详细信息，请参阅每个应用各自的应用商店页面：
后续步骤
- 了解如何 设置多重身份验证。
- 对 Azure 虚拟桌面部署应用零信任原则。