ASD ブループリントに合わせて配置Windows 365の構成ガイダンス

Windows 365 Enterprise Cloud PC はクラウドベースのサービスとしてのデスクトップ (DaaS) であり、エンド ユーザー用Windows 365仮想マシン (クラウド PC) を自動的に作成します。 生産性、セキュリティ、保護レベルでのコンプライアンス、および Microsoft 365 のコラボレーションの利点が提供 されます 。

Microsoft Service Trust Portal で利用できる Microsoft 365 のオーストラリア政府機関向け Infosec 登録済み評価プログラム (IRAP) 評価には、評価されたサービスの範囲にWindows 365が含まれています。 サービスは、 保護された レベルのデータを保持するように評価されます。 Protected は、オーストラリアのパブリック クラウド サービスに適用される最高レベルのセキュリティ評価です。 サービスはゼロ トラストで構築され、転送中と保存中に暗号化されます。

ただし、機密性の高い環境にデプロイされた新しいサービスと同様に、Windows 365を導入するには特定の構成が必要です。 この構成計画ガイドは、機密情報を処理する運用フレームワーク内でのWindows 365のデプロイを成功させるために必要な考慮事項に対処することに専念しています。 このガイダンスでは、Microsoft 365 のセキュリティで保護されたクラウド構成ガイダンスのオーストラリア信号局 (ASD) ブループリントに合わせて、Windows 365サブスクリプション ライセンスと E3 または E5 Microsoft 365 Enterpriseへのアクセスを前提としています。 このガイドは、次のドキュメントで使用することを目的としています。

• Microsoft Protection Security Policy Framework (PSPF) ガイド: PSPF 要件に準拠するために Microsoft 製品を使用する際の規範的なガイダンス。
• Microsoft Essential 8 ガイド: Microsoft 製品を使用して Essential 8 for Maturity Levels 1 から 3 に準拠する場合の規範的なガイダンス。
• オーストラリアの Signals Directorate (ASD) Blueprint for Secure Cloud: ASD Blueprint にリンクし、クラウド ワークスペースを設計、構成、デプロイする際に、ISM と PSPF の要件と共に考慮する組織に実用的なガイダンスを提供します。

Windows 365の計画

Windows 365 Enterprise ドキュメントは、Windows 365クラウドデプロイの包括的なガイドです。 オーストラリアの ASD ブループリントと規制の厳しい業界に合わせて、この記事を Windows 365 Enterprise ドキュメントと共に使用する必要があります。

プロビジョニング ポリシーの設定

Windows 365 ガイダンスのプロビジョニング ポリシーを作成する手順に従い、ASD Blueprint に合わせて次の具体的な手順を実行します。

[全般] タブ

結合の種類の詳細では、可能な限り、Microsoft Entra参加と Microsoft ホストネットワークを選択することをお勧めします。 この選択により、管理の容易さ、セキュリティ、およびシンプルさを組み合わせた最適なエンド ユーザー エクスペリエンスが提供されます。 ネットワークとセキュリティの観点から見ると、この構成では、クラウド PC は、セキュリティで保護された VPN 経由でのみオンプレミスと指定されたプライベート リソースに接続できる分離されたデバイスとして扱われます。

オンプレミスアクセスが必要なクラウド PC ユーザーについては、「Windows 365用の Azure ネットワーク接続を作成する」を参照してください。 2 つのプロビジョニング ポリシーを作成することをお勧めします。1 つは、ハイブリッド参加ユーザーが Information Security Manual (ISM) Protect Principle 11 に従って不要なアクセスを制限するため、もう 1 つはオンプレミス アクセスを必要としないユーザーで、最適なパフォーマンスとセキュリティを確保することです。

ISM には、データの場所の保存に関する必須の要件はありません。 Microsoft では、ユーザーが接続している最も近いリージョンにクラウド PC をプロビジョニングする、最適なエンド ユーザー エクスペリエンスを提供することをお勧めします。 待機時間の長いアプリケーションの場合は、ユーザーまたはバックエンド システムに近いリージョンをターゲットにして、最適なエンド ユーザー エクスペリエンスを確保することもできます。 ASD Blueprint に続く最も一般的なユース ケースでは、ユーザーはオーストラリアに存在します(たとえば、Microsoft Entra Join や Microsoft のホストネットワークなど)。

1. [Geography Australia] を選択します。

2. [ リージョンの自動] を選択します (推奨)

   Windows 365 クラウド PCのプロビジョニングに使用できる他の Azure の地域とリージョンの詳細については、「クラウド PC プロビジョニングでサポートされている地域とリージョン」を参照してください。

3. [Microsoft Entraシングル サインオン (SSO) を使用する] を選択します。 SSO は既定の設定として 有効にする 必要があります。 詳細については、「ID と認証のWindows 365」を参照してください。

4. [次へ] を選択します。

[構成] タブ

Windows の設定

[言語と地域] で、[ 英語 (ニュージーランド)] を選択します。

クラウド PC の名前付け

クラウド PC の名前付けの場合、特定の名前付け規則を持つ必要がない場合は、このボックスをオフのままにすることをお勧めします。 クラウド PC がプロビジョニングされると、Microsoft によって PC 名が自動的に作成されます。 既定の Cloud PC 名のプレフィックスには、 CPCが付いています。

その他のサービス

Microsoft では、Windows 365 Enterprise および Frontline 専用モードに Autopatch を使用することをお勧めします。 これは、エンドポイントの Essential 8 成熟度レベル 3 を達成するためのorganizationを支援します。

Essential 8 のアライン設定で Autopatch を使用する方法の詳細については、「Windows 365の自動パッチを使用した Essential 8 ガイダンス」を参照してください。

[次へ] を選択します。 [ 作成] を選択すると、クラウド PC のプロビジョニングが開始されます。

スコープ タグ、割り当て、およびレビューと作成の残りの手順は、Windows 365のプロビジョニング ポリシー ガイドに従います。

作成を押すと、クラウド PC の プロビジョニングが開始されます。

アプリケーションのWindows 365に関する推奨事項

Windows Appは、Windows 365 クラウド PC、Azure Virtual Desktop、Dev Box などの Microsoft DaaS のいずれかにユーザーが接続するための統合されたエクスペリエンスを提供します。 デスクトップ アクセスは、軽量のインストール可能なクライアントまたは最新の HTML5 ブラウザーを使用して利用できます。

次のWindows Appをダウンロードします。

• windows365.microsoft.com、または
• Microsoft Store アプリとWindows Appを検索します。

Windows App (クライアントまたはブラウザー) を介してクラウド PC デスクトップへのアクセスをさらにセキュリティで保護するために、組織は、承認とコンプライアンスのための条件付きアクセス ポリシー、および/またはデータ ガバナンス用のモバイル アプリケーション管理 (MAM) 構成ポリシーの使用を使用できます。

Windows Appの使用を強制する

windows.cloud.microsoft.com に接続するときにWindows Appの使用を強制するには、ブラウザーを使用してプラットフォームへのアクセスをブロックします。

これらの手順に従うことで、ユーザーがプラットフォームに接続するときにWindows Appを使用する必要Windows 365確認し、セキュリティとコンプライアンスを強化できます。

手順 1: 新しい条件付きアクセス ポリシーを作成する

1. Microsoft Entra 管理 センターにサインインします。
2. [ 保護] に移動し、メニューを展開して追加のオプションを公開し、[ 条件付きアクセス>ポリシー] を選択します。
3. [ + 新しいポリシー ] を選択して、新しい条件付きアクセス ポリシーを作成します。
4. ポリシーのわかりやすい名前を指定します (省略可能)。

手順 2: ポリシーをユーザーに割り当てる

1. [ 割り当て] で、 ユーザーとグループを選択します。
2. ユーザーとグループを有効にし、ポリシーを割り当てるEntra ID グループを選択します。
3. [完了] を選択します。

手順 3: リソースを対象とする

1. [ターゲット リソース (正式にはクラウド アプリ)]>[リソースの選択] に移動します。
2. 編集フィルター は既定のままである必要があります。
3. [Select>apps and search for Windows 365 (GUID 0af06dc6-e4b5-4f28-818e-e78e62d137a5) でポリシーに追加します。

手順 4: 条件を構成する

1. 前の手順と同じ領域で、[ 条件] に移動します。
2. [ デバイス プラットフォーム>構成] を選択し、[ Android、 iOS、 Windows、 macOS] を選択します。
3. [ クライアント アプリ>構成] を選択し、[ブラウザー] を選択 します

手順 5: ポリシーを適用する

1. [ アクセス制御>Grant>Block Access>Select
2. ポリシーを完了して適用するには、[オン] を選択 します。

Intune で推奨されるブループリント設定

Windows 365 セキュリティ ベースライン

Windows 365 セキュリティ ベースラインを Microsoft Intune 管理センターに展開します。詳しい手順については、「セキュリティ ベースラインのWindows 365」を参照してください。

クラウド PC の RDP デバイス リダイレクトを管理します

Intune リモート デスクトップ プロトコル (RDP) リダイレクト設定は、ユーザーがクラウド PC にアクセスする方法と、組織およびエンド ユーザーの要件に合わせて調整できるアクセス権を持つ特定の機能を決定します。

デバイス リダイレクトには、使用されているクライアント エンドポイント OS に応じて、いくつかの違いがあります。 エンドポイント間の機能の比較の詳細については、「プラットフォームとデバイス間のリモート デスクトップ アプリ機能の比較」を参照してください。

一般的な RDP の例

このセクションには、政府機関の一般的なクラウド PC ユース ケースのテンプレート化された RDP デバイス リダイレクトの例が含まれています。 これらの設定を出発点として使用し、組織のニーズに合わせて調整します。

例 1: 組織の管理対象デバイスからの企業ユーザー

企業ユーザーが組織の管理対象デバイスからログオンしている場合は、クラウド PC が既存の企業構成を継承することをお勧めします。

例 2: 請負業者 BYOD

政府設定の一般的なユース ケースは、Bring Your Own Device (BYOD) コントラクターユース ケースのユース ケースで一般的に使用される RDP デバイス リダイレクトを請負業者にクラウド PC を提供することです。

例 3: セキュリティで保護されたエンクレーブ

セキュリティで保護されたエンクレーブは、通常、主要なorganizationが処理するものよりも高い分類データ用に設計された小規模で別個の組織です。 これにより、クリアランスが高く、知る必要がある個人がこのデータにアクセスできるようになります。

例 4: ジャンプ ホスト

ジャンプ ホストを通じて行われる管理アクティビティは、ISM 1387 (ML 2 および 3) で許容されます。 クラウド PC は、ジャンプ ホストを実現するためのシンプルで効果的な方法です。