Windows 365 Enterprise 클라우드 PC 검토

디지털 포렌식 관련 요청의 일환으로 클라우드 PC의 스냅샷을 내외부 조사관에게 제공하라는 요청을 받을 수 있습니다. 클라우드 PC를 검토하면 클라우드 PC의 스냅샷을 Azure Storage 계정에 저장합니다. 여기서 조사관에게 해당 스냅샷을 넘길 수 있습니다.

요구 사항

클라우드 PC를 검토하려면 다음 조건을 충족해야 합니다.

• Windows 365 Enterprise 라이선스.
• 동일한 테넌트에서 Azure Storage 계정은 다음 섹션의 요구 사항에 따라 설정됩니다.

Azure Storage 계정 설정

클라우드 PC를 검토하려면 먼저 클라우드 PC와 동일한 테넌트에서 Azure Storage 계정이 있어야 합니다. 요구를 충족하는 계정 유형을 확인하기 위한 자세한 내용은 스토리지 계정 개요를 참조하세요. 클라우드 PC 감사를 위한 전용 액세스 제어를 사용하여 전용 스토리지 계정을 만들어 유지 관리하는 것이 좋습니다. 클라우드 PC를 검토 중인 프로세스의 일부로 Windows 365 Azure Storage 계정에 대한 Storage 계정 기여자 및 Storage Blob 데이터 기여자 역할이 필요합니다.

1. 선택한 Azure 구독에서 스토리지 계정을 만듭니다. 계정을 만들려면 PowerShell, Azure CLI, Azure 리소스 관리자 템플릿 또는 Azure Portal을 사용하면 됩니다.

2. 다음 설정을 사용하여 스토리지 계정을 구성합니다. - 인스턴스 세부 정보 - 지역: 성능을 위해 제안된 클라우드 PC와 동일한 지역입니다. 어떤 지역에 대한 제한은 없습니다. - 성능: 프리미엄(핫 액세스 계층 지원) 또는 Standard(모든 액세스 계층 지원). - 프리미엄 계정 유형: 페이지 Blob - 보안 - 최소 TLS 버전: 버전 1.2. - Blob 익명 액세스 허용 이 비활성화되어 있는지 확인합니다(기본값). - 스토리지 계정 키 액세스 사용을 사용하지 않도록 설정합니다. - 네트워킹 - 네트워크 액세스: 모든 네트워크에서 공용 액세스 사용

   선택 사항: 변경할 수 없는 스토리지에 복사된 스토리지 계정을 복사하려면 다음 필드를 설정합니다.

   • Blob에 버전 관리 사용을 선택합니다.
     • 버전 수준 불변성 지원 사용을 선택합니다.
     • 프리미엄성능 옵션을 선택하면 ZRS(영역 중복 스토리지)도 선택해야 합니다. LRS(로컬 중복 스토리지)는 지원되는 변경할 수 없는 스토리지 옵션이 아닙니다.

   스토리지 계정을 만든 후에는 잠금 정책을 적용해야 합니다. 불변성을 위해 Azure Blob Storage 구성하고 SEC 규칙 17a-4와 같은 규정을 준수하는 방법에 대한 자세한 내용은 Azure - Cohasset 평가 - WORM Storage(2024) 보고서를 참조하세요.

   지원되지 않음: 복사 작업에 대한 허용 scope 설정합니다. 스토리지 계정에서 대상 계정으로 복사할 수 있도록 하려면 기본값인 (null)이어야 합니다.

3. blob 데이터에 액세스하는 Azure 역할을 할당합니다. Windows 365 서비스에서 클라우드 PC를 검토하는 데 필요한 최소 권한은 스토리지 계정 기여자 및 스토리지 Blob 데이터 기여자입니다. 테넌트가 프로비전된 시기에 따라 RBAC에 대한 Windows 365 서비스의 ID가 Windows 365 나열되는 반면 이전 테넌트는 클라우드 PC를 표시할 수 있습니다.

클라우드 PC 검토

이전 섹션에서 설명한 대로 권한이 있는 Azure Storage 계정을 설정한 후 다음 단계를 사용하여 클라우드 PC를 검토할 수 있습니다.

1. Microsoft Intune 관리 센터에 로그인하고 디바이스>모든 디바이스에서 디바이스> 선택을 선택합니다.

2. 타원 선택(...) >클라우드 PC를 검토 중입니다.

3. Windows 365 서비스에 Storage 계정기여자 및 Storage Blob 데이터 기여자 권한이 부여된 구독, 스토리지 계정 및 액세스 계층(보관 비용이 가장 적은 반면 핫 비용)을 선택합니다.

   가상 머신에서 핫 계층 페이지 Blob만 탑재할 수 있습니다. 다른 모든 계층은 블록 Blob이며, 가상 머신에 디스크를 탑재해야 하는 경우 페이지 Blob으로 변환해야 합니다. 보관 계층은 오프라인 계층이므로 페이지 Blob으로 변환하기 전에 온라인 계층으로 리하일레이션이 필요합니다.

   Standard 성능 스토리지 계정 계층: Standard 성능 스토리지 계정의 경우 Windows 365 스토리지 계정으로 복사되는 Blob의 계층은 다른 계층일 수 있습니다. 핫 계층 스토리지 계정을 설정하는 경우 다른 개체는 기본적으로 핫이 됩니다. 그러나 검토 중인 클라우드 PC를 쿨, 콜드 또는 보관으로 설정할 수 있습니다.

   프리미엄 성능 스토리지 계정 계층: 프리미엄 성능은 항상 핫 계층 스토리지 계정입니다. 프리미엄 성능 스토리지 계정에는 액세스 계층에 대한 드롭다운 메뉴가 무시됩니다.

4. 검토 중 액세스에서 선택한 경우

• 액세스를 차단하면 사용자가 클라우드 PC에 액세스할 수 없도록 클라우드 PC의 전원이 즉시 꺼지고 스냅샷 만들어집니다. 이 옵션은 클라우드 PC를 종료한 다음 나중에 격리된 환경에서 스냅샷 분석을 수행하여 보안 위협을 포함하려는 경우에 유용합니다.

  • 액세스 허용 클라우드 PC 사용자는 스토리지 계정에 스냅샷 만들 때도 클라우드 PC를 계속 사용할 수 있습니다.

    

5. 검토하기를 선택합니다. 클라우드 PC 및 스토리지 계정 대상 지역의 디스크 크기에 따라 각 스냅샷 스토리지 계정에 저장할 수 있는 시간(분)에서 몇 시간까지 다양할 수 있습니다. 예를 들어 동일한 Azure 지역의 스토리지 계정에 대해 128GB의 디스크 데이터당 최대 1시간 이상이 걸릴 수 있습니다.

스냅샷 변조를 방지하려면 스토리지 계정에 저장된 스냅샷 파일 해시를 만들어야 합니다. 파일 해시를 만드는 한 가지 방법은 Get-FileHash cmdlet을 사용하는 것입니다. 최상의 성능을 위해 다음 중 하나에 대해 Get-FileHash cmdlet을 실행해야 합니다.

• 다운로드한 파일의 복사본
• 동일한 Azure 지역에 있는 리소스에서 Azure Storage 계정의 스냅샷

클라우드 PC 검토 해제

Microsoft Intune 관리 센터에 로그인하고 디바이스>모든 디바이스>에서 디바이스 > 선택...을 선택합니다.>검토에서 제거합니다.

대량 작업

Intune의 대량 장치 작업을 사용하여 여러 클라우드 PC를 동시에 검토할 수도 있습니다. 자세한 정보는 대량 장치 작업 사용을 참조하세요.

API를 사용하여 관리

Graph API 사용하여 검토에서 클라우드 PC를 배치하거나 제거할 수 있습니다. 자세한 내용은 managedDevice: setCloudPcReviewStatus를 참조하세요.

다음 단계

디지털 포렌식과 클라우드 PC에 대해 자세히 알아보기