HoloLens 2 のセキュリティ ベースライン

この記事では、Configuration Service Providers (CSP) を使用して HoloLens 2 で構成できるさまざまなセキュリティ ベースライン設定の一覧と説明を示します。 Microsoft Endpoint Manager (正式には Microsoft Intune) を使用したモバイル デバイス管理の一環として、組織のポリシーとニーズに応じて、次の標準または高度なセキュリティ ベースライン設定を使用します。 これらのセキュリティ ベースライン設定を使用して、組織のリソースを保護します。

• 標準的なセキュリティ ベースライン設定は、ユース ケース シナリオや業界の業種に関係なく、すべての種類のユーザーに適用されます。
• セキュリティ ベースラインの詳細設定は、環境の厳密なセキュリティ制御を持ち、その環境で使用されるデバイスに対して厳格なセキュリティ ポリシーを必要とするユーザーに推奨される設定です。

これらのセキュリティ ベースライン設定は、さまざまな業界のお客様への HoloLens 2 デバイスの展開とサポートで得られた Microsoft のベスト プラクティス ガイドラインと経験に基づいています。

セキュリティ ベースラインを確認し、その両方または一部を使用することを決定したら、これらのセキュリティベースラインを有効にする方法 確認

1. 標準のセキュリティ ベースライン設定

次のセクションでは、標準のセキュリティ ベースライン プロファイルの一部として各 CSP の推奨設定について説明します。

1.1 ポリシー CSP

1.2 ClientCertificateInstall CSP

ベスト プラクティスとしてこの CSP を構成することをお勧めしますが、この CSP の各ノードの特定の値に関する推奨事項はありません。

1.3 PassportForWork CSP

1.4 RootCATrustedCertificates CSP

ベスト プラクティスとして、この CSP のルート、CA、TrustedPublisher、TrustedPeople ノード 構成することをお勧めしますが、この CSP 内の各ノードの特定の値はお勧めしません。

1.5 TenantLockdown CSP

1.6 VPNv2 CSP

ベスト プラクティスとしてこの CSP を構成することをお勧めしますが、この CSP の各ノードの特定の値に関する推奨事項はありません。 ほとんどの設定は、お客様の環境に関連しています。

1.7 WiFi CSP

ベスト プラクティスとしてこの CSP を構成することをお勧めしますが、この CSP の各ノードの特定の値に関する推奨事項はありません。 ほとんどの設定は、お客様の環境に関連しています。

2 セキュリティ ベースラインの詳細設定

次のセクションでは、高度なセキュリティ ベースライン プロファイルの一部として各 CSP の推奨設定について説明します。

2.1 ポリシー CSP

2.2 AccountManagement CSP

2.3 ApplicationControl CSP

2.4 ClientCertificateInstall CSP

ベスト プラクティスとしてこの CSP を構成することをお勧めしますが、この CSP の各ノードの特定の値に関する推奨事項はありません。

2.5 PassportForWork CSP

2.6 RootCATrustedCertificates CSP

ベスト プラクティスとして、この CSP のルート、CA、TrustedPublisher、TrustedPeople ノード 構成することをお勧めしますが、この CSP 内の各ノードの特定の値にはお勧めしません。

2.7 TenantLockdown CSP

2.8 VPNv2 CSP

ベスト プラクティスとして VPN プロファイルを構成することをお勧めしますが、この CSP の各ノードに特定の値を設定することはお勧めしません。 ほとんどの設定は、お客様の環境に関連しています。

2.9 WiFi CSP

ベスト プラクティスとして WiFi プロファイルを構成することをお勧めしますが、この CSP の各ノードに固有の値はお勧めしません。 ほとんどの設定は、お客様の環境に関連しています。

これらのセキュリティベースラインを有効にする方法

1. セキュリティ ベースラインを確認し、適用する内容を決定します。
2. ベースラインを割り当てる Azure グループを決定します。 (ユーザーとグループのの詳細)
3. ベースラインを作成します。

ベースラインを作成する方法を次に示します。

設定カタログを使用して設定の多くを追加できますが、設定カタログにまだ設定されていない設定がある場合があります。 そのような場合は、カスタム ポリシーまたは OMA-URI (Open Mobile Alliance - Uniform Resource Identifier) を使用します。 まず、[設定] カタログを調べることから始めます。見つからない場合は、OMA-URI を使用してカスタム ポリシーを作成するための以下の手順に従います。

設定カタログ

MEM 管理センターでアカウントにログインします。

1. デバイス ->構成プロファイル ->+ プロファイルの作成に移動します。 [プラットフォーム] Windows 10 以降のを選択し、プロファイルの種類として [設定カタログ (プレビュー)を選択します。
2. プロファイルの名前を作成し、[次へ] ボタン 選択。
3. [構成設定] 画面で、[+ 設定追加] を選択します。

上記のベースラインのポリシーの名前を使用して、ポリシーを検索できます。 設定カタログでは名前が空白になるため、"Accounts/AllowMicrosoftAccountConnection" を見つけるには、"Microsoft アカウント接続を許可する" を検索する必要があります。 検索すると、ポリシーの一覧が、このポリシーを持つ CSP のみに縮小されます。 アカウント (または現在検索しているものに関連する CSP) を選択すると、以下のポリシー結果が表示されます。 ポリシーのチェック ボックスをオンにします。

完了すると、左側のパネルに CSP カテゴリと追加した設定が追加されます。 ここから、既定の設定からセキュリティで保護された設定に構成できます。

同じプロファイルに複数の構成を引き続き追加できるため、一度に割り当てやすくなります。

カスタム OMA-URI ポリシーの追加

一部のポリシーは、[設定] カタログではまだ使用できない場合があります。 これらのポリシーでは、カスタム OMA-URI プロファイルを作成 必要があります。MEM 管理センターでアカウントにログインします。

1. デバイス ->構成プロファイル ->+ プロファイルの作成に移動します。 [プラットフォーム] で、Windows 10 以降 を選択し、プロファイルの種類として [テンプレート] を選択し、[カスタム選択します。
2. プロファイルの名前を作成し、[次へ] ボタン 選択。
3. [ の追加] ボタンを選択します。

いくつかのフィールドに入力する必要があります。

• 名前を付けます。ポリシーに関連して必要な名前を付ける場合があります。 これを認識するために使用する短縮名を指定できます。
• 必要に応じて、詳細な説明が表示されます。
• OMA-URI は、ポリシーが存在する完全な OMA-URI 文字列になります。 例: ./Vendor/MSFT/Policy/Config/MixedReality/AADGroupMembershipCacheValidityInDays
• データ型は、このポリシーが受け入れる値の型です。 この例では、0 から 60 までの数値であるため、[整数] が選択されています。
• データ型を選択すると、フィールドに必要な値を書き出したり、アップロードしたりできるようになります。

完了すると、ポリシーがメイン ウィンドウに追加されます。 すべてのカスタム ポリシーを同じカスタム構成に引き続き追加できます。 これにより、複数のデバイス構成の管理を減らし、割り当てが容易になります。