Windows Autopilotの注意点とセキュリティベースラインの利用

今回は「Windows Autopilotの注意点とセキュリティベースラインの利用」についてご紹介します。

関連ワード (モバイル、新潮流Device as a Serviceの世界等) についても参考にしながら、ぜひ本記事について議論していってくださいね。

本記事は、ZDNet Japan様で掲載されている内容を参考にしておりますので、より詳しく内容を知りたい方は、ページ下の元記事リンクより参照ください。


 前回は、PCの展開手法「Windows Autopilot」を導入時に課題となりやすい「HW-ID(ハードウェアアイディ)」の運用について解説しましたが、そもそも現状のPC運用をしている人たちがWindows Autopilotへスムーズに移行できるのでしょうか。私の答えは、正直「No」です。

 移行できる企業は簡単でしょうが、できない企業が多数派だと思わざるを得ません。その理由は、多くの企業がオンプレミスの「Active Directory(以下、オンプレAD)」を運用しているからです。

 オンプレADを運用している従来の環境では、PCをオンプレADのドメインに参加させて、管理していることが多いでしょう。オンプレADに参加することで、オンプレADのユーザー(ドメインユーザー)でPCにサインインすることができ、ファイルサーバーなどにシングルサインオン(Windowsのサインインとは別に、IDとパスワードを入力しない)ができます。

 また、企業のPCとして、オンプレADのグループポリシーでコンプライアンスやセキュリティ、ガバナンスのために制約をかけていることも多いと思います。Windows AutopilotでセットアップされたPCは、クラウドの「Azure AD」に参加することになります。基本的には、オンプレADに参加しないことになりますので、従来型の認証やグループポリシーによる制限が機能しなくなる可能性があります。

 認証については、オンプレADでシングルサインオンしているのがファイルサーバーのみなら、Azure ADとオンプレADを「Azure AD Connect」で同期させることで問題が起きません。オンプレADに参加していなくても同期しているAzure ADに参加すれば、オンプレADと参加している時と同じようにシングルサインオンが機能します。なお、多要素認証では、一部制約が発生する可能性があるので、確認が必要です。

 それ以外に、オンプレADのドメイン参加資格を用いた認証を行っている場合は、それぞれ確認が必要です。単純にオンプレADのIDとパスワードで認証しているだけならあまり問題になることはないでしょう。(都度IDとパスワードを聞かれるウェブサーバーなど)シングルサインイン環境やVPN(仮想閉域網)などでは、Azure ADと同期しているだけでは、オンプレADのドメイン参加資格を用いた認証がうまく機能しなくなる可能性があります。

 またグループポリシーについては、「Microsoft Intune」などのモバイル端末管理(MDM)への移行が求められます。そもそもAzure ADは、オンプレADの機能全てをクラウドに持っていくような思想ではありません。オンプレADは、“Microsoftワールド”のような発想で開発された代物です。オンプレAD一つで、企業のPC管理を全部やってしまおうというものです。これ対してAzure ADは、昨今の一般的なゼロトラストセキュリティを実現するIDaaSとして開発されています。オンプレADが行っていたグループポリシーによる制御のような機能は、それに代わるMDMに任せることになり、Azure ADの機能ではありません。Microsoftの場合は、Intuneがそれになります。

 Windows Autopilotというのは、その名前からPCをセットアップする手段だと思われがちですが、実のところAzure ADへの強制参加という機能に過ぎません。Azure ADに参加されたPCは、既定のMDM(デフォルトでは、Intune)に登録され、そのMDMから自動セットアップが行われ、以後の企業としての制限もMDMから行われます。そのため、企業PCとしての制限をオンプレADで行っていたとすると、同じことをWindows Autopilotでするには、その設定をIntuneへ移行する必要があります。

 これは、結構骨が折れる作業です。オンプレADの運用を10~20年やっているという企業は、少なくありません。このような長期間の運用の中で、「なぜ、この設定をしているのか」「そもそも必要なのか」と思われるようなことが少なからずあるはずです。意図が不明な設定含めてIntuneへ移行するとなると、その作業は膨大になります。少し前までのIntuneは機能不足で、オンプレADのグループポリシーで可能なことができないということもありました。しかし今は、ほとんどのケースでIntuneが対応できないということはなくなっています。

 とはいえ、オンプレADの時代と今のクラウドネイティブな時代では、セキュリティやコンプライアンス、ガバナンスの考え方は全然違うものになっています。そもそも10~20年前のポリシーをそのまま再構築するべきでしょうか。言わずもがな、それは労力がかかるだけで、あまりに意味のないことです。

COMMENTS


Recommended

TITLE
CATEGORY
DATE
「Microsoft Defender for Cloud」がGoogle Cloud Platformに対応
IT関連
2022-03-01 03:13
地球温暖化がいよいよ「赤信号」、国連IPCCが報告書で警告
EnviroTech
2021-08-11 04:54
メッシ、契約金の一部を暗号資産で受け取り 移籍先の仏サッカークラブが発表
ネットトピック
2021-08-14 14:49
日本マイクロソフト、対話型AIでセキュリティ運用を支援する「Security Copilot」の利点を訴求
IT関連
2023-04-22 22:55
横川電機、製造業のDXを支援する新会社「横河デジタル」を設立
IT関連
2022-07-02 05:29
三菱電機がCartkenの自律走行ロボットを使った配送サービスの実証実験をイオンモールで開始
IT関連
2022-01-25 09:09
「Windows 10」タスクバーにニュース、天気、交通状況–マイクロソフトが新プレビュー披露
IT関連
2021-01-15 10:55
自動化で開発がもっと自由に–オラクルCTO・エリソン氏が生成AIに見る未来
IT関連
2023-09-23 06:12
IT運用担当者はキャリアパスに不安–スキル獲得機会の欠如や待遇・評価面に不満
IT関連
2023-09-15 23:38
ICT集積地アイルランドにおけるIoT事情–前編
IT関連
2022-07-08 01:38
New Relic、「New Relic IAST」のパブリックプレビュー版を提供
IT関連
2023-09-01 09:17
ECサイト「au WALLET Market」終了 「au PAY マーケット」に引き継ぎ
企業・業界動向
2021-04-22 15:18
グーグル、対話型AIや言語モデルの精度向上へ–最新技術をテストできる「AI Test Kitchen」
IT関連
2022-05-13 05:20
Yazawa Ventures、女性起業家向けインキュベーションプログラム「アントレジェネレーター」採択企業発表
IT関連
2022-01-19 00:01