Windows Autopilotの注意点とセキュリティベースラインの利用

今回は「Windows Autopilotの注意点とセキュリティベースラインの利用」についてご紹介します。

関連ワード (モバイル、新潮流Device as a Serviceの世界等) についても参考にしながら、ぜひ本記事について議論していってくださいね。

本記事は、ZDNet Japan様で掲載されている内容を参考にしておりますので、より詳しく内容を知りたい方は、ページ下の元記事リンクより参照ください。


 前回は、PCの展開手法「Windows Autopilot」を導入時に課題となりやすい「HW-ID(ハードウェアアイディ)」の運用について解説しましたが、そもそも現状のPC運用をしている人たちがWindows Autopilotへスムーズに移行できるのでしょうか。私の答えは、正直「No」です。

 移行できる企業は簡単でしょうが、できない企業が多数派だと思わざるを得ません。その理由は、多くの企業がオンプレミスの「Active Directory(以下、オンプレAD)」を運用しているからです。

 オンプレADを運用している従来の環境では、PCをオンプレADのドメインに参加させて、管理していることが多いでしょう。オンプレADに参加することで、オンプレADのユーザー(ドメインユーザー)でPCにサインインすることができ、ファイルサーバーなどにシングルサインオン(Windowsのサインインとは別に、IDとパスワードを入力しない)ができます。

 また、企業のPCとして、オンプレADのグループポリシーでコンプライアンスやセキュリティ、ガバナンスのために制約をかけていることも多いと思います。Windows AutopilotでセットアップされたPCは、クラウドの「Azure AD」に参加することになります。基本的には、オンプレADに参加しないことになりますので、従来型の認証やグループポリシーによる制限が機能しなくなる可能性があります。

 認証については、オンプレADでシングルサインオンしているのがファイルサーバーのみなら、Azure ADとオンプレADを「Azure AD Connect」で同期させることで問題が起きません。オンプレADに参加していなくても同期しているAzure ADに参加すれば、オンプレADと参加している時と同じようにシングルサインオンが機能します。なお、多要素認証では、一部制約が発生する可能性があるので、確認が必要です。

 それ以外に、オンプレADのドメイン参加資格を用いた認証を行っている場合は、それぞれ確認が必要です。単純にオンプレADのIDとパスワードで認証しているだけならあまり問題になることはないでしょう。(都度IDとパスワードを聞かれるウェブサーバーなど)シングルサインイン環境やVPN(仮想閉域網)などでは、Azure ADと同期しているだけでは、オンプレADのドメイン参加資格を用いた認証がうまく機能しなくなる可能性があります。

 またグループポリシーについては、「Microsoft Intune」などのモバイル端末管理(MDM)への移行が求められます。そもそもAzure ADは、オンプレADの機能全てをクラウドに持っていくような思想ではありません。オンプレADは、“Microsoftワールド”のような発想で開発された代物です。オンプレAD一つで、企業のPC管理を全部やってしまおうというものです。これ対してAzure ADは、昨今の一般的なゼロトラストセキュリティを実現するIDaaSとして開発されています。オンプレADが行っていたグループポリシーによる制御のような機能は、それに代わるMDMに任せることになり、Azure ADの機能ではありません。Microsoftの場合は、Intuneがそれになります。

 Windows Autopilotというのは、その名前からPCをセットアップする手段だと思われがちですが、実のところAzure ADへの強制参加という機能に過ぎません。Azure ADに参加されたPCは、既定のMDM(デフォルトでは、Intune)に登録され、そのMDMから自動セットアップが行われ、以後の企業としての制限もMDMから行われます。そのため、企業PCとしての制限をオンプレADで行っていたとすると、同じことをWindows Autopilotでするには、その設定をIntuneへ移行する必要があります。

 これは、結構骨が折れる作業です。オンプレADの運用を10~20年やっているという企業は、少なくありません。このような長期間の運用の中で、「なぜ、この設定をしているのか」「そもそも必要なのか」と思われるようなことが少なからずあるはずです。意図が不明な設定含めてIntuneへ移行するとなると、その作業は膨大になります。少し前までのIntuneは機能不足で、オンプレADのグループポリシーで可能なことができないということもありました。しかし今は、ほとんどのケースでIntuneが対応できないということはなくなっています。

 とはいえ、オンプレADの時代と今のクラウドネイティブな時代では、セキュリティやコンプライアンス、ガバナンスの考え方は全然違うものになっています。そもそも10~20年前のポリシーをそのまま再構築するべきでしょうか。言わずもがな、それは労力がかかるだけで、あまりに意味のないことです。

COMMENTS


Recommended

TITLE
CATEGORY
DATE
Uberがコロナ禍後を見すえてワクチン予約やレンタカーデリバリーなど新サービスを発表
シェアリングエコノミー
2021-04-30 01:36
「Linux」で複数のコマンドをパイプでつなぐには
IT関連
2023-07-28 14:48
「コンテンツクラウド」を前面に押し出したBox CEOの思惑とは
IT関連
2022-05-07 16:33
日本マイクロソフトに求めたい「生成AIサービスの国内利用社数の公表継続」
IT関連
2024-03-30 15:54
新型コロナ対策用のCO2センサー、5000円以下の12機種中8機種が反応せず 電通大が検証
科学・テクノロジー
2021-08-12 11:23
Waymo Viaがテキサス、アリゾナ、カリフォルニア州で自動運転トラックのオペレーションを拡大中
IT関連
2021-08-20 05:12
DXの成功はまず業務改革から–ガートナーが見解
IT関連
2024-04-10 22:45
ガートナー、ローコード開発ツールの選定で事前に考慮すべき3つの提言
IT関連
2022-12-02 13:47
テスラが荒らしも多かったフォーラムを閉鎖しファンは不満、ソーシャルプラットフォームを新設
モビリティ
2021-03-08 07:45
ワークデイに聞く、「デジタルアジリティー」のある組織とは
IT関連
2021-01-21 01:35
スイス各都市で感じるイノベーションの風–文化を守り、最新技術で成長
IT関連
2023-12-26 14:16
日経平均がTOPIXより弱い2つの理由–値がさ株と日銀ETF買い撤廃
IT関連
2021-07-19 07:22
コニカミノルタ、グループ全体の管理会計プロセスにSaaS型プラン二ング基盤を活用
IT関連
2023-05-26 04:31
マカフィー、ディープフェイク音声を自動で検知するツールをリリース
IT関連
2024-08-23 22:44