セキュリティで保護されたコア サーバーを構成する

ユーザー インターフェイスを使用して、セキュリティで保護されたコア サーバーを有効にする方法を次に示します。

1. From the Windows desktop, open the Start menu, select Windows Administrative Tools, open Computer Management.
2. In Computer management, select Device Manager, resolve any device error if necessary.
   1. AMD ベースのシステムの場合は、続行する前に DRTM ブート ドライバー デバイスが存在することを確認します
3. From Windows desktop, open the Start menu, select Windows Security.
4. デバイス セキュリティ コア分離の詳細を選択し、メモリ整合性 とファームウェア保護有効にします。 ファームウェア保護を最初に有効にしてサーバーを再起動するまで、メモリの整合性を有効にできない場合があります。
5. メッセージが表示されたら、サーバーを再起動します。

サーバーが再起動されると、サーバーはセキュリティで保護されたコア サーバーに対して有効になります。

Windows Admin Center を使用して、セキュリティで保護されたコア サーバーを有効にする方法を次に示します。

1. Windows Admin Center ポータルにサインインします。
2. 接続先のサーバーを選択します。
3. Select Security using the left-hand panel, then select the Secured-core tab.
4. Check the Security Features with a status of Not configured, then select Enable.
5. 通知が表示されたら、[システムの再起動 をスケジュールする] を選択して変更を保持します。
6. Select either the Restart immediately or Schedule restart at a time suitable for your workload.

サーバーが再起動されると、サーバーはセキュリティで保護されたコア サーバーに対して有効になります。

グループ ポリシーを使用して、ドメイン メンバーに対してセキュリティで保護されたコア サーバーを有効にする方法を次に示します。

1. グループ ポリシー管理コンソールを開き、サーバーに適用されるポリシーを作成または編集します。

2. コンソール ツリーで、コンピューター構成 > 管理用テンプレート > システム > デバイス ガードを選択します。

3. この設定では、[仮想化ベースのセキュリティを有効にする] を右クリックして、[編集] を選択します。

4. Select Enabled, from the drop down menus select the following:

   1. プラットフォーム セキュリティ レベル セキュア ブートと DMA 保護 を選択します。
   2. 仮想化ベースのコード整合性保護には、[ロックなしで有効] または [UEFIロックありで有効] を選択します。
   3. Select Enabled for the Secure Launch Configuration.

   Caution

   仮想化ベースのコード整合性の保護に対して UEFI ロック で有効 を使用する場合は、リモートで無効にすることはできません。 To disable the feature, you must set the Group Policy to Disabled as well as remove the security functionality from each computer, with a physically present user, in order to clear configuration persisted in UEFI.

5. Select OK to complete the configuration.

6. サーバーを再起動してグループ ポリシーを適用します。

サーバーが再起動されると、サーバーはセキュリティで保護されたコア サーバーに対して有効になります。

セキュリティで保護されたコア サーバーがユーザー インターフェイスを使用して構成されていることを確認する方法を次に示します。

1. From the Windows desktop, open the Start menu, type msinfo32.exe to open System Information. [システムの概要] ページで、次の内容を確認します。

   1. [セキュア ブートの状態] と [カーネル DMA 保護] がオンになっていること。

   2. Virtualization-based security is Running.

   3. 仮想化ベースのセキュリティサービスは、 実行中に、ハイパーバイザーによって強制されるコード整合性 と セキュアローンチを示します。

      

セキュリティで保護されたコア サーバーが Windows Admin Center を使用して構成されていることを確認する方法を次に示します。

1. Windows Admin Center ポータルにサインインします。

2. 接続先のサーバーを選択します。

3. Select Security using the left-hand panel, then select the Secured-core tab.

4. Check the all Security Features have a status of Configured.

   

グループ ポリシーがサーバーに適用されていることを確認するには、管理者特権のコマンド プロンプトから次のコマンドを実行します。

gpresult /SCOPE COMPUTER /R /V

出力で、[管理用テンプレート] セクションで Device Guard の設定が適用されていることを確認します。 次の例は、設定が適用されたときの出力を示しています。

        Administrative Templates
        ------------------------
            GPO: Local Group Policy
                Folder Id: SOFTWARE\Policies\Microsoft\Windows\DeviceGuard\LsaCfgFlags
                Value:       3, 0, 0, 0
                State:       Enabled

            GPO: Local Group Policy
                Folder Id: SOFTWARE\Policies\Microsoft\Windows\DeviceGuard\RequirePlatformSecurityFeatures
                Value:       3, 0, 0, 0
                State:       Enabled

            GPO: Local Group Policy
                Folder Id: SOFTWARE\Policies\Microsoft\Windows\DeviceGuard\EnableVirtualizationBasedSecurity
                Value:       1, 0, 0, 0
                State:       Enabled

            GPO: Local Group Policy
                Folder Id: SOFTWARE\Policies\Microsoft\Windows\DeviceGuard\HypervisorEnforcedCodeIntegrity
                Value:       2, 0, 0, 0
                State:       Enabled

            GPO: Local Group Policy
                Folder Id: SOFTWARE\Policies\Microsoft\Windows\DeviceGuard\HVCIMATRequired
                Value:       0, 0, 0, 0
                State:       Enabled

            GPO: Local Group Policy
                Folder Id: SOFTWARE\Policies\Microsoft\Windows\DeviceGuard\ConfigureSystemGuardLaunch
                Value:       1, 0, 0, 0
                State:       Enabled

手順に従って、セキュリティで保護されたコア サーバーが構成されていることを確認します。

1. From the Windows desktop, open the Start menu, type msinfo32.exe to open System Information. [システムの概要] ページで、次の内容を確認します。

   1. [セキュア ブートの状態] と [カーネル DMA 保護] がオンになっていること。

   2. Virtualization-based security is Running.

   3. 仮想化ベースのセキュリティサービスは、 実行中に、ハイパーバイザーによって強制されるコード整合性 と セキュアローンチを示します。