ベースラインの使用

ベースラインを使用して Windows デスクトップデバイスの安全性を維持します。Workspace ONE UEM は、業界推奨の設定を 1 つの構成にキュレートして、デバイスのセキュリティ保護を簡略化します。

デバイスの構成を継続的にベストプラクティスに準拠させるには、時間がかかります。Workspace ONE UEM では、ベストプラクティスと業界推奨の設定をベースラインと呼ばれる構成にキュレートします。これらの構成により、Windows デバイスのセットアップと構成にかかる時間が大幅に短縮されます。

クラウドベースのマイクロサービス

ベースラインは、ポリシーカタログを処理するクラウドベースのマイクロサービスを使用します。オンプレミスのお客様の場合は、お使いの環境がマイクロサービスと通信できることを確認します。

ベースラインはデバイスサービスに常時接続する必要がある

ベースラインを使用するすべての加入済み Windows デスクトップデバイスでは、Workspace ONE UEM デバイスサービス (DS) サーバとの接続が中断されないようにする必要があります。デバイスでこの常時接続が必要なのは、ベースラインの状態を最新に保つためです。

プロキシセットアップを使用している場合、または特定のファイアウォール設定を使用している場合、これらの構成によって Windows 10 デバイスと DS サーバ間の接続が中断されることがあります。たとえば、デバイスが VPN または制限されたネットワークを使用してリソースにアクセスする場合、この設定によって DS サーバへの接続が中断されます。これらのデバイスのベースラインは、古くなっている可能性があります。

ベースラインのタイプ

カスタム - 既存のグループポリシーオブジェクト (GPO) のバックアップファイルがある場合は、そのポリシーを使用してカスタムベースラインを作成できます。既存 GPO への追加ポリシーの登録は、カスタムベースラインの作成時に行います。
CIS Windows 10 ベンチマーク - このベースラインは、CIS ベンチマークで提案された構成設定を適用します。ベースラインが最適な設定と構成のみを使用できるように、CIS (Center for Internet Security) は VMware を認定し、Windows 10 用 CIS ベンチマークなどの業界の推奨条件を提供し、簡単で安全なソリューションを実現しています。
Windows 10 セキュリティベースライン - このベースラインは、Microsoft によって提案される構成設定を適用します。

ベースラインは、デバイスの Windows OS バージョンを基にしています。すべてのベースラインの OS バージョンは、編集時に後で変更できます。構成中に、使用するベースラインを選択し、ベースラインポリシーをカスタマイズすることもできます。構成プロセスの一部として、必要な追加のポリシーを追加することもできます。これらのポリシーは、Microsoft ADMX ポリシーです。

ベースラインを割り当てた場合

デバイスを Workspace ONE UEM に加入させると、デバイスをスマートグループに追加し、ベースラインをグループに割り当てることができます。デバイスは、デバイスの再起動後に、ベースラインのすべての設定と構成を受信して適用します。デバイスは、ベースラインの公開時および定義済みの一定間隔のチェック時に、ベースライン構成を確認します。ベースラインをデバイスにプッシュする際に、Workspace ONE UEM はデバイス設定のスナップショットを保存します。[割り当て] ダイアログボックスの [除外] タブを使用して、ベースラインの割り当てを制限できます。割り当てから除外するスマートグループを指定できます。

ベースライン管理

ベースラインは、ベースライン リスト表示で管理できます。ここから、既存のベースラインを編集および削除できます。デバイスにプッシュされたベースラインを削除すると、Workspace ONE UEM によって保存されたスナップショットに基づき、デバイス設定はベースラインが公開される前に戻ります。

デバイス詳細 ページで、デバイスに適用されているベースラインを確認できます。

ベースラインの順守状態

デバイスがベースライン順守状態とともにベースラインに従っていることを確認します。ベースラインの詳細 ページから表示されるベースライン順守状態には、デバイスがいつ順守状態、中間、非順守状態、情報なしになったかが表示されます。ベースライン順守状態は、UI を使用して作成されたベースラインにのみ適用されます。

**注：**ZIP パッケージを使用して作成されたカスタムベースラインの順守状態は表示できません。

中間のデバイスは、85～99% の順守状態です。この値を使用して、デバイスがいつ順守状態からドロップアウトしたかを確認します。[情報なし] 状態は、Workspace ONE UEM console にデバイスの順守サンプルがないことを意味します。ベースラインを開いて再度公開するだけで、サンプルを強制的に実行できます。

ベースラインを作成する

デバイスを業界推奨の設定および構成にするベースラインを作成します。Workspace ONE UEM は、CIS ベンチマークおよび Microsoft の Windows 10 セキュリティベースラインなどの業界の推奨条件にベースライン基づいて、ベースラインを構成します。

前提条件

ベースラインでは、デバイスが Workspace ONE UEM に加入し、Workspace ONE Intelligent Hub をインストールしている必要があります。

カスタムベースラインを公開する場合は、ベースラインを割り当てるすべてのデバイスに LGPO.exe を追加する必要があります。EXE は C:\\ProgramData\\Airwatch\\LGPO\\LGPO.exe でインストールする必要があります。CIS ベンチマークまたは Windows 10 セキュリティベースラインを使用している場合は、このファイルを追加する必要はありません。

手順

[リソース] > [プロファイルとベースライン] > [ベースライン] の順に進み、[新規] を選択します。
[ベースライン名]、[説明] を入力し、ベースラインが [管理元] であるスマートグループを選択します。次へを選択します。

ベースラインを選択します。

設定	説明
CIS Windows 10 ベンチマーク	このベースラインは、CIS ベンチマークにより提案された設定を適用します。適用する OS バージョンとベンチマークレベルを選択します。
Windows 10 セキュリティベースライン	このベースラインは、Microsoft が提案した設定を適用します。適用する OS バージョンとベンチマークレベルを選択します。
カスタムベースライン	GPO バックアップを使用して ZIP ファイルをアップロードします。このベースラインは、Workspace ONE UEM の外部に作成する必要があります。少なくとも 1 つの GPO フォルダがある場合、バックアップは 5 MB 未満である必要があります。

次へを選択します。
必要に応じてベースラインをカスタマイズします。ベースラインで構成されている既存の ADMX ポリシーは変更できます。カスタムベースラインを GPO ベースラインから作成する場合は、既存の ADMX ポリシーをカスタマイズすることはできません。

ユーザー権限の ADMX ポリシーを作成するときに、SID を使用していることを確認します。詳細については、Windows オペレーティングシステムでの既知のセキュリティ識別子を参照してください。
次へを選択します。
ベースラインに追加のポリシーを追加します。これらのポリシーは、Microsoft ADMX ファイルから取得します。追加するポリシーを検索し、ポリシーを構成します。
次へを選択します。
概要を確認し、保存して割り当て を選択します。概要には、カスタマイズまたは追加されたポリシーがすべて含まれます。
割り当て中に、ベースラインの割り当て先の Windows 10 デバイスを含んでいるスマートグループを入力します。除外タブを使用して、ベースラインを取得するデバイスを再定義できます。割り当てから除外するスマートグループを入力します。

除外は割り当てをオーバーライドします。除外したスマートグループにあるデバイスは、ベースラインを受け取りません。以前の割り当てのベースラインがそのデバイスにすでに存在する場合、そのベースラインはデバイスから削除されます。

結果

Workspace ONE UEM は、スマートグループ内のすべてのデバイス（除外したスマートグループにあるデバイスを除く）にベースラインを割り当てます。

次に行うこと

ベースラインを有効にするには、デバイスを再起動する必要があります。