Windows 10 Fall Creators Updateの法人向け新機能
企業でのWindows 10大規模展開を楽にする「AutoPilot」とは
2017年11月06日 12時00分更新
日本マイクロソフトは2017年11月1日に開催したMicrosoft 365 Businessの発表会の場で、Windows 10の法人向け機能の強化について説明した。Windows Defender Application GuardやWindows AutoPilotなど、企業内のIT管理負担を軽減し、セキュリティを担保する各機能の概要を紹介する。
Windows 10 Fall Creators Updateで新規もしくは改善した法人向け機能
コンテナ型仮想化で保護する「Windows Defender Application Guard」
既報のとおり、「Microsoft 365 Business」は、Windows 10 Proライセンスを内包する法人向けパッケージだ。Windows 7/8/8.1からWindows 10へのアップデート権を含み、保有する法人Windowsライセンスのエディション種別に関わらず最上位版の「Microsoft 365 Enterprise」を契約するとWindows 10 Enterpriseライセンスに切り替わる仕組みだ。
直近の大型アップデート（10月17日リリース）であるWindows 10 Fall Creators Updateでは、法人向けにも多数の新機能が加わった。例えば、「Windows Defender」ブランドで統一したセキュリティ機能や、クラウドと連携してOSを展開する「Windows AutoPilot」など。
OS管理面では機能更新プログラムのダウンロードサイズを差分形式で軽減する「UUP(Unified Update Platform)」が追加されている。「UUPを使うことで、(OSのイメージサイズが)2.5GB程度まで軽減する」(日本マイクロソフト Windows&デバイスビジネス本部 Windowsグループ エグゼクティブプロダクトマネージャー 藤原正三氏)という。UUPは、現在はWindows Updateのみに適用可能だが、今後WSUS(Windows Server Update Services)などにも展開していく予定だ。
日本マイクロソフト Windows&デバイスビジネス本部 Windowsグループ エグゼクティブプロダクトマネージャー 藤原正三
「顧客からもっとも要望を受けていた」(藤原氏)機能が、コンテナ型仮想化で保護する「Windows Defender Application Guard(以下、Application Guard)」である。信頼されていないWebサイトにアクセスするために、Hyper-V上でコンテナを用意し、閲覧終了後はコンテナを破棄することでOS本体を保護する仕組みだ。通常のサンドボックスと異なるのは、クリップボードやMicrosoft Edgeの情報(お気に入りやCookie、パスワードなど)をApplication Guardのセッションでも利用できる点。「初回起動時はコンテナの準備などで時間を要するが、その後はスムーズに動作する」(藤原氏)という。
Application Guardの動作は、ユーザーが手動起動するスタンドアロンモードと、IT管理者が指定したサイト(ドメインおよびIP範囲)に応じて自動起動するエンタープライズモードの2パターンがある。設定管理はグループポリシーやSCCM(Microsoft System Center Configuration Manager)、Microsoft Intuneから行う。不要なファイルをダウンロードし、そこからマルウェアが侵入・拡散する例は枚挙に暇がないため、社内からWebへアクセスする際に頼れる機能となる。ただし、Application GuardはWindows 10 Enterprise向け機能であり、Proでは動作しない。また、メモリ容量も8GB以上(16GB以上推奨)が必要となる。
Windows Defender Application Guardを有効にすることで、リスクが高いサイトへも安全にアクセスできる
大量のPCへWindows 10を素早く展開する「Windows AutoPilot」
AutoPilotは、PCが持つ固有IDをクラウド上にあるWindows Autopilot Deployment Serviceにアップロードし、あらかじめIT管理者が設定したプロファイル情報(運用ポリシーにそぐわないためプライバシー設定をスキップする、OneDrive for Businessの利用を前提とするためOneDrive設定をスキップするなど)をPCに適用しながら、Windows 10を大量のPCに一括展開する機能だ。固有IDはハードウェアベンダーやセルラーから納品時に受け取ることを想定しているが、Windows PowerShellを使った手動取得も可能。つまり、PCを受け取った社員はPCの電源を入れて、IT管理者から受け取ったアカウントでサインインするだけで済む。
Windows Autopilotの概要。デバイスIDを元に所有者情報の登録やOSの展開を行う
Autopilotの運用にはAzure AD(Active Directory)を使い、Microsoft Intuneでサードパーティ製アプリケーションを自動展開する場合はAzure AD Premiumが必要となる。気になる対応PCだが、「グローバルではレノボ、HP、パナソニック、富士通、東芝、そしてMicrosoftの6社が対応を表明している」(藤原氏)という。技術的には、それ以外のPCも基本的に利用可能で、「Windows 8.x時代のPCであれば固有IDを利用できる」(藤原氏)という。
AutoPilotの機能自体は、前回の大型アップデートWindows 10 Creators Updateから用意していたが、Windows 10 Fall Creators Updateでは、展開の進捗状況を示すProgress Displayや、使用許諾の同意画面をスキップする機能が加わった。また、日本マイクロソフトは説明時点で未検証としているが、サインインする前にセキュリティポリシーを適用する機能が加わった。
