ベースラインの使用

ベースラインを使用して、Windows デスクトップデバイスの構成を最適な状態に保ちます。Workspace ONE UEM は、業界推奨の設定を 1 つのベースライン構成に統合して、デバイスのセキュリティ保護を簡略化します。ベースラインにより、Windows デバイスの設定と構成にかかる時間が短縮されます。

注：ベースラインは、Windows ARM ベースのデバイスではサポートされません。

クラウドベースのマイクロサービス

ベースラインは、クラウドベースのマイクロサービスを使用して、ポリシーカタログを管理します。オンプレミスのお客様の場合は、お使いの環境がマイクロサービスと通信できることを確認します。

ベースラインはデバイスサービスに常時接続する必要がある

ベースラインを使用するすべての加入済み Windows デバイスでは、Workspace ONE UEM デバイスサービス (DS) サーバとの接続が中断されないようにする必要があります。デバイスでこの常時接続が必要なのは、ベースラインの状態を最新に保つためです。

プロキシセットアップを使用している場合、または特定のファイアウォール設定を使用している場合、これらの構成によって Windows デバイスと DS サーバ間の接続が中断されることがあります。たとえば、デバイスが VPN または制限されたネットワークを使用してリソースにアクセスする場合、この設定によって DS サーバへの接続が中断されます。これらのデバイスのベースラインは、古くなっている可能性があります。

ベースラインのタイプ

カスタム
- 既存のグループポリシーオブジェクト (GPO) のバックアップファイルがある場合は、そのポリシーを使用してカスタムベースラインを作成できます。テンプレートプロセスを使用して、このカスタムベースラインを作成します。
- またテンプレートがなくても、カスタムベースラインを作成できます。Workspace ONE UEM は、ベースラインの独自に作成プロセスで、複数のポリシーを提示します。
CIS Windows ベンチマーク - このベースラインは、CIS ベンチマークで提案された構成設定を適用します。ベースラインが最適な設定と構成のみを使用できるように、CIS (Center for Internet Security) は Omnissa を認定し、Windows 用 CIS ベンチマークなどの業界の推奨条件を提供しています。
Windows セキュリティベースライン - このベースラインは、Microsoft によって提案される構成設定を適用します。

ベースラインは、デバイスの Windows OS バージョンを基にしています。すべてのベースラインの OS バージョンは、編集時に後で変更できます。構成中に、使用するベースラインを選択し、ベースラインポリシーをカスタマイズすることもできます。また、補足的な Microsoft ADMX 対応ポリシーを、構成プロセスの一部として追加することもできます。

CIS ベンチマークに関する考慮事項

CIS は、リストされたベンチマークを報告して、サーバとデバイスの間に、より安全な接続を確立します。ただし、これらのベンチマークは、現在 CIS Windows ベンチマークベースラインテンプレートでサポートされていません。管理者は、これらのベンチマークを構成する必要があります。詳細については、該当する Windows Server CIS ベンチマークレポートを参照してください。

ログインを試みるユーザーのために、対話形式のログインタイトルとテキストを構成します。
LAPS（ローカル管理者パスワードソリューション）AdmPwd GPO Extension / CSE をインストールします。

**注：**CIS は、Windows デスクトップでのみ使用できます。

ベースラインの割り当て

デバイスを Workspace ONE UEM に加入すると、デバイスをスマートグループに追加し、ベースラインをグループに割り当てることができます。デバイスは、デバイスの再起動後に、ベースラインのすべての設定と構成を受信して適用します。デバイスは、ベースラインの公開時および定義済みの一定間隔のチェック時に、ベースライン構成を確認します。ベースラインをデバイスにプッシュする際に、Workspace ONE UEM はデバイス設定のスナップショットを保存します。

[割り当て] ダイアログボックスの [除外] タブを使用して、ベースラインの割り当てを制限できます。割り当てから除外するスマートグループを選択することもできます。

ベースライン管理

ベースラインは、[ベースライン] リスト表示で管理できます。このビューは、コンソールの [リソース] > [プロファイルとベースライン] > [ベースライン] にあります。 UEM Console にベースラインを表示します。

ここから、既存のベースラインを編集、コピー、削除できます。

コピー：ベースラインをコピーし、[カスタマイズ] タブおよび [ポリシーの追加] タブでいくつかのポリシーを編集して、別の展開シナリオにベースラインを適合させることができます。目的のベースラインを選択して、[コピー] メニュー項目を表示します。
- ベースラインテンプレートは編集できません。別のテンプレートが必要な場合は、新しいベースラインを作成します。
- Workspace ONE UEM では、コピーされたベースラインが Copy of <Baseline Name> として保存されますが、この名前は変更できます。
- コピーしたベースラインを保存します。ただし、[管理元] フィールド（組織グループ）を編集するまでデバイスを割り当てないでください。デバイスがすでに割り当てられているコピー済みのベースラインは移動できません。
- 組織グループ（[管理元]）およびコピーされたベースラインには注意してください。
  - 組織グループを変更するには、コピーしたベースラインを保存してから編集します。
  - コピーされたベースラインは、サブ組織グループに移動するか、元の組織グループに残すことができます。
  - コピーされたベースラインを組織グループ階層の上位に移動することはできません。この動作は、プロファイルの動作を継承しています。
削除：デバイスにプッシュされたベースラインを削除すると、Workspace ONE UEM によって保存されたスナップショットに基づき、デバイス設定は以前の設定に戻ります。

[デバイス詳細] 画面で、デバイスに適用されているベースラインを確認できます。

ベースラインのコピー方法の例

ここでは、既存のベースラインをコピーし、[管理元] フィールドを更新して、ベースラインを子組織グループに移動する方法の一般的な例を示します。

Workspace ONE UEM console で、該当する組織グループに移動します。
[リソース] > [プロファイルとベースライン] > [ベースライン] の順に移動します。
リストからベースラインを選択し、[コピー] を選択します。
[ベースライン名] フィールドのベースラインの名前を更新します。現時点では組織グループは更新できません。
必要に応じて、ベースラインウィザードの指示に従って、更新します。変更する必要はありません。任意のタブで [次へ] をクリックできます。
[サマリ] タブで、[保存して割り当て] を選択します。
[ベースラインの割り当て] ページで、[キャンセル] を選択します。この操作は、デバイスのコピーしたベースラインへの割り当てをキャンセルします。
重要：組織グループを編集するまで、デバイスをコピーしたベースラインに割り当てないでください。
コピーしたベースラインをリストから選択し、[編集] を選択します。
[全般] > [管理元] で子組織グループを選択して、組織グループを更新します。
ウィザードの指示に従って、[保存して公開] を選択します。
デバイスを追加する準備ができたら、コピーしたベースラインを選択して、[割り当て] を選択します。

ベースラインの再適用

ベースラインのローカル適用を有効にする方法は複数あります。デバイスに再適用レジストリキーを追加するスクリプトを実行するには、センサー、プロダクトプロビジョニング、アプリとブックのスクリプトを使用するか、カスタム設定プロファイルを作成します。

ベースラインの順守状態

デバイスがベースライン遵守状態とともにベースラインに従っていることを確認します。コンソールの [リソース] > [プロファイルとベースライン] > [ベースライン] で [順守状態] を見つけて [ベースライン] を選択し、[順守状態] カードを確認します。[ベースライン順守状態] カードには、デバイスが順守状態、中間、非順守状態、情報なしになったかが表示されます。

注：ベースライン順守状態は、UI を使用して作成されたベースラインにのみ適用されます。GPO バックアップファイルを使用して作成されたカスタムベースラインの順守状態は表示できません。

[中間] 状態は、85%～99% の順守状態のデバイスを識別します。この状態は、デバイスが割り当てられたベースラインに対する順守を低下していることを示すインジケータです。
[情報なし] 状態は、Workspace ONE UEM console にデバイスの順守サンプルがないことを意味します。ベースラインを開いて再度公開することで、サンプルを強制的に実行できます。

順守状態のベースラインのクエリ

ベースラインサンプルについてデバイスにクエリを実行して、順守状態を更新できます。ベースラインをクエリするには、[デバイスの詳細] ビューから開始します。

注：特定のデバイスの順守状態をクエリできますが、一度に複数のデバイスをクエリすることはできません。

Workspace ONE UEM console で、[デバイス] に移動して [デバイスリスト表示] から特定の Windows デスクトップデバイスを選択します。
[その他のアクション] > [クエリ] > [ベースライン] の順に選択します。このプロセスにより、クエリコマンドが開始されます。
更新されたベースライン順守状態を表示するには、[リソース] > [プロファイルとベースライン] > [ベースライン] の順に移動し [ベースライン] を選択して、[順守状態] カードを確認します。

順守状態の確認

デバイスの設定がベースラインと一致しない場合は、[デバイス詳細] のトラブルシューティングタブを使用して、Workspace ONE UEM がデバイスサンプルを受信したことを確認します。

Workspace ONE UEM console で、[デバイス] に移動して特定の Windows デスクトップデバイスを選択します。
[デバイス詳細] ビューで [トラブルシューティング] タブを選択して、[イベントログ] および [コマンド] タブを表示します。
[コマンド] タブで、ベースラインクエリコマンドのリストを参照してください。リスト化された状態を確認できます。
- キューに登録済み：システムにより、コマンドがサーバデータベースに入力されました。
- 保留中：デバイスは要求を受信しましたが、応答していません。
- 処理済み：デバイスがサンプルを送信したか、デバイスが次のユーザーセッションのサンプルをキューに登録しています。
[イベントログ] タブで、ベースラインサンプル応答を受信したことを確認する [イベント] を表示します。

ベースラインを作成する

業界推奨の設定および構成に合わせてデバイスを構成するために、テンプレートがあるベースライン、またはテンプレートがないベースラインを作成します。Workspace ONE UEM は、CIS ベンチマークおよび Microsoft の Windows セキュリティベースラインなどの業界の推奨条件に基づいて、ベースラインを構成します。

前提条件

デバイスは Workspace ONE UEM に加入する必要があります。さらにデバイスには、Workspace ONE Intelligent Hub がインストールされている必要があります。

GPO バックアップファイルを使用してカスタムベースラインを公開する場合は、ベースラインを割り当てるすべてのデバイスに LGPO.exe を追加する必要があります。EXE は C:\ProgramData\Airwatch\LGPO\LGPO.exe でインストールする必要があります。CIS ベンチマークテンプレート、Windows セキュリティベースライン、または独自に作成ウィザードを使用している場合は、このファイルを追加する必要はありません。

テンプレートを使用したベースラインの作成

GPO バックアップファイルを使用してベースラインを作成する場合は、テンプレートプロセスを使用します。

[リソース] > [プロファイルとベースライン] > [ベースライン] の順に進み、[新規] を選択します。
[テンプレートを使用する] を選択します。
[ベースライン名]、[説明] に情報を入力し、ベースラインが [管理元] であるスマートグループを選択します。[次へ] を選択します。
ベースラインを選択します。

| 設定 | 説明 | |------------------------------|------------------------------------------------------------------------------------------------------------------------------------------------------------------| | Windows セキュリティベースライン | このベースラインは、Microsoft が提案した設定を適用します。適用する OS プラットフォームとバージョンを選択します。 | | CIS Windows ベンチマーク | このベースラインは、CIS ベンチマークにより提案された設定を適用します。適用する OS プラットフォーム、バージョン、ベンチマークレベルを選択します。 | | カスタムベースライン | GPO バックアップを使用して ZIP ファイルをアップロードします。このベースラインは、Workspace ONE UEM の外部に作成する必要があります。少なくとも 1 つの GPO フォルダがある場合、バックアップは 5 MB 未満である必要があります。 |
[次へ] を選択します。
必要に応じてベースラインをカスタマイズします。ベースラインで構成されている既存の ADMX ポリシーは変更できます。カスタムベースラインを GPO ベースラインから作成する場合は、既存の ADMX 対応ポリシーをカスタマイズすることはできません。

ユーザー権限の ADMX ポリシーを作成するときに、SID を使用していることを確認します。詳細については、Windows オペレーティングシステムでの既知のセキュリティ識別子を参照してください。
[次へ] を選択します。
ベースラインに追加のポリシーを追加します。これらのポリシーは、Microsoft ADMX ファイルから取得します。追加するポリシーを検索し、ポリシーを構成します。
[次へ] を選択します。
概要を確認し、保存して割り当て を選択します。概要には、カスタマイズまたは追加されたポリシーがすべて含まれます。
割り当て中に、ベースラインの割り当て先の Windows デバイスを含んでいるスマートグループを入力します。[除外] タブを使用して、ベースラインを取得するデバイスを再定義できます。割り当てから除外するスマートグループを入力します。
除外は割り当てをオーバーライドします。除外したスマートグループにあるデバイスは、ベースラインを受け取りません。以前の割り当てのベースラインがそのデバイスにすでに存在する場合、そのベースラインはデバイスから削除されます。
デバイスを再起動してベースラインを展開します。

カスタムベースラインの作成

テンプレートを使用してベースラインを作成しない場合は、次の手順に従って独自のベースラインを作成します。

[リソース] > [プロファイルとベースライン] > [ベースライン] の順に進み、[新規] を選択します。
[独自に作成] を選択します。
[ベースライン名]、[説明] に情報を入力し、ベースラインが [管理元] であるスマートグループを選択します。[次へ] を選択します。
[ポリシーを追加] ウィンドウで、Windows OS バージョンを選択し、ポリシー名の入力を開始します。
たとえば、「User」または「Computer Configuration」と入力し、リストから目的のポリシーを選択します。
ベースラインに追加のポリシーを追加します。
これらのポリシーは、Microsoft ADMX ファイルから取得します。追加するポリシーを検索し、ポリシーを構成します。これらのポリシーはテンプレートで使用できるポリシーと同じですが、[未構成] として表示されます。ポリシーを有効にして構成する必要があります。または、ポリシーを無効にする必要があります。
デバイスで、[有効]、[無効]、[未構成] のいずれかを、このポリシーの状態として選択します。
概要を確認し、保存して割り当て を選択します。サマリには、すべてのポリシーが含まれます。
割り当て中に、ベースラインの割り当て先の Windows デバイスを含んでいるスマートグループを入力します。[除外] タブを使用して、ベースラインを取得するデバイスを再定義できます。割り当てから除外するスマートグループを入力します。
除外は割り当てをオーバーライドします。除外したスマートグループにあるデバイスは、ベースラインを受け取りません。以前の割り当てのベースラインがそのデバイスにすでに存在する場合、そのベースラインはデバイスから削除されます。
デバイスを再起動してベースラインを展開します。

ユーザーなしセッション中のデバイスレベルのベースラインポリシーの適用

ベースラインは、推奨される Windows ポリシー設定を適用してデバイスを保護するのに役立ちます。これらのベースラインには、デバイスレベル（マシン）とユーザーレベルのポリシーの両方が含まれます。組織は、ユーザーがこれらのデバイスにログインしていない場合でも、ベースライン構成でエンドポイントデバイスを保護できます。ベースラインの動作については、次のように説明します。

ユーザーがログインしていないときにベースラインをインストールすると、デバイスレベルのポリシーのみが適用されます。これらのポリシーに対するコンプライアンスが評価され、報告されます。
ユーザーがログインしている場合にベースラインがインストールされると、デバイスレベルのポリシーとユーザーレベルのポリシーの両方が適用され、すべてのポリシーのコンプライアンスが評価されます。
ユーザーがログインしていないときにベースラインを再適用すると、デバイスレベルのポリシーのみが再適用されます。デフォルトでは、ユーザーのないセッションがあっても、ベースラインは 1 時間ごとにデバイスに再適用されます。

ベースラインに適用されているポリシーを表示するには、次の手順を実行します。

[リソース] > [プロファイルとベースライン] > [ベースライン] の順に進み、構成済みの任意のベースラインをクリックします。

[ベースライン] ダッシュボード画面には、ベースラインに割り当てられているデバイスが表示されます。ダッシュボードにはまた、デバイスポリシーとユーザーポリシーが適用されたデバイスの数と、デバイスポリシーのみが適用されたデバイスの数が表示されます。デバイスポリシーとユーザーポリシーは、デバイスのポリシーインストール状態に基づいて、 [インストール済み]、[インストール保留中]、または [失敗] のいずれかの状態になります。次のスクリーンショットは、ベースラインが 2 台のデバイスに割り当てられていることを示しています。1 台のデバイスでは、ユーザーセッション中にベースラインがインストールされたため、デバイスポリシーとユーザーポリシーがベースラインに適用されます。もう一方のデバイスでは、ユーザーのないセッション中にベースラインがインストールされたため、デバイスポリシーのみが適用されます。これにより、デバイスは常に組織のポリシーに準拠し続けることができます。

次のスクリーンショットは、すべてのポリシー、つまりベースライン内のデバイスポリシーとユーザーポリシーのデバイスへのインストールが保留中であることを示しています。
[インストール済み] ステータスをクリックして、デバイス上のすべてのポリシーの概要を表示します。 [適用されたポリシー] タブには、デバイスポリシーとユーザーポリシーがデバイスに適用されたか、デバイスポリシーのみがデバイスに適用されたかが表示されます。ユーザーのないセッション中にベースラインをインストールすると、[デバイス詳細] の [適用されたポリシー] に [デバイスポリシー] が表示され、それ以外の場合は [デバイスとユーザーポリシー] が表示されます。
[デバイス] > [詳細表示] の順に進み、任意のデバイスをクリックして、デバイスの概要の詳細を表示します。次のスクリーンショットは、デバイス詳細表示ダッシュボードを示しています。
[ベースライン] をクリックして、デバイス上のすべてのベースラインの概要を表示します。[適用済みポリシー] タブに、適用されたデバイスポリシーとユーザーポリシーが表示されます。ユーザーのないセッション中にベースラインサンプルが報告された場合、[デバイス詳細] の [確認済みポリシー] には [デバイス] と表示されます。それ以外の場合は、[デバイスとユーザー] と表示されます。[確認済みポリシー] が [デバイス] の場合、コンプライアンスレポートのユーザーポリシーは [使用不可] とマークされます。スクリーンショットでは、ユーザーセッション中に [Chrome ベースライン] ポリシーが適用されたため、デバイスポリシーとユーザーポリシーの両方が適用され、[パーソナライゼーションベースライン] では、ユーザーなしのセッション中にポリシーが適用されました。