仮想化ベースのセキュリティを有効にする

仮想化ベースのセキュリティを有効にするかどうかを指定します。

仮想化ベースのセキュリティでは、Windows ハイパーバイザーを使用してセキュリティ サービスをサポートします。仮想化ベースのセキュリティはセキュア ブートを必要とし、DMA 保護を使用して有効にすることもできます。DMA 保護はハードウェア サポートを必要とし、正しく構成されたデバイスだけで有効にすることができます。

コードの整合性に対する仮想化ベースの保護

この設定により、カーネル モードのコードの整合性に対する仮想化ベースの保護が有効になります。この設定を有効にすると、カーネル モードのメモリ保護が強制され、コードの整合性の検証パスが仮想化ベースのセキュリティ機能によって保護されます。

オプションを使用してコードの整合性に対する仮想化ベースの保護が有効化されていた場合、[無効] オプションを選択すると、コードの整合性に対する仮想化ベースの保護がリモートで無効になります。

オプションを選択すると、コードの整合性に対する仮想化ベースの保護をリモートで無効化できなくなります。この機能を無効にするには、グループ ポリシーを [無効] に設定すると共に、UEFI に保存されている構成を消去するために、ユーザーが物理的に存在する各コンピューターからこのセキュリティ機能を削除する必要があります。

[ロックなしで有効化] オプションを選択すると、グループ ポリシーを使用してコードの整合性に対する仮想化ベースの保護をリモートで無効化できます。

[未構成] オプションは、ポリシー設定を未定義のままにします。グループ ポリシーはポリシー設定をレジストリに書き込まないので、コンピューターまたはユーザーに影響はありません。レジストリに現在の設定がある場合、その設定は変更されません。

[UEFI メモリ属性テーブルを要求する] オプションによって [コードの整合性に対する仮想化ベースの保護] を有効にできるのは、UEFI ファームウェアでメモリ属性テーブルがサポートされているデバイスの場合のみです。UEFI メモリ属性テーブルがサポートされていないデバイスでは、使用されているファームウェアに [コードの整合性に対する仮想化ベースの保護] との互換性がない場合があり、クラッシュやデータの損失が生じることや、一部のプラグイン カードとの互換性が維持できなくことがあります。このオプションを設定しない場合は、対象のデバイスをテストして互換性を確認する必要があります。

警告: システムのすべてのドライバーはこの機能と互換性がある必要があります。互換性がない場合は、システムがクラッシュする可能性があります。互換性があることがわかっているコンピューターのみにこのポリシー設定が展開されるようにしてください。

Credential Guard

この設定を使用すると、仮想化ベースのセキュリティ機能を持つ Credential Guard を有効にして、資格情報を保護することができます。

[ロックなしで有効化] オプションを使用して Credential Guard が有効化されていた場合、[無効] オプションを選択すると、Credential Guard がリモートで無効になります。

[UEFI ロックで有効化] オプションを選択すると、Credential Guard をリモートで無効化できなくなります。この機能を無効にするには、グループ ポリシーを [無効] に設定すると共に、UEFI に保存されている構成を消去するために、ユーザーが物理的に存在する各コンピューターからこのセキュリティ機能を削除する必要があります。

[ロックなしで有効化] オプションを選択すると、グループ ポリシーを使用して Credential Guard をリモートで無効化できます。この設定を使用しているデバイスは、Windows 10 (Version 1511) 以上を実行している必要があります。

[未構成] オプションは、ポリシー設定を未定義のままにします。グループ ポリシーはポリシー設定をレジストリに書き込まないので、コンピューターまたはユーザーに影響はありません。レジストリに現在の設定がある場合、その設定は変更されません。

セキュア起動

この設定は、ブート チェーンを保護するようにセキュア起動の構成を設定します。

[未構成] は既定の設定であり、管理者であるユーザーによる機能の構成を許可します。

[有効] オプションは、サポートされているハードウェア上でセキュア起動を有効化します。

[無効] オプションは、ハードウェア サポートに関係なくセキュア起動を無効にします。

プラットフォームのセキュリティ レベルを選択する:

0. セキュア ブート
   

   Registry Hive	HKEY_LOCAL_MACHINE
   Registry Path	SOFTWARE\Policies\Microsoft\Windows\DeviceGuard
   Value Name	RequirePlatformSecurityFeatures
   Value Type	REG_DWORD
   Value	1

1. セキュア ブートと DMA 保護
   

   Registry Hive	HKEY_LOCAL_MACHINE
   Registry Path	SOFTWARE\Policies\Microsoft\Windows\DeviceGuard
   Value Name	RequirePlatformSecurityFeatures
   Value Type	REG_DWORD
   Value	3

コードの整合性に対する仮想化ベースの保護:

0. 無効
   

   Registry Hive	HKEY_LOCAL_MACHINE
   Registry Path	SOFTWARE\Policies\Microsoft\Windows\DeviceGuard
   Value Name	HypervisorEnforcedCodeIntegrity
   Value Type	REG_DWORD
   Value	0

1. UEFI ロックで有効化
   

   Registry Hive	HKEY_LOCAL_MACHINE
   Registry Path	SOFTWARE\Policies\Microsoft\Windows\DeviceGuard
   Value Name	HypervisorEnforcedCodeIntegrity
   Value Type	REG_DWORD
   Value	1

2. ロックなしで有効化
   

   Registry Hive	HKEY_LOCAL_MACHINE
   Registry Path	SOFTWARE\Policies\Microsoft\Windows\DeviceGuard
   Value Name	HypervisorEnforcedCodeIntegrity
   Value Type	REG_DWORD
   Value	2

3. 未構成
   

   Registry Hive	HKEY_LOCAL_MACHINE
   Registry Path	SOFTWARE\Policies\Microsoft\Windows\DeviceGuard
   Value Name	HypervisorEnforcedCodeIntegrity
   Value Type	REG_DWORD
   Value	3

UEFI メモリ属性テーブルを要求する

Registry Hive	HKEY_LOCAL_MACHINE
Registry Path	SOFTWARE\Policies\Microsoft\Windows\DeviceGuard
Value Name	HVCIMATRequired
Value Type	REG_DWORD
Default Value	0
True Value	1
False Value	0

Credential Guard の構成:

0. 無効
   

   Registry Hive	HKEY_LOCAL_MACHINE
   Registry Path	SOFTWARE\Policies\Microsoft\Windows\DeviceGuard
   Value Name	LsaCfgFlags
   Value Type	REG_DWORD
   Value	0

1. UEFI ロックで有効化
   

   Registry Hive	HKEY_LOCAL_MACHINE
   Registry Path	SOFTWARE\Policies\Microsoft\Windows\DeviceGuard
   Value Name	LsaCfgFlags
   Value Type	REG_DWORD
   Value	1

2. ロックなしで有効化
   

   Registry Hive	HKEY_LOCAL_MACHINE
   Registry Path	SOFTWARE\Policies\Microsoft\Windows\DeviceGuard
   Value Name	LsaCfgFlags
   Value Type	REG_DWORD
   Value	2

3. 未構成
   

   Registry Hive	HKEY_LOCAL_MACHINE
   Registry Path	SOFTWARE\Policies\Microsoft\Windows\DeviceGuard
   Value Name	LsaCfgFlags
   Value Type	REG_DWORD
   Value	3

セキュア起動の構成:

0. 未構成
   

   Registry Hive	HKEY_LOCAL_MACHINE
   Registry Path	SOFTWARE\Policies\Microsoft\Windows\DeviceGuard
   Value Name	ConfigureSystemGuardLaunch
   Value Type	REG_DWORD
   Value	0

1. 有効
   

   Registry Hive	HKEY_LOCAL_MACHINE
   Registry Path	SOFTWARE\Policies\Microsoft\Windows\DeviceGuard
   Value Name	ConfigureSystemGuardLaunch
   Value Type	REG_DWORD
   Value	1

2. 無効
   

   Registry Hive	HKEY_LOCAL_MACHINE
   Registry Path	SOFTWARE\Policies\Microsoft\Windows\DeviceGuard
   Value Name	ConfigureSystemGuardLaunch
   Value Type	REG_DWORD
   Value	2