- Microsoft Defender Application Guardは、信頼できないサイトやドキュメントをHyper-Vコンテナ内に隔離することで、システムと企業データを保護します。
- その導入には、特定のWindowsエディションとライセンスに加え、仮想化およびネットワーク構成に関する要件への準拠が必要となる。
- セキュリティとユーザーエクスペリエンスは、クリップボード、ダウンロード、印刷、拡張機能、およびリソースへのアクセスを規制するグループポリシーによって制御されます。
- 診断ツール、監査ツール、およびサポートツールにより、競合の特定、パフォーマンスの最適化、および保護と生産性のバランスの維持が可能になります。
機密情報を取り扱う方や、不審なウェブサイトを日常的に閲覧する方にとって、Microsoft Defender Application Guard (MDAG)は、単なる不安と大惨事の分かれ目となるWindowsの機能の一つです。これは単なるウイルス対策プログラムではなく、脅威からシステムとデータを保護するための追加のレイヤーとなります。
以下の説明では、Application Guardとは何か、その内部動作、使用可能なデバイス、そして簡易モードとエンタープライズ展開の両方における設定方法について明確に解説します。また、要件、グループポリシー、よくあるエラー、そしてこのテクノロジーを使い始める際によく発生するよくある質問についても説明します。
Microsoft Defender Application Guardとは何ですか？また、どのように動作するのですか？
Microsoft Defender Application Guardは、Hyper-Vをベースとした仮想コンテナ内で、信頼できないWebサイトやドキュメントを隔離するように設計された高度なセキュリティ機能です。個々の攻撃をブロックしようとするのではなく、疑わしいコンテンツを保持するための小さな「使い捨てコンピュータ」を作成します。
このコンテナはメインのオペレーティングシステムとは独立して動作し、独自の強化されたWindowsインスタンスを備えており、企業の内部ファイル、認証情報、リソースへの直接アクセスは一切ありません。悪意のあるサイトがブラウザやOfficeの脆弱性を悪用した場合でも、被害はこの隔離された環境内に留まります。
Microsoft Edgeの場合、Application Guardは、信頼済みとしてマークされていないドメインからのファイルが自動的にそのコンテナ内で開かれるようにします。Officeの場合も同様で、組織が安全とみなさないソースからのWord、Excel、PowerPointドキュメントに対して同じ処理を行います。
重要なのは、この分離がハードウェアベースであるということです。Hyper -Vはホストに依存しない環境を作り出すため、攻撃者が隔離されたセッションから実際のシステムに移行し、企業データを盗んだり、保存されている認証情報を悪用したりする可能性を大幅に低減します。
さらに、コンテナは匿名環境として扱われます。ユーザーのクッキー、パスワード、セッションを継承しないため、なりすましやセッション窃盗の手法を用いる攻撃者にとって、攻撃が非常に困難になります。
Application Guardの使用が推奨されるデバイスの種類
Application Guardは技術的には様々なシナリオで動作可能ですが、主に企業環境および管理対象デバイス向けに設計されています。Microsoftは、MDAGが最も適しているデバイスの種類をいくつか挙げています。
まず、ドメインに参加しているビジネス用デスクトップがあり、これらは通常、Configuration ManagerまたはIntuneで管理されます。これらは従来型のオフィス用コンピュータで、一般ユーザーが使用し、有線社内ネットワークに接続されています。リスクは主に日常的なインターネット閲覧から生じます。
次に、企業所有のノートパソコンがあります。これもドメインに参加し、一元管理されていますが、社内または社外のWi-Fiネットワークに接続します。この場合、デバイスが管理されたネットワークから離れ、ホテル、空港、または自宅のネットワークのWi-Fiにさらされるため、リスクが高まります。
もう一つのグループは、BYOD（Bring Your Own Device：私物端末持ち込み）ノートパソコンです。これらは会社の所有物ではありませんが、 Intuneなどのソリューションを通じて管理されています。通常、ローカル管理者権限を持つ個人が使用するため、攻撃対象領域が拡大し、企業リソースへのアクセスを隔離することがさらに重要になります。
最後に、ドメインに属さず、ユーザーが完全に制御できる、管理対象外の個人用デバイスがあります。このような場合、Application Guardをスタンドアロンモード（特にEdgeの場合）で使用することで、潜在的に危険なWebサイトにアクセスする際に、追加の保護レイヤーを提供できます。
必要なWindowsエディションとライセンス
設定を開始する前に、Microsoft Defender Application Guard を使用できる Windows のエディションと、所有するライセンス権限を明確にしておくことが重要です。
Edgeのスタンドアロンモード（つまり、高度なエンタープライズ管理を行わずにApplication Guardをブラウザサンドボックスとしてのみ使用する場合）では、Windowsで以下の機能がサポートされます。
- Windowsプロ
- Windowsエンタープライズ
- Windows Pro Education / SE
- Windowsエデュケーション
このシナリオでは、Windows Pro/Pro Education/SE、Windows Enterprise E3またはE5、Windows Education A3またはA5などのライセンスをお持ちの場合、MDAGライセンス権が付与されます。実際には、Windows Proを実行している多くのプロフェッショナルPCでは、基本的な使用のために既にこの機能を有効にできます。
エッジエンタープライズおよびコーポレート管理モード（高度な指示やより複雑なシナリオが適用される場合）では、サポートが縮小されます。
- Windowsエンタープライズ y Windowsエデュケーション このモードでは、アプリケーションガードがサポートされています。
- Windows Pro および Windows Pro Education/SE いいえ 彼らはこの企業向けバージョンをサポートしています。
ライセンスに関してですが、このより高度な企業向け利用には、Windows Enterprise E3/E5 または Windows Education A3/A5が必要です。組織が Enterprise サブスクリプションなしで Pro のみを使用している場合は、Edge のスタンドアロン モードに制限されます。
システム要件と互換性
Application Guardを安定して動作させるには、Windows版に加えて、バージョン、ハードウェア、仮想化サポートに関する一連の技術要件を満たす必要があります。
オペレーティングシステムに関しては、Windows 10 バージョン1809以降（2018年10月アップデート）または同等のWindows 11バージョンを使用することが必須です。サーバー向けSKUや大幅に機能を縮小したバリアントには対応しておらず、明らかにクライアントコンピュータ向けに設計されています。
ハードウェアレベルでは、Hyper-Vが隔離されたコンテナを作成するための重要なコンポーネントであるため、システムはハードウェアベースの仮想化（Intel VT-x/AMD-VのサポートとSLATなどの第2レベルアドレス変換）を有効にする必要があります。このレイヤーがないと、MDAGはセキュアな環境を構築できません。
エンタープライズソフトウェア要件に詳述されているように、集中管理（Microsoft IntuneやConfiguration Managerなど）を行う場合は、互換性のある管理メカニズムを用意することが不可欠です。シンプルな展開であれば、Windowsセキュリティインターフェイス自体で十分です。
最後に、 Application GuardはMicrosoft Edge for Business向けに段階的に廃止されつつあり、スタンドアロンアプリケーションに関連する一部のAPIは今後更新されなくなることに留意してください。とはいえ、短期および中期的なリスク軽減が必要な環境においては、依然として非常に有効なツールです。
ユースケース：安全性と生産性のどちらを優先するか
サイバーセキュリティにおける古典的な問題の一つは、ユーザーを真に保護することと、ユーザーのアクセスを阻害しないこととの適切なバランスを見つけることです。ごく少数の「承認済み」ウェブサイトのみを許可すれば、リスクは軽減されますが、生産性は著しく低下します。一方、制限を緩めれば、リスクは急激に高まります。
ブラウザはワークステーションにおける主要な攻撃対象の一つです。なぜなら、ブラウザの目的は、未知のウェブサイト、ダウンロードファイル、サードパーティ製スクリプト、攻撃的な広告など、さまざまなソースからの信頼できないコンテンツを開くことだからです。ブラウザエンジンをどれだけ改良しても、常に誰かが悪用しようとする新たな脆弱性が存在します。
このモデルでは、管理者が信頼できるドメイン、IPアドレス範囲、クラウド リソースを正確に定義します。リストにないものはすべて自動的にコンテナに格納されます。これにより、ユーザーはブラウザのエラーによって他の内部システムが危険にさらされる心配なく、安心して閲覧できます。
その結果、従業員にとっては比較的柔軟な行動が可能になる一方で、信頼できない外部世界と、何としても守らなければならない企業環境との間には、非常に厳重に守られた境界線が存在することになる。
Microsoft Edge の Application Guard の最新機能とアップデート
マイクロソフトは、ChromiumベースのMicrosoft Edgeの様々なバージョンを通して、ユーザーエクスペリエンスの向上と管理者による制御の強化を目的として、Application Guardに具体的な改良を加えてきました。
重要な新機能の1つは コンテナからのファイルアップロードをブロックするEdge 96以降、組織はポリシーを使用して、ユーザーがローカルデバイスからフォームやWebサービスにドキュメントをアップロードすることを隔離されたセッション内で防止できるようになりました。 ApplicationGuardUploadBlockingEnabledこれにより、情報漏洩のリスクが軽減されます。
もう1つの非常に便利な改善点は、 パッシブモードEdge 94以降で利用可能。ポリシーによって有効化されると ApplicationGuardPassiveModeEnabledApplication Guardはサイトリストの強制表示を停止し、機能がインストールされている状態でもユーザーがEdgeを「通常通り」閲覧できるようにします。これは、トラフィックをリダイレクトすることなく、このテクノロジーをすぐに使えるようにするための便利な方法です。
の可能性も追加されました ホストのお気に入りをコンテナと同期するこれは、完全に切り離された2つのブラウジング体験を避けるために多くの顧客が要望したものでした。Edge 91以降、ポリシーは ApplicationGuardFavoritesSyncEnabled これにより、隔離された環境内でも新しいマーカーが均等に出現することが可能になる。
ネットワーク分野では、Edge 91は以下のサポートを組み込んでいます。 コンテナから出るトラフィックにラベルを付ける 指令のおかげで ApplicationGuardTrafficIdentificationEnabledこれにより、企業はプロキシを介してトラフィックを識別およびフィルタリングすることが可能になり、例えばMDAGから閲覧する際に、ごく少数のサイトへのアクセスを制限することができます。
デュアルプロキシ、拡張機能、その他の高度なシナリオ
一部の組織は、隔離された環境内でコンテナのトラフィックとブラウザの機能を綿密に監視する必要がある、より複雑な展開環境でApplication Guardを使用しています。
これらのケースでは、Edge は以下をサポートしています。 ダブルプロキシ 安定版バージョン84以降では、ディレクティブを介して設定可能です。 ApplicationGuardContainerProxyこのアイデアは、コンテナから発信されるトラフィックを、ホストが使用するプロキシとは異なる特定のプロキシ経由でルーティングすることで、独立したルールを適用しやすくし、より厳格な検査を可能にするというものです。
顧客から繰り返し寄せられたもう一つの要望は、 コンテナ内で拡張機能を使用するEdge 81以降、これが可能になったため、定義されたポリシーに準拠している限り、広告ブロッカー、社内拡張機能、その他のツールを実行できます。宣言する必要があります。 updateURL ネットワーク分離ポリシーの拡張機能により、Application Guard からアクセス可能な中立的なリソースとみなされます。
サポートされているシナリオには、ホストに拡張機能を強制的にインストールしてコンテナ内で利用可能にする、特定の拡張機能を削除する、セキュリティ上の理由から望ましくないと判断された拡張機能をブロックする、といったものがあります。ただし、ネイティブのメッセージ処理コンポーネントに依存する拡張機能は、 MDAGではサポートされていません。
構成や動作の問題を診断するために、 特定の診断ページ en edge://application-guard-internalsそこから、例えば、特定のURLがユーザーに実際に適用されているポリシーに基づいて信頼できるとみなされているかどうかなどを確認できます。
最後に、アップデートに関してですが、新しいMicrosoft Edgeはコンテナ内で自動的にアップデートされ、ホストブラウザと同じチャネルとバージョンに従います。従来のEdgeのようにオペレーティングシステムのアップデートサイクルに依存しなくなったため、メンテナンスが大幅に簡素化されます。
WindowsでMicrosoft Defender Application Guardを有効にする方法
互換性のあるコンピューターで実行したい場合は、まず対応するWindows機能を有効にする必要があります。基本的な手順は非常に簡単です。
最も簡単な方法は、次のコマンドで「ファイル名を指定して実行」ダイアログボックスを開くことです。 勝利+ R、書く appwiz.cpl Enterキーを押すと、「プログラムと機能」パネルに直接移動します。そこから左側に、「Windowsの機能の有効化または無効化」へのリンクがあります。
利用可能なコンポーネントの一覧から「Microsoft Defender Application Guard」を探して選択します。確認後、Windows は必要なバイナリをダウンロードまたは有効化し、変更を適用するためにコンピューターを再起動するよう促します。
再起動後、適切なバージョンのEdgeがインストールされている互換性のあるコンピューターでは、ブラウザのオプションを使用して新しいウィンドウや独立したタブを開くことができるはずです。また、管理された環境では、信頼されていないサイトのリスト設定に従って自動的に開くことができます。
「新しいアプリケーションガードウィンドウ」などのオプションが表示されない場合、またはコンテナが開かない場合は、手順が古い、お使いのWindowsのエディションがサポートされていない、Hyper-Vが有効になっていない、または組織のポリシーでこの機能が無効になっている可能性があります。
グループポリシーを使用したアプリケーションガードの設定
企業環境では、各デバイスを個別に設定するのではなく、 Intuneのグループポリシーオブジェクト（GPO）または構成プロファイルを使用してポリシーを一元的に定義します。Application Guardは、ネットワーク分離とアプリケーション固有のパラメーターという2つの主要な構成要素に依存しています。
ネットワーク分離設定は Computer Configuration\Administrative Templates\Network\Network Isolation例えば、以下のようなものがここで定義されます。 社内ネットワークの範囲とドメインは、企業ドメインとみなされます。これは、信頼できるものと、ゴミ箱に捨てるべきものとの境界線を示すものとなるだろう。
重要なポリシーの1つに「アプリケーション用のプライベートネットワーク範囲」があり、これは企業ネットワークに属するIPアドレス範囲をカンマ区切りのリストで指定します。これらの範囲内のエンドポイントは通常のEdgeで開きますが、Application Guard環境からはアクセスできません。
もう一つの重要な政策は 「クラウドホスト型エンタープライズリソースドメイン」文字で区切られたリストを使用する | 組織の内部サービスとして扱うべきSaaSドメインおよびクラウドサービスを指定します。これらはコンテナ外のEdgeでもレンダリングされます。
最後に、「個人用と業務用に分類されるドメイン」ポリシーを使用すると、個人用と業務用の両方に使用できるドメインを宣言できます。これらのサイトは、必要に応じて通常のEdge環境とApplication Guardの両方からアクセスできます。
ネットワーク分離設定でのワイルドカードの使用
各サブドメインを一つずつ記述する手間を省くため、ネットワーク分離リストはドメイン名にワイルドカード文字をサポートしています。これにより、信頼できるドメインをより適切に制御できます。
単純に定義すれば contoso.comブラウザは、その特定の値のみを信頼し、その値を含む他のドメインは信頼しません。つまり、ブラウザはその値そのものだけを企業に属するものとして扱います。 正確なルート としない www.contoso.com 変異体もなし。
指定されている場合 www.contoso.comそう その特定のホストのみ 信頼できるものとみなされます。その他のサブドメインなど shop.contoso.com 彼らは仲間外れにされ、最終的にはゴミ箱行きになるかもしれない。
フォーマット .contoso.com （前のピリオド）は、 「contoso.com」で終わるドメインはすべて信頼できます。これには以下が含まれます contoso.com アップ www.contoso.com あるいはチェーンのような spearphishingcontoso.comしたがって、慎重に使用する必要がある。
最後に、もしそれが使用されるならば ..contoso.com (先頭のコロン)、ドメインの左側に位置する階層のすべてのレベルが信頼されます。たとえば、 shop.contoso.com o us.shop.contoso.comしかし ルート「contoso.com」は信頼できません それ自体が重要なのです。それは、企業資源とみなされるものをより精緻に管理する方法です。
メインアプリケーションガード固有の指示
2番目の主要な設定セットは、 Computer Configuration\Administrative Templates\Windows Components\Microsoft Defender Application Guardここから国が統治される コンテナの詳細な動作 そして、ユーザーがその中で何ができるか、何ができないか。
最も重要なポリシーの1つは「クリップボード構成」で、ホストとアプリケーションガード間でテキストや画像をコピー＆ペーストできるかどうかを制御します。管理モードでは、コンテナから外部へのコピーのみを許可したり、逆方向へのコピーのみを許可したり、クリップボードを完全に無効にしたりすることができます。
同様に、「印刷設定」ポリシーは、コンテナからコンテンツを印刷できるかどうか、また印刷できる形式を決定します。PDF、XPS、接続されているローカルプリンター、または定義済みのネットワークプリンターへの印刷を有効にしたり、MDAG内のすべての印刷機能をブロックしたりできます。
「永続性のサポート」オプションは、ユーザーデータ（ダウンロードしたファイル、Cookie、お気に入りなど）をApplication Guardセッション間で保持するか、環境がシャットダウンされるたびに削除するかを決定します。管理モードでこれを有効にすると、コンテナはこれらの情報を将来のセッションのために保持できます。無効にすると、起動するたびにほぼクリーンな環境になります。
後で永続化を許可しないようにする場合は、このツールを使用できます wdagtool.exe パラメータ付き cleanup o cleanup RESET_PERSISTENCE_LAYER コンテナをリセットし、従業員によって生成された情報を破棄する。
もう1つの重要なポリシーは「管理モードでアプリケーションガードを有効にする」で、この機能がMicrosoft Edge、Microsoft Office、またはその両方に適用されるかどうかを指定します。デバイスが前提条件を満たしていない場合、またはネットワーク分離が構成されている場合、このポリシーは有効になりません（ただし、特定のKB更新プログラムがインストールされている場合は、Windowsの最近のバージョンではEdgeに対してこのポリシーは不要になっています）。
ファイル共有、証明書、カメラ、監査
上記のポリシーに加えて、コンテナがホストシステムや周辺機器とどのように連携するかに影響を与えるその他の指示も存在します。
「ホストオペレーティングシステムへのファイルのダウンロードを許可する」ポリシーは、隔離された環境からダウンロードしたファイルをユーザーがホストに保存できるかどうかを決定します。このポリシーを有効にすると、2つの環境間で共有リソースが作成され、ホストからコンテナへの特定のアップロードも許可されます。これは非常に便利な機能ですが、セキュリティの観点から評価する必要があります。
「ハードウェアアクセラレーションによるレンダリングを許可する」設定を有効にすると、vGPUを介してGPUを使用し、特にビデオ再生などの負荷の高いコンテンツ再生時にグラフィック性能を向上させることができます。互換性のあるハードウェアが利用できない場合、Application GuardはCPUレンダリングに切り替わります。ただし、信頼性の低いドライバを搭載したデバイスでこのオプションを有効にすると、ホストへのリスクが高まる可能性があります。
コンテナ内でカメラとマイクへのアクセスを許可する指示もあります。これを有効にすると、MDAG上で動作するアプリケーションがこれらのデバイスを使用できるようになり、隔離された環境からビデオ通話や会議を行うことが容易になります。しかし、コンテナが侵害された場合、通常のアクセス権限が回避される可能性も生じます。
別のポリシーでは、Application Guardがホスト上の特定のルート認証局を使用し、指定されたフィンガープリントを持つ証明書をコンテナに渡すことができます。この設定が無効になっている場合、コンテナはこれらの証明書を継承しないため、プライベート認証局に依存する特定の内部サービスへの接続がブロックされる可能性があります。
最後に、 「監査イベントを許可する」オプションを有効にすると、コンテナ内で生成されたシステムイベントがログに記録され、デバイスの監査ポリシーが継承されるため、セキュリティチームはホストログからApplication Guard内部で何が起こっているかを追跡できます。
サポートおよびカスタマイズフレームワークとの統合
Application Guardで問題が発生すると、ユーザーにはエラーダイアログボックスが表示されます。デフォルトでは、このダイアログボックスには問題の説明と、フィードバックハブを通じてMicrosoftに報告するためのボタンのみが表示されます。ただし、この表示はカスタマイズして、社内サポートを容易にすることができます。
ルート上 Administrative Templates\Windows Components\Windows Security\Enterprise Customization 管理者が使用できるポリシーがあります サポートサービスの連絡先情報を追加する内部リンクまたは簡単な手順説明。こうすることで、従業員はエラーに気づいた際に、誰に連絡すべきか、どのような手順を踏むべきかをすぐに把握できます。
Application Guardに関するよくある質問とよくある問題
Application Guardの使用は、実際の導入環境において、特にパフォーマンス、互換性、ネットワーク動作に関して、多くの繰り返し発生する疑問を提起する。
まず最初に疑問に思うのは、RAMが4GBしかないマシンでも有効にできるかどうかです。動作するシナリオも考えられますが、実際にはコンテナは基本的に並行して動作する別のオペレーティングシステムであるため、パフォーマンスが著しく低下するのが一般的です。
もう一つの重要な問題は、ネットワークプロキシとPACスクリプトとの統合です。PACファイルへのアクセスに失敗した際に「MDAGブラウザから外部URLを解決できません: ERR_CONNECTION_REFUSED」や「ERR_NAME_NOT_RESOLVED」などのメッセージが表示される場合、通常はコンテナ、プロキシ、および分離ルール間の構成に問題があることを示しています。
また、特定のバージョンのWindowsでサポートされていないIME（入力メソッドエディタ）に関連する問題、ディスク暗号化ドライバとの競合、またはコンテナの読み込み完了を妨げるデバイス制御ソリューションに関連する問題も存在します。
仮想ディスクに関連する制限がある場合、またはハイパースレッディングなどのテクノロジーを無効にしたときに、Hyper-V、ひいてはMDAGに間接的に影響を与える場合、 「ERROR_VIRTUAL_DISK_LIMITATION」などのエラーが発生することがあります。
また、特定のサブドメインのみを信頼する方法、ドメインリストのサイズ制限、コンテナ内で開くサイトに移動した際にホストタブが自動的に閉じる動作を無効にする方法などについても疑問が提起されています。
アプリケーションガード、IEモード、Chrome、およびOffice
Microsoft EdgeでIEモードが引き続き使用されている環境では、Application Guardはサポートされますが、Microsoftはこのモードでのこの機能の広範な使用は想定していません。IEモードは信頼できる内部サイト専用とし、MDAGは外部の信頼できないWebサイトにのみ使用することをお勧めします。
IEモードで設定されているすべてのサイト、およびそれらに関連付けられているIPアドレスが、ネットワーク分離ポリシーにおいて信頼できるリソースとして含まれていることを確認することが重要です。そうしないと、両方の機能を組み合わせた際に予期しない動作が発生する可能性があります。
Chromeに関して、多くのユーザーからApplication Guard拡張機能のインストールが必要かどうかという質問が寄せられています。答えはノーです。この機能はMicrosoft Edgeにネイティブに統合されており、古いChrome拡張機能はEdgeで使用する際にはサポート対象外となります。
Application Guardは、Office文書の場合、信頼できないと判断されたWord、Excel、PowerPointファイルを隔離されたコンテナで開くことができるため、悪意のあるマクロやその他の攻撃経路がホストに到達するのを防ぎます。この保護機能は、他のDefender機能やファイル信頼ポリシーと組み合わせて使用できます。
グループポリシーオプションの中には、Application Guardで開かれた特定のファイルをユーザーが「信頼」し、安全なファイルとしてコンテナから退出できるようにするものもあります。ただし、この機能は隔離のメリットを損なわないよう、慎重に管理する必要があります。
ダウンロード、クリップボード、お気に入り、拡張機能：ユーザーエクスペリエンス
ユーザーの視点からすると、最も実用的な疑問のいくつかは、コンテナ内で何ができて何ができないか、特にダウンロード、コピー＆ペースト、拡張機能に関してです。
Windows 10 Enterprise 1803以降のバージョン（エディションによって若干の違いはありますが）では、組織がポリシーで設定すれば、コンテナからホストにドキュメントをダウンロードすることが可能です。以前のバージョンや、特定のビルドのProエディションなどでは、このオプションは利用できませんでしたが、PDFやXPS形式で印刷して、その結果をホストデバイスに保存することはできました。
クリップボードに関しては、会社の方針によっては、サンドボックス環境との間でBMP画像やテキストをコピーすることが許可されている場合があります。従業員からコンテンツのコピーができないという苦情があった場合、通常はこれらの方針を見直す必要があります。
多くのユーザーから、 Application Guard の Edge セッションでブックマークや拡張機能が表示されない理由について質問が寄せられています。これは通常、ブックマークの同期が無効になっているか、MDAG の拡張機能ディレクティブが有効になっていないことが原因です。これらのオプションを調整すると、コンテナ内のブラウザはブックマークと特定の拡張機能を継承できるようになりますが、前述の制限事項は常に存在します。
拡張機能が表示されても「動作しない」ケースもあります。ネイティブのメッセージ処理コンポーネントに依存している場合、その機能はコンテナ内では利用できず、拡張機能の動作が制限されたり、完全に動作しなくなったりします。
グラフィック性能、HDR、ハードウェアアクセラレーション
よく指摘されるもう一つの問題は、 Application Guardにおけるビデオ再生やHDRなどの高度な機能に関するものです。Hyper-V上で動作するため、コンテナがGPU機能に直接アクセスできるとは限りません。
サンドボックス環境でHDR再生を正しく機能させるには、アクセラレーションレンダリングポリシーでvGPUハードウェアアクセラレーションを有効にする必要があります。そうしないと、システムはCPUに依存することになり、HDRなどの一部のオプションがプレーヤーやウェブサイトの設定に表示されなくなります。
アクセラレーションが有効になっている場合でも、グラフィックハードウェアのセキュリティや互換性が十分でないと判断された場合、Application Guardは自動的にソフトウェアレンダリングに切り替わり、ノートパソコンのパフォーマンスやバッテリー寿命に影響を与える可能性があります。
一部の導入環境では、TCPフラグメンテーションの問題やVPNの競合が発生し、トラフィックがコンテナを通過する際に解決されない場合があります。このような場合、通常はネットワークポリシー、MTU設定、プロキシ構成の見直しが必要となり、場合によってはMDAGと他のインストール済みセキュリティコンポーネントとの連携方法を調整する必要があります。
サポート、診断、およびインシデント報告
あらゆる手段を講じても社内で解決できない問題が発生した場合、Microsoft はMicrosoft Defender Application Guard 専用のサポートチケットを発行することを推奨しています。その際、診断ページ、関連するイベントログ、およびデバイス構成の詳細から事前に情報を収集しておくことが重要です。
ページの使用 edge://application-guard-internalsと組み合わせると 監査イベントが有効になっています そして、次のようなツールのリリース wdagtool.exe通常、これによりサポートチームは問題の原因（ポリシーの定義が不十分な場合、他のセキュリティ製品との競合、ハードウェアの制限など）を特定するのに十分なデータを得ることができます。
これらに加えて、Windowsセキュリティのテクニカルサポートダイアログボックスでエラーメッセージや連絡先情報をカスタマイズできる機能も備わっており、コンテナの起動に失敗したり、期待どおりに開かなかったりした場合に、ユーザーが誰に連絡すればよいか分からずに困ってしまう事態を回避しやすくなっています。
総じて、Microsoft Defender Application Guardは、ハードウェアの分離、きめ細かなポリシー制御、診断ツールといった強力な機能を組み合わせたものであり、適切に活用すれば、日々の生産性を損なうことなく、信頼できないサイトの閲覧や疑わしいソースからのドキュメントの開封に伴うリスクを大幅に軽減できます。
バイトの世界とテクノロジー全般についての情熱的なライター。私は執筆を通じて自分の知識を共有するのが大好きです。このブログでは、ガジェット、ソフトウェア、ハードウェア、技術トレンドなどについて最も興味深いことをすべて紹介します。私の目標は、シンプルで楽しい方法でデジタル世界をナビゲートできるよう支援することです。