Playbook ポリシーの紹介

ポリシーグループで Playbook ポリシーをアクティブ化すると:

• 一意のパスコードが生成され、「デバイス詳細」のデバイスの概要ページに追加されます。もっと見る
• デバイスが次回 Absolute モニタリングセンターに正常に接続した後で、Secure Endpoint Agent の PER コンポーネント スーパーバイザーパスワードの管理リクエストが処理されるときに、デバイスでスーパーバイザーパスワードを管理する役割を果たす、Secure Endpoint Agent の軽量ソフトウェアコンポーネントです。デバイスでの Playbook 実行リクエストの処理も支援します。 が各デバイスにダウンロードされ、アクティブ化されます。

  以下を含む追加ファイルもダウンロードされます。

  • Absolute Bootloader
  • Absolute Recovery Environment Playbook ポリシーをアクティブ化したときにデバイスのファームウェアレベルでインストールされた、カスタマイズされた WinPE イメージ。Absolute Recovery Environment には、各 Playbook に含まれる命令を実施する役割があります。

  これらのファイルは、Playbook をファームウェアレベルで実行するために必要になります。各デバイスのリブート後、Bootloader が新しい Playbook リクエストをチェックします。新しいリクエストがある場合、Playbook の指示が Absolute Recovery Environment に渡され、Playbook が実行されます。

  多数の Windows デバイスを含むポリシーグループ内のポリシーをアクティブ化する場合、ネットワークの輻輳防止のため、ダウンロードは段階的に行われます。

• その後、PER コンポーネントが以下のアクションを完了して、デバイスをプロビジョニングします。

1. Absolute Bootloader およびそのサポートされるファイルを EFI System Partition にインストールします。
2. ブート順序を変更して、デバイスが再起動するたびに UEFI ファームウェアが Absolute Bootloader を最初に実行するようにします。
3. デバイスを再起動します。

   再起動がトリガーされたときにユーザーがログインしている場合、再起動通知が表示されます。この再起動のタイミングは、このポリシーグループの Playbook ポリシーに対してシステム再起動設定を行うことで、カスタマイズできます。もっと見る

4. Playbook ポリシー設定をダウンロードし、Absolute Bootloader に適用します。

5. デバイスを再起動します。

   再起動がトリガーされたときにユーザーがログインしている場合、再起動通知が表示されます。この再起動のタイミングは、このポリシーグループの Playbook ポリシーに対してシステム再起動設定を行うことで、カスタマイズできます。もっと見る

6. デバイスのハードディスクドライブ (HDD) にリカバリーパーティションを作成し、Absolute Recovery Environment をそのパーティションにインストールします。

   この手順が完了するまで、最大 24 時間かかる場合があります。

すべての手順が完了すると、デバイスの Playbook ステータスが有効になり、システム開始 Playbook とユーザー開始 Playbook の両方を実行する準備が整います。デバイス詳細ページで、デバイスのプロビジョニングステータスを表示できます。

以降は PER コンポーネントにより、Absolute Bootloader が常にデバイス上に存在し、改ざんされることがなく、最初にブートすることが確実になります。また、Playbook リクエストの受信とステータス更新の送信のため、Absolute モニタリングセンターへの安全な接続も維持されます。

Playbook ポリシーは、以下の要件を満たす Windows デバイスでサポートされます。

Playbook ポリシーを有効にしたデバイスでは、Windows 高速スタートアップ機能を無効にすることを推奨します。この機能が有効な場合、Absolute Bootloader がファイルを破損するエラーを検出した場合に、デバイスが再起動ループでスタックする可能性があります。再起動ループを停止するには、破損したファイルを削除する必要があります。

デバイスの高速スタートアップを無効にするには、以下の1つを実行します。

• コントロールパネル > 電源オプション > システム設定に移動し、高速スタートアップをオンにする設定を無効にします。または

• 管理者としてコマンドプロンプトウィンドウを開き、以下のコマンドを実行します。

powercfg /h off

グループポリシーを使用するなど、高速スタートアップを無効化する他の方法については、Windows のマニュアルを参照してください。

ポリシーグループで Playbook ポリシーをアクティブ化する前に、グループ内のデバイスが Playbook のシステム要件を満たしていないか確認できます。また、各デバイスで満たしていない特定の要件を示すレポートを確認することもできます。

適格性をチェックするには:

1. ポリシーの管理権限を持つユーザーとして、Secure Endpoint Console へログインします。
2. ナビゲーションバーで ポリシー > ポリシーグループをクリックします。
3. ポリシーグループのサイドバーで、チェックしたいポリシーグループをクリックします。ポリシーグループが作業エリアで開きます。

4. Playbook ポリシーのアクティベーションスライダーの左側に アイコンが表示された場合、ポリシーグループ内の一部のデバイスが、Playbook のシステム要件を満たしていません。デバイス数がアイコンの隣に表示されます。

   不適格なデバイスを表示するには:

   1. アイコンをクリックして、デバイスが Playbook を実行できませんページを開きます。このページがフィルタリングされ、Playbook > ステータスが有効ではありませんまたは未対応である、ポリシーグループ内のアクティブなデバイスを表示します。

   2. デバイスごとに、Playbook > ステータス詳細レポート列に含まれる情報を確認します。

   3. [オプション] サポートされていない (不適格な) デバイスをトラブルシューティングするには、次のセクションを参照してください。

   4. 不適格なデバイスの確認が完了したら、 をクリックしてページを閉じます。

不適格 (サポートされない) デバイスのトラブルシューティングを支援するため、以下の列をデバイスが Playbook を実行できませんページに追加して、値を確認することで、各デバイスに関する追加のシステム情報を表示できます。これらのレポート列は任意のデバイスレポートにも追加されます。

Playbook の適格性で要求される値が列に表示されなかった場合、問題を解消するためのヒントが提供されます (該当する場合)。

Playbook ポリシーを初めてアクティブ化する前に、ポリシーを設定する必要があります。アクティブ化の後は、ポリシー設定はいつでも更新できます。

もっと見る

ポリシーグループの Playbook ポリシーをアクティブ化して、Playbook を実行するためにそのグループのデバイスをプロビジョニングします。

Playbook ポリシーをアクティブ化するには：

1. ポリシーの管理権限を持つユーザーとして、Secure Endpoint Console へログインします。
2. ナビゲーションバーで ポリシー > ポリシーグループをクリックします。
3. ポリシーグループのサイドバーで、更新したいポリシーグループをクリックします。ポリシーグループが作業エリアで開きます。
4. [オプション] お使いのデバイスが BitLocker Drive Encryption によって暗号化されている場合、そのデバイスから BitLocker リカバリーキーを収集し、Absolute データベースに保存することを推奨します。この収集を有効にするには、フルディスク暗号化ステータスポリシーの下にあるBitLocker リカバリーキーを収集オプションを選択します。もっと見る
5. Playbook の隣にあるアクティブ化スライダーをクリックして、オンに設定します。スライダーがグレー表示の場合、ポリシーをアクティブ化する前にエージェントのアップグレードが必要なことに注意してください。
6. このポリシーグループの Playbook ポリシーを初めてアクティブ化する場合、ポリシー設定ダイアログが開きます。ポリシーの設定の詳細については、Playbook ポリシーを設定するを参照してください。

ポリシーがアクティブ化され、「Playbook ポリシーがアクティブ化されました」イベントがイベント履歴に記録されます。Absolute モニタリングセンターへの各デバイスの次回接続時に、PER コンポーネントが展開およびアクティブ化されます。

デバイスが完全にプロビジョニングされると、システム開始 Playbook とユーザー開始 Playbook の両方を実行する準備が整います。

デバイスのプロビジョニングステータスを確認する

デバイスをプロビジョニングすると、Windows Hello PIN がデバイスから削除されます (PIN が設定されている場合)。デバイスユーザーは、Windows サインイン画面で PIN をリセットするか、パスワードを使用してログインし、後でアカウント > サインインオプションで PIN をリセットすることができます。

この制約に関する詳細を見る

この挙動は Absolute リハイドレートに固有のものではありません。これは Microsoft Windows Hello のセキュリティアーキテクチャーに由来するもので、このアーキテクチャーは、Microsoft Passport Key Storage Provider を使用して、プライベートキーをデバイスの Trusted Platform Module (TPM) に TPM ベースのキーシーリングで保存します。

Windows Hello は、資格情報の整合性を維持するために、TPM が測定するブート値を使用します。BIOS またはファームウェアのアップデート、セキュアブートの変更、またはアーリーブートコンポーネントへの修正が原因で、PCR[4] と PCR[7] の両方に変更が発生した場合、TPM は保護されたキーをアンシールできない場合があります。この場合、Windows Hello の資格情報は無効になり、再登録が必要になります。

これは想定されているセキュリティ挙動であり、デバイスの信頼できるブート状態が変更された場合に PIN または生体認証を保護するように設計されています。

ポリシーグループの Playbook ポリシーを非アクティブ化すると、Absolute モニタリングセンターへの次回接続時に、プロビジョニングを解除する指示がポリシーグループのデバイスに送信されます。

プロビジョニング解除プロセスを完了するには、デバイスを再起動する必要があります。

Secure Endpoint Agent は、以下の操作を実行してデバイスのプロビジョニングを解除します。

• Absolute Bootloader、Absolute Recovery Environment、およびプロビジョニング中に追加されたすべてのサポートファイルを削除
• デフォルトのブート順序を復旧
• リカバリーパーティションを削除
• PER コンポーネントを削除

Playbook ポリシーが非アクティブ化され、Playbook 実行リクエストが保留中である場合、リクエストは失敗し、「Playbook がキャンセルされました」または「Playbook が失敗しました」イベントがイベント履歴に記録されます。リクエストがすでにデバイスで進行している場合、Playbook は引き続き実行され、「Playbook が完了しました」イベントが記録されます。

Playbook ポリシーを非アクティブ化するには：

1. ポリシーの管理権限を持つユーザーとして、Secure Endpoint Console へログインします。
2. ナビゲーションバーで ポリシー > ポリシーグループをクリックします。
3. ポリシーグループのサイドバーで、更新したいポリシーグループをクリックします。ポリシーグループが作業エリアで開きます。
4. Playbook の隣にあるアクティブ化スライダーをクリックしてオフに設定します。

   ポリシーが非アクティブ化され、「Playbook ポリシーが非アクティブ化されました」イベントがイベント履歴に記録されます。

デバイスは、Absolute モニタリングセンターへの次回接続後にプロビジョニングが解除されます。

デバイスをプロビジョニング解除すると、Windows Hello PIN がデバイスから削除されます (PIN が設定されている場合)。デバイスユーザーは、Windows サインイン画面で PIN をリセットするか、パスワードを使用してログインし、後でアカウント > サインインオプションで PIN をリセットすることができます。もっと見る