概要
この記事は、「 Microsoft セキュリティ アドバイザリ ADV170012」で説明されている脆弱性の影響を受けるデバイスの問題を特定して解決するのに役立ちます。
このプロセスでは、Microsoft が提供する次のWindows Hello for Business (WHFB) と Azure AD (AAD) の使用シナリオに焦点を当てます。
- Azure AD 参加
- Hybrid Azure AD 参加
- Azure AD 登録済み
追加情報
AAD の使用シナリオを特定する
コマンド プロンプト ウィンドウを開きます。
次のコマンドを実行して、デバイスの状態を取得します。
dsregcmd.exe /statusコマンド出力で、次の表に示すプロパティの値を調べて、AAD の使用シナリオを特定します。
プロパティ 説明 AzureAdJoined デバイスが AD に参加しているかどうかを示Azure。 EnterpriseJoined デバイスが AD FS に参加しているかどうかを示します。 これは、Windows Hello for Businessがオンプレミスでデプロイおよび管理される、オンプレミス専用の顧客シナリオの一部です。 DomainJoined デバイスが従来のActive Directory ドメインに参加しているかどうかを示します。 WorkplaceJoined 現在のユーザーが現在のプロファイルに職場または学校アカウントを追加したかどうかを示します。 これは、Azure AD 登録済みと呼ばれます。 デバイスが AzureAdJoined の場合、この設定はシステムによって無視されます。
ハイブリッド Azure AD 参加済み
DomainJoined と AzureAdJoined が yes の場合、デバイスはハイブリッド Azure AD 参加済みです。 そのため、デバイスは、Azure Active Directory と従来のActive Directory ドメインに参加します。
ワークフロー
デプロイと実装は、組織によって異なる場合があります。 影響を受けるデバイスを軽減するために独自の内部計画を開発するために必要なツールを提供するために、次のワークフローを設計しました。 ワークフローには次の手順があります。
- 影響を受けるデバイスを特定します。 影響を受ける信頼されたプラットフォーム モジュール (TPM)、キー、デバイスを環境で検索します。
- 影響を受けるデバイスにパッチを適用します。 この記事に記載されているシナリオ固有の手順に従って、識別されたデバイスに対する効果を修正します。
注
- TPM のクリアに関する注意
- 信頼されたプラットフォーム モジュールは、さまざまなサービスやアプリケーションで使用されるシークレットを格納するために使用されるため、TPM をクリアすると、予期しない、または負のビジネス上の影響を受ける可能性があります。 TPM をクリアする前に、TPM でサポートされているシークレットを使用するすべてのサービスとアプリケーションが適切に識別され、シークレットの削除と再作成のために準備されていることを調査し、検証してください。
影響を受けるデバイスを識別する方法
影響を受ける TPM を特定するには、「 Microsoft セキュリティ アドバイザリ ADV170012」を参照してください。
影響を受けるデバイスにパッチを適用する方法
AAD の使用シナリオに従って、影響を受けるデバイスで次の手順を使用します。
AZURE AD 参加
有効なローカル管理者アカウントがデバイスに存在することを確認するか、 ローカル管理者アカウントを作成します。
注
新しいローカル管理者アカウントを使用してデバイスにサインインしてアカウントが動作していることを確認し、管理者特権のコマンド プロンプトを開いて正しいアクセス許可を確認することをお勧めします。
デバイス上の Microsoft アカウントでサインインしている場合は、[設定]、[アカウント>>Email & アプリ アカウント] の順に移動し、接続されているアカウントを削除します。
デバイスのファームウェア更新プログラムをインストールします。
注
TPM ファームウェア更新プログラムを適用するための OEM のガイダンスに従ってください。 OEM から TPM 更新プログラムを取得する方法については、「 Microsoft Security Advisory ADV170012 の手順 4: 該当するファームウェア更新プログラムを適用する」を参照してください。
AZURE AD からデバイスへの参加を解除します。
注
続行する前に、BitLocker キーがローカル コンピューター以外の場所で安全にバックアップされていることを確認してください。
- [設定>System>About] に移動し、[職場または学校の管理または切断] をクリックします。
- [ *<AzureAD>*に接続] をクリックし、[ 切断] をクリックします。
- 受信確認を求められたら、[ はい ] をクリックします。
- "organizationから切断する" というメッセージが表示されたら、[切断] をクリックします。
- デバイスのローカル管理者アカウント情報を入力します。
- [ 後で再起動] をクリックします。
TPM をクリアします。
注
- TPM をクリアすると、デバイスに格納されているすべてのキーとシークレットが削除されます。 続行する前に、TPM を利用している他のサービスが中断または検証されていることを確認します。
Windows 8以降: TPM をクリアするために推奨される 2 つの方法のいずれかを以下に示す場合、BitLocker は自動的に中断されます。
-
Windows 7: 続行する前に、BitLocker の手動による中断が必要です。 (BitLocker の中断の詳細を参照してください)。
TPM をクリアするには、次のいずれかの方法を使用します。
Microsoft 管理コンソールを使用します。
- Win + R キーを押し、「 tpm.msc 」と入力し、[OK] をクリック します。
- [ TPM のクリア] をクリックします。
Clear-Tpm コマンドレットを実行します。
[ 再起動] をクリックします。
メモ 起動時に TPM をクリアするように求められる場合があります。
デバイスが再起動したら、ローカル管理者アカウントを使用してデバイスにサインインします。
デバイスに再参加して AD をAzureします。 次のサインイン時に新しい PIN を設定するように求められる場合があります。
ハイブリッド Azure AD 参加
デバイスで Microsoft アカウントを使用してサインインした場合は、[設定>Accounts>Email &アプリ アカウント] に移動し、接続されているアカウントを削除します。
管理者特権のコマンド プロンプトから、次のコマンドを実行します。
dsregcmd.exe /leave /debug注
コマンド出力は、AzureADJoined: いいえを示す必要があります。
デバイスのファームウェア更新プログラムをインストールします。
注
メモ TPM ファームウェア更新プログラムを適用するための OEM のガイダンスに従ってください。 OEM から TPM 更新プログラムを取得する方法については、「 Microsoft Security Advisory ADV170012 の手順 4: 該当するファームウェア更新プログラムを適用する」を参照してください。
TPM をクリアします。
注
- TPM をクリアすると、デバイスに格納されているすべてのキーとシークレットが削除されます。 続行する前に、TPM を利用している他のサービスが中断または検証されていることを確認します。
Windows 8以降: TPM をクリアするために推奨される 2 つの方法のいずれかを以下に示す場合、BitLocker は自動的に中断されます。
- Windows 7: 続行する前に、BitLocker の手動による中断が必要です。 (BitLocker の中断の詳細を参照してください)。
TPM をクリアするには、次のいずれかの方法を使用します。
Microsoft 管理コンソールを使用します。
- Win + R キーを押し、「 tpm.msc 」と入力し、[OK] をクリック します。
- [ TPM のクリア] をクリックします。
Clear-Tpm コマンドレットを実行します。
[ 再起動] をクリックします。
メモ 起動時に TPM をクリアするように求められる場合があります。
デバイスが起動すると、Windows は新しいキーを生成し、デバイスに自動的に再参加して AD Azureします。 この期間中は、引き続きデバイスを使用できます。 ただし、Microsoft Outlook、OneDrive、SSO または条件付きアクセス ポリシーを必要とするその他のアプリケーションなどのリソースへのアクセスが制限される場合があります。
Azure AD 登録済み
メモ Microsoft アカウントを使用する場合は、パスワードを知っている必要があります。
デバイスのファームウェア更新プログラムをインストールします。
注
TPM ファームウェア更新プログラムを適用するための OEM のガイダンスに従ってください。 OEM から TPM 更新プログラムを取得する方法については、「 Microsoft Security Advisory ADV170012 の手順 4: 該当するファームウェア更新プログラムを適用する」を参照してください。
Azure AD 職場アカウントを削除します。
- [設定>Accounts>職場または学校にアクセスする] に移動し、職場または学校のアカウントをクリックし、[切断] をクリックします。
- プロンプトで [ はい ] をクリックして、切断を確認します。
TPM をクリアします。
注
- TPM をクリアすると、デバイスに格納されているすべてのキーとシークレットが削除されます。 続行する前に、TPM を利用している他のサービスが中断または検証されていることを確認します。
Windows 8以降: TPM をクリアするために推奨される 2 つの方法のいずれかを以下に示す場合、BitLocker は自動的に中断されます。
- Windows 7: 続行する前に、BitLocker の手動による中断が必要です。 (BitLocker の中断の詳細を参照してください)。
TPM をクリアするには、次のいずれかの方法を使用します。
Microsoft 管理コンソールを使用します。
- Win + R キーを押し、「 tpm.msc 」と入力し、[OK] をクリック します。
- [ TPM のクリア] をクリックします。
Clear-Tpm コマンドレットを実行します。
[ 再起動] をクリックします。
メモ 起動時に TPM をクリアするように求められる場合があります。
PIN を持つ Microsoft アカウントを使用した場合は、パスワードを使用してデバイスにサインインする必要があります。
職場アカウントをデバイスに再度追加します。
[設定>Accounts>職場または学校にアクセスし、[接続] をクリックします。
職場アカウントを入力し、[ 次へ] をクリックします。
職場アカウントとパスワードを入力し、[ サインイン] をクリックします。
organizationが、デバイスを AD Azureに参加させるために Multi-Factor Authentication Azure構成している場合は、続行する前に 2 番目の要素を指定します。
表示される情報が正しいことを確認し、[ 参加] をクリックします。 次のメッセージが表示されます。
You’re all set! We’ve added your account successfully You now have access to your organizations apps and services.