Server Secured-Core nabízí funkce zabezpečení pro hardware, firmware, ovladače a OS při práci s kritickými daty a programy. V tomto návodu vám ukážeme, jak na to nakonfigurovat server se zabezpečeným jádrem pomocí Centra pro správu systému Windows, prostředí Windows Server Desktop Experience a zásad skupiny.
Jak povolím Secured Core?
Chcete-li povolit Secured-core, můžete použít Centrum pro správu systému Windows. Musíte jít do Zabezpečení > Zabezpečené jádro a povolit všechny funkce. Chcete-li vědět více nebo najít alternativní metody, podívejte se na níže uvedenou příručku.
Jak nakonfigurovat Secured-core Server pro Windows Server
Secured-core je sada funkcí, která zahrnuje vestavěné zabezpečení hardwaru, firmwaru, ovladačů a operačního systému. Tato ochrana se spouští před spuštěním operačního systému a pokračuje, dokud je spuštěn. Servery se zabezpečeným jádrem jsou navrženy tak, aby byly bezpečnou platformou pro důležitá data a aplikace.
Než budeme pokračovat a konfigurovat server Secured-core, musíme si ujasnit několik věcí.
- Musíte se ujistit, že vaše zařízení má Zabezpečené spouštění a je povoleno.
- Také, TPM 2.0 je potřeba ke spuštění serveru Secure-core.
- Firmware systému musí splňovat podmínky před spuštěním Požadavky na ochranu DMA a nastavte příslušné příznaky v tabulkách ACPI pro povolení Ochrana jádra DMA . Další informace najdete v tématu Ochrana DMA jádra (ochrana přístupu k paměti) pro výrobce OEM.
- Musíte mít virtualizační rozšíření, IOMMU, a Dynamický kořen důvěry pro měření povoleno v BIOSu.
- A konečně, pokud máte systém založený na AMD, musíte povolit Transparent Secure Memory Encryption.
Pokud máte tyto věci na místě, nakonfigurujte server se zabezpečeným jádrem pomocí jedné z následujících metod.
- Pomocí Centra pro správu systému Windows
- Použití správy počítače
- Použití zásad skupiny
Promluvme si o nich podrobně.
1] Pomocí Centra pro správu systému Windows
choice.microsoft.com/en-gb/opt out
Nejprve musíme povolit Secured-core server pomocí Windows Admin Center. Chcete-li tak učinit, postupujte podle níže uvedených kroků.
- Otevřete Centrum pro správu systému Windows a přihlaste se na portál.
- Nyní musíte vybrat server, který chcete konfigurovat.
- Pak přejděte na Zabezpečení > Zabezpečené jádro.
- Vyhledejte položky Zabezpečení, které jsou nastaveny na Nenakonfigurováno, a poté je nastavte na Povolit.
- Budete vyzváni k výběru Naplánujte restart systému, tak to udělejte a poté restartujte podle potřeby.
Nyní, když jsme jej povolili, musíme zkontrolovat, zda je nakonfigurován. Na portálu Windows Admin Center tedy musíte přejít na server a poté na něj přejít Zabezpečení > Zabezpečené jádro . Poté zkontrolujte všechny bezpečnostní prvky; měly by být nakonfigurovány.
2] Pomocí GUI
jak přistupovat k souborům z jiného uživatelského účtu Windows 10
Pokud nechcete používat Centrum pro správu systému Windows, povolíme tuto funkci z grafického uživatelského rozhraní. Chcete-li provést totéž, můžete postupovat podle níže uvedených kroků.
- Z Nástroje pro správu Windows, OTEVŘENO Správa počítače.
- Pak musíte jít do Správce zařízení a ujistěte se, že s ovladači nejsou žádné problémy. Uživatelé AMD musí mít spouštěcí ovladač DRTM.
- Pak přejděte na Zabezpečení Windows > Zabezpečení zařízení > Podrobnosti o izolaci jádra a povolit Integrita paměti a Ochrana firmwaru.
- Restartujte počítač.
Jakmile to povolíte, musíme to ověřit.
Chcete-li to provést, otevřete Spustit a zadejte msinfo32.exe, a otevřete jej. Poté se ujistěte, že následující věci jsou nastaveny na uvedené hodnoty.
- Secure Boot State – On
- Kernal DMA Protection – On
- Zabezpečení založené na virtualizaci – běží
- Zabezpečení na bázi virtualizace běží – Hypervisor vynucuje integritu kódu a bezpečné spouštění.
To udělá práci za vás.
Číst: Jak spustit, zastavit a restartovat službu zálohování serveru Windows
3] Použití zásad skupiny
Pokud chcete nakonfigurovat Secured-boot pro skupinu uživatelů připojených k vaší doménové síti, budete muset použít Editor zásad skupiny. Protože má GPO centralizovanou správu a konfiguraci operačních systémů, aplikací a nastavení uživatelů, můžete zde provádět změny, které se projeví ve všech ostatních zařízeních připojených k vaší síti. Aby to fungovalo, postupujte podle níže uvedených kroků.
- Otevřete Konzola pro správu zásad skupiny.
- Musíte vytvořit skupinu nebo ji upravit a přidat všechny požadované členy, aby se na ně vztahovaly zásady.
- Přejít na Konfigurace počítače > Šablony pro správu > Systém > Ochrana zařízení.
- Dvakrát klikněte na Zapněte zabezpečení založené na virtualizaci.
- Nyní jej povolte a poté proveďte následující konfiguraci.
- Pro Úroveň zabezpečení platformy vyberte Secure Boot and DMA Protection.
- Vyberte buď Povoleno bez zámku nebo Povoleno se zámkem UEFI pro ochranu integrity kódu založené na virtualizaci.
- Vyberte možnost Povoleno pro konfiguraci zabezpečeného spouštění.
- Poté klikněte na OK.
Nakonec můžete restartovat počítač a použít změny.
Pokud je povolen zámek UEFI pro ochranu integrity kódu založenou na virtualizaci, nelze jej vzdáleně deaktivovat. Chcete-li jej vypnout, nastavte Zásady skupiny na „Zakázáno“ a odeberte funkci zabezpečení z každého počítače s fyzicky přítomným uživatelem, abyste vymazali konfiguraci přetrvávající v UEFI.
Chcete-li ověřit, zda je povoleno, spusťte gpresult /SCOPE COMPUTER /R /V v PowerShell (jako správce) nebo otevřete msinfo32.exe z Spustit a zjistěte, zda jsou zde všechna nastavení virtualizace, která jsme ověřili v předchozí metodě, nebo ne.
To je vše!
Číst: Rozdíly ve funkcích systému Windows Server 2022 vs 2019 vs 2016
comodo internetová bezpečnost zdarma
Jak zajistím, aby byl můj server bezpečnější?
Můžete udělat několik věcí, aby byl váš server bezpečnější, jako je pravidelná instalace všech bezpečnostních záplat, zajištění obnovy certifikátu SSL, konfigurace zásad, aby se do vašeho počítače nedostala žádná nelicencovaná aplikace, povolení brány firewall a další. .
Přečtěte si také: Zálohujte a obnovte Active Directory v systému Windows Server.
