HoloLens 2 安全性基準

• 適用於:

  HoloLens 2

重要

此安全性基準中使用的一些原則會在最新的 測試人員組建中引進。 這些原則只會在更新為最新測試人員組建的裝置上運作。

本文列出並說明您可以使用設定服務提供者 (CSP) ，在 HoloLens 2 上設定的各種安全性基準設定。 在行動裝置管理中使用 Microsoft 端點管理員 (正式稱為 Microsoft Intune) ，根據您的組織原則和需求，使用下列標準或進階安全性基準設定。 使用這些安全性基準設定來協助保護您的組織資源。

• 標準安全性基準設定適用於所有類型的使用者，不論使用案例和產業垂直。
• 進階安全性基準設定是針對其環境具有嚴格安全性控制的使用者建議的設定，而且需要其環境中所用裝置的嚴格安全策略。

這些安全性基準設定是以 Microsoft 在各種產業中部署和支援 HoloLens 2 裝置方面所取得的最佳做法指導方針和經驗為基礎。

檢閱安全性基準並決定使用其中一個、兩者或部分之後，請查看 如何啟用這些安全性基底線

1.標準安全性基準設定

下列各節說明每個 CSP 的建議設定，作為標準安全性基準配置檔的一部分。

1.1 原則 CSP

原則名稱	值	描述
帳戶
Accounts/AllowMicrosoftAccountConnection	0 – 不允許	限制使用者對非電子郵件相關的連線驗證和服務使用 MSA 帳戶。
應用程式管理
ApplicationManagement/AllowAllTrustedApps	0 - 明確拒絕	明確拒絕非 Microsoft Store 應用程式。
ApplicationManagement/AllowAppStoreAutoUpdate	1 – 允許	允許從 Microsoft Store 自動更新應用程式。
ApplicationManagement/AllowDeveloperUnlock	0 - 明確拒絕	限制使用者解除鎖定開發人員模式，讓使用者可從IDE在裝置上安裝應用程式。
瀏覽器
Browser/AllowCookies	1 – 僅封鎖來自第三方網站的 Cookie	使用此原則，您可以將 Microsoft Edge 設定為只封鎖第三方 Cookie 或封鎖所有 Cookie。
Browser/AllowPasswordManager	0 – 不允許	不允許 Microsoft Edge 使用密碼管理員。
Browser/AllowSmartScreen	1 – 開啟	開啟 Windows Defender SmartScreen，並防止使用者將其關閉。
連線能力
Connectivity/AllowUSBConnection	0 – 不允許	停用裝置與計算機之間的 USB 連線，以將檔案與裝置同步，或使用開發人員工具來部署或偵錯應用程式。
裝置鎖定
DeviceLock/AllowIdleReturnWithoutPassword	0 – 不允許	不允許在沒有 PIN 或密碼的情況下從閑置傳回。
DeviceLock/AllowSimpleDevicePassword	0 – 已封鎖	封鎖 PIN 或密碼，例如 「1111」 或 「1234」。。
DeviceLock/AlphanumericDevicePasswordRequired	1 – 需要密碼或數位 PIN	需要密碼或英數位元 PIN。
DeviceLock/DevicePasswordEnabled	0 – 啟用	已啟用裝置鎖定。
DeviceLock/MaxInactivityTimeDeviceLock	整數 X，其中 0 < X < 999 建議值：3	指定裝置閑置后， (分鐘) 允許的時間上限，導致裝置變成 PIN 或密碼鎖定。
DeviceLock/MinDevicePasswordComplexCharacters	1 - 僅限數位	強式 PIN 或密碼所需的複雜元素類型 (大寫和小寫字母、數字和標點符號) 數目。
DeviceLock/MinDevicePasswordLength	用戶端裝置的 4 < X 16 整數 XRecommended < 值：8	指定 PIN 或密碼中所需的最小數目或字元。
MDM 註冊
Experience/AllowManualMDMUnenrollment	0 – 不允許	不允許使用者使用工作場所控制面板刪除工作場所帳戶。
身分識別
MixedReality/AADGroupMembershipCacheValidityInDays	快取為 validRecommended 值的天數：7 天	Microsoft Entra 群組成員資格快取應該有效的天數。
電源
Power/DisplayOffTimeoutPluggedIn	秒數的閑置時間Recommended 值：60 秒	可讓您在 Windows 關閉顯示器之前指定非使用中的期間。
設定
Settings/AllowVPN	0 – 不允許	不允許使用者變更 VPN 設定。
Settings/PageVisibilityList	用戶可看見之頁面的縮短名稱。 將提供UI以選取或取消選取頁面名稱。 請參閱建議頁面的批注以隱藏。	只允許在 [設定] 應用程式中向用戶顯示列出的頁面。
系統
System/AllowStorageCard	0 – 不允許	不允許使用 SD 記憶卡，並停用 USB 磁碟驅動器。 此設定不會防止以程式設計方式存取儲存卡。
更新
Update/AllowUpdateService	1 – 允許	允許存取 Microsoft Update、Windows Server Update Services (WSUS) 或 Microsoft Store。
Update/ManagePreviewBuilds	0 - 停用預覽組建	不允許在裝置上安裝預覽組建。

1.2 ClientCertificateInstall CSP

建議您將此 CSP 設定為最佳做法，但對於此 CSP 中的每個節點沒有特定值的建議。

1.3 PassportForWork CSP

節點名稱	值	描述
租用戶識別碼	TenantId	全域唯一標識碼 (GUID) ，不含大括弧 ( { 、 } ) ，用來作為 Windows Hello 企業版 布建和管理的一部分。
TenantId/Policies/UsePassportForWork	對	將 Windows Hello 企業版 設定為登入 Windows 的方法。
TenantId/Policies/RequireSecurityDevice	對	Windows Hello 企業版 需要信任的平臺模組 (TPM) 。
TenantId/Policies/ExcludeSecurityDevices/TPM12	False	TPM 修訂 1.2 模組可搭配 Windows Hello 企業版 使用。
TenantId/Policies/EnablePinRecovery	False	不會建立或儲存 PIN 修復秘密。
TenantId/Policies/UseCertificateForOnPremAuth	False	當使用者登入時，不會等待憑證承載，就會布建 PIN。
TenantId/Policies/PINComplexity/MinimumPINLength	6	PIN 長度必須大於或等於這個數位。
TenantId/Policies/PINComplexity/MaximumPINLength	6	PIN 長度必須小於或等於這個數位。
TenantId/Policies/PINComplexity/UppercaseLetters	2	需要數位，而且不允許所有其他字元集。
TenantId/Policies/PINComplexity/LowercaseLetters	2	需要數位，而且不允許所有其他字元集。
TenantId/Policies/PINComplexity/SpecialCharacters	2	不允許在 PIN 中使用特殊字元。
TenantId/Policies/PINComplexity/Digits	0	允許在 PIN 中使用數位。
TenantId/Policies/PINComplexity/History	10	無法重複使用之用戶帳戶的過去 PIN 數目。
TenantId/Policies/PINComplexity/Expiration	90	) 系統要求使用者變更 PIN 之前， (天數 (。
TenantId/Policies/UseHelloCertificatesAsSmartCardCertificates	False	當使用者要求使用者授權使用憑證私鑰時，應用程式不會使用 Windows Hello 企業版 憑證作為智慧卡憑證，而且生物特徵辨識因素可供使用。

1.4 RootCATrustedCertificates CSP

建議您在此 CSP 中設定 Root、CA、TrustedPublisher 和 TrustedPeople 節點作為最佳做法，但不建議在此 CSP 中的每個節點上使用特定值。

1.5 TenantLockdown CSP

節點名稱	值	描述
RequireNetworkInOOBE	對	當裝置在第一次登入或重設之後通過 OOBE 時，用戶必須先選擇網路，再繼續進行。 沒有 [立即略過] 選項。 此選項可確保裝置在意外或刻意重設或抹除時，仍會系結至租使用者。

1.6 VPNv2 CSP

我們建議將此 CSP 設定為最佳做法，但在此 CSP 中的每個節點沒有特定值的建議。 大部分的設定都與客戶環境相關。

1.7 WiFi CSP

我們建議將此 CSP 設定為最佳做法，但在此 CSP 中的每個節點沒有特定值的建議。 大部分的設定都與客戶環境相關。

2 進階安全性基準設定

下列各節將說明每個 CSP 的建議設定，作為進階安全性基準配置檔的一部分。

2.1 原則 CSP

原則名稱	值	描述
帳戶
Accounts/AllowMicrosoftAccountConnection	0 – 不允許	限制使用者對非電子郵件相關的連線驗證和服務使用 MSA 帳戶。
應用程式管理
ApplicationManagement/AllowAllTrustedApps	0 - 明確拒絕	明確拒絕非 Microsoft Store 應用程式。
ApplicationManagement/AllowAppStoreAutoUpdate	1 – 允許	允許從 Microsoft Store 自動更新應用程式。
ApplicationManagement/AllowDeveloperUnlock	0 - 明確拒絕	限制使用者解除鎖定開發人員模式，讓使用者可從IDE在裝置上安裝應用程式。
驗證
Authentication/AllowFastReconnect	0 – 不允許	不允許EAP快速重新連線嘗試 EAP 方法 TLS。
Bluetooth
Bluetooth/AllowDiscoverableMode	0 – 不允許	其他裝置將無法偵測此裝置。
瀏覽器
Browser/AllowAutofill	0 – 禁止/不允許	防止使用者使用自動填入功能自動填入 Microsoft Edge 中的表單域。
Browser/AllowCookies	1 – 僅封鎖來自第三方網站的 Cookie	僅封鎖來自第三方網站的 Cookie。
Browser/AllowDoNotTrack	0 - 永不傳送追蹤資訊	永不傳送追蹤資訊。
Browser/AllowPasswordManager	0 – 不允許	不允許 Microsoft Edge 使用密碼管理員。
Browser/AllowPopups	1 – 開啟快顯封鎖程式	開啟快顯封鎖程式，停止彈出窗口開啟。
Browser/AllowSearchSuggestionsinAddressBar	0 – 禁止/不允許	在 Microsoft Edge 的網址列中隱藏搜尋建議。
Browser/AllowSmartScreen	1 – 開啟	開啟 Windows Defender SmartScreen，並防止使用者將其關閉。
連線能力
Connectivity/AllowBluetooth	0 – 不允許藍牙	藍牙控制面板呈現灰色，用戶將無法開啟藍牙。
Connectivity/AllowUSBConnection	0 – 不允許	停用裝置與計算機之間的 USB 連線，以將檔案與裝置同步，或使用開發人員工具來部署或偵錯應用程式。
裝置鎖定
DeviceLock/AllowIdleReturnWithoutPassword	0 – 不允許	不允許在沒有 PIN 或密碼的情況下從閑置傳回。
DeviceLock/AllowSimpleDevicePassword	0 – 已封鎖	封鎖 PIN 或密碼，例如 「1111」 或 「1234」。。
DeviceLock/AlphanumericDevicePasswordRequired	0 – 需要密碼或英數位元 PIN	需要密碼或英數位元 PIN。
DeviceLock/DevicePasswordEnabled	0 – 啟用	已啟用裝置鎖定。
DeviceLock/DevicePasswordHistory	整數 X，其中 0 < X < 50Recommended 值：15	指定可以將多少個密碼儲存在無法使用的記錄中。
DeviceLock/MaxDevicePasswordFailedAttempts	用戶端裝置的 4 < X 16 整數 XRecommended < 值：10	抹除裝置之前，允許的驗證失敗數目。
DeviceLock/MaxInactivityTimeDeviceLock	整數 X，其中 0 < X < 999 建議值：3	指定裝置閑置后， (分鐘) 允許的時間上限，導致裝置變成 PIN 或密碼鎖定。
DeviceLock/MinDevicePasswordComplexCharacters	3 - 需要數位、小寫字母和大寫字母	強式 PIN 或密碼所需的複雜元素類型 (大寫和小寫字母、數字和標點符號) 數目。
DeviceLock/MinDevicePasswordLength	整數 X，其中用戶端裝置的 4 < X < 16Recommended 值：12	指定 PIN 或密碼中所需的最小數目或字元。
MDM 註冊
Experience/AllowManualMDMUnenrollment	0 – 不允許	不允許使用者使用工作場所控制面板刪除工作場所帳戶。
身分識別
MixedReality/AADGroupMembershipCacheValidityInDays	快取為 validRecommended 值的天數：7 天	Microsoft Entra 群組成員資格快取應該有效的天數。
電源
Power/DisplayOffTimeoutPluggedIn	秒數的閑置時間Recommended 值：60 秒	可讓您在 Windows 關閉顯示器之前指定非使用中的期間。
隱私權
Privacy/LetAppsAccess AccountInfo	2 - 強制拒絕	拒絕 Windows 應用程式存取帳戶資訊。
Privacy/LetAppsAccess AccountInfo_ForceAllowTheseApps	Windows 應用程式的分號分隔套件系列名稱清單	列出的 Windows 應用程式允許存取帳戶資訊。
Privacy/LetAppsAccess AccountInfo_ForceDenyTheseApps	Windows 應用程式的分號分隔套件系列名稱清單	列出的 Windows 應用程式拒絕存取帳戶資訊。
Privacy/LetAppsAccess AccountInfo_UserInControlOfTheseApps	Windows 應用程式的分號分隔套件系列名稱清單	用戶可以控制所列出 Windows 應用程式的帳戶資訊隱私權設定。
Privacy/LetAppsAccess BackgroundSpatialPerception	2 - 強制拒絕	拒絕 Windows 應用程式在背景中執行時，存取使用者頭部、手部、動作控制器和其他追蹤對象的移動。
Privacy/LetAppsAccess BackgroundSpatialPerception_ForceAllowTheseApps	Windows 市集應用程式的分號分隔套件系列名稱清單	當應用程式在背景中執行時，允許存取用戶移動列出的應用程式。
Privacy/LetAppsAccess BackgroundSpatialPerception_ForceDenyTheseApps	Windows 市集應用程式的分號分隔套件系列名稱清單	當應用程式在背景中執行時，列出的應用程式會拒絕使用者移動的存取權。
Privacy/LetAppsAccess sBackgroundSpatialPerception_UserInControlOfTheseApps	Windows 市集應用程式的分號分隔套件系列名稱清單	用戶能夠控制所列出應用程式的用戶移動隱私權設定。
Privacy/LetAppsAccess Microphone_ForceDenyTheseApps	Microsoft Store Apps 的分號分隔套件系列名稱清單	列出的應用程式無法存取麥克風。
Privacy/LetAppsAccess Microphone_UserInControlOfTheseApps	Microsoft Store Apps 的分號分隔套件系列名稱清單	用戶可以控制所列出應用程式的麥克風隱私權設定。
搜尋
Search/AllowSearchToUseLocation	0 – 不允許	不允許搜尋使用位置資訊。
安全性
Security/AllowAddProvisioningPackage	0 – 不允許	不允許運行時間設定代理程式安裝布建套件。
設定
Settings/AllowVPN	0 – 不允許	不允許使用者變更 VPN 設定。
Settings/PageVisibilityList	用戶可見頁面的縮短名稱會提供UI來選取或取消選取頁面名稱。 請參閱建議頁面的批注以隱藏。	只允許在 [設定] 應用程式中向用戶顯示列出的頁面。
系統
System/AllowStorageCard	0 – 不允許	不允許使用 SD 記憶卡，並停用 USB 磁碟驅動器。 此設定不會防止以程式設計方式存取儲存卡。
System/AllowTelemetry	0 - 不允許	不允許裝置傳送診斷和使用方式遙測數據，例如 Watson。
更新
Update/AllowUpdateService	1 – 允許	允許存取 Microsoft Update、Windows Server Update Services (WSUS) 或 Microsoft Store。
Update/ManagePreviewBuilds	0 - 停用預覽組建	不允許在裝置上安裝預覽組建。
Wi-Fi
Wifi/AllowManualWiFiConfiguration	0 – 不允許	不允許連線到 MDM 伺服器安裝網路外部 Wi-Fi。

2.2 AccountManagement CSP

節點名稱	值	描述
UserProfileManagement/EnableProfileManager	對	啟用共享或行動裝置案例的配置檔存留期管理。
UserProfileManagement/DeletionPolicy	2 - 同時達到儲存體容量閾值和設定檔非使用狀態閾值時刪除	設定何時刪除配置檔。
UserProfileManagement/StorageCapacityStartDeletion	25%	當可用的記憶體容量低於此閾值時，請開始刪除配置檔，以設定檔可用的總記憶體百分比表示。 先刪除已非使用中時間最長的配置檔。
UserProfileManagement/StorageCapacityStopDeletion	50%	當可用的記憶體容量達到此閾值時，請停止刪除配置檔，以設定檔可用的總記憶體百分比表示。
UserProfileManagement/ProfileInactivityThreshold	30	在指定期間內尚未登入設定檔時，開始刪除配置檔，指定為天數。

2.3 ApplicationControl CSP

節點名稱	值	描述
原則/原則 GUID	原則 Blob 中的原則標識碼	原則 Blob 中的原則標識碼。
原則/原則 GUID/原則	原則 Blob	以base64編碼的原則二進位 Blob。

2.4 ClientCertificateInstall CSP

建議您將此 CSP 設定為最佳做法，但對於此 CSP 中的每個節點沒有特定值的建議。

2.5 PassportForWork CSP

節點名稱	值	描述
租用戶識別碼	TenantId	全域唯一標識碼 (GUID) ，不含大括弧 ( { 、 } ) ，用於 Windows Hello 企業版 布建和管理的一部分。
TenantId/Policies/UsePassportForWork	對	將 Windows Hello 企業版 設定為登入 Windows 的方法。
TenantId/Policies/RequireSecurityDevice	對	需要信任的平臺模組 (TPM) ，以進行 Windows Hello 企業版。
TenantId/Policies/ExcludeSecurityDevices/TPM12	False	TPM 修訂 1.2 模組可搭配 Windows Hello 企業版 使用。
TenantId/Policies/EnablePinRecovery	False	不會建立或儲存 PIN 修復密碼。
TenantId/Policies/UseCertificateForOnPremAuth	False	當使用者登入時會布建 PIN，而不需要等待憑證承載。
TenantId/Policies/PINComplexity/MinimumPINLength	6	PIN 長度必須大於或等於這個數位。
TenantId/Policies/PINComplexity/MaximumPINLength	6	PIN 長度必須小於或等於這個數位。
TenantId/Policies/PINComplexity/UppercaseLetters	2	需要數位，而且不允許所有其他字元集。
TenantId/Policies/PINComplexity/LowercaseLetters	2	需要數位，而且不允許所有其他字元集。
TenantId/Policies/PINComplexity/SpecialCharacters	2	不允許在 PIN 中使用特殊字元。
TenantId/Policies/PINComplexity/Digits	0	允許在 PIN 中使用數位。
TenantId/Policies/PINComplexity/History	10	無法重複使用之用戶帳戶的過去 PIN 數目。
TenantId/Policies/PINComplexity/Expiration	90	) 系統要求使用者變更 PIN 之前， (天數 (。
TenantId/Policies/UseHelloCertificatesAsSmartCardCertificates	False	當要求使用者授權使用憑證私鑰時，應用程式不會使用 Windows Hello 企業版 憑證作為智慧卡憑證，而生物特徵辨識因素則可供使用。

2.6 RootCATrustedCertificates CSP

建議您在此 CSP 中設定 Root、CA、TrustedPublisher 和 TrustedPeople 節點作為最佳做法，但不建議在此 CSP 中的每個節點上使用特定值。

2.7 TenantLockdown CSP

節點名稱	值	描述
RequireNetworkInOOBE	對	當裝置在第一次登入或重設之後通過 OOBE 時，用戶必須先選擇網路，再繼續進行。 沒有 [立即略過] 選項。 這可確保裝置在意外或刻意重設或抹除時仍會系結至租使用者。

2.8 VPNv2 CSP

我們建議將 VPN 設定檔設定為最佳做法，但不建議在此 CSP 中的每個節點使用特定值。 大部分的設定都與客戶環境相關。

2.9 WiFi CSP

我們建議將WiFi設定檔設定為最佳做法，但不建議在此CSP中的每個節點使用特定值。 大部分的設定都與客戶環境相關。

如何啟用這些安全性基底線

1. 檢閱安全性基準，並決定要套用哪些專案。
2. 決定您要指派基準的 Azure 群組。 (更多使用者和群組)
3. 建立基準。

以下是如何建立基準。

許多設定都可以使用 [設定] 目錄來新增，不過有時可能有尚未填入 [設定] 目錄的設定。 在這些情況下，您將使用自定義原則或 OMA-URI (開放行動聯盟 - 統一資源識別碼) 。 從查看 [設定] 目錄開始，如果找不到，請遵循下列指示，透過 OMA-URI 建立自定義原則。

設定目錄

在 MEM 系統管理中心登入您的帳戶。

1. 流覽至 [裝置- 組態配置檔]> ->+[建立配置檔]。 針對 [平臺]，選取 [Windows 10 及更新版本]，然後針對配置檔類型選取 [設定目錄 (預覽) 。
2. 建立設定檔的名稱，然後選取 [ 下一步] 按鈕。
3. 在 [組態設定] 畫面上，選取 [+ 新增設定]。

使用上述基準中的原則名稱，您可以搜尋原則。 設定目錄會空格顯示名稱，因此若要尋找 “Accounts/AllowMicrosoftAccountConnection”，您必須搜尋 [允許 Microsoft 帳戶連線]。 搜尋之後，您會看到原則清單縮減為只有具有此原則的 CSP。 選取 [帳戶 ] (或您目前搜尋) 的相關 CSP，一旦您看到下列原則結果。 核取原則的方塊。

完成後，左側的面板會新增 CSP 類別，以及您新增的設定。 您可以從這裡將它從預設設定設定設定為一個更安全。

您可以繼續將多個組態新增至相同的配置檔，這可讓您更輕鬆地一次指派。

新增自定義 OMA-URI 原則

某些原則可能尚未在 [設定] 目錄中提供。 針對這些原則，您必須 建立自定義的 OMA-URI 配置檔。在 MEM 系統管理中心登入您的帳戶。

1. 流覽至 [裝置- 組態配置檔]> ->+[建立配置檔]。 針對 [平臺]，選取 [Windows 10 及更新版本]，然後針對配置檔類型選取 [範本]，然後選取 [自定義]。
2. 建立設定檔的名稱，然後選取 [ 下一步] 按鈕。
3. 選取 [新增] 按鈕。

您必須填寫一些欄位。

• 名稱，您可以將它命名為與原則相關的任何專案。 這可以是您用來辨識它的速記名稱。
• 描述將會是您可能需要的更多詳細數據。
• OMA-URI 會是原則所在的完整 OMA-URI 字串。 範例： ./Vendor/MSFT/Policy/Config/MixedReality/AADGroupMembershipCacheValidityInDays
• 數據類型是此原則接受的值類型。 在此範例中，它是介於 0 到 60 之間的數位，因此已選取 Integer。
• 選取資料類型之後，您將能夠寫出或上傳欄位中所需的值。

完成後，您的原則就會新增至主視窗。 您可以繼續將所有自訂原則新增至相同的自定義組態。 這有助於減少管理多個裝置組態，並讓指派更容易。