服务器设备证明文件,设备运行状况证明

设备运行状况证明

10/12/2016

本文内容

适用于： Windows server 2022、Windows server 2019 Windows Server 2016

设备运行状况证明 (DHA) 在 Windows 10 版本 1507 中引入，它包括以下方面：

根据开放移动联盟 (OMA) 标准与 Windows 10 移动设备管理 (MDM) 框架集成。

支持装有设置为固件或离散格式的受信任模块平台 (TPM) 的设备。

使企业能够将组织的安全栏提升到受监视和已证明安全的硬件，对操作成本只有极小影响或无影响。

从 Windows Server 2016 开始，现在可以运行 DHA 服务作为组织内的服务器角色。 使用本主题以了解如何安装和配置设备运行状况证明服务器角色。

概述

可以使用 DHA 来评估设备运行状况：

支持 TPM 1.2 或 2.0 的 Windows 10 和 Windows 10 移动设备。

通过使用可访问 Internet 的 Active Directory 来管理的本地设备、通过使用无法访问 Internet 的 Active Directory 来管理的设备、通过 Azure Active Directory 管理的设备，或同时使用 Active Directory 和 Azure Active Directory 的混合部署。

DHA 服务

DHA 服务为设备验证 TPM 和 PCR 日志，然后发布 DHA 报表。 Microsoft 以下面三种方式提供 DHA 服务：

DHA 云服务 Microsoft 管理的 DHA 是免费的地域负载平衡服务，并对来自世界不同地区的访问进行了优化。

DHA 本地服务 在 Windows Server 2016 中引入的新的服务器角色。 具有 Windows Server 2016 许可证的客户可免费使用。

DHA Azure 云服务 Microsoft Azure 中的虚拟主机。 若要执行此操作，需要为 DHA 本地服务提供虚拟主机和许可证。

DHA 服务与 MDM 解决方案相集成，并提供以下功能：

将其从设备收到的信息(通过现有的设备管理通信渠道)与 DHA 报表相组合

基于已证明的硬件和受保护的数据，作出更安全且更受信任的安全决策

以下示例演示了如何使用 DHA 来帮助提升组织资产的安全保护栏。

创建一个策略来检查以下引导配置/特性：

安全启动

BitLocker

ELAM

MDM 解决方案强制实施此策略，并触发基于 DHA 报表数据的纠正操作。 例如，它可以验证以下方面：

安全启动已启用，设备加载了可靠的受信任代码，且 Windows 启动加载器未被篡改。

受信任的引导已成功验证 Windows 内核以及设备启动时加载的组件的数字签名。

标准引导创建了可远程验证的受 TPM 保护的审核线索。

BitLocker 已启用，当设备关闭时它可以保护数据。

ELAM 在早