OSConfig は、デバイスで既知の良好なセキュリティ状態を適用して維持する、Windows Server用のセキュリティ構成ツールです。 定義済みの設定グループであるシナリオを使用して、ライフ サイクル全体にわたってオンプレミスおよびAzure Arcに接続されたデバイスに一貫した構成を提供します。
時間の経過と同時に、サーバーは意図したセキュリティ構成から離れ、多くのデバイスや管理ツールに一貫して設定を適用することは、手作業では困難です。 OSConfig は、この誤差を自動的に検出して修正することで、各デバイスを意図した状態に保つのに役立ちます。そのため、サーバーはセキュリティで保護され、準拠しています。
この記事では、OSConfig の概要、OSConfig のしくみ、および OSConfig がサポートするシナリオについて説明します。これにより、サーバーをセキュリティで保護して保守する方法を決定できます。
OSConfig のしくみ
OSConfig スタックは、基本コマンドレット、ネイティブ API、および目的の状態構成を定義するシナリオ定義で構成されます。 シナリオ定義は、構成のデータドリブンの説明です。 構成は、サブエリアに対応する定義済みの順序と依存関係を持つ名前と値のペアを使用する設定のグループです。
オブジェクト モデルの設計はデータ ドリブンであり、デバイス構成のためにWindows オペレーティング システム (OS) のさまざまなプロバイダーにマッピングできます。 次の図では、OSConfig フローについて説明します。
管理ツールがデバイスに構成を適用する方法を示す OSConfig スタックのフローチャート。 上部には、3 つの帯域外管理ソースが破線の上に配置されます。Windows Admin Center、Azure Policyとマシンの構成、ローカル ツールです。 各ソースには、OSConfig PowerShell モジュールを指す矢印があり、図の幅は帯域外というラベルが付いたバンドにまたがっています。 1 つの矢印は、OSConfig PowerShell モジュールから Device というラベルのコンテナーに導きます。 デバイス コンテナー内では、3 つの積み重ねられたボックスが順番に下向きの矢印で接続されます。OSConfig API とプラットフォームは、CSP やレジストリなどの構成プロバイダーに渡され、セキュリティ機能が適用されます。
Windows Server 2025 では、OSConfig はAzure Policy、Microsoft Defender、Windows Admin Center、およびAzure Policyコンピューターの構成と統合して、監視とコンプライアンスレポートをサポートします。 また、マッピングの改善や、他の既存の管理定義との直接変換も可能になります。 これらの定義には、グループ ポリシーの .admx ファイル、Windows Management Instrumentation (WMI) の .mof ファイル、構成サービス プロバイダー (CSP) の Device Description Framework (DDF) ファイルが含まれます。
1 つのプラットフォームとして、OSConfig:
- 構成、修復、監視、レポート、バージョン管理など、デバイスのライフ サイクル全体に構成ペイロードを適用します。
- Windows Admin Center、Azure Arc、PowerShell、Azure Policy、Azure Policyコンピューターの構成全体で一貫して動作します。
- オーケストレーション ディレクティブを使用して、設定間の前提条件と依存関係を尊重します。
- 構成ドリフトの検出、レポート、および修正によって、目的の状態を維持します。
OSConfig ドリフト制御
OSConfig の主な機能の 1 つは 、ドリフト制御です。 これにより、システムが起動し、既知の良好なセキュリティ状態のままであることを確認できます。 有効にすると、OSConfig は、目的の状態から逸脱したシステム変更を自動的に修正します。 OSConfig は、更新タスクを通じて修正を行います。
この機能をオフにすると、OSConfig によって更新タスクも無効になります。 その後、OSConfig の有無に関係なく、他のツールを使用してシステムを変更できます。 各管理ツールはさまざまな目的に対応でき、異なるアクターが使用できるため、複数の機関が同じデバイス設定のセットを管理できます。 たとえば、当局はクラウドまたは Azure Arc 対応リソースに Azure Policy を大規模に使用できますが、ローカル管理には Windows Admin Center を使用できます。
複数の機関に対処するために、オーケストレーターは、複数の機関がさまざまな IT 管理ツールを使用する環境で確定的な構成を保証します。 このモデルでは、各機関は優先順位を受け取ります。 この優先順位は、構成の観点からは適用されるだけではありません。 また、権限ごと、さらにはシナリオドキュメントごとのドリフト制御も可能です。
クラウドまたはAzure Arc対応リソースを使用する場合、優先順位は次のようになります。
- クラウド権限 (Azure Policy)
- ローカル 機関 (Windows Admin Center と Windows PowerShell)
- その他の展開ツール
OSConfig でサポートされるシナリオ
OSConfig は、シナリオを通じて構成を提供します。 Windows Server 2025 では、サポートされるシナリオは、セキュリティ ベースラインと App Control for Business の 2 つの領域に分類されます。
セキュリティ ベースライン
OSConfig 主導のセキュリティ ベースラインでは、サーバーと仮想マシンに、推奨されるロール対応のセキュリティ体制が適用されます。 デバイスのライフ サイクル全体を通して、PowerShell またはWindows Admin Centerを使用して適用します。ドリフト制御は、各サーバーを既知の良好な状態に保つのに役立ちます。 この領域には次のものが含まれます。
- サーバーの役割に合わせて調整されたWindows Serverセキュリティ ベースライン。
- Microsoft Defenderウイルス対策の構成。
- Windows ローカル管理者パスワード ソリューション (LAPS)
- セキュリティで保護されたコア サーバーの構成。
セキュリティ ベースラインを適用すると、次のことが役立ちます。
- レガシ プロトコルと暗号を無効にして、セキュリティ体制を強化します。
- 一貫性のある大規模な監視のために、組み込みのドリフト制御によって運用作業を削減します。
- インターネット セキュリティセンター (CIS) ベンチマークと防衛情報システム機関セキュリティ技術実装ガイド (DISA STIG) に関する OS セキュリティ ベースラインに関する推奨事項に向けて取り組みます。
ビジネス向けアプリ コントロール
App Control for Business は、サーバー上で実行できるアプリケーションとコードを制御するのに役立ち、承認されていないソフトウェアや信頼されていないソフトウェアからのリスクを軽減するのに役立ちます。 OSConfig には、同じ望ましい状態モデルの一部として、この構成を適用して維持するシナリオが用意されています。