paw-design

特権アクセスワークステーション（PAW）の設計

特権アクセスワークステーション（PAW）は、特権タスク専用の強化されたデバイスであり、機密性の高いアカウントをブラウジング、メール、任意のアプリから隔離します。 PAW は、Microsoft の特権アクセス戦略におけるデバイスの柱であり、クリーンソースの原則を適用するためのポイントです。

使用する場面

Entra コントロールプレーン、Azure ルート、ドメインコントローラー、ID インフラストラクチャ（「Tier 0」）などの価値の高いシステムの管理者を、認証情報の窃取、ブラウザーの脆弱性を悪用した攻撃、サプライチェーン攻撃から保護します。このスキルを使ってデバイスのティアを選択し、ビルドを強化し、CA 経由で PAW のみからアクセスできるようにします。

このスキルは、一般的なエンドポイントの強化（defender-for-endpoint）やデバイスのコンプライアンスベースライン（intune-device-mgmt）には使用しないでください。

管理者のティアに応じてデバイスプロファイルを選択する

エンタープライズアクセスモデルでは、管理者のロールを 3 つのデバイスプロファイルに対応付けます。ティアを誤ると、過剰なコストをかけるか、保護が不十分になります。

ティア	対象となるロール	デバイスプロファイル	許可される内容
特権（PAW）	グローバル管理者、特権認証管理者、Tier 0 Azure 所有者、ドメイン管理者、DC オペレーター	専用の強化されたデバイス	管理ポータルのみ。メール、ブラウジングは禁止
専門管理	ワークロード管理者（Exchange、SharePoint、Intune、SQL DBA）、Tier 1 Azure Contributor	強化されたビルド。一部の生産性向上機能を使用可能	管理ポータル + 選定された生産性向上アプリ（Office）
エンタープライズ	ヘルプデスク、Tier 2 運用担当者、レポート閲覧者、セキュリティ閲覧者	標準的な管理対象デバイス + 強力なベースライン	MDE + ASR + 改ざん防止機能による、あらゆる生産性向上機能

経験則：「PAW が必要か」の判断基準は、このアカウントでドメインコントローラーにログインしたり、Conditional Access を変更したり、Azure ルートサブスクリプションの権限を引き受けたりできるかです。できる場合は PAW を使用します。単一のワークロードのみを管理する場合は、専門管理プロファイルを使用します。PAW の利用者は少数にとどめる必要があります（通常、管理者の 1% 未満）。

アプローチ

1. エンタープライズアクセスモデルを採用する — すべての特権ロールをコントロールプレーン／管理プレーン／データプレーンに対応付けます。Tier 0 = コントロールプレーン（ID、クラウドのコントロールプレーン、オンプレミス AD）。Tier 1 = ワークロード管理者。Tier 2 = 運用担当者／読み取り専用。デバイス、アカウント、アクセス経路をティアに適合させる必要があります。 確認：ティアの対応付け文書が承認済みであること。Tier 0 のロール数が記録されていること。

2. クリーンソースの原則を適用する — セキュリティ上の依存関係は、それが保護する対象と同程度に信頼できるものでなければなりません。Tier 0 の管理は Tier 0 デバイスからのみ行います。「今回だけノート PC から RDP すればいい」という運用は、このモデルを破綻させます。

3. PAW イメージを構築する — 可能であればハイブリッドではなく Entra 参加とし、Intune で管理します。ハードウェアの信頼のルート（TPM 2.0 + UEFI セキュアブート）、アプリの許可リスト（WDAC または AppLocker）、Credential Guard と Memory Integrity の有効化、BitLocker、すべての ASR ルールをブロックモードにした Defender for Endpoint、受信 RDP の禁止、制限の厳しい送信ファイアウォールを設定します。 確認：WDAC ポリシーが監査モードではなく強制されていること。Credential Guard が実行中であること（msinfo32）。

4. ユーザーエクスペリエンスを制限する — ローカル管理者権限なし、メールクライアントなし、一般的なブラウジングなし（管理者用以外のエンドポイントへのアクセスを DNS／ファイアウォールでブロック）、Edge は管理ポータルの URL のみに制限します。USB ストレージは禁止します。ユーザーによるアプリのインストールは禁止します。

5. Conditional Access で適用する — CA ポリシー：Tier 0 ロールがサインインできるのは、準拠デバイスで、PAW デバイスフィルター（カスタム属性）に一致する場合のみです。それ以外はすべてブロックします。これにより、PAW の使用が必須になります。 確認：CA ポリシーが適用モードになっていること。What If で Tier 0 のユーザーが PAW 以外からサインインするとブロックされること。

6. PAW を PIM、フィッシング耐性 MFA、専用の管理者アカウントと組み合わせる — PAW では日常的に非特権アカウントを使用します。管理者の認証情報には FIDO2 と PIM の適格な割り当てを使用し、タスクの実行時に必要な期間だけ有効化します。

7. まず PAW 5 台でパイロットを実施する — Tier 0 の管理者は意見をはっきり述べます。デバイスを手渡しして使い方を説明し、不便な点について報告を集め、改善を繰り返します。その後、展開を拡大します。

ガードレール

• 生産性向上に使う PAW は、もはや PAW ではありません。 メールも、ブラウジングも、Teams チャットも禁止です。必要に応じて、生産性向上用の別の Enterprise デバイスを用意してください（そうです、デバイスは 2 台です）。
• 管理チェーンを保護してください。 Intune とイメージングパイプラインは、クリーンなソースの一部です。Intune を PAW 以外のデバイスから管理する場合、PAW モデルは根本から破綻します。
• ローカルアカウントを共有しないでください。 各管理者がそれぞれの資格情報を使用します。共有の「PAW user」アカウントは使用しません。
• 制御となるのは CA の強制適用です。 「Tier 0 のサインインには PAW が必要」を適用しなければ、管理者は「今回だけ」とノート PC を使い、モデルは崩壊します。
• Credential Guard を省略しないでください。 これがなければ、特権セッションでの Mimikatz クラスの資格情報窃取は簡単に実行できます。
• フィッシング耐性のある MFA のみを使用してください。 PAW へのサインインに SMS／プッシュ MFA を使うと、本来の目的が損なわれます。

よくあるアンチパターン

• 「VDI を PAW として使います」 - 生産性向上のワークロードを許可する VDI ホストは PAW ではありません。重要なのは仮想ではなく、専用であることです。
• 「200 人の管理者向けに 2 週間で PAW を展開します」 - 反発を招き、階層のマッピングを見落とし、使われないまま放置されるデバイスを生み出します。まず 5 人の管理者で開始し、反復しながら数か月かけて拡大してください。
• 「管理者は通常のノート PC から Intune を管理します」 - クリーンなソースが根本から破綻します。Intune の管理には PAW を使用してください。
• 「生産性向上と管理に同じデバイスを使います」 - ブラウザーへの攻撃 1 件で資格情報が窃取されます。Tier 0 には 2 台のデバイスが必要です。
• 「CA ポリシーをレポート専用のままにします」 - 強制適用されていなければ、実効性はありません。パイロット後にオンにしてください。
• 「ツールをインストールできるよう、PAW user にローカル管理者権限を付与します」 - アプリの許可リストが無意味になります。ツールは Intune で管理します。

プロンプトの例

• Map our admin roles to PAW, Specialized, and Enterprise device tiers.
• Design the PAW image - Entra join, WDAC allowlist, Credential Guard, restricted browsing.
• Author the Conditional Access policy that requires PAW for Tier 0 role sign-ins.
• Plan a 5-admin PAW pilot before scaling to all Tier 0 roles.
• How do I enforce clean source when our imaging server runs on a regular laptop?
• Should our Exchange admins get PAWs or Specialized devices?

Microsoft Learn

• 特権アクセス戦略：https://learn.microsoft.com/security/privileged-access-workstations/overview
• エンタープライズアクセスモデル：https://learn.microsoft.com/security/privileged-access-workstations/privileged-access-access-model
• セキュリティで保護されたワークステーションデバイス：https://learn.microsoft.com/security/privileged-access-workstations/privileged-access-devices
• PAW の展開：https://learn.microsoft.com/security/privileged-access-workstations/privileged-access-deployment
• PAW 向け WDAC：https://learn.microsoft.com/windows/security/application-security/application-control/app-control-for-business/appcontrol
• Credential Guard：https://learn.microsoft.com/windows/security/identity-protection/credential-guard/
• 条件付きアクセスのデバイスフィルター：https://learn.microsoft.com/entra/identity/conditional-access/concept-condition-filters-for-devices