今週の Windows 365 最新情報はセキュリティがテーマです。Windows 365 の Display Protection が公開プレビューになりました（2026 年 9 月 7 日の週）。管理者は、クラウド PC とサポートされるエンドポイントデバイス間の表示パスを保護することで、クラウド PC セッション中に表示される機密コンテンツを守る新しい手段を手に入れます。
これは、Microsoft の入出力保護（Input and Output Protection）構想の中で、Windows 365 の What’s New ページに最初に登場した機能です。規制対象データを扱う組織にとって、スクリーンキャプチャによる表示内容の窃取は、最も制御が難しいインサイダーリスクの 1 つです。このプレビューで実際に何ができるのか、8 月に紹介した画面キャプチャ保護との違い、有効化前に知っておくべきことを詳しく見ていきましょう。
変更内容
Windows 365 Enterprise の What’s new ページの発表は次のとおりです。
Windows 365 の Display Protection が公開プレビューになりました。Display Protection は、クラウド PC とサポートされるエンドポイントデバイス間の表示パスを保護することで、クラウド PC セッション中に表示される機密コンテンツの保護に役立ちます。管理者は Microsoft Intune で表示保護のレベルを構成できます。
完全な構成およびトラブルシューティングのガイダンスは、新しいドキュメントページ Display Protection for Windows 365 and Azure Virtual Desktop に公開されています。
Display Protection とは
Display Protection は出力保護のコンポーネントであり、Windows 365 クラウド PC と Azure Virtual Desktop セッションホスト向けの入出力保護機能セットの一部です。その役割は、エンドポイント内の脅威による不正なスクリーンキャプチャや録画から表示出力を保護することです。
従来の緩和策はクライアント層でキャプチャ試行を検出・ブロックしようとしましたが、Display Protection は発想を変え、表示コンテンツを信頼済みパスの外では表示できないようにします。
- 保護された表示レンダリング。 表示ストリームはクラウド PC を離れる前にエンドツーエンドで暗号化されます。復号とレンダリングは、サポートされるエンドポイントデバイス上の信頼済み・保護済みパス内でのみ実行できます。
- ハードウェアまたはソフトウェアの適用。 互換性のある GPU ハードウェア（ディスクリート、内蔵の両方）が利用できる場合、復号はデバイスの GPU 内で直接行われます。それ以外の場合は、保護されたソフトウェアベースのレンダリングが使用されます。
- オプションの HDCP 適用。 接続された物理ディスプレイに HDCP を要求し、保護されたコンテンツのアナログ出力経路を塞ぐことができます。
- セッション単位の保護。 保護は表示中のリモートセッションにのみ適用され、クラウド PC 自体の動作は変わりません。
「エンドポイント内の脅威」という位置づけが重要です。侵害された、あるいは悪意のあるエンドポイント（マルウェア、悪質なスクリーンスクレイパー、サードパーティ製レコーダーを使うユーザー）は、復号されたフレームが保護レンダリングパスの外に存在しないため、ピクセルを取得できません。
画面キャプチャ保護との違い
8 月、Windows 365 は Web 接続向けの画面キャプチャ保護を追加しました。これは、サポートされるクライアントでスクリーンショット、録画、画面共有の試行を検出すると、リモートセッションのコンテンツを空白にする、またはブロックするクライアント側の機能です。
Display Protection は異なるレイヤーで機能します。
- 画面キャプチャ保護はクライアント側で動作し、サポートされるクライアントとブラウザーにおいて、既知のキャプチャ経路によるキャプチャ試行をブロックします。
- Display Protection はトランスポートとレンダリングのレイヤーで動作し、表示ストリームを暗号化するため、キャプチャツールは「キャプチャ試行」が検出されるかどうかに関係なく、そもそも利用可能なコンテンツを取得できません。
両者は補完関係にあります。画面キャプチャ保護は、Display Protection がまだサポートしていないクライアント（Web ブラウザーなど）で引き続き有効です。一方、Display Protection は最も重要なエンドポイントでセキュリティの水準を引き上げます。ウォーターマークは、カメラ撮影によるキャプチャを抑止する手段として引き続き利用できます。
保護レベル
Windows 365 と Azure Virtual Desktop の両方で、次の 3 つの構成状態をサポートします。
| レベル | 動作 |
|---|---|
| 未構成 | クラウド PC またはセッションホストで表示保護は有効になりません。 |
| ハードウェアまたはソフトウェアの適用 | クラウド PC またはセッションホストはハードウェア保護された表示チャネルの確立を試み、ハードウェア保護が利用できない場合はソフトウェア保護にフォールバックします。 |
| ハードウェア適用必須 | ハードウェア保護された表示チャネルが必須です。エンドポイントが要件を満たせない場合、接続はブロックされ、ユーザーにエラーが表示されます。 |
ほとんどのパイロットでは、ハードウェアまたはソフトウェアの適用が妥当な出発点です。互換 GPU を持たないエンドポイントではソフトウェアへのフォールバックを許容しつつ、すべての場所でセッションを保護できます。
Display Protection の構成
Windows 365（Microsoft Intune）
- Microsoft Intune 管理センターにサインインします。
- [デバイス] > [Windows 365 クラウド PC の管理] > [クラウド PC 設定] に移動します。
- [IO Protection] で [Display Protection] のレベルを選択します。
Azure Virtual Desktop
AVD の場合は、ホストプールの詳細設定に表示保護の RDP プロパティを追加します。
- Azure ポータルで対象のホストプールを開きます。
- [RDP プロパティ] > [詳細] タブに移動します。
enableWindowsCloudIODisplayProtection:i:<value>を追加します。値は0（未構成）、1（ハードウェアまたはソフトウェアの適用）、2（ハードウェア適用必須）です。
このプロパティにより、エンドポイントで Display Protection が適用されていることをサーバー側で検証できます。
構成の伝達
この設定は接続（RDP）プロパティを通じてエンドポイントデバイスに配信され、デバイスにキャッシュされます。変更をすぐに適用するには Windows App で**[最新の情報に更新]**を選択します。それ以外の場合、構成変更がエンドポイントに到達するまで最大 8 時間かかることがあります。
実用的な注意点: 表示保護を有効化または変更した直後に、互換性のないクライアントエラー（0x204、拡張コード 0x11f5）で接続が予期せずブロックされた場合は、サポート案件を開く前に、Windows App で**[最新の情報に更新]**を選択して最新の構成を取得するか（または伝達を待ち）、再接続してみてください。
要件とサポート対象
エンドポイントの要件は厳格なので、よくお読みください。
- クラウド PC またはセッションホスト: サポートされる Windows クライアント OS バージョンまたは Windows Server を実行する Windows 365 クラウド PC または AVD セッションホスト。
- クライアント: Windows App for Windows、バージョン 2.0.1236.0 以降（Microsoft Store から更新）。
- エンドポイントデバイス: 物理 Windows 11 デバイス。仮想マシンはエンドポイントとしてサポートされません。
- サポート対象外: macOS、iOS、Android、Web ブラウザー、Windows 365 Link デバイス。
- ディスプレイ: DisplayLink やその他の USB グラフィックスアダプター経由で接続されたディスプレイはサポートされません。保護された表示パスを提供せず、通常 HDCP にも対応していないためです。保護セッションは、エンドポイントの内蔵 GPU が駆動するディスプレイ（HDMI、DisplayPort、USB-C DisplayPort Alt モード）に接続してください。
- 解像度: 保護セッションは最大 4K（3840 x 2160） までサポートします。それ以上の解像度はサポートされません。
- パフォーマンス: ソフトウェアベースの保護は、ハードウェアベースの保護と比較してセッション確立に時間がかかることがあります。GPU 搭載エンドポイントを優先するもう 1 つの理由です。
保護の検証と監視
Microsoft は、表示保護の構成後に次の検証フローを推奨しています。
- 物理 Windows 11 エンドポイントから Windows App（2.0.1236.0 以降）を開きます。
- 表示保護が有効なクラウド PC またはセッションホストに接続します。
- エラーなしで接続が成功することを確認します。
- セッションがアクティブな間にエンドポイントでスクリーンキャプチャを試行します。リモートセッションのコンテンツはブロックされるか、空白で表示されるはずです。
テナント全体の可視性を得るには、クラウド PC モニタリング（プレビュー）を使用し、**[接続の正常性]**ページで DisplayProtectionState 接続イベントを確認します。
トラブルシューティング: エラーコード
| エラーコード | 拡張コード | 意味 | 一般的な原因 |
|---|---|---|---|
0x204 | 0x11f5 | 互換性のないクライアント。クライアントのプラットフォームまたはバージョンが表示保護をサポートしていません。 | iOS、macOS、Android から接続している。Windows App が 2.0.1236 より古い。エンドポイントが更新された構成をまだ受信していない（[最新の情報に更新]を選択するか、最大 8 時間の伝達を待つ）。 |
0x204 | 0x11f6 | ポリシー未達。クライアントが必要なセキュリティポリシーを満たしていないため、クラウド PC またはセッションホストが接続を拒否します。 | エンドポイントがソフトウェアベースの保護にフォールバックしている。GPU サポートの欠如または GPU 構成の不良。リモートマシンがハードウェアのみの適用を要求している。 |
0x110 | — | HDCP 要件を満たしていません。物理ディスプレイ出力が必要な HDCP ポリシーをサポートしていません。 | 古いドッキングステーション。HDCP 非対応の USB ディスプレイアダプターや DisplayLink ドック。VGA ケーブル。HDCP 非対応モニター。 |
これらのコードに該当しないエラーが発生した場合は、アクティビティ ID、失敗のタイムスタンプ、再現手順を添えてマイクロソフトサポートに連絡してください。
管理者が今すぐ行うべきこと
パイロットの範囲を決める。 表示保護はプレビュー段階です。プレビュー検証に含めたいクラウド PC またはセッションホストでのみ有効にしてください。物理 Windows 11 エンドポイントを持つ、セキュリティ重視のパイロットグループ（財務、法務、人事、経営層など）を選びましょう。
エンドポイントを監査する。 パイロットエンドポイントが物理 Windows 11 で、Windows App 2.0.1236.0 以降が Microsoft Store からインストールされていることを確認します。GPU サポートと、ディスプレイが内蔵 GPU 出力に接続されていることを確認してください。DisplayLink ドックや USB アダプターは失敗や接続ブロックの原因になります。
ハードウェアまたはソフトウェアの適用から始める。 Intune で [デバイス] > [Windows 365 クラウド PC の管理] > [クラウド PC 設定] > [IO Protection] を構成し、最初は中間レベルを選択します。フリート全体が要件を満たせることを検証してから、ハードウェア適用必須に移行してください。
展開前に検証する。 各エンドポイントタイプでキャプチャテストの検証フローを実行し、クラウド PC モニタリングで
DisplayProtectionStateを確認します。0x204/0x110系エラーに注意し、Windows App の [最新の情報に更新] による修正方法をヘルプデスク向けに文書化してください。より広い IO 保護の構想を計画する。 表示保護は入力保護（キーロガーからキーボード入力を保護）と組み合わせて使用し、既存の画面キャプチャ保護やウォーターマークを補完します。表示内容の窃取が組織にとって現実的なリスクであれば、このプレビューはエンドポイント強化のランブックを構築する絶好の機会です。