情シスにもっと“光”を！ インテルが「vPro対応ノートPC」をプッシュする理由（2/3 ページ）

[井上翔，ITmedia]

vPro対応PCを導入するメリットは？

　vProプラットフォームを搭載するPCを導入すると、どのようなメリットがあるのだろうか。今回は大規模な企業／組織への導入を想定した「vPro Enterprise」を例に挙げて説明が行われた。

Intel vProテクノロジー対応PCの主な特徴。このスライドにもある通り、vPro自体はIntelのIT（情シス）部門からの提案で開発された機能だ。PC用CPUを開発するメーカーでも、PCの管理には課題があったということである

第12世代以降のCoreプロセッサにおけるvProテクノロジーについて

　第12世代Coreプロセッサ（開発コード名：Alder Lake）と第13世代Coreプロセッサ（開発コード名：Raptor Lake）の場合、vProテクノロジーへの対応レベルが「Essentials」と「Enterprise」の2種類に分かれています。全機能を利用するには、vPro Enterpeiseに対応するCPUを搭載するPCが必要です。

　なお、vPro Essentialsで利用できない主な機能は以下の通りです。

• メモリ（DRAM）の暗号化
• Wi-Fi（無線LAN）経由での「Intel Active Management Technology（AMT）」の利用
• KVM（キーボード／映像／マウス）を使ったアウトバンド管理
• 迅速なサポートの呼び出し
• Intel（現・Solidigm）製「Intel SSD Pro」のリモートワイプ機能

vPro EssentialsとvPro Enterpriseの主な違い（参考リンク）

Intel Hardware Shield

　vPro Enterprise対応PCでは「Intel Hardware Shield（IHS）」を利用できる。これはファームウェア（UEFI／BIOS）レベルからの攻撃を防ぐ機能で、いわゆる「マルウェア・インジェクション」による被害を極小化できるメリットがある。仮想化によりOSやアプリをサンドボックス環境で動作させることで、よりセキュリティを高めることも可能だ。

　なお、OSやアプリを含めたシステムで不審な挙動を検出するソリューションを併用する場合は、検出処理にかかる負荷の一部を内蔵GPUにオフロードできるようにもなっている。ソリューションの設計次第ではあるが、よくありがちな「セキュリティを強化したことによるパフォーマンスの悪化」を防ぎやすくなった。

IHSを使うことで、ハードウェアベースで端末のセキュリティレベルを向上できる

Intel Endpoint Management Assistant

　vPro対応PCは、情シスが多忙になった一因である「テレワーク／ハイブリッドワークにおける端末管理」にも、一定の対策を講じている。PC管理ツール「Intel Endpoint Management Assitant（EMA）」がそれだ。

　EMAでは管理PCのリモート監視に加えて、PCのリモート操作（サポート）も行えるようになっている（※1）。リモート操作はUEFIレベルから行えるので、情シスによく寄せられるという「BitLocker（Windowsのディスク暗号化）の回復キーを入力してほしい」「OSがうまく起動しない」といったトラブルにもリモート対応できる（※2）。

　問題は「管理対象のPCがネットワークにつながっていないと使えない」という点だが、vPro Enterprise対応PCはWi-Fi越しでもリモート管理できるようになっている（※3）。テレワークやハイブリッドワークでは、さまざまな環境からネットワークに接続することが想定される。そういう観点では、EMAはとても便利な機能といえるだろう。

（※1）EMAを使ってvPro対応PCを管理するには、EMAを稼働するためのサーバを用意する必要がある。Windows Serverで稼働するオンプレミスサーバの他、主要なクラウドサーバ（Microsoft Azure、Amazon Web Services、Google Cloud Platform）にも対応する。詳細はインテルのWebサイトで確認してほしい
（※2）管理対象とするPCには、EMAのエージェントアプリを事前にインストールしておく必要がある
（※3）vPro対応の無線LANアダプターを内蔵している場合のみ利用可能

今回のイベントでは、EMAをMicrosoft Azure上に構築してデモが行われた

事前に設定をしておけば、UEFIレベルからリモート操作に対応できる。本文でも触れたBitLockerに関するトラブルはもちろんだが、「UEFIレベルで無効化している機能を従業員の業務内容に応じて有効化する」といった対応も行える。こうすれば、UEFIの「スーパーバイザー（管理者）パスワード」を従業員に伝えることも不要なので、セキュリティをより高められる

一方、従業員の立場からすると「不用意に業務用PCをいじられるのはたまらない」と思うだろう。その対策として、管理者からリモート操作を受けている間はディスプレイの外周部に派手な囲みが表示されるようになっている

vPro対応無線LANアダプターを内蔵するvPro Enterprise対応PCであれば、Wi-Fi越しでもリモート管理／操作を行える