システム正常性検証ツール (SHV) は、NPS でクライアント コンピュータの正常性状態を分析するために使用されます。SHV はネットワーク ポリシーに組み込まれています。ネットワーク ポリシーでは、クライアントの正常性状態に基づき、ネットワーク アクセスをすべて許可するか制限するかなど、実行するアクションが決定されます。正常性状態は、システム正常性エージェント (SHA) というクライアント側 NAP コンポーネントによって監視されます。NAP は SHA および SHV を使用して、クライアント コンピュータの構成を監視、強制、および修復します。

Windows セキュリティ正常性エージェント (WSHA) と Windows セキュリティ正常性検証ツール (WSHV) は、Windows Server 2008 および Windows Vista オペレーティング システムに含まれ、NAP 対応コンピュータに対し以下の設定を強制します。

• クライアント コンピュータでのファイアウォール ソフトウェアのインストールおよび有効化
  
  
• クライアント コンピュータでのウイルス対策ソフトウェアのインストールおよび実行
  
  
• クライアント コンピュータでの最新のウイルス対策更新プログラムのインストール
  
  
• クライアント コンピュータでのスパイウェア対策ソフトウェアのインストールおよび実行
  
  
• クライアント コンピュータでの最新のスパイウェア対策更新プログラムのインストール
  
  
• クライアント コンピュータでの Microsoft® Update サービスの有効化
  
  

また、NAP 対応クライアント コンピュータが Windows Update エージェントを実行していて、Windows Server Update Service (WSUS) サーバーに登録されている場合、NAP では Microsoft のセキュリティ応答センター (MSRC) の 4 種類のセキュリティの重要度の値のいずれかを基に、最新のソフトウェア セキュリティ更新プログラムがインストールされているかどうかを確認できます。

NAP の構成では、準拠していないクライアント コンピュータに対し、ネットワークへのアクセスを拒否したり、制限付きネットワークのみへのアクセスを許可することができます。制限付きネットワークには、準拠していない NAP クライアントが構成を更新して正常性の要件に準拠できるように、正常性登録機関 (HRA) サーバーや修復サーバーなどの主要な NAP サービスが含まれている必要があります。

NAP 強制設定では、準拠していないクライアントのネットワーク アクセスを制限することができ、単に NAP 対応クライアント コンピュータの正常性状態の観察と記録のみを行うこともできます。

次の設定を使用して、アクセスを制限するか、アクセスの制限を遅らせるか、アクセスを許可するかを選択できます。

• [完全なネットワーク アクセスを許可する]。これは、既定の設定です。ポリシーの条件に一致するクライアントは、ネットワークの正常性の要件に準拠していると見なされ、接続要求が認証および承認されると、ネットワークへの無制限のアクセス権が付与されます。NAP 対応のクライアント コンピュータの正常性の準拠状態はログに記録されます。
  
  
• [時間を限定して完全なネットワーク アクセスを許可する]。ポリシーの条件に一致するクライアントには、無制限のアクセス権が一時的に付与されます。NAP 強制の適用は、指定された日付と時間まで延期されます。
  
  
• [制限付きアクセスを許可する]。ポリシーの条件に一致するクライアント コンピュータは、ネットワークの正常性の要件に準拠していないと見なされ、制限付きネットワークに配置されます。
  
  

制限付きネットワークに配置された、準拠していないクライアント コンピュータに対して、修復を行うこともできます。修復とは、クライアント コンピュータを更新し、現行の正常性の要件を満たすようにする処理です。たとえば、制限付きネットワークにファイル転送プロトコル (FTP) サーバーを配置し、現行のウイルス対策ソフトウェアの署名を提供して、準拠していないクライアントコンピュータが期限切れの署名を更新できるようにします。

NPS ネットワーク ポリシーの NAP 設定を使用して自動修復を構成し、クライアント コンピュータがネットワークの正常性の要件に準拠していない場合に NAP クライアント コンポーネントが自動的にクライアント コンピュータの更新を試行するようにできます。次のネットワーク ポリシー設定を使って、自動修復を構成できます。

• [自動修復]。[クライアント コンピュータの自動修復を有効にする] が選択されている場合、自動修復が有効になり、正常性の要件に準拠していない NAP 対応コンピュータは自動的に自己更新を試行します。
  
  

NAP では、既にネットワークに接続された準拠しているクライアント コンピュータに対しても正常性の準拠を強制できます。この機能は、正常性ポリシーが変更されたり、クライアント コンピュータの正常性が変化したりした場合でも、継続的にネットワークが保護されるため、便利です。たとえば、正常性ポリシーで Windows ファイアウォールが有効になっていることを要件としているにもかかわらず、ユーザーが誤って Windows ファイアウォールを無効にしてしまった場合、クライアント コンピュータが準拠していない状態になったことを NAP で判断することができます。その場合、Windows ファイアウォールが再び有効になるまで、NAP はクライアント コンピュータを制限付きネットワークに配置します。

自動修復が有効の場合、ユーザーの操作に関係なく、NAP クライアント コンポーネントによって、自動的に Windows ファイアウォールを有効にすることができます。

IPsec で保護されたトラフィックへの NAP 強制は、正常性証明書サーバー、HRA サーバー、NPS サーバー、および IPsec 強制クライアントという形で展開されます。正常性証明書サーバーは、NAP クライアントがネットワーク正常性要件に準拠していると判断されると、NAP クライアントに対して X.509 証明書を発行します。NAP クライアントがイントラネット上の他の NAP クライアントと IPsec で保護された通信を開始する際、この X.509 証明書が NAP クライアントの認証に使用されます。

IPsec 強制は、準拠しているクライアントに対する通信のみにネットワーク上の通信を限定し、最高レベルの NAP 強制を行います。この強制方法では IPsec を使用するため、IP アドレスまたは TCP/UDP ポート番号ごとに、保護された通信の要件を定義することができます。

802.1X ポート ベース ネットワーク アクセス コントロールに対する NAP 強制は、NPS サーバーと EAPHost 強制クライアント コンポーネントという形で展開されます。802.1X ポート ベースの強制を使用すると、NPS サーバーは 802.1X 認証スイッチまたは 802.1X 準拠のワイヤレス アクセス ポイントに対し、非準拠の 802.1X クライアントを制限付きネットワークに置くように指示します。NPS サーバーは、接続に IP フィルタや仮想 LAN 識別子を適用するようアクセス ポイントに指示して、クライアントからの制限付きネットワークへのアクセスを制限します。802.1X 強制により、802.1X 対応のネットワーク アクセス デバイスを介してネットワークにアクセスするすべてのコンピュータに対して強力なネットワーク制限を実現できます。

VPN の NAP 強制は、VPN 強制サーバー コンポーネントと VPN 強制クライアント コンポーネントという形で展開されます。VPN の NAP 強制を使用すると、クライアント コンピュータがリモート アクセス VPN 接続を使用してネットワークに接続する際、VPN サーバーによって正常性ポリシーを強制できます。VPN の強制によって、リモート アクセス VPN 接続を介してネットワークにアクセスするすべてのコンピュータに、強力なネットワーク アクセス制限を適用できます。

DHCP 強制は、DHCP NAP 強制サーバー コンポーネント、DHCP 強制クライアント コンポーネント、および NPS という形で展開されます。DHCP 強制を使用すると、コンピュータが IP Version 4 (IPv4) アドレスのリースまたは更新を要求する際、DHCP サーバーおよび NPS によって正常性ポリシーを強制できます。NPS サーバーは、制限された IP アドレス構成を割り当てるよう DHCP サーバーに指示して、クライアントからの制限付きネットワークへのアクセスを制限します。ただし、クライアント コンピュータが静的 IP アドレスで構成されている場合、または制限された IP アドレス構成を回避するように構成されている場合は、DHCP 強制の効果はありません。

TS ゲートウェイの NAP 強制は、TS ゲートウェイ強制サーバー コンポーネントと TS ゲートウェイ強制クライアント コンポーネントという形で展開されます。TS ゲートウェイの NAP 強制を使用すると、TS ゲートウェイ サーバーを介して社内リソースに接続しようとするクライアント コンピュータに対し、TS ゲートウェイ サーバーにより正常性ポリシーを強制できます。TS ゲートウェイ強制によって、TS ゲートウェイ サーバーを介してネットワークにアクセスするすべてのコンピュータに、強力なネットワーク アクセス制限を適用できます。

NAP 強制方法には、それぞれ個別の利点があります。強制方法を組み合わせることにより、これらのさまざまな方法の利点を 1 つにまとめることができます。ただし、複数の NAP 強制方法を展開すると、NAP の実装はより複雑になり、管理は難しくなります。

NAP フレームワークでは、Microsoft 以外の企業が NAP プラットフォームにソフトウェアを統合できる API 群も用意されています。NAP API を使用すると、ソフトウェア開発者やベンダは、正常性の検証や準拠していないクライアントの修復を行うエンド ツー エンドのソリューションを提供できます。