デバイスの関連付けは、デバイスが Microsoft Intune などのモバイル デバイス管理 (MDM) プロバイダーに登録される前に、Windows デバイスをorganizationにバインドする Windows Autopilot デバイス準備の機能です。 デバイスの UEFI ファームウェアにテナント アフィニティ マーカーを書き込むことで、物理デバイスとテナントの間に検証可能なリンクを確立し、登録を開始する前に MDM プロバイダーがデバイスを認識および認証できるようにします。 プロビジョニング プロセスの早い段階でこの信頼関係を確立することで、デバイスの関連付けによって、合理化された Out-of-Box Experience (OOBE) のロックを解除し、オンボードのセキュリティを強化します。
利点
デバイス アソシエーションには、次の利点があります。
- 合理化されたOut-of-Box Experience (OOBE) - デバイスは登録前に組織のデバイスとして認識されるため、OOBE はよりシンプルで一貫性のあるページ セットをエンド ユーザーに提示できます。 言語、キーボード レイアウト、ライセンスとプライバシーのページのスキップなどの設定を事前に構成できます。
- 登録前のデバイス名付け - デバイスが登録される前にテンプレートを使用してデバイス名を適用します。これにより、デバイスがライフサイクルの開始時から正しい名前を保持できます。
- デバイスベースのポリシーのターゲット設定 - ユーザー グループの割り当てだけに依存するのではなく、デバイス準備ポリシーをデバイスに直接ターゲットを設定すると、サインインするユーザーに関係なく適切なポリシーが適用されます。
- 自動企業マーキング - 関連付けられているデバイスは自動的に企業所有としてマークされるため、 個人用デバイスの登録制限によってブロックされることはなく、個別に 企業識別子 をアップロードする必要はありません。
- オンボード セキュリティの強化 - ハードウェア ベースの構成証明と TPM に裏付けられた暗号化検証によって、登録前にデバイス ID が検証され、信頼されたデバイスのみが組織のリソースにアクセスできるようになります。
デバイス アソシエーションのしくみ
デバイスの関連付けでは、デバイスの TPM に基づく ID を使用して、デバイスとテナントの間に信頼された関連付けを確立します。 これには、次の 3 つのライフサイクル操作が含まれます。
| 操作 | 行ったのは | 説明 |
|---|---|---|
| 事前関連付け | Intune の管理者 | アソシエーションが UEFI に書き込まれる前に、デバイスとテナントの間に TPM でサポートされているアソシエーションを作成する意図を中央サービスに格納します。 |
| 関連付け | 自動 — 事前アソシエーション後、またはデバイスが OOBE でネットワークに接続したときに、技術者によってトリガーされます | デバイスが期待される TPM に基づく ID を提示することを確認し、テナント アフィニティ情報を含むマーカーをデバイスの UEFI に書き込みます。 マーカーは、登録時のデバイスのアフィニティを証明するために使用されます。 |
| 関連付けの削除 | デバイスで PowerShell スクリプトを実行することにより、管理、OEM ベンダー、またはパートナー | デバイスの関連付けを確認するために使用される UEFI マーカーを削除し、信頼されたテナントの所属を UEFI ストレージからクリアします。 |
大まかなワークフローは次のとおりです。
- 適用する展開と OOBE エクスペリエンス設定でデバイスの準備ポリシーを作成します。
- OOBE 中にデバイスからデバイス情報をエクスポートします。
- エクスポートした CSV をアップロードして Intune にデバイスを事前に関連付け、必要に応じてデバイスの準備ポリシーを割り当てます。
- デバイスを関連付けます。 デバイスが OOBE でネットワークに接続すると、関連付けが自動的に行われます。 技術者は、事前関連付けの直後に、OOBE で手動でトリガーすることもできます。 デバイスを関連付けると、UEFI マーカーがスタンプされます。
- デバイスを登録します。 デバイスを対象としたポリシーを受け取り、企業所有としてマークされ、構成済みの OOBE カスタマイズが適用されます。
- デバイスを使用停止にするときなど、デバイスがテナントから完全に離れる場合は、関連付けを削除します。
主な機能
デバイスを対象としたポリシーの割り当て
デバイス準備ポリシーを、事前に関連付けられているデバイスに直接割り当てて、どのユーザーがサインインしても適切なポリシーが適用されるようにします。 1 人のユーザーが複数のデバイスを登録でき、それぞれに異なるポリシーを設定できます。
OOBE のカスタマイズ
デバイスの関連付けを使用すると、登録前に適用されるデバイス準備ユーザー主導のポリシーで次の設定が有効になります。
言語 (地域) - デバイスに使用する言語を選択します。
キーボードを自動的に構成 する - 言語が選択されている場合、キーボード選択ページをスキップします。
注:
OOBE 中にデバイスが Wi-Fi ネットワーク接続を使用する場合、言語とキーボードの選択画面は非表示になりません。
マイクロソフト ソフトウェア ライセンス条項を非表示にする - OOBE 中に End-User ライセンス契約 (EULA) ページをスキップします。
プライバシー設定を非表示にする - OOBE 中にプライバシーの設定ページをスキップします。 プライバシー設定が非表示の場合、位置情報サービスは既定で無効になります。
アカウント変更オプションを非表示 にする - 会社のサインインとドメインのエラー ページにアカウントの変更オプションが表示されないようにします。 この設定を行うには、会社のブランドを Microsoft Entra ID で構成する必要があります。
デバイス名テンプレートの適用 - テンプレートを使用して、登録時にデバイスに名前を付けます。 名前の長さは最大 63 文字で、文字、数字、ハイフンを含めることができますが、数字のみを含めることはできません。 デバイスのシリアル番号を含める場合は
%SERIAL%を使用し、ランダムな数字文字列を含める場合は%RAND:x%を使用します (xは数字)。
注:
Windows Professional エディションでは、関連付けられているすべてのデバイスについて、 個人用アカウント/職場および学校アカウント ページは既定で非表示になっています。
デバイスの監視
Intune の [デバイス>登録]>デバイス アソシエーション>デバイス) から、事前に関連付けられているデバイスと関連付けられているデバイスの状態を監視します。 ブレードには、各デバイスの関連付け状態と割り当てられているデバイス準備ポリシーが表示され、状態、ポリシー、製造元、モデルでフィルター処理できます。
制限事項
現在のリリースでは、次の制限が適用されます。
- Intune からの関連付けの削除はサポートされていません。 関連付けを削除するには、代わりにデバイス上の関連付け情報をクリアします。 詳細については、「 デバイスから関連付けを削除する」を参照してください。
- デバイスの関連付けは、Windows 365 デバイスには適用されません。これらのデバイスは既に信頼できる企業デバイスとしてマークされているためです。