Microsoft Defender for Endpointで条件付きアクセスを設定

Microsoft Defender for Endpoint のデバイス リスク シグナルを、Microsoft Intune のコンプライアンス ポリシーや Microsoft Entra 条件付きアクセス で使用できます。 選択したリスク閾値を超えるデバイスは非準拠とマークされ、条件付きアクセスは組織のリソースからそれらをブロックできます。

この構成は、Defender for EndpointにオンボーディングされているIntune登録済みのWindowsデバイスに適用されます。 始める前に、 Prerequisitesのライセンス、登録、役割要件をよくご確認ください。

前提条件

環境が以下の要件を満たしているか確認してください:

• ライセンス:Microsoft Defender for Endpointサブスクリプション、Microsoft Intuneサブスクリプション、条件付きアクセス用のMicrosoft Entra ID P1またはP2ライセンス。
• Microsoft Intune:IntuneはDefender for Endpointの一部ではなく、すべてのサブスクリプションに含まれているわけでもない別製品です。 Intuneを含むサブスクリプションが必要ですし、単独のサブスクリプションやアドオンとして別途購入することも可能です。 詳細については、「Microsoft Intune のライセンス」を参照してください。
• デバイス:Microsoft Entra IDに登録され、Intuneに登録され、Defender for EndpointにオンボーディングされているWindows 10以降のデバイス。 Microsoft Entra登録デバイスはIntuneに登録されていればサポートされます。 デバイスを登録するには、Windowsの自動登録を使うか、ユーザーがIntuneにWindowsデバイスを登録してもらうことができます。 デバイス識別計画については、「Microsoft Entraデバイス展開の計画」をご覧ください。

以下の役割または同等のカスタム権限を使用してください:

• Microsoft Defenderポータル:Microsoft Entra IDのセキュリティ管理者、またはDefender for EndpointのWindows セキュリティ Centerのセキュリティ設定管理権限。 詳細については 、権限オプションをご覧ください。
• Microsoft Intune 管理センター: エンドポイント セキュリティ マネージャー. 同等のカスタム ロールには、Configure Microsoft Defender for Endpoint with Intune で指定されているアクセス許可が必要です。
• Microsoft Entra 管理センター: Conditional Access Administrator.

デバイスリスクベースの条件付きアクセスを設定する

条件付きアクセスでDefender for Endpointデバイスリスクを利用するには、以下の手順を完了してください:

ステップ1:Microsoft Intune接続を有効にする

Connect Defender for Endpoint to Intuneのサービス接続手順に従ってください。

https://security.microsoft.com/securitysettings/endpoints/integrationのMicrosoft Defenderポータルの「その他のオプション」ページで、Microsoft Intune接続がOnであることを確認してください。 設定を変更したら、「 保存設定」を選択してください。

Microsoft Intune 管理センターの にある https://intune.microsoft.com/#view/Microsoft_Intune_Workflows/SecurityManagementMenu/~/atp ページで、接続状態 が 有効 であることを確認してください。 ステータスの更新には最大15分かかることがあります。

手順 2: Intuneで Defender for Endpoint 統合を有効にする

「 統合設定の設定」に従ってください。 https://intune.microsoft.com/#view/Microsoft_Intune_Workflows/SecurityManagementMenu/~/atp にある Microsoft Intune 管理センターの エンドポイント セキュリティ | Microsoft Defender for Endpoint ページで、以下の設定を確認してください:

• 接続状態は「有効」です。
• コンプライアンスポリシー評価セクションで、「WindowsデバイスをMicrosoft Defender for Endpointに接続する」がオンになっているか確認してください。

手順 3: Intuneでコンプライアンス ポリシーを作成して割り当てる

デバイスのリスク レベルを設定するためのコンプライアンス ポリシーを作成して割り当てる に従ってください。 エンドポイント固有の設定には以下のDefenderをご利用ください:

• [プラットフォーム]: [Windows 10 以降] を選択します。
• プロファイルタイプ:このオプションが利用可能な場合は、Windows 10/11コンプライアンスポリシーを選択します。
• コンプライアンス設定:Microsoft Defender for Endpointを展開し、「デバイスがマシンリスクスコア以下であることを要求する」と組織が許容する最大のリスクレベルに設定します。
  • [クリア]: このレベルはセキュリティ上最も安全です。 デバイスは既存の脅威を持ちながら組織のリソースにアクセスできるようにはなりません。 いずれかの脅威が見つかった場合、デバイスは非準拠と評価されます。
  • [低]: 低レベルの脅威が存在する場合にのみ、デバイスは準拠しています。 中または高の脅威レベルを持つデバイスは準拠していません。
  • [中]: デバイスに存在する脅威が低または中の場合、デバイスは準拠しています。 高レベルの脅威が検出された場合は、デバイスは非準拠と判定されます。
  • [高]: 最も安全性の低いレベルであり、すべての脅威レベルが許容されます。 脅威レベルに基づいてデバイスを非準拠にせず、リスクのみを報告したい場合にのみ使用してください。
• 非遵守の対応:組織に適したタイミングと行動を設定しましょう。 Intune では、既定で デバイスを非準拠としてマークする が追加されますが、そのスケジュールを変更したり、他のアクションを追加したりできます。
• 課題:まずテストグループから始めましょう。 デバイスコンプライアンス結果を検証した後、割り当てを意図したユーザーやデバイスに拡大してください。

ポリシーを作成し、条件付きアクセスを設定する前にテストデバイスが期待される状態を報告しているか確認してください。

手順 4: Microsoft Entra条件付きアクセス ポリシーを作成する

条件付きアクセスでデバイス コンプライアンスを必須にする に従います。 条件付きアクセス |https://entra.microsoft.com/#view/Microsoft_AAD_ConditionalAccess/ConditionalAccessBlade/~/Policies/menuId//fromNav/IdentityのMicrosoft Entra 管理センターのポリシーページで、以下の設定でポリシーを作成してください:

• ユーザーまたはワークロードの識別:
  • 含める: [すべてのユーザー] を選択します。
  • 除外:組織の 緊急アクセスアカウントを選択してください。 Microsoft Entra Connect または Microsoft Entra Connect クラウド同期を使用している場合は、ディレクトリ同期アカウントのディレクトリ ロールも除外します。
• 対象リソース: リソース(旧クラウドアプリ)の「 すべてのリソース」(旧「すべてのクラウドアプリ」)を選択します。
• 付与: アクセス権を付与 を選択し、次に デバイスが準拠としてマークされていることを必須にする を選択します。
• ポリシーを有効にする: 報告専用を選択します。

ポリシーを作成します。 報告専用モードで期待される結果を確認したら、ポリシーを編集して「有効化ポリシーをオン」に変更してください。

統合ワークフローの詳細については、「IntuneでMicrosoft Defender for Endpointを構成」をご覧ください。