Microsoft Intuneを使用して iOS にMicrosoft Defender for Endpointをデプロイする

適用対象: Microsoft Defender for Endpoint Plan 1, Microsoft Defender for Endpoint Plan 2

登録済みiOSデバイスでMicrosoft Defender for EndpointをMicrosoft DefenderアプリとMicrosoft Intuneを使用して展開します。展開オプションは、監督付きデバイス、監視なしデバイス、Intuneユーザー登録を使用するデバイスをサポートしています。

この記事の手順にはMicrosoft Intuneが必要です。 IntuneはMicrosoft Defender for Endpointの一部ではない別の製品であり、すべてのサブスクリプションに含まれているわけではありません。 Intune を使用するには、Intune を含むサブスクリプションが必要です。または、スタンドアロンサブスクリプションまたはアドオンとして個別に購入することもできます。詳細については、「Microsoft Intune のライセンス」を参照してください。

前提条件

以下の権限を持つアカウントを使用してください:
- Microsoft Intune:アプリケーションマネージャーとポリシーおよびプロファイルマネージャーの両方に組み込みの役割を割り当てるか、同等の権限を持つカスタムロールを使用する:
  - Application Managerは、Microsoft Defenderアプリの追加、設定、割り当てに必要なモバイルアプリおよび管理されたアプリの権限を提供します。
  - ポリシーおよびプロファイルマネージャーは 、本記事でプロファイルの作成および割り当てに必要なデバイス設定および登録権限を提供します。
  管理するユーザーやデバイスに役割割り当ての範囲を設定しましょう。各ロールに含まれる権限については、「Microsoft Intuneの組み込みロール権限」をご覧ください。
- Microsoft Defender ポータル: Microsoft Defender XDR の統合ロールベースのアクセス制御 (RBAC) で、登録されたデバイスを含むデバイスグループへのアクセス権を持つ セキュリティ運用 \ セキュリティデータ \ セキュリティデータの基本 (読み取り) を割り当てます。 Defender for Endpoint RBAC を引き続き使用している組織では、データの表示>セキュリティ運用 および該当するデバイスグループへのアクセス権を割り当てます。
ユーザーのiOSデバイスをIntuneに登録してください。詳細については、「 Microsoft Intuneを参照してください。
ユーザーにMicrosoft Defender for Endpointのライセンスを割り当てて、Microsoft Defenderアプリを使用できるようにします。手順については、「ユーザーにライセンスを割り当てる」を参照してください。
登録方法にポータルサイトアプリが必要な場合は、ユーザーがアプリをインストールしサインインし、登録を完了したことを確認してください。ポータルサイトアプリが不要なジャストインタイム(JIT)登録シナリオでは、Microsoft Authenticatorアプリを必須アプリとして展開してください。 AuthenticatorはJIT登録で使用されるSSO拡張を提供します。

注:

Microsoft Defender アプリは、Apple App Storeで使用できます。

監視付きデバイスと監視なしデバイスの両方にアプリを展開します

監督付きおよび監視なしのiOSデバイスに展開するために、Microsoft DefenderアプリをIntuneに追加してください。

iOS ストアアプリを追加する

Microsoft Defenderアプリを大量購入アプリとして展開する場合は、この手順を省略してください。

Microsoft DefenderアプリをiOSストアアプリとしてIntuneに追加してください。詳細な手順については、「Microsoft IntuneへのiOSストアアプリ追加」をご覧ください(Intuneドキュメントの新しいタブでリンクが開きます)。

アプリ |https://intune.microsoft.com/#view/Microsoft_Intune_DeviceSettings/AppsMenu/~/allAppsのMicrosoft Intune管理センターにある「すべてのアプリ」ページで、作成」を選択し、以下の特定の設定をご利用ください:

プラットフォーム: [iOS/iPadOS] を選択します。
アプリタイプ:ストアアプリセクションでiOSストアアプリを選択します。

アプリを追加ウィザードで、アプリ情報タブで以下の設定を設定してください:

「Search the App Store」を選択し、「Defender」を検索し、「Microsoft Defender: Security」を選択してください。
最低OSはiOS 17.0を選択してください。

アプリを作成すると、アプリ詳細ページが開きます。後でこのページに戻るには、Apps | すべてのアプリ ページで Microsoft Defender: Security を選択してください。アプリ詳細ページの モニターの下で、インストールが正常に完了したことを確認するために デバイスインストールステータス を選択してください。

監視対象デバイスの完全な展開

Microsoft Defenderアプリは、プラットフォームの高度な管理機能を活用し、監督されたiOS/iPadOSデバイスで強化された機能を提供します。また、デバイスにローカルVPNを必要とせずにウェブ保護を提供します。この構成は、フィッシングやその他のウェブベースの脅威からユーザーを守ります。

監視付きデバイスをアプリ設定ポリシーとデバイス設定プロファイルで設定します。

Microsoft Intuneを使って監視モードを設定する

Microsoft Defenderアプリの監督モードを、アプリ設定ポリシーとデバイス設定プロファイルを通じて設定します。

アプリ構成ポリシー

注:

この監視デバイス向けのアプリ設定ポリシーは、管理されたデバイスにのみ適用されます。ベストプラクティスとして、ポリシーを すべてのデバイスに割り当てます。

管理デバイスアプリの設定ポリシーを作成してください。詳細な手順については、「アプリ設定ポリシーの作成」(Intuneドキュメントの新しいタブでリンクが開きます)をご覧ください。

Apps |Microsoft Intune管理センターのhttps://intune.microsoft.com/#view/Microsoft_Intune_DeviceSettings/AppsMenu/~/configuration設定ページで、Create>Managed devicesを選択します。

アプリ構成ポリシー作成ウィザードで、以下の設定を設定してください:

[基本 ] タブ:
- プラットフォーム: [iOS/iPadOS] を選択します。
- ターゲットアプリ:選択アプリを選択し、Microsoft Defender: Securityを見つけて選択し、OKを選択します。
[設定] タブ:
- 構成設定の形式: [ 構成デザイナーを使用する] を選択します。
- 構成キー: 「 issupervised」と入力します。
- 値タイプ: 文字列を選択します。
- 構成値: {{issupervised}}を入力します。
割り当て タブ:このシナリオのベストプラクティスとして、ポリシーを すべてのデバイスに割り当てます。ポリシーをユーザーグループに割り当てた場合、ポリシーが適用される前にユーザーは自分のデバイスにサインインしなければなりません。詳細については、「ユーザープロファイルとデバイスプロファイルの割り当て」を参照してください。

デバイス構成プロファイル (コントロールフィルター)

注:

監視されたiOS/iPadOSデバイスでは、カスタム ControlFilter.mobileconfig プロファイルがデバイス 上でローカルループバックVPNを設定しなくてもWeb Protectionを有効にします。この設定により、ローカルVPNを必要とせずにフィッシングやその他のウェブ攻撃からユーザーを守ります。

ただし、 ControlFilter プロファイルは、プラットフォームの制限のため、Always-On VPN (AOVPN) では機能しません。

以下のいずれかのプロファイルを展開してください:

ゼロタッチ(サイレント)コントロールフィルター:このプロファイルはユーザーのサイレントオンボーディングを可能にします。 ControlFilterZeroTouchから設定プロファイルをダウンロードしてください。
Control Filter: ControlFilterから設定プロファイルをダウンロードしてください。

選択したプロファイルをダウンロードしたら、カスタムデバイス設定プロファイルを作成します。詳細な手順については、「Microsoft Intune で Apple デバイスにカスタム設定を追加する」を参照してください（リンクは Intune ドキュメント内の新しいタブで開きます）。

デバイス | のポリシータブでポリシーを作成する際、https://intune.microsoft.com/#view/Microsoft_Intune_DeviceSettings/DevicesMenu/~/configurationのMicrosoft Intune管理センターの設定ページで「Create>New policy」を選択し、以下の特定の設定をご利用ください:

プラットフォーム: [iOS/iPadOS] を選択します。
プロファイルの種類: [テンプレート] を選択します。
テンプレート名: カスタムを選択します。

カスタムウィザードで以下の設定を設定してください:

設定タブ : 設定プロファイルファイルで、ダウンロードした .mobileconfig ファイルを見つけて選択してください。
割り当て タブ:このシナリオのベストプラクティスとして、すべての管理されたiOSデバイスにプロファイルを割り当てます。

監督なしデバイスの自動オンボーディングを設定しましょう

Defender for Endpointへのオンボーディングを、ゼロタッチオンボーディングやVPNプロファイルの自動オンボーディングで自動化できます。

ゼロタッチオンボーディングの設定

注:

ユーザーアフィニティがないiOSデバイス(ユーザーレスや共有デバイスなど)ではゼロタッチの設定ができません。

Microsoft Defender for Endpointをサイレント展開とアクティベーションのために、デプロイプロファイルを作成してください。ユーザーはインストール通知を受け取り、Defender for Endpointはアプリを開かなくてもインストールされます。

VPNデバイス設定プロファイルを作成します。詳細な手順については、「デバイス設定プロファイルの作成」(リンクはIntuneドキュメントの新しいタブで開きます)をご覧ください。利用可能なVPN設定の詳細については、「Microsoft IntuneのAppleデバイスのVPN設定を設定する」をご覧ください。

プラットフォーム: [iOS/iPadOS] を選択します。
プロファイルの種類: [テンプレート] を選択します。
テンプレート名: VPNを選択する。

VPNウィザードで設定タブの以下の設定を使います:

接続タイプ: カスタムVPNを選択します。
基本VPN セクション:
- 接続名: Microsoft Defender for Endpoint 入力。
- VPNサーバーアドレス: 127.0.0.1を入力してください。
- 認証方法: ユーザー名とパスワードを選択してください。
- スプリットトンネリング: Disable が選択されていることを確認します。
- VPN識別子: com.microsoft.scmxを入力してください。
- カスタムVPN属性のキーペアと値ペアを入力します:
  - キー: Enter SilentOnboard。
  - 値:「True」と入力します。
  - 既定では、ユーザーはアプリ内からトグルを変更できません。ユーザーがアプリ内でVPNのトグルを変更できるようにするには、以下のキーと値の組み合わせを追加してください:
    - キー: Enter EnableVPNToggleInApp。
    - 値:「True」と入力します。
自動VPN セクション:
- 自動VPNの種類: オンデマンドVPNを選択します。
  - オンデマンドルール:追加を選択し、次にVPNを確立したい>を選択し、次に>すべてのドメインに制限したい。
- 自動VPNの無効化をブロックする:VPNの無効化を防ぐには 「はい 」を選択してください。デフォルトではこの設定は設定されておらず、ユーザーは設定でVPNを無効にできます。

IntuneがプロファイルをターゲットとなるiOSデバイスに同期した後:

Defender for Endpoint は展開され、ユーザーの操作なしでオンボードされます。デバイスは、オンボード後にMicrosoft Defender ポータルに表示されます。
仮通知がユーザーのデバイスに送信されます。
Web Protection やその他の機能がアクティブ化されます。

場合によっては、パスワード変更や多要素認証のプロンプト後など、ゼロタッチオンボーディングではユーザーが手動でMicrosoft Defenderアプリにサインインする必要がある場合があります。

初回オンボーディングの場合:ユーザーには無音通知が届きます。

ユーザーは以下のステップを踏みます。
1. Microsoft Defenderアプリを開くか、通知をタップしてください。
2. アカウントピッカー画面から登録済みのEnterprise アカウントを選択します。
3. サインイン。
デバイスがオンボードされ、Microsoft Defender ポータルへのレポートが開始されます。
以前にオンボーディング済みのデバイスについては:ユーザーにはサイレント通知が届きます。

Microsoft Defenderポータルへの報告を再開するには:
1. Microsoft Defender アプリを開くか、通知をタップします。
2. Microsoft Defender アプリからメッセージが表示されたら、サインインします。
デバイスは再びMicrosoft Defenderポータルに報告し始めます。
注:
- ゼロタッチの設定は、バックグラウンドで完了するのに最大5分かかることがあります。
- 監視対象デバイスでは、ZeroTouch Control Filter プロファイルを使用してゼロタッチオンボーディングを設定します。この場合、Defender for EndpointのVPNプロファイルはデバイスにインストールされておらず、Control Filterプロファイルがウェブ保護を提供します。

VPNプロファイルの自動オンボーディングを設定してください

注:

このオプションはVPNプロファイルを設定することでオンボーディングを簡素化します。ゼロタッチオンボーディングを使う場合は、このオプションを設定しないでください。

監視されていないデバイスに対しては、ローカルのループバックVPNがウェブ保護を提供します。 VPNはデバイス外のトラフィックを送りません。

Defender for EndpointのVPNプロファイルを自動的に設定し、オンボーディング時にユーザーがプロファイルを設定しなくても済むようにしましょう。

プラットフォーム: [iOS/iPadOS] を選択します。
プロファイルの種類: [テンプレート] を選択します。
テンプレート名: VPNを選択する。

VPNウィザードで設定タブの以下の設定を使います:

接続タイプ: カスタムVPNを選択します。
基本VPN セクション:
- 接続名: Microsoft Defender for Endpoint 入力。
- VPNサーバーアドレス: 127.0.0.1を入力してください。
- 認証方法: ユーザー名とパスワードを選択してください。
- スプリットトンネリング: Disable が選択されていることを確認します。
- VPN識別子: com.microsoft.scmxを入力してください。
- カスタムVPN属性のキーペアと値ペアを入力します:
  - キー: Enter AutoOnboard。
  - 値:「True」と入力します。
  - 既定では、ユーザーはアプリ内からトグルを変更できません。ユーザーがアプリ内でVPNのトグルを変更できるようにするには、以下のキーと値の組み合わせを追加してください:
    - キー: Enter EnableVPNToggleInApp。
    - 値:「True」と入力します。
自動VPN セクション:
- 自動VPNの種類: オンデマンドVPNを選択します。
- オンデマンドルール:追加を選択し、次にVPNを確立したい>を選択し、次に>すべてのドメインに制限したい。
- 自動VPNの無効化をブロックする:VPNの無効化を防ぐには 「はい 」を選択してください。デフォルトではこの設定は設定されておらず、ユーザーは設定でVPNを無効にできます。

Intune ユーザー登録の設定

以下の手順で、Intuneユーザー登録を使用するiOSデバイスにMicrosoft Defenderアプリを展開してください。

管理者設定

Defender for EndpointのIntuneユーザー登録を設定するには:

IntuneでAppleユーザー登録プロファイルを設定してください。新規登録の場合は、アカウント主導のApple User Enrollmentをご利用ください。ポータルサイトでのユーザー登録は、すでにこのプロファイルタイプを使用しているデバイスのみが利用可能です。
Microsoft Enterpriseのシングルサインオン(SSO)プラグインを設定しましょう。 iOSデバイスでのユーザー登録には、SSO拡張機能を提供するMicrosoft Authenticatorアプリが必要です。

Intuneでデバイス設定プロファイルを作成します。詳細については、 Apple デバイス用の Microsoft Enterprise SSO プラグインに関するページを参照してください。プロファイルに以下の設定を追加してください:
- App Bundle ID:com.microsoft.scmx Microsoft Defender App Bundle IDを追加してください。
- 別の構成として、キー device_registrationを追加し、 String Typeを選択し、 {{DEVICEREGISTRATION}} を値として入力します。
ユーザー登録用のアプリ設定キーを設定してください。

管理デバイスアプリの設定ポリシーを作成してください。詳細な手順については、「アプリ設定ポリシーの作成」(Intuneドキュメントの新しいタブでリンクが開きます)をご覧ください。

Apps |Microsoft Intune管理センターのhttps://intune.microsoft.com/#view/Microsoft_Intune_DeviceSettings/AppsMenu/~/configuration設定ページで、Create>Managed devicesを選択します。

アプリ設定ポリシー作成ウィザードで、以下の具体的な設定を設定してください:
- [基本 ] タブ:
  - プラットフォーム: [iOS/iPadOS] を選択します。
  - ターゲットアプリ:選択アプリを選択し、Microsoft Defender: Securityを見つけて選択し、OKを選択します。
- [設定] タブ:
  - 構成設定の形式: [ 構成デザイナーを使用する] を選択します。
  - 構成キー: 「 UserEnrolmentEnabled」と入力します。
  - 値タイプ: 文字列を選択します。
  - 構成値: Trueを入力します。
IntuneのMicrosoft Defenderアプリを、必須のユーザーライセンスの大量購入アプリとして展開してください。

ユーザーオンボーディング

Microsoft Defenderアプリがユーザーのデバイスにインストールされると、各ユーザーはサインインしてオンボーディングを完了します。デバイスがオンボーディングされると、Microsoft Defenderポータルのデバイスインベントリページに表示されます。

サポートされている機能と制限事項

iOS版のDefender for Endpointの機能には、ウェブ保護、ネットワーク保護、脱獄検出、OSおよびアプリの脆弱性管理、Microsoft Defenderポータル内のアラートが含まれます。
ユーザー登録では、ユーザー登録ではゼロタッチ展開やVPNプロファイルの自動オンボーディングはサポートされていません。なぜなら、管理者はこの登録タイプに対してデバイス全体のVPNプロファイルを展開できないからです。
アプリの脆弱性管理では、管理されたApple File System(APFS)ボリューム内のアプリのみが表示されます。
新規オンボーディングされたデバイスは、コンプライアンスポリシーの対象となると、準拠と表示されるまでに最大10分かかることがあります。

詳細については、 Apple User Enrollmentの制限およびサポートされていない機能をご覧ください。

オンボーディングを完了し、ステータスを確認する

オンボーディングを完了し、デバイスの状態を確認するために:

IntuneがiOSデバイスにDefender for Endpointをインストールすると、アプリのアイコンが表示されます。
Defender for Endpointアプリのアイコンをタップし、画面上の指示に従ってオンボーディングを完了してください。ユーザーはMicrosoft Defenderアプリで必要なiOS権限を受け入れます。

注:

ゼロタッチオンボーディングを設定している場合はこのステップを省略してください。ゼロタッチオンボーディングが設定されている場合は、手動でアプリを開く必要はありません。
オンボーディング完了後、デバイスがMicrosoft Defenderポータルのデバイスインベントリリストに表示されているか確認してください。

フィードバック

このページはお役に立ちましたか?

最終更新: 2026-09-19