テナントに接続されたクライアントに対する Intune ロールベースのアクセス制御

Configuration Manager (現在のブランチ) に適用

Configuration Manager バージョン 2207 以降Intune、Microsoft Intune管理センターからテナントに接続されたデバイスを操作するときに、役割ベースのアクセス制御 (RBAC) を使用できます。 たとえば、Intune をロールベースのアクセス制御機関として使用する場合、ヘルプ デスク オペレーター ロールを持つユーザーには、割り当てられたセキュリティ ロールや Configuration Manager からの追加のアクセス許可は必要ありません。 Intune 役割ベースのアクセス制御は、デバイス タイムライン、CMPivot、スクリプトなど、Microsoft Intune 管理センターのすべてのクラウド接続デバイス ページへのアクセス許可を管理します。

重要

現時点では、テナントに接続されたデバイスを表示し、Microsoft Intune管理センターからアクションを実行するためのIntuneロールベースのアクセス制御の適用はオプションです。 クラウド接続された Configuration Manager 環境を持つすべての管理者が、Intune から役割ベースのアクセス制御アクセス許可の確認を開始することをお勧めします。

テナントに接続されたデバイスの役割ベースのアクセス制御機関として Intune を構成するための 3 つの高度な手順は次のとおりです。

前提条件

制限事項

  • 現在、Intune ロールベースのアクセス制御のみを使用して、Microsoft Intune 管理センターからテナントに接続されたデバイスの表示とアクションの実行を行う場合、範囲指定はサポートされていません。
  • 現時点では、Configuration Manager バージョン 2207 の早期更新リングを使用する場合、クラウド専用ユーザーは [ソフトウェア更新プログラム] ページを使用できません。

クラウドに接続されたクライアントに対する Configuration Manager の役割ベースのアクセス制御の強制を無効にする

Configuration Manager の役割ベースのアクセス制御ではなく、テナント アタッチに Intune の役割ベースのアクセス制御を使用するには、次の手順を使用します。

  1. Configuration Managerコンソールから、[管理]>Cloud Services>[クラウド接続] に移動します。

  2. ロールベースのアクセス制御オプションの場所は、環境が既にクラウドに接続されているかどうかによって異なります。

    • 環境が既にクラウドに接続されている場合は、 CoMgmtSettingsProd のプロパティを開きます。 管理センターにデバイスがアップロードされていない場合は、最初にそのオプションを構成します。 詳細については、「 クラウドアタッチを有効にする」を参照してください。
    • 環境がクラウドに接続されていない場合は、[ クラウド アタッチの構成] を選択して、 クラウド アタッチ構成ウィザードを開きます。

  3. ウィザードの [アップロードの構成(Configure upload)] タブまたはページで、[Role-based Access Control] 見出しの下にある次のオプションのチェックボックスをオフにします。

    Configuration Manager と対話するクラウド コンソール要求に対して Configuration Manager RBAC を適用する

  4. [ OK ] を選択して CoMgmtSettingsProd プロパティへの変更を保存するか、続行して クラウド アタッチ ウィザードを完了します。

Configuration Manager の CoMgmtSettingsProd プロパティのスクリーンショット。スクリーンショットでは、[アップロードの構成] タブが表示され、赤いボックスで [ロールベースのアクセス制御] セクションの概要が示されています。

Intune からの役割ベースのアクセス制御を有効にする

Intune でクラウド接続デバイスのユーザー アクセス許可を管理できるようにするには、次の手順を使用します。

  1. Microsoft Intune 管理センターを開き、[ロール/更新] アクセス許可を持つユーザーとしてサインインします。 アクセス許可の詳細については、「Intune のカスタム ロールのアクセス許可」を参照してください。
  2. [テナント管理]>[コネクタとトークン]>[Microsoft Endpoint Configuration Manager] を選択します。
  3. バナーで、[ Intune からユーザーのアクセス許可を管理することもできます] を選択します。このオプションの詳細については、ここをクリックしてください。
  4. [Use Intune RBAC] ポップアップが表示されます。
  5. [Intune RBAC を使用する] オプションで [オン] を選択し、[適用] を選択します。
  6. 変更が有効になるまでに約 10 分かかる場合があります。

Microsoft Intune 管理センターの [Microsoft Configuration Manager コネクタとトークン] ページのスクリーンショット。[Intune RBAC を使用する] ポップアップがスクリーンショットに表示されます。

Intune からの役割ベースのアクセス制御アクセス許可を確認する

Intune がロールベースのアクセス制御機関に設定されたら、ロールのアクセス許可を確認します。 必要に応じて、これらのアクセス許可を Intune で作成したカスタム ロールに追加できます。

  1. Microsoft Intune 管理センターを開き、サインインします。
  2. [ テナント管理>ロール] を選択します。
  3. アプリケーション マネージャーなどのロールを選択し、クラウド接続デバイスに表示されているアクセス許可を確認します。 必要に応じて、Intune で作成したカスタム ロールのアクセス許可を編集します。

次の Intune アクセス許可は、Configuration Manager クラウド接続デバイスへのアクセスを制御します:

アクセス許可 説明 アクセス許可を持つ Intune 組み込みロール
クラウドに接続されたデバイス\コレクションの表示 Configuration Manager クラウドに接続されたデバイスの [コレクション] ページを表示します アプリケーション マネージャー、エンドポイント セキュリティ マネージャー、読み取り専用オペレーター、学校管理者、ポリシー プロファイル マネージャー、ヘルプ デスク オペレーター
クラウドに接続されたデバイス\View リソース エクスプローラー Configuration Manager クラウドに接続されたデバイスの [リソース エクスプローラー] ページを表示します アプリケーション マネージャー、エンドポイント セキュリティ マネージャー、読み取り専用オペレーター、学校管理者、ポリシー プロファイル マネージャー、ヘルプ デスク オペレーター
クラウドに接続されたデバイス\タイムラインの表示 Configuration Manager クラウドに接続されたデバイスのタイムライン ページを表示します アプリケーション マネージャー、エンドポイント セキュリティ マネージャー、読み取り専用オペレーター、学校管理者、ポリシー プロファイル マネージャー、ヘルプ デスク オペレーター
クラウドに接続されたデバイス\ソフトウェア更新プログラムの表示 Configuration Manager クラウドに接続されたデバイスの [ソフトウェア更新プログラム] ページを表示します アプリケーション マネージャー、エンドポイント セキュリティ マネージャー、読み取り専用オペレーター、学校管理者、ヘルプ デスク オペレーター
クラウドに接続されたデバイス\スクリプトの表示 Configuration Manager クラウドに接続されたデバイスの [スクリプト] ページを表示します エンドポイント セキュリティ マネージャー、読み取り専用オペレーター、学校管理者、ポリシー プロファイル マネージャー、ヘルプ デスク オペレーター
クラウドに接続されたデバイス\スクリプトの実行 [スクリプトの実行] アクションを表示し、ユーザーが Configuration Manager クラウドに接続されたデバイスでスクリプトを実行できるようにします 学校管理者、ヘルプ デスク オペレーター
クラウドに接続されたデバイス\CMPivot クエリの実行 Configuration Manager クラウドに接続されたデバイスの CMPivot ページを表示します エンドポイント セキュリティ マネージャー、学校管理者、ヘルプ デスク オペレーター
クラウドに接続されたデバイス\クライアントの詳細の表示 Configuration Manager クラウドに接続されたデバイスの [クライアントの詳細] ページを表示します アプリケーション マネージャー、エンドポイント セキュリティ マネージャー、読み取り専用オペレーター、学校管理者、ポリシー プロファイル マネージャー、ヘルプ デスク オペレーター
クラウドに接続されたデバイス\アプリケーションの表示 Configuration Manager クラウドに接続されたデバイスの [アプリケーション] ページを表示します アプリケーション マネージャー、読み取り専用オペレーター、学校管理者、ポリシー プロファイル マネージャー、ヘルプ デスク オペレーター
クラウドに接続されたデバイス\アプリケーション アクションの実行 [アプリケーション] ページにアプリケーション操作を表示し、ユーザーが Configuration Manager クラウドに接続されたデバイスでアプリケーション アクションを実行できるようにします アプリケーション マネージャー、学校管理者、ヘルプ デスク オペレーター
リモート タスク/BitLockerKeys の回転 (プレビュー) デバイスで BitLocker 回復パスワードのキー ローテーションを開始します。 Configuration Manager クラウドに接続されたデバイスの [回復キー] ページを表示します。 エンドポイント セキュリティ マネージャー、ヘルプ デスク オペレーター

よく寄せられる質問

Intune のテナントに接続されたデバイスにアクセスする必要があるクラウド専用ユーザーがいます。これでアクセスできるようになりますか?

はい。 ユーザーがクラウドのみの場合、このシナリオでは Microsoft Entra ID を使用していて Intune にアクセスできます。Intune RBAC を使用すると、テナントに接続されたデバイスにアクセスできます。

テナントに複数の Configuration Manager 階層が接続されている場合はどうなりますか?

Microsoft Intune 管理センターの [Intune RBAC を使用する] 設定は、テナントに一覧表示されているすべての Configuration Manager 階層に適用されます。

Configuration Manager と Intune の設定が一致しない場合はどうなりますか?

Intune の [Intune RBAC を使用する] トグルが [オフ] に設定されている場合、と対話するクラウド コンソール要求に対して Configuration Manager RBAC が Configuration Manager ロールベースのアクセスが適用されますConfiguration Manager のチェック ボックスがオフになっている。 [Configuration Manager と対話するクラウド コンソール要求に Configuration Manager RBAC を適用する] オプションを無効にしても、Intune の [Intune RBAC を使用する] トグルが [オン] に設定されるまで効果はありません。

テスト階層が Intune RBAC を使用するように構成されていても、運用階層が構成されておらず、それらが同じテナント内にある場合はどうなりますか?

[Intune RBAC を使用する] 設定は、テナントに一覧表示されているすべての Configuration Manager 階層に適用されます。 クラウドのみのユーザーは、テスト階層からアップロードされたテナント接続デバイスにアクセスできます。これは、Configuration Manager RBAC を適用するチェック ボックスもオフにしているためです。 運用環境からアップロードされたテナントに接続されたデバイスにクラウド専用ユーザーがアクセスしようとすると、運用デバイスは Configuration Manager RBAC を強制しているため、エラーが表示されます。 クラウドのみのユーザーには、次のメッセージのようなエラーが表示されます。 Unable to get device information. Make sure Azure AD and AD user discovery are configured and the user is discovered by both. Verify that the user has proper permissions in Configuration Manager.

次の手順

  • クラウド接続デバイスのタイムラインを確認する
  • クラウドに接続されたデバイスで CMPivot クエリを実行する
  • Last updated on