チュートリアル: 既存の Configuration Manager クライアントの共同管理を有効にする

共同管理では、組織内の PC を管理するために Configuration Manager を使用するという確立されたプロセスを維持できます。 それと同時に、セキュリティと最新のプロビジョニングのために Intune を使用することでクラウドに投資します。

このチュートリアルでは、Configuration Manager に既に登録されている Windows デバイスの共同管理を設定します。 このチュートリアルは、既に Configuration Manager を使用して Windows デバイスを管理していることを前提に始まります。

このチュートリアルは、次の場合に使用します。

• ハイブリッド Microsoft Entra 構成で Microsoft Entra ID に接続できるオンプレミスの オンプレミスの Active Directory があります。

  オンプレミスの AD を Microsoft Entra ID に参加させるハイブリッド Microsoft Entra ID をデプロイできない場合は、コンパニオン チュートリアル「新しいインターネットベースの Windows デバイスの共同管理を有効にする」に従うことをお勧めします。

• クラウド接続する既存の Configuration Manager クライアントがある。

このチュートリアルでは、次の内容を行います。

前提条件

Azure サービスと環境

• Azure サブスクリプション (無料試用版)

• Microsoft Entra ID P1 または P2

• Microsoft Intune サブスクリプション

  ヒント

  Enterprise Mobility + Security (EMS) サブスクリプションには、Microsoft Entra ID P1 または P2 と Microsoft Intune の両方が含まれます。 EMS サブスクリプション (無料トライアル)。

環境にまだ存在しない場合は、このチュートリアルで、オンプレミスの Active Directory と Microsoft Entra テナントの間で Microsoft Entra Connect を構成します。

オンプレミスのインフラストラクチャ

• サポートされているバージョンの Configuration Manager current branch
• モバイル デバイス管理 (MDM) 機関は Intune に設定されている必要があります。

アクセス許可

このチュートリアル全体を通して、次のアクセス許可を使用してタスクを完了してください。

• オンプレミス インフラストラクチャの ドメイン管理者 アカウント

• Configuration Manager のすべてのスコープの完全な管理者であるアカウント

• Microsoft Entra ID のグローバル管理者であるアカウント

  • テナントへのサインインに使用するアカウントに Intune ライセンスが割り当てられていることを確認します。 それ以外の場合は、サインインに失敗し、エラー メッセージ「 予期しないエラーが発生しました」が表示されます。

  重要

  Microsoft Entra 全体管理者ロールは高い特権を持つロールであり、他の役割を使用できない場合にのみ使用する必要があります。 この機能には、グローバル管理者の役割が必要です。 その他の機能については、アクセス許可が最も少ないロールを使用することをお勧めします。 詳細については、「Configuration Manager の役割ベースの管理の基礎」を参照してください。

ハイブリッド Microsoft Entra ID を設定する

ハイブリッド Microsoft Entra ID を設定する場合は、実際には、Microsoft Entra Connect と Active Directory フェデレーション サービス (ADFS) を使用して、オンプレミス AD と Microsoft Entra ID の統合を設定します。 正常に構成されると、ワーカーはオンプレミスの AD 資格情報を使用して外部システムにシームレスにサインインできます。

Microsoft Entra Connect を設定する

ハイブリッド Microsoft Entra ID では、オンプレミスの Active Directory (AD) 内のコンピューター アカウントと Microsoft Entra ID 内のデバイス オブジェクトの同期を維持するために、Microsoft Entra Connect の構成が必要です。

バージョン 1.1.819.0 以降、Microsoft Entra Connect には、Microsoft Entra ハイブリッド結合を構成するためのウィザードが用意されています。 このウィザードを使用すると、構成プロセスが簡略化されます。

Microsoft Entra Connect を構成するには、Microsoft Entra ID のグローバル管理者の資格情報が必要です。 次の手順は、Microsoft Entra Connect のセットアップに関して権限があると見なすべきではありませんが、Intune と Configuration Manager の間の共同管理の構成を合理化するためにここに示されています。 Microsoft Entra ID の設定に関するこの手順および関連する手順に関する信頼できるコンテンツについては、Microsoft Entra ドキュメントの「マネージド ドメインの Microsoft Entra ハイブリッド参加の構成」を参照してください。

Microsoft Entra Connect を使用して Microsoft Entra ハイブリッド参加を構成する

1. 最新バージョンの Microsoft Entra Connect (1.1.819.0 以降) を取得してインストールします。

2. Microsoft Entra Connect を起動し、[構成] を選択します。

3. [ 追加タスク] ページで、[ デバイス オプションの構成] を選択し、[ 次へ] を選択します。

4. [ 概要 ] ページで、[ 次へ] を選択します。

5. [Microsoft Entra ID への接続] ページで、Microsoft Entra ID のグローバル管理者の資格情報を入力します。

6. [デバイス オプション] ページで、[Microsoft Entra ハイブリッド参加を構成する] を選択し、[次へ] を選択します。

7. [ デバイスのオペレーティング システム ] ページで、Active Directory 環境のデバイスで使用されるオペレーティング システムを選択し、[ 次へ] を選択します。

   Windows のダウンレベル ドメインに参加しているデバイスをサポートするオプションを選択できますが、デバイスの共同管理は Windows デバイスでのみサポートされることに注意してください。

8. [SCP] ページで、Microsoft Entra Connect でサービス接続ポイント (SCP) を構成するオンプレミスのフォレストごとに、次の手順を実行し、[次へ] を選択します。

   1. フォレストを選択します。
   2. 認証サービスを選択します。 フェデレーション ドメインを使用している場合は、organization が Windows クライアントのみを使用しており、コンピューター/デバイスの同期を構成しているか、organization が SeamlessSSO を使用している場合を除き、AD FS サーバーを選択します。
   3. [ 追加 ] をクリックして、エンタープライズ管理者の資格情報を入力します。

9. マネージド ドメインを使用している場合は、この手順をスキップします。

   [ フェデレーションの構成 ] ページで、AD FS 管理者の資格情報を入力して、[ 次へ] を選択します。

10. [ 構成の準備完了] ページで、[ 構成] を選択します。

11. [ 構成の完了 ] ページで、[ 終了] を選択します。

ドメインに参加している Windows デバイスの Microsoft Entra ハイブリッド参加の完了に問題が発生した場合は、「現在の Windows デバイスの Microsoft Entra ハイブリッド参加のトラブルシューティング」を参照してください。

クライアント設定を構成して、クライアントに Microsoft Entra ID への登録を指示する

クライアント設定を使用して、Microsoft Entra ID に自動的に登録するように Configuration Manager クライアントを構成します。

1. Configuration Manager コンソール>管理>概要>クライアント設定を開き、[既定のクライアント設定] を編集します。

2. [Cloud Services] を選択します。

3. [既定の設定] ページで、[Windows 10 ドメインに参加している新しいデバイスを Microsoft Entra ID で自動的に登録する] を = [はい] に設定します。

4. [ OK ] を選択してこの構成を保存します。

Intune へのデバイスの自動登録を構成する

次に、Intune を使用したデバイスの自動登録を設定します。 自動登録を使用すると、Configuration Manager で管理するデバイスが自動的に Intune に登録されます。

自動登録では、ユーザーが Windows デバイスを Intune に登録することもできます。 ユーザーが個人所有のデバイスに仕事用アカウントを追加するとき、または企業所有のデバイスが Microsoft Entra ID に参加すると、デバイスが登録されます。

1. Azure portalにサインインし、[Microsoft Entra ID>モビリティ (MDM および MAM)>Microsoft Intune] を選択します。

2. MDM ユーザー スコープの構成。 次のいずれかを指定して、Microsoft Intune によって管理されるユーザーのデバイスを構成し、URL 値の既定値を受け入れます。

   • 一部: Windows デバイスを自動的に登録できる グループ を選択します

   • すべて: すべてのユーザーが Windows デバイスを自動的に登録できます

   • なし: MDM 自動登録を無効にする

   重要

   グループに対して MAM ユーザー スコープ と自動 MDM 登録 (MDM ユーザー スコープ) の両方が有効になっている場合は、MAM のみが有効になります。 モバイル アプリケーション管理 (MAM) のみ、そのグループのユーザーが職場で個人用デバイスに参加するときに追加されます。 デバイスは自動的に MDM に登録されません。

   Intune にデバイスを登録するように Configuration Manager を設定している場合でも、デバイス トークン登録の MDM ユーザー スコープを変更する必要があります。 Configuration Manager は、サイト データベースに保存されている MDM URL を使用して、クライアントが予期された Intune テナントに属していることを確認します。

3. [ 保存] を選択して、自動登録の構成を完了します。

4. モビリティ (MDM および MAM) に戻り、[Microsoft Intune 登録] を選択します。

   注:

   一部のテナントでは、これらのオプションを構成することができない場合があります。

   Microsoft Intune は、Microsoft Entra ID 用に MDM アプリを構成する方法です。 Microsoft Intune 登録は、iOS および Android の登録に多要素認証ポリシーを適用するときに作成される特定の Microsoft Entra アプリです。 詳細については、「Intune へのデバイスの登録で多要素認証を要求する」を参照してください。

5. MDM ユーザー スコープの場合は、[ すべて]、[保存] の順に 選択します。

Configuration Manager での共同管理を有効にする

ハイブリッド Microsoft Entra セットアップと Configuration Manager クライアント構成を配置したら、スイッチを切り替えて Windows デバイスの共同管理を有効にする準備が整います。 パイロット グループという語句は、共同管理機能と構成ダイアログ全体で使用されます。 パイロット グループは、Configuration Manager デバイスのサブセットを含むコレクションです。 初期テストにはパイロット グループを使用し、すべての Configuration Manager デバイスのワークロードを移動する準備ができるまで、必要に応じてデバイスを追加します。 パイロット グループをワークロードに使用できる期間に時間制限はありません。 ワークロードをすべての Configuration Manager デバイスに移動したくない場合は、パイロット グループを無期限に使用できます。

共同管理を有効にしたら、コレクションを パイロット グループとして割り当てます。 これは、共同管理構成をテストするための少数のクライアントを含むグループです。 手順を開始する前に、適切なコレクションを作成することをお勧めします。 その後、プロシージャを終了せずにそのコレクションを選択できます。 ワークロードごとに異なる パイロット グループ を割り当てることができるため、複数のコレクションが必要になる場合があります。

バージョン 2111 以降の共同管理を有効にする

Configuration Manager バージョン 2111 以降、共同管理のオンボード エクスペリエンスが変更されました。 クラウド アタッチ構成ウィザードを使用すると、共同管理やその他のクラウド機能を簡単に有効にできます。 推奨される既定値の合理化されたセットを選択することも、クラウドアタッチ機能をカスタマイズすることもできます。 クライアントの識別に役立つ共同 管理対象デバイス 用の新しい組み込みデバイス コレクションもあります。 共同管理を有効にする方法の詳細については、「 クラウド接続を有効にする」を参照してください。

バージョン 2107 以前の共同管理を有効にする

共同管理を有効にする場合は、Azure パブリック クラウド、Azure Government クラウド、または Azure China 21Vianet クラウド (バージョン 2006 で追加) を使用できます。 共同管理を有効にするには、次の手順に従います。

1. Configuration Manager コンソールで、[管理] ワークスペースに移動し、[Cloud Services] を展開して、[クラウド接続] ノードを選択します。 リボンの [クラウド アタッチの構成 ] を選択して、クラウド アタッチ構成ウィザードを開きます。

   バージョン 2103 以前の場合は、[Cloud Services] を展開し、[共同管理] ノードを選択します。 リボンの [共同管理の構成 ] を選択して、共同管理構成ウィザードを開きます。

2. ウィザードのオンボード ページで、Azure 環境で、次のいずれかの環境を選択します。

   • Azure パブリック クラウド

   • Azure Government クラウド

   • Azure China cloud (バージョン 2006 で追加)

     注:

     Azure China クラウドにオンボードする前に、Configuration Manager クライアントをデバイスの最新バージョンに更新します。

   Azure China クラウドまたは Azure Government クラウドを選択すると、テナント アタッチの [Microsoft エンドポイント マネージャー管理センターにアップロード] オプションは無効になります。

3. [サインイン] を選びます。 Microsoft Entra 全体管理者としてサインインし、[次へ] を選択します。 このウィザードでは、このウィザードの目的でこの 1 回だけサインインします。 資格情報は、他の場所に保存または再利用されません。

   重要

   Microsoft Entra 全体管理者ロールは高い特権を持つロールであり、他の役割を使用できない場合にのみ使用する必要があります。 この機能には、グローバル管理者の役割が必要です。 その他の機能については、アクセス許可が最も少ないロールを使用することをお勧めします。 詳細については、「Configuration Manager の役割ベースの管理の基礎」を参照してください。

4. [ 有効化 ] ページで、次の設定を選択します。

   • Intune での自動登録: 既存の Configuration Manager クライアントに対して Intune での自動クライアント登録を有効にします。 このオプションを使用すると、クライアントのサブセットで共同管理を有効にして、最初に共同管理をテストしてから段階的なアプローチを使用して共同管理を展開できます。 ユーザーがデバイスの登録を解除すると、そのデバイスはポリシーの次回の評価で再登録されます。

     • パイロット: Intune 自動登録コレクションのメンバーである Configuration Manager クライアントのみが Intune に自動的に登録されます。
     • すべて: サポートされている Windows バージョンを実行しているすべてのクライアントの自動登録を有効にします。
     • なし: すべてのクライアントの自動登録を無効にします。

   • Intune 自動登録: このコレクションには、共同管理にオンボードするすべてのクライアントが含まれている必要があります。 これは基本的に、他のすべてのステージング コレクションのスーパーセットです。

   

   自動登録は、すべてのクライアントにとってすぐには行われません。 この動作により、大規模な環境での登録のスケーリングが向上します。 Configuration Manager は、クライアントの数に基づいて登録をランダム化します。 たとえば、100,000 のクライアントがある環境の場合、この設定を有効にすると、登録は数日間にわたって行われます。

   これで、新しい共同管理デバイスが、その Microsoft Entra デバイス トークンに基づいて Microsoft Intune サービスに自動的に登録されるようになりました。 自動登録を開始するために、ユーザーがデバイスにサインインするのを待つ必要はありません。 この変更は、登録状態が "ユーザーのサインインが保留中" であるデバイスの数を減らすのに役立ちます。 この動作をサポートするには、デバイスで サポートされている Windows バージョンが実行されている必要があります。 詳細については、「 共同管理の登録状態」を参照してください。

   共同管理に既に登録されているデバイスがある場合、新しいデバイスは、 前提条件を満たした後すぐに登録されるようになりました。

5. Intune に既に登録されているインターネット ベースのデバイスの場合は、[有効化] ページでコマンドをコピーして保存します。 このコマンドを使用して、インターネット ベースのデバイス用の Intune にアプリとして Configuration Manager クライアントをインストールします。 このコマンドを今すぐ保存しない場合は、いつでも共同管理構成を確認して、このコマンドを入手できます。

   ヒント

   このコマンドは、クラウド管理ゲートウェイの設定など、すべての前提条件を満たしている場合にのみ表示されます。

6. [ワークロード] ページで、ワークロードごとに、Intune で管理するために移動するデバイス グループを選択します。 詳細については、「 ワークロード」を参照してください。

   共同管理のみを有効にする場合は、今すぐワークロードを切り替える必要はありません。 後でワークロードを切り替えることができます。 詳細については、「 ワークロードの切り替え方法」を参照してください。

   • パイロット Intune: [ステージング] ページで指定するパイロット コレクション内のデバイスに対してのみ、関連するワークロードを切り替えます。 各ワークロードは、異なるパイロット コレクションを持つことができます。
   • Intune: 共同管理されたすべての Windows デバイスの関連するワークロードを切り替えます。

   重要

   ワークロードを切り替える前に、Intune で対応するワークロードを適切に構成して展開してください。 ワークロードが常にデバイスの管理ツールのいずれかで管理されていることを確認してください。

7. [ステージング] ページで、Pilot Intune に設定されているワークロードごとにパイロット コレクションを指定します。

   

8. 共同管理を有効にするには、ウィザードを完了します。

次の手順

• 共同管理ダッシュボードを使用して共同管理されたデバイスの状態を確認する
• 共同管理から すぐに価値 を引き出す
• 条件付きアクセスと Intune コンプライアンス ルールを使用して、企業リソースへのユーザー アクセスを管理する