インターネット アクセス要件

一部の構成マネージャー機能は、完全な機能の利用する上でインターネット接続を必要とします。 organization がファイアウォールまたはプロキシ デバイスを使用してインターネットとのネットワーク通信を制限している場合は、これらのエンドポイントを許可してください。

構成マネージャーは、製品全体で次の Microsoft URL 転送サービスを使用します。

  • https://aka.ms
  • https://go.microsoft.com

以下のセクションに明示的に記載されていない場合でも、これらのエンドポイントを常に許可する必要があります。

サービス接続ポイント

詳細については、「 サービスの接続ポイントについて」を参照してください。

これらの構成は、サービス接続ポイントをホストするサーバーと、そのサーバーとインターネットの間のファイアウォールに適用されます。 発信 HTTPS ポート TCP 443 を介したインターネット上の場所への通信を許可します。

サービス接続ポイントでは、認証の有無にかかわらず、Web プロキシを使用してこれらの場所を使用できます。 詳細については、「 プロキシ サーバーのサポート」を参照してください。

Configuration Manager サイトがクラウド サービスに必要なエンドポイントへの接続に失敗すると、重大なステータス メッセージ ID 11488 が発生します。 サービスに接続できない場合、SMS_SERVICE_CONNECTOR コンポーネントの状態は重要に変わります。 Configuration Manager コンソールの [コンポーネントの状態] ノードで状態の詳細を表示します。

バージョン 2010 以降、サービス接続ポイントは、 テナントのアタッチの重要なインターネット エンドポイントを検証します。 これらのチェックは、クラウドに接続されたサービスが利用可能であることを確認するのに役立ちます。 また、ネットワーク接続に問題があるのかどうかを迅速に判断できるため、問題のトラブルシューティングにも役立ちます。 詳細については、「 インターネット アクセスの検証」を参照してください。

サービス接続ポイントで必要な特定の URL は、Configuration Manager の機能によって異なります。

ヒント

サービス接続ポイントは、go.microsoft.com または manage.microsoft.com に接続するときに Microsoft Intune サービスを使用します。 Baltimore CyberTrust ルート証明書がインストールされていないか、期限が切れているか、サービス接続ポイントで破損している場合、Intune コネクタで接続の問題が発生するという既知の問題があります。 詳細については、「 サービス接続ポイントが更新プログラムをダウンロードしない」を参照してください。

更新とサービス

詳細については、「Updates とサービス」を参照してください。

ヒント

管理分析ルールに対してこれらのエンドポイントを有効にします。 Configuration Manager の更新のためにサイトを Microsoft クラウドに接続します。

  • *.akamaiedge.net

  • *.akamaitechnologies.com

  • *.manage.microsoft.com

  • go.microsoft.com

  • download.microsoft.com

  • download.windowsupdate.com

  • download.visualstudio.microsoft.com

  • definitionupdates.microsoft.com

注:

2025 年 3 月以降、 configmgrbits.azureedge.net ドメインは configmgrbits.cdn.manage.microsoft.com に移行します。 *.manage.microsoft.com トラフィックが既に許可されている場合、アクションは必要ありません。

  • configmgrbits.azureedge.net

  • configmgrbits.cdn.manage.microsoft.com

    重要

    この Azure エンドポイントは、特定の暗号スイートを持つ TLS 1.2 のみをサポートします。 お客様の環境がこれらの Azure 構成をサポートしていることを確認します。 詳細については、「Azure Front Door: TLS 構成に関する FAQ」を参照してください。

  • cmbitsstore.blob.core.windows.net

  • ceuswatcab01.blob.core.windows.net

  • ceuswatcab02.blob.core.windows.net

  • eaus2watcab01.blob.core.windows.net

  • eaus2watcab02.blob.core.windows.net

  • weus2watcab01.blob.core.windows.net

  • weus2watcab02.blob.core.windows.net

  • cmbitsstore.blob.core.windows.net

  • umwatsonc.events.data.microsoft.com

  • *-umwatsonc.events.data.microsoft.com

Windows サービス

詳細については、「サービスとしての Windowsの管理」を参照してください。

  • download.microsoft.com

  • https://go.microsoft.com/fwlink/?LinkID=619849

  • dl.delivery.mp.microsoft.com

Azure サービス

詳細については、「Azure サービスを Configuration Manager で使用するように構成する」を参照してください。

  • management.azure.com(Azure パブリック クラウド)
  • management.usgovcloudapi.net(Azure 米国政府機関 クラウド)

共同管理

共同管理のために Windows デバイスを Microsoft Intune に登録する場合は、それらのデバイスが Intune で必要なエンドポイントにアクセスできることを確認します。 詳細については、「Microsoft Intune のネットワーク エンドポイント」を参照してください。

ビジネス向け Microsoft Store

Configuration Manager をビジネス向けビジネス向け Microsoft Store と統合する場合は、サービス接続ポイントと対象デバイスがクラウド サービスにアクセスできることを確認します。 詳細については、「プロキシ構成ビジネス向け Microsoft Store」を参照してください。

配信の最適化

配信の最適化を使用する場合、クライアントはクラウド サービスと通信する必要があります。 *.do.dsp.mp.microsoft.com

Microsoft 接続キャッシュをサポートする配布ポイントにも、これらのエンドポイントが必要です。

詳細については、次の記事を参照してください。

クラウド サービス

クラウド管理ゲートウェイ (CMG) の詳細については、「 CMG の計画」を参照してください。

このセクションでは、次の機能について説明します。

  • クラウド管理ゲートウェイ (CMG)

  • Microsoft Entra の統合

  • Microsoft Entra ID ベースの検出

  • クラウド配布ポイント (CDP)

    注:

    クラウドベースの配布ポイント (CDP) は非推奨です。 バージョン 2107 以降、新しい CDP インスタンスを作成することはできません。 インターネットベースのデバイスにコンテンツを提供するには、CMG がコンテンツを配信できるようにします。

次のセクションでは、エンドポイントをロール別に一覧表示します。 一部のエンドポイントは、CMG のプレフィックス名である <prefix> によってサービスを参照します。 たとえば、CMG が GraniteFalls.WestUS.CloudApp.Azure.Comの場合、実際のストレージ エンドポイントは GraniteFalls.blob.core.windows.net です。

ヒント

用語を明確にするために:

  • CMG サービス名: CMG サーバー認証証明書の共通名 (CN)。 クライアントと CMG 接続ポイント サイト システムの役割は、このサービス名を使用して通信します。 たとえば、GraniteFalls.contoso.com および GraniteFalls.WestUS.CloudApp.Azure.Com が禁止となります。

  • CMG デプロイ名: サービス名の最初の部分と、クラウド サービス デプロイの Azure の場所。 サービス接続ポイントのクラウド サービス マネージャー コンポーネントは、Azure に CMG をデプロイするときに、この名前を使用します。 デプロイ名は常に Azure ドメイン内にあります。 Azure の場所は、デプロイ方法によって異なります。たとえば、次のようになります。

    • 仮想マシン スケール セット: GraniteFalls.WestUS.CloudApp.Azure.Com
    • クラシック デプロイ: GraniteFalls.CloudApp.Net

この記事では、バージョン 2107 以降で推奨される展開方法として仮想マシン スケール セットを使用した例を使用します。 クラシック展開を使用する場合は、この記事を読んでインターネット アクセスを構成するときに違いに注意してください。

クラウド サービスのサービス接続ポイント

Configuration Manager が Azure に CMG サービスをデプロイするには、サービス接続ポイントが以下にアクセスする必要があります。

  • 特定の Azure エンドポイント。構成に応じて環境ごとに異なります。 Configuration Manager は、これらのエンドポイントをサイト データベースに格納します。 Azure エンドポイントの一覧については、SQL Server の AzureEnvironments テーブルに対してクエリを実行します。

  • Azure サービス:

    • management.azure.com(Azure パブリック クラウド)
    • management.usgovcloudapi.net(Azure 米国政府機関 クラウド)

  • Microsoft Entra ユーザー検出の場合: Microsoft Graph エンドポイントhttps://graph.microsoft.com/

クラウド サービス用の CMG 接続ポイント

CMG 接続ポイントは、次のエンドポイントにアクセスする必要があります。

型 Azure パブリック クラウド Azure 米国政府機関 クラウド
サービス 名 <prefix>.<region>.cloudapp.azure.com <prefix>.usgovcloudapp.net
ストレージ エンドポイント 1 <prefix>.blob.core.windows.net <prefix>.blob.core.usgovcloudapi.net
ストレージ エンドポイント 2 <prefix>.table.core.windows.net <prefix>.table.core.usgovcloudapi.net
キー コンテナー <prefix>.vault.azure.net <prefix>.vault.usgovcloudapi.net

CMG 接続ポイント サイト システムは、Web プロキシの使用をサポートしています。 プロキシに対してこのロールを構成する方法の詳細については、「 プロキシ サーバーのサポート」を参照してください。

CMG 接続ポイントは、CMG サービス エンドポイントにのみ接続する必要があります。 他の Azure エンドポイントにアクセスする必要はありません。

クラウド サービス用の Configuration Manager クライアント

CMG と通信する必要がある Configuration Manager クライアントは、次のエンドポイントにアクセスする必要があります。

型 Azure パブリック クラウド Azure 米国政府機関 クラウド
デプロイ 名 <prefix>.<region>.cloudapp.azure.com <prefix>.usgovcloudapp.net
ストレージ エンドポイント <prefix>.blob.core.windows.net <prefix>.blob.core.usgovcloudapi.net
Microsoft Entra エンドポイント login.microsoftonline.com login.microsoftonline.us

クラウド サービス用 Configuration Manager コンソール

Configuration Manager コンソールを備えたすべてのデバイスは、次のエンドポイントにアクセスする必要があります。

型 Azure パブリック クラウド Azure 米国政府機関 クラウド
Microsoft Entra エンドポイント login.microsoftonline.com
aadcdn.msauth.net
aadcdn.msftauth.net		 login.microsoftonline.us

管理ポイント

バージョン 2603 以降、管理ポイントでは、Microsoft Identity Service Essentials (MISE) を使用して Microsoft Entra トークンを検証するためにインターネット アクセスが必要です。 この要件は、Microsoft Entra参加済みのユーザーとデバイスをサポートする環境、特にクラウド管理ゲートウェイ(CMG)を使用している場合に適用されます。

管理ポイント サーバーが次のエンドポイントにアクセスすることを許可します。

Azure パブリック クラウド:

  • https://login.microsoftonline.com
  • https://sts.windows.net

Azure 米国政府機関 クラウド:

  • https://login.microsoftonline.us
  • https://sts.windows.net

管理ポイントがプロキシ経由でインターネットに接続する場合は、システム (ローカル システム) コンテキストでプロキシを構成する必要があります。 サイト システム プロパティで設定されたプロキシまたは WinHTTP 専用プロキシは、バージョン 2603 のこの検証パスでは使用されません。 必要な手順については、「 管理ポイントのプロキシ サーバー サポート」を参照してください。

詳細については、「管理ポイントは Microsoft Entra トークンの検証にインターネット アクセスを必要とします」を参照してください。

ソフトウェア更新プログラム

WSUS および Automatic Updates が Microsoft Update クラウド サービスと通信できるように、アクティブなソフトウェア更新ポイントが次のエンドポイントにアクセスすることを許可します。

  • http://windowsupdate.microsoft.com

  • http://*.windowsupdate.microsoft.com

  • https://*.windowsupdate.microsoft.com

  • http://*.update.microsoft.com

  • https://*.update.microsoft.com

  • http://*.windowsupdate.com

  • http://download.windowsupdate.com

  • http://download.microsoft.com

  • http://*.download.windowsupdate.com

  • http://ntservicepack.microsoft.com

ソフトウェア更新プログラムの詳細については、「 ソフトウェア更新プログラムの計画」を参照してください。

イントラネット ファイアウォール

次の場合は、2 つのサイト システム間にあるファイアウォールにエンドポイントを追加する必要がある場合があります。

  • 子サイトにソフトウェアの更新ポイントがある場合
  • サイトにリモート アクティブ インターネット ベースのソフトウェア更新ポイントがある場合

子サイトのソフトウェアの更新ポイント

  • http://<FQDN for software update point on child site>

  • https://<FQDN for software update point on child site>

  • http://<FQDN for software update point on parent site>

  • https://<FQDN for software update point on parent site>

Microsoft 365 アプリの管理

注:

2020 年 4 月 21 日に、Office 365 ProPlus は Microsoft 365 Apps for enterprise に名前が変更されました。 詳細については、「Office 365 ProPlus の名前変更」を参照してください。 コンソールの更新中に、Configuration Manager コンソールとサポート ドキュメントに古い名前への参照が表示される場合があります。

Configuration Manager を使用して Microsoft 365 Apps for enterprise を展開および更新する場合は、次のエンドポイントを許可します。

  • officecdn.microsoft.comMicrosoft 365 Apps for enterprise クライアント更新プログラムのソフトウェア更新ポイントを同期するには

  • config.office.comMicrosoft 365 Apps for enterprise 展開のカスタム構成を作成するには

  • https://clients.config.office.net更新プログラムの展開をサポートするためのhttps://go.microsoft.com/fwlink/?linkid=2190568Microsoft 365 Apps for enterprise

  • contentstorage.osi.office.net Office アドイン準備状況の評価をサポートする

  • clients.config.office.net特定の Microsoft 365 Apps 更新プログラムに必要なファイルの名前を取得します。 詳細については、「Microsoft 365 Apps ファイル リスト API の使用」を参照してください。

最上位サイト サーバーは、次のエンドポイントにアクセスして、Microsoft Apps 365 準備ファイルをダウンロードする必要があります:

  • 2021 年 3 月 2 日以降: https://omex.cdn.office.net/mirrored/sccmreadiness/SOT_SCCM_AddinReadiness.CAB
    • 2021 年 3 月 2 日より前の場所: https://contentstorage.osi.office.net/sccmreadinessppe/sot_sccm_addinreadiness.cab

注:

このファイルの場所は 2021 年 3 月 2 日に変更されます。 詳細については、「Microsoft 365 Apps 準備ファイルのダウンロード場所の変更に関するページを参照してください。

Configuration Manager コンソール

Configuration Manager コンソールを備えたコンピューターは、特定の機能のために次のインターネット エンドポイントにアクセスする必要があります。

注:

Microsoft からのプッシュ通知をコンソールに表示するには、サービス接続ポイントが Configmgrbits.cdn.manage.microsoft.com にアクセスする必要があります。 また、更新とサービスのためには、このエンドポイントにアクセスする必要もあります。

コンソール内のフィードバック

本体を実行するコンピューターで、次のインターネット エンドポイントにアクセスして診断データを Microsoft に送信できるようにします。

  • petrol.office.microsoft.com

  • ceuswatcab01.blob.core.windows.net

  • ceuswatcab02.blob.core.windows.net

  • eaus2watcab01.blob.core.windows.net

  • eaus2watcab02.blob.core.windows.net

  • weus2watcab01.blob.core.windows.net

  • weus2watcab02.blob.core.windows.net

  • umwatsonc.events.data.microsoft.com

  • *-umwatsonc.events.data.microsoft.com

この機能の詳細については、「 製品のフィードバック」を参照してください。

コミュニティ ワークスペース

ドキュメント ノード

このコンソール ノードの詳細については、「Configuration Manager コンソールの使用」を参照してください。

  • https://aka.ms

  • https://raw.githubusercontent.com

コミュニティ ハブ

この機能の詳細については、「 コミュニティ ハブ」を参照してください。

  • https://github.com

  • https://communityhub.microsoft.com

テナントのアタッチ

詳細については、「テナントのアタッチの有効化」を参照してください。

  • https://aka.ms/configmgrgateway

  • https://*.manage.microsoft.com Azure パブリック クラウドのお客様向け

  • https://*.manage.microsoft.us バージョン 2107 以降の米国政府機関向けクラウドのお客様向け

  • https://dc.services.visualstudio.com

サービス接続ポイントは、 https://*.manage.microsoft.com でホストされている通知サービスへの長期間の発信接続を確立します。 サービス接続ポイントに使用されるプロキシが、発信接続のタイムアウトを早くしすぎないことを確認します。 このインターネット エンドポイントへの発信接続は 3 分に設定することをお勧めします。

特定の証明書失効リスト (CRL) またはオンライン証明書ステータス プロトコル (OCSP) 検証場所のみを許可するプロキシ ルールが環境にある場合は、次の CRL URL と OCSP URL も許可します。

  • http://crl3.digicert.com
  • http://crl4.digicert.com
  • http://ocsp.digicert.com
  • http://www.d-trust.net
  • http://root-c3-ca2-2009.ocsp.d-trust.net
  • http://crl.microsoft.com
  • http://oneocsp.microsoft.com
  • http://ocsp.msocsp.com
  • http://www.microsoft.com/pkiops

エンドポイントの分析

詳細については、「 エンドポイント分析プロキシ構成」を参照してください。

Configuration Manager マネージド デバイスに必要なエンドポイント

Configuration Manager マネージド デバイスからは、Configuration Manager ロールのコネクタ経由で Intune にデータが送信され、Microsoft パブリック クラウドに直接アクセスする必要はありません。

エンドポイント 職務
https://graph.windows.net Configuration Manager サーバーの役割でエンドポイント分析に階層をアタッチするときに、設定を自動的に取得するために使用されます。 詳しくは、「サイト システム サーバー用にプロキシを構成する」をご覧ください。
https://*.manage.microsoft.com デバイス コレクションとデバイスを Configuration Manager サーバー ロール上のエンドポイント分析と同期するためにのみ使用されます。 詳しくは、「サイト システム サーバー用にプロキシを構成する」をご覧ください。

Intune マネージド デバイスに必要なエンドポイント

エンドポイント分析にデバイスを登録する場合、デバイスから Microsoft パブリック クラウドに必要な機能データが送信される必要があります。 エンドポイント分析は、Windows クライアントと Windows Server 接続ユーザー エクスペリエンスとテレメトリ コンポーネント (DiagTrack) を使用して、Intune で管理されているデバイスからデータを収集します。 デバイス上の接続ユーザー エクスペリエンスとテレメトリ サービスが実行されていることを確認してください。

エンドポイント 職務
https://*.events.data.microsoft.com 必要な機能データを Intune データ収集エンドポイントに送信するために Intune マネージド デバイスによって使用されます。

資産インテリジェンス

資産インテリジェンスを使用する場合は、サービスが同期する次のエンドポイントを許可します。

  • https://sc.microsoft.com
  • https://ssu2.manage.microsoft.com

Microsoft Edge の展開

Configuration Manager コンソールを実行しているデバイスは、Microsoft Edge を展開するために次のエンドポイントにアクセスする必要があります:

場所 使用
https://aka.ms/cmedgeapi Microsoft Edge のリリースに関する情報
https://edgeupdates.microsoft.com/api/products?view=enterprise Microsoft Edge のリリースに関する情報
http://dl.delivery.mp.microsoft.com Microsoft Edge リリースのコンテンツ

外部通知

詳細については、「 外部通知」を参照してください。

サービス接続ポイントは、Azure Logic Apps などの通知サービスと通信する必要があります。 ロジック アプリのアクセス エンドポイントは、通常、 https://*.<RegionName>.logic.azure.com:443 という形式になります。 例: https://prod1.westus2.logic.azure.com:443

ロジック アプリのアクセス エンドポイントと関連付けられている IP アドレスを取得するには、次の手順に従います。

  1. Azure portal の [Logic Apps] で、通知のロジック アプリを選択します。 詳細については、「Azure portal でロジック アプリを管理する」を参照してください。
  2. アプリのメニューの [ 設定 ] セクションで、[ プロパティ] を選択します。
  3. アクセス エンドポイントとアクセス エンドポイントの IP アドレスの値を表示またはコピーします。

Microsoft パブリック IP アドレス

Microsoft IP アドレス範囲の詳細については、「 Microsoft パブリック IP スペース」を参照してください。 これらのアドレスは定期的に更新されます。 サービスによって細分化はありません。これらの範囲内の任意の IP アドレスを使用できます。

次の手順

  • Last updated on