Configuration Manager で使用する Azure サービスを構成する

Configuration Manager (現在のブランチ) に適用

Azure サービスウィザードを使用すると、Configuration Manager で使用するAzureクラウドサービスを構成するプロセスを簡略化できます。このウィザードでは、Microsoft Entra Web アプリの登録を使用して一般的な構成エクスペリエンスを提供します。これらのアプリは、サブスクリプションと構成の詳細を提供し、Microsoft Entra ID との通信を認証します。アプリは、Azure で新しい Configuration Manager コンポーネントまたはサービスをセットアップするたびに、これと同じ情報を入力することを置き換えます。

利用可能なサービス

このウィザードを使用して、次の Azure サービスを構成します。

クラウド管理: このサービスにより、サイトとクライアントは Microsoft Entra ID を使用して認証できます。この認証により、次のような他のシナリオが可能になります。
ヒント

クラウド管理に固有の詳細については、「クラウド管理ゲートウェイの Microsoft Entra ID の構成」を参照してください。
管理サービス管理: Azureサービスを構成するときに、セキュリティを強化するために、管理サービス管理オプションを選択できます。このオプションを選択すると、管理者はクラウド管理と管理サービスの間で管理者権限をセグメント化できます。このオプションを有効にすると、アクセスは管理サービス・エンドポイントのみに制限されます。構成管理クライアントは、Microsoft Entra ID を使用してサイトで認証します。 (バージョン 2207 以降)

注:

管理サービス管理オプションを有効にすることができるのは、CMG VMSS の顧客のみです。このオプションは、従来の CMG のお客様には適用されません。

サービスの詳細情報

次の表は、各サービスの詳細の一覧です。

テナント: 構成できるサービスインスタンスの数。各インスタンスは個別の Microsoft Entra テナントである必要があります。
クラウド: すべてのサービスはグローバル Azure クラウドをサポートしますが、すべてのサービスが Azure 米国政府機関クラウドなどのプライベートクラウドをサポートしているわけではありません。
Web アプリ: サービスで Web アプリ/API 型の Microsoft Entra アプリ (Configuration Manager ではサーバーアプリとも呼ばれます) を使用するかどうか。
ネイティブアプリ: サービスでネイティブ型の Microsoft Entra アプリ (Configuration Manager ではクライアントアプリとも呼ばれます) を使用するかどうか。
操作: Configuration Manager Azure サービスウィザードでこれらのアプリをインポートまたは作成できるかどうか。

サービス	テナント	雲	Web アプリケーション	ネイティブアプリ	アクション
クラウド管理と Microsoft Entra の検出	複数	パブリック、プライベート			インポート、作成

Microsoft Entra アプリについて

Azure サービスが異なれば、Azure portal で行う個別の構成が必要です。さらに、各サービスのアプリでは、Azure リソースに対する個別のアクセス許可が要求される場合があります。

1 つのアプリを複数のサービスに使用できます。 Configuration Manager と Microsoft Entra ID で管理するオブジェクトは 1 つだけです。アプリのセキュリティキーの有効期限が切れたら、更新する必要があるのは 1 つのキーのみです。

ウィザードで追加の Azure サービスを作成すると、Configuration Manager はサービス間で共通の情報を再利用するように設計されています。この動作により、同じ情報を複数回入力する必要がなくなります。

各サービスに必要なアプリのアクセス許可と構成の詳細については、「利用可能なサービス」の関連する Configuration Manager の記事を参照してください。

Azure アプリの詳細については、まず次の記事を参照してください。

開始する前に

接続するサービスを決定したら、「サービスの詳細」の表を参照してください。次の表は、Azure サービスウィザードを完了するために必要な情報を示しています。事前に Microsoft Entra 管理者と話し合ってください。次のいずれかの操作を決定します。

Azure portal で事前に手動でアプリを作成します。次に、アプリの詳細を Configuration Manager にインポートします。

ヒント

クラウド管理に固有の詳細については、「クラウド管理ゲートウェイに Microsoft Entra アプリを手動で登録する」を参照してください。
Configuration Manager を使用して、Microsoft Entra ID でアプリを直接作成します。 Microsoft Entra ID から必要なデータを収集するには、この記事の他のセクションの情報を確認してください。

一部のサービスでは、Microsoft Entra アプリに特定のアクセス許可が必要です。各サービスの情報を確認して、必要なアクセス許可を判断します。たとえば、Web アプリをインポートする前に、Azure 管理者はまず Azure portal でアプリを作成する必要があります。

Log Analytics コネクタを構成するときは、関連するワークスペースを含むリソースグループに対して、新しく登録した Web アプリ 共同作成者の アクセス許可を付与します。このアクセス許可により、Configuration Manager はそのワークスペースにアクセスできます。アクセス許可を割り当てるときは、Azure portal の [ユーザーの追加] 領域でアプリ登録の名前を検索します。このプロセスは、Configuration Manager に Log Analytics へのアクセス許可を付与する場合と同じです。 Azure 管理者は、アプリを Configuration Manager にインポートする前に、これらのアクセス許可を割り当てる必要があります。

Azure サービスウィザードを開始する

Configuration Manager コンソールで、[管理] ワークスペースに移動し、[Cloud Services] を展開して、[Azure Services] ノードを選択します。
リボンの [ホーム] タブの [Azure サービス] グループで、[Azure サービスの構成] を選択します。
Azure サービスウィザードの [Azure サービス] ページで、次のことを行います。
1. Configuration Manager でオブジェクトの名前を指定します。
2. サービスを識別しやすいように、オプションの [説明 ] を指定します。
3. Configuration Manager に接続する Azure サービスを選択します。
[次へ] を選択して、Azure サービスウィザードの Azure アプリのプロパティページに進みます。

Azure アプリのプロパティ

Azure サービスウィザードの [アプリ] ページで、まず一覧から Azure 環境を選択します。サービスで現在利用可能な環境については、「サービスの詳細」の表を参照してください。

アプリページの残りの部分は、特定のサービスによって異なります。サービスで使用するアプリの種類と使用できるアクションについては、「サービスの詳細」の表を参照してください。

アプリでインポート操作と作成操作の両方がサポートされている場合は、[ 参照] を選択します。これにより、[ サーバーアプリ] ダイアログまたは [クライアントアプリ] ダイアログが開きます。
アプリがインポート操作のみをサポートしている場合は、[ インポート] を選択します。これにより、[ アプリのインポート] ダイアログ (サーバー) または [ アプリのインポート] ダイアログ (クライアント) が開きます。

このページでアプリを指定したら、[次へ] を選択して、Azure サービスウィザードの [構成または検出] ページに進みます。

Web アプリケーション

このアプリは Microsoft Entra ID の種類の Web アプリ/ API であり、Configuration Manager ではサーバーアプリとも呼ばれます。

サーバーアプリダイアログ

Azure サービスウィザードの [アプリ] ページで [Web アプリの参照] を選択すると、[サーバーアプリ] ダイアログが開きます。既存の Web アプリの次のプロパティを示す一覧が表示されます。

テナントフレンドリ名
アプリフレンドリ名
サービスタイプ

サーバーアプリダイアログから実行できる操作は 3 つあります。

既存の Web アプリを再利用するには、一覧から選択します。
[ インポート] を選択して、[ アプリのインポート] ダイアログを開きます。
[ 作成 ] を選択して、[ サーバーアプリケーションの作成] ダイアログを開きます。

Web アプリを選択、インポート、または作成した後、[ OK ] を選択して [サーバーアプリ] ダイアログを閉じます。この操作は、Azure サービスウィザードの [アプリ] ページに戻ります。

アプリのインポートダイアログ (サーバー)

サーバーアプリダイアログまたは Azure サービスウィザードのアプリページで [インポート] を選択すると、[アプリのインポート] ダイアログが開きます。このページでは、Azure portal で既に作成されている Microsoft Entra Web アプリに関する情報を入力できます。その Web アプリに関するメタデータを Configuration Manager にインポートします。次の情報を指定します。

Microsoft Entra テナント名: Microsoft Entra テナントの名前。
Microsoft Entra テナント ID: Microsoft Entra テナントの GUID。
アプリケーション名: アプリのフレンドリ名。アプリ登録での表示名。
クライアント ID: アプリ登録の アプリケーション (クライアント) ID の値。この形式は標準 GUID です。
秘密鍵: Microsoft Entra ID にアプリを登録するときに秘密鍵をコピーする必要があります。
シークレットキーの有効期限: 予定表から将来の日付を選択します。
アプリ ID URI: この値は、Microsoft Entra テナント内で一意である必要があります。これは、サービスへのアクセスを要求するために Configuration Manager クライアントが使用するアクセストークンに含まれています。値は、Microsoft Entra 管理センターのアプリ登録エントリのアプリケーション ID URI です。

情報を入力したら、[ 確認] を選択します。次に、[ OK ] を選択して [アプリのインポート] ダイアログを閉じます。この操作は、Azure サービスウィザードの [アプリ] ページ、または [サーバーアプリ] ダイアログに戻ります。

重要

インポートした Microsoft Entra アプリを使用する場合、コンソール通知から今後の有効期限の通知はされません。

[サーバーアプリケーションの作成] ダイアログ

[サーバーアプリ] ダイアログから [ 作成 ] を選択すると、[サーバーアプリケーションの作成] ダイアログが開きます。このページでは、Microsoft Entra ID での Web アプリの作成を自動化します。次の情報を指定します。

アプリケーション名: アプリのフレンドリ名。
ホームページ URL: この値は Configuration Manager では使用されませんが、Microsoft Entra ID では必要になります。既定では、この値は https://ConfigMgrService です。
アプリ ID URI: この値は、Microsoft Entra テナント内で一意である必要があります。これは、サービスへのアクセスを要求するために Configuration Manager クライアントが使用するアクセストークンに含まれています。既定では、この値は https://ConfigMgrService です。既定値を次の推奨形式のいずれかに変更します。
- api://{tenantId}/{string}、たとえば、api://aaaabbbb-0000-cccc-1111-dddd2222eeee/ConfigMgrService
- https://{verifiedCustomerDomain}/{string}、たとえば、https://contoso.onmicrosoft.com/ConfigMgrService
シークレットキーの有効期間: ドロップダウンリストから [1 年 ] または [2 年 ] を選択します。既定値は 1 年です。

注:

[しない] のオプションが表示される場合がありますが、Microsoft Entra はそれをサポートしなくなりました。以前にこのオプションを選択した場合、有効期限は作成した日付から 99 年間に設定されます。

[サインイン] を選択して、管理者ユーザーとして Azure に認証します。これらの資格情報は、Configuration Manager によって保存されません。このペルソナは、Configuration Manager でのアクセス許可を必要とせず、Azure サービスウィザードを実行するのと同じアカウントである必要はありません。 Azure への認証に成功すると、ページに参照用の Microsoft Entra テナント名が表示されます。

[OK] を選択して Microsoft Entra ID で Web アプリを作成し、[サーバーアプリケーションの作成] ダイアログを閉じます。この操作は、サーバーアプリダイアログに戻ります。

警告

Microsoft Entra 条件付きアクセスポリシーが定義され、すべてのクラウドアプリに適用されている場合は、このポリシーからサーバーアプリケーションを除外する必要があります。特定のアプリを除外する方法の詳細については、「Microsoft Entra 条件付きアクセスに関するドキュメント」を参照してください。

ネイティブクライアントアプリ

このアプリは Microsoft Entra ID の種類 Native で、Configuration Manager ではクライアントアプリとも呼ばれます。

クライアントアプリダイアログ

Azure サービスウィザードの [アプリ] ページで [ネイティブクライアントアプリの参照] を選択すると、[クライアントアプリ] ダイアログが開きます。既存のネイティブアプリの次のプロパティを示す一覧が表示されます。

テナントフレンドリ名
アプリフレンドリ名
サービスタイプ

[クライアントアプリ] ダイアログから実行できるアクションは 3 つあります。

既存のネイティブアプリを再利用するには、一覧から選択します。
[ インポート] を選択して、[ アプリのインポート] ダイアログを開きます。
[ 作成 ] を選択して、[ クライアントアプリケーションの作成] ダイアログを開きます。

ネイティブアプリを選択、インポート、または作成した後、[ OK ] を選択して [クライアントアプリ] ダイアログを閉じます。この操作は、Azure サービスウィザードの [アプリ] ページに戻ります。

アプリのインポートダイアログ (クライアント)

[クライアントアプリ] ダイアログから [インポート ] を選択すると、[アプリのインポート] ダイアログが開きます。このページでは、Azure portal で既に作成されている Microsoft Entra ネイティブアプリに関する情報を入力できます。そのネイティブアプリに関するメタデータが Configuration Manager にインポートされます。次の情報を指定します。

アプリケーション名: アプリのフレンドリ名。
クライアント ID: アプリ登録の アプリケーション (クライアント) ID の値。この形式は標準 GUID です。

情報を入力したら、[ 確認] を選択します。次に、[ OK ] を選択して [アプリのインポート] ダイアログを閉じます。この操作は [クライアントアプリ] ダイアログに戻ります。

ヒント

Microsoft Entra ID にアプリを登録するときは、場合によっては、次のリダイレクト URI を手動で指定する必要があります。ms-appx-web://Microsoft.AAD.BrokerPlugin/<ClientID>。アプリのクライアント ID GUID を指定します (例: ms-appx-web://Microsoft.AAD.BrokerPlugin/00001111-aaaa-2222-bbbb-3333cccc4444)。

[クライアントアプリケーションの作成] ダイアログ

[クライアントアプリ] ダイアログから [ 作成 ] を選択すると、[クライアントアプリケーションの作成] ダイアログが開きます。このページでは、Microsoft Entra ID でのネイティブアプリの作成を自動化します。次の情報を指定します。

アプリケーション名: アプリのフレンドリ名。
返信 URL: この値は Configuration Manager では使用されませんが、Microsoft Entra ID では必要になります。既定では、この値は https://ConfigMgrService です。

[OK] を選択して Microsoft Entra ID にネイティブアプリを作成し、[クライアントアプリケーションの作成] ダイアログを閉じます。この操作は [クライアントアプリ] ダイアログに戻ります。

構成または検出

[アプリ] ページで Web アプリとネイティブアプリを指定すると、Azure サービスウィザードは、接続しているサービスに応じて、[構成] ページまたは [検出] ページに進みます。このページの内容はサービスによって異なります。詳細については、次のトピックを参照してください。

クラウド管理サービス、[検出] ページ: Microsoft Entra ユーザーの検出の構成

最後に、[概要]、[進行状況]、[完了] の各ページで Azure サービスウィザードを完了します。 Configuration Manager で Azure サービスの構成が完了しました。このプロセスを繰り返して、他の Azure サービスを設定します。

アプリケーション設定の更新

Configuration Manager クライアントが Microsoft Entra デバイストークンを要求し、ディレクトリデータの読み取りアクセス許可を有効にするには、Web サーバーアプリケーションの設定を更新する必要があります。

Configuration Manager コンソールで、[管理] ワークスペースに移動し、[Cloud Services] を展開して、[Microsoft Entra テナント] ノードを選択します。
更新するアプリケーションの Microsoft Entra テナントを選択します。
[アプリケーション] セクションで、目的の Microsoft Entra Web サーバーアプリケーションを選択し、リボンから [アプリケーション設定の更新] を選択します。
確認を求められたら、[ はい ] を選択して、アプリケーションを最新の設定で更新することを確認します。

秘密鍵の更新

有効期間が終了する前に、Microsoft Entra アプリの秘密鍵を更新する必要があります。キーの有効期限が切れると、Configuration Manager は Microsoft Entra ID で認証できなくなり、接続されている Azure サービスが動作しなくなります。

バージョン 2006 以降、Configuration Manager コンソールは、次の状況に関する通知を表示します。

1 つ以上の Microsoft Entra アプリの秘密鍵の有効期限が間もなく切れます
1 つ以上の Microsoft Entra アプリの秘密鍵の有効期限が切れている

両方のケースを軽減するには、秘密鍵を更新します。

これらの通知を操作する方法の詳細については、「Configuration Manager コンソール通知」を参照してください。

注:

Configuration Manager 2409 以降、Azure サービスは Microsoft Graph を使用します。サインインして秘密鍵を更新するには、Microsoft Graph Directory.Read.All アクセス許可に対する同意が必要ですが、 クラウドアプリケーション管理者 の役割では許可できません。 グローバル管理者ロール (または特権ロール管理者など、Microsoft Graph のアクセス許可に管理者の同意を付与できるロール) を持つアカウントでサインインする必要があります。詳細については、「Azure AD Graph と Microsoft Graph のアクセス許可の違い」を参照してください。

作成されたアプリのキーを更新する

Configuration Manager コンソールで、[管理] ワークスペースに移動し、[Cloud Services] を展開して、[Microsoft Entra テナント] ノードを選択します。
[詳細] ウィンドウで、アプリの Microsoft Entra テナントを選択します。
リボンで、[ 秘密鍵の更新] を選択します。アプリの所有者または Microsoft Entra 管理者の資格情報を入力します。

インポートされたアプリのキーを更新する

Azure アプリを Configuration Manager にインポートした場合は、Azure portal を使用して更新します。新しいシークレットキーと有効期限をメモします。秘密 鍵の更新 ウィザードにこの情報を追加します。

注:

秘密キーを保存してから、Azure アプリケーションプロパティの [キー] ページを閉じます。この情報は、ページを閉じると削除されます。

認証を無効にする

バージョン 2010 以降では、ユーザーとデバイスに関連付けられていないテナントに対して Microsoft Entra 認証を無効にすることができます。 Configuration Manager を Microsoft Entra ID にオンボードすると、サイトとクライアントで最新の認証を使用できるようになります。現在、Microsoft Entra デバイス認証は、デバイスの有無に関係なく、オンボードされたすべてのテナントに対して有効になっています。たとえば、クラウド管理ゲートウェイをサポートするためのコンピューティングリソースに使用するサブスクリプションを持つ別のテナントがあるとします。テナントに関連付けられているユーザーまたはデバイスがない場合は、Microsoft Entra 認証を無効にします。

Configuration Manager コンソールで、[管理] ワークスペースに移動します。
[Cloud Services] を展開し、[Azure Services] ノードを選択します。
[ クラウド管理] タイプのターゲット接続を選択します。リボンで、[ プロパティ] を選択します。
[ アプリケーション] タブに切り替えます。
[このテナントの Microsoft Entra 認証を無効にする] オプションを選択します。
[ OK ] を選択して接続プロパティを保存し、閉じます。

ヒント

この変更がクライアントに反映されるまでに最大 25 時間かかる場合があります。この動作の変化を高速化するためにテストするには、次の手順を使用します。

サイトサーバーで sms_executive サービスを再起動します。
クライアントで ccmexec サービスを再起動します。
既定の管理ポイントを更新するようにクライアントスケジュールをトリガーします。たとえば、送信スケジュールツールを使用します。 SendSchedule {00000000-0000-0000-0000-000000000023}

Azure サービスの構成を表示する

使用するように構成した Azure サービスのプロパティを表示します。 Configuration Manager コンソールで、[管理] ワークスペースに移動し、[Cloud Services] を展開して、[Azure サービス] を選択します。表示または編集するサービスを選択し、[ プロパティ] を選択します。

サービスを選択し、リボンの [削除] を選択すると、この操作により Configuration Manager の接続が削除されます。 Microsoft Entra ID のアプリは削除されません。不要になったアプリは、Azure 管理者に手動で削除するように依頼してください。または、Azure サービスウィザードを実行してアプリをインポートします。

クラウド管理データフロー

次の図は、Configuration Manager、Microsoft Entra ID、接続されたクラウドサービス間の相互作用の概念的なデータフローです。この具体的な例では、Windows 10 クライアントと、サーバーとクライアントの両方のアプリを含むクラウド管理サービスを使用します。他のサービスのフローも同様です。

Microsoft Entra ID とクラウド管理を使用した Configuration Manager のデータフロー図

Configuration Manager 管理者は、Microsoft Entra ID にクライアントアプリとサーバーアプリをインポートまたは作成します。
ユーザー検出メソッドConfiguration Manager Microsoft Entra実行されます。このサイトでは、Microsoft Entra サーバーアプリトークンを使用して、Microsoft Graph にユーザーオブジェクトのクエリを実行します。
サイトには、ユーザーオブジェクトに関するデータが格納されます。詳細については、「Microsoft Entra ユーザー検出」を参照してください。
Configuration Manager クライアントは Microsoft Entra ユーザートークンを要求します。クライアントは、Microsoft Entra クライアントアプリのアプリケーション ID を使用し、サーバーアプリを対象ユーザーとして使用して要求を行います。詳細については、「Microsoft Entra セキュリティトークンの要求」を参照してください。
クライアントは、クラウド管理ゲートウェイとオンプレミスの管理ポイントに Microsoft Entra トークンを提示することで、サイトで認証します。

詳細については、「Microsoft Entra 認証ワークフロー」を参照してください。

フィードバック

このページはお役に立ちましたか?

Last updated on 2026-08-19