Intune を使用して FileVault で macOS デバイスを暗号化する

macOS デバイスで FileVault ディスク暗号化を構成および管理するには、Microsoft Intune を使用します。 FileVault は、 XTS-AES 128 ビット暗号化を使用する macOS に付属するディスク全体の暗号化プログラムです。 この記事では、エンタープライズ環境の包括的な FileVault の展開、管理、回復シナリオについて説明します。

FileVault ディスク暗号化は、 macOS 10.13 以降 を実行しているデバイスで使用でき、紛失、盗難、または侵害されたデバイス上のデータを保護するフル ディスク暗号化を提供します。

FileVault 暗号化のシナリオ

Intune では、さまざまな組織のニーズに合わせた FileVault の展開に複数のアプローチがサポートされています。

• Standard FileVault 暗号化 - プロンプトと延期オプションを使用したユーザー対話型の展開。
• セットアップ アシスタントの適用 - デバイスの初期セットアップ中の自動暗号化 (macOS 14+)。
• 既存の暗号化を前提とする - ユーザーが暗号化したデバイスを管理します。
• 回復キーの管理 - 包括的なキーの回転と回復のシナリオ。

FileVault 配置プロセス

FileVault を使用してデバイスを暗号化するポリシーを作成すると、このポリシーは次の 2 つの段階でデバイスに適用されます。

1. キー エスクローの準備 - デバイスは、Intune が回復キーを取得してバックアップできるようにする準備ができています。 このアクションはエスクローと呼ばれます。
2. ディスク暗号化の開始 - キーがエスクローされたら、ディスク暗号化を開始できます。

Intune で FileVault を使用して macOS デバイスを最初に暗号化するときに、個人用回復キーが作成されます。 暗号化時に、デバイスではデバイス ユーザーに対して個人キーが一度だけ表示されます。

前提条件

ライセンスと macOS のバージョン

FileVault の暗号化管理には、次のものが必要です。

• 基本的な FileVault 機能の macOS 10.13 以降。
• セットアップ アシスタントの強制機能の macOS 14 以降。
• ユーザー承認済み MDM 登録 - ユーザーはシステム環境設定から管理プロファイルを手動で承認する必要があります。

役割ベースのアクセス制御

Intune で FileVault を管理するには、Intune ロールベースのアクセス制御 (RBAC) の役割が割り当てられている必要があります。これには、[FileVault の回転] 権限を持つリモート タスクのアクセス許可が含まれる [はい] に設定されています。

このアクセス許可は、独自の カスタム RBAC ロール に追加するか、次のいずれかの 組み込み RBAC ロールを使用できます。

• ヘルプ デスク オペレーター
• エンドポイント セキュリティ管理者

Apple Business Manager に関する考慮事項

セットアップ アシスタントの強制シナリオでは、次のことを確認してください。

• デバイスは、Apple Business Manager または Apple School Manager を通じて登録されます。
• Await final configuration is correctly configured for automated deployment.
• 登録プロファイルは、監視ありデバイス管理用に構成されています。

FileVault 暗号化のポリシーの種類

次の Intune ポリシーの種類から選択して、展開のニーズに基づいて FileVault の暗号化を構成します。

エンドポイント セキュリティ ポリシー

最適な用途: 合理化された構成を備えた Standard FileVault デプロイ。

エンドポイント セキュリティ ディスク暗号化 ポリシーでは、焦点を絞ったセキュリティ固有の FileVault 構成が提供されます。

• FileVault プロファイル - 包括的な回復オプションを使用して FileVault の暗号化を構成するための専用設定。
• セキュリティ要件に重点を置いた合理化された構成。
• Intune の暗号化の監視とレポートとの統合。
• ほとんどの FileVault シナリオ向けのセットアップが簡素化されました。

設定カタログ ポリシー

最適な用途: セットアップ アシスタントの適用または包括的な構成オプションを必要とする高度な展開。

設定カタログには、最も包括的な FileVault 構成オプションが用意されています。

• FileVault の Intune を介して使用できるすべての設定へのアクセス
• 設定アシスタントの適用機能 (macOS 14+) - 設定カタログに固有の機能
• テンプレートでは使用できない高度な構成オプション
• ユーザー エクスペリエンスとセキュリティ設定の細かい制御
• 複雑な展開シナリオに対する最大限の柔軟性

デバイス構成ポリシー (非推奨)

デバイス構成>エンドポイント保護テンプレートには、広範なエンドポイント保護の一部として FileVault が含まれています。

エンドポイント セキュリティ ポリシーの作成

Standard FileVault の展開

1. Microsoft Intune 管理センターにサインインします。

2. [エンドポイント セキュリティ]>[ディスク 暗号化]>[ポリシーの作成] を選択します。

3. 次のオプションを設定します。

   • プラットフォーム: macOS
   • プロファイル: MacOS FileVault

4. [ 構成の設定 ] ページで、FileVault のコア設定を構成します。

   必要な設定:

   • FileVault の場合: 有効 = オン (FileVault を有効にする場合)
   • 回復キーを使用します = 有効

   回復キーの管理:

   • 回復キーのローテーション (月単位) = ローテーション間隔の設定
   • 場所 = ユーザーをキー取得に導くための説明 的なガイダンス を入力します。

   ユーザー エクスペリエンスの設定:

   • サインアウトするまで延期を許可 する = 組織のニーズに基づいて構成する
   • [ユーザーのログアウト時に確認しない] を延期する = ユーザー操作の基本設定を構成する
   • ユーザー ログイン時の強制を延期する 最大バイパス試行回数 = 適用の厳密さを設定する

5. [スコープ (タグ)] ページで、organization の管理構造に適切なスコープ タグを割り当てます。

6. [ 割り当て] ページで、このプロファイルを受け取るグループを選択します。 考慮対象:

   • 会社所有のデバイスのデバイス グループ
   • BYOD シナリオのユーザー グループ
   • 初期テスト用のパイロット グループ

7. [ 作成 ] を選択してポリシーを展開します。

エスクローの場所のガイダンス

役立つエスクロー場所の説明を構成して、回復キーを取得する方法をユーザーに案内します。 この情報は、デバイスの新しい回復キーを定期的に自動的に生成できる個人用回復キーのローテーションの設定を使用する場合に役立ちます。

メッセージの例:

To retrieve a lost or recently rotated recovery key, sign in to the Intune Company Portal website from any device. In the portal, go to Devices and select the device that has FileVault enabled, and then select 'Get recovery key'. The current recovery key is displayed.

その他の構成に関する考慮事項:

• organizationのサポート連絡先情報を含めます。
• デバイスの回復については、社内の IT 手順を参照してください。
• 技術者以外のユーザーが理解できる明確でシンプルな言葉を提供します。

設定カタログ ポリシーの作成

設定カタログには、設定アシスタントの適用など、最も包括的な FileVault 構成オプションが用意されています。

Standard 設定カタログの展開

1. Microsoft Intune 管理センターにサインインします。

2. [デバイス]>プラットフォーム別>macOS>デバイスの管理>構成>作成>新しいポリシー] を選択します。

3. プロファイルの種類の [設定カタログ] を選択します。

4. [ 構成設定 ] ページで、[ + 設定の追加 ] を選択し、[ フル ディスク暗号化] に移動します。

   

5. 次の主要な FileVault 設定を構成します。

   FileVault:

   • 有効にする = オン
   • 延期 = 有効 (FileVault アプリケーションを成功させるために必要)

   FileVault 回復キーのエスクロー:

   • 場所 = ユーザーをキー取得に導くための説明 的なガイダンス を入力します。

   詳細オプション (必要に応じて): (すべて FileVault の下にあります)

   • 回復キーの表示 = 暗号化中の可視性を構成する
   • [ユーザーのログアウト時に確認しない] を延期する = プロンプトのタイミングを制御する
   • ユーザー ログイン時に強制を延期する バイパス試行回数の最大 数 = 適用制限を設定する
   • 回復キーのローテーション (月単位) = 自動ローテーションを構成する

6. 標準の Intune 手順に従って、ポリシーの割り当てと展開を完了します。

セットアップ アシスタントの適用 (macOS 14+)

デバイスのセットアップ中に FileVault を自動的に有効化する場合:

セットアップ アシスタントの前提条件:

• macOS 14 以降
• Apple Business Manager または Apple School Manager の登録
• Await final configuration = 登録プロファイルではい
• EnrollmentProfileName 属性を使用したデバイス フィルター

追加設定カタログ構成: (FileVault にあります)

• ファイル コンテナー>セットアップ アシスタントで強制的に有効にします = 有効

• ファイル コンテナー>延期 = 有効

  重要

  macOS 14.4 を実行しているデバイスのセットアップ アシスタントで FileVault を正常に有効にするには、[ 延期 ] 設定を [有効] に構成する必要があります。

  

登録プロファイルの構成:

1. Await final configuration = Yes を使用して登録プロファイルを構成します。
2. ターゲットを絞った展開用のデバイス フィルターを作成します。
3. フィルター処理されたデバイスに設定カタログ ポリシーを割り当てます。

FileVault の暗号化プロセス

FileVault の暗号化プロセスを理解すると、展開計画とトラブルシューティングに役立ちます。

暗号化ステージ

FileVault の展開は、次の 2 つの異なるフェーズで行われます。

1. キー エスクローの準備 - Intune は、回復キーを Microsoft クラウド サービスにバックアップするためにデバイスを準備します
2. ディスク暗号化の開始 - キーのエスクローが成功した後、FileVault の暗号化が開始される

ユーザー エクスペリエンスに関する考慮事項

Standard 展開のユーザー エクスペリエンス:

• FileVault の有効化プロンプトが表示される場合があります (構成によって異なります)
• 暗号化処理中に回復キーが 1 回表示される
• 回復キーの情報を記録するようにユーザーに指示する必要があります
• 初期設定後、バックグラウンドで暗号化が続行される

セットアップ アシスタントのユーザー エクスペリエンス:

• 暗号化は、デバイスのセットアップ中に自動的に行われます
• 暗号化の開始にユーザー操作を必要としません
• 回復キーは Intune に自動的にエスクローされます
• ユーザーは暗号化されたデバイスを使用してセットアップを完了します

FileVault の監視と管理

暗号化状態の表示

FileVault ポリシーを受信するデバイスに関する情報を表示するには、ディスク暗号化の監視に関する記事を参照してください。

複数の Intune インターフェイスを介して FileVault 展開を監視します。

1. 暗号化レポート - [デバイス>モニター]>デバイスに移動します 暗号化の状態:

   • すべての管理対象デバイスの暗号化状態を表示する
   • 暗号化されたデバイスの回復キー情報にアクセスする
   • ポリシーの展開とコンプライアンスの監視

2. デバイス固有の監視 - 表示する個々のデバイスを選択します。

   • FileVault の有効化状態
   • 回復キーの可用性
   • 暗号化ポリシーの割り当ての詳細

FileVault キーのエスクローと管理

マネージド デバイスの場合、Intune で個人用回復キーのコピーをエスクローできます。 キーのエスクローにより、Intune 管理者は、デバイスの保護に役立つようにキーを交換したり、紛失または交換した個人用回復キーを回復したりすることができます。

Intune は、次の場合に回復キーをエスクローします。

• Intune ポリシーでデバイスを暗号化する
• ユーザーが手動で暗号化したデバイスの回復キーをアップロードする

Intune で個人用回復キーをエスクローした後、次のことが可能になります。

• 管理者は、Intune 暗号化レポートを使用して、管理されている macOS デバイスの FileVault 回復キーを管理およびローテーションできます。
• 管理者が表示できるのは、 企業としてマークされている管理対象の macOS デバイスのみの個人用回復キーです。 ユーザーは、個人用デバイスの回復キーを表示できません。
• ユーザーは、サポートされている場所から個人用回復キーを表示および取得できます。

回復キーの管理

Intune は、FileVault で暗号化されたデバイスに対して包括的な回復キー管理を提供します。

回復キーの表示

管理者向け:

• 企業のみとしてマークされたデバイスの回復キーにアクセスする
• 個人用/BYOD デバイスの回復キーを表示できない
• デバイスの詳細 >モニター>回復キーに移動する
• [ 回復キーの表示 ] を選択する (監査ログ エントリを生成)

必要なアクセス許可:

• リモート タスクのアクセス許可を持つ Intune RBAC ロール
• FileVault キーを右に回転させる [はい] に設定する

回復キーのアクセス場所

エンド ユーザーは、以下から回復キーを取得できます。

• ポータル サイト Web サイト (portal.manage.microsoft.com) - 主要かつ最も信頼性の高い方法
• iOS/iPadOS ポータル サイト アプリ - Mac デバイスの FileVault 回復キーを表示する
• Android ポータル サイト アプリ - Mac デバイスの FileVault 回復キーを表示する
• Intune モバイル アプリ - Mac デバイスの FileVault 回復キーを表示する

回復キーの取得プロセス:

1. ポータル サイト Web サイトを使用する (推奨):

   • 任意のデバイスから ポータル サイト Web サイト (https://portal.manage.microsoft.com/) にサインインします。
   • [ デバイス] に移動し、FileVault で暗号化されている macOS デバイスを選択します。
   • [ 回復キーの取得 ] を選択する - 現在の回復キーが表示されます。

2. モバイル ポータル サイト アプリの使用:

   • iOS/iPadOS ポータル サイト アプリ、Android ポータル ポータル サイト アプリ、または Intune モバイル アプリを開きます。
   • [ デバイス] に移動し、暗号化および登録済みの macOS デバイスを選択します。
   • [回復キーの取得] を選択する - ブラウザーに Web ポータル サイトが表示され、回復キーが表示されます。

回復キーの循環

Intune では、回復キーの自動ローテーションと手動ローテーションの両方がサポートされています。

自動回転

FileVault ポリシーで自動キー交換を構成します。

• 個人用リカバリ キーのローテーション = 設定間隔 (1 〜 12 か月)
• 新しいキーが自動的に生成されてエスクローされます
• 回転が成功すると、前のキーが無効になる
• ユーザーはポータル サイトから新しいキーを取得する必要があります

手動回転

管理者は、回復キーを手動でローテーションできます。

1. Microsoft Intune 管理センターにサインインする
2. デバイス>すべてのデバイスの選択
3. 暗号化されたデバイスを選択する
4. [モニター] で [回復キー] を選択する
5. [FileVault の回転] 回復キーを選択する

既存の FileVault 暗号化の管理を引き受ける

Intune は、Intune FileVault ポリシーを受信する前にユーザーが暗号化したデバイスの管理を想定できます。 このシナリオでは、以前に暗号化されたデバイスの一元的な回復キー管理が可能になります。

管理を引き受けるための前提条件

• デバイスは Intune からアクティブな FileVault ポリシーを受け取る必要があります
• ユーザーは、現在の回復キーにアクセスできるか、新しいキーを生成する能力を持っている必要があります

どちらの方法でも、Intune を介して展開されたアクティブな FileVault ポリシーが必要です。 ポリシー配信には Endpoint Security Disk Encryption プロファイル を使用します。

方法 1: 既存の回復キーをアップロードする

用途: ユーザーは現在の個人用回復キーを知っています。

プロセス:

1. FileVault ポリシーを以前に暗号化したデバイスに展開します。
2. Web サイト (portal.manage.microsoft.com) にユーザーポータル サイト誘導します。
3. ユーザーが [暗号化されたデバイス] を選択し、[ Store 回復キー] を選択します。
4. ユーザーが現在の個人用回復キーを入力します。
5. Intune はキーを検証し、新しい回復キーに回転します。
6. 新しいキーはエスクローされ、ポータル サイトから入手できます。

ユーザー コミュニケーション:
Intune 管理を有効にするには回復キーをアップロードする必要があることをユーザーに通知します。 コンプライアンス ポリシーの適用を検討して、確実に完了します。

方法 2: デバイスで新しい回復キーを生成する

用途: ユーザーは現在の回復キーを知りませんが、デバイスにアクセスできます。

プロセス:

1. FileVault ポリシーを以前に暗号化したデバイスに展開します。
2. ユーザーが暗号化されたデバイスでターミナル アプリを開きます。
3. キーの回転コマンドを実行します。

   cd /Applications/Utilities
   sudo fdesetup changerecovery -personal
   

4. ユーザーは、プロンプトが表示されたら、デバイスのパスワードを入力します。
5. システムが新しい回復キーを生成して表示します。
6. デバイスは Intune でチェックインし、管理が想定されます。

デバイス チェックインを迅速化する:

• 管理: デバイス>デバイスの選択 >同期
• ユーザー: ポータル サイト アプリ >設定>同期

経営の想定の検証

いずれかの方法の後、成功した管理の前提を確認します。

1. Intune 暗号化レポートでデバイスの暗号化状態を確認します。
2. [デバイスの詳細] で回復キーの使用可能かどうかを確認します。
3. ポータル サイトを使用した回復キーの取得をテストします。

FileVault 展開のトラブルシューティング

一般的な展開の問題

エラー コード リファレンス

エラー -2016341107 / 0x87d1138d: ユーザーが FileVault の有効化プロンプトを受け入れていません。

• 解決策: FileVault プロンプトを受け入れるためのユーザー教育。
• 予防方法: 自動展開には、セットアップ アシスタントの適用を検討してください。

ポリシーの競合の解決

Intune のポリシー競合検出を使用して、次を特定します。

• 重複する FileVault ポリシー
• 競合するエンドポイント保護設定
• コンプライアンス ポリシーの相互作用

セキュリティに関する考慮事項

回復キーのセキュリティ

キー保護:

• 回復キーは、転送中および保存時に暗号化される
• キーは Microsoft クラウド サービスに安全に保存されます
• アクセスは Intune RBAC アクセス許可を通じて制御されます

監査ログ:

• すべての回復キーへのアクセスが Microsoft Entra 監査ログに記録される
• ログには、ユーザー ID、タイムスタンプ、キー ID が含まれます
• 不正アクセスの試行がないかログを定期的に確認する

企業デバイスと個人用デバイス

会社のデバイス:

• 完全な管理アクセス: 管理者は回復キーを表示、ローテーション、および管理できます
• Intune 管理センターによる完全な回復キー管理機能
• 完全なIT制御が求められる会社所有の機器に適しています
• 監査ログは、すべての管理回復キーへのアクセスを追跡します

パーソナル デバイス (BYOD):

• 管理者アクセスなし: 管理者は回復キーを表示または直接管理できません
• ユーザーは、セルフサービスのポータル サイト アクセスを通じて完全な制御を維持します
• 組織のセキュリティ ニーズと従業員のプライバシー要件のバランスを取る
• キーは、ユーザーのセルフサービス回復のために引き続き Microsoft クラウドにエスクローされます
• ポリシー構成に基づいて、自動回転が機能します

コンプライアンスの統合

FileVault の暗号化は、Intune コンプライアンス ポリシーと統合されます。

• [コンプライアンス ポリシーで データ ストレージの暗号化を要求する ] を設定します
• 暗号化が有効になるまで企業リソースへのアクセスをブロックする
• デバイス コンプライアンス レポートによるコンプライアンスの監視

次の手順

• 環境全体のディスク暗号化の監視
• Windows デバイスの BitLocker 暗号化を構成する
• エンドポイント セキュリティ ポリシーの FileVault 設定リファレンス
• Apple FileVault 展開ガイド(Apple の Web サイトが開きます)
• FileVault 回復キーに関するエンド ユーザー ガイダンス