Intune のエンドポイント セキュリティのファイアウォール ポリシー

Intune のエンドポイント セキュリティ ファイアウォール ポリシーを使用して、macOS および Windows デバイスを実行するデバイス用のデバイスの組み込みファイアウォールを構成します。

デバイス構成に Endpoint Protection プロファイルを使用して同じファイアウォール設定を構成できますが、デバイス構成プロファイルには追加の設定カテゴリが含まれています。 これらの追加設定はファイアウォールとは無関係であり、環境のファイアウォール設定のみを構成するタスクを複雑にする可能性があります。

ファイアウォールのエンドポイント セキュリティ ポリシーは、Microsoft Intune 管理センターの [エンドポイント セキュリティ] ノードの [管理] にあります。

ファイアウォール プロファイルの前提条件

• Windows
• Windows Server 2012 R2 以降 (Microsoft Defender for Endpoint セキュリティ設定管理シナリオ経由)
• サポートされているすべてのバージョンの macOS

役割ベースのアクセス制御 (RBAC)

Intune ファイアウォール ポリシーを管理するために適切なレベルのアクセス許可と権利を割り当てるためのガイダンスについては、「エンドポイント セキュリティの役割ベースのアクセス制御」を参照してください。

ファイアウォール プロファイル

エンドポイント セキュリティ プロファイルの作成に関するガイダンスについては、「 エンドポイント セキュリティ ポリシーの作成」を参照してください。

Intune によって管理されるデバイス

プラットフォーム: macOS:

• macOS ファイアウォール – macOS の組み込みファイアウォールを有効にして、設定を構成します。

プラットフォーム: Windows:

次のプロファイルで設定を構成する方法の詳細については、 ファイアウォール構成サービス プロバイダー (CSP) を参照してください。

• Windows ファイアウォール – セキュリティが強化された Windows ファイアウォールの設定を構成します。 Windows ファイアウォールは、デバイスに対してホスト ベースの双方向ネットワーク トラフィック フィルター処理を提供し、ローカル デバイスに出入りする承認されていないネットワーク トラフィックをブロックできます。

• Windows ファイアウォール 規則 - 特定のポート、プロトコル、アプリケーション、ネットワークなど、きめ細かなファイアウォール規則を定義し、ネットワーク トラフィックを許可またはブロックします。 このプロファイルの各インスタンスでは、最大 150 個のカスタム ルールがサポートされます。

  ヒント

  MdmStore/FirewallRules/{FirewallRuleName}/PolicyAppId CSP に記載されているポリシー アプリ ID 設定を使用するには、環境で Windows Defender アプリケーション制御 (WDAC) タグ付けを使用する必要があります。 詳しくは、次の Windows Defender の記事をご覧ください。

  • Windows のアプリケーション制御について
  • WDAC アプリケーション ID (AppId) タグ付けガイド

• Windows Hyper-V ファイアウォール規則Windows Hyper-V ファイアウォール規則テンプレートを使用すると、Linux 用 Windows サブシステム (WSL) や Android 用 Windows サブシステム (WSA) などのアプリケーションを含む、Windows 上の特定の Hyper-V コンテナーに適用されるファイアウォール規則を制御できます

ファイアウォール規則のプロファイルに再利用可能な設定グループを追加する

パブリック プレビューでは、Windows ファイアウォール規則プロファイルは、次のプラットフォームで再 利用可能な設定グループの 使用をサポートしています。

• Windows

次のファイアウォール規則プロファイル設定は、再利用可能な設定グループで使用できます。

• リモート IP アドレス範囲
• FQDN の定義と自動解決

ファイアウォール規則を構成して 1 つ以上の再利用可能な設定グループを追加する場合は、規則の [アクション] も構成して、それらのグループ内の設定の使用方法を定義します。

プロファイルに追加する各ルールには、再利用可能な設定グループと、ルールに直接追加される個々の設定の両方を含めることができます。 ただし、再利用可能な設定グループに対して、またはルールに直接追加した設定を管理するために、各ルールを使用することを検討してください。 この分離により、将来の構成や変更を簡略化するのに役立ちます。

再利用可能なグループを構成し、それらをこのプロファイルに追加するための前提条件とガイダンスについては、「Intune ポリシーで再利用可能な設定グループを使用する」を参照してください。

Configuration Manager によって管理されるデバイス

ファイアウォール

Configuration Manager によって管理されるデバイスのサポートはプレビュー段階です。

テナントのアタッチを使用するときに、Configuration Manager デバイスのファイアウォール ポリシー設定を管理します。

ポリシー パス:

• エンドポイント セキュリティ > ファイアウォール

プロファイル:

• Windows ファイアウォール (ConfigMgr)

必要な Configuration Manager のバージョン:

• Configuration Manager Current Branch バージョン 2006 以降 (本体内更新プログラム Configuration Manager 2006 修正プログラム (KB4578605)

サポートされている Configuration Manager デバイス プラットフォーム:

• Windows (x86、x64、ARM64)

  重要

  2025 年 10 月 14 日に、Windows 10 はサポートが終了し、品質と機能の更新プログラムを受け取ることはありません。 Windows 10 は、Intune で許可されているバージョンです。 このバージョンを実行しているデバイスは引き続き Intune に登録して対象機能を使用できますが、機能は保証されず、異なる場合があります。

ファイアウォール規則のマージとポリシーの競合

1 つのポリシーのみを使用して、デバイスにファイアウォール ポリシーが適用されるように計画します。 1 つのポリシー インスタンスとポリシーの種類を使用すると、2 つの別個のポリシーが同じ設定に異なる構成を適用して競合を引き起こすことを回避できます。 2 つのポリシー インスタンスまたは異なる値を使用して同じ設定を管理するポリシーの種類の間に競合が存在する場合、設定はデバイスに送信されません。

• この形式のポリシー競合は Windows ファイアウォール プロファイルに適用されます。このプロファイルは、他の Windows ファイアウォール プロファイルや、デバイス構成などの別のポリシーの種類によって提供されるファイアウォール構成と競合する可能性があります。

  Windows ファイアウォール プロファイルは 、 Windows ファイアウォール規則 プロファイルと競合しません。

Windows ファイアウォール規則プロファイルを使用する場合は、同じデバイスに複数の規則プロファイルを適用できます。 ただし、構成が異なる同じものに対して異なるルールが存在する場合、両方がデバイスに送信され、そのデバイスで競合が発生します。

• たとえば、1 つのルールがファイアウォール経由の Teams.exe をブロックし、2 つ目のルールで Teams.exeを許可する場合、両方のルールがクライアントに配信されます。 この結果は、ファイアウォール設定の他のポリシーによって作成された競合とは異なります。

複数のルール プロファイルのルールが互いに競合しない場合、デバイスは各プロファイルのルールをマージして、デバイス上で結合されたファイアウォール ルール構成を作成します。 この動作により、個々のプロファイルがサポートする 150 を超えるルールをデバイスに展開できます。

• たとえば、2 つの Windows ファイアウォール規則プロファイルがあるとします。 最初のプロファイルでは、ファイアウォールを通過 Teams.exe できます。 2 番目のプロファイルでは、ファイアウォールを通過 Outlook.exe できます。 デバイスが両方のプロファイルを受け取ると、デバイスは両方のアプリがファイアウォールを通過できるように構成されます。

ファイアウォール ポリシー レポート

ファイアウォール ポリシーのレポートには、管理対象デバイスのファイアウォールの状態に関する状態の詳細が表示されます。 ファイアウォール レポートでは、次のオペレーティング システムを実行する管理対象デバイスがサポートされます。

• Windows

概要

[概要] は、ファイアウォール ノードを開いたときの既定のビューです。 Microsoft Intune 管理センターを開き、[エンドポイント セキュリティ]>[ファイアウォール]>概要 に移動します。

このビューでは、以下が提供されます。

• ファイアウォールがオフになっているデバイスの集計数。
• ファイアウォール ポリシーの一覧 (名前、種類、割り当てられている場合、最終変更日時など)。

ファイアウォールを無効にして Windows を実行している MDM デバイス

このレポートは、[エンドポイント] セキュリティ ノードにあります。 Microsoft Intune管理センターを開き、[エンドポイント セキュリティ]>ファイアウォール>ファイアウォールを無効にしてWindows 10以降を実行している MDM デバイスに移動します。

データは Windows DeviceStatus CSP を通じて報告され、ファイアウォールがオフになっている各デバイスを識別します。 既定では、表示される詳細は次のとおりです。

• デバイス名
• ファイアウォールの状態
• ユーザー プリンシパル名
• ターゲット (デバイス管理の方法)
• 最終チェック時刻

Windows の MDM ファイアウォールの状態

この組織レポートについては、「Intune レポート」でも説明されています。

このレポートは、組織レポートとして、[ レポート] ノードから使用できます。 Microsoft Intune 管理センターを開き、[レポート]>[ファイアウォール]>[Windows のファイアウォールの状態] に移動します。

データは Windows DeviceStatus CSP を通じて報告され、マネージド デバイスのファイアウォールの状態が報告されます。 このレポートの戻り値は、1 つまたは複数の状態の詳細カテゴリを使用してフィルター処理できます。

次のような状態の詳細があります。

• [有効] – ファイアウォールはオンで、正常に報告されています。
• [無効] - ファイアウォールはオフになっています。
• 制限付き – ファイアウォールがすべてのネットワークを監視していないか、一部のルールがオフになっています。
• [Temporarily Disabled (default)]\(一時的に無効 (既定値)\) – ファイアウォールによって一時的にすべてのネットワークが監視されていません
• 該当しない – デバイスはファイアウォール レポートをサポートしていません。

このレポートの戻り値は、1 つまたは複数の状態の詳細カテゴリを使用してフィルター処理できます。

ファイアウォール規則の問題を調査する

Intune のファイアウォール規則の詳細と、一般的な問題をトラブルシューティングする方法については、次の Intune カスタマー サクセス ブログを参照してください。

• Intune Endpoint Security ファイアウォール規則の作成プロセスをトレースおよびトラブルシューティングする方法

その他の一般的なファイアウォール規則の問題:

イベント ビューアー: RemotePortRanges または LocalPortRanges "パラメーターが間違っています"

• 構成された範囲が昇順であることを確認します (例: 1-5 は正しいですが、5-1 はこのエラーが発生します)
• 構成された範囲が 0 から 65535 の全体的なポート範囲内にあることを確認します
• ルールでリモート ポート範囲またはローカル ポート範囲のいずれかが構成されている場合、プロトコルも 6 (TCP) または 17 (UDP) で構成する必要があります

イベント ビューアー: 「...Name), Result: (パラメーターが間違っています)"

• ルールでエッジ トラバーサルが有効になっている場合は、ルールの方向を [このルールは受信トラフィックに適用されます] に設定 する必要があります 。

イベント ビューアー: 「...InterfaceTypes)、結果: (パラメーターが間違っています)"

• ルールで "すべて" インターフェイスの種類が有効になっている場合、他のインターフェイスの種類は選択 しないでください 。

次の手順

エンドポイント セキュリティ ポリシーを構成する

非推奨の Windows 10 以降のプラットフォームの非推奨のファイアウォール プロファイルの設定の詳細を表示します。

• ファイアウォール プロファイルの設定。