App Control for Business ポリシーと Microsoft Intune 用のマネージド インストーラーを使用して、Windows デバイス用の承認済みアプリを管理する

毎日、新しい悪意のあるファイルやアプリが実際に出現しています。 organization 内のデバイスで実行するとリスクが発生し、管理や防止が困難になる可能性があります。 管理された Windows デバイスで不要なアプリが実行されないようにするために、ビジネス向け Microsoft Intune アプリ コントロールのポリシーを使用できます。

Intune のビジネス向けアプリ制御ポリシーはエンドポイント セキュリティの一部であり、Windows ApplicationControl 構成サービス プロバイダー (CSP) を使用して Windows デバイス上の許可されたアプリを管理します。

App Control for Business ポリシーを介しても使用でき、マネージド インストーラー ポリシーを使用して、Intune 管理拡張機能をマネージド インストーラーとしてテナントに追加できます。 マネージド インストーラーとしてのこの拡張機能を使用すると、Intune を介してデプロイするアプリは、インストーラーによって自動的にタグ付けされます。 タグ付きアプリは、App Control for Business ポリシーによって、デバイスでの実行が許可されている安全なアプリとして識別されます。

• Intune 管理拡張機能は、Windows デバイスの Windows MDM 機能を補完する Intune サービスです。 これにより、管理対象デバイスへの Win32 アプリと PowerShell スクリプトのインストールが容易になります。

• マネージド インストーラーは、AppLocker 規則を使用して、インストールしたアプリケーションに organization によって信頼されているというタグ付けを行います。詳細については、Windows セキュリティ ドキュメントの「マネージド インストーラーによってインストールされたアプリを許可する」を参照してください。

  App Control for Business ポリシーを使用するために、マネージド インストーラーを使用する必要はありません。

この記事の情報は、次のことに役立ちます。

• 管理インストーラーとして Intune 管理拡張機能を構成します。
• ビジネス ポリシー用のエンドポイント セキュリティ App Control を構成します。

関連情報については、Windows セキュリティに関するドキュメントの「Windows Defender アプリケーション制御」を参照してください。

適用対象:

• Windows

前提条件

デバイス

次のデバイスは、Intune に登録されている場合、App Control for Business ポリシーでサポートされます。

• Windows Enterprise または Education:

  • Windows 10 バージョン 1903 以降。
  • Windows 11

• Windows Professional:

  • KB5019959 でWindows 10する
  • Windows 11:
    • バージョン 22H2 (KB5019980 付き)
    • バージョン 21H2 (KB5019961 付き)

• Windows 11 SE:

  • Windows 11 SE は、教育機関テナントでのみサポートされます。 詳細については、この記事で後述する「 Education テナントのビジネス向けアプリ制御ポリシー」 を参照してください。

• Azure Virtual Desktop (AVD):

  • AVD デバイスは、App Control for Business ポリシーの使用がサポートされます
  • AVD マルチセッション デバイスをターゲットにするには、Endpoint Security の App Control for Business ノードを使用します。 ただし、App Control for Business はデバイスのスコープのみです。

• 共同管理対象のデバイス:

  • 共同管理されたデバイスでビジネス ポリシーのアプリケーション制御をサポートするには、Endpoint Protection スライダーのスライダーを Intune に設定します。

Windows Defender App Control for Business

Windows セキュリティに関するドキュメントの「Windows のアプリケーション制御について」の「Windows セキュリティのエディションとライセンス要件」を参照してください。

役割ベースのアクセス制御

App Control for Business ポリシーを管理するには、目的のタスクを完了するのに十分なアクセス許可と権利を含む Intune ロールベースのアクセス制御 (RBAC) ロールがアカウントに割り当てられている必要があります。

以下は、必要なアクセス許可と権限を持つ利用可能なタスクです。

• マネージド インストーラーの使用を有効にする - アカウントに Intune 管理者のロールを割り当てる必要があります。 インストーラーの有効化は 1 回限りのイベントです。

  重要

  Microsoft では、アクセス許可が可能な限りで少ないロールを使用することをお勧めします。 これにより、組織のセキュリティが向上します。 Intune 管理者や同様のアカウントは、別のロールを使用できないシナリオに限定する必要がある高い特権ロールです。

• App Control for Business ポリシーの管理 - アカウントには、レポートの削除、読み取り、割り当て、作成、更新、および表示の権限を含む App Control for Business アクセス許可が必要です。

• App Control for Business ポリシーのレポートを表示する - アカウントには、次のいずれかのアクセス許可と権利が必要です:

  • レポートの表示を含むビジネス用アプリ コントロールのアクセス許可。
  • 読み取りを含む組織のアクセス許可。

適切なレベルのアクセス許可と権利を割り当てて Intune App Control for Business ポリシーを管理する方法については、「エンドポイント セキュリティの役割ベースのアクセス制御」を参照してください。

政府機関向けクラウド サポート

Intune エンドポイントのセキュリティ アプリケーション制御ポリシーとマネージド インストーラーの構成は、次のソブリン クラウド環境でサポートされています。

• 米国政府機関向けクラウド
• 21Vianet

マネージド インストーラーの使用を開始する

Intune のエンドポイント セキュリティ App Control for Business を使用すると、ポリシーを使用して、管理された Windows デバイス上の管理インストーラーとして Intune 管理拡張機能を追加できます。

デバイスでマネージド インストーラーを有効にすると、Intune を使用して Windows デバイスに展開するすべての後続アプリケーションにマネージド インストーラー タグが付けられます。 タグは、アプリが既知のソースによってインストールされ、信頼できることを識別します。 その後、アプリのマネージド インストーラータグ付けは App Control for Business ポリシーによって使用され、環境内のデバイスでの実行が承認されたアプリとして自動的に識別されます。

ビジネス向けアプリ制御ポリシーは、Windows Defender アプリケーション制御 (WDAC) の実装です。 WDAC とアプリのタグ付けの詳細については、Windows Defender アプリケーション制御ドキュメントの「 Windows のアプリケーション制御とWDAC アプリケーション ID (AppId) タグ付けガイド について」を参照してください。

マネージド インストーラーを使用する場合の考慮事項:

• 管理対象インストーラー用の 1 つ以上の App Control for Business ポリシーを、管理対象 Windows デバイスのさまざまなグループに展開します。

  ヒント

  2025 年 8 月 18 日、Intune は、Windows デバイスに管理されたインストーラーを追加するための単一のテナント全体のポリシーを、選択したグループへの管理されたインストーラーの割り当てをサポートする新しいポリシー設計に置き換えました。 8 月 18 日より前にテナント全体のポリシーを有効にしていた場合、そのポリシーはすべてのデバイスを対象とするポリシーに変換され、元の構成と同等になります。 マネージド インストーラーのより詳細な展開を使用する場合は、既存のポリシーの削除を検討してから、特定のグループを対象とする新しいポリシーを作成するか、特定のスコープ タグを使用します。

• Intune 管理拡張機能をマネージド インストーラーとして追加するポリシーを Windows デバイスが受信すると、Intune を使用してそれらのデバイスに展開するすべてのアプリにマネージド インストーラーのマークが付けられます。

• 新しいデバイスでマネージド インストーラーが追加されないようにするには、デバイスのグループを除外するポリシーを編集するか、Intune からマネージド インストーラー ポリシーを削除します。 ただし、ポリシーからの除外またはポリシーの削除によって、以前に追加したデバイスから管理対象インストーラーが削除されることはありません。

• このタグ自体は、デバイスで実行できるアプリには影響しません。 このタグは、管理対象デバイスでの実行を許可するアプリを決定する WDAC ポリシーも割り当てる場合にのみ使用されます。

• 遡及的なタグ付けがないため、マネージド インストーラーを有効にする前に展開されたデバイス上のすべてのアプリにタグ付けされません。 WDAC ポリシーを適用する場合は、これらのタグ付けされていないアプリの実行を許可する明示的な構成を含める必要があります。

• ポリシーを無効にして、後続のアプリがマネージド インストーラーでタグ付けされないようにすることができます。 以前にインストールされてタグ付けされたアプリは、タグ付けされたままになります。 ポリシーを無効にした後のマネージド インストーラーの手動クリーンアップについては、この記事で後述する「マネージド インストーラーとして Intune 管理拡張機能を削除する」を参照してください。

Intune によるマネージド インストーラーの設定方法の詳細については、Windows セキュリティのドキュメントをご覧ください。

マネージド インストーラーをテナントに追加する

1 つ以上の管理されたインストーラー ポリシーを作成して、デバイスのグループに管理されたインストーラーを追加できます。 複数のポリシーを作成する場合は、1 つ以上の管理されたインストーラー ポリシーの対象となるデバイスに適用される次の点を考慮してください。

• 1 つのポリシーで [Intune マネージド拡張機能をマネージド インストーラーとして有効にする] 設定が [有効] に設定されている限り、デバイスは構成を有効として適用します。
• 複数のポリシーのスコープ タグは、これらのスコープ タグのスーパーセットとしてデバイスに適用されます。

次の手順では、テナントのマネージド インストーラーとして Intune 管理拡張機能を追加します。

1. Microsoft Intune 管理センターで、[Endpoint security>App Control for Business] に移動し、[マネージド インストーラー] タブを選択してから> [作成] を選択します。 [ マネージド インストーラ ポリシーの作成 ] ワークフローが開きます。

   

2. [基本] ページ上で、次のプロパティを入力します。

   • 名前: プロファイルのわかりやすい名前を入力します。 後で簡単に識別できるようにプロファイルに名前を付けます。
   • 説明: プロファイルの説明を入力します この設定は省略可能ですが、おすすめされています。

3. [設定] で、[Intune マネージド拡張機能をマネージド インストーラーとして有効にする] を [有効] (既定値) に設定します。 有効にすると、このポリシーを持つデバイスはマネージド インストーラーを使用します。 無効にすると、デバイスはマネージド インストーラーをアクティブに使用しません。

   ヒント

   いつでもポリシーを編集して、[Intune マネージド拡張機能をマネージド インストーラーとして有効化する] の値を編集できます。

4. [ スコープ タグ] で、必要に応じて適用するスコープ タグを選択できます。

5. [割り当て] では、ポリシーにデバイス グループを含めたり除外したりできます。 続行するには、[Next] を選択します。

   ヒント

   ユーザーを含む可能性のあるセキュリティ グループをターゲットにすることはできますが、セキュリティ グループ内のデバイスのみがターゲットになり、管理されたインストーラー ポリシーを受け取ります。 これは、マネージド インストーラー ポリシーがデバイス スコープにのみ適用されるためです。

6. [ レビュー + 作成] で、設定を確認し、[ 作成 ] を選択して変更を保存し、割り当てられたグループのメンバーにポリシーを展開します。 ポリシーは、ポリシー リストにも表示されます。

マネージド インストーラーを追加した後、新しいポリシーがテナントに追加されるまで最大 10 分待つ必要がある場合があります。 [ 更新] を選択して、管理センターが利用可能になるまで定期的に更新します。

準備が整うと、ポリシーが [マネージド インストーラー] タブに一覧表示され、状態が [アクティブ] になります。 デバイスでは、ポリシーが配信されるまでに最大 30 分間待機する場合があります。

ポリシーを有効にする前に、App Control for Business ポリシーを作成して展開して、Windows デバイスで実行できるアプリに関するルールを指定する必要があります。

詳細については、Windows セキュリティに関するドキュメントの「マネージド インストーラーによってインストールされたアプリを許可する」を参照してください。

• マネージド インストーラーは、GPO から強制された (対象の PC 上で) 停止または無効な App-Locker ポリシーを有効にすることができます。

マネージド インストーラーとして Intune 管理拡張機能を削除する

必要に応じて、テナントのマネージド インストーラーとして Intune 管理拡張機能をポリシーが構成しないようにすることができます。 これには、各マネージド インストーラー ポリシーを無効にする必要があります。 ポリシーをオフにした後は、追加のクリーンアップ アクションを使用することを選択できます。

Intune 管理拡張機能ポリシーを無効にする (必須)

Intune 管理拡張機能をマネージド インストーラーとしてデバイスに追加することを停止するポリシーを構成するには、次の構成が必要です。

1. 管理センターで、[Endpoint security>App Control for Business] に移動し> [マネージド インストーラー] タブを選択してから、編集するポリシーを選択します。

2. ポリシーを編集し、[Intune マネージド拡張機能をマネージド インストーラーとして有効にする] を [無効] に変更し、ポリシーを保存します。

新しいデバイスは、管理インストーラーとして Intune 管理拡張機能を使用して構成されていません。 これにより、管理対象インストーラーとしての Intune 管理拡張機能が、使用するように既に構成されているデバイスから削除されることはありません。

デバイスの管理インストーラーとして Intune 管理拡張機能を削除する (オプション)

オプションのクリーンアップ手順として、スクリプトを実行して、既にインストールされているデバイスで、Intune 管理拡張機能を管理対象インストーラーとして削除できます。 マネージド インストーラーを参照する App Control for Business ポリシーも使用しない限り、この構成はデバイスに影響しないため、この手順は省略可能です。

1. CatCleanIMEOnly.ps1 PowerShell スクリプトをダウンロードします。 このスクリプトは、download.microsoft.com の https://aka.ms/intune_WDAC/CatCleanIMEOnly で入手できます。

2. このスクリプトは、Intune 管理拡張機能がマネージド インストーラーとして設定されているデバイスで実行します。 このスクリプトは、マネージド インストーラーとして Intune 管理拡張機能のみを削除します。

3. 上記の変更を有効にするには、Intune 管理拡張機能サービスを再起動します。

このスクリプトを実行するには、Intune を使用して PowerShell スクリプトを実行するか、選択した他の方法を実行します。

デバイスからすべての AppLocker ポリシーを削除する (省略可能)

デバイスから すべての Windows AppLocker ポリシーを削除するには、 CatCleanAll.ps1 PowerShell スクリプトを使用できます。 このスクリプトは、マネージド インストーラーとしての Intune 管理拡張機能を削除するだけでなく、Windows AppLocker に基づくすべてのポリシーをデバイスから削除します。 このスクリプトを使用する前に、組織で AppLocker ポリシーが使用されていることを必ず理解しておいてください。

1. CatCleanAll.ps1 PowerShell スクリプトをダウンロードします。 このスクリプトは、download.microsoft.com の [https://aka.ms/intune_WDAC/CatCleanAll](/ https:/aka.ms/intune_WDAC/CatCleanAll) から入手できます。

2. このスクリプトは、Intune 管理拡張機能がマネージド インストーラーとして設定されているデバイスで実行します。 このスクリプトは、マネージド インストーラーとしての Intune 管理拡張機能および AppLocker ポリシーをデバイスから削除します。

3. 上記の変更を有効にするには、Intune 管理拡張機能サービスを再起動します。

このスクリプトを実行するには、Intune を使用して PowerShell スクリプトを実行するか、選択した他の方法を実行します。

App Control for Business ポリシーの概要

Intune のエンドポイント セキュリティ ビジネス向けアプリ制御ポリシーを使用すると、管理対象 Windows デバイス上の実行を許可するアプリを管理できます。 ポリシーで明示的に実行が許可されていないアプリは、監査モードを使用するようにポリシーを構成していない限り、実行がブロックされます。 監査モードでは、ポリシーによりすべてのアプリの実行が許可され、そのアプリに関する詳細がクライアントにローカルに記録されます。

許可またはブロックするアプリを管理するために、Intune は Windows デバイスで Windows ApplicationControl CSP を使用します。

App Control for Business ポリシーを作成するときは、使用する 構成設定形式 を選択する必要があります。

• XML データの入力 - xml データの入力を選択する場合は、App Control for Business ポリシーを定義する一連のカスタム XML プロパティをポリシーに指定する必要があります。

• ビルトイン コントロール – このオプションは最も簡単に構成できますが、強力な選択肢であることに変わりはありません。 組み込みのコントロールを使用すると、マネージド インストーラーによってインストールされるすべてのアプリを簡単に承認し、Windows コンポーネントとストア アプリを信頼できるようになります。

  これらのオプションの詳細については、ポリシーの作成時に UI から利用できます。また、ポリシーの作成手順を説明する次の手順でも詳しく説明します。

App Control for Business ポリシーを作成したら、その元のポリシーに XML 形式のルールを追加する補足ポリシーを作成することで、そのポリシーの範囲を拡張できます。 補足ポリシーを使用する場合、元のポリシーは基本ポリシーと呼ばれます。

ビジネス ポリシーのアプリ コントロールを作成する

次の手順を使用して、正常な App Control for Business ポリシーを作成します。 このポリシーで定義する信頼の範囲を拡大するための補足ポリシーを作成する場合、このポリシーは基本ポリシーと見なされます。

1. Microsoft Intune 管理センターにサインインし、[Endpoint security>App Control for Business] に移動し>App Control for Business タブ >を選択して、[ポリシーの作成] を選択します。 App Control for Business ポリシーには、プラットフォームの種類が自動的に割り当てられます。

   

2. [ 基本] に、次のプロパティを入力します。

   • 名前: プロファイルのわかりやすい名前を入力します。 後で簡単に識別できるようにプロファイルに名前を付けます。
   • 説明: プロファイルの説明を入力します この設定は省略可能ですが、おすすめされています。

3. [ 構成設定] で、[ 構成設定の形式] を選択します。

   XML データの入力 - このオプションでは、カスタム XML プロパティを指定して、App Control for Business ポリシーを定義する必要があります。 このオプションを選択しても、XLM プロパティをポリシーに追加しない場合は、未 構成として機能します。 App Control for Business ポリシーが構成されていない場合、デバイスでは既定の動作になり、ApplicationControl CSP からのオプションが追加されません。

   組み込みコントロール – このオプションでは、ポリシーでカスタム XML は使用されません。 代わりに、次の設定を構成します。

   • Windows コンポーネントとストア アプリの信頼を有効にする – この設定を 有効 (既定値) にすると、管理対象デバイスでは、Windows コンポーネントとストア アプリだけでなく、信頼済みとして構成した他のアプリを実行できます。 このポリシーによって信頼されていると定義されていないアプリは実行からブロックされます。

     この設定では、 監査のみ モードもサポートされます。 監査モードでは、すべてのイベントがローカル クライアント ログに記録されますが、アプリの実行はブロックされません。

   • アプリを信頼するための追加オプションを選択する – この設定では、次のオプションのいずれかまたは両方を選択できます。

     • 評判の良いアプリを信頼する – このオプションを使用すると、デバイスは、Microsoft インテリジェント セキュリティ グラフ で定義されている信頼できるアプリを実行できます。 インテリジェント セキュリティ グラフ (ISG) の使用方法の詳細については、Windows セキュリティ ドキュメントの「インテリジェント セキュリティ グラフ (ISG) を使用して信頼できるアプリを許可する」を参照してください。

     • マネージド インストーラーのアプリを信頼する – このオプションにより、デバイスは、承認されたソース (マネージド インストーラー) によって展開されたアプリを実行できます。 これは、管理インストーラーとして Intune 管理拡張機能を構成した後、Intune を使用して展開するアプリに適用されます。

       このポリシーのルールで指定されていない他のすべてのアプリとファイルの動作は、 Windows コンポーネントとストア アプリの信頼を有効にする:

       • [有効] にすると、デバイスでのファイルとアプリの実行がブロックされます。
       • [ 監査のみ] に設定すると、ファイルとアプリはローカル クライアント ログでのみ監査されます。

   

4. [スコープ タグ] ページで、適用するスコープ タグを選択し、[次へ] を選択します。

5. [ 割り当て] で、ポリシーを受け取るグループを選択しますが、WDAC ポリシーはデバイス スコープにのみ適用されることを考慮してください。 続行するには、[Next] を選択します。

   プロファイルの割り当ての詳細については、ユーザーおよびデバイス プロファイルの割り当てに関するページを参照してください。

6. [ レビュー + 作成] で設定を確認し、[ 作成] を選択します。 [作成] を選択すると、変更内容が保存され、プロファイルが割り当てられます。 ポリシーは、ポリシー リストにも表示されます。

補足ポリシーを使用する

1 つ以上の補足ポリシーを使用すると、App Control for Business 基本ポリシーを拡張して、そのポリシーの信頼の輪を広げることができます。 補足ポリシーで拡張できる基本ポリシーは 1 つだけですが、複数の補足ポリシーで同じ基本ポリシーを拡張できます。 補足ポリシーを追加すると、基本ポリシーとその補足ポリシーによって許可されているアプリケーションをデバイスで実行できるようになります。

補足ポリシーは XML 形式である必要があり、基本ポリシーのポリシー ID を参照する必要があります。

App Control for Business 基本ポリシーのポリシー ID は、基本ポリシーの構成によって決まります。

• カスタム XML を使用して作成された基本ポリシーには、その XML 構成に基づく一意の PolicyID があります。

• App Control for Business の 組み込みコントロール を使用して作成された基本ポリシーには、組み込み設定の可能な組み合わせによって決定される 4 つの可能な PolicyID のいずれかがあります。 次の表に、組み合わせと関連する PolicyID を示します。

  基本ポリシーの PolicyID	WDAC ポリシーのオプション (監査 または 適用)
  {A8012CFC-D8AE-493C-B2EA-510F035F1250}	アプリ制御ポリシーを有効にして、Windows コンポーネントと Microsoft Store アプリを信頼する
  {D6D6C2D6-E8B6-4D8F-8223-14BE1DE562FF}	アプリ制御ポリシーを有効にして、Windows コンポーネントと Microsoft Store アプリを信頼する および 評判の良いアプリを信頼する
  {63D1178A-816A-4AB6-8ECD-127F2DF0CE47}	アプリ制御ポリシーを有効にして、Windows コンポーネントと Microsoft Store アプリを信頼する および マネージド インストーラーのアプリを信頼する
  {2DA0F72D-1688-4097-847D-C42C39E631BC}	アプリ制御ポリシーを有効にして、Windows コンポーネントとストア アプリを信頼する および 評判の良いアプリを信頼する および マネージド インストーラーのアプリを信頼する

組み込みコントロールの同じ構成を使用する 2 つの App Control for Business ポリシーが同じ PolicyID を持っている場合でも、ポリシーの 割り当て に基づいて異なる補足ポリシーを適用できます。

次のような状況を想定します。

• 同じ構成を使用する 2 つの基本ポリシーを作成すると、PolicyID が同じになります。 そのうちの 1 つをエグゼクティブ チームに展開し、2 つ目のポリシーをヘルプ デスク チームに展開します。

• 次に、エグゼクティブ チームが必要とする他のアプリの実行を許可する補足ポリシーを作成します。 この補足ポリシーは、その同じグループ、エグゼクティブ チームに割り当てます。

• 次に、ヘルプ デスク チームが必要とするさまざまなツールを実行できるようにする 2 つ目の補足ポリシーを作成します。 このポリシーは、ヘルプ デスク グループに割り当てられます。

これらの展開の結果として、両方の補足ポリシーで基本ポリシーの両方のインスタンスが変更される可能性があります。 ただし、別個の個別の割り当てにより、最初の補足ポリシーはエグゼクティブ チームに割り当てられた許可されたアプリのみを変更し、2 番目のポリシーはヘルプ デスク チームが使用する許可されたアプリのみを変更します。

補足ポリシーを作成する

1. Windows Defender アプリケーション制御ウィザードまたは PowerShell コマンドレットを使用して、ビジネス向けアプリ制御ポリシーを XML 形式で生成します。

   ウィザードの詳細については、「 aka.ms/wdacWizard または Microsoft WDAC ウィザード」を参照してください。

   XML 形式でポリシーを作成するときは、基本ポリシーの ポリシー ID を参照する必要があります。

2. App Control for Business 補足ポリシーが XML 形式で作成されたら、Microsoft Intune 管理センターにサインインし、[Endpoint security>App Control for Business] に移動し>App Control for Business タブを選択して、[ポリシーの作成] を選択します。

3. [ 基本] に、次のプロパティを入力します。

   • 名前: プロファイルのわかりやすい名前を入力します。 後で簡単に識別できるようにプロファイルに名前を付けます。

   • 説明: プロファイルの説明を入力します この設定は省略可能ですが、おすすめされています。

4. [ 構成設定] の [ 構成設定の形式 ] で [XML データの入力 ] を選択し、XML ファイルをアップロードします。

5. [ 割り当て] で、補足ポリシーを適用する基本ポリシーに割り当てられているのと同じグループを選択し、[ 次へ] を選択します。

6. [ レビュー + 作成] で設定を確認し、[ 作成] を選択します。 [作成] を選択すると、変更内容が保存され、プロファイルが割り当てられます。 ポリシーは、ポリシー リストにも表示されます。

教育機関テナント向けのビジネス向け App Control ポリシー

教育機関のテナントにおける App Control for Business ポリシーでは、必要条件でサポートされているプラットフォームに加えて、Windows 11 SE もサポートされています。

Windows 11 SE は、教室での使用用に最適化されたクラウド ファーストのオペレーティング システムです。 Intune for Education と同様に、Windows SE 11 は生産性、学生のプライバシー、学習を優先し、教育に不可欠な機能とアプリのみをサポートします。

この最適化を支援するために、WDAC ポリシーと Intune 管理拡張機能は、Windows 11 SE デバイスに対して自動的に構成されます。

• Windows 11 SE デバイスの Intune サポートは、EDU テナント内の一連のアプリ リストを使用して定義済みの WDAC ポリシーを展開することが対象です。 これらのポリシーは自動的に展開され、変更できません。

• Intune EDU テナントの場合、Intune 管理拡張機能はマネージド インストーラーとして自動的に設定されます。 この構成は自動であり、変更できません。

App Control for Business ポリシーを削除する

モバイル デバイス管理 (MDM) を使用した WDAC ポリシーの展開 - Windows セキュリティに関するドキュメントの「Windows セキュリティ」で詳しく説明されているように、Intune UI から削除されたポリシーはシステムとデバイスから削除されますが、次のコンピューターの再起動まで有効は維持されます。

WDAC の強制を無効にするか削除するには、次の手順を実行します。

1. 既存のポリシーを、Windows デバイスにあるポリシーの例のルールなど、 Allow /*する新しいバージョンのポリシーに置き換えます。 %windir%\schemas\CodeIntegrity\ExamplePolicies\AllowAll.xml

   この構成では、ポリシーが削除された後にデバイス上で残っていたブロックがすべて削除されます。

2. 更新されたポリシーがデプロイされたら、Intune ポータルから新しいポリシーを削除できます。

このシーケンスにより、何もブロックされなくなり、次回の再起動時に WDAC ポリシーが完全に削除されます。

App Control for Business ポリシーとマネージド インストーラーの監視

デバイスに App Control for Business およびマネージド インストーラー ポリシーが割り当てられた後、管理センター内でポリシーの詳細を表示できます。

• レポートを表示するには、アカウントに [組織] の Intune ロールベースのアクセス制御カテゴリの読み取りアクセス許可が必要です。

レポートを表示するには、Intune 管理センターにサインインし、[Endpoint security>App Control for Business] に移動します。 App Control for Business ポリシーの [ポリシー] タブを、マネージド インストーラー ポリシーの [マネージド インストーラー] を選択します。

ビジネス向けアプリ コントロール

ビジネス 向けアプリ コントロール タブで、ポリシーを選択して、次のレポート オプションを使用してビューを開きます。

• デバイスとユーザーのチェックイン状態 - このポリシーで使用可能な各状態を報告するデバイスの数を表示する単純なグラフ。

• レポートの表示 - このポリシーを受信したデバイスの一覧を含むビューが開きます。 ここでは、ドリルインするデバイスを選択し、App Control for Business ポリシー設定の形式を表示できます。

ポリシー ビューには、次のレポート タイルも含まれています。

• デバイスの割り当て状態 - このレポートには、ポリシーの割り当てが保留中の状態のデバイスを含め、ポリシーの対象になっているすべてのデバイスが表示されます。

  このレポートでは、表示する 割り当ての状態の 値を選択し、[ レポートの生成] を選択して、ポリシーを受信した個々のデバイス、最後のアクティブ ユーザー、および割り当ての状態のレポート ビューを更新できます。

  デバイスを選択してドリルインし、App Control for Business ポリシー設定の形式を表示することもできます。

• 設定の状態ごと - このレポートには、このポリシーの設定に対して 成功、 エラー、 または競合 として状態を報告するデバイスの数が表示されます。

マネージド インストーラー

[ マネージド インストーラー] タブで、ポリシーを選択して [概要] ページを開きます。このページでは、次の情報を表示できます。

• デバイスの状態、成功とエラーの静的なカウント。

• デバイス状態の傾向。各詳細カテゴリ内のデバイスのタイムラインと数を表示する履歴グラフ。

レポートの詳細は次のとおりです。

• 成功 - ポリシーを正常に適用したデバイス。

• エラー - エラーのあるデバイス。

• 新しいデバイス – 新しいデバイスは、最近ポリシーを適用したデバイスを識別します。

  

[概要] の [ デバイスの状態 ] セクションと [デバイス状態の傾向 ] セクションが更新されるまでに最大 24 時間かかる場合があります。

ポリシーの詳細を表示しながら、[デバイスの状態] ([モニター] の下) を選択して、ポリシー詳細のデバイスベースのビューを開くことができます。 [デバイスの状態] ビューには、デバイスがポリシーを正常に適用できない場合に問題を特定するために使用できる次の詳細が表示されます。

• デバイス名
• ユーザー名
• OS のバージョン
• マネージド インストーラーの状態 (成功 または エラー)

デバイスが実際にポリシーを受信した後、ポリシー詳細のデバイスベースのビューが更新されるまでに数分かかることがあります。

よく寄せられる質問

いつ Intune 管理拡張機能をマネージド インストーラーとして設定する必要がありますか?

次回利用可能な機会に、Intune 管理拡張機能をマネージド インストーラーとして構成することをお勧めします。

一度設定すると、デバイスに展開する後続のアプリには、 マネージド インストーラーからのアプリを信頼する WDAC ポリシーをサポートするために適切にタグが付けられます。

マネージド インストーラーが構成される前にアプリが展開された環境では、新しい WDAC ポリシーを 監査モードで 展開して、展開されたが信頼済みとしてタグ付けされていないアプリを特定できるようにすることをお勧めします。 その後、監査結果を確認し、信頼できるアプリを決定できます。 信頼して実行を許可するアプリについては、カスタム WDAC ポリシーを作成してそれらのアプリを許可できます。

高度な捜索は、Microsoft Defender for Endpoint の機能であり、IT 管理者が管理する多数のコンピューターにわたって監査イベントを簡単に照会し、ポリシーの作成に役立てるのに役立ちます。

攻撃表面の縮小ポリシーの古いアプリケーション制御ポリシーをどうすればよいですか

Intune UI の [エンドポイント セキュリティ>攻撃面の減少] または [デバイス>デバイスの管理]>構成の下に、アプリケーション制御ポリシーのインスタンスが表示される場合があります。 これらは、将来のリリースで非推奨になる予定です。

同じデバイスに複数の基本ポリシーまたは補足ポリシーがある場合はどうなりますか?

Windows 10 1903 より前のバージョンでは、App Control for Business は、一度にシステムで 1 つのアクティブなポリシーのみをサポートしていました。 この動作は、異なる意図を持つ複数のポリシーが有用である状況では、顧客を大幅に制限します。 現在、同じデバイス上で複数の基本ポリシーと補足ポリシーがサポートされています。 複数の App Control for Business ポリシーの展開の詳細については、こちらを参照してください。

なお、App Control for Business の場合、同じデバイス上でポリシーを 32 個アクティブにするという制限はなくなりました。 この問題は、Windows 10 1903 以降が 2024 年 3 月 12 日以降にリリースされた Windows セキュリティ更新プログラムで実行されるデバイスで解決されます。 古いバージョンの Windows では、今後の Windows セキュリティ更新プログラムでこの修正プログラムを受け取る予定です。

自分のテナントのマネージド インストーラー オプトイン機能により、適切なタグを使用して Configuration Manager からインストールされたアプリが設定されますか?

その必要はありません。 このリリースでは、マネージド インストーラーとして Intune 管理拡張機能を使用して、Intune からインストールされたアプリを設定することに重点を置いています。 Configuration Manager をマネージド インストーラーとして設定することはできません。

Configuration Manager を管理インストーラーとして設定する必要がある場合は、Configuration Manager 内からその動作を許可できます。 マネージド インストーラーとして Configuration Manager が既に設定されている場合、予想される動作として、新しい Intune 管理拡張機能 AppLocker ポリシーが既存の Configuration Manager ポリシーにマージされます。

マネージド インストーラーを使用するorganization内の Microsoft Entra Hybrid Join (HAADJ) デバイスについては、どのような考慮事項がありますか?

Microsoft Entra ハイブリッド参加デバイスでは、管理されたインストーラー ポリシーを含むグループ ポリシーを適用するためにオンプレミスのドメイン コントローラー (DC) に接続する必要があります (AppLocker 経由)。 DC 接続がないと、特に Windows Autopilot のプロビジョニング中は、マネージド インストーラー ポリシーが正常に適用されません。 考慮対象:

1. 代わりに、Microsoft Entra 参加で Windows Autopilot を使用してください。 詳細については、どの Microsoft Entra 参加オプションを選択するかに関する推奨事項を参照してください。

2. Microsoft Entra ハイブリッド結合の場合は、次のいずれかまたは両方を選択します:

   • ここでは Windows Autopilot が機能しない可能性があるため、アプリのインストール時に DC 接続を提供するデバイス プロビジョニング方法を使用します。
   • アプリのインストール時に DC 接続が確立され、マネージド インストーラー ポリシーを適用できるように、Windows Autopilot プロビジョニングが完了した後にアプリを展開します。

次の手順

エンドポイント セキュリティ ポリシーを構成する