Intune での macOS エンドポイント保護の設定

重要

macOS エンドポイント保護テンプレートは非推奨になりました。 既存のポリシーは変更されませんが、このテンプレートを使用して新しいポリシーを作成できなくなりました。 > 代わりに、次のいずれかのオプションを使用します。

  • Filevault の ディスク暗号化 や ファイアウォール ポリシーなどのエンドポイント セキュリティ ポリシーを使用します。
  • 設定カタログを使用して、FileVault、ファイアウォール、およびシステムポリシー制御(Gatekeeper)ペイロードの新しい構成ポリシーを作成します。 詳細については、「 macOS 設定カタログ」を参照してください。

この記事では、macOS を実行するデバイスに対して構成できるエンドポイント保護の設定を示します。 これらの設定は、Intune のエンドポイント保護の macOS デバイス構成プロファイルを使用して構成します。

開始する前に

macOS エンドポイント保護プロファイルを作成します。

FileVault

Apple FileVault の設定の詳細については、Apple デベロッパー コンテンツの FDEFileVault を参照してください。

重要

macOS 10.15 以降、FileVault を構成するには、ユーザーが承認した MDM 登録が必要です。

  • FileVault を有効にする

    macOS 10.13 以降を実行するデバイスでは、FileVault で XTS-AES 128 を使用してフルディスク暗号化 を有効にする ことができます。

    • 未構成 (既定値)
    • はい

    [ FileVault を有効にする] が [はい] に設定されている場合、暗号化中にデバイスの個人用回復キーが生成され、次の設定がそのキーに適用されます。

    • 個人用回復キーのエスクローの場所の説明

      個人用回復キーを取得する方法と場所を説明する短いメッセージを指定します。 このテキストは、パスワードを忘れた場合に個人用回復キーの入力を求められたときに、サインイン画面に表示されるメッセージに挿入されます。

    • 個人用リカバリ キーのローテーション

      デバイスの個人用回復キーを回転させる頻度を指定します。 既定の [ 未構成] または 1 か月から 12 か月の値を選択できます。

    • 回復キーを非表示にする

      FileVault 2 の暗号化中にデバイス ユーザーに個人キーを非表示にすることを選択します。

      • 未構成 (既定) – 暗号化中に個人用キーがデバイス ユーザーに表示されます。
      • はい - 暗号化中、個人用キーはデバイス ユーザーに対して非表示になります。

      暗号化後、デバイス ユーザーは、暗号化された macOS デバイスの個人用回復キーを次の場所から表示できます。

      • iOS/iPadOS ポータル サイト アプリ
      • Intune アプリ
      • ポータル サイト Web サイト
      • Android ポータル サイト アプリ

      キーを表示するには、アプリまたは Web サイトから、暗号化された macOS デバイスのデバイスの詳細に移動し、[ 回復キーを取得] を選択します。

    • サインアウト時のプロンプトを無効にする

      サインアウトするときに、FileVault を有効にするように要求するプロンプトが表示されないようにします。[無効] に設定すると、サインアウト時のプロンプトは無効になり、代わりに、ユーザーがサインインするときにプロンプトが表示されます。

      • 未構成 (既定値)
      • はい - サインアウト時のプロンプトを無効にします。

    • バイパスが許可される回数

      FileVault を有効にするためのプロンプトをユーザーが無視できる回数を設定します。このとき、ユーザーはサインインに FileVault が必要になります。

      • 未構成 - 次のサインインを許可する前に、デバイスの暗号化が必要です。
      • 0 - 次回ユーザーがデバイスにサインインするときにデバイスの暗号化を要求します。
      • 1 から 10 - デバイスで暗号化を要求する前に、ユーザーがプロンプトを 1 回から 10 回無視できるようにします。
      • 制限なし、常にプロンプト - ユーザーは FileVault を有効にするように求められますが、暗号化は必要ありません。
      • 無効 - 機能を無効にします。

      この設定の既定値は、[ サインアウト時のプロンプトを無効にする] の構成によって異なります。 [サインアウト時のプロンプトを無効にする] を [ 未構成] に設定すると、この設定の既定値は [未構成] になります。 [サインアウト時のプロンプトを無効にする] が [はい] に設定されている場合、この設定の既定値は 1 で、[未構成] の値は使用できません。

ファイアウォール

ファイアウォールを使用して、ポートごとではなくアプリケーションごとに接続を制御します。 アプリケーションごとの設定を使用すると、ファイアウォール保護の利点を簡単に得ることができます。 また、正当なアプリ用に開かれているネットワーク ポートを望ましくないアプリが制御するのを防ぐのにも役立ちます。

  • ファイアウォールを有効にする

    macOS でファイアウォールの使用をオンにし、着信接続を環境で処理する方法を構成します。

    • 未構成 (既定値)
    • はい

  • すべての着信接続をブロックする

    DHCP、Bonjour、IPSec などの基本的なインターネット サービスに必要な接続を除くすべての着信接続をブロックします。 この機能は、ファイル共有や画面共有などのすべての共有サービスもブロックします。 共有サービスを使用している場合は、この設定を [ 未構成] のままにしておきます。

    • 未構成 (既定値)
    • はい

    [すべての着信接続をブロックする] を [未構成] に設定すると、着信接続を受信できるアプリと受信できないアプリを構成できます。

    許可されるアプリ: 着信接続の受信を許可するアプリの一覧を構成します。

    • バンドル ID でアプリを追加: アプリの バンドル ID を入力します。

      アプリ バンドル ID を取得するには:

    • ストア アプリの追加: 以前に Intune に追加したストア アプリを選択します。 詳しくは、「Microsoft Intune にアプリを追加する」をご覧ください。

    ブロックされているアプリ: 着信接続がブロックされているアプリの一覧を構成します。

    • バンドル ID でアプリを追加: アプリの バンドル ID を入力します。

      アプリ バンドル ID を取得するには:

    • ストア アプリの追加: 以前に Intune に追加したストア アプリを選択します。 詳しくは、「Microsoft Intune にアプリを追加する」をご覧ください。

  • ステルス モードを有効にする

    コンピューターがプローブ要求に応答しないようにするには、ステルス モードを有効にします。 デバイスは、承認されたアプリに対する着信要求への応答を続行します。 ICMP (ping) などの予期しない要求は無視されます。

    • 未構成 (既定値)
    • はい

Gatekeeper

  • これらの場所からのアプリのダウンロードを許可する

    アプリのダウンロード元に応じて、デバイスが起動できるアプリを制限します。 その目的は、デバイスをマルウェアから保護し、信頼できるソースからのアプリのみを許可することです。

    • 未構成 (既定値)
    • Mac の App Store
    • Mac App Store と特定された開発者
    • 任意の場所

  • Gatekeeper を上書きすることをユーザーに許可しない

    ユーザーが Gatekeeper 設定を上書きできないようにし、ユーザーが Control キーを押しながらクリックしてアプリをインストールできないようにします。 有効にすると、ユーザーは Control キーを押しながらアプリをクリックしてインストールできなくなります。

    • 未構成 (既定) - ユーザーは Control キーを押しながらクリックしてアプリをインストールできます。
    • はい - ユーザーが Control キーを押しながらクリックしてアプリをインストールできないようにします。

次の手順

プロファイルを割り当て、その状態を監視します。

Windows のエンドポイント保護を構成することもできます。

  • Last updated on