チュートリアル - Intune 設定カタログ ポリシーを作成し、オンプレミスの ADMX と比較する

グループ ポリシーと ADMX テンプレートには、Windows デバイスで構成できる設定が含まれています。 これらの設定は、Microsoft Intune などのモバイル デバイス管理 (MDM) プロバイダーが Windows デバイスの機能や設定を構成するために使用および管理します。 たとえば、PowerPoint でデザイン アイデアを有効にしたり、Microsoft Edge でホーム ページを設定したりすることができます。

これらの設定は、Microsoft Intune 設定カタログに組み込まれています。 設定カタログ プロファイルで、含める設定を構成し、このプロファイルをデバイスに割り当てます。

このチュートリアルでは、次のことを行います。

このラボを完了するまでに、Intune を使用してユーザーを管理し、設定カタログ ポリシーを展開できます。

この機能は、以下に適用されます。

• Windows
• Microsoft Edge バージョン 77 以降

前提条件

• Intune と Microsoft Entra ID P1 または P2 を含む Microsoft 365 E3 または E5 サブスクリプション。 E3 または E5 サブスクリプションをお持ちでない場合は、 無料でお試しください。

  さまざまな Microsoft 365 ライセンスで得られる内容の詳細については、「 Microsoft 365 を使用してエンタープライズを変革する」を参照してください。

• Microsoft Intune は、Intune MDM 機関として構成されます。 詳細については、 モバイル デバイス管理機関の設定を参照してください。

  

• オンプレミスの Active Directory ドメイン コントローラー (DC) の場合:

  1. 次の Office および Microsoft Edge テンプレートを セントラル ストア (sysvol フォルダー) にコピーします。

     • Office 管理用テンプレート
     • Microsoft Edge ポリシー ファイル

  2. グループ ポリシーを作成して、これらのテンプレートを DC と同じドメイン内の Windows Enterprise 管理者コンピューターにプッシュします。 このチュートリアルの内容:

     • これらのテンプレートを使用して作成したグループ ポリシーの名前は、 OfficeandEdge です。 画像にこの名前が表示されます。
     • 使用するWindows Enterprise 管理者コンピューターは、管理コンピューターという名前です。

     ほとんどの組織では、ドメイン管理者には次の 2 つのアカウントがあります。

     • 一般的なドメイン職場アカウント
     • グループ ポリシーなどのドメイン管理者タスクにのみ使用される別のドメイン管理者アカウント

     この管理コンピューターの目的は、管理者がドメイン管理者アカウントでサインインし、グループ ポリシーを管理するために設計されたツールにアクセスすることです。

• この管理コンピューター:

  • ドメイン管理者アカウントでサインインします。

  • RSAT の追加: グループ ポリシー管理ツール:

    1. 設定アプリを開く >システム>オプション機能の追加>機能の表示。

    2. [RSAT]: グループ ポリシー Management Tools>Add を選択します。

       Windows が機能を追加するまで待ちます。 完了すると、最終的に Windows 管理ツール アプリに表示されます。

       

  • インターネット アクセス権と、Intune 管理センターを含む Microsoft 365 サブスクリプションへの管理者権限があることを確認します。

Intune 管理センターを開く

1. Microsoft Edge などの Chromium ベースの Web ブラウザーを開きます。

2. Microsoft Intune 管理センターにアクセスします。 次のアカウントでサインインします。

   ユーザー: Microsoft 365 テナント サブスクリプションの管理者アカウントを入力します。 パスワード: パスワードを入力します。

Intune 管理センターはデバイス管理に重点を置いており、Microsoft Entra ID などの Azure サービスが含まれています。 Microsoft Entra ID と Azure ブランドは表示されない場合がありますが、使用しています。

Microsoft 365 管理センターから Intune 管理センターを開くこともできます。

1. https://admin.microsoft.comに移動します。

2. Microsoft 365 テナント サブスクリプションの管理者アカウントでサインインします。

3. すべて表示>管理中心を表示する>Microsoft Intune を選択します。 Intune 管理センターが開きます。

   

グループの作成とユーザーの追加

オンプレミス・ポリシーは、LSDOU の順序 (ローカル、サイト、ドメイン、および組織単位 (OU) で適用されます。 この階層構造では、OU ポリシーはローカル ポリシーを上書きし、ドメイン ポリシーはサイト ポリシーを上書きします。

Intune では、作成したユーザーとグループにポリシーが適用されます。 階層はありません。 例:

• 2 つのポリシーによって同じ設定が更新された場合、設定は競合として表示されます。
• 2 つのコンプライアンス ポリシーが競合している場合は、最も制限の厳しいポリシーが適用されます。
• 2 つの構成プロファイルが競合している場合、設定は適用されません。

詳細については、「 デバイス ポリシーとプロファイルに関する一般的な質問、問題、解決策」を参照してください。

次の手順では、セキュリティ グループを作成し、これらのグループにユーザーを追加します。 1 人のユーザーを複数のグループに追加できます。 たとえば、仕事用の Surface Pro や個人用の Android モバイル デバイスなど、ユーザーが複数のデバイスを持っているのは普通のことです。 また、ユーザーがこれらの複数のデバイスから組織のリソースにアクセスすることは正常です。

1. Intune管理センターで、[グループ>新しいグループ] を選択します。

2. 次の設定を入力します。

   • グループの種類: [セキュリティ] を選択します。
   • グループ名: 「すべての Windows 学生のデバイス」と入力します。
   • メンバーシップの種類: [割り当て済み] を選択します。

3. [ メンバー] を選択し、いくつかのデバイスを追加します。

   デバイスの追加はオプションです。 目標は、グループの作成を練習し、デバイスを追加する方法を知ることです。 運用環境でこのチュートリアルを使用している場合は、自分が何をしているのかに注意してください。

4. 選択してください>作成 ] をクリックして変更を保存します。

   グループが表示されませんか? [最新の情報に更新] を選択します。

5. [ 新しいグループ] を選択し、次の設定を入力します。

   • グループの種類: [セキュリティ] を選択します。

   • グループ名: 「すべての Windows デバイス」と入力します。

   • メンバーシップの種類: [動的デバイス] を選択します。

   • 動的デバイス メンバー: [ 動的クエリの追加] を選択し、クエリを構成します。

     • プロパティ: select deviceOSType.
     • 演算子: [等しい] を選択します。
     • 値: Windows を入力します。

     1. [ 式の追加] を選択します。 式が [ルールの構文] に表示されます。

        

        入力した条件に一致するユーザーまたはデバイスは、動的グループに自動的に追加されます。 この例では、オペレーティング システムが Windows の場合、デバイスは自動的にこのグループに追加されます。 運用環境でこのチュートリアルを使用している場合は、注意してください。 目標は、動的なグループの作成を練習することです。

     2. 保存します>作成 ] をクリックして変更を保存します。

6. 次の設定を使用して [すべての教師] グループを作成します。

   • グループの種類: [セキュリティ] を選択します。

   • グループ名: すべての教師を入力します。

   • メンバーシップの種類: [動的ユーザー] を選択します。

   • 動的なユーザー メンバー:[動的クエリの追加] を選択し、クエリを構成します。

     • プロパティ: 部門を選択します。

     • 演算子: [等しい] を選択します。

     • 値: 「教師」と入力します。

       1. [ 式の追加] を選択します。 式は [ルールの構文] に表示されます。

          入力した条件に一致するユーザーまたはデバイスは、動的グループに自動的に追加されます。 この例では、部署が教師の場合、ユーザーはこのグループに自動的に追加されます。 ユーザーが組織に追加されるときに、部署やその他のプロパティを organization に入力できます。 運用環境でこのチュートリアルを使用している場合は、注意してください。 目標は、動的なグループの作成を練習することです。

       2. 保存します>作成 ] をクリックして変更を保存します。

論点

• 動的グループは、一部の Microsoft Entra ID ライセンスの機能です。 正しい Microsoft Entra ID ライセンスがない場合は、割り当てられたグループを作成するライセンスのみが付与されています。 動的グループの詳細については、次を参照してください:

  • Microsoft Entra ID での動的グループ処理を理解して管理する
  • Microsoft Entra ID で動的メンバーシップ グループのルールを管理する
  • 動的メンバーシップ グループのよりシンプルで迅速なルールを作成する
  • ルールの効率を最適化する

• OS の種類や製造元などのプロパティに基づく Intune のみのデバイス ターゲット設定の場合は、動的デバイス グループの代わりに割り当てフィルターを使用することを検討してください。 フィルターは、グループ メンバーシップの処理に依存せずにチェック時に評価され、ターゲティング アーキテクチャを簡素化できます。 動的グループは、ワークロード間のシナリオ (条件付きアクセス、ライセンス) とユーザーベースのグループ化に引き続き必要です。 詳細については、「大規模な Microsoft Intune 環境でのグループ化、ターゲット設定、およびフィルター処理に関するパフォーマンスに関する推奨事項」を参照してください。

• Microsoft Entra ID ライセンスには、多要素認証 (MFA) や条件付きアクセスなど、アプリやデバイスの管理時に一般的に使用される他のサービスを含めることができます。

• 多くの管理者は、ユーザー グループを使用するタイミングとデバイス グループを使用するタイミングを尋ねます。 ガイダンスについては、「 ユーザー グループとデバイス グループ」を参照してください。

• 1 人のユーザーが複数のグループに属することができることに注意してください。 作成できる他の動的なユーザー グループとデバイス グループをいくつか検討します。次に例を示します。

  • すべての学生
  • すべての Android デバイス
  • すべての iOS/iPadOS デバイス
  • マーケティング
  • 人事
  • シャーロットの全従業員
  • Redmond のすべての従業員
  • 西海岸の IT 管理者
  • East coast IT 管理者

作成されたユーザーとグループは、Microsoft 365 管理センターと Microsoft Entra 管理センターにも表示されます。 テナント サブスクリプションのこれらすべての領域でグループを作成し、管理できます。 デバイスの管理が目的の場合は、Microsoft Intune 管理センターを使用します。

グループ メンバーシップの確認

1. Intune 管理センターで、[ユーザー>すべてのユーザー> を選択し、既存のユーザーの名前を選択します。
2. 追加または変更できる情報の一部を確認します。 たとえば、役職、部署、市区町村、オフィスの場所など、構成できる プロパティ を確認します。 動的グループを作成するときに、動的クエリでこれらのプロパティを使用できます。
3. [ グループ] を選択して、このユーザーのメンバーシップを表示します。 グループからユーザーを削除することもできます。
4. その他のオプションの一部を選択すると、詳細情報と実行できる操作が表示されます。 たとえば、割り当てられているライセンス、ユーザーのデバイスなどを確認します。

今何をしましたか?

Intune 管理センターで、新しいセキュリティ グループを作成し、既存のユーザーとデバイスをこれらのグループに追加しました。 このチュートリアルの後の手順では、これらのグループを使用します。

Intune で設定カタログ ポリシーを作成する

このセクションでは、Intune で設定カタログ ポリシーを作成し、オンプレミスのグループ ポリシー管理の一部の設定を確認し、Intune の同じ設定を比較します。 目標は、グループ ポリシーで設定を表示し、Intune で同じ設定を表示することです。

1. Intune管理センターで、[デバイス]>[デバイスの管理]>[構成]>[作成]>新しいポリシーの順に選択します。

2. 次のプロパティを入力します。

   • [プラットフォーム]: [Windows 10 以降] を選択します。
   • プロファイルの種類: [設定カタログ] を選択します。

3. [作成] を選択します。

4. [Basics]\(基本\) で次のプロパティを入力します。

   • 名前: プロファイルのわかりやすい名前を入力します。 後で簡単に識別できるよう、プロファイルに名前を付けます。 たとえば、「 Windows 学生のデバイス」と入力します。
   • 説明: プロファイルの説明を入力します この設定は省略可能ですが、推奨されます。

5. [次へ] を選択します。

6. [構成設定] で、[追加の追加] を選択します。 すべての設定の一覧が表示されます。

   

   デバイスに適用される設定とユーザーに適用される設定をフィルター処理し、設定を検索したりすることもできます。

   

7. 検索ボックスに 「download」と入力します。 名前に "download" が含まれるすべてのポリシー設定はフィルター処理され、一覧に表示されます。

   

8. [Microsoft Edge] カテゴリに移動し>SmartScreen 設定を選択します。 名前に "download" を含む SmartScreen ポリシー設定はフィルター処理され、表示されます。

   

グループ ポリシー管理と Intune でポリシーを比較する

このセクションでは、Intune のポリシーと、グループ ポリシー管理エディターの対応するポリシーを示します。

1. 管理コンピューターで、グループ ポリシー管理アプリを開きます。

   このアプリは、RSAT: グループ ポリシー管理ツールと一緒にインストールされます。これは、Windows に追加するオプション機能です。 (この記事の) 「前提条件」に、インストールする手順が記載されています。

2. [ドメイン] を展開>ドメインを選択します。 たとえば、[ contoso.net] を選択します。

3. OfficeandEdge ポリシー >編集] を右クリックします。 グループ ポリシー管理エディター アプリが開きます。

   

   OfficeandEdge は、Office と Microsoft Edge の ADMX テンプレートを含むグループ ポリシーです。 このポリシーについては、(本記事の) 前提 条件 で説明されています。

4. [コンピューターの構成]>[ポリシー]>[管理用テンプレート]>コントロール パネル>[個人用設定] を展開します。 使用可能な設定に注目してください。

   

   [ ロック画面カメラを有効にしないようにする] をダブルクリックして、使用可能なオプションを確認します。

   

5. Intune 管理センターで、Windows 学生デバイス設定カタログ ポリシーに移動します。

6. [構成設定]>[編集]>[設定の追加] を選択します。 [ 個人用設定] を検索し、[ Administrative templates\コントロール パネル\Personalization ] カテゴリを選択します。 使用可能な設定に注目してください。

   

   このパスと使用可能な設定は、グループ ポリシー管理エディターに表示されるものと似ています。 [ロック画面カメラを有効にできないようにする] 設定を選択すると、グループ ポリシー管理エディターで使用できる同様のオプションが表示されます。

   

グループ ポリシー管理と Intune でユーザー ポリシーを比較する

1. Windows 学生デバイス設定カタログ ポリシーで、[構成設定]>[編集]>設定の追加] を選択します。 inprivate browsing を検索します。 設定オプションに注目してください。 (User)設定はユーザー構成に適用されます。 もう 1 つの設定はデバイス構成に適用されます。

   

2. グループ ポリシー管理エディターで、一致するユーザーとデバイスの設定を見つけます。

   • デバイス: [コンピューターの構成]>ポリシー>管理用テンプレート>Windows コンポーネント>インターネット エクスプローラー>プライバシー>InPrivate ブラウズをオフにします。
   • ユーザー: [ユーザーの構成]>ポリシー>管理用テンプレート>Windows コンポーネント>インターネット エクスプローラー>プライバシー>InPrivate ブラウズを無効にする] の順に展開します。

   

今何をしましたか?

Intune で設定カタログ ポリシーを作成しました。 このポリシーでは、いくつかの設定を確認し、オンプレミスのグループ グループ ポリシー管理で同じ ADMX 設定を確認しました。

OneDrive 設定カタログ ポリシーを作成する

このセクションでは、Intune で OneDrive 設定カタログ ポリシーを作成して、一部の設定を制御します。 これらの特定の設定が選択されているのは、組織でよく使用されているためです。

1. 別のIntune ポリシー (デバイス>デバイスの管理>構成>作成>新しいポリシー) を作成します。

2. 次のプロパティを入力します。

   • [プラットフォーム]: [Windows 10 以降] を選択します。
   • プロファイルの種類: [設定カタログ] を選択します。

3. [作成] を選択します。

4. [Basics]\(基本\) で次のプロパティを入力します。

   • 名前: すべての Windows ユーザーの OneDrive ポリシーを入力します。
   • 説明: プロファイルの説明を入力します この設定は省略可能ですが、推奨されます。

5. [次へ] を選択します。

6. [構成設定] で、[追加の追加] を選択します。 カテゴリ リストで、 OneDrive を検索または移動します。 次の設定を選択し、設定ピッカーを閉じます。

   • ユーザーが個人の OneDrive アカウントを同期できないようにする (ユーザー)
   • Windows 資格情報を使用して OneDrive 同期アプリにユーザーをサイレント モードでサインインする
   • OneDrive ファイル オンデマンドを使用する

7. 次の設定を構成します。

   設定	値
   ユーザーが個人の OneDrive アカウントを同期できないようにする (ユーザー)	有効
   Windows 資格情報を使用して OneDrive 同期アプリにユーザーをサイレント モードでサインインする	有効
   OneDrive ファイル オンデマンドを使用する	有効

設定は次のようになります。

OneDrive クライアント設定の詳細については、「グループ ポリシーを使用して OneDrive 同期クライアント設定を制御する」を参照してください。

ポリシーを割り当てる

1. ポリシーで、[課題] に到達するまで [次へ] を選択します。 [ グループの追加] を選択します。

2. 既存のユーザーとグループの一覧が表示されます。 前に作成した [ すべての Windows デバイス ] グループを選択します >選択。

   運用環境でこのチュートリアルを使用している場合は、空のグループを追加することを検討してください。 目標は、ポリシーの割り当てを練習することです。

3. [次へ] を選択します。 [ レビュー + 作成] で、[ 作成] を選択して変更を保存します。

このセクションでは、いくつかの設定カタログ ポリシーを作成し、作成したグループに割り当てました。

ポリシーのベスト プラクティス

Intune でポリシーとプロファイルを作成するときには、考慮すべき推奨事項とベスト プラクティスがいくつかあります。 詳細については、「 ポリシーとプロファイルのベスト プラクティス」を参照してください。

リソースをクリーンアップする

不要になった場合は、次のことができます。

• 作成したグループを削除します。

  • すべての Windows 学生デバイス
  • Windows デバイスを追加
  • すべての教師

• 作成した設定カタログ ポリシーを削除します。

  • Windows 学生デバイス
  • すべての Windows ユーザーに適用される OneDrive ポリシー

概要

このチュートリアルでは、Microsoft Intune 管理センターについて詳しく理解し、クエリ ビルダーを使用して動的グループを作成し、Intune で設定カタログ ポリシーを作成してさまざまな設定を構成しました。 また、オンプレミスとクラウドの ADMX テンプレートを Intune と比較しました。

関連コンテンツ

• Microsoft Intune で適切なターゲティング方法を選択する このチュートリアルでは、Microsoft Intune 管理センターについて理解を深め、クエリ ビルダーを使用して動的グループを作成し、Intune で設定カタログ ポリシーを作成してさまざまな設定を構成しました。 また、オンプレミスとクラウドの ADMX テンプレートを Intune と比較しました。