Microsoft Intune で Apple デバイスに VPN 設定を追加する

• 先進認証と条件付きアクセスを使用してオンプレミスのリソースにアクセスするためにこれらのデバイスが必要な場合は、スプリット トンネリングをサポートする Microsoft トンネルを使用できます。

• これらの設定は、ユーザー登録を除くすべての登録の種類で使用できます。 ユーザー登録は 、アプリごとの VPN に制限されます。 登録の種類の詳細については、「 iOS/iPadOS の登録」を参照してください。

• 使用可能な設定は、選択した VPN クライアントによって異なります。 一部の設定は、特定の VPN クライアントでのみ使用できます。

• これらの設定は、すべての登録タイプで使用できます。 登録の種類の詳細については、「 macOS の登録」を参照してください。

接続の種類

次のベンダーの一覧から VPN 接続の種類を選択します。

• 接続名: エンド ユーザーがデバイスで使用可能な VPN 接続の一覧を参照すると、この名前が表示されます。

• カスタム ドメイン名 (Zscaler のみ): ユーザーが属するドメインを Zscaler アプリのサインイン フィールドに事前入力します。 たとえば、ユーザー名が Joe@contoso.netの場合、アプリを開くと、 contoso.net ドメインがフィールドに静的に表示されます。 ドメイン名を入力しない場合は、Microsoft Entra ID の UPN のドメイン部分が使用されます。

• VPN サーバー アドレス: デバイスが接続する VPN サーバーの IP アドレスまたは完全修飾ドメイン名 (FQDN)。 たとえば、「192.168.1.1」または「vpn.contoso.com」と入力します。

• [Organization's cloud name (Zscaler only)] (組織のクラウド名 (Zscaler のみ):organization がプロビジョニングされているクラウド名を入力します。 Zscaler へのサインインに使用する URL に名前が付けられます。

• 認証方法: デバイスが VPN サーバーで認証する方法を選択します。

  • [証明書]: [ 認証証明書] で、既存の SCEP または PKCS 証明書プロファイルを選択して接続を認証します。 証明書の構成では、 証明書プロファイルに関するガイダンスについて説明します。

  • ユーザー名とパスワード: エンド ユーザーは、VPN サーバーにサインインするためにユーザー名とパスワードを入力する必要があります。

    注:

    Cisco IPsec VPN の認証方法としてユーザ名とパスワードが使用されている場合は、カスタム Apple Configurator プロファイルを介して SharedSecret を配信する必要があります。

  • 派生資格情報: ユーザーのスマート カードから派生した証明書を使用します。 派生資格情報発行者が構成されていない場合、Intune は追加するように求めるメッセージを表示します。 詳細については、「Microsoft Intune で派生した資格情報を使用する」を参照してください。

• 除外される URL( Zscaler のみ):Zscaler VPN に接続すると、リストされている URL に Zscaler クラウドの外部からアクセスできます。 URL は最大 50 個まで追加できます。

• スプリット トンネリング: 有効 または 無効 にして、デバイスがトラフィックに応じて使用する接続を決定できるようにします。 たとえば、ホテルのユーザーが VPN 接続を使用して作業ファイルにアクセスしますが、通常の Web 閲覧にはホテルの標準ネットワークを使用します。

• VPN 識別子 (カスタム VPN、Zscaler、Citrix): 使用している VPN アプリの識別子で、VPN プロバイダーから提供されます。

• organizationのカスタムVPN属性(カスタムVPN、Zscaler、Citrix)のキーと値のペアを入力します:VPN接続をカスタマイズするキーと値を追加またはインポートします。 これらの値は通常、VPN プロバイダーによって提供されることに注意してください。

• ネットワークアクセス制御(NAC)を有効にする( Cisco AnyConnect、Citrix SSO、F5 Access):[ 同意する]を選択すると、デバイスIDがVPNプロファイルに含まれます。 この ID は、ネットワーク アクセスを許可または禁止する VPN への認証に使用できます。

  Cisco AnyConnect を ISE で使用する場合は、次のことを確認してください。

  • 『Cisco Identity Services Engine 管理者ガイド』の「Microsoft Intune を MDM サーバとして設定する」で説明されているように、ISE を NAC 用の Intune と統合します (まだ統合していない場合)。
  • VPN プロファイルで NAC を有効にします。

  重要

  ネットワーク アクセス制御 (NAC) サービスは非推奨となり、マイクロソフトの最新の NAC サービスであるコンプライアンス取得サービス (CR サービス) に置き換えられます。 Cisco ISE 内の変更をサポートするために、Intune はデバイス ID 形式を変更しました。 そのため、元の NAC サービスを使用している既存のプロファイルは機能しなくなります。

  CR サービスを使用し、VPN 接続のダウンタイムを防ぐには、この同じ VPN デバイス構成プロファイルを再デプロイします。 プロファイルを変更する必要はありません。 再デプロイのみが必要です。 デバイスが Intune サービスと同期し、VPN 構成プロファイルを受信すると、CR サービスの変更が自動的にデバイスに展開されます。 また、VPN 接続は引き続き機能するはずです。

  GatewayでCitrix SSOを使用する場合は、次のことを確認してください。

  • Citrix Gateway 12.0.59 以降を使用していることを確認します。
  • ユーザーのデバイスにCitrix SSO 1.1.6以降がインストールされていることを確認します。
  • Citrix Gateway を NAC 用の Intune と統合します。 Microsoft Intune/Enterprise Mobility Suite と NetScaler の統合 (LDAP+OTP シナリオ) Citrix 展開ガイドを参照してください。
  • VPN プロファイルで NAC を有効にします。

  F5 アクセスを使用する場合は、次のことを確認してください。

  • F5 BIG-IP 13.1.1.5 以降を使用していることを確認します。
  • BIG-IP を NAC の Intune と統合します。 「 概要:エンドポイント管理システムを使用したデバイスのポスチャーチェックのためのAPMの構成 」F5ガイドを参照してください。
  • VPN プロファイルで NAC を有効にします。

  デバイス ID をサポートする VPN パートナーの場合、Citrix SSO などの VPN クライアントが ID を取得できます。 次に、Intune にクエリを実行して、デバイスが登録されているかどうか、および VPN プロファイルが準拠しているかどうかを確認できます。

  • この設定を削除するには、プロファイルを作成し直し、[ 同意する] を選択しないでください。 次に、プロファイルを再割り当てします。

• NetMotion Mobility VPN 属性のキーと値のペアを入力します( NetMotion Mobility のみ):キーと値のペアを入力またはインポートします。 これらの値は、VPN プロバイダーから提供される場合があります。

• Microsoft トンネル サイト (Microsoft トンネルのみ): 既存のサイトを選択します。 VPN クライアントはこのサイトのパブリック IP アドレスまたは FQDN に接続します。

  詳細については、「Microsoft Tunnel for Intune」を参照してください。

• 展開チャネル: プロファイルの展開方法を選択します。 この設定は、認証証明書が格納されるキーチェーンも決定するため、適切なチャネルを選択することが重要です。 プロファイルの展開後に展開チャネルを編集することはできません。 これを変更するには、新しいプロファイルを作成する必要があります。

  注:

  リンクされた認証証明書の更新準備ができたら、既存のプロファイルの展開チャネル設定を再確認し、目的のチャネルが選択されていることを確認することをお勧めします。 表示されない場合は、正しい展開チャネルを使用して新しいプロファイルを作成します。

  次の 2 つの方法があります。

  • ユーザー チャネル: ユーザー証明書を持つプロファイルでは、常にユーザー展開チャネルを選択します。 このオプションは、ユーザーのキーチェーンに証明書を格納します。
  • デバイス チャネル: デバイス証明書を持つプロファイルでは、常にデバイス展開チャネルを選択します。 このオプションは、システム キーチェーンに証明書を格納します。

• 接続名: この接続の名前を入力します。 エンド ユーザーがデバイスで使用可能な VPN 接続の一覧を参照すると、この名前が表示されます。

• VPN サーバー アドレス: デバイスが接続する VPN サーバーの IP アドレスまたは完全修飾ドメイン名を入力します。 たとえば、「192.168.1.1」または「vpn.contoso.com」と入力します。

• 認証方法: デバイスが VPN サーバーで認証する方法を選択します。 次のようなオプションがあります:

  • [証明書]: [ 認証証明書] で、接続を認証するために以前に作成した SCEP または PKCS 証明書プロファイルを選択します。 証明書プロファイルの詳細については、「 証明書を構成する方法」を参照してください。 展開チャネルの選択に適した証明書を選択します。 ユーザー チャネルを選択した場合、証明書オプションはユーザー証明書プロファイルに制限されます。 デバイス チャネルを選択した場合は、ユーザー証明書プロファイルとデバイス証明書プロファイルの両方から選択できます。 ただし、常に選択したチャネルに合った証明書の種類を選択することをお勧めします。 ユーザー証明書をシステムのキーチェーンに格納すると、セキュリティ リスクが高まります。
  • ユーザー名とパスワード: エンド ユーザーは、VPN サーバーにサインインするためにユーザー名とパスワードを入力する必要があります。

• 接続の種類: 次のベンダーの一覧から VPN 接続の種類を選択します。

  • Check Point Capsule VPN

  • Cisco AnyConnect

  • SonicWall Mobile Connect

  • F5 Access

  • NetMotion Mobility

  • カスタム VPN: VPN ベンダーが一覧にない場合は、このオプションを選択します。 また、次のように構成します。

    • VPN 識別子: 使用している VPN アプリの識別子を入力します。 この識別子は、VPN プロバイダーから提供されます。
    • カスタム VPN 属性のキーと値のペアを入力します: VPN 接続をカスタマイズする キー と 値 を追加またはインポートします。 これらの値は、通常、VPN プロバイダーから提供されます。

• スプリット トンネリング: 有効にすると 、デバイスはトラフィックに応じて使用する接続を決定できます。 たとえば、ホテルのユーザーが VPN 接続を使用して作業ファイルにアクセスしますが、通常の Web 閲覧にはホテルの標準ネットワークを使用します。 [無効] では、VPN 接続がアクティブなときにすべてのトラフィックで VPN トンネルを使用できます。

IKEv2 の設定

これらの設定は、[接続の種類>IKEv2] を選択した場合に適用されます。

• Always-on VPN: [有効] により、VPN クライアントが VPN に自動的に接続して再接続するように設定されます。 常時接続の VPN 接続は、ユーザーがデバイスをロックした場合、デバイスの再起動時、またはワイヤレス ネットワークが変更された場合に、接続されたままになるか、すぐに接続できます。 [ 無効] (既定) に設定すると、すべての VPN クライアントに対する常時接続の VPN が無効になります。 有効にした場合は、以下も構成します。

  • ネットワークインターフェース: IKEv2 の設定はすべて、選択したネットワークインターフェースにのみ適用されます。 次のようなオプションがあります:

    • Wi-Fi と携帯ネットワーク (既定): IKEv2 設定は、デバイス上の Wi-Fi および携帯ネットワーク インターフェイスに適用されます。
    • 携帯ネットワーク: IKEv2 設定は、デバイスの携帯ネットワーク インターフェイスにのみ適用されます。 Wi-Fi インターフェイスが無効または削除されたデバイスに展開する場合は、このオプションを選択します。
    • Wi-Fi: IKEv2 設定は、デバイスの Wi-Fi インターフェイスにのみ適用されます。

  • ユーザーが VPN 構成を無効にする: [有効にする] により、 ユーザーは常時接続の VPN を無効にできます。 無効 (既定値) にすると、ユーザーはオフにできません。この設定の既定値を最も安全なオプションです。

  • ボイスメール: 常時接続 VPN が有効になっている場合のボイスメール トラフィックの処理を選択します。 次のようなオプションがあります:

    • VPN 経由のネットワーク トラフィックの強制 (既定): この設定は最も安全なオプションです。
    • ネットワーク トラフィックが VPN の外部を通過することを許可する
    • ネットワーク トラフィックを削除する

  • AirPrint: 常時接続 VPN が有効になっている場合の AirPrint トラフィックの処理を選択します。 次のようなオプションがあります:

    • VPN 経由のネットワーク トラフィックの強制 (既定): この設定は最も安全なオプションです。
    • ネットワーク トラフィックが VPN の外部を通過することを許可する
    • ネットワーク トラフィックを削除する

  • 携帯ネットワーク サービス: iOS 13.0+ では、常時接続 VPN が有効になっているときの携帯ネットワーク トラフィックの処理を選択します。 次のようなオプションがあります:

    • VPN 経由のネットワーク トラフィックの強制 (既定): この設定は最も安全なオプションです。
    • ネットワーク トラフィックが VPN の外部を通過することを許可する
    • ネットワーク トラフィックを削除する

  • 非ネイティブのキャプティブ ネットワーキング アプリからのトラフィックが VPN の外部を通過できるようにする: キャプティブ ネットワークとは、レストランやホテルで通常見られる Wi-Fi ホットスポットを指します。 次のようなオプションがあります:

    • いいえ: すべてのキャプティブ ネットワーク (CN) アプリ トラフィックを強制的に VPN トンネル経由します。

    • はい、すべてのアプリ: すべての CN アプリ トラフィックが VPN をバイパスできるようにします。

    • はい、特定のアプリ: トラフィックが VPN をバイパスできる CN アプリの一覧 を追加します 。 CN アプリのバンドル識別子を入力します。 たとえば、「com.contoso.app.id.package」と入力します。

      Intune に追加されたアプリのバンドル ID を取得するには、Intune 管理センターを使用します。

  • キャプティブ Web シート アプリから VPN の外部を通過するトラフィック: キャプティブ WebSheet は、キャプティブ サインオンを処理する組み込みの Web ブラウザーです。 [有効にする] は、 ブラウザー アプリ トラフィックが VPN をバイパスすることを許可します。 無効 (既定) にすると、Web シート トラフィックに常時接続の VPN が強制的に使用されます。 既定値が最も安全なオプションです。

  • ネットワーク アドレス変換 (NAT) キープアライブ間隔 (秒): VPN に接続したままにするために、デバイスはアクティブなままにするネットワーク パケットを送信します。 これらのパケットが送信される頻度の値を秒単位で入力します (20 から 1440)。 たとえば、ネットワーク パケットを 60 秒ごとに VPN に送信するには、値 60 を入力します。 既定では、この値は 110 秒に設定されています。

  • デバイスがスリープ状態のときに NAT キープアライブをハードウェアにオフロードする: デバイスがスリープ状態のときに NAT キープアライブ パケットを継続的に送信する (既定) 場合、デバイスが VPN に接続されたままになるように、有効 (既定) に します 。 [無効にする] を選択すると 、この機能をオフにします。

• リモート識別子: IKEv2 サーバーのネットワーク IP アドレス、FQDN、UserFQDN、または ASN1DN を入力します。 たとえば、「10.0.0.3」または「vpn.contoso.com」と入力します。 通常は、(この記事の) 接続 名 と同じ値を入力します。 ただし、IKEv2 サーバーの設定によって異なります。

• ローカル識別子: デバイス上の IKEv2 VPN クライアントのデバイス FQDN またはサブジェクト共通名を入力します。 または、この値を空のままにすることもできます (既定値)。 通常、ローカル識別子は、ユーザーまたはデバイス証明書の ID と一致する必要があります。 IKEv2 サーバーは、クライアントの ID を検証するために、値を一致させる必要がある場合があります。

• クライアント認証の種類: VPN クライアントが VPN に対して認証する方法を選択します。 次のようなオプションがあります:

  • ユーザー認証 (既定): ユーザーの資格情報は VPN で認証されます。
  • マシン認証: デバイスの資格情報は VPN で認証されます。

• 認証方法: サーバーに送信するクライアント資格情報の種類を選択します。 次のようなオプションがあります:

  • 証明書: 既存の証明書プロファイルを使用して、VPN への認証を行います。 この証明書プロファイルが既にユーザーまたはデバイスに割り当てられていることを確認してください。 そうしないと、VPN 接続は失敗します。

    • 証明書の種類: 証明書で使用される暗号化の種類を選択します。 この種類の証明書を受け入れるように VPN サーバーが構成されていることを確認します。 次のようなオプションがあります:
      • RSA (既定)
      • ECDSA256
      • ECDSA384
      • ECDSA521

  • 共有シークレット (マシン認証のみ): VPN サーバーに送信する共有シークレットを入力できます。

    • 共有シークレット: 共有シークレット (事前共有キー (PSK) とも呼ばれます) を入力します。 値が VPN サーバーで構成されている共有シークレットと一致していることを確認します。

• サーバー証明書発行元の共通名: VPN サーバーが VPN クライアントに対して認証できるようにします。 デバイス上の VPN クライアントに送信される VPN サーバー証明書の証明書発行者共通名 (CN) を入力します。 CN 値が VPN サーバの設定と一致していることを確認します。 そうしないと、VPN 接続は失敗します。

• サーバー証明書の共通名: 証明書自体の CN を入力します。 空白のままにすると、リモート識別子値が使用されます。

• デッド ピア検出率: VPN クライアントが VPN トンネルがアクティブかどうかを確認する頻度を選択します。 次のようなオプションがあります:

  • 未構成: iOS/iPadOS システムの既定値を使用します。これは、[中] の選択と同じ場合があります。
  • None: デッド ピア検出を無効にします。
  • 低: キープアライブ メッセージを 30 分ごとに送信します。
  • 中 (既定): 10 分ごとにキープアライブ メッセージを送信します。
  • 高: 60 秒ごとにキープアライブ メッセージを送信します。

• TLS バージョン範囲の最小値: 使用する最小の TLS バージョンを入力します。 1.0、1.1、または 1.2 を入力します。 空白のままにすると、既定値の 1.0 が使用されます。 ユーザー認証と証明書を使用する場合は、この設定を構成する必要があります。

• TLS バージョン範囲の最大: 使用する最大 TLS バージョンを入力します。 1.0、1.1、または 1.2 を入力します。 空白のままにすると、既定値の 1.2 が使用されます。 ユーザー認証と証明書を使用する場合は、この設定を構成する必要があります。

• 完全な前方秘匿性: [有効] を選択して、完全前方秘匿性 (PFS) をオンにします。 PFS は、セッション キーが侵害された場合の影響を軽減する IP セキュリティ機能です。 無効 (既定) では PFS は使用されません。

• 証明書失効チェック: VPN 接続を成功させる前に証明書が失効していないことを確認するには、[有効にする] を選択します。 このチェックはベストエフォート型です。 証明書が失効したかどうかを判断する前に VPN サーバーがタイムアウトした場合は、アクセスが許可されます。 [無効] (既定値) では、失効した証明書はチェックされません。

• IPv4/IPv6 内部サブネット属性を使用する: 一部の IKEv2 サーバーでは、 INTERNAL_IP4_SUBNET または INTERNAL_IP6_SUBNET 属性が使用されます。 [Enable] は 、VPN 接続でこれらの属性を使用するように強制します。 無効 (既定) に設定しても、これらのサブネット属性は VPN 接続で強制的に使用されません。

• モビリティとマルチホーム(MOBIKE):MOBIKEを使用すると、VPNクライアントはVPNサーバーとのセキュリティアソシエーションを再作成することなくIPアドレスを変更できます。 有効 (既定) すると MOBIKE がオンになり、ネットワーク間を移動する際の VPN 接続が改善されます。 無効にすると、 MOBIKEがオフになります。

• リダイレクト: 有効 (既定) VPN サーバーからリダイレクト要求を受信した場合に、IKEv2 接続をリダイレクトします。 [無効] にすると 、VPN サーバーからリダイレクト要求が受信された場合に IKEv2 接続がリダイレクトされなくなります。

• 最大転送単位: 最大転送単位 (MTU) をバイト単位で入力します。1 から 65536 までです。 [未構成] に設定するか空白のままにした場合、Intune はこの設定を変更または更新しません。 既定では、Apple はこの値を 1280 に設定します。

  この設定は、以下の場合に適用されます。

  • iOS/iPadOS 14 以降

• セキュリティ アソシエーション パラメーター: VPN サーバーとのセキュリティ アソシエーションを作成するときに使用するパラメーターを入力します。

  • 暗号化アルゴリズム: 目的のアルゴリズムを選択します:

    • DES
    • 3DES
    • AES-128
    • AES-256 (既定値)
    • AES-128-GCM
    • AES-256-GCM

    注:

    暗号化アルゴリズムを AES-128-GCM または AES-256-GCM に設定している場合は、 AES-256 の既定値が使用されます。 これは既知の問題であり、将来のリリースで修正される予定です。 ETA はありません。

  • 整合性アルゴリズム: 目的のアルゴリズムを選択します。

    • SHA1-96
    • SHA1-160
    • SHA2-256 (デフォルト)
    • SHA2-384
    • SHA2-512

  • Diffie-Hellman グループ: 目的のグループを選択します。 既定値はグループ 2 です。

  • 有効期間 (分): キーがローテーションされるまで、セキュリティ アソシエーションがアクティブなままである時間を入力します。 10 から 1440 までの整数を入力します (1440 分は 24 時間)。 既定値は 1440 です。

• 子セキュリティ アソシエーション パラメーター: iOS/iPadOS では、IKE 接続と子接続に対して個別のパラメーターを構成できます。 VPN サーバーとの 子 セキュリティ アソシエーションを作成するときに使用するパラメーターを入力します。

  • 暗号化アルゴリズム: 目的のアルゴリズムを選択します:

    • DES
    • 3DES
    • AES-128
    • AES-256 (既定値)
    • AES-128-GCM
    • AES-256-GCM

    注:

    暗号化アルゴリズムを AES-128-GCM または AES-256-GCM に設定している場合は、 AES-256 の既定値が使用されます。 これは既知の問題であり、将来のリリースで修正される予定です。 ETA はありません。

• 整合性アルゴリズム: 目的のアルゴリズムを選択します。

  • SHA1-96
  • SHA1-160
  • SHA2-256 (デフォルト)
  • SHA2-384
  • SHA2-512

  また、次のように構成します。

  • Diffie-Hellman グループ: 目的のグループを選択します。 既定値はグループ 2 です。
  • 有効期間 (分): キーがローテーションされるまで、セキュリティ アソシエーションがアクティブなままである時間を入力します。 10 から 1440 までの整数を入力します (1440 分は 24 時間)。 既定値は 1440 です。

自動 VPN の種類: 構成する VPN の種類 (オンデマンド VPN またはアプリごとの VPN) を選択します。 1 つのオプションのみを使用してください。 両方を同時に使用すると、接続の問題が発生します。 [未構成] (既定) に設定すると、Intune では、この設定は変更または更新されません。

自動 VPN のオンデマンド VPN 機能

オンデマンド VPN は、ルールを使用して VPN 接続を自動的に接続または切断します。 デバイスが VPN に接続しようとすると、一致するドメイン名など、ユーザーが作成したパラメーターとルールで一致するものが検索されます。 一致するものがある場合は、選択したアクションが実行されます。

たとえば、デバイスが会社の Wi-Fi ネットワークに接続されていない場合にのみ VPN 接続が使用される条件を作成できます。 または、入力した DNS 検索ドメインにデバイスがアクセスできない場合、VPN 接続は開始されていません。

• オンデマンド ルール>追加: [追加] を選択してルールを追加します。 既存の VPN 接続がない場合は、これらの設定を使用してオンデマンド ルールを作成します。 ルールに一致するものがある場合、デバイスは選択したアクションを実行します。

  • 次を実行したい操作を行います: デバイスの値とオンデマンド ルールの間に一致がある場合は、デバイスに実行するアクションを選択します。 次のようなオプションがあります:

    • VPN の確立: デバイスの値とオンデマンド ルールが一致している場合、デバイスは VPN に接続します。

    • VPN を切断する: デバイス値とオンデマンド ルールの間に一致がある場合、VPN 接続は切断されます。

    • 各接続試行を評価する: デバイス値とオンデマンド ルールの間に一致がある場合は、[接続 するかどうかを選択する] 設定を使用して、VPN 接続試行 ごとに 何が起こるかを決定します:

      • 必要に応じて接続する: デバイスが内部ネットワーク上にある場合、または内部ネットワークへの VPN 接続が既に確立されている場合、オンデマンド VPN は接続しません。 これらの設定は使用されません。

        既存の VPN 接続がない場合は、VPN 接続を試行する たびに 、ユーザーが DNS ドメイン名を使用して接続する必要があるかどうかを決定します。 このルールは、[ ユーザーがこれらのドメインにアクセスしようとする場合 ] リストに含まれるドメインにのみ適用されます。 他のすべてのドメインは無視されます。

        • ユーザーがこれらのドメインにアクセスしようとする場合: contoso.com などの 1 つ以上の DNS ドメインを入力します。 ユーザーがこの一覧のドメインに接続しようとすると、デバイスは DNS を使用して入力したドメインを解決します。 ドメインが解決されない場合、つまり内部リソースにアクセスできない場合は、VPN オンデマンドに接続します。 ドメインが解決された場合、つまり既に内部リソースにアクセスできる場合、VPN には接続されません。

          ユーザーがこれらのドメインにアクセスしようとすると、 設定は 空になります	デバイスは、ネットワーク接続サービス (Wi-Fi/イーサネット) で構成された DNS サーバーを使用してドメインを解決します。 これらの DNS サーバーはパブリック サーバーであるという考え方です。 [ユーザーがこれらのドメインにアクセスしようとした場合] リスト内のドメインは内部リソースです。 内部リソースはパブリック DNS サーバー上に存在せず、解決できません。 そのため、デバイスは VPN に接続します。 これで、VPN 接続の DNS サーバーを使用してドメインが解決され、内部リソースを利用できるようになります。 デバイスが内部ネットワーク上にある場合、ドメインは解決され、内部ドメインは既に使用可能なため、VPN 接続は作成されません。 既に内部ネットワーク上にあるデバイスに VPN リソースを浪費したくありません。
          ユーザーがこれらのドメインにアクセスしようとすると、 設定が 設定されます	一覧の DNS サーバーは、一覧のドメインを解決するために使用されます。 考え方は 1 行目とは逆です (ユーザーがこれらのドメインにアクセスしようとした場合、 設定は空です)。 たとえば、[ ユーザーがこれらのドメインにアクセスしようとする場合 ] リストには内部 DNS サーバーが含まれています。 外部ネットワーク上のデバイスは、内部 DNS サーバーにルーティングできません。 名前解決がタイムアウトし、デバイスが VPN にオンデマンドで接続します。 内部リソースが利用可能になりました。 この情報は、[ ユーザーがこれらのドメインにアクセスしようとする場合 ] リストのドメインにのみ適用されることに注意してください。 他のすべてのドメインは、パブリック DNS サーバーで解決されます。 デバイスが内部ネットワークに接続されている場合は、一覧の DNS サーバーにアクセスできるため、VPN に接続する必要はありません。

        ---

        • 以下の DNS サーバーを使用してこれらのドメインを解決します (省略可能): DNS サーバーの IP アドレス ( 10.0.0.22 など) を 1 つ以上入力します。 入力した DNS サーバーは、[ ユーザーがこれらのドメインにアクセスしようとする場合 ] 設定でドメインを解決するために使用されます。

        • この URL に到達できない場合は、VPN を強制的に接続します。 省略可能。 ルールがテストとして使用する HTTP または HTTPS プローブ URL を入力します。 たとえば、「https://probe.Contoso.com」と入力します。 この URL は、[ ユーザーがこれらのドメインにアクセスしようとした場合 ] 設定で、ユーザーがドメインにアクセスしようとするたびにプローブされます。 ユーザーには、URL 文字列プローブ サイトが表示されません。

          URL に到達できないか、200 HTTP ステータス コードが返されていないためにプローブが失敗した場合、デバイスは VPN に接続します。

          URL は内部ネットワークでのみアクセスできるという考え方です。 URL にアクセスできる場合、VPN 接続は必要ありません。 URL にアクセスできない場合、デバイスは外部ネットワーク上にあり、VPN にオンデマンドで接続します。 VPN 接続が確立されると、内部リソースを利用できます。

      • 接続しない: VPN 接続を試行するたびに、ユーザーが入力したドメインにアクセスしようとすると、デバイスは VPN に接続しません。

        • ユーザーがこれらのドメインにアクセスしようとする場合: contoso.com などの 1 つ以上の DNS ドメインを入力します。 ユーザーがこの一覧のドメインに接続しようとした場合、VPN 接続は作成されません。 このリストに含まれていないドメインに接続しようとすると、デバイスは VPN に接続します。

    • 無視: デバイス値とオンデマンド ルールの間に一致がある場合、VPN 接続は無視されます。

  • 制限する: [ 次の操作を行う] 設定で、[ VPN の確立]、[ VPN の切断]、または [無視] を選択した場合は、ルールが満たす必要がある条件を選択します。 次のようなオプションがあります:

    • 特定の SSID: ルールが適用される 1 つ以上のワイヤレス ネットワーク名を入力します。 このネットワーク名は、サービス セット識別子 (SSID) です。 たとえば、「Contoso VPN」と入力します。
    • 特定の検索ドメイン: ルールが適用される 1 つ以上の DNS ドメインを入力します。 たとえば、「contoso.com」と入力します。
    • すべてのドメイン: このオプションを選択すると、organization内のすべてのドメインにルールが適用されます。

  • ただし、この URL プローブが成功した場合に限ります。 省略可能。 ルールがテストとして使用する URL を入力します。 たとえば、「https://probe.Contoso.com」と入力します。 デバイスがリダイレクトせずにこの URL にアクセスすると、VPN 接続が開始されます。 そして、デバイスはターゲット URL に接続します。 ユーザーには、URL 文字列プローブ サイトが表示されません。

    たとえば、デバイスが VPN を介してターゲット URL に接続する前に、URL がサイトに接続できる VPN の機能をテストします。

• ユーザーが自動 VPN を無効にできないようにする: オプション:

  • [未構成]: Intune では、この設定は変更または更新されません。
  • はい: ユーザーが自動 VPN をオフにできないようにします。 これにより、ユーザーには自動 VPN を有効にして実行したままにするように強制されます。
  • いいえ: ユーザーが自動 VPN をオフにできるようにします。

  この設定は、以下の場合に適用されます。

  • iOS 14 以降
  • iPadOS 14 以降

自動 VPN のアプリごとの VPN 機能

この VPN 接続を特定のアプリに関連付けて、アプリごとの VPN を有効にします。 アプリが実行されると、VPN 接続が開始されます。 VPN プロファイルは、アプリにソフトウェアまたはプログラムを割り当てるときにアプリに関連付けることができます。 詳細については、「 アプリを割り当てて監視する方法」を参照してください。

アプリごとの VPN は、IKEv2 接続ではサポートされていません。 詳細については、「 iOS/iPadOS デバイス用のアプリごとの VPN の設定」を参照してください。

• プロバイダーの種類: Pulse Secure とカスタム VPN でのみ使用できます。

  Pulse Secure またはカスタム VPN で アプリごとの VPN プロファイルを使用する場合は、アプリ層トンネリング (app-proxy) またはパケット レベル トンネリング (packet-tunnel) を選択します。

  • app-proxy: アプリ層トンネリング用にこのオプションを選択します。
  • packet-tunnel: パケット層トンネリングの場合は、このオプションを選択します。

  どのオプションを使用すればよいかわからない場合は、VPN プロバイダーのドキュメントをチェックしてください。

• この VPN をトリガーする Safari URL: 1 つ以上の Web サイトの URL を追加します。 デバイスで Safari ブラウザーを使用してこれらの URL にアクセスすると、VPN 接続が自動的に確立されます。 たとえば、「contoso.com」と入力します。

• 関連付けられたドメイン:このVPN接続で使用するVPNプロファイルに関連付けられたドメインを入力します。

  詳細については、「 関連付けられたドメイン」を参照してください。

• 除外されるドメイン: アプリごとの VPN が接続されている場合に VPN 接続をバイパスできるドメインを入力します。 たとえば、「contoso.com」と入力します。 contoso.com ドメインへのトラフィックは、VPN が接続されていてもパブリック インターネットを使用します。

• ユーザーが自動 VPN を無効にできないようにする: オプション:

  • [未構成]: Intune では、この設定は変更または更新されません。
  • はい: ユーザーが VPN プロファイル設定内でオンデマンド接続トグルをオフにできないようにします。 これにより、ユーザーはアプリごとの VPN またはオンデマンド ルールを有効にし、実行し続けるよう強制されます。
  • いいえ: ユーザーがオンデマンド接続トグルをオフにできるようにします。これにより、アプリごとの VPN とオンデマンド ルールが無効になります。

  この設定は、以下の場合に適用されます。

  • iOS 14 以降
  • iPadOS 14 以降

必要な 自動 VPN の種類 を選択します。 次のようなオプションがあります:

• [未構成]: Intune では、この設定は変更または更新されません。

• オンデマンド VPN: オンデマンド VPN は、ルールを使用して VPN 接続を自動的に接続または切断します。 デバイスが VPN に接続しようとすると、一致する IP アドレスやドメイン名など、ユーザーが作成したパラメーターとルールで一致するものが検索されます。 一致するものがある場合は、選択したアクションが実行されます。

  たとえば、デバイスが会社の Wi-Fi ネットワークに接続されていない場合にのみ VPN 接続が使用される条件を作成します。 または、入力した DNS 検索ドメインにデバイスがアクセスできない場合、VPN 接続は開始されていません。

  • 追加: このオプションを選択し、ルールを追加します。

  • 次を実行したい操作を行います。 デバイスの値とオンデマンド ルールの間に一致がある場合は、アクションを選択します。 次のようなオプションがあります:

    • VPN の接続
    • VPN を切断する
    • 各接続試行を評価する
    • Ignore

  • 制限する対象: ルールが満たす必要がある条件を選択します。 次のようなオプションがあります:

    • 特定の SSID: ルールが適用される 1 つ以上のワイヤレス ネットワーク名を入力します。 このネットワーク名は、サービス セット識別子 (SSID) です。 たとえば、「Contoso VPN」と入力します。
    • 特定の検索ドメイン: ルールが適用される 1 つ以上の DNS ドメインを入力します。 たとえば、「contoso.com」と入力します。
    • すべてのドメイン: このオプションを選択すると、organization内のすべてのドメインにルールが適用されます。

  • ただし、この URL プローブが成功した場合に限ります。 省略可能。 ルールがテストとして使用する URL を入力します。 デバイスがリダイレクトせずにこの URL にアクセスすると、VPN 接続が開始されます。 そして、デバイスはターゲット URL に接続します。 ユーザーには、URL 文字列プローブ サイトが表示されません。

    たとえば、URL 文字列プローブは、VPN に接続する前にデバイスのコンプライアンスをチェックする監査 Web サーバー URL です。 または、デバイスが VPN を介してターゲット URL に接続する前に、URL がサイトに接続する VPN の機能をテストします。

• ユーザーが自動 VPN を無効にできないようにする: オプション:

  • [未構成]: Intune では、この設定は変更または更新されません。
  • はい: ユーザーが自動 VPN をオフにできないようにします。 これにより、ユーザーには自動 VPN を有効にして実行したままにするように強制されます。
  • いいえ: ユーザーが自動 VPN をオフにできるようにします。

  この設定は、以下の場合に適用されます。

  • macOS 11 以降 (Big Sur)

• アプリごとの VPN: この VPN 接続を macOS アプリに関連付けることで、アプリごとの VPN を有効にします。 アプリが実行されると、VPN 接続が開始されます。 ソフトウェアを割り当てるときに、VPN プロファイルをアプリに関連付けることができます。 詳細については、「 アプリを割り当てて監視する方法」を参照してください。

  • この VPN をトリガーする Safari URL: 1 つ以上の Web サイトの URL を追加します。 デバイスで Safari ブラウザーを使用してこれらの URL にアクセスすると、VPN 接続が自動的に確立されます。

  • [関連付けられたドメイン]: VPN 接続を自動的に開始する関連付けられたドメインを VPN プロファイルに入力します。 たとえば、「contoso.com」と入力します。 contoso.com ドメインのデバイスは、VPN 接続を自動的に開始します。

    詳細については、「 関連付けられているドメイン」を参照してください。

  • 除外されるドメイン: アプリごとの VPN が接続されている場合に VPN 接続をバイパスできるドメインを入力します。 たとえば、「contoso.com」と入力します。 contoso.com ドメインのデバイスが起動しないか、アプリごとの VPN 接続を使用しません。 contoso.com ドメインのデバイスはパブリック インターネットを使用します。

  • ユーザーが自動 VPN を無効にできないようにする: オプション:

    • [未構成]: Intune では、この設定は変更または更新されません。
    • はい: ユーザーが自動 VPN をオフにできないようにします。 これにより、ユーザーには自動 VPN を有効にして実行したままにするように強制されます。
    • いいえ: ユーザーが自動 VPN をオフにできるようにします。

    この設定は、以下の場合に適用されます。

    • macOS 11 以降 (Big Sur)

アプリごとの VPN

これらの設定は、次の VPN 接続の種類に適用されます。

• Microsoft Tunnel

設定:

• アプリごとの VPN: 有効にすると 、特定のアプリがこの VPN 接続に関連付けられます。 アプリが実行されると、トラフィックは VPN 接続を介して自動的にルーティングされます。 ソフトウェアを割り当てるときに、VPN プロファイルをアプリに関連付けることができます。 詳細については、「 アプリを割り当てて監視する方法」を参照してください。

  詳細については、「Microsoft Tunnel for Intune」を参照してください。

• この VPN をトリガーする Safari URL: 1 つ以上の Web サイトの URL を追加します。 デバイスで Safari ブラウザーを使用してこれらの URL にアクセスすると、VPN 接続が自動的に確立されます。 たとえば、「contoso.com」と入力します。

• 関連付けられたドメイン:このVPN接続で使用するVPNプロファイルに関連付けられたドメインを入力します。

  詳細については、「 関連付けられたドメイン」を参照してください。

• 除外されるドメイン: アプリごとの VPN が接続されている場合に VPN 接続をバイパスできるドメインを入力します。 たとえば、「contoso.com」と入力します。 contoso.com ドメインへのトラフィックは、VPN が接続されていてもパブリック インターネットを使用します。