Intune で Windows デバイスの Wi-Fi 設定を追加する

注:

Intune は、この記事に記載されている設定よりも多くの設定をサポートする場合があります。 すべての設定が文書化されているわけではなく、今後も文書化されない可能性があります。 構成できる設定を表示するには、デバイス構成ポリシーを作成し、[ 設定カタログ] を選択します。 詳細については、「 設定カタログ」を参照してください。

特定の WiFi 設定を使用してプロファイルを作成できます。 次に、このプロファイルを Windows クライアント デバイスに展開します。 Microsoft Intune には、ネットワークへの認証、事前共有キーの使用など、多くの機能が用意されています。

この記事では、これらの設定の一部について説明します。

開始する前に

基本プロファイル

基本プロファイルまたは個人用プロファイルでは、WPA/WPA2 を使用してデバイス上の Wi-Fi 接続をセキュリティで保護します。 通常、WPA/WPA2 はホーム ネットワークまたはパーソナル ネットワークで使用されます。 事前共有キーを追加して接続を認証することもできます。

  • Wi-Fi タイプ: [基本] を選択します。

  • Wi-Fi 名 (SSID): サービス セット識別子の略です。 この値は、デバイスが接続するワイヤレス ネットワークの実際の名前です。 ただし、ユーザーには、接続の選択時に構成した 接続名 のみが表示されます。

  • 接続名: この Wi-Fi 接続のわかりやすい名前を入力します。 入力したテキストは、ユーザーがデバイスで利用可能な接続を参照したときに表示される名前です。 たとえば、「ContosoWiFi」と入力します。

  • 範囲内にある場合は自動的に接続する: 「はい」の場合、デバイスはこのネットワークの範囲内にあるときに自動的に接続します。 [ いいえ] の場合、デバイスは自動的には接続されません。

    • 利用可能な場合は、より優先するネットワークに接続する: デバイスがより優先されるネットワークの範囲内にある場合は、[ はい ] を選択して優先ネットワークを使用します。 この構成プロファイルで Wi-Fi ネットワークを使用するには、[ いいえ] を選択します。

      たとえば、 ContosoCorp Wi-Fi ネットワークを作成し、この構成プロファイル内で ContosoCorp を使用します。 また、範囲内に ContosoGuest Wi-Fi ネットワークがあります。 会社のデバイスが範囲内にある場合は、 ContosoCorp に自動的に接続する必要があります。 このシナリオでは、[ 利用可能な場合は、他の優先ネットワークに接続する ] プロパティを [いいえ] に設定します。

    • SSID を配信していない場合でも、このネットワークに接続する: ネットワークが非表示になっている場合でも、ネットワークに自動的に接続するには、[ はい ] を選択します。 つまり、そのサービス セット識別子 (SSID) は公開されません。 この構成プロファイルを非表示ネットワークに接続しない場合は、[ いいえ ] を選択します。

  • 従量制課金接続制限: 管理者は、ネットワークのトラフィックを従量制課金する方法を選択できます。 アプリケーションはその後、この設定に基づいてネットワーク トラフィックの動作を調整できます。 次のようなオプションがあります:

    • Unrestricted: 既定。 接続は従量制課金ではなく、トラフィックに制限はありません。
    • 固定: ネットワークがネットワーク トラフィックの固定制限で構成されている場合は、このオプションを使用します。 この制限に達すると、ネットワーク アクセスは禁止されます。
    • 変数: ネットワーク トラフィックがバイト単位 (バイトあたりのコスト) で課金される場合に、このオプションを使用します。

  • ワイヤレス セキュリティの種類: ネットワーク上のデバイスを認証するために使用するセキュリティ プロトコルを入力します。 選択肢は以下のとおりです。

    • オープン (認証なし): このオプションは、ネットワークがセキュリティで保護されていない場合にのみ使用します。

    • WPA/WPA2-Personal: より安全なオプションであり、Wi-Fi 接続で一般的に使用されます。 セキュリティを強化するために、事前共有キーのパスワードまたはネットワーク キーを入力することもできます。

      • 事前共有キー (PSK): 省略可能。 セキュリティの種類として WPA/WPA2-Personal を選択した場合に表示されます。 組織のネットワークが設定または構成されると、パスワードまたはネットワーク キーも構成されます。 PSK 値として、このパスワードまたはネットワーク キーを入力します。 8 - 63 文字の長さまたは 64 桁の 16 進数を使用する ASCII 文字列を入力します。

        重要

        PSK は、プロファイルの対象となるすべてのデバイスで同じです。 キーが侵害された場合、Wi-Fi ネットワークに接続するために任意のデバイスからそのキーが使用される可能性があります。 不正アクセスを防ぐために、PSK を安全に保ちます。

  • 会社のプロキシ設定: organization内のプロキシ設定を使用する場合に選択します。 次のようなオプションがあります:

    • なし: プロキシ設定は構成されていません。

    • 手動構成: プロキシ サーバーの IP アドレス とその ポート番号を入力します。

    • 自動構成: プロキシ自動構成 (PAC) スクリプトを指す URL を入力します。 たとえば、「http://proxy.contoso.com/proxy.pac」と入力します。

      PAC ファイルの詳細については、「 プロキシの自動構成 (PAC) ファイル (Microsoft 以外のサイトを開く)」を参照してください。

エンタープライズ プロファイル

エンタープライズ プロファイルでは、拡張認証プロトコル (EAP) を使用して Wi-Fi 接続を認証します。 EAP は、証明書を使用して接続の認証とセキュリティ保護ができるため、企業でよく使用されます。 また、その他のセキュリティ オプションを構成します。

  • Wi-Fi タイプ: [エンタープライズ] を選択します。

  • Wi-Fi 名 (SSID): サービス セット識別子の略です。 この値は、デバイスが接続するワイヤレス ネットワークの実際の名前です。 ただし、ユーザーには、接続の選択時に構成した 接続名 のみが表示されます。

  • 接続名: この Wi-Fi 接続のわかりやすい名前を入力します。 入力したテキストは、ユーザーがデバイスで利用可能な接続を参照したときに表示される名前です。 たとえば、「ContosoWiFi」と入力します。

  • 範囲内にある場合は自動的に接続する: 「はい」の場合、デバイスはこのネットワークの範囲内にあるときに自動的に接続します。 [ いいえ] の場合、デバイスは自動的には接続されません。

    • 利用可能な場合は、より優先するネットワークに接続する: デバイスがより優先されるネットワークの範囲内にある場合は、[ はい ] を選択して優先ネットワークを使用します。 この構成プロファイルで Wi-Fi ネットワークを使用するには、[ いいえ] を選択します。

      たとえば、 ContosoCorp Wi-Fi ネットワークを作成し、この構成プロファイル内で ContosoCorp を使用します。 また、範囲内に ContosoGuest Wi-Fi ネットワークがあります。 会社のデバイスが範囲内にある場合は、 ContosoCorp に自動的に接続する必要があります。 このシナリオでは、[ 利用可能な場合は、他の優先ネットワークに接続する ] プロパティを [いいえ] に設定します。

  • SSID を配信していない場合でも、このネットワークに接続する: ネットワークが非表示になっている場合 (つまり、SSID が一般に配信されない) 場合でも、構成プロファイルが自動的にネットワークに接続するには、[ はい ] を選択します。 この構成プロファイルを非表示ネットワークに接続しない場合は、[ いいえ ] を選択します。

  • 従量制課金接続制限: 管理者は、ネットワークのトラフィックを従量制課金する方法を選択できます。 アプリケーションはその後、この設定に基づいてネットワーク トラフィックの動作を調整できます。 次のようなオプションがあります:

    • Unrestricted: 既定。 接続は従量制課金ではなく、トラフィックに制限はありません。
    • 固定: ネットワークがネットワーク トラフィックの固定制限で構成されている場合は、このオプションを使用します。 この制限に達すると、ネットワーク アクセスは禁止されます。
    • 変数: ネットワーク トラフィックのコストが 1 バイトあたりの場合は、このオプションを使用します。

  • 認証モード: Wi-Fi プロファイルが Wi-Fi サーバーで認証する方法を選択します。 次のようなオプションがあります:

    • [未構成]: Intune では、この設定は変更または更新されません。 既定では、 ユーザー認証またはマシン 認証が使用されます。
    • ユーザー: デバイスにサインインしたユーザー アカウントは、Wi-Fi ネットワークで認証を行います。
    • マシン: デバイスの資格情報は、Wi-Fi ネットワークに対して認証されます。
    • ユーザーまたはコンピューター: ユーザーがデバイスにサインインすると、ユーザーの資格情報が Wi-Fi ネットワークに対して認証されます。 サインインしているユーザーがいない場合は、デバイスの資格情報が認証されます。
    • ゲスト: Wi-Fi ネットワークに関連付けられている資格情報はありません。 認証は、オープンか、Web ページなど、外部で処理されます。

  • ログオンするたびに資格情報を記憶する: ユーザーの資格情報をキャッシュする場合、またはユーザーが Wi-Fi に接続するときに毎回資格情報を入力する必要がある場合に選択します。 次のようなオプションがあります:

    • [未構成]: Intune では、この設定は変更または更新されません。 既定では、OS はこの機能を有効にし、資格情報をキャッシュする可能性があります。
    • 有効: ユーザーが初めて Wi-Fi ネットワークに接続するときに入力されたユーザーの資格情報をキャッシュします。 キャッシュされた資格情報は将来の接続に使用され、ユーザーは再入力する必要はありません。
    • 無効: ユーザー資格情報は記憶もキャッシュもされません。 デバイスが Wi-Fi に接続する場合、ユーザーはその都度資格情報を入力する必要があります。

  • 認証期間: 1 から 3600 まで、デバイスが認証を試みた後に待機する必要がある秒数を入力します。 入力した時間内にデバイスが接続されない場合、認証は失敗します。 この値を空または空白のままにすると、 18 秒が使用されます。

  • 認証再試行の遅延期間: 失敗した認証試行と次の認証試行の間の秒数を 1 から 3600 の範囲で入力します。 この値を空または空白のままにすると、 1 秒が使用されます。

  • 開始期間: EAPOL-Start メッセージを送信するまでの待機時間 (秒数) を 1 から 3600 まで入力します。 この値を空または空白のままにすると、 5 秒が使用されます。

  • EAPOL-startの最大数: EAPOL-Start メッセージの数を1から100まで入力します。 この値を空または空白のままにすると、最大 3 メッセージが送信されます。

  • 認証失敗の最大数: 認証するこの資格情報のセットに対する認証失敗の最大数を、1 から 100 まで入力します。 この値を空または空白のままにすると、 1 試行が使用されます。

  • シングル サインオン (SSO): コンピューターと Wi-Fi ネットワーク サインイン用に資格情報を共有するシングル サインオン (SSO) を構成できます。 次のようなオプションがあります:

    • Disable: SSO 動作を無効にします。 ユーザーは、ネットワークに対して個別に認証する必要があります。
    • ユーザーがデバイスにサインインする前に有効にする: SSO を使用して、ユーザーのサインイン プロセスの直前にネットワーク認証を行います。
    • ユーザーがデバイスにサインインした後で有効にする: SSO を使用して、ユーザーのサインイン プロセスが完了した直後にネットワーク認証を行います。
    • タイムアウトまでの認証までの最大時間: ネットワークへの認証までの待機時間の最大秒数を、1 秒から 120 秒まで入力します。
    • Windows がユーザーに追加の認証資格情報の入力を求めることを許可する: [はい ] を選択すると、認証方法で資格情報が必要な場合に、Windows システムがユーザーに対して追加の資格情報の入力を求めることができます。 これらのプロンプトを非表示にするには、[ いいえ ] を選択します。

  • ペアワイズ マスター キー (PMK) キャッシュを有効にする: 認証で使用される PMK をキャッシュするには、[ はい ] を選択します。 通常、このキャッシュによって、ネットワークへの認証をより迅速に完了できます。 Wi-Fi ネットワークに毎回接続するときに認証ハンドシェイクを強制するには、[ いいえ ] を選択します。

    • PMK がキャッシュに保存される最大時間: ペアワイズ マスター キー (PMK) がキャッシュに保存される分数 (5 分から 1440 分) を入力します。
    • キャッシュに保存されている PMK の最大数: キャッシュに保存されているキーの数を 1 から 255 まで入力します。
    • 事前認証を有効にする: 事前認証を使用すると、プロファイルは、接続する前に、プロファイル内のネットワークのすべてのアクセス ポイントに対して認証できます。 デバイスがアクセス ポイント間を移動する場合、事前認証によってユーザーまたはデバイスがより迅速に再接続されます。 プロファイルが範囲内にあるこのネットワークのすべてのアクセス ポイントに対して認証するには、[ はい ] を選択します。 [ いいえ ] を選択すると、ユーザーまたはデバイスが各アクセス ポイントに対して個別に認証する必要があります。
    • 事前認証試行の最大回数: 事前認証を試行する回数を 1 から 16 まで入力します。

  • EAP の種類: セキュリティで保護されたワイヤレス接続を認証するには、拡張認証プロトコル (EAP) の種類を選択します。 次のようなオプションがあります:

    • EAP-SIM

    • EAP-TLS: また、次のように入力します。

      • 証明書サーバー名: 信頼された証明機関 (CA) が発行する証明書で使用される 1 つ以上の共通名を入力します。 この情報を入力すると、この Wi-Fi ネットワークに接続するときにユーザー デバイスに表示される動的信頼ダイアログをバイパスできます。

      • サーバー検証用のルート証明書: 1 つ以上の既存の信頼できるルート証明書プロファイルを選択します。 クライアントがネットワークに接続するとき、これらの証明書はサーバーとの信頼チェーンを確立するために使用されます。 デバイスに既にインストールされている公開証明書を認証サーバーが使用している場合は、ルート証明書を含める必要はありません。

      • 認証方法: デバイス クライアントで使用する認証方法を選択します。 次のようなオプションがあります:

        • SCEP 証明書: デバイスにも展開されている SCEP クライアント証明書プロファイルを選択します。 この証明書は、接続を認証するためにデバイスからサーバーに提示される ID です。
        • PKCS 証明書: デバイスに展開されている PKCS クライアント証明書 プロファイルと信頼された ルート証明書 を選択します。 クライアント証明書は、接続を認証するためにデバイスからサーバーに提示される ID です。
        • 派生資格情報: ユーザーのスマート カードから派生した証明書を使用します。 詳細については、「Microsoft Intune で派生した資格情報を使用する」を参照してください。

    • EAP-TTLS: も入力します。

      • 証明書サーバー名: 信頼された証明機関 (CA) が発行する証明書で使用される 1 つ以上の共通名を入力します。 この情報を入力すると、この Wi-Fi ネットワークに接続するときにユーザー デバイスに表示される動的信頼ダイアログをバイパスできます。

      • サーバー検証用のルート証明書: 1 つ以上の既存の信頼できるルート証明書プロファイルを選択します。 クライアントがネットワークに接続するとき、これらの証明書はサーバーとの信頼チェーンを確立するために使用されます。 デバイスに既にインストールされている公開証明書を認証サーバーが使用している場合は、ルート証明書を含める必要はありません。

      • 認証方法: デバイス クライアントで使用する認証方法を選択します。 次のようなオプションがあります:

        • ユーザー名とパスワード: 接続を認証するために、ユーザー名とパスワードの入力をユーザーに求めます。 また、以下の内容も入力します。

          • 非 EAP 方式 (内部 ID): 接続の認証方法を選択します。 Wi-Fi ネットワークが使用するのと同じプロトコルを選択してください。

            オプション: 暗号化されていないパスワード (PAP)、チャレンジ ハンドシェイク (CHAP)、Microsoft CHAP (MS-CHAP)、Microsoft CHAP バージョン 2 (MS-CHAP v2)

          • ID のプライバシー (外部 ID): EAP ID 要求に応答して送信されるテキストを入力します。 このテキストには任意の値を指定できます。 認証中に、この匿名 ID が最初に送信されます。 その後、実際のIDが安全なトンネルで送信されます。

        • SCEP 証明書: デバイスにも展開されている SCEP クライアント証明書プロファイルを選択します。 この証明書は、接続を認証するためにデバイスからサーバーに提示される ID です。

          • ID のプライバシー (外部 ID): EAP ID 要求に応答して送信されるテキストを入力します。 このテキストには任意の値を指定できます。 認証中に、この匿名 ID が最初に送信されます。 その後、実際のIDが安全なトンネルで送信されます。

        • PKCS 証明書: デバイスに展開されている PKCS クライアント証明書 プロファイルと信頼された ルート証明書 を選択します。 クライアント証明書は、接続を認証するためにデバイスからサーバーに提示される ID です。

          • ID のプライバシー (外部 ID): EAP ID 要求に応答して送信されるテキストを入力します。 このテキストには任意の値を指定できます。 認証中に、この匿名 ID が最初に送信されます。 その後、実際のIDが安全なトンネルで送信されます。

        • 派生資格情報: ユーザーのスマート カードから派生した証明書を使用します。 詳細については、「Microsoft Intune で派生した資格情報を使用する」を参照してください。

    • 保護された EAP (PEAP): また、次のように入力します。

      • 証明書サーバー名: 信頼された証明機関 (CA) が発行する証明書で使用される 1 つ以上の共通名を入力します。 この情報を入力すると、この Wi-Fi ネットワークに接続するときにユーザー デバイスに表示される動的信頼ダイアログをバイパスできます。

      • サーバー検証用のルート証明書: 1 つ以上の既存の信頼できるルート証明書プロファイルを選択します。 クライアントがネットワークに接続するとき、これらの証明書はサーバーとの信頼チェーンを確立するために使用されます。 デバイスに既にインストールされている公開証明書を認証サーバーが使用している場合は、ルート証明書を含める必要はありません。

      • サーバー検証を実行する: [ はい] に設定すると、PEAP ネゴシエーション フェーズ 1 で、デバイスが証明書を検証し、サーバーを検証します。 この検証をブロックまたは禁止するには、[ いいえ] を選択します。 [未構成] に設定すると、Intune では、この設定は変更または更新されません。

        [ はい] を選択した場合は、以下も構成します。

        • サーバー検証のユーザー プロンプトを無効にする: [はい] に設定すると、PEAP ネゴシエーション フェーズ 1 では、信頼された証明機関に対して新しい PEAP サーバーを承認するように求めるユーザー プロンプトは表示されません。 [ いいえ ] を選択してプロンプトを表示します。 [未構成] に設定すると、Intune では、この設定は変更または更新されません。

      • 暗号化バインディングを要求する: [はい ] に設定すると、PEAP ネゴシエーション中に暗号化バインディングを使用しない PEAP サーバーに接続できなくなります。 いいえ 、クリプトバインディングは必要ありません。 [未構成] に設定すると、Intune では、この設定は変更または更新されません。

      • 認証方法: デバイス クライアントで使用する認証方法を選択します。 次のようなオプションがあります:

        • ユーザー名とパスワード: 接続を認証するために、ユーザー名とパスワードの入力をユーザーに求めます。 また、以下の内容も入力します。

          • ID のプライバシー (外部 ID): EAP ID 要求に応答して送信されるテキストを入力します。 このテキストには任意の値を指定できます。 認証中に、この匿名 ID が最初に送信されます。 その後、実際のIDが安全なトンネルで送信されます。

        • SCEP 証明書: デバイスにも展開されている SCEP クライアント証明書 プロファイルを選択します。 この証明書は、接続を認証するためにデバイスからサーバーに提示される ID です。

          • ID のプライバシー (外部 ID): EAP ID 要求に応答して送信されるテキストを入力します。 このテキストには任意の値を指定できます。 認証中に、この匿名 ID が最初に送信されます。 その後、実際のIDが安全なトンネルで送信されます。

        • PKCS 証明書: デバイスに展開されている PKCS クライアント証明書 プロファイルと信頼された ルート証明書 を選択します。 クライアント証明書は、接続を認証するためにデバイスからサーバーに提示される ID です。

          • ID のプライバシー (外部 ID): EAP ID 要求に応答して送信されるテキストを入力します。 このテキストには任意の値を指定できます。 認証中に、この匿名 ID が最初に送信されます。 その後、実際のIDが安全なトンネルで送信されます。

        • 派生資格情報: ユーザーのスマート カードから派生した証明書を使用します。 詳細については、「Microsoft Intune で派生した資格情報を使用する」を参照してください。

  • 会社のプロキシ設定: organization内のプロキシ設定を使用する場合に選択します。 次のようなオプションがあります:

    • なし: プロキシ設定は構成されていません。

    • 手動構成: プロキシ サーバーの IP アドレス とその ポート番号を入力します。

    • 自動構成: プロキシ自動構成 (PAC) スクリプトを指す URL を入力します。 たとえば、「http://proxy.contoso.com/proxy.pac」と入力します。

      PAC ファイルの詳細については、「 プロキシの自動構成 (PAC) ファイル (Microsoft 以外のサイトを開く)」を参照してください。

  • Wi-Fi プロファイルに連邦情報処理Standard (FIPS) への準拠を強制する: FIPS 140-2 標準に照らして検証する場合は [はい] を選択します。 この標準は、暗号化ベースのセキュリティ システムを使用して、デジタル保存された機密だが未機密の情報を保護しているすべての米国連邦政府機関に必要です。 FIPS に準拠しない場合は [いいえ ] を選択します。

インポートした設定ファイルを使用する

Intune で使用できない設定については、別の Windows デバイスから Wi-Fi 設定をエクスポートできます。 このエクスポートでは、すべての設定を含む XML ファイルが作成されます。 次に、このファイルを Intune にインポートし、Wi-Fi プロファイルとして使用します。 XML ファイルのインポートの詳細については、「 Windows デバイスの Wi-Fi 設定をエクスポートおよびインポートする」を参照してください。

  • Last updated on