Intune での自動デバイス登録の認証方法

iOS/iPadOS に適用

この記事では、自動デバイス登録を使用して Intune に登録されている iOS/iPadOS デバイスで使用できる認証方法について説明します。 使用可能な認証方法は次のとおりです。

  • Intune ポータル サイト アプリ
  • 先進認証を使用したセットアップ アシスタント
  • 先進認証を使用したセットアップ アシスタントへの Just In Time (JIT) 登録
  • セットアップ アシスタント (レガシ)

すべての方法は、Apple Business または Apple School Manager から購入した、ユーザー アフィニティを持つ企業所有のデバイスで使用できます。

オプション 1: Intune ポータル サイト アプリ

次の場合は、認証方法として Intune ポータル サイト アプリを使用します。

  • 多要素認証 (MFA) を使用する。
  • 初めてサインインするときにユーザーにパスワードの変更を求める。
  • 登録時に有効期限が切れたパスワードのリセットをユーザーに求める。
  • Microsoft Entra ID にデバイスを登録し、条件付きアクセスなど Microsoft Entra ID で利用可能な機能を使用します。
  • 登録時にポータル サイト アプリを自動的にインストールします。 会社で Volume Purchase Program (VPP) を使用している場合は、ユーザーの Apple ID なしで、登録時にポータル サイト アプリを自動的にインストールできます。
  • ポータル サイト アプリがインストールされるまで、デバイスをロックしたい。

注意

デバイス ユーザーがアカウント駆動型の Apple ユーザー登録ポリシーの種類の対象となっている場合、Intune はこの認証方法を使用する登録をブロックします。 この動作は仕様です。 ユーザーは、アカウントがポータル サイト アプリを介した登録をサポートしていないこと、およびポータル サイト Web サイトから登録する必要があることを示すエラー メッセージを受け取ります。 自動デバイス登録を使用して登録を確実に成功させるには、アカウント駆動型の Apple ユーザー登録ポリシーの種類を使用する場合に、認証方法として 先進認証を使用したセットアップ アシスタント を使用します。

オプション 2: 先進認証を使用したセットアップ アシスタント

このオプションは、Intune ポータル サイト認証と同じセキュリティを提供しますが、ポータル サイトがインストールされていない場合でも、デバイス ユーザーがデバイスの一部にアクセスできるという点で異なります。 認証には、次の場合にこのオプションを使用します。

  • デバイスをワイプします。
  • 多要素認証 (MFA) を使用する。
  • 初めてサインインするときにユーザーにパスワードの変更を求める。
  • 登録時に有効期限が切れたパスワードのリセットをユーザーに求める。
  • Microsoft Entra ID にデバイスを登録し、条件付きアクセスなど Microsoft Entra ID で利用可能な機能を使用します。
  • 登録時にポータル サイト アプリを自動的にインストールします。 会社で Volume Purchase Program (VPP) を使用している場合は、ユーザーの Apple ID なしで、登録時にポータル サイト アプリを自動的にインストールできます。
  • ポータル サイト アプリがインストールされていない場合でも、ユーザーがデバイスを使用できるようにします。

先進認証を使用したセットアップ アシスタントは、iOS/iPadOS 13.0 以降を実行しているデバイスでサポートされています。 この種類のポリシーが割り当てられている以前の iOS/iPadOS デバイスは、 セットアップ アシスタント (レガシ) 認証にフォールバックします。

アプリを自動的にインストールポータル サイト

会社で Volume Purchase Program (VPP) を使用している場合は、ユーザーの Apple ID なしで、登録時にポータル サイト アプリを自動的にインストールできます。 登録ポリシーで自動インストールを有効にするには、[VPP を使用したポータル サイトのインストール] で [はい] を選択します。 このオプションを使用することをお勧めします。

VPP オプションを使用しない場合、設定アシスタントの実行中、または ポータル サイト をインストールしようとしたときに、デバイス ユーザは Apple ID Intune入力する必要があります。

どちらのシナリオでも、ポータル サイトのインストール オプションはデバイス ユーザーに表示されず、ポータル ポータル サイトはデバイス上の必須アプリになります。 ユーザーがホーム画面に到達すると、Intune はデバイスに正しいアプリ構成ポリシーを自動的に適用します。

注意

先進認証を使用して設定アシスタントに登録した後、iOS/iPadOS デバイスのポータル サイトに別のアプリ構成ポリシーを送信しないでください。 そうすると、エラーが発生します。

多要素認証

注意

フィッシングに強い MFA は、iOS/iPadOS 用セットアップ アシスタントではサポートされていません。 先進認証でセットアップ アシスタントを使用して自動デバイス登録を介して iOS/iPadOS デバイスを登録するユーザーは、デバイスの登録を完了するために代替の MFA 方法を使用する必要があります。 別の MFA メソッドの選択の詳細については、「 多要素認証の要求」を参照してください。

多要素認証 (MFA) を必要とする条件付きアクセス ポリシーが登録時またはポータル サイトのサインイン中に適用されている場合は、多要素認証 (MFA) が必要になります。 ただし、対象の条件付きアクセス ポリシーの Microsoft Entra 設定に基づいて、MFA は省略可能です。

外部認証方法は Microsoft Entra ID でサポートされているため、優先する MFA ソリューションを使用して、デバイス登録時に MFA を容易にできます。 サード パーティの MFA プロバイダーを使用する場合は、登録ポリシーをすべてのデバイスに展開する前に、テストを実行して、登録中に Microsoft Entra MFA 画面と MFA の両方が機能することを確認します。 外部認証方法の詳細とサポートの詳細については、「パブリック プレビュー: Microsoft Entra ID の外部認証方法」を参照してください。

ポータル サイトでの操作が必要

セットアップ アシスタントの画面を通過すると、デバイス ユーザーはホーム ページに移動します。 この時点で、ユーザー アフィニティが確立されます。 ただし、ユーザーが Microsoft Entra 資格情報を使用してポータル サイトにサインインし、[Begin] を選択するまで、デバイスは次のようになります:

  • Microsoft Entra ID には完全に登録されません。
  • Microsoft Entra ID のユーザーのデバイス一覧には表示されません。
  • 条件付きアクセスによって保護されたリソースにアクセスできません。
  • デバイスのコンプライアンスに対して評価されません。
  • ユーザーが条件付きアクセスによって保護されているマネージド アプリケーションを開こうとすると、他のアプリからポータル サイトにリダイレクトされます。

オプション 3: 先進認証を使用したセットアップ アシスタントのジャスト イン タイム登録

このオプションは、先進認証を使用するセットアップ アシスタントと同じですが、ポータル サイトが Microsoft Entra の登録またはコンプライアンスに必要ありません。 代わりに、Microsoft Entra の登録とコンプライアンス チェックは、Apple シングル サインオン (SSO) アプリ拡張機能で構成された指定された Microsoft アプリまたは Microsoft 以外のアプリに完全に統合されます。 この拡張機能は、認証プロンプトを減らし、デバイス全体で SSO を確立します。 JIT 登録では、ユーザーに認証が 2 回求められます。

  • 1 つの認証では、登録とユーザーとデバイスのアフィニティが処理され、デバイス ユーザーがデバイスの電源を入れてセットアップ アシスタントにサインインしたときに認証が行われます。
  • もう 1 つの認証では、Microsoft Entra 登録が処理され、ユーザーが指定されたアプリにサインインしたときに認証が行われます。 コンプライアンス チェックもこのアプリで行われます。

注:

organization で Microsoft Defender for Endpoint を使用している場合は、JIT 登録とコンプライアンス修復が期待どおりに機能するように、ユーザーが開くアプリが Microsoft Defender for Endpoint アプリでないことを確認します。

デバイス ユーザーは、ホーム画面に到達すると、SSO 拡張機能で構成されている任意の職場または学校アプリにサインインして、Microsoft Entra の登録とコンプライアンスのチェックを完了できます。 SSO は、SSO 拡張機能ポリシーの一部であるすべてのアプリにユーザーをサインインさせます。 この時点で、SSO 拡張機能を使用するように構成されていないアプリに手動でサインインすることもできます。

自動デバイス登録を使用して JIT 登録を設定するには:

  1. デバイス構成ポリシーを作成し、 シングル サインオン アプリ拡張機能カテゴリ で設定を構成します。 手順については、 Just In Time 登録の設定を参照してください。

  2. Apple 登録ポリシーを作成し 、認証方法として 先進認証を使用したセットアップ アシスタント を選択します。 この手順を完了するには、Apple Business または Apple School Manager からのアクティブな自動デバイス登録トークンが Intune に存在する必要があります。

  3. 登録ポリシーの [割り当て ] ページに移動したら、Apple Business と Apple School Manager から同期されたデバイスにポリシーを割り当てます。 ポリシーを割り当てると、従業員と学生は各自のデバイスで設定と認証を完了できます。

    注:

    ポータル サイトは、Microsoft Entra の登録やコンプライアンスには必要ありませんが、必須アプリとして引き続きデバイスに送信されます。 デバイス ユーザーは、アプリで問題が発生した場合、ポータル ポータル サイト アプリを使用してログを収集し、アップロードできます。

認証に成功した例

次のイベント シーケンスは、先進認証を使用したセットアップ アシスタントの JIT 登録での認証の正常な状態の例を示しています。 organization のエクスペリエンスは、自動デバイス登録構成によって異なる場合があります。

  1. デバイス ユーザーがデバイスの電源を入れます。

  2. セットアップ アシスタントが開始されます。 デバイス ユーザーは、セットアップ アシスタントで Microsoft Entra 資格情報を使用して認証します。

  3. 条件付きアクセス ポリシーで多要素認証が必要な場合、デバイス ユーザーは多要素認証を完了します。

  4. デバイスは Intune への登録を完了し、ユーザーとデバイスのアフィニティが確立されます。

  5. デバイス ユーザーはホーム画面に移動し、Microsoft Teams または別の Office アプリを開き、職場アカウントでサインインします。 デバイスがすべてのコンプライアンス要件を満たしている場合、デバイス ユーザーはメッセージと予定表にすぐにアクセスできるようになります。

    注:

    Microsoft Entra の登録中に、Intune がコンプライアンス チェックを完了する間、デバイス ユーザーに短いスピナーが表示される場合があります。 この動作は仕様です。

  6. SSO 拡張機能は、他のすべての対象アプリとすべての Microsoft アプリでシングル サインオンを確立します。

  7. デバイスは Microsoft Entra ID に登録され、準拠しています。 管理センターと Microsoft Entra ID でデバイスの状態を表示できます。 デバイス ユーザーは、Intune ポータル サイトで状態を表示し、コンプライアンス、アプリ インベントリ、デバイスの同期、ログ共有にポータル サイトを使用できます。

  8. デバイス ユーザーが Teams を開くと、自動的にサインインします。

オプション 4: セットアップ アシスタント (レガシ)

重要

ユーザー デバイスのアフィニティを使用するすべての自動デバイス登録 (ADE) シナリオでは 、先進認証と共にセットアップ アシスタント を使用することをお勧めします。 レガシ認証を使用しないでください。

Apple 製品の標準的な、すぐに使用できるエクスペリエンスをユーザーに体験してもらいたい場合は、従来のセットアップ アシスタントを使用します。 このオプションは、デバイスが Intune に登録するときに標準の事前構成済み設定をインストールします。 このオプションを認証に使用するには、次の場合に使用します。

  • デバイスをワイプする場合。
  • 多要素認証などの先進認証機能は必要ありません。
  • デバイスを Microsoft Entra ID に登録したくない場合。 セットアップ アシスタント (レガシ) は、Apple .p7m トークンを使用してユーザーを認証します。

Active Directory フェデレーション サービスを使用しており、セットアップ アシスタントを使用して認証する場合は、WS-Trust 1.3 ユーザー名/混合エンドポイントが必要です。 詳細については、Windows PowerShell リファレンス ガイドの「Get-AdfsEndpoint」を参照してください。

次の手順

使用している認証方法を確認したら、 Apple 登録ポリシーを作成し 、プロンプトが表示されたら認証方法を選択します。 この手順を完了するには、Apple Business または Apple School Manager からのアクティブな自動デバイス登録トークンが Intune に存在する必要があります。

  • Last updated on