Intune デバイス登録に多要素認証が必要

Intune を Microsoft Entra 条件付きアクセス ポリシーと共に使用して、デバイスの登録時に多要素認証 (MFA) を要求できます。 MFA が必要な場合、デバイスを登録する従業員と学生は、最初に 2 台目のデバイスと 2 つの形式の資格情報を使用して認証する必要があります。 MFA では、次の検証方法の 2 つ以上を使用して認証する必要があります。

• パスワードや PIN など、パートナーが知っているもの。
• 信頼済みのデバイスや電話など、複製できない所有物。
• 指紋など、それらが何か。

デバイスが準拠していない場合、デバイス ユーザーは、Microsoft Intune に登録する前に、デバイスを準拠させるように求められます。

要件

デバイス登録時に多要素認証を要求するように Intune を構成する

Microsoft Intune の登録時に多要素認証を有効にするには、次の手順を実行します。

1. Microsoft Intune 管理センターにサインインします。

2. [デバイス] に移動します。

3. [ デバイスの管理] を展開し、[ 条件付きアクセス] を選択します。 この条件付きアクセス領域は、Microsoft Entra 管理センターで使用できる条件付きアクセス領域と同じです。 使用可能な設定の詳細については、「 条件付きアクセス ポリシーの構築」を参照してください。

4. [ 新しいポリシーの作成] を選択します。

5. ポリシーに名前を付けます。

6. [ユーザー] カテゴリを選択します。

   1. [ Include] タブで、[ ユーザーまたはグループの選択] を選択します。
   2. その他のオプションが表示されます。 ユーザーおよびグループの選択 ユーザーとグループの一覧が開きます。
   3. ポリシーに含める Microsoft Entra ユーザーまたはグループを参照して選択します。 次に、[選択] を選びます。
   4. ポリシーからユーザーまたはグループを除外するには、[ 除外 ] タブを選択し、前の手順で行ったように、それらのユーザーまたはグループを追加します。

7. 次のカテゴリ [ ターゲット リソース] を選択します。 この手順では、ポリシーが適用されるリソースを選択します。 この場合は、ユーザーまたはグループが Microsoft Intune 登録アプリにアクセスしようとするイベントにポリシーを適用する必要があります。

   1. [ このポリシーの適用対象を選択する] で、[ リソース (旧称クラウド アプリ)] を選択します。
   2. [ 含める] タブを選択します。
   3. [ リソースの選択] を選択します。 その他のオプションが表示されます。
   4. [ Select] で、[ None] を選択します。 開いているリソースの一覧。
   5. Microsoft Intune の登録を検索します。 次に、[ 選択] を選択してアプリを追加します。

   先進認証でセットアップ アシスタントを使って Apple が自動デバイス登録を行う場合、2 つのオプションから選ぶことができます。 次の表は、Microsoft Intune オプションと Microsoft Intune 登録オプションの違いを示しています。

   クラウド アプリ	MFA プロンプトの場所	デバイスの自動登録に関する注意事項
   Microsoft Intune	設定アシスタント、 ポータル サイト アプリ	このオプションでは、登録中およびユーザーがポータル サイト アプリまたは Web サイトにサインインするたびに、MFA が必要です。 MFA プロンプトがポータル サイトのサインイン ページに表示されます。
   [Microsoft Intune enrollment	設定アシスタント	このオプションを使用すると、MFA はデバイスの登録時に必要になり、ポータルポータル サイトのサインイン ページに 1 回限りの MFA プロンプトとして表示されます。

   注:

   新しいテナントの場合、Microsoft Intune 登録クラウド アプリは自動的に作成されません。 新しいテナント用にアプリを追加するには、Microsoft Entra 管理者が PowerShell または Microsoft Graph で、アプリ ID d4ebce55-015a-49b5-a083-c84d1797ae8c を使用して、サービス プリンシパル オブジェクトを作成する必要があります。

8. [ 付与 ] カテゴリを選択します。 この手順では、Microsoft Intune 登録アプリへのアクセスを許可またはブロックします。

   1. [ アクセス権の付与] を選択します。
   2. [ 多要素認証を要求する] を選択します。
   3. [デバイスは準拠としてマーク済みである必要があります] を選択します。
   4. [複数のコントロールの場合] で、[選択したコントロールすべてが必要] を選択します。
   5. [選択] を選択します。

9. [ セッション] カテゴリを選択します。 この手順では、セッション制御を利用して、Microsoft Intune 登録アプリ内で限定されたエクスペリエンスを有効にすることができます。

   1. [ サインインの頻度] を選択します。 その他のオプションが表示されます。
   2. [ すべての時間] を選択します。
   3. [選択] を選択します。

10. [ポリシーを有効にする] で、 を選択します。

11. [ 作成] を選択してポリシーを保存し、作成します。

このポリシーを適用して展開すると、デバイスを登録するデバイス ユーザーには、1 回限りの MFA プロンプトが表示されます。