Windows 登録構成証明の目的は、デバイスが参加するネットワーク内での安全性と信頼性を高めることです。 この機能を使用すると、Windows を実行しているデバイスが登録時に厳格なセキュリティ基準を満たしていることをチェックし、トラステッド プラットフォーム モジュール (TPM) テクノロジを使用して脅威に対する防御を強化できます。 また、Windows 登録構成証明機能では、安全に登録したデバイスを確認して報告し、プロセスの信頼性を確保します。
組織上の利点は次のとおりです。
セキュリティの向上: TPM 構成証明は、セキュリティの弱点や侵害されたデバイスを検出して対処し、不正アクセスやセキュリティ インシデントの可能性を減らすのに役立ちます。
規制基準への準拠: Windows 構成証明は、組織がデバイスの登録時に厳格なセキュリティ対策に従っていることを証明するのに役立ちます。これは、業界の規制とコンプライアンス要件を満たすために重要です。
主な目標は、登録プロセス中に Windows 構成証明を使用して、組織インフラストラクチャ内のデバイスに対してより安全で信頼できる環境を確立することです。
Windows 登録構成証明の要件
構成証明率を向上させるためには、最新の更新プログラムを使用することをお勧めします。
デバイス プラットフォームの要件
- Windows 10 (10.0.19045.3996 以降)
- Windows 11 (10.0.22000.2713 以降、10.0.22621.2792 以降、10.0.22631.2792 以降)
TPM 2.0 以降が必要です。 物理デバイスのみ。
注:
仮想マシンは、vTPM を使用している場合でも、次のような構成証明できません。
- Hyper-V および Azure 仮想マシン
- Azure Virtual Desktop セッション ホスト
- Windows 365 クラウド PC
- Microsoft Dev Box
重要
2025 年 10 月 14 日に、Windows 10 はサポートが終了し、品質と機能の更新プログラムを受け取ることはありません。 Windows 10 は、Intune で許可されているバージョンです。 このバージョンを実行しているデバイスは引き続き Intune に登録して対象機能を使用できますが、機能は保証されず、異なる場合があります。
この機能の TPM による構成証明は、Intune デバイス管理の登録中、Windows Autopilot の事前プロビジョニングと共有デバイス モード (SDM) で発生する TPM 構成証明の後です。
Windows 構成証明に適用可能な構成サービス プロバイダー (CSP):
Windows 登録構成証明のしくみ
デバイスの構成証明の状態レポート
このレポートには、デバイス、その TPM、およびデバイスが登録時に正常に構成証明されたかどうかに関する情報が表示されます。 デバイスが構成証明しない場合は、レポートの [状態の詳細 ] セクションでその理由が説明されます。 このレポートを使用して、デバイスの完全な一覧を表示し、登録時に正常に構成されたデバイスチェックします。
このレポートにアクセスするには:
Microsoft Intune 管理センターにサインインします。
[デバイス管理] セクションで [レポート>デバイスの構成証明の状態 (プレビュー)] を選択します。
構成 証明の状態 または 所有権の種類 でフィルター処理し、[ レポートの生成] を選択します。
レポートが生成されると、 表示される最上位レベルの詳細には、次のものが含まれます。
デバイス名
デバイス ID
UPN
デバイスの構成証明の状態
状態の詳細
OS
OS のバージョン
所有権
最終チェック
登録日
TPM のバージョン
TPM 製造元
モデル
エントリを選択すると、デバイスに関する詳細情報が表示されます。 左側の [ 選択 ] 列を使用してエントリを選択し、レポートの上部にある構成 証明デバイス アクション を使用して再構成証明することもできます。
次の表に、ステータスの詳細とその説明を示します。
| 状態の詳細 | 説明 |
|---|---|
| Entra キーを構成できない | Entra チームは、ENTRA 証明書のキーを TPM に保存しませんでした。 これは、AP ODJ に登録されているデバイスに影響します。 |
| 構成証明が進行中です | Intune が最新の状態を照会する場合、デバイスは構成証明でまだ作業中です。 |
| TPM は信頼されていない | デバイスには、信頼されていないため、構成証明できない TPM が含まれています。 |
| TPM は使用できません | デバイスに TPM 2.0 がないか、ファームウェアの更新が必要なため、TPM を構成証明できません。 ファームウェアを更新する方法の詳細については、 |
| TPM の準備ができていない | TPM をこのデバイスで使用する準備が整っていません。 ユーザーは TPM の所有権をリセットする必要があります。 TPM の所有権をリセットする方法の詳細については、「 リソース」を参照してください |
| クライアント要求が拒否されました | クライアントの構成証明要求が MDM サーバーに到達しなかったか、サーバーが要求を拒否しました。 デバイスの所有者は、デバイスが引き続き Entra で認証できるかどうかをチェックする必要があります。 詳細については、「 参考文献」を参照してください。 |
| AIK 証明書が提供されなかった | デバイスで AIK 証明書がありません。 ネットワークの問題が原因である可能性があります。 一時的な場合、デバイスが AIK 証明書を受信すると、構成証明は正常に再試行されます。 |
| クライアントがすべての必須パラメーターを提供しませんでした | AIK 証明書と AIK 公開キーの両方がありません。 |
| MDM キーは既に TPM にあります | デバイスは、MDM キーが既に TPM に保存されていることを示します。 ただし、AIK 証明書または AIK 公開キーが見つからないか、ENTRA キーを構成できないため、Intune はそれを証明できません。 |
| 機能はサポートされていません | この状態は、まだ構成証明できないデバイスに対して表示されます。 例としては、Hyper-V および Azure 仮想マシン、Azure Virtual Desktop セッション ホスト、Windows 365 クラウド PC、Microsoft Dev Box などがあります。 |
| Entra トークンがデバイス ID と一致しない | 登録用の ENTRA トークンが、登録要求に提示された ENTRA キーと一致しません。 この問題を解決するには、最新の Windows ビルドにアップグレードして構成証明を再試行します。 |
| Entra トークンにデバイス ID が見つからない | 登録用の ENTRA トークンに ENTRA デバイス ID がありません。 |
詳細については、「 リソース」 セクションを参照してください。
注:
AP ODJ デバイスは、登録時に常に構成証明に失敗します。 AP ODJ メソッドを使用して登録されたデバイスを構成証明するには、登録後にレポートから構成証明を行う必要があります。 詳細については、「 デバイス アクションの証明」を参照してください。
デバイス アクションの証明
TPM 構成証明を開始し ていない デバイスがレポートに含まれている場合は、これらのデバイスをいくつか一度に選択し、レポートの上部にある新しいデバイス アクションデバイスを 構成証明 を使用して TPM でそれらを構成証明できます。 このデバイス操作は、デバイスを証明するのに数分もかからず、 更新時にレポートに反映されます。
一部の 未開始 デバイスを構成するには:
レポートの上部にあるドロップダウン フィルターを使用して、構成証明状態を [未開始] にフィルター処理します。
もう 一度 [生成] を選択します。 そこから、いくつかのデバイスを選択し、レポートの上部にある [ デバイス操作の構成証明 ] を選択します。
デバイスのアクティビティと選択したデバイスの数によっては、構成証明に最大 15 分かかる場合があります。 しばらくしてから更新して、選択したデバイスの更新された状態を確認します。
注:
デバイス アクションには一度に最大 100 台のデバイスのみを選択できます。構成 証明デバイス アクションがトリガーされるまで少なくとも 1 分待ちます。
デバイスが構成証明に失敗した場合は、[ 状態の詳細 ] 列の値に応じて、 構成証明 デバイス アクションを使用して構成証明を再試行できます。 次のいずれかの状態 の詳細 が表示された場合は、 構成証明デバイス アクションを再試行することをお勧めします。
Entra キーを構成できない
TPM は使用できません
クライアントによって AIK 証明書が提供されなかった
構成証明が進行中です
MDM キーは既に TPM にあります
TPM の準備ができていない
認証に失敗しました
クライアントが構成証明に必要なすべての必須パラメーターを提供しませんでした
Entra トークンがデバイス ID と一致しない
デバイス アクションのアクセス許可
デバイス構成証明アクションを使用するには、リモート タスクと呼ばれる役割ベースのアクセス許可が必要です。 デバイスにモバイル デバイス管理 (MDM) の構成証明が可能であるかどうかを示します。 [アクセス許可] を [ はい ] に設定して、アクションを有効にします。 アクセス許可を [はい] に設定すると、IT 管理者は構成 証明デバイス アクションを開始できます。
リソース
重要
通常、TPM のトラブルシューティングにはワイプ アンド リセット アクションが必要であり、これによりデータが失われる可能性があります。 TPM のトラブルシューティング手順を実行する前に、バックアップが確保されていることを確認してください。
その他のリンク: