Microsoft Intune でコンプライアンス ポリシーを作成する

Intune を使用して組織のリソースを保護する場合、デバイスのコンプライアンス ポリシーは重要な機能です。 Intune では、最低限の OS バージョンなど、デバイスがコンプライアンス準拠と見なされるために満たす必要がある規則と設定を作成できます。 デバイスが準拠していない場合は、 条件付きアクセスを使用してデータとリソースへのアクセスをブロックできます。

また、ユーザーに通知メールを送信するなど、コンプライアンス違反に対するアクションを実行することもできます。 コンプライアンス ポリシーの役割と使用方法の概要については、デバイスのコンプライアンスの概要に関するページを参照してください。

この記事の内容:

• コンプライアンス ポリシーを作成するための前提条件と手順を一覧表示します。
• ユーザーおよびデバイス グループにポリシーを割り当てる方法を示します。
• ポリシーを "フィルター処理" するためのスコープ タグや、準拠していないデバイスで実行できる手順など、その他の機能について説明します。
• デバイスでポリシーの更新を受信した際のチェックインの更新サイクル時間を示します。

要件

デバイス プラットフォームの要件

Intune に組み込まれているコンプライアンス設定に加えて、次のプラットフォームでは、コンプライアンス ポリシーへのカスタム コンプライアンス設定の追加がサポートされています。

• Linux
  • Ubuntu Desktop バージョン 24.04 LTS または 26.04 LTS
  • RedHat Enterprise Linux 9 または 10
• Windows

カスタム設定を追加する前に、カスタム コンプライアンスの基礎となる設定を定義するカスタム JSON ファイルと、JSON で定義された設定を検出するためにデバイスで実行されるスクリプトを準備する必要があります。

サポートされているプラットフォーム、前提条件、ポリシーの作成時に カスタム コンプライアンス カテゴリを構成する方法など、カスタム コンプライアンス設定の使用の詳細については、「 カスタム コンプライアンス設定の使用」を参照してください。

ポリシーの作成

1. Microsoft Intune 管理センターにサインインします。

2. [デバイス] に移動します。

3. [ デバイスの管理] で、[ コンプライアンス] を選択します。 次に、[ Create policy] を選択します。

4. 次のオプションから、このポリシーの [プラットフォーム] を選択します。

   • Android デバイス管理者
   • Android (AOSP)
   • Android エンタープライズ
   • iOS/iPadOS
   • Linux - (Ubuntu デスクトップ、バージョン 24.04 LTS または 26.04 LTS、RedHat Enterprise Linux 9、または RedHat Enterprise Linux 10)
   • macOS
   • Windows 10 以降
   • Windows 8.1 以降

   Android Enterprise の場合は、[プロファイルの種類] も選択します。 次のようなオプションがあります:

   • フル マネージドの専用の企業所有の仕事用プロファイル
   • 個人所有の仕事用プロファイル

   次に 、作成 を選択して構成ページを開きます。

5. [ 基本 ] タブで、後でこのポリシーを識別しやすい ように [名前 ] を入力します。 たとえば、適切なポリシー名は、iOS/iPadOS の脱獄されたデバイスを非準拠としてマークするなどです。

   必要に応じて、ポリシーの [説明 ] を入力します。

6. [コンプライアンス設定] タブで、使用できるカテゴリを展開し、ポリシーの設定を構成します。 次の記事では、各プラットフォームで使用できるコンプライアンス設定について説明します。

   • Android デバイス管理者
   • Android (AOSP)
   • Android エンタープライズ
   • iOS/iPadOS
   • Linux
   • macOS
   • Windows 8.1 以降
   • Windows

7. 必要に応じて、サポートされているプラットフォームのカスタム設定を追加します。

   ヒント

   この手順はオプションであり、次のプラットフォームでサポートされています。

   • Linux
     • Ubuntu Desktop バージョン 24.04 LTS または 26.04 LTS
     • RedHat Enterprise Linux 9 または 10
   • macOS
   • Windows ポリシーにカスタム設定を追加するには、検出スクリプトを Intune にアップロードして、コンプライアンスに使用する設定を定義する JSON ファイルを作成します。 詳細については、「 カスタム コンプライアンス設定」を参照してください。

   [ コンプライアンス設定 ] ページで、[ カスタムコンプライアンス] カテゴリを展開します。

   Windows の場合:

   1. [ コンプライアンス設定 ] ページで、[ カスタムコンプライアンス] を展開し、[ カスタムコンプライアンス] を [必須] に設定します。
   2. [検出スクリプトの選択] で、[クリックして選択] を選択し、Microsoft Intune 管理センターに以前に追加したスクリプトの名前を入力します。 このスクリプトは、ポリシーの作成を開始する前にアップロードする必要があります。 [ 選択] を選択して次の手順に進みます。
   3. [ カスタム コンプライアンス設定で JSON ファイルをアップロードして検証する] で、フォルダー アイコンを選択し、このポリシーで使用する Windows 用の JSON ファイルを見つけて追加します。 JSON の詳細については、「 カスタム コンプライアンス設定用の JSON を作成する」を参照してください。

   Linux と macOS の場合:

   1. [ コンプライアンス設定 ] ページで、[ 設定の追加 ] を選択して、[ 設定ピッカー] を開きます。
   2. [ カスタム コンプライアンス] を選択します。 次に、設定ピッカーを閉じます。
   3. [ カスタム コンプライアンスが必要] を True に切り替えます。
   4. [ 検出スクリプトの選択] で、 [ スクリプトの選択] を選択します。 次に、Microsoft Intune 管理センターに以前に追加されたスクリプトを選択します。 このスクリプトは、ポリシーの作成を開始する前にアップロードする必要があります。
   5. [ ルール ファイルの選択] で、フォルダー アイコンを選択し、このポリシーで使用する JSON ファイルを見つけて追加します。 JSON の詳細については、「 カスタム コンプライアンス設定用の JSON を作成する」を参照してください。

   Intune が JSON を検証するまで待ちます。 修正が必要な問題が画面に表示されます。 JSON コンテンツの検証後、JSON からのルールがテーブル形式で表示されます。

8. [ コンプライアンス違反に対するアクション ] タブで、このコンプライアンス ポリシーを満たしていないデバイスに自動的に適用される一連のアクションを選択します。

   複数のアクションを追加し、一部のアクションのスケジュールと詳細を構成できます。 たとえば、既定のアクションである [デバイスに非準拠のマークを付ける] のスケジュールを 1 日後に発生するように変更できます。 次に、デバイスが準拠していない場合にユーザーにメールを送信して、その状態を警告するアクションを追加できます。 非準拠のままデバイスをロックまたは廃止するアクションを追加することもできます。

   構成できるアクションについては、ユーザーに送信する通知メールを作成する方法など、非準拠デバイスに対してアクションを追加する方法に関するページを参照してください。

   [場所] を使用し、コンプライアンス ポリシーに少なくとも 1 つの場所を追加する例もあります。 このケースでは、少なくとも 1 つの場所を選択すると、コンプライアンス非対応に対する既定のアクションが適用されます。 選択した場所のいずれにもデバイスが接続されていない場合、デバイスは準拠していないと見なされます。 ユーザーに 1 日などの猶予期間を与えるようにスケジュールを構成できます。

9. [スコープ タグ] タブで、タグを選択して、ポリシーを US-NC IT Team や JohnGlenn_ITDepartment などの特定のグループにフィルター処理します。 設定を追加したら、コンプライアンス ポリシーにスコープのタグを追加することもできます。

   スコープ タグの使用の詳細については、スコープのタグを使用してポリシーをフィルター処理する方法に関するページを参照してください。

10. [割り当て] タブで、グループにポリシーを割り当てます。

    [ グループの追加] を選択し、ポリシーを 1 つ以上のグループに割り当てます。 次の手順の後にポリシーを保存すると、ポリシーはこれらのグループに適用されます。

    Linux のポリシーはユーザーベースの割り当てをサポートしておらず、デバイス グループにのみ割り当てることができます。

11. [確認および作成] タブで設定を確認し、コンプライアンス ポリシーを保存する準備ができたら [作成] を選択します。

    Intune は、ポリシーの対象となるユーザーまたはデバイスが Intune にチェックするときに、コンプライアンスを評価します。

サイクル時間の更新

Intune では、複数の更新サイクルを使用して、コンプライアンス ポリシーの更新が確認されます。 登録してすぐのデバイスでは、チェックインの実行頻度が高くなります。 「ポリシーとプロファイルの更新サイクルに、おおよその更新間隔が一覧表示されています。

ユーザーはいつでもポータル サイト アプリを起動し、デバイスを同期して、ポリシーの更新をすぐに確認できます。

クライアント主導のコンプライアンス評価 (プレビュー)

サポートされている Windows デバイスの場合、Intune はクライアント主導のコンプライアンス評価をサポートします。 この機能を使用すると、デバイスは、次にスケジュールされたチェック サイクルを待つのではなく、特定のローカル状態の変更を検出し、事前にコンプライアンスの再評価を要求できます。

クライアント主導のコンプライアンス評価をトリガーできる状態の変更には、デバイス構成、セキュリティ体制、およびデバイスのコンプライアンス状態に影響を与えるその他の設定の変更が含まれます。

InGracePeriod 状態を割り当てる

コンプライアンス ポリシーの InGracePeriod 状態は値の 1 つです。 この値は、デバイスの猶予期間、およびそのコンプライアンス ポリシーのデバイスの実際の状態の組み合わせによって決まります。

具体的には、デバイスに割り当てられているコンプライアンス ポリシーが NonCompliant 状態になっている場合、次のようになります。

• デバイスに猶予期間が割り当てられていない場合、コンプライアンス ポリシーに割り当てられる値は NonCompliant です。
• デバイスに割り当てられている猶予期間が期限切れになっている場合、コンプライアンス ポリシーに割り当てられる値は NonCompliant です。
• デバイスに将来の猶予期間が割り当てられている場合、コンプライアンス ポリシーに割り当てられる値は InGracePeriod です。

次の表はこれらの点をまとめたものです。

デバイスのコンプライアンス ポリシーの監視の詳細については、「Intune デバイス コンプライアンス対応ポリシーの監視」を参照してください。

コンプライアンス ポリシーの結果の状態を割り当てる

デバイスに複数のコンプライアンス ポリシーがあり、デバイスの 2 つ以上の割り当て済みコンプライアンス ポリシーが異なるコンプライアンス状態になっている場合、1 つの結果のコンプライアンス状態が割り当てられます。 この割り当ては、各コンプライアンス状態に割り当てられている概念的な重大度レベルを基にしています。 各コンプライアンス状態には、次の重大度レベルがあります。

デバイスに複数のコンプライアンス ポリシーがある場合、Intune はすべてのポリシーの中で最も高い重大度レベルをそのデバイスに割り当てます。

たとえば、デバイスに 3 つのコンプライアンス ポリシーが割り当てられていて、1 つが不明状態 (重大度 = 1)、1 つが準拠状態 (重大度 = 3)、1 つが InGracePeriod 状態 (重要度 = 4) であるとします。 InGracePeriod 状態の重大度レベルが最も高いため、デバイスには InGracePeriod コンプライアンス状態が与えられます。

次の手順

ポリシーを監視します。