コンプライアンス ポリシーを使用して、Intune で管理するデバイスのルールを設定する

Microsoft Intune コンプライアンス ポリシーは、管理対象デバイスの構成を評価するために使用する一連のルールと条件です。 これらのポリシーは、これらの構成要件を満たしていないデバイスから組織のデータとリソースを保護するのに役立ちます。 マネージド デバイスが Intune に準拠していると見なされるには、ポリシーで設定した条件を満たす必要があります。

ポリシーのコンプライアンス結果を Microsoft Entra 条件付きアクセスと統合すると、追加のセキュリティ レイヤーの恩恵を受けることができます。 条件付きアクセスは、デバイスの現在のコンプライアンス状態に基づいて Microsoft Entra アクセス制御を適用し、準拠したデバイスのみが企業リソースにアクセスできるようにします。

Intune コンプライアンス ポリシーは、次の 2 つの領域に分かれています。

• コンプライアンス ポリシー設定 は、すべてのデバイスが受け取る組み込みのコンプライアンス ポリシーのように機能するテナント全体の構成です。 コンプライアンス ポリシー設定は、明示的なデバイス コンプライアンス ポリシーが割り当てられていないデバイスを処理する方法など、Intune 環境でのコンプライアンス ポリシーの動作方法を確立します。

• デバイス コンプライアンス ポリシー は、ユーザーまたはデバイスのグループに展開する、プラットフォーム固有のルールと設定の個別のセットです。 デバイスは、ポリシー内のルールを評価して、デバイスのコンプライアンス状態を報告します。 非準拠の状態は、非準拠に対する 1 つ以上のアクションにつながる可能性があります。 Microsoft Entra 条件付きアクセス ポリシーでは、その状態を使用して、そのデバイスからの組織リソースへのアクセスをブロックすることもできます。

コンプライアンス ポリシー設定

コンプライアンス ポリシー設定 は、Intune のコンプライアンス サービスがデバイスとどのように対話するかを決定する、テナント全体の設定です。 これらの設定は、デバイス コンプライアンス ポリシーで構成する設定とは異なります。

コンプライアンス ポリシー設定を管理するには、管理センター Microsoft Intuneサインインし、[エンドポイント セキュリティ>デバイスのコンプライアンス]>コンプライアンス ポリシー設定 に移動します。

コンプライアンス ポリシーの設定には、次のものが含まれます。

• [コンプライアンス ポリシーが割り当てられていないデバイスをマークする]

  この設定により、デバイス コンプライアンス ポリシーが割り当てられていないデバイスが Intune でどのように処理されるかが決まります。 この設定には次の 2 つの値があります。

  • 準拠 (既定値): このセキュリティ機能は無効になっています。 デバイス コンプライアンス ポリシーが送信されていないデバイスは "準拠" と見なされます。
  • 非準拠: このセキュリティ機能は有効になっています。 デバイス コンプライアンス ポリシーがないデバイスは、非準拠と見なされます。

  デバイス コンプライアンス ポリシーで条件付きアクセスを使用する場合は、この設定を [ 非準拠 ] に変更して、準拠として確認されたデバイスのみがリソースにアクセスできるようにします。

  ポリシーが割り当てられていないためにエンド ユーザーに準拠していない場合、ポータル サイト アプリには、コンプライアンス ポリシーが割り当てられていないことが表示されます。

• [コンプライアンス状態の有効期間 (日)]

  受信したすべてのコンプライアンス ポリシーについて、デバイスが正常に報告する必要がある期間を指定します。 有効期限が切れる前にデバイスがポリシーのコンプライアンス状態を報告できなかった場合、デバイスは非準拠として扱われます。

  既定では、期間は 30 日に設定されます。 1 日から 120 日の期間を構成できます。

  デバイスの有効期間設定への準拠に関する詳細を表示できます。 管理センター Microsoft Intuneサインインし、[デバイス>モニター]>[コンプライアンスの設定] に移動します。 この設定の名前は、[設定] 列の [アクティブ] の名前です。 この設定と関連するコンプライアンス状態ビューの詳細については、「 デバイス コンプライアンスの監視」を参照してください。

デバイス コンプライアンス ポリシー

Intune デバイス コンプライアンス ポリシーは、ユーザーまたはデバイスのグループに展開する、プラットフォーム固有のルールと設定の個別のセットです。 コンプライアンス ポリシーを使用して、次の手順を実行します。

• 準拠ユーザーおよびマネージド デバイスであるために満たす必要があるルールや設定を定義します。 ルールの例としては、デバイスに最小 OS バージョンの実行を要求する、ジェイルブレイクやルート化されていない、Intune と統合する脅威管理ソフトウェアで指定された脅威レベル以下であることなどがあります。

• ポリシーのコンプライアンス ルールを満たしていないデバイスに適用される コンプライアンス違反に対するアクション をサポートします。 コンプライアンス違反に対するアクションの例としては、デバイスを非準拠としてマークする、リモートでロックする、デバイス ユーザーに対してデバイスの状態に関するメールを送信して修正できるようにするなどがあります。

デバイス コンプライアンス ポリシーを使用する場合:

• 一部のコンプライアンス ポリシーの構成は、デバイス構成ポリシーを使用して管理する設定の構成をオーバーライドできます。 ポリシーの競合解決の詳細については、「 競合するコンプライアンスおよびデバイス構成ポリシー」を参照してください。

• ポリシーは、ユーザー グループのユーザーまたはデバイス グループ内のデバイスに展開できます。 コンプライアンス ポリシーをユーザーに展開すると、Intune はユーザーのすべてのデバイスのコンプライアンスを確認します。 このシナリオでのデバイス グループの使用は、コンプライアンス レポートに役立ちます。

• Microsoft Entra 条件付きアクセスを使用する場合、条件付きアクセス ポリシーはデバイス コンプライアンスの結果を使用して、非準拠デバイスからのリソースへのアクセスをブロックできます。

• 他の Intune ポリシーと同様に、デバイスのコンプライアンス ポリシーの評価は、デバイスが Intune にチェックインするタイミングと、ポリシーとプロファイルの更新サイクルによって異なります。 Windows デバイスの場合、Intune はクライアント主導のコンプライアンス評価もサポートしています。 この機能を使用すると、サポートされているデバイスは、ローカル状態の変化が検出されたときに、事前にコンプライアンスの再評価を要求できます。

デバイス コンプライアンス ポリシーで指定できる設定は、ポリシーの作成時に選択したプラットフォームの種類によって異なります。 デバイス プラットフォームごとに異なる設定がサポートされており、プラットフォームの種類ごとに個別のポリシーが必要です。

次のトピックでは、デバイス コンプライアンス ポリシーのさまざまな側面に関する専用記事へのリンクを示しています。

• 非準拠のアクション - 既定では、各デバイス コンプライアンス ポリシーには、ポリシー ルールを満たさない場合にデバイスを非準拠としてマークするアクションが含まれています。 各ポリシーは、デバイス プラットフォームに基づいて、より多くのアクションをサポートできます。 追加アクションの例を次に示します。

  • 非準拠デバイスに関する詳細情報が含まれているユーザーおよびグループに電子メール アラートを送信します。 非準拠とマークされた直後に電子メールを送信し、デバイスが準拠状態になるまで定期的に電子メールを送信するポリシーを構成することができます。
  • 非準拠のデバイスをリモートでしばらくロックする。
  • デバイスが一定期間非準拠していた場合は廃止します。 このアクションは、条件を満たすデバイスを廃止する準備ができていることをマークします。 その後、管理者は廃止のマークが付けられたデバイスのリストを表示でき、1 つ以上のデバイスを廃止するには、明示的なアクションを実行する必要があります。 デバイスを廃止すると、そのデバイスは Intune 管理から削除され、デバイスからすべての企業データが削除されます。 このアクションの詳細については、「非準拠に対して使用できるアクション」を参照してください。

• コンプライアンス ポリシーの作成 - リンクされた記事の情報を使用して、前提条件を確認し、オプションを使用してルールを構成し、コンプライアンス違反に対するアクションを指定し、グループにポリシーを割り当てることができます。 この記事には、ポリシーの更新時間に関する情報も含まれています。

  さまざまなデバイス プラットフォームでのデバイスのコンプライアンス設定を参照してください。

  • Android デバイス管理者
  • Android エンタープライズ
  • Android Open Source Project (AOSP)
  • iOS
  • Linux
  • macOS
  • Windows Holographic for Business
  • Windows
  • Windows 8.1 以降

    重要

    2022 年 10 月 22 日、Microsoft Intune は Windows 8.1 を実行しているデバイスのサポートを終了しました。 これらのデバイスでは技術サポートや自動更新は利用できません。

• カスタム コンプライアンス設定 - カスタム コンプライアンス設定を使用すると、Intune の組み込みのデバイス コンプライアンス オプションを拡張できます。 カスタム設定を使用すると、Intune がそれらの設定を追加するのを待たずに、デバイスで使用できる設定に基づいてコンプライアンスを柔軟に行うことができます。

  カスタム コンプライアンス設定は、次のプラットフォームで使用できます。

  • Linux
    • Ubuntu Desktop バージョン 24.04 LTS または 26.04 LTS
    • RedHat Enterprise Linux 9 または 10
  • macOS
  • Windows

コンプライアンス状態を監視する

Intune には、デバイスのコンプライアンス状態を監視し、ポリシーとデバイスの詳細を調整するために使用するデバイス コンプライアンス ダッシュボードが含まれています。 このダッシュボードの詳細については、デバイス コンプライアンスの監視に関する記事を参照してください。

条件付きアクセスと統合する

条件付きアクセスを使用する場合は、デバイス コンプライアンス ポリシーの結果を使用するための条件付きアクセス ポリシーを構成して、組織のリソースにアクセスできるデバイスを決定できます。 このアクセスの制御は、デバイス コンプライアンス ポリシーに含める非準拠に対するアクションとは別のものとして追加されます。

デバイスが Intune に登録されると、Microsoft Entra ID に登録されます。 デバイスのコンプライアンス状態は Microsoft Entra ID に報告されます。 条件付きアクセス ポリシーでアクセス制御が [デバイスを準拠としてマークする必要がある] に設定されている場合、条件付きアクセスはその準拠状態を使用して、メールやその他の organization リソースへのアクセスを許可するかブロックするかを決定します。

条件付きアクセス ポリシーでデバイスのコンプライアンス状態を使用する場合は、[コンプライアンス ポリシー設定] で管理する [コンプライアンス ポリシーが割り当てられていないデバイスをマークする] オプションとして、テナントがどのように構成されているかを確認します。

デバイス コンプライアンス ポリシーで条件付きアクセスを使用する方法の詳細については、「 デバイス ベースの条件付きアクセス」を参照してください。

条件付きアクセスの詳細については、Microsoft Entra ドキュメントをご覧ください。

• 条件付きアクセスとは
• デバイス ID とは

異なるプラットフォームでのコンプライアンス違反と条件付きアクセスの参照

次の表では、条件付きアクセス ポリシーとコンプライアンス ポリシーを使用する場合に、非準拠設定を管理する方法について説明します。

• 修復: デバイス オペレーティング システムによって準拠が強制されます たとえば、ユーザーは PIN を設定するように強制されます。

• 検疫済み: デバイス オペレーティング システムによって準拠が強制されません。 たとえば、Android デバイスと Android エンタープライズ デバイスでは、ユーザーはデバイスの暗号化を強制されません。 デバイスが準拠していない場合、次のアクションが行われます。

  • ユーザーに条件付きアクセス ポリシーを適用すると、デバイスがブロックされます。
  • ポータル サイト アプリでは、コンプライアンスの問題についてユーザーに通知します。

次の手順

• ポリシーを作成して展開し、前提条件を確認する
• デバイスのコンプライアンスの監視
• サード パーティ製デバイス コンプライアンス パートナー
• Microsoft Intune でのデバイス ポリシーとプロファイルの一般的な質問、イシューと解決策
• 「ポリシー エンティティのリファレンス」には、Intune データ ウェアハウス ポリシー エンティティに関する情報が含まれます