Intune を使用してアプリベースの条件付きアクセス ポリシーを使用する

Microsoft Intune アプリ保護ポリシーは、Microsoft Entra 条件付きアクセスと連携して、従業員が使用するデバイス上の組織データを保護します。 これらのポリシーは、Intune に登録したデバイスに対して、また、従業員が所有する未登録のデバイスに対して機能します。 これらを組み合わせて、アプリ ベースの条件付きアクセスと呼ばれます。

クライアント アプリ管理を使用したアプリ ベースの条件付きアクセスにより、セキュリティ層が追加され、Intune アプリ保護ポリシーをサポートするクライアント アプリのみが Exchange Online およびその他の Microsoft 365 サービスにアクセスできるようにします。

要件

サポートされているアプリ

アプリベースの条件付きアクセスをサポートするアプリの一覧については、「Microsoft Entra ドキュメントの条件付きアクセス: 条件」を参照してください。

アプリベースの条件付きアクセスでは基幹業務 (LOB) アプリもサポートされていますが、これらのアプリでは Microsoft 365 の先進認証が使用されている必要があります。

アプリベースの条件付きアクセスのしくみ

アプリ ベースの条件付きアクセスは、ブローカー アプリにデバイスを Microsoft Entra ID に登録することを要求することで機能します。 ブローカー アプリは、iOS では Microsoft Authenticator、Android ではポータル サイトを使用できます。 認証中、Microsoft Entra ID は、アクセスを許可する前に、アプリがポリシーで承認されたリストにあるかどうかを確認します。 次の図は、このプロセスを示しています。

技術的な詳細な概要については、Microsoft Entra ドキュメントの「クライアント アプリ」を参照してください。

アプリベースの条件付きアクセス ポリシーを作成する

条件付きアクセスは Microsoft Entra テクノロジです。 Microsoft Intune 管理センターからアクセスする条件付きアクセス ノードは、Microsoft Entra ID からアクセスするノードと同じであるため、ポリシーを構成するために条件付きアクセスを切り替える必要はありません。

条件付きアクセス ポリシーを作成する前に、Intune アプリ保護ポリシーをアプリに適用する必要があります。

1. Microsoft Intune 管理センターにサインインします。

2. [エンドポイント セキュリティ]>[条件付きアクセス]>新しいポリシーの作成] を選択します。

3. ポリシー 名を入力し、[ 割り当て] で、ポリシーをユーザーとグループに適用するように ユーザーとグループ を構成します。 [ 含める] オプションまたは [除外する] オプションを使用して、グループを追加します。

4. [ 割り当て] で、 ターゲット リソースを構成します。 クラウド アプリにポリシーを適用します。 [ 含める ] オプションまたは [除外する ] オプションを使用して、保護するアプリを選択します。 たとえば、[アプリの選択]、[Office 365] の順に選択します。

5. [条件]>[クライアント アプリ] の順に選択して、アプリとブラウザーにポリシーを適用します。 たとえば、[はい] を選択し、[ブラウザー] と [モバイル アプリとデスクトップ クライアント] を有効にします。

6. [ アクセス制御] で、[ 付与] を構成します。 たとえば、[アクセス権の付与]>[承認されたクライアント アプリが必要]、[アプリの保護ポリシーが必要] の順に選択した後、[選択したコントロールのいずれかが必要] を選択します。

7. [ポリシーを有効にする] で、[オン] を選択してから [作成] を選びます。

次の手順

• Intune を使用したデバイス ベースの条件付きアクセス
• 先進認証を使用しないアプリをブロックする
• アプリ保護ポリシーでアプリ内のデータを保護する
• 条件付きアクセスの展開を計画する