Intune で使用できる条件付きアクセス ポリシーには、デバイスベースとアプリベースの 2 種類があります。 この記事では、両方のタイプの一般的なシナリオについて説明します。
この記事の情報は、Intune モバイル デバイス コンプライアンス機能と Intune モバイル アプリケーション管理 (MAM) 機能の両方を使用する方法を理解するのに役立ちます。
注:
条件付きアクセスは、Microsoft Entra ID P1 または P2 ライセンスに含まれる Microsoft Entra 機能です。 Microsoft Intune 管理センターからアクセスされた条件付きアクセス ノードは、Microsoft Entra ID からアクセスされたノードと同じです。
Microsoft Intune を制御するために条件付きアクセスで使用できるアプリケーション
Microsoft Entra 管理センターで条件付きアクセスを構成する場合、次の 2 つのアプリケーションから選択できます。
- Microsoft Intune - このアプリケーションは、Microsoft Intune 管理センターとデータ ソースへのアクセスを制御します。 Microsoft Intune 管理センターとデータ ソースを対象とする場合は、このアプリケーションに対する許可/制御を構成します。
- Microsoft Intune Enrollment - このアプリケーションを使用すると、登録ワークフローを制御できます。 登録プロセスを対象にする場合は、このアプリケーションで許可または制御を構成します。 詳細については、「Intune デバイスの登録に多要素認証を要求する」を参照してください。
デバイスベースの条件付きアクセス
Intune と Microsoft Entra ID は連携して、管理された準拠デバイスのみがorganizationのメール、Microsoft 365 サービス、サービスとしてのソフトウェア (SaaS) アプリ、オンプレミス アプリにアクセスできるようにします。 さらに、Intune に登録されているドメイン参加済みコンピューターまたはモバイル デバイスのみが Microsoft 365 サービスにアクセスできるように、Microsoft Entra ID のポリシーを設定することもできます。
Intune では、デバイス コンプライアンス ポリシーを展開して、デバイスが予想される構成とセキュリティの要件を満たしているかどうかを判断します。 コンプライアンス ポリシーの評価により、デバイスのコンプライアンス状態が決定され、Intune と Microsoft Entra ID の両方に報告されます。 条件付きアクセス ポリシーは Microsoft Entra ID 内で、デバイスのコンプライアンス状態を使用して、そのデバイスからのorganizationのリソースへのアクセスを許可するかブロックするかを決定できます。
Exchange Online およびその他の Microsoft 365 製品のデバイスベースの条件付きアクセス ポリシーは、Microsoft Intune 管理センターを通じて構成されます。
詳細については、「Microsoft Entra ID で条件付きアクセスを使用して管理対象デバイスを要求する」を参照してください。
Intune のデバイス コンプライアンスの詳細については、こちらを参照してください。
Microsoft Entra ID の条件付きアクセスでサポートされているブラウザーの詳細について説明します。
以下のシナリオはデバイスベースの条件付きアクセスに基づいて構築されており、特定のコンテキストでどのように適用されるかを示しています。
ネットワーク アクセス制御に基づく条件付きアクセス
Intune は Cisco ISE、Aruba Clear Pass、Citrix NetScaler などのパートナーと統合され、Intune 登録とデバイスのコンプライアンス対応状態に基づいたアクセス制御が提供されます。
ユーザーは、使用しているデバイスが管理され、Intune デバイス コンプライアンス ポリシーに準拠しているかどうかに基づいて、会社の Wi-Fi や VPN リソースへのアクセスを許可または拒否されます。
- NAC と Intune の統合について詳しくは、こちらをご覧ください。
デバイスのリスクに基づく条件付きアクセス
Intune は、モバイル デバイス上のマルウェア、トロイの木馬、その他の脅威を検出するためのセキュリティ ソリューションを提供するモバイル脅威防御ベンダーと提携しています。 モバイル デバイスに Mobile Threat Defense エージェントがインストールされている場合、脅威が検出されると、エージェントはコンプライアンス状態メッセージを Intune レポートに送り返します。 この統合は、デバイス リスクに基づく条件付きアクセスの決定の要因となります。
- Intune Mobile Threat Defense について詳しくは、こちらをご覧ください。
Windows PC の条件付きアクセス
PC の条件付きアクセスでは、モバイル デバイスで利用できる機能と同様の機能が提供されます。 Intune で PC を管理する場合は、次のオプションを使用できます。
企業所有
Microsoft Entra ハイブリッド参加済み: このオプションは、AD グループ ポリシーまたは Configuration Manager を使用して PC を管理していることにある程度慣れている組織でよく使用されます。
Microsoft Entra ドメイン参加済みと Intune 管理: このシナリオは、クラウド ファースト (つまり、オンプレミス インフラストラクチャの使用を減らすことを目標に、主にクラウド サービスを使用する) またはクラウドのみ (オンプレミス インフラストラクチャを使用しない) を希望する組織向けです。 Microsoft Entra 参加はハイブリッド環境で適切に機能し、クラウドとオンプレミスの両方のアプリとリソースにアクセスできます。 デバイスは Microsoft Entra ID に参加し、Intune に登録されます。これは、企業リソースにアクセスするときに条件付きアクセス条件として使用できます。
Bring Your Own Device (BYOD)
- Workplace Join と Intune 管理: この場合、ユーザーは個人のデバイスを参加させて、会社のリソースやサービスにアクセスできます。 Workplace Join を使用してデバイスを Intune MDM に登録し、デバイスレベルのポリシーを受け取ることができます。これは、条件付きアクセスの基準を評価する別のオプションです。
Microsoft Entra ID のデバイス管理の詳細をご確認ください。
アプリ ベースの条件付きアクセス
アプリ ベースの条件付きアクセスは、デバイス レベルではなくアプリ レベルでアクセスを保護するため、登録されていないデバイスに適しています。 次の記事では、Intune のアプリベースの条件付きアクセスのシナリオについて説明します。