Intune とオンボード デバイスを使用して Microsoft Defender for Endpoint を構成する

この記事では、Microsoft Defender for Endpoint を Microsoft Intune に接続し、プラットフォームによって Defender for Endpoint にデバイスをオンボードし、デバイス リスク レベルを使用して企業リソースへのアクセスを制御するコンプライアンスおよび条件付きアクセス ポリシーを構成するための段階的な手順について説明します。

タスク固有の要件については、この記事全体を通して一覧表示されています。 また、一般的な統合の前提条件も確認します。

作業内容

このガイドを完了すると、次の統合ワークフローが完了します。

✅Intune と Microsoft Defender for Endpoint 間のサービス間接続
✅Microsoft Defender for Endpoint にオンボードされたデバイス (Windows、macOS、Android、iOS/iPadOS)
✅危険なデバイスを非準拠として自動的にマークするように構成されたコンプライアンス ポリシー
✅企業リソースから非準拠デバイスをブロックする条件付きアクセス ポリシー

クイック ナビゲーション

• サービスの接続
• 統合設定の構成
• デバイスのオンボード
• コンプライアンス ポリシーの構成
• アプリ保護ポリシーを構成する
• 条件付きアクセスの設定

モバイル環境の場合: このガイドでは、Android および iOS/iPadOS デバイスの アプリ保護ポリシー についても説明します。 これらのポリシーは、デバイス リスク レベルを設定し、登録済みデバイスと未登録デバイスの両方で動作し、Microsoft Defender for Endpoint 脅威評価に基づいてモバイル アプリの保護を強化します。

追加機能:登録済みのデバイス以外にも、Intune に登録されていないデバイス (Linux デバイスを含む) で Defender for Endpoint のセキュリティ構成を管理することもできます。 このシナリオは、Microsoft Defender for Endpoint のセキュリティ管理と呼ばれます。 これを有効にするには、[Microsoft Defender for Endpoint がエンドポイント セキュリティ構成を適用できるようにする] トグルを [オン] に設定します。 詳細については、「Microsoft Defender for Endpoint セキュリティ構成管理」を参照してください。

Defender for Endpoint を Intune に接続する

テナントごとにこの 1 回限りのセットアップを完了して、統合機能を有効にするサービス間接続を作成します。

前提条件:

• エンドポイント セキュリティ マネージャー ロールまたは Mobile Threat Defense 設定の同等のアクセス許可を持つ Microsoft Intune 管理センターへの管理アクセス。 カスタム ロールには、Mobile Threat Defense アクセス許可の読み取り権限と変更権限が必要です。 詳細については、「カスタム ロールの作成」を参照してください。
• Microsoft Entra ID のセキュリティ管理者ロールを持つ Microsoft Defender ポータルへの管理アクセス、または Defender for Endpoint の Windows セキュリティ センターのセキュリティ設定の管理アクセス許可。

Intune と Defender for Endpoint の統合を有効にする

1. 最初に接続状態を確認します。Microsoft Intune 管理センターにサインインし、[エンドポイント セキュリティ]>Defender for Endpoint を選択します。

   • [接続状態] に [有効] と表示されている場合、サービスは既に接続されています。 デバイスの オンボードにスキップします。
   • 接続状態に「利用不可」と表示された場合は、次の手順に進みます。

2. Microsoft Defender ポータルを開きます。 Intune 管理センターで、Defender for Endpoint ページの一番下までスクロールし、Defender セキュリティ センターを開く (または直接 security.microsoft.com に移動する) を選択します。

   ヒント

   既に接続されている場合は、リンクが表示されます。 Defender for Endpoint 管理コンソールを開きます。

   

3. Defender ポータルで接続を有効にします。Microsoft Defender ポータルで、[システム>設定]>[エンドポイント]>[全般]>高度な機能] に移動します。

   

   [Intune] 接続を見つけて [オン] に切り替え、[環境設定の保存] を選択します。

   

   この設定について詳しくは、Defender for Endpoint ドキュメントの「Microsoft Intune 接続」をご覧ください。

4. 検証:Intune 管理センターに戻ります。 これで、 接続状態 が [有効 ] と表示されます (更新には最大 15 分かかる場合があります)。 必要に応じて、[Endpoint security]>Defender for Endpoint で監視設定を確認および調整できます。

これで、サービス間の接続が確立されます。 引き続き、この統合を使用するプラットフォームと機能の構成を行います。

統合設定の構成

サービス接続を作成したら、コンプライアンスとアプリ保護ポリシーの評価のために Defender for Endpoint に接続するプラットフォームを構成します。

前提条件:エンドポイント セキュリティ マネージャー ロールまたは Mobile Threat Defense 設定の同等のアクセス許可を持つ Microsoft Intune 管理センターへの管理アクセス。 カスタム ロールには、Mobile Threat Defense アクセス許可の読み取り権限と変更権限が必要です。 詳細については、「カスタム ロールの作成」を参照してください。

コンプライアンスとアプリの保護の設定の構成

1. 統合設定に移動します。Intune 管理センターで、[エンドポイント セキュリティ]> [Defender for Endpoint] に移動します。 これで、接続状態が [有効] と表示されるはずです。

2. コンプライアンス ポリシーの評価を構成する: サポートされているプラットフォームの [コンプライアンス ポリシーの評価] で次のオプションを有効にします。

   • Android デバイスを Defender for Endpoint に接続する: オン
   • iOS/iPadOS デバイスを Defender for Endpoint に接続する: オン
   • Windows デバイスを Defender for Endpoint に接続する: オン

   注:

   これらの設定を有効にすると、現在 Intune で管理しているすべての該当するデバイスと今後の登録が、コンプライアンス評価のために Defender for Endpoint に接続されます。

   ヒント

   その他の iOS 設定: iOS デバイスの場合、Defender for Endpoint はアプリの脆弱性評価を提供するのに役立つ設定もサポートしています。 iOS デバイスのアプリ同期を有効にして、脅威分析のためのメタデータ共有を許可し (MDM 登録が必要)、個人所有の iOS/iPadOS デバイスで完全なアプリケーション インベントリ データを送信するように構成して、Defender for Endpoint と共有するアプリ データを制御できます。 詳細については、「 アプリの脆弱性評価を構成する」を参照してください。

   詳細については、「Mobile Threat Defense トグル オプション」を参照してください。

3. アプリ保護ポリシーの評価を構成する:モバイル プラットフォームのアプリ保護ポリシーの評価で次のオプションを有効にします。

   • Android デバイスを Defender for Endpoint に接続する: オン
   • iOS/iPadOS デバイスを Defender for Endpoint に接続する: オン

   ヒント

   アプリ保護ポリシーは、登録済みデバイスと登録済みデバイスの両方で機能します。 詳細については、 Mobile Threat Defense のトグル オプションを参照してください。

4. Mobile Threat Defense ロールの構成 (Android):Mobile Threat Defense の役割の下で、必要に応じて、登録済みの Android Enterprise 企業所有のフル マネージドおよび企業所有の仕事用プロファイル デバイスに対して、Defender for Endpoint の強化されたセキュリティ アクセス許可を付与できます。 これらのデバイスでのデバイスのセットアップ中に、Defender for Endpoint の自動起動を有効にすることもできます。 これらのトグルと付与される権限の詳細については、 Mobile Threat Defense ロールを参照してください。

5. 構成を保存します。 [ 保存] を選択してすべての設定を適用します。

有効にしたプラットフォームは、脅威の評価とコンプライアンス評価のためにデバイスを Defender for Endpoint に接続します。

デバイスのオンボード

デバイスのオンボードにより、Defender for Endpoint と通信するように管理対象デバイスが構成され、脅威の検出とリスク評価が可能になります。

前提条件:エンドポイント セキュリティ マネージャー ロールまたはエンドポイント検出および応答ポリシーの同等のアクセス許可 (カスタム ロールには、エンドポイントの検出と応答アクセス許可の割り当て、作成、削除、読み取り、更新、レポートの表示の権限が必要) を持つ Microsoft Intune 管理センターへの管理アクセス権。

プラットフォーム固有のオンボーディング:

• Windows: 自動オンボード パッケージ (推奨)
• macOS、Android、iOS/iPadOS: 手動構成が必要

Windows デバイスのオンボード

サービス接続を確立すると、Intune は Microsoft Defender for Endpoint からオンボード構成パッケージを自動的に受け取ります。 このパッケージを使用すると、以下が可能になります。

• Microsoft Defender for Endpoint サービスとの通信
• ファイル スキャンと脅威検出
• コンプライアンス ポリシーのリスク レベル レポート

展開方法を選択します:

• クイック セットアップ: 事前構成済みポリシー (すべてのデバイスに展開)
• カスタム セットアップ: 手動でポリシーを作成する (きめ細かい制御)

オプション 1: クイック セットアップ (事前構成済みのポリシー)

このオプションは、追加の構成なしですべての Windows デバイスに迅速かつ広範囲に展開する場合に使用します。

含まれるもの:

• オンボード パッケージの自動構成
• 既定のスコープ タグ
• [ すべてのデバイス への割り当て] グループ
• 追加の構成は必要ありません

クイック セットアップ手順

1. Microsoft Intune 管理センターで、[エンドポイント セキュリティ]>エンドポイントの検出と対応>EDR の [オンボードの状態] タブに移動します。

2. [ 事前構成されたポリシーを展開する] を選択します。

   

3. ポリシーを構成します:

   • プラットフォーム: Windows (Intune マネージドの場合) または Windows (ConfigMgr) (テナント接続の場合) を選択します
   • プロファイル: [エンドポイントの検出と応答] を選択する
   • 名前: わかりやすい名前を入力します (たとえば、"MDE EDR オンボード - すべての Windows デバイス")

4. 確認と作成: 設定を確認し、[ 保存] を選択します。 ポリシーは、すべての Windows デバイスへの展開を直ちに開始します。

   注:

   ポリシーの詳細は後で編集できますが、作成時に初期展開設定を変更することはできません。

オプション 2: カスタム セットアップ (手動によるポリシーの作成)

このオプションは、きめ細かな制御、特定のデバイス グループ、またはカスタム スコープ タグに使用します。

カスタム セットアップ手順

1. Microsoft Intune 管理センターで、[エンドポイント セキュリティ]>[エンドポイントの検出と対応]>[概要] タブ>ポリシーの作成] を選択します。

2. プラットフォームとプロファイル:

   • プラットフォーム: Windows
   • プロファイル: エンドポイントの検出と応答
   • [作成] を選択します

3. 基本: わかりやすい名前とオプションの説明を入力し、[ 次へ] を選択します。

4. 構成設定: 要件に応じて、次のオプションを構成します。

   • Defender for Endpoint クライアント構成パッケージの種類:

     • コネクタからの自動送信 (推奨): Microsoft Defender for Endpoint からの自動オンボーディング パッケージを使用します。
     • オンボード: 接続が切断された環境の場合は、WindowsDefenderATP.onboarding BLOB コンテンツを貼り付けます。

   • サンプルの共有: デバイスが疑わしいファイル サンプルを分析のために Microsoft と共有するかどうかを構成します。

     • すべて: 脅威検出を強化するために自動サンプル共有を有効にします
     • なし: サンプル共有を無効にします (検出機能が低下する可能性があります)

   注:

   テレメトリ レポート頻度 は非推奨であり、新しいデバイスには影響しません。 古いポリシー互換性のために、設定は表示されたままになります。

   

   注:

   上記のスクリーン キャプチャは、Intune と Defender for Endpoint の間の接続が設定された後の構成オプションを示しています。 接続すると、オンボード BLOB とオフボード BLOB の詳細が自動的に生成され、Intune に転送されます。

   この接続が正常に構成されていない場合、 Defender for Endpoint クライアント構成パッケージ の種類の設定には、オンボード BLOB とオフボード BLOB を指定するオプションのみが含まれます。

5. スコープ タグ (省略可能): 必要に応じてスコープ タグを追加し、[ 次へ] を選択します。

6. 割り当て: このプロファイルを受け取るデバイス グループを選択します。

   重要

   • デバイス グループ: 即時展開に推奨されます。
   • ユーザー グループ: ポリシーを適用する前に、ユーザー サインインが必要です。

   割り当てのガイダンスについては、「 ユーザーとデバイス プロファイルの割り当て」を参照してください。

7. 確認 + 作成: すべての設定を確認し、[ 作成] を選択します。

検証手順

1. ポリシーの展開を確認する: [エンドポイント セキュリティ]>エンドポイントの検出と対応に移動します> ポリシー >デバイスの状態を選択します。
2. デバイスのオンボードを確認します: 15 分から 30 分後、Microsoft Defender ポータルの [エンドポイント>デバイス インベントリ] にデバイスが表示されます。

macOS デバイスをオンボードする

Windows デバイスとは異なり、macOS では macOS 用の自動オンボード パッケージが提供されないため、Intune では手動構成が必要です。

macOS オンボード クイック スタート

1. アプリを展開する: macOS 向け Microsoft Defender for Endpoint 展開ガイドに従ってください。
2. 設定の構成: Intune アプリ構成ポリシーを使用します。
3. オンボードの確認: デバイスが Defender ポータルに表示されることを確認します。

その他のリソース:

• Microsoft Defender for Endpoint for Mac - 完全な機能ドキュメントとリリース ノート。

Android デバイスをオンボードする

Android オンボーディングのクイック スタート

1. アプリを展開する: Android 展開ガイドで Microsoft Defender for Endpoint を展開および構成するガイドに従ってください。
2. Web 保護の構成: セキュリティを強化するには、Microsoft Defender for Endpoint Web 保護ポリシーを使用します。
3. オンボードを確認する: Defender ポータルでデバイスの登録を確認します。

使用可能な構成:

• Web 保護の設定
• VPN ベースのスキャン
• プライバシー制御
• 脅威検出の基本設定

iOS/iPadOS デバイスをオンボードする

iOS オンボーディング クイック スタート

1. アプリを展開する: iOS 用 Microsoft Defender for Endpoint の前提条件とオンボード手順に従います。
2. 監視検出の構成: 拡張機能の監視ありモード検出を設定します。
3. オンボードの確認: Defender ポータルでデバイスの登録を確認します。

監視ありモードの構成: 監視あり iOS/iPadOS デバイスの場合は、監視検出を構成して高度な管理機能を有効にします。 「 監視ありデバイスの展開の完了」を参照してください。

監視対象デバイスの構成手順

1. アプリ構成ポリシーを作成します。Microsoft Intune管理センターで、[アプリ>アプリの構成ポリシー]>[追加]>管理対象のデバイス] を選択します。

2. 基本を構成する:

   • 名前: 「MDE 監視検出 - iOS」などのわかりやすい名前を入力します。
   • プラットフォーム: iOS/iPadOS
   • 対象アプリ: Microsoft Defender for Endpoint

3. 構成設定:

   • 構成キー: issupervised
   • 値の種類: 文字列
   • 構成値: {{issupervised}}

4. 割り当て: すべてのデバイス または特定の監視ありデバイス グループを対象にします。

5. レビュー + 作成: ポリシーの作成を完了します。

デバイスのオンボード状態を監視する

次の手順を使用して、Defender for Endpoint に正常にオンボードしたデバイスを監視します。

オンボーディング ステータスを表示するには:

1. Intune 管理センターで、[エンドポイント セキュリティ]>[エンドポイントの検出と対応]>EDR オンボード ステータス タブに移動します。
2. すべてのプラットフォームのオンボード ステータスを確認します。

必要なアクセス許可:アカウントには、Intune RBAC での Microsoft Defender 高度な脅威保護 の読み取りアクセス許可が必要です。

成功指標:

• デバイスは、Defender ポータルの [エンドポイント>デバイス インベントリ] に表示されます。
• EDR オンボード ステータスが [正常にオンボードされました] と表示されます。
• リスク レベルはデバイス コンプライアンス レポートに表示されます。

デバイスのリスク レベルを設定するコンプライアンス ポリシーを作成して割り当てる

構成されたリスクしきい値を超えるデバイスは、自動的に非準拠としてマークされるため、条件付きアクセス ポリシーによって企業リソースからデバイスがブロックされます。

サポートされているプラットフォーム: Android、iOS/iPadOS、Windows デバイス。

前提条件:

• エンドポイント セキュリティ マネージャー ロールまたはデバイス コンプライアンス ポリシーに対する同等のアクセス許可 (カスタム ロールには、デバイス コンプライアンス ポリシーのアクセス許可の割り当て、作成、削除、読み取り、更新の権限が必要です) を持つ Microsoft Intune 管理センターへの管理アクセス権。

ポリシーを作成する手順

1. [コンプライアンス ポリシー] に移動します。Microsoft Intune 管理センターで、[デバイス] を選択し> [デバイスの管理] を展開して、[コンプライアンス>ポリシー] タブ >ポリシーの作成] を選択します。

2. プラットフォームの選択: ターゲット プラットフォームを選択します:

   • Android デバイス管理者 (制限付きサポート)
   • Android Enterprise (Android に推奨)
   • iOS/iPadOS
   • Windows 10 以降

   重要

   2025 年 10 月 14 日に、Windows 10 はサポートが終了し、品質と機能の更新プログラムを受け取ることはありません。 Windows 10 は、Intune で許可されているバージョンです。 このバージョンを実行しているデバイスは引き続き Intune に登録して対象機能を使用できますが、機能は保証されず、異なる場合があります。

   必要に応じて、Windows プラットフォームの Windows 10/11 コンプライアンス ポリシーなどのプロファイルの種類を選択します。

3. 基本を構成する:

   • 名前: わかりやすい名前を入力します (例: "MDE リスク レベル - Windows デバイス")
   • 説明: ポリシーの目的に関するオプションの詳細

4. リスクしきい値を設定します。[コンプライアンスの設定] タブで、[Microsoft Defender for Endpoint] を展開し、[デバイスがマシン リスク スコア以下であることが必要です] を構成します。

   リスク レベルのオプション (Microsoft Defender for Endpoint によって決定):

   • クリア (最も安全):

     • 許可: 脅威なし
     • ブロック: 検出されたすべての脅威
     • 次の場合に使用します。 最大限のセキュリティが必要です

   • 低:

     • 許可: 低レベルの脅威のみ
     • ブロック: 中および高の脅威
     • 次の場合に使用します: バランスの取れたセキュリティと生産性

   • 中:

     • 許可: 低および中程度の脅威
     • ブロック: 高レベルの脅威のみ
     • 次の場合に使用します。 中程度のセキュリティ要件

   • 高 (安全性が低い)

     • 許可: すべての脅威レベル
     • ブロック: なし (レポートのみ)
     • 次の場合に使用します: 生産性を最大限に高め、ブロッキングを最小限に抑える

   重要

   推奨される設定: [低] を選択する と、ほとんどの組織において、セキュリティとユーザーの生産性のバランスが最適になります。

5. 完全な構成:

   • コンプライアンス違反に対するアクション: 通知と猶予期間を構成する
   • 割り当て: このポリシーを受け取るデバイスまたはユーザー グループを選択します
   • 確認 + 作成: 設定を確認してポリシーを作成する

6. 検証:

   • リスクしきい値を超えるデバイスは、[デバイス>コンプライアンス>デバイス コンプライアンス] で "非準拠" と表示されます
   • コンプライアンス傾向についてレポート>デバイス コンプライアンスを確認する

デバイス リスク レベルを設定するアプリ保護ポリシーを作成し、割り当てる

アプリ保護ポリシーはデバイスの登録とは独立して機能し、モバイル アプリケーションに追加のセキュリティ層を提供します。

プラットフォーム: iOS/iPadOS および Android のみ

前提条件:

• エンドポイント セキュリティ マネージャー ロールまたはセキュリティ関連のモバイル アプリ ポリシーに対する同等のアクセス許可を持つ Microsoft Intune 管理センターへの管理アクセス。 カスタム ロールには、マネージド アプリ アクセス許可の割り当て、作成、削除、読み取り、更新、ワイプの権限が必要です。

アプリケーション保護ポリシー作成ガイドに従って、次の Defender for Endpoint 固有の設定を構成します。

• アプリ: 脅威ベースのポリシーで保護するアプリを選択する

• 条件付き起動: 脅威レベルと応答アクションを構成します。

  • 最大許容デバイス脅威レベル:
    • セキュリティ保護: 許可されない脅威 (最も安全)
    • 低: 低レベルの脅威のみが許可されます
    • 中: 低および中程度の脅威が許可されています
    • 高: すべての脅威レベルが許可されています (レポートのみ)
  • しきい値を超えた場合のアクション:
    • アクセスのブロック: アプリへのアクセスを禁止する
    • データをワイプする: 企業データをアプリから削除する

• 割り当て: ユーザーのグループに割り当てます。 このポリシーは、アプリ レベルの保護のためにデバイスを評価します。

条件付きアクセス ポリシーを作成します

条件付きアクセス ポリシーは、非準拠としてマークされたデバイスが SharePoint や Exchange Online などの企業リソースにアクセスするのをブロックします。

前提条件:

• Microsoft Intune 管理センターへの管理アクセス。
• アクセス許可は、条件付きアクセス ポリシーを管理するための Entra ID の条件付きアクセス管理者ロールと同等です。

ポリシーを作成する手順

1. 条件付きアクセスに移動します:Microsoft Intune管理センターで、[エンドポイント セキュリティ]>[条件付きアクセス]>新しいポリシーの作成] を選択します。

2. 基本構成:

   • 名前: 「準拠していないデバイスのブロック - MDE 統合」などのわかりやすい名前を入力します。

3. ユーザーの割り当て:

   • Include: このポリシーの対象となるユーザー グループを選択します。
   • 除外: ロックアウトを防ぐために、organization の緊急緊急の緊急管理者アカウントを除外します。 Microsoft Entra Connect または Microsoft Entra Connect クラウド同期を使用している場合は、ディレクトリ同期アカウントのディレクトリ ロールも除外します。

4. リソースの保護:

   • 対象リソース:[クラウド アプリ] を選択します。
   • 含める: [ アプリの選択 ] を選び、次を追加します。
     • Office 365 SharePoint Online
     • Office 365 Exchange Online
     • 必要に応じてその他の企業アプリケーション

5. クライアント アプリの条件:

   • 条件>クライアント アプリ>構成: はい
   • 選択: ブラウザー と モバイル アプリとデスクトップ クライアント
   • [完了] を選択する

6. アクセス制御:

   • 許可>アクセス権の付与
   • 選択: デバイスを準拠としてマークする必要があります
   • 複数のコントロールの場合: 選択したコントロールをすべて要求する
   • [選択] ボタンを選択する

7. ポリシーの有効化:[ポリシーを有効にする] を [レポート専用] に設定し、[作成] を選択します。 ポリシーは保存されますが、アクセスはまだブロックされていません。

8. レポートのみの結果を確認する: サインイン データが蓄積されるまで 24 時間待ってから、結果を確認します。

   • Microsoft Entra 管理センターで、[ID>監視 & 正常性>サインイン ログ] に移動します。
   • ポリシー名でフィルター処理し、[ レポート専用] 列を確認します。 予期されたデバイスとユーザーのみが非準拠として表示されることを確認します。
   • スコープが正しいようであれば、[ 条件付きアクセス>ポリシー] に戻り、ポリシーを選択し、[ ポリシーの有効化] を [ オン] に変更します。

9. 検証: 非準拠のデバイスでテストし、アクセスが適切にブロックされていることを確認します。 ポリシー適用ログの Microsoft Entra ID>Sign-ins を確認します。

次の手順

すぐに実行できる次の手順

1. 展開の監視: デバイスのオンボード状態 とコンプライアンス レポートを確認します。
2. 保護の検証: 制御されたシナリオでテストして、ポリシーが期待どおりに動作することを確認します。
3. 保護の拡張: 予防的な脅威修復のために 脆弱性管理 を検討します。

プラットフォーム固有の機能強化

• Android: Web 保護の設定を構成します。
• すべてのプラットフォーム: リスク レベルのコンプライアンスを監視します。

高度な機能

Intune の統合:

• 脆弱性管理を使用したセキュリティ タスク - デバイスの脆弱性を修復します。
• デバイス コンプライアンス ポリシー - 包括的なコンプライアンス管理。
• アプリ保護ポリシー - モバイル アプリのデータ保護。
• モバイル アプリ保護ポリシー - Android および iOS/iPadOS デバイスの場合、これらのポリシーはデバイス リスク レベルを設定し、登録済みデバイスと未登録デバイスの両方で動作します。
• 登録されていないデバイスのセキュリティ管理 - Intune に登録されていないデバイス (Linux デバイスを含む) の Defender for Endpoint セキュリティ構成を管理する。

Microsoft Defender for Endpoint:

• 条件付きアクセスの統合 - 高度なアクセス制御シナリオ。
• Microsoft Defender for Endpoint レポート - 脅威の監視と対応。

サポート リソース

• 統合の問題: トラブルシューティング ガイドを確認してください。
• ポリシーの競合:ポリシーの競合の解決を参照してください。