Microsoft Intune 環境で Microsoft Entra 条件付きアクセスを使用している場合は、条件付きアクセス ポリシーを使用して、Microsoft Tunnel VPN ゲートウェイへのデバイス アクセスをゲートできます。
条件付きアクセスと Microsoft Tunnel の統合をサポートするには、 Microsoft Graph PowerShell を使用して、テナントが Microsoft Tunnel をサポートできるようにします。 お使いのテナントで Microsoft Tunnel がサポートされるようにした後、Microsoft Tunnel アプリに適用する条件付きアクセス ポリシーを作成できます。
テナントのプロビジョニング
トンネルの条件付きアクセス ポリシーを構成する前に、テナントが条件付きアクセス用に Microsoft Tunnel をサポートできるようにする必要があります。 Microsoft Graph PowerShell モジュールを使用し、PowerShell スクリプトを実行してテナントを変更し、Microsoft Tunnel ゲートウェイをクラウド アプリとして追加します。 トンネルがクラウド アプリとして追加されたら、条件付きアクセス ポリシーの一部としてそれを選択できます。
重要
AzureAD PowerShell のサポートは 2025 年 3 月に終了し、Microsoft Graph PowerShell に置き換えられます。 詳細については、「 アクションが必要: MSOnline および AzureAD PowerShell の廃止 - 2025 年の情報とリソース」を参照してください。
Microsoft.Graph モジュールをダウンロードしてインストールします。
https://aka.ms/mst-ca-provisioning から mst-ca-provisioning.ps1 という名前の PowerShell スクリプトをダウンロードします。
Intune 管理者と同等の Microsoft Entra ID ロール アクセス許可を持つ資格情報を使用して、環境内の任意の場所からスクリプトを実行し、テナントをプロビジョニングします。
スクリプトは、次の詳細を含むサービス プリンシパルを作成することによって、テナントを変更します:
- アプリ ID: 3678c9e9-9681-447a-974d-d19f668fcd88
- 名前: Microsoft Tunnel Gateway
条件付きアクセス ポリシーの構成中にトンネル クラウド アプリを選択できるように、このサービス プリンシパルの追加が必要です。 Graph を使用して、テナントにサービス プリンシパル情報を追加することもできます。
スクリプトが完了したら、通常のプロセスを使用して条件付きアクセス ポリシーを作成できます。
Microsoft Tunnel へのアクセスを制限する
条件付きアクセス ポリシーを使用してユーザー アクセスを制限する場合、Microsoft Tunnel Gateway クラウド アプリをサポートするようにテナントをプロビジョニングした後、Tunnel Gateway をインストールする前に、このポリシーを構成することをお勧めします。
Microsoft Intune管理センター>エンドポイント セキュリティ>条件付きアクセス>新しいポリシーの作成にサインインします。 管理センターには、条件付きアクセス ポリシーを作成するための Microsoft Entra インターフェイスが用意されています。
このポリシーの名前を指定します。
ユーザーとグループのアクセスを構成するには、[割り当て]の下にある [ユーザーとグループ] を選択します。
- [含める]>[すべてのユーザー] を選択します。
- 次に、[ 除外] を選択し、アクセス権を 付与するグループを構成して、ユーザーとグループの構成を保存します。
[ターゲット リソース] で>対象リソースを選択します このポリシーの適用対象を選択し、インクルード ウィンドウの [リソースの選択] で、Microsoft Tunnel ゲートウェイを選択します。
[アクセス制御] で [許可] を選択し、[アクセスのブロック] を選択して、構成を保存します。
[ポリシーの有効化] を [オン] に設定します。
[作成] を選択します。
条件付きアクセスのポリシー作成に関する詳細については、「デバイス ベースの条件付きアクセス ポリシーを作成する」を参照してください。