Intune ポリシーで再利用可能な設定グループを使用する

この機能はパブリック プレビュー段階です。

Intune には再利用可能な設定グループが用意されており、構成ポリシーとプロファイルに追加して一般的な設定の管理を簡略化することができます。 再利用可能なグループを使用するのに適したタイミングは、同じ構成の設定を複数の 1 つ以上のプロファイルで使用する必要がある場合です。

再利用可能なグループの設定を編集すると、変更内容がグループを含む各プロファイルに自動的に適用されます。 再利用可能な設定グループに変更を保存すると、Intune はそれらの新しい構成でプロファイルを更新し、プロファイルの割り当てに基づいて更新されたプロファイルをデバイスに展開します。

次のプロファイルでは、再利用可能なグループがサポートされています。

• エンドポイント セキュリティ攻撃面の減少ポリシーで利用可能なデバイス制御。
• エンドポイント セキュリティ ファイアウォール ポリシーで使用可能な Windows ファイアウォール規則。

再利用可能な設定グループの概要

再利用可能な各設定グループは、複数の設定を含めることができる 1 つのオブジェクトです。 特定のプロファイル タイプで使用するために 1 つ以上の再利用可能なグループを構成した後、プロファイルを作成または編集してグループを追加します。 プロファイルは複数のグループをサポートできます。

再利用可能な設定のグループを管理するには、Microsoft Intune 管理センターで、グループを使用するポリシーとプロファイルに関連付けられている [再利用可能な設定] タブを使用します。 タブでは、グループの作成、グループ内の設定の編集、各グループから設定を継承するポリシーの数の表示を行うことができます。 再利用可能な各設定グループは、関連するプロファイル タイプのみと共に使用されます。

たとえば、次の図は、Windows ファイアウォール規則プロファイルの再利用可能なグループを管理するために使用する [再利用可能な設定] タブを示しています。

再利用可能なグループを作成した後、プロファイル の構成設定 ページのオプションを使用して、そのプロファイルにグループを追加します。 1 つ以上の再利用可能なグループを含むプロファイルでは、含まれる各グループの各設定が、設定がプロファイルで直接構成されているかのように使用されます。

前提条件

次のプロファイルでは、再利用可能な設定グループの使用がサポートされています。

エンドポイント セキュリティ ポリシー

• ファイアウォール>Windows ファイアウォール ルール:

  • プラットフォーム: Windows

  • Windows バージョン: デバイスは Windows 10 20H2 以降、または Windows 11 を実行する必要があります

    重要

    2025 年 10 月 14 日に、Windows 10 はサポートが終了し、品質と機能の更新プログラムを受け取ることはありません。 Windows 10 は、Intune で許可されているバージョンです。 このバージョンを実行しているデバイスは引き続き Intune に登録して対象機能を使用できますが、機能は保証されず、異なる場合があります。

• 攻撃面の縮小>デバイス制御:

  • プラットフォーム: Windows

エンドポイント特権管理

• Windows 昇格ルール ポリシー

再利用可能なグループを作成する

再利用可能な各設定グループには、グループの作成対象である完全なプロファイルの設定のサブセットが含まれています。 次のリンクを使用して、各プロファイルの設定グループで構成できる設定を表示します。

• デバイス コントロール
• Windows ファイアウォール ルール

再利用可能な設定グループを作成するには:

1. Microsoft Intune 管理センターを開き、再利用可能なグループを作成するポリシーに移動し、[再利用可能な設定 (プレビュー)] タブを選択します。

2. [ 追加] を選択して、[ 再利用可能な設定の構成 (プレビュー)] ワークフローを開きます。

3. [ 基本 ] ページで、名前を設定します。 説明は省略することができます。

4. [ 構成設定 ] ページで [ 追加 ] を選択し、サポートされているプロファイルで直接設定を構成するのと同じように、このグループの設定を構成します。

   デバイス コントロールの場合、[ 追加 ] を選択するときに、構成するグループ設定の種類を選択し、続行するには [インスタンスの編集 ] を選択する必要があります。 複数のインスタンスを追加する場合は、グループの マッチ タイプの 構成を確認します。

   グループあたりのインスタンス数の上限は 100 個です。 再利用可能な設定グループの各設定の管理センターの情報テキストをガイダンスとして使用します。 設定の [ 詳細情報 ] リンクに従って、その設定コンテンツ ソースから設定の詳細を表示します。

   ヒント

   後で識別できるように、作成する各再利用可能なグループ に慎重に名前を付け ます。 これは、任意のポリシーの種類に対して作成した各再利用可能なグループが、構成しているポリシーに通常は適用されない設定がグループに追加されると表示されるため、重要です。 たとえば、Windows ファイアウォール規則用に作成された再利用可能なグループがある場合、そのグループは表示され、デバイス制御ポリシーに再利用可能なグループを追加するときに選択できます。

5. [ レビュー + 追加 ] ページで、[ 追加 ] を選択して再利用可能な設定グループを保存します。

再利用可能なグループを変更する

再利用可能なグループの構成を編集すると、そのグループを使用する各プロファイルが自動的に更新され、新しい構成がデバイスに適用されます。

1. Microsoft Intune 管理センターを開き、再利用可能なグループを作成するポリシーに移動し、[再利用可能な設定 (プレビュー)] タブを選択します。

2. 編集する再利用可能な設定グループを選択します。 これにより、新しい再利用可能なグループを作成するためのワークフローに似た構成ワークフローが開きます。

3. [ 基本 ] ページではグループの名前を変更でき、[ 構成設定 ] ページでは設定を再構成できます。 最後のページで、[ 保存 ] を選択して構成を保存し、設定グループを使用するプロファイルを更新します。

再利用可能なグループを Windows ファイアウォール規則プロファイルに追加する

プロフィールの編集中または作成中に、再利用可能な設定グループをプロフィールに追加します。 [プロファイルの構成設定] ページで、以前に作成した 1 つ以上のグループの追加をサポートするオプションを使用します。

1. Microsoft Intune 管理センターで、新しいプロファイルを作成するか、既存のプロファイルを選択して編集します。

2. [ 構成設定 ] ページで、[ 追加 ] を選択して新しいルールを追加するか、[ ルールの編集] を選択して以前に作成したルールを管理します。

3. ルールの [インスタンスの構成 ] ウィンドウで、[ アクション] を構成して、このルールで IP アドレスや FQDN などの設定を管理する方法を決定します。 たとえば、[アクション] を [許可 ] または [ブロック] に設定します。 この構成は、このルールに直接追加する設定と、このルールに追加される各再利用可能なグループ内の設定の両方に適用されます。

   ルール構成を保存します。

4. 保存したルールの [ 再利用可能な設定の設定] を選択して、[ 再利用可能な設定の選択 ] ウィンドウを開きます。

   

5. 使用可能なグループを 1 つ以上選択してこのルールに追加し、選択内容を保存します。

   

6. 再利用可能なグループをプロファイルに追加したら、構成を保存します。 保存されると、Intune は再利用可能なグループの設定を含み、プロファイルの割り当てに基づいてプロファイルをデバイスに展開します。

再利用可能なグループをデバイス制御プロファイルに追加する

プロフィールの編集中または作成中に、再利用可能な設定グループをプロフィールに追加します。 デバイス コントロール プロファイルの再利用可能なグループでは、次の種類の設定がサポートされます。

• プリンター デバイス
• リムーバブル記憶域

[プロファイルの構成設定] ページで、以前に作成した 1 つ以上のグループの追加をサポートするオプションを使用します。

1. Microsoft Intune 管理センターで、新しいプロファイルを作成するか、既存のプロファイルを選択して編集します。

2. [ 構成設定 ] ページで、[デバイス制御] カテゴリを展開し、[ 追加 ] を選択して新しいルールを追加するか、[ エントリの編集] を選択して以前に作成したルールを管理します。

   • [追加] を選択して、さらにルールを追加します。
   • [ エントリの編集 ] を選択して [ エントリの構成 ] ウィンドウを開き、グループの使用をさらに構成します。

3. [エントリの 構成 ] ウィンドウで、エントリに [名前] を指定し、次の設定を行ってから、[ OK ] を選択してルールを保存します。

   • タイプ: リムーバブル記憶域グループのアクションを定義します。 同じメディアの型に競合がある場合は、ポリシーで定義されている最初の型が適用されます。
   • オプション: デバイス ユーザーに通知を表示するかどうかを定義します。 使用可能なオプションは、選択したタイプによって異なります。
   • アクセス マスク: 読み取り、書き込み、実行から 1 つ以上を選択します。
   • sid: ローカル ユーザー sid またはユーザー sid グループ、または AD オブジェクトの sid は、このポリシーを特定のユーザーまたはユーザー グループに適用するかどうかを定義します。1 つのエントリには最大 1 つの SID を含めることができ、SID のないエントリは、コンピューターにポリシーを適用することを意味します。
   • コンピューター SID: ローカル コンピューター SID またはコンピューター SID グループ、または AD オブジェクトの SID は、このポリシーを特定のコンピューターまたはコンピューター グループに適用するかどうかを定義します。1 つのエントリに最大 1 つの ComputerSid を含めることができ、ComputerSid のないエントリは、コンピューターにポリシーを適用することを意味します。 特定のユーザーおよび特定のマシンにエントリを適用する場合は、Sid と ComputerSid の両方を同じエントリに追加します。

   これらのオプションの詳細については、Microsoft Defender for Endpoint ドキュメントの以下の記事を参照してください。

   • Microsoft Defender for Endpoint ドキュメントのMicrosoft Defender for Endpointデバイス制御リムーバブル記憶域Access Control。
   • プリンター保護の概要

4. 保存したルールで、ニーズに合わせて [含まれる ID] と [除外される ID] の再利用可能な設定を設定する を選択します。 どちらの選択も行わないと、[ 再利用可能な設定の選択 ] ウィンドウが開きます。

   

5. 使用可能なグループを 1 つ以上選択してこのルールに追加し、選択内容を保存します。 次に、除外 ID に対して 1 つのグループのみが選択された構成を示します。

   

6. プロフィールに再利用可能なグループを追加したら、ポリシーの構成を完了します。 保存されると、Intune は再利用可能なグループの設定を含み、プロファイルの割り当てに基づいてプロファイルをデバイスに展開します。 プロファイルごとに最大 100 個の再利用可能なグループを追加できます。

E5 ライセンスをお持ちの場合は、Microsoft Defender for Endpoint を使用して、デバイス制御レポートと高度な捜索でデバイス制御イベントを表示できます。 Defender for Endpoint ドキュメントの「デバイス制御を使用してorganizationのデータを保護する」を参照してください。

エンドポイント特権管理に再利用可能なグループを使用する

エンドポイント特権管理での再利用可能なグループの使用のサポートについては、「エンドポイント特権管理の昇格ルール」を参照してください

ポリシーの競合について

再利用可能な設定グループを使用して管理できるデバイス設定は、プロファイルで直接構成される設定と同じように Intune によって適用されます。 再利用可能なグループの設定によって競合や重複が発生した場合は、同じトラブルシューティング プロセスを使用してそれらの競合を特定して解決できます。

詳細については、使用するプロファイルの種類に固有のガイダンスを参照してください。 一般的なガイダンスについては、「Microsoft Intune のポリシーとプロファイルのトラブルシューティング」、および「Microsoft Intune のデバイス ポリシーとプロファイルに関する一般的な質問と回答」を参照してください。

次の手順

デバイス構成の概要