最近のモバイル プラットフォームおよびデスクトップ プラットフォームでは、主要な更新プログラム、修正プログラム、および新しいバージョンが速いペースでリリースされます。 Windows 上の更新プログラムおよび修正プログラムについては、完全に管理するためのコントロールがありますが、iOS/iPadOS および Android などの他のプラットフォームでは、エンド ユーザーをプロセスに参加させる必要があります。 Microsoft Intune には、異なるプラットフォーム間のオペレーティング システムのバージョン管理を構築するための機能があります。
Intune は、次のような一般的なシナリオに対処するのに役立ちます。
- エンド ユーザー デバイスのオペレーティング システムのバージョンを判断する
- 新しいオペレーティング システムのリリースを検証している間、デバイス上の組織のデータへのアクセスを制御する
- 組織で承認されたオペレーティング システムの最新バージョンにアップグレードするようにエンドユーザーに奨励または要求する
- 組織全体のオペレーティング システムの新しいバージョンへのロールアウトを管理する
Intune モバイル デバイス管理を使用したオペレーティング システムのバージョン管理 登録の制限
デバイス登録の制限を使用すると、特定のデバイス属性に基づいてデバイスが Intune に登録されるのを制限できます。 目標は、ユーザーが組織の期待に準拠するデバイスのみを登録できるようにし、組織のリソースにアクセスできる場所で準拠していないデバイスの登録を防止できるようにすることです。 次のプラットフォームの 登録デバイス プラットフォーム制限 ポリシーを作成できます。
- Android
- iOS/iPadOS
- macOS
- Windows
各プラットフォームの種類のデバイス プラットフォーム制限ポリシーには、次の iOS ポリシーのスクリーン キャプチャに示すように、許可されるオペレーティング システムの最小バージョンと最大バージョンの両方が含まれます。
![[プラットフォーム構成の制限] ページ。](media/manage-os-versions/os-version-platform-configuration.png)
実際
組織ではデバイスの種類の制限を使用し、次の設定を使用することで組織リソースへのアクセスを制御できます。
- 最小オペレーティング システム バージョンを使用して、現在のプラットフォームとサポートされているプラットフォームのみを organization に登録できるようにしてください。
- 最大オペレーティング システムを指定しない (制限なし) ままにするか、organization の使用が検証された最後のバージョンに設定して、新しいオペレーティング システム リリースの内部テストに時間を割きます。
詳細については、「デバイスの上限数のプラットフォームを作成する」を参照してください
オペレーティング システム バージョンのレポートと Intune デバイス コンプライアンス ポリシーへの準拠
Intune デバイス コンプライアンス ポリシーでは、次のツールが提供されます。
- デバイスに必要な構成を定義するコンプライアンス ルールを指定します。
- コンプライアンス レポートを表示して、非準拠のデバイスとポリシー内の設定を理解します。
- 非準拠デバイスが組織のリソースにアクセスできないようにするデバイス検疫と条件付きアクセス ポリシーを使用して、コンプライアンス違反の結果に対処します。
登録制限と同じく、デバイス コンプライアンス ポリシーには、オペレーティング システムの最小バージョンと最大バージョンの両方が含まれています。 ポリシーには、準拠するための猶予期間をユーザーに与えるためのコンプライアンス タイムラインもあります。 デバイス コンプライアンス ポリシーにより、登録されたエンド ユーザー デバイスが組織の期待に準拠するようにします。
実際
組織は、登録制限と同じシナリオにデバイス コンプライアンス ポリシーを使用しています。 これらのポリシーは、組織内のユーザーのオペレーティング システムのバージョンを最新かつ検証済みの状態に維持します。 エンド ユーザーのデバイスが準拠していない状態になった場合に、エンド ユーザーのオペレーティング システムが組織でサポートされる範囲になるまで、条件付きアクセスを使用して組織のリソースへのアクセスをブロックすることができます。 エンド ユーザーには、コンプライアンス違反であることが通知され、アクセスを回復するための手順が提供されます。
詳細については、「 デバイス コンプライアンスの概要」を参照してください。
Intune アプリの保護ポリシーを使用したオペレーティング システムのバージョン管理
Intune アプリの保護ポリシーとモバイル アプリケーション管理 (MAM) のアクセス設定では、アプリ層でのオペレーティング システムの最小バージョンを指定できます。 これにより、オペレーティング システムを指定した最小バージョンに更新するようにエンド ユーザーに通知、推奨、または要求することができます。
次の 2 つの方法があります。
警告 - 警告では、エンド ユーザーに対し、アプリケーション保護ポリシーまたは MAM アクセス設定が適用されたアプリを、指定されたバージョンより古いバージョンのオペレーティング システムが搭載されたデバイスで開く場合、アップグレードする必要があることが通知されます。 アプリと組織のデータへのアクセスが許可されます。
ブロック: ブロックは、エンド ユーザーがアプリケーションの保護ポリシーまたは MAM のアクセス設定がされたアプリを、指定されたバージョンより古いオペレーティング システムのバージョンで開いたときに、アップグレードする必要があることをエンド ユーザーに通知します。 アプリと組織のデータへのアクセスは許可されていません。
![[アプリのアクセスがブロックされました] ダイアログの画像](media/manage-os-versions/os-version-access-blocked.png)
実際
現在、組織は、アプリを開いたときまたは再開したときに、アプリを最新に保つ必要性についてエンド ユーザーを教育する方法として、アプリの保護ポリシー設定を使用しています。 構成例では、エンド ユーザーは最新バージョン -1 で警告され、最新バージョン -2 でブロックされます。
詳細については、「 アプリ保護ポリシーを作成して割り当てる方法」を参照してください。
Intune アプリの保護ポリシーを使用して複数の OS バージョンを管理する
アプリの保護ポリシーでは、条件付き起動設定で構成できる最小 OS バージョンは 1 つだけですが、最小 OS 値が異なる複数のアプリを作成できます。 ただし、アプリはユーザー グループに割り当てられるため、異なる OS バージョンを実行している複数のデバイスを持つユーザーの場合、保護されたリソースにアクセスするときに OS 要件の競合に直面する可能性があります。
異なる OS 要件を持つ複数の APP を同じユーザーを対象にできるようにするには、APP を特定の OS バージョンに対象とする フィルターを作成できます 。
Intune には、管理対象デバイスと管理対象アプリの 2 種類のフィルターがあります。 APP ではマネージド アプリ フィルターのみがサポートされています。
フィルターの作成
アプリでフィルターを使用するには、ターゲットにする特定の OS バージョンごとにフィルターを作成する必要があります。
Microsoft Intune 管理センターに移動します。
[テナント管理]>[フィルター]>[作成]>[マネージド アプリ] を選択します。
[ 基本 ] ページで、簡単に識別できるフィルターの名前を入力し、ターゲットとするプラットフォーム (この例では iOS/iPadOS) を選択します。
[ ルール] ページで、ターゲットにするメジャー OS リリースのフィルターを作成します (例: Property=osVersion(OS version), Operator=StartsWith, Value=18)。
- オプション: [プレビュー] ボタンを使用して、指定したフィルターに一致するデバイス、ユーザー、アプリをチェックできます。
- [ 確認して作成 ] ページで、[ 作成 ] を選択してフィルターを保存します 。
これらの手順を繰り返して、ターゲットとするプラットフォームや主要な OS バージョン (iOS 16 や 17 など) ごとに追加のフィルターを作成します。
フィルターを使用してアプリを作成してターゲット設定する
Microsoft Intune 管理センターに移動します。
[アプリ>アプリ保護ポリシー]>[ポリシーの作成] を選択します> アプリで対象とするプラットフォーム (iOS/iPadOS など) を選択します。
[ 基本 ] ページで、簡単に識別できるようにポリシーの名前を入力します。
[アプリ]、[データ保護]、[アクセスの要件] の各ページに入力し、organization の要件を満たす iOS、Android、または Windows アプリ保護ポリシーを設定します。 [条件付き起動] ページ (または Windows アプリの [正常性チェック] ページ) の [デバイス条件] セクション内で、最小バージョンとして設定する OS マイナーまたはパッチ リリースを構成します。 たとえば、Setting=Min OS version、Value=18.2.1、Action=Block access/Wipe data/Warn (アクセスのブロック/データの消去/警告) などは、organization に必要なアクションに応じて行います。
[ 割り当て] ページで、以前に作成したフィルターを使用して、ポリシーの割り当てを適切なメジャー OS バージョンに限定します。
[ 確認と作成 ] ページで、[ 作成 ] を選択してポリシーを保存します 。
この例では、フィルターは iOS 18 を実行しているデバイスをターゲットにし、アプリの条件付き起動設定には 18.2.1 が必要であり、アプリが他のメジャー バージョンの iOS で実行されているデバイスには適用されないようにします。
OS バージョンごとに追加のアプリを作成します。次に例を示します。
iOS 16 の 2 番目のポリシー: 条件付き起動、デバイスの条件、最小 OS バージョン = 16.7.10、フィルター、OS バージョン、StartsWith=16。
iOS 17 の 3 番目のポリシー: 条件付き起動、デバイスの条件、 最小 OS バージョン = 17.7.2、フィルター OS バージョン、StartsWith=17。
実際
組織は、異なる最小 OS バージョンを必要とする複数の APP を作成できます。 これにより、これらの APP の割り当てをフィルター処理して、各主要な OS バージョンにのみ適用できます。 これにより、各アプリが割り当てられている特定の OS バージョンと互換性があることが保証され、アプリ保護に対するカスタマイズされたアプローチが提供されます。
OS ベンダーが新しいマイナー OS の更新プログラムやパッチをリリースすると、各アプリを新しい最小 OS バージョンで更新することもできます。 この継続的な更新プロセスにより、常に最新の OS バージョンを使用することで、organization のセキュリティが維持されます。 アプリと OS のバージョンを最新の状態に保つと、脆弱性から保護し、全体的なセキュリティを強化するのに役立ちます。
新しいオペレーティング システム バージョンのロールアウトの管理
この記事で説明されている Intune 機能を使用すると、定義したタイムライン内で組織のデバイスを新しいオペレーティング システム バージョンに移動するのに役立ちます。 次の手順では、サンプルの展開モデルを提供し、ユーザーをオペレーティング システム v1 からオペレーティング システム v2 に 7 日間で移行します。
- デバイス登録の制限を使用して、デバイスを登録するための最小バージョンとしてオペレーティング システム v2 を要求します。 これにより、登録時に新しいエンド ユーザーのデバイスを確実に準拠させます。
- Intune アプリ保護ポリシーを使用して、保護されたアプリを開いたり再開したりしたときに、新しいオペレーティング システム v2 が必要であることをユーザーに警告します。
-
デバイス コンプライアンス ポリシーを使用して、準拠するデバイスの最小バージョンとしてオペレーティング システム v2 を要求します。 [コンプライアンス違反に対するアクション] を使用して、7 日間の猶予期間を許可し、エンド ユーザーにタイムラインと要件を記載した電子メール通知を送信します。
- これらのポリシーは、メールや Intune ポータル サイトを通じてデバイスを更新する必要があることをエンド ユーザーに通知したり、アプリ保護ポリシーが有効になっているアプリに対してアプリを開いたときに通知したりできます。
- コンプライアンス レポートを実行して、非コンプライアンスになっているユーザーを特定することができます。
- デバイスでオペレーティング システム v2 が実行されていない場合、Intune アプリ保護ポリシーを使用して、アプリを開いたり再開したりしたときにユーザーをブロックします。
- デバイス コンプライアンス ポリシーを使用して、デバイスを準拠させるための最小バージョンとしてオペレーティング システム v2 を要求します。
- これらのポリシーでは、組織のデータに引き続きアクセスするために、デバイスを更新することが求められます。 デバイスの条件付きアクセスと共に使用すると、保護されたサービスがブロックされます。 アプリの保護ポリシーが有効になっているアプリは、開いたとき、または組織のデータにアクセスするときにブロックされます。
次の手順
次のリソースを使用して、organization で使用されているオペレーティング システムのバージョンを管理します。