Microsoft Intune のネットワーク エンドポイント

この記事では、Microsoft Intune 展開のプロキシ設定に必要な IP アドレスとポート設定の一覧を示します。 統合リストはこのページの末尾にあります。 統合エンドポイントの一覧

クラウド専用サービスである Intune には、サーバーやゲートウェイなどのオンプレミス インフラストラクチャは必要ありません。

マネージド デバイスへのアクセス

ファイアウォールとプロキシ サーバーの背後にあるデバイスを管理するには、Intune のための通信を有効にする必要があります。

• この記事のエンドポイントでは、次の表に示されているポートにアクセスできます。

• 一部のタスクでは、Intune では、manage.microsoft.com、*.azureedge.net、および graph.microsoft.com への認証されていないプロキシ サーバー アクセスが必要です。

  注:

  SSL トラフィック検査は、コンプライアンス セクションに記載されている '*.manage.microsoft.com'、'*.dm.microsoft.com'、または デバイス正常性構成証明 (DHA) エンドポイントではサポートされていません。

個々のクライアント コンピューターについて、プロキシ サーバーの設定を変更できます。 また、グループ ポリシーの設定を使用して、指定したプロキシ サーバーの背後にあるすべてのクライアント コンピューターの設定を変更することもできます。

マネージド デバイスは、すべてのユーザーがファイアウォール経由でサービスにアクセスできるように構成する必要があります。

エンドポイント

また、Microsoft 365 要件の一部としてカバーされる FQDN も必要です。 参照のため、次の表では、それらのサービスが関連付けられているサービスと、返された URL の一覧を示します。

次の表に示すデータ列は以下のとおりです。

• ID: エンドポイントのセットとして知られる、行の ID 番号です。 この ID は、エンドポイントの Web サービスによって返されるものと同じです。

• カテゴリ: エンドポイント セットが [最適化] 、[許可]、または [既定] として分類されているかどうかを示します。 この列には、ネットワーク接続に必要なエンドポイント セットも一覧表示されます。 ネットワーク接続が不要なエンドポイント セットについては、エンドポイント セットがブロックされた場合に失われる機能を示すために、このフィールドにメモを提供します。 サービス エリア全体を除外する場合、必須としてリストされているエンドポイント セットは接続を必要としません。

  これらのカテゴリとその管理に関するガイダンスについては、「 新しい Microsoft 365 エンドポイント カテゴリ」を参照してください。

• ER: エンドポイント セットが Microsoft 365 ルート プレフィックスを持つ Azure ExpressRoute 経由でサポートされている場合、これは Yes/True です。 表示されているルート プレフィックスを含む BGP コミュニティは、表示されているサービス エリアと一致しています。 ER が No / False の場合、ExpressRoute はこのエンドポイント セットではサポートされません。

• アドレス: FQDN またはワイルドカードを含むドメイン名と、エンドポイントのセットの IP アドレス範囲を一覧表示します。 IP アドレス範囲は CIDR 形式であり、指定されたネットワーク内に多数の個別 IP アドレスが含まれる可能性があることに注意してください。

• ポート: 記載された IP アドレスと組み合わさることによりネットワーク エンドポイントを形成する TCP または UDP ポートの一覧を表示します。 異なるポートが一覧表示されている IP アドレス範囲に重複がある場合があります。

Intune コア サービス

認証の依存関係

詳細については、「Office 365 URL および IP アドレス範囲」を参照してください。

Intune の依存関係

このセクションでは、次の表に、Intune の依存関係、および Intune クライアントがアクセスするポートとサービスの一覧を示します。

• Windows プッシュ通知サービスの依存関係
• 配信の最適化の依存関係
• Apple の依存関係
• Android AOSP の依存関係

Android Enterprise の依存関係

Google Android Enterprise - Google では、 Android Enterprise ヘルプ センターに必要なネットワーク ポートと宛先ホスト名に関するドキュメントを提供しています。

Android プッシュ通知 - Intune は、プッシュ通知に Google Firebase Cloud Messaging (FCM) を使用して、デバイスのアクションとチェックインをトリガーします。Android デバイス管理者と Android Enterprise の両方でこれが必要です。 FCM ネットワーク要件の詳細については、Google の「FCM ポートとファイアウォール」を参照してください。

Android AOSP の依存関係

Android ポート情報 - Android デバイスの管理方法によっては、Google Android Enterprise ポートや Android プッシュ通知を開く必要がある場合があります。 サポートされている Android 管理方法の詳細については、Android の登録に関するドキュメントを参照してください。

Apple の依存関係

Apple 固有のエンドポイントの詳細については、次のリソースを参照してください。

• エンタープライズネットワークでApple製品を使用する
• Apple ソフトウェア製品に使用される TCP ポートと UDP ポート
• macOS、iOS/iPadOS、iTunes のサーバー ホスト接続と iTunes のバックグラウンド プロセスについて
• macOS および iOS/iPadOS クライアントで Apple プッシュ通知が届かない場合

配信の最適化の依存関係

ポート要件 - クライアント サービス通信の場合、HTTP またはポート 80/443 経由で HTTPS を使用します。 必要に応じて、ピアツーピア トラフィックの場合、配信の最適化は TCP/IP には 7680 を使用し、NAT トラバーサルにはポート 3544 で Teredo を使用します。 詳細については、「配信の最適化」のドキュメントを参照してください

プロキシの要件 - 配信の最適化を使用するには、バイト範囲の要求を許可する必要があります。 詳細については、「 配信の最適化のためのプロキシ要件」を参照してください。

ファイアウォールの要件 - 配信の最適化をサポートするために、ファイアウォールを介して次のホスト名を許可します。 クライアントと配信の最適化クラウド サービス間の通信の場合:

• *.do.dsp.mp.microsoft.com

配信の最適化メタデータの場合:

• *.dl.delivery.mp.microsoft.com

Windows プッシュ通知サービス (WNS) の依存関係

モバイル デバイス管理 (MDM) を使用して管理されている Intune の管理対象 Windows デバイスの場合、デバイス アクションとその他の即時アクティビティでは Windows プッシュ通知サービス (WNS) の使用が必要です。 詳細については、「エンタープライズ ファイアウォールを介した Windows 通知トラフィックの許可」を参照してください。

リモート ヘルプ

次の表に記載されているネットワーク要件の構成に加えて、Azure 通信サービスのネットワーク要件も構成する必要があります。 詳細については、「Azure Communication Services のネットワーク要件」を参照してください。

Windows Autopilot の依存関係

エンドポイントの分析

エンドポイント分析に必要なエンドポイントの詳細については、「デバイス アクション: 診断の収集」を参照してください。

診断コレクション

診断の収集に必要なエンドポイントの詳細については、「 ネットワークと接続の要件」を参照してください。

Microsoft Defender for Endpoint

Defender for Endpoint 接続の構成の詳細については、「 接続要件」を参照してください。

Defender for Endpoint のセキュリティ設定管理をサポートするには、次のホスト名がファイアウォールを通過できるようにします。 クライアントとクラウド サービス間の通信の場合:

• *.dm.microsoft.com - ワイルドカードを使用すると、登録、チェックイン、およびレポートに使用されるクラウド サービス エンドポイントがサポートされ、サービスのスケーリングに応じて変更される可能性があります。

  重要

  SSL 検査は、Microsoft Defender for Endpoint に必要なエンドポイントではサポートされていません。

Microsoft Intune エンドポイント特権管理

エンドポイント特権管理をサポートするには、ファイアウォールを介して TCP ポート 443 で次のホスト名を許可します

クライアントとクラウド サービス間の通信の場合:

• *.dm.microsoft.com - ワイルドカードを使用すると、登録、チェックイン、およびレポートに使用されるクラウド サービス エンドポイントがサポートされ、サービスのスケーリングに応じて変更される可能性があります。

• *.events.data.microsoft.com- オプションのレポート データを Intune データ収集エンドポイントに送信するために、Intune マネージド デバイスによって使用されます。

  重要

  SSL 検査は、エンドポイント特権管理に必要なエンドポイントではサポートされていません。

詳細については、「エンドポイント特権管理の概要」を参照してください。

Microsoft Security Copilot

Security Copilot と特定のセキュリティ ソリューション間の通信を確保するには、Security Copilot の出力 IP がソリューションに連絡できるようにする必要があります。 必要なエンドポイントの詳細については、Security Copilot ドキュメントの「Microsoft Security Copilot エグレス IP」を参照してください。

Microsoft Store

Microsoft Store を使用してアプリを取得、インストール、または更新する管理対象 Windows デバイスは、ファイアウォールを介して TCP ポート 80 および 443 でこれらのエンドポイントにアクセスする必要があります。

Microsoft Store API (AppInstallManager):

• displaycatalog.mp.microsoft.com
• purchase.md.mp.microsoft.com
• licensing.mp.microsoft.com
• storeedgefd.dsx.mp.microsoft.com

Windows Update エージェント:

詳細については、以下のリソースを参照してください。

• Windows 11 Enterprise の接続エンドポイントを管理する

• Windows 10 Enterprise バージョン 21H2 の接続エンドポイントを管理する

  注:

  2025 年 10 月 14 日に、Windows 10 はサポートが終了し、品質と機能の更新プログラムを受け取ることはありません。 Windows 10 は、Intune で許可されているバージョンです。 このバージョンを実行しているデバイスは引き続き Intune に登録して対象機能を使用できますが、機能は保証されず、異なる場合があります。

Win32 コンテンツのダウンロード:

Win32 コンテンツのダウンロード場所とエンドポイントはアプリケーションごとに一意であり、外部発行元によって提供されます。 テスト システムで次のコマンドを使用すると、各 Win32 ストア アプリの場所を見つけることができます (ストア アプリの [PackageId] は、アプリを Microsoft Intune に追加した後で、アプリの [PackageId] を参照することで取得できます)。

• winget show [PackageId]

インストーラーの URL プロパティは、キャッシュが使用されているかどうかに基づいて、外部のダウンロード場所またはリージョン ベースの (Microsoft がホストする) フォールバック キャッシュを表示します。 コンテンツのダウンロード場所は、キャッシュと外部の場所の間で変更できます。

Microsoft がホストする Win32 アプリ フォールバック キャッシュ:

• cdn.storeedgefd.dsx.mp.microsoft.com

配信の最適化 (オプション、ピアリングに必要):

詳細については、以下のリソースを参照してください。

• Microsoft 接続キャッシュのコンテンツとサービス エンドポイント

デバイス正常性構成証明コンプライアンス ポリシーの Microsoft Azure 構成証明への移行

顧客が Windows コンプライアンス ポリシー - デバイス正常性設定のいずれかを有効にした場合、Windows 11 デバイスは、Intune テナントの場所に基づいて Microsoft Azure Attestation (MAA) サービスの使用を開始します。 ただし、Windows 10 および GCCH/DOD 環境では、デバイス正常性構成証明のレポートに既存のデバイス正常性構成証明 DHA エンドポイント 'has.spserv.microsoft.com' が引き続き使用され、この変更の影響を受けません。

顧客が Windows 11 用の新しい Intune MAA サービスへのアクセスを妨げるファイアウォール ポリシーを持っている場合、デバイスの正常性設定 (BitLocker、セキュア ブート、コードの整合性) のいずれかを使用してコンプライアンス ポリシーが割り当てられた Windows 11 デバイスは、その場所の MAA 構成証明エンドポイントに到達できないため、コンプライアンスから外れます。

送信 HTTPS/443 トラフィックをブロックしているファイアウォール規則がないこと、およびIntuneテナントの場所に基づいて、このセクションに記載されているエンドポイントに対して SSL トラフィック検査が設定されていないことを確認します。

テナントの場所を見つけるには、Intune 管理センター >テナント管理>テナントの状態>テナントの詳細」に移動し、「テナントの場所」を参照してください。

macOS アプリとスクリプトの展開のネットワーク要件

Intune を使用して macOS にアプリまたはスクリプトを展開している場合は、テナントが現在存在するエンドポイントへのアクセス権も付与する必要があります。

テナントの場所に応じて、異なるエンドポイントが使用されます。 テナントの場所を見つけるには、Microsoft Intune管理センターにサインインし、[テナント管理]>[テナントの詳細]>[テナントの場所] の順に選択し、値が 北米 0501 またはそれと同等の値で指定されます。 場所のリージョン (北米の北米 0501) を使用して、必要な CDN エンドポイントとポートについて次の表を確認します。

PowerShell スクリプトと Win32 アプリのネットワーク要件

Win32 アプリ、PowerShell スクリプト、修復、エンドポイント分析、カスタム コンプライアンス ポリシー、BIOS 構成プロファイルの展開など、Intune 管理拡張機能を使用するシナリオに Intune を使用している場合は、テナントが現在存在するエンドポイントへのアクセスを許可する必要もあります。

テナントの場所に応じて、異なるエンドポイントが使用されます。 テナントの場所を見つけるには、Microsoft Intune管理センターにサインインし、[テナント管理]>[テナントの詳細]>[テナントの場所] の順に選択し、値が 北米 0501 またはそれと同等の値で指定されます。 場所のリージョン (北米の北米 0501) を使用して、必要な CDN エンドポイントとポートについて次の表を確認します。

クライアント側のコンポーネントの正常性を監視するために使用される診断データの場合:

• *.events.data.microsoft.com

Windows 自動パッチ

Windows Autopatch に必要なエンドポイントの詳細については、「 Windows Autopatch の前提条件」を参照してください。

Azure Front Door 接続診断ツール

Intune で使用される Azure Front Door (AFD) IP アドレスへの接続を検証するために、Test-IntuneAFDConnectivity.ps1 スクリプトを使用して、必要な AFD IP アドレス範囲とサービス エンドポイントへの接続をテストできます。

この診断ツールには、次のチェックが含まれています。

• Intune サービス エンドポイントの DNS 解決
• ポート 80 および 443 から AFD IP アドレスへの送信 TCP 接続
• Intune クラウド サービスへの HTTPS 検証

前提条件

スクリプトを実行する前に、次のことを確認してください。

• PowerShell 5.1 以降
• この記事で定義されている Microsoft Intune のネットワーク エンドポイントへの接続。

使用方法

Intune マネージド デバイスからスクリプトを実行して、Azure Front Door を使用して Intune ネットワーク エンドポイントへの接続をテストします。 スクリプトは、ログオンしているユーザーのコンテキストで、またはローカル システム アカウント (デバイス コンテキスト) として実行できます。

スクリプトの実行

オプション 1: 現在のユーザーとして実行する

現在のユーザーとして PowerShell を開き、スクリプトが含まれているディレクトリに移動して、次のコマンドを実行します。

.\Test-IntuneAFDConnectivity.ps1

オプション 2: システムとして実行 (デバイス コンテキスト)

デバイス自体として接続をテストするには、Microsoft Sysinternals の PsExec を使用します。

1. PsExec のダウンロード

2. 管理者として PowerShell を開きます。 Psexec が含まれているディレクトリに移動します。

3. 次のコマンドを実行して、スクリプトを SYSTEM として実行します。

.\psexec.exe -accepteula -i -s powershell.exe

1. 新しい PowerShell ウィンドウで、スクリプトが含まれているディレクトリに移動し、次のコマンドを実行して実行します。

.\Test-IntuneAFDConnectivity.ps1

オプションとコマンド

環境に基づいて、次のオプションを使用してください。

トラブルシューティング

スクリプトがエラーを報告した場合 (終了コード 1):

• Azure Front Door IP アドレス テストで失敗した IP または IP 範囲が示された場合: ファイアウォール、プロキシ、または VPN が、ポート 443 または 80 からそれらの Azure Front Door IP への送信接続をブロックしている可能性があります。

• サービス エンドポイント テストで "HTTPS エンドポイントに到達できません" と表示された場合:必要な Intune サービス FQDN または Azure Front Door IP に到達できないか、DNS、プロキシ、または HTTPS 検査の問題が原因で Intune サービス FQDN に接続できません。

• Microsoft Intune のネットワーク エンドポイントを確認し (この記事で詳しく説明します)、ファイアウォール、VPN、またはプロキシで必要なすべての Intune サービス FQDN、Azure Front Door IP 範囲、ポートが許可されていることを確認します。

• 保存された出力ファイルで詳細な結果を確認するか、詳細なログ (-LogLevel Detailed および -Verbose) を使用してスクリプトを実行して、詳細な診断情報をキャプチャします。

統合エンドポイント リスト

ファイアウォール経由でサービスを簡単に構成できるように、Intune マネージド デバイスで使用される FQDN と IP サブネットの統合リストを以下に示します。

これらの一覧には、Intune マネージド デバイスによって使用されるエンドポイントのみが含まれています。 これらの一覧には、Office 365 エンドポイント サービスによって提供されたが、Intune によって使用されていない追加のエンドポイントは含まれていません。

FQDN

*.delivery.mp.microsoft.com
*.dl.delivery.mp.microsoft.com
*.dm.microsoft.com
*.do.dsp.mp.microsoft.com
*.events.data.microsoft.com
*.gov.teams.microsoft.us
*.manage.microsoft.com
*.monitor.azure.com
*.notify.windows.com
*.powershellgallery.com
*.s-microsoft.com
*.support.services.microsoft.com
*.trouter.communication.microsoft.com
*.trouter.communications.svc.cloud.microsoft
*.trouter.teams.microsoft.com
*.update.microsoft.com
*.webpubsub.azure.com
*.windowsupdate.com
*.wns.windows.com
aadcdn.msauth.net
aadcdn.msftauth.net
aam-content-cdn.manage.microsoft.com
adl.windows.com
aka.ms
api.flightproxy.skype.com
browser.pipe.aria.microsoft.com
cdn.oneget.org
certauth.enterpriseregistration.windows.net
clientconfig.passport.net
config.edge.skype.com
config.office.com
displaycatalog.mp.microsoft.com
dl.delivery.mp.microsoft.com
ecs.communication.microsoft.com
ecs.office.com
edge.microsoft.com
edge.skype.com
ekcert.spserv.microsoft.com
ekop.intel.com
enterpriseregistration.windows.net
fd.api.orgmsg.microsoft.com
ftpm.amd.com
go-amer.trouter.communications.svc.cloud.microsoft
go-apac.trouter.communications.svc.cloud.microsoft
go-eu.trouter.communications.svc.cloud.microsoft
go.microsoft.com
graph.windows.net
intunemaape1.eus.attest.azure.net
intunemaape2.eus2.attest.azure.net
intunemaape3.cus.attest.azure.net
intunemaape4.wus.attest.azure.net
intunemaape5.scus.attest.azure.net
intunemaape7.neu.attest.azure.net
intunemaape8.neu.attest.azure.net
intunemaape9.neu.attest.azure.net
intunemaape10.weu.attest.azure.net
intunemaape11.weu.attest.azure.net
intunemaape12.weu.attest.azure.net
intunemaape13.jpe.attest.azure.net
intunemaape17.jpe.attest.azure.net
intunemaape18.jpe.attest.azure.net
intunemaape19.jpe.attest.azure.net
amsua0101lmsas.blob.core.windows.net
amsua0102lmsas.blob.core.windows.net
amsua0201lmsas.blob.core.windows.net
amsua0202lmsas.blob.core.windows.net
amsua0401lmsas.blob.core.windows.net
amsua0402lmsas.blob.core.windows.net
amsua0501lmsas.blob.core.windows.net
amsua0502lmsas.blob.core.windows.net
amsua0601lmsas.blob.core.windows.net
amsua0602lmsas.blob.core.windows.net
amsua0701lmsas.blob.core.windows.net
amsua0702lmsas.blob.core.windows.net
amsua0801lmsas.blob.core.windows.net
amsua0901lmsas.blob.core.windows.net
amsua0902lmsas.blob.core.windows.net
amsub0101lmsas.blob.core.windows.net
amsub0102lmsas.blob.core.windows.net
amsub0201lmsas.blob.core.windows.net
amsub0202lmsas.blob.core.windows.net
amsub0301lmsas.blob.core.windows.net
amsub0302lmsas.blob.core.windows.net
amsub0501lmsas.blob.core.windows.net
amsub0502lmsas.blob.core.windows.net
amsub0601lmsas.blob.core.windows.net
amsub0701lmsas.blob.core.windows.net
amsub0801lmsas.blob.core.windows.net
amsub0901lmsas.blob.core.windows.net
amsuc0101lmsas.blob.core.windows.net
amsuc0201lmsas.blob.core.windows.net
amsuc0301lmsas.blob.core.windows.net
amsuc0501lmsas.blob.core.windows.net
amsuc0601lmsas.blob.core.windows.net
amsud0101lmsas.blob.core.windows.net
amsuin01lmsas.blob.core.windows.net
licensing.mp.microsoft.com
login.live.com
login.microsoftonline.com
manage.microsoft.com
purchase.md.mp.microsoft.com
remoteassistanceprodacs.communication.azure.com
remoteassistanceprodacseu.communication.azure.com
remoteassistanceweb.usgov.communication.azure.us
remotehelp.microsoft.com
ris.prod.api.personalization.ideas.microsoft.com
storeedgefd.dsx.mp.microsoft.com
teams.microsoft.com
time.windows.com
tsfe.trafficshaping.dsp.mp.microsoft.com
wcpstatic.microsoft.com
windowsphone.com

IP サブネット

4.145.74.224/27
4.150.254.64/27
4.154.145.224/27
4.200.254.32/27
4.207.244.0/27
4.213.25.64/27
4.213.86.128/25
4.216.205.32/27
4.237.143.128/25
13.67.13.176/28
13.67.15.128/27
13.69.67.224/28
13.69.231.128/28
13.70.78.128/28
13.70.79.128/27
13.74.111.192/27
13.77.53.176/28
13.86.221.176/28
13.89.174.240/28
13.89.175.192/28
20.37.153.0/24
20.37.192.128/25
20.38.81.0/24
20.41.1.0/24
20.42.1.0/24
20.42.130.0/24
20.42.224.128/25
20.43.129.0/24
20.44.19.224/27
20.91.147.72/29
20.168.189.128/27
20.189.172.160/27
20.189.229.0/25
20.191.167.0/25
20.192.159.40/29
20.192.174.216/29
20.199.207.192/28
20.204.193.10/31
20.204.193.12/30
20.204.194.128/31
20.208.149.192/27
20.208.157.128/27
20.214.131.176/29
40.67.121.224/27
40.70.151.32/28
40.71.14.96/28
40.74.25.0/24
40.78.245.240/28
40.78.247.128/27
40.79.197.64/27
40.79.197.96/28
40.80.180.208/28
40.80.180.224/27
40.80.184.128/25
40.82.248.224/28
40.82.249.128/25
40.84.70.128/25
40.119.8.128/25
48.218.252.128/25
52.150.137.0/25
52.162.111.96/28
52.168.116.128/27
52.182.141.192/27
52.236.189.96/27
52.240.244.160/27
57.151.0.192/27
57.153.235.0/25
57.154.140.128/25
57.154.195.0/25
57.155.45.128/25
68.218.134.96/27
74.224.214.64/27
74.242.35.0/25
104.46.162.96/27
104.208.197.64/27
172.160.217.160/27
172.201.237.160/27
172.202.86.192/27
172.205.63.0/25
172.212.214.0/25
172.215.131.0/27
13.107.219.0/24
13.107.227.0/24
13.107.228.0/23
150.171.97.0/24
2620:1ec:40::/48
2620:1ec:49::/48
2620:1ec:4a::/47

関連コンテンツ

Office 365 の URL および IP アドレスの範囲

Microsoft 365 ネットワーク接続の概要

コンテンツ配信ネットワーク (CDN)

Office 365 IP Address と URL Web サービスに含まれない、その他のエンドポイント

Office 365 エンドポイントを管理する