Microsoft Intune の展開または移行を成功させるには、まず計画から始めます。 このガイドは、統合エンドポイント管理ソリューションとしての Intune の移行または導入を計画するのに役立ちます。
Intune は、組織とさまざまなユーザー デバイスに最適な方法を実行するためのオプションを組織に提供します。 モバイル デバイス管理 (MDM) 用に Intune にデバイスを登録できます。 アプリ データの保護に重点を置いたモバイル アプリケーション管理 (MAM) にもアプリ保護ポリシーを使用できます。
このガイドの手順は以下のとおりです。
- デバイス管理の一般的な目的を一覧表示して説明します
- 潜在的なライセンス ニーズを一覧表示します
- 個人所有のデバイスの取り扱いに関するガイダンスを提供します
- 現在のポリシーとインフラストラクチャの見直しを推奨
- ロールアウト計画の作成例を示します
- その他
このガイドを使用して、Intune への移行または移行を計画します。
手順 1 - 目標を決定する
組織では、モバイル デバイス管理 (MDM) とモバイル アプリケーション管理 (MAM) を使用して、組織のデータを安全に管理し、ユーザーの中断を最小限に抑えます。 Microsoft Intune などの MDM/MAM ソリューションを評価するときは、目標が何であるか、そして何を達成したいかを検討してください。
このセクションでは、Intune を使用する場合の一般的な目的またはシナリオについて説明します。
目的: 組織のアプリとメールにアクセスする
ユーザーは、電子メールの読み取りと返信、データの更新と共有など、組織のアプリを使用してデバイスで作業することを期待しています。 Intune では、次のようなさまざまな種類のアプリを展開できます。
- Microsoft 365 Apps
- Win32 アプリ
- 基幹業務 (LOB) アプリ
- カスタムアプリ
- 組み込みのアプリ
- ストア アプリ
タスク: ユーザーが定期的に使用するアプリの一覧を作成する
これらのアプリは、ユーザーのデバイス上に配置したいアプリです。 考慮事項
多くの組織が、Word、Excel、OneNote、PowerPoint、Teams などのすべての Microsoft 365 アプリを展開しています。 携帯電話などの小型デバイスでは、ユーザーの要件に応じて個々のアプリをインストールできます。
たとえば、営業チームが Teams、Excel、SharePoint を必要とする場合があります。 モバイル デバイスでは、Microsoft 365 製品ファミリ全体を展開するのではなく、これらのアプリのみを展開できます。
ユーザーは、個人用デバイスを含むすべてのデバイスでメールを読んだり返信 & 会議に参加したりすることを好みます。 organization 所有のデバイスで、Outlook と Teams を展開し、組織の設定を使用してこれらのアプリを事前構成し、organization の設定で事前構成できます。
個人用デバイスでは、このコントロールがない場合があります。 そのため、ユーザーにメールや会議などの organization アプリへのアクセス権を付与するかどうかを決定します。
詳細と考慮事項については、 個人用デバイスと組織が所有するデバイス (本記事内) を参照してください。
Android および iOS/iPadOS デバイスで Microsoft Outlook を使用する場合は、Intune アプリの構成ポリシーを使用して Outlook を事前に構成できます。
Intune で動作するように設計された保護されたアプリを確認します。 これらのアプリは、サポートされているパートナー アプリおよび Microsoft Intune で一般に使用される Microsoft アプリです。
目的：すべてのデバイスでのキュリティで保されたアクセス
データをモバイル デバイスに保存する場合は、悪意のあるアクティビティから保護する必要があります。
タスク: デバイスをセキュリティで保護する方法を決定する
ウイルス対策、マルウェア スキャン、脅威への対応、デバイスの最新状態はすべて重要な考慮事項です。 また、悪意のあるアクティビティの影響を最小限に抑える必要もあります。
考慮事項
ウイルス対策 (AV) とマルウェアからの保護は必須です。 Intune は、Microsoft Defender for Endpoint およびさまざまな Mobile Threat Defense (MTD) パートナーと統合して、マネージド デバイス、個人用デバイス、アプリを保護します。
Microsoft Defender for Endpoint には、脅威を監視して対処するためのセキュリティ機能とポータルが含まれています。
デバイスが侵害された場合は、条件付きアクセスを使用して悪意のある影響を制限する必要があります。
たとえば、Microsoft Defender for Endpoint はデバイスをスキャンし、デバイスが侵害されているかどうかを判断できます。 条件付きアクセスは、電子メールを含むこのデバイスへの organization アクセスを自動的にブロックできます。
条件付きアクセスは、Intune に登録されていないデバイスであっても、デバイスからネットワークとリソースを保護するのに役立ちます。
デバイス、OS、アプリを更新して、データを安全に保ちます。 更新プログラムをインストールする方法とタイミングについて計画を作成してください。 Intune には、ストア アプリの更新プログラムなど、更新プログラムの管理に役立つポリシーがあります。
次のソフトウェア更新プログラム計画ガイドは、更新戦略を決定するのに役立ちます。
ユーザーが多くのデバイスから organization リソースに対して認証する方法を決定します。 たとえば、次のようなことが可能です。
デバイス上の 証明書 を使用して、仮想プライベート ネットワーク (VPN) への接続、Outlook を開くなど、機能やアプリを認証します。 これらの証明書により、"パスワードレス" のユーザー エクスペリエンスが可能になります。 ユーザーが組織のユーザー名とパスワードを入力する必要がある場合よりも、パスワードレスの方が安全性が高いと見なされます。
証明書の使用を計画している場合は、サポートされている 公開キー基盤 (PKI) インフラストラクチャ を使用して証明書プロファイルを作成および展開します。
organization 所有のデバイスで認証の追加レイヤーに多要素認証 (MFA) を使用します。 または、MFA を使用して個人用デバイスでアプリを認証します。 顔認識や指紋などの生体認証も使用できます。
認証に生体認証を使用する場合は、デバイスが生体認証をサポートしていることを確認してください。 最新のデバイスの多くでサポートされています。
ゼロ トラスト展開を実装します。 ゼロ トラストでは、Microsoft Entra ID と Microsoft Intune の機能を使用して、すべてのエンドポイントをセキュリティで保護したり、パスワードレス認証などを使用したりできます。
Microsoft 365 アプリに付属するデータ包含ポリシーを構成します。 これらのポリシーは、IT 部門が管理していない他のアプリや保存場所とorganizationデータが共有されるのを防ぐのに役立ちます。
一部のユーザーが企業のメールとドキュメント (個人所有のデバイスに共通する) にのみアクセスする必要がある場合は、アプリ保護ポリシーを使用して Microsoft 365 アプリを使用するようにユーザーに要求できます。 デバイスは、Intune に登録する必要はありません。
詳細と考慮事項については、 個人用デバイスと組織が所有するデバイス (本記事内) を参照してください。
目的: IT を分散する
多くの組織では、別の管理者が場所や部署などを制御できるようにしたいと考えています。 たとえば、Charlotte IT 管理者グループは、Charlotte キャンパス内のポリシーの管理と監視を行います。 これらの Charlotte IT 管理者は、Charlotte の場所のポリシーのみを表示および管理できます。 Redmond の場所のポリシーを表示したり管理したりすることはできません。 この方法は、分散 IT と呼ばれます。
Intune では、分散型 IT は次の機能からのメリットを受けることができます。
スコープ タグでは、 ロールベースのアクセス制御 (RBAC) が使用されます。 したがって、特定のグループ内のユーザーのみに、そのスコープ内のユーザーとデバイスに対するポリシーとプロファイルを管理する許可が与えられます。
デバイス登録カテゴリを使用すると、デバイスは作成したカテゴリに基づいてグループに自動的に追加されます。 この機能では Microsoft Entra 動的グループが使用されており、デバイスの管理が簡単になります。
ヒント
デバイス カテゴリに基づいてIntuneポリシーをターゲットとすることが目標の場合は、
deviceCategoryプロパティで割り当てフィルターを使用することもできます。 フィルターは、グループ メンバーシップの処理に依存せずに、チェック時に評価されます。ユーザーがデバイスを登録するとき、営業、IT 管理者、POS(販売時点管理)デバイスなどのカテゴリを選択します。 デバイスがカテゴリに追加されると、これらのデバイス グループはポリシーを受け取る準備が整います。
管理者がポリシーを作成するときは、スクリプトの実行やアプリの展開などのポリシーなど、特定のポリシーに対して 複数の管理者の承認 を要求できます。
エンドポイント特権管理を使用すると、アプリのインストールやデバイス ドライバーの更新など、管理者以外の標準ユーザーが、昇格された特権を必要とするタスクを完了できます。 エンドポイント特権管理は、Intune スイートの一部です。
タスク: ルールと設定の配布方法を決定する
ルールと設定は、異なるポリシーを使用して展開されます。 考慮事項
管理構造を決定します。 たとえば、 シャーロット IT 管理者 や ケンブリッジ IT 管理者など、場所別に分離したい場合があります。 VPN を含むすべてのネットワーク アクセスを制御する ネットワーク管理者 など、ロール別に分離したい場合があります。
これらのカテゴリが スコープ タグになります。
管理グループの作成の詳細については、以下を参照してください。
組織は、多数のローカル管理者が単一の Intune テナントに接続するシステムで分散 IT を使用する必要がある場合があります。 たとえば、大規模なorganizationには 1 つの Intune テナントがあるとします。 organization には多数のローカル管理者がおり、各管理者が特定のシステム、地域、または場所を管理しています。 各管理者は、organization全体を管理するのではなく、自分の場所のみを管理する必要があります。
詳細については、「同じ Intune テナント内に多数の管理者が存在する分散 IT 環境」を参照してください。
多くの組織では、iOS/iPadOS、Android、Windows デバイスなど、デバイスの種類によってグループを分けています。 次にいくつか例を示します。
- 特定のアプリを特定のデバイスに配布します。 たとえば、Microsoft Shuttle アプリをレドモンド ネットワーク内のモバイル デバイスに展開します。
- ポリシーを特定の場所に展開します。 たとえば、Wi-Fi プロファイルをシャーロット ネットワーク内のデバイスに展開して、範囲内にあるときに自動的に接続されるようにします。
- 特定のデバイスの設定を制御します。 たとえば、製造現場で使用される Android Enterprise デバイスのカメラを無効にしたり、すべての Windows デバイス用の Windows Defender ウイルス対策プロファイルを作成したり、すべての iOS/iPadOS デバイスに電子メール設定を追加したりします。
これらのカテゴリが デバイス登録カテゴリになります。
目標: 組織のデータを組織内に保持する
データがモバイル デバイスに保存されている場合、偶発的な損失または共有からデータを保護する必要があります。 この目標には、個人および organization 所有のデバイスから organization データを消去することも含まれます。
タスク: organization に影響を与えるさまざまなシナリオをカバーする計画を作成します
いくつかのサンプル シナリオ:
デバイスの紛失または盗難、または使用されなくなった。 ユーザーが組織から脱退する。
- Intune では、ワイプ、インベントリからの削除、登録の手動解除を使用して、デバイスを削除できます。 また、X 日間 Intune にチェックインしていないデバイスを自動的に削除することもできます。
- アプリ レベルでは、Intune で管理されているアプリから組織のデータを削除できます。 選択的ワイプは、個人のデータをデバイスに保持し、組織のデータのみを削除するので、個人用デバイスに最適です。
個人用デバイスでは、ユーザーがコピーと貼り付けを行ったり、スクリーンショットを撮ったり、メールを転送したりできないようにすることができます。 管理していないデバイスでは、アプリ保護ポリシーによってこれらの機能をブロックできます。
管理対象デバイス (Intune に登録されているデバイス) では、デバイス構成プロファイルを使用してこれらの機能を制御することもできます。 デバイス構成プロファイルでは、アプリではなく、デバイスの設定を制御します。 機密性の高いデータまたは機密データにアクセスするデバイスで、コピー/貼り付け、スクリーンショットの撮影などをデバイス構成プロファイルによって禁止できます。
詳細と考慮事項については、 個人用デバイスと組織が所有するデバイス (本記事内) を参照してください。
手順 2 - デバイスのインベントリを作成する
組織には、デスクトップ コンピューター、ラップトップ、タブレット、ハンドヘルド スキャナー、携帯電話など、さまざまなデバイスがあります。 これらのデバイスは、organization によって所有されているか、ユーザーが所有しています。 デバイス管理戦略を計画するときは、個人用デバイスを含む、organization リソースにアクセスするすべてのものを考慮してください。
このセクションには、考慮すべきデバイス情報が含まれています。
サポートされるプラットフォーム
Intune は、一般的で一般的なデバイス プラットフォームをサポートしています。 特定のバージョンについては、 サポートされているプラットフォームにアクセスしてください。
タスク: 古いデバイスをアップグレードまたは交換する
デバイスでサポートされていないバージョン (主に古いオペレーティング システム) を使用している場合は、OS をアップグレードするかデバイスを交換することをお勧めします。 これらの古い OS とデバイスではサポートが制限されている可能性があるため、セキュリティ上のリスクが生じる可能性があります。 このタスクには、Windows 7 を実行しているデスクトップ コンピューター、元のバージョン 10.0 OS を実行している iPhone 7 デバイスなどが含まれています。
個人のデバイスと組織所有のデバイス
個人用デバイスでは、ユーザーがメールをチェックしたり、会議に参加したり、ファイルを更新したりするのは正常であり、当然のことです。 多くの組織では、個人用デバイスが organization リソースにアクセスすることを許可しています。
BYOD/個人用デバイスは、以下のモバイル アプリケーション管理 (MAM) 戦略の一部です。
- 多くの組織で人気が高まり続けています
- これは、組織データを保護したいが、デバイス全体を管理したくない組織に適したオプションです organization
- ハードウェア コストを削減します。
- リモート ワーカー & ハイブリッド ワーカーなど、従業員のモバイル生産性の選択肢を増やすことができます
- デバイスからすべてのデータを削除するのではなく、アプリからorganizationデータのみを削除する
組織が所有するデバイスは、次のようなモバイル デバイス管理 (MDM) 戦略の一部です。
- 組織内の IT 管理者に完全な制御を付与する organization
- アプリ、デバイス、ユーザーを管理する豊富な機能セットを備えています
- ハードウェアやソフトウェアを含むデバイス全体を管理したい組織に適したオプションです
- 特に既存のデバイスが期限切れになっているかサポートされなくなった場合、ハードウェア コストが増加する可能性があります
- 個人データを含むすべてのデータをデバイスから削除できます
organization および管理者として、個人用デバイスを許可するかどうかを決定します。 個人用デバイスを許可する場合は、organization データを保護する方法など、重要な決定を下す必要があります。
タスク: 個人用デバイスをどのように扱うかを決定する
モバイルであることやリモート ワーカーのサポートがorganizationにとって重要な場合は、次のアプローチを検討してください。
オプション 1: 個人用デバイスが organization リソースにアクセスできるようにする。 ユーザーは、 登録するか登録しないかを選択できます。
個人用デバイスを登録するユーザーの場合、管理者は、プッシュ ポリシー、デバイス機能 & 設定の制御、デバイスのワイプなど、これらのデバイスを完全に管理します。 管理者としては、このコントロールが欲しい場合もあれば、このコントロールが欲しい と思う かもしれません。
ユーザーは、個人用デバイスを登録するときに、管理者がデバイスを誤ってワイプしたりリセットしたりするなど、デバイスで何も実行できることに気付いていないか、理解していない場合があります。 管理者としては、この責任や、organization が所有していないデバイスへの潜在的な影響を望んでいない場合があります。
また、多くのユーザーが登録を拒否し、organization リソースにアクセスする他の方法を見つけることができます。 たとえば、Outlook アプリを使用して組織の電子メールを確認するには、デバイスの登録を必須にしたとします。 この要件をスキップするには、ユーザーはデバイスで任意の Web ブラウザーを開き、Outlook Web Access にサインインします。これは望むものではない可能性があります。 または、ユーザーがスクリーンショットを作成してデバイスに画像を保存します。これも、管理者が望んでいることではありません。
このオプションを選択する場合は、個人用デバイスを登録するリスクと利点についてユーザーに教育してください。
個人用デバイスを登録していないユーザーの場合は、アプリ保護ポリシーを使用してアプリへのアクセスを管理し、アプリ データをセキュリティで保護します。
条件付きアクセス ポリシーで 使用条件 ステートメントを使用します。 同意しない場合、ユーザーはアプリにアクセスできません。 ユーザーがこのステートメントに同意すると、デバイス レコードが Microsoft Entra ID に追加され、デバイスは既知のエンティティになります。 デバイスが既知の場合は、デバイスからアクセスされている内容を追跡できます。
常にアプリ ポリシーを使用してアクセスとセキュリティを制御します。
電子メールや会議への参加など、organization が最もよく使用するタスクを確認します。 Outlook など、アプリ固有の設定を構成するには、 アプリ構成ポリシー を使用します。 これらのアプリに対するセキュリティとアクセスを制御するには、アプリ保護ポリシーを使用します。
たとえば、ユーザーは個人のデバイスで Outlook アプリを使用して仕事用メールを確認できます。 Intune では、管理者は Outlook アプリ保護ポリシーを作成します。 このポリシーでは、Outlook アプリを開くたびに多要素認証 (MFA) を使用し、コピーと貼り付けを防止し、その他の機能を制限します。
オプション 2: すべてのデバイスをフル マネージドにする。 このシナリオでは、個人用デバイスを含むすべてのデバイスが Intune に登録され、organization によって管理されます。
登録を強制するために、デバイスが Intune に登録することを要求する条件付きアクセス (CA) ポリシーを展開できます。 これらのデバイスでは、次の操作も実行できます。
- organization 接続用の WiFi/VPN 接続を構成し、これらの接続ポリシーをデバイスに展開します。 ユーザーは設定を入力する必要はありません。
- ユーザーのデバイスに 特定のアプリが必要な 場合は、アプリを展開します。 Mobile Threat Defense アプリなど、organization がセキュリティ目的で必要とするアプリを展開することもできます。
- コンプライアンス ポリシーを使用して、規制や特定の MDM コントロールを要求するポリシーなど、organization が従う必要があるルールを設定します。 たとえば、デバイス全体を暗号化したり、デバイス上のすべてのアプリのレポートを作成したりするには、Intune が必要です。
ハードウェアも制御したい場合は、携帯電話を含む必要なすべてのデバイスをユーザーに提供します。 ハードウェア更新プランに投資して、ユーザーの生産性を維持し、最新の組み込みセキュリティ機能を利用できるようにします。 これらの組織所有のデバイスを Intune に登録し、ポリシーを使用して管理します。
ベスト プラクティスとして、データがデバイスから離れることを常に想定してください。 追跡と監査の方法が用意されていることを確認してください。 詳細については、「Microsoft Intune でのゼロ トラスト」を参照してください。
デスクトップ コンピューターを管理する
Intune では、Windows を実行しているデスクトップ コンピューターを管理できます。 Windows クライアント OS には、最新のデバイス管理機能が組み込まれており、ローカル Active Directory (AD) グループ ポリシーへの依存関係が削除されます。 Intune でルールと設定を作成し、これらのポリシーをデスクトップ コンピューターや PC を含むすべての Windows クライアント デバイスに展開すると、クラウドのメリットが得られます。
詳細については、「チュートリアル: Microsoft Intune でクラウドネイティブの Windows エンドポイントを設定する」を参照してください。
Windows デバイスが現在 Configuration Manager を使用して管理されている場合でも、これらのデバイスを Intune に登録できます。 このアプローチは 共同管理と呼ばれます。 共同管理には、デバイスでのリモート アクションの実行 (再起動、リモート制御、工場出荷時の設定へのリセット)、デバイス コンプライアンスを使用した条件付きアクセスなど、多くの利点があります。 デバイスを Intune にクラウド接続することもできます。
詳細については、次を参照してください:
タスク: モバイル デバイス管理に現在使用しているものを確認する
モバイル デバイス管理の導入は、そのソリューションがオンプレミスの機能またはプログラムを使用しているかどうかなど、organization が現在使用しているものによって異なる場合があります。
セットアップに関する展開ガイドには、いくつかの有用な情報が含まれています。
考慮事項
現在、MDM サービスまたはソリューションを使用していない場合は、直接 Intune にアクセスするのが最適である可能性があります。
現在オンプレミスのグループ ポリシー オブジェクト (GPO) を使用している場合は、Intune に移動して Intune 設定カタログを使用するのも似ており、クラウドベースのデバイス ポリシーへの移行が容易です。 設定カタログには、Apple デバイスと Google Chrome の設定も含まれています。
Configuration Manager または MDM ソリューションに登録されていない新しいデバイスの場合は、直接 Intune にアクセスするのが最善である可能性があります。
Configuration Manager を現在使用している場合は、次のオプションがあります。
- 既存のインフラストラクチャを維持し、一部のワークロードをクラウドに移動する場合は、共同管理を使用します。 両方のサービスのメリットが得られます。 既存のデバイスでは、一部のポリシーを Configuration Manager (オンプレミス) から、その他のポリシーを Intune (クラウド) から受け取ることができます。
- 既存のインフラストラクチャを維持し、Intune を利用してオンプレミスのデバイスを監視する場合は、テナントのアタッチを使用します。 Intune 管理センターを使用しながら、Configuration Manager を使用してデバイスを管理するメリットがあります。
- 純粋なクラウド ソリューションでデバイスを管理する場合は、Intune に移行します。 一部の Configuration Manager ユーザーは、テナントのアタッチまたは共同管理を備えた Configuration Manager を引き続き使用することを好みます。
詳細については、 共同管理ワークロードに関するページを参照してください。
現場担当者 (FLW) デバイス
共有タブレットと共有デバイスは、現場担当者 (FLW) にとって一般的です。 これらは、小売、ヘルスケア、製造などを含む多くの業界で使用されています。
Android (AOSP) 仮想現実デバイス、iPad デバイス、Windows 365 クラウド PC など、さまざまなプラットフォームで使用できるオプションがあります。
タスク: FLW シナリオを決定する
FLW デバイスは organization 所有であり、デバイス管理に登録されており、1 人のユーザー (ユーザーが割り当て済み) または多数のユーザー (共有デバイス) によって使用されます。 これらのデバイスは、現場担当者が業務を遂行するために不可欠であり、多くの場合、限定使用モードで使用されます。 たとえば、アイテムをスキャンするデバイス、情報を表示するキオスク、病院や医療施設で患者をチェックインするタブレットなどです。
詳細については、「Microsoft Intune での現場担当者デバイスの管理」を参照してください。
手順 3 - コストとライセンスを決定する
デバイスの管理は、さまざまなサービスとの関係です。 Intune には、さまざまなデバイスで制御できる設定と機能が含まれています。 また、重要な役割を果たすサービスもあります。
Microsoft Entra ID P1 または P2 (Microsoft 365 E5 ライセンスに含まれています) には、デバイスの管理に重要な次のようないくつかの機能が含まれています:
- Windows Autopilot: Windows クライアント デバイスは Intune に自動的に登録し、ポリシーを自動的に受信できます。
- 多要素認証 (MFA): ユーザーは、PIN、認証アプリ、指紋など、2 つ以上の認証方法を入力する必要があります。 MFA は、追加のセキュリティが必要な個人用デバイスや organization 所有のデバイスにアプリ保護ポリシーを使用する場合に最適なオプションです。
- 条件付きアクセス: ユーザーとデバイスが 6 桁のパスコードなどのルールに従う場合、organization リソースにアクセスできます。 ユーザーまたはデバイスは、ルールを満たしていない場合、アクセスできません。
- 動的ユーザー グループと動的デバイス グループ: 市区町村、役職、OS の種類、OS バージョンなどの条件を満たしたときに、ユーザーまたはデバイスを自動的にグループに追加します。
Microsoft 365 アプリ (Microsoft 365 E5 ライセンスに含まれる) には、Outlook、Word、SharePoint、Teams、OneDrive など、ユーザーが頼りにするアプリが含まれます。 Intune を使用してこれらのアプリをデバイスに展開できます。
Microsoft Defender for Endpoint (Microsoft 365 E5 ライセンスに含まれる) は、Windows クライアント デバイスを監視およびスキャンして悪意のあるアクティビティを調べるのに役立ちます。 また、許容可能な脅威レベルを設定することもできます。 条件付きアクセスと組み合わせると、脅威レベルを超えた場合に organization リソースへのアクセスをブロックできます。
Microsoft Purview (Microsoft 365 E5 ライセンスに含まれています) は、ラベルを適用することで、ドキュメントとメールを分類して保護します。 Microsoft 365 アプリでは、このサービスを使用して、個人用デバイスのアプリを含む、organization データへの不正アクセスを防ぐことができます。
Intune の Microsoft Copilot は、生成 AI セキュリティ分析ツールです。 Intune データにアクセスし、ポリシーと設定の管理、セキュリティ体制の理解、デバイスの問題のトラブルシューティングに役立ちます。
Intune の Copilot は、Microsoft Security Copilot を通じてライセンスされています。 詳細については、「Microsoft Security Copilot の概要」を参照してください。
Intune スイートは、リモート ヘルプ、Microsoft クラウド PKI、エンドポイント特権管理などの高度なエンドポイント管理およびセキュリティ機能を提供します。
2026 年 7 月以降、スイート機能は Microsoft 365 ライセンス レベル全体に分散されます。
- Microsoft 365 E3 には、プラン 2、リモート ヘルプ、高度分析が含まれています。
- Microsoft 365 E5 および E7 には、E3 のすべてに加えて、エンドポイント特権管理、Microsoft クラウド PKI、エンタープライズ アプリケーション管理が含まれています。
- その他のプランをご利用のお客様は、Suite を個別のサブスクリプションとしてご利用いただけます。
詳細については、次を参照してください:
- Microsoft Intune のライセンス
- Microsoft 365 for business
- Microsoft 365 Enterprise ライセンス
- Microsoft Intune の高度な機能
タスク: organization が必要とするライセンス サービスを決定する
考慮事項
ポリシー (ルール) とプロファイル (設定) を強制なしで展開することが目標の場合は、少なくとも次のものが必要です:
- Intune
Intune はさまざまなサブスクリプションで提供され、スタンドアロン サービスとしても利用できます。 詳細については、「Microsoft Intune ライセンス」を参照してください。
現在は Configuration Manager を使用しており、デバイスの共同管理をセットアップしたい場合。 Intune には Configuration Manager ライセンスに既に含まれています。 Intune で新しいデバイスまたは既存の共同管理デバイスを完全に管理する場合は、別の Intune ライセンスが必要です。
Intune で作成したコンプライアンス ルールまたはパスワード ルールを適用したい場合。 少なくとも、次のものが必要です。
- Intune
- Microsoft Entra ID P1 または P2
Intune と Microsoft Entra ID P1 または P2 は、Enterprise Mobility + Security で使用できます。 詳細については、「Enterprise Mobility + Security の価格オプション」を参照してください。
デバイス上の Microsoft 365 アプリのみを管理する必要があります。 少なくとも、次のものが必要です。
- Microsoft 365 Basic Mobility and Security
詳細については、次を参照してください:
Microsoft 365 アプリをデバイスに展開し、これらのアプリを実行するデバイスをセキュリティで保護するのに役立つポリシーを作成する必要があります。 少なくとも、次のものが必要です。
- Intune
- Microsoft 365 Apps
Intune でポリシーを作成し、Microsoft 365 アプリをデプロイし、ルールと設定を適用する必要があります。 少なくとも、次のものが必要です。
- Intune
- Microsoft 365 Apps
- Microsoft Entra ID P1 または P2
これらのサービスはすべて一部の Microsoft 365 プランに含まれているため、Microsoft 365 ライセンスを使用する方が費用対効果が高い場合があります。 詳細については、「 Microsoft 365 ライセンス プラン」を参照してください。
手順 4 - 既存のポリシーとインフラストラクチャを確認する
多くの組織は、既存のポリシーとデバイス管理インフラストラクチャを備えていますが、その "保守" だけを行っています。 たとえば、20 年前のグループ ポリシーを使用していて、それらが何をしているかわからない場合があります。 クラウドへの移行を検討するときは、これまで常に行ってきたことに注目するのではなく、目標を決定する必要があります。
これらの目標を念頭に置いて、ポリシーのベースラインを作成します。 複数のデバイス管理ソリューションがある場合は、今が 1 つのモバイル デバイス管理サービスを使用することをお勧めします。
タスク: オンプレミスで実行するタスクを確認する
このタスクには、クラウドに移行する可能性のあるサービスの検討も含まれます。 これまで常に行ってきたことに注目するのではなく、目標を決定する必要があることを忘れないでください。
ヒント
クラウドネイティブ エンドポイントの詳細 情報は良いリソースです。
考慮事項
既存のポリシーとその構造を確認します。 グローバルに適用できるポリシー、サイト レベルで適用されるポリシー、およびデバイスに固有のポリシーがあります。 目標は、グローバル ポリシーの意図、ローカル ポリシーの意図などを把握し、理解することです。
オンプレミスの Active Directory グループ ポリシーは、LSDOU の順序 (ローカル、サイト、ドメイン、および組織単位 (OU) で適用されます。 この階層では、OU ポリシーによってドメイン ポリシーが上書きされ、ドメイン ポリシーによってサイト ポリシーが上書きされる、というように上書きされていきます。
Intune では、作成したユーザーとグループにポリシーが適用されます。 階層はありません。 2 つのポリシーによって同じ設定が更新された場合、設定は競合として表示されます。 競合動作の詳細については 、「デバイス ポリシーとプロファイルに関する一般的な質問、問題、解決策」を参照してください。
ポリシーを確認すると、AD グローバル ポリシーは、必要なグループに論理的に適用され始めます。 これらのグループには、グローバル レベル、サイト レベルなどでターゲットにするユーザーとデバイスが含まれます。 このタスクでは、Intune で必要なグループ構造の概要を示します。 大規模な Microsoft Intune 環境でのグループ化、ターゲット設定、フィルター処理に関するパフォーマンスに関する推奨事項は、優れたリソースとなる場合があります。
Intune で新しいポリシーを作成する準備をしてください。 Intune には、ユーザーが関心を持つかもしれないシナリオをカバーするいくつかの機能が含まれています。 次にいくつか例を示します。
セキュリティ ベースライン: Windows クライアント デバイスでは、 セキュリティ ベースライン は、推奨値に事前構成されているセキュリティ設定です。 デバイスのセキュリティ保護について初めて使用する場合、または包括的なベースラインが必要な場合は、セキュリティ ベースラインを確認してください。
設定の分析情報 は、同様の組織が正常に採用した分析情報を追加することで、構成の信頼性を高めます。 Insights は、一部の設定で使用できます。また、すべての設定では使用できません。 詳細については、「 設定の分析情報」を参照してください。
設定カタログ: 設定カタログ には、構成できるすべての設定が一覧表示されます。これは、オンプレミスの GPO および ADMX テンプレートと似ています。 ポリシーを作成するときは、最初から作成し、細かいレベルで設定を構成します。
グループ ポリシー: グループ ポリシー分析を使用して、GPO をインポートして分析します。 この機能は、クラウドでの GPO の変換方法を決定するのに役立ちます。 出力では、Microsoft Intune などの MDM プロバイダーでサポートされている設定が示されます。 また、非推奨の設定や、MDM プロバイダーで使用できない設定も示されます。
インポートした設定に基づいて Intune ポリシーを作成することもできます。 詳細については、「 インポートした GPO を使用して設定カタログ ポリシーを作成する」を参照してください。
最小限の目標を含むポリシー ベースラインを作成します。 例:
セキュリティで保護されたメール: 少なくとも、次のことをお勧めします。
- Outlook アプリの保護ポリシーを作成します。
- Exchange Online の条件付きアクセスを有効にするか、別のオンプレミス電子メール ソリューションに接続します。
デバイス設定：少なくとも、次のことをお勧めします。
- デバイスのロックを解除するために 6 文字の PIN を要求します。
- iCloud や OneDrive などの個人用クラウド サービスへのバックアップを防止します。
デバイス プロファイル: 少なくとも、次のことをお勧めします。
- Contoso Wi-Fi ワイヤレス ネットワークに接続するための事前構成済みの設定が含まれる Wi-Fi プロファイルを作成します。
- 自動的に認証を行って組織の VPN に接続するための、VPN プロファイルと証明書を作成します。
- Outlook に接続する事前構成の設定で メール プロファイル を作成します。
アプリ: 少なくとも、次のことをお勧めします。
- アプリ保護ポリシーを使用して Microsoft 365 アプリをデプロイします。
- アプリの保護ポリシー付きの基幹業務 (LOB) を展開します。
最小推奨設定の詳細については、以下を参照してください。
グループの現在の構造を確認します。 Intune では、ユーザー グループ、デバイス グループ、および動的なユーザーとデバイス グループにポリシーを作成して割り当てることができます (Microsoft Entra ID P1 または P2 が必要です)。
Intune や Microsoft 365 などのクラウドでグループを作成する場合、グループは Microsoft Entra ID で作成されます。 Microsoft Entra ID ブランドは表示されない場合がありますが、それはあなたが使用しているものです。
新しいグループの作成は簡単な作業です。 Microsoft Intune 管理センターで作成できます。 詳細については、「 グループを追加してユーザーとデバイスを整理する」を参照してください。
既存の配布リスト (DL) を Microsoft Entra ID に移動することは、より困難な場合があります。 DL が Microsoft Entra ID に配置されると、これらのグループは Intune と Microsoft 365 で使用できるようになります。 詳細については、次を参照してください:
既存の Office 365 グループがある場合は、Microsoft 365 に移行できます。 既存のグループは残り、Microsoft 365 のすべての機能とサービスを使用できます。 詳細については、次を参照してください:
複数のデバイス管理ソリューションがある場合は、 1 つのモバイル デバイス管理ソリューションに移行します。 Intune を使用して、アプリ内やデバイス上の組織データを保護することをお勧めします。
詳細については、「Microsoft Intune では、ID の管理、アプリの管理、デバイスの管理が安全に行われます。
手順 5 - ロールアウト計画の作成
次のタスクでは、ユーザーとデバイスでポリシーを受け取る方法とタイミングを計画します。 このタスクでは、次の点も考慮してください。
- 目標と成功のメトリックを定義します。 これらのデータ ポイントを使用して、他のロールアウト フェーズを作成します。 目標は SMART (Specific (具体的な)、Measurable (測定可能な)、Attainable (達成可能な)、Realistic (現実的な)、Timely (時宜にかなった)) ものになるように設定します。 ロールアウト計画が順調に進行するように各フェーズの目標に合わせて指標を設定します。
- 目標と目的を明確に定義します。 新機能の認知やトレーニングにはこれらの目標や目的を取り入れ、Intune を組織が選択した理由をユーザーに理解してもらいます。
タスク: ポリシーを展開するための計画を作成する
また、ユーザーが Intune にデバイスを登録する方法を選択します。 考慮事項
ポリシーを段階的に展開します。 例:
パイロットまたはテスト グループから開始します。 これらのグループは、最初のユーザーであることを自覚し、フィードバックの提供に協力する必要があります。 このフィードバックを使用して、構成、ドキュメント、通知を向上させ、今後のロールアウトではユーザーの作業が容易になるようにします。 幹部や重要な人物はパイロット ユーザーにしないでください。
最初のテストの後、パイロット グループにユーザーを追加します。 または、次のように、別のロールアウトに焦点を当てたパイロット グループをさらに作成します。
部門: 各部門を 1 つのロールアウト フェーズにすることができます。 一度に部門全体を対象にします。 このロールアウトでは、各部門のユーザーはデバイスを同じようなやり方で使用し、同じアプリケーションにアクセスする可能性があります。 ユーザーが同じ種類のポリシーを使用する可能性があります。
地理的場所: 特定の地域内 (同じ大陸、国/地域、同じ組織の建物など) のすべてのユーザーにポリシーを展開します。 このロールアウトでは、特定の場所のユーザーに集中することができます。 Intune を同時に展開する場所の数が少ないため、事前プロビジョニング展開アプローチ用の Windows Autopilot を提供できます。 同じ場所に複数の部門や複数のユース ケースが存在する可能性があります。 そのため、同時に複数のユース ケースをテストすることもできます。
プラットフォーム: このロールアウトでは、類似したプラットフォームを同時に展開します。 たとえば、2 月にすべての iOS/iPadOS デバイス、3 月にすべての Android デバイス、4 月にすべての Windows デバイスにポリシーを展開します。 この方法では、ヘルプ デスクは一度に 1 つのプラットフォームだけをサポートするため、サポートが容易になる可能性があります。
段階的なアプローチを使用すると、さまざまな種類のユーザーからフィードバックを得ることができます。
パイロット運用が無事に終わったら、次は本格的な運用ロールアウトに取り掛かります。 対象となるグループと期間を含む Intune ロールアウト計画の例を次に示します。
ロールアウト フェーズ 7 月 8 月 9 月 10 月 限定パイロット運用 IT 部門 (50 ユーザー) 拡張パイロット運用 IT 部門 (200 ユーザー)、IT 部門の幹部 (10 ユーザー) 運用ロールアウト フェーズ 1 セールスおよびマーケティング (2,000 ユーザー) 運用ロールアウト フェーズ 2 小売 (1,000 ユーザー) 運用ロールアウト フェーズ 3 人事 (50 ユーザー)、財務 (40 ユーザー)、幹部 (30 ユーザー) このテンプレートは、Intune の展開計画、設計、および実装のテーブル テンプレートに関するページからダウンロードすることもできます。
ユーザーが個人所有のデバイスと organization 所有のデバイスを登録する方法を選択します。 以下のようなさまざまな登録方法を選択できます。
- ユーザーのセルフサービス: ユーザーは、IT 組織によって提供された手順に従って、各自のデバイスを登録します。 この方法は最も一般的で、ユーザー支援型登録よりもスケーラブルな方法です。
- ユーザー支援登録: この事前にプロビジョニングされた展開方法では、IT メンバーが、対面または Teams を使用して、登録プロセス全体をユーザーを支援します。 この方法は通常、幹部や、特に支援が必要と思われるグループに使用されます。
- IT 技術説明会: このイベントでは、IT 部門が Intune 登録サポート ブースを設置します。 ユーザーは Intune 登録に関する情報を入手し、不明な点を聞き、デバイス登録についてサポートを受けることができます。 この選択肢は、Intune ロールアウトの初期フェーズでは特に、IT 部門とユーザーに利点があります。
次の例は、登録方法を示しています。
ロールアウト フェーズ 7 月 8 月 9 月 10 月 限定パイロット運用 セルフサービス IT 拡張パイロット運用 セルフサービス IT 事前プロビジョニング IT 部門の幹部 運用ロールアウト フェーズ 1 営業/マーケティング セルフサービス Sales and Marketing 運用ロールアウト フェーズ 2 小売 セルフサービス 小売 運用ロールアウト フェーズ 3 役員、人事、財務 セルフサービス 人事、財務 事前プロビジョニング 役員 プラットフォームごとのさまざまな登録方法の詳細については、「展開ガイダンス: Microsoft Intune にデバイスを登録する」を参照してください。
手順 6 - 変更を伝達する
変更管理は、今後の変更に関する明確で有益な情報伝達にかかっています。 アイデアは、スムーズなIntuneデプロイを行い、中断 & 変更をユーザーに認識させることです。
タスク: 展開コミュニケーション プランには、重要な情報を含める必要があります
この情報には、ユーザーに通知する方法と通信するタイミングを含める必要があります。 考慮事項
伝える情報を決定します。 Intune ロールアウトのキックオフ、登録前、登録後の順に、グループとユーザーに段階的に伝達します。
キックオフ段階: Intune プロジェクトを紹介する広範な情報伝達。 次のような重要な質問に答える必要があります。
- Intune とは
- 組織で Intune を使用する理由 (組織とユーザーにとっての利点など)
- 展開とロールアウトの大まかな計画について説明します。
- デバイスを登録 しない限り 個人用デバイスが許可されていない場合は、その決定を下した理由を説明してください。
登録前フェーズ: Intune やその他のサービス (Office、Outlook、OneDrive など)、ユーザー リソース、ユーザーとグループが Intune に登録する特定のタイムラインに関する情報を含む幅広いコミュニケーション。
登録フェーズ: 通信は、Intune への登録がスケジュールされている organization ユーザーとグループを対象としています。 登録の準備ができたことをユーザーに通知し、登録手順、ヘルプや質問が必要な連絡先を含める必要があります。
登録後フェーズ: 通信の対象は、Intune に登録されている organization ユーザーとグループです。 ユーザーに役立つ可能性のあるリソースをさらに提供し、登録中および登録後のエクスペリエンスに関するフィードバックを収集する必要があります。
対象のグループやユーザーに Intune のロールアウト情報を伝える方法を選択します。 例:
組織全体を対象に対面の会議を行うか、Microsoft Teams を使用します。
登録前の電子メール、登録の電子メール、登録後の電子メールを作成します。 例:
- メール 1: 利点、見込み、スケジュールについて説明します。 この機会を利用して、Intune によって管理されるデバイスでアクセスが許可される他のサービスを紹介します。
- メール 2: Intune からサービスにアクセスする準備が整ったことを発表します。 ユーザーにすぐに登録するよう伝えます。 アクセスが影響を受ける前にタイムラインをユーザーに提供します。 移行の利点と戦略的な理由を再認識してもらいます。
組織の Web サイトを使用して、ロールアウト フェーズ、ユーザーが期待できること、およびサポートの担当者について説明します。
ポスターを作成したり、organization のソーシャル メディア プラットフォーム (Microsoft Viva Engage など) を使用したり、チラシを配布して登録前フェーズをお知らせしたりできます。
いつ、誰が参加するかを含むタイムラインを作成します。 最初の Intune キックオフの伝達では、組織全体または一部のみを対象にすることができます。 Intune ロールアウトを開始する数週間前に行うことができます。 次に、Intune ロールアウト スケジュールに合わせてユーザーとグループに段階的に伝えます。
次の例は、Intune ロールアウトの情報伝達の大まかな計画です。
情報伝達計画 7 月 8 月 9 月 10 月 フェーズ 1 すべて キックオフ ミーティング 第 1 週 フェーズ 2 IT Sales and Marketing 小売 人事、財務、幹部 ロールアウト前電子メール 1 第 1 週 第 1 週 第 1 週 第 1 週 フェーズ 3 IT Sales and Marketing 小売 人事、財務、幹部 ロールアウト前 メール 2 第 2 週 第 2 週 第 2 週 第 2 週 フェーズ 4 IT Sales and Marketing 小売 人事、財務、幹部 登録電子メール 第 3 週 第 3 週 第 3 週 第 3 週 フェーズ 5 IT Sales and Marketing 小売 人事、財務、幹部 登録後電子メール 第 4 週 第 4 週 第 4 週 第 4 週
手順 7 - ヘルプ デスクとエンド ユーザーをサポートする
Intune の展開計画とパイロット運用の初期段階に、IT サポートとヘルプ デスクを含めます。 早期に関与することで、サポート スタッフは Intune に触れ、問題をより効果的に特定して解決するための知識と経験を得ることができます。 組織の本格的な運用ロールアウトのサポートにも備えることができます。 また、知識豊富なヘルプ デスクやサポート チームは、ユーザーがこれらの変更を採用するのを支援できます。
タスク: サポート チームをトレーニングする
展開計画で定めた成功の指標を使用して、エンド ユーザー エクスペリエンスを検証します。 考慮事項
エンド ユーザーをサポートするユーザーを決定します。 組織には、異なるレベルまたはレベル (1 から 3) があります。 たとえば、階層 1 と階層 2 がサポート チームの一部である可能性があります。 階層 3 には Intune の展開を担当する MDM チームのメンバーが含まれています。
通常、階層 1 はサポートの最初のレベルであり、最初の連絡先となる階層です。 階層 1 で問題を解決できない場合は、階層 2 にエスカレートされます。 階層 2 からは階層 3 にエスカレートされます。 Microsoft サポート は階層 4 と見なされる場合があります。
- ロールアウトの初期フェーズでは、必ずサポート チームのすべて階層で問題と解決策を文書化してください。 パターンを探し、次のロールアウト フェーズの情報伝達を調整します。 例:
- 別のユーザーまたはグループが個人用デバイスの登録についてためらっている場合は、よくある質問に Teams の通話で回答することを検討します。
- ユーザーが組織所有のデバイスの登録で同じ問題を抱えている場合は、対面のイベントを開催して、ユーザーがデバイスを登録できるようにサポートします。
- ロールアウトの初期フェーズでは、必ずサポート チームのすべて階層で問題と解決策を文書化してください。 パターンを探し、次のロールアウト フェーズの情報伝達を調整します。 例:
ヘルプ デスク ワークフローを作成し、サポートの問題、傾向、その他の重要な情報をサポート チームのすべての層に常に伝達します。 たとえば、毎日または毎週 Teams 会議を開催して、すべての階層が傾向やパターンを認識し、サポートを得ることができるようにします。
次の例は、Contoso で IT サポートまたはヘルプ デスクのワークフローがどのように実装されているかを示しています。
- エンド ユーザーが、登録の問題について IT サポート/ヘルプデスク階層 1 に問い合わせます。
- IT サポート/ヘルプデスク階層 1 は根本原因を特定できず、階層 2 に上申します。
- IT サポート/ヘルプデスク階層 2 が調査します。 階層 2 は問題を解決できず、階層 3 に上申し、問題の解決に役立つ追加情報を提供します。
- IT サポート/ヘルプデスク階層 3 が調査し、根本原因を特定して、解決策を階層 2 と階層 1 に伝えます。
- IT サポート/ヘルプデスク階層 1 はユーザーに連絡し、問題を解決します。
この方法では、特に Intune のロールアウトの初期段階で以下のような多くの利点があります。
- テクノロジの学習を支援する
- 問題の迅速な特定と解決策
- 全体的なユーザー エクスペリエンスを向上する
ヘルプ デスクとサポート チームをトレーニングします。 organization で使用されているさまざまなプラットフォームを実行するデバイスを登録してもらい、プロセスに精通してもらいます。 シナリオのパイロット グループとしてヘルプ デスクとサポート チームを使用することを検討してください。
YouTube ビデオ、Windows Autopilot シナリオ、コンプライアンス、構成、トレーニング パートナーによるコースに関する Microsoft チュートリアルなど、トレーニング リソースを利用できます。
Intune サポート トレーニングの課題の例を次に示します。
- Intune サポート計画のレビュー
- Intune の概要
- 一般的な問題のトラブルシューティング
- ツールとリソース
- Q & A
コミュニティベースの Intune フォーラムとエンドユーザー ドキュメントも優れたリソースです。