このガイドでは、Microsoft Intune を使用して Windows アプリとエンドポイントを保護および管理する方法について説明し、前提条件から登録までのセットアップに関する推奨事項とリソースが含まれています。
このガイドの各セクションについて、関連するタスクを確認します。 必須のタスクもあれば、Microsoft Entra 条件付きアクセスの設定などのタスクは省略可能です。 各セクションのリンクを選択して、Microsoft Learn の推奨ヘルプ ドキュメントに移動します。そこでは、より詳細な情報と使い方の手順が表示されます。
手順 1: 前提条件
テナントのエンドポイント管理機能を有効にするには、次の前提条件を完了します。
タスクを完了するために必要な、最低特権ロールを使用することをお勧めします。 たとえば、デバイス登録タスクを完了できる最小権限ロールは、組み込みのポリシーおよびプロファイル マネージャーの Intune ロールです。
組み込みのロールとその実行可能な操作の詳細については、「Intune を使用したロールベースのアクセス制御 (RBAC)」および「Intune の組み込みロールのアクセス許可」を参照してください。
モバイル デバイス管理のために organization の準備、オンボード、または Intune の採用を行う方法の詳細と推奨事項については、「移行ガイド: Microsoft Intune の設定または移行」を参照してください。
手順 2: 展開を計画する
Microsoft Intune 計画ガイドを使用して、デバイス管理の目標、ユースケース シナリオ、および要件を定義します。 このガイドを使用して、ロールアウト、通信、サポート、テスト、検証を計画します。 たとえば、従業員と学生がデバイスを登録するときに立ち会う必要がない場合があります。 Intune ポータル サイトのインストールと使用に関する情報がどこにあるかをユーザーが理解できるように、コミュニケーション プランを用意することをお勧めします。
詳細については、「Microsoft Intune 計画ガイド」を参照してください。
手順 3: コンプライアンス ポリシーを作成する
コンプライアンス ポリシーを使用して、データにアクセスするデバイスがセキュリティで保護され、organizationの標準を満たしていることを確認します。 登録プロセスの最終段階はコンプライアンス評価であり、デバイスの設定がポリシーを満たしていることを確認します。 デバイス ユーザーは、保護されたリソースにアクセスするには、すべてのコンプライアンスの問題を解決する必要があります。 Intune は、コンプライアンス要件を満たしていないデバイスを非準拠としてマークし、コンプライアンス違反構成に対するアクションに応じて追加のアクション (ユーザーに通知を送信する、アクセスを制限する、デバイスのワイプなど) を実行します。
Microsoft Entra 条件付きアクセス ポリシーをデバイス コンプライアンス ポリシーと組み合わせて使用して、Windows PC、企業メール、Microsoft 365 サービスへのアクセスを制御できます。 たとえば、従業員がデバイスを登録またはセキュリティで保護しない限り、Edge で Microsoft Teams にアクセスすることをブロックするポリシーを作成できます。
ヒント
デバイス コンプライアンス ポリシーの概要については、「 コンプライアンスの概要」を参照してください。
| タスク | 詳細 |
|---|---|
| コンプライアンス ポリシーの作成 | コンプライアンス ポリシーを作成してユーザーとデバイスのグループに割り当てる方法のステップ形式のガイダンス。 |
| コンプライアンス違反に対するアクションを追加する | デバイスがコンプライアンス ポリシーの条件を満たさなくなったときの処理を選択します。 アクションの例としては、アラートの送信、デバイスのリモート ロック、デバイスの廃止などがあります。 デバイス コンプライアンス ポリシーを構成するとき、または後でポリシーを編集することによって、非準拠のアクションを追加できます。 |
| デバイスベースまたはアプリベースの条件付きアクセス ポリシーを作成する | 保護するアプリまたはサービスを選択し、アクセスの条件を定義します。 |
| 先進認証を使用していないアプリへのアクセスをブロックする | アプリベースの条件付きアクセス ポリシーを作成して、OAuth2 以外の認証方法を使用するアプリ (基本認証やフォームベース認証を使用するアプリなど) をブロックします。 ただし、アクセスをブロックする前に、Microsoft Entra ID にサインインし、認証方法アクティビティ レポートを確認して、ユーザーが基本認証を使用して、忘れていた、または気づいていない重要な情報にアクセスしていないかどうかを確認します。 たとえば、会議室のカレンダー キオスクなどは、基本認証を使用します。 |
| カスタム コンプライアンス設定の追加 | カスタム コンプライアンス設定を使用すると、独自の Bash スクリプトを作成して、Microsoft Intune に組み込まれているデバイス コンプライアンス オプションにまだ含まれていないコンプライアンス シナリオに対処できます。 この記事では、Windows デバイスのカスタム コンプライアンス ポリシーを作成、監視、およびトラブルシューティングする方法について説明します。 カスタム コンプライアンス設定では、設定と値のペアを識別する カスタム スクリプトを作成する 必要があります。 |
手順 4: エンドポイントのセキュリティを構成する
Intune エンドポイント セキュリティ機能を使用して、デバイス セキュリティを構成し、リスクのあるデバイスのセキュリティ タスクを管理します。
| タスク | 詳細 |
|---|---|
| エンドポイント セキュリティ機能を使用してデバイスを管理する | Intune のエンドポイント セキュリティ設定を使用して、デバイスのセキュリティを効果的に管理し、デバイスの問題を修復します。 |
| エンドポイント保護設定を追加する | ファイアウォール、BitLocker、Microsoft Defender などの一般的なエンドポイント保護セキュリティ機能を構成します。 この領域の設定の説明については、エンドポイント保護設定リファレンスを参照してください。 |
| Intune で Microsoft Defender for Endpoint を構成する | Intune を Microsoft Defender for Endpoint と統合すると、セキュリティ侵害の防止に役立つだけでなく、エンドポイントの脅威 & 脆弱性管理 (TVM) のMicrosoft Defenderを活用し、Intuneを使用して TVM によって特定されたエンドポイントの弱点を修復できます。 |
| BitLocker ポリシーを管理する | 管理対象デバイスで BitLocker を構成するポリシーを作成して、登録時にデバイスが確実に暗号化されていることを確認します。 |
| セキュリティ ベースライン プロファイルの管理 | Intune のセキュリティ ベースラインを使用して、ユーザーとデバイスのセキュリティ保護を行います。 セキュリティ基本計画には、セキュリティに影響を与える設定のベスト プラクティスと推奨事項が含まれています。 |
| ソフトウェア更新プログラムに Windows Update クライアント ポリシーを使用する | Windows Update クライアント ポリシーを使用して、Windows Update のロールアウト戦略を構成します。 この記事では、Windows ソフトウェア更新プログラムの管理に使用できるポリシーの種類と、更新リングの延期から機能更新プログラムのポリシーに移行する方法について説明します。 |
手順 5: デバイス設定を構成する
Microsoft Intune を使用して、デバイスの Windows の設定や機能を有効または無効にします。 これらの設定を構成して適用するには、デバイス構成プロファイルを作成してから、そのプロファイルを組織内のグループに割り当てます。 デバイスは、登録されるとプロファイルを受け取ります。
| タスク | 詳細 |
|---|---|
| デバイス プロファイルの作成 | Microsoft Intune でデバイス プロファイルを作成し、すべてのデバイス プロファイルの種類に関するリソースを見つけます。 |
| デバイス設定を構成する | 設定カタログを使用して、Microsoft Intune の設定を構成します。 設定カタログには、Microsoft Edge、OneDrive、リモート デスクトップ、Office アプリなどに対して構成できる数百の設定が含まれています。 これらの設定は、グループ ポリシー オブジェクト (GPO) に似ています。また、100% クラウドベースです。 |
| Wi-Fi プロファイルを構成する | このプロファイルにより、ユーザーは組織の Wi-Fi ネットワークを検索して接続できます。 この領域の設定の説明については、 Windows の Wi-Fi 設定リファレンスを参照してください。 |
| VPN プロファイルを構成する | 組織のネットワークに接続するユーザーのために、Microsoft Tunnel などのセキュリティで保護された VPN オプションを設定します。 この領域の設定についての説明は、VPN 設定リファレンスを参照してください。 |
| メール プロファイルを構成する | ユーザーがメール サーバーに接続して職場または学校のメールにアクセスできるよう、メール設定を構成します。 この領域の設定についての説明は、メール設定リファレンスを参照してください。 |
| デバイスの機能を制限する | 職場または学校で使用できるデバイス機能を制限することによって、未認可のアクセスや注意散漫からユーザーを保護します。 この領域の設定の説明については、 Windows のデバイスの制限リファレンスを参照してください。 |
| カスタム プロファイルを構成する | Intune に組み込まれていないデバイスの設定や機能を追加して割り当てます。 この領域の設定の詳細については、 カスタム設定のリファレンスを参照してください。 |
| BIOS 設定を構成する | デバイス ファームウェア構成インターフェイス (DFCI) を使用して、登録済みデバイス上の UEFI (BIOS) 設定を制御できるように Intune を設定する |
| ドメイン参加の構成 | Microsoft Entra に参加しているデバイスを登録する場合は、参加するオンプレミス ドメインを Intune が認識できるように、ドメイン参加プロファイルを作成してください。 |
| 配信の最適化設定を構成する | これらの設定を使用して、アプリや更新プログラムをダウンロードするデバイスの帯域幅消費を減らします。 |
| ブランド化と登録のエクスペリエンスをカスタマイズする | 組織独自の用語、ブランド、画面設定、連絡先情報を使用して、Intune ポータル サイトや Microsoft Intune アプリのエクスペリエンスをカスタマイズします。 |
| キオスクと専用デバイスの構成 | キオスク モードで実行されているデバイスを管理するためのキオスク プロファイルを作成します。 |
| 共有デバイスのカスタマイズ | 共有デバイスまたはマルチユーザー デバイスでのアクセス、アカウント、電源機能を制御します。 |
| ネットワーク境界の構成 | 信頼できないサイトから環境を保護するためのネットワーク境界プロファイルを作成します。 |
| Windows 正常性監視の構成 | Windows 正常性監視プロファイルを作成して、Microsoft がパフォーマンスに関するデータを収集し、改善のための推奨事項を提供できるようにします。 プロファイルを作成すると、Microsoft Intune のエンドポイント分析機能が有効になります。この機能は、収集されたデータの分析、ソフトウェアの推奨、スタートアップ パフォーマンスの向上、一般的なサポートの問題の修正に役立ちます。 |
| 学生用のテスト アプリを構成する | 登録済みデバイスでテストまたは試験を受ける学生のためにテスト アプリを構成します。 |
| eSim の携帯ネットワーク プロファイルを構成する | 携帯データネットワーク経由でインターネットに接続するように、Surface LTE Pro などの ESIM 対応デバイスの eSIM を構成できます。 この構成は、旅行中に接続と柔軟性を維持する必要がある世界中の旅行者に最適であり、SIM カードの必要性を排除します。 |
手順 6: セキュリティで保護された認証方法を設定する
Intune で認証方法を設定して、認可されたユーザーのみが内部リソースにアクセスできるようにします。 Intune では、多要素認証、証明書、派生資格情報をサポートしています。 証明書は、S/MIME を使用したメールの署名と暗号化にも使用できます。
| タスク | 詳細 |
|---|---|
| 多要素認証 (MFA) を要求する | デバイスの登録時に 2 形式の資格情報の提供をユーザーに要求します。 このポリシーは、Microsoft Entra 条件付きアクセス ポリシーと組み合わせて機能します。 |
| 信頼済み証明書プロファイルを作成する | SCEP、PKCS、または PKCS のインポートされた証明書プロファイルを作成する前に、信頼された証明書プロファイルを作成して展開します。 信頼された証明書プロファイルにより、SCEP、PKCS、PKCS でインポートされた証明書を使用して、デバイスとユーザーに信頼されたルート証明書が展開されます。 |
| Intune で SCEP 証明書を使用する | Intune で SCEP 証明書を使用し、必要なインフラストラクチャを構成するために必要なものについて説明します。 その後、 SCEP 証明書プロファイルを作成する か、 SCEP を使用してサード パーティの証明機関を設定します。 |
| Intune で PKCS 証明書を使用する | (オンプレミスの証明書コネクタなどの) 必要なインフラストラクチャを構成し、PKCS 証明書をエクスポートし、Intune デバイス構成プロファイルに証明書を追加します。 |
| インポートした PKCS 証明書を Intune で使用する | インポートした PKCS 証明書を設定します。これにより、S/MIME を設定および使用してメールを暗号化することが可能になります。 |
| 派生資格情報の発行者を設定する | ユーザーのスマート カードから派生した証明書を使用して Windows デバイスをプロビジョニングします。 |
| Windows Hello for Business と Microsoft Intune の統合 | デバイスの登録中に Windows Hello for Business を有効または無効にする Windows Hello for Business ポリシーを作成します。 Hello for Business は、Active Directory または Microsoft Entra アカウントを使用して、パスワード、スマート カード、または仮想スマート カードを置き換える代替のサインイン方法です。 |
手順 7: アプリを展開する
アプリおよびアプリ ポリシーを設定する際は、組織の要件について検討してください。たとえば、サポートする予定のプラットフォーム、ユーザーが実行するタスク、それらのタスクを完了するためにユーザーが必要とするアプリの種類、それらを必要とするユーザーなどです。 Intune を使用してデバイス全体 (アプリを含む) を管理することも、Intune を使用してアプリのみを管理することもできます。
| タスク | 詳細 |
|---|---|
| 基幹業務アプリを追加する | Windows 基幹業務 (LOB) アプリを Intune に追加し、グループに割り当てます。 |
| Microsoft Edge を追加する | Microsoft Edge for Windows を追加して割り当てます。 |
| Microsoft Store から Intune ポータル サイト アプリを追加する | 必須アプリとして Intune ポータル サイト アプリを手動で追加して割り当てます。 |
| Windows Autopilot 用 Intune ポータル サイト アプリの追加 | Windows Autopilot によってプロビジョニングされたデバイスにポータル サイト アプリを追加します。 |
| Microsoft 365 アプリを追加する | Microsoft 365 Apps for enterprise を追加します。 |
| アプリをグループに割り当てる | アプリを Intune に追加したら、それらをユーザーとデバイスに割り当てます。 |
| アプリ割り当ての組み込みと除外 | 選択したグループを割り当てに含めたり、割り当てから除外したりして、アプリへのアクセスと可用性を制御します。 |
| PowerShell スクリプトの使用 | PowerShell スクリプトをアップロードして、Intune の Windows デバイス管理機能を拡張し、最新の管理への移行を容易にします。 |
手順 8: デバイスを登録する
登録中に、デバイスは Microsoft Entra ID に登録され、コンプライアンスが評価されます。 各登録方法と organization に適した方法を選択する方法の詳細については、「Microsoft Intune の Windows デバイス登録ガイド」を参照してください。
| タスク | 詳細 |
|---|---|
| MDM 自動登録を有効にする | 自動登録を有効にすることで、登録を簡略化します。この自動登録では、Microsoft Entra ID に参加または登録するデバイスが Intune に自動的に登録されます。 自動登録により、Windows Autopilot の展開、BYOD 登録、グループ ポリシーを使用した登録、プロビジョニング パッケージによる一括登録が簡略化されます。 |
| MDM サーバーの自動検出を有効にする | Microsoft Entra ID P1 または P2 をお持ちでない場合は、Intune 登録サーバー用に CNAME レコードの種類を作成することをお勧めします。 CNAME レコードは、登録ユーザーがサーバー名を手動で入力する必要がないように、登録要求を適切なサーバーにリダイレクトします。 |
| Windows Autopilot のシナリオ | Windows Autopilot 中に Microsoft Intune デバイス登録が自動的に行われるように設定することで、ユーザーとユーザーの OOBE を簡略化します。 |
| Microsoft Entra ハイブリッド参加済みデバイスを Windows Autopilot に登録する | Active Directory 用 Intune コネクタを使用すると、Active Directory Domain Services のデバイスが Microsoft Entra ID に参加し、Intune に自動的に登録できます。 この登録オプションは、Active Directory Domain Services を使用し、現在 ID を Microsoft Entra ID に移動できないオンプレミス環境にお勧めします。 |
| グループ ポリシーを使用してデバイスを登録する | グループ ポリシーを使用して Intune への自動登録をトリガーします。 |
| デバイスの一括登録 | 多数の新しい Windows デバイスを Microsoft Entra ID に参加させ、それらを Intune に登録するプロビジョニング パッケージを Windows 構成Designer で作成します。 |
| 登録ステータス ページ (ESP) を設定する | カスタム設定を使用して登録ステータス ページのプロファイルを作成し、デバイスのセットアップと登録をユーザーに案内します。 |
| デバイス所有権ラベルの変更 | デバイスが登録された後に、Intune でその所有権ラベルを企業所有または個人所有に変更できます。 この調整により、デバイスの管理方法が変更され、Intune でより多くの管理と識別の機能を有効にしたり、制限したりできます。 |
| 登録に関する問題のトラブルシューティング | 登録中に発生する問題のトラブルシューティングを行い、解決方法を見つけます。 |
手順 9: リモート アクションを実行する
デバイスのセットアップ後は、サポートされているリモート アクションを使用して、離れた場所にあるデバイスの管理やトラブルシューティングを行うことができます。 次の記事では、Windows のリモート アクションについて説明します。 ポータルで操作が存在しないか無効になっている場合、それは Windows でサポートされていません。
| タスク | 詳細 |
|---|---|
| デバイスでリモート操作を実行する | Intune で個々のデバイスにドリルダウンし、リモートから管理とトラブルシューティングを行う方法を理解します。 この記事では、Intune で使用できるすべてのリモート操作と、それらの手順へのリンクを一覧にして示しています。 |
| TeamViewer を使用して Intune デバイスをリモート管理する | Intune 内で TeamViewer を構成します。また、リモートでデバイスを管理する方法を理解します。 |
| セキュリティ タスクを使用して脅威と脆弱性を確認する | Intune を使用して、Microsoft Defender for Endpoint によって特定されたエンドポイントの弱点を修復します。 セキュリティ タスクに取り組む前に、Microsoft Defender for Endpoint を Intune と統合する必要があります。 |
手順 10: 従業員と学生を支援する
このセクションのリソースは、Microsoft Intune ユーザー ヘルプのドキュメントにあります。 このドキュメントは、個人用または会社提供のデバイスを登録する従業員、学生、およびその他の Intune ライセンス付きデバイス ユーザーを対象としています。 ドキュメント リンクは Intune ポータル サイト アプリ全体で使用でき、次に関する情報を示します。
- 登録方法と登録方法のチュートリアル
- ポータル サイトの設定と機能
- 保存されているデータの登録を解除して削除する方法
- コンプライアンス要件に対するデバイス設定の更新
- アプリの問題を報告する方法
ヒント
organization のオペレーティング システムの要件とデバイス パスワードの要件を Web サイトまたはオンボーディング メールで簡単に見つけられるようにし、従業員がその情報を検索するために登録を遅らせる必要がないようにします。
| タスク | 詳細 |
|---|---|
| Windows 用の Intune ポータル サイト アプリをインストールする | ポータル ポータル サイト アプリの入手場所とサインイン方法について説明します。 |
| ポータル サイト アプリの更新 | この記事では、最新バージョンのポータル サイトをインストールする方法と、アプリの自動更新を有効にする方法について説明します。 |
| デバイスを登録する | この記事では、Windows を実行している個人用デバイスを登録する方法について説明します。 |
| デバイスの登録を解除する | この記事では、Intune からデバイスの登録を解除し、ポータル サイトに保存されているキャッシュとログを削除する方法について説明します。 |
次の手順
Microsoft Intune 管理センターの概要と移動方法については、「チュートリアル: Microsoft Intune 管理センターのチュートリアル」を参照してください。 チュートリアルは、Intune または特定のシナリオの初心者のための 100 ～ 200 レベルのコンテンツです。
このガイドの他のバージョンについては、以下を参照してください。