役割ベースのアクセス制御とスコープ タグを使用して、Intune 管理者が管理することを期待する Intune オブジェクトへの正しいアクセス権と可視性を持っていることを確認できます。 ロールによって、管理者がどのオブジェクトにアクセスできるかが決まります。 スコープ タグは、管理者が表示できるオブジェクトを決定します。
たとえば、シアトルの地域オフィスの管理者が ポリシーとプロファイル マネージャー の役割を持っているとします。 管理者は、 シアトルの デバイス (すべてシアトルのオフィスにあるデバイスのグループ) にのみ適用されるプロファイルとポリシーのみを表示して管理することができます。 このアクセスを設定するには、次の手順を実行します:
- シアトルという名前のスコープ タグを作成します。
- 次のロールを使用して、ポリシーおよびプロファイル マネージャーの役割のロール割り当てを作成します。
- メンバー (グループ) = Seattle IT 管理者という名前のセキュリティ グループ。 このグループのすべての管理者は、スコープ (グループ) 内のユーザー/デバイスのポリシーとプロファイルを管理するアクセス許可があります。
- スコープ (グループ) = シアトル ユーザーという名前のセキュリティ グループ。 このグループ内のすべてのユーザー/デバイスは、メンバー (グループ) の管理者がプロファイルとポリシーを管理することができます。
- scope (tags) = シアトル。 メンバー (グループ) の管理者は、シアトルのスコープ タグを持つ Intune オブジェクトを表示できます。
- メンバー (グループ) の管理者にアクセスを許可するポリシーとプロファイルにシアトル スコープ タグを追加します。
- メンバー (グループ) の管理者に表示するデバイスにシアトル スコープ タグを追加します。
既定のスコープ タグ
既定のスコープ タグは、スコープ タグをサポートするすべてのタグ付けされていないオブジェクトに自動的に追加されます。
既定のスコープ タグ機能は、Microsoft Configuration Manager のセキュリティ スコープ機能と似ています。
注:
Intune ポリシーを構成または編集するときに、テナント用にカスタム定義されたスコープ タグがない場合、一部のポリシーの種類にスコープ タグ構成ページが表示されない場合があります。 [スコープ タグ] オプションが表示されない場合は、既定のスコープ タグに加えて少なくとも 1 つのタグが定義されていることを確認します。
スコープ タグを作成するには
スコープ タグを作成、更新、または削除するには、Intune Administrator
Microsoft Entra ロールが割り当てられた管理者が必要です。 特権ロールであるため、必要な場合にのみ使用することをお勧めします。 ロールの割り当てにスコープ タグを持つ管理者は、スコープ タグのマスター リストからスコープ タグを更新または削除することはできません。
Microsoft Intune管理センターで、[テナント管理]>ロール>スコープ (タグ)>作成] を選択します。
[ 基本 ] ページで、[ 名前 ] と [オプション の説明] を入力します。 [次へ]を選択します。
[ 割り当て ] ページで、このスコープ タグを割り当てるデバイスを含むグループを選択します。 [次へ]を選択します。
[ Review + create ] ページで、[ Create] を選択します。
重要
自動スコープ タグの割り当ては、手動で割り当てられたスコープ タグを上書きします。 グループの割り当てを使用してデバイスに複数のスコープ タグが割り当てられている場合は、すべてのスコープ タグが適用されます。
スコープ タグをロールに割り当てるには
Microsoft Intune管理センターで、[テナント管理]>ロール>すべてのロール>を選択し、ロール >割り当て>割り当て] を選択します。
[ 基本 ] ページで、 課題名 と 説明を入力します。 [次へ]を選択します。
[管理グループ] ページで、[グループの追加] を選択し、この割り当ての一部として使用するグループを選択します。 これらのグループのユーザーには、スコープ (グループ) 内のユーザー/デバイスを管理するアクセス許可があります。 [次へ]を選択します。
[ スコープ グループ] ページで、[ 含まれるグループ] で、次のいずれかのオプションを選択します。
- グループの追加: 管理するユーザー/デバイスを含むグループを選択します。 選択したグループ内のすべてのユーザー/デバイスは、管理グループのユーザーによって管理されます。
- すべてのユーザーを追加: 管理グループのユーザーはすべてのユーザーを管理できます。
- すべてのデバイスを追加: 管理グループのユーザーはすべてのデバイスを管理できます。
ヒント
ポリシーやアプリの割り当てなどの割り当てに除外グループを指定する場合は、RBAC 割り当て スコープ グループの 1 つに入れ子にするか、RBAC ロール割り当てにスコープ グループとして個別に一覧表示する必要があります。
[次へ] を選択します
[スコープ タグ］ ページで、この役割に追加するタグを選択します。 管理グループのユーザーは、同じスコープ タグを持つ Intune オブジェクトにアクセスできます。 1 つのロールに最大 100 個のスコープ タグを割り当てることができます。
[ 次へ ] を選択して [レビュー + 作成 ] ページに移動し、[ 作成] を選択します。
スコープ タグを他のオブジェクトに割り当てる
通常、スコープ タグがサポートされているオブジェクトの場合、スコープ タグは [プロパティ] の下に表示されます。 たとえば、構成プロファイルにスコープ タグを割り当てるには、次の手順を実行します。
Microsoft Intune 管理センターで、[デバイス]>[デバイスの管理]>[構成] を選択し>プロファイルを選択します。
[プロパティ]>[スコープ (タグ)]> [編集] > [スコープ タグの選択] の順に選択し>プロファイルに追加するタグを選択します。 オブジェクトには最大 100 個のスコープ タグを割り当てることができます。
[ 選択>確認 + 保存] を選択します。
スコープ タグの詳細
スコープ タグを使用する場合は、次の点に注意してください。
- テナントがそのオブジェクトの種類の複数のバージョン (ロールの割り当てやアプリなど) を持つことができる場合は、そのオブジェクトの種類Intuneにスコープ タグを割り当てることができます。
次の Intune オブジェクトは、この規則の例外であり、現在スコープ タグをサポートしていません。
- Corp デバイス識別子
- Windows Autopilot デバイス
- デバイス コンプライアンスの場所
- Jamf デバイス
- VPP トークンに関連付けられているボリューム購入プログラム (VPP) アプリと電子書籍は、関連付けられた VPP トークンに割り当てられたスコープ タグを継承します。
- 管理者が Intune でオブジェクトを作成すると、その管理者に割り当てられたすべてのスコープ タグが自動的に新しいオブジェクトに割り当てられます。
- Intune RBAC は Microsoft Entra ロールには適用されません。 そのため、Intune サービス管理者ロールには、スコープ タグに関係なく、Intune への完全な管理者アクセス権があります。
- ロールの割り当てにスコープ タグがない場合、その IT 管理者は IT 管理者のアクセス許可に基づいてすべてのオブジェクトを表示できます。 スコープ タグを持たない管理者は、基本的にすべてのスコープ タグを持ちます。
- ロールの割り当てにあるスコープ タグのみを割り当てることができます。
- ロール割り当てのスコープ (グループ) にリストされているグループのみをターゲットにすることができます。
- ロールにスコープ タグが割り当てられている場合、Intune オブジェクトのすべてのスコープ タグを削除することはできません。 少なくとも 1 つのスコープ タグが必要です。
ロールの割り当て全体でのアクセス許可の動作
以下のセクションでは、スコープを指定されたアクセス許可に関する Intune の既存および既定の動作と、将来のリリースですべてのテナントの既定の動作となるオプトインのパブリック プレビューの動作の改善について説明します。
重要
2026 年 3 月に、Intune はスコープ付きアクセス許可のオプトイン パブリック プレビューを導入しました。 この新しい動作により、管理者が異なるスコープ タグを持つ複数のロールの割り当てを持っている場合に、アクセス許可がどのように適用されるかを変更します。 この設定を有効にするまで、テナントは 引き続き既定の動作を使用します。 この変更は元に戻すことができないため、オプトインする前に、両方の動作を確認し、 アクセス許可評価レポート を使用して影響を理解します。
既定の動作
既定では、管理者が異なるスコープ タグを使用し、同じアクセス許可カテゴリ (モバイル アプリなど) を共有する複数のロールの割り当てに属している場合、Intune はそれらの割り当て間でアクセス許可をマージします。 これにより、管理者が意図したよりも広いアクセス権を受け取る可能性があります。 例:
- App Admins セキュリティ グループには、モバイル アプリの読み取りアクセス許可のみを付与するロールが割り当てられ、本社を対象とし、そこで読み取り専用アクセス権を付与します。
- 同じグループには、モバイル アプリに対する完全なアクセス許可 (作成、読み取り、更新、削除) を付与するロールも割り当てられ、 範囲は地域オフィスです。
- 両方の割り当てはモバイル アプリのアクセス許可カテゴリを共有するため、Intune はそれらをマージします。 その結果、アプリ管理者メンバーは、本社と地域オフィスの両方のモバイル アプリに対する完全なアクセス許可を持ちます。本社を対象とした読み取り専用アクセスは許可されません。
これが意図したアクセスではない場合は、スコープ付きアクセス許可にオプトインする前に、アクセス許可評価レポートを使用して現在の割り当てがどのように変更されるかを正確に確認します。
スコープを指定されたアクセス許可 (オプトイン パブリック プレビュー)
オプトイン パブリック プレビューとして利用可能で、 スコープ付きアクセス許可 の設定を使用すると、各管理者が各スコープ タグ内で実際に実行できる操作を正確に制御できます。 Intune でロールの割り当て間でアクセス許可をサイレントにマージするのではなく、各割り当てのアクセス許可は独自のスコープに含まれたままになります。 管理者は、意図したとおりのアクセス権を得ることができ、それ以上はアクセスできません。
スコープを指定されたアクセス許可が有効になっている場合、各ロール割り当てのアクセス許可は、独自のスコープ タグ コンテキスト内でのみ適用されます。 同じ例では、 アプリ管理者 メンバーは、本 社という タグが付けられたモバイル アプリへの読み取り専用アクセス権と、「 地域オフィス」というタグが付けられたモバイル アプリに対する完全なアクセス許可を、まったく意図したとおりに持っていました。
スコープを指定されたアクセス許可の有効化は、元に戻すことのできない 1 回限りのテナント操作です。 この設定を有効にする前に、 アクセス許可評価レポート を使用して、テナント内の影響を受ける各管理者のアクセス許可がどのように変更されるかを正確にプレビューしてください。 レポートは [テナント管理]>ロール>設定で入手でき、必要な回数だけ実行できます。
スコープ付きアクセス許可を有効にするには、[ テナント管理>ロール>設定 ] に移動し、次のいずれかのロールを持つアカウントを使用して、[ スコープ付きアクセス許可 ] トグルをオンにします。
- カスタム Intune ロール (推奨) - Organization の更新アクションを含むカスタム ロールを作成します。 組み込みの Intune ロールには、このアクセス許可は含まれていません。
-
Intune 管理者 - このMicrosoft Entraロールは、Intuneへの完全な読み取り/書き込みアクセスを提供します。 特権ロールであるため、代わりに最小特権のカスタム Intune ロールを使用することをお勧めします。
アクセス許可評価レポート
スコープ付きアクセス許可を有効にする前に、 アクセス許可評価レポート を使用して、テナント内の影響を受ける各管理者のアクセス許可がどのように変更されるかを正確にプレビューします。 このレポートは、[テナント管理]>ロール>設定で入手でき、設定を有効にする前または後に、必要に応じて何度でも実行できます。
このレポートには、影響を受ける各セキュリティ グループ、関係するロールとスコープ タグ、および現在の (マージされた) アクセス許可と、スコープ付きアクセス許可が有効になった後に適用されるアクセス許可の比較が表示されます。 各行は、アクセス許可の削減が発生する特定のリソースを表し、削減が複数のリソース タイプに適用される場合、グループが複数の行に表示されることがあります。 結果を確認してアクセス許可の削減を特定し、影響を受ける管理者に通知してから、設定を有効にします。
レポートの列:
- グループ: アクセス許可が、ロールの割り当て間でのマージによって影響を受けるセキュリティ グループ。
- ロール: アクセス許可が現在このグループに対してマージされているロール。古い アクセス許可に示されている幅広いアクセス権が生成されます。
- スコープ タグ: アクセス許可の削減が行われるスコープ タグ。 純額削減のあるスコープ タグのみが一覧表示されます。
- リソース: 変更が適用されるリソースの種類 (DeviceConfigurations など)。
- 古いアクセス許可: このリソースに対するグループの現在のアクセス許可。このアクセス許可カテゴリを共有するすべてのロール割り当てのマージされた結果を反映します。 現在、これらのマージされたアクセス許可は、これらの割り当てのすべてのスコープ タグに適用されます。
- 新しいアクセス許可: スコープを指定されたアクセス許可が有効になった後に、この特定のスコープ タグに適用されるアクセス許可。このスコープ タグに関連付けられているロールの割り当てのみに基づいています。
このレポートでは、メンバーがいないセキュリティ グループと、アクセス許可のマージの影響を受けないセキュリティ グループが除外されます。
テナントへの影響を確認し、スコープ付きアクセス許可を有効にするには:
[テナント管理]>[役割]>[設定] に移動します。
[ レポートの生成 ] を選択して、アクセス許可評価レポートを実行します。
結果を確認し、必要に応じてロールの割り当てを調整し、影響を受ける管理者に権限の削減を伝えます。 オフラインで確認または共有するために、レポートを Excel にエクスポートすることもできます。
準備ができたら、[ スコープ付きアクセス許可 ] トグルを有効にします。
重要
この変更を実装する準備ができるまで、スコープ付きアクセス許可を有効にしないでください。 スコープ付きアクセス許可の有効化は、元に戻すことができない一方向のアクションです。
次の手順
複数のロールの割り当てがある場合のスコープ タグの動作について説明します。 ロールとプロファイルを管理します。