デバイスとユーザーの整理
デバイス、生徒、教室、または学習カリキュラムをグループに整理することで、生徒に必要なリソースと構成を提供できます。
グループ化とターゲティングの概要
Intune には、4 つのターゲット設定方法があります。 組織では通常、これらのターゲティング方法の組み合わせを使用します。
| グループ化の種類 | 説明 | 利点 | デメリット |
|---|---|---|---|
| 仮想グループ | Intune によって作成され、すべてのデバイスとすべてのユーザーをターゲットにできます | 常に自動的に最新の状態 | フィルターを使用してのみ範囲を設定できます |
| 割り当てられたグループ | ユーザーまたはデバイスをグループに手動で追加する場合に使用します。 | 一意のグループ メンバーシップを簡単に管理 | メンバーシップは手動で維持されます |
| 動的グループ | グループは、学生またはデバイスをグループに割り当てるために作成したルールに基づいて作成します。 | これらのグループのメンバーシップの維持を自動化します | 更新に数分から 24 時間かかる場合があります |
| 割り当てフィルター * Intune 管理センターで使用できます。 |
グループを対象とするときに、ポリシーまたはアプリの割り当て範囲をさらに絞り込むことができます。 | Intune は、各チェックインでフィルターをすばやく評価します | 仮想グループ、割り当て済みグループ、または動的グループに適用する必要があります |
Microsoft 学校データ同期 (SDS) を使用している場合は、すべての教師とすべての学生という 2 つのグループが事前に作成されています。 また、各学校の生徒と教師のグループを自動的に作成して管理するように SDS を構成することもできます。
既定値以外にも、さまざまなニーズに合わせてグループをカスタマイズできます。 たとえば、学校に Windows 10 デバイスと Windows 11 デバイスの両方がある場合は、Windows 10 デバイスや Windows 11 デバイスなどのグループを作成して、それらにさまざまなポリシーとアプリケーションを割り当てることができます。
注:
- グループ化とターゲット設定のオプションの詳細情報については、「大規模な Microsoft Intune 環境でのグループ化、ターゲット設定、およびフィルター処理に関するパフォーマンスに関する推奨事項」を参照してください。
- ポリシーの競合を回避するためのヒントについては、「 ポリシーの競合を回避する」を参照してください。
- 2025 年 10 月 14 日に、Windows 10 はサポートが終了し、品質と機能の更新プログラムを受け取ることはありません。 Windows 10 は、Intune で許可されているバージョンです。 このバージョンを実行しているデバイスは引き続き Intune に登録して対象機能を使用できますが、機能は保証されず、異なる場合があります。
グループ化方法の選択
グループ化に最適なオプションを選択する
構成とアプリをターゲットにする方法は、さまざまな要因と登録の種類によって異なります。
次の表は、登録方法と必要な動作に基づいて使用する Windows デバイス グループ化オプションに関するガイダンスを示しています。
| 登録の種類 | 動作 | 最適なグループ化オプション |
|---|---|---|
| Windows Autopilot ユーザー駆動 | 登録中の最速のアプリケーション |
Windows Autopilot グループ タグ、製造元、またはモデルに基づくデバイスの動的グループ
ユーザー動的グループ 割り当てられたグループ |
| Windows Autopilot の自己展開モード | 登録中の最速のアプリケーション |
Windows Autopilot グループ タグ、製造元、またはモデルに基づくデバイスの動的グループ
割り当てられたグループ |
| すべての登録の種類 | 登録中の最速のアプリケーション |
すべてのデバイス グループすべてのデバイス グループ (フィルター付き) |
| すべての登録の種類 | 登録後に適用されます |
他の属性に基づくデバイスの動的グループ |
次の表は、登録方法と必要な動作に基づいて使用する iOS デバイス グループ化オプションに関するガイダンスを示しています。
| 登録の種類 | 動作 | 最適なグループ化オプション |
|---|---|---|
| 自動デバイス登録 | 登録中の最速のアプリケーション |
すべてのデバイス グループすべてのデバイス グループ (フィルター付き) |
| ユーザー アフィニティを使用した自動デバイス登録 | 登録中の最速のアプリケーション |
割り当て済みまたは動的なユーザー グループ |
| ポータル サイト | 登録中の最速のアプリケーション |
割り当て済みまたは動的なユーザー グループ |
| すべての登録の種類 | 登録後に適用されます |
デバイス動的グループ 割り当てられたデバイス グループ |
ヒント
グループ化とターゲット設定のオプションの詳細情報については、「大規模な Microsoft Intune 環境でのグループ化、ターゲット設定、およびフィルター処理に関するパフォーマンスに関する推奨事項」を参照してください。
OS の種類、製造元、モデル、デバイス カテゴリなどのプロパティに基づく Intune のみのデバイス ターゲット設定の場合、動的デバイス グループよりも割り当てフィルターが優先されます。 フィルターは、グループ メンバーシップの処理に依存せずに、チェック時に評価されます。 ワークロード間のシナリオ (条件付きアクセス、ライセンス) または Autopilot プロファイルの割り当てにグループ メンバーシップが必要な場合は、動的グループを使用します。
グループとフィルターを作成する
organization グループを作成する
登録とグループ化の計画を整えたら、グループを作成できます。
グループの例
登録の種類別の一般的なグループ化の例を参照する
このセクションには、教育機関でよく見られるターゲティング手法が含まれています。
Windows Autopilot
デバイスが Windows Autopilot にインポートされると、デバイスの製造元とモデルが含まれます。 グループ タグは、インポートする各デバイスに追加することもできます。 グループ タグを使用して、ターゲティング用のグループを作成できます。 一部のお客様は、グループ タグを使用して、さまざまな Autopilot プロファイルのグループを作成したり、さまざまなアプリやプロファイルを対象にしたり、役割ベースのアクセス制御のスコープ タグを割り当てたりします。
この表には、Windows Autopilot を使用して登録されたデバイスに使用される一般的なグループが含まれています。
| 名前 | 種類 | クエリ |
|---|---|---|
| Windows デバイスを追加 | 動的メンバーシップ ルール | (device.deviceOSType -startsWith "Windows") |
| すべての Windows Autopilot デバイス | 動的メンバーシップ ルール | (device.devicePhysicalIDs -any _ -startsWith "[ZTDId]") |
| Windows Autopilot 以外のすべてのデバイス | 動的メンバーシップ ルール | (device.deviceOSType -startsWith "Windows") -and (device.deviceOwnership -eq "Company") -and -not(device.devicePhysicalIds -any (_ -startsWith "[ZTDId]")) |
| すべての Windows Autopilot Student デバイス | 動的メンバーシップ ルール | (device.devicePhysicalIds -any (_ -eq "[OrderID]:Student")) |
注:
"すべての Windows Autopilot 学生デバイス" グループの例では、Windows Autopilot グループ タグが "学生" に設定されていることを前提としています。 別のグループ タグを使用し、それに応じてメンバーシップ ルールを更新できます。
注:
- enrollmentProfileName に基づいてグループまたはフィルターを作成する場合は、必ずルールに一致する名前で登録プロファイルを作成してください。
- Windows Autopilot グループ タグを使用してデバイスをグループ化する場合は、デバイス オブジェクトに追加されたグループ タグが動的グループ ルールと一致していることを確認します。
- Windows では、アプリとポリシーをユーザー グループを対象にすることもできます。 ただし、Windows デバイス上のほとんどのアプリとポリシーはデバイス ベースです。 その結果、Windows デバイスの各ユーザーは、以前のユーザーに割り当てられたデバイスベースのアプリとポリシーを受け取ります。ただし、新しいユーザーが以前に適用した設定に対して異なる構成を行っていない場合は例外です。
プロビジョニング パッケージ
この表には、プロビジョニング パッケージを使用して登録されたデバイスに使用される一般的なグループが含まれています。
| 名前 | 種類 | クエリ |
|---|---|---|
| Windows デバイスを追加 | 動的メンバーシップ ルール | (device.deviceOSType -startsWith "Windows") |
| すべての学生のデバイス | 動的メンバーシップ ルール | (device.displayName -startsWith "STU-") |
注:
"すべての学生のデバイス" グループの例では、プロビジョニング パッケージのデバイス名プレフィックスが "STU-" に設定されていることを前提としています。 別のプレフィックスを使用し、それに応じてメンバーシップ ルールを更新できます。
すべての登録の種類
フィルターを使用して、デバイスをグループにさらに含めたり、グループから除外したりできます。 例:
- Windows 10 (osVersion が 10.0.1 以降) を実行しているデバイス
- Windows 11 を実行しているデバイス (osVersion が 10.0.2 以降)
自動デバイス登録
デバイスが自動デバイス登録に登録されると、登録時に使用した登録プロファイル名がデバイスにスタンプされます。 デバイスは、登録の [自動デバイス登録トークン] セクションでさまざまな登録プロファイルに関連付けることができます。 一部のお客様は、登録プロファイル名を使用して、さまざまな登録設定のグループまたはフィルターを作成したり、さまざまなアプリやプロファイルを対象にしたり、ロールベースのアクセス制御のスコープ タグを割り当てたりします。
動的セキュリティ グループでよく使用されるクエリの例を次に示します。
| 名前 | 種類 | クエリ |
|---|---|---|
| すべての iOS デバイス | 動的メンバーシップ ルール | (device.deviceOSType -startsWith "iOS") |
| すべての 'ユース ケース' デバイス | 動的メンバーシップ ルール | (device.enrollmentProfileName -eq "'use case'") |
動的グループの更新を待たずに登録中にできるだけ早く設定を適用するために、一部のお客様は、[ すべてのデバイス ] 仮想グループで enrollmentProfileName とターゲット構成に基づくフィルターを使用します。
- 特定の enrollmentProfileName を持つデバイス (enrollmentProfileName が 'use case' と等しい)
注:
enrollmentProfileName に基づいてグループまたはフィルターを作成する場合は、ルールに一致する名前で登録プロファイルを作成してください。
警告
iOS デバイスが登録するたびに、新しい Entra デバイス オブジェクトが作成されるため、デバイスがリセットされた後、割り当てられたグループ メンバーシップは維持されません。