チュートリアル: Microsoft Intune を使用して管理されている iOS デバイス上の Exchange Online 電子メールを保護する

このチュートリアルでは、Microsoft Intune デバイスのコンプライアンス ポリシーを Microsoft Entra 条件付きアクセスとともに使用して、iOS デバイスが Intune によって管理されていて Outlook アプリを使用している場合にのみ、Exchange Online にアクセスできるようにする方法について説明します。

このチュートリアルでは、次の方法について学ぶことができます。

前提条件

このチュートリアルでは、非運用試用版サブスクリプションを使用して、運用環境への影響を回避します。 試用版サブスクリプションを設定するときに作成したアカウントでサインインします。 このアカウントには、このチュートリアルの各タスクを完了するために必要なアクセス許可があります。

このチュートリアルでは、次のサブスクリプションを持つテスト テナントが必要です。

• Microsoft Intune プラン 1 サブスクリプション (無料試用版アカウントへのサインアップ)
• Microsoft Entra ID P1 (価格と試用版のオプション)
• Exchange を含む Microsoft 365 Apps for business サブスクリプション (無料試用版)

Intune にサインイン

このチュートリアルでは、Intune 試用版サブスクリプションにサインアップしたときに作成したアカウントで Microsoft Intune 管理センターにサインインします。

メール デバイス プロファイルを作成する

このチュートリアルには、iOS/iPadOS Email デバイス プロファイルが必要です。 デバイス プロファイルを作成するには、「 手順 11 – デバイス プロファイルを作成する」のガイダンスに従います。 メール プロファイルでは、iOS/iPadOS デバイスで職場のメール アカウントを使用する必要があります。

電子メール プロファイルを作成するときに、このチュートリアルの後続の手順で作成する デバイス コンプライアンス ポリシーと 条件付きアクセス ポリシーのために後で使用するのと同じデバイスのグループにプロファイルを割り当てます。

メール プロファイルを作成したら、ここに戻って続行してください。

アプリ保護ポリシーを作成する

このチュートリアルには、iOS/iPadOS 上の Outlook を対象とする Intune アプリ保護ポリシーが必要です。 アプリ保護ポリシーは、後で作成する条件付きアクセス ポリシーと連携します。このポリシーでは、デバイスが Exchange Online にアクセスする前にアプリ保護ポリシーが存在する必要があります。

アプリ保護ポリシーを作成するには、「 アプリ保護ポリシーを作成して割り当てる」のガイダンスに従います。 ポリシーを構成するときは、次の設定を使用します。

• プラットフォーム: [iOS/iPadOS] を選択します。
• アプリ: ターゲット ポリシーを [Core Microsoft Apps] に設定するか、Microsoft Outlook を個別に選択します。
• データ保護、 アクセス要件、 条件付き起動: このチュートリアルの既定値 (エンタープライズ基本データ保護) を受け入れます。
• 割り当て: このチュートリアルのコンプライアンス ポリシーと条件付きアクセス ポリシーに使用するのと同じユーザーのグループにポリシーを割り当てます。

アプリ保護ポリシーを作成したら、ここに戻って続行します。

iOS デバイスのコンプライアンス ポリシーを作成する

Intune デバイス コンプライアンス ポリシーを設定して、デバイスが準拠済みと見なされるために満たす必要のある条件を設定します。 このチュートリアルでは、iOS デバイスのデバイス コンプライアンス ポリシーを作成します。 コンプライアンス ポリシーはプラットフォームに固有なので、評価するデバイス プラットフォームごとに独立したコンプライアンス ポリシーが必要です。

1. Microsoft Intune 管理センターにサインインします。

2. [ デバイス>コンプライアンス] を選択します。

3. [ Policies] タブで、[ Create policy] を選択します。

4. [ ポリシーの作成 ] ページの [ プラットフォーム ] で [iOS/iPadOS] を選択し、[ 作成] を選択して続行します。

5. [ 基本 ] タブで、次のプロパティを入力します。

   • 名前: 新しいプロファイルのわかりやすい名前を入力します。 この例では、「 iOS コンプライアンス ポリシー テスト」と入力します。
   • 説明: 省略可能 - iOS コンプライアンス ポリシー テストを入力します。

   [次へ] を選んで続行します。

6. [ コンプライアンス設定 ] タブで、次の操作を行います。

   1. [Email] を展開し、[デバイスでメールを設定できない] を [必須] に設定します。

   2. デバイスの正常性を展開し、ジェイルブレイクされたデバイスをブロック に設定します。

   3. [ システム セキュリティ] を展開し、次の設定を行います。

      • モバイル デバイスのロックを解除するためにパスワードを要求する要求
      • ブロックするシンプルなパスワード
      • パスワードの最小文字数4

      ヒント

      グレー表示で斜体の既定値は推奨目的でのみ提示されています。 推奨値を置換して設定を構成する必要があります。

      • 必要なパスワードの種類を英数字にする
      • スクリーン ロック後、パスワードが要求されるまでの最大分数 (分) から 即時
      • パスワードの有効期限 (日数) から 41
      • 再利用を防止するための以前のパスワードの数5

   続行するには、[Next] を選択します。

   

7. コンプライアンス違反のアクションをスキップするには、[次へ] を選択します。

8. [ 割り当て ] タブの [ 含まれるグループ] で、 [ すべてのデバイスを追加する] を選択するか、このポリシーを受け取る必要があるデバイスのみを含むグループを選択します。 電子メール デバイス プロファイルに使用したのと同じ割り当てを使用してください。

   [次へ] を選んで続行します。

9. [ レビュー + 作成 ] タブで、設定を確認します。 [作成] を選択すると、変更内容が保存され、プロファイルが割り当てられます。

条件付きアクセス ポリシーを作成する

次に、Microsoft Intune 管理センターを使用して条件付きアクセス ポリシーを作成します。 条件付きアクセスを Intune と統合すると、organization のメールやリソースに接続できるデバイスとアプリを制御できるようになります。

条件付きアクセス ポリシーでは、次のことが可能になります。

• 任意のプラットフォームを実行するデバイスで、それらのデバイスを使用して Exchange Online にアクセスする前に、Intune に登録し、Intune コンプライアンス ポリシーに準拠する必要があります。
• メールへのアクセスに Outlook アプリを使用するデバイスを要求する。

条件付きアクセス ポリシーは、Microsoft Entra 管理センターまたは Microsoft Intune 管理センターのいずれかで構成できます。 次の手順では、Intune 管理センターを使用します。

1. Microsoft Intune 管理センターにサインインします。

2. [エンドポイント セキュリティ]>[条件付きアクセス]>新しいポリシーの作成] を選択します。

3. [名前] に「Test policy for Microsoft 365 email」と入力します。

4. [ 割り当て] で、[ ユーザーまたはエージェント] で、0 個 のユーザーとグループが選択されました。 [ 含める ] タブで、[ すべてのユーザー] を選択します。 Users の値は [すべてのユーザー] に更新されます。

5. また、[ 割り当て] の [ ターゲット リソース] で、[ ターゲット リソースが選択されていません] を選択します。 [ このポリシーの適用先を選択する] ドロップダウンで、[ リソース (以前のクラウド アプリ)] を選択します。

   次に、Microsoft 365 Exchange Online の電子メールを保護するには、そのアプリを選択します。

   1. [ Include] タブで、[ Select resources] を選択します。
   2. [ 特定のリソースの選択] で、[ なし ] を選択して [ リソース] ウィンドウを開きます。
   3. リソースの一覧から [Office 365 Exchange Online] のチェックボックスをオンにし、[選択] を選択します。

   

6. また、[ 割り当て] の [ 条件] で、 0 個の条件が選択されています。 利用可能な新しいページで、[ デバイス プラットフォーム ] で [ 未構成] を選択して、[ デバイス プラットフォーム ] ウィンドウを開きます。

   1. [構成] を [はい] に設定します。
   2. [ 含める] タブで、[ 任意のデバイス] を選択し、[ 完了] を選択します。

   

7. もう一度、[ 割り当て] で [条件>クライアント アプリ] を開きます。

   1. [構成] を [はい] に設定します。

   2. このチュートリアルでは、先進認証クライアントの一部であるモバイル アプリとデスクトップ クライアント (iOS 版 Outlook や Android 版 Outlook などのアプリを指します) を選択します。 他のチェック ボックスはすべてオフにします。

   3. [完了] を選択し、[完了] をもう一度選択します。

   

8. [アクセス制御] の [付与] で [未構成] を選択して、[許可] ウィンドウを開きます。

   1. [許可] ウィンドウで、[アクセス権の付与] を選択します。

   2. [デバイスは準拠としてマーク済みである必要があります] を選択します。

   3. [ アプリの保護ポリシーが必要] を選択します。

   4. [複数のコントロールの場合] で、[選択したコントロールすべてが必要] を選択します。 この設定により、デバイスがメールへのアクセスを試みるときに、選択した両方の要件が適用されます。

   5. [選択] を選択します。

   

9. ポリシーを有効にする で、オン を選択します。

   

10. [ 作成] を選択して変更を保存します。 プロファイルが割り当てられます。

試してみる

作成したポリシーを使用して、Microsoft 365 メールにサインインしようとする iOS デバイスは、Intune に登録し、iOS/iPadOS 用の Outlook モバイル アプリを使用する必要があります。 iOS デバイスでこのシナリオをテストするには、テスト テナントのユーザーの資格情報を使用して、Exchange Online へのサインインを試みます。 デバイスを登録して Outlook モバイル アプリをインストールするように求めるメッセージが表示されます。

1. iPhone でテストするには、[設定]>[アプリ]>[メール]>[メール アカウント]>[アカウントの追加] に移動し、[Microsoft Exchange] を選択します。

   注:

   [設定] のパスは、iOS のバージョンによって異なる場合があります。 上記の手順は、iOS 26 に基づいています。 最新の手順については、Apple サポート サイトの「 iPhone または iPad にメール アカウントを追加する」 を参照してください。

2. テスト テナント内のユーザーのメール アドレスを入力し、[次へ] を選択します。

3. [サインイン] を選択します。

4. テスト ユーザーのパスワードを入力して、[サインイン] を選択します。

5. デバイスのリソース アクセスを管理する必要があるというメッセージと、登録のオプションが表示されます。

リソースをクリーンアップする

テスト ポリシーが必要なくなった場合は削除できます。

1. Microsoft Intune 管理センターにサインインします。

2. [ デバイス>コンプライアンス] を選択します。

3. [ ポリシー名 ] の一覧で、テスト ポリシーを選択し、[ 削除] を選択します。 削除を確認します。

4. [ エンドポイント セキュリティ>条件付きアクセス] を選択します。

5. テスト ポリシーを選択し、[ 削除] を選択します。 削除を確認します。

次の手順

このチュートリアルでは、iOS デバイスに対して、Intune に登録することと、Outlook アプリを使用して Exchange Online のメールにアクセスすることを要求する、ポリシーを作成しました。 条件付きアクセスで Intune を使用して他のアプリやサービスを保護する方法については、「条件付きアクセスの設定」を参照してください。