2025 年 10 月 14 日に、Windows 10 はサポートが終了し、品質と機能の更新プログラムを受け取ることはありません。 Windows 10 は、Intune で許可されているバージョンです。 このバージョンを実行しているデバイスは引き続き Intune に登録して対象機能を使用できますが、機能は保証されず、異なる場合があります。
個人用 Windows デバイス上の組織データへの保護されたモバイル アプリケーション管理 (MAM) アクセスを有効にすることができます。 この機能では、次の機能を使用します。
- 組織のユーザー エクスペリエンスをカスタマイズするための Intune アプリケーション構成ポリシー (ACP)
- 組織データをセキュリティで保護し、クライアント デバイスが正常であることを確認するための Intune アプリ保護ポリシー
- Windows セキュリティ アプリ クライアント脅威防御は Intune APP と統合され、個人用 Windows デバイス上のローカル正常性の脅威を検出します
- アプリケーション保護条件付きアクセスを使用して、Microsoft Entra ID を介して保護されたサービス アクセスを許可する前に、デバイスが保護され、正常に動作していることを確認する
開始する前に
Windows 用の Intune モバイル アプリケーション管理 (MAM) は、サポートされている Windows バージョンで使用できます。 これには、Microsoft Edge (Windows 用の安定版および拡張安定版リリース) と Windows セキュリティ アプリのサポート変更が含まれます。 アプリ保護条件付きアクセスが一般提供されています。
Windows MAM は、政府機関のクラウド環境でサポートされています。 関連情報については、「GCC High および DoD 環境で Intune を使用してアプリを展開する」を参照してください。
MAM の詳細については、「 モバイル アプリケーション管理 (MAM) の基本」を参照してください。
Windows セキュリティ センター (WSC) コンポーネント用のモバイル脅威防御 (MTD) コネクタは、Windows 11 バージョン 22631 (23H2) 以降でのみサポートされています。
概要
エンド ユーザーと組織の両方に、個人用デバイスからの組織アクセスを保護する必要があります。 組織は、管理されていない個人用デバイスで企業データを確実に保護する必要があります。 Intune 管理者には、organization のメンバー (エンド ユーザー) が非管理対象デバイスから保護された方法で企業リソースにアクセスする方法を決定する責任があります。 組織データにアクセスするときには、管理対象外デバイスが正常であること、アプリケーションがorganizationデータの保護ポリシーに準拠していること、デバイス上のエンドユーザーの管理対象外資産がorganizationのポリシーの影響を受けないことを確認する必要があります。
Intune 管理者は、次のアプリ管理機能が必要です。
- Intune APP SDK によって保護されたアプリ/ユーザーに、次のようなアプリ保護ポリシーを展開する機能:
- データ保護の設定:
- 正常性チェック (条件付き起動とも呼ばれる) 設定
- 条件付きアクセスを使用してアプリ保護ポリシーを要求する機能
- 次の操作により、Windows セキュリティ センターを使用して追加のクライアント正常性検証を実行できます。
- エンド ユーザーが企業リソースにアクセスできるようにするための Windows セキュリティ センターのリスク レベルを指定する
- Windows セキュリティ センター用に Microsoft Intune へのテナント ベースのコネクタを設定する
- 保護されたアプリケーションに選択的ワイプ コマンドを展開する機能
organization のメンバー (end-users) は、自分のアカウントに次の機能を使用できることを期待しています。
- Microsoft Entra ID にログインして、条件付きアクセスによって保護されているサイトにアクセスする機能
- デバイスが異常と見なされた場合に、クライアント デバイスの正常性状態を確認する機能
- デバイスが異常なままの場合にリソースへのアクセスを取り消す機能
- 管理者ポリシーによってアクセスが制御されている場合に、明確な修復手順による通知を受け取る機能
注:
Microsoft Entra ID に関連する詳細については、「Windows デバイスでアプリ保護ポリシーを要求する」を参照してください。
条件付きアクセス コンプライアンス
データ損失の防止は、組織データ保護の一部です。 データ損失防止 (DLP) は、保護されているシステムまたはデバイスから組織のデータにアクセスできない場合にのみ有効です。 アプリ保護 条件付きアクセスでは、条件付きアクセス (CA) を使用して、保護されたリソース (組織データなど) へのアクセスを許可する前に、アプリ保護ポリシーがクライアント アプリケーションでサポートされ、適用されていることを確認します。 アプリ保護条件付きアクセスを使用すると、個人の Windows デバイスを持つエンドユーザーは、Microsoft Edge を含むアプリ保護ポリシーで管理されたアプリケーションを使用して、個人デバイスを完全に管理せずに Microsoft Entra リソースにアクセスできるようになります。
この MAM サービスは、ユーザーごと、アプリごと、およびデバイスごとのコンプライアンス状態を Microsoft Entra CA サービスに同期します。 これには、Windows セキュリティ センター以降のモバイル脅威防御 (MTD) ベンダーから受信した脅威情報が含まれます。
注:
この MAM サービスでは、 iOS および Android デバイスで Microsoft Edge を管理するために使用されるのと同じ条件付きアクセス コンプライアンス ワークフローを使用します。
変更が検出されると、MAM サービスはデバイスのコンプライアンス状態を直ちに更新します。 サービスには、コンプライアンス状態の一部として MTD の正常性状態も含まれます。
注:
MAM サービスは、サービスの MTD 状態を評価します。 これは、MAM クライアントおよびクライアント プラットフォームとは独立して行われます。
MAM クライアントは、チェック時にクライアントの正常性状態 (または正常性メタデータ) を MAM サービスに伝達します。 正常性状態には、 ブロック または ワイプ 条件の APP 正常性チェックの失敗が含まれます。 さらに、Microsoft Entra ID は、ブロックされた CA リソースにアクセスしようとしたときに、エンドユーザーに対して修復手順をガイドします。
条件付きアクセス コンプライアンス
組織は Microsoft Entra 条件付きアクセス ポリシーを使用して、ユーザーが Windows 上のポリシー管理アプリケーションを使用している場合にのみ職場または学校のコンテンツにアクセスできるようにすることができます。 これを行うには、すべての潜在的なユーザーを対象とする条件付きアクセス ポリシーが必要です。 「 Windows デバイスでアプリ保護ポリシーを要求する」の手順に従ってください。これにより、Windows 用の Microsoft Edge は許可されますが、他の Web ブラウザーは Microsoft 365 エンドポイントに接続できなくなります。
条件付きアクセスを使用すると、Microsoft Entra アプリケーション プロキシを介して外部ユーザーに公開したオンプレミス サイトをターゲットにすることもできます。
詳細については、「Microsoft Entra アプリケーション プロキシを使用してリモート ユーザー向けにオンプレミス アプリを発行する」を参照してください
Threat Defense の正常性
個人所有デバイスの正常性状態は、組織データへのアクセスを許可する前に検証されます。 MAM 脅威検出は、Windows セキュリティ センターに接続できます。 Windows セキュリティ センターは、サービス間コネクタを介して Intune APP にクライアント デバイスの正常性評価を提供します。 この評価では、フローの制限と、個人の管理されていないデバイスでの組織データへのアクセスがサポートされています。
正常性状態には、次の詳細が含まれます。
- ユーザー、アプリ、デバイスの識別子
- 定義済みの正常性状態
- 前回の正常性状態の更新時刻
正常性状態は、MAM に登録されているユーザーにのみ送信されます。 エンド ユーザーは、保護されたアプリケーションで組織アカウントからサインアウトすることで、データの送信を停止できます。 管理者は、Microsoft Intune から Windows セキュリティ コネクタを削除すると、データの送信を停止できます。
関連情報については、「 Windows の MTD アプリ保護ポリシーを作成する」を参照してください。
Intune アプリ保護ポリシーを作成する
アプリ保護ポリシーは、許可されるアプリと、それらのアプリが organization のデータに対して実行できるアクションを定義します。 アプリ保護ポリシーで提供される選択肢により、組織は特定のニーズに合わせて保護を調整できます。 場合によっては、完全なシナリオを実装するためにどのポリシー設定が必要であるかが明確ではないことがあります。
管理者は、アプリ保護ポリシーを使用してデータを保護する方法を構成できます。 この構成は、データに対するネイティブ Windows アプリケーションの対話に適用されます。 アプリ保護ポリシーの設定は、次の 3 つのカテゴリに分かれています。
- データ保護 - これらの設定は、ユーザーの組織コンテキスト (アカウント、ドキュメント、場所、サービス) との間でデータが移動する方法を制御します。
- 正常性チェック (条件付き起動) - これらの設定は、組織データにアクセスするために必要なデバイス条件と、条件が満たされていない場合の修復アクションを制御します。
組織がクライアント エンドポイントのセキュリティ強化に優先順位を付けるのを支援するために、Microsoft は、モバイル アプリ管理用のアプリ保護ポリシーのデータ保護フレームワークに分類法を導入しました。
各構成レベルおよび、最低限保護する必要のあるアプリに関する具体的な推奨事項については、「アプリ保護ポリシーを使用するデータ保護フレームワーク」を参照してください。
使用可能な設定の詳細については、「 Windows アプリ保護ポリシー設定」を参照してください。