展開の最終段階では、デバイスは Microsoft Entra ID に登録または参加し、Microsoft Intune に登録され、コンプライアンスが確認されます。
登録中に、Microsoft Intune はモバイル デバイス管理 (MDM) 証明書をデバイスにインストールします。これにより、Intune は登録ポリシー、登録制限、およびこのガイドで前半に作成したポリシーを適用できます。
この記事の内容
- 企業所有およびユーザーが所有するデバイスの Microsoft Intune での登録を準備する方法。
- 各 OS プラットフォームの登録オプション。
- 登録後の監視、トラブルシューティング、リソース。
はじめに
Intune を使用して登録ポリシーを初めてデプロイする場合、または新しい構成を試みている場合は、小規模から始めて段階的なアプローチを使用します。 パイロットまたはテスト グループに登録ポリシーを割り当てます。 最初のテストの後、パイロット グループにユーザーを追加します。 すべてがうまくいけば、登録ポリシーをより多くのパイロット グループに割り当てます。 詳細と提案については、 計画ガイドの「手順 5 - ロールアウト計画の作成」を参照してください。
Microsoft Entra ID での登録は、Intune 管理に必要な手順です。 デバイスを Intune に登録する前に、デバイスのユーザーは組織の Microsoft Entra ID でデバイス ID を認証して確立する必要があります。 この手順により、ユーザーにクラウドベースの作業アプリやその他のリソースへのシングル サインオン アクセス権が付与されます。 使用している ID オプションは、使用できる登録方法を決定し、デバイス ユーザーのサインイン エクスペリエンスも決定するため、使用している ID オプションを知っておくことが重要です。 ID オプションには以下が含まれます。
- Microsoft Entra 登録は、個人および企業所有のモバイル デバイスで使用できるデバイス ID オプションです。 これらのデバイス上のユーザーは、Microsoft Entra ID 職場アカウントを使用してアプリや Web ブラウザーなどの作業リソースにサインインすることで認証を行います。
- 参加済み Microsoft Entra は、共同管理オプションを利用する企業所有の Windows デバイスで利用できるデバイス ID オプションです。 これらのデバイス上のユーザーは、Microsoft Entra ID 職場アカウントを使用してデバイスにサインインすることで認証を行います。
登録前の構成
登録制限、デバイス分類、デバイス登録マネージャーなどの登録機能を構成して、登録用デバイスを準備します。 これらの構成は、ユーザーとデバイス ユーザーの登録エクスペリエンスを改善および簡素化し、管理センターで整理された状態を維持するのに役立ちます。 登録ポリシーを作成する前に、これらを構成します。
設定の可用性は、OS プラットフォームによって異なります。
既存のデバイスの登録を解除してリセットする
デバイスが現在別の MDM プロバイダーに登録されている場合は、Intune に登録する前に、既存の MDM プロバイダーからデバイスの登録を解除します。 次の表は、Intune に登録する前に工場出荷時の状態へのリセットが必要なデバイスを示しています。
| プラットフォーム | 出荷時の設定へのリセットが必要 |
|---|---|
| 仕事用プロファイルがある個人所有の Android Enterprise デバイス (BYOD) | いいえ |
| 会社所有 Android Enterprise 仕事用プロファイル (COPE) | はい |
| Android Enterprise フル マネージド (COBO) | はい |
| Android Enterprise 専用デバイス (COSU) | はい |
| Android デバイス管理者 (DA) | いいえ |
| iOS/iPadOS (BYOD) | 不要 |
| iOS/iPadOS (ADE) | はい |
| tvOS (ADE) | はい |
| visionOS (ADE) | はい |
| Linux | 不要 |
| macOS (BYOD) | 不要 |
| macOS (ADE) | はい |
| Windows | いいえ |
リセットを必要としないデバイスは、登録するとすぐに Intune ポリシーのインストールを開始します。 登録前に Intune で変更しない限り、以前に構成した設定がデバイスに残る場合があります。
デバイス登録マネージャーの追加
配布用に多数のデバイスを登録して準備する必要がある場合は、デバイス登録マネージャーを使用することをお勧めします。 デバイス登録マネージャー アカウントは最大 1,000 台のデバイスを登録して管理できますが、標準の管理者以外のアカウントは 15 台のデバイスのみを登録できます。 デバイス登録マネージャーは、管理者以外の Microsoft Entra ユーザーであり、次のことができます。
- Intune に最大 1000 台の企業所有デバイスを登録する
- Intune ポータル サイトにサインインして会社アプリを入手する
- 役割固有のアプリをデバイスに展開して、企業データへのアクセスを構成する
Apple 自動デバイス登録などの一部の登録方法は、デバイス登録マネージャー アカウントと互換性がないため、セットアップを開始する前に、選択した方法がサポートされていることを確認してください。
詳細と制限については、「 デバイス登録マネージャーの追加」を参照してください。
デバイス登録の制限を作成する
Microsoft Intune 管理センターでこの機能を使用して、特定のデバイスによる Intune への登録を制限します。 Microsoft Intune で構成できるデバイス登録制限には、次の 2 種類があります。
- デバイス プラットフォームの制限: デバイス プラットフォーム、バージョン、製造元、所有権の種類に基づいてデバイスを制限します。
- デバイスの制限の制限: ユーザーが Intune に登録できるデバイスの数を制限します。
登録制限は、Linux および一部の Windows 登録シナリオでは使用できません。 詳細については、「 登録制限の概要 」を参照してください。
使用条件ポリシーを作成する
Intune の使用条件ポリシーを使用して、登録前に法的免責事項とコンプライアンス要件をデバイス ユーザーに開示できます。 このポリシーでは、デバイス ユーザーは、デバイスを登録するか、保護されたリソースにアクセスする前に、組織の使用条件に同意する必要があります。 使用条件は、Intune ポータル サイト アプリの対象ユーザーに表示されます。
条件が表示される場所など、より細かい制御が必要な場合は、Microsoft Entra の使用条件を構成することを検討してください。 Microsoft Entra の使用条件は、ユーザーが対象のアプリとリソースにサインインするときにユーザーに表示されます。また、Intune の使用条件よりも詳細な設定が提供されます。
詳細情報については、「ユーザー アクセスのご契約条件」を参照してください。
多要素認証が必要
登録時にユーザーに多要素認証 (MFA) による認証を要求します。 MFA が必要な場合、デバイスを登録するユーザーは、デバイスを登録する前に、2 台目のデバイスと 2 つの形式の資格情報を使用して認証する必要があります。 これは 1 回限りの条件付き手順であり、デバイス上のユーザーが本人であることを確認します。 MFA ポリシーで条件付きアクセス ポリシーを使用すると、Linux を除くすべてのプラットフォームでこの動作を有効にできます。 Microsoft Entra ID P1 または P2 が必要です。
詳細については、「Intune デバイスの登録に多要素認証を要求する」を参照してください。
デバイスをグループに分類する
Intune で看護やマーケティングなどのデバイス カテゴリを作成すると、Intune はそのカテゴリに分類するすべてのデバイスを Intune の対応するデバイス グループに自動的に追加します。
この機能は、Linux を除くすべてのプラットフォームで使用できます。 詳細については、「 デバイスをグループに分類する」を参照してください。
Android デバイスの登録
個人または企業所有の Android デバイスを Intune に登録できます。 Google モバイル サービスを使用する個人および企業所有のデバイスには、Android Enterprise 登録ソリューションをお勧めします。 Google モバイル サービスを利用せず、Android オープン ソース プロジェクト(AOSP)からビルドされた企業所有のデバイスの場合は、AOSP 登録方法を使用します。
前提条件
Intune を管理対象の Google Play アカウントに接続します。 この接続は、次のようなすべての Android Enterprise 管理オプションに必要です。
- 個人所有 Android Enterprise の仕事用プロファイル。
- Android Enterprise の会社所有の仕事用プロファイル
- 完全に管理されている Android Enterprise
- Android Enterprise 専用
Android の登録方法
次のタブでは、Intune でサポートされている Android および AOSP 登録オプションについて説明します。
仕事用プロファイルを持つ企業所有のデバイス: 個人使用も承認されている企業所有のデバイスを登録します。 この方法では、デバイス上に別の仕事用プロファイルが作成され、ユーザーが個人用アプリと仕事用アプリを簡単かつ安全に切り替えられるようにします。 デバイス ユーザーは、Microsoft Intune アプリを使用してデバイスを登録します。 管理者は、仕事用プロファイルでアプリとデータを管理できます。 この方法は、 Android Enterprise 企業所有の仕事用プロファイル 管理ソリューションに合わせて調整されます。
フル マネージド: 個人使用ではなく、仕事専用の企業所有のデバイスを登録します。 登録済みデバイスに関連付けられているユーザーが 1 人います。 デバイス全体を管理し、Android Enterprise 仕事用プロファイルの方法では利用できないポリシー制御を適用できます。 この方法は、 Android Enterprise のフル マネージド 管理ソリューションに合わせて調整されます。
専用デバイス: デジタル サイネージ、チケット印刷、在庫管理などに使用される企業所有の単一使用デバイスまたはキオスク デバイスを登録します。 この方法を使用すると、デバイスで使用できるアプリと Web リンクを制限し、ユーザーが意図した範囲外でデバイスを使用するのを防ぐことができます。 この方法は、 Android Enterprise の専用デバイス 管理ソリューションに合わせて調整されます。
企業所有のユーザーレス デバイス: Android オープン ソース プロジェクト (AOSP) からビルドされ、Google モバイル サービスが含まれていないデバイスを 企業所有のユーザーレス デバイスとして登録します。 これらのデバイスはユーザーに関連付けられておらず、図書館やラボなどで共有することを目的としています。
企業所有のユーザー関連デバイス: AOSP から構築され、Google モバイル サービスが含まれていないデバイスを 企業所有のユーザー関連デバイスとして登録します。 これらのデバイスは 1 人のユーザーに関連付けられ、仕事専用に使用することを目的としています。
ゼロタッチ登録: 一括登録にはゼロタッチ登録を使用し、リモート ワーカーの登録を簡略化することをお勧めします。 この方法では、企業所有のデバイスを事前に準備して、ユーザーがオンにしたときに完全に管理されたデバイスとして自動的にプロビジョニングおよび登録できます。
重要
Android デバイス管理者 (DA) 管理は非推奨となり、Google モバイル サービス (GMS) にアクセスできるデバイスでは使用できなくなりました。 現在 DA 管理を使用している場合は、別の Android 管理オプションに切り替えることをお勧めします。 サポートとヘルプのドキュメントは、GMS のない一部の Android 15 以前のデバイスで引き続き利用できます。 詳細については、「 GMS デバイスでの Android デバイス管理者のサポートの終了」を参照してください。
Apple デバイスの登録
このセクションでは、Intune の iOS/iPadOS および Mac デバイスで使用できる登録オプションについて説明します。
前提条件
Apple デバイスの登録ポリシーを作成する前に、次の前提条件を完了します。
- Apple MDM プッシュ証明書を Intune にアップロードします。 詳細については、「 MDM プッシュ証明書を取得する」を参照してください。
- Apple の自動デバイス登録を使用してデバイスを登録する場合は、Apple 登録プログラム トークンを取得します。 詳細については、以下を参照してください:
Apple 登録ソリューション
次の表では、iOS/iPadOS と macOS を実行しているデバイスの登録ソリューションについて説明します。
iOS/iPadOS および Mac デバイス用の自動デバイス登録: Apple Business または Apple School Manager から購入した新しいデバイスまたはワイプされたデバイスを、自動デバイス登録を使用して登録します。 この企業所有デバイスの自動登録方法では、Apple Business および Apple School Manager からのorganizationの設定が適用され、監視モードがサポートされ、デバイスに触れることなくデバイスを登録できます。 ユーザーがデバイスの電源を入れると、Apple セットアップ アシスタントがセットアップと登録の手順を案内します。
iOS/iPadOS および Mac デバイス用の Apple Configurator: Apple Configurator を使用して、新規または既存の企業所有デバイスを手動で登録します。 このオプションは、一括登録や、Apple School Manager、Apple Business にアクセスできない場合、または有線ネットワーク接続が必要な場合に最適です。 Mac でデバイスに接続して構成する必要があるため、デバイスに物理的にアクセスできる必要があります。 次の 2 つの方法があります。
- セットアップ アシスタントの登録: この方法では、デバイスがワイプされ、Apple Configurator への登録の準備が行われます。 ユーザーがデバイスの電源を入れると、セットアップ アシスタントが開始され、デバイスが Intune に登録されます。 管理センターに入力する必要があるため、デバイスのシリアル番号にアクセスできる必要があります。
- 直接登録: この方法では、配布前にデバイスを登録でき、デバイスをワイプすることはありません。 この方法で登録されたデバイスはユーザーに関連付けられないため、共有デバイスまたはキオスク デバイスにはこのオプションをお勧めします。 macOS デバイスと iOS デバイスでは手順が異なるため、デバイス用の正しいハウツー ドキュメントを使用してください。
Linux の登録
BYOD シナリオの従業員と学生は、個人用 Linux デバイスを Microsoft Intune に登録できます。 登録により、Microsoft Edge の作業リソースにアクセスできます。
Intune 管理者は、管理センターで Linux 登録を有効にするために何もする必要はありません。 これは自動的に有効になります。 ユーザーが Linux デバイスを登録すると、管理センターに表示されます。 詳細については、「Linux デスクトップ デバイスを Microsoft Intune に登録する」を参照してください。
Windows の登録
このセクションでは、Windows を実行している個人および企業所有のデバイスで利用できる登録ソリューションについて説明します。
注:
Microsoft Intune の登録は、クラウド環境のデバイスでサポートされています。 Configuration Manager との共同管理は、オンプレミス環境でサポートされています。
Windows の登録方法
次の表では、Windows を実行しているデバイスでサポートされている登録方法について説明します。
Windows の自動登録を有効にすることで、従業員と学生が Intune への登録を容易にします。 詳細については、「 自動登録を有効にする」を参照してください。
自動登録による Microsoft Entra 参加: このオプションは、自分またはデバイス ユーザーが職場で使用するために調達したデバイスでサポートされています。 登録は、ユーザーが職場アカウントでサインインして Microsoft Entra ID に参加した後、または設定アプリから職場または学校アカウントに接続するときに Microsoft Entra ID でデバイスへの参加を選択することによって、すぐに使用できるエクスペリエンス中に行われます (Windows デバイス登録ガイド - エンド ユーザー タスクを参照)。 このソリューションは、リモート作業環境など、デバイスにアクセスできない場合に適用されます。 これらのデバイスが登録されると、デバイスの所有権が企業所有に変更され、個人所有としてマークされたデバイスでは使用できない管理機能にアクセスできるようになります。
Windows Autopilot ユーザー駆動モードまたは自己展開モード: 自動登録は、Windows Autopilot ユーザー駆動 (Microsoft Entra ハイブリッド参加シナリオと Microsoft Entra 参加シナリオの両方) または自己展開 (Microsoft Entra 参加シナリオの両方) ポリシーでサポートされており、企業所有のデスクトップ、ノート PC、キオスクで使用できます。 必要なソフトウェアとポリシーがインストールされた後、デバイス ユーザーはデスクトップ アクセスを取得します。 Microsoft Entra ID P1 または P2 ライセンスが必要です。 最適なユーザー エクスペリエンスを提供し、構成が簡単な Microsoft Entra join のみを使用することをお勧めします。 オンプレミスの Active Directory が引き続き必要なシナリオでは、Microsoft Entra ハイブリッド参加を使用できますが、Active Directory 用の Intune コネクタをインストールする必要があり、デバイスはオンプレミス ネットワークまたは VPN 接続を介してドメイン コントローラーに接続できる必要があります。
Configuration Manager との共同管理: 共同管理は、既に Configuration Manager を使用してデバイスを管理しており、Microsoft Intune ワークロードを統合する環境に最適です。 共同管理は、ワークロードを Configuration Manager から Intune に移動し、その特定のワークロードの管理機関が Windows クライアントに通知する行為です。 たとえば、Intune のコンプライアンス ポリシーとデバイス構成ワークロードを使用してデバイスを管理し、アプリの展開やセキュリティ ポリシーなどの他のすべての機能に Configuration Manager を利用できます。
グループ ポリシーを使用した登録: グループ ポリシーを使用して、ユーザーの操作なしで、Microsoft Entra ハイブリッド参加済みデバイスの自動登録をトリガーできます。 登録プロセスは、Microsoft Entra ID 同期済みユーザーがデバイスにサインインした後、バックグラウンドで (スケジュールされたタスクを介して) 開始されます。 この方法は、デバイスが Microsoft Entra ハイブリッドに参加しており、Configuration Manager を使用して管理されていない環境で推奨されます。
その他の Windows 登録機能
Intune には、あなたとあなたの従業員のデバイス管理エクスペリエンスを改善または簡素化するのに役立つ、他の Windows 登録オプションがあります。
- 共同管理設定: 共同管理設定を有効にして、Configuration Manager ワークロードを Intune と統合します。 共同管理を使用すると、Intune と Configuration Manager の両方の機能を使用してデバイスを管理できます。
- CNAME 検証: 登録要求を Intune サーバーにリダイレクトするために作成したドメイン ネーム サーバー (DNS) エイリアス (CNAME レコードの種類) を検証します。 エイリアスは、Microsoft Entra ID P1 または P2 と自動登録がない場合にユーザーの登録を簡略化します。
- [登録ステータス] ページ: [登録ステータス] ページを有効にして、デバイスのセットアップを実行するユーザーがインストールの進行状況を表示および追跡できるようにします。
レポートとトラブルシューティング
不完全なユーザー登録と破棄されたユーザー登録を追跡する。 この Microsoft Intune レポートには、ユーザーが登録プロセスを完了できなかったポータル サイトの場所が表示されます。
トラブルシューティング ドキュメントについては、「 デバイス登録のトラブルシューティング」を参照してください。
リソース
追加の登録ガイドは、Microsoft Intune ドキュメント全体で入手できます。 これらのガイドには、サポートされている各プラットフォームの視覚的な比較、使い方の手順、ヒント、登録のベスト プラクティスが含まれています。
次の手順
この記事は、Microsoft Intune を展開する方法を説明する 5 ステップシリーズの一部です。 このシリーズには、次の記事が順番に含まれています。
- Microsoft Intune のセットアップ
- アプリの追加、構成、保護
- コンプライアンス ポリシーを計画する
- デバイス構成ポリシーの作成
- 🡺 デバイスの登録 (この記事)