Microsoft Intune は、サインインする ID、サインイン元のデバイス、仕事をするために使用するアプリの 3 つの柱を中心に構築されています。 Intune は、Microsoft Entra ID 上でこれらの柱を調整し、デバイスとアプリの態勢を Microsoft Entra 条件付きアクセスにフィードバックして、企業リソースへのアクセスをゲートします。
Intune の機能とその理由の概要については、「Microsoft Intune とは」を参照してください。 コンポーネント、統合、展開の各ビューについては、「Microsoft Intune のアーキテクチャ」を参照してください。
3 つの柱
| 柱 | Intune でできること | Intune が依存するもの |
|---|---|---|
| ID | ポリシーをユーザーとグループに対象を設定し、ロールベースのアクセス制御 (RBAC) を介して管理者アクセスの範囲を設定し、登録時にユーザー アフィニティを作成します。 | アカウント、グループ、認証、条件付きアクセス用の Microsoft Entra ID。 |
| デバイス | organization の作業を実行するハードウェアを登録、構成、保護、廃止します。 条件付きアクセスのコンプライアンス状態を報告します。 | プラットフォーム登録プログラム (Windows Autopilot、Apple 自動デバイス登録、Android Enterprise)。 |
| アプリ | ユーザーが必要とするアプリを、登録済みの個人用デバイスで展開、構成、保護、更新します。 | アプリ ストアとベンダー カタログ (Microsoft Store、App Store、マネージド Google Play、Apple Business)。 |
この記事の残りの部分では、それぞれの柱について説明し、最後に 3 つすべてにわたって 1 回のサインインをトレースする実例を示します。
ID
Intune にはユーザー ID は格納されません。 アカウント、グループ、認証、条件付きアクセスに Microsoft Entra ID を使用します。 Intune 内では、ID は 3 つの場所に表示されます。
登録時のユーザー アフィニティ
ユーザーが初めてデバイスにサインインすると、デバイスはそのユーザーに関連付けられます。 この関連付けは 、ユーザー アフィニティと呼ばれます。 ユーザーに割り当てられたポリシーは、関連付けられているすべてのデバイスでそれらに従い、ユーザーはそれらのデバイスからメール、ファイル、アプリにアクセスできます。
ユーザーがデバイスに関連付けられていない場合、デバイスは ユーザーレスになります。 このパターンは、1 つのタスク専用のキオスクや、複数のユーザーが使用する共有デバイスに共通します。
適切な登録方法を選択できるように、登録前にデバイスの目的を決定します。 プラットフォーム固有のガイダンスについては、「Microsoft Intune でのデバイスの登録」を参照してください。
管理者の役割ベースのアクセス
Intune では、ロールベースのアクセス制御 (RBAC) を使用して、各管理者が管理センターで表示および実行できる内容を決定します。 アプリケーション マネージャー、ポリシーおよびプロファイル マネージャーなどの組み込みロールは、特定のエンドポイント管理タスクにアクセス許可をスコープします。 Intune は Microsoft Entra ID を使用するため、組み込みの Microsoft Entra ロール (Intune 管理者を含む) も使用できます。
RBAC と スコープ タグ を組み合わせて、管理者が表示できる内容だけでなく、表示できる内容を絞り込むことができます。 たとえば、地域のヘルプ デスクに、デバイスのワイプを許可する役割を与えますが、タグ付けして、その地域のデバイスのみを表示してワイプできるようにします。
詳細については、「Microsoft Intune を使用したロールベースのアクセス制御」および「スコープ タグを使用してポリシーをフィルター処理する」を参照してください。
ターゲット ポリシーと割り当て
Intune はクラウドベースであり、ポリシーをユーザーまたはグループに直接対象とします。 組織単位のようなコンテナーの階層はありません。 ポリシーを作成し、それを 1 つ以上の Microsoft Entra グループに割り当てます。
ポリシーのターゲット:
- ユーザー グループ (設定がユーザーのデバイス間でそれに従う必要がある場合)。 たとえば、メール プロファイルやアプリの展開などです。
- デバイス グループ (サインインしているユーザーに関係なく設定を適用する場合) たとえば、キオスク構成や現場担当者ポリシーなどです。
- 設定がテナント全体に適用される場合の組み込みの仮想グループ (すべてのユーザー、すべてのデバイス)。
詳細については、「グループを追加してユーザーとデバイスを整理する」および「Microsoft Intune でデバイス プロファイルを割り当てる」を参照してください。
デバイス
Intune は、Android、iOS、iPadOS、Linux、macOS、tvOS、visionOS、Windows 全体で、organization が依存しているデスクトップ、ノート PC、タブレット、電話を管理およびセキュリティで保護します。 サポートされている OS の完全なマトリックスについては、「 サポートされているオペレーティング システムとブラウザー」を参照してください。
デバイスのライフサイクル
すべての管理対象デバイスは 4 つの段階を通過し、すべて同じ管理センターで処理されます。
- 登録: デバイスを管理します。 組織所有のハードウェアでは、通常、Windows Autopilot、Apple Automated Device Enrollment、または Android Enterprise による自動登録が使用されます。 個人用デバイスは、ポータル サイト アプリを使用して登録します。
- 構成: Wi-Fi、VPN、証明書、メール、デバイス機能、プラットフォーム固有のオプションの設定を適用します。 設定カタログでは、数千ものプラットフォーム設定が公開されています。
- 保護:コンプライアンスルールの適用、ディスクの暗号化、セキュリティベースラインの展開、Mobile Threat Defenseとの統合を行います。 コンプライアンス状態フィード Microsoft Entra 条件付きアクセス。
- 廃止: デバイスが紛失、交換、または不要になった場合、リモート アクションを使用すると、organization データを消去したり、デバイスを工場出荷時の設定にリセットしたり、登録を解除したりできます。
MDM および MAM
Intune では、2 つの管理モードがサポートされています。 これらは、個別に使用することも、組み合わせて使用することもできます。
- モバイル デバイス管理 (MDM) により、デバイス全体 (設定、アプリ、データ) が Intune の制御下に置かれます。 MDM は、organization 所有のハードウェアでの一般的です。
- モバイル アプリケーション管理 (MAM) では 、ワーク アプリとその中のデータのみが管理されます。 ユーザーはデバイスの残りの部分を制御し続けます。 MAM は、一般的です。Bring Your Own Device (BYOD) のシナリオでは一般的です。
同じデバイス上で 2 つを組み合わせることができます。 たとえば、登録済みの企業電話 (MDM) には、特に機密性の高いデータを扱うアプリに対するアプリ保護ポリシー (MAM) を設定することもできます。
詳細については、「Microsoft Intune でのデバイス登録」および「アプリ保護ポリシーの概要」を参照してください。
組織が所有する個人用デバイス
ほとんどの組織では、所有するハードウェアと従業員が仕事に使用する個人用デバイスの 2 つのデバイス母集団を管理しています。 Intune では、異なるコントロールを使用して両方をサポートします。
- 組織が所有するデバイスは、 MDM に登録する必要があります。 これらのデバイスをユーザー自身が管理することに依存しないでください。
- ユーザーが組織のリソースへのフル アクセスを必要とする場合や、Outlook、Teams、およびその他のマネージド アプリ内のデータを保護する MAM ポリシーのみを使用できることは、個人用デバイスを MDM に登録できます。
デバイス グループ
デバイス グループは、デバイスのみを含む Microsoft Entra グループです。 これらの機能は、サインインしているユーザー (キオスク、共有 PC、現場担当者デバイス、特殊なハードウェア) に関係なく設定を適用する必要がある場合に役立ちます。
メンバーシップは 静的 または 動的です。
- 静的グループの場合 、手動でデバイスを追加および削除する必要があります。 これらは、小型で安定したデバイス セットに役立ちます。
- 動的グループでは、 定義した条件に基づいてデバイスが自動的に追加および削除されます。 これらは、大規模で変化する多数のデバイス フリートに役立ちます
アプリ
Intune は、サポートされているすべてのプラットフォームでアプリのライフサイクル全体 (展開、構成、保護、更新) をカバーします。
アプリ ライフサイクル
- パブリック ストア、ベンダー カタログ、独自の基幹業務 (LOB) パッケージ、または管理センターの組み込みエントリからアプリをデプロイします。
- アプリ構成ポリシーを使用して、ユーザーがアプリを開く前にアプリを構成します。 アプリの言語の設定、organization のロゴの追加、個人用アカウントのブロックなどを行います。
- アプリ保護ポリシーを使用してアプリ内のデータを保護します。 PIN の要求、個人用アプリへのコピー/貼り付けのブロック、個人用クラウド サービスへのバックアップの禁止、保存データの暗号化、organization データの選択的なワイプ。
- 新しいバージョンが利用可能になると、アプリを自動的に更新します。 Windows 上の Microsoft 365 アプリ、Microsoft Edge、Microsoft Teams の場合、Windows Autopatch に更新プログラムを渡すことができます。
登録なしのアプリ保護 (MAM-WE)
アプリ保護ポリシーでは、MDM 登録は必要ありません。 これらは、次の 3 つのデバイス母集団に対して機能します。
- MDM (BYOD) に登録されていない個人用デバイス。
- 別の MDM プロバイダーに登録されているデバイス: Intune は、マネージド アプリ内のデータを引き続き保護できます。
- MDM を超えて追加のレイヤーを必要とするアプリ用の、Intune に登録されているデバイス。
詳細については、「アプリ保護ポリシーの概要」を参照してください。
プラットフォーム別のアプリ
Intune は、Android、iOS、iPadOS、macOS、Windows のパブリック ストア アプリ、基幹業務 (LOB) アプリ、Web アプリ、プラットフォーム固有のアプリの種類をサポートしています。 プラットフォームごとのアプリの種類とその出所については、「Microsoft Intune でアプリを追加および更新する」を参照してください。
柱がどのように組み合わされるか
一般的なアクセスの決定は、次の 3 つの柱すべてに関係します。
- ユーザーがマネージド デバイスにサインインし、Microsoft Entra ID がユーザーを認証します。
- デバイスは Intune にチェックインし、コンプライアンス状態とインベントリを報告します。
- Intune はコンプライアンス状態を Microsoft Entra ID に転送します。
- ユーザーが企業アプリを開きます。 Microsoft Entra 条件付きアクセスは、ユーザー、デバイスのコンプライアンス状態、アプリ、場所、および Microsoft Defender のエンドポイント セキュリティからのシグナルを使用して要求を評価します。
- 条件付きアクセスは、アクセスを許可またはブロックします。 アクセスが許可されていて、アプリがマネージド アプリの場合、 アプリ保護ポリシー によってアプリ内制御 (PIN、コピーと貼り付けの制限、選択的ワイプ) が適用されます。
すべてのアクセス決定では、ユーザーの ID、デバイスのコンプライアンス、ユーザーが開いているアプリの 3 つの柱すべてが一緒に実行されます。