グループを使用して Microsoft Intune 用にユーザーとデバイスを整理する

Microsoft Intune では、組織のさまざまなニーズに Microsoft Entra ID のセキュリティ グループを使用します。 これらのニーズには、地理的な場所、部署、ハードウェアの特性などによってユーザーまたはデバイスをグループ化することが含まれます。 Intune による Entra グループの使用をサポートするために、Intune 管理センターには、すべての機能を備えた Entra グループ ユーザー インターフェイスが含まれています。 Entra に表示されるグループと、Intune 管理者が作成する可能性のある新しいグループは、Intune、Entra、および Microsoft 365 などの Entra Groups ユーザー インターフェイスを共有するその他の製品に表示されます。

Intune 管理者は、ポリシーを展開したり、アプリを展開したり、他の管理ユーザーのアクセス許可を割り当てたりするときに、明確に定義されたグループを使用して、Intune サブスクリプションのさまざまな側面を管理できるようにします。

この記事では、Intune 管理センターを使用して、Intune で使用するグループを作成する方法に焦点を当てます。管理センター内でそれらのグループを管理して使用するために必要なアクセス許可の詳細も含まれています。

Microsoft Entra グループの詳細については、Entra ドキュメントを参照してください。

グループを操作するための役割ベースのアクセス制御

既定では、すべての Microsoft Entra ユーザー アカウントには、Entra ロールベースのアクセス制御 (RBAC) ロールを割り当てることなく、新しいグループを作成および構成するアクセス許可があります。 これらのアクセス許可は、Intune 管理センター内のグループ ノードの使用にまで及びます。

グループのプロパティを編集できるのは、グループを作成したユーザー、所有者として割り当てられたユーザー、および Entra グループを管理するのに十分な Entra RBAC 権限を持つユーザーのみです。 グループを編集する権限を持たない他のユーザーは、そのメンバーシップを表示でき、Intune を管理している場合は、Intune ポリシー、アプリ、役割の割り当てをグループに割り当てることができます。

次の Microsoft Entra 組み込み RBAC ロールは、他のユーザーによって作成された Entra グループを編集および管理するのに十分なアクセス許可を含む、最小特権の組み込みロールです。

• グループ管理者 – このロールは、Microsoft Intune、Microsoft Entra、および Microsoft 365 の管理センター内からグループを追加および編集するのに十分なアクセス許可を提供します。

RBAC を使用する場合は、最小限のアクセス許可の原則に従い、タスクに必要最小限のアクセス許可を持つアカウントのみを使用し、Intune 管理者などの特権的な管理者ロールの使用と割り当てを制限することをお勧めします。

Microsoft Entra グループとグループ アクセスの詳細については、Entra ドキュメントの「グループとアクセス権の詳細」を参照してください。

Intune で使用するグループの要件

Intune 管理者は、新しいグループを作成するとき、またはポリシー展開または管理者ロールにグループを割り当てるときに、Microsoft Entra グループの次の側面に注意する必要があります。

セキュリティ - Intune で使用するグループは、セキュリティが有効になっているグループである必要があります。 これには、通常、グループの作成時にグループの種類を セキュリティ に設定する必要があります。 詳細については、「Microsoft Entra のグループの種類」を参照してください。 セキュリティ グループでは、ユーザーとデバイスの両方がメンバーとしてサポートされます。

既定では、Microsoft Entra の Microsoft 365 グループはセキュリティが有効になっておらず、ユーザーのみをメンバーとしてサポートし、Intune ではサポートされません。 Microsoft Graph PowerShell を使用して、Intune がサポートするセキュリティ対応の Microsoft 365 グループを作成できますが (詳細については、「Microsoft 365 PowerShell でセキュリティ グループを管理する」を参照)、既定の Microsoft 365 グループと同様に、ユーザーのみを含めることができ、デバイスは含めることができません。

メンバーシップ - Intune では、割り当て済みグループ メンバーシップと動的グループ メンバーシップの両方がサポートされます。 グループ メンバーシップを管理する方法 (手動またはルールに基づいて自動) に基づいて、メンバーシップの種類を選択します。 詳細については、「Microsoft Entra のメンバーシップの種類」を参照してください。 たとえば、エンドポイント セキュリティ マネージャーなどの組み込みの Intune RBAC ロールを管理ユーザーに割り当てるには、手動で割り当てられたメンバーを持つグループを使用して、その特権ロールを受け取るユーザーを制限します。 逆に、既定のデバイス構成ポリシーのセットをすべての Windows 11 デバイスに展開するには、デバイスのオペレーティング システムのバージョンに基づいてメンバーを動的に追加するグループを使用できます。 動的グループを使用すると、Intune に登録するデバイスが、デバイスを手動でグループに追加することなく、意図した既定のポリシーを自動的に受け取ることができます。

Intune のすべてのユーザー グループとすべてのデバイス グループ

Intune で作成して使用できる Microsoft Entra グループに加えて、Intune には、Intune のコンテキスト内および Intune 管理センター内でのみ使用できる 2 つの仮想グループが含まれています。

• すべてのユーザー - このグループには、Intune のライセンスを持つすべてのユーザーが自動的に含まれます。
• すべてのデバイス - このグループには、Intune に登録する各デバイスが自動的に含まれます。

これらの仮想グループは、広く適用する必要がある Intune ポリシーと割り当てを使用して、該当するすべてのユーザーまたはデバイスをターゲットにする簡単な方法を提供します。

たとえば、Intune コンプライアンス ポリシーを [すべてのデバイス] グループに展開して、organization 内のすべてのデバイスが満たす必要がある最小レベルのコンプライアンス要件を確立します。 後で、より多くの要件を特定の Entra グループに展開して、デバイスまたはユーザーの特定のグループに追加の要件を適用できます。

Intune にグループを追加する

Microsoft Intune 管理センター内でグループを作成する場合、実際には Microsoft Entra ID でグループを作成することになります。 次の手順では、Intune 管理センターでグループを作成するための基本的なガイダンスを提供します。 詳細については、次の Microsoft Entra の記事を参照してください。

• Microsoft Entra グループとグループ メンバーシップを管理する
• 基本的なグループを作成し、Microsoft Entra ID を使用してメンバーを追加する
• Microsoft Entra ID のグループの動的メンバーシップ ルール

Microsoft Intune 管理センターでグループを作成するには:

1. https://go.microsoft.com/fwlink/?linkid=2109431 で Microsoft Intune 管理センターにサインインし、[グループ>新しいグループ] を選択します。

   

2. [新しいグループ] ウィンドウが開きます。これは、Microsoft Entra にあるのと同じインターフェイスです。

   

   [新しいグループ] に次のオプションを構成します。

   1. グループの種類を [セキュリティ] に設定します。

   2. [ グループ名] には、グループを明確に識別する意味のある名前を指定します。 この名前は、管理センターでグループを操作するユーザーに表示されます。

   3. グループの説明 (省略可能) で、使用目的など、グループに関するその他の詳細を指定します。

   4. [ メンバーシップの種類] で、次のオプションから選択します。

      • 割り当て済 – このメンバーシップの種類では、グループにユーザーを手動で追加する必要があります。これは、今すぐ行うことも、グループを作成した後で行うこともできます。

        この時点でユーザーを追加するには、[ メンバーが選択されていません ] を見つけて選択し、[ メンバーの追加 ] ウィンドウを開きます。

        ウィンドウの [ ユーザー ] タブまたは [ デバイス ] タブを使用し、このグループに追加する各オブジェクトの横にあるチェック ボックスをオンにします。

        このグループ内にグループをネストする場合は、[ グループ] タブを選択することもできます。 グループをメンバーとして含むグループは、親グループと呼ばれます。 後で親グループを割り当てに使用する管理者にはメンバーシップ関係が明確でない可能性があるため、グループをネストする場合は注意してください。 入れ子になったグループに加えられたメンバーシップの変更は、親グループの有効なメンバーシップに自動的に適用されます。

        重要

        ユーザーとデバイスの両方を含むグループを作成すると、Intune のデプロイ中にポリシーの競合や予期しない動作が発生する可能性があるため、避けてください。

        ヒント

        デバイスのグループを作成するには、デバイス カテゴリを使用して、Intune への登録時にデバイスを自動的にグループに参加させることができます。 詳しくは、 デバイス カテゴリをご覧ください。

      • 動的ユーザー - このメンバーシップの種類では、[ 動的クエリの追加 ] を選択し、動的メンバーシップ ルールを構成します。 ガイダンスについては、「Microsoft Entra ID で動的メンバーシップ グループのルールを管理する」を参照してください。

        重要

        動的ユーザー グループを使用するには、動的グループのメンバーであるユーザーごとに Microsoft Entra ID P1 ライセンスが必要です。

      • 動的デバイス - このメンバーシップの種類では、[ 動的クエリの追加 ] を選択し、動的メンバーシップ ルールを構成します。 ガイダンスについては、次にアクセスしてください:

        • Microsoft Entra ID で動的メンバーシップ グループのルールを管理する
        • 動的メンバーシップ グループのよりシンプルで迅速なルールを作成する
        • 動的なグループ処理の理解と管理

        ヒント

        動的デバイス グループのメンバーには、特定の Entra ID ライセンスは必要ありません。

        注:

        Intune ポリシー ターゲティングの動的デバイス グループを作成する前に、割り当てフィルターで同じ結果を達成できるかどうかを検討してください。 ルールが OS の種類、製造元、モデル、所有権、デバイス カテゴリなどのデバイス プロパティを対象とする場合、割り当てフィルターはグループ メンバーシップの処理に依存せずにチェックイン時に評価されます。 詳細については、「大規模な Microsoft Intune 環境でのグループ化、ターゲット設定、およびフィルター処理に関するパフォーマンスに関する推奨事項」を参照してください。

   5. 所有者構成は省略可能です。 既定では、グループを作成するユーザーは所有者です。 他の所有者を追加するには、[ 所有者が選択されていません ] を選択し、[ ユーザー ] タブを選択します。ここで、このグループの所有者として追加する 1 人以上のユーザーを選択できます。

3. [ 作成] を選択して新しいグループを追加します。 一覧にグループが表示されます。

グループを編集する

Intune 管理者は、グループ メンバー、所有者、プロパティの変更など、グループを編集できます。

既存のグループを編集するには、次の手順に従います。

1. Microsoft Intune 管理センターにサインインします。
2. [グループ]>すべてのグループ] を選択する>編集するグループの名前を選択します。
3. [管理] メニュー グループで、[プロパティ]、[メンバー]、[所有者] など、編集するグループの領域を選択します。 Intune には、その構成オプションに関連するユーザー インターフェイスが表示されます。

グループを削除する

Intune 管理者は、不要になったグループを削除できます。

既存のグループを削除するには、次の手順に従います。

1. Microsoft Intune 管理センターにサインインします。
2. [グループ>すべてのグループ] を選択します。
3. 削除する各グループのチェック ボックスをオンにし、[すべてのグループ] ビューの上部にある [オプションから削除] を選択します。 または、グループの名前を選択して 1 つのグループ の概要ページを開き 、そのビューの上部にある [削除*] を選択することもできます。

関連コンテンツ

• Microsoft Intune で適切なターゲティング方法を選択する
• Intune にユーザー ライセンスを割り当てる
• ロールベースのアクセス制御のためにユーザーのグループに Microsoft Intune ロールを割り当てる