Configuration Manager でのインターネット ベースのクライアント管理の計画

Configuration Manager (現在のブランチ) に適用

インターネットベースのクライアント管理 (IBCM) を使用して、内部ネットワークに接続されていないときに Configuration Manager クライアントを管理します。 IBCM を使用する利点:

• サービスを提供するサーバーとロールのフル コントロール
• クラウド サービスの依存関係がない
• 仮想プライベート ネットワーク (VPN) は必要ありません
• すべてのコストはオンプレミスのサービスに関連付けられています

パブリック ネットワーク上のクライアント コンピューターを管理する際のセキュリティ要件が高いため、IBCM では PKI 証明書を使用する必要があります。 この構成により、接続が独立した機関によって確実に認証されます。 IBCM クライアントとサイト サーバーがデータを送信すると、データは暗号化され、安全です。

クライアントとの通信

プライマリ サイトの次のサイト システムの役割は、信頼されていない場所にあるクライアントからの接続をサポートします。

• Configuration Manager ポリシー モジュール (NDES) の証明書登録ポイント

  警告

  バージョン 2203 以降では、証明書の登録ポイントはサポートされなくなりました。 詳細については、「 リソース アクセスの非推奨に関してよく寄せられる質問」を参照してください。

• 配布ポイント

• コンテンツ対応クラウド管理ゲートウェイ (CMG)

• 登録プロキシ ポイント

• フォールバック ステータス ポイント

• 管理ポイント

• ソフトウェアの更新ポイント

インターネットに接続するサイト システムについて

クライアントのフォレストとサイト システム サーバーのフォレストの間に信頼を設定する必要はありません。 ただし、インターネットに接続するサイト システムを含むフォレストがユーザー アカウントを含むフォレストを信頼する場合、 クライアント ポリシーの クライアント設定 [インターネット クライアントからのユーザー ポリシー要求を有効にする] を有効にすると、この構成はインターネット上のデバイスに対するユーザーベースのポリシーをサポートします。

たとえば、次の構成は、IBCM がインターネット上のデバイスのユーザー ポリシーをサポートする場合を示しています。

• インターネット ベースの管理ポイントは境界ネットワーク内にあります。 このネットワークには、ユーザーを認証するための読み取り専用ドメイン コントローラーもあります。 境界ネットワークと内部ネットワークの間のファイアウォールにより、Active Directory パケットが許可されます。

• ユーザー アカウントがイントラネット ベースのフォレストにある。 インターネット ベースの管理ポイントは、境界ベースのフォレストにあります。 境界フォレストは内部フォレストを信頼します。 境界ネットワークと内部ネットワークの間のファイアウォールは、認証パケットを許可します。

• ユーザー アカウントとインターネット ベースの管理ポイントは、どちらもイントラネット ベースのフォレストにあります。 Web プロキシ サーバーを使用して管理ポイントをインターネットに公開します。

Web プロキシ サーバーを使用する

Web プロキシ サーバーを使用してインターネットに公開するときに、インターネット ベースのサイト システムをイントラネットに配置できます。 インターネットからのクライアント接続のみ、またはインターネットとイントラネットからのクライアント接続に対して、これらのサイト システムを構成します。 Web プロキシ サーバーを使用する場合は、Secure Sockets Layer (SSL) ブリッジ to SSL または SSL トンネリング用に構成できます。

SSL への SSL ブリッジ

SSL への SSL ブリッジングは、認証と共に SSL 終端を使用するため、推奨され、より安全な構成です。 クライアント コンピューターをコンピューター認証で認証します。 Configuration Manager を使用して登録したモバイル デバイスでは、SSL ブリッジはサポートされていません。

プロキシでの SSL 終端では、インターネットからのパケットを内部ネットワークに転送する前に検査します。 プロキシは、クライアントからの接続を認証して終了し、インターネット ベースのサイト システムへの新しい認証済み接続を開きます。 Configuration Manager クライアントがプロキシを使用するとき、クライアントはパケット ペイロードにその ID (GUID) を安全に含めます。 管理ポイントはプロキシをクライアントとは見なしません。 Configuration Manager では、HTTP から HTTPS または HTTPS から HTTP へのブリッジはサポートされていません。

トンネリング

プロキシ Web サーバーが SSL ブリッジの要件をサポートできない場合、Configuration Manager は SSL トンネリングもサポートします。 SSL トンネリングを使用して、Configuration Manager に登録したモバイル デバイスをサポートすることもできます。 プロキシは SSL 終端を使用せずにインターネットからサイト システムに SSL パケットを転送するため、安全性が低いオプションです。 プロキシは、悪意のあるコンテンツがないかパケットを検査しません。 SSL トンネリングを使用する場合、プロキシ Web サーバーに必要な証明書はありません。

インターネットベースのクライアントの計画

インターネット ベースのクライアントを、イントラネットとインターネットの両方で管理するように構成するか、インターネットのみのクライアント管理用に構成するかを決定します。 この管理オプションは、クライアントのインストール時にのみ構成できます。 後で変更するには、クライアントを再インストールします。

インターネットのみの管理用に構成したクライアントは、インターネットからのクライアント接続用に構成したサイト システムとのみ通信します。 次のシナリオでは、この構成を使用します。

• 既知のコンピューターはイントラネットに接続されません。 たとえば、遠隔地にある POS コンピューターなどです。
• クライアント通信を HTTPS のみに制限する場合。 たとえば、ファイアウォールや制限されたセキュリティ ポリシーをサポートする場合などです。
• 境界ネットワークにインターネット ベースのサイト システムをインストールし、これらのサーバーを Configuration Manager クライアントとして管理する場合。

インターネットとイントラネットの両方のクライアント管理用に他のクライアントを構成できます。 ネットワークの変更を検出すると、IBCM とイントラネット クライアント管理が自動的に切り替わります。 これらのクライアントがイントラネット上のクライアント接続をサポートする管理ポイントを見つけて接続できる場合、これらのクライアントはイントラネット クライアントとして管理されます。 イントラネット クライアントには、完全な Configuration Manager 機能があります。 クライアントは、イントラネット上のクライアント接続をサポートする管理ポイントを見つけられないか、接続できない場合、インターネットベースの管理ポイントへの接続を試みます。 この操作が成功した場合、これらのクライアントは、割り当てられたサイトのインターネット ベースのサイト システムによって管理されます。

自動切り替えの利点は、クライアントがイントラネットに接続するときにすべての機能を使用し、インターネットに接続しているときに重要な管理を受けることができることです。 インターネットで開始したコンテンツのダウンロードは、イントラネットでシームレスに再開できますし、その逆も同じです。

前提条件

Configuration Manager の IBCM には、次の依存関係があります。

• クライアントにはインターネット接続が必要です。 Configuration Manager は、デバイスの既存のインターネット接続を使用します。 モバイル デバイスはインターネットに直接接続されている必要があります。 フル クライアント コンピューターは、インターネットに直接接続することも、プロキシ Web サーバーを使用して接続することもできます。

• IBCM をサポートするサイト システムにはインターネット接続が必要であり、Active Directory ドメインに存在する必要があります。 インターネットベースのサイト システムでは、サイト サーバーの Active Directory フォレストとの信頼関係は必要ありません。 ただし、インターネットベースの管理ポイントが Windows 認証を使用してユーザーを認証できる場合は、ユーザー ポリシーをサポートします。 Windows 認証が失敗した場合は、デバイス ポリシーのみがサポートされます。

  注:

  ユーザー ポリシーをサポートするには、[ クライアント ポリシー] グループで次のクライアント設定も有効にします。

  • クライアントでユーザー ポリシー ポーリングを有効にする
  • インターネット クライアントからのユーザー ポリシー要求を有効にする

• 公開キー基盤 (PKI) は、インターネットベースのクライアントおよびサイト システム サーバーに必要な証明書を展開および管理します。 詳細については、「 PKI 証明書の要件」を参照してください。

• IBCM をサポートするサイト システムのインターネット完全修飾ドメイン名 (FQDN) のパブリック DNS ホスト エントリを登録します。

• サイト プロパティの [通信セキュリティ] タブで使用可能な場合は、[PKI クライアント証明書 (クライアント認証機能) を使用する] オプションを有効にします。 このオプションは必須です。

クライアント通信要件

介在するファイアウォールまたはプロキシ サーバーは、インターネット ベースのサイト システムのクライアント通信を許可する必要があります。

• HTTP 1.1 のサポート

• マルチパート MIME 添付ファイルの HTTP コンテンツの種類を許可する (マルチパート/混合およびアプリケーション/オクテットストリーム)

動詞

インターネット ベースのサイト システムのサーバーの役割に、次の動詞を使用できます。

HTTP ヘッダー

インターネットベースのサイト システムのサーバーの役割に次の HTTP ヘッダーを許可します。

インターネットからのクライアント接続にソフトウェアの更新ポイントを使用する場合の同様の通信要件については、Windows Server Update Services (WSUS) のドキュメントを参照してください。

サポートされない機能

すべてのクライアント管理機能がインターネットに適しているわけではありません。 Configuration Manager は、インターネット上のクライアントの一部の機能をサポートしていません。 これらのサポートされていない機能は、通常、Active Directory Domain Services に依存しているか、パブリック ネットワークには適していません。

IBCM を使用してインターネット上のクライアントを管理する場合、次の機能はサポートされません。

• クライアント プッシュやソフトウェア更新プログラムベースのクライアント展開など、インターネットを介したクライアントの展開。 手動クライアント インストールを使用します。

• サイトの自動割り当て

• Wake-on-LAN

• OS の展開。 ただし、OS をデプロイしないタスク シーケンスをデプロイすることはできます。

• リモート コントロール

• ユーザーへのソフトウェアの展開。 この機能は、サポートされなくなったアプリケーション カタログに依存していました。

• クライアント ローミング。 ローミングにより、クライアントはコンテンツをダウンロードするのに最も近い配布ポイントを常に見つけることができます。 クライアントは、帯域幅または物理的な場所に関係なく、インターネットベースのサイト システムの 1 つを非決定的に選択します。

インターネットからの接続を受け入れるようにソフトウェアの更新ポイントを構成すると、インターネットベースのクライアントは常にこのソフトウェアの更新ポイントをスキャンして、必要なソフトウェア更新プログラムを特定します。 これらのクライアントがインターネット上にある場合、まずインターネット ベースの配布ポイントからではなく、Microsoft Update からソフトウェア更新プログラムをダウンロードしようとします。 この動作が失敗した場合、ユーザーはインターネットベースの配布ポイントから必要なソフトウェア更新プログラムをダウンロードしようとします。