適用対象: Configuration Manager (テクニカル プレビュー ブランチ)
この記事では、Configuration Manager バージョン 1606 のテクニカル プレビューで使用できる機能について説明します。 このバージョンをインストールして、Configuration Manager テクニカル プレビュー サイトに新しい機能を更新および追加できます。 このバージョンのテクニカル プレビューをインストールする前に、入門トピックである Configuration Manager のテクニカル プレビューを確認して、テクニカル プレビューの使用に関する一般的な要件と制限、バージョン間で更新する方法、テクニカル プレビューの機能に関するフィードバックを提供する方法について理解してください。
このテクニカル プレビューの既知の問題:
Technical Preview 1604 から 1605 に更新してからバージョン 1606 に更新すると、更新が失敗し、次のようなエラーが cmupdate.logに記録されることがあります。
ERROR: Failed to execute SQL Server command: ~ ~-- Create site boundary group ~IF dbo.fnIsCasOrStandalonePrimary() = 1 ~BEGIN ~ PRINT N'Create site boundary group during upgrade' ~ EXEC dbo.spBuildDefaultBoundaryGroups @UserName = N'SYSTEM' ~ENDこのエラーが発生した場合は、[Updates and Servicing] ノードで [更新プログラムのチェック] をクリックし、更新プログラムのインストールを再試行します。
このバージョンで試すことができる新機能を次に示します。
デバイスを自動的にコレクションに分類する
デバイス カテゴリを作成できます。これを使用して、Microsoft Intune で Configuration Manager を使用しているときにデバイス コレクションにデバイスを自動的に配置できます。 その後、ユーザーは Intune にデバイスを登録するときにデバイス カテゴリを選択する必要があります。 デバイスのカテゴリは、Configuration Manager コンソールから追加で変更できます。
重要:この機能は、Microsoft Intune の June 2016 リリースで動作します。 これらの手順を試す前に、このリリースに更新されていることを確認してください。
ぜひ、お試しください。
デバイス カテゴリのセットを作成する
- Configuration Manager コンソールの [資産とコンプライアンス] ワークスペースで、[概要] を展開し、[デバイス コレクション] をクリックします。
- [ ホーム] タブの [カテゴリ ] グループで、[ デバイス カテゴリの管理] をクリックします。
- [ デバイス カテゴリの管理 ] ダイアログ ボックスで、カテゴリを作成、編集、または削除できます。 新しいカテゴリを作成してみてください。
コレクションとデバイス カテゴリの関連付け
コレクションをデバイス カテゴリに関連付けると、指定したカテゴリ内のすべてのデバイスがそのコレクションに追加されます。
- デバイス コレクションの [プロパティ] ダイアログで、[ルールの追加]>[デバイス カテゴリ ルール] をクリックします。
- [ デバイス カテゴリ メンバーシップ ルールの作成 ] ダイアログ ボックスで、コレクション内のすべてのデバイスに適用されるカテゴリを選択します。
- [ デバイス カテゴリ メンバーシップ ルールの作成 ] ダイアログ ボックスと [コレクションのプロパティ] ダイアログ ボックスを閉じます。
デバイスのカテゴリを変更する
- Configuration Manager コンソールの [資産とコンプライアンス] ワークスペースで、[概要] を展開し、[デバイス] をクリックします。
- [ デバイス] の一覧からデバイスを選択し、[ ホーム] タブの [ デバイス ] グループで [ カテゴリの変更] をクリックします。
- [ デバイスカテゴリを編集 ] ダイアログボックスで、このデバイスに適用するカテゴリを選択し、[ OK] をクリックします。
必要なアプリケーションとソフトウェアの更新プログラムの展開に対する適用の猶予期間
場合によっては、必要なアプリケーションの展開やソフトウェアの更新をインストールするために、設定した期限を超えてユーザーにより多くの時間を与えたい場合があります。 これは通常、コンピューターの電源が長期間放置されており、多数のアプリケーションまたは更新プログラムの展開をインストールする必要がある場合に必要になることがあります。 たとえば、エンド ユーザーが休暇から戻ったばかりの場合、期限切れのアプリケーション展開がインストールされるため、しばらく待たなければならない場合があります。 この問題を解決するために、Configuration Manager クライアント設定をコレクションに展開することで、強制の猶予期間を定義できるようになりました。
ぜひ、お試しください。
猶予期間を構成するには、次の操作を実行します。
- クライアント設定の [コンピューター エージェント ] ページで、新しいプロパティ [ 展開期限 (時間) 後に適用する猶予期間 ] を 1 から 120 時間の値で構成します。
- 新しく必要なアプリケーション展開、または既存の展開のプロパティで、[ スケジュール] ページで、[ユーザー設定に応じて、クライアント設定で定義された猶予期間まで、 この展開の適用を延期する] チェック ボックスをオンにします。 このチェック ボックスがオンになっていて、クライアント設定を展開したデバイスを対象とするすべての展開では、強制の猶予期間が使用されます。
強制の猶予期間を構成し、チェック ボックスをオンにすると、アプリケーションのインストール期限に達すると、その猶予期間までにユーザーが構成した最初のビジネス以外のウィンドウにインストールされます。 ただし、ユーザーはいつでもソフトウェア センターを開いてアプリケーションをインストールできます。 猶予期間が終了すると、期限切れのデプロイに対する適用は通常の動作に戻ります。 同様のオプションがソフトウェア更新プログラムの展開ウィザード、自動展開ルール ウィザード、およびプロパティ ページに追加されました。
Device Guard で管理されたインストーラーとして Configuration Manager を使用する
Device Guard は、ハードウェア機能とソフトウェア機能を使用して、デバイスでの実行を許可する対象を厳密に制御する Windows 10 の機能です。
詳細については、「 Device Guard の概要」を参照してください。
このリリースでは、Configuration Manager を Device Guard および Windows AppLocker と相互運用できます。これにより、Configuration Manager を使用して展開された実行可能ファイルと DLL ファイルは、マネージド インストーラーから取得されるため自動的に信頼されます。つまり、ターゲット デバイスでの実行が許可され、明示的に許可されない限り、他のソフトウェアの実行は許可されません他の AppLocker 規則で実行することはできません。
現時点では、この機能は Configuration Manager コンソールから構成することはできません。 ポリシーを構成するには、各クライアントでレジストリ キーを構成し、クライアントで Windows サービスを構成する必要があります。 これが完了したら、AppLocker ポリシー ファイルを構成します。 ポリシー ファイルを構成した後、互換性のある任意のクライアント デバイスに展開できます。
すべての AppLocker ポリシーと同様に、マネージド インストーラー規則を含むポリシーは、次の 2 つのモードで実行できます。
- 監査モード – アプリケーションは実行できなくなりますが、ブロックされたアプリケーションはログ ファイルで報告されます (これは Configuration Manager の今後のリリースでサポートされます)。
- 強制が有効 – アプリケーションの実行がブロックされます。
詳細については、次の記事を参照してください。
Windows Defender アプリケーション制御の展開プロセスの計画と開始
オンプレミスのモバイル デバイス管理の複数のデバイス管理ポイント
Technical Preview 1606 では、オンプレミスのモバイル デバイス管理 (MDM) は、Windows 10 Anniversary Update の新機能をサポートします。この機能では、登録されたデバイスが複数のデバイス管理ポイントを使用できるように自動的に構成されます。 この機能により、デバイスが通常使用するデバイス管理ポイントが使用できない場合に、別のデバイス管理ポイントにフォールバックできます。 この機能は、Windows 10 Anniversary Update がインストールされている PC でのみ機能します。
ぜひ、お試しください。
階層に複数のデバイス管理ポイントをインストールします。
オンプレミスのモバイル デバイス管理に Windows 10 Anniversary Update デバイスを登録します。
オンプレミスのモバイル デバイス管理のためにサイトを準備し、デバイスを登録する方法の詳細については、「オンプレミス インフラストラクチャを使用したモバイル デバイスの管理」を参照してください。
インターネット上のクライアントを管理するためのクラウド プロキシ サービス
クラウド プロキシ サービスは、インターネット上の Configuration Manager クライアントを管理する簡単な方法を提供します。 このサービスは Microsoft Azure にデプロイされ、Azure サブスクリプションが必要で、クラウド プロキシ コネクタ ポイントと呼ばれる新しい役割を使用してオンプレミスの Configuration Manager インフラストラクチャに接続します。 完全に展開および構成されると、クライアントは、内部プライベート ネットワークに接続されているかインターネットに接続されているかに関係なく、オンプレミスの Configuration Manager サイト システムの役割にアクセスできるようになります。
Configuration Manager コンソールを使用して、サービスを Azure に展開し、クラウド プロキシ コネクタ ポイントの役割を追加し、クラウド プロキシ トラフィックを許可するようにサイト システムの役割を構成します。 クラウド プロキシ サービスは現在、管理ポイント、配布ポイント、ソフトウェアの更新ポイントの役割のみをサポートしています。
クライアント証明書と Secure Socket Layer (SSL) 証明書は、コンピューターを認証し、サービスの異なるレイヤー間の通信を暗号化するために必要です。 クライアント コンピューターは通常、グループ ポリシーの適用によってクライアント証明書を受け取ります。 クライアントとロールをホストしているサイト システム サーバー間のトラフィックを暗号化するには、CA からカスタム SSL 証明書を作成する必要があります。 これら 2 種類の証明書に加えて、Configuration Manager がクラウド プロキシ サービスを展開できるようにする管理証明書を Azure 上にセットアップする必要もあります。
TP 1606 でのクラウド プロキシ サービスの要件
- クラウド プロキシ コネクタ ポイントを実行しているクライアント コンピューターとサイト システム サーバー。
- 内部 CA からのカスタム SSL 証明書 - クライアント コンピューターからの通信を暗号化し、クラウド プロキシ サービスの ID を認証するために使用されます。
- クラウド サービス用の Azure サブスクリプション。
- Azure 管理証明書 - Azure で Configuration Manager を認証するために使用されます。
TP 1606 でのクラウド プロキシ サービスの制限事項
- 管理ポイント、配布ポイント、ソフトウェア更新ポイントの役割のみをサポートします。
- ユーザー ポリシーはサポートされていません。
- Configuration Manager のオンプレミスのモバイル デバイス管理では使用できません。
- Azure のパブリック クラウド プラットフォームでのみサポートされます。
ぜひ、お試しください。
クラウド プロキシ サービスをデプロイするプロセスには、次の手順が含まれます。
- クラウド プロキシ サービスのカスタム SSL 証明書を作成して発行します。
- クライアント証明書のルートをエクスポートします。
- 管理証明書を Azure にアップロードします。
- Configuration Manager コンソールでクラウド プロキシ サービスを設定します。
- クライアント証明書認証を使用するようにプライマリ サイトを構成します。
- クラウド プロキシ コネクタ ポイントをサイトに追加します。
- クラウド プロキシ トラフィックを受け入れるようにサイト システムの役割を構成します。
次のセクションでは、これらの手順を完了するための詳細情報について説明します。
カスタム SSL 証明書を作成する
クラウド ベースの配布ポイントの場合と同じ方法で、クラウド プロキシ サービスのカスタム SSL 証明書を作成できます。 Cloud-Based 配布ポイントのサービス証明書の展開の手順に従いますが、以下の手順は異なります。
- 新しい証明書テンプレートを設定するときは、Configuration Manager サーバー用に設定したセキュリティ グループに対して読み取りと登録のアクセス許可を付与します。
クライアント証明書のルートをエクスポートする
ネットワーク上で使用されるクライアント証明書のルートを取得する最も簡単な方法は、クライアント証明書を持つドメインに参加しているコンピューターの 1 つでクライアント証明書を開いてコピーすることです。
注:
クライアント証明書は、クラウド プロキシ サービスで管理するすべてのコンピューターと、クラウド プロキシ コネクタ ポイントをホストしているサイト システム サーバー上で必要です。 これらのマシンのいずれかにクライアント証明書を追加する必要がある場合は、「Windows コンピューターのクライアント証明書の展開」を参照してください。
- [ファイル名を指定して実行] ウィンドウに「 mmc 」と入力して、Return キーを押します。
- 管理コンソールの [ファイル] メニューで、[スナップインの追加と削除] をクリックします。
- [スナップインの追加と削除] ダイアログ ボックスで、[証明書]、[>の追加]、[コンピューター アカウント]、[次へ]、[ローカル コンピューター]、[完了] の順にクリックします。 [ OK] をクリックしてダイアログ ボックスを閉じます。
- [ 証明書] > [個人用 > 証明書] に移動します。
- コンピューター上のクライアント認証用の証明書をダブルクリックし、[証明書パス] タブをクリックして、ルート証明機関 (パスの上部) をダブルクリックします。
- [詳細] タブをクリックし、[ ファイルにコピー...] をクリックします。
- 既定の証明書形式を使用して証明書のエクスポート ウィザードを完了します。 作成するルート証明書の名前と場所をメモしておきます。 後の手順でクラウド プロキシ サービスを構成するために必要になります。
管理証明書を Azure にアップロードする
Azure 管理証明書は、Configuration Manager が Azure API にアクセスしてクラウド プロキシ サービスを構成するために必要です。 管理証明書をアップロードする方法の詳細と手順については、Azure ドキュメントの次の記事を参照してください。
管理証明書に関連付けられているサブスクリプション ID を必ずコピーしてください。 これは、Configuration Manager コンソールでクラウド プロキシ サービスを構成するために必要です。
クラウド プロキシ サービスの設定
- Configuration Manager コンソールで、[管理] > Cloud Services > [クラウド プロキシ サービス] に移動します。
- [ クラウド プロキシ サービスの作成] をクリックします。
- クラウド プロキシ サービスの作成ウィザードで、Azure サブスクリプション ID (Azure 管理ポータルからコピー) を入力し、[参照] をクリックして、Azure 管理証明書としてアップロードするために使用した証明書ファイルを選択します。 [次へ] をクリックします。 コンソールが Azure に接続されるまでしばらく待ちます。
- ウィザードで追加の詳細を入力します。
- カスタム SSL 証明書からエクスポートした秘密キー (.pfx ファイル) を指定します。
- クライアント証明書からエクスポートされたルート証明書を指定します。
- 新しい証明書テンプレートの作成時に使用したものと同じサービス名 FQDN を指定します。
- [ クライアント証明書の失効の確認 ] の横にあるボックスをオフにします (CRL 情報を一般に公開する場合を除く)。
- 完了したら、[ 次へ ] をクリックします。
- 設定を確認し、[ 次へ] をクリックします。 Configuration Manager によってサービスのセットアップが開始されます。 ウィザードが完了したら、[閉じる] をクリックできますが、Azure でサービスが完全にプロビジョニングされるまでには 5 分から 15 分かかります。 新しくセットアップしたクラウド プロキシ サービスの [状態 ] 列を確認して、サービスの準備ができているかどうかを判断します。
クライアント証明書の認証用にプライマリ サイトを構成する
- Configuration Manager コンソールで、[管理] > [サイト構成] > [サイト] に移動します。
- クラウド プロキシ サービスで管理するクライアントのプライマリ サイトを選択し、[ プロパティ] をクリックします。
- プライマリ サイト プロパティ シートの [クライアント コンピューター通信] タブで、[使用可能な場合は PKI クライアント証明書 (クライアント認証) を使用する] の横にあるボックスをチェックします。
- [クライアント] の横にあるボックスをオフにして、サイト システムの証明書失効リスト (CRL) をチェックしてください。 このオプションは、CRL を一般公開する場合にのみ必要です。
- [OK] をクリックします。
クラウド プロキシ コネクタ ポイントを追加する
クラウド プロキシ コネクタ ポイントは、クラウド プロキシ サービスと通信するための新しいサイト システムの役割です。 クラウド プロキシ コネクタ ポイントを追加するには、「Configuration Manager のサイト システムの役割を追加する」の手順に従います。
クラウド プロキシ トラフィックのロールを構成する
クラウド プロキシ サービスをセットアップする最後の手順では、クラウド プロキシ トラフィックを受け入れるようにサイト システムの役割を構成します。 Tech Preview 1606 では、クラウド プロキシ サービスで管理ポイント、配布ポイント、ソフトウェア更新ポイントの役割のみがサポートされます。 各ロールを個別に構成する必要があります。
- Configuration Manager コンソールで、[サーバーとサイト システムの役割>管理>サイト構成] に移動します。
- クラウド プロキシ トラフィック用に構成するロールのサイト システム サーバーをクリックします。
- ロールをクリックし、[ プロパティ] をクリックします。
- ロールのプロパティ シートの [クライアント接続] で [HTTPS] を選択し、[Configuration Manager クラウド プロキシ トラフィックを許可する] の横にあるボックスをチェックして、[OK] をクリックします。 残りのロールについて、これらの手順を繰り返します。
インターネット上のクライアントの状態を確認する
サービスとロールが完全に構成されると、内部クライアントは、次の場所要求でクラウド プロキシ サービスの場所を取得します。 更新された位置情報を持つクライアントは、インターネット上の Configuration Manager と通信できます。 位置情報要求のポーリング サイクルは 24 時間ごとです。 通常スケジュールされた位置情報要求を待機しない場合は、コンピューター上の SMS エージェント ホスト サービス (ccmexec.exe) を再起動することで、強制的に要求できます。
クライアントがクラウド プロキシ サービスの新しい位置情報を取得したら、内部プライベート ネットワーク上に存在しないが、インターネットにアクセスできるクライアントの状態を確認してみてください。 クラウド プロキシ サービスのトラフィックを監視するには、[管理] > Cloud Services > [クラウド プロキシ サービス] に移動し、リスト ウィンドウでサービスを選択し、詳細ウィンドウでトラフィック情報を表示します。
Configuration Manager で Microsoft 365 クライアント エージェントを管理する
Technical Preview 1606 以降では、グループ ポリシーの代わりに Configuration Manager クライアント エージェント設定を使用して、Microsoft 365 クライアントが Configuration Manager から更新プログラムを受け取れるようにすることができます。 この設定を構成して Microsoft 365 更新プログラムを展開すると、Configuration Manager クライアント エージェントは Microsoft 365 クライアント エージェントと通信して、配布ポイントから Microsoft 365 更新プログラムをダウンロードしてインストールします。 Configuration Manager は、クライアント エージェント設定のインベントリも取得します。
詳細については、「Microsoft 365 Apps for enterprise 更新プログラムの管理」を参照してください。
Office 365 クライアント エージェントを管理するための Configuration Manager クライアント設定を設定します
- Configuration Manager コンソールで、[管理]>[概要]> [クライアント設定] をクリックします。
- 適切なデバイス設定を開いて、クライアント エージェントを有効にします。 既定のクライアント設定とカスタム クライアント設定の詳細については、「 クライアント設定を構成する方法」を参照してください。
- [Software Updates] をクリックし、[Office 365 クライアント エージェントの管理を有効にする] 設定で [はい] を選択します。
OSDPreserveDriveLetter タスク シーケンス変数は非推奨になりました
OSDPreserveDriveLetter タスク シーケンス変数は、オペレーティング システム イメージ WIM ファイルでキャプチャされたドライブ文字を対象のコンピューターに適用するときに、タスク シーケンスでそのドライブ文字を使用するかどうかを決定します。
- このタスク シーケンス変数は、Technical Preview 1606 で推奨されなくなりました。
オペレーティング システムの展開時に、既定で、Windows セットアップによって使用する最適なドライブ文字 (通常は C:) が決定されるようになりました。 使用する別のドライブを指定する場合は、[オペレーティング システムの適用] タスク シーケンスの手順で場所を変更できます。 この オペレーティング システムの設定を適用する場所を選択し 、[ 特定の論理ドライブ文字] を選択して、使用するドライブを選択します。 対象のコンピューターで選択した文字が割り当てられたドライブが必要です。
Changes for the Updates and Servicing Node
Technical Preview 1606 では、Configuration Manager コンソールの Updates と Servicing に適用されるいくつかの変更が導入されました。
ノード名の変更:
[監視] ワークスペースで、[サイトのサービスの状態] ノードの名前が [Updates とサービスの状態] に変更されました。
その他のインストール ステータス:
サイトの更新プログラムのインストール状態を表示すると、コンソールに次の操作の詳細が個別に表示されるようになりました。
- ダウンロード (これは、サービス接続ポイント サイト システムの役割がインストールされている最上位層のサイトにのみ適用されます)
- レプリケーション
- 前提条件のチェック
- インストール
さらに、詳細を表示できるログ ファイルなど、各手順のより詳細な情報が追加されました。
前提条件のエラーを再試行する新しいオプション:
[管理] ワークスペースと [監視] ワークスペースの両方の [Updates とサービス] ノードには、[前提条件の警告を無視する] という名前の新しいボタンがリボンにあります。
(Updates ウィザード内から) [前提条件の警告を無視する] オプションを使用せずに更新プログラムをインストールし、更新プログラムのインストールが [前提条件の状態] 警告で停止する場合は、リボンから [前提条件の警告を無視する] を選択して、前提条件の警告を無視した更新プログラム インストールの自動継続をトリガーできます。
更新プログラムのよりクリーンな表示:
[Updates and Servicing] ノードを表示すると、最近インストールされた更新プログラムと、インストールに使用できる新しい更新プログラムのみが表示されるようになりました。 以前にインストールした更新プログラムを表示するには、リボンに表示される新しい [履歴 ] ボタンをクリックします。
実稼働前の名前変更されたオプション:
[Updates and Servicing] ノードで、[クライアント オプション] という名前だったボタンの名前が [実稼働前クライアントの昇格] に変更されました。