Intune からエンドポイント セキュリティ ポリシーをサポートするようにテナントのアタッチを構成する

Configuration Manager テナントのアタッチ シナリオを使用する場合は、エンドポイント セキュリティ ポリシーを Intune から Configuration Manager で管理するデバイスに展開できます。 このシナリオを使用するには、最初に Configuration Manager のテナント アタッチを構成し、Intune で使用するために Configuration Manager からのデバイスのコレクションを有効にする必要があります。 コレクションの使用を有効にしたら、Microsoft Intune 管理センターを使用してポリシーを作成および展開します。

テナントのアタッチに Intune ポリシーを使用するための要件

Configuration Manager デバイスでの Intune エンドポイント セキュリティ ポリシーの使用をサポートするには、Configuration Manager 環境に次の構成が必要です。 構成ガイダンス については、次の記事を参照してください。

テナントのアタッチに関する一般的な要件

• テナント接続の構成 - テナント接続のシナリオでは、Configuration Manager から Microsoft Intune 管理センターにデバイスを同期します。 その後、管理センターを使用して、サポートされているポリシーをそれらのコレクションに展開できます。

  テナントのアタッチは、多くの場合、共同管理で構成されますが、テナントのアタッチを独自に構成することもできます。

• Configuration Manager デバイスとコレクションの同期 – テナントのアタッチを構成した後、Microsoft Intune 管理センターと同期する Configuration Manager デバイスを選択できます。 後で戻って、同期するデバイスを変更することもできます。

  同期するデバイスを選択した後、Intune のエンドポイント セキュリティ ポリシーで使用するコレクションを有効にする必要があります。 Configuration Manager デバイスでサポートされているポリシーは、有効にしたコレクションにのみ割り当てることができます。

• Microsoft Entra ID へのアクセス許可 - テナントのアタッチのセットアップを完了するには、アカウントに Azure サブスクリプションに対するグローバル管理者のアクセス許可が必要です。

  重要

  Microsoft では、アクセス許可が可能な限りで少ないロールを使用することをお勧めします。 アクセス許可の低いアカウントを使用すると、組織のセキュリティが向上します。 グローバル管理者は高い特権を持つロールであり、既存のロールを使用できない場合の緊急時に限定する必要があります。

• Microsoft Defender for Endpoint のテナント – Microsoft Defender for Endpoint テナントは、Microsoft Intune テナント (Microsoft Intune プラン 1 サブスクリプション) と統合する必要があります。 Intune ドキュメントの「Microsoft Defender for Endpoint の使用」を参照してください。

Intune エンドポイント セキュリティ ポリシーの Configuration Manager バージョン要件

ウイルス対策

テナント接続を使用するときに、Configuration Manager デバイスのウイルス対策設定を管理します。

ポリシー パス:

• Endpoint security > Antivirus > Windows (ConfigMgr)

プロファイル:

• Microsoft Defender ウイルス対策 (プレビュー)
• Windows セキュリティ エクスペリエンス (プレビュー)

必要な Configuration Manager のバージョン:

• Configuration Manager Current Branch バージョン 2006 以降

サポートされている Configuration Manager デバイス プラットフォーム:

• Windows 8.1 (x86、x64)、Configuration Manager バージョン 2010 以降
• Windows
• Windows Server 2012 R2 (x64)、Configuration Manager バージョン 2010 以降
• Windows Server 2016 以降 (x64)

エンドポイントの検出および応答

テナントのアタッチを使用するときに Configuration Manager デバイスのエンドポイント検出と応答ポリシー設定を管理するには。

プラットフォーム: Windows (ConfigMgr)

プロファイル: エンドポイントの検出と応答 (ConfigMgr)

必要な Configuration Manager のバージョン:

• 本体内更新プログラム Configuration Manager 2002 修正プログラム (KB4563473 年版) を適用した Current Branch バージョン 2002 以降Configuration Manager
• Configuration Manager Technical Preview 2003 以降

サポートされている Configuration Manager デバイス プラットフォーム:

• Windows 8.1 (x86、x64)、Configuration Manager バージョン 2010 以降
• Windows (x86、x64、ARM64)
• Windows Server 2012 R2 (x64)、Configuration Manager バージョン 2010 以降
• Windows Server 2016 以降 (x64)
• Windows (x86、x64、ARM64)

ファイアウォール

Configuration Manager によって管理されるデバイスのサポートはプレビュー段階です。

テナントのアタッチを使用するときに、Configuration Manager デバイスのファイアウォール ポリシー設定を管理します。

ポリシー パス:

• エンドポイント セキュリティ > ファイアウォール

プロファイル:

• Windows ファイアウォール (ConfigMgr)

必要な Configuration Manager のバージョン:

• Configuration Manager Current Branch バージョン 2006 以降 (本体内更新プログラム Configuration Manager 2006 修正プログラム (KB4578605)

サポートされている Configuration Manager デバイス プラットフォーム:

• Windows (x86、x64、ARM64)

  重要

  2025 年 10 月 14 日に、Windows 10 はサポートが終了し、品質と機能の更新プログラムを受け取ることはありません。 Windows 10 は、Intune で許可されているバージョンです。 このバージョンを実行しているデバイスは引き続き Intune に登録して対象機能を使用できますが、機能は保証されず、異なる場合があります。

Intune ポリシーをサポートするように Configuration Manager を設定する

Intune ポリシーを Configuration Manager デバイスに展開する前に、次のセクションで詳しく説明する構成を完了します。 これらの構成により、Microsoft Defender for Endpoint を使用して Configuration Manager デバイスがオンボードされ、Intune ポリシーと連携できるようになります。

以下のタスクは、Configuration Manager コンソールで実行します。 Configuration Manager に慣れていない場合は、Configuration Manager 管理者と協力してこれらのタスクを完了してください。

1. Configuration Manager 環境を確認する
2. テナントのアタッチの構成とデバイスの同期
3. 同期するデバイスを選択する
4. エンドポイント セキュリティ ポリシーのコレクションを有効にする

タスク 1: Configuration Manager 環境を確認する

Configuration Manager デバイスの Intune ポリシーには、ポリシーが最初にリリースされた時期に応じて、異なる最小バージョンの Configuration Manager が必要です。 この記事の前述にある Intune エンドポイント セキュリティ ポリシーの Configuration Manager バージョン要件を確認して、使用する予定のポリシーが環境でサポートされていることを確認してください。 より新しいバージョンの Configuration Manager では、以前のバージョンを必要とするポリシーがサポートされています。

Configuration Manager の修正プログラムが必要な場合は、Configuration Manager のコンソール内更新プログラムとして修正プログラムを見つけることができます。 詳細については、Configuration Manager ドキュメントの「コンソール内更新プログラムのインストール」を参照してください。

必要な更新プログラムをインストールしたら、ここに戻って、Microsoft Intune 管理センターからエンドポイント セキュリティ ポリシーをサポートするように環境を引き続き構成してください。

タスク 2: テナントのアタッチの構成とデバイスの同期

テナントのアタッチでは、Configuration Manager 展開からのデバイスのコレクションを指定して、Microsoft Intune 管理センターと同期します。 コレクションが同期されたら、管理センターを使用して、それらのデバイスに関する情報を表示し、Intune からそれらのデバイスにエンドポイント セキュリティ ポリシーを展開します。

テナントのアタッチ シナリオの詳細については、Configuration Manager コンテンツの「テナントのアタッチを有効にする」を参照してください。

共同管理が有効になっていない場合にテナントのアタッチを有効にする

1. Configuration Manager管理コンソールで、[管理]>概要>Cloud Services>共同管理 に移動します。

2. リボンで、[共同管理の構成] を選択してウィザードを開きます。

3. [テナントのオンボード] ページで、お客様の環境のAzurePublicCloud を選択します。 Azure Government クラウドはサポートされていません。

   1. [サインイン] を選びます。 グローバル管理者 アカウントを使用してサインインします。

   2. [テナント オンボード] ページで [Microsoft Intune 管理センターにアップロード] オプションが選択されていることを確認します。

   3. [共同管理のためにクライアントの自動登録を有効にする] のチェックを外します。

      このオプションを選択すると、共同管理のセットアップを完了するための追加ページがウィザードに表示されます。 詳細については、「Configuration Manager コンテンツで共同管理を有効にする」を参照してください。

      

4. [次へ]、[はい] の順に選択して、[Microsoft Entra アプリケーションの作成] 通知を承諾します。 このアクションにより、サービス プリンシパルがプロビジョニングされ、Microsoft Entra アプリケーション登録が作成され、コレクションと Microsoft Intune 管理センターの同期が容易になります。

5. [アップロードの構成] ページで、同期するデバイスのコレクションを構成します。構成をデバイス コレクションに制限するか、Microsoft Endpoint Configuration Manager によって管理される [すべてのデバイス] に推奨されるデバイス アップロード設定を使用できます。

   ヒント

   今すぐコレクションの選択をスキップし、後で次のタスクのタスク 3 の情報を使用して、Microsoft Intune 管理センターと同期するデバイスのコレクションを構成できます。

6. [ 概要] を選択して選択内容を確認し、[ 次へ] を選択します。

7. 更新が完了したら、[閉じる] を選択します。

テナントのアタッチが構成され、選択したデバイスが Microsoft Intune 管理センターに同期されます。

共同管理を既に使用している場合にテナントのアタッチを有効にする

1. Configuration Manager管理コンソールで、[管理]>概要>Cloud Services>共同管理 に移動します。

2. 共同管理の設定を右クリックし、[ プロパティ] を選択します。

3. [アップロードの構成] タブで、[Microsoft Intune 管理センターにアップロード] を選択してから、[適用] を選択します。

   デバイスのアップロードの既定の設定は Microsoft Endpoint Configuration Manager によって管理されているすべてのデバイスです。 構成を 1 つまたは少数のデバイス コレクションに制限することもできます。

   

4. メッセージが表示されたら、ご利用の "全体管理者" アカウントを使用してサインインします。

5. [はい] を選択して、[Microsoft Entra アプリケーションの作成] 通知を承諾します。 このアクションにより、サービス プリンシパルがプロビジョニングされ、同期が容易になるように Microsoft Entra アプリケーション登録が作成されます。

6. 変更が完了したら、[ OK ] を選択して共同管理プロパティを終了します。 それ以外の場合は、タスク 3 に移動して、Microsoft Intune 管理センターへのデバイスのアップロードを選択的に有効にします。

   テナントのアタッチが構成され、選択したデバイスが Microsoft Intune 管理センターに同期されます。

タスク 3: 同期するデバイスの選択

テナント アタッチが構成されている場合、同期するデバイスを選択できます。デバイスをまだ同期していないか、同期するデバイスを再構成する必要がある場合は、Configuration Manager コンソールで共同管理のプロパティを編集して、そうすることができます。

アップロードするデバイスの選択

1. Configuration Manager管理コンソールで、[管理]>概要>Cloud Services>共同管理 に移動します。

2. 共同管理の設定を右クリックし、[ プロパティ] を選択します。

3. [アップロードの構成] タブで、[Microsoft Intune 管理センターにアップロード] を選択してから、[適用] を選択します。

   デバイスのアップロードの既定の設定は Microsoft Endpoint Configuration Manager によって管理されているすべてのデバイスです。 構成を 1 つまたは少数のデバイス コレクションに制限することもできます。

タスク4: エンドポイント・セキュリティ・ポリシーのコレクションを有効にする

Microsoft Intune 管理センターと同期するようにデバイスを構成した後、エンドポイント セキュリティ ポリシーと連携するようにコレクションを有効にする必要があります。 デバイスのコレクションが Intune のエンドポイント セキュリティ ポリシーと連携できるようにすると、構成済みのコレクションをエンドポイント セキュリティ ポリシーの対象として使用できるようになります。

エンドポイント セキュリティ ポリシーで使用するコレクションを有効にする

1. トップレベル サイトに接続されている Configuration Manager コンソールから、Microsoft Intune 管理センターに同期するデバイス コレクションを右クリックし、[プロパティ] を選択します。

2. [クラウド同期] タブで、[このコレクションを Microsoft Intune 管理センターからエンドポイント セキュリティ ポリシーを割り当てるために使用できるようにする] オプションを有効にします。

   • Configuration Manager 階層がテナントに接続されていない場合は、このオプションを選択できます。
   • このオプションで使用できるコレクションは、 テナント アタッチ アップロード用に選択したコレクション スコープによって制限されます。

   

3. [追加] を選択し、メンバーシップの結果の収集と同期する Microsoft Entra グループを選択します。

4. [ OK ] を選択して構成を保存します。

   このコレクションのデバイスは、Microsoft Defender for Endpoint を使用してオンボードできるようになり、Intune エンドポイント セキュリティ ポリシーの使用をサポートできるようになりました。

コネクタの状態を表示する

Configuration Manager コネクタは、Configuration Manager の実装に関する詳細を提供します。 Microsoft Intune 管理センターから、前回成功した同期時刻や接続状態など、Configuration Manager コネクタに関する詳細を確認できます。

Configuration Manager コネクタの状態を表示するには、次の操作を行います。

1. Microsoft Intune 管理センター にサインインします。

2. [テナント管理]>[コネクタとトークン]>[Microsoft Endpoint Configuration Manager] を選択します。 バージョン 2006 以降を実行する Configuration Manager 階層を選択して、その追加情報を表示します。

   

   注:

   階層が Configuration Manager バージョン 2006 以前を実行している場合、一部の情報は使用できません。

Microsoft Intune から Configuration Manager への接続が正常であることを確認したら、テナントが Configuration Manager に正常にアタッチされています。

オンプレミスのデバイスの詳細を表示する

特定のデバイスのコレクション、境界グループ メンバーシップ、クライアント情報など、Configuration Manager クライアントの詳細は、Microsoft Intune 管理センターで表示できます。

デバイスに基づいてクライアントの詳細を表示する

特定のデバイスのクライアントの詳細を表示するには、次の手順に従います。

1. ブラウザーで、Microsoft Intune 管理センターに移動します。

2. [デバイス]>[すべてのデバイス] を選択します。

   テナント アタッチを使用してアップロードされたデバイスでは、[管理者] 列に ConfigMgr が表示されます。

   

3. テナントアタッチを介して構成マネージャーから同期されるデバイスを選択します。

4. 詳細を表示するには、[ クライアントの詳細] を選択します。

   1 時間に 1 回、次のフィールドが更新されます。

   • 最後のポリシー要求
   • 最終アクティブ時間
   • 管理ポイント

   

5. [ コレクション] を選択して、クライアントの コレクションを一覧表示します。

   コレクションは、管理しやすい単位にリソースを整理するのに役立ちます。

   

ユーザーに基づいてデバイスの一覧を表示する

ユーザーに属するデバイスの一覧を表示するには、次の手順に従います。

1. ブラウザーで、Microsoft Intune 管理センターに移動します。

2. [トラブルシューティング + サポート]>[トラブルシューティング]>[ユーザーの選択] を選択します。

   既に表示されているユーザーがいる場合は、[ユーザーを変更]を選択して別のユーザーを選択します。

3. 一覧表示されているユーザーを検索または選択し、[ 選択] をクリックします。

   [デバイス]の表には、ユーザーに関連付けられている構成マネージャーデバイスが一覧表示されます。

クライアントの詳細とテナントのアタッチの表示の詳細については、「テナントアタッチ: 管理センターでの ConfigMgr クライアントの詳細」を参照してください。

オンプレミスのデバイス データを表示する

Microsoft Intune 管理センターからリソース エクスプローラーを使用して、アップロードされた Configuration Manager デバイスのハードウェア インベントリを表示できます。

リソース エクスプローラーからデバイス データを表示するには:

1. ブラウザーで、Microsoft Intune 管理センターに移動します。

2. [デバイス]>[すべてのデバイス] を選択します。

3. テナントアタッチを介して構成マネージャーから同期されるデバイスを選択します。

   テナント アタッチを介して同期されたデバイスでは、[管理者] 列に ConfigMgr が表示されます。 デバイスは、Configuration Manager と Intune の両方が適用される場合は共同管理を表示し、Intune 管理のみが適用される場合は Intune を表示することもできます。

4. [リソース エクスプローラー] を選択してハードウェア インベントリを表示します。

5. クライアントから情報を取得するクラス (デバイス値) を検索または選択します。

   

リソース エクスプローラーでは、Microsoft Intune 管理センターのデバイス インベントリの履歴ビューを表示できます。 トラブルシューティングを行うときに、過去のインベントリ データがあると、デバイスの変更に関する貴重な情報を得ることができます。

1. Microsoft Intune 管理センターで、[リソース エクスプローラー] をまだ選択していない場合は、選択します。

2. クラス (デバイス値) を選択します。

3. 履歴インベントリ データを取得するには、日付時刻ピッカーにカスタム日付を入力します。

   

4. リソース エクスプローラーを閉じ、リソース エクスプローラーの右上にある X アイコンを選択して、デバイス情報に戻ります。

   

テナントアタッチ デバイスのデバイス データの表示の詳細については「テナントアタッチ: 管理センターのリソース エクスプローラー」を参照してください。

オンプレミスのアプリ管理を表示する

Microsoft Intune 管理センターから、テナントに接続されているデバイスのアプリケーションのインストールをリアルタイムで開始できます。 アプリケーションは、デバイスまたはユーザーに展開できます。 また、アプリケーションを修復、再評価、再インストール、またはアンインストールすることもできます。

オンプレミス デバイスにアプリケーションをインストールするには、次の手順に従います。

1. ブラウザーで、Microsoft Intune 管理センターに移動します。

2. [デバイス]>[すべてのデバイス] を選択します。

3. テナントアタッチを介して構成マネージャーから同期されるデバイスを選択します。

   前に説明したように、テナント アタッチを介して同期するデバイスでは、[管理元] 列に ConfigMgr が表示されます。 Configuration Manager と Intune の両方が適用される場合はデバイスに共同管理が表示され、Intune 管理のみが適用される場合は Intune が表示されます。

4. [ アプリケーション] を選択して、適用可能なアプリのリストを表示します。

5. インストールされていないアプリケーションを選択し、[ インストール] を選択します。

   

アプリケーションとテナントアタッチの詳細については、「テナントアタッチ: 管理センターからアプリケーションをインストールする」を参照してください。

オンプレミス スクリプトの表示

クラウドから PowerShell スクリプトを個々の構成マネージャーマネージド デバイスに対してリアルタイムで実行できます。 また、ヘルプデスクなどの他のペルソナに PowerShell スクリプトの実行を許可することもできます。 これにより、この新しい環境で使用するために Configuration Manager 管理者によって定義され承認された PowerShell スクリプトのすべての利点が得られます。

1. ブラウザーで、Microsoft Intune 管理センターに移動します。

2. [デバイス]>[すべてのデバイス] を選択します。

3. テナントアタッチを介して構成マネージャーから同期されるデバイスを選択します。

   前に説明したように、テナント アタッチを介して同期するデバイスでは、[管理元] 列に ConfigMgr が表示されます。 Configuration Manager と Intune の両方が適用される場合はデバイスに共同管理が表示され、Intune 管理のみが適用される場合は Intune が表示されます。

4. [ スクリプト] を選択して、使用可能なスクリプトの一覧を表示します。

   このデバイスを直接ターゲットにする最近実行されたスクリプトが一覧表示されます。 一覧には、管理センター、SDK、または構成マネージャー コンソールから実行されるスクリプトが含まれています。 デバイスを含むコレクションに対して Configuration Manager コンソールから開始されたスクリプトは表示されませんが、スクリプトが単一デバイス専用に開始されていない限り。

   

テナントに接続されたデバイスでスクリプトを実行する方法の詳細については「テナントアタッチ: 管理センターからスクリプトを実行する」を参照してください。

オンプレミス デバイス イベント タイムラインを表示する

Configuration Manager がテナントのアタッチを介してデバイスを Microsoft Intune に同期する場合、Microsoft Intune 管理センター内でそれらのデバイスのイベントのタイムラインを確認できます。 このタイムラインには、問題のトラブルシューティングに役立つデバイス上の過去のアクティビティが表示されます。

1 日 1 回、Configuration Manager はオンプレミスのデバイス イベントを Microsoft Intune 管理センターに送信します。 クライアントが エンドポイント分析データ収集を有効にする ポリシーを受信した後に収集されたイベントのみが管理センターに表示されます。 構成マネージャーからアプリケーションまたは更新プログラムをインストールするか、デバイスを再起動することで、テスト イベントを簡単に生成できます。 イベントは 30 日間保持されます。

デバイス イベントのタイムラインを表示するには:

1. ブラウザーで、Microsoft Intune 管理センターに移動します。

2. [デバイス]>[すべてのデバイス] を選択します。

3. テナントアタッチを介して構成マネージャーから同期されるデバイスを選択します。

   前に説明したように、テナント アタッチを介して同期するデバイスでは、[管理元] 列に ConfigMgr が表示されます。 Configuration Manager と Intune の両方が適用される場合はデバイスに共同管理が表示され、Intune 管理のみが適用される場合は Intune が表示されます。

4. [タイムライン] を選択します。 既定では、過去 24 時間のイベントが表示されます。

   • [同期] を選択して、クライアントで生成された最近のデータをフェッチします。 既定では、デバイスは 1 日に 1 回イベントを管理センターに送信します。
   • [フィルター] ボタンを使用して、 [時間範囲]、 [イベント レベル]、および [プロバイダー名]を変更します。
   • イベントを選択すると、そのイベントの詳細メッセージを表示できます。
   • [更新]を選択してページを再読み込みし、新しく収集されたイベントを表示します。

   

テナントに接続されたデバイスのデバイス イベントを表示する方法の詳細については、「テナントアタッチ: 管理センターのデバイス タイムライン」を参照してください。

次の手順

• ウイルス対策、ファイアウォール、エンドポイントの検出と応答のエンドポイント セキュリティ ポリシーを構成します。
• Microsoft Defender for Endpoint の詳細については、こちらをご覧ください。