ガイド付きシナリオ - Windows 365 Boot を物理デバイスに展開する

このガイド付きシナリオに従うことで、共有 Windows 11 Pro または Enterprise 物理デバイスに Windows 365 Boot を展開できます。 Windows 365 Boot を使用すると、物理デバイス ユーザーは物理デバイスにサインインせずに、クラウド PC に直接サインインできます。

このガイドでは、以下を定義する手順について説明します。

1. Autopilot デバイス名テンプレートとリソース名プレフィックス。
2. Windows 更新プログラムの設定。
3. VPN プロファイル、Wifi プロファイル、言語設定。
4. Windows 365 ブート用に設定されている物理デバイスを識別するためのグループ割り当て。

一般的なガイド付きシナリオの詳細については、「 Intune ガイド付きシナリオの概要」を参照してください。

前提条件

• 各物理デバイスとクラウド PC は、Windows 11 Enterprise または Professional バージョン 22621.3374 以降を実行している必要があります。

• Windows 365 ブート プロビジョニング ポリシーを作成するには、Windows 365 Enterprise ライセンスが必要です。

• Intune サービス管理者ロールが必要です。

物理デバイスをグループに追加する前に、 Windows 365 ブート要件を満たしていることを確認する必要があります。

グループ内にデバイスが存在する前に、ガイド付きシナリオを完了させることができます。 デバイスがグループに追加され、インターネットにアクセスできるようになると、ガイド付きシナリオで定義されている Windows 365 ブート設定で自動的に更新されます。

ステップ 1 - 概要

1. Intune サービス管理者ロールを持つユーザーとして Microsoft Intune 管理センター にサインインします。
2. [ デバイス>Cloud PC の概要>Windows 365 ブート (Windows 365 ガイドの下) を選択します。
3. [ 概要 ] ページで、[ 次へ: 基本] を選択します。

ステップ 2 - 基本

登録時にデバイスにどのように名前を付けるかを指定し、作成されるすべてのリソースのプレフィックスを選択します。

1. Autopilot デバイス名テンプレート: このガイド付きシナリオでは、Windows Autopilot にデバイスを登録します。 登録時に、必要に応じて、すべてのデバイスに適用される一意のパターンを使用してデバイスの名前を指定できます。 次のようなオプションがあります。

   • デバイス名テンプレートを適用する: このボックスをオンにしない場合、デバイスに名前を付けるときにテンプレートまたはパターンは作成されません。 デバイスは、DESKTOP-などの OEM 名の後にランダムな文字を取得します。 ボックスを選択して、デバイスに名前を付ける一意のパターンを作成します。 たとえば、Contoso-%RAND:7% と入力して、すべてのデバイスに Contoso という名前を付け、その後に 7 つのランダム文字を付けます。

     名前は次に従う必要があります。

     • 15 文字以下にする必要があります。
     • 文字 (a-z、A-Z)、数字 (0-9)、ハイフンを含めることができます。
     • 数字のみにすることはできず、空白を含めることはできません。
     • %SERIAL% マクロを使用して、ハードウェア固有のシリアル番号を追加できます。
     • %RAND:x% マクロを使用して、ランダムな文字列を追加できます。ここで、x は追加する文字数と等しくなります。

   • リソース名のプレフィックス: このガイド付きシナリオを展開すると、いくつかのリソースが自動的に作成されます。 このデプロイで使用される項目を区別するには、プレフィックスを追加します。

2. リソース プレフィックス名を入力する: 作成した項目の先頭に配置するテキストを入力します。 たとえば、「Windows 365 Boot」と入力します。 作成されたすべてのリソースの名前は、 Windows 365 Boot Azure Virtual Desktop (HostApp) のようなものです。

3. ブート デバイス モード: 次のいずれかのオプションを選択します。

   • 共有 PC モード: 複数のユーザーが共有する物理デバイスの場合
   • 専用モード: 特定のユーザーが使用する物理デバイスの場合。

4. [ 次へ: エンドポイントの更新] を選択します。

手順 3 - エンドポイントの更新

[ エンドポイントの更新] ページで、物理デバイスの Windows 更新プログラムに使用するオプションを設定します。 選択内容が組織のセキュリティ要件に準拠していることを確認します。 [ 次へ: 設定] を選択します。

Windows 365 ブートでは、Windows 365 ブート物理デバイスへのパッチ管理を自動化するための Windows Autopatch がサポートされています。 この自動化を使用する場合は、このガイド付きシナリオの外部で構成する必要があります。

手順 4 - 設定

1. (省略可能)[ 設定] ページで、Windows 365 ブート物理デバイスに使用する VPN プロファイル と Wifi プロファイル を選択します。 既存の WiFi または VPN プロファイルを選択すると、プロファイルが既 に [すべてのユーザー ] または [ すべてのデバイス] に割り当てられている場合、この割り当ては削除され、このガイド付きシナリオで作成または選択された Windows 365 グループのみを対象とする新しい割り当てに置き換えられます。
2. (省略可能)オペレーティング システムの既定の言語を使用しない場合は、特定の 言語 (リージョン)>Next: Assignments を選択します。
3. (省略可能)Windows 365 ブート物理デバイスに使用する セキュリティ ベースライン プロファイル を選択します。
4. (省略可能)Windows 365 ブートの [最大接続の設定] タイムアウト の値を選択します。 オペレーティング システムは、選択したタイムアウト値に達するまで接続を待機します。 詳細については、「 SetMaxConnectionTimeout ポリシー構成サービス プロバイダー (CSP)」を参照してください。
5. (省略可能)サインイン画面の上部に表示されるブランドをカスタマイズする場合は、次の情報のいずれかまたはすべてを指定します。
   • 会社名
   • 会社のロゴ URL
   • ロック画面イメージの URL

手順 5 - 割り当て

このガイド付きシナリオを受け取るグループと、作成するすべてのリソースを選択します。 既存のグループを割り当てるか、新しいグループを作成して割り当てることができます。

• 新しいグループの作成: 新しいグループを作成し、このグループにガイド付きシナリオのポリシーを展開します。 デバイスがこのグループに追加されると、このガイド付きシナリオからリソースを受け取ります。

  • グループ名: グループ名を入力します。 たとえば、「Windows 365 boot physical devices」と入力します。

• 既存のグループを選択します: 既存のグループを選択します。 ガイド付きシナリオ リソースがこのグループにデプロイされます。

物理デバイス アクセス ポリシーを割り当てるユーザー グループを選択することもできます。 このポリシーを使用すると、Ctrl キーを押しながら ALT-DEL 画面またはエラー画面を使用して、物理デバイス上のローカル デスクトップにアクセスできます。 Ctrl-ALT-DEL 画面アクセス、エラー画面アクセス、なし、またはその両方を任意のユーザー グループに適用できます。 このポリシーを既存のグループに割り当てるか、ポリシーの新しいグループを作成できます。

物理デバイス アクセス機能の詳細については、「物理デバイス へのアクセスを有効または制限する」を参照してください。

グループの割り当てを完了したら、[ 次へ: 確認と作成] を選択します。

グループ内にデバイスが存在する前に、ガイド付きシナリオを完了させることができます。 デバイスがグループに追加され、インターネットにアクセスできる場合、このガイド付きシナリオでポリシーの受信が自動的に開始されます。

事前登録されている Windows Autopilot デバイスをグループに追加することもできます。 ポリシーを登録または適用する前に、グループに追加します。 Windows Autopilot を使用して新しいデバイスを設定する手順については、「 Windows 365 ブート物理デバイスの要件」を参照してください。

手順 6 - 確認と作成

構成した設定と値の概要が表示されます。 他のタブに戻り、追加した値を変更することができます。

設定に問題がなければ、[ 作成] を選択します。

手順 7 (省略可能) - 自己展開モード

自己展開モードは、ユーザー操作なしでデバイスを展開できるようにする Windows Autopilot の構成です。 共有デバイスやキオスク スタイルのセットアップなどのシナリオに最適です。

ガイド付きシナリオを既に完了している場合は、Windows 365 ブート デバイスをプロビジョニングするために ユーザー駆動 Autopilot プロファイルが作成されます。  次の手順に従って 、自己展開モードに切り替えます。

1. 新しい Autopilot デプロイ プロファイルを作成します。

   1. Microsoft Intune 管理センターで、[ デバイス>登録>Windows Autopilot>Deployment Profiles] に移動します。

   2. [ + プロファイルの作成] を選択し、[ Windows PC] を選択します。

   3. プロファイルの名前を入力します。

   4. [ デプロイ モード] で、ドロップダウンから [ 自己展開 ] を選択します。

   5. 必要に応じてプロファイル設定の残りの部分を完了し、[ 次へ] を選択します。

   6. [ 割り当て] で、[含まれているグループ] を [グループが選択されていません] に設定したままにして、[ 次へ ] をクリックし、[ 作成] をクリックします。

2. グループの割り当てを変更する:

   1. ガイド付きシナリオを使用して以前に作成した ユーザー駆動 プロファイルに戻ります。

   2. [プロパティ] で>[割り当て] をクリックします。

   3. 現在割り当てられているグループの名前を書き留め、[ 削除 ] をクリックしてプロファイルの割り当てを解除します。  [ 確認と保存] をクリックし、[ 保存] をクリックします。

   4. 先ほど作成した新しい 自己展開プロファイルを 開きます。

   5. [プロパティ] で>[割り当て] で [編集] をクリックし、同じグループを追加して新しいプロファイルを割り当てます。

Intune ガイド付きシナリオを使用せずに Windows 365 ブートを手動で設定する

Windows 365 ブートのガイド付きシナリオは、Windows 365 ブート用に物理デバイスを構成するための推奨される方法です。 ガイド付きシナリオでは、必要なリソースが自動的に作成され、割り当てられます。

ただし、一部の環境では、ガイド付きシナリオが利用できないか、正常に完了しません。 このような場合は、Microsoft Intune 管理センターで同じリソースを自分で作成することで、Windows 365 Boot を手動で展開できます。 これらの手順では、必要な各リソースとその割り当て方法について説明します。

ここで説明する手動デプロイでは、ガイド付きシナリオで作成される 3 つのコア リソースが作成されます。

1. Windows アプリを物理デバイスにインストールする Microsoft Store アプリ。
2. 共有モードまたは専用モードで Windows 365 ブートを有効にする 、デバイスを対象とする設定カタログ プロファイル 。
3. (省略可能) Ctrl + Alt + Delete 画面、クラウド PC エラー画面、またはその両方から物理デバイスのサインイン画面に戻ることができる、 ユーザーを対象とする設定カタログ プロファイル 。

Autopilot 展開プロファイル、登録状態ページ、Windows Update リング、Wi-Fi または VPN プロファイル、言語パック、セキュリティ ベースラインなどの項目については、ここでは説明しません。 他の Intune で管理されているデバイスの場合と同じように、組織の標準に合わせてこれらのリソースを構成します。 詳細については、「 Windows 365 ブート物理デバイスの要件」を参照してください。

手動セットアップの前提条件

開始する前に、次の点を確認してください。

• 各物理デバイスは、 Windows 365 ブート物理デバイスの要件のデバイス要件を満たしています。
• 各ユーザーには、Windows 365 ライセンスとプロビジョニングされたクラウド PC があります。
• Microsoft Intune 管理センターには 、Intune サービス管理者 ロール (または同等のカスタム ロール) があります。
• Windows 365 ブート用に構成する物理デバイスを含む Microsoft Entra グループがあります。 また、return-to-physical-device アクセスも構成している場合は、そのアクセス権を付与するユーザーを含むユーザー グループも必要です。

手順 1: Windows アプリを Microsoft Intune に追加する

Windows アプリは、物理デバイスで実行され、ユーザーをクラウド PC に接続するクライアントです。 すべての Windows 365 Boot 物理デバイスにインストールされるように、必要な Microsoft Store アプリとして展開します。

1. Microsoft Intune 管理センターにサインインします。

2. [アプリ>すべてのアプリ>作成] を選択します。

3. [アプリの種類の選択] ウィンドウで、[プラットフォーム] として [Windows] を選択し、[アプリの種類] で [Microsoft Store アプリ (新規)] を選択し、[選択] をクリックします。

4. [ アプリ情報 ] ページで、[ Microsoft Store アプリの検索] を選択します。

5. 検索ボックスに「 Windows アプリ」と入力します。 発行元 の Microsoft Corp とパッケージ識別子が 9N1F85V9T8BNされているエントリを選択し、[ 選択] を選択します。

6. 事前設定されたアプリ情報を確認します。 [ インストールの動作] で、[システム] を選択 します。

   注:

   Windows 365 ブートでは、物理デバイスにサインインするすべてのユーザーが使用できるように、Windows アプリを システム コンテキストにインストールする必要があります。

7. [次へ] を選択します。

8. [ 割り当て] ページの [ 必須] で、[ グループの追加] を選択し、Windows 365 ブート物理デバイスを含む Microsoft Entra グループを選択します。 [次へ] を選択します。

9. [ 確認と作成 ] ページで、選択内容を確認し、[ 作成] を選択します。

デバイスが次に Intune でチェックインするタイミングによっては、アプリがデバイスにインストールされるまでに最大数時間かかる場合があります。

手順 2: Windows 365 ブート用にデバイスを構成する

物理デバイスで Windows 365 ブートを有効にする、デバイスを対象とする設定カタログ プロファイルを作成します。 デバイスの使用方法に一致するモードを選択します。

• 共有モード: 複数のユーザーが同じ物理デバイスにサインインし、それぞれ独自のクラウド PC に接続します。 シフト ワーカーと共有デバイスに推奨されます。
• 専用モード: 1 人の特定のユーザーが物理デバイスにサインインします。 Windows Hello for Business をサポートします。

2 つのモードの比較については、「 Windows 365 ブートの概要」を参照してください。

デバイス構成プロファイルの作成

1. Microsoft Intune 管理センターで、デバイス>管理デバイス>Configuration>Create>New ポリシーを選択します。

2. [ プロファイルの作成] で、次の値を入力し、[ 作成] を選択します。

   設定	値
   プラットフォーム	Windows 10 以降
   プロファイルの種類	設定カタログ

3. [ 基本 ] ページで、[ 名前] と [ 説明] を入力します (例: Windows 365 Boot - Device configuration)。 [次へ] を選択します。

4. [構成設定] ページで、[Add settings]\(設定の追加\) を選択します。

5. [設定] ピッカーで、Cloud Desktopを検索します。

6. [Cloud Desktop]\( クラウド デスクトップ \) カテゴリで、[ Boot To Cloud PC Enhanced]\(クラウド PC の拡張 ブート\) 設定を選択し、必要に応じて [ 最大接続タイムアウトの設定] を選択します。 [設定] ピッカーを閉じます。

7. [ブートからクラウド PC 拡張] を次のいずれかの値に設定します。

   値	説明
   クラウド共有 PC モードへのブートを有効にする	複数のユーザーが同じ物理デバイスにサインインし、独自のクラウド PC に接続できます。
   クラウド専用モードへのブートを有効にする (クラウドのみ)	1 人のユーザーが物理デバイスにサインインします。 Windows Hello for Business をサポートします。

   注:

   [ ブートからクラウド PC への拡張 ] 設定は、Windows 365 ブートガイド付きシナリオで構成されているものと一致します。 詳細については、「 CloudDesktop CSP」を参照してください。

8. (省略可能) [最大接続タイムアウト ] を目的の値 (5 分から 20 分) に設定します。

9. [次へ] を選択します。

10. [ スコープ タグ ] ページで、組織でスコープ タグが使用されている場合はスコープ タグを追加し、[ 次へ] を選択します。

11. [ 割り当て] ページの [ 含まれているグループ] で、[ グループの追加 ] を選択し、Windows 365 ブート物理デバイスを含む Microsoft Entra グループを選択します。 [次へ] を選択します。

12. [ 確認と作成 ] ページで、選択内容を確認し、[ 作成] を選択します。

共有モードと SharedPC 構成サービス プロバイダーについて

[クラウド共有 PC モードへのブートを有効にする] を選択すると、Windows 365 Boot は物理デバイス上の SharedPC 構成サービス プロバイダーを使用して、高速なユーザー切り替え、アカウント クリーンアップ、およびアカウントレス サインインをサポートします。 Intune で個別の共有マルチユーザー デバイス プロファイルを作成する必要はありません。Windows 365 Boot Cloud Desktop CSP では、必要な SharedPC 設定が適用されます。

組織が既にこれらのデバイスで他の共有 PC 構成を管理している場合は、Windows 365 Boot を展開する前に、これらのポリシーの競合を確認してください。

手順 3 (省略可能): ユーザーが物理デバイスのサインイン画面に戻る

既定では、Windows 365 ブート物理デバイスでは、ユーザーが物理デバイスに直接サインインすることはできません。 ユーザーがクラウド PC に到達できない場合 (インターネットの停止中など)、物理デバイスを使用する方法はありません。

ユーザーに道を開くには、[ Pc の物理サインインに戻る ] ボタンを追加するユーザー対象の設定カタログ プロファイルを作成できます。 このボタンは、次の画面のいずれかまたは両方から表示できます。

• Ctrl + Alt + Delete 画面。
• Windows アプリがクラウド PC に到達できない場合、またはクラウド PC セッションから切断された場合に表示される Windows 365 エラー画面 。

これらの設定はユーザー スコープであるため、構成プロファイルは (デバイス グループではなく) ユーザー グループに割り当てる必要があります。

デバイス構成プロファイルの作成

1. Microsoft Intune 管理センターで、デバイス>管理デバイス>Configuration>Create>New ポリシーを選択します。

2. [ プロファイルの作成] で、次の値を入力し、[ 作成] を選択します。

   設定	値
   プラットフォーム	Windows 10 以降
   プロファイルの種類	設定カタログ

3. [ 基本 ] ページで、[ 名前] と [ 説明] を入力します (例: Windows 365 Boot - Return to physical device access)。 [次へ] を選択します。

4. [構成設定] ページで、[Add settings]\(設定の追加\) を選択します。

5. [設定] ピッカーで、Cloud Desktopを検索します。

6. [ Cloud Desktop ] カテゴリで、[ 物理 PC に戻る] サインイン ボタンを表示する場所に応じて、次の設定の 1 つまたは両方を選択します。

   Setting	ボタンが表示される場所
   Ctrl Alt Del (ユーザー) で物理デバイス アクセスを有効にする	物理デバイスの Ctrl + Alt + Delete 画面。
   エラー画面で物理デバイス アクセスを有効にする (ユーザー)	Windows アプリによって表示されるクラウド PC エラー画面。

7. [設定] ピッカーを閉じ、選択した各設定を [有効] に設定します。 値を 無効 に設定 (または未構成のままに) すると、その画面のボタンは非表示になります。

8. [次へ] を選択します。

9. [ スコープ タグ ] ページで、組織でスコープ タグが使用されている場合はスコープ タグを追加し、[ 次へ] を選択します。

10. [ 割り当て] ページの [ 含まれるグループ] で、[ グループの追加 ] を選択し、物理デバイスへのアクセスを許可する ユーザー を含む Microsoft Entra ユーザー グループを選択します。 [次へ] を選択します。

11. [ 確認と作成 ] ページで、選択内容を確認し、[ 作成] を選択します。

この機能の動作とサポートされる内容の詳細については、「 Windows 365 Boot 物理デバイスへのユーザー アクセスを制限する」を参照してください。

手順 4: Windows 365 ブート デバイス グループに物理デバイスを追加する

アプリと構成プロファイルを作成して割り当てた後、手順 1 と 2 で使用した Microsoft Entra デバイス グループに物理デバイスを追加します。

1. Windows Autopilot に各物理デバイスを登録します (まだ登録されていない場合)。
2. Microsoft Intune 管理センターで、[グループ>すべてのグループ] を選択し、デバイス グループを選択します。
3. [メンバー] を選択>メンバーを追加し、シリアル番号で物理デバイスを検索して選択し、[選択] を選択します。
4. 割り当てが適用されるまで数分待ちます。

デバイスが次に Intune と同期すると、Windows アプリがインストールされ、Windows 365 Boot Cloud Desktop CSP が適用されます。 デバイスが再起動され、ユーザーがサインインすると、クラウド PC に直接移動します。

(推奨)物理デバイスへのアクセスを制限する

Windows 365 ブートでは、物理デバイスのすべての側面が自動的にロックダウンされるわけではありません。 組織のセキュリティ要件を満たすために、「 Windows 365 Boot 物理デバイスへのユーザー アクセスを制限する」に記載されている追加の構成サービス プロバイダーを確認してください。 考慮すべき一般的なポリシーは次のとおりです。

• Ctrl + Alt + Delete 画面でタスク マネージャーを無効にします。
• ユーザーが物理デバイスのパスワードを変更できないようにする。
• 通知センターを非表示にし、トースト通知を無効にする。
• クラウド PC への物理デバイス ドライブのリダイレクトを防止する。

これらの設定は、手順 2 で作成したのと同じ設定カタログ プロファイル、または同じデバイス グループに割り当てた別のプロファイルに展開できます。

(省略可能)App Control for Business または AppLocker を使用してデバイスをさらにロックダウンする

手順 3 で物理デバイスへの復帰エクスペリエンスを有効にした場合、ユーザーは物理デバイス上のローカル Windows 11 デスクトップへのパスを持ちます。 Cloud Desktop CSP だけでは、そのローカル デスクトップでユーザーが起動できる内容は制限されません。 物理デバイスにフォールバックしたときに承認されていないソフトウェアを実行するユーザーのリスクを軽減するには、アプリケーション制御ポリシーをデプロイします。

• App Control for Business (旧称 Windows Defender Application Control / WDAC) は、Windows 11 で推奨される最新のアプリケーション制御テクノロジです。 Microsoft Intune から直接展開および管理できます。
• AppLocker は引き続きサポートされており、組織が既に AppLocker ルール セットを維持している場合は適切な場合があります。

Intune を使用してアプリケーション制御ポリシーを展開するには、手順 2 で使用したのと同じ Microsoft Entra デバイス グループに割り当てます。

詳細については、以下を参照してください:

• Windows 用アプリケーション コントロール – 計画と作成のガイダンスを含む、ビジネス向けアプリ コントロールの概要。
• App Control for Business ポリシーと Microsoft Intune 用マネージド インストーラーを使用して Windows デバイスの承認済みアプリを管理する – Microsoft Intune 管理センターから App Control for Business ポリシーを展開する方法。
• AppLocker の概要 – AppLocker の概要と規則リファレンス。
• Intune で AppLocker ポリシーを管理する – Intune を使用して AppLocker ルールを展開する方法。

構成を確認する

デプロイ後:

1. 物理デバイスで Windows のすぐに使えるエクスペリエンス (OOBE) を完了し、Intune に登録できるようにします。
2. デバイスを再起動します。
3. サインイン画面で、クラウド PC を持つユーザーでサインインします。 ユーザーはクラウド PC に直接移動する必要があります。
4. 手順 3 を構成した場合は、物理デバイスで Ctrl + Alt + Delete キーを押すか、クラウド PC 接続エラーをトリガーして、[ 物理 PC に戻る] サインイン ボタンが表示されることを確認します。

ユーザーがクラウド PC に到達できない場合は、「 Windows 365 Boot のトラブルシューティング 」を参照して診断手順を確認します。これには、想定されるレジストリ キーとアプリのバージョンが物理デバイスに存在することを確認する方法が含まれます。

次の手順

• Windows 365 ブート物理デバイスの要件
• Windows 365 ブート物理デバイスへのユーザー アクセスを制限する
• Windows 365 ブートのトラブルシューティング
• CloudDesktop CSP リファレンス

ガイド付きシナリオの詳細については、「 Intune ガイド付きシナリオの概要」を参照してください。