Japan Microsoft Intune & MDM for Office 365 Support Team Blog https://docs.microsoft.com/archive/blogs/jpintune/feed.xml 日本マイクロソフト Microsoft Intune &amp; MDM for Office 365 担当チームのブログです。 Tue, 19 Feb 2019 09:04:31 GMT ja hourly 1 Intune のリモートワイプとリモート パスコードリセット機能は「会社所有端末」のみを対象に発行できるようになります https://docs.microsoft.com/archive/blogs/jpintune/wipeandpasscodeforcompanydevicesonly Tue, 23 Oct 2018 13:42:37 GMT https://blogs.technet.microsoft.com/jpintune/?p=2665 ※本変更は現在取り消されており、現在個人所有端末に対してもリモートワイプとリモート パスコードリセットが可能です   こんにちは。Microsoft Intuneサポートチームです。 このブログ記事では 2018 年 10 月に導入された Intune 管理ポータルの動作仕様変更についてお知らせします。 この記事は Intune で BYOD 端末を管理する管理者の方々に影響があります。 ※ デバイスのユーザーや会社所有端末のみを管理する管理者には影響ありません。   <<仕様変更の内容>> Intune のリモートワイプとリモート パスコードリセット機能は「会社所有端末」のみを対象に発行できるようになります。 これまでは、両機能ともに「個人所有端末」に対しても Intune 管理ポータルから発行可能でした。 2018 年 10 月以降は、「会社所有端末」に対しては、リモートワイプとリモート パスコードリセットを発行するボタンが表示されますが、「個人所有端末」に対してはボタンがグレーアウトされて発行できません。   ・会社所有端末の場合のボタン表示   ・個人所有端末の場合のボタン表示   ※ iOS と Android が対象になります。なお、Android 7.0 以降のデバイスではパスコード リセット機能自体が提供されておらず利用できません。   <<BYOD 端末にリモートワイプ・リモート パスコードリセットを発行するには>> 一度デバイスを「会社所有端末」に変更すると、ボタンを押すことができるようになります。 所有権の変更は、Intune 管理ポータルの [デバイス] – [すべてのデバイス] – <対象デバイスをクリック> - [プロパティ] から実施可能です。 パスコード リセットを発行した後は、所有権をふたたび「個人」に戻すことで、以後個人端末として管理を続けることができます。]]> デバイスに適用されないiOSやAndroidポリシーのトラブルシューティング https://docs.microsoft.com/archive/blogs/jpintune/microsoft-intune-troubleshooting Fri, 28 Sep 2018 18:44:21 GMT https://blogs.technet.microsoft.com/jpintune/?p=2395 こんにちは。Microsoft Intuneサポートチームの中村です。   ユーザーが、iOSやAndroidのポリシーをデバイスに展開したのに、デバイスに適用されないという問題を抱えているのを見かけます。しかしそれは、ポリシーがOSのバージョンとデバイスの種類と互換性がないか、ポリシーがユーザーまたはデバイスに対して誤ってターゲット設定されているという単純な原因によるものかもしれません。これを解決する別の方法は、以下に記載したトラブルシューティングの手順に従うことです。     1) ユーザーを選択したら、Intuneライセンスとアカウント状態が緑色のチェックで表示されていることを確認します。 2) 同じページのデバイスで、トラブルシューティングするデバイスを探し、管理者にMDMまたはEAS/MDMが表示されていることを確認します。もしこれらの項目が表示されない場合、そのデバイスは登録されていません。登録されるまでコンプラインアンスポリシーまたは構成ポリシーを受信しないでしょう。アプリ保護ポリシー(MAMポリシーとしても知られています)では、登録は必要ありません。 3) Azure ADの結合の種類がワークプレースを表示していることを確認します。もし未登録と表示されているようでしたら、登録中に問題を発生している可能性があります。デバイスの登録を解除して再登録すると、この問題が解決されます。 4) Intuneに準拠しているとAzure AD に準拠しているが、はいと表示されていることを確認します。いずれかの項目にいいえと表示されている場合は、以下の問題の1つを示唆している可能性があります。 ・デバイスが、組織のコンプライアンスポリシーで定義された要求を満たしていない。 ・デバイスがIntuneサービスに接続されていない。 5) 最後のチェックインに、最近の日時が表示されていることを確認します。デバイスは少なくとも8時間ごとにIntuneで確認します。もし最後のチェックインから24時間以上経過していたら、デバイスに問題が生じている可能性があります。チェックインできないデバイスは、Intuneからポリシーを受信することが出来ません。デバイスを強制的にチェックインさせるためには、デバイスのOSに一致する以下の一連の手順に従ってください。これらのステップはどのデバイスからも実行可能です。 6) a. Androidに対してはCompany Portal appを開いて、デバイスを選択する > リストから問題のデバイス > デバイス設定の確認     b. iOSに対してはCompany Portal appを開いて、デバイスを選択する > リストから問題のデバイス > 設定の確認     c. Windowsに対してはデバイスの設定を開き、アカウントを選択する > 職場または学校にアクセス>該当する接続 > 情報 > 同期 7) デバイスのポリシーの詳細を見るためにデバイスを選択します。 8) デバイス > 管理で、デバイスの準拠とデバイス構成の両方に移動し、割り当てようとしているデバイスポリシーが一覧表示されていることを確認します。 9) a. もしポリシーが一覧表示されている場合はその状態を確認します。     ・該当なし - このポリシーはこのプラットフォームでサポートされていません。例えば、iOSのポリシーはAndroid端末では機能しません。SamsungのKNOXポリシーは、Samsung以外のKNOX端末では機能しません。     ・競合 - Intuneがオーバーライドできないデバイス上の既存の設定があります。     ・保留中 - デバイスはIntuneにチェックインして、ポリシーを取得していません。     ・エラー - Intune documentationで考えられるエラーの一覧を確認します。     b. もしポリシーが一覧表示されていない場合、ポリシーは正しく割り当てられていません。ポリシーの作成に戻り、ユーザーデバイスにポリシーを割り当てます。   これによりiOSやAndroidのポリシーがデバイスに適用されない理由を絞り込むことが出来ます。]]> Microsoft Intune の「制限付きアプリ」と「アプリの表示/非表示」機能について https://docs.microsoft.com/archive/blogs/jpintune/microsoft-intune-applimitations Fri, 14 Sep 2018 11:06:05 GMT https://blogs.technet.microsoft.com/jpintune/?p=2375 ※ 2018/9/26 追記 「制限付きアプリ」機能がコンプライアンス ポリシーの機能として復活し、利用できるようになりました。(iOS と Android Enterprise) これにより、指定したアプリがインストールされている端末を「非準拠」と見なすことができます。   こんにちは。Microsoft Intune サポート チームです。 iOS を利用するユーザーから「端末で使用を許可／禁止するアプリを指定したい」という要望が多くあがります。 今回はそのための機能について説明します。 iOS 用のデバイス制限プロファイルでは、一見類似する 2 つの設定項目があります。 それが「制限付きアプリ」と「アプリの表示/非表示」機能です。 このうち「制限付きアプリ」機能は現在利用されておらず、「アプリの表示/非表示」機能を利用する必要があります。   ------------------------------- ■ アプリの表示/非表示機能 ------------------------------- 「アプリの表示/非表示」機能は、iOS 端末上に表示されるアプリを制限する機能です。 ※ この機能を利用するには、iOS 端末を「監視モード」に設定する必要があります。 ホワイトリスト形式で、指定したアプリだけが表示されるようにしたり、ブラックリスト形式で指定したアプリを非表示にすることができます。 この機能で非表示状態になったアプリは、iOS 画面にアプリのアイコンが表示されないだけでなく、実際にそのアプリを使用することができません。 例えば、Word アプリを非表示にした場合、Outlook アプリに添付された Word ファイルを Word アプリで開くことができなくなります。 「アプリの表示/非表示」の設定画面はこのようになっています。 [アプリ URL] または [アプリ バンドル ID] でアプリを特定していますので、この 2 つのいずれかを正確に入力します。 ・App Store に公開されているアプリであれば、[アプリ URL] で指定できます。 ・iOS にビルトインされているアプリの場合は [アプリ バンドル ID] で指定できます。(組み込みアプリのバンドル ID 一覧) 指定するアプリの数が多く、手動での登録がお手間になる場合は、アプリ一覧をインポート・エクスポートする機能もあります。 注意点としては、複数の「アプリの表示/非表示」プロファイルを同一の端末に展開するとエラーになる点です。 これは Apple Configurator のカスタム プロファイルを使用した場合も同様です。 「アプリの表示/非表示」設定は、1 デバイスに 1 プロファイルだけが割り当てられるようにしてください。   ------------------------------------- ■ 制限付きアプリ機能について ------------------------------------- ※ 2018/9/26 追記 「制限付きアプリ」機能がコンプライアンス ポリシーの機能として復活し、利用できるようになりました。(iOS と Android Enterprise) これにより、指定したアプリがインストールされている端末を「非準拠」と見なすことができます。 「制限付きアプリ」機能は元々 Intune のクラシック コンソール時代に利用されていた機能です。 Silverlight で動作する、以前のコンソールを覚えている方もいらっしゃるでしょう。 この機能では、「アプリの表示/非表示」のようにアプリの利用を禁止する直接的な効力はありませんでした。 管理者が指定したアプリが端末にインストールされているか、いないかという情報を端末側で監査し、クラシック コンソールのレポートで確認する機能でした。 Intune が Azure 管理ポータルに移行するにあたり、クラシック コンソールでの MDM 管理機能やレポート機能が廃止されております。 ※移行はテナントごとに行われ、2017 年 10 月～2018 年 6 月頃には、実質的に「制限付きアプリ」機能は利用できない状態になっています。   一方で、デバイスからはインベントリとしてアプリの情報が収集されていますので、この情報を基に監査を行うことができます。 Azure ポータルの [Intune] - [モバイル アプリ] - [検出されたアプリ] には、インベントリされた全アプリの一覧が表示されます。 この情報をエクスポートして、監査に利用することができます。 企業所有端末からはインストールされた全アプリ情報が、個人所有端末からは Intune で管理されたアプリの情報のみが収集されます。 「制限付きアプリ」機能では、実質的に BYOD 端末について、ユーザーのアプリの情報を監査できるというプライバシー上の課題がありましたが、インベントリ機能ではこの課題は解消されています。   このように、「アプリの表示/非表示」機能を上手く活用することで、組織のアプリ使用を制限可能です。 また、インベントリ情報を活用することで、社給端末で利用されているアプリ情報を取得可能です。  ]]> [iOS] 保護されたアプリから Teams アプリへ投稿されたファイルが開けない問題について https://docs.microsoft.com/archive/blogs/jpintune/ios-teams-file-transfer-issue Tue, 21 Aug 2018 09:50:19 GMT https://blogs.technet.microsoft.com/jpintune/?p=2325 ※ 2018/10/17 追記 こちらの問題はアプリに内蔵される Intune MAM SDK のバージョンアップにより解消しています。 現在は Teams アプリに転送されたファイルを開くことができています。   Intune SDK がインテグレートされたアプリ保護ポリシーを適用することで、企業領域に保存されたデータを暗号化された安全な状態で閲覧することができます。 OneDrive・Teams・Word・Excel・PowerPoint といった Office 365 アプリはこの機能に対応していますが、現在 Teams アプリへデータを受け渡すとファイルが正しく閲覧できない状態になる問題があります。 具体的には、アプリ保護ポリシーで保護された OneDrive 等のアプリから、[別のアプリで開く]  [別のアプリで送信する]  機能を使ってファイルを Teams アプリに投稿すると、「この<ファイル名>は破損しています」と表示されて Teams アプリ側でそのファイルを開くことができません。 現行バージョンの Teams for iOS アプリのエクステンションに関する問題と考えられますので、Teams アプリ側で修正が行われるまでこの問題に注意しつつ運用を行ってください。]]> ハイブリッド モバイル デバイス管理から Azure 上の Intune への移行をお願いします https://docs.microsoft.com/archive/blogs/jpintune/movetoazureintune Thu, 16 Aug 2018 16:57:00 GMT https://blogs.technet.microsoft.com/jpintune/?p=2305 System Center Configuration Manager と Microsoft Intune ハイブリッド構成機能の廃止スケジュールについてお伝えします。 2018 年 8 月 14 日付けで、以下の公開情報がリリースされております。   ・Hybrid MDM の公式ドキュメント (英語版) https://docs.microsoft.com/en-us/sccm/mdm/understand/hybrid-mobile-device-management   ・US Intune サポート チームのブログ https://blogs.technet.microsoft.com/intunesupport/2018/08/14/move-from-hybrid-mobile-device-management-to-intune-on-azure/   本ブログ記事では、公式ドキュメントの内容の抄訳をご案内します。   【重要】 2018 年 8 月 14 日時点で、ハイブリッド モバイル デバイス管理機能は廃止対象機能となりました。 1 年以上前に Azure 上の Intune がリリースされて以降、Intune には数百もの顧客の要望に応える機能や、業界最先端のサービスが追加されました。 Azure 上の Intune はより統合された合理的な管理エクスペリエンスを提供することで、企業のモバイル ニーズに応えます。   結果として、ほとんどの顧客がハイブリッド MDM 構成から Azure 上の Intune への移行を選択しています。こうしたクラウドへの移行が進んでいるため、ハイブリッド MDM を利用している顧客の数は減少を続けています。したがいまして、マイクロソフトは 2019 年 9 月 1 日をもってハイブリッド MDM 機能の提供を廃止します。 Azure 上の Intune への移行を計画してください。 この変更は、オンプレミスの Configuration Manager のみを使っている (Intune を利用していない) 顧客や、Windows 10 の共同管理機能 (ハイブリッドではなく) を使っている顧客には影響しません。 もしハイブリッド MDM を利用しているかどうか分からない場合は、 Configuration Manager 管理コンソールの [管理] ワークスペース内の [クラウド サービス] - [Microsoft Intune サブスクリプション] を参照してください。もしここに Microsoft Intune サブスクリプションがセットアップされていれば、そのテナントはハイブリッド MDM 構成になっています。   ■ この変更は私にどのような影響がありますか？ ・マイクロソフトは今後 1 年はハイブリッド MDM の利用をサポートします。ハイブリッド MDM 機能でも重大な問題のバグ修正は引き続き受け付けています。また、 iOS 12 を搭載するデバイスの登録など、新しい OS に対しても既存の機能をサポートします。ただし、今後ハイブリッド MDM では新機能は提供されません。 ・ハイブリッド MDM の提供が終了する前にAzureのIntuneに移行する場合、エンドユーザーに影響はありません。 ・ライセンスは変わりません。 Intune on Azure ライセンスは、ハイブリッド MDM に含まれています。 ・2018 年 11 月以降は、新しくハイブリッド MDM を利用開始しようとしても、そのオンボーディング処理がブロックされるようになります。 ・2019 年 9 月 1 日に、ハイブリッド MDM されているデバイスはポリシー・アプリケーション・セキュリティアップデートを受け取らなくなります。    ■ この変更に備えて何をする必要がありますか？ ・Configuration Manger コンソールから Azure への MDM の移行を計画します。 Microsoft ITを含む多くのお客様がこのプロセスを完了しました。 詳細については、このMicrosoftのケーススタディを参照してください。 https://aka.ms/Intune_MSFT ・ハイブリッド MDM から Azure の Intune に移行するプロセスを簡略化するために、以下のツールとドキュメントを確認してください。 - Microsoft IntuneにConfiguration Managerデータをインポートする - ハイブリッドMDMユーザーとデバイスをIntuneスタンドアロンに移行する ・ご登録のパートナー企業または FastTrack にお問い合わせください。 FastTrack for Microsoft 365は、ハイブリッド MDM から Azure 上の Intune への移行を支援します。 ・詳細については、Intune サポートのブログ記事を参照してください。]]> [Intune] 今後の Microsoft Intune での Windows 10 管理について https://docs.microsoft.com/archive/blogs/jpintune/intune-%E4%BB%8A%E5%BE%8C%E3%81%AE-microsoft-intune-%E3%81%A7%E3%81%AE-windows-10-%E7%AE%A1%E7%90%86%E3%81%AB%E3%81%A4%E3%81%84%E3%81%A6 Sat, 02 Jun 2018 09:12:18 GMT https://blogs.technet.microsoft.com/jpintune/?p=2285 Microsoft Intune サポート チームです。 今回は Intune の PC エージェントで Windows 10 を管理しているユーザー向けに、今後の MDM への移行を見据えたご案内をいたします。 現在の PC エージェント管理から、より先進的な MDM への移行をご検討ください。     --------------------------------------------- ■ Intune の PC エージェント管理の歴史 --------------------------------------------- Microsoft Intune (旧称 Windows Intune) が 2011 年 4 月に PC 向けの管理サービスとしてリリースされてから 4 年が経過しました。 当時の Intune は MDM (モバイル デバイス管理) 機能を持たず、Windows XP・7 を対象に PC エージェントによる管理を提供していました。   Intune の PC エージェント管理における代表的な機能としては、以下の 3 つが挙げられます。 ・更新プログラムの個別の承認とインストール タイミングの指定 ・Defender / Endpoint Protection の制御 ・インベントリの取得  一方で、Intune の PC エージェント管理における制約として、「Windows 10 の機能更新プログラムが適用する機能が無い」という点がありました。     -------------------------------------------------------------------------- ■ Windows 10 の管理手法について (MDM と PC エージェント管理) -------------------------------------------------------------------------- Windows 10 が 2014 年 10 月にリリースされてからはや 3 年半が経過しました。 Intune では Windows 10 の管理手法として MDM と PC エージェント管理の 2 つの方法を提供してきました。 このうち MDM は Azure ポータルで、PC エージェント管理は Intune クラシック ポータルで管理操作を行います。   PC エージェント管理がクラシック ポータルのみで利用可能なことからも分かるように、今後の Windows 10 の管理手法は MDM が主流になっていきます。 非常に重要なことですが、PC エージェント管理では Windows Update の機能更新 (Feature Update) を展開することができません。(品質更新プログラムは展開可能) そのため、PC エージェントをご利用のお客様は Windows 10 の機能更新 (Fall Creators Update や Spring Creators Update) の更新が適用できないという大きな問題を抱えます。   現在の Windows 10 のサービス モデルでは、継続的に機能更新を適用していただくことが必要となっています。 クラシック ポータルの PC エージェント管理ではこれが実現できないため、Azure ポータルの MDM 管理へ移行していただくことが極めて望ましい状況です。 最新の管理方式へスムーズに移行できるように検討を行っていただく必要があります。   "組織での Windows 10 の管理 - 最新の管理への移行" https://docs.microsoft.com/ja-jp/windows/client-management/manage-windows-10-in-your-organization-modern-management       --------------- ■ MDM への移行 --------------- MDM へ移行する場合、PC エージェントの代表的な 2 つの機能はどのように賄えば良いのでしょうか？   [1] 更新プログラムの個別の承認とインストール タイミングの指定 まず、Windows 10 のセキュリティ品質更新プログラムではロールアップの更新モデルを採用しているため、個別のパッチの承認を管理する必要はありません。 MDM 管理では以下のようにインストールのタイミングを制御できます。 ・Windows 10 の更新リング - 「半期チャネル」か「半期チャネル (ターゲット) 」か ・品質更新プログラムの延期期間 - 0-30 日間の間で延期期間を指定可能です ・機能更新プログラムの延期期間 - 0-180 日間の間で延期期間を指定可能です ・品質更新プログラム展開の一時停止 - 最大 35 日間停止することができます。いつでも展開を再開できます。 ・機能更新プログラム展開の一時停止 - 最大 35 日間停止することができます。いつでも展開を再開できます。   また、PC エージェントと同じ粒度で更新プログラムを制御したい場合は、MDM に加えて WSUS をご利用いただくことも可能です。 Intune で Windows 10 PC を MDM 管理しつつ、同時に WSUS でも管理することが可能です。     [2] Defender / Endpoint Protection の制御 MDM でも Defender / Endpoint Protection の制御は可能です。 Intune では https://docs.microsoft.com/ja-jp/intune/device-restrictions-windows-10#windows-defender-antivirusが用意されています。 https://docs.microsoft.com/ja-jp/intune/device-restrictions-windows-10#windows-defender-antivirus   これにより、Defender の様々な設定を行うことができます。 なお、MDM で管理する場合は Microsoft Intune Endpoint Protection はインストールされません。 これが、Intune PC クライアントで管理する場合との違いです。     [3] インベントリの取得 残念ながら MDM で取得できるインベントリの内容には制限があります。 それでも、端末名、OS バージョン、シリアル番号、ストレージ容量といった情報は収集することができます。 また、アプリ情報のインベントリは、Intune で配布して管理されているアプリのみ情報収集されます。   "Microsoft Intune に登録されているモバイル デバイスのソフトウェア インベントリ" https://docs.microsoft.com/ja-jp/sccm/mdm/deploy-use/software-inventory-mobile-devices     より詳細なインベントリ情報を取得したい場合は、Windows 10 を Configuration Manager と Intune で「共同管理」することができます。 この場合、Configuration Manager エージェントがインストールされますので、詳細なインベントリ情報を Configuration Manager 管理画面で確認可能です。   "Windows 10 デバイスの共同管理" https://docs.microsoft.com/ja-jp/sccm/core/clients/manage/co-management-overview     [4] Windows 10 への機能更新の適用 MDM へ移行した場合、PC エージェントの欠点であった機能更新プログラムの適用はどのように解決されるのでしょうか？ MDM では Microsoft Update または WSUS を更新ソースとして利用することで、機能更新プログラムを適用することができます。   - MDM へ単純移行した場合 この場合は、Microsoft Update からインターネット経由で機能更新プログラムを受信し適用することができます。 前述の [1] でご紹介した設定により、機能更新プログラムのインストール タイミングを制御することができます。   - WSUS での管理を行う場合 この場合は、WSUS の機能によって機能更新プログラムの展開を細かく制御することができます。 WSUS サポート チームにて発行しているこちらのブログ記事をご参照ください。 https://blogs.technet.microsoft.com/jpwsus/2018/01/26/win10-matome/   - Windows 10 を Configuration Manager と Intune で「共同管理」する場合 この場合は、Configuration Manager の機能によって機能更新プログラムの展開を細かく制御することができます。  ]]> [Intune|Configuration Manager]中間証明機関 (中間 CA) のある環境で iOS に証明書を配布する場合の注意点 https://docs.microsoft.com/archive/blogs/jpintune/intuneconfiguration-manager%E4%B8%AD%E9%96%93%E8%A8%BC%E6%98%8E%E6%A9%9F%E9%96%A2-%E4%B8%AD%E9%96%93-ca-%E3%81%AE%E3%81%82%E3%82%8B%E7%92%B0%E5%A2%83%E3%81%A7-ios-%E3%81%AB%E8%A8%BC%E6%98%8E Sun, 12 Nov 2017 16:33:08 GMT https://blogs.technet.microsoft.com/jpintune/?p=2236 ■ 中間 CA 証明書は配布する必要はありません 結論から言いますと、中間 CA がある場合でも中間 CA 証明書は利用しません。使用するのはルート CA の証明書だけです。 iOS の仕様上、ルート CA 証明書と中間 CA 証明書を両方配布してしまうと、PKCS・SCEP 証明書の配布が上手くいきません。考えてみれば、iOS には Windows のように「信頼されたルート証明機関」と「中間証明機関」のような証明書ストアの違いは無いですよね。 Configuration Manager における SCEP 証明書配布の画面を例に、正しい設定内容を紹介いたします。  

■ 設定例の紹介

[1] 配布する証明書一覧

以下の通り、配布するのはルート CA 証明書と SCEP 証明書のプロファイルのみで問題ありません。 ※ 逆に、中間 CA 証明書を配布しないようにご注意ください。 ルート CA の証明書はルート証明機関からエクスポートしてアップロードしたものですね。 「NDES」 という名前の SCEP 証明書プロファイルの設定を詳しく見ていきましょう。  

[2] SCEP 証明書プロファイルの設定例

重要になるのは [Certificate Properties] タブです。 画面最下段の [Root CA certificate] には「ルート CA 証明書プロファイル」を指定します。 ここで中間 CA 証明書を指定しないようにご注意ください。プロファイル自体作成していなければ大丈夫ですね。 余談ですが、[Hash algorism] は発行したい証明書テンプレートのアルゴリズムに合わせてください。 例えば配布したい証明書テンプレートのハッシュ アルゴリズムが SHA256 の場合は SHA-2 にチェックを入れます。 上の例では、配布したい証明書テンプレート (Windows Server 2003 互換のユーザー証明書) に合わせて SHA-1 を選択しています。  

[3] 証明書の取得元には中間 CA を指定する (NDES の設定)

ルート CA 証明書のみ配布する・指定すると書きましたが、「とはいえ証明書自体は中間 CA から発行させたい」とお思いですよね。 大丈夫です。証明書の取得元サーバーは NDES インストール時の設定で指定します。 以下の画面で中間 CA を指定しておくことで、NDES は中間 CA に対して証明書発行を依頼します。 これで、中間 CA がある本番環境でも正しく証明書を配布することができます。 展開の様子は [Monitoring (監視)] タブの [Deployments (展開)] から確認できます。 導入を検討中の方は是非参考にしてください。]]> PowershellでMicrosoft Graph APIを通じてソフトウェア　インベントリを取得する方法について https://docs.microsoft.com/archive/blogs/jpintune/powershell%E3%81%A7microsoft-graph-api%E3%82%92%E9%80%9A%E3%81%98%E3%81%A6%E3%82%BD%E3%83%95%E3%83%88%E3%82%A6%E3%82%A7%E3%82%A2%E3%80%80%E3%82%A4%E3%83%B3%E3%83%99%E3%83%B3%E3%83%88%E3%83%AA%E3%82%92 Wed, 09 Aug 2017 12:29:29 GMT https://blogs.technet.microsoft.com/jpintune/?p=2106 こちらをご参照ください！   ソフトウェア インベントリを取得するには、こちらのスリプトをダウンロードします。前回のスクリプトと同じく、clientID の値を有効なアプリケーション ID と入れ替えてください。アクセス許可を調整したい場合は必ず登録したアプリのアプリケーション ID をご入力ください。本スクリプトを PowerShell から実行することで、各デバイスで検出されたアプリを表示できます。   なお、本情報の取得には次の Microsoft Graph のアクセス許可が必要となります： Read Microsoft Intune Devices (DeviceManagementManagedDevices.Read.All) Microsoft Graph API の次の URI が使用されます： １）https://graph.microsoft.com/beta/managedDevices ―　すべてのデバイスの情報を取得します。 ２）https://graph.microsoft.com/beta/managedDevices/{deviceID} ―　ユーザー ID を取得するために一台のデバイスの情報を抽出します。 ３）https://graph.microsoft.com/beta/managedDevices/{deviceID}/detectedApps ―　一台のデバイスを ID で検索し検出されたアプリを抽出します。   Windows Azure Active Directory APIから次のアクセス許可も必要となります： Access the directory as the signed-in user (Directory.AccessAsUser.All) Windows Azure Active Directory APIの次のURIが使用されます： １）https://graph.microsoft.com/v1.0/users/{userID} ―　ユーザー ID でデバイスの持ち主を検索し名前を取得します。 スクリプトを実行すると以下のように各デバイスの検出されたアプリが表示されます。 なお、Microsoft Graph API の機能一覧と URI の応答の詳細については、Graphエクスプローラーをお試しください。呼び出しの応答プレビューを見ることができますので、API を試したい時に便利です。]]> PowershellでMicrosoft Graph APIを使う方法について https://docs.microsoft.com/archive/blogs/jpintune/powershell%E3%81%A7microsoft-graph-api%E3%82%92%E4%BD%BF%E3%81%86%E6%96%B9%E6%B3%95%E3%81%AB%E3%81%A4%E3%81%84%E3%81%A6 Wed, 09 Aug 2017 12:29:04 GMT https://blogs.technet.microsoft.com/jpintune/?p=1925 （１）事前準備　～初めてのGraph API～ Microsoft Graph API（旧Office 365 Unified API）によって、Azure AD、Intune、Excel など、様々なプラットフォームから、1 つのパス（URI）を使ってデータにアクセスをすることができるようになりました。従来の Office 365 API を使用する場合は、Office Graph REST API、Outlook REST API、OneDrive REST API など、複数のエンドポイントを呼び出すことがありましたが、Microsoft Graph API で単一のエンドポイントから幅広くクラウド リソースをご利用いただけます。様々なエンドポイントをまとめる API になっていますので、リソースごとのアクセス トークンの取り直しが不要であり、しかも、リソースに対するアクセス許可をより細かくコントロールすることも可能です。 早速、本機能の使用方法についてご紹介していきます。 まずは Azure で Microsoft Graph API を使用するアプリを登録する必要があります。Azure AD の認証も必要となりますので、管理者として PowerShell を実行し、「Install-Module AzureAD」か「Install-Module AzureADPreview」を実行しモジュールをインストールしてください。Powershell v4.0 が必要最小限ですので、PowerShell のバージョンもご確認ください。 アプリを登録する際は、テナントの管理者アカウントで実行するか、Azureメニューでの「ユーザーとグループ」＞「ユーザー設定」の「ユーザーはアプリケーションを登録できる」という設定を有効にする必要があります。 Azure Portal にサインインし、次の作業を行ってください。 １）Azure メニューで、「Azure Active Directory」＞「アプリの登録」を選択します。 ２）「新しいアプリケーションを登録」をクリックし、「作成」ブレードでアプリケーション情報を指定します。「アプリケーションの種類」と「リダイレクトURI」は目的によって異なりますので、詳しくはAzure ADの認証シナリオをご覧ください。このブログ記事では Azure AD Authentication Library（ADAL）を使用しますので、「アプリケーションの種類」は「ネイティブ」に、「リダイレクトURI」は「urn:ietf:wg:oauth:2.0:oob」に設定します。 ３）アプリケーションを作成したら、アプリケーションのブレードが開きます。「アプリケーションID」は PowerShell スクリプトで利用しますので、メモしておきます。 ４）「設定」＞「必要なアクセス許可」を選択します。 ５）「追加」＞「APIアクセスの追加」＞「APIを選択します」を選択します。 ６）「Microsoft Graph」＞「選択」を選択したら、「アクセスの有効化」のブレードが開き、アクセス許可一覧が表示されます。 ７）アプリに必要な最小限のアクセス許可を選択して保存します。PowerShell スクリプトごとに必要なアクセス許可を後述します。Microsoft Graph API のアクセス許可の詳細についてはMicrosoft Graphのアクセス許可のリファレンスをご覧ください。 ８）テナントのすべてのアカウントにアプリを使用するアクセス許可を付与したい場合は、「アクセス許可の付与」をクリックし、プロンプトに同意します。 以上の作業を完了したら Microsoft Graph API を使うアプリが利用できます。   次はこのアプリに接続し、Microsoft Graph API を使用する Powershell スクリプトを紹介いたします。 ＊Intune 機能を使用しますので、一般ユーザーのアカウントではスクリプトを実行できません。全体管理者、もしくは制限付きの「Intuneサービス管理者」になる必要があります。ユーザーを制限付き管理者に設定するためには、管理者として「ユーザーとグループ」＞「すべてのユーザー」を選択し、リストから一人のユーザーを選択し、「ディレクトリロール」から制限付き管理者の種類を保存します。 ロール割り当ての詳細についてはAzure Active Directoryでの管理者ロールの割り当てをご覧ください。   （２）デバイス一覧の取得 上記の準備ができたら、Intune に登録されたデバイス一覧を取得するスクリプトを実行してみましょう。 まず、こちらのスクリプトをダウンロードします。91  行の clientID という変数に別のアプリケーション ID が入力してあります。clientID の値を先ほど登録したアプリのアプリケーション ID と入れ替えることで、アクセス許可をコントロールできるようになります。 デバイス一覧を取得するには、次の Microsoft Graph のアクセス許可が必要となります：   Read Microsoft Intune Devices (DeviceManagementManagedDevices.Read.All) Microsoft Graph API の次の URI が使用されます： １）https://graph.microsoft.com/beta/managedDevices ―　すべてのデバイスの情報を取得します。 ２）https://graph.microsoft.com/beta/managedDevices/{deviceID} ―　ユーザー ID を取得するために一台のデバイスの情報を抽出します。   Windows Azure Active Directory API から次のアクセス許可も必要となります： Access the directory as the signed-in user (Directory.AccessAsUser.All) Windows Azure Active Directory API の次の URI が使用されます： １）https://graph.microsoft.com/v1.0/users/{userID} ―　ユーザーIDでデバイスの持ち主を検索し名前を取得します。   アプリケーションのブレードの「設定」＞「必要なアクセス許可」＞「Microsoft Graph」＞「アクセスの有効化」の一覧からアクセス許可を承認できます。委任されたアクセス許可を変更しても「アクセス許可の付与」のプロンプトに改めて同意しないと許可が他のユーザーに付与されない場合もありますのでご注意ください。 ＊Microsoft Graph API の機能一覧と URI の応答の詳細についてはをGraphエクスプローラーを気軽にお試しください。呼び出しの応答プレビューが見られますので、API を試したい時には便利です。   実際にダウンロードしたスクリプトを、PowerShell から実行することで、デバイスの一覧が取得可能です。以下のようなデバイス情報が多数出力されます。 なお、スクリプトを実行する際は資格情報を入力します。なお、現在、資格情報を入力せずに Microsoft Graph API の Intune 機能を使用することはできませんので、ご了承ください。]]> 2016/11/3 更新 Microsoft Intune 会社のポータル アプリの最新版に関する不具合について https://docs.microsoft.com/archive/blogs/jpintune/microsoft-intune-%E4%BC%9A%E7%A4%BE%E3%81%AE%E3%83%9D%E3%83%BC%E3%82%BF%E3%83%AB-%E3%82%A2%E3%83%97%E3%83%AA%E3%81%AE%E6%9C%80%E6%96%B0%E7%89%88%E3%81%AB%E9%96%A2%E3%81%99%E3%82%8B%E4%B8%8D%E5%85%B7 Wed, 02 Nov 2016 16:22:35 GMT https://blogs.technet.microsoft.com/jpintune/?p=1895 2016年11月3日更新 -------------------------------------------------- 2016年11月2日に不具合を修正した最新版の会社のポータル アプリがリリースされました。事象に伴い、ポータル アプリのアップデートを行っていなかった、端末に関しましては最新版をインストールすることで問題なく運用可能なことを確認しております。このたびは大変ご迷惑をお掛けいたしました。 -------------------------------------------------- こんにちは、 Microsoft Intune サポートチームの村田です。 現在、Microsoft  Intune に登録された iOS 端末におきまして、Microsoft Intune 上よりモバイル アプリケーション管理 (MAM) ポリシーとともに配布しております、 Outlook、OneDrive など、Office 関連のアプリケーションを起動すると突然ワイプされた状態になってしまうというお問合せを多数頂戴しております。 本事象の詳細につきまして、以下に説明いたします。 ### 発生した事象の詳細 ### Microsoft Intune 管理コンソール上より iOS 端末に対し、 MAM ポリシーとともに Outlook、OneDrive などの Office アプリケーションを配布している環境において、アプリを起動した際に「ワイプに関するアラート」メッセージが表示され、アプリがシャットダウンし、再度起動した際には、サインインを求められる状態となります。 ### 本事象の原因について ### 本事象につきましては、2016年10月27日にリリースされました最新版の Intune 会社のポータル アプリ (バージョン : 2.1.24) に起因する事象として、弊社においても認識しております。 現在本事象について調査を進めるとともに、修正版の会社のポータル アプリのリリースに向けて改修を進めております。 大変恐れ入りますが、Microsoft Intune 管理者様におきましては、最新版の Intune 会社のポータル アプリのインストールを行わないように周知いただくようお願い申し上げます。 ※ 本事象は Azure ポータル上から、MAM ポリシーを配布している環境においては発生いたしません。 なお、本事象につきましては、Office 365 管理ポータル内 [正常性] メニューにおける [サービスの正常性] においてもご確認いただけます。 IT83600 - Microsoft Intune - サービスの低下 https://portal.office.com/adminportal/home#/servicestatus 本事象に関する対処方法など、進捗がございましたら、本ブログにおきましても随時更新を行ってまいります。]]>