Important
この記事で説明されている機能は現在プレビュー段階であり、すべての組織で利用できるわけではありません。変更される可能性があります。
構成保護は、クラウド管理ポリシーを唯一の真実源にする構成強制モデルであり、Microsoft Defenderのウイルス対策設定に限定しています。 設定保護が有効になると、IntuneおよびMicrosoft Defender for Endpointのポリシーが優先されます。 デバイスはグループポリシー、スクリプト、Microsoft Configuration Manager、ローカル管理者の変更を無視します。
構成保護は、改ざん保護スタイルの強制をDefender Antivirusの構成表面全体に拡張することで、構成ドリフトやポリシーの衝突を排除します。
タンパー保護 と構成保護は補完的ですが、異なる機能です。
| 特徴 | 改ざん防止 | 構成保護 |
|---|---|---|
| Scope | 固定されたセキュリティ設定の小さなセット(~10〜13設定) | Defender Antivirus全体の構成表面 |
| 構成ソース | Microsoft定義のデフォルトのみ | 組織定義のクラウドポリシー(Intune/Defender for Endpoint) |
| カスタマイズ | カスタマイズはなし | 完全な政策主導の制御 |
| 施行 | 重要な保護を無効化するのを防ぐ | すべての非クラウド設定チャネルを上書きします |
構成保護は、Microsoft Defenderのアンチウイルス構成全体に対してポリシー駆動型の制御を提供する改ざん保護のスーパーセットです。
Note
改ざん防止と設定保護は技術的には同時に有効にすることも可能ですが、組織はどちらか一方を選ぶことをお勧めします。
Prerequisites
- デバイスはMicrosoft Defender for Endpointにオンボーディングされている必要があります。
- デバイスはMicrosoft IntuneまたはDefender for Endpointのセキュリティ設定管理で管理する必要があります。
- デバイスはWindows 10、Windows 11、Windows Server 2019、Windows Server 2022、またはWindows Server 2025を実行しなければなりません。
- デバイスはMicrosoft Defender for Endpoint EDR Sensorのバージョンを10.8804(2025年9月)より遅くしていなければなりません。
- デバイスはMicrosoft Defender Antivirusプラットフォームのバージョン4.18.26060.3004以降(2026年6月)を実行しなければなりません。
現在、設定保護は以下に対応していません:
- 共同管理(Configuration Manager + Intune)環境。
- GCC High 環境。
どのような構成保護が対象か
現在、設定保護はMicrosoft Defenderのアンチウイルス設定に対する保護と強制を提供します。以下には以下が含まれます:
- アンチウイルスの設定(スキャン設定、除外、アップデート)
- 攻撃面削減(ASR)ポリシー
- Defender Configuration Service Provider (CSP) および Policy CSP 領域（ウイルス対策関連の幅広い制御項目群）
- ローカル管理者のマージ動作
現在、構成保護は以下をカバーしていません:
- Microsoft Defenderデバイス制御
- エンドポイント検出および応答(EDR)設定
- Windowsのオペレーティングシステム設定(ファイアウォールなど)
構成保護の執行の仕組み
構成保護は、クラウド管理ポリシーを3つのメカニズムを通じて強制します。
単一ソース強制:設定保護が有効の場合、以下の強制ルールが適用されます:
- Defender Antivirus設定では、IntuneおよびDefender for Endpointのポリシーのみが尊重されます。
- グループポリシーオブジェクト(GPO)、スクリプト、Configuration Manager、ローカル管理者の変更は無視されます。
- Microsoft Defender Antivirusはデフォルトでローカル除外を認めていません。 組織は、DefenderやIntuneのポリシーを通じてローカル管理者マージを有効にすることで、ローカル管理者定義のアンチウイルス除外を許可できます。 ローカル管理者マージを有効にすると、ローカルで定義されたウイルス対策の除外を中央管理の除外と統合できます。 ローカルで定義された攻撃面削減(ASR)除外は、ローカル管理者マージが有効になっていても現在は尊重されていません。
セキュアデフォルト:設定がポリシーで明示的に設定されていない場合、設定保護はMicrosoft定義のデフォルトを適用します。 この動作により、管理者がすべての設定を設定していなくても、デバイスは強力なセキュリティ体制を維持できます。
コンフリクト解決:構成保護は、最後の書き込み勝利モデルではなく、価値ベースの優先順位モデルを使用します。
- オン が オフより優先されます。 あるポリシーが設定保護をOnに設定し、別のポリシーがOffに設定した場合、その機能はデバイス上で有効のままです。
- 複数のポリシーが異なる値を割り当てている場合、競合が報告されますが、On値は依然として強制されます。
- 複数のポリシーに同じ価値を割り当てれば、結果として競合のない成功が得られます。
Important
設定されていない からといって オフというわけではありません。 この機能を無効にするには、設定保護を オフに設定するポリシーを明示的に展開してください。
設定保護を有効にする
Microsoft IntuneまたはMicrosoft Defender for Endpointのセキュリティ設定管理を通じて設定保護を有効にすることができます。
Microsoft Intuneは、エンドポイント機能のDefenderを構成してデバイスに配布するための推奨ツールです。 ただし、Intune はエンドポイントのDefenderの一部ではない別個の製品であり、すべてのサブスクリプションに含まれているわけではありません。 Intune を使用するには、Intune を含むサブスクリプションが必要です。または、スタンドアロン サブスクリプションまたはアドオンとして個別に購入することもできます。 Intune をお持ちでない場合は、この記事の他の方法のいずれかを使用できます。 詳細については、「Microsoft Intune のライセンス」を参照してください。
構成保護は、改ざん保護と同じポリシー表面を通じて構成されます。 Windows セキュリティ Experience プロファイルでは、設定保護が利用可能になった場合、改ざん防止設定を「Configuration protection (Device)」にリネームします。 設定カタログやデバイス制御v1(DCv1)テンプレートから設定保護を有効にすることはできません。
構成保護と改ざん保護は同じポリシー設定を使うため、 設定保護(オン) を設定することは、そのデバイスの改ざん保護値に優先します。 同じ環境に対して、改ざん防止ポリシーと設定保護ポリシーを別々に展開することはありません。 既存の改ざん保護(DCv1)ポリシーを構成保護に移行するには、Windows セキュリティ Experienceのポリシーを作成し、Configuration protection (On)を設定し、競合を避けるためにDCv1ポリシーから改ざん保護設定を削除してください。
- のMicrosoft Intune管理センターのhttps://intune.microsoft.comページで、新しいWindows セキュリティエクスペリエンスプロファイルを作成するか、既存のプロファイルを編集してください。
- Configuration protection (Device) 設定（以前のタンパー保護）を見つけてください。
- 値を 「Configuration protection (On)」 に設定して、構成保護を有効にします。
- ポリシーを適切なデバイスグループに割り当ててください。
最小クライアントバージョンとロールバック
設定保護(オン)を割り当てる前に、デバイスをMicrosoft Defender Antivirusプラットフォームバージョン4.18.26060.3004以降に更新し、パイロットグループで展開を検証してください。
以前のプラットフォームバージョンのデバイスでは、Intuneは 設定保護(オン) や タンパー保護(オフ)を送信することがありますが、デバイスは改ざん保護設定のみを適用することもあります。 この動作により、設定保護と改ざん保護の両方がオフになります。
ロールバックするには、Windows セキュリティ Experienceのポリシーを「Configuration protection(オン)」から「Tamper Protection(On)」に変更し、ポリシーを再デプロイし、影響を受けたデバイスを同期し、改ざん保護が有効かどうかを確認します。 通常のポリシー配信遅延が適用されます。
レポートと監視
構成保護の状態は、デバイスの管理方法に応じてIntune管理センターとMicrosoft Defenderポータルの両方で確認できます。
Intune:Mobile デバイス管理(MDM)を使ってIntuneを通じて直接登録したデバイスについては、以下を閲覧できます:
- ポリシーの状況(成功、対立、またはエラー)
- デバイスレベルの構成保護ステータス
Microsoft Defenderポータル:Defender for Endpointで管理されるデバイスについては、有効な設定状態を確認するためにMicrosoft Defenderポータルを確認してください。
Note
これらのデバイスはIntuneレポートには表示されません。 Microsoft Defenderポータルを使って、有効な構成保護の状態を確認してください。
デバイスの構成保護を確認する
デバイス上で直接設定保護状態を確認するには、以下のPowerShellコマンドレットを実行します。
Get-MpComputerStatus
出力の以下のプロパティを確認してください:
- ControlledConfigurationState:デバイスの現在の構成保護強制状態。
- IsTamperProtected:設定保護の基盤であるタンパー保護が有効かどうかを示します。
- TamperProtectionSource: 現在の状態を適用するソース。
また、Get-MpComputerStatusを使ってMicrosoft Defenderアンチウイルスプラットフォームのバージョンが前提条件を満たしているか確認したり、ポリシー変更や設定保護リセット後の設定状態を検証したりすることもできます。
ライフサイクルの挙動
構成保護の動作は、デバイスのライフサイクル変更によって異なります。
- ポリシーの割り当て解除:別の構成保護ポリシーがまだ適用されていない限り、設定保護はデバイスから削除されます。
- Defender for Endpoint の登録解除: 構成保護は有効のままです（自動的にはクリーンアップされません）。
- デバイスオフボーディング:設定保護が解除され、 オフにリセットされます。
デバイス上の設定保護のリセット
デバイスの設定保護状態を解除するには、昇格されたコマンドプロンプト( 管理者として実行を選択して開いたコマンドプロンプトウィンドウ)で以下のコマンドを実行してください:
Tip
デバイスは改ざん防止がオンになっていて、トラブルシューティングモードに入っている必要があります。
最初のコマンドは、ディレクトリを < の最新バージョンの >antimalware プラットフォーム バージョン%ProgramData%\Microsoft\Windows Defender\Platform\<antimalware platform version>に変更します。 そのパスが存在しない場合は、 %ProgramFiles%\Windows Defenderに移動します。
(set "_done=" & if exist "%ProgramData%\Microsoft\Windows Defender\Platform\" (for /f "delims=" %d in ('dir "%ProgramData%\Microsoft\Windows Defender\Platform" /ad /b /o:-n 2^>nul') do if not defined _done (cd /d "%ProgramData%\Microsoft\Windows Defender\Platform\%d" & set _done=1)) else (cd /d "%ProgramFiles%\Windows Defender")) >nul 2>&1
MpCmdRun.exe -Config -ResetControlledConfiguration
詳細については、Microsoft Defender for Endpointの「トラブルシューティングモードの有効化および使用」をご覧ください。
既知の制限
現在、構成保護には以下の制限が適用されます:
- Intuneでは、改ざん防止ポリシーと設定保護ポリシーの両方が同じデバイスを対象としている場合、誤った競合が発生することがあります。
- Intune管理センターとMicrosoft Defenderポータルの間で報告の不一致が見られるかもしれません。
- カバー範囲はMicrosoft Defenderのアンチウイルス設定に限定されており(デバイス制御、EDR、ファイアウォールはまだカバーされていません)。
- Microsoft Defender for Endpointのセキュリティ設定管理やIntuneで設定保護を有効にすると、改ざん保護はオフになります。ただし、改ざん防止ポリシーで明示的に改ざん保護が有効に設定されていない限りです。 設定保護がオンで改ざん保護がオフの場合、改ざん保護の安全スコアは低くなります。 私たちはこのギャップを埋めるために取り組んでいます。