Intune デバイス コンプライアンス ポリシーの結果を監視する

コンプライアンス レポートは、デバイスがコンプライアンス ポリシーを満たしていないタイミングを理解するのに役立ち、organizationでコンプライアンス関連の問題を特定するのに役立ちます。 これらのレポートを使用すると、次の情報を表示できます。

• デバイスの総合的なコンプライアンス状態
• 設定別のコンプライアンス状態
• ポリシー別のコンプライアンス状態
• 個々のデバイスにドリルダウンし、デバイスに影響を与えている特定の設定やポリシーを表示する

この記事は、次の項目に適用されます:

• Android デバイス管理者
• Android オープンソース プラットフォーム (AOSP)
• Android Enterprise
• iOS/iPadOS
• Linux - Ubuntu Desktop、バージョン 24.04 LTS、または 26.04 LTS
• macOS
• Windows

重要

Android デバイス管理者 (DA) 管理は非推奨となり、Google Mobile Services (GMS) にアクセスできるデバイスでは使用できなくなります。 現在 DA 管理を使用している場合は、別の Android 管理オプションに切り替えることをお勧めします。 GMS を使用しない一部の Android 15 以前のデバイスでは、サポートとヘルプのドキュメントを引き続き利用できます。 詳細については、「 GMS デバイスでの Android デバイス管理者のサポートの終了」を参照してください。

Intuneには、デバイスコンプライアンスの詳細を確認するための次のオプションが含まれています。

• デバイス コンプライアンスの状態ダッシュボード
• ポリシー ベースのデバイス コンプライアンス レポート
• 組織と運用のコンプライアンス レポート

デバイス コンプライアンス ポリシーと状態結果の重要な概念

コンプライアンス状態の詳細とレポートを表示する場合は、デバイスのコンプライアンス状態の報告方法に影響する可能性がある次の重要な詳細に注意してください。

• デバイスのコンプライアンス ポリシーを受け取るには、Intune にデバイスを登録する必要があります。

• テナント全体のコンプライアンス ポリシー設定には、[コンプライアンス ポリシーが割り当てられていないデバイスをマークする] 設定が含まれます。 既定の構成では、コンプライアンス ポリシーが割り当てされていないデバイスが 準拠としてマークされます。 これらのデバイスが 非準拠としてマークされるように、この設定を構成することをお勧めします。 その後、コンプライアンス ポリシーのないデバイスorganizationレポートで非準拠デバイスを特定できます。

• コンプライアンス レポートには、デバイス上の最後のユーザーのコンプライアンス状態が表示されます。 デバイスを対象とするポリシーの場合、デバイスの最後のコンプライアンス チェック中にユーザーがサインインしていない場合、システム アカウントはレポートにユーザー プリンシパル名として表示されます。

既知のレポート動作

Microsoft Intuneは、デバイスで変更が発生すると、デバイスのコンプライアンス状態を継続的に評価します。 この継続的な評価プロセスは、デバイスのコンプライアンス体制を最新の状態に保つのに役立ちます。

デバイスのコンプライアンス状態に影響を与える変更は次のとおりです。

• デバイス構成の更新
• オペレーティング システムのバージョンの変更
• セキュリティ体制の更新
• ポリシーのターゲット設定または割り当ての変更
• ユーザー サインイン アクティビティ

コンプライアンス状態は継続的に評価されますが、デバイスがサービスにチェックインすると、Microsoft Intuneのコンプライアンス ポリシー レポートが更新されます。 その結果、管理センターでのレポートには、デバイスの最後のチェック時に記録された最新の既知のコンプライアンス状態が反映されます。 このレポート モデルは、レポートに表示されるコンプライアンス情報が、条件付きアクセスなどのアクセスの決定に使用された最後に確認されたデバイスの状態と一致するようにするのに役立ちます。

Microsoft Intuneでコンプライアンス ポリシー レポートを確認するときは、次のレポート動作に注意してください。

• コンプライアンス ポリシーレポートは、デバイスがチェックインするタイミングによって異なります。 レポート データは、デバイスのチェックとポリシーの更新サイクル中に更新されます。 デバイスがチェックされていない場合、レポートに最近のポリシーの割り当てやターゲット設定の変更がすぐに反映されない可能性があります。

• コンプライアンス レポートには、デバイスで最後にチェックインしたユーザーに関連付けられているコンプライアンス状態が表示されます。 共有デバイスまたはマルチユーザー デバイスでは、この動作により、レポートに以前のユーザーのコンプライアンス状態が反映される可能性があります。

• デバイスがまだチェックインしてコンプライアンス ポリシーの状態を受信または報告していない場合、デバイスは保留中の状態で表示される可能性があります。 一部のシナリオでは、次のレポート サイクルが完了するまで、この状態を保持できます。

• ポリシー レポートには、ユーザーコンテキストとシステム コンテキストに関連付けられた個別のレコードなど、同じデバイスに対して複数のエントリが表示される場合があります。 この動作は、異なるユーザーが同じデバイスにサインインするとき、またはデバイスの自動チェックが発生したときに発生する可能性があります。

• サマリー レポート ビューと詳細なデバイス リストは、常に同時に更新されるわけではありません。 更新間隔の違いにより、概要ビューの集計値が詳細レポートに表示されるエントリと一時的に異なる場合があります。

コンプライアンス レポートのデバイスで報告される値

一部のコンプライアンス レポートには、デバイスによって直接報告された値を表示する [設定] 列が含まれます。 この列は、カスタム コンプライアンスや Android アプリ構成レポートなどのシナリオで表示され、特定のポリシー設定でデバイスが非準拠としてマークされる理由に関する追加のコンテキストを提供します。

設定値は、アプリケーションや管理者が指定したスクリプトなどのデバイス側ロジックによって生成されるため、サービスはコンテンツを検証または適用しません。 この値は、デバイスまたはスクリプトのレポートを反映し、形式と内容が異なる場合があります。 コンテキスト専用の設定値を使用し、信頼された管理者ワークフローを通じてコンプライアンスの状態を確認してから、デバイスで動作します。

重要

設定値はデバイスによって報告され、Intuneによって検証されません。 管理アクションの唯一の基礎として使用しないでください。 次のリスクに注意してください。

• 値には、自由形式のテキスト、URL、またはファイル パスが含まれる場合があります。 まれに、報告された値が、リンクをクリックしたり外部の指示に従ったりするなどして、管理者の動作に影響を与えようとする可能性があります。 個別に検証していない限り、設定値内のコンテンツと対話しないでください。
• デバイス側の評価では、ユーザー識別の詳細や環境固有の情報がキャプチャされる場合があります。 必要な場合を除き、設定値のコピーや共有は避けてください。

デバイス コンプライアンス ダッシュボード

Microsoft Intune管理センターのデバイス コンプライアンス ダッシュボードにアクセスできます。

1. [デバイス>コンプライアンス] に移動し、[モニター] タブを選択します。
2. テナントでのデバイス コンプライアンスの状態の詳細については、次のレポート オプションから選択します。

• デバイスの準拠の状態
• コンプライアンスのないデバイス
• ポリシーコンプライアンス (リンクはIntuneレポートの記事を開きます)
• コンプライアンスの設定 (リンクによってIntune レポートの記事が開きます)

デバイスの準拠の状態

[デバイスのコンプライアンス状態] タイルには、登録されているすべてのデバイスのコンプライアンス状態Intune表示されます。 このタイルを選択すると、非準拠デバイス レポートIntune表示されます。 このレポートは、管理センターの [デバイス>監視 ] ノードにも表示されます。

タイルには、次のカテゴリごとにデバイスの数が表示されます。

• 準拠: デバイスにデバイス コンプライアンス ポリシーが 1 つ以上、正しく適用されています。

• 猶予期間: デバイスは、1 つ以上のデバイス コンプライアンス ポリシー設定を対象としますが、それらのすべてにまだ準拠していません。 多くの場合、この状態は、ユーザーがパスワードの複雑さの要件を満たすなど、準拠した構成を適用していないためです。 この状態のデバイスは非準拠ですが、管理者によって定義された猶予期間にあります。

• 評価されていません: 新しく登録されたデバイスの最初の状態です。 この状態になるその他の原因としては、次が考えられます。

  • コンプライアンス ポリシーが割り当てられず、コンプライアンスをチェックするトリガーがないデバイス。
  • コンプライアンス ポリシーが最後に更新されてからチェックインされていないデバイス。
  • 次などのように、デバイスが特定のユーザーに関連付けられていない
    • ユーザー アフィニティがない Apple のデバイス登録プログラム (DEP) を通じて購入された iOS/iPadOS デバイス。
    • Android Enterprise 専用デバイス。
  • デバイス登録マネージャー (DEM) アカウントで登録されているデバイス。

• 準拠していない: デバイスが 1 つ以上のデバイス コンプライアンス ポリシー設定を適用できなかったか、ユーザーがポリシーに準拠していませんでした。

ヒント

デバイスが非準拠である場合の動作を構成するには、「非準拠 デバイスのアクション」を参照してください。

コンプライアンスのないデバイス

[ コンプライアンス ポリシーなしデバイス] タイルには、コンプライアンス ポリシーが割り当てられないデバイスの数が表示されます。 タイル名は、その長さのために管理センターで切り捨てられる可能性があります。

このタイルを選択すると、コンプライアンス ポリシーを持たない各デバイスを一覧表示する [デバイスの状態] ビューがIntune表示されます。 このビューには、 デバイス 名、デバイスに関連付けられている ユーザー プリンシパル名 、デバイスのコンプライアンス 状態、 デバイス モデルが含まれます。

ヒント

Intuneには、コンプライアンス ポリシーが割り当てられていないテナント内のすべてのデバイスを識別する組織レポートが含まれています。 「コンプライアンス ポリシーのないデバイス (組織)」を参照してください。

ポリシー ベースのデバイス コンプライアンス レポート

直接作成する各コンプライアンス ポリシーは、コンプライアンス レポートをサポートします。 個々のポリシーのレポートを表示するには、管理センターで [デバイス>コンプライアンス] に移動します。 次に、レポートの詳細を表示するポリシーを選択します。

既定では、ポリシーを選択すると、Intuneそのポリシーの [モニター] タブが開きます。 Intuneには、次の情報が表示されます。

• デバイスの状態 - このポリシーを受け取るデバイスの基本的なコンプライアンス状態を示す単純な棒グラフ。
• レポートの表示 - 選択できるボタンを選択すると、デバイスの状態レポートが開き、このポリシーに対するデバイスのコンプライアンスに関する詳細を表示できます。
• 設定ごとの状態 - このポリシーの設定ごとの状態レポートを開くタイルを選択できます。

ヒント

[プロパティ] タブには、名前やプラットフォームの種類など、ポリシーに関する重要な情報が表示されます。 また、そのポリシー内の各設定の構成に関する情報も含まれます。 このタブでは、設定や割り当てなどのポリシーの詳細を編集できます。

デバイスの状態

コンプライアンス ポリシーを選択すると、[ デバイスの状態 の概要] が既定のビューになります。 この概要は、特定のコンプライアンス状態ごとのデバイス数を示す単純なグラフです。 水平バーは、使用可能なカテゴリに一致する色に分割され、各色はそのカテゴリのデバイス数を表します。 前の画面キャプチャでは、すべてのデバイスが準拠しています。 その結果、バーは完全に緑色になります。

このグラフにデバイスが表示される前に、ポリシーを受信し、処理し、状態を正常に報告するには、Intuneでチェックする必要があります。 このプロセスは、デバイスがオンラインの場合、最大 24 時間かかる場合があります。

[デバイスの状態] グラフの詳細は次のとおりです。

• [準拠] - デバイスが 1 つ以上のデバイス コンプライアンス ポリシー設定を正常に適用しました。
• 非準拠 - デバイス構成が 1 つ以上のデバイス コンプライアンス ポリシー設定を満たできませんでした。
• その他 - デバイスは、このポリシーの設定 ( [エラー ] や [ 評価されていません] など) に準拠していない状態です。
• Total - このポリシーを受信して報告したデバイスの合計数。

詳細を表示するには、[レポートの 表示 ] ボタンを選択します。

レポートを表示する

ポリシーのデバイス状態ビューで [レポートの表示] ボタンを選択すると、そのポリシーのデバイスの状態の詳細なビューが表示Intune。

既定では、レポート ビューには次の詳細が表示されますが、詳細列をビューに追加できます。

• デバイス名 - デバイス を表示してグループを作成するときに表示されるデバイスの名前。
• ログインユーザー
• ポリシーコンプライアンスの状態 - この状態は、デバイスがこのポリシーに準拠しているかどうかを識別しますが、他のコンプライアンス ポリシーに対するデバイスのコンプライアンスを表すわけではありません。 Intuneは、デバイスが別のポリシーに準拠していない場合でも、非準拠と見なすことができます。
• デバイス ID - デバイスのIntuneデバイス ID。
• OS - Windows や Android などのデバイスのオペレーティング システム。
• 最後に接続された - このデバイスがIntune サービスに接続した最後の日付と時刻。

このレポート ビューでは、次の操作を行います。

• 各列をアルファベット順に並べ替えることができます。
• フィルターを構成し、検索文字列を指定してレポートの結果を絞り込むことができます。 検索では、表示されているすべての列が検索されます。

たとえば、st1 の検索文字列を入力すると、[デバイス名] 列に st1 を持つすべてのデバイスと、[ログインユーザー] 列に st1 を持つユーザーに関連付けられているすべてのデバイスが返されます。

設定ごとの状態

コンプライアンス ポリシーを選択したら、[ 設定ごとの状態 ] タイルを選択して、ポリシー設定のデバイス コンプライアンスの状態を確認します。 このビューには、レポートできるさまざまな状態条件の列を使用してポリシーによって構成される設定が表示されます。 各設定について、各状態列には、その状態を報告するデバイスの数が表示されます。

次の図は、Android デバイスのポリシーの設定ごとのビューを表示します。 このポリシーには 1 つの設定が含まれており、4 つのデバイスに展開されました。そのすべてがその設定に準拠しています。 このビューでは、列を選択して並べ替えたり、検索を使用したりできます。

設定ごとのビューで、任意の状態列からデバイス数を選択して、その特定の設定と状態の詳細を含むビューを開きます。 次の図は、[準拠しているデバイス] 列から数値 4 を選択した結果を示しています。

スクリーンショットには、選択した設定に対して 4 つのエントリがあり、各エントリは個別のデバイスを表しています。 この数は、設定ごとの状態ビューに表示される数値と一致します。

st1 で始まる名前を持つ 1 つのデバイスが 、[ デバイス コンプライアンス ] 列に [ 準拠していない] としてフラグが設定されていることがわかります。 この結果は、より詳しく調べる価値があります。

• [デバイスコンプライアンス] 列の詳細は、デバイスの全体的なコンプライアンス状態を表し、必ずしもこのポリシーまたはこのポリシーのこの設定に対するデバイスのコンプライアンスではありません。
• このデバイスは、このポリシーの設定に準拠していると報告されたデバイスの一覧を表示するため、このポリシーでこの設定を構成する方法に準拠していることを確認できます。
• この結果は、デバイスが他のポリシーに対するコンプライアンスに失敗していることを示します。

このドリルイン ビューではより詳細なドリル スルーがサポートされていないため、使用できる他のコンプライアンス レポートを使用して、どのポリシーを決定し、デバイスが非準拠としてレポートするかを設定する必要があります。

コンプライアンス設定が [エラー] 状態のデバイスの動作

コンプライアンス ポリシーの設定で [エラー] の値が返された場合、デバイスのコンプライアンス状態は最大 7 日間変更されず、その設定に対してコンプライアンス計算が正しく完了するまでの時間を確保できます。 この 7 日以内に、コンプライアンス ポリシー設定が [準拠] または [非準拠] として評価されるまで、デバイスの既存のコンプライアンス状態は引き続き適用されます。 7 日後も設定の状態が [エラー ] になっている場合、デバイスは [準拠していません] になるか、コンプライアンス ポリシーに猶予期間が設定されている場合は、[ 猶予期間] とマークされます。

例:

• デバイスは最初は [準拠] とマークされますが、その後、デバイスを対象とするコンプライアンス ポリシーの 1 つの設定で [エラー] が報告されます。 3 日後、コンプライアンス評価は正常に完了し、設定で [非準拠] と報告されます。 ユーザーは、設定状態が [エラー] に変更された後、最初の 3 日以内にデバイスを使用して条件付きアクセスによって保護されたリソースにアクセスし続けることができますが、設定が [非準拠] に戻ると、デバイスは [非準拠] とマークされ、デバイスが再び [準拠] になるまでこのアクセスが削除されます。

• デバイスは最初は [準拠] とマークされますが、その後、デバイスを対象とするコンプライアンス ポリシーの 1 つの設定で [エラー] が報告されます。 3 日後、コンプライアンスの評価が正常に完了すると、設定は [準拠] を返し、デバイスのコンプライアンス状態は [準拠] になります。 ユーザーは、中断することなく、条件付きアクセスで保護されたリソースに引き続きアクセスできます。

• デバイスは最初は [準拠] とマークされますが、その後、デバイスを対象とするコンプライアンス ポリシーの 1 つの設定で [エラー] が報告されます。 ユーザーは条件付きアクセスによって保護されたリソースに 7 日間アクセスできますが、7 日後もコンプライアンスの状態では引き続き [エラー] を返します。 この時点で、デバイスはすぐに 準拠しなくなり 、デバイスが準拠するまで、ユーザーは保護されたリソースへのアクセスを失 います。

• デバイスは最初は [準拠] とマークされますが、その後、デバイスを対象とするコンプライアンス ポリシーの 1 つの設定で [エラー] が報告されます。 [エラー] 状態の設定を含むコンプライアンス ポリシーには猶予期間が設定されています。 ユーザーは条件付きアクセスによって保護されたリソースに 7 日間アクセスできますが、7 日後もコンプライアンスの状態では引き続き [エラー] を返します。 この時点で、デバイスは 猶予期間に マークされ、ユーザーは保護されたリソースに引き続きアクセスできます。 管理者が指定した猶予期間に設定が準拠していない場合、デバイスは [準拠していません ] になり、デバイスが [準拠] になるまで、ユーザーは保護されたリソースにアクセスできなくなります。

• デバイスは最初は [準拠していません] とマークされていますが、デバイスを対象とするコンプライアンス ポリシーの 1 つの設定でエラーが報告 されます。 3 日後、コンプライアンスの評価が正常に完了すると、設定は [準拠] を返し、デバイスのコンプライアンス状態は [準拠] になります。 ユーザーは、最初の 3 日間は、条件付きアクセスで保護されたリソースにアクセスできません (この設定では [エラー] が返されます)。 設定で [準拠] を返し、デバイスが [準拠] とマークされると、ユーザーはデバイス上の保護されたリソースにアクセスできるようになります。

組織と運用のコンプライアンス レポート

個々のコンプライアンス ポリシーが提供するレポートに加えて、コンプライアンス ポリシーの設定に焦点を当てたデバイス コンプライアンスのレポートを表示できます。 これらのレポートには、準拠していないすべてのデバイスが一覧表示され、コンプライアンスの傾向に関する分析情報が提供されます。

これらのレポートを表示するには、Microsoft Intune管理センターを開き、[レポート>デバイス コンプライアンス] に移動し、[レポート] タブを選択します。

これらのレポートの詳細については、Intune レポートに関する記事の「デバイス コンプライアンスレポート」を参照してください。

その他のコンプライアンス レポート

[コンプライアンスの状態] タブと管理センターの [レポート] ノードからのレポートに加えて、次の古いコンプライアンス レポートを使用できます。

• 非準拠デバイス
• ポリシーに準拠していない

[デバイス>監視] に移動して、これらのレポートにアクセスします。 表示を高速化するために、[ カテゴリ ] 列を並べ替え、[ コンプライアンス ] タグを含むレポートを探します。

Intune のポリシー競合の解決方法

複数の Intune ポリシーを 1 つのデバイスに適用すると、ポリシーの競合が発生する可能性があります。 ポリシーの設定が重複した場合、Intune では次のルールを使用して競合を解決します。

• Intune構成ポリシーの設定とコンプライアンス ポリシーの間で競合が発生した場合、コンプライアンス ポリシーの設定が構成ポリシーの設定よりも優先されます。 この結果は、構成ポリシーの設定の安全性が高い場合でも発生します。

• 複数のコンプライアンス ポリシーを展開する場合、Intuneはこれらのポリシーの中で最も安全なポリシーを使用します。

ポリシーの競合解決の詳細については、「 競合するコンプライアンスポリシーとデバイス構成ポリシー」を参照してください。

既定のコンプライアンス ポリシー Intune評価する方法

Intuneでは、計算がトリガーされたときに既定のコンプライアンス ポリシーが評価されます。 すべての デバイス同期 がコンプライアンス計算を行うわけではありませんが、次のケースではコンプライアンス計算がトリガーされます。

• 新しい登録: 評価は、ユーザーがブロックの理由を確実に認識するために頻繁に行われます。 実際の頻度は、プラットフォームと登録の種類によって異なります。
• 定期的な評価: 評価は、デバイスが数日間オフラインになった後にユーザーのサインインを要求するなど、デバイスの連絡先の要件を適用するために定期的に行われます。
• 新しいコンプライアンス情報: 評価は、デバイスのプロパティの変更など、新しいコンプライアンス情報がデバイス同期中に見つかった場合に発生します。
• コンプライアンス ポリシーの割り当ての変更: 評価は、次のデバイス同期後にコンプライアンス ポリシーの割り当てが追加されたときに行われます。除外ターゲットなど、コンプライアンス ポリシーの割り当てが削除された場合、コンプライアンス計算は既存のサービス データでトリガーされます。
• ユーザー コンプライアンス ステータス チェック: 評価は、ユーザーがポータル サイト Web サイトまたはアプリのコンプライアンスの状態を確認するときに発生します。

評価プロセスは、次のいずれかのステートメントが false の場合、デバイスを非準拠として識別します。

• デバイスにコンプライアンス ポリシーが割り当てられている: 該当する設定を使用して、少なくとも 1 つの該当するコンプライアンス ポリシーをデバイスに割り当てる必要があります。
• デバイスがアクティブな場合: デバイスはIntuneと接触したままにする必要があります。 この要件は、デバイスがインターネット接続でオンになっていることを意味します。 既定の猶予期間は 30 日です。
• 登録済みユーザーが存在する: デバイスをアクティブに使用しているユーザーが存在し、有効なIntune ライセンスを持っています。

次の手順

コンプライアンス ポリシーの概要