重要
2024 年 7 月に、ID 保護とアカウント保護のための次の Intune プロファイルが非推奨となり、アカウント保護という名前の新しい統合プロファイルに置き換えられました。 この新しいプロファイルは、Endpoint Security のアカウント保護ポリシー ノードにあり、ID とアカウント保護のための新しいポリシー インスタンスを作成するために使用できる唯一のプロファイル テンプレートです。 この新しいプロファイルの設定は、設定カタログからも使用できます。
作成した次の古いプロファイルのインスタンスは、引き続き使用および編集できます。
- ID 保護 – 以前は [デバイス>構成]>[新しいポリシーの作成]>[新しいポリシー>]Windows 10以降>テンプレート>ID 保護から利用可能になりました
- アカウント保護 (プレビュー) - 以前は Endpoint Security>アカウント保護>Windows 10 以降から利用可能になりました>アカウント保護 (プレビュー)
注:
Intune は、この記事に記載されている設定よりも多くの設定をサポートする場合があります。 すべての設定が文書化されているわけではなく、今後も文書化されない可能性があります。 構成できる設定を表示するには、デバイス構成ポリシーを作成し、[ 設定カタログ] を選択します。 詳細については、「 設定カタログ」を参照してください。
この記事では、ID 保護プロファイルで管理できる Windows Hello for Business の設定について説明します。 ID 保護プロファイルは、Microsoft Intune のデバイス構成ポリシーの一部です。 ただし、2024 年 7 月の時点で、 ID 保護 のデバイス構成プロファイルは、 アカウント保護のエンドポイント セキュリティ プロファイルに置き換えられます。 以前に作成した ID 保護プロファイルを引き続き使用できますが、Intune では新しいインスタンスの作成がサポートされなくなりました。 代わりに、ID 保護の設定を管理するには、Endpoint Security アカウント保護ポリシーを使用します。
ID 保護プロファイルを使用すると、Windows デバイスの個別のグループの設定を構成できます。 デバイス登録の一環として Windows Hello for Business テナント全体を構成するには、「Windows Hello for Business との統合」で「Windows Hello for Business ポリシーの作成」を参照してくださいMicrosoft Intune。
この記事では、登録ポリシーの設定について説明します。
これらの設定の詳細については、Windows Hello ドキュメントの「Windows Hello for Business ポリシー設定の構成」を参照してください。
Windows Hello for Business
次の設定の詳細は、2024 年 7 月に非推奨となった ID 保護のデバイス構成プロファイル テンプレートにのみ適用されます。
Windows Hello for Business の構成:
未構成 (既定値) - Intune を使用して Windows Hello for Business の設定を制御しない場合は、この設定を選択します。 Windows デバイスの既存の Windows Hello for Business の設定は変更されません。 ウィンドウ上の他のすべての設定が使用できなくなります。
無効 - Windows Hello for Business を使用しない場合は、この設定を選択します。 画面上の他のすべての設定は使用できなくなります。
有効 - Windows Hello for Business の設定を構成する場合は、この設定を選択します。
[ 有効] に設定すると、次の設定を使用できます。
[PIN の最小の長さ]
デバイスの PIN の最小桁数を 4 文字から 127 文字まで指定します。 既定では、この設定は [未構成] です。PIN の最大長
デバイスの PIN の最大桁数を 4 文字から 127 文字まで指定します。 既定では、この設定は [未構成] です。PIN での小文字
必要な場合は、ユーザー PIN に少なくとも 1 つの小文字を含める必要があります。 既定では、この設定は [未構成] です。- 許可しない - ユーザーが PIN で小文字を使用することをブロックします。 この動作は、設定が構成されていない場合にも発生します。
- 許可 - ユーザーが PIN で小文字を使用することを許可しますが、必須ではありません。
- 必須 - ユーザーは 1 つ以上の小文字を PIN に含める必要があります。 たとえば、一般的なのは、少なくとも 1 つの大文字と 1 つの特殊文字の使用を要求する方法です。
PIN での大文字
必要な場合は、ユーザー PIN に少なくとも 1 つの大文字を含める必要があります。 既定では、この設定は [未構成] です。- 許可しない - ユーザーが PIN で大文字を使用することをブロックします。 この動作は、設定が構成されていない場合にも発生します。
- 許可 - ユーザーが PIN で大文字を使用することを許可しますが、必須ではありません。
- 必須 - ユーザーは 1 つ以上の大文字を PIN に含める必要があります。 たとえば、一般的なのは、少なくとも 1 つの大文字と 1 つの特殊文字の使用を要求する方法です。
PIN での特殊文字
必要な場合、ユーザー PIN には少なくとも 1 つの特殊文字を含める必要があります。 特殊文字は次のとおりです。! " # $ % & ' ( ) * + , - . / : ; < = > ? @ [ \ ] ^ _ ` { | } ~- 許可しない (既定値) - ユーザーが PIN で特殊文字を使用することをブロックします。 この動作は、設定が構成されていない場合にも発生します。
- 許可 - ユーザーが PIN で大文字を使用することを許可しますが、必須ではありません。
- 必須 - ユーザーは 1 つ以上の大文字を PIN に含める必要があります。 たとえば、一般的なのは、少なくとも 1 つの大文字と 1 つの特殊文字の使用を要求する方法です。
PIN の有効期間 (日)
設定されている場合、ユーザーは設定された日数が経過すると、PIN を強制的に変更するようになります。 ユーザーは、有効期限が切れる前に PIN を積極的に変更することができます。 既定では、この設定は [未構成] です。PIN の履歴を保存
設定されている場合、ユーザーはこの数の以前の PIN を再利用できません。 既定では、この設定は [未構成] です。PIN 回復を有効にする
ユーザーが Windows Hello for Business PIN 回復サービスを使用できるようにします。- 有効 - PIN 回復シークレットはデバイスに保存され、ユーザーは必要に応じて PIN を変更できます。
- 未構成 (既定値) - 回復シークレットは作成または保存されません。
トラステッド プラットフォーム モジュール (TPM) の使用
TPM チップは、追加のデータのセキュリティ層を提供します。- 有効 - アクセス可能な TPM を持つデバイスのみが Windows Hello for Business をプロビジョニングできます。
- 未構成 (既定値) - デバイスが最初に TPM を使用しようとします。 TPM が利用できない場合は、ソフトウェア暗号化を使用できます。
生体認証を許可する
許可されている場合、Windows Hello for Business は顔や指紋などのジェスチャを使用して認証できます。 障害が発生した場合に備えて、ユーザーは PIN を構成する必要があります。- 有効 - Windows Hello for Business は生体認証を許可します。
- 未構成 (既定) - Windows Hello for Business は生体認証を防止します (すべてのアカウントの種類について)。
使用可能な場合は、強化されたなりすまし対策を使用する
有効にすると、デバイスで可能な場合、強化されたなりすまし対策が使用されます (たとえば、実際の顔ではなく顔の写真を検出するなど)。- 有効 - Windows では、顔の特徴に対してスプーフィング対策を使用する必要があります (それがサポートされている場合)。
- 未構成 (既定値) - Windows はデバイスのなりすまし対策構成を優先します。
オンプレミス リソースの証明書
- 有効 - Windows Hello for Business が証明書を使用してオンプレミスのリソースに対する認証を行うことを許可します。
- 未構成 (既定値) - Windows Hello for Business が証明書を使用してオンプレミスのリソースに対する認証を行うことを防止します。 代わりに、デバイスは キー信頼オンプレミス認証の既定の動作を使用します。 詳細については、Windows Hello ドキュメントの「オンプレミス認証用のユーザー証明書」を参照してください。
サインインにセキュリティ キーを使用する
この設定は、Windows 10 バージョン 1903 以降、または Windows 11 を実行するデバイスで使用できます。 これを使用して、サインインに Windows Hello セキュリティ キーを使用するためのサポートを管理します。- 有効 - ユーザーは、このポリシーの対象となる PC のサインイン資格情報として Windows Hello セキュリティ キーを使用できます。
- 未構成 - セキュリティ キーは無効になっており、ユーザーはそれらを使用して PC にサインインできません。
重要
2025 年 10 月 14 日に、Windows 10 はサポートが終了し、品質と機能の更新プログラムを受け取ることはありません。 Windows 10 は、Intune で許可されているバージョンです。 このバージョンを実行しているデバイスは引き続き Intune に登録して対象機能を使用できますが、機能は保証されず、異なる場合があります。