このステップバイステップのチュートリアルでは、Microsoft Intune と Windows Autopilot を使用してクラウドネイティブ Windows エンドポイントを設定する方法を説明します。 クラウドネイティブの Windows エンドポイント (クラウドネイティブ Windows と記述されることもあります) は、Microsoft Entra に参加し、Microsoft Intune に登録され、クラウドから完全に管理されます。Active Directory ドメインへの参加やオンプレミスのインフラストラクチャは必要ありません。
このチュートリアルを完了するまでに、完全に構成された Windows デバイスが完成します。
- Microsoft Entra に参加し、Microsoft Intune に登録しました
- Microsoft Defender ウイルス対策、BitLocker 暗号化、Windows LAPS、セキュリティ ベースラインで保護
- Microsoft 365 アプリ、OneDrive の既知のフォルダー移動、およびポータル サイトを使用して Windows Autopilot を介してプロビジョニングされた
- Windows フリートの残りの部分にスケーリングする準備ができました
背景については、「クラウドネイティブ エンドポイントとは?」および「Microsoft Entra 結合の実装を計画する方法」を参照してください。
ヒント
クラウド ネイティブ エンドポイントについては、次の用語が表示されます。
- エンドポイント: エンドポイントは、携帯電話、Tablet PC、ノート PC、デスクトップ コンピューターなどのデバイスです。 "エンドポイント" と "デバイス" は同じ意味で使用されます。
- マネージド エンドポイント: MDM ソリューションまたは グループ ポリシー オブジェクトを使用して組織からポリシーを受け取るエンドポイント。 通常、これらのデバイスは組織所有ですが、BYOD または個人所有のデバイスでもかまいません。
- クラウド ネイティブ エンドポイント: Microsoft Entra に参加しているエンドポイント。 これらはオンプレミス AD に参加していません。
- ワークロード: 任意のプログラム、サービス、またはプロセス。
始める方法
5 つのフェーズを順番に完了します (それぞれが前のフェーズを基にして構築されます)。
| フェーズ | 目標 |
|---|---|
| フェーズ 1 – 環境を設定する | テナント、テスト デバイス、ベースラインの Autopilot ポリシーを準備する |
| フェーズ 2 – クラウドネイティブの Windows エンドポイントを構築する | Autopilot を使用して最初のエンドポイントをプロビジョニングする |
| フェーズ 3 – クラウドネイティブの Windows エンドポイントをセキュリティで保護する | エンドポイント セキュリティの適用: Defender、BitLocker、LAPS、ベースライン、更新プログラム |
| フェーズ 4 – カスタマイズを適用し、オンプレミスの構成を確認する | organization-specific apps-settings を追加し、グループ ポリシーから移行する |
| フェーズ 5 – Windows Autopilot を使用して展開をスケーリングする | OEM 登録、ペルソナ、ロールアウト リングを使用して、プロビジョニングをフリートにスケーリングする |
エンドポイントが展開されたら、「クラウドネイティブ Windows エンドポイントの監視」セクションを使用して、継続的な運用の一環として Intune 管理センターからポリシー、アプリ、コンプライアンスの状態を検証します。
フェーズ 1 – 環境の設定
最初のクラウド ネイティブな Windows エンドポイントを構築する前に、いくつか重要な要件と構成を確認する必要があります。 このフェーズでは、要件の確認、Windows Autopilot の構成、いくつかの設定やアプリケーションの作成を行います。
手順 1 - ネットワーク要件
クラウド ネイティブな Windows エンドポイントは、いくつかのインターネット サービスにアクセスする必要があります。 オープン ネットワークでテストを開始します。 Windows Autopilot ネットワーク要件に一覧表示されたすべてのエンドポイントへのアクセスを設定した後、企業ネットワークを使用します。
ワイヤレス ネットワークに証明書が必要な場合は、テスト時のイーサネット接続から始めて、デバイス プロビジョニングに必要なワイヤレス接続の最適な方法を決定することができます。
手順 2 - 登録とライセンス
Microsoft Entra に参加して Intune に登録する前に、チェックする必要があることがいくつかあります。 Intune MDM ユーザーという名前などの新しい Microsoft Entra グループを作成できます。 次に、特定のテスト ユーザー アカウントを追加し、そのグループで以下の各構成を対象にして、構成の設定中にデバイスを登録できるユーザーを制限できます。 Microsoft Entra グループを作成するには、「Microsoft Entra グループとグループ メンバーシップの管理] に移動します。
登録の制限登録制限を使用すると、Intune の管理に登録できるデバイスの種類を制御できます。 このガイドどおりに登録するには、Windows (MDM) 登録が許可されていることを確認してください (既定の構成)。
登録の制限に関する詳細については、「Microsoft Intune で登録制限を設定する」をご覧ください。
Microsoft Entra デバイスの MDM 設定 Windows デバイスを Microsoft Entra に参加させると、MDM で自動的に登録するようにデバイスに指示するように Microsoft Entra を構成できます。 この構成は、Windows Autopilot を動作させるために必要です。
Microsoft Entra デバイスの MDM 設定が適切に有効になっていることチェックするには、「クイックスタート - Intune での自動登録の設定」を参照してください。
Microsoft Entra の会社のブランド 会社のロゴと画像を Microsoft Entra に追加すると、ユーザーが Microsoft 365 にサインインするときに、使い慣れた一貫性のある外観が表示されます。 この構成は、Windows Autopilot を動作させるために必要です。
Microsoft Entra でカスタム ブランドを構成する方法については、「organization's Microsoft Entra サインイン ページにブランドを追加する] を参照してください。
ライセンスOut Of Box Experience (OOBE) から Intune に Windows デバイスを登録するユーザーには、2 つの主要な機能が必要です。
ユーザーには次のライセンスが必要です。
- Microsoft Intune または Microsoft Intune for Education ライセンス
- 次のオプションのいずれかのようなライセンスで、MDM への自動登録できるもの。
- Microsoft Entra Premium P1
- Microsoft Intune for Education
ライセンスを割り当てるには、「Microsoft Intune ライセンスの割り当て」をご覧ください。
注:
ライセンスの種類は、いずれも通常、Microsoft 365 E3 (または A3) 以上のライセンス バンドルに含まれます。 Microsoft 365 ライセンスの比較については、 こちらを参照してください。
手順 3 - テスト デバイスのインポート
クラウド ネイティブな Windows エンドポイントをテストするには、まず仮想マシンや物理デバイスを準備する必要があります。 次の手順では、デバイスの詳細を取得し、この記事の後半部分で使用する Windows Autopilot サービスにアップロードします。
注:
以下の手順は、テスト用のデバイスをインポートする方法ですが、パートナーや OEM では、購入の一環として、お客様の代理でデバイスを Windows Autopilot にインポートすることができます。 フェーズ 5 の Windows Autopilot に関する詳細情報があります。
Windows を仮想マシンにインストールするか、物理デバイスをリセットして、OOBE セットアップ画面で待機するようにします。 仮想マシンでは、オプションでチェックポイントを作成することができます。
インターネットに接続するために必要な手順を完了させます。
キーボードの組み合わせ Shift+F10 を使用して、コマンド プロンプトを開きます。
bing.com に ping を送信し、インターネットにアクセスできることを確認します。
ping bing.com
以下のコマンドを実行して PowerShell に切り替えます。
powershell.exe
次のコマンドを実行して、Get-WindowsAutoPilotInfo スクリプトをダウンロードします。
Set-ExecutionPolicy -ExecutionPolicy Bypass -Scope ProcessInstall-Script Get-WindowsAutopilotInfo
プロンプトが表示されたら、Y と入力して承諾します。
次のコマンドを入力します。
Get-WindowsAutopilotInfo.ps1 -GroupTag CloudNative -Online
注:
グループ タグを使用すると、デバイスのサブセットに基づいて動的な Microsoft Entra グループを作成できます。 グループ タグは、デバイスのインポート時に設定したり、Microsoft Intune 管理センターで後から変更できます。 手順 4 では、グループ タグ CloudNative を使用します。 テスト用に別のタグ名を設定することができます。
資格情報プロンプトが表示されたら、Intune 管理者アカウントでサインインします。
フェーズ 2 までは、コンピューターを出荷時の状態にしておきます。
手順 4 - デバイスの Microsoft Entra 動的グループを作成する
このガイドの構成を、Windows Autopilot にインポートするテスト デバイスに制限するには、動的な Microsoft Entra グループを作成します。 このグループには、Windows Autopilot にインポートし、グループ タグ CloudNative を持つデバイスを自動的に含める必要があります。 このグループには、すべての構成やアプリケーションを割り当てることができます。
Microsoft Intune 管理センターを開きます。
[グループ>新しいグループ] を選択します。 次の詳細を入力します:
- グループの種類: [セキュリティ] を選択します。
- グループ名: Windows エンドポイント Cloud-Native Autopilot を入力します。
- メンバーシップの種類: [動的デバイス] を選択します。
[動的クエリの追加] を選択します。
Rule Syntax セクションで、[編集] を選択します。
次のようなテキストを貼り付けてください。
(device.devicePhysicalIds -any (_ -eq "[OrderID]:CloudNative"))[OK]>[保存]>[作成] の順に選択します。
ヒント
動的グループは、変更があった場合、その内容が反映されるまでに数分かかります。 大規模な組織では、 さらに時間がかかる場合があります。 新しいグループの作成後、数分待ってから、デバイスがグループのメンバーになったことを確認してください。
デバイスの動的グループについては、「デバイスのルール」をご覧ください。
手順 5 - 登録状態ページの構成
登録状態ページは、IT 担当者がエンドポイントをプロビジョニングする間に、エンドユーザー エクスペリエンスを制御するために使用するメカニズムです。 「登録状態ページを設定する」を参照してください。 登録状態ページの範囲を制限するには、新しいプロファイルを作成し、前の手順「デバイスの動的グループの作成」で作成した Autopilot Cloud-Native Windows エンドポイント グループMicrosoft Entraターゲットにすることができます。
テスト目的では、次の設定を推奨しますが、必要に応じて自由に調整してください。
設定 値 アプリとプロファイルの構成の進行状況を表示する はい out-of-box experience (OOBE) によってプロビジョニングされたデバイスにのみページを表示する はい (既定値)
手順 6 - Windows Autopilot プロファイルを作成して割り当てる
Windows Autopilot プロファイルを作成して、テスト デバイスに割り当てることができるようになります。 このプロファイルは、デバイスに Microsoft Entra への参加を指示し、OOBE 中に適用する設定を指示します。
Microsoft Intune 管理センターを開きます。
デバイス>デバイス オンボード>登録>Windows>Windows Autopilot>展開プロファイルを選択します。
[プロファイルの作成]、>[Windows PC] の順に選択します。
Windows エンドポイント Cloud-Native Autopilot という名前を入力し、[次へ] を選択します。
Out-of-box experience (OOBE) 設定で、次のキー値を確認して、[次へ] を選択します。
設定 値 デプロイ モード ユーザー駆動型 次として Microsoft Entra ID に参加します Microsoft Entra 参加済みデバイス ユーザー アカウントの種類 Standard デバイス名テンプレートを適用する 省略可能。 CloudPC-%SERIAL%のような名前付けテンプレートを使用すると、管理センターでデバイスを簡単に識別できます。重要
ユーザー アカウントの種類を [Standard] に設定することは、セキュリティ上最善な方法です。 これにより、ユーザーが未承認のソフトウェアをインストールするのを防ぎ、クラウドネイティブのエンドポイントに対する攻撃対象領域を減らします。
スコープ タグを残し、[次へ] を選択します。
Autopilot Cloud-Native Windows エンドポイント という名前で作成したMicrosoft Entraグループにプロファイルを割り当て、[次へ]、[作成] の順に選択します。
手順 7 - Windows Autopilot デバイスの同期
Windows Autopilot サービスは、1 日に数回の同期を行います。 また、すぐに同期を開始して、デバイスをテストできる状態にすることもできます。 すぐに同期させるには、以下の操作を行います。
Microsoft Intune 管理センターを開きます。
[デバイス]>デバイス オンボード>登録>Windows>Windows Autopilot>デバイス] を選択します。
[同期] を選択します。
同期には数分かかりますが、バックグラウンドで行われます。 同期が完了すると、インポートされたデバイスのプロファイルの状態に [割り当て済み] と表示されます。
手順 8 - 最適な Microsoft 365 エクスペリエンスの構成の設定
構成する必要のある設定をいくつか選択しました。 これらの設定は、クラウド ネイティブな Windows デバイスで最適な Microsoft 365 エンドユーザー エクスペリエンスをデモします。 これらの設定は、デバイス構成設定カタログ プロファイルを使用して構成されます。 詳細については、「Microsoft Intune で設定カタログを使用してポリシーを作成する」をご覧ください。
プロファイルを作成して設定を追加したら、前に作成した Autopilot Cloud-Native Windows エンドポイント グループにプロファイルを割り当てます。
Microsoft Outlook - Microsoft Outlook の初回実行エクスペリエンスを向上させるために、次の設定では、Outlook を初めて開いたときにプロファイルが自動的に構成されます。
設定カテゴリ 設定 値 Microsoft Outlook 2016\Account Settings\Exchange (ユーザー設定) Active Directory のプライマリ SMTP アドレスに基づいて最初のプロファイルのみを自動的に構成する Enabled (有効) Microsoft Edge - Microsoft Edge の最初の実行エクスペリエンスを向上させるために、次の設定では、ユーザーの設定を同期し、最初の実行エクスペリエンスをスキップするように Microsoft Edge を構成します。
設定カテゴリ 設定 値 Microsoft Edge 初回実行時のエクスペリエンスとスプラッシュ画面を非表示にする Enabled (有効) ブラウザー データを強制的に同期し、同期の同意プロンプトを表示しない Enabled (有効) Microsoft OneDrive - 最初のサインインのエクスペリエンスを向上させるために、次の設定では、自動的にサインインしてデスクトップ、画像、ドキュメントを OneDrive にリダイレクトするように Microsoft OneDrive を構成します。 ファイル オンデマンド (FOD) も推奨されます。 既定では有効になっており、次の一覧には含まれません。 OneDrive 同期アプリに推奨される構成の詳細については、「Microsoft OneDrive の推奨される同期アプリの構成」をご覧ください。
設定カテゴリ 設定 値 OneDrive Windows 資格情報を使用して OneDrive 同期アプリにユーザーをサイレント モードでサインインする Enabled (有効) サイレント モードで Windows の既知のフォルダーを OneDrive に移動する Enabled (有効) 注:
詳細については、「既知のフォルダーをリダイレクトする」をご覧ください。
次のスクリーンショットは、おすすめの各設定を構成した設定カタログ プロファイルの例を示しています。
手順 9 - いくつかのアプリケーションの作成と割り当て
クラウド ネイティブなエンドポイントには、いくつかのアプリケーションが必要です。 まずは、以下のアプリケーションを構成し、先に作成したクラウド ネイティブな Autopilot Windows エンドポイント グループを対象にすることをお勧めします。
Microsoft 365 Apps (旧称 Office 365 ProPlus) - Word、Excel、Outlook などの Microsoft 365 Apps は、Intune に組み込まれている Windows 用 Microsoft 365 アプリ アプリ プロファイルを使用してデバイスに簡単に展開できます。
- 設定の形式は、XML ではなく構成デザイナーを選択します。
- 最新チャネルに [現在のチャネル] を選択します。
Microsoft 365 Apps を展開するには、「Microsoft Intune を使用して Windows デバイスに Microsoft 365 アプリを追加する」をご覧ください。
ポータル サイト アプリ - Intune ポータル ポータル サイト アプリを必須アプリケーションとしてすべてのデバイスに展開することをお勧めします。 ポータル サイト アプリは、ユーザーが Intune、Microsoft Store、構成マネージャーなどの複数のソースからアプリケーションをインストールする場合に使用する、ユーザーのためのセルフサービス ハブです。 また、ユーザーはポータル サイト アプリを使用して、デバイスを Intune と同期したり、コンプライアンスの状況を確認したりできます。
必要に応じてポータル サイトを展開するには、「Intune マネージド デバイス用 Windows ポータル サイト アプリを追加して割り当てる」を参照してください。
Microsoft Store アプリ (Whiteboard) - Intune はさまざまなアプリを展開できますが、このガイドではシンプルにするためにストア アプリ (Microsoft Whiteboard) を展開します。 「Microsoft Intune にMicrosoft Store アプリを追加する」の手順に従って、Microsoft Whiteboard をインストールしてください。
フェーズ 2 – クラウドネイティブの Windows エンドポイントを構築する
最初のクラウドネイティブ Windows エンドポイントを構築するには、 フェーズ 1、手順 3 - テスト デバイスのインポートでハードウェア ハッシュを収集し、Windows Autopilot サービスにアップロードしたのと同じ仮想マシンまたは物理デバイスを使用します。 デバイスで Windows Autopilot プロセスを進めます。
Windows PC を Out of Box Experience (OOBE) に再開 (必要な場合はリセット) します。
注:
個人用または organization 用のセットアップを選択するように求められた場合、Windows Autopilot プロセスは開始されていません。 そのような状況では、デバイスを再起動し、インターネットにアクセスできる状態にしてください。 それでもうまくいかない場合は、PC をリセットするか、Windows の再インストールをお試しください。
Microsoft Entra 資格情報 (UPN または AzureAD\username) を使用してサインインします。
登録状況ページに、デバイス構成の状態が表示されます。
おめでとうございます! 最初のクラウドネイティブ Windows エンドポイントをプロビジョニングしました。
エンドポイントを検証する
フェーズ 3 に進む前に、新しいデバイスで次のタスクを確認します。
- OneDrive フォルダー (デスクトップ、ドキュメント、画像) はリダイレクトされ、同期されます。
- Outlook が開き、Microsoft 365 プロファイルが自動的に構成されます。
- ポータル サイトがインストールされ、Microsoft Whiteboard を利用できます。
- Microsoft Entra 資格情報を使用してサインインし、クラウド リソースにアクセスできます。
- 必要に応じて、オンプレミスのリソース (ファイル共有、イントラネット サイト、プリンター) にアクセスできます。
Windows Hello を使用してオンプレミス リソースにアクセスするときにパスワードの入力を求められた場合、Windows Hello for Business ハイブリッドはまだ構成されていません。 サインイン画面でキー アイコンを選択し、代わりにユーザー名とパスワードを使用してテストを続行できます。 詳しくは、「Windows Hello for Business ハイブリッド」をご覧ください。
フェーズ 3 - クラウド ネイティブな Windows エンドポイントの保護
このフェーズは、お客様の組織に合わせたセキュリティ設定の構築をサポートするために設計されています。 このセクションでは、Microsoft Intune のさまざまなエンドポイントのセキュリティ コンポーネントについてご紹介します。
- Microsoft Defender ウイルス対策 (MDAV)
- Microsoft Defender ファイアウォール
- BitLocker 暗号化
- Windows ローカル管理者パスワード ソリューション (LAPS)
- セキュリティ基本計画
- Windows Update クライアント ポリシー
- コンプライアンス ポリシー
- 条件付きアクセス
Microsoft Defender ウイルス対策 (MDAV)
Windows の OS 内蔵コンポーネントである Microsoft Defender ウイルス対策の最小構成として、次の設定が推奨されます。 これらの設定は、E3 や E5 などの特定のライセンス契約を必要とせず、Microsoft Intune 管理センターで有効にすることができます。
Intune 管理センター
Microsoft Graph管理センターで、[エンドポイント セキュリティ]>[ウイルス対策]>[ポリシーの作成]>[Windows 以降]>[プロファイルの種類] = [Microsoft Defender ウイルス対策] に移動します。
ディフェンダー:
- 動作の監視を許可する: 許可する。リアルタイムの動作監視を有効にします。
- クラウド保護を許可: 許可する。クラウド保護を有効にします。
- Allow Email scanning: 許可する。電子メールのスキャンを有効にします。
- ダウンロードしたすべてのファイルと添付ファイルのスキャンを許可する: 許可する。
- リアルタイム監視を許可: 許可する。リアルタイム監視サービスをオンにして実行します。
- Network Files のスキャンを許可する: 許可されています。ネットワーク ファイルをスキャンします。
- スクリプトのスキャンを許可: 許可する。
- クラウド拡張タイムアウト: 50
- 削除されたマルウェアを保持する日数: 30
- ネットワーク保護を有効にする: 有効 (監査モード)
- PUA 保護: PUA 保護がオンになっています。検出された項目はブロックされています。それらは他の脅威とともに歴史に残るでしょう。
- リアルタイム スキャン方向: すべてのファイルを監視します (双方向)。
- サンプルの同意を送信する: 安全なサンプルを自動的に送信します。
- アクセス保護時に許可: 許可されます。
- 重大な脅威に対する修復アクション: 検疫。ファイルを検疫に移動します。
- 重大度が低い脅威の修復アクション: 検疫。ファイルを検疫に移動します。
- 重大度が中程度の脅威に対する修復アクション: 検疫。ファイルを検疫に移動します。
- 重大度が高い脅威に対する修復アクション: 検疫。ファイルを検疫に移動します。
ユーザー アイコンを選択して、Intune 管理者の組織アカウントでサインインします。E3 および E5 のライセンスを付与されたお客様の Microsoft Defender for Endpoint などの Windows Defender の構成については、以下をご覧ください。
Microsoft Defender ファイアウォール
Microsoft Intune のエンドポイント セキュリティを使用して、ファイアウォールとファイアウォール規則を構成します。 詳細については、「Intune のエンドポイント セキュリティのファイアウォール ポリシー」をご覧ください。
Microsoft Defender ファイアウォールは、NetworkListManager CSP を使用して信頼されたネットワークを検出できます。 また、Windows を実行しているエンドポイントで ドメイン ファイアウォール プロファイルに切り替えることができます。
ドメイン ネットワーク プロファイルを使用すると、信頼されたネットワーク、プライベート ネットワーク、およびパブリック ネットワークに基づいてファイアウォール規則を区別できます。 これらの設定は、Windows カスタム プロファイルを使用して適用できます。
注:
Microsoft Entra に参加しているエンドポイントは、ドメインに参加しているエンドポイントと同じように LDAP を使用してドメイン接続を検出することはできません。 代わりに、 NetworkListManager CSP を使用して、アクセス可能な場合はエンドポイントを ドメイン ファイアウォール プロファイルに切り替える TLS エンドポイントを指定します。
BitLocker 暗号化
Microsoft Intune のエンドポイント セキュリティを使用して、BitLocker を使用した暗号化を構成します。
- BitLocker の管理の詳細については、「Intune で BitLocker を使用して Windows デバイスを暗号化する」を参照してください。
- BitLocker に関する一連のブログは、「Microsoft Intune を使用して BitLocker を有効にする」をご覧ください。
これらの設定は、Microsoft Intune 管理センターで有効にすることができます。 管理センターで、[エンドポイント セキュリティ]>[管理]>[ディスク暗号化]>[ポリシーの作成]>Windows 以降>プロファイル = BitLocker に移動します。
次の BitLocker 設定を構成すると、標準ユーザーに対して 128 ビット暗号化がサイレント モードで有効になります。これは一般的なシナリオです。 ただし、組織のセキュリティ要件が異なる場合があるため、追加の設定については BitLocker のドキュメントを参照してください。
| 設定カテゴリ | 設定 | 値 |
|---|---|---|
| BitLocker | デバイスの暗号化を要求する | Enabled (有効) |
| 他のディスク暗号化の警告を許可する | Disabled | |
| Standard ユーザーの暗号化を許可する | Enabled (有効) | |
| 回復パスワードの循環を構成する | Azure AD に参加しているデバイスの更新をオンにする | |
| BitLocker ドライブ暗号化 | ドライブの暗号化方法と暗号強度の選択 | Not Configured |
| 組織の一意の識別子を指定する | Not Configured | |
| オペレーティング システム ドライブ | オペレーティング システム ドライブにドライブ暗号化の種類を適用 | Enabled (有効) |
| 暗号化の種類の選択 (デバイス) | 使用済みスペースのみの暗号化 | |
| 起動時に追加の認証を要求する | Enabled (有効) | |
| 互換性のある TPM を使用せずに BitLocker を許可する (パスワードまたは USB フラッシュ ドライブのスタートアップ キーが必要) | False | |
| TPM スタートアップ キーと PIN を構成する | TPM でスタートアップ キーと PIN を許可する | |
| TPM スタートアップ キーを構成する | TPM でスタートアップ キーを許可する | |
| TPM スタートアップ PIN の構成 | TPM でスタートアップ PIN を許可する | |
| TPM のスタートアップを構成する | TPM が必要 | |
| スタートアップ用の最小 PIN 桁を構成する | 未構成 | |
| 拡張スタートアップ PIN を許可する | 未構成 | |
| 標準ユーザーが PIN またはパスワードのを変更できないようにする | 未構成 | |
| InstantGo または HSTI に準拠しているデバイスがプリブート PIN をオプトアウトできるようにします | 未構成 | |
| スレートでプリブート キーボード入力を必要とする BitLocker 認証の使用を有効にする | 未構成 | |
| BitLocker で保護されたオペレーティング システム ドライブを回復する方法を選択する | Enabled (有効) | |
| BitLocker 回復情報のユーザー ストレージを構成する | 48 桁の回復パスワードが必要 | |
| データ回復エージェントを許可する | False | |
| AD DS への BitLocker 回復情報の格納を構成する | 回復パスワードとキー パッケージを格納する | |
| オペレーティング システム ドライブの回復情報が AD DS に保存されるまで、BitLocker を有効にしないでください | True | |
| BitLocker セットアップ ウィザードから回復オプションを省略する | True | |
| オペレーティング システム ドライブの BitLocker 回復情報を AD DS に保存する | True | |
| プリブート回復メッセージと URL を構成する | 未構成 | |
| 固定データ ドライブ | 固定データ ドライブにドライブ暗号化の種類を適用する | Enabled (有効) |
| 暗号化の種類を選択します: (デバイス) | ユーザーによる選択を許可する (既定) | |
| BitLocker で保護された固定ドライブを回復する方法を選択する | Enabled (有効) | |
| BitLocker 回復情報のユーザー ストレージを構成する | 48 桁の回復パスワードが必要 | |
| データ回復エージェントを許可する | False | |
| AD DS への BitLocker 回復情報の格納を構成する | バックアップ回復パスワードとキー パッケージ | |
| 固定データ ドライブの回復情報が AD DS に保存されるまで、BitLocker を有効にしないでください | True | |
| BitLocker セットアップ ウィザードから回復オプションを省略する | True | |
| 固定データ ドライブの BitLocker 回復情報を AD DS に保存する | True | |
| BitLocker で保護されていない固定ドライブへの書き込みアクセスを拒否する | 未構成 | |
| リムーバブル データ ドライブ | リムーバブル ドライブでの BitLocker の使用を制御する | Enabled (有効) |
| リムーバブル データ ドライブ (デバイス) に BitLocker 保護を適用することをユーザーに許可する | False | |
| リムーバブル データ ドライブ (デバイス) で BitLocker 保護を一時停止および復号化することをユーザーに許可する | False | |
| BitLocker で保護されていないリムーバブル ドライブへの書き込みアクセスを拒否する | 未構成 |
Windows ローカル管理者パスワード ソリューション (LAPS)
既定では、組み込みのローカル管理者アカウント (既知の SID S-1-5-500) は無効です。 トラブルシューティング、エンドユーザー サポート、デバイスの回復など、ローカル管理者アカウントにとって有益なシナリオがいくつかあります。 組み込みの管理者アカウントを有効にするか、新しいローカル管理者アカウントを作成することを決定する場合、そのアカウントのパスワードをセキュリティで保護することが重要です。
Windows ローカル管理者パスワード ソリューション (LAPS) は、パスワードをランダム化して Microsoft Entra に安全に保存するために使用できる機能の 1 つです。 Intune を MDM サービスとして使用している場合は、次の手順に従って Windows LAPS を有効にします。
重要
Windows LAPS では、既定のローカル管理者アカウントが有効であると見なされます (名前が変更されたり、別のローカル管理者アカウントを作成したりしたとしても)。 自動 アカウント管理モードを構成しない限り、Windows LAPS ではローカル アカウントの作成や有効化は行われません。
Windows LAPS の構成とは別に、ローカル アカウントを作成または有効にする必要があります。 このタスクをスクリプト化することも、 アカウント CSP や ポリシー CSP などの構成サービス プロバイダー (CSP) を使用することもできます。
Windows デバイスに 2023 年 4 月 (またはそれ以降) のセキュリティ更新プログラムがインストールされていることを確認します。
詳細については、「Microsoft Entra オペレーティング システムの更新プログラム」を参照してください。
Microsoft Entra で Windows LAPS を有効にします。
- Microsoft Entra にサインインします。
- [ローカル管理者パスワード ソリューション (LAPS) を有効にする] 設定で、[はい]>[保存] (ページの上部) を選択します。
詳細については、「Microsoft Entra で Windows LAPS を有効にする」を参照してください。
Intune で、エンドポイント セキュリティ ポリシーを作成します。
- Microsoft Intune 管理センターにサインインします。
- [エンドポイント セキュリティ]>アカウント保護]>ポリシーの作成>Windows>ローカル管理者パスワード ソリューション (Windows LAPS)>[作成] を選択します。
詳細については、「Intune で LAPS ポリシーを作成する」を参照してください。
セキュリティ基準計画
セキュリティ ベースラインを使用して、Windows エンドポイントのセキュリティを向上させることが実証された一連の構成を適用できます。 セキュリティ ベースラインの詳細については、「Intune の Windows MDM セキュリティ ベースライン設定」をご覧ください。
ベースラインは、おすすめの設定を使用して適用することができ、お客様の要件に応じてカスタマイズすることができます。 ベースラインの設定によっては、予期せぬ結果を引き起こしたり、Windows エンドポイントで実行されているアプリケーションやサービスとの互換性が失われたりする場合があります。 その結果、ベースラインは分離してテストする必要があります。 ベースラインは、他の構成プロファイルや設定を使用せずに、選択したテスト エンドポイントのグループにのみ適用します。
セキュリティ・ベースラインの既知の問題
Windows セキュリティ ベースラインの以下の設定では、Windows Autopilot を使用する場合や標準ユーザーとしてアプリをインストールしようとした場合に問題が発生することがありました。
- ローカル ポリシーのセキュリティ オプション\管理者特権プロンプトの動作 (既定 = セキュリティで保護されたデスクトップで同意を要求する)
- 標準的なユーザー昇格要求の動作 (既定 = 昇格要求を自動的に拒否する)
詳細については、「 ポリシーが Windows Autopilot と競合する場合のトラブルシューティング」を参照してください。
Windows Update クライアント ポリシー
Windows Update クライアント ポリシーは、デバイスに更新プログラムをインストールする方法とタイミングを制御するためのクラウド テクノロジです。 Intune では、Windows Update クライアント ポリシーは、次を使用して構成できます。
詳細については、以下をご覧ください。
- Microsoft Intune での Windows Update クライアント ポリシーの使用について説明します
- Module 4.2 - Windows Update for Business の基礎 Intune for Education 展開ワークショップ ビデオ シリーズより
ヒント
クラウドネイティブ環境の場合は、 Windows Autopatch を検討してください。 Autopatch では、更新リングの管理とレポートが自動化されるため、延期期間と期限を手動で調整する必要がなくなります。 これは Microsoft Intune に含まれており、完全に自動化されたポリシー駆動型の Windows 更新プログラムを最小限の管理オーバーヘッドで実現したい組織に推奨されるアプローチです。
コンプライアンス ポリシー
コンプライアンス ポリシーでは、クラウドネイティブの Windows エンドポイントの正常性 (BitLocker が有効かどうか、セキュア ブートがオンかどうか、Microsoft Defender ウイルス対策が実行されているかどうかなど) を報告します。 このポリシーは条件付きアクセスの基盤でもあるため、非準拠デバイスが organization リソースにアクセスできないようにブロックできます。
Windows コンプライアンス ポリシーを作成するには:
Microsoft Intune 管理センターにサインインします。
[デバイス>コンプライアンス>作成] ポリシーを選択します。
[プラットフォーム] で、[Windows 10 以降>作成] を選択します。
[ 基本] にポリシーの名前を入力し、[ 次へ] を選択します。
[ コンプライアンスの設定] で、次の推奨値を構成し、[ 次へ] を選択します。
設定カテゴリ 設定 値 デバイスの正常性 BitLocker が必要 必須 デバイスでセキュア ブートを有効にする必要がある 必須 コードの整合性を要求する 必須 システム セキュリティ ファイアウォール 必須 ウイルス対策 必須 スパイウェア対策 必須 モバイル デバイスのロックを解除するパスワードを要求する 必須 単純なパスワード ブロック パスワードの種類 英数字 パスワードの最小文字数 14 パスワードが要求されるまでの非アクティブの最長時間 (分) 1 分 パスワードの有効期限 (日) 365 再使用を禁止するパスワード世代数 5 Defender Microsoft Defender マルウェア対策 必須 最新の Microsoft Defender マルウェア対策セキュリティ インテリジェンス 必須 リアルタイム保護 必須 ヒント
Microsoft と現在の NIST ガイダンスでは 、定期的なパスワードの有効期限切れは推奨されなくなりました。 Windows セキュリティ ベースラインでは、2019 年にパスワードの有効期限が削除されました。 クラウドネイティブ エンドポイントの場合、最も強力な態勢は、Windows Hello for Business とパスキー/FIDO2 セキュリティ キーを使用したパスワードなしのサインインにユーザーを移行し、Microsoft Entra パスワード保護を使用して脆弱なパスワードをブロックすることです。 organization's のポリシーに合わせて上記の値を調整してください。 詳細については、「Microsoft Intune を使用したパスワードレス認証」を参照してください。
[コンプライアンス違反に対するアクション] で、[デバイス非準拠としてマークする] スケジュールを [
1日] (またはorganizationに合った別の猶予期間) に設定します。ヒント
条件付きアクセスを使用する場合は、非準拠デバイスが organization リソースへのアクセスをすぐに失わないように、猶予期間を構成します。 また、準拠するための手順をユーザーにメールで送信するアクションを追加することもできます。
手順 4 - デバイスの動的グループの作成から Autopilot Cloud-Native Windows エンドポイント グループMicrosoft Entraポリシーを割り当てます。
Windows コンプライアンス設定の詳細については、「Microsoft Intune の Windows デバイス コンプライアンス設定」を参照してください。
条件付きアクセス
Microsoft Entra の条件付きアクセスでは、Intune からのコンプライアンス シグナルを使用して、organization リソースへのアクセスを許可またはブロックします。 最も一般的なクラウドネイティブ パターンは、Microsoft 365 アプリやその他のクラウド サービスに準拠した デバイスが必要であること です。 このパターンにより、Intune で管理されている正常なデバイスのみがデータにアクセスできます。
一般的なクラウドネイティブの条件付きアクセス ベースラインには、次のものが含まれます。
- すべてのユーザーに多要素認証を要求します。
- クラウド アプリには、準拠デバイス (または ハイブリッド Microsoft Entra 参加デバイス) が必要です。
- レガシ認証プロトコルをブロック する。
重要
最初にパイロット グループで条件付きアクセス ポリシーをテストします。 ポリシーが正しく構成されていないと、管理者が Microsoft Entra 管理センターからロックアウトされる可能性があります。
詳細なガイダンスについては、「Windows への PowerShell のインストール」を参照してください。
フェーズ 4 - カスタマイズの適用とオンプレミスの構成の確認
このフェーズでは、組織固有の設定やアプリを適用し、オンプレミスの構成を確認します。 このフェーズは、お客様の組織に特化したカスタマイズの構築をサポートするのに役立ちます。 Windows のさまざまなコンポーネントに注目し、オンプレミスの AD グループ ポリシー環境から既存の構成を確認し、それをクラウド ネイティブなエンドポイントに適用する方法を紹介します。 次のような各セクションに分かれます。
- ユーザーの操作性
- デバイス構成
- オンプレミスからの移行
- アプリケーション
Microsoft Edge
Microsoft Edge の展開
Microsoft Edge が搭載されているデバイスでは、以下の操作を実行します。
- Windows
ユーザーがサインインすると、Microsoft Edge は自動的に更新されます。 展開中に Microsoft Edge の更新をトリガーするには、次のコマンドを実行できます。
Start-Process -FilePath "C:\Program Files (x86)\Microsoft\EdgeUpdate\MicrosoftEdgeUpdate.exe" -argumentlist "/silent /install appguid={56EB18F8-B008-4CBD-B6D2-8C97FE7E9062}&appname=Microsoft%20Edge&needsadmin=True"
Microsoft Edge を以前のバージョンの Windows に展開するには、「Microsoft Edge for Windows を Microsoft Intune に追加する」をご覧ください。
Microsoft Edge の構成
ユーザーが Microsoft 365 の資格情報でサインインする場合に適用される Microsoft Edge エクスペリエンスの 2 つのコンポーネントは、Microsoft 365 管理センターで構成できます。
Microsoft Edge のスタート ページのロゴは、Microsoft 365 管理センターの [組織] セクションを構成することでカスタマイズできます。 詳細については、「組織で使用する Microsoft 365 のテーマをカスタマイズする」をご覧ください。
Microsoft Edge の既定の新しいタブ ページには、Office 365 情報や個人用設定されたニュースが表示されます。 このページの表示方法は、Microsoft 365 管理センターの [設定]>[組織設定]>[ニュース]>[Microsoft Edge 新規タブ ページ] でカスタマイズできます。
設定カタログ プロファイルを使用して、Microsoft Edge のその他の機能を設定することもできます。 たとえば、組織のために特定の同期設定を構成する必要がある場合などです。
-
Microsoft Edge
- 同期から除外する種類の一覧を構成する - パスワード
スタートとタスク バーのレイアウト
Intune を使用して、標準のスタート画面とタスク バーのレイアウトをカスタマイズして設定することができます。
Windows 11 の場合:
- スタート メニューのレイアウトを作成して適用するには、「Windows 11 でスタート メニューのレイアウトをカスタマイズする」をご覧ください。
- タスク バーのレイアウトを作成して適用するには、「Windows 11 のタスク バーをカスタマイズする」をご覧ください。
Windows 10 の場合:
- スタートとタスク バーのカスタマイズについては、「Windows のスタートとタスク バーのレイアウトを管理する (Windows)」をご覧ください。
- スタートとタスク バーのレイアウトを作成するには、「スタートのレイアウトをカスタマイズしてエクスポートする (Windows)」をご覧ください。
レイアウトが作成されたら、デバイスの制限プロファイルを構成することで Intune にアップロードできます。 この設定は [スタート] の下にあります。
重要
2025 年 10 月 14 日に、Windows 10 はサポートが終了し、品質と機能の更新プログラムを受け取ることはありません。 Windows 10 は、Intune で許可されているバージョンです。 このバージョンを実行しているデバイスは引き続き Intune に登録して対象機能を使用できますが、機能は保証されず、異なる場合があります。
設定カタログ
設定カタログは、構成可能なすべての Windows 設定が一覧表示される単一の場所です。 この機能を使用すると、ポリシーを作成する方法、および使用可能なすべての設定を表示する方法が簡単になります。 詳細については、「Microsoft Intune で設定カタログを使用してポリシーを作成する」をご覧ください。
ヒント
グループ ポリシーで使い慣れた設定の多くは、設定カタログに組み込まれています。 設定カタログで設定が利用できない場合は、デバイス構成プロファイル テンプレートをチェックします。
以下は、設定カタログで利用可能な設定のうち、お客様の組織に適したものです。
Azure Active Directory 優先テナント ドメイン - この設定により、優先テナント ドメイン名をユーザーのユーザー名に追加するように構成します。 優先テナント ドメインでは、ユーザーのドメイン名が優先テナント ドメインと一致する限り、ユーザーは UPN 全体ではなくユーザー名のみを使用して Microsoft Entra エンドポイントにサインインできます。 異なるドメイン名を持つユーザーは、UPN 全体を入力することができます。
設定カテゴリ 設定 値 認証 優先 AAD テナントのドメイン名 contoso.onmicrosoft.comなどのドメイン名を入力します。注:
設定ラベルでは、古い用語が使用されています。 "AAD" は Microsoft Entra ID を指します。
Windows スポットライト - 既定では、Windows のいくつかのコンシューマー向け機能が有効になっています。これにより、ロック画面で選択したストア アプリがインストールされ、サードパーティの提案が表示されます。 これは、設定カタログの [エクスペリエンス] セクションで制御できます。
設定カテゴリ 設定 値 エクスペリエンス > Windows スポットライトを許可する Windows コンシューマー機能を許可する Block Windows スポットライトでサードパーティの提案を許可する (ユーザー) Block Microsoft Store - 組織は通常、エンドポイントにインストールできるアプリケーションを制限する必要があります。 この設定は、Microsoft Store でインストールできるアプリケーションを制御したい場合に使用します。 この設定により、ユーザーは承認されていないアプリケーションをインストールできなくなります。
設定カテゴリ 設定 値 Microsoft App Store プライベート ストアのみが必要 プライベート ストアのみが有効になっています 注:
この設定は Windows 10 に適用されます。 Windows 11 では、この設定はパブリック Microsoft ストアへのアクセスをブロックします。 詳細については、次を参照してください:
ゲームのブロック - 組織は、企業のエンドポイントを使用してゲームをプレイできないことを好む場合があります。 [設定] アプリ内の [ゲーム] ページは、以下の設定で完全に非表示にすることができます。 設定ページの表示範囲に関する追加情報については、CSP ドキュメントおよび ms-settings URI スキーム リファレンスをご覧ください。
設定カテゴリ 設定 値 設定 ページの可視性リスト hide:gaming-gamebar;gaming-gamedvr;ゲーム放送;gaming-gamemode;gaming-trueplay;Gaming-XboxNetworking;quietmomentsgame Teams デスクトップ クライアントがサインインできるテナントを制御する - このポリシーがデバイスに構成されている場合、ユーザーは、このポリシーで定義されている "テナントの許可リスト" に含まれる Microsoft Entra テナントを使用しているアカウントでのみサインインできます。 「テナント許可リスト」は、Microsoft Entra テナント ID のコンマ区切りリストです。 このポリシーを指定し、Microsoft Entra テナントを定義することで、個人使用の Teams へのサインインもブロックします。 詳細については、「デスクトップ デバイスでのサインインを制限する方法」をご覧ください。
設定カテゴリ 設定 値 Microsoft Teams Teams へのサイン インを特定のテナントのアカウントに制限する (ユーザー) Enabled (有効)
デバイスの制限
Windows デバイス制限テンプレートには、Windows 構成サービス プロバイダー (CSP) を使用して Windows エンドポイントを安全に管理するために必要な設定が多く含まれています。 これらの設定は、順次、設定カタログで利用できるようになる予定です。 詳細については、「デバイスの制限」をご覧ください。
デバイスの制限テンプレートを使用するプロファイルを作成するには、Microsoft Intune 管理センターで [デバイス>デバイスの管理]>構成>作成>新しいポリシーの順に移動します> [プラットフォーム >テンプレート] で [Windows 10 以降] を選択します プロファイルの種類のデバイスの制限。
デスクトップの背景画像の URL (デスクトップのみ) - この設定を使用して、Windows Enterprise または Windows Education SKU に壁紙を設定します。 ファイルをオンラインでホストするか、ローカルにコピーされたファイルを参照します。 この設定を構成するには、[デバイスの制限] プロファイルの [構成設定] タブで [個人用設定] を展開し、デスクトップの背景画像の URL (デスクトップのみ) を構成します。
デバイスのセットアップ中にユーザーにネットワークへの接続を要求する - この設定により、コンピューターがリセットされたときにデバイスが Windows Autopilot をスキップするリスクを軽減できます。 この設定では、出荷時エクスペリエンスのフェーズでデバイスがネットワークに接続されている必要があります。 この設定を構成するには、[デバイスの制限] プロファイルの [構成設定] タブで [全般] を展開し、[デバイスのセットアップ中にユーザーにネットワークへの接続を要求する] を構成します。
注:
次回デバイスがワイプまたはリセットされたときに、この設定が有効になります。
配信最適化
配信最適化は、サポートされているパッケージをダウンロードする作業を複数のエンドポイントで共有することで、帯域幅の消費を抑えるために使用されます。 配信最適化は、自己組織化された分散型キャッシュで、クライアントがネットワーク上のピアなどの代替ソースからパッケージをダウンロードできるようにします。 これらのピア ソースは、従来のインターネットベースのサーバーを補完するものです。 配信最適化に使用できるすべての設定と、サポートされているダウンロードの種類については、「Windows の更新プログラム向け配信最適化」でご覧いただけます。
配信最適化の設定を適用するには、Intune 配信最適かプロファイルまたは設定カタログ プロファイルを作成します。
組織でよく使用される設定には、次のようなものがあります。
- ピア選択の制限 - サブネット - この設定により、ピア キャッシュが同じサブネット上のコンピュータに制限されます。
- グループ ID - 配信の最適化クライアントは、同じグループ内のデバイスとのみコンテンツを共有するように構成できます。 グループ ID は、ポリシー経由で GUID を送るか、DHCP 範囲の DHCP オプションを使用して直接構成することができます。
Microsoft Configuration Manager をお使いのお客様は、配信最適化コンテンツをホストするために使用できる接続済みキャッシュ サーバーを展開できます。 詳細については、「Configuration Manager における Microsoft 接続済みキャッシュ」をご覧ください。
ローカル管理者
Microsoft Entra に参加しているすべての Windows デバイスに対してローカル管理者アクセスを必要とするユーザー グループが 1 つだけの場合は、それらを Microsoft Entra 参加済みデバイスのローカル管理者に追加できます。
IT ヘルプ デスクやその他のサポート スタッフが、選択したデバイス グループのローカル管理者権限を持つことが必要な場合があります。 次の構成サービス プロバイダー (CSP) を使用して、この要件を満たすことができます。
- ローカル ユーザーとグループ CSP (推奨)
- 制限されたグループ CSP (更新操作なし、置換のみ)
詳細については、「Microsoft Entra に参加しているデバイスでローカル管理者グループを管理する方法」を参照してください
グループ ポリシーから MDM 設定への移行
グループ ポリシーからクラウド ネイティブ デバイス管理への移行を検討する場合、デバイス構成を作成するためのいくつかのオプションがあります。
- 新たにスタートし、必要に応じてカスタム設定を適用します。
- 既存のグループ ポリシーを確認し、必要な設定を適用します。 グループ ポリシー分析などのツールを使用できます。
- グループ ポリシー分析を使用して、サポートされている設定のデバイス構成プロファイルを直接作成します。
クラウド ネイティブな Windows エンドポイントへの移行は、エンドユーザーのコンピューティング要件を確認し、将来に向けて新しい構成を確立する機会になります。 可能な限り、最小限のポリシーを使用して新たに開始します。 ドメイン参加済みの環境や、Windows 7 や Windows XP などの以前の OS から、不要な設定や従来の設定を引き継がないようにしましょう。
新たに開始するために、現在の要件を確認し、その要件を満たすための最小限の設定をまとめて実装します。 要件には、規制や必須のセキュリティ設定、エンドユーザー エクスペリエンスを強化するための設定などがあります。 ビジネスでは、IT ではなく要件のリストを作成します。 すべての設定は文書化され、理解される必要があり、目的を満たす内容である必要があります。
既存のグループ ポリシーから MDM (Microsoft Intune) に設定を移行することは望ましい方法ではありません。 クラウド ネイティブな Windows に移行する場合は、既存のグループ ポリシー設定を解除したり変更したりすることを意図してはいけません。 代わりに、対象ユーザーがどのような設定を必要としているのかを検討します。 最新の管理対象デバイスとの関連性や互換性を判断するために、環境内の各グループ ポリシー設定を確認するのは時間がかかり、現実的ではありません。 すべてのグループ ポリシーと個別の設定を評価しようとすることは避けてください。 代わりに、ほとんどのデバイスやシナリオに対応する共通のポリシーを評価することに集中してください。
代わりに、必須のグループ ポリシー設定を特定し、それらの設定を利用可能な MDM 設定と確認します。 あらゆるギャップが解決しない場合は、クラウド ネイティブなデバイスへの移行を妨げるブロッカーとなっていることを表している可能性があります。 グループ ポリシー分析などのツールを使用して、グループ ポリシー設定を分析し、MDM ポリシーに移行できるかどうかを判断できます。
スクリプト
組み込みの構成プロファイル以外で構成が必要な設定やカスタマイズには、PowerShell スクリプトを使用できます。 詳細については、「Microsoft Intune で Windows デバイスに PowerShell スクリプトを追加する」をご覧ください。
ネットワーク ドライブとプリンターのマッピング
クラウド ネイティブなシナリオには、マップされたネットワーク ドライブ用の組み込みのソリューションはありません。 代わりに、ユーザーは Teams、SharePoint、OneDrive に移行することをお勧めします。 移行できない場合は、必要に応じてスクリプトの使用を検討してください。
個人用ストレージについては、手順 8 - 最適な Microsoft 365 エクスペリエンスの構成の設定で、OneDrive の Known Folder Move を構成しました。 詳細については、「既知のフォルダーをリダイレクトする」をご覧ください。
ドキュメントの保存については、SharePoint とファイル エクスプローラーの統合や、ライブラリをローカルに同期する機能を利用することもできます (以下を参照)。SharePoint および Teams ファイルをコンピューターと同期する。
企業の Office ドキュメント テンプレートを使用する場合、通常は内部サーバーにありますが、最近では、どこからでもテンプレートにアクセスできる新しいクラウドベースのテンプレートも検討してください。
印刷のソリューションは、ユニバーサル印刷を検討してください。 詳細については、以下をご覧ください。
アプリケーション
Intune は、さまざまな種類の Windows アプリケーションの展開をサポートします。
- Windows インストーラー (MSI) – Windows の基幹業務アプリを Microsoft Intune に追加する
- MSIX – Windows の基幹業務アプリを Microsoft Intune に追加する
- Win32アプリ (MSI、EXE、スクリプト インストーラー) - Microsoft Intune での Win32 アプリ管理
- Store アプリ – Microsoft Store アプリを Microsoft Intune に追加する
- Web リンク – Web アプリを Microsoft Intune に追加する
MSI、EXE、またはスクリプト インストーラーを使用するアプリケーションがある場合は、Microsoft Intune の Win32 アプリ管理を使用して、これらのアプリケーションをすべて展開できます。 これらのインストーラーを Win32 形式にまとめることで、柔軟性が高まり、通知、配信最適化、依存関係、検出ルール、Windows Autopilot の登録状態ページのサポートなどのメリットが得られます。
注:
インストール中の競合を防ぐために、Windows の基幹アプリまたは Win32 アプリ機能のみを使用することをお勧めします。
.msi または .exe としてパッケージ化されたアプリケーションがある場合は、GitHub で入手できる Microsoft Win32 Content Prep Tool を使用して、Win32 アプリ (.intunewin) に変換できます。
フェーズ 5 – Windows Autopilot を使用して展開をスケーリングする
クラウドネイティブが 1 つのデバイスで動作することが証明されました。 このフェーズでは、デバイスの登録方法、ペルソナによるグループ化方法、ロールアウトのステージング方法、既に管理している既存の PC の取り扱い方法など、テスト デバイスから運用フリートに移行する方法について説明します。
大規模にデバイスを登録する
フェーズ 1 で、ハードウェア ハッシュを手動でアップロードしました。 ラボでは問題ありませんが、拡張できません。 実稼働可能なオプションは次のとおりです。
| 登録ソース | メカニズム | 最適な用途 |
|---|---|---|
| OEM またはハードウェア パートナー | デバイスは、テナントに既に登録されているベンダー (Dell、HP、Lenovo、Microsoft、Surface など) から出荷されます。 | 新しいハードウェアの調達 — 推奨されるターゲット状態。 |
| リセラーまたは CSP | Microsoft パートナーがお客様に代わってデバイスを登録します。 | 間接または混合サプライ チェーン。 |
| 手動ハッシュ アップロード (CSV) |
フェーズ 1、手順 3 と同じ Get-WindowsAutopilotInfo フローを CSV として一括アップロードします。 |
パイロット、ラボ デバイス、小規模バッチ、オンボード中の既存のデバイス。 |
| Intune コネクタ/直接登録 | 管理センターに表示される新しい登録パス。 | 特定の登録シナリオ — Autopilot 登録の概要を参照してください。 |
詳細については、「 Autopilot デバイスの登録」を参照してください。
ヒント
新しい Windows ハードウェアを購入するたびに、販売時または OEM に購入時にデバイスを Microsoft Entra テナント ID に登録するよう依頼してください。 このアプローチは、摩擦の少ない長期的なパターンであり、ハッシュを手動で収集する必要がなくなります。
ペルソナにグループ タグを使用する
フェーズ 1 で CloudNative グループ タグを使用して、動的グループを駆動しています。 同じパターンを複数のデバイス ペルソナにスケーリングします。 ペルソナごとに 1 つのグループ タグ、タグごとに 1 つの動的 Microsoft Entra グループ、およびグループごとに 1 つの Autopilot 展開プロファイルと登録状態ページを定義します。
| ペルソナ | 推奨されるグループ タグ | Autopilot プロファイル | ユーザー アカウントの種類 |
|---|---|---|---|
| ナレッジ ワーカー | KnowledgeWorker |
ユーザー駆動型 | Standard user |
| 開発者/パワー ユーザー | Developer |
ユーザー駆動型 | 管理者 |
| キオスクまたは共有デバイス | Kiosk |
自己デプロイ | 該当なし |
| 事前プロビジョニング済み (ホワイト グローブ) | PreProvisioned |
事前プロビジョニング | Standard user |
このパターンにより、構成、アプリ、セキュリティ ポリシーはペルソナごとに分離されたままになり、テナント全体に広がる 1 回限りの例外を回避できます。
リングで展開する
艦隊全体に一度に展開しないでください。 Windows Updates と同じリングの概念を使用します。
| リング | Audience | 用途 |
|---|---|---|
| パイロット | IT チームと少人数のボランティア グループ | エンドツーエンドのプロビジョニングとポリシーを検証します。 |
| 早期導入者 | ~5% のユーザー、部門にまたがる | ペルソナとアプリ固有の問題をキャッチします。 |
| 広範な質問 | 地域または部門別にステージングされた残りのフリート | 実稼働ロールアウト。 |
ポリシーごとに重複するグループを作成する代わりに、割り当て フィルター を使用してリングをターゲットにします。 次のリングに昇格する前に、「 クラウドネイティブ Windows エンドポイントの監視 」セクションを使用して各リングを監視します。
既存のデバイスを処理する
既に管理している Windows PC の場合、Microsoft では、今すぐフリート全体を再プロビジョニングするのではなく、 次回のハードウェア更新 時に Autopilot に移行することをお勧めします。 クラウドネイティブ Windows は、クリーンな OOBE スタートのメリットを最大限に引き出します。また、更新サイクルにより、ユーザーの中断を最小限に抑えて自然に移行できます。
更新が待ちきれない場合は、次の 2 つのパスを使用できます。
- 登録してリセットします。 既存のデバイスのハッシュを収集し、Autopilot に登録してから、PC をリセットします。 デバイスは、OOBE を通じてクラウドネイティブ エンドポイントとして戻ります。 既存の デバイスを Windows Autopilot に追加するを参照してください。
- 更新時に再イメージ化します。 新規または更新されたハードウェアのみがクラウドネイティブとして登録されます。 既存のデバイスは、サポートが終了するまで現在の管理を維持します。
注意
共同管理プランなしで、Microsoft Configuration Manager によってアクティブに管理されているデバイスを登録しないでください。 デバイスを Autopilot に登録する前に、デバイスをクラウド管理にするか、共同管理するか、Configuration Manager にとどまるかを決定します。 詳細については、「 Windows デバイスの共同管理」を参照してください。
詳細情報
Windows Autopilot がシナリオに適しない場合、代替手段については、「Windows デバイスの Intune 登録方法」を参照してください。
クラウドネイティブの Windows エンドポイントを監視する
クラウドネイティブの Windows エンドポイントのプロビジョニングと構成が完了したら、Microsoft Intune 管理センターの監視ビューを使用して、ポリシー、スクリプト、アプリが正常に展開されていることを確認し、問題を早期に発見します。 監視は継続的な運用タスクであり、1 回限りのセットアップ手順ではありません。
| 監視対象 | 管理センターにて | レビュー対象 | 詳細情報 |
|---|---|---|---|
| スクリプトの状態 | デバイス>プラットフォーム別>Windows>デバイスを管理します>スクリプトと修復>プラットフォーム スクリプト | スクリプトの選択 >デバイスの状態 | — |
| アプリのインストール状態 | アプリ>Windows>Windows アプリ | アプリの選択 >デバイスのインストール状態 または ユーザーのインストール状態 | アプリのインストールのトラブルシューティング |
| セキュリティ基本計画 | — | — | Intune でのセキュリティ ベースラインの監視 |
| ディスク暗号化 (BitLocker) | エンドポイント セキュリティ>ディスク暗号化 | BitLocker ポリシー >デバイスのインストール状態を選択します。 回復キー: デバイス>Windows> デバイスの選択 >回復キー | — |
| Windows Update リング | デバイス>更新プログラムを管理します>Windows 10 以降の更新プログラム>更新リング | リングを選択する >デバイスの状態 | 更新リングのレポート |
| コンプライアンス | デバイス>コンプライアンス | ポリシーを選択すると、割り当ての結果、非準拠デバイス、および設定ごとのエラーが表示されます | コンプライアンス ポリシーの監視 |
| エンドポイント分析 | レポート>エンドポイント分析 | フリート全体の起動パフォーマンス、アプリの信頼性、プロアクティブな修復 | エンドポイント分析の概要 ·Intune レポート |
クラウド ネイティブなエンドポイントのガイダンスに従う
- 概要: クラウド ネイティブなエンドポイントとは
- 🡺 チュートリアル: Microsoft Intune を使用してクラウドネイティブの Windows エンドポイントを設定する (現在地)
- 概念: Microsoft Entra 参加済み vs. ハイブリッド Microsoft Entra 参加済み
- 概念: クラウド ネイティブなエンドポイントとオンプレミス リソース
- 高度な計画ガイド
- 既知の問題と重要な情報
よく寄せられる質問
クラウドネイティブ Windows エンドポイントとは
クラウドネイティブ Windows エンドポイントとは、オンプレミスの Active Directory、グループ ポリシー、ドメイン コントローラーに依存することなく、Microsoft Entra に参加して Microsoft Intune に登録されている Windows デバイスのことです。 すべての構成、セキュリティ、アプリの展開は、Microsoft Intune と Windows Autopilot を使用してクラウドから管理されます。
クラウドネイティブとハイブリッド Microsoft Entra 参加の違いは何ですか?
ハイブリッド Microsoft Entra に参加しているデバイスは、オンプレミスの Active Directory と Microsoft Entra の両方に参加しています。 認証はドメイン コントローラーに、構成はグループ ポリシーに依存します。 クラウドネイティブ (Microsoft Entra 参加のみ) デバイスにはオンプレミスの依存関係はありません。ID、ポリシー、アプリはすべてクラウドから取得されます。 詳細な比較については、「参加済みの Microsoft Entra と参加済みのハイブリッド Microsoft Entra を参照してください。
クラウドネイティブ エンドポイントには Windows 11 が必要ですか?
その必要はありません。 クラウドネイティブ Windows は、Windows 10 22H2 以降で動作します。 Microsoft では、Windows Autopilot、Windows Hello for Business、最新のセキュリティ機能を最適に活用できるよう、Windows 11 を推奨しています。
既存のドメインに参加しているデバイスをクラウドネイティブに移動することはできますか?
はい。ただし、Microsoft では、フリート全体を再プロビジョニングするのではなく、 次回のハードウェア更新 時に実行することをお勧めします。 クラウドネイティブ Windows は、クリーンな OOBE スタートからそのメリットを最大限に引き出します。 リフレッシュが待ちきれないデバイスの場合は、「フェーズ 5 の既存の デバイスを処理する」 を参照してください。
クラウドネイティブ Windows は、ファイル共有やプリンターなどのオンプレミス リソースで動作しますか?
はい、いくつかの計画があります。 クラウドネイティブ デバイスでは、VPN または Microsoft Entra アプリケーション プロキシ経由でオンプレミスのリソースにアクセスできます。 ファイル ストレージについては、OneDrive と SharePoint に移行することをお勧めします。 印刷には、 ユニバーサル プリントを検討してください。 詳細なガイダンスについては、「 クラウドネイティブ エンドポイントとオンプレミスのリソース」 を参照してください。
役に立つオンライン リソース
- Windows デバイスの共同管理
- Windows サブスクリプションのアクティブ化
- Microsoft Entra条件付きアクセス ポリシーに基づいてリソースへのアクセスを許可または拒否できるIntune デバイス コンプライアンス ポリシーを構成する
- ストア アプリの追加
- Win32 アプリの追加
- Intune での認証に証明書を使用する
- VPN や Wi-Fi などのネットワーク プロファイルを展開する。
- 多要素認証を展開する
- Microsoft Edge 向けセキュリティ ベースライン