手順 5 – Microsoft Intune にデバイスを登録する
展開の最終段階では、デバイスが Microsoft Entra ID に登録または参加し、Microsoft Intune に登録され、コンプライアンスがチェックされます。
登録中、Microsoft Intune はデバイスにモバイル デバイス管理 (MDM) 証明書をインストールします。これにより、Intune では、このガイドで前に作成した登録プロファイル、登録制限、およびポリシーとプロファイルを適用できます。
この記事の内容
- 企業所有デバイスとユーザー所有デバイスの Microsoft Intune での登録を準備する方法。
- 各 OS プラットフォームの登録オプション。
- 登録後の監視、トラブルシューティング、リソース。
はじめに
Intune で登録プロファイルを初めて展開する場合、または新しい構成を試す場合は、小規模から開始し、段階的なアプローチを使用します。 登録プロファイルを 1 つのパイロットまたはテスト グループに割り当てます。 最初のテストの後、パイロット グループにユーザーを追加します。 すべてが正常に進む場合は、登録プロファイルをより多くのパイロット グループに割り当てます。 詳細と提案については、「 計画ガイド: 手順 5 - ロールアウト 計画を作成する」を参照してください。
Microsoft Entra ID での登録は、Intune 管理に必要な手順です。 デバイスを Intune に登録するには、デバイスのユーザーが組織の Microsoft Entra ID でデバイス ID を認証して確立する必要があります。 この手順では、クラウドベースの作業アプリやその他のリソースへのシングル サインオン アクセスをユーザーに付与します。 使用できる登録方法が決定され、デバイス ユーザーのサインイン エクスペリエンスも決定されるため、使用している ID オプションを把握することが重要です。 ID オプションには、次のものが含まれます。
- Microsoft Entra 登録 は、個人所有および企業所有のモバイル デバイスで使用できるデバイス ID オプションです。 これらのデバイスのユーザーは、Microsoft Entra ID の職場アカウントを使用して、アプリや Web ブラウザーなどの作業リソースにサインインすることで認証されます。
- Microsoft Entra joined は、共同管理オプションを利用する企業所有の Windows 10/11 デバイスで使用できるデバイス ID オプションです。 これらのデバイスのユーザーは、Microsoft Entra ID 仕事用アカウントを使用してデバイスにサインインすることで認証されます。
登録前の構成
登録の制限、デバイスの分類、デバイス登録マネージャーなどの登録機能を構成して、登録用のデバイスを準備します。 これらの構成は、ユーザーとデバイス ユーザーの登録エクスペリエンスの向上と簡素化に役立ち、管理センターでの整理を維持するのに役立ちます。 登録プロファイルを作成する前に構成します。
可用性の設定は、OS プラットフォームによって異なります。
既存のデバイスの登録を解除してリセットする
デバイスが現在別の MDM プロバイダーに登録されている場合は、Intune に登録する前に、既存の MDM プロバイダーからデバイスの登録を解除します。 次の表は、Intune に登録する前に工場出荷時の状態にリセットする必要があるデバイスを示しています。
プラットフォーム | 出荷時の設定へのリセットが必要 |
---|---|
仕事用プロファイルがある個人所有の Android Enterprise デバイス (BYOD) | いいえ |
会社所有 Android Enterprise 仕事用プロファイル (COPE) | はい |
Android Enterprise フル マネージド (COBO) | はい |
Android Enterprise 専用デバイス (COSU) | はい |
Android デバイス管理者 (DA) | いいえ |
iOS/iPadOS (BYOD) | いいえ |
iOS/iPadOS (ADE) | はい |
Linux | いいえ |
macOS (BYOD) | いいえ |
macOS (ADE) | はい |
Windows | いいえ |
リセットを必要としないデバイスは、登録するとすぐに Intune プロファイルのインストールを開始します。 以前に構成した設定は、登録前に Intune で変更しないと、デバイスに残ることがあります。
デバイス登録マネージャーの追加
多数のデバイスを登録して配布用に準備する必要がある場合は、デバイス登録マネージャーを利用することをお勧めします。 デバイス登録マネージャー アカウントは最大 1,000 台のデバイスを登録および管理できますが、標準の管理者以外のアカウントでは 15 台のデバイスのみを登録できます。 デバイス登録マネージャーは、管理者以外の Microsoft Entra ユーザーであり、次のことができます。
- Intune に最大 1,000 台の企業所有デバイスを登録する
- Intune ポータル サイトにサインインして会社のアプリを取得する
- ロール固有のアプリをデバイスに展開して企業データへのアクセスを構成する
Apple の自動デバイス登録などの一部の登録方法は、デバイス登録マネージャー アカウントと互換性がないため、セットアップを開始する前に、選択した方法がサポートされていることを確認してください。
詳細と制限事項については、「 デバイス登録マネージャーの追加」を参照してください。
デバイス登録の制限を作成する
Microsoft Intune 管理センターでこの機能を使用して、特定のデバイスが Intune に登録されないように制限します。 Microsoft Intune で構成できるデバイス登録制限には、次の 2 種類があります。
- デバイス プラットフォームの制限: デバイス プラットフォーム、バージョン、製造元、または所有権の種類に基づいてデバイスを制限します。
- デバイス制限の制限: ユーザーが Intune に登録できるデバイスの数を制限します。
Linux および一部の Windows 登録シナリオでは、登録制限を利用できません。 詳細については、「 登録制限の概要 」を参照してください。
使用条件ポリシーを作成する
Intune の使用条件ポリシーを使用して、登録前にデバイス ユーザーに法的免責事項とコンプライアンス要件を開示できます。 このポリシーでは、デバイスユーザーがデバイスを登録するか、保護されたリソースにアクセスする前に、組織の使用条件に同意する必要があります。 使用条件は、Intune ポータル サイト アプリの対象ユーザーに表示されます。
用語が表示される場所など、より詳細な制御を求めている場合は、 Microsoft Entra の使用条件の構成を検討してください。 Microsoft Entra の用語は、対象となるアプリやリソースにサインインし、Intune の使用条件よりも詳細な設定を提供すると、ユーザーに表示されます。
詳細情報については、「ユーザー アクセスのご契約条件」を参照してください。
多要素認証が必要
登録中にユーザーに多要素認証 (MFA) による認証を要求します。 MFA が必要な場合、デバイスを登録するユーザーは、デバイスを登録する前に、2 つ目のデバイスと 2 つの形式の資格情報で認証する必要があります。 これは 1 回限りの条件付き手順であり、デバイス上のユーザーが自分の言う人であることを確認します。 MFA ポリシーを使用して条件付きアクセス ポリシーを使用することで、Linux を除くすべてのプラットフォームでこの動作を有効にすることができます。 Microsoft Entra ID P1 または P2 が必要です。
詳細については、「 Intune デバイス登録に多要素認証を要求する」を参照してください。
デバイスをグループに分類する
看護やマーケティングなど、Intune でデバイス カテゴリを作成すると、そのカテゴリに属するすべてのデバイスが Intune の対応するデバイス グループに自動的に追加されます。
この機能は、Linux を除くすべてのプラットフォームで使用できます。 詳細については、「 デバイスをグループに分類する」を参照してください。
Android デバイスの登録
Intune では、個人所有または企業所有の Android デバイスを登録できます。 Google Mobile Services を使用する個人所有および企業所有のデバイスには、Android Enterprise 登録ソリューションをお勧めします。 Google Mobile Services を持たない企業所有のデバイスで、Android オープン ソース プロジェクト (AOSP) から構築されている場合は、AOSP 登録方法を使用します。
前提条件
Intune を管理対象の Google Play アカウントに接続します。 接続は、次を含むすべての Android Enterprise 管理オプションに必要です。
- 個人所有 Android Enterprise の仕事用プロファイル。
- Android Enterprise の会社所有の仕事用プロファイル
- 完全に管理されている Android Enterprise
- Android Enterprise 専用
Android の登録方法
次のタブでは、Intune でサポートされる Android および AOSP 登録オプションについて説明します。
仕事用プロファイルを持つ会社所有のデバイス: 個人の使用も承認されている会社所有のデバイスを登録します。 このメソッドは、ユーザーが個人用アプリと仕事用アプリを簡単かつ安全に切り替えることができるように、デバイス上に別の作業プロファイルを作成します。 デバイス ユーザーは、Microsoft Intune アプリを使用してデバイスを登録します。 管理者は、仕事用プロファイルのアプリとデータを管理できます。 この方法は、 Android Enterprise 企業所有の仕事用プロファイル 管理ソリューションに合わせて調整されます。
フル マネージド: 個人使用ではなく、仕事専用の企業所有デバイスを登録します。 登録済みデバイスに関連付けられているユーザーが 1 人います。 デバイス全体を管理し、Android Enterprise 仕事用プロファイル メソッドでは使用できないポリシー制御を適用できます。 この方法は、 Android Enterprise のフル マネージド 管理ソリューションに合わせて調整されます。
専用デバイス: デジタルサイネージ、チケット印刷、在庫管理などに使用される企業所有、単一使用、キオスク デバイスを登録します。 この方法では、デバイスで使用できるアプリと Web リンクを制限し、ユーザーが目的のスコープ外でデバイスを使用できないようにすることができます。 この方法は、 Android Enterprise 専用デバイス 管理ソリューションに合わせて調整されます。
企業所有のユーザーレス デバイス: Android オープン ソース プロジェクト (AOSP) から構築され、Google Mobile サービスが存在しない デバイスを企業所有のユーザーレス デバイスとして登録します。 これらのデバイスにはユーザーが関連付けられていないので、ライブラリやラボなどの共有を目的としています。
企業所有のユーザー関連デバイス: AOSP から構築され、Google Mobile サービスがないデバイスを 企業所有のユーザー関連デバイスとして登録します。 これらのデバイスは、1 人のユーザーに関連付けられているので、作業目的でのみ使用することを目的としています。
ゼロタッチ登録: 一括登録にはゼロタッチ登録を使用し、リモート ワーカーの登録を簡略化することをお勧めします。 この方法では、企業所有のデバイスを事前に準備して、ユーザーがオンにしたときに完全に管理されたデバイスとして自動的にプロビジョニングおよび登録できるようにします。
重要
Microsoft Intune は、2024 年 12 月 31 日に Google Mobile Services (GMS) にアクセスできるデバイスでの Android デバイス管理者管理のサポートを終了します。 その日以降、デバイスの登録、テクニカル サポート、バグ修正、セキュリティ修正は利用できなくなります。 現在デバイス管理者管理を使用している場合は、サポートが終了する前に、Intune で別の Android 管理オプションに切り替えることを推奨します。 詳細については、「 GMS デバイスでの Android デバイス管理者のサポートの終了」を参照してください。
Apple デバイスの登録
このセクションでは、Intune の iOS/iPadOS デバイスと Mac デバイスで使用できる登録オプションについて説明します。
前提条件
Apple デバイスの登録プロファイルを作成する前に、次の前提条件を満たします。
- Apple MDM プッシュ証明書を Intune にアップロードします。 詳細については、「 MDM プッシュ証明書を取得する」を参照してください。
- Apple 自動デバイス登録を使用してデバイスを登録する予定の場合は、Apple 登録プログラム トークンを取得します。 詳細については、以下を参照してください:
Apple 登録ソリューション
次の表では、iOS/iPadOS と macOS を実行しているデバイスの登録ソリューションについて説明します。
iOS/iPadOS および Mac デバイスの自動デバイス登録: Apple Business Manager または Apple School Manager から購入した新しいデバイスまたはワイプされたデバイスを、自動デバイス登録で登録します。 企業所有のデバイスに対するこの自動登録方法は、Apple Business Manager と Apple School Manager からの組織の設定を適用し、監督モードをサポートし、デバイスに触れる必要なく登録します。 ユーザーがデバイスの電源を入れると、Apple セットアップ アシスタントによってセットアップと登録がガイドされます。
iOS/iPadOS およびMac デバイス用の Apple Configurator: Apple Configurator を使用して、新規または既存の企業所有デバイスを手動で登録します。 このオプションは、一括登録や、Apple School Manager、Apple Business Manager、または有線ネットワーク接続が必要な場合に最適です。 Mac でデバイスに接続して構成する必要があるため、デバイスに物理的にアクセスできる必要があります。 次の 2 つの異なるパスを使用できます。
- セットアップ アシスタントの登録: この方法では、デバイスをワイプし、Apple Configurator への登録用に準備します。 ユーザーがデバイスをオンにすると、セットアップ アシスタントが開始され、デバイスが Intune に登録されます。 管理センターに入力する必要があるため、デバイスのシリアル番号にアクセスできる必要があります。
- 直接登録: この方法を使用すると、配布前にデバイスを登録でき、デバイスはワイプされません。 この方法で登録されたデバイスはユーザーに関連付けられていないため、共有デバイスまたはキオスク デバイスにはこのオプションをお勧めします。 macOS デバイスと iOS デバイスでは手順が異なるため、デバイスの正しいハウツー ドキュメントを必ず使用してください。
Linux の登録
BYOD シナリオの従業員と学生は、Microsoft Intune に 個人用 Linux デバイスを登録 できます。 登録を使用すると、Microsoft Edge の作業リソースにアクセスできます。
Intune 管理者は、管理センターで Linux 登録を有効にするために何もする必要はありません。 自動的に有効になります。 ユーザーが Linux デバイスを登録すると、管理センターに表示されます。 詳細については、「 Microsoft Intune に Linux デスクトップ デバイスを登録する」を参照してください。
Windows の登録
このセクションでは、Windows 10 または Windows 11 を実行している個人所有および企業所有のデバイスで使用できる登録ソリューションについて説明します。
注:
Microsoft Intune 登録は、クラウド環境のデバイスでサポートされています。 Configuration Manager との共同管理は、オンプレミス環境でサポートされています。
Windows の登録方法
次の表では、Windows 10 および Windows 11 を実行しているデバイスでサポートされている登録方法について説明します。
Windows の自動登録を有効にすることで、従業員と学生の Intune への登録を容易にします。 詳細については、「 自動登録を有効にする」を参照してください。
Microsoft Entra 参加と自動登録: このオプションは、ユーザーまたはデバイス ユーザーが仕事用に調達したデバイスでサポートされています。 登録は、ユーザーが自分の職場アカウントでサインインし、Microsoft Entra ID に参加した後、または設定アプリから職場または学校アカウントを接続するときに Microsoft Entra ID でデバイスに参加することを選択した後に行われます (「Windows デバイス登録ガイド - エンド ユーザー タスク」の説明に従います)。 このソリューションは、リモート作業環境など、デバイスにアクセスできない場合に使用します。 これらのデバイスが登録されると、デバイスの所有権が企業所有に変更され、個人所有としてマークされたデバイスでは使用できない管理機能にアクセスできます。
Windows Autopilot ユーザー主導または自己展開モード: 自動登録は、Windows Autopilot ユーザードリブン (Microsoft Entra ハイブリッド参加シナリオと Microsoft Entra 参加シナリオの両方) または自己展開 (Microsoft Entra 参加のみ) プロファイルでサポートされ、企業所有のデスクトップ、ノート PC、キオスクに使用できます。 デバイス ユーザーは、必要なソフトウェアとポリシーがインストールされた後にデスクトップ アクセスを取得します。 Microsoft Entra ID P1 または P2 ライセンスが必要です。 最適なユーザー エクスペリエンスを提供し、構成が簡単な Microsoft Entra 参加のみを使用することをお勧めします。 オンプレミスの Active Directory がまだ必要なシナリオでは、Microsoft Entra ハイブリッド参加を使用できますが、 Active Directory 用の Intune コネクタをインストールする必要があり、デバイスはオンプレミス ネットワークまたは VPN 接続を介してドメイン コントローラーに接続できる必要があります。
Configuration Manager との共同管理: 共同管理は、Configuration Manager でデバイスを既に管理しており、Microsoft Intune ワークロードを統合する環境に最適です。 共同管理は、Configuration Manager から Intune にワークロードを移動し、その特定のワークロードの管理機関がだれであるかを Windows クライアントに伝える行為です。 たとえば、Intune でコンプライアンス ポリシーとデバイス構成ワークロードを使用してデバイスを管理し、アプリの展開やセキュリティ ポリシーなどのその他のすべての機能に Configuration Manager を利用できます。
グループ ポリシーを使用した登録: グループ ポリシーを使用すると、ユーザー操作なしで Microsoft Entra ハイブリッド参加済みデバイスの自動登録をトリガーできます。 登録プロセスは、Microsoft Entra ID 同期ユーザーがデバイスにサインインした後、バックグラウンドで (スケジュールされたタスクを介して) 開始されます。 デバイスが Microsoft Entra ハイブリッドに参加していて、Configuration Manager を使用して管理されていない環境では、この方法をお勧めします。
その他の Windows 登録機能
Intune には、ユーザーと従業員のデバイス管理エクスペリエンスを向上または簡素化するために、他の Windows 登録オプションがあります。
- 共同管理設定: 共同管理設定を有効にして、Configuration Manager ワークロードを Intune と統合します。 共同管理を使用すると、Intune と Configuration Manager の両方の機能を使用してデバイスを管理できます。
- CNAME 検証: 登録要求を Intune サーバーにリダイレクトするために作成したドメイン ネーム サーバー (DNS) エイリアス (CNAME レコードの種類) を検証します。 エイリアスを使用すると、Microsoft Entra ID P1 または P2 が存在しないユーザーの登録と自動登録が簡略化されます。
- [登録の状態] ページ: [登録の状態] ページを有効にして、デバイスのセットアップを行うユーザーがインストールの進行状況を表示および追跡できるようにします。
レポートとトラブルシューティング
不完全なユーザー登録と破棄されたユーザー登録を追跡します。 この Microsoft Intune レポートは、ポータル サイトのユーザーが登録プロセスを完了できなかった場所を示します。
トラブルシューティング に関するドキュメントについては、「 デバイス登録のトラブルシューティング」を参照してください。
リソース
追加の登録ガイドは、Microsoft Intune ドキュメント全体で入手できます。 これらのガイドには、サポートされている各プラットフォームの視覚的な比較、ハウツー ステップ、ヒント、登録のベスト プラクティスが含まれます。
次の手順
- Microsoft Intune のセットアップ
- アプリの追加、構成、保護
- コンプライアンス ポリシーの計画
- デバイス構成プロファイルを作成します。
- 🡺 デバイスの登録 (お客様はこちら)