Intune の Exchange On-Premises アクセスを構成する

[アーティクル]
02/14/2024

重要

オンプレミスの Intune Exchange コネクタのサポートは、2024 年 2 月 19 日に終了します。この日付を過ぎると、Exchange コネクタは Intune と同期されなくなります。 Exchange コネクタを使用する場合は、2024 年 2 月 19 日より前に次のいずれかのアクションを実行することをお勧めします。

この記事では、デバイスのコンプライアンスに基づく Exchange On-Premises の条件付きアクセスを構成する方法を示します。

Exchange Online Dedicated 環境を使用していて、それが新しい構成であるか既存の構成であるかを確認する必要がある場合は、アカウントマネージャーに問い合わせてください。 Exchange On-Premises または従来の Exchange Online Dedicated 環境への電子メールアクセスを制御するには、Intune で Exchange On-Premises に対する条件付きアクセスを構成します。

はじめに

条件付きアクセスを構成する前に、次の構成が存在することを確認します。

Exchange のバージョンが Exchange 2010 SP3 以降であること。 Exchange Server クライアントアクセスサーバー (CAS) アレイがサポートされています。
Exchange ActiveSync On-Premises Exchange Connector をインストールして使用していること。これにより、Intune が Exchange On-Premises に接続されます。

重要

Intune は、サブスクリプションあたり複数のオンプレミス Exchange コネクタに対応できます。ただし、それぞれのオンプレミスの Exchange コネクタは、単一の Intune テナントに固有であり、他のテナントでは使用できません。オンプレミス Exchange 組織が複数ある場合、Exchange 組織別にコネクタを設定できます。
オンプレミス Exchange 組織用のコネクタは、Exchange サーバーと通信できる任意のコンピューターにインストールできます。
このコネクタは、Exchange CAS 環境をサポートします。 Intune では、Exchange CAS サーバーにコネクタを直接インストールすることがサポートされています。これは別のコンピューターにインストールすることをお勧めします。そのコネクタによって、サーバーにさらなる負荷が追加されるためです。コネクタを構成するときには、Exchange CAS サーバーのいずれかと通信するように設定する必要があります。
Exchange ActiveSync は、証明書ベースの認証またはユーザーの資格情報のエントリで構成する必要があります。
条件付きアクセスポリシーを構成してユーザーに適用すると、ユーザーが電子メールに接続するには、使用しているデバイスが以下の条件を満たしている必要があります。
- Intune に登録されているか、ドメインに参加している PC である。
- Microsoft Entra IDに登録されています。さらに、クライアント Exchange ActiveSync ID をMicrosoft Entra IDに登録する必要があります。
Microsoft Entraデバイス登録サービス (DRS) は、Intune および Microsoft 365 のお客様に対して自動的にアクティブ化されます。 ADFS Device Registration Service をデプロイ済みのお客様には、オンプレミスの Active Directory に登録されたデバイスは表示されません。 これは、Windows の PC とデバイスには適用されません。
そのデバイスに展開されているデバイスコンプライアンスポリシーに準拠している。
デバイスが条件付きアクセス設定を満たしていない場合、ユーザーのサインイン時に、次のいずれかのメッセージが表示されます。
- デバイスが Intune に登録されていない場合、またはMicrosoft Entra IDに登録されていない場合は、ポータルサイトアプリのインストール方法、デバイスの登録、電子メールのアクティブ化に関する手順が表示されます。このプロセスでは、デバイスのExchange ActiveSync ID も、Microsoft Entra IDのデバイスレコードに関連付けられます。
- デバイスが準拠していない場合は、ユーザーを Intune ポータルサイト Web サイトまたはポータルサイトアプリに誘導するメッセージが表示されます。会社のポータルから、問題とその修復方法に関する情報を確認することができます。

モバイルデバイスのサポート

iOS/iPadOS のネイティブ電子メールアプリ - 条件付きアクセスポリシーを作成するには、条件付きアクセスポリシーの作成に関する記事を参照してください
Android 4 以降の Gmail などの EAS メールクライアント - 条件付きアクセスポリシーを作成するには、条件付きアクセスポリシーの作成に関する記事を参照してください
Android Enterprise Personally-Owned 仕事用プロファイルデバイス上の EAS メールクライアント - Android Enterprise 個人所有の仕事用プロファイルデバイスでは、Gmail と Nine Work for Android Enterprise のみがサポートされます。 Android Enterprise 個人所有の仕事用プロファイルで条件付きアクセスを使用するには、 Gmail または Nine Work for Android Enterprise アプリのメールプロファイルを展開し、必要なインストールとしてそれらのアプリを展開する必要があります。アプリを展開した後、デバイスベースの条件付きアクセスを設定できます。
Android デバイス管理者の EAS メールクライアント - 条件付きアクセスポリシーを作成するには、「条件付きアクセスポリシーを作成する」を参照してください

Important

Microsoft Intune は、Google Mobile Services (GMS) にアクセスできるデバイスでの Android デバイス管理者管理のサポートを 2024 年 8 月 30 日に終了します。その日以降、デバイスの登録、テクニカルサポート、バグ修正、セキュリティ修正は利用できなくなります。現在デバイス管理者管理を使用している場合は、サポートが終了する前に、Intune で別の Android 管理オプションに切り替えることを推奨します。詳細については、「GMS デバイスでの Android デバイス管理者のサポートの終了」を参照してください。

Android Enterprise 個人所有の仕事用プロファイルデバイスの条件付きアクセスを設定するには

Microsoft Intune 管理センターにサインインします。
Gmail または Nine Work アプリを [必須] という設定で展開します。
[デバイス>の構成] に移動し、[*作成] を選択します。
プロファイルの [名前] と [説明] を入力します。
[プラットフォーム] で [Android エンタープライズ] を選択し、[プロファイルの種類] で [電子メール] を選択します。
[電子メールプロファイル] の設定を構成します。
完了したら、[OK]>[作成] を選択して変更を保存します。
電子メールプロファイルを作成したら、グループに割り当てます。
デバイスベースの条件付きアクセスを設定します。

注:

Exchange のオンプレミスコネクタを介した Android および iOS/iPadOS 用 Microsoft Outlook の使用はサポートされていません。 Microsoft Entra条件付きアクセスポリシーと Intune アプリ保護ポリシーを、オンプレミスメールボックス用の Outlook for iOS/iPadOS と Android で利用する場合は、「Outlook for iOS/iPadOS および Android でハイブリッドモダン認証を使用する」を参照してください。

PC のサポート

現在、Windows 8.1 以降のネイティブメール アプリケーションがサポートされています (Intune で MDM に登録されている場合)。

重要

2022 年 10 月 22 日、Microsoft IntuneはWindows 8.1を実行しているデバイスのサポートを終了しました。これらのデバイスのテクニカルアシスタンスと自動更新は利用できません。

現在Windows 8.1を使用している場合は、Windows 10/11 デバイスに移行することをお勧めします。 Microsoft Intuneには、Windows 10/11 クライアントデバイスを管理する組み込みのセキュリティ機能とデバイス機能があります。

Exchange On-premises アクセスの構成

Exchange Connector の新規インストールのサポートは、2020 年 7 月に非推奨とされ、コネクタインストールパッケージはダウンロードできなくなりました。代わりに、Exchange ハイブリッド先進認証 (HMA) を使用してください。

次の手順を使用して Exchange On-Premises アクセス制御を設定する前に、Exchange On-Premises 用の Intune On-Premises Exchange コネクタを少なくとも 1 つインストールして構成しておく必要があります。

Microsoft Intune 管理センターにサインインします。
[テナント管理]>[Exchange へのアクセス] に移動し、[Exchange On-Premises のアクセス] を選択します。
[Exchange On-Premises のアクセス] ウィンドウで [はい] を選択し、Exchange On-Premises のアクセス制御を有効にします。
[割り当て] で [含めるグループを選択] を選択し、アクセスを構成する 1 つまたは複数のグループを選択します。

選択したグループのメンバーに、Exchange On-Premises アクセスの条件付きアクセスポリシーが適用されます。このポリシーを受け取ったユーザーは、Exchange On-Premises にアクセスする前に、Intune にデバイスを登録し、コンプライアンスプロファイルに準拠しておく必要があります。
グループを除外するには、[含めないグループを選択] を選択し、Exchange On-Premises にアクセスする前にデバイスを登録してコンプライアンスプロファイルに準拠しておくという要件から除外する 1 つまたは複数のグループを選択します。

[保存] を選択して構成を保存し、[Exchange へのアクセス] ペインに戻ります。
次に、Intune On-Premises Exchange コネクタの設定を構成します。管理センターで、[テナント管理>] [Exchange Access>Exchange ActiveSyncオンプレミスコネクタ] を選択し、構成する Exchange organizationのコネクタを選択します。
[ユーザー通知] の [編集] を選択し、[Edit Organization]$組織の編集$ ワークフローを開きます。ここで [ユーザーへの通知] メッセージを変更できます。

デバイスが準拠しておらず、オンプレミスの Exchange にアクセスした場合に、ユーザーに送信される既定のメールメッセージを変更します。メッセージテンプレートでは、マークアップ言語が使用されます。また、入力しながら、メッセージがどのように表示されるかをプレビュー表示できます。

[レビューと保存]、[保存] の順に選択して編集内容を保存し、Exchange On-Premises へのアクセスの構成を完了します。

ヒント

マークアップ言語の詳細については、Wikipedia のこちらの記事を参照してください。
次に、[Exchange Active Sync アクセスの詳細設定] を選択して [Exchange ActiveSync アクセスの詳細設定] ワークフローを開き、デバイスアクセスルールを構成します。

$詳細設定の [Edit Organization]$組織の編集$ ワークフローのスクリーンショットの例$
- [アンマネージドデバイスアクセス] で、条件付きアクセスやその他の規則の影響を受けないデバイスからのアクセスに対してグローバル既定の規則を設定します。
  - [アクセスを許可] - すべてのデバイスから Exchange On-Premises にすぐにアクセスできます。前の手順で含まれるように構成したグループのユーザーのデバイスについては、そのデバイスが後でコンプライアンスポリシーに非準拠と評価されたり、Intune に登録されていなかったりするとブロックされます。
  - [アクセスのブロック] および [検査] - 最初はすべてのデバイスが Exchange On-Premises へのアクセスをすぐにブロックされます。前の手順で含まれるように構成されたグループのユーザーのデバイスについては、デバイスが Intune に登録され、準拠として評価された後でアクセスできるようになります。
    
    この設定は、Samsung Knox 標準を実行する Android デバイスでサポートされています。他の Android デバイスはこの設定をサポートしていないため、常にブロックされます。
- [デバイスプラットフォームの例外] では、[追加] を選択し、環境の必要に応じて詳細を指定します。
  
  [アンマネージドデバイスアクセス] 設定が [ブロック済み] に設定されている場合は、それらをブロックするプラットフォーム例外があっても、登録済みの準拠デバイスは許可されます。
[OK] を選択して編集を保存します。
[レビューと保存]、[保存] の順に選択し、Exchange の条件付きアクセスポリシーを保存します。