Intune エンドポイントセキュリティポリシーを使用して、Intune に登録されていないデバイスで Microsoft Defender for Endpoint を管理する

[アーティクル]
07/18/2024

Microsoft Intune と Microsoft Defender for Endpoint を統合する場合は、Intune エンドポイントセキュリティポリシーを使用して、Intune に登録されていないデバイスの Defender セキュリティ設定を管理できます。この機能は、Defender for Endpoint セキュリティ設定管理 と呼ばれます。

セキュリティ設定の管理を使用してデバイスを管理する場合:

Microsoft Intune 管理センターまたは Microsoft 365 Defender ポータルを使用して、Defender for Endpoint の Intune エンドポイントセキュリティポリシーを管理し、それらのポリシーを Microsoft Entra ID グループに割り当てることができます。 Defender ポータルには、デバイスビュー、ポリシー管理、およびセキュリティ設定管理用のレポートのユーザーインターフェイスが含まれています。

Defender ポータル内からポリシーを管理するには、Defender コンテンツの「Microsoft Defender for Endpoint でエンドポイントセキュリティポリシーを管理する」を参照してください。
デバイスは、Microsoft Entra ID デバイスオブジェクトに基づいて、割り当てられたポリシーを取得します。 Microsoft Entra にまだ登録されていないデバイスは、このソリューションの一部として参加しています。
デバイスがポリシーを受信すると、デバイス上の Defender for Endpoint コンポーネントによってポリシーが適用され、デバイスの状態が報告されます。デバイスの状態は、Microsoft Intune 管理センターと Microsoft Defender ポータルで利用できます。

このシナリオでは、Microsoft Intune Endpoint セキュリティサーフェースを Intune に登録できないデバイスに拡張します。デバイスが Intune によって管理されている (Intune に登録されている) 場合、デバイスは Defender for Endpoint セキュリティ設定管理のポリシーを処理しません。代わりに、Intune を使用して Defender for Endpoint のポリシーをデバイスに展開します。

適用対象:

Windows 10 と Windows 11
Windows Server (2012 R2 以上)
Linux
macOS

前提条件

Defender for Endpoint セキュリティ設定管理シナリオの要件については、次のセクションを確認してください。

環境

サポートされているデバイスが Microsoft Defender for Endpoint にオンボードされる場合:

デバイスは、Intune へのモバイルデバイス管理 (MDM) 登録である既存の Microsoft Intune プレゼンスについて調査されます。
Intune プレゼンスのないデバイスでは、セキュリティ設定管理機能が有効になります。
Microsoft Entra が完全に登録されていないデバイスの場合、デバイスがポリシーを取得できるようにする合成デバイス ID が Microsoft Entra ID で作成されます。完全に登録されたデバイスでは、現在の登録が使用されます。
Microsoft Intune から取得されたポリシーは、Microsoft Defender for Endpoint によってデバイスに適用されます。

セキュリティ設定の管理は、Government クラウドではまだサポートされていません。詳細については、「米国政府機関向け Microsoft Defender for Endpoint における商用製品との機能同等性」をご覧ください。

接続要件

デバイスは、次のエンドポイントにアクセスできる必要があります。

*.dm.microsoft.com - ワイルドカードを使用すると、登録、チェックイン、およびレポートに使用されるクラウドサービスエンドポイントがサポートされ、サービスのスケーリングに応じて変更される可能性があります。

サポートされるプラットフォーム

Microsoft Defender for Endpoint セキュリティ管理のポリシーは、次のデバイスプラットフォームでサポートされています。

Linux:

Microsoft Defender for Endpoint for Linux エージェントバージョン 101.23052.0009 以降では、セキュリティ設定の管理で次の Linux ディストリビューションがサポートされます。

Red Hat Enterprise Linux 7.2 以上
CentOS 7.2 以上
Ubuntu 16.04 LTS 以降の LTS
Debian 9 以降
SUSE Linux Enterprise Server 12 以上
Oracle Linux 7.2 以上
Amazon Linux 2
Fedora 33 以上

Defender エージェントのバージョンを確認するには、Defender ポータルでデバイスページに移動し、デバイス Inventories タブで Defender for Linuxを検索します。エージェントのバージョンの更新に関するガイダンスについては、「Microsoft Defender for Endpoint on Linux の更新プログラムを展開する」を参照してください。

既知の問題: Defender エージェントのバージョン 101.23052.0009 では、Linux デバイスに次のファイルパスがないと登録に失敗します: /sys/class/dmi/id/board_vendor。

macOS:

Microsoft Defender for Endpoint for macOS エージェントバージョン 101.23052.0004 以降では、セキュリティ設定管理で次の macOS バージョンがサポートされます。

macOS 14 (Sonoma)
macOS 13 (Ventura)
macOS 12 (Monterey)
macOS 11 (Big Sur)

Defender エージェントのバージョンを確認するには、Defender ポータルで [デバイス] ページに移動し、デバイス Inventories タブで、macOS の Defender を検索します。エージェントのバージョンの更新に関するガイダンスについては、「Microsoft Defender for Endpoint の更新プログラムを macOS で展開する」を参照してください。

既知の問題: Defender エージェントのバージョン 101.23052.0004 では、セキュリティ設定管理に登録する前に Microsoft Entra ID に登録されている macOS デバイスは、Microsoft Entra ID の重複するデバイス ID を受け取ります。これは代理登録です。ポリシーを対象とする Microsoft Entra グループを作成する場合は、セキュリティ設定の管理によって作成された合成デバイス ID を使用する必要があります。 Microsoft Entra ID では、合成デバイス ID の Join Type 列は空白です。

Windows:

Windows 10 Professional/Enterprise (KB5023773 付き)
Windows 11 Professional/Enterprise ( KB5023778 付き)
ダウンレベルデバイス向け Microsoft Defender 搭載 Windows Server 2012 R2
ダウンレベルデバイス向けMicrosoft Defender 搭載 Windows Server 2016
Windows Server 2019 (KB5025229 付き)
Windows Server 2022 (KB5025230 付き)

セキュリティ設定の管理は機能せず、次のデバイスではサポートされていません。

非永続的デスクトップ (仮想デスクトップインフラストラクチャ (VDI) クライアントなど)
Azure Virtual Desktop (AVD と以前の Windows Virtual Desktop、WVD)
ドメインコントローラー
Windows の 32 ビットバージョン

重要

場合によっては、ダウンレベルのサーバーオペレーティングシステム (2012 R2 または 2016) を実行するドメインコントローラーは、Microsoft Defender for Endpoint によって意図せずに管理される可能性があります。この問題が環境内で発生しないようにするには、ドメインコントローラーに "MDE-Management" というタグが付いていないか、MDE によって管理されていないことを確認することをお勧めします。

ライセンスとサブスクリプション

セキュリティ設定の管理を使用するには、次のものが必要です。

Microsoft 365 などの Microsoft Defender for Endpoint のライセンスを付与するサブスクリプション、または Microsoft Defender for Endpoint のみのスタンドアロンライセンス。 Microsoft Defender for Endpoint ライセンスを付与するサブスクリプションでは、Microsoft Intune 管理センターのエンドポイントセキュリティノードへのアクセス権もテナントに付与されます。

注:

例外: Microsoft Defender for Endpoint のみサーバー (Microsoft Defender for Cloud の一部、以前のAzure Security Center) 経由で Microsoft Defender for Endpoint にアクセスできる場合、セキュリティ設定管理機能は使用できません。 Microsoft Defender for Endpoint (ユーザー) サブスクリプションライセンスを少なくとも 1 つアクティブにする必要があります。

エンドポイントセキュリティノードは、デバイスの Microsoft Defender for Endpoint を管理し、デバイスの状態を監視するポリシーを構成して展開する場所です。

オプションの現在の情報については「Microsoft Defender for Endpoint の最小要件」を参照してください。

役割ベースのアクセス制御 (RBAC)

Intune 管理センター内から Intune エンドポイントセキュリティポリシーを管理する管理者に適切なレベルのアクセス許可と権限を割り当てる方法については、「 Assign-role-based-access-controls-for-endpoint-security-policy」を参照してください。

アーキテクチャ

次の図は、Microsoft Defender for Endpoint セキュリティ構成管理ソリューションの概念を示しています。

Microsoft Defender for Endpoint に搭載されたデバイス。
デバイスは Intune と通信します。この通信により、Microsoft Intune は、チェックイン時にデバイスを対象とするポリシーを配布できます。
Microsoft Entra ID では、デバイスごとに登録が確立されます。
- デバイスが以前に完全に登録されていた場合 (ハイブリッド参加デバイスなど)、既存の登録が使用されます。
- 登録されていないデバイスの場合、デバイスがポリシーを取得できるように、Microsoft Entra ID に合成デバイス ID が作成されます。代理登録を持つデバイスに対して完全な Microsoft Entra 登録が作成されると、合成登録が削除され、完全な登録を使用してデバイス管理が中断されずに続行されます。
Defender for Endpoint は、ポリシーの状態を Microsoft Intune に報告します。

重要

セキュリティ設定の管理では、Microsoft Entra ID に完全に登録されていないデバイスに対して代理登録が使用され、Microsoft Entra ハイブリッド参加の前提条件が削除されます。この変更により、以前に登録エラーが発生していた Windows デバイスは Defender へのオンボードを開始し、セキュリティ設定管理ポリシーを受け取って処理します。

Microsoft Entra ハイブリッド参加の前提条件を満たしていなかったために登録できなかったデバイスをフィルター処理するには、Microsoft Defender ポータルの デバイス 一覧に移動し、登録状態でフィルター処理します。これらのデバイスは完全には登録されていないため、デバイス属性には MDM = Intune および Join Type = Blank が表示されます。これらのデバイスは、合成登録を使用してセキュリティ設定管理に登録されます。

これらのデバイスを登録すると、Microsoft Defender、Microsoft Intune、および Microsoft Entra ポータルのデバイス一覧に表示されます。デバイスは Microsoft Entra に完全には登録されませんが、合成登録は 1 つのデバイスオブジェクトとしてカウントされます。

Microsoft Defender ポータルで期待すること

Microsoft Defender XDR Device インベントリ を使用してデバイスが Defender for Endpoint のセキュリティ設定管理機能を使用していることを確認するには、[管理者] 列でデバイスの状態を確認します。 管理者 情報は、デバイスのサイドパネルまたはデバイスページでも確認できます。 管理者 は、 MDE によって管理されていることを一貫して示す必要があります。 

また、デバイス側パネルまたはデバイスページで MDE 登録の状態 が成功と表示されていることを確認することで、デバイスが セキュリティ設定管理 に正常に登録されていることを確認できます。

MDE 登録 状態が成功と表示されない場合は、更新され、セキュリティ設定管理のスコープ内にあるデバイスを確認してください。 (セキュリティ設定の管理の構成中に、[強制スコープ] ページでスコープを構成します)。

Microsoft Intune 管理センターで期待されること

Microsoft Intune 管理センターで、[すべてのデバイス] ページに移動します。セキュリティ設定管理で登録されたデバイスは、Defender ポータルと同様にここに表示されます。管理センターで、[管理者］デバイスフィールドに MDE が表示されます。

ヒント

2023 年 6 月、セキュリティ設定の管理では、Microsoft Entra に完全に登録されていないデバイスに対する代理登録の使用が開始されました。この変更により、以前に登録エラーが発生したデバイスは Defender へのオンボードを開始し、セキュリティ設定管理ポリシーを受け取って処理します。

Microsoft Azure ポータルに期待すること

すべてのデバイス ページのMicrosoft Azure ポータルで、デバイスの詳細を表示できます。

Defender for Endpoint セキュリティ設定管理に登録されているすべてのデバイスがポリシーを確実に受信できるようにするには、デバイスの OS の種類に基づいて、動的な Microsoft Entra グループを作成することをお勧めします。動的グループを使用すると、Defender for Endpoint によって管理されるデバイスは、新しいポリシーの作成など、管理者が他のタスクを実行する必要なしに、グループに自動的に追加されます。

重要

2023 年 7 月から 2023 年 9 月 25 日まで、セキュリティ設定管理はオプトインパブリックプレビューを実行し、シナリオに管理および登録されたデバイスの新しい動作を導入しました。 2023 年 9 月 25 日以降、パブリックプレビューの動作が一般公開され、セキュリティ設定管理を使用するすべてのテナントに適用されるようになりました。

2023 年 9 月 25 日より前にセキュリティ設定管理を使用し、2023 年 7 月から 2023 年 9 月 25 日までのオプトインパブリックプレビューに参加しなかった場合は、システムラベルに依存する Microsoft Entra グループを確認して、セキュリティ設定管理で管理する新しいデバイスを識別する変更を行います。これは、2023 年 9 月 25 日より前に、オプトインパブリックプレビューを通じて管理されていないデバイスは、 MDEManaged と MDEJoined の次のシステムラベル (タグ) を使用してマネージドデバイスを識別するためです。これら 2 つのシステムラベルはサポートされなくなり、登録するデバイスに追加されなくなります。

動的グループには、次のガイダンスを使用します。

(推奨)ポリシーをターゲットにする場合は、deviceOSType 属性 (Windows、Windows Server、macOS、Linux) を使用してデバイスプラットフォームに基づく動的グループを使用して、MDM の登録中などに管理の種類を変更するデバイスに対してポリシーが引き続き配信されるようにします。
必要に応じて、Defender for Endpoint によって管理される排他的なデバイスを含む動的グループは、managementType 属性 MicrosoftSense を使用して動的グループを定義することでターゲットにすることができます。この属性の使用は、セキュリティ設定管理機能を介して Defender for Endpoint によって管理されているすべてのデバイスを対象とし、デバイスは Defender for Endpoint によって管理されている間のみこのグループに残ります。

また、セキュリティ設定の管理を構成するときに、Microsoft Defender for Endpoint を使用して OS プラットフォームフリート全体を管理する場合は、Microsoft Defender for Endpoint 強制スコープページで ［タグ付けされたデバイス］ ではなく ［すべてのデバイス］ を選択して、Microsoft Defender for Endpoint 強制スコープページで、すべての合成登録が Microsoft Entra ID クォータに対して完全登録と同じ数にカウントされることを理解します。

どのソリューションを使うべきですか?

Microsoft Intune には、デバイス上の Defender for Endpoint の構成を管理するためのいくつかの方法とポリシーの種類が含まれています。次の表は、Defender for Endpoint セキュリティ設定管理によって管理されるデバイスへの展開をサポートする Intune ポリシーとプロファイルを示しており、このソリューションがニーズに適しているかどうかを特定するのに役立ちます。

Defender for Endpoint のセキュリティ設定管理 と Microsoft Intune の両方でサポートされているエンドポイントセキュリティポリシーをデプロイすると、そのポリシーの 1 つのインスタンスを次の方法で処理できます。

セキュリティ設定の管理によってサポートされるデバイス (Microsoft Defender)
Intune または構成マネージャーのいずれかで管理されているデバイス。

Windows 10 以降のプラットフォームのプロファイル セキュリティ設定管理によって管理されるデバイスではサポートされていません。

デバイスの種類ごとに、次のプロファイルがサポートされています。

Linux

次のポリシーの種類は、Linux プラットフォームをサポートします。

エンドポイントセキュリティポリシー	プロファイル	Defender for Endpoint のセキュリティ設定の管理	Microsoft Intune
ウイルス対策	Microsoft Defender ウイルス対策
ウイルス対策	Microsoft Defender ウイルス対策の除外
エンドポイントの検出および応答	エンドポイントの検出および応答

macOS

次のポリシーの種類は、 macOS プラットフォームをサポートします。

エンドポイントセキュリティポリシー	プロファイル	Defender for Endpoint のセキュリティ設定の管理	Microsoft Intune
ウイルス対策	Microsoft Defender ウイルス対策
ウイルス対策	Microsoft Defender ウイルス対策の除外
エンドポイントの検出および応答	エンドポイントの検出および応答

Windows 10、Windows 11 および Windows Server

Microsoft Defender セキュリティ設定管理での使用をサポートするには、Windows デバイスのポリシーで Windows 10、Windows 11、および Windows Server プラットフォームを使用する必要があります。 Windows 10、Windows 11、Windows Server プラットフォームの各プロファイルは、Intune で管理されているデバイスと、セキュリティ設定の管理によって管理されているデバイスに適用できます。

エンドポイントセキュリティポリシー	プロファイル	Defender for Endpoint のセキュリティ設定の管理
ウイルス対策	Defender の更新コントロール
ウイルス対策	Microsoft Defender ウイルス対策
ウイルス対策	Microsoft Defender ウイルス対策の除外
ウイルス対策	Windows セキュリティエクスペリエンス	注 1
攻撃面の回避	攻撃面の減少ルール
エンドポイントの検出および応答	エンドポイントの検出および応答
ファイアウォール	ファイアウォール
ファイアウォール	ファイアウォール規則

1 - Windows セキュリティエクスペリエンス プロファイルは Defender ポータルで使用できますが、Intune で管理されているデバイスにのみ適用されます。 Microsoft Defender セキュリティ設定管理によって管理されているデバイスではサポートされていません。

各 Intune エンドポイントセキュリティポリシー は、組織内のデバイスの保護に重点を置くセキュリティ管理者が使用することを目的とした個別の設定グループです。セキュリティ設定の管理をサポートするポリシーの説明を次に示します。

ウイルス対策 ポリシーは、Microsoft Defender for Endpoint で見つかったセキュリティ構成を管理します。

注:

エンドポイントでは、変更された設定や新しいポリシーを適用するために再起動は必要ありませんが、 AllowOnAccessProtection および DisableLocalAdminMerge の設定では、これらの設定を更新するためにエンドユーザーがデバイスを再起動する必要がある場合がある問題を認識しています。現在、解決策を提供するために、この問題を調査しています。
攻撃面の縮小 (ASR) ポリシーは、組織がサイバー脅威や攻撃に対して脆弱な場所を最小限に抑えることに重点を置きます。セキュリティ設定の管理では、ASR 規則は、Windows 10、 Windows 11、 Windows Server を実行するデバイスに適用されます。

さまざまなプラットフォームとバージョンに適用される設定に関する現在のガイダンスについては、Windows Threat Protection のドキュメント「ASR 規則でサポートされているオペレーティングシステム」を参照してください。

ヒント

サポートされているエンドポイントを最新の状態に保つために、Windows Server 2012 R2 および 2016 のモダン統合ソリューションの使用を検討してください。

以下も参照してください。
- 攻撃面の縮小の概要「Windows Threat Protection のドキュメント」を参照してください。
エンドポイント検出と応答 (EDR) ポリシーは、ほぼリアルタイムで実用的な高度な攻撃検出を提供する Defender for Endpoint 機能を管理します。 EDRの設定に基づき、セキュリティアナリストはアラートに効果的な優先順位を付け、侵害の全容を可視化し、脅威を修復するための対応措置を講じることができます。
ファイアウォール ポリシーは、デバイス上の Defender ファイアウォールに重点を置きます。
ファイアウォール規則 は、特定のポート、プロトコル、アプリケーション、ネットワークなど、ファイアウォールの詳細な規則で構成されるファイアウォールポリシーのプロファイルの一種です。

Defender for Endpoint セキュリティ設定の管理をサポートするようにテナントを構成する

Microsoft Intune 管理センターを通じてセキュリティ設定の管理をサポートするには、各本体内からそれらの間の通信を有効にする必要があります。

以下のセクションでは、そのプロセスを説明します。

Microsoft Defender for Endpoint を構成する

Microsoft Defender for Endpoint ポータルで、セキュリティ管理者として次の操作を行います。

Microsoft Defender ポータルにサインインし ［設定］>［エンドポイント］>［構成管理］>［強制範囲］ に移動しセキュリティ設定管理のプラットフォームを有効にします。

注:

Microsoft Defender for Endpoint ポータルで セキュリティセンターのセキュリティ設定を管理する権限 を持っていて、同時にすべてのデバイスグループからデバイスを表示できるようになっている場合 (ユーザー権限にロールベースのアクセス制御の制限がない)、このアクションを実行することもできます。
最初に、On タグ付きデバイス のプラットフォームオプションを選択し、MDE-Management タグを使用してデバイスにタグを付けて、各プラットフォームの機能をテストすることをお勧めします。

重要

Microsoft Defender for Endpoint の動的タグ機能 を使用して MDE-Management を使用してデバイスにタグを付ける方法は、セキュリティ設定の管理では現在サポートされていません。この機能によってタグ付けされたデバイスは正常に登録されません。この問題は引き続き調査中です。

ヒント

適切なデバイスタグを使用して、少数のデバイスでロールアウトをテストおよび検証します。

すべてのデバイス グループに展開すると、構成されたスコープに該当するすべてのデバイスが自動的に登録されます。

ほとんどのデバイスは登録を完了し、数分以内に割り当てられたポリシーを適用しますが、デバイスの登録が完了するまでに最大 24 時間かかる場合があります。
組織のニーズに合わせて、Microsoft Defender for Cloud オンボードデバイスと構成マネージャー機関の設定の機能を構成します。

ヒント

Microsoft Defender for Endpoint ポータルのユーザーがポータル間で一貫したアクセス許可を持っていることを確認するには、まだ指定されていない場合は、IT 管理者に Microsoft Intune Endpoint Security Manager組み込み RBAC ロールを付与するよう要求します。

Intune の構成

Microsoft Intune 管理センターでは、アカウントに Endpoint Security Manager の組み込みロールベースのアクセス制御 (RBAC) ロールと同じアクセス許可が必要です。

Microsoft Intune 管理センターにサインインします。
［エンドポイントセキュリティ］>［Microsoft Defender for Endpoint］ を選択し Microsoft Defender for Endpoint を許可してエンドポイントセキュリティの構成を適用する を ［オン］に設定します。

このオプションを ［オン］ に設定すると、Microsoft Defender for Endpoint のプラットフォームスコープ内のすべてのデバイスが、Microsoft Defender for Endpoint にオンボードする資格を持つ Microsoft Intune によって管理されません。

デバイスを Microsoft Defender for Endpoint にオンボードする

Microsoft Defender for Endpoint では、デバイスをオンボードするためのいくつかのオプションがサポートされています。現在のガイダンスについては、Defender for Endpoint のドキュメントの「Microsoft Defender for Endpoint へのオンボード」を参照してください。

Microsoft 構成マネージャーとの共存

環境によっては、構成マネージャーによって管理されるデバイスでセキュリティ設定管理を使用することが必要な場合があります。両方を使用する場合は、1 つのチャネルを介してポリシーを制御する必要があります。複数のチャネルを使用すると、競合や望ましくない結果の機会が生まれます。

これをサポートするには、構成マネージャーを使用してセキュリティ設定管理 を ［オフ］ に設定します。 Microsoft Defender ポータルにサインインし ［設定］>［エンドポイント］>［構成管理］>［強制範囲］ に移動します。

Microsoft Entra グループの作成

デバイスが Defender for Endpoint にオンボードされたら、Microsoft Defender for Endpoint のポリシーの展開をサポートするデバイスグループを作成する必要があります。 Microsoft Defender for Endpoint に登録されているが、Intune または構成マネージャーによって管理されていないデバイスを識別するには:

Microsoft Intune 管理センターにサインインします。
［デバイス］>［すべてのデバイス］ に移動し、[管理者] 列を選択してデバイスの表示を並べ替えます。

Microsoft Defender for Endpoint にオンボードし、登録されているが Intune によって管理されていないデバイスは、［管理者］ 列に Microsoft Defender for Endpoint が表示されます。これらは、Microsoft Defender for Endpoint のセキュリティ管理のポリシーを受信できるデバイスです。

2023 年 9 月 25 日以降、Microsoft Defender for Endpoint のセキュリティ管理を使用するデバイスは、次のシステムラベルを使用して識別できなくなります。
- MDEJoined - このシナリオの一環としてディレクトリに参加していたデバイスに以前に追加された非推奨のタグです。
- MDEManaged - セキュリティ管理シナリオを積極的に使用していたデバイスに以前に追加された非推奨のタグです。 Defender for Endpoint がセキュリティ構成の管理を停止した場合、このタグはデバイスから削除されます。
システム・ラベルを使用する代わりに、管理の種類の属性を使用し、MicrosoftSense に設定することができます。

これらのデバイスのグループは、Microsoft Entra 内または Microsoft Intune 管理センターから作成できます。グループを作成するときに、Windows Server を実行しているデバイスとクライアントバージョンの Windows を実行するデバイスにポリシーを展開する場合は、デバイスの OS 値を使用できます。

Windows 10 および Windows 11 - deviceOSType または OS が Windows として表示される
Windows Server - deviceOSType または OS が Windows Server として表示される
Linux デバイス - deviceOSType または OS が Linux として表示される

ルール構文を使用した Intune 動的グループのサンプル

Windows ワークステーション:

Windows サーバ:

Linux デバイス:

重要

2023 年 5 月に、 deviceOSType は Windows クライアント と Windows Serverを区別するように更新されました。

この変更以前に作成された、Windows のみを参照するルールを指定するカスタムスクリプトおよび Microsoft Entra 動的デバイスグループは、Security Management for Microsoft Defender for Endpoint ソリューションで使用される場合、Windows サーバー を除外する可能性があります。例:

equals または not equals 演算子を使用して Windowsを識別するルールがある場合、この変更はルールに影響します。これは、以前は Windows と Windows Server の両方が Windows として報告されたためです。両方を引き続き含めるには、Windows Server も参照するように規則を更新する必要があります。
contains または like 演算子を使用して Windows を指定するルールがある場合、ルールはこの変更の影響を受けることはありません。これらの演算子は、Windows と Windows Server の両方を検索できます。

ヒント

エンドポイントのセキュリティ設定を管理する権限が委任されているユーザーは、テナント全体の構成を Microsoft Intune に実装できない場合があります。組織内のロールとアクセス許可の詳細については、Intune 管理者にお問い合わせください。

ポリシーを展開する

Microsoft Defender for Endpoint によって管理されているデバイスを含む 1 つ以上の Microsoft Entra グループを作成した後、セキュリティ設定管理用の次のポリシーを作成してそれらのグループに展開できます。使用できるポリシーとプロファイルは、プラットフォームによって異なります。

セキュリティ設定管理でサポートされるポリシーとプロファイルの組み合わせの一覧については、この記事の「使用するソリューション」のグラフを参照してください。

ヒント

同じ設定を管理する複数のポリシーをデバイスに展開しないでください。

Microsoft Intune では、各エンドポイントセキュリティポリシーの種類の複数のインスタンスを同じデバイスにデプロイできます。各ポリシーインスタンスはデバイスによって個別に受信されます。そのため、デバイスが異なるポリシーから同じ設定の個別の構成を受け取り、競合が発生する可能性があります。一部の設定 (ウイルス対策の除外など) はクライアントでマージされ、正常に適用されます。

Microsoft Intune 管理センターにサインインします。
[エンドポイントセキュリティ] に進み、構成したいポリシーの種類を選択し、[ポリシーの作成] を選択します。
ポリシーに対して、デプロイするプラットフォームとプロファイルを選択します。セキュリティ設定管理をサポートするプラットフォームとプロファイルのリストについては、この記事で前述した「どのソリューションを使用するべきか」の表を参照してください。

注:

サポートされているプロファイルは、モバイルデバイス管理 (MDM) を介して Microsoft Intune と通信するデバイスと、Microsoft Defender for Endpoint クライアントを使用して通信するデバイスに適用されます。

必要に応じて、ターゲット設定とグループを確認してください。
[作成] を選択します。
[基本] ページでプロファイルに名前と説明を入力し、[次へ] を選択します。
[構成設定] ページで、このプロファイルで管理する設定を構成します。

設定の詳細については、情報ダイアログを展開し、 ［詳細］ リンクを選択して、その設定のオンライン構成サービスプロバイダー (CSP) のドキュメントまたは関連する詳細を表示します。

設定の構成が完了したら、[次へ] を選択します。
［割り当て］ ページで、このプロファイルを受け取る Microsoft Entra グループを選択します。プロファイルの割り当ての詳細については、ユーザーおよびデバイスプロファイルの割り当てに関するページを参照してください。

[次へ] を選んで続行します。
ヒント
- 割り当てフィルターは、セキュリティ設定の管理によって管理されているデバイスではサポートされていません。
- Microsoft Defender for Endpoint 管理には Device オブジェクト のみが適用されます。ターゲットユーザーはサポートされていません。
- 構成されたポリシーは、Microsoft Intune クライアントと Microsoft Defender for Endpoint クライアントの両方に適用されます。
ポリシー作成プロセスを完了し、 ［レビュー + 作成］ ページで ［作成］ を選択します。作成したプロファイルのポリシーの種類を選択すると、新しいプロファイルが一覧に表示されます。
ポリシーが割り当てられるまで待ち、ポリシーが適用されたことを示す成功を確認します。
Get-MpPreference コマンドユーティリティを使用して、設定がクライアントでローカルに適用されたことを検証できます。

状態の監視

このチャネルのデバイスを対象とするポリシーの状態とレポートは、Microsoft Intune 管理センターのエンドポイントセキュリティの下のポリシーノードから利用できます。

ポリシーの種類にドリルインし、ポリシーを選択して状態を表示します。セキュリティ設定管理をサポートするプラットフォーム、ポリシー・タイプ、およびプロファイルのリストは、この記事の前のほうにある「どのソリューションを使うべきか」の表で見ることができます。

ポリシーを選択すると、デバイスのチェックイン状態に関する情報を表示でき、次を選択できます。

レポートの表示 - ポリシーを受信したデバイスの一覧を表示します。ドリルインするデバイスを選択し、設定ごとの状態を確認できます。その後、同じ設定を管理する他のポリシーなど、その設定に関する詳細情報を表示する設定を選択できます。これは競合の原因である可能性があります。
設定ごとの状態 - ポリシーによって管理されている設定と、各設定の成功、エラー、または競合の数を表示します。

よく寄せられる質問と考慮事項

デバイスのチェックイン頻度

この機能によって管理されているデバイスは、ポリシーを更新するために 90 分ごとに Microsoft Intune チェックインします。

Microsoft Defender ポータルからデバイスをオンデマンドで手動で同期できます。ポータルにサインインし、 ［デバイス］に移動します。 Microsoft Defender for Endpoint によって管理されているデバイスを選択し、 ［ポリシーの同期］ ボタンを選択します。

[ポリシーの同期] ボタンは、Microsoft Defender for Endpoint によって正常に管理されているデバイスに対してのみ表示されます。

改ざん防止によって保護されているデバイス

デバイスで改ざん防止が有効になっている場合、最初に改ざん防止を無効にせずに改ざん防止設定の値を編集することはできません。

割り当てフィルターとセキュリティ設定の管理

割り当てフィルターは、Microsoft Defender for Endpoint チャネルを介して通信するデバイスではサポートされていません。割り当てフィルターは、これらのデバイスを対象とするポリシーに追加できますが、デバイスは割り当てフィルターを無視します。割り当てフィルターをサポートするには、デバイスを Microsoft Intune に登録する必要があります。

デバイスの削除と削除

このフローを使用するデバイスは、次の 2 つの方法のいずれかを使用して削除できます。

Microsoft Intune 管理センター内から ［デバイス］>［すべてのデバイス］に移動し、［管理者］ 列に MDEJoined または MDEManaged を表示するデバイスを選択し、［削除］ を選択します。
セキュリティセンターの［構成管理］のスコープからデバイスを削除することもできます。

いずれかの場所からデバイスが削除されると、その変更は他のサービスに反映されます。

エンドポイントセキュリティで Microsoft Defender for Endpoint ワークロードのセキュリティ管理を有効にできない

両方のサービスのアクセス許可を持つ管理者は初期プロビジョニングフローを完了できますが、各個別のサービスで構成を完了するには、次のロールで十分です。

Microsoft Defender の場合は、セキュリティ管理者ロールを使用します。
Microsoft Intune の場合は、エンドポイントセキュリティ管理ロールを使用します。

Microsoft Entra 参加済みデバイス

Active Directory に参加しているデバイスは、既存のインフラストラクチャ を使用して、Microsoft Entra ハイブリッド参加プロセスを完了します。

サポートされていないセキュリティ設定

次のセキュリティ設定は非推奨として保留中です。 Defender for Endpoint セキュリティ設定管理フローでは、次の設定はサポートされていません。

テレメトリレポートの頻度を早める (エンドポイントの検出と応答)
AllowIntrusionPreventionSystem (ウイルス対策 の下)
改ざん防止 ([Windows セキュリティエクスペリエンス] の下)。この設定は非推奨として保留中ではありませんが、現在サポートされていません。

ドメインコントローラーでのセキュリティ設定管理の使用

Microsoft Entra ID 信頼が必要なため、ドメインコントローラーは現在サポートされていません。このサポートを追加する方法を見ています。

重要

場合によっては、ダウンレベルのサーバーオペレーティングシステム (2012 R2 または 2016) を実行しているドメインコントローラーが、Microsoft Defender for Endpoint によって意図せず管理されることがあります。この問題が環境内で発生しないようにするには、ドメインコントローラーに "MDE-Management" というタグが付いていないか、MDE によって管理されていないことを確認することをお勧めします。

Server Core のインストール

セキュリティ設定の管理では、Server Core プラットフォームの制限により、Server Core のインストールはサポートされません。

PowerShell 制限モード

PowerShell を有効にする必要があります。

PowerShell LanguageMode がConstrainedLanguage モードで構成されているデバイスでは、セキュリティ設定管理が機能しません enabled。詳細については、PowerShell ドキュメントの「about_Language_Modes」を参照してください。

以前にサードパーティのセキュリティツールを使用していた場合の MDE によるセキュリティの管理

以前にコンピューターにサードパーティ製のセキュリティツールがあり、MDE で管理している場合は、まれに MDE のセキュリティ設定を管理する機能に影響を与える可能性があります。このような場合は、トラブルシューティングの手段として、最新バージョンの MDE をコンピューターにアンインストールして再インストールします。

次の手順

Intune で Defender for Endpoint を監視する
Microsoft Defender for Endpoint のエンドポイントセキュリティポリシーを Defender のドキュメントで管理する。

次の方法で共有

Intune エンドポイント セキュリティ ポリシーを使用して、Intune に登録されていないデバイスで Microsoft Defender for Endpoint を管理する