Surface Hub の条件付きアクセス

条件付きアクセスとは

条件付きアクセスは、組織が企業リソースへのアクセスを許可またはブロックするポリシーを構成できるようにするMicrosoft Entra機能です。 これらのポリシーは、 割り当て と アクセス制御の if-then ステートメントです。 Surface Hub デバイス アカウントに互換性のない条件付きアクセス ポリシーが適用されている場合は、次の 1 つ以上の問題が発生する可能性があります。

• Surface Hub にデバイス アカウントを追加できない
• ようこそ画面の予定表が Exchange と同期できない
• Teams Rooms クライアントがサインインしない

このページのガイダンスに従って、Surface Hub デバイス アカウントと条件付きアクセスの対話方法と問題のトラブルシューティング方法を理解します。

デバイス アカウントと条件付きアクセス ポリシー

Surface Hub デバイス アカウント は、会議出席依頼を受け取り、Teams 会議に参加するために使用されます。 条件付きアクセス ポリシーを作成する場合は、デバイス アカウントがブロックされないように、割り当てとアクセス制御に関する以下の Surface Hub の違いを考慮してください。

割り当て

クラウド アプリ

Surface Hub デバイス アカウントでは、サインイン時に次の クラウド アプリ が使用されます。 これらのリソースへのサインインを許可するように条件付きアクセス ポリシーが構成されていることを確認します。

• Office 365
• Office 365 Exchange Online
• Office 365 SharePoint Online (これにはOneDrive for Businessが含まれます)
• グラフ エクスプローラー
• Microsoft Teams

条件

Surface Hub は次の 条件に含まれます。

• デバイス プラットフォーム - Windows
• クライアント アプリ - モバイル アプリとデスクトップ

アクセス制御

Surface Hub デバイス アカウントは、次の種類の許可とセッション アクセス制御を必要とする条件付きアクセス ポリシーと互換性がありません。 すべての Surface Hub のデバイス アカウントは、そのようなポリシーから 除外 する必要があります。

付与

• 多要素認証を要求する
• 認証強度が必要 (プレビュー)
• デバイスを準拠としてマークする必要がある
• ハイブリッド参加済みデバイスMicrosoft Entra必要
• 承認済みクライアント アプリを要求する
• アプリ保護ポリシーを要求する
• パスワードの変更を要求する

セッション

• アプリによって適用される制限を使用する
• 条件付きアクセス アプリ制御を使用する

割り当てとアクセス制御の詳細については、 条件付きアクセス ポリシーの作成 に関する記事を参照してください。

トラブルシューティング

Surface Hub でデバイス アカウントにサインインの問題が発生している場合は、まず Azure サインイン ログ を確認して、障害や割り込みが発生しているかどうかを判断します。 失敗したサインインの詳細は、通常、条件付きアクセス ポリシーがサインインをブロックしている場合に表示されます。

"What If" ツールを使用して、デバイス アカウントに適用される条件付きアクセス ポリシーを決定できます。 ツールを使用する場合は、ユーザーとして Surface Hub デバイス アカウントを選択し、既定の "Any cloud app" のままにします。詳細については、「 What If ツールを使用した条件付きアクセスのトラブルシューティング」を参照してください。

条件付きアクセス ポリシーを確認する

Azure サインイン ログと "What If" ツールで、アカウントに影響を与える条件付きアクセス ポリシーが表示されない場合は、すべての条件付きアクセス ポリシーを手動で確認して、Surface Hub デバイス アカウントが影響を受けないことを確認することをお勧めします。

ステップ 1

エンドポイント マネージャー内のテナントの条件付きアクセス ポリシーに移動します。 このページにアクセスするには、ユーザーに正しい ロール が割り当てられていることを確認します。

1. 管理センター Microsoft Intuneサインインする
2. [デバイス>の条件付きアクセス] に移動します

ステップ 2

各条件付きアクセス ポリシーを選択し、 その割り当て と アクセス制御を確認します。 上記の要件を使用して、ポリシーが Surface Hub と互換性があるかどうかを判断します。 そうでない場合は、サインインするには、デバイス アカウントをそのようなポリシーから 除外 する必要があります。

注

[オン] または [レポートのみ] の状態のポリシーは、Surface Hub デバイス アカウントに影響する可能性があります。

サポートされていない条件付きアクセス ポリシーからデバイス アカウントを除外する

Surface Hub デバイス アカウントでサポートされるポリシーの数が限られているため、サインインを許可するには、一般的に条件付きアクセス ポリシーから除外する必要があります。 条件付きアクセス ポリシーからデバイス アカウントを除外するには、次の操作を行います。

1. [割り当て] で、[ユーザーの除外] を選択します>
2. [ユーザーとグループ] を選択します
3. 個々の Surface Hub デバイス アカウント、またはデバイス アカウントのグループを選択します。
4. 画面の下部にある [保存] を選択します。

条件付きアクセス ポリシーからユーザー アカウントを除外する方法を示す ビデオ を次に示します。

重要

Surface Hub デバイス オブジェクトではなく、Surface Hub デバイス アカウント ユーザー オブジェクトを選択します。