intune-device-mgmt

Microsoft Intune - デバイス管理

Microsoft Intune は、Windows、macOS、iOS/iPadOS、Android、Linux にわたるデバイスの登録、構成、保護、監視を行うクラウドベースのエンドポイント管理サービスです。条件付きアクセスがアクセス判断に使用するデバイス準拠シグナルのソースです。

使用する場面

企業所有デバイスと BYOD デバイスを管理し、条件付きアクセスが必要とする準拠シグナルを生成します。このスキルは、登録、準拠、ベースライン、ロールアウトリングを計画する際に使用します。

このスキルは、 個人用デバイスでのアプリのみの保護（intune-app-protection）、EDR（defender-for-endpoint）、またはディスク暗号化（bitlocker-design）には使用しないでください。

プラットフォームと所有者に応じて登録方法を選ぶ

プラットフォーム	企業所有	個人所有（BYOD）
Windows	Autopilot + Entra 参加（事前プロビジョニングまたはユーザー主導）	Entra 登録 + MAM または共同管理
macOS	Apple Business Manager (ABM) + ADE 登録	ユーザー登録（管理機能に制限あり）
iOS/iPadOS	ABM + ADE 監視対象	ユーザー登録（アカウント主導を推奨）
Android	Android Enterprise 完全管理（企業所有）	Android Enterprise 仕事用プロファイル

経験則： デバイスが企業所有の場合は、Autopilot／ABM／Android Enterprise の完全管理によるフル MDM を使用します。個人所有の場合は、企業データと個人データを明確に分離できる 仕事用プロファイル（Android） または ユーザー登録 （iOS） を優先します。個人用デバイスをフル MDM に登録してはいけません。ユーザーの反発を招き、個人データに関する責任を負うことになります。

アプローチ

1. 登録 — プラットフォーム固有の登録を構成します（Autopilot 展開プロファイル、 ABM トークン + ADE プロファイル、Android Enterprise バインド）。ポリシーで定めている場合は、企業ユーザーによる個人所有プラットフォームの登録をブロックします（登録制限）。 確認：Autopilot デバイスが初期設定エクスペリエンスを開始し、IT 担当者が操作しなくても、1 回で参加と Intune 登録が完了すること。

2. 構成プロファイル — レガシーテンプレートではなく、設定カタログを使用します。Wi-Fi／VPN／証明書プロファイル、OS の強化、ブラウザーポリシーを展開します。用途ごとにプロファイルを 1 つ作成し、無関係な設定をまとめないでください。

3. コンプライアンスポリシーを条件付きアクセスに連携する — プラットフォームごとに、暗号化、OS バージョン、セキュアブート、Defender シグナル、脱獄／root 検出の準拠要件を定義します。準拠状態によって、条件付きアクセスの許可制御「デバイスを準拠としてマークすることを必須にする」が動作します。 確認：準拠していないデバイスは条件付きアクセスの What If でブロックされ、準拠デバイスは許可されること。

4. セキュリティベースラインを適用する — Intune の セキュリティベースライン（Windows、Defender for Endpoint、Edge）から開始します。強化された出発点として利用し、その後、差分を調整します。セキュリティ設定を一から作成しないでください。 確認：パイロットリングにベースラインが適用され、準拠として報告されていること。差分が文書化されていること。

5. リングとフィルターを使ってロールアウトする — パイロットリング（5%）→ 先行リング（20%）→ 全体展開（75%）。 フィルターを使用して、デバイスの種類をまたいでポリシーを正確に適用します（例：Windows 11 のみ、企業所有デバイスのみ）。 確認：ポリシーレポートに段階的なロールアウトが示されていること。パイロットリングが全体展開より 2 週間先行していること。

6. 更新プログラム — Windows：Autopatch または更新リング。iOS/macOS：管理対象ソフトウェア更新。リングごとに更新の延期を計画し、Microsoft のリリース当日に同じ更新を展開しないでください。

7. 監視と修復 — 暗号化／準拠／構成レポートを毎日確認します。準拠状態の逸脱は条件付きアクセスによるブロックにつながるため、迅速に対応してください。

ガードレール

• リングを活用して設定をパイロット運用し、コンプライアンスを確認します。初日から組織全体に適用しないでください。 組織全体に適用したコンプライアンスポリシーに不備があると、昼休みまでに全員がメールを使えなくなる可能性があります。
• コンプライアンスの猶予期間を設け、ユーザーが問題を解決するための明確な手順を案内して、ロックアウトを防ぎます。 24～72 時間の猶予を設け、ユーザーに修正が必要な内容と場所を伝えます。
• フィルターを使い、デバイスの種類ごとにポリシーの対象を正確に指定します。 Windows 専用ポリシーを iOS に適用すると、失敗がいつまでも報告されます。
• 登録制限は重要です。 実際に管理するプラットフォーム／所有権の種類のみを許可してください。そうしないと、ユーザーが個人デバイスを自分で登録し、その管理責任を負うことになります。
• まずベースラインを適用し、その後でカスタム設定を追加します。 ゼロから作成したカスタムセキュリティポリシーは、すぐに Microsoft のガイダンスから逸脱します。
• Defender for Endpoint の EDR オンボーディングを構成プロファイルに含めないでください。 Defender のエンドポイントセキュリティポリシーまたは MDE 統合の方法を使用します。

よくあるアンチパターン

• 「1 日目にテナント全体でコンプライアンスポリシーを有効にする」 - 2 日目にロックアウトが発生します。
• 「すべての設定を 1 つの巨大な Windows 構成プロファイルにまとめる」 - 保守が困難です。設定が 1 つ失敗すると、プロファイル全体が失敗として扱われます。
• 「猶予期間なしでコンプライアンスポリシーを適用する」 - ネットワークが一時的に切断されるだけで、ユーザーがブロックされます。猶予期間が必要です。
• 「BYOD の iPhone をフル MDM に登録する」 - ユーザーの反発やデータ保護上のリスクにつながります。ユーザー登録を使用してください。
• 「セキュリティベースラインを使わず、独自に作成する」 - 時間がかかるうえ、安全性が低く、すぐに古くなります。
• 「フィルターを使わず、すべてのデバイスを対象にする」 - macOS と iOS では Windows 専用ポリシーの失敗が報告され、その逆も同様です。フィルターで対象を指定してください。

プロンプトの例

• Plan device enrollment with Autopilot for Windows and ABM for macOS.
• Create compliance policies for Windows, iOS, and Android that feed Conditional Access.
• Apply Intune security baselines and tune deltas for our environment.
• Set up update rings with Windows Autopatch and a pilot-fast-broad cadence.
• Use filters to scope an iOS-only configuration profile.
• Roll out a new compliance policy with grace period and ring strategy.

Microsoft Learn

• Intune の概要：https://learn.microsoft.com/mem/intune/fundamentals/what-is-intune
• デバイス登録：https://learn.microsoft.com/mem/intune/enrollment/device-enrollment
• Windows Autopilot：https://learn.microsoft.com/autopilot/overview
• コンプライアンスポリシー：https://learn.microsoft.com/mem/intune/protect/device-compliance-get-started
• セキュリティベースライン：https://learn.microsoft.com/mem/intune/protect/security-baselines
• 設定カタログ：https://learn.microsoft.com/mem/intune/configuration/settings-catalog
• Windows Autopatch：https://learn.microsoft.com/windows/deployment/windows-autopatch/overview/windows-autopatch-overview
• フィルター：https://learn.microsoft.com/mem/intune/fundamentals/filters