mcpField
M
macos-intune-baseline

macos-intune-baseline

github.com/vinayaklattheセキュリティ17846 回インストール19 週間前に更新
リポジトリ

macos-intune-baseline について

macos-intune-baselineは、Microsoft IntuneとEntra ID環境でmacOS管理を設計・強化するスキルです。登録、認証、暗号化、保護、更新、コンプライアンスに加え、設定の依存関係と導入時の注意点を扱います。

主な機能

  1. 01ABMとIntune登録の計画
  2. 02Entra IDのPlatform SSO設定
  3. 03FileVault復旧キーのエスクロー
  4. 04DefenderとmacOSセキュリティ設定の管理
  5. 05コンプライアンスポリシーとConditional Accessの連携

活用シーン

  1. 01企業Macフリートの管理設計
  2. 02macOSサインインのPlatform SSO移行
  3. 03Defenderに必要なプライバシー権限の展開
  4. 04Conditional Access向けmacOS準拠ルールの作成

インストール

コマンドをコピーしてターミナルで実行します。

$npx skills add https://github.com/vinayaklatthe/microsoft-security-skills --skill macos-intune-baseline

インストール後、Claude Code で/macos-intune-baselineを入力して読み込まれたか確認します。

詳細

Microsoft Intune による macOS のハードニング

Microsoft 製品を中心に利用する企業では、Mac の管理は Windows と比べて不十分なことが一般的です。適切な構成プロファイル、FileVault の回復キー保管、Defender for Endpoint、Entra ID を使用した Platform SSO を組み合わせて Intune で macOS を管理すれば、その差の大半を埋められ、実質的な意味を持つ条件付きアクセスのコンプライアンスシグナルを得られます。

使用する場面

Intune と Entra ID の環境で macOS エンドポイント管理を設計または強化するときに使用します（従業員向けデバイスが対象です。ユーザー登録による BYOD は別のモデルです）。

このスキルは使用しないでください。Intune のエンドツーエンド管理（intune-device-mgmt）、MDE ポリシーの作成（defender-for-endpoint）、iOS／iPadOS の管理には使用しないでください。

機能マップ

レイヤーツール／プロファイル
プロビジョニングApple Business Manager + Intune 自動デバイス登録
ID／SSOPlatform SSO（Entra ID）、Enterprise SSO プラグイン
ディスク暗号化FileVault を有効化 + 回復キーを Intune に保管
アプリ制御Gatekeeper、XProtect（Apple による管理）、システム拡張による公証済みアプリの許可リスト
エンドポイント保護macOS 上の Microsoft Defender for Endpoint
構成設定カタログのプロファイル（推奨）、必要に応じて従来のテンプレート
プライバシー／カーネルプライバシー環境設定ポリシー制御（PPPC）、システム拡張、通知センターポリシー
更新管理対象ソフトウェアアップデート／宣言型デバイス管理（DDM）
コンプライアンスIntune コンプライアンスポリシー → 条件付きアクセス

アプローチ

  1. ABM ＋自動デバイス登録で登録します。 パイロットでは手動登録でも問題ありませんが、本番環境では ABM が必要です。これにより、デバイスは監視対象として登録され、ユーザーによる登録解除ができず、初回起動時にポリシーが適用されます。

  2. Entra ID を使ったプラットフォーム SSO（PSSO） は、macOS 向けの最新の SSO です。ユーザーは Entra の認証情報（パスワード、スマートカード、またはパスキー形式のセキュアエンクレーブ）を使って Mac にサインインします。サインインの用途では、従来の Enterprise SSO プラグインに代わるものです。Microsoft Enterprise SSO プラグインパッケージと PSSO 構成プロファイルの展開が必要です。

  3. エスクローを有効にしたFileVaultプロファイルを Intune に設定します。キーは IT 部門が監査可能な形で復旧できます。エスクローなしで FileVault を展開しないでください。アクセスできなくなったユーザーのデバイスが使用不能になります。

  4. Intune アプリの展開とオンボーディングプロファイルを使って、macOS 版 Defender for Endpoint を導入します。次の機能が含まれます。

    • リアルタイム AV。
    • ネットワーク保護。
    • EDR。
    • 脆弱性評価。

    オンボーディング後に mdatp health を実行して検証します。

  5. 構成プロファイル — Microsoft の macOS セキュリティベースライン（または CIS macOS ベンチマーク）から始めて、必要に応じて調整します。重要な設定は次のとおりです。

    • Gatekeeper：Mac App Store と特定済みの開発元。
    • システム拡張機能の許可リスト — Defender、VPN、DLP エージェントに必要です。明示的な許可リストがない場合、ユーザーに確認が表示され、拒否されることがあります。
    • プライバシー環境設定ポリシー制御（PPPC） — 管理ツール（Defender、Intune 管理エージェント）に必要なアクセシビリティ／フルディスクアクセスを事前に許可します。これがないと、MDE の EDR カバレッジが不完全になります。
    • ステルスモードを有効にしてファイアウォールをオンにします。
    • ポリシーに沿った画面ロック、パスコードの複雑さ、パスワードの有効期間を設定します。
    • 管理対象デバイスでは、root としてのログインとゲストユーザーを無効にし、パスワードの iCloud 同期を無効にします（またはユーザーグループを対象に設定します）。
    • 制限対象のユーザーグループでは、USB マスストレージをブロックします（Defender デバイス制御）。

  6. アプリ管理。 App Store アプリには VPP（Apple Volume Purchase Program）を使用します。ストア以外のアプリには Intune 経由で PKG／DMG を使用し、それ以外のアプリにはシェルスクリプトを使用します。「承認済みアプリ」カタログを維持します。

  7. パッチ適用：管理対象ソフトウェアアップデート／DDM。 Apple の最新のパッチ適用モデルでは、宣言型デバイス管理を使用します。適用延期期間、対象 OS バージョン、強制インストール期限を設定できます。従来の「延期日数」モデルに代わるものです。次のように展開します。

    • メジャーバージョン：30 日間延期し、サポート対象の n-1 を対象にします。
    • マイナー／セキュリティアップデート：7 日間延期し、サポート対象の最新バージョンを対象にします。

  8. コンプライアンスポリシー → 条件付きアクセス。

    • FileVault がオンであること。
    • システム整合性保護（SIP）が有効であること。
    • OS バージョンがサポート対象の最低バージョン以上であること。
    • Defender 脅威エージェントが正常で、リアルタイム保護がオンであること。
    • 暗号化と画面ロックが準拠していること。

    非準拠デバイスとしてマークし、M365 および Azure リソースへの条件付きアクセスを通じて適用します。

  9. 運用。

    • Defender for Endpoint のデバイスインベントリと脆弱性管理を使って、Mac の優先順位を決定します。
    • システム拡張機能と PPPC 許可リストを四半期ごとに見直します（アプリは随時追加・削除されます）。
    • コンプライアンスの傾向を毎月確認します。

ガードレール

  • エスクローなしで FileVault を導入すると、ヘルプデスクに大きな負担がかかります。 まずエスクローを設定し、その後に適用してください。
  • システム拡張機能と PPPC の許可リストは、それらを必要とするエージェントよりも先に展開する必要があります。 そうしないとユーザーにプロンプトが表示され、［拒否］をクリックされて、エージェントが機能しなくなります。
  • 優先順位を理解せずに、Enterprise SSO プラグインと Platform SSO を同時に導入しないでください。 PSSO が戦略的な方向性ですが、慎重に併用してください。
  • CIS と Microsoft のベースラインを調整せずに混在させないでください。 設定が競合します。
  • VPP アプリには ABM との連携が必要です。 ABM がないと、ユーザーの Apple ID に頼らざるを得ません。
  • Mac での MDE の保護範囲は、アクセシビリティとフルディスクアクセスの PPPC に依存します。 必ず確認してください。そうしないと、EDR の保護が不完全になります。
  • 管理対象ソフトウェアアップデートには、監視対象デバイスが必要です。 ユーザー登録の BYOD では利用できる機能が異なります。
  • コンプライアンスの猶予期間を 14 日以上にすると、モデルの効果が損なわれます。 デバイス群の運用が成熟するにつれて、期間を短縮してください。
  • 個人用アカウントの iCloud Drive で企業データを同期できるようにしないでください。 ポリシー、または該当ユーザー向けの BYOD 相当のユーザー登録によって制限してください。

よくあるアンチパターン

  • 「FileVault は展開したが、エスクローは後回し」 — ユーザーはロックアウトされ、IT は復旧できません。
  • 「Defender はインストールしたが、PPPC プロファイルがない」 — EDR はユーザーモードのイベントを認識しますが、フルディスクアクセスが必要なイベントは認識できません。
  • 「システム拡張機能のプロンプトをユーザーに表示し、Defender を許可したユーザーと許可しなかったユーザーがいる」 — 保護範囲が分断されます。プロファイルで許可リストを設定してください。
  • 「コンプライアンスポリシーで OS バージョンの下限を確認しなかった」 — 2 世代前のメジャーバージョンを実行し、未修正の CVE があるデバイスが準拠済みと判定されます。
  • 「本番環境で手動登録する」 — ユーザーが登録を解除でき、ポリシーが適用されません。
  • 「個人用 Apple ID で App Store アプリを入手する」 — ライセンスが乱立し、ユーザーの離任時にアプリを削除できません。
  • 「パッチ適用ポリシー ＝ ユーザーが更新することを信頼する」 — デバイス群の状態にばらつきが生じ、CVE の未対応件数が増加します。
  • 「Mac 向けの条件付きアクセスを『すべてのユーザー + すべてのクラウドアプリ』に適用する」 — 緊急アクセス手段まで使えなくなる障害が発生します。Windows の展開と同様に段階的に進めてください。

プロンプトの例

  • 5,000 台のデバイスを使うクリエイティブ部門向けに macOS 管理を立ち上げる：ABM + Intune ADE + PSSO + FileVault エスクロー + MDE + ベースライン。
  • Defender、社内 VPN、DLP エージェント向けのシステム拡張機能と PPPC 許可リストを構築する。
  • 古い Enterprise SSO プラグインから、Entra ID のパスワード／スマートカードのユースケースに対応する Platform SSO に移行する。
  • macOS を M365 と Azure portal の条件付きアクセスに対応付けるコンプライアンスポリシー。
  • Managed Software Updates / DDM を使った、Sonoma から Sequoia への切り替えに向けたパッチ適用ポリシー。
  • Microsoft の macOS ベースラインと CIS macOS ベンチマークを比較し、競合を調整する。
  • BYOD のユーザー登録と企業所有 ADE の設計を比較する — 機能とトレードオフの表。
  • Mac での MDE：PPPC による EDR の保護範囲を確認し、脆弱性評価パイプラインを検証する。

Microsoft Learn

コメント

Markdown 対応