Windows Autopilot デバイスの準備 ユーザー駆動型 Microsoft Entra 参加: 割り当てられたデバイス グループを作成する

Windows Autopilot デバイスの準備、ユーザー駆動型 Microsoft Entra 結合手順:

• 手順 1: Windows の自動 Intune 登録を設定する
• 手順 2: ユーザーがデバイスを Microsoft Entra ID に参加させることを許可する

• 手順 4: ユーザー グループを作成する
• 手順 5: デバイス グループにアプリケーションと PowerShell スクリプトを割り当てる
• 手順 6: Windows Autopilot のデバイス準備ポリシーを作成する
• 手順 7: Windows 企業識別子をデバイスに追加する

Windows Autopilot デバイスの準備のユーザー駆動型 Microsoft Entra 参加ワークフローの概要については、「Windows Autopilot デバイスの準備のユーザー駆動型 Microsoft Entra 参加の概要」を参照してください。

割り当てられたデバイス グループを作成する

デバイス グループは、Microsoft Entra グループに編成されたデバイスのコレクションです。 通常、デバイス グループは割り当て済みまたは動的にすることができます。

• 割り当てられたグループ - デバイスは手動でグループに追加され、静的です。 Windows Autopilot デバイスの準備では、割り当てられたグループのみが使用されます。
• 動的グループ - デバイスはルールに基づいてグループに自動的に追加されます。 Windows Autopilot デバイスの準備では、動的グループは使用されません。

Windows Autopilot デバイスの準備では、 割り当てられたデバイス グループ が Windows Autopilot デバイス準備ポリシーの一部として使用されます。 Windows Autopilot のデバイス準備ポリシーで指定されているデバイス グループは、 割り当てられたデバイス グループである必要があります。 その後、Windows Autopilot デバイスの準備プロセスにより、Windows Autopilot デバイスの準備の展開中に、この割り当てられたデバイス グループにデバイスが自動的に追加されます。

Windows Autopilot デバイスの準備で使用する割り当てられたセキュリティ デバイス グループを作成するには、次の手順に従います。

1. Microsoft Intune 管理センターにサインインします。

2. ホーム画面で、左側のウィンドウで [グループ] を選択します。

3. グループで |[すべてのグループ] 画面で、[すべてのグループ] が選択されていることを確認し、[新しいグループ] を選択します。

4. [ 新しいグループ ] 画面が開きます。

   1. [グループの種類] で、[セキュリティ] を選択します。

   2. [グループ名] に、Windows Autopilot デバイス準備デバイス グループなど、デバイス グループの名前を入力します。

   3. [グループの説明] に、デバイス グループの説明を入力します。

   4. Microsoft Entra ロールをグループに割り当てることができる場合は、[いいえ] を選択します。

   5. [ メンバーシップの種類] で、[ 割り当て済み] を選択します。

   6. [ 所有者] で、[ 所有者が選択されていません] リンクを選択します。

   7. 開く [ 所有者の追加 ] 画面で、次の操作を行います。

      1. オブジェクトの一覧をスクロールし、AppId が f1346770-5b25-470b-88bd-d5744ab7952c のサービス プリンシパル Intune Provisioning Client を選択します。 または、検索バーを使用して、Intune プロビジョニング クライアントを検索して選択します。

         注:

         • 一部のテナントでは、サービス プリンシパルの名前が Intune プロビジョニング クライアントではなく、Intune Autopilot ConfidentialClient である場合があります。 サービス プリンシパルの AppID が f1346770-5b25-470b-88bd-d5744ab7952c である限り、それは正しいサービス プリンシパルです。

         • Intune プロビジョニング クライアントまたは Intune Autopilot ConfidentialClient サービス プリンシパルの AppId が f1346770-5b25-470b-88bd-d5744ab7952c でオブジェクトの一覧でも検索時にも使用できない場合は、「Intune プロビジョニング クライアント サービス プリンシパルの追加」を参照してください。

      2. Intune プロビジョニング クライアントが所有者として選択されたら、[選択] を選択します。

   8. [ 作成] を選択して、割り当てられたデバイス グループの作成を完了します。

   重要

   デバイスは、Windows Autopilot デバイスの準備の展開中に、このデバイス グループに自動的に追加されます。 この手順で作成したデバイス グループのメンバーとして手動でデバイスを追加する必要はありませんが、Windows Autopilot のデバイス準備プロセスには影響しません。

Intune プロビジョニング クライアント サービス プリンシパルの追加

デバイス グループの所有者を選択するときに、AppId f1346770-5b25-470b-88bd-d5744ab7952c の Intune プロビジョニング クライアント サービス プリンシパルを使用できない場合は、次の手順に従ってサービス プリンシパルを追加します。

1. Microsoft Intune または Microsoft Entra ID が通常管理されるデバイスで、管理者特権の Windows PowerShell コマンド プロンプトを開きます。

2. Windows PowerShell コマンド プロンプト ウィンドウで次の操作を行います。

   1. 次のコマンドを入力して、 Microsoft.Graph.Authentication モジュールをインストールします。

      Install-Module Microsoft.Graph.Authentication
      

      プロンプトが表示された場合:

      • Y または Yes を入力するか、[Yes] ボタンを選択して、NuGet のインストールに同意します。
      • Y または Yes を入力するか、[Yes] ボタンを選択して、PSGallery 信頼されていないリポジトリからのインストールに同意します。

      詳細については、「 Microsoft.Graph.Authentication 」および 「Set-PSRepository -InstallationPolicy」を参照してください。

   2. 次のコマンドを入力して、 Microsoft.Graph.Applications モジュールをインストールします。

      Install-Module Microsoft.Graph.Applications
      

      プロンプトが表示されたら、[Y] または [はい] を入力するか、[はい] ボタンを選択して、PSGallery 信頼されていないリポジトリからインストールすることに同意します。

      詳細については、「 Microsoft.Graph.Applications および Set-PSRepository -InstallationPolicy」を参照してください。

   3. Microsoft.Graph.Authentication モジュールと Microsoft.Graph.Applications モジュールをインストールしたら、次のコマンドを入力して Microsoft Entra ID に接続します。

      Connect-MgGraph -Scopes "Application.ReadWrite.All"
      

      詳細については、「 Connect-MgGraph」を参照してください。

   4. Microsoft Entra ID に対してまだ認証されていない場合は、[アカウントにサインイン] ウィンドウが表示されます。 サービス プリンシパルを追加するアクセス許可を持つ Microsoft Entra ID 管理者の資格情報を入力します。

   5. [アクセス許可が要求されました] ウィンドウが表示された場合は、[Consent on beant of your organization] チェックボックスをオンにし、[同意する] ボタンを選択します。

   6. Microsoft Entra ID に対して認証され、適切なアクセス許可が付与されたら、次のコマンドを入力して Intune プロビジョニング クライアント サービス プリンシパルを追加します。

      New-MgServicePrincipal -AppID f1346770-5b25-470b-88bd-d5744ab7952c
      

      詳細については、「 New-MgServicePrincipal -BodyParameter」を参照してください。

      注:

      • Intune プロビジョニング クライアント サービス プリンシパルがテナントに既に存在する場合は、次のエラー メッセージが表示されます。

        New-MgServicePrincipal : The service principal cannot be created, updated, or restored because the service principal name
        f1346770-5b25-470b-88bd-d5744ab7952c is already in use.
        Status: 409 (Conflict)
        ErrorCode: Request_MultipleObjectsWithSameKeyValue
        

      • 次のいずれかの条件に該当する場合、次のエラー メッセージが表示されます。

        • Connect-MgGraph コマンドでのサインインに使用されるアカウントには、テナントにサービス プリンシパルを追加するアクセス許可がありません。
        • -Scopes "Application.ReadWrite.All" 引数は Connect-MgGraph コマンドには追加されません。
        • [ アクセス許可の要求] ウィンドウが承認されていません。
        • [アクセス許可の要求] ウィンドウで [Consent on beant of your organization] チェックボックスがオフになっています。

        New-MgServicePrincipal : Insufficient privileges to complete the operation.
        Status: 403 (Forbidden)
        ErrorCode: Authorization_RequestDenied
        

次の手順: ユーザー グループを作成する

関連コンテンツ

Intune でのグループの作成の詳細については、次の記事を参照してください。

• デバイス グループを作成します。
• グループを追加してユーザーとデバイスを整理します。
• Microsoft Entra グループとグループ メンバーシップを管理します。
• Microsoft Entra ID のグループの動的メンバーシップ ルール。