Intune と Windows Autopilot を使用して Microsoft Entra ハイブリッド参加済みデバイスを展開する

• Microsoft Entra ハイブリッド参加済みデバイスを正常に構成しました。 必ず Get-MgDevice コマンドレットを使用して、デバイスの登録を確認してください。
• ドメインと OU ベースのフィルターが Microsoft Entra Connect の一部として構成されている場合は、Windows Autopilot デバイス用の既定の組織単位 (OU) またはコンテナーが同期スコープに含まれていることを確認します。

登録するデバイスは、次の要件に従う必要があります。

• 現在サポートされているバージョンの Windows を使用します。
• 以下の Windows Autopilot ネットワーク要件に従ってインターネットにアクセスできる。
• Active Directory ドメイン コントローラーにアクセスできる。
• 参加しているドメインのドメイン コントローラーに対して正常に ping を実行しました。
• プロキシを使用している場合は、Web プロキシ自動検出プロトコル (WPAD) プロキシ設定オプションを有効にして構成する必要があります。
• OOBE (Out-of-Box Experience) を使用している。
• OOBE で Microsoft Entra ID がサポートする承認の種類を使用します。

必須ではありませんが、Active Directory フェデレーション サービス (ADFS) の Microsoft Entra ハイブリッド参加を構成すると、展開中の Windows Autopilot Microsoft Entra 登録プロセスを高速化できます。 パスワードの使用をサポートしておらず、ADFS を使用しているフェデレーションのお客様は、認証エクスペリエンスを適切に構成するには、記事「Active Directory フェデレーション サービス (AD FS) prompt=login パラメーターのサポート」の手順に従う必要があります。

• オフライン ドメイン参加 (ODJ) コネクタとも呼ばれる Active Directory 用 Intune コネクタは、.NET Framework バージョン 4.7.2 以降を実行している Windows Server 2016 以降を実行しているコンピューターにインストールする必要があります。

• Active Directory 用の Intune コネクタをホストするサーバーは、インターネットと Active Directory にアクセスできる必要があります。

  注:

  Active Directory サーバー用の Intune コネクタでは、Active Directory と通信するために必要な RPC ポート要件を含む、ドメイン コントローラーへの標準的なドメイン クライアント アクセスが必要です。 詳細については、次の記事を参照してください。

  • Windows のサービス概要およびネットワーク ポート要件
  • Active Directory ドメインと信頼のファイアウォールを構成する方法
  • ハイブリッド ID で必要なポートとプロトコル

• 拡張性と可用性を高めるために、1 つのドメインに複数のコネクタをインストールできます。 各コネクタは、サポートするドメイン内にコンピューター オブジェクトを作成できる必要があります。

• Intune Connector for Active Directory をインストールする管理者は、Intune Connector for Active Directory がインストールされているサーバーのローカル管理者である必要があります。

• 更新された Active Directory 用の Intune コネクタの場合、次のドメイン権限を持つアカウントを使用してインストールを行う必要があります。

  • 必須 - 管理されたサービス アカウント コンテナーに msDs-ManagedServiceAccount オブジェクトを作成します

  • 省略可能 - Active Directory の OU のアクセス許可を変更する - 更新された Intune Connector for Active Directory をインストールする管理者にこの権限がない場合は、これらの権限を持つ管理者が追加の構成手順を実行する必要があります。 詳細については、この記事の「 組織単位 (OU) のコンピューター アカウントの制限を増やす」 セクションを参照してください。

    これらの権限により、Active Directory 用 Intune コネクタ インストールで管理サービス アカウント (MSA) を適切に作成し、MSA がコンピューターを追加している OU にアクセス許可を正しく設定できます。

• Active Directory 用の Intune コネクタには、Intune と同じエンドポイントが必要です。

開始する前に

• インストールする前に、Active Directory サーバー用の Intune コネクタの要件がすべて満たされていることを確認します。

• Microsoft では、Active Directory 用 Intune コネクタをインストールおよび構成する管理者が、Active Directory 用 Intune コネクタの要件に記載されているドメイン権利を持つことをお勧めします (必須ではありません)。 これらの権限により、Active Directory インストーラーおよび構成プロセス用の Intune コネクタは、コンピューター オブジェクトが作成されるコンピューター コンテナーまたは OU で管理されたサービス アカウント (MSA) のアクセス許可を設定できます。

  管理者にこれらのアクセス許可がない場合は、適切な権限を持つ別の管理者が組織 単位 (OU) のコンピューター アカウントの制限を増やす必要があります。

Internet エクスプローラーのセキュリティ強化の構成をオフにする

バージョン 6.2504.2001.8 以降、更新された Active Directory 用 Intune コネクタは、Microsoft Internet エクスプローラー上に構築された WebBrowser ではなく、Microsoft Edge 上に構築された WebView2 を使用するように切り替えられました。 この変更は、Windows Server の Internet エクスプローラーセキュリティ強化の構成設定をオフにする必要がなくなることを意味します。 Internet エクスプローラーのセキュリティ強化の構成設定での問題が発生しないようにするには、Active Directory 用 Intune コネクタのバージョン 6.2504.2001.8 以降をインストールしてください。

Active Directory 用の Intune コネクタをダウンロードする

1. Active Directory 用の Intune コネクタがインストールされているサーバーで、Microsoft Intune 管理センターにサインインします。

2. ホーム画面で、左側のウィンドウの [デバイス] を選択します。

3. [ デバイス] で[概要] 画面の [ プラットフォーム別] で、[ Windows] を選択します。

4. Windows で |Windows デバイス 画面の [ デバイス オンボード] で、[ 登録] を選択します。

5. Windows で |Windows 登録画面の [Windows Autopilot] で、[Active Directory 用 Intune コネクタ] を選択します。

6. [Active Directory 用の Intune コネクタ] 画面で、[追加] を選択します。

7. 開いた [コネクタの追加] ウィンドウで、[Active Directory 用の Intune コネクタの構成] で、[Active Directory 用のオンプレミスの Intune コネクタをダウンロードする] を選択します。 リンクをクリックすると、 ODJConnectorBootstrapper.exe というファイルがダウンロードされます。

サーバーに Active Directory 用 Intune コネクタをインストールする

1. ローカル管理者権限を持つアカウントを使用して、Active Directory 用 Intune コネクタがインストールされているサーバーにサインインします。

2. 以前の従来の Intune Connector for Active Directory がインストールされている場合は、更新された Intune Connector for Active Directory をインストールする前に、まずそれをアンインストールします。 詳細については、「Active Directory 用の Intune コネクタのアンインストール」を参照してください。

   重要

   以前の従来の Intune Connector for Active Directory をアンインストールする場合は、アンインストール プロセスの一環として従来の Intune Connector for Active Directory インストーラーを実行してください。 従来の Intune Connector for Active Directory インストーラーの実行時にアンインストールを求めるメッセージが表示された場合は、アンインストールを選択します。 この手順により、以前のレガシ Intune Connector for Active Directory が完全にアンインストールされます。 従来の Intune Connector for Active Directory インストーラーは、Intune Connector for Active Directory からダウンロードできます。

   ヒント

   Active Directory 用の Intune コネクタが 1 つしかないドメインでは、最初に別のサーバーに更新された Intune Connector for Active Directory をインストールすることをお勧めします。 更新された Intune Connector for Active Directory を別のサーバーにインストールすることは、現在のサーバーで従来の Intune Connector for Active Directory をアンインストールする前に行う必要があります。 最初に別の場所に Active Directory 用の Intune コネクタをインストールすると、Active Directory 用の Intune コネクタが現在のサーバーで更新されている間のダウンタイムを回避できます。

3. ダウンロードしたODJConnectorBootstrapper.exeファイルを開いて、Active Directory セットアップ用の Intune コネクタのインストールを起動します。

4. Active Directory セットアップ用の Intune コネクタのインストールをステップ実行します。

5. インストールの最後に、[Active Directory の Intune コネクタを起動する] チェック ボックスをオンにします。

   注:

   Intune Connector for Active Directory セットアップ インストールが [Active Directory 用コネクタの起動] チェックボックスをオンにせずに誤って閉じIntune場合は、[Intune Intune Connector for Active Directory>] を選択すると、 Connector for Active Directory 設定を再開できますIntune[スタート] メニューから [Active Directory のコネクタ] を選択します。

Active Directory の Intune コネクタにサインインする

1. [Active Directory 用 Intune コネクタ] ウィンドウの [登録] タブで、[サインイン] を選択します。

2. [サインイン] タブで、Intune 管理者ロールの Microsoft Entra ID 資格情報を使用してサインインします。 ユーザー アカウントに Intune ライセンスが割り当てられている必要があります。 サインイン プロセスが完了するまでに数分かかる場合があります。

   注:

   Active Directory の Intune コネクタの登録に使用されるアカウントは、インストール時の一時的な要件にすぎません。 サーバーが登録された後、このアカウントは今後使用されません。

3. サインイン プロセスが完了したら、次の手順を実行します。

   1. [Active Directory の Intune コネクタが正常に登録されました] の確認ウィンドウが表示されます。 [ OK ] を選択してウィンドウを閉じます。
   2. 名前が "< の管理されたサービス アカウントMSA_name>" が正常にセットアップされました。確認ウィンドウが表示されます。 MSA の名前は、ランダムな 5 文字#####msaODJ#####形式です。 作成された MSA の名前をメモし、[ OK ] を選択してウィンドウを閉じます。 OU でのコンピューター オブジェクトの作成を許可するように MSA を構成するには、後で MSA の名前が必要になる場合があります。

4. [登録] タブに、Active Directory 用 Intune コネクタが登録されていることが表示されます。 [ サインイン] ボタンが灰色表示され、[ 管理されたサービス アカウントの構成 ] が有効になっています。

5. [Active Directory の Intune コネクタ] ウィンドウを閉じます。

Active Directory の Intune コネクタがアクティブであることを確認する

認証後、Active Directory の Intune コネクタのインストールが完了します。 インストールが完了したら、次の手順に従って Intune でアクティブであることを確認します。

1. まだ開いている場合は、Microsoft Intune 管理センターにアクセスします。 [ コネクタの追加 ] ウィンドウがまだ表示されている場合は、閉じます。

   Microsoft Intune 管理センターがまだ開いていない場合:

   1. Microsoft Intune 管理センターにサインインします。

   2. ホーム画面で、左側のウィンドウの [デバイス] を選択します。

   3. [ デバイス] で[概要] 画面の [ プラットフォーム別] で、[ Windows] を選択します。

   4. Windows で |Windows デバイス 画面の [ デバイス オンボード] で、[ 登録] を選択します。

   5. Windows で |Windows 登録画面の [Windows Autopilot] で、[Active Directory 用 Intune コネクタ] を選択します。

2. [Active Directory 用の Intune コネクタ] ページで、次の手順を実行します。

   • [コネクタ名] の下にサーバーが表示され、[状態] の下に [アクティブ] と表示されていることを確認します
   • 更新された Active Directory 用 Intune コネクタの場合は、バージョンが 6.2501.2000.5 以上であることを確認します。

   サーバーが表示されない場合は、[更新] を選択するか、ページから移動して、[Active Directory の Intune コネクタ] ページに戻ります。

Active Directory 用 Intune コネクタをインストールすると、アプリケーションとサービス ログ>Microsoft>Intune>ODJConnectorService のパス イベント ビューアーへのログインが開始されます。 このパスの下に、管理ログと操作ログが見つかります。

OU でのオブジェクトの作成を許可するように MSA を構成する (オプション)

既定では、MSA には、コンピューター コンテナーでコンピューター オブジェクトを作成するためのアクセス権のみが与えられ ます 。 MSA は、組織単位 (OU) でコンピューター オブジェクトを作成するためのアクセス権を持ちません。 MSA が OU でオブジェクトを作成できるようにするには、Intune Connector for Active Directory がインストールされたディレクトリ (通常はC:\Program Files\Microsoft Intune\ODJConnector\ODJConnectorEnrollmentWizard) にある ODJConnectorEnrollmentWizard.exe.config XML ファイルに OU を追加する必要があります。

OU でオブジェクトを作成できるように MSA を構成するには、次の手順を実行します。

1. Intune Connector for Active Directory がインストールされているサーバー上で、Intune Connector for Active Directory がインストールされたディレクトリ (通常はC:\Program Files\Microsoft Intune\ODJConnector\ODJConnectorEnrollmentWizard) に移動します。

2. ODJConnectorEnrollmentWizard ディレクトリで、メモ帳などのテキスト エディターで既存の ODJConnectorEnrollmentWizard.exe.config XML ファイルを開きます。

3. ODJConnectorEnrollmentWizard.exe.config XML ファイルの add key 要素で、以下を実行します。

   • [ value=] の横で、MSA がコンピューター オブジェクトを作成するためにアクセスできる必要がある必要な OU を追加します。
   • OU 名は LDAP 識別名 形式である必要があり、該当する場合はエスケープする必要があります。
   • 各 OU をセミコロン (;) で区切ることで、複数の OU がサポートされます。
   • value=の横には引用符 (") を付けておいてください。 すべての OU 値は、1 対の引用符内になければなりません。
   • キー要素の名前は変更しないでください OrganizationalUnitsUsedForOfflineDomainJoin。

   次の例は、LDAP 識別名形式の複数の OU を持つ XML エントリの例です。

     <appSettings>
   
       <!-- Semicolon separated list of OUs that will be used for Hybrid Autopilot, using LDAP distinguished name format.
           The ODJ Connector will only have permission to create computer objects in these OUs.
           The value here should be the same as the value in the Hybrid Autopilot configuration profile in the Azure portal - https://learn.microsoft.com/en-us/mem/intune/configuration/domain-join-configure
   
           Usage example (NOTE: PLEASE ENSURE THAT THE DISTINGUISHED NAME IS ESCAPED PROPERLY):
           Domain contains the following OUs:
             - OU=HybridDevices,DC=contoso,DC=com
             - OU=HybridDevices2,OU=IntermediateOU,OU=TopLevelOU,DC=contoso,DC=com
   
           Value: "OU=HybridDevices,DC=contoso,DC=com;OU=HybridDevices2,OU=IntermediateOU,OU=TopLevelOU,DC=contoso,DC=com" -->
   
       <add key="OrganizationalUnitsUsedForOfflineDomainJoin" value="OU=SubOU,OU=TopLevelOU,DC=contoso,DC=com;OU=Mine,DC=contoso,DC=com" />
     </appSettings>
   

   ヒント

   この例では、value=の横にある赤いテキストの例を、LDAP 識別名形式のorganizationの OU に置き換えます。 例に示すように、すべての OU エントリが引用符 (") 内にあり、各 OU がセミコロン (;) で区切られることを確認してください。

4. 目的の OU がすべて追加されたら、 ODJConnectorEnrollmentWizard.exe.config XML ファイルを保存します。

5. OU アクセス許可を変更する適切な権限を持つ管理者として、[スタート] メニューから [Active Directory 用コネクタIntune Active Directory 用コネクタ>Intune コネクタ] に移動して、Active Directory 用 Intune コネクタを開きます。

   重要

   Active Directory 用の Intune コネクタをインストールおよび構成している管理者に OU アクセス許可を変更するアクセス許可がない場合は、組織単位内のコンピューター アカウント制限を増やすセクション/手順に続いて、代わりに OU アクセス許可を変更するアクセス許可を持つ管理者が必要です。

6. [Active Directory 用の Intune コネクタ] ウィンドウの [登録] タブで、[管理されたサービス アカウントの構成] を選択します。

7. An Managed Service Account with name "<MSA_name>" was successfully setup (名前が "" の管理されたサービス アカウント) の確認ウィンドウが表示されます。 [ OK ] を選択してウィンドウを閉じます。

カスタムの管理されたサービス アカウントを使用する (オプション)

必要に応じて、コネクタによって自動的に設定される MSA ではなく、独自の管理されたサービス アカウントを使用するようにコネクタを構成できます。

MSA の要件

このセクションでは、MSA の要件について説明します。

• 指定されたアカウントは、Active Directory で次のいずれかのオブジェクト カテゴリを持つサービス アカウントである必要があります。

  • CN=ms-DS-Group-Managed-Service-Account,CN=Schema,CN=Configuration,DC=contoso,DC=com

  • CN=ms-DS-Managed-Service-Account,CN=Schema,CN=Configuration,DC=contoso,DC=com

• サービス アカウントの構成値は、次の形式である必要があります。 <msaAccountName@domain>

• サービス アカウントは、ODJ コネクタのサーバーと同じドメインに存在する必要があります。

• ODJ コネクタをホストしているサーバーにサービス アカウントをインストールする必要があります。 詳細については、「 Install-ADServiceAccount」を参照してください。

  • sMSA を使用する場合、アカウントは 1 台のマシンにのみリンクできます。
  • gMSA を使用する場合、gMSA をインストールするサーバーがパスワードにアクセスできる必要があります。

• サービス アカウントには、サービス としてログオン するローカルのアクセス許可が必要です。このアクセス許可は、直接設定することも、グループ メンバーシップを介して設定することもできます。 詳細については、「 サービス ログオンを有効にする」を参照してください。

• ハイブリッド Autopilot フロー用のコンピューター オブジェクトを作成するには、サービス アカウントに対してアクセス許可を手動で付与する必要があります。 詳細については、「 組織単位 (OU) でのコンピューター アカウントの制限を増やす」を参照してください。

設定方法

ODJConnectorEnrollmentWizard.exe.configを更新します。 既定の場所は C:\Program Files\Microsoft Intune\ODJConnector\ODJConnectorEnrollmentWizard です。

1. ファイルの appSettings セクション に次の行を追加します。

   <add key="TenantConfiguredManagedServiceAccount" value="{accountname}" />

2. コネクタにサインインします。

OU 更新プログラムを無効にする

独自の MSA を使用すると、OrganizationalUnitsUsedForOfflineDomainJoin で構成されている内容に関係なく、コネクタが OU を更新できなくなります。 エラーを防ぐには、 ODJConnectorEnrollmentWizard.exe.config を更新して OU 更新プログラムを無効にします。 既定の場所は C:\Program Files\Microsoft Intune\ODJConnector\ODJConnectorEnrollmentWizard です。

1. ファイルの appSettings セクション に次の行を追加します。

   <add key="DisableOUUpdates" value="true" />

2. コネクタにサインインします。

インストールを開始する前に、Active Directory サーバー用の Intune コネクタのすべての要件が満たされていることを確認してください。

Internet Explorer セキュリティ強化の構成を無効にする

Windows Server では既定で、Internet Explorer セキュリティ強化の構成がオンになっています。 Internet エクスプローラーのセキュリティ強化の構成により、Active Directory の Intune コネクタへのサインインに問題が発生する可能性があります。 Internet エクスプローラーは非推奨であり、ほとんどの場合、Windows Serverにインストールされていないため、マイクロソフトはInternet エクスプローラーセキュリティ強化の構成をオフにすることをお勧めします。 Internet エクスプローラーセキュリティ強化の構成をオフにするには、次の手順を実行します。

1. ローカル管理者権限とドメイン管理者権限を持つアカウントを使用して、Active Directory 用 Intune コネクタがインストールされているサーバーにサインインします。 ドメイン管理者権限は、Active Directory 用 Intune コネクタ インストーラーが MSA を適切に作成できるようにするために必要です。

2. サーバー マネージャーを開きます。

3. サーバー マネージャーの左側のウィンドウで、[ローカル サーバー] を選択します。

4. サーバー マネージャーの右側の [プロパティ] ウィンドウで、[IE セキュリティ強化の構成] の横にある [オン] または [オフ] リンクを選択します。

5. [Internet エクスプローラーセキュリティ強化の構成] ウィンドウで、[管理者:] の [オフ] を選択し、[OK] を選択します。

サーバーに Active Directory 用の従来の Intune コネクタをインストールする

1. 以前にダウンロードした ODJConnectorBootstrapper.exe ファイルを開き、Active Directory セットアップ用の Intune コネクタのインストールを起動します。

   注:

   従来の Intune Connector for Active Directory がすでにインストールされている場合は、[スタート] メニュー >Intune Connector for Active Directory >Intune Connector for Active Directory に移動し、「従来の Intune Connector for Active Directory へのサインイン」に進みます。

2. [Active Directory セットアップ インストーラー用の Intune コネクタ] ウィンドウで、[ライセンス条件に同意する] を選択し、[インストール] を選択します。

   注:

   既定の C:\Program Files\Microsoft Intune\ODJConnector 以外のインストール場所が必要な場合は、[オプション] を選択し、目的のインストール場所を指定します。

3. インストールが完了したら、[Active Directory セットアップ インストーラー用の Intune コネクタ] ウィンドウで [今すぐ構成] を選択します。

   注:

   誤って [閉じる] が選択されたか、[Active Directory セットアップ インストーラの Intune コネクタ] ウィンドウを誤って閉じた場合、[スタート] メニューから [Active Directory 用コネクタ>Intune Intune [Active Directory 用コネクタ] を選択すると、Active Directory 用Intuneコネクタにアクセスできます。

従来の Intune コネクタにサインインする

1. [Active Directory 用 Intune コネクタ] ウィンドウの [登録] タブで、[サインイン] を選択します。

2. [サインイン] タブで、Intune 管理者ロールの資格情報を使用してサインインします。 ユーザー アカウントに Intune ライセンスが割り当てられている必要があります。 サインイン プロセスが完了するまでに数分かかる場合があります。

   注:

   Active Directory の Intune コネクタの登録に使用されるアカウントは、インストール時の一時的な要件にすぎません。 サーバーが登録された後、このアカウントは今後使用されません。

3. サインイン プロセスが完了すると、[Active Directory の Intune コネクタが正常に登録されました] 確認ウィンドウが表示されます。 [ OK ] を選択してウィンドウを閉じます。

4. [登録] タブに、Active Directory 用 Intune コネクタが登録されていることが表示され、[サインイン] ボタンが灰色表示されます。

5. [Active Directory の Intune コネクタ] ウィンドウを閉じます。

従来の Active Directory 用 Intune コネクタがアクティブであることを確認する

認証後、Active Directory の Intune コネクタのインストールが完了します。 インストールが完了したら、次の手順に従って Intune でアクティブであることを確認します。

1. まだ開いている場合は、Microsoft Intune 管理センターにアクセスします。 [ コネクタの追加 ] ウィンドウがまだ表示されている場合は、閉じます。

   Microsoft Intune 管理センターがまだ開いていない場合:

   1. Microsoft Intune 管理センターにサインインします。

   2. ホーム画面で、左側のウィンドウの [デバイス] を選択します。

   3. [ デバイス] で[概要] 画面の [ プラットフォーム別] で、[ Windows] を選択します。

   4. Windows で |Windows デバイス 画面の [ デバイス オンボード] で、[ 登録] を選択します。

   5. Windows で |Windows 登録画面の [Windows Autopilot] で、[Active Directory 用 Intune コネクタ] を選択します。

2. [Active Directory 用の Intune コネクタ] ページで、[コネクタ名] の下にサーバーが表示され、[状態] の下に [アクティブ] と表示されていることを確認します。 サーバーが表示されない場合は、[更新] を選択するか、ページから移動して、[Active Directory の Intune コネクタ] ページに戻ります。

Active Directory 用 Intune コネクタをインストールすると、アプリケーションとサービス ログ>Microsoft>Intune>ODJConnectorService のパス イベント ビューアーへのログインが開始されます。 このパスの下に、管理ログと操作ログが見つかります。

Active Directory 用 Intune コネクタの目的は、コンピューターをドメインに参加させ、OU に追加することです。 このため、Active Directory の Intune コネクタに使用されている管理サービス アカウントには、コンピューターがオンプレミス ドメインに参加している OU でコンピューター アカウントを作成するためのアクセス許可が必要です。

Active Directory の既定のアクセス許可では、Active Directory の Intune コネクタによるドメイン参加は、最初は Active Directory の OU にアクセス許可を変更しなくても機能する可能性があります。 ただし、MSA が 10 台を超えるコンピューターをオンプレミス ドメインに参加させようとすると、既定では、Active Directory は 1 つのアカウントで最大 10 台のコンピューターのみをオンプレミス ドメインに参加させることができるため、動作を停止します。

次のユーザーは、10 コンピューターのドメイン参加制限の制限を受けません。

• 管理者グループまたはドメイン管理者グループのユーザー: 最小特権原則モデルに準拠するために、Microsoft では MSA を管理者またはドメイン管理者にすることはお勧めしません。
• Active Directory 内の組織単位 (OU) およびコンテナーに対してコンピューター アカウントを作成するための委任されたアクセス許可を持つユーザー: この方法は、最低特権原則モデルに従うため、推奨されます。

この制限を修正するには、MSA には、コンピューターが参加している組織単位 (OU) のオンプレミス ドメインで コンピューター アカウントの作成 アクセス許可が必要です。 Active Directory の Intune コネクタは、次の条件のいずれかが満たされている場合に、MSA のアクセス許可を OU に設定します。

• Active Directory 用の Intune コネクタをインストールする管理者は、OU にアクセス許可を設定するために必要なアクセス許可を持っています。
• Active Directory 用の Intune コネクタを構成する管理者は、OU のアクセス許可を設定するために必要なアクセス許可を持っています。

Active Directory 用の Intune コネクタをインストールまたは構成している管理者が、OU にアクセス許可を設定するために必要なアクセス許可を持っていない場合は、次の手順に従う必要があります。

1. OU のアクセス許可を設定するために必要なアクセス許可を持つアカウントを使用して、[Active Directory ユーザーとコンピューター] コンソールにアクセスできるコンピューターにサインインします。

2. DSA.msc を実行して、Active Directory ユーザーとコンピューター コンソールを開きます。

3. 目的のドメインを展開し、Windows Autopilot 中にコンピューターが参加する組織単位 (OU) に移動します。

   注:

   Windows Autopilot の展開中にコンピューターが参加する OU は、後ほどドメイン 参加プロファイルの構成と割り当て 手順で指定されます。

4. OU を右クリックし、[ プロパティ] を選択します。

   注:

   コンピューターが OU ではなく既定の Computers コンテナーに参加している場合は、 Computers コンテナーを右クリックして [ 制御の委任] を選択します。

5. 開いた [OU のプロパティ] ウィンドウで、[ セキュリティ ] タブを選択します。

6. [ セキュリティ ] タブで、[ 詳細設定] を選択します。

7. [ セキュリティの詳細設定] ウィンドウで、[ 追加] を選択します。

8. [ アクセス許可エントリ] ウィンドウの [プリンシパル] の横にある [ プリンシパルの選択 ] リンクを選択します。

9. [ ユーザー、コンピューター、サービス アカウント、またはグループの選択 ] ウィンドウで、[ オブジェクトの種類... ] ボタンを選択します。

10. [オブジェクトの種類] ウィンドウで、[サービス アカウント] チェック ボックスをオンにし、[OK] を選択します。

11. [ユーザー、コンピューター、サービス アカウント、またはグループの選択] ウィンドウの [選択するオブジェクト名を入力してください] で、Active Directory の Intune コネクタに使用されている MSA の名前を入力します。

    ヒント

    MSA は、「Active Directory 用の Intune コネクタをインストールする」の手順/セクション中に作成され、##### がランダムな 5 文字の msaODJ##### という名前形式です。 MSA 名が不明な場合は、次の手順に従って MSA 名を見つけます。

    1. Active Directory の Intune コネクタを実行しているサーバーで、[スタート] メニューを右クリックし、[コンピューターの管理] を選択します。
    2. [ コンピューターの管理 ] ウィンドウで、[ サービスとアプリケーション] を展開し、[ サービス] を選択します。
    3. 結果ウィンドウで、Intune ODJConnector for Active Service という名前のサービスを見つけます。 MSA の名前が [ ログオン者 ] 列に表示されます。

12. [ 名前の確認 ] を選択して、MSA 名の入力を検証します。 入力が検証されたら、[ OK] を選択します。

13. [ アクセス許可エントリ] ウィンドウで、[ 適用先: ] ドロップダウン メニューを選択し、[ このオブジェクトのみ] を選択します。

14. [アクセス権] ですべての項目の選択を解除し、[コンピューター オブジェクトの作成] チェック ボックスのみをオンにします。

15. [ OK ] を選択して、[ アクセス許可エントリ] ウィンドウを閉じます。

16. [ セキュリティの詳細設定] ウィンドウで、[ 適用] または [OK ] を選択して変更を適用します。

Active Directory 用 Intune コネクタの目的は、コンピューターをドメインに参加させ、OU に追加することです。 このため、Active Directory 用 Intune コネクタを実行しているサーバーには、コンピューターがオンプレミス ドメインに参加している OU でコンピューター アカウントを作成するためのアクセス許可が必要です。

Active Directory の既定のアクセス許可では、Active Directory の Intune コネクタによるドメイン参加は、最初は Active Directory の OU にアクセス許可を変更しなくても機能する可能性があります。 ただし、Active Directory 用の Intune コネクタを実行しているサーバーが 10 台を超えるコンピューターをオンプレミス ドメインに参加させようとすると、既定では、Active Directory は 1 つのアカウントで最大 10 台のコンピューターのみをオンプレミス ドメインに参加させることができるため、動作を停止します。

次のユーザーは、10 コンピューターのドメイン参加制限の制限を受けません。

• 管理者またはドメイン管理者グループのユーザー - 最小特権原則モデルに準拠するために、Active Directory の Intune コネクタを実行しているコンピューター アカウントを管理者またはドメイン管理者にすることはお勧めしません。
• Active Directory 内の組織単位 (OU) およびコンテナーに対してコンピューター アカウントを作成するための委任されたアクセス許可を持つユーザー。この方法は、最低特権原則モデルに従うため、推奨されます。

この制限を修正するには、Active Directory 用 Intune コネクタを実行しているサーバーに、コンピューターがオンプレミス ドメインに参加している組織単位 (OU) でコンピューター アカウントの作成アクセス許可が必要です。

Windows Autopilot 中にコンピューターが参加する組織単位 (OU) のコンピューター アカウント制限を増やすには、Active Directory ユーザーとコンピューター コンソールにアクセスできるコンピューターで次の手順を実行します。

1. DSA.msc を実行して、Active Directory ユーザーとコンピューター コンソールを開きます。

2. 目的のドメインを展開し、Windows Autopilot 中にコンピューターが参加する組織単位 (OU) に移動します。

   注:

   Windows Autopilot の展開中にコンピューターが参加する OU は、後ほどドメイン 参加プロファイルの構成と割り当て 手順で指定されます。

3. OU を右クリックし、[ 制御の委任] を選択します。

   注:

   コンピューターが OU ではなく既定の Computers コンテナーに参加している場合は、 Computers コンテナーを右クリックして [ 制御の委任] を選択します。

4. 制御委任ウィザードの「制御の委任ウィザードへようこそ」ウィンドウで、「次へ」を選択します。

5. [ ユーザーまたはグループ] ウィンドウの [選択したユーザーとグループ] で、[ 追加] を選択します。

6. [ このオブジェクトの種類を選択] の横: [ ユーザー、コンピューター、またはグループの選択 ] ウィンドウで、[ オブジェクトの種類] を選択します。

7. [オブジェクトの種類] ウィンドウで、[コンピューター] チェック ボックスをオンにし、[OK] を選択します。 このウィンドウ内の他の項目は、既定値のままにしておくことができます。

8. [ユーザー、コンピューター、またはグループの選択] ウィンドウの [選択するオブジェクト名を入力してください] ボックスに、[Intune Connector for Active Directory のインストール] ステップ中に Intune Connector for Active Directory がインストールされたコンピューターの名前を入力します。

9. [ 名前の確認] を選択して、エントリを検証します。 入力が検証されたら、[ OK] を選択します。

10. [ ユーザーまたはグループ] ウィンドウで、[ 選択したユーザーとグループ: ] に正しいコンピューターが表示されていることを確認し、[ 次へ] を選択します。

11. [ 委任するタスク] ウィンドウで、[ 委任するカスタム タスクの作成] を選択し、[ 次へ] を選択します。

12. [ Active Directory オブジェクトの種類 ] ウィンドウで、次の手順を実行します。

    1. フォルダ内の次のオブジェクトのみを選択します。

    2. [ フォルダ内の次のオブジェクトのみ] で、[ コンピュータ オブジェクト] を選択します。

    3. [ このフォルダーに選択したオブジェクトを作成する ] チェック ボックスをオンにします。

    4. [次へ] を選択します。

13. [アクセス許可] ウィンドウの [アクセス許可:] で、[フル コントロール] チェック ボックスをオンにし、[次へ] を選択します。

    注:

    [フル コントロール] チェック ボックスを選択すると、[アクセス許可: ] の下にある他のすべてのオプションが自動的に選択されます。 チェックボックスの自動選択は正常であり、予期されています。 チェック ボックスが自動的にオンになった後は、オフにしないでください。

14. 「 制御の委任ウィザードの完了 」ウィンドウで、「 完了」を選択します。

1. Active Directory の Intune コネクタをホストしているコンピューターにサインインします。

2. [スタート] メニューを右クリックし、[設定]>[アプリ]>[インストールされたアプリ] を選択します。

   または

   [ アプリ] > [インストール済みアプリ] ショートカットを選択します。

   アプリを開く > インストール済みアプリ

3. [Apps > Installed apps] ウィンドウで、Intune Connector for Active Directory を見つけます。

4. [Active Directory 用コネクタIntune] の横にある ...>アンインストールし、[アンインストール] ボタンを選択します。

5. Active Directory 用の Intune コネクタはアンインストールに進みます。

6. 場合によっては、元の Intune Connector for Active Directory インストーラー ODJConnectorBootstrapper.exe が再実行されるまで、Intune Connector for Active Directory が完全にアンインストールされないことがあります。 Active Directory 用 Intune コネクタが完全にアンインストールされていることを確認するには、ODJConnectorBootstrapper.exe インストーラーをもう一度実行します。 アンインストールを求めるメッセージが表示されたら、選択してアンインストールします。 それ以外の場合は、 ODJConnectorBootstrapper.exe インストーラーを閉じてください。

   注:

   従来の Intune Connector for Active Directory インストーラーは、Intune Connector for Active Directory からダウンロードでき、アンインストールにのみ使用する必要があります。 新しいインストールには、更新された Active Directory 用 Intune コネクタを使用します。

1. Active Directory の Intune コネクタをホストしているコンピューターにサインインします。

2. [ スタート ] メニューを右クリックし、[ 設定]>[アプリ] を選択します。

   または

   次の アプリ ショートカットを選択します。

   アプリを開く

3. [アプリ & 機能] で、[Active Directory 用コネクタIntune] を見つけて選択します。

4. [Active Directory 用 Intune コネクタ] で、[アンインストール] ボタンを選択し、[アンインストール] ボタンをもう一度選択します。

5. Active Directory 用の Intune コネクタはアンインストールに進みます。

6. 場合によっては、元の Intune Connector for Active Directory インストーラー ODJConnectorBootstrapper.exe が再実行されるまで、Intune Connector for Active Directory が完全にアンインストールされないことがあります。 Active Directory 用 Intune コネクタが完全にアンインストールされていることを確認するには、ODJConnectorBootstrapper.exe インストーラーをもう一度実行します。 アンインストールを求めるメッセージが表示されたら、選択してアンインストールします。 それ以外の場合は、 ODJConnectorBootstrapper.exe インストーラーを閉じてください。

   注:

   従来の Intune Connector for Active Directory インストーラーは、Intune Connector for Active Directory からダウンロードでき、アンインストールにのみ使用する必要があります。 新しいインストールには、更新された Active Directory 用 Intune コネクタを使用します。

1. Active Directory の Intune コネクタをホストしているコンピューターにサインインします。

2. [スタート] メニューを右クリックし、[設定]>[システム]>[アプリ] & [機能] を選択します。

   または

   次の アプリ ショートカットを選択します。

   アプリを開く

3. [アプリ & 機能] で、[Active Directory 用コネクタIntune] を見つけて選択します。

4. [Active Directory 用 Intune コネクタ] で、[アンインストール] ボタンを選択し、[アンインストール] ボタンをもう一度選択します。

5. Active Directory 用の Intune コネクタはアンインストールに進みます。

6. 場合によっては、元の Intune Connector for Active Directory インストーラー ODJConnectorBootstrapper.exe が再実行されるまで、Intune Connector for Active Directory が完全にアンインストールされないことがあります。 Active Directory 用 Intune コネクタが完全にアンインストールされていることを確認するには、ODJConnectorBootstrapper.exe インストーラーをもう一度実行します。 アンインストールを求めるメッセージが表示されたら、選択してアンインストールします。 それ以外の場合は、 ODJConnectorBootstrapper.exe インストーラーを閉じてください。

   注:

   従来の Intune Connector for Active Directory インストーラーは、Intune Connector for Active Directory からダウンロードでき、アンインストールにのみ使用する必要があります。 新しいインストールには、更新された Active Directory 用 Intune コネクタを使用します。