Microsoft Defender for Endpointで条件付きアクセスを構成する

Microsoft IntuneとMicrosoft Entra IDでMicrosoft Defender for Endpointの条件付きアクセスを実装するには、次の手順に従います。

開始する前に

すべてのデバイスがIntuneに登録されていることを確認する必要があります。 次のいずれかのオプションを使用して、Intuneにデバイスを登録できます。

• IT 管理: 自動登録を有効にする方法の詳細については、「Windows の自動登録を有効にする」を参照してください。
• エンド ユーザー: IntuneにWindows 10とWindows 11デバイスを登録する方法の詳細については、「Intuneに Windows デバイスを登録する」を参照してください。
• エンド ユーザーの代替手段: Microsoft Entra ドメインへの参加の詳細については、「方法: Microsoft Entra参加実装を計画する」を参照してください。

Microsoft Defender ポータル、Intune ポータル、Microsoft Entra 管理センターで実行する必要がある手順があります。

これらのポータルにアクセスし、条件付きアクセスを実装するために必要なロールに注意することが重要です。

• ポータルMicrosoft Defender: 統合を有効にするには、適切なロールでサインインする必要があります。 「 アクセス許可オプション」を参照してください。
• 管理センター Microsoft Intune: 管理アクセス許可を持つセキュリティ管理者権限でサインインする必要があります。
• Microsoft Entra 管理センター: セキュリティ管理者または条件付きアクセス管理者としてサインインする必要があります。

Intune で管理され、Microsoft Entra に参加している Windows 10 および Windows 11 デバイスを備えた Microsoft Intune 環境が必要です。

Microsoft IntuneとMicrosoft Entra IDでMicrosoft Defender for Endpointの条件付きアクセスを有効にするには、次の手順を実行します。

1. Microsoft Defender ポータルでMicrosoft Intune接続を有効にします。
2. Microsoft Intune管理センターで Defender for Endpoint 統合を有効にします。
3. Intuneでコンプライアンス ポリシーを作成して割り当てます。
4. Microsoft Entra条件付きアクセス ポリシーを作成します。

手順 1: Microsoft Intune接続を有効にする

https://security.microsoft.comのMicrosoft Defender ポータルで、[System>Settings>Endpoints>General>Advanced features] に移動します。 または、[ 高度な機能 ] ページに直接移動するには、 https://security.microsoft.com/securitysettings/endpoints/integrationを使用します。

[高度な機能] ページで、[Microsoft Intune接続] 設定が [オン] になっていることを確認します。 必要に応じて、トグルを [オン] にスライドし、[ 設定の保存] を選択します。

手順 2: Intuneで Defender for Endpoint 統合を有効にする

Microsoft Intune管理センターでMicrosoft Defender for Endpointコンプライアンス ポリシー評価統合を有効にするには、次の手順を実行します。

1. https://intune.microsoft.comのMicrosoft Intune管理センターで、[エンドポイント セキュリティ>Setup] セクション >Microsoft Defender for Endpoint を選択します。 または、Endpoint security | Microsoft Defender for Endpoint ページに直接移動するには、https://intune.microsoft.com/#view/Microsoft_Intune_Workflows/SecurityManagementMenu/~/atp を使用します。

2. Endpoint security | Microsoft Defender for Endpoint ページの コンプライアンス ポリシーの評価 セクションで、Windows デバイス バージョン 10.0.15063 以降を Microsoft Defender for Endpoint に接続する トグルを オン にします。

3. ページの上部にある [ 保存] を選択します 。

手順 3: Intuneでコンプライアンス ポリシーを作成して割り当てる

Intune でコンプライアンス ポリシーを作成して割り当てるには、「 エンドポイント セキュリティ ポリシーの作成 」を参照してください (Intune ドキュメントの新しいタブで開きます)。 新しいポリシーを作成するときは、次のオプションを選択します。

• [プラットフォーム]: [Windows 10 以降] を選択します。
• プロファイルの種類: [Windows 10/11 コンプライアンス ポリシー] を選択します。
• 基本: 次の設定を構成します。
  • [名前]: わかりやすい一意のポリシー名を入力します。
  • 説明: 省略可能な説明を入力します。
• コンプライアンス設定: Microsoft Defender for Endpointを展開します。 デバイスの脅威レベルがデバイス脅威レベル以下であることを必須にする を希望するレベルに設定します。
  • [クリア]: このレベルはセキュリティ上最も安全です。 デバイスは既存の脅威を持つことができず、会社のリソースに引き続きアクセスできます。 いずれかの脅威が見つかった場合、デバイスは非準拠と評価されます。
  • [低]: 低レベルの脅威が存在する場合にのみ、デバイスは準拠しています。 中または高の脅威レベルを持つデバイスは準拠していません。
  • [中]: デバイスに存在する脅威が低または中の場合、デバイスは準拠しています。 高レベルの脅威が検出された場合は、デバイスは非準拠と判定されます。
  • 高: このレベルは最も安全性が低く、すべての脅威レベルを許可します。 そのため、脅威レベルが高、中、または低のデバイスは準拠していると見なされます。
• コンプライアンス違反に対するアクション: 次の設定は既に構成されています (変更することはできません)。
  • アクション: デバイスに非準拠のマークを付けます。
  • スケジュール（不遵守後の日数）: 直ちに。 次のアクションを追加できます。
  • エンド ユーザーに電子メールを送信する: 次のオプションを使用できます。
    • スケジュール (非準拠の日数): 既定値は 0 ですが、365 まで別の値を入力できます。
    • メッセージ テンプレート: テンプレートを検索して選択するには、[なし] を選択 します 。
    • 追加の受信者 (電子メール経由): 通知する Microsoft Entra グループを検索して選択するには、未選択 を選択します。
  • 一覧を廃止するデバイスの追加: 使用可能なオプションは [スケジュール] (非準拠の日数) のみです。既定値は 0 ですが、365 まで別の値を入力できます。 アクションを削除するには、[...>] を選択します。エントリを削除します。 . ..を表示するには、水平スクロール バーを使用する必要がある場合があります。
• 割り当て: 次の設定を構成します。
  • [含まれるグループ ] セクション: 次のいずれかのオプションを選択します。
    • [グループの追加]: 含めるグループを 1 つ以上選択します。
    • すべてのユーザーを追加する
    • すべてのデバイスを追加する
  • [除外されたグループ]: [ グループの追加] を選択して、除外するグループを指定します。

[確認と作成] タブで、設定を確認し、[作成] を選択します。

手順 4: Microsoft Entra条件付きアクセス ポリシーを作成する

Microsoft Entra IDで条件付きアクセス ポリシーを作成するには、次の手順を実行します。

1. https://intune.microsoft.comのMicrosoft Intune管理センターで、[ENTRA ID] セクション>[Conditional access] に移動します。 または、条件付きアクセスに直接移動するには |[概要 ] ページで、 https://entra.microsoft.com/#view/Microsoft_AAD_ConditionalAccess/ConditionalAccessBlade/~/Overview/menuId//fromNav/Identityを使用します。

2. 条件付きアクセス |[概要] ページで、[ポリシー] を選択します。 または、条件付きアクセス | ポリシー ページに直接移動するには、https://entra.microsoft.com/#view/Microsoft_AAD_ConditionalAccess/ConditionalAccessBlade/~/Policies/menuId//fromNav/Identity を使用します。

3. 条件付きアクセス |[ポリシー] ページで、[新しいポリシー] を選択します。

4. 開いた [新しい条件付きアクセス ポリシー ] ページで、次の設定を構成します。

   • [名前]: 一意のわかりやすい名前を入力します。

   • [割り当て ] セクション: 次の設定を構成します。

     • ユーザー、エージェント、またはワークロード ID: リンクを選択し、表示される次の設定を構成します。
       • このポリシーの適用対象: [ユーザーとグループ] を選択します
       • [含める ] タブ: [ すべてのユーザー] を選択します。
       • 除外 タブ:
       • ユーザーとグループ を選択し、次に組織の緊急用 "break glass" 管理者アカウントを見つけて選択します。
       • Microsoft Entra Connect や Connect Cloud Sync などのハイブリッド ID ソリューションMicrosoft Entra使用する場合は、[ディレクトリ ロール] を選択し、[ディレクトリ同期アカウント] を選択します。
     • ターゲット リソース: リンクを選択し、表示される次の設定を構成します。
       • このポリシーの適用対象を選択します。 リソース (旧称クラウド アプリ) が選択されていることを確認します。
       • [含める ] タブ: [すべてのリソース ] (以前の [すべてのクラウド アプリ]) を選択します。

   • [アクセス制御 ] セクション: 次の設定を構成します。

     • 許可: リンクを選択し、表示される [許可 ] ポップアップで次の設定を構成します。

       • [アクセス権の付与] が選択されていることを確認し、[デバイスを準拠としてマークする必要があります] を選択します。

         許可 フライアウトでの操作が完了したら、選択 を選択します。

   • [ポリシーの有効化 ] セクション: [レポートのみ ] が選択されていることを確認します。

   [ 新しい条件付きアクセス ポリシー ] ページが完了したら、[ 作成] を選択します。

5. ポリシーへの影響またはレポートのみのモードを使用して設定を確認したら、ポリシーの [ポリシーの有効化] 設定を [レポートのみ] から [オン] に変更します。

   ポリシーを変更するには、 の https://entra.microsoft.com/#view/Microsoft_AAD_ConditionalAccess/ConditionalAccessBlade/~/Policies/menuId//fromNav/Identity ページに移動し、一覧で ポリシー名 の値をクリックしてポリシーを選択します。 開いた 詳細 ポップアップの [ポリシーの詳細] タブで、[編集] を選択 します。

詳細については、「Intune で条件付きアクセスによる Microsoft Defender for Endpoint のコンプライアンスを強制する」を参照してください。