コンプライアンス ポリシーには、 コンプライアンス違反に対するアクションを含めることができます。コンプライアンス違反とは、デバイスがセキュリティ要件を満たしていないことを検出したときにポリシーがスケジュールに従って実行する手順です。 たとえば、ポリシーは、非準拠デバイスをリモートでロックして保護したり、ユーザーに通知を送信して問題を理解して解決したりすることができます。
重要
Android デバイス管理者 (DA) 管理は非推奨となり、Google モバイル サービス (GMS) にアクセスできるデバイスでは使用できなくなりました。 現在 DA 管理を使用している場合は、別の Android 管理オプションに切り替えることをお勧めします。 サポートとヘルプのドキュメントは、GMS のない一部の Android 15 以前のデバイスで引き続き利用できます。 詳細については、「 GMS デバイスでの Android デバイス管理者のサポートの終了」を参照してください。
概要
各コンプライアンス ポリシーには、組み込みの既定のアクションとして [ デバイス非準拠のマークを付け る] が含まれており、ゼロ デイで直ちにトリガーされるようにスケジュールされています。 Intune では、デバイスが非準拠を検出すると、すぐにデバイス非準拠としてマークされます。 Microsoft Entra 条件付きアクセスは、デバイスが organization のリソースにアクセスするのをブロックできます。
さらにアクションを追加すると、非準拠のデバイスにいつ何が起こるかを制御できます。 たとえば、ユーザーのアクセスをブロックする前に、準拠するための猶予期間をユーザーに与えることができます。
設定したアクションごとに、そのアクションが有効になるタイミングを指定するスケジュールを構成できます。 このスケジュールは、デバイスが非準拠とマークされてからの日数に基づいています。 同じアクションを複数回追加することもできます。 デバイスが非準拠のままの場合、アクションはスケジュールされた時刻ごとに繰り返されます。
すべてのアクションをすべてのプラットフォームで使用できるわけではありません。
注:
管理センターの [スケジュール (コンプライアンス違反後の日数)] フィールドには、0.25 単位の整数と 10 進数値が登録されます。 たとえば、 0.25 は 6 時間、 0.5 は 12 時間です。
0.33 (8 時間) などの他の 10 進数を使用するには、代わりに Microsoft Graph を使用してスケジュールを構成します。
非準拠に対して使用できるアクション
コンプライアンス違反に対して次のアクションを使用できます。
デバイスを非準拠とマークする: この組み込みの既定のアクションはすべてのコンプライアンス ポリシーに含まれており、ゼロ (0) 日に設定されるため、デバイスはすぐに非準拠としてマークされます。
既定のスケジュールを変更すると、ユーザーが問題を修正したり、非準拠としてマークされることなく準拠したりできる猶予期間が提供されます。
このアクションは、Intune によってサポートされているすべてのプラットフォームでサポートされています。
エンド ユーザーにメールを送信する: このアクションにより、ユーザーにメール通知が送信されます。 このアクションを有効にする場合のオプションは次のとおりです。
- このアクションで送信する通知メッセージ テンプレートを選択します。 このアクションに割り当てる前に、 通知メッセージ テンプレートを作成します 。 カスタム通知を作成する場合、メッセージのロケール、件名、メッセージ本文をカスタマイズして、会社のロゴ、会社名、およびその他の連絡先情報を含めることができます。
- 1 つ以上の Microsoft Entra グループを選択して、メッセージを他の受信者に送信することを選択します。
Intune は、ユーザー プリンシパル名 (UPN) ではなく、エンド ユーザーのプロファイルにある電子メール アドレスを使用します。 メール アドレスがファイルにない場合、Intune は通知を送信しません。 メールの送信時に、Intune によって、メール通知に非準拠デバイスに関する詳細が含まれます。
このアクションは、Intune によってサポートされているすべてのプラットフォームでサポートされています。
注:
通知メールは microsoft-noreply@microsoft.com から送信されます。
これらのアドレスからのメールの配信を妨げるメールボックス ポリシーがないことを確認します。 そうしないと、エンド ユーザーがメール通知を受信しない可能性があります。 コンプライアンス通知メールは、デバイスが非準拠としてマークされてから 6 時間以内に送信されるはずです。
非対応デバイスをリモートでロックする: デバイスをリモートでロックするには、このアクションを使用します。 その後、ユーザーにはデバイスのロックを解除するための PIN またはパスワードが求められます。 詳細については、「 リモート ロック」を参照してください。
この操作は、次のプラットフォームでサポートされています。
- Android デバイス管理者
- Android (AOSP)
- Android Enterprise:
- フル マネージド
- 専用
- 会社所有の仕事用プロファイル
- 個人所有の仕事用プロファイル
- iOS/iPadOS
- macOS
廃止するデバイスを追加 リスト: デバイスでこのアクションを実行すると、デバイスは Intune 管理センターの廃止された非準拠デバイスの一覧に追加されます。 [デバイス>コンプライアンス] に移動し、[非準拠デバイスの廃止] タブを選択して一覧を表示できます。 ただし、管理者が明示的に廃止プロセスを開始するまで、デバイスは廃止されません。 管理者がそのリストからデバイスを廃止すると、廃止により、デバイスからすべての会社データが削除され、そのデバイスが Intune 管理から削除されます。
この操作は、次のプラットフォームでサポートされています。
- Android デバイス管理者
- Android (AOSP)
- Android Enterprise:
- フル マネージド
- 専用
- 会社所有の仕事用プロファイル
- 個人所有の仕事用プロファイル
- iOS/iPadOS
- macOS
- Windows
注:
[廃止するデバイスの追加] リスト操作がトリガーされたデバイスのみが [選択したデバイスの廃止] タブに表示されます。準拠していないすべてのデバイスの一覧を表示するには、「デバイス コンプライアンス ポリシーの監視」で説明されている非準拠デバイス レポートを参照してください。
一覧から 1 つ以上のデバイスを廃止するには、廃止するデバイスを選択してから、[ 選択したデバイスの廃止] を選択します。 デバイスを廃止するアクションを選択すると、確認ダイアログが表示されます。 デバイスを廃止する意図を確認した後にのみ、会社のデータが消去され、Intune 管理から削除されます。
その他のオプションには、[ すべてのデバイスを廃止する]、[ すべてのデバイスの廃止状態をクリアする]、および [選択したデバイスの廃止状態をクリアする] があります。 デバイスの廃止状態をクリアすると、廃 止リストにデバイスを追加する アクションがそのデバイスに再度適用されるまで、廃止可能なデバイスの一覧からデバイスが削除されます。
詳細については、デバイスのインベントリからの削除に関するページを参照してください。
エンド ユーザーにプッシュ通知を送信する: デバイスのポータル サイト アプリまたは Intune アプリを介して、コンプライアンス違反に関するプッシュ通知をデバイスに送信するように、このアクションを設定します。
この操作は、次のプラットフォームでサポートされています。
- Android デバイス管理者
- Android Enterprise:
- フル マネージド
- 専用
- 会社所有の仕事用プロファイル
- 個人所有の仕事用プロファイル
- iOS/iPadOS
プッシュ通知は、デバイスが Intune に初めてチェックインし、ポリシーに準拠していないことが判明したときに送信されます。 ユーザーが通知を選択すると、ポータル サイト アプリまたは Intune アプリが開き、非準拠の理由に関する情報が表示されます。 それにより、ユーザーは問題を解決するためのアクションを実行できます。 非コンプライアンスに関するメッセージの詳細は Intune によって生成され、カスタマイズすることはできません。
重要
Intune、ポータル サイト アプリ、および Microsoft Intune アプリは、プッシュ通知の配信を保証できません。 通知は (あったとしても) 数時間の遅延の後に表示される場合があります。 この制限には、ユーザーがプッシュ通知をオフにした場合が含まれます。
緊急メッセージについては、この通知方法を使用しないでください。
アクションの各インスタンスは、1 回に 1 つの通知を送信します。 ポリシーから同じ通知をもう一度送信するには、そのポリシーで、さらに多くのアクションのインスタンスをそれぞれ異なるスケジュールで構成します。
たとえば、最初のアクションを 0 日でスケジュールし、その後 2 番目のアクション セットのインスタンスを 3 日間に設定して追加したとします。 2 番目の通知の前にこの遅延により、ユーザーは問題を解決して 2 番目の通知を回避するための数日間の猶予が与えられます。
重複した通知が送信されすぎないようにするには、次の点に注意してください。
- 複数のプッシュ通知が同じ日にスケジュールされた 1 つのポリシーでは、その日に 1 つの通知のみが送信されます。
- 同じコンプライアンス条件および同じスケジュールを持つ複数のポリシーは、それぞれ個別の通知を送信し、その結果、同じ日に同じデバイスに複数の通知が送信されます。
注:
コンプライアンス違反に対する次のアクションは、 デバイス コンプライアンス管理パートナーによって管理されるデバイスではサポートされていません。
- エンド ユーザーに電子メールを送信する
- 非準拠デバイスをリモートでロックする
- 廃止するデバイスの追加 リスト
- エンド ユーザーにプッシュ通知を送信する
はじめに
デバイス コンプライアンス ポリシーを構成するときに、または後でポリシーを編集することで、 コンプライアンス違反に対するアクションを追加 できます。 ニーズを満たすために、各ポリシーにアクションを追加します。 各コンプライアンス ポリシーには、デバイスを非準拠としてマークするコンプライアンス違反に対する既定のアクションが自動的に含まれ、スケジュールは 0 日に設定されます。
デバイス コンプライアンス ポリシーを使用して企業リソースからデバイスをブロックするには、Microsoft Entra 条件付きアクセスを設定します。 ガイダンスについては、「Microsoft Entra ID の条件付きアクセス」を参照してください。
デバイス コンプライアンス ポリシーの作成に関するプラットフォーム固有のガイダンスについては、次の記事を参照してください。
通知メッセージ テンプレートを作成する
ユーザーにメールを送信するには、通知メッセージ テンプレートを作成し、そのテンプレートをコンプライアンス違反に対するアクションとしてコンプライアンス ポリシーに関連付けます。 デバイスが非準拠の場合は、テンプレートに入力した詳細がユーザーに送信されるメールに表示されます。
通知メッセージ テンプレートには、それぞれ異なるロケール用の複数のメッセージを含めることができます。 複数のメッセージとロケールを指定すると、準拠していないエンド ユーザーは、Microsoft 365 優先言語に基づいて適切なローカライズされたメッセージを受信します。
メッセージに変数を追加して、動的なコンテンツを含むパーソナライズされたメールを作成します。 次の表では、メッセージの件名と本文で使用できる変数について説明します。
| 変数名 | 使用するトークン | 説明 |
|---|---|---|
| ユーザー名 | {{UserName}} | 非準拠デバイスのプライマリ ユーザーの名前を追加します。 例: John Doe |
| デバイス名 | {{DeviceName}} | Microsoft Intune に記録されている非準拠デバイスの名前を追加します。 例: John's iPad |
| デバイス ID | {{DeviceId}} | 非準拠デバイスに属する Intune デバイス ID を追加します。 例: 12ab345c-6789-def0-1234-000000000000 |
| デバイスの OS バージョン | {{OSAndVersion}} | 非対応デバイスのオペレーティング システムとバージョンを追加します。 例: Android 12 |
テンプレートを作成するには
Microsoft Intune 管理センターにサインインします。
[エンドポイント セキュリティ]>[デバイスのポリシー準拠]>[通知]>[通知の作成] を選択します。
[ 基本] に、テンプレートのわかりやすい名前を入力して識別しやすくします。 [次へ] を選択します。
[ ヘッダーとフッターの設定] で、会社の詳細とロゴを追加します。
![Intune の通知メッセージの [ヘッダーとフッターの設定] ページの例を示すスクリーンショット。](media/configure-noncompliance-actions/actions-for-noncompliance-3.png)
次のようなオプションがあります:
- Email header – Show company logo (default = Enable) - ロゴをアップロードして、organizationのブランドを電子メールテンプレートに追加します。 ポータル サイトのブランド化の詳細については、会社 ID のブランドのカスタマイズに関するセクションを参照してください。
- Email footer – Show company name (default = Enable) - この設定を有効にすると、電子メールに会社名が表示されます。 「 テナント値 」を参照して、記録上の会社名を確認します。
- Email フッター – 連絡先情報を表示 (デフォルト = 有効) - この設定を有効にすると、名前、電話番号、電子メール アドレスなどのorganizationの連絡先情報が電子メールに表示されます。 「 テナント値 」を参照して、記録上の連絡先情報を確認します。
- Email フッター - ポータル サイトの Web サイト リンクを表示する (既定値 = 無効) - この設定を有効にすると、ポータル サイト Web サイトへのリンクが電子メールに含まれます。 ユーザーに表示される Web サイト リンクを確認するには、「 テナント値 」を参照してください。
[次へ] を選んで続行します。
通知メッセージ テンプレートで、1 つ以上のメッセージを構成します。 各メッセージについて、次の詳細を指定します。
- ロケール: デバイス ユーザーのロケールに関連する言語を選択します。
- 件名: メールの件名を追加します。 最大 78 文字を入力できます。
-
Raw HTML エディター: HTML エディターをオンにすると、HTML 形式やリンクをメッセージに追加する際に候補が表示されます。
href属性を使用して、リンクを追加できます (HTTPS URL である必要があります)。 サポートされている HTML タグには、<a>、<strong>、<b>、<u>、<ol>、<ul>、<li>、<p>、<br>、<code>、<table>、<tbody>、<tr>、<td>、<thead>、<th>があります。 HTML エディターを使用することは必須ではなく、エディターをオンにせずにサポートされている HTML を追加できます。 - メッセージ: コンプライアンス違反の理由を説明するメッセージを作成します。 最大 2,000 文字を入力できます。
動的コンテンツを含むテンプレートを作成するには、件名またはメッセージでサポートされている変数のトークンを挿入します。 サポートされている変数の一覧については、この記事の「 通知メッセージ テンプレートの作成 」の表を参照してください。
重要
メッセージ本文では、Intune でサポートされている HTML タグと属性のみを使用してください。 Intune は、他の種類のタグ、要素、またはスタイルを含むメッセージを HTML 形式ではなくプレーンテキストとして送信します。 この条件には、次を含むメッセージが含まれます。
- CSS
- この記事に記載されていないタグと属性
注:
Intune は、Windows スタイルの改行文字を
<br>に変換しますHTML タグは無視されますが、macOS や Linux の改行文字など、他のすべての種類の改行文字は無視されます。 テンプレートで改行が適切にレンダリングされるように、<br>タグを使用して行の末尾を示すことをお勧めします。メッセージの 1 つの [ 既定にする] チェック ボックスをオンにします。 Intune は、優先言語を設定していないユーザーに、またはテンプレートにロケールの特定のメッセージが含まれていない場合に、既定のメッセージを送信します。 既定値として設定できるメッセージは 1 つだけです。 メッセージを削除するには、省略記号 (...) を選択し、[削除] を選択します。
[次へ] を選んで続行します。
[スコープ タグ] で、このメッセージの表示と管理を特定の Intune 管理グループ (
US-NC IT TeamやJohnGlenn_ITDepartmentなど) に制限するタグを選択します。 スコープ タグの詳細については、分散 IT に RBAC とスコープのタグを使用するに関するページを参照してください。[次へ] を選んで続行します。
[ レビュー + 作成] で、構成を確認して、通知メッセージ テンプレートを使用する準備ができていることを確認します。 [作成] を選択し、通知の作成を完了します。
通知の表示と編集
作成した通知は、[コンプライアンス ポリシー]>[通知] で表示できます。 このページで、通知を選択してその構成を表示し、次の操作を行います。
[プレビュー メールの送信] を選択して、Intune へのサインインに使用したアカウントに通知メールのプレビューを送信します。
プレビュー メールを正常に送信するには、アカウントに、Microsoft Entra グループまたはIntune ロール (Intune 管理者 (Intune サービス管理者とも呼ばれる) またはポリシーおよびプロファイル マネージャーと同等のアクセス許可が必要です。
[基本] または [スコープ タグ] の [編集] を選択して、変更を加えます。
注:
プレビュー メールには、通知メッセージ テンプレートで指定したデバイス変数が含まれません。
コンプライアンス違反に対するアクションを追加する
コンプライアンス ポリシーを作成するとき、または既存のポリシーを更新するときにオプションのアクションを追加できます。 既定の非準拠としてマークするアクションは自動的に追加されるため、削除することはできませんが、スケジュールを調整できます。
Microsoft Intune 管理センターにサインインします。
[デバイス>コンプライアンス] に移動します。
ポリシーを選択してから 、[プロパティ] を選択します。
ポリシーがまだない場合は、 Android、iOS、Windows、または他のプラットフォーム用のポリシーを作成します。
注:
デバイス グループで対象となるサード パーティのデバイス コンプライアンス パートナーによって管理されるデバイスは、現時点ではコンプライアンス アクションを受け取ることができません。
[コンプライアンス違反に対するアクション]>編集を選択します。
アクションを選択します。
メールをエンド ユーザーに送信する: デバイスがコンプライアンスに違反している場合は、ユーザーにメールを送信することを選択します。 また、
- 先ほど作成したメッセージ テンプレートを選択します
- グループを選んで、追加の受信者を入力します
コンプライアンス違反のデバイスをリモートでロック: デバイスがコンプライアンスに違反している場合は、デバイスをロックします。 このアクションにより、ユーザーはデバイスのロックを解除するために PIN またはパスコードを入力するよう強制されます。
廃止リストにデバイスを追加する: デバイスが非準拠の場合は、管理センターの廃止リストに追加されます。 会社データが削除され、デバイスが Intune 管理から削除される前に、管理者はそのリストからデバイスを明示的に廃止する必要があります。
エンド ユーザーにプッシュ通知を送信する: デバイスのポータル サイト アプリまたは Intune アプリを介して、コンプライアンス違反に関するプッシュ通知をデバイスに送信するように、このアクションを設定します。
スケジュールの構成: コンプライアンス違反からアクションをトリガーする日数 (0 から 365) を入力します。 0 を入力すると、アクションはすぐに有効になります。 この猶予期間が過ぎると、 条件付きアクセス ポリシーを適用して、メールや SharePoint などのリソースへのアクセスをブロックできます。
既定の [デバイスに非準拠としてマーク する] アクションと、スケジュールが猶予期間に与える影響の詳細については、「 非準拠に対して使用できるアクション」を参照してください。
たとえば、2 日間のスケジュールで [エンドユーザーに電子メールを送信] アクションを追加します。 2 日目になってもデバイスが非対応の場合は、メールが送信されます。 5 日目にフォローアップ メールを送信するには、5 日間の スケジュール を持つアクションの 2 つ目のインスタンスを追加します。
コンプライアンスと組み込みアクションについて詳しくは、コンプライアンスの概要に関するページをご覧ください。
完了したら、[追加]>[OK] の順に選択して変更を保存します。