Intune デバイス コンプライアンス ポリシーの結果を監視する

コンプライアンス レポートは、デバイスがコンプライアンス ポリシーを満たさないタイミングを理解し、organization 内のコンプライアンス関連の問題を特定するのに役立ちます。 これらのレポートを使用すると、次の情報を表示できます。

• デバイスの総合的なコンプライアンス状態
• 設定別のコンプライアンス状態
• ポリシー別のコンプライアンス状態
• 個々のデバイスにドリルダウンし、デバイスに影響を与えている特定の設定やポリシーを表示する

この記事は、次の項目に適用されます:

• Android デバイス管理者
• Android オープンソース プラットフォーム (AOSP)
• Android Enterprise
• iOS/iPadOS
• Linux - Ubuntu デスクトップ、バージョン 24.04 LTS または 26.04 LTS
• macOS
• Windows

Intune には、デバイスのコンプライアンスの詳細を確認するための次のオプションが含まれています。

• デバイス コンプライアンス状態ダッシュボード
• ポリシー ベースのデバイス コンプライアンス レポート
• 組織および運用のコンプライアンス レポート

デバイス コンプライアンス ポリシーと状態結果の重要な概念

コンプライアンス状態の詳細とレポートを表示するときは、デバイスのコンプライアンス状態の報告方法に影響を与える可能性のある次の重要な詳細に注意してください。

• デバイスのコンプライアンス ポリシーを受け取るには、Intune にデバイスを登録する必要があります。

• テナント全体の コンプライアンス ポリシー設定 には、[ コンプライアンス ポリシーが割り当てられていないデバイスをマークする] 設定が含まれます。 既定の構成では、コンプライアンス ポリシーが割り当てられていないデバイスは 準拠しているとしてマークされます。 これらのデバイスが 非準拠としてマークされるように、この設定を構成することをお勧めします。 次に、コンプライアンス ポリシーのないデバイス organization レポートで非準拠デバイスを特定できます。

• コンプライアンス レポートには、デバイス上の最後のユーザーのコンプライアンス状態が表示されます。 デバイスを対象としたポリシーの場合、デバイスの最後のコンプライアンス チェック中にサインインしたユーザーがいない場合は、システム アカウントがユーザー プリンシパル名としてレポートに表示されます。

既知のレポート動作

Microsoft Intune は、デバイスで変更が発生すると、デバイスのコンプライアンス状態を継続的に評価します。 この継続的な評価プロセスは、デバイスのコンプライアンス態勢を最新の状態に保つのに役立ちます。

デバイスのコンプライアンス状態に影響する変更には、次のものがあります。

• デバイス構成の更新
• オペレーティング システムのバージョン変更
• セキュリティ体制の更新
• ポリシーのターゲティングまたは割り当ての変更
• ユーザーのサインイン アクティビティ

コンプライアンス状態は継続的に評価されますが、デバイスがサービスにチェックインすると、Microsoft Intune のコンプライアンス ポリシー レポートが更新されます。 その結果、管理センターのレポートには、デバイスの最後のチェックイン中に記録された最新の既知のコンプライアンス状態が反映されます。 このレポート モデルは、レポートに表示されるコンプライアンス情報が、条件付きアクセスなどのアクセス決定に使用された最後に確認されたデバイスの状態と一致するようにするのに役立ちます。

Microsoft Intune でコンプライアンス ポリシー レポートを確認するときは、次のレポート動作に注意してください。

• コンプライアンス ポリシーのレポートは、デバイスがいつチェックインするかによって異なります。 レポート データは、デバイスのチェックインおよびポリシーの更新サイクル中に更新され、デバイスがチェックインされていない場合は、最近のポリシーの割り当てやターゲットの変更がすぐに反映されない場合があります。 クライアント駆動型コンプライアンス評価をサポートする Windows デバイスは、ローカル状態の変化に対応してコンプライアンスの再評価をトリガーできます。これにより、これらのデバイスのレポート データが更新される頻度に影響を与える可能性があります。

• コンプライアンス レポートには、デバイスで最後にチェックインしたユーザーに関連付けられているコンプライアンス状態が表示されます。 共有デバイスまたはマルチユーザー デバイスでは、この動作により、レポートに以前のユーザーのコンプライアンス状態が反映される可能性があります。

• デバイスがコンプライアンス ポリシーの状態を受信または報告するためにまだチェックインしていない場合、デバイスは保留状態になることがあります。 状況によっては、次のレポート サイクルが完了するまでこの状態が続くことがあります。

• ポリシー レポートには、ユーザーとシステムのコンテキストに関連付けられた個別のレコードなど、同じデバイスの複数のエントリが表示される場合があります。 この現象は、異なるユーザーが同じデバイスにサインインする場合、または自動デバイス チェックインが発生した場合に発生する可能性があります。

• 概要レポート ビューと詳細なデバイス リストは、常に同時に更新されるとは限りません。 更新間隔の違いにより、概要ビューの集計値が詳細レポートに表示されるエントリと一時的に異なる場合があります。

コンプライアンス レポートのデバイスによって報告された値

一部のコンプライアンス レポートには、デバイスによって直接報告された値を表示する [設定] 列が含まれています。 この列は、カスタム コンプライアンスや Android アプリ構成レポートなどのシナリオで表示され、デバイスが特定のポリシー設定に対して非準拠としてマークされる理由に関する追加のコンテキストを提供します。

設定値は、アプリケーションや管理者提供のスクリプトなど、デバイス側のロジックによって生成されるため、サービスはその内容を検証または適用しません。 この値は、デバイスまたはスクリプトが報告する内容を反映し、形式と内容が異なる場合があります。 コンテキストの設定値のみを使用し、デバイスで操作する前に、信頼できる管理ワークフローを通じてコンプライアンス状態を確認します。

デバイス コンプライアンス ダッシュボード

デバイス コンプライアンス ダッシュボードには、Microsoft Intune 管理センターでアクセスできます。

1. [ デバイス>コンプライアンス] に移動し、[ モニター] タブを選択します。
2. テナント内のデバイス コンプライアンスの状態の詳細については、次のレポート オプションから選択します。

• デバイスの準拠の状態
• コンプライアンスのないデバイス
• ポリシー コンプライアンス (リンクをクリックすると、Intune レポートの記事が開きます)
• コンプライアンスの設定 (リンクすると Intune レポートの記事が開きます)

デバイスの準拠の状態

[デバイスのコンプライアンス状態] タイルには、Intune に登録されているすべてのデバイスのコンプライアンス状態が表示されます。 このタイルを選択すると、Intune に非準拠デバイス レポートが表示されます。 このレポートは、管理センターの [デバイス>モニター ] ノードでも確認できます。

タイルには、次の各カテゴリのデバイスの数が表示されます。

• 準拠: デバイスにデバイス コンプライアンス ポリシーが 1 つ以上、正しく適用されています。

• 猶予期間: デバイスは 1 つ以上のデバイス コンプライアンス ポリシー設定の対象になっていますが、まだすべてに準拠していません。 多くの場合、この状態は、パスワードの複雑さの要件を満たすなど、ユーザーが準拠構成を適用していないことが原因です。 この状態のデバイスは非対応ですが、管理者が定義した猶予期間内です。

• 評価されていません: 新しく登録されたデバイスの最初の状態です。 この状態になるその他の原因としては、次が考えられます。

  • コンプライアンス ポリシーが割り当てられておらず、コンプライアンスをチェックするトリガーがないデバイス。
  • コンプライアンス ポリシーが最後に更新されてからチェックインしていないデバイス。
  • 次などのように、デバイスが特定のユーザーに関連付けられていない
    • Apple のデバイス登録プログラム (DEP) を通じて購入された、ユーザー アフィニティを持たない iOS/iPadOS デバイス。
    • Android Enterprise 専用デバイス。
  • デバイス登録マネージャー (DEM) アカウントに登録されているデバイス。

• 非準拠: デバイスが 1 つ以上のデバイス コンプライアンス ポリシー設定を適用できなかったか、ユーザーがポリシーに準拠しませんでした。

コンプライアンスのないデバイス

[コンプライアンス ポリシーのないデバイス] タイルには、コンプライアンス ポリシーが割り当てられていないデバイスの数が表示されます。 タイル名の長さが原因で、管理センターで切り捨てられる場合があります。

このタイルを選択すると、コンプライアンス ポリシーが設定されていない各デバイスを一覧表示する [デバイス状態] ビューが Intune に表示されます。 このビューには、 デバイス 名、デバイスに関連付けられている ユーザー プリンシパル名 、デバイスのコンプライアンス 状態、 デバイス モデルが含まれます。

ポリシー ベースのデバイス コンプライアンス レポート

作成した各コンプライアンス ポリシーは、コンプライアンス レポートを直接サポートします。 個々のポリシーのレポートを表示するには、管理センターで [デバイス>コンプライアンス] に移動します。 次に、レポートの詳細を表示するポリシーを選択します。

既定では、ポリシーを選択すると、Intune はそのポリシーの [モニター] タブを開きます。 Intune の表示:

• デバイスの状態 - このポリシーを受信するデバイスの基本的なコンプライアンス状態を示すシンプルな棒グラフ。
• レポートの表示 - デバイスの状態レポートが開き、このポリシーに対するデバイスの準拠に関する詳細な情報を表示できる、選択できるボタン。
• 設定ごとの状態 - このポリシーの設定ごとの状態レポートを開くために選択できるタイル。

デバイスの状態

[ デバイス状態 の概要] は、コンプライアンス ポリシーを選択した場合の既定のビューです。 この概要は、各特定のコンプライアンス状態のデバイス数を示す単純なグラフです。 水平バーは使用可能なカテゴリに一致する色に分割され、各色はそのカテゴリ内のデバイス数を表します。 上記のスクリーン キャプチャでは、すべてのデバイスが準拠しています。 その結果、バー全体が緑色になります。

デバイスがこのグラフに表示される前に、Intune でチェックしてポリシーを受信し、処理し、その状態を正常に報告する必要があります。 デバイスがオンラインになっている場合、このプロセスは最大で 24 時間かかることがあります。

デバイス状態グラフの詳細は次のとおりです。

• 準拠 - デバイスで 1 つ以上のデバイス準拠ポリシー設定が正常に適用されました。
• 非準拠 - デバイス構成が 1 つ以上のデバイス コンプライアンス ポリシー設定を満たしていません。
• その他 - デバイスは、 エラー や未 評価など、このポリシーの設定に準拠していない状態です。
• 合計 - このポリシーを受信し、報告されたデバイスの合計数。

詳細を表示するには、[ レポートの表示 ] ボタンを選択します。

レポートの表示

ポリシーのデバイス状態ビューで [レポートの表示] ボタンを選択すると、Intune にはそのポリシーのデバイス状態のより詳細なビューが表示されます。

既定では、レポート ビューには次の詳細が表示されますが、ビューに詳細の列を追加することもできます。

• デバイス名 - デバイスを表示してグループを作成するときに表示されるデバイスの名前。
• ログインしているユーザー
• ポリシーのコンプライアンス状態 - この状態は、デバイスがこのポリシーに準拠しているかどうかを示しますが、他のコンプライアンス ポリシーに対するデバイスのコンプライアンスを表すものではありません。 Intune は、デバイスが別のポリシーに準拠していない場合でも、デバイスを非準拠と見なすことができます。
• デバイス ID - デバイスの Intune デバイス ID。
• OS - デバイスのオペレーティング システム ( Windows や Android など)。
• 最終連絡 - このデバイスが Intune サービスと最後に接続した日時。

このレポート ビューの場合:

• 各列はアルファベット順に並べ替えることができます。
• フィルターを構成し、検索文字列を指定してレポート結果を絞り込むことができます。 検索では、表示されているすべての列が検索されます。

たとえば、st1 の検索文字列を入力すると、[デバイス名] 列に st1 が指定されているすべてのデバイスと、[ログインしているユーザー] 列に st1 が指定されているユーザーに関連付けられているすべてのデバイスが返されます。

設定ごとの状態

コンプライアンス ポリシーを選択したら、[ 設定ごとの状態 ] タイルを選択して、ポリシー設定のデバイスのコンプライアンス状態を確認します。 このビューには、レポートできるさまざまな状態条件の列を使用してポリシーで構成される設定が表示されます。 各設定について、各状態列には、その状態を報告するデバイスの数が表示されます。

次の図は、Android デバイスのポリシーの設定ごとのビューを示しています。 このポリシーには 1 つの設定が含まれており、4 台のデバイスに展開されました。これらはすべてその設定に準拠しています。 このビューでは、列を選択して並べ替えるか、検索を使用できます。

設定ごとのビューで、状態列からデバイス数を選択すると、その特定の設定と状態の詳細を含むビューを開くことができます。 次の図は、[準拠デバイス] 列から番号 4 を選択した結果を示しています。

スクリーンショットには、選択した設定には 4 つのエントリがあり、各エントリは個別のデバイスを表します。 この数は、設定ごとの状態ビューに表示される数と一致します。

また、 st1 で始まる名前を持つ 1 つのデバイスには、[ デバイス準拠 ] 列に 非準拠としてフラグが設定されていることもわかります。 この結果は、より詳しく調べる価値があります。

• [デバイス コンプライアンス] 列の詳細は、デバイスの全体的なコンプライアンス状態を表しており、必ずしもデバイスがこのポリシーまたはこのポリシーのこの設定に準拠しているとは限りません。
• Microsoft では、このポリシーの設定に準拠していると報告されたデバイスの一覧を表示しているので、このデバイスがこのポリシーの構成方法に準拠していることを確認できます。
• この結果は、デバイスが他のポリシーに準拠していないことを示します。

このドリルイン ビューでは詳細なドリルスルーがサポートされていないため、使用可能な他のコンプライアンス レポートを使用して、デバイスが非準拠として報告しているポリシーと設定を特定する必要があります。

コンプライアンス設定が [エラー] 状態のデバイスの動作

コンプライアンス ポリシーの設定で [エラー] の値が返された場合、デバイスのコンプライアンス状態は最大 7 日間変更されず、その設定に対してコンプライアンス計算が正しく完了するまでの時間を確保できます。 この 7 日以内に、コンプライアンス ポリシー設定が [準拠] または [非準拠] として評価されるまで、デバイスの既存のコンプライアンス状態は引き続き適用されます。 設定の状態が 7 日経っても エラー の場合、デバイスは 非準拠になるか、コンプライアンス ポリシーに猶予期間が設定されている場合、デバイスは 猶予期間としてマークされます。

例:

• デバイスは最初は [準拠] とマークされますが、その後、デバイスを対象とするコンプライアンス ポリシーの 1 つの設定で [エラー] が報告されます。 3 日後、コンプライアンス評価は正常に完了し、設定で [非準拠] と報告されます。 ユーザーは、設定状態が [エラー] に変更された後、最初の 3 日以内にデバイスを使用して条件付きアクセスによって保護されたリソースにアクセスし続けることができますが、設定が [非準拠] に戻ると、デバイスは [非準拠] とマークされ、デバイスが再び [準拠] になるまでこのアクセスが削除されます。

• デバイスは最初は [準拠] とマークされますが、その後、デバイスを対象とするコンプライアンス ポリシーの 1 つの設定で [エラー] が報告されます。 3 日後、コンプライアンスの評価が正常に完了すると、設定は [準拠] を返し、デバイスのコンプライアンス状態は [準拠] になります。 ユーザーは、中断することなく、条件付きアクセスで保護されたリソースに引き続きアクセスできます。

• デバイスは最初は [準拠] とマークされますが、その後、デバイスを対象とするコンプライアンス ポリシーの 1 つの設定で [エラー] が報告されます。 ユーザーは条件付きアクセスによって保護されたリソースに 7 日間アクセスできますが、7 日後もコンプライアンスの状態では引き続き [エラー] を返します。 この時点で、デバイスはすぐに 非準拠 になり、デバイスが 準拠するまで、ユーザーは保護されたリソースにアクセスできなくなります。

• デバイスは最初は [準拠] とマークされますが、その後、デバイスを対象とするコンプライアンス ポリシーの 1 つの設定で [エラー] が報告されます。 エラー状態の設定を含むコンプライアンス ポリシーには、猶予期間が設定されています。 ユーザーは条件付きアクセスによって保護されたリソースに 7 日間アクセスできますが、7 日後もコンプライアンスの状態では引き続き [エラー] を返します。 この時点で、デバイスは 猶予期間 としてマークされ、ユーザーは引き続き保護されたリソースにアクセスできます。 管理者が指定した猶予期間内に準拠しない場合、デバイスは 非準拠 となり、ユーザーはデバイスが 準拠するまで保護されたリソースにアクセスできなくなります。

• デバイスは最初は 非準拠とマークされていますが、その後、デバイスを対象とするコンプライアンス ポリシーの 1 つの設定で エラーが報告されます。 3 日後、コンプライアンスの評価が正常に完了すると、設定は [準拠] を返し、デバイスのコンプライアンス状態は [準拠] になります。 ユーザーは、最初の 3 日間は、条件付きアクセスで保護されたリソースにアクセスできません (この設定では [エラー] が返されます)。 設定で [準拠] を返し、デバイスが [準拠] とマークされると、ユーザーはデバイス上の保護されたリソースにアクセスできるようになります。

組織および運用のコンプライアンス レポート

個々のコンプライアンス ポリシーが提供するレポートに加えて、コンプライアンス ポリシーの設定に焦点を当てたデバイス コンプライアンスのレポートを表示できます。 これらのレポートには、非準拠のすべてのデバイスが一覧表示され、コンプライアンスの傾向に関する分析情報が提供されます。

これらのレポートを表示するには、Microsoft Intune管理センターを開き、[レポート>デバイス コンプライアンス] に移動し、[レポート] タブを選択します。

これらのレポートの詳細については、Intune レポートの記事のデバイス コンプライアンス レポートを参照してください。

その他のコンプライアンス レポート

管理センターの [コンプライアンスの状態 ] タブと [レポート ] ノードからのレポートに加えて、次の古いコンプライアンス レポートを使用できます。

• 非準拠デバイス
• ポリシーのコンプライアンス違反

これらのレポートにアクセスするには、[ デバイス>モニター ] に移動します。 すばやく表示するには、[ カテゴリ] 列を並べ替えてから、 コンプライアンス タグが付いたレポートを探します。

Intune のポリシー競合の解決方法

複数の Intune ポリシーを 1 つのデバイスに適用すると、ポリシーの競合が発生する可能性があります。 ポリシーの設定が重複した場合、Intune では次のルールを使用して競合を解決します。

• Intune 構成ポリシーの設定とコンプライアンス ポリシーの設定の間で競合がある場合、コンプライアンス ポリシーの設定は構成ポリシーの設定よりも優先されます。 この結果は、構成ポリシーの設定のセキュリティが強化されている場合でも発生します。

• 複数のコンプライアンス ポリシーを展開する場合、Intune はそれらのポリシーの中で最も安全なものを使用します。

ポリシーの競合解決の詳細については、「 競合するコンプライアンスおよびデバイス構成ポリシー」を参照してください。

Intune が既定のコンプライアンス ポリシーを評価する方法

Intune では、計算がトリガーされたときに既定のコンプライアンス ポリシーが評価されます。 すべての デバイスの同期 でコンプライアンス計算が行われるわけではありませんが、次の場合にコンプライアンス計算がトリガーされます。

• 新規登録: ユーザーがブロックの理由を確実に認識できるように、評価が頻繁に行われます。 実際の頻度は、プラットフォームと登録の種類によって異なります。
• 定期的な評価: 評価は、デバイスが数日間オフラインになった後にユーザーのサインインを要求するなど、デバイスの接触要件を適用するために定期的に行われます。
• 新しいコンプライアンス情報: 評価は、デバイスの同期中にデバイスのプロパティの変更など、新しいコンプライアンス情報が検出されたときに行われます。
• コンプライアンス ポリシーの割り当ての変更: 評価は、次回のデバイス同期後にコンプライアンス ポリシーの割り当てが追加されたときに行われます。除外ターゲット設定など、コンプライアンス ポリシーの割り当てが削除されると、既存のサービス データを使用してコンプライアンス計算がトリガーされます。
• ユーザー コンプライアンス ステータス チェック: 評価は、ユーザーがポータル サイト Web サイトまたはアプリでコンプライアンス ステータスを確認するときに行われます。

評価プロセスでは、次のいずれかのステートメントが false の場合、デバイスを非準拠と識別します。

• デバイスにはコンプライアンス ポリシーが割り当てられています: 適用可能な設定を持つデバイスには、少なくとも 1 つの適用可能なコンプライアンス ポリシーを割り当てる必要があります。
• デバイスはアクティブです。デバイスは Intune との接続を維持する必要があります。 この要件は、デバイスがインターネット接続でオンになっていることを意味します。 既定の猶予期間は 30 日です。
• 登録されたユーザーが存在します。デバイスをアクティブに使用しているユーザーが存在し、有効な Intune ライセンスを持っています。

次の手順

コンプライアンス ポリシーの概要