Intune での Windows のデバイス コンプライアンス設定

この記事では、Intune で Windows デバイスで構成できるさまざまなコンプライアンス設定の一覧を示し、説明します。 モバイル デバイス管理 (MDM) ソリューションの一部として、これらの設定を使用して、BitLocker を要求したり、最小と最大のオペレーティング システムを設定したり、Microsoft Defender for Endpoint を使用したリスク レベルを設定したりします。

この機能は、以下に適用されます。

  • Windows
  • Windows Holographic for Business
  • Surface Hub

この記事の設定は、コンプライアンス ポリシーの作成時に管理センターに表示されるセクション別に編成されています。

開始する前に

コンプライアンス ポリシーを作成します[プラットフォーム] には、[Windows 10 以降] を選択します。

デバイスの正常性

デバイスが信頼できる状態で起動することを保証するために、Intune は Microsoft デバイス構成証明サービスを使用します。 Windows 10 を実行している Intune 商用、米国政府機関の GCC High、DoD サービスのデバイスでは、デバイス正常性構成証明 (DHA) サービスが使用されます。

詳細については、以下を参照してください:

Windows 正常性構成証明サービスの評価ルール

  • BitLocker が必要: Windows BitLocker ドライブ暗号化は、Windows オペレーティング システム ボリュームに格納されているすべてのデータを暗号化します。 BitLocker は、トラステッド プラットフォーム モジュール (TPM) を使用して、Windows オペレーティング システムとユーザー データを保護します。 また、コンピューターが放置されたり、紛失したり、盗まれたりした場合でも、改ざんされていないことを確認するのにも役立ちます。 コンピューターに互換性のある TPM が装備されている場合、BitLocker は TPM を使用して、データを保護する暗号化キーをロックします。 その結果、TPM がコンピューターの状態を確認するまでキーにアクセスできません。

    • 未構成 (既定値) - この設定は、コンプライアンスまたはコンプライアンス違反に対して評価されません。
    • 必須 - システムがオフの場合、または休止状態のときに、デバイスはドライブに保存されているデータを不正アクセスから保護できます。

    Device HealthAttestation CSP - BitLockerStatus

    注:

    Intune でデバイス コンプライアンス ポリシーを使用している場合は、この設定の状態がブート時にのみ測定されることに注意してください。 そのため、BitLocker 暗号化が完了した場合でも、デバイスがこれを検出して準拠させるには、再起動が必要になります。 詳細については、 デバイス正常性構成証明に関する次の Microsoft サポート ブログを参照してください。

  • デバイスでセキュア ブートを有効にする必要がある:

    • 未構成 (既定値) - この設定は、コンプライアンスまたはコンプライアンス違反に対して評価されません。
    • 必須 - システムは強制的に工場出荷時の信頼済み状態で起動します。 マシンの起動に使用されるコア コンポーネントには、デバイスを製造した organization によって信頼されている正しい暗号化署名が必要です。 UEFI ファームウェアは、コンピューターを起動する前に署名を検証します。 ファイルが改ざんされ、署名が破損した場合、システムは起動しません。

    注:

    一部の TPM 1.2 および 2.0 デバイスでは、[ デバイスでセキュア ブートを有効にする 必要がある] 設定がサポートされています。 TPM 2.0 以降をサポートしていないデバイスの場合、Intune のポリシーの状態は準拠していないと表示されます。 サポートされているバージョンの詳細については、「 デバイス正常性構成証明」を参照してください。

  • コードの整合性を要求する:
    コードの整合性は、ドライバーまたはシステム ファイルがメモリに読み込まれるたびにその整合性を検証する機能です。

    • 未構成 (既定値) - この設定は、コンプライアンスまたはコンプライアンス違反に対して評価されません。
    • 要求 - コードの整合性が要求されます。署名されていないドライバーまたはシステム ファイルがカーネルに読み込まれているかどうかを検出します。 また、システム ファイルが悪意のあるソフトウェアによって変更されたり、管理者特権を持つユーザー アカウントによって実行されたりする場合も検出します。

詳細については、以下を参照してください:

デバイス プロパティ

オペレーティング システムのバージョン

すべての Windows Feature Updates と Cumulative Updates (以下のフィールドの一部で使用) のビルド バージョンを見つけるには、「Windows リリース情報」を参照してください。 ビルド番号の前に適切なバージョン プレフィックスを必ず含めてください (Windows 11 の場合は 11.0 など)。

  • 最小 OS バージョン:
    最小許容バージョンを major.minor.build.revision 番号 の形式で入力します。 正しい値を取得するには、コマンド プロンプトを開き、「ver」と入力します。 ver コマンドは、次の形式でバージョンを返します:

    Microsoft Windows [Version 10.0.17134.1]

    デバイスに入力した OS バージョンよりも前のバージョンが設定されている場合、非準拠として報告されます。 アップグレード方法に関する情報を含むリンクが表示されます。 エンド ユーザーは、デバイスのアップグレードを選択できます。 アップグレード後、会社のリソースにアクセスできます。

  • 最大 OS バージョン:
    最大許容バージョンを major.minor.build.revision 番号 の形式で入力します。 正しい値を取得するには、コマンド プロンプトを開き、「ver」と入力します。 ver コマンドは、次の形式でバージョンを返します:

    Microsoft Windows [Version 10.0.17134.1]

    入力したバージョンより後の OS バージョンをデバイスが使用している場合、組織のリソースへのアクセスはブロックされます。 エンド ユーザーは、IT 管理者に問い合わせるよう求められます。 OS のバージョンを許可するように規則が変更されるまで、デバイスは組織のリソースにアクセスできません。

  • モバイル デバイスに必要な最小 OS:
    最小許容バージョンを major.minor.build 番号の形式で入力します。

    デバイスに入力した OS バージョンよりも前のバージョンが設定されている場合、非準拠として報告されます。 アップグレード方法に関する情報を含むリンクが表示されます。 エンド ユーザーは、デバイスのアップグレードを選択できます。 アップグレード後、会社のリソースにアクセスできます。

  • モバイル デバイスに必要な最大 OS:
    major.minor.build 番号に、最大許容バージョンを入力します。

    入力したバージョンより後の OS バージョンをデバイスが使用している場合、組織のリソースへのアクセスはブロックされます。 エンド ユーザーは、IT 管理者に問い合わせるよう求められます。 OS のバージョンを許可するように規則が変更されるまで、デバイスは組織のリソースにアクセスできません。

  • 有効なオペレーティング システム ビルド:
    最小および最大の OS ビルド範囲の一覧を指定します。 この設定により、最小 OS バージョンおよび最大 OS バージョンよりも柔軟性が高くなります。 複数の Windows リリースに特定のパッチ レベルを適用する必要がある場合に使用します。

    各エントリには、説明と最小および最大の OS バージョンを major.minor.build.revision 形式で指定する必要があります。 各フィールドでサポートされている最大値は 65535 です (たとえば、65535.65535.65535.65535.65535)。 1 つ以上のエントリを定義した後、リストを CSV ファイルとして エクスポート できます。

    :

    説明 最小 OS バージョン 最大 OS バージョン
    Windows 11 24H2 (2024 年 10 月 - 12 月) 10.0.26100.1742 10.0.26100.2605
    Windows 11 23H2 (2024 年 7 月 - 10 月) 10.0.22631.3880 10.0.22631.4317
    Windows 10 22H2 (2024 年 7 月 - 10 月) 10.0.19045.4651 10.0.19045.5011

    注:

    ポリシーで OS バージョン ビルドの複数の範囲を指定し、デバイスのビルドが準拠範囲外である場合、ポータル サイトはデバイスがこの設定に準拠していないことをデバイス ユーザーに通知します。 ただし、技術的な制限により、コンプライアンス修復メッセージには、ポリシーで指定された最初の OS バージョン範囲のみが表示されることに注意してください。 organization 内のマネージド デバイスの許容される OS バージョン範囲を文書化することをお勧めします。

Configuration Manager コンプライアンス

Windows を実行している共同管理対象デバイスにのみ適用されます。 Intune 専用デバイスが [使用不可] 状態を返します。

  • Configuration Manager からデバイス コンプライアンスを要求する:
    • 未構成 (既定値) - Intune は、コンプライアンスのために Configuration Manager 設定のいずれもチェックしません。
    • 必須 - Configuration Manager のすべての設定 (構成アイテム) が準拠していることを要求します。

システム セキュリティ

Password

  • モバイル デバイスのロックを解除するためにパスワードを要求する:

    • 未構成 (既定値) - この設定は、コンプライアンスまたはコンプライアンス違反に対して評価されません。
    • 必須 - ユーザーはデバイスにアクセスする前にパスワードを入力する必要があります。
  • シンプルなパスワード:

    • 未構成 (既定) - ユーザーは 12341111 などの単純なパスワードを作成できます。
    • ブロック - ユーザーは 12341111 などの単純なパスワードを作成できません。
  • パスワードの種類:
    必要なパスワードまたは PIN の種類を選択します。 次のようなオプションがあります。

    • デバイスの既定値 (既定値) - パスワード、数字 PIN、または英数字 PIN を要求する
    • 数値 - パスワードまたは数字の暗証番号 (PIN) を要求する
    • 英数字 - パスワードまたは英数字 PIN を要求します。

    [英数字] に設定すると、次の設定を使用できます。

  • パスワードの長さ:
    パスワードに必要な最小桁数または文字数を入力します。

  • パスワードが必要になるまでの非アクティブ状態の最大時間 (分):
    ユーザーがパスワードを再入力する必要がある前のアイドル時間を入力します。

  • パスワードの有効期限 (日):
    パスワードの有効期限が切れるまでの日数を入力し、新しいパスワードを作成する必要があります。1 から 730 まで。

  • 再利用できないようにするための以前のパスワードの数:
    以前に使用したが使用できないパスワードの数を入力します。

  • デバイスがアイドル状態から戻ったときにパスワードを要求する (モバイルおよびホログラフィック):

    • 未構成 (既定値)
    • 必須 - デバイスがアイドル状態から戻るたびに、デバイス ユーザーにパスワードの入力を要求します。

    重要

    Windows デスクトップでパスワード要件が変更されると、ユーザーが次回サインインするときに影響を受けます。そのとき、デバイスがアイドル状態からアクティブになるときです。 要件を満たすパスワードを使用しているユーザーは、引き続きパスワードを変更するように求められます。

暗号化

  • デバイス上のデータ ストレージの暗号化:
    この設定は、デバイス上のすべてのドライブに適用されます。

    • 未構成 (既定値)
    • 必須 - [ 必須] を使用して、デバイス上のデータ ストレージを暗号化します。

    DeviceStatus CSP - DeviceStatus/Compliance/EncryptionCompliance

    注:

    [デバイス上のデータ ストレージの暗号化] 設定は、一般的に、OS ドライブ レベルで、デバイスに暗号化が存在するかどうかをチェックします。 現在、Intune では BitLocker による暗号化チェックのみがサポートされています。 より堅牢な暗号化設定については、Windows デバイス正常性構成証明を利用して TPM レベルで BitLocker 状態を検証する [BitLocker を要求する] の使用を検討してください。 ただし、この設定を使用する場合は、デバイスが準拠として反映される前に再起動が必要になる場合があることに注意してください。

デバイスのセキュリティ

  • ファイアウォール:

    • 構成 (既定値) - Intune は Windows ファイアウォールの制御や既存の設定の変更を行いません。
    • 必須 - Windows ファイアウォールを有効にし、ユーザーが無効にできないようにします。

    Firewall CSP

    注:

    • デバイスが再起動後すぐに同期される場合、またはスリープからの復帰がすぐに同期される場合、この設定は エラーとして報告されることがあります。 このシナリオは、全体的なデバイスのコンプライアンス状態には影響しない可能性があります。 コンプライアンスの状態を再評価するには、 デバイスを手動で同期します

    • すべての受信トラフィックを許可するように Windows ファイアウォールを構成するデバイスに構成が (グループ ポリシーなどを介して) 適用される場合、またはファイアウォールを無効にするデバイスに [ファイアウォール] を [必須] に設定すると、Intune デバイス構成ポリシーでファイアウォールが有効になっていても、[非準拠] が返されます。 これは、グループ ポリシー オブジェクトが Intune ポリシーを上書きするためです。 この問題を解決するには、競合しているグループ ポリシー設定を削除するか、ファイアウォール関連のグループ ポリシー設定を Intune デバイス構成ポリシーに移行することをお勧めします。 一般に、受信接続のブロックなど、 既定の設定を維持することをお勧めします。 詳細については、「 Windows ファイアウォールの構成のベスト プラクティス」を参照してください。

  • トラステッド プラットフォーム モジュール (TPM):

    • 未構成 (既定値) - Intune はデバイスの TPM チップ バージョンをチェックしません。
    • 必須 - Intune は TPM チップのバージョンに準拠しているかどうかをチェックします。 TPM チップのバージョンが 0 (ゼロ) より大きい場合、デバイスは準拠しています。 デバイスに TPM バージョンがない場合、デバイスは準拠していません。

    DeviceStatus CSP - DeviceStatus/TPM/SpecificationVersion

  • ウイルス対策:

    • 構成 (既定値) - Intune はデバイスにインストールされているウイルス対策ソリューションをチェックしません。
    • 必須 - Symantec や Microsoft Defender など、Windows セキュリティ センターに登録されているウイルス対策ソリューションを使用してコンプライアンスを確認します。 [必須] に設定した場合、ウイルス対策ソフトウェアが無効になっているか最新の状態でないデバイスは、非対応です。

    DeviceStatus CSP - DeviceStatus/Antivirus/Status

  • スパイウェア対策:

    • 未構成 (既定値) - Intune は、デバイスにインストールされているスパイウェア対策ソリューションをチェックしません。
    • 必須 - Symantec や Microsoft Defender など、Windows セキュリティ センターに登録されているスパイウェア対策ソリューションを使用してコンプライアンスを確認します。 [必須] に設定すると、マルウェア対策ソフトウェアが無効になっているか最新の状態でないデバイスは非準拠です。

    DeviceStatus CSP - DeviceStatus/Antispyware/Status

Defender

Windows では、次のコンプライアンス設定がサポートされています。

  • Microsoft Defender マルウェア対策:

    • 構成 (既定値) - Intune はサービスを制御せず、既存の設定を変更しません。
    • 必須 - Microsoft Defender マルウェア対策サービスを有効にし、ユーザーがオフにできないようにします。
  • Microsoft Defender マルウェア対策の最小バージョン:
    Microsoft Defender マルウェア対策サービスの最小許容バージョンを入力します。 たとえば、「4.11.0.0」と入力します。 空白のままにすると、任意のバージョンの Microsoft Defender マルウェア対策サービスを使用できます。

    既定では、バージョンは構成されていません

  • 最新の Microsoft Defender マルウェア対策セキュリティ インテリジェンス:
    デバイス上の Windows セキュリティ ウイルスおよび脅威防止の更新プログラムを制御します。

    • 構成 (既定値) - Intune は要件を適用しません。
    • 必須 - 強制的に Microsoft Defender セキュリティ インテリジェンスを最新の状態にします。

    Defender CSP - Defender/Health/SignatureOutOfDate CSP

    詳細については、「Microsoft Defender ウイルス対策およびその他の Microsoft マルウェア対策のセキュリティ インテリジェンス更新プログラム」を参照してください。

  • リアルタイム保護:

    • 構成 (既定値) - Intune はこの機能を制御したり、既存の設定を変更したりしません。
    • 必須 - マルウェア、スパイウェア、およびその他の望ましくないソフトウェアをスキャンするリアルタイム保護を有効にします。

    Policy CSP - Defender/AllowRealtimeMonitoring CSP

Microsoft Defender for Endpoint

Microsoft Defender for Endpoint ルール

条件付きアクセス シナリオでの Microsoft Defender for Endpoint の統合の詳細については、「Microsoft Defender for Endpoint での条件付きアクセスの構成」を参照してください。

  • デバイスがマシン リスク スコア以下であることを要求する:
    この設定を使用して、コンプライアンスの条件として防御脅威サービスからリスク評価を取得します。 最大許容される脅威レベルを選択します。

    • 未構成 (既定値)
    • クリア - デバイスに脅威を含めることができないため、このオプションは最も安全です。 デバイスに任意のレベルの脅威があると検出された場合、非準拠として評価されます。
    • - 低レベルの脅威のみが存在する場合、デバイスは準拠していると評価されます。 低レベルより高い脅威が存在する場合、デバイスは非準拠状態になります。
    • - デバイス上の既存の脅威のレベルが低または中レベルの場合、デバイスは準拠していると評価されます。 デバイスに高レベルの脅威があることが検出された場合、非準拠であると判断されます。
    • [高] - このオプションは最も安全性が低く、すべての脅威レベルを許可します。 このソリューションをレポートの目的のみに使用している場合に役立つ場合があります。

    防御脅威サービスとして Microsoft Defender for Endpoint を設定するには、「条件付きアクセスで Microsoft Defender for Endpoint を有効にする」を参照してください。

Linux 用 Windows サブシステム

このセクションの設定には、Linux 用 Windows サブシステム (WSL) プラグインが必要です。 詳細については、「Linux 用 Windows サブシステム」のコンプライアンスの評価を参照してください。

[許可されている Linux ディストリビューションとバージョン] に、少なくとも 1 つの Linux ディストリビューション名を入力します。 必要に応じて、最小または最大の OS バージョンを入力します。

注:

入力した配布名とバージョンは、コンプライアンス ポリシーに次のように影響します。

  • 配布が指定されていない場合は、すべての配布が許可されます。 これは既定の動作です。
  • ディストリビューション名のみを指定する場合は、そのディストリビューションのすべてのインストール バージョンが許可されます。
  • 配布名と最小 OS バージョンが指定された場合、指定された名前と最小バージョン以降のインストール済みすべてのディストリビューションが許可されます。
  • ディストリビューション名と最大 OS バージョンが指定された場合、指定された名前と最大バージョン以前を持つインストール済みのすべてのディストリビューションが許可されます。
  • ディストリビューション名、最小 OS バージョン、および最大 OS バージョンが指定されている場合、指定された範囲内のインストールされているすべてのディストリビューションと OS バージョンが許可されます。

Windows Holographic for Business

Windows Holographic for Business では、Windows 10 以降のプラットフォームが使用されます。 Windows Holographic for Business では、次の設定がサポートされています。

  • システム セキュリティ>暗号化>デバイス上のデータ ストレージの暗号化

Microsoft HoloLens でデバイスの暗号化を確認するには、「デバイスの暗号化を確認する」を参照してください。

Surface Hub

Surface Hub では、Windows 10 以降のプラットフォームが使用されます。 Surface Hub は、コンプライアンスと条件付きアクセスの両方でサポートされています。 Surface Hub でこれらの機能を有効にするには、Intune で Windows 自動登録を有効にし (Microsoft Entra ID が必要)、Surface Hub デバイスをデバイス グループとして対象とすることをお勧めします。 Surface Hub は、コンプライアンスのために Microsoft Entra に参加し、条件付きアクセスが機能する必要があります。

ガイダンスについては、「 Windows デバイスの登録の設定」を参照してください。

Windows Team OS を実行している Surface Hub での特別な考慮事項:
現時点では、Windows Team OS を実行する Surface Hub は、Microsoft Defender for Endpoint およびパスワード コンプライアンス ポリシーをサポートしていません。 そのため、Windows Team OS を実行する Surface Hub の場合は、次の 2 つの設定を既定の [未構成] に設定します。

  • カテゴリ [パスワード] で、[ モバイル デバイスのロックを解除するためにパスワードを要求する] を既定の [未 構成] に設定します。

  • [Microsoft Defender for Endpoint] カテゴリで、[デバイスをマシン リスク スコア以下にする必要がある] を既定の [未構成] に設定します。

次の手順