手順 4 - デバイスの機能と設定を構成して、デバイスをセキュリティで保護し、リソースにアクセスする

ここまでで、Intune サブスクリプションを設定し、アプリ保護ポリシーを作成し、デバイス コンプライアンス ポリシーを作成しました。

この手順では、すべてのデバイスに必要なセキュリティ機能とデバイス機能の最小セットまたはベースライン セットを構成する準備ができました。

この記事は、次の項目に適用されます:

• Android
• iOS/iPadOS
• macOS
• Windows

デバイス構成プロファイルを作成するときに、さまざまなレベルと種類のポリシーから選択できます。 これらのレベルは、Microsoft が推奨するポリシーの最小値です。 環境とビジネス ニーズは異なる場合があることを理解してください。

• レベル 1 - 最小デバイス構成: このレベルでは、次のようなポリシーを作成することをお勧めします:

  • ウイルス対策ソフトウェアのインストール、強力なパスワード ポリシーの作成、ソフトウェア更新プログラムの定期的なインストールなど、デバイスのセキュリティに重点を置きます。
  • ユーザーがどこにいても、organizationのメールにアクセスできるようにし、ネットワークへの制御された安全なアクセスを付与します。

• レベル 2 - 拡張デバイス構成: このレベルでは、次のようなポリシーを作成することをお勧めします:

  • ディスク暗号化の構成、セキュア ブートの有効化、パスワード ルールの追加など、デバイスのセキュリティを拡張します。
  • 組み込みの機能とテンプレートを使用して、オンプレミスのグループ ポリシー オブジェクト (GPO) の分析など、organization にとって重要なその他の設定を構成します。

• レベル 3 - 高デバイス構成: このレベルでは、次のようなポリシーを作成することをお勧めします:

  • パスワードレス認証に移行します。これには、証明書の使用、アプリへのシングル サインオン (SSO) の構成、多要素認証 (MFA) の有効化、Microsoft Tunnel の構成が含まれます。
  • Android 共通基準モードを使用するか、Windows デバイス用の DFCI ポリシーを作成して、セキュリティ層を追加します。
  • 組み込み機能を使用して、キオスク デバイス、専用デバイス、共有デバイス、およびその他の特殊なデバイスを構成します。
  • 既存のシェル スクリプトを配置します。

この記事では、組織が使用する必要があるさまざまなレベルのデバイス構成ポリシーの一覧を示します。 これらのポリシーのほとんどは、organization リソースへのアクセスとセキュリティに重点を置いています。

これらの機能は、Microsoft Intune 管理センターのデバイス構成プロファイルで構成します。 Intune プロファイルの準備ができたら、ユーザーとデバイスに割り当てます。

レベル 1 - セキュリティ ベースラインの作成

organizationのデータとデバイスのセキュリティを維持するために、セキュリティに重点を置いたさまざまなポリシーを作成します。 すべてのユーザーとデバイスに必要なセキュリティ機能の一覧を作成します。 この一覧は、セキュリティ ベースラインです。

ベースラインには、少なくとも次のセキュリティ ポリシーを含めます。

• ウイルス対策 (AV) ソフトウェアをインストールし、マルウェアを定期的にスキャンします。
• 検出と応答を使用します。
• ファイアウォールを有効にします。
• ソフトウェア更新プログラムを定期的にインストールします。
• 強力な PIN またはパスワード ポリシーを作成します。

このセクションでは、これらのセキュリティ ポリシーの作成に使用できる Intune および Microsoft のサービスについて説明します。

Windows 設定とその推奨値の詳細な一覧については、「 Windows セキュリティ ベースライン」を参照してください。

ウイルス対策とスキャン

ウイルス対策ソフトウェアをインストールし、マルウェアを定期的にスキャンする

すべてのデバイスにウイルス対策ソフトウェアをインストールし、マルウェアを定期的にスキャンします。 Intune は、AV および脅威スキャンを提供するサード パーティ製パートナーの Mobile Threat Defense (MTD) サービスと統合されます。 ウイルス対策とスキャンは、Microsoft Defender for Endpoint を使用して Intune に組み込まれています。

ポリシー オプション:

検出と応答

攻撃を検出し、これらの脅威に対処する

脅威を迅速に検出すると、脅威の影響を最小限に抑えることができます。 これらのポリシーを条件付きアクセスと組み合わせると、脅威が検出された場合にユーザーとデバイスが organization リソースにアクセスできないようにブロックできます。

ポリシー オプション:

ファイアウォール

すべてのデバイスでファイアウォールを有効にする

一部のプラットフォームにはファイアウォールが組み込まれています。 他のプラットフォームでは、ファイアウォールを別途インストールする必要がある場合があります。 Intune は、Android および iOS/iPadOS デバイスのファイアウォールを管理できるサード パーティ製パートナーの Mobile Threat Defense (MTD) サービスと統合されています。 macOS と Windows の場合、Intune には Microsoft Defender for Endpoint によるファイアウォール セキュリティが組み込まれています。

ポリシー オプション:

パスワード ポリシー

強力なパスワードまたは PIN ポリシーを作成して単純なパスコードをブロックする

PIN は、デバイスのロックを解除します。 個人所有のデバイスを含む organization データにアクセスするデバイスでは、強力な PIN またはパスコードが必要であり、デバイスのロックを解除するには生体認証がサポートされています。 生体認証の使用はパスワードレスアプローチの一部であり、推奨されます。

Intune の設定カタログおよびデバイス制限テンプレート プロファイルを使用して、パスワード要件を作成および構成します。

ポリシー オプション:

ソフトウェア更新プログラム

ソフトウェア更新プログラムを定期的にインストールする

すべてのデバイスを定期的に更新し、これらの更新プログラムが正常にインストールされるようにするポリシーを作成します。 ほとんどのプラットフォームの場合、Intune には更新プログラムの管理とインストールに重点を置いたポリシー設定があります。

ポリシー オプション:

レベル 1 - organizationメールへのアクセス、VPN または Wi-Fi への接続

このセクションでは、organization 内のリソースへのアクセスについて説明します。 これらのリソースは次のとおりです。

• 職場または学校アカウントの Email
• リモート接続用の VPN 接続
• オンプレミス接続用の Wi-Fi 接続

電子メール

多くの組織では、事前構成済みの設定を使用してメール プロファイルをユーザー デバイスに展開しています。

ユーザーの電子メール アカウントに自動的に接続する

プロファイルには、メール サーバーに接続するメールの構成設定が含まれています。

構成した設定に応じて、電子メール プロファイルでユーザーを個々の電子メール アカウントの設定に自動的に接続することもできます。

エンタープライズ レベルのメール アプリを使用する

Intune の Email プロファイルでは、Outlook などの一般的で一般的なメール アプリが使用されます。 メール アプリがユーザー デバイスに展開されます。 アプリが展開されたら、メール アプリを構成する設定を使用してメール デバイス構成プロファイルを展開します。

電子メール デバイス構成プロファイルには、Exchange に接続する設定が含まれています。

職場または学校のメールにアクセスする

メール プロファイルの作成は、デバイスでメールを使用するユーザーがいる組織にとって一般的な最小ベースライン ポリシーです。

Intune には、Android、iOS/iPadOS、Windows クライアント デバイス用のメール設定が組み込まれています。 ユーザーがメール アプリを開くと、デバイス上で組織のメール アカウントを自動的に接続、認証、同期できます。

いつでもデプロイ可能

新しいデバイスでは、登録プロセス中にメール アプリを展開します。 登録が完了したら、電子メール デバイス構成ポリシーを展開します。

既存のデバイスがある場合は、いつでもメール アプリを展開できます。 次に、電子メール デバイス構成ポリシーを展開します。

メール プロファイルの使用を開始する

次の手順をお試しください。

1. メール アプリをデバイスに展開します。 ガイダンスについては、「Intune を使用してデバイスにメール設定を追加する」を参照してください。

2. Intune で電子メール デバイス構成プロファイルを作成します。 organization が使用するメール アプリによっては、メール デバイス構成プロファイルが必要ない場合があります。

   ガイダンスについては、「Intune を使用してデバイスにメール設定を追加する」を参照してください。

3. 電子メール デバイス構成プロファイルで、プラットフォームの設定を構成します。

   • 仕事用プロファイルのメール設定が設定された Android Enterprise の個人所有のデバイス

     Android Enterprise organization が所有するデバイスでは、電子メール デバイス構成プロファイルは使用されません。

   • iOS/iPadOS のメール設定

   • Windows のメール設定

4. 電子メール デバイス構成プロファイルを ユーザーまたはユーザー グループに割り当てます。

VPN

多くの組織では、事前構成済みの設定を使用して VPN プロファイルをユーザー デバイスに展開しています。 VPN は、デバイスを内部の organization network に接続します。

organizationで先進認証とセキュリティで保護された ID を備えたクラウド サービスを使用している場合は、VPN プロファイルは必要ない可能性があります。 クラウドネイティブ サービスでは VPN 接続は必要ありません。

アプリまたはサービスがクラウドベースでない場合、またはクラウドネイティブでない場合は、VPN プロファイルを展開して内部の organization network に接続します。

場所を問わず作業する

VPN プロファイルの作成は、リモート ワーカーとハイブリッド ワーカーを抱える組織に共通する最小ベースライン ポリシーです。

ユーザーはどこからでも作業できるため、VPN プロファイルを使用してorganizationのネットワークに安全に接続し、リソースにアクセスできます。

Intune には、Android、iOS/iPadOS、macOS、Windows クライアント デバイス用の組み込みの VPN 設定があります。 ユーザー デバイスでは、VPN 接続は利用可能な接続として表示されます。 ユーザーが選択します。 また、VPN プロファイルの設定に応じて、ユーザーは自分のデバイスで自動的に認証して VPN に接続できます。

エンタープライズ レベルの VPN アプリを使用する

Intune の VPN プロファイルでは、Check Point、Cisco、Microsoft Tunnel などの一般的なエンタープライズ VPN アプリが使用されます。 VPN アプリがユーザーのデバイスに展開されます。 アプリが展開されたら、VPN アプリを構成する設定を使用して VPN 接続プロファイルを展開します。

VPN デバイス構成プロファイルには、VPN サーバーに接続する設定が含まれています。

いつでもデプロイ可能

新しいデバイスでは、登録プロセス中に VPN アプリを展開します。 登録が完了したら、VPN デバイス構成ポリシーを展開します。

既存のデバイスがある場合は、いつでも VPN アプリを展開してから、VPN デバイス構成ポリシーを展開します。

VPN プロファイルの使用を開始する

次の手順をお試しください。

1. VPN アプリをデバイスに展開します。

   • サポートされている VPN アプリの一覧については、「Intune でサポートされている VPN 接続アプリ」を参照してください。
   • Intune にアプリを追加する手順については、「Microsoft Intune にアプリを追加する」を参照してください。

2. Intune で VPN 構成プロファイルを作成します。

3. VPN デバイス構成プロファイルで、プラットフォームの設定を構成します:

   • Android Enterprise VPN の設定
   • iOS/iPadOS VPN の設定
   • macOS VPN の設定
   • Windows VPN の設定

4. VPN デバイスの構成プロファイルを ユーザーまたはユーザー グループに割り当てます。

Wi-Fi

多くの組織では、事前構成済みの設定を使用して Wi-Fi プロファイルをユーザー デバイスに展開しています。 organizationにリモート専用の従業員がいる場合は、Wi-Fi 接続プロファイルを展開する必要はありません。 Wi-Fi プロファイルはオプションであり、オンプレミス接続に使用されます。

ワイヤレスで接続する

ユーザーはさまざまなモバイル デバイスから作業しているため、Wi-Fi プロファイルを使用して、organizationのネットワークにワイヤレスで安全に接続できます。

プロファイルには、ネットワークや SSID (サービス セット識別子) に自動的に接続する Wi-Fi 構成設定が含まれています。 ユーザーは Wi-Fi 設定を手動で構成する必要はありません。

オンプレミスでモバイル デバイスをサポートする

Wi-Fi プロファイルの作成は、オンプレミスで動作するモバイル デバイスを使用する組織に共通する最小ベースライン ポリシーです。

Intuneには、Android、iOS/iPadOS、macOS、Windows クライアント デバイス用の組み込みの Wi-Fi 設定があります。 ユーザー デバイスでは、Wi-Fi 接続は利用可能な接続として表示されます。 ユーザーが選択します。 また、Wi-Fi プロファイルの設定に応じて、ユーザーは自動的に認証してデバイス上の Wi-Fi に接続できます。

いつでもデプロイ可能

新しいデバイスでは、デバイスが Intune に登録するときに Wi-Fi デバイス構成ポリシーを展開します。

既存のデバイスがある場合は、Wi-Fi デバイス構成ポリシーをいつでも展開できます。

Wi-Fi プロファイルの使用を開始する

次の手順をお試しください。

1. Intune で Wi-Fi デバイス構成プロファイルを作成します。

2. プラットフォームの設定を構成します。

   • Android Enterprise Wi-Fi 設定
   • iOS/iPadOS Wi-Fi 設定
   • macOS Wi-Fi の設定
   • Windows Wi-Fi の設定

3. Wi-Fi デバイス構成プロファイルを ユーザーまたはユーザー グループに割り当てます。

レベル 2 - 保護と構成の強化

このレベルは、レベル 1 で構成した内容を拡張し、デバイスのセキュリティを追加します。 このセクションでは、デバイスのセキュリティ設定をより多く構成するレベル 2 のポリシー セットを作成します。

Microsoft では、次のレベル 2 セキュリティ ポリシーをお勧めします。

• デバイスで ディスク暗号化、セキュア ブート、TPM を有効にします。 これらの機能は、強力な PIN ポリシーまたは生体認証ロック解除と共に使用してください。

  • Android
  • iOS/iPadOS
  • macOS
  • Windows

  Android デバイスでは、オペレーティング システムにディスク暗号化と Samsung Knox が含まれている場合があります。 ロック画面の設定を構成すると、ディスクの暗号化が自動的に有効になる場合があります。この設定は既定で有効および許可されています。

  Intune では、次のことができます。

  • ロック画面を無効にする設定カタログ ポリシーを作成します (推奨しません)。 ロック画面を無効にすると、デバイスは暗号化されません。
  • ロック画面がオンのときに個々の機能を無効にするデバイス制限テンプレート プロファイルを作成します。

  構成できるパスワードとロック画面の設定の一覧については、次を参照してください。

  • フル マネージド デバイスと専用デバイスの Android 設定カタログ設定>デバイス パスワードと仕事用プロファイル パスワード設定
  • 企業所有および個人所有のデバイスの Android デバイス制限テンプレート設定>デバイス パスワードと仕事用プロファイル パスワードの設定

• パスワードを期限切れにし、古いパスワードの再利用を規制します。 レベル 1 で、強力な PIN またはパスワード ポリシーを作成しました。 まだ設定していない場合は、PIN とパスワードの有効期限が切れるように構成し、パスワードの再利用ルールをいくつか設定してください。

  Intune を使用して、これらの設定を構成する設定カタログ ポリシーまたはデバイス制限テンプレートを作成します。 構成できるパスワード設定の詳細については、次の記事を参照してください。

  • Android
  • iOS/iPadOS
  • macOS
  • Windows

  Android デバイスでは、設定カタログ ポリシーまたはデバイス制限テンプレート プロファイルを使用してパスワード ルールを設定します。 構成できるパスワードとロック画面の設定の一覧については、次を参照してください。

  • フル マネージド デバイスと専用デバイスの Android 設定カタログ設定>デバイス パスワードと仕事用プロファイルのパスワード設定を確認します。
  • 企業所有および個人所有のデバイスの Android デバイス制限テンプレート設定>デバイス パスワードと仕事用プロファイルのパスワードの設定を確認します。

• Intune には、内蔵カメラの無効化、通知の制御、Bluetooth の許可、ゲームのブロックなど、デバイスの機能と設定を管理できる数百の設定が含まれています。

  設定カタログまたは組み込みテンプレートを使用して、設定を表示し、構成します。

  • 設定カタログを使う と、使用可能なすべての設定を表示し、構成できます。 設定カタログは、次のプラットフォームで使用できます。

    • Android
    • iOS/iPadOS
    • macOS
    • Windows

  • デバイス制限テンプレートは 、セキュリティ、ハードウェア、データ共有など、デバイスのさまざまな部分を制御するために使用できる組み込み設定の論理グループです。

    次のプラットフォームで次のテンプレートを使用します。

    • Android
    • iOS/iPadOS
    • macOS
    • Windows

• オンプレミスの GPO を使用していて、これらの同じ設定が Intune で使用できるかどうかを確認する場合は、グループ ポリシー分析を使用します。 この機能は GPO を分析し、分析に応じて、Intune 設定カタログ ポリシーにインポートできます。

  詳細については、「オンプレミスの GPO を分析し、Intune にインポートする」を参照してください。

レベル 3 - 高度な保護と構成

このレベルは、レベル 1 とレベル 2 で構成した内容を拡張します。 エンタープライズ レベルの組織で使用される追加のセキュリティ機能が追加されます。

• パスワードレス認証を 従業員が使用する他のサービスに拡張します。 レベル 1 では、ユーザーが指紋または顔認識を使用してデバイスにサインインできるように生体認証を有効にしました。 このレベルでは、パスワードレスをorganizationの他の部分に拡張します。

  • 証明書を使用して、電子メール、VPN、Wi-Fi 接続を認証します。 証明書をユーザーとデバイスに展開し、それらを使用して、メール、VPN、Wi-Fi 接続を通じてorganization内のリソースにアクセスします。

    Intune での証明書の使用の詳細については、次を参照してください。

    • 認証に PKCS 証明書または SCEP 証明書を使用する
    • 派生した資格情報を使用する

  • シングル サインオン (SSO) を構成して、 ユーザーが Microsoft 365 Apps などのビジネス アプリを開くときに、よりシームレスなエクスペリエンスを実現します。 ユーザーは 1 回サインインすると、SSO 構成をサポートするすべてのアプリに自動的にサインインされます。

    Intune および Microsoft Entra ID での SSO の使用の詳細については、次を参照してください。

    • Android
    • iOS/iPadOS
    • macOS
    • Windows

    Microsoft Entra ID の機能である Microsoft 認証ライブラリ (MSAL) を使用します。 アプリケーション全体で SSO を有効にし、ブローカーとして機能するため、デバイス全体に SSO を拡張できます。

    • Microsoft Entra ID で MSAL を使用して Android でアプリ間 SSO を有効にする

  ---

  • 多要素認証 (MFA) を使用する。 パスワードレスに移行すると、MFA によってセキュリティ層が追加され、フィッシング攻撃からorganizationを保護するのに役立ちます。 Microsoft Authenticator などの認証アプリ、または電話やテキスト メッセージで MFA を使用します。 ユーザーが Intune にデバイスを登録するときに MFA を使用することもできます。

    多要素認証は Microsoft Entra ID の機能であり、Microsoft Entra アカウントで使用できます。 詳細については、以下を参照してください:

    • Microsoft Entra ID 保護 の概要
    • Microsoft Entra 多要素認証
    • Intune デバイス登録に多要素認証が必要

  • 登録済みの Android デバイスと iOS/iPadOS デバイス用に Microsoft トンネルをセットアップします。 Microsoft Tunnel は Linux を使用して、先進認証と条件付きアクセスを使用することで、これらのデバイスがオンプレミス リソースにアクセスできるようにします。

    Microsoft トンネルでは、Intune、Microsoft Entra ID、Active Directory フェデレーション サービス (AD FS) (AD FS) が使用されます。 詳細については、「Microsoft Tunnel for Microsoft Intune」を参照してください。

  • Microsoft Tunnel for Mobile Application Management (Tunnel for MAM) を使用して、Intune に登録されていない Android および iOS/iPad デバイスにトンネル機能を拡張します。 Tunnel for MAM は、Microsoft Intune 以外に追加のライセンスが必要な高度な機能です。

    詳細については、「Microsoft Intune の高度な機能に関するページを参照してください。

• ローカル管理者パスワード ソリューション (LAPS) ポリシーを使用して 、デバイスのローカル管理者アカウントを管理およびバックアップします。

  • macOS
  • Windows

  LAPS は、新規および既存の macOS 自動デバイス登録 (ADE) プロファイルで構成できます。 デバイスは、Intune によって保存および暗号化される強力で暗号化されたランダム化された管理者パスワードを持つローカル管理者アカウントでプロビジョニングされます。

  詳細については、「Intune の macOS LAPS」を参照してください。

• Microsoft Intune エンドポイント特権管理 (EPM) を使用して、Windows デバイスの攻撃対象領域を減らします。 EPMを使用すると、(管理者権限なしで)標準ユーザーとして実行しながら、それらのユーザーが管理者特権のコンテキストでアプリを実行できるタイミングを決定することで、生産性を維持できます。

  EPM 昇格ルールは、ファイル ハッシュ、証明書ルールなどに基づくことができます。 構成する規則は、許可する期待どおり信頼できるアプリケーションのみを管理者特権として実行できるようにするのに役立ちます。 ルールでは次のことができます。

  • アプリが作成する子プロセスを管理します。
  • マネージド プロセスを昇格するためのユーザーによるサポート要求。
  • ユーザーの中断なしに実行するだけでよいファイルの自動昇格を可能にします。

  エンドポイント特権管理は、追加のライセンスを必要とする高度な機能です。 詳細については、「Microsoft Intune の高度な機能に関するページを参照してください。

• 政府機関などの機密性の高い組織で使用される Android デバイスでは、Android 共通基準モードを使用します。

  この機能の詳細については、次の場所で共通基準モードを検索してください。

  • Android の設定カタログ設定
  • Android デバイスの制限テンプレート設定

• ファームウェア レイヤーに適用されるポリシーを作成します。

  • Android
  • Windows

  これらのポリシーは、ファームウェアの更新プログラム (ソフトウェアおよびセキュリティ パッチ、機能更新プログラム、デバイスのファームウェアに対するその他の変更を含む) を管理するのに役立ちます。

  • ファームウェア無線 (FOTA) の更新プログラム
  • Zebra LifeGuard 無線アップデート

• キオスク、共有デバイス、およびその他の特殊なデバイスの構成:

  • Android
  • iOS/iPadOS
  • macOS
  • Windows

  • Android Enterprise:

    • OEMConfig による Android Enterprise デバイスの使用と管理
    • Android デバイスの制限テンプレート設定> デバイス エクスペリエンス

  • Android デバイス管理者

    • Zebra Mobility ExtensionsによるZebraデバイスの使用と管理

    • キオスクとして実行するデバイス設定

      重要

      Android デバイス管理者 (DA) 管理は非推奨となり、Google モバイル サービス (GMS) にアクセスできるデバイスでは使用できなくなりました。 現在 DA 管理を使用している場合は、別の Android 管理オプションに切り替えることをお勧めします。 サポートとヘルプのドキュメントは、GMS のない一部の Android 15 以前のデバイスで引き続き利用できます。 詳細については、「 GMS デバイスでの Android デバイス管理者のサポートの終了」を参照してください。

• シェル スクリプトを配置する:

  • macOS
  • Windows

  シェル スクリプトを使用して、Intune でネイティブに利用できない設定や機能を管理します。 スクリプトの追加、スクリプトの頻度の設定などを行うことができます。

  • シェル スクリプトを使用する

推奨される最小ベースライン ポリシーに従う

この記事は、Microsoft Intune を展開する方法を説明する 5 ステップシリーズの一部です。 このシリーズには、次の記事が順番に含まれています。

1. Microsoft Intune のセットアップ
2. アプリの追加、構成、保護
3. コンプライアンス ポリシーを計画する
4. 🡺 デバイスの機能を構成する (この記事)
5. デバイスを登録する