Microsoft Intune は、デバイスとアプリの管理に役立つクラウドベースのサービスです。 Microsoft Intune が organization にもたらすことができることの詳細については、「Microsoft Intune とは」を参照してください。
この記事では、Intune の展開を開始する手順の概要を説明します。
ヒント
この記事の付属として、Microsoft 365 管理センターにもセットアップ ガイダンスがいくつかあります。 このガイドでは、環境に基づいてエクスペリエンスをカスタマイズします。 この展開ガイドにアクセスするには、Microsoft 365 管理センターの Microsoft Intune セットアップ ガイドに移動し、(少なくとも) グローバル閲覧者でサインインします。 これらの展開ガイドと必要な役割の詳細については、「Microsoft 365 および Office 365 製品の高度な展開ガイド」を参照してください。
開始する前に
Intune 展開の計画に役立てるには、計画ガイドを使用して Microsoft Intune に移行してください。 個人用デバイス、ライセンスに関する考慮事項、ロールアウト計画の作成、ユーザーへの変更の伝達などについて説明します。
次の記事は良いリソースです。
Intune 展開のためのライセンスのニーズおよびその他の前提条件を決定します。 次の一覧に、最も一般的な前提条件の一部を示します。
Intune サブスクリプション: 一部の Microsoft 365 サブスクリプションに含まれています。 また、Microsoft Intune 管理センターにもアクセスできます。これは、デバイス、アプリ、ユーザーを管理するための Web ベースのコンソールです。
Microsoft 365 アプリ: Microsoft 365 に含まれており、Outlook や Teams などの生産性アプリで使用されます。
Microsoft Entra ID: Microsoft Entra ID は、ユーザー、グループ、デバイスの ID 管理に使用されます。 これは Intune サブスクリプションと、場合によっては Microsoft 365 サブスクリプションに付属しています。
Microsoft Entra ID P1 または P2 は追加料金がかかる場合がありますが、条件付きアクセス、多要素認証 (MFA)、動的グループなど、組織で一般的に使用されるより多くの機能が提供されます。
Windows Autopilot: 一部の Microsoft 365 サブスクリプションに含まれています。 Windows Autopilot は、現在サポートされているバージョンの Windows クライアント デバイス向けの最新の OS 展開を提供します。
プラットフォーム固有の前提条件: デバイスのプラットフォームによっては、他の要件があります。
たとえば、iOS/iPadOS と macOS デバイスを管理している場合は、Apple MDM プッシュ証明書と、場合によっては Apple トークンが必要です。 Android デバイスを管理している場合は、管理対象の Google Play アカウントが必要になる場合があります。 証明書認証を使用する場合は、SCEP 証明書または PKCS 証明書が必要になる場合があります。
詳細については、次を参照してください:
Microsoft Intune の展開と管理を正常に行うために必要なネットワーク エンドポイントを確認および決定します。 管理対象デバイスと Intune サービス間の通信を許可するように構成する必要がある IP アドレス、ポート設定、ドメイン名を確認します。
手順 1 - Intune を設定する
この手順の内容:
デバイスがサポートされていることを確認し、Intune テナントを作成し、ユーザー & グループを追加し、ライセンスを割り当てます。
この手順では、Intune を設定し、ユーザー ID、アプリ、デバイスを管理できるように準備することに焦点を当てます。 Intune は、ドメイン、ユーザー、グループなど、Microsoft Entra ID の多くの機能を使用します。
詳細については、「手順 1 - Microsoft Intune を設定する」を参照してください。
手順 2 - アプリを追加して保護する
この手順の内容:
Intune に登録するデバイスで、デバイスに必要なアプリのベースラインを作成し、登録時にこれらのアプリ ポリシーを割り当てます。 追加のセキュリティが必要なアプリでは、アプリ保護ポリシーも使用します。
Intune に登録しないデバイスでは、アプリ保護ポリシーと多要素認証 (MFA) を使用します。
- アプリ保護ポリシーは、個人のデバイス上の organization データの保護に役立ちます。
- MFA は、organizationのデータを未承認のアクセスから保護するのに役立ちます。
詳細については、「ステップ 2 - Intune を使用してアプリを追加、構成、保護する」を参照してください。
すべての organization には、デバイスにインストールする必要があるアプリの基本セットがあります。 ユーザーがデバイスを登録する前に、Intune を使用してこれらのアプリをデバイスに割り当てることができます。 登録中に、アプリ ポリシーが自動的に展開されます。 登録が完了すると、アプリがインストールされ、使用できるようになります。
必要に応じて、デバイスを登録し、アプリを割り当てることができます。 あなたの好みで選択できます。 次回ユーザーが新しいアプリをチェックすると、利用可能な新しいアプリが表示されます。
自分の個人用デバイスを使用するユーザーが organization リソースにアクセスする場合は、少なくとも、モバイル アプリケーション管理 (MAM) を使用して、organization データにアクセスするすべてのアプリを保護する必要があります。 Outlook、Teams、SharePoint、その他のアプリの MAM ポリシーを作成できます。 Microsoft Intune 計画ガイドには、個人用デバイスの管理に関するいくつかのガイダンスがあります。
注:
MFA は Microsoft Entra テナントで有効にする必要がある Microsoft Entra ID の機能です。 次に、アプリの MFA を構成します。 詳細については、次を参照してください:
手順 3 - コンプライアンスを確認し、条件付きアクセスを有効にする
この手順の内容:
デバイスに必要なコンプライアンス ポリシーのベースラインを作成し、登録時にこれらのコンプライアンス ポリシーを割り当てます。
条件付きアクセスを有効にし て、コンプライアンス ポリシーを適用します。
詳細については、「 手順 3 - コンプライアンス ポリシーを計画する」を参照してください。
Intune などの MDM ソリューションでは、デバイスが満たす必要があるルールを設定し、これらのルールのコンプライアンス状態を報告できます。 これらのルールは、コンプライアンス ポリシーと呼ばれます。 コンプライアンス ポリシーと条件付きアクセスを組み合わせると、デバイスが organization のデータにアクセスする前に、特定のセキュリティ要件を満たしていることを要求できます。
ユーザーが Intune にデバイスを登録すると、登録プロセスでコンプライアンス ポリシーが自動的に展開されます。 登録が完了すると、管理者はコンプライアンス状態をチェックし、ルールを満たしていないデバイスの一覧を取得できます。
必要に応じて、コンプライアンスを確認する前にデバイスを登録できます。 あなたの好みで選択できます。 次のIntune チェック時に、コンプライアンス ポリシーが割り当てられます。
注:
条件付きアクセスは、Microsoft Entra テナントで有効にする必要がある Microsoft Entra ID の機能です。 次に、ユーザー ID、アプリ、デバイスの条件付きアクセス ポリシーを作成できます。 詳細については、次を参照してください:
手順 4 - デバイス機能を構成する
この手順の内容:
有効またはブロックするセキュリティ機能とデバイス機能のベースラインを作成します。 登録時にこれらのプロファイルを割り当てます。
詳細については、「手順 4 - デバイス構成プロファイルを作成してデバイスをセキュリティで保護し、organization リソースにアクセスする」を参照してください。
organization には、構成またはブロックする必要があるデバイスとセキュリティ機能の基本セットがあります。 これらの設定は、デバイス構成プロファイルとエンドポイント セキュリティ プロファイルに追加されます。 Microsoft では、登録時に主要なセキュリティ ポリシーとデバイス構成ポリシーを割り当てることをお勧めします。 登録を開始すると、デバイス構成プロファイルが自動的に割り当てられます。 登録が完了すると、これらのデバイスおよびセキュリティ機能が構成されます。
必要に応じて、構成プロファイルを作成する前にデバイスを登録できます。 あなたの好みで選択できます。 次のIntune チェック時に、プロファイルが割り当てられます。
Microsoft Intune 管理センターでは、デバイス プラットフォーム (Android、iOS/iPadOS、macOS、Windows) に基づいてさまざまなプロファイルを作成できます。
次の記事は良いリソースです。
- デバイス プロファイルを使用してデバイスに機能と設定を適用する
- 設定カタログを使用して設定を構成する
- Microsoft Intune でエンドポイント セキュリティの管理
- Windows セキュリティ ベースライン
手順 5 - デバイスを登録する
この手順の内容:
Intune にデバイスを登録します。
詳細については、「手順 5 - 登録ガイダンス: Microsoft Intune にデバイスを登録する」を参照してください。
デバイスを完全に管理するには、作成した条件付きアクセス ポリシー、アプリ ポリシー、デバイス構成ポリシー、およびセキュリティ ポリシーのコンプライアンス & を受け取るために、デバイスを Intune に登録する必要があります。 管理者は、ユーザーとデバイスの登録ポリシーを作成します。 各デバイス プラットフォーム (Android、iOS/iPadOS、Linux、macOS、Windows) には、登録オプションが異なります。 環境、シナリオ、デバイスの使用方法に最適なものを選択します。
選択した登録オプションに応じて、ユーザーは自分で登録できます。 または、ユーザーが organization アカウントを使用してデバイスにサインインするだけで済みるように、登録を自動化することもできます。
デバイスが登録されると、セキュリティで保護された MDM 証明書がデバイスに発行されます。 この証明書は Intune サービスと通信します。
プラットフォームが異なれば、登録要件も異なります。 プラットフォーム固有のガイダンスなど、デバイス登録の詳細について学ぶには、次の記事が役立ちます。
Configuration Manager を使用したクラウド アタッチ
Microsoft Configuration Manager は、オンプレミスの Windows Server、デバイス、アプリ、データを保護するのに役立ちます。 クラウドとオンプレミスのエンドポイントの組み合わせを管理する必要がある場合は、Configuration Manager 環境を Intune にクラウド接続できます。
Configuration Manager を使用する場合、オンプレミス デバイスをクラウド接続するには 2 つの手順があります。
テナントのアタッチ: Intune テナントを Configuration Manager 展開に登録します。 お使いの Configuration Manager デバイスは Microsoft Intune 管理センターに表示されます。 これらのデバイスでは、アプリのインストールや Web ベースの Intune 管理センターを使用した Windows PowerShell スクリプトの実行など、さまざまなアクションを実行できます。
共同管理: Configuration Manager と Microsoft Intune を使用して Windows クライアント デバイスを管理します。 Configuration Manager は一部のワークロードを管理し、Intune は他のワークロードを管理します。
たとえば、Configuration Manager を使用して Windows 更新プログラムを管理し、Intune を使用して条件付きアクセス ポリシー & コンプライアンスを管理できます。
現在 Configuration Manager を使用している場合は、テナントのアタッチを通じてすぐに価値が得られ、共同管理によってより多くの価値が得られます。
organization に適した Microsoft Intune のセットアップに関するガイダンスについては、「展開ガイド: Microsoft Intune のセットアップまたは移動」を参照してください。