organizationへのアクセスを保護することは、重要なセキュリティステップです。 この記事では、Microsoft Intune ロールベースのアクセス制御 (RBAC) の使用に関する基本的な詳細について説明します。これは、Microsoft Entra ID RBAC 制御の拡張機能です。 それ以降の記事は、organization に Intune RBAC を展開するのに役立ちます。
Intune RBAC を使用すると、管理者に詳細なアクセス許可を付与して、organizationのリソースにアクセスできるユーザーと、それらのリソースで実行できる操作を制御できます。 Intune RBAC ロールを割り当て、最小特権アクセスの原則に従うと、管理者は、管理を許可する必要があるユーザーとデバイスに対してのみ、割り当てられたタスクを実行できます。
RBAC ロール
各 Intune RBAC ロールは、そのロールに割り当てられたユーザーが使用できるアクセス許可のセットを指定します。 アクセス許可は、 デバイス構成 や 監査データなどの 1 つ以上の管理カテゴリと、 読み取り、 書き込み、 更新、 削除などの実行できるアクションのセットで構成されます。 これらは一緒に、Intune 内の管理アクセスとアクセス許可の範囲を定義します。
Intune には、組み込みロールとカスタム ロールの両方が含まれます。 組み込みロールはすべてのテナントで同じであり、一般的な管理シナリオに対処するために提供されますが、作成したカスタム ロールでは、管理者の必要に応じて特定のアクセス許可が許可されます。さらに、いくつかの Microsoft Entra ロールには、Intune 内のアクセス許可が含まれています。
Intune 管理センターでロールを表示するには、[テナント管理]>ロール>すべてのロール> に移動し、ロールを選択します。 その後、次のページからそのロールを管理できます。
- プロパティ: ロールの名前、説明、アクセス許可、およびスコープのタグ。 このドキュメントで、組み込みロールの名前、説明、およびアクセス許可は、「 組み込みロールのアクセス許可」で確認することもできます。
- 割り当て: ロールの割り当てを選択すると、割り当てに含まれるグループやスコープなど、 そのロール に関する詳細が表示されます。 1 つのロールに複数の割り当てを割り当てることができ、1 人のユーザーが複数の割り当てを受け取ることができます。
注:
2021 年 6 月に、Intune はライセンスのない管理者のサポートを開始しました。 この変更の後に作成されたユーザー アカウントは、ライセンスが割り当てられなくても Intune を管理できます。 この変更前に作成されたアカウントと、ロールに割り当てられた入れ子になったセキュリティ グループ内の管理者アカウントには、Intune を管理するためのライセンスが引き続き必要です。
組み込みの役割
十分なアクセス許可を持つ Intune 管理者は、任意の Intune ロールをユーザーのグループに割り当てることができます。 組み込みロールは、ロールの目的に合った管理タスクを実行するために必要な特定のアクセス許可を付与します。 Intune では、組み込みロールの説明、種類、またはアクセス許可の編集はサポートされていません。
- アプリケーション マネージャー: モバイルとマネージド アプリケーションを管理し、デバイス情報を読み取り、デバイス構成プロファイルを表示することができます。
- エンドポイント特権マネージャー: Intune コンソールでエンドポイント特権管理ポリシーを管理します。
- エンドポイント特権リーダー: エンドポイント特権リーダーは、Intune コンソールでエンドポイント特権管理ポリシーを表示できます。
- エンドポイント セキュリティ マネージャー: セキュリティ ベースライン、デバイス コンプライアンス、条件付きアクセス、Microsoft Defender for Endpoint などのセキュリティとコンプライアンス機能を管理します。
- ヘルプ デスク オペレーター: ユーザーとデバイスに対するリモート タスクを実行し、ユーザーやデバイスにアプリケーションやポリシーを割り当てることができます。
- Intune ロール管理者: Intune のカスタム ロールを管理し、Intune の組み込みロールの割り当てを追加します。 アクセス許可を管理者に割り当てられるのは、Intune ロールだけです。
- ポリシーとプロファイル マネージャー: コンプライアンス ポリシー、構成プロファイル、Apple の登録、企業デバイスの識別子、セキュリティ ベースラインを管理します。
- 読み取り専用オペレーター: ユーザー、デバイス、登録、構成、アプリケーション情報を表示します。 Intune に変更を加えることはできません。
- 学校管理者: 学校の管理者は、Intune for Education でグループのアプリ、設定、デバイスを管理します。 デバイスのリモート ロック、再起動、管理からの廃止など、デバイスに対してリモート アクションを実行できます。
テナントにクラウド PC をサポートする Windows 365 へのサブスクリプションが含まれている場合は、Intune 管理センターに次のクラウド PC ロールも表示されます。 これらのロールは既定では使用できず、クラウド PC に関連するタスクに対する Intune 内のアクセス許可が含まれます。 これらの役割の詳細については、Windows 365 ドキュメントの「クラウド PC の組み込みの役割」を参照してください。
- クラウド PC 管理者: クラウド PC 管理者は、クラウド PC 領域内にあるすべてのクラウド PC 機能に対する 読み取り および 書き込み アクセス権を持ちます。
- クラウド PC リーダー: クラウド PC リーダーは、クラウド PC 領域内にあるすべてのクラウド PC 機能への 読み取り アクセス権を持ちます。
カスタムの役割
独自のカスタム Intune ロールを作成して、タスクに必要な特定のアクセス許可のみを管理者に付与できます。 これらのカスタム ロールには、任意の Intune RBAC アクセス許可を含めることができるため、高度な管理者アクセスと、organization内の最小特権アクセスの原則のサポートが可能になります。
カスタム ロールの作成を参照してください。
Intune アクセスを持つ Microsoft Entra ロール
Intune RBAC アクセス許可は、Microsoft Entra RBAC アクセス許可のサブセットです。 サブセットとして、Intune 内のアクセス許可を含むいくつかの Microsoft Entra ロールがあります。 IntuneにアクセスできるほとんどのEntra IDロールは、特権ロールと見なされます。 特権ロールの使用と割り当ては制限し、Intune 内の日常的な管理タスクには使用しないでください。
Microsoft では、管理者が職務を遂行するために必要な最小限のアクセス許可のみを割り当てることで、最小限のアクセス許可の原則に従うことをお勧めします。 この原則をサポートするには、日常の Intune 管理タスクに Intune の組み込み RBAC ロールを使用し、Intune にアクセスできる Microsoft Entra ロールを使用しないようにします。
次の表に、Intune にアクセスできる Microsoft Entra ロールと、それらに含まれる Intune アクセス許可を示します。
| Microsoft Entra ロール | すべての Intune データ | Intune の監査データ |
|---|---|---|
グローバル管理者 
|
読み取り/書き込み | 読み取り/書き込み |
| Intune 管理者
|
読み取り/書き込み | 読み取り/書き込み |
| 条件付きアクセス管理者
|
なし | なし |
| セキュリティ管理者
|
読み取り専用 (エンドポイント セキュリティ ノードの完全な管理アクセス許可) | 読み取りのみ |
| セキュリティ オペレーター
|
読み取りのみ | 読み取りのみ |
| セキュリティ閲覧者
|
読み取りのみ | 読み取りのみ |
| コンプライアンス管理者 | なし | 読み取りのみ |
| コンプライアンス データ管理者 | なし | 読み取りのみ |
| グローバル閲覧者
|
読み取り専用 | 読み取り専用 |
| ヘルプデスク管理者
(このロールは Intune ヘルプ デスク オペレーターのロールと同等) |
読み取り専用 | 読み取り専用 |
| レポート閲覧者 | なし | 読み取り専用 |
Intune 内のアクセス許可を持つ Microsoft Entra ロールに加えて、Intune の次の 3 つの領域 (ユーザー、グループ、条件付きアクセス) は Microsoft Entra の直接拡張機能です。 これらのオブジェクトのインスタンスと、Intune 内から作成された構成は、Microsoft Entra に存在します。 Microsoft Entra オブジェクトとして、Microsoft Entra ロールによって付与された十分なアクセス許可を持つ Microsoft Entra 管理者が管理できます。 同様に、Intune の十分なアクセス許可を持つ Intune 管理者は、Microsoft Entra で作成されたこれらのオブジェクトの種類を表示および管理できます。
グローバル管理者ロールと Intune 管理者ロール
グローバル管理者ロールは Microsoft Entra の組み込みロールであり、Microsoft Intune へのフル アクセスが可能です。 グローバル管理者は、Microsoft Intune など、Microsoft Entra ID の管理機能や Microsoft Entra ID を使用するサービスにアクセスできます。
リスクを軽減するには:
Intune でグローバル管理者の役割を使用しないでください。 Microsoft では、グローバル管理者ロールを使用して Intune を管理または管理することはお勧めしません。
Intune には、一部の Mobile Threat Defense (MTD) コネクタなど、グローバル管理者の役割を必要とする機能がいくつかあります。 このような場合は、必要な場合にのみグローバル管理者ロールを使用し、タスクの完了時に削除してください。
Intune の組み込みロールを使用するか、カスタム ロールを作成して Intune を管理および管理します。
管理者がタスクを実行するために必要な最低特権の Intune ロールを割り当てます。
Microsoft Entra 全体管理者ロールの詳細については、「Microsoft Entra の組み込みロール - グローバル管理者」を参照してください。
Intune 管理者ロールは、Microsoft Entra の組み込みロールです。 これは、Microsoft Intune 全体のグローバル読み取り/書き込みアクセス許可を付与し、特権ロールとして分類されます。 その範囲はグローバル管理者ロールよりも狭いですが、ほぼすべての日常的な Intune 管理タスクに必要な範囲を超えています。 このロールを日常的な管理に使用しないでください。 代わりに、最小特権の組み込み Intune ロールまたはカスタム ロールを使用します。
注:
Microsoft Graph API と Microsoft PowerShell では、このロールは Intune サービス管理者として表示されます。
リスクを軽減するには:
- 日常の Intune 管理には Intune 管理者ロールを使用しないでください。
- 代わりに組み込みの Intune ロールまたはカスタム ロールを割り当てます。 これらのロールは、各タスクに必要な内容のみにアクセス許可を制限します。
- Intune 管理者ロールが必要な場合は、必要な期間だけ割り当ててから削除します。 オプションで、P2 ライセンスまたは Microsoft Entra ID ガバナンス ライセンスを持つ Microsoft Entra ID がある場合は、Privileged Identity Management (PIM) を使用して、このロールに期限付き昇格を提供できます。
強化されたセキュリティ制御:
複数管理承認で、ロールベースのアクセス制御がサポートされるようになりました。 この設定がオンになっている場合、2 番目の管理者がロールの変更を承認する必要があります。 これらの変更には、役割のアクセス許可、管理グループ、またはメンバー グループの割り当ての更新が含まれる場合があります。 変更は承認後にのみ有効になります。 この二重認証プロセスは、承認されていない、または偶発的な役割ベースのアクセス制御の変更からorganizationを保護するのに役立ちます。 詳細については、「Intune でのマルチ管理承認の使用」を参照してください。
Microsoft Entra Intune 管理者ロールの詳細については、「Microsoft Entra 組み込みロール - Intune管理者」を参照してください。
Intune 向け Privileged Identity Management
Entra ID Privileged Identity Management (PIM) を使用すると、ユーザーが Intune RBAC ロールまたは Intune 管理者ロールによって提供される特権を Entra ID から使用できるタイミングを管理できます。
Intune では、ロールを昇格する 2 つの方法がサポートされています。 2 つの方法には、パフォーマンスと最小特権に関する違いがあります。
方法 1: Microsoft Entra の組み込み Intune 管理者ロール用に Microsoft Entra Privileged Identity Management (PIM) を使用して Just-In-Time (JIT) ポリシーを作成し、管理者アカウントを割り当てます。
方法 2: Intune RBAC ロールの割り当てが割り当てられているグループに Privileged Identity Management (PIM) を利用します。 Intune RBAC ロールを持つグループMicrosoft Intune PIM を使用する方法の詳細については、次を参照してください。 Microsoft Entra PIM for Groups を使用した Just-In-Time 管理者アクセスの構成 |Microsoft コミュニティ ハブ
Entra ID から Intune 管理者ロールに PIM 昇格を使用する場合、昇格は通常 10 秒以内に行われます。 Intune の組み込みロールまたはカスタム ロールの PIM グループベースの昇格は、通常、適用されるまでに最大 15 分かかります。
Intune ロールの割り当てについて
Intune カスタム ロールとビルトイン ロールの両方が、ユーザーのグループに割り当てられます。 割り当てられたロールは、グループ内の各ユーザーに適用され、以下を定義します。
- そのロールに割り当てられるユーザー
- 使用できるリソース
- 変更できるリソース
Intune ロールが割り当てられている各グループには、そのロールの管理タスクを実行する権限を持つユーザーのみを含める必要があります。
- 最低特権の組み込みロールが過度の特権またはアクセス許可を付与する場合は、カスタム ロールを使用して管理アクセスの範囲を制限することを検討してください。
- ロールの割り当てを計画するときは、 複数のロールの割り当てを持つユーザーの結果を考慮します。
ユーザーに Intune ロールが割り当てられ、Intune を管理するためのアクセス権がある場合、アカウントが 2021 年 6 月以降に Entra で作成された場合は、Intune ライセンスは必要ありません。 2021 年 6 月より前に作成されたアカウントには、Intune を使用するためのライセンスが割り当てられている必要があります。
既存のロールの割り当てを表示するには、[Intune>テナント管理]>ロール>すべてのロール> を選択し、ロール >割り当て>を選択して、割り当てを選択します。 [課題 のプロパティ ] ページで、次の内容を編集できます。
[基本]: 割り当ての名前と説明。
メンバー: メンバーは、ロールの割り当てを作成するときに [管理グループ] ページで構成されるグループです。 一覧表示されている Azure セキュリティ グループ内のすべてのユーザーは、スコープ (グループ) にリストされているユーザーとデバイスを管理するアクセス許可があります。
スコープ (グループ): スコープ (グループ) を使用して、この役割の割り当てを持つ管理者が管理できるユーザーとデバイスのグループを定義します。 このロールの割り当てを持つ管理者ユーザーは、ロールによって付与されたアクセス許可を使用して、ロールの割り当てで定義されたスコープ グループ内のすべてのユーザーまたはデバイスを管理できます。
ヒント
スコープ グループを構成するときは、この役割の割り当てを持つ管理者が管理する必要があるユーザーとデバイスを含むセキュリティ グループのみを選択してアクセスを制限します。 このロールを持つ管理者がすべてのユーザーまたはすべてのデバイスを対象にできないようにするには、[ すべてのユーザーを追加 ] または [ すべてのデバイスを追加] を選択しないでください。
ポリシーやアプリの割り当てなどの割り当てに除外グループを指定する場合は、RBAC 割り当てスコープ グループの 1 つに入れ子にするか、RBAC ロール割り当てにスコープ グループとして個別に一覧表示する必要があります。
スコープ タグ: この役割の割り当てが割り当てられている管理ユーザーは、同じスコープ タグを持つリソースを表示できます。
注:
スコープ タグは、管理者が定義してからロールの割り当てに追加するフリーフォームのテキスト値です。 ロールに追加されたスコープ タグは、ロール自体の可視性を制御します。 ロールの割り当てに追加されたスコープ タグは、ポリシー、アプリ、デバイスなどの Intune オブジェクトの表示を、そのロールの割り当ての管理者のみに制限します。これは、ロールの割り当てに一致する 1 つ以上のスコープ タグが含まれているためです。
複数のロールの割り当て
ユーザーに複数のロールの割り当て、アクセス許可、スコープのタグがある場合は、これらのロールの割り当てが、次のように別のオブジェクトに拡張されます。
- アクセス許可は、2 つ以上のロールが同じオブジェクトにアクセス許可を付与する場合、増分的です。 たとえば、あるロールからの読み取りアクセス許可と別のロールからの読み取り/書き込みアクセス許可を持つユーザーは、読み取り/書き込みの有効なアクセス許可を持っています (両方のロールの割り当てが同じスコープ タグを対象としていると仮定します)。
- アクセス許可とスコープのタグの割り当ては、そのロールの割り当てスコープ (グループ) 内のオブジェクト (ポリシーやアプリなど) にのみ適用されます。 アクセス許可とスコープのタグの割り当ては、他の割り当てで具体的に付与されない限り、他のロールの割り当てのオブジェクトには適用されません。
- その他のアクセス許可 (作成、読み取り、更新、削除など) とスコープのタグは、任意のユーザーの割り当てで、同じ種類のすべてのオブジェクト (すべてのポリシーやすべてのアプリなど) に適用されます。
- 異なる種類のオブジェクト (ポリシーやアプリなど) に対するアクセス許可やスコープのタグが、相互に適用されることはありません。 たとえば、ポリシーの読み取りアクセス許可では、ユーザーの割り当てでアプリへの読み取りアクセス許可は提供されません。
- スコープ タグがない場合、または一部のスコープ タグが異なる割り当てから割り当てられている場合、ユーザーは一部のスコープ タグの一部であるデバイスのみを表示でき、すべてのデバイスを表示することはできません。
注:
管理者に異なるスコープ タグを使用する複数のロールの割り当てがある場合、この動作により、意図したよりも広範なアクセス権が設定される可能性があります。 Intune には、各ロール割り当てのアクセス許可が独自のスコープ タグ コンテキストに含まれるように、アクセス許可の適用方法を変更するオプトイン プレビュー設定が含まれています。 テナントへの影響を評価するための詳細と手順については、「 ロールの割り当て全体でのアクセス許可の動作」を参照してください。
RBAC 割り当ての監視
Intune テナント全体に割り当てられたアクセス許可を監視して理解するために、Intune 管理センターにはいくつかのビューが含まれています。 [ テナント管理>ロール ] に移動し、[ モニター] を展開して、これらのビューにアクセスします。 たとえば、複雑な管理環境では、[管理権限] ビューを使用してアカウントを指定し、その現在の管理者特権の範囲を確認できます。
アクセス許可
[自分のアクセス許可] ノードには、サインインしているユーザーの有効なアクセス許可が表示されます。 このノードを選択すると、アカウントに付与されている現在の Intune RBAC カテゴリとアクセス許可の結合リストが表示されます。 この結合リストには、すべてのロールの割り当てからのすべてのアクセス許可が含まれていますが、それらを提供するロールの割り当てや、それらが割り当てられているグループ メンバーシップによっては含まれません。
アクセス許可によるロール
[ アクセス許可別のロール ] ノードには、各ロールの割り当てによって付与されたアクセス許可のビューが表示されます。 このビューでは、特定の Intune RBAC アクセス許可に関する詳細、どのロールの割り当て、どのグループにその組み合わせを使用できるかを確認できます。
開始するには、Intune アクセス許可を選択し、そのアクセス許可から特定のアクションを選択します。 管理センターには、そのアクセス許可が割り当てられるまでのインスタンスの一覧が表示されます。これには以下が含まれます。
- ロールの表示名: アクセス許可を付与する組み込みまたはカスタムの RBAC ロールの名前。
- ロールの割り当ての表示名: ユーザーのグループにロールを割り当てるロールの割り当ての名前。
- グループ名: そのロールの割り当てを受け取るグループの名前。
管理アクセス許可
[管理アクセス許可] ノードでは、アカウントに現在付与されている特定のアクセス許可を確認できます。
まず、 ユーザー アカウントを指定します。 ユーザーが自分のアカウントに Intune アクセス許可を割り当てている限り、Intune には、[アクセス許可] と [アクション] で識別されるそれらのアクセス許可の完全な一覧が表示されます。
