手順 3 – コンプライアンス ポリシーを計画する

以前は、Intune サブスクリプションを設定し、アプリ保護ポリシーを作成しました。 次に、デバイス コンプライアンスの設定とポリシーを計画して構成し、設定した要件を満たすようにデバイスに要求することで、組織データを保護します。

コンプライアンス ポリシーについてまだ精通していない場合は、「 コンプライアンスの概要」を参照してください。

この記事は、次の項目に適用されます:

• Android Enterprise (完全に管理された、個人所有の仕事用プロファイル)
• Android Open-Source プロジェクト (AOSP)
• iOS/iPadOS
• Linux
• macOS
• Windows

コンプライアンス ポリシーをデバイスまたはユーザーのグループに展開します。 ユーザーに展開すると、ユーザーがサインインするすべてのデバイスがポリシー要件を満たしている必要があります。 コンプライアンス要件の一般的な例を次に示します。

• 最小オペレーティング システム バージョンが必要です。
• 特定の複雑さと長さの要件を満たすパスワードまたは PIN の使用。
• 使用する Mobile Threat Defense ソフトウェアによって判断される 脅威レベル 以下にあるデバイス。 モバイル脅威防御ソフトウェアには、Microsoft Defender for Endpoint または Intune のその他のサポートされているパートナーの 1 つが含まれます。

デバイスがコンプライアンス ポリシーの要件を満たさない場合、そのポリシーは コンプライアンス違反に対して 1 つ以上のアクションを適用できます。 次のようなアクションがあります。

• 非準拠デバイスをリモートでロックする。
• コンプライアンスの問題についてデバイスまたはユーザーに電子メールまたは通知を送信し、デバイス ユーザーがコンプライアンスに戻すことができるようにします。
• 長期間もコンプライアンスに準拠していない状態が続いた場合に、廃止の準備ができている可能性があるデバイスを特定します。 コンプライアンス ポリシーを計画および展開する際には、さまざまなレベルでの推奨事項を通じてコンプライアンス ポリシーにアプローチすると役立ちます。 ほとんどまたはすべてのプラットフォームに共通する最小限のコンプライアンス設定から始めて、より多くの機能を提供するより高度な構成と統合を追加して拡張することをお勧めします。

デバイス プラットフォームが異なれば、サポートされるコンプライアンス機能も異なる場合も、同様の設定に対して異なる名前が使用される場合、各オプションの一覧表示はこの展開計画の範囲外です。 代わりに、次の各レベルについて、カテゴリとそれらのカテゴリ内の設定の例を示します。

• レベル 1 – 最小限のデバイス コンプライアンス。 このカテゴリには、すべてのテナントで使用しておくことが推奨される構成が含まれています。
• レベル 2 – 拡張デバイス コンプライアンス設定。 これには、暗号化やシステム レベルのファイル保護などの一般的なデバイス構成が含まれます。
• レベル 3 – 高度なデバイス コンプライアンス構成。 高レベルの推奨事項には、Microsoft Entra 条件付きアクセスなど、他の製品とのより緊密な統合を必要とする構成が含まれます。

一般に、Microsoft の推奨事項は、プラットフォーム間で共通する重要な構成と見なされる設定を最小限のコンプライアンス レベルで配置し、強力な投資利益率を提供します。 上位レベルの設定をリストアップすると、サードパーティー製品の統合を必要とする設定など、より複雑な設定が含まれる場合があります。 すべての範囲の推奨事項を必ず確認し、organization のニーズと期待に合わせて独自の展開計画を調整する準備をしてください。

次の記事は、Intune ポリシーがネイティブにサポートする設定を理解するのに役立ちます。

• Android デバイス管理者
• Android エンタープライズ
• Android Open-Source プロジェクト (AOSP)
• iOS
• macOS
• Windows

レベル 1 - 最小限のデバイス コンプライアンス

テナント全体のコンプライアンス ポリシー設定を構成する
コンプライアンス違反デバイスへの対応を設定する (コンプライアンス違反に対するアクション)
デバイス コンプライアンス ポリシーとデバイス構成ポリシーの相互作用を理解する
サポートするプラットフォーム全体で、最小限のコンプライアンス設定のコア セットを使用します

最小デバイス コンプライアンス設定には、コンプライアンス ポリシーを使用する予定のすべてのテナントが理解し、使用する準備をする必要がある次の主題が含まれています。

• コンプライアンス ポリシー設定 – Intune コンプライアンス サービスがデバイスでどのように動作するかに影響するテナント全体の設定。
• コンプライアンス違反に対するアクション – これらの構成は、すべてのデバイス コンプライアンス ポリシーに共通です。
• 最小限のデバイス コンプライアンス ポリシーの推奨事項 – このカテゴリには、組織のリソースを安全に保つためにすべてのテナントが実装する必要があると考えられるプラットフォーム固有のデバイス コンプライアンス設定が含まれています。

さらに、デバイス コンプライアンス ポリシーとデバイス構成ポリシーがどのように関連し、相互作用するかを理解しておくことをお勧めします。

コンプライアンス ポリシー設定

すべての組織では、テナント全体の コンプライアンス ポリシー設定を確認して設定する必要があります。 これらの設定は、プラットフォーム固有のポリシーをサポートするための基礎となります。 また、コンプライアンス ポリシーを評価していないデバイスを非準拠としてマークすることもできます。これは、セキュリティの期待を満たさない可能性のある新しいデバイスまたは未知のデバイスからorganizationを保護するのに役立ちます。

• コンプライアンス ポリシー設定は、テナント レベルで行ういくつかの構成であり、すべてのデバイスに適用されます。 これらは、テナントに対して Intune コンプライアンス サービスがどのように機能するかを確立します。
• これらの設定は Microsoft Intune 管理センターで直接構成され、特定のプラットフォーム用に作成し、デバイスまたはユーザーの個別のグループに展開するデバイス コンプライアンス ポリシーとは異なります。

テナント レベルでのコンプライアンス ポリシー設定とその構成方法の詳細については、「 コンプライアンス ポリシー設定」を参照してください。

非準拠のアクション

各デバイス コンプライアンス ポリシーには、 コンプライアンス違反に対するアクションが含まれています。これは、ポリシーのコンプライアンス要件を満たしていないデバイスに適用される 1 つ以上の時間順のアクションです。 既定では、デバイスを非準拠としてマークすることは、各ポリシーに含まれる即時アクションです。

追加するアクションごとに、デバイスが非準拠としてマークされてから、そのアクションが実行されるまでの待機時間を定義します。

構成できるアクションには次のものがありますが、各デバイス プラットフォームですべてが利用できるわけではありません。

• デバイスを非準拠とマーク する (すべてのポリシーの既定のアクション)
• エンド ユーザーにプッシュ通知を送信する
• エンド ユーザーに電子メールを送信する
• 非準拠デバイスをリモートでロックする
• 非準拠デバイスを廃止する

ポリシー管理者は、各アクションで使用できるオプションを理解し、それらを必要とするポリシーを展開する前に、サポート構成を完了する必要があります。 たとえば、[ メールの送信 ] アクションを追加する前に、送信するメッセージを含むメール テンプレートを 1 つ以上作成する必要があります。 このような電子メールには、ユーザーがデバイスをコンプライアンスに準拠させるのに役立つリソースが含まれている場合があります。 後で、ポリシーの電子メール アクションを定義するときに、特定のアクションで使用するテンプレートの 1 つを選択できます。

既定以外の各アクションは、それぞれ個別の構成でポリシーに複数回追加できるため、アクションの適用方法をカスタマイズできます。

たとえば、複数の関連するアクションが連続して実行されるように構成できます。 まず、非準拠になった直後に、Intune からデバイスのユーザー (場合によっては管理者) に電子メールを送信する場合があります。 その後、数日後に 2 回目のアクションを実行すると、デバイスの修復期限に関する詳細を含む別のメール リマインダーが送信される可能性があります。 また、廃止するデバイスの一覧にデバイスをを追加する最終アクションを構成し、デバイスが長期間非準拠の状態が続いた後にのみ実行するようにアクションを設定することもできます。

コンプライアンス ポリシーによってデバイスを非準拠としてマークできますが、非準拠デバイスを修復する方法についての計画も必要です。 この計画には、管理者が非準拠のデバイス状態を使用して、デバイスに対する更新または構成を要求することが含まれる場合があります。 デバイス ユーザーに一般的なガイダンスを提供するために、コンプライアンス違反に関するエンド ユーザーに電子メールを送信する アクションを構成して、デバイス コンプライアンスの問題を解決するための有用なヒントや連絡先を含めることができます。

詳細については、「 コンプライアンス違反に対するアクション」を参照してください。

デバイス コンプライアンス ポリシーとデバイス構成ポリシーの相互作用を理解する

レベル別のコンプライアンス ポリシーの推奨事項について説明する前に、コンプライアンス ポリシーとデバイス構成ポリシーの間の関係が近い場合があることを理解することが重要です。 これらの相互作用を認識することで、両方の機能領域で成功するポリシーをより適切に計画し、展開できます。

• デバイス構成ポリシーは、特定の構成を使用するようにデバイスを構成します。 これらの設定は、デバイスのすべての側面にわたって広範囲に及ぶ可能性があります。
• デバイス コンプライアンス ポリシーは、セキュリティに関連するデバイス構成のサブセットに重点を置いています。

コンプライアンス ポリシーを受け取ったデバイスは、コンプライアンス ポリシーの構成に対して評価され、可能なアクションについて結果が Intune に返されます。 パスワード要件などの一部のコンプライアンス構成では、デバイス構成がより寛大な場合でも、デバイスに適用されます。

デバイスが、異なるポリシーの種類または類似したポリシーの種類の設定に対して競合する構成を受け取ると、競合が発生する可能性があります。 このシナリオに備えるには、「競合するコンプライアンスおよびデバイス構成ポリシー」を参照してください

構成の重複を特定するために、デバイス構成チームとデバイス コンプライアンス チームの間で計画されている構成を同期することを検討してください。 2 つのポリシーの種類が対象デバイスについて同じ構成に同意していることを確認します。これにより、ポリシーの競合や、期待する構成やリソース アクセスを失うデバイスが放置されることを回避できます。

最小限のコンプライアンス設定

テナント全体のコンプライアンス ポリシー設定を確立し、非準拠デバイスに対するアクションに関する通信またはルールを確立したら、デバイス コンプライアンス ポリシーを作成して、デバイスまたはユーザーの個別のグループに展開する準備が整っている可能性があります。

Microsoft Intune 管理センターでプラットフォーム固有のポリシーを確認して、各プラットフォームで使用できるコンプライアンス設定とその使用に関する詳細を確認します。 ポリシーを構成するには、 コンプライアンス ポリシーの作成を参照してください。

最小限のデバイス コンプライアンス ポリシーでは、次の設定を使用することをお勧めします。

レベル 2 - 拡張デバイス コンプライアンス設定

サポートされているプラットフォームの種類に対して拡張デバイス構成ポリシーを使用する

拡張コンプライアンス設定

拡張レベルのコンプライアンス設定のサポートは、最小限の推奨事項にある設定と比較して、プラットフォームによって大きく異なります。 一部のプラットフォームでは、関連するプラットフォームでサポートされている設定をサポートしていない場合があります。 たとえば、Android AOSP には、Android Enterprise プラットフォームがシステム レベルのファイルとブート保護のコンプライアンスを構成するためのオプションがありません。

Microsoft Intune 管理センターでプラットフォーム固有のポリシーを確認して、各プラットフォームで使用できるコンプライアンス設定とその使用に関する詳細を確認します。 ポリシーを構成するには、 コンプライアンス ポリシーの作成を参照してください。

拡張デバイス コンプライアンス ポリシーでは、次の設定を使用することをお勧めします:

レベル 3 - 高度なデバイス コンプライアンス構成

Mobile Threat Defense パートナーからのデータをデバイス コンプライアンス ポリシーに追加する
サード パーティのコンプライアンス パートナーを Intune と統合する
Windows と Linux のカスタム コンプライアンス設定を定義する
条件付きアクセスでコンプライアンス データを使用して、organizationのリソースへのアクセスをゲートする
サポートされているプラットフォームの種類に対して高度なデバイス構成ポリシーを使用する

堅牢なデバイス コンプライアンス ポリシーを設定すると、デバイス コンプライアンス ポリシーの設定を構成するだけでなく、次のような、より高度なコンプライアンス オプションを実装できます:

• Device Compliance Policy の一部として、および条件付きアクセス ポリシーで Mobile Threat Defense パートナー からのデータを使用します。

• デバイスのコンプライアンス状態を 条件付きアクセス と統合して、メール、他のクラウド サービス、またはオンプレミスのリソースへのアクセスを許可するデバイスをゲートします。

• これには、サード パーティのコンプライアンス パートナーからのコンプライアンス データが含まれます。 このような構成を使用すると、それらのデバイスからのコンプライアンス データを 条件付きアクセス ポリシーで使用できます。

• Intune コンプライアンス ポリシー UI ではネイティブに利用できないカスタム コンプライアンス設定を定義することで、組み込みのデバイス コンプライアンス ポリシーを拡張します。

Mobile Threat Defense パートナーからのデータを統合する

Mobile Threat Defense (MTD) ソリューションは、さまざまなサイバー脅威からモバイル デバイスを保護するのに役立つモバイル デバイス用のソフトウェアです。 モバイル デバイスを保護することで、organization とリソースの保護に役立ちます。 統合されると、MTD ソリューションは、デバイスのコンプライアンス ポリシーに関する追加の情報ソースを Intune に提供します。 この情報は、Intune で使用できる条件付きアクセス ルールでも使用できます。

統合されると、Intune は登録済みデバイスでの MTD ソリューションの使用をサポートし、MTD ソリューションでサポートされている場合は、Microsoft Intune で保護されたアプリとアプリ保護ポリシーを使用して登録解除されたデバイスの使用をサポートします。

Intune によってサポートされ、使用する全プラットフォームで organization が必要とする機能をサポートしている MTD パートナーを必ず使用してください。

たとえば、Microsoft Defender for Endpoint は、Android、iOS/iPadOS、Windows プラットフォームで使用できる、既に使用している可能性のあるモバイル脅威防御ソリューションです。 その他のソリューションは、通常、Android と iOS/iPadOS をサポートします。 サポートされている MTD パートナーのリストについては、 Mobile Threat Defense パートナー を参照してください。

Mobile Threat Defense ソフトウェアを Intune で使用する方法の詳細については、Mobile Threat Defense と Intune の統合から始めてください。

サード パーティのコンプライアンス パートナーからのデータを使用する

Intune では、パートナーがデバイスのグループのモバイル デバイス管理 (MDM) 機関として機能するサード パーティのコンプライアンス パートナーの使用がサポートされています。 サポートされているコンプライアンス パートナーを使用する場合は、そのパートナーを使用して、ソリューションが管理するデバイスのデバイス コンプライアンスを構成します。 また、コンプライアンスの結果を Intune に渡すようにそのパートナー ソリューションを構成します。Intune は、そのデータを Intune からのコンプライアンス データと共に Microsoft Entra ID に格納します。 サード パーティのコンプライアンス データは、デバイスのコンプライアンス ポリシーを評価するときに Intune で使用したり、条件付きアクセス ポリシーで使用したりできるようになります。

環境によっては、Intune が使用する必要がある唯一の MDM 機関として機能する場合があります。これは、既定で、Intune が Android、iOS/iPadOS、Windows プラットフォームの登録済みコンプライアンス パートナーであるためです。 他のプラットフォームでは、macOS デバイス用の Jamf Pro の使用など、他のコンプライアンス パートナーがデバイス MDM 機関として機能する必要があります。

環境でサード パーティのデバイス コンプライアンス パートナーを使用する場合は、それらが Intune でサポートされていることを確認してください。 サポートを追加するには、Microsoft Intune 管理センター内からパートナーの接続を構成し、パートナーのドキュメントに従って統合を完了します。

この件の詳細については、「Intune でサード パーティ製デバイス コンプライアンス パートナーをサポートする」を参照してください。

カスタム コンプライアンス設定を使用する

管理された Linux および Windows デバイスのカスタム コンプライアンス設定を構成することで、Intune の組み込みデバイス コンプライアンス オプションを拡張できます。

カスタム設定を使用すると、Intune がこれらの設定を追加するのを待つことなく、デバイスで使用できる設定に基づいてコンプライアンスを柔軟に行うことができます。

カスタム コンプライアンスを使用するには、.準拠に使用するデバイスの値を定義する JSON ファイルと、JSON から設定を評価するためにデバイスで実行される検出スクリプト。

カスタム コンプライアンスに必要な特典、サポートされているプラットフォーム、JSON とスクリプトの構成の詳細については、[Microsoft Intune で Linux および Windows デバイスのカスタム コンプライアンス ポリシーと設定を使用する](../ protect/compliance-use-custom-settings.md) に記載されています。

コンプライアンスと条件付きアクセスの統合

条件付きアクセスは、デバイスを保護するために Intune と連携する Microsoft Entra 機能です。 Microsoft Entra に登録するデバイスの場合、条件付きアクセス ポリシーでは、Intune からのデバイスとコンプライアンスの詳細を使用して、ユーザーとデバイスのアクセス決定を適用できます。

条件付きアクセス ポリシーを次と組み合わせます。

• デバイス コンプライアンス ポリシーでは、そのデバイスを使用して organization のリソースにアクセスする前に、デバイスを準拠としてマークする必要がある場合があります。 条件付きアクセス ポリシーでは、保護するアプリまたはサービス、そのアプリまたはサービスにアクセスするための条件、およびポリシーが適用されるユーザーを指定します。
• アプリ保護ポリシーは、Intune アプリ保護ポリシーをサポートするクライアント アプリのみが Exchange や他の Microsoft 365 サービスなどのオンライン リソースにアクセスできるようにするセキュリティ層を追加できます。

条件付きアクセスは、デバイスのセキュリティを維持するために、以下と連動させることもできます。

• Microsoft Defender for Endpoint およびサード パーティ MTD アプリ
• デバイス コンプライアンス パートナー アプリ
• Microsoft Tunnel

詳細については、「条件付きアクセスと Intune の詳細」を参照してください。

詳細なコンプライアンス設定

Microsoft Intune 管理センターでプラットフォーム固有のポリシーを確認して、各プラットフォームで使用できるコンプライアンス設定とその使用に関する詳細を確認します。 ポリシーを構成するには、 コンプライアンス ポリシーの作成を参照してください。

ポリシーを構成するには、 コンプライアンス ポリシーの作成を参照してください。

拡張デバイス コンプライアンス ポリシーでは、次の設定を使用することをお勧めします:

推奨される最小ベースライン ポリシーに従う

この記事は、Microsoft Intune を展開する方法を説明する 5 ステップシリーズの一部です。 このシリーズには、次の記事が順番に含まれています。

1. Microsoft Intune のセットアップ
2. アプリの追加、構成、保護
3. 🡺 コンプライアンス ポリシーの計画 (この記事)
4. デバイス機能を構成する
5. デバイスを登録する