Intune のエンドポイント セキュリティのアカウント保護ポリシー

アカウント保護に Intune エンドポイント セキュリティ ポリシーを使用してユーザーの ID とアカウントを保護し、デバイス上の組み込みのグループ メンバーシップを管理します。

重要

2024 年 7 月に、ID 保護とアカウント保護のための次の Intune プロファイルが非推奨となり、アカウント保護という名前の新しい統合プロファイルに置き換えられました。 この新しいプロファイルは、Endpoint Security のアカウント保護ポリシー ノードにあり、ID とアカウント保護のための新しいポリシー インスタンスを作成するために使用できる唯一のプロファイル テンプレートです。 この新しいプロファイルの設定は、設定カタログからも使用できます。

作成した次の古いプロファイルのインスタンスは、引き続き使用および編集できます。

  • ID 保護 – 以前は [デバイス>構成]>[新しいポリシーの作成]>[新しいポリシー>]Windows 10以降>テンプレート>ID 保護から利用可能になりました
  • アカウント保護 (プレビュー) – 以前は Endpoint Security>アカウント保護>Windows 10以降>アカウント保護 (プレビュー) から利用可能になりました

アカウント保護のエンドポイント セキュリティ ポリシーは、Microsoft Intune 管理センターの [エンドポイント セキュリティ] ノードの [管理] にあります。

アカウント保護プロファイルの前提条件

  • アカウント保護プロファイルをサポートするには、デバイスで Windows を実行する必要があります。
  • ローカル ユーザー グループ メンバーシップ プロファイルをサポートするには、デバイスで Windows 10 20H2 以降、または Windows 11 を実行する必要があります。
  • *ローカル管理者パスワード ソリューション (Windows LAPS) をサポートするには、「Windows LAPS の Microsoft Intune サポートの前提条件」を参照してください。

重要

2025 年 10 月 14 日に、Windows 10 はサポートが終了し、品質と機能の更新プログラムを受け取ることはありません。 Windows 10 は、Intune で許可されているバージョンです。 このバージョンを実行しているデバイスは引き続き Intune に登録して対象機能を使用できますが、機能は保証されず、異なる場合があります。

役割ベースのアクセス制御 (RBAC)

適切なレベルのアクセス許可と権利を割り当てて Intune アカウント保護プロファイルを管理する方法については、「エンドポイント セキュリティの役割ベースのアクセス制御」を参照してください。

アカウント保護プロファイル

アカウント保護プロファイルを構成するには、Microsoft Intune管理センターで [エンドポイント セキュリティ]>アカウント保護>ポリシーの作成* に移動します。 [ プラットフォーム ] で [Windows] を選択し、次の [プロファイル] から選択します。

プロファイル:

  • アカウント保護 – アカウント保護ポリシーの設定は、ユーザーの資格情報の保護に役立ちます。 アカウント保護ポリシーは、Windows Hello for Business と Credential Guard のデバイス スコープとユーザー スコープの設定に重点を置いています。 Credential Guard は、Windows ID およびアクセス管理の一部です。

    • Windows Hello for Business は、PC とモバイル デバイスでパスワードを強力な 2 要素認証に置き換えます。
    • Credential Guard は、デバイスで使用する資格情報とシークレットを保護するのに役立ちます。

    詳細については、Windows の ID とアクセス管理に関するドキュメントの「 ID とアクセスの管理 」を参照してください。

    このプロファイルの設定は、 設定カタログでも使用できます。

  • ローカル管理者パスワード ソリューション (Windows LAPS) - このプロファイルを使用して、デバイスの Windows LAPS を構成します。 Windows LAPS では、デバイスごとに 1 つのローカル管理者アカウントを管理できます。 Intune ポリシーでは、ポリシー設定の [管理者アカウント名] を使用して、適用されるローカル管理者アカウントを指定できます。

    Intune を使用して Windows LAPS を管理する方法の詳細については、次を参照してください。

  • ローカル ユーザー グループのメンバーシップ – このプロファイルを使用して、Windows デバイス上の組み込みローカル グループのメンバーを追加、削除、または置換します。 たとえば、Administrators ローカル グループには広範な権限があります。 このポリシーを使用して、管理グループのメンバーシップを編集して、排他的に定義されたメンバーのセットにロック ダウンできます。

    このプロファイルの使用方法については、次のセクション「 Windows デバイス上のローカル グループの管理」を参照してください。

Windows デバイス上のローカル グループを管理する

ローカル ユーザー グループ メンバーシップ プロファイルを使用して、Windows 10 20H2 以降と Windows 11 デバイスを実行するデバイス上の組み込みローカル グループのメンバーであるユーザーを管理します。

ヒント

Microsoft Entra グループを使用した管理者特権の管理のサポートの詳細については、Microsoft Entra ドキュメントの「Microsoft Entra グループを使用した管理者特権の管理」を参照してください。

注:

このポリシーを使用してデバイスに展開された Microsoft Entra グループは、リモート デスクトップ接続には適用されません。 Microsoft Entra に参加しているデバイスのリモート デスクトップ アクセス許可を制御するには、個々のユーザーの SID を適切なグループに追加する必要があります。

プロファイルを構成する

ローカル ユーザー グループ メンバーシップ プロファイルを使用して、Windows Policy CSP - LocalUsersAndGroups を介してデバイス上のローカル グループ メンバーシップを管理します。 CSP ドキュメントには、構成の適用方法に関する詳細と、CSP の使用に関する FAQ が含まれています。

このプロファイルを構成する場合、[ 構成設定 ] ページで、複数のルールを作成して、変更する組み込みのローカル グループ、実行するグループ アクション、およびユーザーを選択する方法を管理できます。

プロファイルを構成するための [構成設定] ページのスクリーン ショット。

実行できる構成は次のとおりです。

  • ローカル グループ: ドロップダウンから 1 つ以上のグループを選択します。 これらのグループはすべて、割り当てたユーザーに同じ グループ アクションとユーザー アクション を適用します。 1 つのプロファイルにローカル グループの複数のグループを作成し、ローカル グループの各グループに異なるアクションとユーザーのグループを割り当てることができます。

注:

ローカル グループの一覧は、「Microsoft Entra 参加済みデバイスでローカル管理者グループを管理する方法」ドキュメントで参照されているように、ログオン時に評価されることが保証されている 6 つの組み込みローカル グループに制限されています。

  • グループとユーザーのアクション: 選択したグループに適用するアクションを構成します。 このアクションは、この同じアクションとローカル アカウントのグループ化に対して選択したユーザーに適用されます。 選択できるアクションは次のとおりです。

    • 追加 (更新): 選択したグループにメンバーを追加します。 ポリシーで指定されていないユーザーのグループ メンバーシップは変更されません。
    • 削除 (更新): 選択したグループからメンバーを削除します。 ポリシーで指定されていないユーザーのグループ メンバーシップは変更されません。
    • 追加 (置換): 選択したグループのメンバーを、このアクションに指定した新しいメンバーに置き換えます。 このオプションは制限されたグループと同じように機能し、ポリシーで指定されていないグループ メンバーは削除されます。

    注意

    同じグループに [置換] 操作と [更新] 操作の両方が構成されている場合は、[置換] 操作の優先順位です。 これは競合とは見なされません。 このような構成は、同じデバイスに複数のポリシーを展開する場合、またはこの CSP も Microsoft Graph を使用して構成されている場合に発生する可能性があります。

  • ユーザー選択の種類: ユーザーを選択する方法を選択します。 オプションは以下のとおりです。

    • ユーザー: Microsoft Entra ID からユーザーとユーザー グループを選択します。 (Microsoft Entra 参加済みデバイスでのみサポートされます)。
    • 手動: ユーザー名、ドメイン\ユーザー名、またはグループ セキュリティ識別子 (SID) を使用して、Microsoft Entra ユーザーとグループを手動で指定します。 (Microsoft Entra 参加済みデバイスおよび Microsoft Entra ハイブリッド参加済みデバイスでサポートされています)。

  • 選択したユーザー: [ユーザー選択タイプ] の選択に応じて、次のいずれかのオプションを使用します。

    • ユーザーの選択: Microsoft Entra からユーザーとユーザー グループを選択します。

    • ユーザーの追加: このオプションを選択すると、[ ユーザーの追加 ] ウィンドウが開き、デバイスに表示される 1 つ以上のユーザー識別子を指定できます。 ユーザーは、セキュリティ識別子 (SID)、ドメイン\ユーザー名、またはユーザー名で指定できます。

      Intune 管理センターの [ユーザーの追加] ページのスクリーンショット。

[手動] オプションを選択すると、オンプレミスの Active Directory ユーザーを Active Directory から Microsoft Entra ハイブリッドに参加しているデバイスのローカル グループに管理するシナリオに役立ちます。 ユーザー選択を最も優先される順に識別するサポートされている形式は、SID、ドメイン\ユーザー名、またはメンバーのユーザー名です。 Active Directory の値はハイブリッド参加済みデバイスに使用する必要があり、Microsoft Entra ID からの値は Microsoft Entra 参加に使用する必要があります。 Microsoft Entra グループの SID は、Graph API for Groups を使用して取得できます。

競合

ポリシーがグループ メンバーシップに競合を作成した場合、各ポリシーの競合する設定はデバイスに送信されません。 代わりに、Microsoft Intune 管理センターでこれらのポリシーの競合が報告されます。 競合を解決するには、1 つ以上のポリシーを再構成します。

Reporting

デバイスがチェックしてポリシーを適用すると、管理センターにはデバイスとユーザーの状態が成功またはエラーとして表示されます。

ポリシーには複数のルールを含めることができるため、次の点を考慮してください。

  • Intune がデバイスのポリシーを処理すると、設定ごとの状態ビューには、単一の設定であるかのようにルール グループの状態が表示されます。
  • エラーが発生するポリシー内の各ルールはスキップされ、デバイスに送信されません。
  • 成功した各ルールは、適用されるデバイスに送信されます。

次の手順

エンドポイント セキュリティ ポリシーを構成する

  • Last updated on