Intuneからのエンドポイント セキュリティ ポリシーをサポートするようにテナントアタッチを構成する
Configuration Manager テナント接続シナリオを使用する場合は、Intuneから、Configuration Managerで管理するデバイスにエンドポイント セキュリティ ポリシーを展開できます。 このシナリオを使用するには、まず、Configuration Managerのテナントアタッチを構成し、Intuneで使用するためにConfiguration Managerからデバイスのコレクションを有効にする必要があります。 コレクションの使用が有効になった後、Microsoft Intune管理センターを使用してポリシーを作成して展開します。
テナントアタッチにIntuneポリシーを使用するための要件
Configuration Manager デバイスでのエンドポイント セキュリティ ポリシー Intune使用をサポートするには、Configuration Manager環境で次の構成が必要です。 構成ガイダンス は、この記事で提供されます。
テナントアタッチの一般的な要件
テナントアタッチの構成 - テナント接続シナリオでは、デバイスをConfiguration ManagerからMicrosoft Intune管理センターに同期します。 その後、管理センターを使用して、サポートされているポリシーをこれらのコレクションに展開できます。
多くの場合、テナントアタッチは共同管理で構成されますが、テナントアタッチは独自に構成できます。
Configuration Managerデバイスとコレクションを同期する – テナントアタッチを構成したら、管理センターと同期するConfiguration ManagerデバイスMicrosoft Intune選択できます。 後で戻って、同期するデバイスを変更することもできます。
同期するデバイスを選択したら、Intuneのエンドポイント セキュリティ ポリシーで使用するコレクションを有効にする必要があります。 Configuration Manager デバイスでサポートされているポリシーは、有効にしたコレクションにのみ割り当てることができます。
Microsoft Entra IDへのアクセス許可 - テナントアタッチのセットアップを完了するには、アカウントに Azure サブスクリプションに対するグローバル管理者アクセス許可が必要です。
重要
Microsoft では、アクセス許可が可能な限りで少ないロールを使用することをお勧めします。 アクセス許可の低いアカウントを使用すると、組織のセキュリティが向上します。 グローバル管理者は高い特権を持つロールであり、既存のロールを使用できない場合の緊急時に限定する必要があります。
Microsoft Defender for Endpointのテナント – Microsoft Defender for Endpoint テナントは、Microsoft Intune テナント (Microsoft Intune プラン 1 サブスクリプション) と統合する必要があります。 Intuneドキュメントの「Microsoft Defender for Endpointを使用する」を参照してください。
Intune エンドポイント セキュリティ ポリシーのConfiguration Managerバージョン要件
ウイルス対策
テナントアタッチを使用する場合は、Configuration Managerデバイスのウイルス対策設定を管理します。
ポリシー パス:
- エンドポイント セキュリティ >ウイルス対策> Windows (ConfigMgr)
プロファイル:
- Microsoft Defender ウイルス対策 (プレビュー)
- Windows セキュリティ エクスペリエンス (プレビュー)
必要なバージョンのConfiguration Manager:
- Configuration Manager現在のブランチ バージョン 2006 以降
サポートされているConfiguration Managerデバイス プラットフォーム:
- Windows 8.1 (x86、x64)、Configuration Manager バージョン 2010 以降
- Windows 10 以降 (x86、x64、ARM64)
- Windows 11 以降 (x86、x64、ARM64)
- Windows Server 2012 R2 (x64)、Configuration Manager バージョン 2010 以降
- Windows Server 2016 以降 (x64)
重要
2022 年 10 月 22 日、Microsoft Intune は Windows 8.1 を実行しているデバイスのサポートを終了しました。 これらのデバイスでは技術サポートや自動更新は利用できません。
現在Windows 8.1を使用している場合は、Windows 10/11 デバイスに移動します。 Microsoft Intune には、Windows 10/11 クライアント デバイスを管理するセキュリティ機能とデバイス機能が組み込まれています。
エンドポイントの検出および応答
テナントアタッチを使用するときに、Configuration Manager デバイスのエンドポイント検出と応答ポリシー設定を管理するには。
プラットフォーム: Windows (ConfigMgr)
プロファイル: エンドポイントの検出と応答 (ConfigMgr)
必要なバージョンのConfiguration Manager:
- Configuration Manager現在のブランチ バージョン 2002 以降、コンソール内更新プログラム Configuration Manager 2002 修正プログラム (KB4563473)
- Configuration Manager テクニカル プレビュー 2003 以降
サポートされているConfiguration Managerデバイス プラットフォーム:
- Windows 8.1 (x86、x64)、Configuration Manager バージョン 2010 以降
- Windows 10 以降 (x86、x64、ARM64)
- Windows 11 以降 (x86、x64、ARM64)
- Windows Server 2012 R2 (x64)、Configuration Manager バージョン 2010 以降
- Windows Server 2016 以降(x64)
重要
2022 年 10 月 22 日、Microsoft Intune は Windows 8.1 を実行しているデバイスのサポートを終了しました。 これらのデバイスでは技術サポートや自動更新は利用できません。
現在Windows 8.1を使用している場合は、Windows 10/11 デバイスに移動します。 Microsoft Intune には、Windows 10/11 クライアント デバイスを管理するセキュリティ機能とデバイス機能が組み込まれています。
ファイアウォール
Configuration Managerによって管理されるデバイスのサポートはプレビュー段階です。
テナントアタッチを使用する場合は、Configuration Manager デバイスのファイアウォール ポリシー設定を管理します。
ポリシー パス:
- エンドポイント セキュリティ > ファイアウォール
プロファイル:
- Windows ファイアウォール (ConfigMgr)
必要なバージョンのConfiguration Manager:
- Configuration Manager現在のブランチ バージョン 2006 以降、コンソール内更新プログラム Configuration Manager 2006 修正プログラム (KB4578605)
サポートされているConfiguration Managerデバイス プラットフォーム:
- Windows 11 以降 (x86、x64、ARM64)
- Windows 10 以降 (x86、x64、ARM64)
Intune ポリシーをサポートするようにConfiguration Managerを設定する
IntuneポリシーをConfiguration Managerデバイスに展開する前に、次のセクションで詳しく説明する構成を完了してください。 これらの構成は、Configuration Manager デバイスをMicrosoft Defender for Endpointにオンボードし、Intune ポリシーを操作できるようにします。
次のタスクは、Configuration Manager コンソールで完了します。 Configuration Managerに慣れていない場合は、Configuration Manager管理者と協力してこれらのタスクを完了してください。
ヒント
Configuration ManagerでMicrosoft Defender for Endpointを使用する方法の詳細については、Configuration Managerコンテンツの次の記事を参照してください。
タスク 1: Configuration Manager環境を確認する
Configuration Manager デバイスのIntuneポリシーでは、ポリシーが最初にリリースされた時期に応じて、Configuration Managerの最小バージョンが異なる必要があります。 この記事で前述したIntuneエンドポイント セキュリティ ポリシーのConfiguration Managerバージョン要件を確認して、使用する予定のポリシーが環境でサポートされていることを確認します。 Configuration Managerのより新しいバージョンでは、以前のバージョンを必要とするポリシーがサポートされています。
Configuration Manager修正プログラムが必要な場合は、Configuration Managerのコンソール内更新プログラムとして修正プログラムを見つけることができます。 詳細については、Configuration Managerドキュメントの「コンソール内の更新プログラムをインストールする」を参照してください。
必要な更新プログラムをインストールしたら、ここに戻り、Microsoft Intune管理センターからエンドポイント セキュリティ ポリシーをサポートするように環境の構成を続行します。
タスク 2: テナントの接続とデバイスの同期を構成する
テナントアタッチでは、Microsoft Intune管理センターと同期するConfiguration Manager展開からのデバイスのコレクションを指定します。 コレクションが同期されたら、管理センターを使用してそれらのデバイスに関する情報を表示し、エンドポイント セキュリティ ポリシーをIntuneからそれらに展開します。
テナント接続シナリオの詳細については、「Configuration Manager コンテンツでテナントアタッチを有効にする」を参照してください。
共同管理が有効になっていないときにテナントアタッチを有効にする
ヒント
Configuration Manager コンソールの共同管理構成ウィザードを使用してテナントアタッチを有効にしますが、共同管理を有効にする必要はありません。
共同管理を有効にする予定の場合は、続行する前に、共同管理、その前提条件、ワークロードの管理方法について理解しておいてください。 Configuration Managerドキュメントの「共同管理とは」を参照してください。
Configuration Manager管理コンソールで、[管理>Overview>Cloud Services>Co-management] に移動します。
リボンで、[共同管理の構成] を選択してウィザードを開きます。
[テナントのオンボード] ページで、お客様の環境のAzurePublicCloud を選択します。 クラウドAzure Governmentサポートされていません。
[サインイン] を選びます。 グローバル管理者 アカウントを使用してサインインします。
[テナントオンボード] ページで、[管理センターにアップロードMicrosoft Intuneオプションが選択されていることを確認します。
[共同管理の自動クライアント登録を有効にする] からチェックを削除します。
このオプションを選択すると、ウィザードによって追加のページが表示され、共同管理のセットアップが完了します。 詳細については、「Configuration Manager コンテンツで共同管理を有効にする」を参照してください。
[次へ] を選択し、[はい] を選択して、[アプリケーションの作成] 通知Microsoft Entra受け入れます。 このアクションは、サービス プリンシパルをプロビジョニングし、Microsoft Intune管理センターへのコレクションの同期を容易にするために、Microsoft Entra アプリケーション登録を作成します。
[アップロードの構成] ページで、同期するデバイスのコレクションを構成します。構成をデバイス コレクションに制限することも、Microsoft Endpoint Configuration Managerによって管理されているすべてのデバイスに対して推奨されるデバイスアップロード設定を使用することもできます。
ヒント
今すぐコレクションの選択をスキップし、後でタスク 3 の次のタスクの情報を使用して、Microsoft Intune管理センターと同期するデバイスのコレクションを構成できます。
[ 概要] を選択して選択内容を確認し、[ 次へ] を選択します。
更新が完了したら、[閉じる] を選択します。
テナントアタッチが構成され、選択したデバイスが管理センター Microsoft Intune同期されます。
共同管理を既に使用している場合にテナントアタッチを有効にする
Configuration Manager管理コンソールで、[管理>Overview>Cloud Services>Co-management] に移動します。
共同管理設定を右クリックし、[プロパティ] を選択 します。
[アップロードの構成] タブで、管理センターにアップロードMicrosoft Intune選択し、[適用] を選択します。
デバイスのアップロードの既定の設定は Microsoft Endpoint Configuration Manager によって管理されているすべてのデバイスです。 構成を 1 つまたは複数のデバイス コレクションに制限することもできます。
![[共同管理プロパティ] タブを表示する](media/tenant-attach-intune/configure-upload.png)
メッセージが表示されたら、ご利用の "全体管理者" アカウントを使用してサインインします。
[はい] を選択して、[アプリケーションの作成] 通知Microsoft Entra受け入れます。 このアクションは、サービス プリンシパルをプロビジョニングし、同期を容易にするためにMicrosoft Entraアプリケーション登録を作成します。
変更が完了した場合は、[ OK] を 選択して共同管理プロパティを終了します。 それ以外の場合は、タスク 3 に移動して、Microsoft Intune管理センターへのデバイスのアップロードを選択的に有効にします。
テナントアタッチが構成され、選択したデバイスが管理センター Microsoft Intune同期されます。
![[共同管理プロパティ] タブを表示する](media/tenant-attach-intune/configure-upload.png#lightbox)
タスク 3: 同期するデバイスを選択する
テナント接続が構成されている場合は、同期するデバイスを選択できます。まだデバイスを同期していない場合、または同期するデバイスを再構成する必要がある場合は、Configuration Manager コンソールで共同管理のプロパティを編集して、同期を行うことができます。
アップロードするデバイスを選択する
Configuration Manager管理コンソールで、[管理>Overview>Cloud Services>Co-management] に移動します。
共同管理設定を右クリックし、[プロパティ] を選択 します。
[アップロードの構成] タブで、管理センターにアップロードMicrosoft Intune選択し、[適用] を選択します。
デバイスのアップロードの既定の設定は Microsoft Endpoint Configuration Manager によって管理されているすべてのデバイスです。 構成を 1 つまたは複数のデバイス コレクションに制限することもできます。
タスク 4: エンドポイント セキュリティ ポリシーのコレクションを有効にする
管理センター Microsoft Intune同期するようにデバイスを構成した後、コレクションがエンドポイント セキュリティ ポリシーを操作できるようにする必要があります。 デバイスのコレクションがIntuneのエンドポイント セキュリティ ポリシーを使用できるようにすると、構成されたコレクションをエンドポイント セキュリティ ポリシーの対象として使用できるようになります。
エンドポイント セキュリティ ポリシーで使用するコレクションを有効にする
最上位のサイトに接続されているConfiguration Managerコンソールから、管理センターに同期するデバイス コレクションMicrosoft Intune右クリックし、[プロパティ] を選択します。
[Cloud Sync]\(クラウド同期\) タブで、[このコレクションを管理センターからエンドポイント セキュリティ ポリシーを割り当てる] オプションMicrosoft Intune有効にします。
- Configuration Manager階層がテナントにアタッチされていない場合は、このオプションを選択できません。
- このオプションで使用できるコレクションは、 テナントアタッチアップロード用に選択されたコレクション スコープによって制限されます。
[追加] を選択し、メンバーシップの収集結果と同期するMicrosoft Entra グループを選択します。
[ OK] を選択 して構成を保存します。
このコレクション内のデバイスは、Microsoft Defender for Endpointでオンボードできるようになり、Intuneエンドポイント セキュリティ ポリシーの使用がサポートされるようになりました。
コネクタの状態を表示する
Configuration Manager コネクタは、Configuration Manager の実装に関する詳細を提供します。 Microsoft Intune管理センターから、最後に成功した同期時刻や接続状態など、Configuration Manager コネクタに関する詳細を確認できます。
Configuration Manager コネクタの状態を表示するには、次の操作を行います。
Microsoft Intune 管理センター にサインインします。
[テナント管理]>[コネクタとトークン]>[Microsoft Endpoint Configuration Manager] を選択します。 バージョン 2006 以降を実行する Configuration Manager 階層を選択して、その追加情報を表示します。
注:
階層が Configuration Manager バージョン 2006 以前を実行している場合、一部の情報は使用できません。
Microsoft IntuneからConfiguration Managerへの接続が正常であることを確認したら、テナントをConfiguration Managerに正常にアタッチしました。
オンプレミスのデバイスの詳細を表示する
Microsoft Intune管理センターでは、コレクション、境界グループ メンバーシップ、特定のデバイスのクライアント情報など、Configuration Managerクライアントの詳細を表示できます。
デバイスに基づいてクライアントの詳細を表示する
特定のデバイスのクライアントの詳細を表示するには、次の手順に従います。
ブラウザーで、管理センター Microsoft Intune移動します。
[デバイス]>[すべてのデバイス] を選択します。
テナントアタッチを使用してアップロードされたデバイスは、[管理対象] 列にConfigMgr表示されます。
テナントアタッチを介して構成マネージャーから同期されるデバイスを選択します。
[ クライアントの詳細] を選択して、詳細を表示します。
1 時間に 1 回、次のフィールドが更新されます。
- 最後のポリシー要求
- 最終アクティブ時間
- 管理ポイント
[ コレクション] を 選択して、クライアントの コレクションを一覧表示します。
コレクションは、管理しやすい単位にリソースを整理するのに役立ちます。
ユーザーに基づいてデバイスの一覧を表示する
ユーザーに属するデバイスの一覧を表示するには、次の手順に従います。
ブラウザーで、管理センター Microsoft Intune移動します。
[ トラブルシューティングとサポート>Troubleshoot>ユーザーの選択] を選択します。
既に表示されているユーザーがいる場合は、[ユーザーを変更]を選択して別のユーザーを選択します。
表示されているユーザーを検索または選択し、[ 選択] をクリックします。
[デバイス]の表には、ユーザーに関連付けられている構成マネージャーデバイスが一覧表示されます。
クライアントの詳細とテナントのアタッチの表示の詳細については、「テナントアタッチ: 管理センターでの ConfigMgr クライアントの詳細」を参照してください。
オンプレミスのデバイス データを表示する
Microsoft Intune管理センターから、リソース エクスプローラーを使用して、アップロードされたConfiguration Managerデバイスのハードウェア インベントリを表示できます。
リソース エクスプローラーからデバイス データを表示するには:
ブラウザーで、管理センター Microsoft Intune移動します。
[デバイス]>[すべてのデバイス] を選択します。
テナントアタッチを介して構成マネージャーから同期されるデバイスを選択します。
テナント接続によって同期されたデバイスは、[管理対象] 列にConfigMgr表示されます。 また、デバイスは、Configuration ManagerとIntuneの両方が適用されたときに共同管理を表示し、Intune管理のみが適用される場合はIntuneを表示することもできます。
[リソース エクスプローラー] を選択してハードウェア インベントリを表示します。
クライアントから情報を取得するクラス (デバイス値) を検索または選択します。
リソース エクスプローラーでは、Microsoft Intune管理センターでデバイス インベントリの履歴ビューを表示できます。 トラブルシューティングを行うときは、インベントリの履歴データを使用すると、デバイスの変更に関する貴重な情報を提供できます。
Microsoft Intune管理センターで、リソース エクスプローラーがまだ選択されていない場合は選択します。
クラス (デバイス値) を選択します。
履歴インベントリ データを取得するには、日付時刻ピッカーにカスタム日付を入力します。
リソース エクスプローラーを閉じ、リソース エクスプローラーの右上にある [
X] アイコンを選択して、デバイス情報に戻ります。
テナントアタッチ デバイスのデバイス データの表示の詳細については「テナントアタッチ: 管理センターのリソース エクスプローラー」を参照してください。
オンプレミスのアプリ管理を表示する
Microsoft Intune管理センターから、テナントに接続されたデバイスに対してアプリケーションのインストールをリアルタイムで開始できます。 アプリケーションは、デバイスまたはユーザーに展開できます。 また、アプリケーションを修復、再評価、再インストール、またはアンインストールすることもできます。
オンプレミス デバイスにアプリケーションをインストールするには、次の手順に従います。
ブラウザーで、管理センター Microsoft Intune移動します。
[デバイス]>[すべてのデバイス] を選択します。
テナントアタッチを介して構成マネージャーから同期されるデバイスを選択します。
前に説明したように、テナント経由で同期するデバイスは、[マネージド] 列にConfigMgr表示されます。 デバイスは、Configuration ManagerとIntuneの両方が適用されると共同管理を表示し、Intune管理のみが適用される場合はIntuneを表示します。
[ アプリケーション] を選択して、該当するアプリの一覧を表示します。
インストールされていないアプリケーションを選択 し、[インストール] を選択します。
アプリケーションとテナントアタッチの詳細については、「テナントアタッチ: 管理センターからアプリケーションをインストールする」を参照してください。
オンプレミススクリプトを表示する
クラウドから PowerShell スクリプトを個々の構成マネージャーマネージド デバイスに対してリアルタイムで実行できます。 また、ヘルプデスクなどの他のペルソナに PowerShell スクリプトの実行を許可することもできます。 これにより、この新しい環境で使用するために、Configuration Manager管理者によって定義および承認される PowerShell スクリプトのすべての利点が得られます。
ブラウザーで、管理センター Microsoft Intune移動します。
[デバイス]>[すべてのデバイス] を選択します。
テナントアタッチを介して構成マネージャーから同期されるデバイスを選択します。
前に説明したように、テナント経由で同期するデバイスは、[マネージド] 列にConfigMgr表示されます。 デバイスは、Configuration ManagerとIntuneの両方が適用されると共同管理を表示し、Intune管理のみが適用される場合はIntuneを表示します。
[ スクリプト] を選択して、使用可能なスクリプトの一覧を表示します。
デバイスを直接対象とする最近実行されたスクリプトが一覧表示されます。 一覧には、管理センター、SDK、または構成マネージャー コンソールから実行されるスクリプトが含まれています。 Configuration Manager コンソールから開始された、デバイスを含むコレクションに対して開始されたスクリプトは、スクリプトが単一のデバイスに対して特に開始されていない限り表示されません。
テナントに接続されたデバイスでスクリプトを実行する方法の詳細については「テナントアタッチ: 管理センターからスクリプトを実行する」を参照してください。
オンプレミスのデバイス イベント タイムラインを表示する
Configuration Managerテナント接続を介してデバイスを同期してMicrosoft Intuneすると、管理センター内でそれらのデバイスのイベントのタイムラインMicrosoft Intune表示できます。 このタイムラインには、問題のトラブルシューティングに役立つデバイス上の過去のアクティビティが表示されます。
1 日に 1 回Configuration Managerオンプレミスのデバイス イベントをMicrosoft Intune管理センターに送信します。 クライアントが エンドポイント分析データ収集を有効にする ポリシーを受信した後に収集されたイベントのみが管理センターに表示されます。 構成マネージャーからアプリケーションまたは更新プログラムをインストールするか、デバイスを再起動することで、テスト イベントを簡単に生成できます。 イベントは 30 日間保持されます。
注:
Microsoft Intune管理センターからタイムラインを表示するための前提条件として、Configuration Managerで [エンドポイント分析データ収集を有効にする] を [はい] に設定する必要があります。 デバイスタイムラインの実装の詳細については、「テナントアタッチ: 管理センターのデバイスタイムライン」を参照してください。
デバイス イベントのタイムラインを表示するには:
ブラウザーで、管理センター Microsoft Intune移動します。
[デバイス]>[すべてのデバイス] を選択します。
テナントアタッチを介して構成マネージャーから同期されるデバイスを選択します。
前に説明したように、テナント経由で同期するデバイスは、[マネージド] 列にConfigMgr表示されます。 デバイスは、Configuration ManagerとIntuneの両方が適用されると共同管理を表示し、Intune管理のみが適用される場合はIntuneを表示します。
[タイムライン] を選択します。 既定では、過去 24 時間のイベントが表示されます。
- [同期] を選択して、クライアントで生成された最近のデータをフェッチします。 既定では、デバイスは 1 日に 1 回イベントを管理センターに送信します。
- [フィルター] ボタンを使用して、 [時間範囲]、 [イベント レベル]、および [プロバイダー名]を変更します。
- イベントを選択すると、詳細なメッセージを表示できます。
- [更新]を選択してページを再読み込みし、新しく収集されたイベントを表示します。
テナントに接続されたデバイスのデバイス イベントを表示する方法の詳細については、「テナントアタッチ: 管理センターのデバイス タイムライン」を参照してください。
次の手順
- ウイルス対策、ファイアウォール、エンドポイントの検出と応答のエンドポイントセキュリティ ポリシーを構成します。
- Microsoft Defender for Endpointの詳細については、こちらをご覧ください。