はじめに

Intune から WiFi プロファイルを配布しつつ、それ以外の SSID には接続させないようにする・・・という構成を、運用中のつけ外しも考慮しつつ検証してみました。

たとえば、会社支給の PC は、会社の拠点にある WiFi AP にのみアクセスさせたいというような要件で活用できます。

設定箇所

このような制御を有効にするだけなら、Intune で、以下の構成ポリシーを利用することで実現できますし、ちゃんと意図したとおりに制御することができます。

構成ポリシー／テンプレート（デバイスの制限）／携帯ネットワークと接続性／ Wi-Fi の手動設定　→　[ブロック] に設定する

公開情報：Intune を使用して機能を許可または制限するように Windows 10/11 デバイスを設定する
https://learn.microsoft.com/ja-jp/mem/intune/configuration/device-restrictions-windows-10#cellular-and-connectivity

手動 Wi-Fi 構成: [ブロック]
デバイスが MDM サーバーにインストールされたネットワークの外部で Wi-Fi に接続するのを防ぎます。[未構成] (既定) に設定すると、Intune では、この設定は変更または更新されません。既定では、OS は、ユーザーが独自の Wi-Fi 接続ネットワーク SSID を追加および構成するのを許可する場合があります。

ブロック時の動作イメージ
下図のうち、オレンジ枠内の "TP-Link〇〇" と "テストWiFi" は、Intune から配布した WiFi プロファイルであり、かつ WiFi AP の電波が届いている状態です。この SSID には接続することが出来ます。

"ネットワークがブロードキャスト配信していなくても接続します" の設定が有効な SSID は表示されますが、下図の青枠内に、ネットワーク管理者により、このネットワークへの接続がブロックされています。 とのメッセージが表示されて "接続" することはできません。

上記以外の SSID は一覧には表示されなくなり、手動で SSID に接続するための機能も利用ができなくなります。

課題

[ブロック] の設定には運用上の課題があります。
一度、WiFi の制限をかけてしまうと、設定を "構成されていません" に戻しても、ポリシーの割り当てから外しても、割り当てで除外設定を行っても、どれをやっても PC の設定が元には戻らず WiFi が制限されたままになってしまう場合があります。

→　上記のように設定変更しても、デバイスに設定された構成は元に戻りません。

原因として考えられることは、ポリシーの設定が「ブロック」と「未構成」しか存在しないため、一度「ブロック」してしまうと、そのあとで「未構成」を配布してもそれは何も設定を行わないことと見なされて、ブロックされ続けてしまう可能性が考えられます。または、PC 側がポリシーから切り離されたと認識できずに、設定を切り離せていないという可能性もありえます。

公開情報：FAQ - プロファイルが削除されたか、適用されなくなった
https://learn.microsoft.com/ja-jp/mem/intune/configuration/device-profile-troubleshoot#a-profile-is-deleted-or-no-longer-applicable

上記の公開情報では、以下のように説明されています。

プロファイルを削除するか、プロファイルが割り当てられているグループからデバイスを削除すると、プロファイルと設定がデバイスから削除されます。
（中略）
Intune の設定は、Windows 構成サービスプロバイダー (CSP) に基づいています。動作は CSP によって異なります。一部の CSP では設定が削除され、他の CSP では設定が保持されます（これは、タトゥーとも呼ばれます）。
（中略）
プロファイルは、ユーザーグループに適用されます。その後、ユーザーはグループから削除されます。次の場合には、そのユーザーから設定が削除されるまで 最大 7 時間以上かかる 場合があります。

上記の説明では、通常はデバイスをポリシーから切り離すと設定が元に戻る想定であるハズだが、設定 (CSP) の種類によっては、削除されるものと保持されるものがある・・・との事です。

さらに、"最大７時間以上かかる" って、結局どのくらい待てば削除されるのかが分かりません。これが非常にストレスです。

私が検証した場合は、１日以上待っても戻りませんでした。そのため、設定が戻らない理由は、保持（タトゥー）の状態になってしまったと考えることできます。

結論
いずれにしても、設定が PC に反映されないと、設定ミスなのか、ポリシー配布されていないのか、保持されちゃったのか・・・とやきもきするし、待っていられないので、確実に早期に反映結果を確認して、他の仕事をやりたいのが正直なところです。

更に、運用中にデバイスによって戻る PC と戻らない PC が発生する可能性があるのであれば、やはりそういうことが発生しないように構成しておくべきです。

どうやって戻すのか？

手動 Wi-Fi 構成を、ブロックするための、テンプレート（デバイスの制限） は存在するのですが、[ブロックを解除] させるための明確な設定は存在しません。

回避策として、テンプレート（カスタム） を使います。
カスタムの場合は、CSP のアドレスを直接指定して構成を行うことが可能なため、意図的な値（既定値：１）を配布することで、元に戻す（ブロックを解除）ことが可能です。

公開情報：Wi-Fi の手動設定の CSP (AllowManualWiFiConfiguration)
https://learn.microsoft.com/ja-jp/windows/client-management/mdm/policy-csp-wifi#allowmanualwificonfiguration

CSP のパス
./Device/Vendor/MSFT/Policy/Config/Wifi/AllowManualWiFiConfiguration

値	説明（公開情報）	私の見解
0	MDM プロビジョニングされたネットワークの外部 Wi-Fi 接続は許可されません。	Intune から配られた WiFi 構成しか許可されず、その他の SSID はブロックされます。
1	（既定値) 既に MDM でプロビジョニングされているネットワーク SSID を超えて、新しいネットワーク SSID を追加できます。	利用者が自由に外部の SSID を指定して WiFi に接続できます。

参考
上記の値で "0" を指定すると、ブロックとして動作します。
これは、テンプレート（デバイスの構成）：Wi-Fi の手動設定で、[ブロック] を構成したときと同一の動作となることも、私の方では検証できています。

具体的な構成手順

以下のように段階的に進めます。

割り当て用グループと、除外用グループを作成する
接続のための WiFi プロファイルを配布する
テンプレート（デバイスの制限）で ブロック を構成する
テンプレート（カスタム）で 無効化 を構成する
動作試験

注意
項番2. で接続可能な WiFi プロファイルを配布せずに、項番3.でブロックを構成してしまうと、どの WiFi にも接続できなくなってしまう可能性があります。そうなると、その PC へ解除のためのポリシーを配布できなくなり、結果元に戻せなくなります。かならず、配布したプロファイルを使って、インターネットに接続できることを確認してください（その場合、有線 LAN が使えれば回避策になります）

情報
"項番3. テンプレート（デバイスの制限）：Wi-Fi の手動設定" で、[ブロック] を構成する代わりに、テンプレート（カスタム）で "0" を配布する方法でも実現可能です。

その場合の設定手順は、項番4. と同じ手順で CSP に対して "0" を配布してください。

1. ブロック用グループと、解除用グループを作成する

Intune 管理センターにアクセスします。
https://intune.microsoft.com
　
左ペインから グループ を選び、すべてのグループ から 新しいグループ を選択します。

　
グループの種類を セキュリティ にして、任意のグループ名（ブロックを意図した名前）を指定して、作成を押します。

　
同様にもう１つ新しいグループを作成し、任意のグループ名（解除を意図した名前）を指定して、作成を押します。

　
２つのグループを作成すると、下図のように一覧に表示されます。グループの種類は セキュリティ である必要があります。

このタイミングでは、グループにメンバーを割り当てないでください。
あとで割り当てるタイミングがあります。

2. 接続のための WiFi プロファイルを配布する

以下のいずれかの方法で Intune から WiFi プロファイルを配布して PC を WiFi に接続できるようにします。実際に WiFi に接続できるかどうかまでテストしておいてください。

SSID + キーのみ （一番簡単）
https://qiita.com/carol0226/items/084d31ce07e4540f069c

SSID と、AD 認証 （MS-CHAPv2 の環境が必要です）
https://qiita.com/carol0226/items/99e1674ce6be6e24f53c

SSID と、クライアント証明書 （EAP-TLS の環境が必要です）
https://qiita.com/carol0226/items/3b17a2c02c5791727e93

この方法で配布した WiFi 接続は、この後のデバイス制限を構成しても、ブロックされません。

3. テンプレート（デバイスの制限）でブロックを構成する

Intune 管理センターの左ペインで デバイス を選び、デバイスの管理（構成） から、作成（新しいポリシー） を選択します。

　
下図の選択肢を入力して、デバイスの制限 を選び作成を押します。

　
基本タブでは、ブロックを行うためのポリシー名（任意）を入力して次へを押します。

　
構成設定 タブでは 携帯ネットワークと接続性 のジャンルを開いて Wi-Fi の手動設定 欄を ブロック に設定し次へを押します。

　
割り当て タブでは、前章で作成したグループを割り当てて次へを押します。
・組み込まれたグループ 欄には、ブロック用に作成したグループ
・除外されたグループ 欄には、解除用に作成したグループ

　
適用性ルール タブでは、特に設定は行わず次へを押します。

　
確認および作成 タブで設定値の最終確認を行い作成を押します。

　
以下の通知が表示されれば OK です。

4. テンプレート（カスタム）で無効化を構成する

Intune 管理センターの左ペインで デバイス を選び、デバイスの管理（構成） から、作成（新しいポリシー） を選択します。

　
下図の選択肢を入力して、カスタム を選び作成を押します。

　
基本タブでは、解除を行うためのポリシー名（任意）を入力して次へを押します。

上記の説明欄への記入は任意であり、動作には影響ありません。
CSP の URL の情報や、設定値の意味を記載しておくと、後で参照したときにわかりやすくなるので、おススメです。

4．構成設定 タブでは追加ボタンを押します。
行の追加 ウィンドウでは下図に倣って値を入力してから保存を押します。

上記の OMA-URI の欄には、以下の CSP のパス を入力します。

./Device/Vendor/MSFT/Policy/Config/Wifi/AllowManualWiFiConfiguration

この値は、「どうやって戻すのか？」の章で説明した内容です。
このパスに対して値 "1" を設定する事で既定値に戻す設定を配ります。

5．下図のように一覧に追加されたことを確認して次へを押します。

6．割り当て タブでは、以下のグループを割り当てて次へを押します。
・組み込まれたグループ 欄に、解除用に作成したグループ

7．適用性ルール タブでは、特に設定は行わず次へを押します。

8．確認および作成 タブで設定値の最終確認を行い作成を押します。

9．以下の通知が表示されれば OK です。

10．最終的に２つのポリシーが一覧に表示された状態になっているハズです。

5. 動作確認

２章で設定した WiFi プロファイルで WiFi 接続が可能になった PC を使います。

5-1. ブロックをテストする

この PC のデバイス名をブロック用に作成したグループに追加します。

　
Intune の同期ボタンを押します。
　同期ボタンの場所
　設定パネル／アカウント／職場または学校へのアクセス／アカウント名／情報

　
おおむね同期が完了して数分くらいで ブロック が有効化されます。
本機時の冒頭 ブロック時の動作イメージ で説明したとおり、Intune で配布した WiFi プロファイル以外には接続できなくなっている事が確認できます。
　
個々のデバイスに反映されたポリシーは、以下で確認できます。
デバイスの一覧から、デバイス名を選択します。

左ペインのモニターを開き、デバイスの構成 を選択すると、一覧にこのデバイスに適用されているポリシーが表示されます。

私が観察する限りでは、デバイス側で設定が反映されていても、上記のポリシー一覧に反映されるまではタイムラグがあるように感じます。

5-2. 解除をテストする

この PC のデバイス名を解除用に作成したグループに追加します。
このとき、ブロック用のメンバーに加わった状態で構いません。

　
Intune の同期ボタンを押します。
　同期ボタンの場所
　設定パネル／アカウント／職場または学校へのアクセス／アカウント名／情報

　
おおむね同期が完了して数分くらいで解除が反映されます。
前章でブロックされていた状態が解除され、すべての WiFi に接続できるようになった事が確認できます。
　
個々のデバイスに反映されたポリシーは、以下で確認できます。
デバイスの一覧から、デバイス名を選択します。

左ペインのモニターを開き、デバイスの構成 を選択すると、一覧にこのデバイスに適用されているポリシーが表示されます。

私が観察する限りでは、デバイス側で設定が反映されていても、上記のポリシー一覧に反映されるまではタイムラグがあるように感じます。
ブロック と解除の２行が同時に表示されているタイミングもありますが、動作的にはブロックから除外され、解除が適用された状態になっていて、意図通りに動きます。

5-3. その後の運用

以後は、ブロック用グループにデバイスが含まれたいたとしても、解除グループに加えることで WiFi の制限を解除することが出来るようになります。

その後解除グループから外すことで、再度ブロックが適用されます。

この動作を踏まえて、WiFi を社内利用するデバイスをすべてブロック用グループに含めておくことで、社内 PC は、会社の拠点にしか接続できないが、一時的に解除をさせたい PC のみ解除用グループに含める事で、例外を作るような運用をすることが想定できます。

（逆パターンの運用シナリオ）
今回のシナリオとは逆の運用をすることもできます。
予めブロックポリシーにはブロック用グループのみを割り当てしておきます。
解除ポリシーには、解除用グループを割り当てて、除外としてブロック用グループを割り当てておきます。

解除用グループに WiFi 接続するデバイスを全て含めておきます。
ブロック用グループは空にしておきます。
これで、通常時は、全デバイスが自由に WiFi に接続することができます。

特定のデバイスだけをブロックさせたい場合に、ブロック用グループにデバイスを加える事で、そのデバイスだけをブロックさせることができます。
ブロック用グループから外したら再度自由に WiFi に接続することができるようになります。

まとめ

本記事を参考に、実際に検証していただくとブロック用ポリシーのみでは解除がままならない場合があり、解除用ポリシーを用意することで、短期間に設定を入れ替える事が可能な事をご理解いただけると思います。

今回は、WiFi の制限に特化して記載していますが、その他の "デバイスの制限" の設定においても、同様に解除用ポリシーと組み合わせることで短期間での解除を実現できることが期待できますので、お試しください。