MacはMDM管理できてるけど、Windowsは台数も少ないし全然管理できてなかった〜発端は1件のトンデモ事件だった〜

エウレカではMacが標準環境となっており、9割近くのユーザーがMacを使用しています。
しかしながら業務の都合でWindowsを使う必要のあるユーザーもおり、1割程度のユーザーがWindowsを使っています。
上記の理由により大多数を占めるMacについては2018年にJamf Proを導入し管理を行っていましたが、
Windowsについては台数が少ないこともありMDMの導入が遅れていました。

ある日、Windows端末を利用している方にトンデモな事件が発生してしまいました。
台数が少ない　というのは実は　重要な端末が少ない　ということでは決してなかったのです。
これはいかん　という事で、WindowsもMDM管理して世界を救うことにしました。

Windows管理における課題

いままではWindowsの管理については以下の課題がありました。

継続的に必要な設定が適用されていることを担保できない
一度デプロイした端末への設定変更やアプリケーションの展開が困難
台数が少ないためキッティングが手動で時間がかかり、抜け漏れが発生しやすい

この課題を解消するために、MDMを導入しました。

WindowsにIntuneを導入した

WindowsのMDMはいくつか選択肢がありますが、以下の理由よりエウレカではIntuneを導入しました。

Macについては既にJamf Proを導入していることから、Windowsの親和性を重視したこと
既にMicrosoft 365ライセンスの利用があり、Azure AD環境が存在したため
台数が少ないことから、ミニマムライセンスがないこと

またIntuneを導入するうえでAzure AD参加は必須ではないのですが、展開の容易さや今後のAutopilot導入のためにAzure AD参加も同時に行うことにしました。

これによりWindows端末においてもアプリケーションや設定の集中管理、ゼロタッチデプロイが実現し、世界に平和が訪れました。

既存端末への展開については妥協したところも

新規で支給する端末についてはOktaの資格情報でログインができる状態が実現しました。
既存の端末についてはAzure AD参加およびIntuneの登録こそ行いましたが、ユーザーアカウントについては引き続きローカルユーザーを利用することにしました。ユーザーアカウントを移行する手間が大きく、またPCのリプレース周期が2年であり最低でも2年後には無くなることが理由です。
今後入社するユーザーは、ゼロタッチデプロイにより平和な世界が維持されます。

残る課題は

課題としては、Windowsにログイン後、再度認証を求められずにWebアプリケーションを利用できるようなデスクトップSSOを実現できない点があります。Azure ADをIdPとした場合は実現可能であるため、ここはOktaをIdPとして利用する場合のデメリットといえます。

まとめ

今回WindowsでもMDMを導入し、ポリシーやアプリケーションの管理、ゼロタッチデプロイが可能になりました。これにより自信をもってWindows端末も管理することができ、安心して年を越せそうです。

明日は、@hisamounaによる「(仮) pairsで利用しているBatchのEKS移行」です。

お楽しみに！