LoginSignup
2
2

Delete article

Deleted articles cannot be recovered.

Draft of this article would be also deleted.

Are you sure you want to delete this article?

@smr1

Microsoft Intuneの基礎を学習する

Last updated at Posted at 2025-08-05

手っ取り早くIntuneを勉強する必要が出てきたので勉強する。
最初はMSLearnのIntune Fundamentalsを読んでいたが、読んでるだけだとどんどん意味不明になってきたので、HandsOnも交えながら勉強する。

用語

  • Mobile Application Management: 組織で MAM を使用することで、アプリケーション内のデータを管理および保護できます。
  • Mobile Device Management: MDM を使うと、組織は登録されたデバイスに基づいて、リソースとデータを保護し、セキュリティ保護することができます。

Entra ID RegistrationとEntra ID Joinがある。

  • Entra ID Registration - BYOD
  • Entra ID Join - 社用端末

DeviceをEntra IDに接続する

Entra側設定

Entra ID CenterのDevice Settingから、自分でDeviceをRegister/Joinできるか設定できる。
※Intuneが構成済みの場合はRegisterは自動的にAllになる。また、Join/Registerする際にMFAを必須とするか等を選択できる。
image.png
1ユーザーで何台まで登録できるようにするかなど。
image.png
また、Register/JoinするときにDevice Administratorという形で全てのデバイスにログインできるユーザーを設定できる。
image.png

VMでJoin

AccountsからWorkのアカウントでログイン。
image.png
この画面で上に普通にメルアドを入力するとRegisterになって、下のJoin this deviceをクリックするとJoinになる。紛らわしい。。。
image.png
image.png
Joinできた。
image.png
image.png

PS C:\Users\localadmin> dsregcmd /status
+----------------------------------------------------------------------+
| Device State                                                         |
+----------------------------------------------------------------------+


             AzureAdJoined : YES
          EnterpriseJoined : NO
              DomainJoined : NO
           Virtual Desktop : NOT SET
               Device Name : vm2win10

また、AzureAD Joinしたから以下のようにAdministrators GroupにさきほどDevice Administratorとして設定したユーザーが自動的に追加される。
image.png

Entra ID Joinしたら、ドメインユーザーでRDPすることができるようになる。手順は詳細はこの辺を参照。この辺の正しい手順がドキュメントだとわかり辛いので助かります。

Intuneへの自動登録

上を実施しただけだとEntra Joinはしているが、Intuneには登録されていない状態。以下のAutomatic Enrollmentから全てのWindows DeviceでEntra 登録すればIntuneへ自動登録されるようになる。
image.png

ここのMDMユーザースコープはIntuneへ自動登録を行うことができるユーザーを決める。Allにすれば誰でもできる。ただし、全員にIntuneのライセンスが必要になるので注意。
image.png

、、、が、うまく自動登録が動かない場合などは以下からEnroll only in device managementを実施。

以下を参考。

image.png
Entra JoinとIntune登録両方できたら以下のようになる。
image.png
手動でIntune同期できるようになる。
image.png
やっとIntune Portalで出てくるようになった。
image.png
ちなみにポータルにDeviceが出てきても、ちゃんとIntuneによる管理が動いていない場合があった。ポリシーを作成していくらSyncしたり、待っても反映されていなかったり。そういう場合は実はIntune登録がうまくいっていない可能性がある。

クライアント側の以下2点を確認して、これらがOKであればIntune登録もOKとみなして良さそう。

①CertからIntuneが発行した証明書が登録されているか。
image.png

②以下コマンドを実行し、Tenant DetailsのMdmから始まる項目に値が入っているか。

PS C:\Users\SC200Test> dsregcmd /status

+----------------------------------------------------------------------+
| Device State                                                         |
+----------------------------------------------------------------------+

             AzureAdJoined : YES
          EnterpriseJoined : NO
              DomainJoined : NO
           Virtual Desktop : NOT SET
               Device Name : vm2win10

+----------------------------------------------------------------------+
| Device Details                                                       |
+----------------------------------------------------------------------+

                  DeviceId : e4bc3344-5486-438c-a8ba-a6fee2c3ee95
          DeviceAuthStatus : SUCCESS

+----------------------------------------------------------------------+
| Tenant Details                                                       |
+----------------------------------------------------------------------+

                TenantName : SC200Trial
                    MdmUrl : https://enrollment.manage.microsoft.com/enrollmentserver/discovery.svc
                 MdmTouUrl : https://portal.manage.microsoft.com/TermsofUse.aspx
          MdmComplianceUrl : https://portal.manage.microsoft.com/?portalAction=Compliance

最終的には、自分の場合はWindows Updateしたり、Intune解除、再登録などをしてたらいつの間にかちゃんと登録された。

登録制限

登録にはオプションがある。
例えば特定のグループのユーザーでは、個人所有のデバイスを登録させるのを制限させることができる。
image.png
image.png

Device Enrollment Manager

「Intuneにデバイスを登録できる管理者以外のユーザー」を設定することができる。通常のユーザーは15台までしか登録することができないが、ここに登録すると1000台まで登録できるようになる。(ここに登録されるユーザーにはIntuneのライセンスが必要。)
image.png

ポリシー

デバイスを制御するためのポリシーを設定する。
image.png
image.png
image.png
ルールをDeviceGroupに割り振る。
image.png
手動でクライアント側から同期を実施すると設定が反映される。
ちなみにIntuneで設定したものはユーザーから変更できなくなる。
image.png
ちゃんと全体で反映されているか確認できる。
image.png
もし反映されていない端末がある場合は管理ポータルのデバイス詳細画面の上からSyncが実行できる。

ポリシーテンプレート

テンプレートには様々なものがあり、Kioskというのがある。
image.png
SingleAppにして。
image.png
HPをBingにして。
image.png
Syncして再起動するとログイン時にKioskとでた。
image.png

が、VMだとKioskモードを利用するのは色々と難しいらしい。
こういうこともできるということで。

Active DirectoryのGroup PolicyをIntuneに移行

自前で環境を準備できなかったので、ざっくり手順と参考サイトを貼る。

  1. ADのグループポリシーオブジェクト（GPO）をXML形式でエクスポートして
  2. Intune Portalのグループポリシー分析という機能でGPOをImportして、Intuneがサポートしているポリシーの割合をレポートで表示できる
  3. 移行機能でIntuneのポリシー設定が作成される

Intune Portalから見れる情報

ちなみにIntune Portalからも色々な情報が見れる。

User

もうこの辺Entra Adminポータルと見間違うばかり。
image.png

Audit

image.png

Devices

image.png
image.png
ハードウェア詳細
image.png
どのポリシーが適用されているか
image.png
等など。

Intuneを利用したクラウドアプリの配布

Microsoft Storeのアプリを配布してみる。
どのアプリタイプ。
image.png
何のアプリを
image.png
どのように配布するか。
image.png
配布先を決定する。
配布先にはRequiredとAvailableがあり、Requiredの場合は時間が経てば自動的にインストールされ、Availableの場合は以下の手順で手動でインストールされる。
image.png
ポータルからSyncする。
Manage Portalから自分の状況を見てみる。

配布設定されたアプリを手動でインストールする

以下のページから。

アプリが表示される。
image.png
アプリをインストールしたいデバイスを選択。
image.png
image.png
このDevice上でアプリが利用できるようになった。
image.png
インストールボタンを押す。
image.png
インストールできた。この際ポータルにログインするにはonmicrosoft.comのドメインユーザーでログインしているので、VMにもローカルユーザーではなくドメインユーザーでログインしていないとダメっぽい。
image.png

ちなみに、Intuneから登録したアプリは上記のように手動インストールもできるが、基本は時間がたてば自動的にインストールされるようになる。

Intune Portalからのインストールステータスも更新されていることを確認。
image.png
Intuneを経由してインストールしたアプリにはManaged Appとして表示されるようになる。
image.png

Intuneを利用したComplianceの設定

image.png
カスタム設定が可能。
最小OSバージョンや、
image.png
Defender の有効化を必須とするなど。
image.png
状態が非準拠の場合、何日でnoncompliantとして記録するか。0だと即時になる。
image.png
ポリシーを割り当てる。
image.png

Complianceを利用して条件付きアクセスポリシーを設定

条件付きアクセスについては以前雑にまとめた。

Device > 条件付きアクセスから。Entra Admin Portalからでなくてもできちゃうんですね。。
image.png
TargetをExchange Online、条件にプラットフォームをWindowsに設定。
image.png
デバイス
image.png
とりあえず条件を色々厳しくしてNot compliantの状態にしてみた。
image.png
Exchange onlineを見るとこんなメッセージが出た。
image.png
Check Complianceを押すと、どのComplianceにひっかかっているか、どう解消すればいいかが記載されている。
image.png

IntuneによるEndpointセキュリティ

Intuneを利用してMicrosoft Defenderを構成する。
image.png
ここは色々設定がある。Windowsの設定だったり、Defenderの設定だったり。
image.png
image.png
Defenderの設定。
image.png
適用先を決定。
image.png
VM側に適用された。元々はもっと詳細に設定できたが、ログインしているユーザーには見えないようになった。
image.png
適用状態も見える。
image.png

Intuneによるディスク暗号化

image.png
Bitlockerの設定。PIN入力を求めるか、Bitlocker Recovery Keyをどうするかとか。
image.png
適用するグループを選択。
image.png

AutopilotによるWin11端末の初期設定

本来なら物理端末で実施するのだが、VMで新しくWin11端末を構築して試してみる。が、Azure VMだとできないらしく、Azure VMにHyperVを建てる感じでやってみる。
以下の手順でWindows11 Proをたてる。

まずはHyperV上のVMで以下のコマンドを実行。

PS C:\Users\localadmin> Install-Script -Name Get-WindowsAutoPilotInfo
PS C:\Users\localadmin> Set-ExecutionPolicy -ExecutionPolicy RemoteSigned
PS C:\Users\localadmin> Get-WindowsAutoPilotInfo.ps1 -OutputFile C:\Computer.csv
PS C:\Users\localadmin> type C:\Computer.csv
Device Serial Number,Windows Product ID,Hardware Hash
0000-0005-9753-7171-9844-3163-20,,T0FMBAEAHAAAAAoAJxVdWAAACgD4FV1YGYElMAACCQgCABAACQABAAEAAgABAAAABQAZAAgAAAAAAAAAAAgAAAAAAAADAAEAAwMAEQBHZW51aW5lSW50ZWwABAA0AEludGVsKFIpIFhlb24oUikgUGxhdGludW0gODI3MkNMIENQVSBAIDIuNjBHSHoAAAYAEACIAAAAAAAAAAoA/wEG...省略

Device OnboardingからAutopilot > Devicesを選択。
image.png
先ほど出力したComputer.csvをインポート。10分程度かかった。
image.png

AutopilotのProfileを設定

今度はDeployment Profileを押す。
image.png
image.png
image.png
OOBE（Out of Box Experiment）の設定を決める。
image.png
Assign Groupは一旦全部にしてしまう。
image.png
※もし特定の端末だけを対象にしたい場合は、動的メンバーシップのグループでメンバーシップのルールで以下のようにDeviceのIDで絞ればいい。

(device.devicePhysicalIDs -any (_ -contains "[ZTDId]"))

Profileができた。
image.png

Autopiliotの進捗を表示するように設定

Enrollment status pageから
image.png
image.png

PCリセット

HyperVのVM上でReset this PCを実施。
（本来は物理デバイスであれば、起動時に実行されるので不要だが、VMなので実施。）
image.png

Local Reinstallを実施。
image.png
Reset実施中。
image.png
ドメインユーザーでログイン
image.png
これがAutopilotの画面なのかな？なんか他のページで見るのと違うのだが。。。
image.png
でも内容的には同じだからこれっぽい。

とこんな感じで一通りAutopilotを体験することができた。

2
2
0

Register as a new user and use Qiita more conveniently

  1. You get articles that match your needs
  2. You can efficiently read back useful information
  3. You can use dark theme
What you can do with signing up
Sign upLogin
2
2

Delete article

Deleted articles cannot be recovered.

Draft of this article would be also deleted.

Are you sure you want to delete this article?