<p>現代のビジネス環境において、従業員が利用するデバイスは多様化し、場所もオフィス内外へと広がっています。このような状況で、組織のセキュリティと生産性を両立させるためには、柔軟かつ堅牢なデバイス管理が不可欠です。Microsoft Intuneは、まさにこの課題を解決するためのクラウドベースの統合エンドポイント管理ソリューションとして注目されています。</p> <h1 class="wp-block-heading">Microsoft Intuneで実現する現代のデバイス管理</h1> <h2 class="wp-block-heading">アーキテクチャ</h2> <p>Microsoft Intuneは、Microsoft Entra ID（旧 Azure Active Directory）と連携し、デバイスの登録からポリシー適用、アプリケーション配信、そしてセキュリティ監視までを一元的に行います。MDM（Mobile Device Management）とMAM（Mobile Application Management）の両方の機能を提供し、組織所有デバイスと個人所有デバイス（BYOD）の両方に対応できるのが特徴です。</p> <p>基本的なアーキテクチャとしては、ユーザーがEntra IDで認証を行い、Intuneにデバイスを登録することで管理対象となります。登録されたデバイスには、Intuneで定義された構成プロファイル（セキュリティ設定、Wi-Fi/VPNプロファイルなど）や、必要なアプリケーションが自動的に配布されます。また、Microsoft Defender for Endpointといった他のセキュリティソリューションと連携し、デバイスの脅威状況に基づいて条件付きアクセスを適用することも可能です。</p> <div class="wp-block-merpress-mermaidjs diagram-source-mermaid"><pre class="mermaid"> graph TD A["ユーザー"] -- Entra ID認証 --> B("Microsoft Entra ID"); B -- 認証成功 --> C("Microsoft Intune"); C -- デバイス登録要求 --> D("ユーザー/デバイス"); D -- デバイス登録(MDM) --> C; C -- デバイス種類別設定 --> E{"構成プロファイル & アプリケーション"}; E -- ポリシー適用/アプリ配布 --> D; D -- 準拠性評価 --> F("Intune 準拠性ポリシー"); F -- 準拠デバイスのみ --> G("企業リソースへのアクセス許可"); F -- 非準拠デバイス --> H("条件付きアクセスでアクセス制限"); H -- 脅威検知 --> I("Microsoft Defender for Endpoint"); I -- 準拠性フィードバック --> F; C -- 管理/レポート --> J("Intune 管理センター"); </pre></div> <blockquote class="wp-block-quote is-layout-flow wp-block-quote-is-layout-flow"> <p>Note: 上図は一般的なIntuneデバイス管理のフローを示しています。特にEntra IDとの密接な連携が、現代のゼロトラストセキュリティモデルを支える基盤となります。</p> </blockquote> <h2 class="wp-block-heading">設定手順</h2> <p>Intuneの導入は、まずEntra ID Premium P1/P2ライセンス、またはMicrosoft 365 Business Premium/E3/E5などのバンドルライセンスの準備から始まります。次に、Intuneテナントの有効化とMDMユーザーの指定、そしてデバイス登録の設定を進めます。</p> <p>ここでは、Windowsデバイスの自動登録設定と、BitLockerを強制する構成プロファイルをPowerShellスクリプトとGraph APIを利用して設定する例をご紹介します。</p> <pre data-enlighter-language="generic"># 1. Microsoft Graph PowerShell SDKのインストールと認証 # 事前にInstall-Module Microsoft.Graph -Scope CurrentUser を実行してください Connect-MgGraph -Scopes "DeviceManagementConfiguration.ReadWrite.All", "DeviceManagementManagedDevices.ReadWrite.All", "Group.Read.All" # 2. Windows自動登録設定の確認（Entra ID P1/P2が必要） # Intune管理センター > デバイス > Windows > Windows登録 > 自動登録 からも設定可能 Write-Host "Entra IDのMDMユーザー範囲を確認してください。Entra ID P1/P2ライセンスが必要です。" # 3. BitLocker設定の構成プロファイルを作成するJSONボディを準備 # これはWindows 10以降向けの「デバイス構成プロファイル」です。 $configProfileJson = @{ "@odata.type" = "#microsoft.graph.windows10GeneralConfiguration" displayName = "Windows_BitLocker_Forced_Config" description = "IntuneでBitLockerを強制する構成プロファイル" bitLockerDisableWarningForNotProvisionedStorage = $true # 未プロビジョニングストレージの警告を無効化 bitLockerRecoveryOptions = @{ "@odata.type" = "#microsoft.graph.bitLockerRecoveryOptions" blockDataRecoveryAgent = $false # データ回復エージェントをブロックしない recoveryKeyUsage = "block" # 回復キーの使用をブロック（ユーザーが管理） recoveryPasswordUsage = "required" # 回復パスワードの使用を必須に } bitLockerRemovableDrivePolicy = @{ # リムーバブルドライブのポリシー "@odata.type" = "#microsoft.graph.bitLockerRemovableDrivePolicy" encryptionMethod = "aes256" requireEncryptionForWriteAccess = $true # 書き込みアクセスには暗号化を必須に blockDiskWriteAccess = $false # ディスク書き込みアクセスをブロックしない } bitLockerFixedDrivePolicy = @{ # 固定ドライブのポリシー "@odata.type" = "#microsoft.graph.bitLockerFixedDrivePolicy" encryptionMethod = "aes256" requireDeviceEncryption = $true # デバイスの暗号化を必須に # ここではTPMを使用し、PINやスタートアップキーはオプションとする設定例 osDriveProtectionType = "tpm" # OSドライブはTPMベース osDriveRecoveryOptions = @{ "@odata.type" = "#microsoft.graph.bitLockerRecoveryOptions" blockDataRecoveryAgent = $false recoveryKeyUsage = "required" recoveryPasswordUsage = "required" } } # 他にも詳細な設定が可能ですが、ここでは簡略化しています } | ConvertTo-Json # 4. Graph APIを呼び出してプロファイルを作成 Write-Host "BitLocker構成プロファイルを作成しています..." try { $createdProfile = Invoke-MgGraphRequest -Method POST -Uri "https://graph.microsoft.com/beta/deviceManagement/deviceConfigurations" -Body $configProfileJson -ContentType "application/json" $configId = $createdProfile.id Write-Host "プロファイル '${createdProfile.displayName}' (ID: $configId) が作成されました。" } catch { Write-Host "プロファイルの作成に失敗しました: $($_.Exception.Message)" exit } # 5. 作成したプロファイルを特定のEntra IDグループに割り当てる # 割り当て対象のEntra IDグループのIDを事前に取得しておいてください。 # 例: Get-MgGroup -DisplayName "All Windows Devices" | Select-Object Id $groupId = "YOUR_AZURE_AD_GROUP_ID" # <-- ここをあなたのグループIDに置き換えてください if (-not $groupId) { Write-Host "警告: 割り当てるグループIDが指定されていないため、プロファイルは割り当てられません。" Exit } $assignmentBody = @{ "@odata.type" = "#microsoft.graph.deviceConfigurationAssignment" target = @{ "@odata.type" = "#microsoft.graph.deviceAndAppManagementAssignmentTarget" groupCollectionId = $groupId } } | ConvertTo-Json Write-Host "プロファイルをグループID '$groupId' に割り当てています..." try { Invoke-MgGraphRequest -Method POST -Uri "https://graph.microsoft.com/beta/deviceManagement/deviceConfigurations/$configId/assignments" -Body $assignmentBody -ContentType "application/json" Write-Host "プロファイルの割り当てが完了しました。" } catch { Write-Host "プロファイルの割り当てに失敗しました: $($_.Exception.Message)" } </pre> <blockquote class="wp-block-quote is-layout-flow wp-block-quote-is-layout-flow"> <p>Note: このスクリプトは、特定のセキュリティ設定（BitLocker）をGraph API経由でIntuneにデプロイする一例です。実運用では、グループIDの動的な取得やエラーハンドリングを強化する必要があります。</p> </blockquote> <h2 class="wp-block-heading">運用監視</h2> <p>Intuneの運用監視は、Intune管理センターのレポート機能が中心となります。デバイスの準拠性レポート、構成プロファイルの展開状況、アプリのインストール状況などを詳細に確認できます。</p> <ul class="wp-block-list"> <li><strong>可観測性</strong>: Intune管理センターの「レポート」セクションは、デバイスの健全性やポリシー適用状況を一目で把握するためのダッシュボードを提供します。さらに詳細な分析が必要な場合は、Intuneの診断ログや監査ログをAzure Log Analyticsワークスペースにエクスポートし、KustoクエリやAzure Monitor Workbookで可視化することが有効です。</li> <li><strong>ログ</strong>: Intuneはデバイスの登録、ポリシー適用、アプリケーションのインストールなど、多岐にわたるアクティビティログを記録します。これらのログはトラブルシューティングやセキュリティ監査に不可欠です。</li> <li><strong>SLA/バックアップ/DR</strong>: IntuneはMicrosoftが提供するSaaSサービスであるため、サービスの可用性（SLA）や基盤のバックアップ、災害復旧（DR）はMicrosoftの責任範囲です。しかし、Intune上の設定情報（プロファイル、アプリ情報など）は、定期的にGraph APIなどを用いてエクスポートし、外部でバックアップを取ることを検討すると良いでしょう。誤って設定を削除してしまった際の復旧に役立ちます。</li> </ul> <h2 class="wp-block-heading">セキュリティ</h2> <p>デバイス管理におけるセキュリティは、Intuneの最も重要な役割の一つです。</p> <ul class="wp-block-list"> <li><strong>アイデンティティと権限境界</strong>: <ul> <li><strong>Microsoft Entra ID</strong>: すべてのデバイスとユーザーのアイデンティティ管理の中心です。Intuneに登録されたデバイスはEntra IDに登録され、デバイスIDが付与されます。</li> <li><strong>ロールベースアクセス制御 (RBAC)</strong>: Intuneの管理権限を最小限の原則で付与するために利用します。「Intune管理者」「ポリシーおよびプロファイルマネージャー」などの組み込みロール、あるいはカスタムロールを作成し、特定の管理タスクのみを許可します。</li> <li><strong>条件付きアクセス (CA)</strong>: Entra ID P1/P2ライセンスが必要な強力なセキュリティ機能です。例えば、「Intuneで準拠しているデバイスからのみ企業リソースへのアクセスを許可する」といったポリシーや、「機密データにアクセスする際はMFAを強制する」といったルールを設定できます。</li> <li><strong>Microsoft Defender for Endpoint連携</strong>: IntuneとDefender for Endpointを連携させることで、デバイスの脅威レベルに基づいた条件付きアクセスを適用できます。例えば、マルウェアに感染したデバイスからのリソースアクセスを自動的にブロックするといった高度な制御が可能です。</li> </ul></li> <li><strong>デバイスセキュリティ機能</strong>: BitLockerによるドライブ暗号化、Windows Hello for Businessによる生体認証、Microsoft Edgeのセキュリティポリシー適用など、多様なデバイスセキュリティ機能をIntune経由で強制できます。</li> </ul> <h2 class="wp-block-heading">コスト</h2> <p>Intuneのコストは主にユーザーライセンスに基づいています。</p> <ul class="wp-block-list"> <li><strong>ライセンス</strong>: Intuneのライセンスは、独立した「Microsoft Intune」ライセンスの他、「Enterprise Mobility + Security (EMS) E3/E5」や「Microsoft 365 Business Premium」「Microsoft 365 E3/E5」といったバンドル製品に含まれています。これらのSKUによって利用できる機能（例えば、条件付きアクセスにはEntra ID P1/P2が必要）が異なるため、自社の要件に合った適切なライセンスを選択することが大切です。</li> <li><strong>コスト最適化</strong>: Intuneのライセンスはユーザーごとに課金されるため、コスト最適化の鍵は「必要なユーザーにのみ、適切なライセンスを割り当てること」です。 <ul> <li><strong>不要なライセンスの削除</strong>: 退職者や異動でIntune管理対象外となったユーザーからは速やかにライセンスを解除しましょう。</li> <li><strong>適切なSKUの選択</strong>: 自社に必要な機能（例: 条件付きアクセスが不要ならEntra ID Freeで十分）を洗い出し、オーバースペックなライセンスを選ばないように注意します。</li> <li>Intuneのデータストレージ自体は追加コストがかかることは稀ですが、Log Analyticsなど他のAzureサービスに診断データをエクスポートする場合は、そのサービスの料金が発生します。</li> </ul></li> </ul> <h2 class="wp-block-heading">落とし穴</h2> <p>Intune導入におけるいくつかの「落とし穴」も理解しておくべきです。</p> <ul class="wp-block-list"> <li><strong>ユーザーエクスペリエンスとのバランス</strong>: セキュリティを強化しすぎるポリシーは、ユーザーの利便性を損ない、生産性を低下させる可能性があります。従業員のフィードバックを収集し、適切なバランスを見つけることが大切です。</li> <li><strong>既存環境からの移行課題</strong>: 既存のSCCM（現在のMicrosoft Configuration Manager）などのオンプレミス管理ツールからの移行は、Co-managementなどのハイブリッドアプローチを慎重に計画する必要があります。</li> <li><strong>ライセンス管理の複雑さ</strong>: 前述の通り、多くのバンドルライセンスが存在するため、自社の必要な機能と照らし合わせて最適なSKUを選ぶのは時に複雑です。</li> <li><strong>デバイスの種類やOSバージョンによる機能差</strong>: iOS/iPadOS、Android、macOS、Windowsなど、OSによってIntuneで管理できる範囲や機能が異なります。また、OSのバージョンアップへの追従も必要です。</li> <li><strong>設定ミスによる大規模な影響</strong>: Intuneは強力なツールであるからこそ、誤った設定が全デバイスに適用されてしまうと、業務停止などの大きな影響が出かねません。テスト環境での十分な検証と段階的な適用を心がけましょう。</li> </ul> <h2 class="wp-block-heading">まとめ</h2> <p>Microsoft Intuneは、現代の多様なデバイスと働き方に対応するための強力なデバイス管理プラットフォームです。Entra IDとの連携による堅牢なアイデンティティ管理、条件付きアクセスによる柔軟なセキュリティ制御、そしてPowerShellやGraph APIによる自動化とカスタマイズ性など、その魅力は尽きません。</p> <p>導入と運用には、ライセンス体系の理解やセキュリティポリシーとユーザーエクスペリエンスのバランス取り、そして設定の慎重なテストが求められますが、これらを乗り越えれば、よりセキュアで効率的なデバイス環境を実現できるでしょう。ぜひ、Intuneを活用して、皆さんの組織のデジタルワークプレイスを次のレベルへと引き上げてみませんか？</p>

graph TD
    A["ユーザー"] -- Entra ID認証 --> B("Microsoft Entra ID");
    B -- 認証成功 --> C("Microsoft Intune");
    C -- デバイス登録要求 --> D("ユーザー/デバイス");
    D -- デバイス登録(MDM) --> C;
    C -- デバイス種類別設定 --> E{"構成プロファイル & アプリケーション"};
    E -- ポリシー適用/アプリ配布 --> D;
    D -- 準拠性評価 --> F("Intune 準拠性ポリシー");
    F -- 準拠デバイスのみ --> G("企業リソースへのアクセス許可");
    F -- 非準拠デバイス --> H("条件付きアクセスでアクセス制限");
    H -- 脅威検知 --> I("Microsoft Defender for Endpoint");
    I -- 準拠性フィードバック --> F;
    C -- 管理/レポート --> J("Intune 管理センター");

# 1. Microsoft Graph PowerShell SDKのインストールと認証
# 事前にInstall-Module Microsoft.Graph -Scope CurrentUser を実行してください
Connect-MgGraph -Scopes "DeviceManagementConfiguration.ReadWrite.All", "DeviceManagementManagedDevices.ReadWrite.All", "Group.Read.All"

# 2. Windows自動登録設定の確認（Entra ID P1/P2が必要）
# Intune管理センター > デバイス > Windows > Windows登録 > 自動登録 からも設定可能
Write-Host "Entra IDのMDMユーザー範囲を確認してください。Entra ID P1/P2ライセンスが必要です。"

# 3. BitLocker設定の構成プロファイルを作成するJSONボディを準備
# これはWindows 10以降向けの「デバイス構成プロファイル」です。
$configProfileJson = @{
    "@odata.type" = "#microsoft.graph.windows10GeneralConfiguration"
    displayName = "Windows_BitLocker_Forced_Config"
    description = "IntuneでBitLockerを強制する構成プロファイル"
    bitLockerDisableWarningForNotProvisionedStorage = $true # 未プロビジョニングストレージの警告を無効化
    bitLockerRecoveryOptions = @{
        "@odata.type" = "#microsoft.graph.bitLockerRecoveryOptions"
        blockDataRecoveryAgent = $false # データ回復エージェントをブロックしない
        recoveryKeyUsage = "block" # 回復キーの使用をブロック（ユーザーが管理）
        recoveryPasswordUsage = "required" # 回復パスワードの使用を必須に
    }
    bitLockerRemovableDrivePolicy = @{ # リムーバブルドライブのポリシー
        "@odata.type" = "#microsoft.graph.bitLockerRemovableDrivePolicy"
        encryptionMethod = "aes256"
        requireEncryptionForWriteAccess = $true # 書き込みアクセスには暗号化を必須に
        blockDiskWriteAccess = $false # ディスク書き込みアクセスをブロックしない
    }
    bitLockerFixedDrivePolicy = @{ # 固定ドライブのポリシー
        "@odata.type" = "#microsoft.graph.bitLockerFixedDrivePolicy"
        encryptionMethod = "aes256"
        requireDeviceEncryption = $true # デバイスの暗号化を必須に
        # ここではTPMを使用し、PINやスタートアップキーはオプションとする設定例
        osDriveProtectionType = "tpm" # OSドライブはTPMベース
        osDriveRecoveryOptions = @{
            "@odata.type" = "#microsoft.graph.bitLockerRecoveryOptions"
            blockDataRecoveryAgent = $false
            recoveryKeyUsage = "required"
            recoveryPasswordUsage = "required"
        }
    }
    # 他にも詳細な設定が可能ですが、ここでは簡略化しています
} | ConvertTo-Json

# 4. Graph APIを呼び出してプロファイルを作成
Write-Host "BitLocker構成プロファイルを作成しています..."
try {
    $createdProfile = Invoke-MgGraphRequest -Method POST -Uri "https://graph.microsoft.com/beta/deviceManagement/deviceConfigurations" -Body $configProfileJson -ContentType "application/json"
    $configId = $createdProfile.id
    Write-Host "プロファイル '${createdProfile.displayName}' (ID: $configId) が作成されました。"
} catch {
    Write-Host "プロファイルの作成に失敗しました: $($_.Exception.Message)"
    exit
}

# 5. 作成したプロファイルを特定のEntra IDグループに割り当てる
# 割り当て対象のEntra IDグループのIDを事前に取得しておいてください。
# 例: Get-MgGroup -DisplayName "All Windows Devices" | Select-Object Id
$groupId = "YOUR_AZURE_AD_GROUP_ID" # <-- ここをあなたのグループIDに置き換えてください

if (-not $groupId) {
    Write-Host "警告: 割り当てるグループIDが指定されていないため、プロファイルは割り当てられません。"
    Exit
}

$assignmentBody = @{
    "@odata.type" = "#microsoft.graph.deviceConfigurationAssignment"
    target = @{
        "@odata.type" = "#microsoft.graph.deviceAndAppManagementAssignmentTarget"
        groupCollectionId = $groupId
    }
} | ConvertTo-Json

Write-Host "プロファイルをグループID '$groupId' に割り当てています..."
try {
    Invoke-MgGraphRequest -Method POST -Uri "https://graph.microsoft.com/beta/deviceManagement/deviceConfigurations/$configId/assignments" -Body $assignmentBody -ContentType "application/json"
    Write-Host "プロファイルの割り当てが完了しました。"
} catch {
    Write-Host "プロファイルの割り当てに失敗しました: $($_.Exception.Message)"
}