Microsoft Intune と Microsoft Entra 条件付きアクセスの組み合わせを使用して、ユーザーが Azure Virtual Desktop、Windows 365、および Microsoft Dev Box に接続する前に、ユーザーのデバイスが特定のセキュリティ要件を満たしていることを要求できます。 この方法を使用すると、次のシナリオで Windows アプリのセキュリティ要件を適用できます。
| デバイスのプラットフォーム | Intune デバイス管理 |
|---|---|
| iOS/iPadOS | マネージドまたはアンマネージド |
| Android¹ | マネージドまたはアンマネージド |
| Web ブラウザー (Windows 上の Microsoft Edge のみ) | アンマネージドのみ |
- Chrome OS のサポートは含まれません。
管理対象デバイスと非管理対象デバイスでアプリ保護ポリシーを使用する方法については、「デバイス 管理状態に基づくターゲット アプリ保護ポリシー」を参照してください。
適用できるポリシー設定には、PIN の要求、特定のオペレーティング システムバージョンの要求、サード パーティ製キーボードのブロック、ローカル クライアント デバイス上の他のアプリ間での切り取り、コピー、貼り付けの操作の制限などがあります。 使用可能な設定の完全な一覧については、「 iOS アプリ保護ポリシー設定での条件付き起動 」および 「Android アプリ保護ポリシー設定での条件付き起動」を参照してください。
セキュリティ要件を設定したら、iOS/iPadOS および Android デバイスで、カメラ、マイク、ストレージ、クリップボードなどのローカル リソースがリモート セッションにリダイレクトされるかどうかを管理することもできます。 ローカル デバイスのセキュリティ コンプライアンスを要求することは、ローカル デバイスのリダイレクト設定を管理するための前提条件です。 ローカル デバイス リダイレクト設定の管理の詳細については、「 Microsoft Intune でローカル デバイス リダイレクト設定を管理する」を参照してください。
大まかに言えば、構成する領域は 2 つあります。
Intune アプリ保護ポリシー: アプリケーションとローカル クライアント デバイスが満たす必要があるセキュリティ要件を指定するために使用されます。 フィルターを使用して、特定の条件に基づいてユーザーをターゲットにすることができます。
条件付きアクセス ポリシー: アプリ保護ポリシーで設定された条件が満たされている場合にのみ、Azure Virtual Desktop と Windows 365 へのアクセスを制御するために使用されます。
前提条件
Intune と条件付きアクセスを使用してローカル クライアント デバイスのセキュリティ コンプライアンスを要求するには、次のものが必要です。
セッション ホストまたはクラウド PC を使用した既存のホスト プール。
ポリシーを適用するユーザーを含む少なくとも 1 つの Microsoft Entra ID セキュリティ グループ。
管理対象デバイスの場合のみ、Intune に使用する次の各アプリを追加する必要があります。
- iOS/iPadOS 上の Windows アプリについては、「 Microsoft Intune に iOS ストア アプリを追加する」を参照してください。
- Windows 上の Microsoft Edge については、「 Microsoft Edge for Windows 10/11 を Microsoft Intune に追加する」を参照してください。
次のいずれかのバージョンの Windows アプリを実行しているか、Microsoft Edge で Windows アプリを使用しているローカル クライアント デバイス。
Windows アプリ:
- iOS/iPadOS: 11.1.1 以降。
- Android 1.0.0.161 以降。
Windows 上の Microsoft Edge: 134.0.3124.51 以降。
また、ローカル クライアント デバイスには、次の最新バージョンが必要です。
- iOS/iPadOS: Microsoft Authenticator アプリ
- Android: 個人用デバイスの Windows App と同じプロファイル内にインストールされたポータル サイト アプリ。 個人プロファイルまたは仕事用プロファイルのいずれかに両方のアプリが含まれている必要があり、それぞれが別のプロファイルに含まれていてはなりません。
アプリ保護ポリシーと条件付きアクセス ポリシーを構成するための Intune の前提条件は他にもあります。 詳細については、以下を参照してください。
フィルターを作成する
フィルターを作成することで、フィルターで設定された条件が一致する場合にのみポリシー設定を適用でき、ポリシーの割り当てスコープを絞り込むことができます。 Windows アプリでは、次のフィルターを使用できます。
iOS/iPadOS:
- アンマネージド デバイスとマネージド デバイス用のマネージド アプリ フィルターを作成します。
- マネージド デバイスのマネージド デバイス フィルターを作成します。
アンドロイド：
- アンマネージド デバイスとマネージド デバイス用のマネージド アプリ フィルターを作成します。
Windows: フィルターは、Windows 上の Microsoft Edge には適用されません。
フィルターを使用して、ポリシーの割り当てスコープを絞り込みます。 フィルターの作成は省略可能です。フィルターを構成しない場合は、管理対象デバイスと非管理対象デバイスのどちらにあるかに関係なく、同じデバイス セキュリティ コンプライアンスとデバイス リダイレクト設定がユーザーに適用されます。 フィルターで指定するものは、要件によって異なります。
フィルターとその作成方法については、「Microsoft Intune でアプリ、ポリシー、プロファイルを割り当てるときにフィルターを使用する」とマネージド アプリ フィルターのプロパティに関する記事を参照してください。
アプリ保護ポリシーを作成する
アプリ保護ポリシーを使用すると、アプリとデバイスがデータにアクセスして共有する方法を制御できます。 Windows では、iOS/iPadOS、Android、Microsoft Edge 用のアプリ 保護ポリシー を個別に作成する必要があります。 管理対象デバイスとアンマネージド デバイスに基づいてポリシー ターゲットを構成できないため、iOS/iPadOS と Android の両方を同じアプリ保護ポリシーで構成しないでください。
関連するタブを選択します。
アプリ保護ポリシーを作成して適用するには、「アプリ保護ポリシー を作成して割り当てる方法 」の手順に従い、次の設定を使用します。
iOS/iPadOS 用のアプリ保護ポリシーを作成します。
[ アプリ ] タブで、[ パブリック アプリの選択] を選択し、[ Windows アプリ] を検索して選択し、[選択] を 選択します。
[ データ保護 ] タブでは、次の設定のみが Windows アプリに関連します。 その他の設定は、Windows アプリがセッション ホストとやり取りし、アプリ内のデータと対話しないため、適用されません。 モバイル デバイスでは、未承認のキーボードがキーストロークのログと盗難の原因になります。
次の設定を構成できます。
パラメーター 値/説明 データ転送 組織データを他のアプリに送信する 画面キャプチャ保護を有効にするには 、[なし] に設定します。 Azure Virtual Desktop での画面キャプチャ保護の詳細については、「Azure Virtual Desktop で画面キャプチャ保護を有効にする」を参照してください。 他のアプリ間での切り取り、コピー、貼り付けの制限 [ ブロック] に設定すると、Windows アプリとローカル デバイス間のクリップボードリダイレクトが無効になります。 アプリ構成ポリシーでクリップボード リダイレクトを無効にして使用します。 サード パーティ製キーボード サード パーティ製のキーボードをブロックするには、[ ブロック] に設定します。 [条件付き起動] タブで、次の条件を追加することをお勧めします。
条件 条件タイプ 価値 アクション アプリの最小バージョン アプリの条件 あなたの要件に基づいて。 iOS/iPadOS の Windows アプリのバージョン番号を入力する アクセスをブロック OS の最小バージョン デバイスの状態 あなたの要件に基づいて。 アクセスをブロック 主要なMTDサービス デバイスの状態 あなたの要件に基づいて。
MTD コネクタを設定する必要があります。 Microsoft Defender for Endpoint の場合は、Intune で Microsoft Defender for Endpoint を構成します。アクセスをブロック 許容される最大デバイス脅威レベル デバイスの状態 セキュリティ保護 アクセスをブロック 使用可能な設定の詳細については、「 iOS アプリ保護ポリシー設定での条件付き起動」を参照してください。
[ 割り当て ] タブで、ポリシーを適用するユーザーを含むセキュリティ グループにポリシーを割り当てます。 ポリシーを有効にするには、ユーザーのグループにポリシーを適用する必要があります。 グループごとに、必要に応じてフィルターを選択して、アプリ構成ポリシーの対象をより明確にできます。
条件付きアクセス ポリシーを作成する
条件付きアクセス ポリシーを使用すると、接続しているユーザーと使用しているデバイスの特定の条件に基づいて、Azure Virtual Desktop、Windows 365、Microsoft Dev Box へのアクセスを制御できます。 要件に基づいて詳細なシナリオを実現するために、複数の条件付きアクセス ポリシーを作成することをお勧めします。 ポリシーの例を次のセクションに示します。
重要
ユーザーが使用できるようにするクラウド サービス、デバイス、および Windows アプリのバージョンの範囲を慎重に検討してください。 これらの条件付きアクセス ポリシーの例では、すべてのシナリオがカバーされるわけではありません。また、アクセスを誤ってブロックしないように注意する必要があります。 ポリシーを作成し、要件に基づいて設定を調整する必要があります。
条件付きアクセス ポリシーを作成して適用するには、「 Intune でアプリベースの条件付きアクセス ポリシーを設定する 」の手順に従い、次の例の情報と設定を使用します。
例 1: Windows アプリでアプリ保護ポリシーが適用されている場合にのみアクセスを許可する
この例では、Windows アプリでアプリ保護ポリシーが適用されている場合にのみアクセスを許可します。
[割り当て] の [ユーザーまたはワークロード ID] で、選択した 0 人のユーザーまたはワークロード ID を選択し、ポリシーを適用するユーザーを含むセキュリティ グループを含めます。 ポリシーを有効にするには、ユーザーのグループにポリシーを適用する必要があります。
[ターゲット リソース] で、ポリシーをリソースに適用することを選択し、[含める] で [リソースの選択] を選択します。 次のリソースを検索して選択します。 これらのリソースは、テナントに関連するサービスを登録した場合にのみ使用できます。
リソース名 アプリケーション識別子 注記 Azure Virtual Desktop 9cdead84-a844-4324-93f2-b2e6bb768d07 代わりに Windows Virtual Desktop と呼ばれる場合があります。 アプリケーション ID を使用して確認します。 Windows 365 0af06dc6-e4b5-4f28-818e-e78e62d137a5 Microsoft Dev Box にも適用されます。 Windows クラウド ログイン 270efc09-cd0d-444b-a71f-39af4910ec45 他のサービスのいずれかが登録されると利用できます。 [条件] について、次のようにします。
- [ デバイス プラットフォーム] を選択し、[ 構成] で [ はい] を選択し、[ 含める] で [ デバイス プラットフォームの選択 ] を選択し、 iOS と Android をオンにします。
- [ クライアント アプリ] を選択し、[ 構成] で [はい] を選択し、[ ブラウザー と モバイル アプリとデスクトップ クライアント] をオンにします。
[アクセス制御] の [アクセスの許可] で、選択した 0 個のコントロールを選択し、[アプリ保護ポリシーを要求する] チェック ボックスをオンにし、[選択したすべてのコントロールを要求する] のラジオ ボタンを選択します。
[ポリシーを有効にする] は、[オン] に設定します。
例 2: Windows デバイスのアプリ保護ポリシーを要求する
この例では、Web ブラウザーでのみ Windows アプリを使用してリモート セッションにアクセスするために Microsoft Edge を使用するように、管理されていない個人用 Windows デバイスを制限します。 このシナリオの詳細については、「 Windows デバイスのアプリ保護ポリシーを要求する」を参照してください。
[割り当て] の [ユーザーまたはワークロード ID] で、選択した 0 人のユーザーまたはワークロード ID を選択し、ポリシーを適用するユーザーを含むセキュリティ グループを含めます。 ポリシーを有効にするには、ユーザーのグループにポリシーを適用する必要があります。
[ターゲット リソース] で、ポリシーをリソースに適用することを選択し、[含める] で [リソースの選択] を選択します。 次のリソースを検索して選択します。 これらのリソースは、テナントに関連するサービスを登録した場合にのみ使用できます。
リソース名 アプリケーション識別子 注記 Azure Virtual Desktop 9cdead84-a844-4324-93f2-b2e6bb768d07 代わりに Windows Virtual Desktop と呼ばれる場合があります。 アプリケーション ID を使用して確認します。 Windows 365 0af06dc6-e4b5-4f28-818e-e78e62d137a5 Microsoft Dev Box にも適用されます。 Windows クラウド ログイン 270efc09-cd0d-444b-a71f-39af4910ec45 他のサービスのいずれかが登録されると利用できます。 [条件] について、次のようにします。
- [ デバイス プラットフォーム] を選択し、[ 構成] で [ はい] を選択し、[ 含める] で [ デバイス プラットフォームの選択 ] を選択し、[ Windows] をオンにします。
- [ クライアント アプリ] を選択し、[ 構成] で [ はい] を選択し、[ブラウザー] をオン にします。
アクセス制御の場合は、[アクセス権の付与] を選択し、[アプリ保護ポリシーを要求する] チェック ボックスをオンにし、[選択したコントロールのいずれかを要求する] のラジオ ボタンを選択します。
[ポリシーを有効にする] は、[オン] に設定します。
構成を確認する
Intune と条件付きアクセスを構成して、個人のデバイスでデバイスのセキュリティ コンプライアンスを要求したら、リモート セッションに接続して構成を確認できます。 テストする必要がある内容は、登録済みデバイスまたは登録解除済みデバイスに適用するようにポリシーを構成したかどうか、どのプラットフォーム、および設定したデータ保護設定によって異なります。 実行可能なアクションが想定どおりであることを確認してください。