Intuneデバイスとオンボード デバイスでMicrosoft Defender for Endpointを構成する

この記事では、Microsoft Defender for EndpointをMicrosoft Intuneに接続し、プラットフォーム別にデバイスを Defender for Endpoint にオンボードし、デバイス リスク レベルを使用して企業リソースへのアクセスを制御するコンプライアンスポリシーと条件付きアクセス ポリシーを構成する手順について説明します。

タスク固有の要件については、この記事全体を通じて説明します。 一 般的な統合の前提条件についても確認してください。

達成する内容

このガイドを完了すると、次の統合ワークフローが完了します。

✅IntuneとMicrosoft Defender for Endpointの間のサービス間接続
✅Microsoft Defender for Endpointにオンボードされたデバイス (Windows、macOS、Android、iOS/iPadOS)
✅リスクの高いデバイスを非準拠として自動的にマークするように構成されたコンプライアンス ポリシー
✅企業リソースから非準拠デバイスをブロックする条件付きアクセス ポリシー

クイック ナビゲーション

• サービスの接続
• 統合設定を構成する
• デバイスのオンボード
• コンプライアンス ポリシーの構成
• アプリ保護ポリシーを構成する
• 条件付きアクセスを設定する

モバイル環境の場合: このガイドでは、Android および iOS/iPadOS デバイスの アプリ保護ポリシー についても説明します。 これらのポリシーは、デバイスのリスク レベルを設定し、登録済みデバイスと登録されていないデバイスの両方で動作し、Microsoft Defender for Endpoint脅威評価に基づいてモバイル アプリに追加の保護を提供します。

その他の機能:登録済みデバイス以外にも、Intuneに登録されていないデバイス (Linux デバイスを含む) で Defender for Endpoint セキュリティ構成を管理することもできます。 このシナリオは、Microsoft Defender for Endpointのセキュリティ管理と呼ばれます。 これを有効にするには、[エンドポイント セキュリティ構成を適用するMicrosoft Defender for Endpointを許可する] トグルを [オン] に設定します。 詳細については、「セキュリティ構成管理Microsoft Defender for Endpoint」を参照してください。

Microsoft Defender for EndpointをIntuneに接続する

このテナントごとの 1 回限りのセットアップにより、統合機能を有効にするサービス間接続が確立されます。

前提条件:

• エンドポイント セキュリティ マネージャーロールまたは Mobile Threat Defense 設定の同等のアクセス許可を持つMicrosoft Intune管理センターへのアクセスを管理します (カスタム ロールには Mobile Threat Defense アクセス許可の読み取りと変更の権限が必要です)。「カスタム ロールの作成」を参照してください。
• Microsoft Entra IDのセキュリティ管理者ロールを持つMicrosoft Defender ポータル、またはMicrosoft Defender for Endpointの [Security Center でセキュリティ設定を管理する] アクセス許可を使用して、Microsoft Defender ポータルにアクセス管理。

IntuneとMicrosoft Defender for Endpoint統合を有効にする

1. 最初に接続の状態を確認します。Microsoft Intune管理センターにサインインし、[エンドポイント セキュリティ>Microsoft Defender for Endpoint] を選択します。

   • [接続の状態]に [有効] と表示されている場合、サービスは既に接続されています。 [デバイスのオンボード] に進みます。
   • [接続の状態] に [使用不可] と表示されている場合は、次の手順に進みます。

2. Microsoft Defender ポータルを開く: Intune管理センターから、Microsoft Defender for Endpoint ページの下部までスクロールし、[Microsoft Defender セキュリティ センターを開く] を選択します (または、security.microsoft.com)。

   ヒント

   既に接続されている場合は、[Microsoft Defender for Endpoint管理コンソールを開く] というリンクが表示されます。

   

3. Microsoft Defender ポータルで接続を有効にする:Microsoft Defender ポータルで、System>Settings>Endpoints>General>Advanced 機能に移動します。

   

   接続Microsoft Intune見つけて、[オン] に切り替えて、[設定の保存] を選択します。

   

   この設定の詳細については、Defender for Endpoint のドキュメントMicrosoft Intune接続に関するページを参照してください。

4. 検証：Intune管理センターに戻ります。 [接続の状態] に [有効] と表示されるようになりました (更新には最大 15 分かかる場合があります)。 必要に応じて、[エンドポイント セキュリティ>Microsoft Defender for Endpointの監視設定を確認して調整できます。

サービス間接続が確立されました。 引き続き、この統合を使用するプラットフォームと機能を構成します。

統合設定を構成する

サービス接続が確立されたら、コンプライアンスとアプリ保護ポリシーの評価のためにMicrosoft Defender for Endpointに接続するプラットフォームを構成します。

前提条件:Endpoint Security Manager ロールまたは Mobile Threat Defense 設定の同等のアクセス許可を持つMicrosoft Intune管理センターへのアクセスを管理します (カスタム ロールでは Mobile Threat Defense アクセス許可の読み取りと変更の権限が必要です。「カスタム ロールの作成」を参照してください)。

コンプライアンスとアプリ保護の設定を構成する

1. 統合設定に移動します。Microsoft Intune管理センターで、[エンドポイント セキュリティ>Microsoft Defender for Endpoint] に移動します。 [接続の状態] に [有効] が表示されます。

2. コンプライアンス ポリシーの評価を構成します。 サポートされているプラットフォームの コンプライアンス ポリシー評価 で、次のオプションを有効にします。

   • Android デバイスを Microsoft Defender for Endpoint に接続する: オン
   • iOS/iPadOS デバイスをMicrosoft Defender for Endpointに接続する: オン
   • Windows デバイスをMicrosoft Defender for Endpointに接続する: オン

   注:

   有効にすると、現在Intuneで管理しているすべての適用可能なデバイスと将来の登録が、コンプライアンス評価のためにMicrosoft Defender for Endpointに接続されます。

   ヒント

   その他の iOS 設定: iOS デバイスの場合、Defender for Endpoint では、アプリの脆弱性評価を提供するのに役立つ設定もサポートされています。 iOS デバイスの App Sync を有効にして、脅威分析のメタデータ共有を許可し (MDM 登録が必要です)、個人所有の iOS/iPadOS デバイスでアプリケーション インベントリ データ全体を送信するを構成して、Defender for Endpoint と共有されるアプリ データを制御できます。 詳細については、「 アプリの脆弱性評価を構成する」を参照してください。

   詳細については、「Mobile Threat Defense トグル オプション」を参照してください。

3. アプリ保護ポリシーの評価を構成します。モバイル プラットフォームのポリシー評価アプリ保護で、次のオプションを有効にします。

   • Android デバイスを Microsoft Defender for Endpoint に接続する: オン
   • iOS/iPadOS デバイスをMicrosoft Defender for Endpointに接続する: オン

   ヒント

   アプリ保護 ポリシーは、登録済みデバイスと登録されていないデバイスの両方で機能します。 詳細については、「 Mobile Threat Defense トグル オプション」を参照してください。

4. 構成を保存します。 [ 保存] を 選択して、すべての設定を適用します。

有効にしたプラットフォームは、脅威評価とコンプライアンス評価のためにデバイスをMicrosoft Defender for Endpointに接続します。

デバイスのオンボード

デバイス オンボードでは、マネージド デバイスがMicrosoft Defender for Endpointと通信するように構成され、脅威の検出とリスク評価が可能になります。

前提条件:エンドポイント セキュリティ マネージャーの役割またはエンドポイント検出と応答ポリシーに対する同等のアクセス許可を持つMicrosoft Intune管理センターへのアクセスを管理します (カスタム ロールには、エンドポイント検出と応答のアクセス許可に対する割り当て、作成、削除、読み取り、更新、およびレポートの表示権限が必要です)。

プラットフォーム固有のオンボード:

• Windows: 自動オンボード パッケージ (推奨)
• macOS、Android、iOS/iPadOS: 手動構成が必要

Windows デバイスのオンボード

サービス接続が確立されると、IntuneはMicrosoft Defender for Endpointからオンボード構成パッケージを自動的に受信します。 このパッケージを使用すると、次のことが可能になります。

• Microsoft Defender for Endpoint サービスとの通信
• ファイルのスキャンと脅威の検出
• コンプライアンス ポリシーのリスク レベル レポート

デプロイ方法を選択します。

• クイック セットアップ: 事前構成済みのポリシー (すべてのデバイスに展開)
• カスタム セットアップ: 手動でポリシーを作成する (詳細な制御)

オプション 1: クイック セットアップ (事前構成済みポリシー)

このオプションは、追加の構成なしですべての Windows デバイスに高速で広範に展開する場合に使用します。

含まれるもの:

• 自動オンボード パッケージ構成
• 既定のスコープ タグ
• [すべてのデバイスへの割り当て] グループ
• 追加の構成は必要ありません

簡単なセットアップ手順

1. Microsoft Intune管理センターで、[エンドポイント のセキュリティ>エンドポイントの検出と応答>EDR オンボード状態] タブに移動します。

2. [ 構成済みポリシーのデプロイ] を選択します。

   

3. ポリシーを構成します。

   • プラットフォーム: Windows (Intune マネージド) または Windows (ConfigMgr) を選択します (テナントアタッチの場合)
   • プロファイル: [エンドポイントの検出と応答] を選択します
   • 名前: わかりやすい名前を入力します (例: "MDE EDR オンボード - すべての Windows デバイス")

4. 確認して作成する: 設定を確認し、[保存] を選択 します。 ポリシーはすぐにすべての Windows デバイスへの展開を開始します。

   注:

   ポリシーの詳細は後で編集できますが、初期展開設定は作成時に変更できません。

オプション 2: カスタム セットアップ (手動でポリシーを作成)

詳細な制御、特定のデバイス グループ、またはカスタム スコープ タグには、このオプションを使用します。

カスタム セットアップ手順

1. Microsoft Intune管理センターで、[エンドポイント セキュリティ>エンドポイントの検出と応答>[Summary] タブ > [ポリシーの作成] を選択します。

2. プラットフォームとプロファイル:

   • プラットフォーム: Windows
   • プロファイル: エンドポイントの検出と応答
   • [作成] を選択します

3. 基本： わかりやすい名前と省略可能な説明を入力し、[ 次へ] を選択します。

4. 構成設定: 要件に基づいてこれらのオプションを構成します。

   • Microsoft Defender for Endpointクライアント構成パッケージの種類:

     • コネクタからの自動 (推奨): Microsoft Defender for Endpointからの自動オンボード パッケージを使用します。
     • オンボード: 切断された環境の場合は、WindowsDefenderATP.onboarding BLOB コンテンツを貼り付けます。

   • サンプル共有: 分析のために、デバイスが疑わしいファイル サンプルを Microsoft と共有するかどうかを構成します。

     • すべて: 強化された脅威検出のための自動サンプル共有を有効にします
     • なし: サンプル共有を無効にします (検出機能を減らすことができます)

   注:

   テレメトリ レポート頻度 は非推奨であり、新しいデバイスには影響しません。 設定は、以前のポリシーの互換性のために表示されたままです。

   

   注:

   上記の画面キャプチャは、IntuneとMicrosoft Defender for Endpointの間の接続が設定された後の構成オプションを示しています。 接続すると、オンボード BLOB とオフボード BLOB の詳細が自動的に生成され、Intuneに転送されます。

   この接続が正常に構成されていない場合、クライアント構成パッケージの種類Microsoft Defender for Endpoint設定には、オンボード BLOB とオフボード BLOB を指定するオプションのみが含まれます。

5. スコープ タグ (省略可能): 必要に応じてスコープ タグを追加し、[ 次へ] を選択します。

6. 割り当て: このプロファイルを受信するデバイス グループを選択します。

   重要

   • デバイス グループ: 即時展開に推奨されます。
   • ユーザー グループ: ポリシーが適用される前にユーザー サインインが必要です。

   割り当てガイダンスについては、「 ユーザー プロファイルとデバイス プロファイルを割り当てる」を参照してください。

7. 確認と作成: すべての設定を確認し、[ 作成] を選択します。

検証手順

1. ポリシーの展開を確認する: [エンドポイント のセキュリティ>エンドポイントの検出と応答] に移動します>ポリシーの>デバイスの状態を選択します。
2. デバイスのオンボードを確認する: 15 分から 30 分後に、[エンドポイント>デバイス インベントリ] の下のMicrosoft Defender ポータルにデバイスが表示されます。

macOS デバイスをオンボードする

windows デバイスとは異なり、Intuneでは macOS 用の自動オンボード パッケージが提供されていないため、macOS には手動で構成する必要があります。

macOS オンボードのクイック スタート

1. アプリをデプロイする: macOS のMicrosoft Defender for Endpointデプロイ ガイドに従います。
2. 設定の構成: アプリ構成ポリシー Intune使用します。
3. オンボードを確認する: Microsoft Defender ポータルにデバイスが表示されていることを確認します。

その他のリソース:

• Microsoft Defender for Endpoint for Mac - 機能ドキュメントとリリース ノートを完了します。

Android デバイスをオンボードする

Android オンボードのクイック スタート

1. アプリをデプロイする: Android でのMicrosoft Defender for Endpointのデプロイと構成に関するガイドに従います。
2. Web 保護を構成する: セキュリティを強化するには、Microsoft Defender for Endpoint Web 保護ポリシーを使用します。
3. オンボードの確認: Microsoft Defender ポータルでデバイスの登録を確認します。

使用可能な構成:

• Web 保護の設定
• VPN ベースのスキャン
• プライバシー制御
• 脅威検出の基本設定

iOS/iPadOS デバイスをオンボードする

iOS オンボードのクイック スタート

1. アプリをデプロイする: iOS の前提条件とオンボード手順については、Microsoft Defender for Endpointに従います。
2. 監督の検出を構成する: 強化された機能の監視モード検出を設定する
3. オンボードを確認する: Microsoft Defender ポータルでデバイスの登録を確認します。

監視モード構成: 監視対象の iOS/iPadOS デバイスの場合は、高度な管理機能を有効にするように監督検出を構成します。 監視対象デバイスの完全な展開に関するページを参照してください。

監視対象デバイスの構成手順

1. アプリ構成ポリシーを作成する:Microsoft Intune管理センターで、[アプリ>アプリ構成ポリシー>追加>管理されたデバイス] を選択します。

2. 基本を構成する:

   • 名前: わかりやすい名前を入力します (例: "MDE監督検出 - iOS")
   • プラットフォーム: iOS/iPadOS
   • 対象アプリ: Microsoft Defender for Endpoint

3. 構成設定:

   • 構成キー: issupervised
   • 値の種類: 文字列
   • 構成値: {{issupervised}}

4. 割り当て: すべてのデバイス または特定の監視対象デバイス グループをターゲットにします。

5. 確認と作成: ポリシーの作成を完了します。

デバイスのオンボード状態を監視する

次の手順を使用して、Microsoft Defender for Endpointに正常にオンボードされたデバイスを監視します。

オンボードの状態を表示するには:

1. Microsoft Intune管理センターで、[エンドポイント のセキュリティ>エンドポイントの検出と応答>EDR オンボード状態] タブに移動します。
2. すべてのプラットフォームのオンボード状態を確認する

必要なアクセス許可:アカウントには、INTUNE RBAC の 高度な脅威保護 Microsoft Defender読み取りアクセス許可が必要です。

成功インジケーター:

• デバイスは、Microsoft Defender ポータルの [エンドポイント>デバイス インベントリ] の下に表示されます
• EDR オンボード状態に "正常にオンボードされました" と表示される
• デバイス コンプライアンス レポートにリスク レベルが表示され始める

デバイスのリスク レベルを設定するコンプライアンス ポリシーを作成して割り当てる

構成されたリスクしきい値を超えるデバイスは、非準拠として自動的にマークされます。これにより、条件付きアクセス ポリシーで企業リソースからブロックできます。

サポートされているプラットフォーム: Android、iOS/iPadOS、および Windows デバイス

前提条件:

• エンドポイント セキュリティ マネージャーの役割またはデバイス コンプライアンス ポリシーに対する同等のアクセス許可を持つMicrosoft Intune管理センターへのアクセスを管理します (カスタム ロールには、デバイス コンプライアンス ポリシーの割り当て、作成、削除、読み取り、更新の権限が必要です)。

ポリシーを作成する手順

1. コンプライアンス ポリシーに移動します。Microsoft Intune管理センターで、[デバイス] を選択し> [デバイスの管理] を展開し、[コンプライアンス>ポリシー] タブ> [ポリシーの作成] を選択します。

2. プラットフォームを選択します。 ターゲット プラットフォームを選択します。

   • Android デバイス管理者 (制限付きサポート)
   • Android Enterprise (Android に推奨)
   • iOS/iPadOS
   • Windows 10 以降

   重要

   2025 年 10 月 14 日、Windows 10サポート終了に達し、品質と機能の更新プログラムを受け取りません。 Windows 10は、Intuneで許可されているバージョンです。 このバージョンを実行しているデバイスは引き続きIntuneに登録し、適格な機能を使用できますが、機能は保証されないため、異なる場合があります。

   必要に応じて、Windows プラットフォームのWindows 10/11 コンプライアンス ポリシーなどのプロファイルの種類を選択します。

3. 基本を構成する:

   • 名前: わかりやすい名前を入力します (例: "MDE リスク レベル - Windows デバイス")
   • 説明: ポリシーの目的に関するオプションの詳細

4. リスクのしきい値を設定します。[コンプライアンス設定] タブで、[Microsoft Defender for Endpoint] を展開し、[コンピューター リスク スコアの下にデバイスが存在することを要求する] を構成します。

   リスク レベル オプション (Microsoft Defender for Endpointによって決定):

   • クリア (最も安全):

     • 許可: 脅威なし
     • ブロック: 検出された脅威
     • 次の場合に使用する: 最大セキュリティが必要です

   • Low:

     • 許可: 低レベルの脅威のみ
     • ブロック: 中および高の脅威
     • 次の場合に使用する: バランスの取れたセキュリティと生産性

   • 中:

     • 許可: 低および中の脅威
     • ブロック: 高レベルの脅威のみ
     • 次の場合に使用する: セキュリティ要件をモデレートする

   • High (最小セキュリティ)

     • 許可: すべての脅威レベル
     • ブロック: なし (レポートのみ)
     • 次の場合に使用する: 生産性を最大限に高め、ブロックを最小限に抑えます

   重要

   推奨設定: 低は 、ほとんどの組織に最適なセキュリティとユーザーの生産性のバランスを提供します。

5. 完全な構成:

   • コンプライアンス違反のアクション: 通知と猶予期間を構成する
   • 割り当て: このポリシーを受け取るデバイスまたはユーザー グループを選択します
   • 確認と作成: 設定を確認し、ポリシーを作成する

6. 検証：

   • リスクしきい値を超えたデバイスは、デバイス>コンプライアンス>デバイスコンプライアンスで "準拠していません" と表示されます
   • レポートの確認>コンプライアンスの傾向に関するデバイスのコンプライアンス

デバイス リスク レベルを設定するアプリ保護ポリシーを作成し、割り当てる

アプリ保護 ポリシーは、デバイス登録とは別に機能し、モバイル アプリケーションにセキュリティの追加レイヤーを提供します。

プラットフォーム: iOS/iPadOS と Android のみ

前提条件:

• エンドポイント セキュリティ マネージャーの役割またはセキュリティ関連のモバイル アプリ ポリシーに対する同等のアクセス許可を持つMicrosoft Intune管理センターへのアクセスを管理します (カスタム ロールには、マネージド アプリのアクセス許可に対する割り当て、作成、削除、読み取り、更新、ワイプの権限が必要です)。

アプリケーション保護ポリシー作成ガイドに従い、次のMicrosoft Defender for Endpoint固有の設定を構成します。

• アプリ: 脅威ベースのポリシーで保護するアプリを選択する

• 条件付き起動: 脅威レベルと応答アクションを構成します。

  • 許可されるデバイスの脅威レベルの最大値:
    • セキュリティ保護: 脅威は許可されていません (最も安全)
    • 低: 許可されている低レベルの脅威のみ
    • 中: 低および中の脅威が許可されます
    • 高: 許可されているすべての脅威レベル (レポートのみ)
  • しきい値を超えた場合のアクション:
    • アクセスをブロックする: アプリへのアクセスを禁止する
    • データのワイプ: アプリから企業データを削除する

• 割り当て: デバイスがアプリ レベルの保護のために評価されるユーザーのグループに割り当てる

条件付きアクセス ポリシーを作成します

条件付きアクセス ポリシーは、非準拠としてマークされたデバイスが SharePoint や Exchange Online などの企業リソースにアクセスできないようにブロックします。

前提条件:

• Microsoft Intune管理センターへのアクセスを管理します。
• 条件付きアクセス ポリシーを管理するためのMicrosoft Entra IDの条件付きアクセス管理者ロールと同じアクセス許可。

ポリシーを作成する手順

1. [条件付きアクセス] に移動します。Microsoft Intune管理センターで、[エンドポイント セキュリティ>Conditional Access>新しいポリシーを作成する] を選択します。

2. 基本的な構成:

   • 名前: わかりやすい名前を入力します (たとえば、"非準拠デバイスのブロック - MDE統合")

3. ユーザー割り当て:

   • 含める: このポリシーの対象となるユーザー グループを選択します
   • 除外: ロックアウトを防ぐために、organizationの緊急割り込み管理者アカウントを除外することをお勧めします。 [接続] または [クラウド同期の接続] Microsoft Entra Microsoft Entra使用する場合は、ディレクトリ同期アカウントのディレクトリ ロールも除外します。

4. リソース保護:

   • ターゲット リソース: [クラウド アプリ] を選択します
   • 含める: [アプリの選択] を選択 し、追加します。
     • Office 365 SharePoint Online
     • Office 365 Exchange Online
     • 必要に応じて他の企業アプリケーション

5. クライアント アプリの条件:

   • 条件>クライアント アプリ>構成: はい
   • 選択: ブラウザー と モバイル アプリとデスクトップ クライアント
   • [ 完了] を選択します

6. アクセス制御:

   • Grant>アクセス権を付与する
   • 選択: デバイスを準拠としてマークする必要がある
   • 複数のコントロールの場合: 選択したすべてのコントロールが必要です
   • [選択] ボタンを選択する

7. ポリシーを有効にする:[ポリシーの有効化] を [レポートのみ] に設定し、[作成] を選択します。 ポリシーは保存されますが、アクセスはまだブロックされていません。

8. レポートのみの結果を確認する: サインイン データが累積されるまで 24 時間待ってから、結果を確認します。

   • Microsoft Entra 管理センターで、[ID>監視 & 正常性>サインイン ログ] に移動します。
   • ポリシー名でフィルター処理し、[ レポートのみ ] 列を確認します。 予期されるデバイスとユーザーのみが非準拠として表示されていることを確認します。
   • スコープが正しければ、 条件付きアクセス>Policies に戻り、ポリシーを選択し、[ポリシーの 有効化] を[オン] に変更します。

9. 検証： 非準拠デバイスでテストして、アクセスが適切にブロックされていることを確認します。 ポリシー適用ログMicrosoft Entra ID>サインインを確認します。

次の手順

即時の次の手順

1. 展開の監視: デバイスのオンボード状態 とコンプライアンス レポートを確認する
2. 保護の検証: 制御されたシナリオでテストし、ポリシーが期待どおりに動作することを確認する
3. 保護の拡大: プロアクティブな脅威の修復のための 脆弱性管理 を検討する

プラットフォーム固有の拡張機能

• Android: Web 保護設定を構成する
• すべてのプラットフォーム: リスク レベルのコンプライアンスを監視する

高度な機能

Intune統合:

• 脆弱性管理を使用したセキュリティ タスク - デバイスの脆弱性を修復する
• デバイス コンプライアンス ポリシー - 包括的なコンプライアンス管理
• アプリ保護 ポリシー - モバイル アプリのデータ保護
• モバイル アプリ保護ポリシー - Android および iOS/iPadOS デバイスの場合、これらのポリシーはデバイスのリスク レベルを設定し、登録済みデバイスと登録されていないデバイスの両方で動作します
• 登録されていないデバイスのセキュリティ管理 - Intuneに登録されていないデバイス (Linux デバイスを含む) で Defender for Endpoint のセキュリティ構成を管理する

Microsoft Defender for Endpoint:

• 条件付きアクセス統合 - 高度なアクセス制御シナリオ
• Microsoft Defender for Endpoint レポート - 脅威の監視と対応

サポート リソース

• 統合の問題: トラブルシューティング ガイドを確認する
• ポリシーの競合: ポリシーの競合の解決に関するページを参照してください