「Microsoft Intune」カテゴリーアーカイブ

Enterprise Mobility + Security E3ではじめるゼロトラスト入門 – 4 – iPadとmacOSをIntuneに登録する

ども。こんばんは。

 前回の続きです。

今回はiPadとmacOS XをIntuneに登録していきます。
iPadOSは14.2、macOSは導入時はCatalinaその後、Big Surにバージョンアップしていますが特に問題ありません。
※公式にもBig Surはサポートされています。

まずは、iPad、macOSをIntuneに登録するための共通の手順である「Apple MDM  プッシュ通知証明書」を入手します。

Appleへのアクセス許可に同意してCSRをダウンロードします。

以降はAppleのサイトで操作します。
※Apple IDでサインイン済みです。

CSRをアップロードします。

署名が終わったらダウンロードします。

エンドポイント管理センターに戻って、署名時に利用したAppleIDを入力、ダウンロードした署名済みの証明書をアップロードします。

うまくできれば、こんな感じになります。

■macOSをIntuneに登録する

ここから、macOSをIntuneに登録します。

まず、以下のURLからポータルアプリのpkgをダウンロードします。App Storeではないようですね。

https://go.microsoft.com/fwlink/?linkid=853070

いい感じにインストールします。

アプリを起動します。

すでに、Office365を利用しているためかアカウントが見つかりました。

サインインして登録を開始します。

プロファイルをダウンロードします。

これで完了です。

■iPadをIntuneに登録する

続いてIPadをIntuneに登録します。
※ここでもMDMプッシュ通知証明書が必要なので、冒頭の手順が完了している必要があります。

まずは、App SotreからIntune ポータルサイトをインストールします。

iPadでもアカントが見つかりました。

サインインしたら設定を開始します。

管理プロファイルをダウンロードします。

手順に従って管理プロファイルをインストールします。

これで完了です。

 

これで我が家のだいたいのデバイスは登録完了です。

こんな感じになりました。

次回はいよいよAzure AD Premiumの機能である条件付きアクセスを設定してIDを脅威から保護します。

【バックナンバー】

ではでは。またの機会に。

Enterprise Mobility + Security E3ではじめるゼロトラスト入門 – 3 – AndroidをIntuneに登録する

ども。こんばんは。

 前回の続きです。

今回はAndroidをIntuneに登録していきます。
今回はHTV33(Android 9.0)とSHG01(Android 10.0)で試していますが、主にAndroid 10について紹介します。

まず、Androidについては、いくつか管理方法があるようです。

  • 仕事用プロファイルを備えた個人用デバイス
    仕事用プロファイルで個人の登録を管理します。
  • 会社が所有する専用端末
    キオスクおよびタスク デバイスについて、デバイス所有者の登録を管理します。
  • 会社が所有する完全に管理されたユーザー デバイス
    ユーザー デバイスについて、デバイス所有者の登録を管理します。
  • 仕事用プロファイルを備えた会社所有のデバイス (プレビュー)
    仕事用プロファイルを備えた会社のデバイスの登録を管理します。​

おいらは古いタイプの人間なので、てっきりデバイス管理者にIntuneを登録してフル管理だと思ってましたが、最近の流行りはAndroid Enterpriseを使って、プロファイルとして仕事用を分けるようですね。
※Playストアやアプリが全部別で管理できるようになります。

まずは、マネージドGoogle Playに接続してAndroid Enterpriseを利用できるようにします。

エンドポイント管理センターの「デバイス」->「Android」→「Android 登録」から接続します。

いい感じに登録します。

準備完了。

準備ができたので、AndroidをIntuneに登録していきます。

Playストアから「Microsoft Intune ポータルサイト」をインストールします。

サインインしてセットアップをすすめます

仕事用プロファイルとやらができます。

あとは何もしなくてもおわるっぽい。

ほー。おわるとこんな感じに仕事用にアプリが別れます。
※機種依存なのか、Android 9.0のHTCU11(HTV33)ではこのような別れた表示にはなりませんでした。

しかし、名前が気にいらねぇ。
「ユーザ名_AndroidForWork_11/14/2020_1:03 PM」みたいな名前になっててしまう。Intuneポータルアプリから名前を変更しても、エンドポイント管理センター上の表示は変わらない模様。。。まぁいいか。。。

これで登録は終わりです。

試しにアプリを配布してみます。

エンドポイント管理センターの「アプリ」->「Android」->「Android 個のアプリ」で、「追加」します。
Playストアを検索して追加します。

追加後「割り当て」を行う必要があります。割り当てにはいくつか種類があり、必須とする、インストール許可する、禁止するなどがあるようです。

割とすぐ反映されるので、Android側の仕事用のPlayストアでインストール可能になりました。

以上で完了です。
次回はiPadとmacOS XをIntuneに登録したいと思います。

 

【バックナンバー】

ではでは。またの機会に。

Enterprise Mobility + Security E3ではじめるゼロトラスト入門 – 2 – Windows 10をIntuneに登録する

ども。こんばんは。

 前回の続きです。

早速Windows 10にIntuneを展開していきます。

大規模環境ならAutoPilotで自動的に展開したり、GPOで配ったりとかあると思いますが、今回は手動で登録します。

なお、一応、今後追加されるWindows 10がAzure ADにサインインした場合に自動的にIntuneに登録されるようにAzure ADのMDMを構成します。

Azure ADの「モビリティ (MDM および MAM)」から「Microsoft Intune」を選択して以下の画面に移動します。 

それぞれ割り当てたいユーザやグループを指定しておきます。

これで、新しくサインインすると自動でIntuneにも登録される・・・はずです。

続いてDNSにIntuneのCNAMEを登録します。

以下のドキュメントを参考に、EnterpriseEnrollmentとEnterpriseRegistrationを自分のDNSサーバにCNAMEを追加します。

Windows デバイスの登録をセットアップする

これをやっておかないと、「入力されたユーザ名と一致する管理エンドポイントを自動検出できませんでした。ユーザ名を確認して、やり直してください。管理エンドポイントのURLがわかっている場合は、それを入力してください。」というエラーになります。

一応テストもしておきます。

 

準備ができたので、Windows 10にIntuneをインストールします。

まず、ストアから「ポータル サイト」を入手します。

続いてデバイスを職場に接続します。

これでおわり。

これで、Intuneにデバイスが登録されました。
次回はAndridをIntuneに登録したいと思います。

【バックナンバー】

ではでは。またの機会に。

Enterprise Mobility + Security E3ではじめるゼロトラスト入門 – 1 – 購入編

ども。こんばんは。

最近のセキュリティ界隈では「ゼロトラスト(セロトラストネットワーク)」なるキーワードが盛んですね。

これまでのようにファイアウォール等の境界で守られたネットワークを信用しない、という考え方のようですね。
例えば、カフェなどの公衆Wi-Fiにつなごうが、社内LANにつなごうがどちらも同じ、何も信用しないという考え方です。

いろいろな構成要素がありますが、自宅でも気軽に試せる部分として
・IDセキュリティ(IDを安全にする)
・デバイス管理(MDM)
からやってみたいと思います。
※あとは、SASE(Secure Access Service Edge)とかEDR(Endpoint Detection & Response)があると、どこでも同じポリシーのセキュリティを、境界ではなくエンドポイント上で不審な動きを監視、といったよりゼロトラストな感じになると思います。

さて、今我が家ではMicrosoft 365 Business Basicを契約しています。

これに、Enterprise Mobility + Security E3を追加して、ID保護としてのAzure AD Premium P1、MDMとして、Microsoft Intuneを使えるようにします。

Microsoft 365 Business Premium(¥26,160/年)にすべきかも悩んだのですが、Microsoft 365 Business Basic(¥6,480/年)+EMS E3(¥11,520/年)にしました。Business Premiumよりも、¥8,000くらい安くなりました。この差額は、デスクトップアプリ版のOffice分ですかね。最近IPadばっかりでWindowsをあまり使ってないのでデスクトップ版Officeアプリはいいかなーという感じです。

ちなみにEMS E3は「Enterprise Mobility Suite Direct」に名前が変わった(変わる?)ようです。

サクッと買います。購入はMicrosoft 365管理センターの「サービスを購入する」から。

無事買えました。

続いてライセンスを割り当てます。

無事にAzure AD上のライセンス画面でも割当が行われました。

知らない間に、Azure ADのライセンスもPremium P1になっていました。

次回からは、各デバイスをIntuneに登録していきたいと思います。

ではでは。またの機会に。