Intune連携による条件付きアクセス：完全セキュリティガイド

By Mirko Peters · 2026-04-26

本ガイドは、Microsoft Intune と連携した条件付きアクセスの理解、構成、そして最大限の活用に向けた、ステップバイステップの指針です。どこにいても、組織のリソースにデバイスやユーザーがどうアクセスするかを制御するための、的確な回答と実践的な施策をご紹介します。

Automatically translated with AI from the original post. Read the English original

本ガイドは、Microsoft Intune と連携した条件付きアクセスの理解、構成、そして最大限の活用に向けた、ステップバイステップの指針です。どこにいても、組織のリソースにデバイスやユーザーがどうアクセスするかを制御するための、的確な回答と実践的な施策をご紹介します。

クラウドファーストの基盤を運用している場合でも、ハイブリッドな働き方を支えている場合でも、デバイスのコンプライアンスを強制し、柔軟なセキュリティポリシーを設定する方法は欠かせません。ポリシーの設計と有効性の監視から、やっかいなトラブルシューティングのシナリオ、Microsoft およびサードパーティのアプリとの統合まで、幅広く明確なガイダンスをお届けします。

柔軟な働き方を取り入れる組織が増える中、ID ベースのセキュリティの重要性はこれまで以上に高まっています。本ガイドは、リスクの管理、コンプライアンスの厳格な維持、そしてあらゆるユーザーを、どのデバイスや環境からでも支援することを目指す IT 担当者やセキュリティ責任者を対象としています。

Microsoft Intune と連携した条件付きアクセスの概要

条件付きアクセスとは、平たく言えば、組織のデジタルな玄関の外に門番を置くような仕組みです。誰がアクセスしようとしているのか、どのデバイスを使っているのか、どこからサインインしているのかを確認してから、組織のリソースへの入場を許可します。従来の「許可か拒否か」という二択ではなく、誰が、何に、いつ、どのような方法でアクセスできるかを、ルールに基づいて柔軟に制御できます。

Microsoft Intune は、この仕組みを支えるデバイス管理の中核を担います。Intune を組み合わせることで、暗号化されているか、最新の状態か、脱獄されていないかといった要件を設定し、企業データへのアクセスを許可する前に満たすべき条件として適用できます。

組織はこの組み合わせを活用して、セキュリティを強化し、リモートワーカーやハイブリッドワーカーを支援し、ユーザーの作業を過度に制限することなく脅威を防いでいます。条件付きアクセスはユーザーだけを判断するものではありません。場所、サインインのリスク、そして特に Intune から報告されるデバイスのコンプライアンス状態といったシグナルを取り込みます。デバイスが基準を満たしていない場合、たとえばパッチが適用されていない、または信頼された地理的範囲の外にある場合は、ブロックしたり、多要素認証などの追加の認証を求めたりすることができます。

このアプローチにより、リスクの高い行動を抑制し、コンプライアンス基準を徹底し、ID を標的とした脅威への対策を先取りできます。リモートアクセスを効率化し、フロントラインやハイブリッドで働くスタッフが安全に業務を行えるようにするととも, 変化し続ける攻撃に対応するための、管理者向けの精緻なツールも提供します。本ガイドを読み進めれば、現代の IT 環境において、条件付きアクセスと Intune の連携がなぜ不可欠なのかがおわかりいただけるはずです。

Microsoft Entra ID が条件付きアクセスの判断を支える仕組み

Microsoft Entra ID（旧称 Azure Active Directory）は、条件付きアクセスの中心に位置します。アプリへのアクセス（クラウドかオンプレミスかを問わず）について、ユーザーやデバイスにアクセスを許可するかどうかを、リアルタイムで最終的に判断する門番の役割を果たします。

ユーザーがサインインを試みると、Entra ID はユーザーに関するシグナル、デバイスの Intune コンプライアンス状態、アクセス先のアプリ、さらにはリスク情報を収集します。これらの情報をもとに条件付きアクセスのルールを評価し、アクセスを許可するか、追加の認証を求めるか、サインインそのものをブロックするかを判断します。

ID、デバイスの正常性、アプリケーションのシグナルがどのように Entra ID のポリシー評価に流れ込むかを理解することで、大きな価値が得られます。「ID の負債」、多層的なポリシー、スケーラブルなポリシーを維持することの重要性といったリスク管理について詳しく知りたい方は、ID と条件付きアクセスのガバナンスに関する詳細解説をご覧ください。

リモートアクセスシナリオのための条件付きアクセスの構成

リモートワークやハイブリッドワークが新たな標準になるにつれ、組織は社内ファイアウォールの外にいる従業員の安全なアクセスに対処しなければなりません。条件付きアクセスポリシー、特に Intune で管理されたデバイスのコンプライアンスと組み合わせたポリシーを使えば、社外にいても、セキュリティと生産性の適切なバランスを取ることができます。

このセクションでは、リモートシナリオにおいて機密性の高いリソースを保護する、目的に合わせたアクセスポリシーの構築方法の概要を説明します。この手順では、リモートヘルプ機能と主要なクラウドアプリケーションを制限し、Intune準拠のデバイスだけが接続できるようにすることに重点を置いています。これにより、管理されていないデバイスや非準拠のエンドポイントからのリスクを最小限に抑え、リモートサポートのやり取りを確実に守ることができます。

以降のセクションでは、これらのポリシーを設定するための実践的なガイダンスを順に説明します。リモートアシスタンスのアクセス条件の定義から、正確な対象設定のためのEntra IDへの主要クラウドアプリの追加まで扱います。明確なポリシーと慎重なクラウドアプリの選定は、コンプライアンス上のギャップを生むことなく、現場、ハイブリッド、リモートの各ワークフォースを支えるための基本です。

条件付きアクセスの戦略を改善するには、除外設定を広げすぎないようにし、対象を包括的で監視される基本ポリシーを設定してください。信頼性を重視した堅牢なポリシーの構築について詳しくは、条件付きアクセスの信頼性の問題に関するこちらの資料をご覧ください。

リモートヘルプのための条件付きアクセス リモートポリシーの設定

1. リモートヘルプが必要なユーザーの特定と対象範囲の設定: まず、リモートアシスタンス機能(Microsoft のリモートヘルプ ツールなど)を必要とするユーザーまたはグループを特定します。サポートを行うITスタッフと、サポートを必要とするエンドユーザーの両方を検討してください。特に機密情報を扱うユーザーや、リスクの高いユーザーを優先します。
2. 対象を絞った条件付きアクセスポリシーの作成: Entra 管理センターで、リモートヘルプ専用の新しい条件付きアクセスポリシーを作成します。関連するユーザーグループを選択し、クラウドアプリを RemoteAssistanceService アプリケーションに設定して、ポリシーがリモートアシスタンスのフローにのみ適用されるようにします。
3. Intune によるデバイスの準拠の要求: [アクセス制御] で「デバイスを準拠としてマークする必要がある」を選択します。これにより、Intune の準拠基準(暗号化、OS バージョンなど)を満たすデバイスのみが、リモートヘルプのセッションを開始または受信できるようになります。
4. 必要に応じて追加の制御を設定: 機密性の高いサポートシナリオでは、多要素認証を要求する、信頼された場所やネットワークからのサインインに限定するなど、追加の条件を重ねて設定します。
5. 除外設定は慎重に: 緊急時用のブレークグラス アカウントや特定のロールは、どうしても必要な場合にのみポリシーから除外してください。除外の範囲が広すぎると、全体のセキュリティ態勢が弱まり、ポリシーの抜け穴につながるおそれがあります。
6. ポリシーの十分なテスト: 展開する前に、Entra ID の What-If ツールを使用してユーザーのアクセスをシミュレーションし、ポリシーのロジックを検証します。これにより、エンドユーザーに影響が出る前に、競合や意図しないブロックを発見できます。ポリシーのガバナンスや「アイデンティティの負債」の回避について詳しくは、こちらの戦略的なポッドキャストのエピソードをご覧ください。
7. 監視と調整: 運用開始後は、Entra ID のサインインログと条件付きアクセスのレポート機能を使用して、ポリシーの有効性を監視します。利用状況とサポートの必要性に応じて、除外設定を見直し、アクセスパターンを確認し、制御内容を調整して、セキュリティと作業の生産性を維持します。

Entra ID で RemoteAssistanceService クラウドアプリをインポートする方法

条件付きアクセスポリシーをリモートヘルプのシナリオに直接適用するには、まず RemoteAssistanceService クラウドアプリケーションを Microsoft Entra ID にインポートする必要があります。Entra 管理センターで [エンタープライズ アプリケーション] に移動し、「RemoteAssistanceService」を検索します。該当するアプリを選択し、ディレクトリに追加します。

登録が完了すると、このアプリに対してユーザーを割り当て、条件付きアクセスポリシーを特定の対象に設定できます。これにより、リモートヘルプ機能を準拠済みかつ承認済みのデバイスからのみ利用できるようになります。アプリが一覧に表示されない場合は、リモートヘルプが最新バージョンであることを確認するか、オンボーディングの問題のトラブルシューティングについて Microsoft のドキュメントを参照してください。

Microsoft Intune によるデバイスの準拠の徹底

デバイスの準拠は、最新のワークプレースにおける安全なアクセスの基盤であり、Intune はそれを可能にする中枢です。Intune を使用すると、IT 管理者は OS バージョン、暗号化、リスク態勢、場所に至るまで、詳細な準拠ルールを定義できます。

これらのポリシーを設定すると、デバイスのコンプライアンスが自動的にチェックされ、その結果が Entra ID に通知されます。コンプライアンス要件を満たしたデバイスのみが「信頼済み」と見なされ、条件付きアクセスの関門を通過できます。この自動化された流れにより、不正な攻撃者や、管理されていないリスクの高いエンドポイントが検知されずに侵入することを防ぎます。

強力なコンプライアンス ポリシーを作成するには、すべてに同じ基準を当てはめるわけにはいきません。リスク、ユーザーの役割、対象アプリの機密性によって、Windows、macOS、iOS、Android のデバイスごとに異なる要件が必要になる場合があります。以降のセクションでは、これらの要件の定義方法と、Intune が Entra ID にリアルタイムのコンプライアンス データを送信する仕組みを詳しく説明します。これにより、セキュリティ戦略を的確かつ迅速に対応できる状態に保てます。

ユーザーの作業を妨げずにこれらの制御を他の Microsoft 365 セキュリティ機能と組み合わせる方法について詳しくは、こちらのシームレスなセキュリティに関するベスト プラクティス ガイドを参照してください。

Microsoft Intune のデバイス コンプライアンス ポリシーの解説

1. デバイス プラットフォームの選択: まず、コンプライアンスの管理が必要なプラットフォーム(Windows、macOS、iOS/iPadOS、Android)を選択します。Intune では、プラットフォームごとに個別のポリシーを作成できるため、基準を妥協する必要はありません。
2. OS バージョン要件の定義: 最小 OS バージョンと、必要に応じて最大 OS バージョンを指定します。これにより、デバイスにパッチが適用され、サポート対象外の脆弱なソフトウェアが実行されていない状態を保てます。
3. 暗号化の必須化: BitLocker(Windows)や FileVault(macOS)など、デバイスの暗号化を強制します。デバイスの紛失や盗難時に機密データを保護するには、暗号化が不可欠です。
4. 脅威保護チェックの有効化: Microsoft Defender または別のサポート対象の脅威スキャナーが有効で、最新の状態に更新され、実行中であることを要求します。この許可リストとブロックリストの仕組みにより、Intune はリスクのある侵害されたデバイスを即座に検出できます。
5. 脱獄およびルート化されたデバイスの検出: 脱獄された iPhone やルート化された Android のアクセスをブロックします。こうしたデバイスは脆弱性が高く、コンプライアンス ポリシーによって検出され、自動的にアクセスが拒否されます。
6. 必要に応じた追加ルールの適用: パスワード要件、特定のネットワークからのアクセスのブロック、自動更新の有効化などを設定できます。
7. ポリシーの展開と割り当て: デバイス グループ、ユーザー グループ、またはその両方にポリシーを割り当てます。一括割り当てにより展開は効率化されますが、大規模な台数に適用する前に、必ず対象範囲を確認してください。

適切に構成されたデバイス コンプライアンス ポリシーは、条件付きアクセスの基盤となります。進化するセキュリティ脅威や OS の更新に対応するため、定期的に見直し、更新してください。

アクセス判断のための Intune でのコンプライアンス検証

Microsoft Intune は、登録済みデバイスを有効なコンプライアンス ポリシーに照らして継続的に評価します。各デバイスは定期的に Intune にチェックインし、各要件の合否(例: 要件ごとの合格/不合格)など、現在のコンプライアンス状態を反映した最新の状態レポートを送信します。

このコンプライアンス状態は、リアルタイムで Microsoft Entra ID に通知されます。ユーザーが保護されたリソースにアクセスしようとすると、Entra ID は Intune に問い合わせてデバイスの状態を確認します。デバイスが準拠としてマークされていれば、条件付きアクセスはアクセスを許可します。準拠していなければ、アクセスは拒否または追加認証が要求され、要件が関門で確実に適用されます。正確で常に最新のコンプライアンス レポートは、リソースを安全に保ち、アクセスの問題を迅速にトラブルシューティングするための鍵です。

条件付きアクセス ポリシーの監視と最適化

条件付きアクセス ポリシーがどのように機能しているかを把握し続けることは非常に重要です。Microsoft Intune と Entra ID には組み込みのダッシュボードと監視ツールがあり、ポリシーがいつ、なぜトリガーされたか、誰がアクセスを拒否されたか、組織全体のコンプライアンス傾向などを追跡できます。

監査ログでは、どのデバイスが準拠し、どのデバイスが準拠しなかったか、またその結果としてどのようなアクセス判断が行われたかを細かく確認できます。条件付きアクセスのトリガー、コンプライアンス イベント、アクセス拒否を定期的に確認することで、ギャップや過度に制限的なルールを見つけ、セキュリティとエンドユーザーの生産性のバランスを取るようポリシーを微調整できます。

継続的な監視は、自動コンプライアンス監視に関するこちらの資料で説明されているように、セキュリティのドリフトを防ぎ、組織が新たな脅威より一歩先を行く状態を保つのに役立ちます。

セキュアなアクセスのベストプラクティス：柔軟な条件付きアクセスの枠組み

デバイス、役割、クラウドアプリが入り混じり、常に変化する従業員を守るには、堅牢で俊敏なアプローチが必要です。条件付きアクセスを Intune のデバイス情報と組み合わせれば、ゼロトラストを支え、将来にわたって組織のアクセス制御を保てるポリシーを作成できます。

ポリシーは、実際の業務内容とリスクレベルに対応する形で構成することをお勧めします。そのためには、ロールベースの制御、デバイス属性、アプリケーションの機密性を活用し、「誰にでも同じ設定」という画一的な方法を避けることが重要です。柔軟な枠組みであれば、まずは単純な設定から始められます（非準拠デバイスのアクセスをブロックするなど）。その後、リスクベースの検証、信頼された場所の要件、ジャストインタイムの特権昇格といった、より細かい条件を段階的に追加できます。

最近の攻撃者は、チームがリモートで働いているか、オフィスで働いているかを気にしません。そのため、ポリシーの俊敏性が重要になります。継続的な見直しと自動化ツールによって、ポリシーを強化してください。設計に関する詳しいガイダンスや、適応型でリスクを考慮したアクセスについての議論は、こちらの ゼロトラスト条件付きアクセスのポッドキャスト をご覧ください。

信頼できるデバイスが、社内リソースにスムーズにアクセスできるようにする

実証済みの構成を適用して、信頼できる準拠デバイスだけが、条件付きアクセスのゲートを支障なく通過できるようにしてください。信頼された場所のフィルターを使えば、オフィス内のユーザーとリモートのユーザーを区別し、コンテキストに応じた制御を実現できます。また、準拠デバイスに対してシングルサインオン（SSO）を有効にすると、アクセス体験が合理化され、パスワードの入力疲れを減らせます。

ポリシーの対象範囲をきめ細かく調整するには、条件付きアクセスのフィルターやデバイスタグを使用します。この方法により、特定のデバイスグループやユーザーロールに対して例外を設定できます。これらの手法を組み合わせると、承認済みの健全なデバイスを使うユーザーは、必要なものにアクセスできるようになり、繰り返し求められる認証や煩わしい手順に悩まされることがなくなります。

条件付きアクセスのリモートポリシーと Intune に関するよくある質問

1. 準拠しているデバイスがブロックされるのはなぜですか？ 多くの場合、Intune でデバイスの状態が最近同期されていない、グループメンバーシップに不一致がある、またはポリシーの適用範囲が正しくないことが原因です。デバイスのチェックインとポリシーの割り当てを確認し、Entra ID のサインイン ログで原因を特定してください。
2. ポリシーを適用する前にテストするにはどうすればよいですか？ Entra ID の What-If ツールを使うと、特定のユーザー、デバイス、アプリについてアクセスの試行をシミュレートできます。このツールでは、どのポリシーが適用されるか、またその理由が表示されるため、競合を事前に見つけられます。
3. デバイスの準拠ポリシーとアプリ保護ポリシーの違いは何ですか？ デバイスの準拠（Intune MDM 経由）は、デバイス全体の暗号化などの基準を適用します。一方、アプリ保護（MAM）は、管理されていないデバイス上でも、アプリ単位でデータを保護します。どちらも条件付きアクセスと組み合わせることで、多層的なセキュリティを実現できます。
4. サードパーティの SaaS アプリにも条件付きアクセスを適用できますか？ はい、可能です。Salesforce、Zoom、Dropbox などのサードパーティアプリを Entra ID に登録し、条件付きアクセスの対象に指定してください。アクセス制御には、Intune からの準拠の要求が使用されていることを確認してください。
5. デバイスの準拠状態はどのくらいの頻度で更新されますか？ Intune のデバイスは通常、定期的なチェックイン時に準拠状態を報告します。既定では 8 時間ごとですが、ユーザーまたは管理者が手動でトリガーした場合は、より頻繁に報告されます。
6. ユーザーの接続が切れたりオフラインになったりした場合はどうなりますか？ デバイスはキャッシュされたポリシーを使用し、条件付きアクセスでは断続的な接続に対する猶予期間が設定されます。デバイスが次にチェックインした時点で、完全な適用が再開されます。

まとめ：Microsoft Intune による、セキュアで準拠したアクセス

条件付きアクセスと Microsoft Intune の統合は、今日のリモートおよびハイブリッドなオフィスを守るうえで欠かせません。適応型のポリシー管理、デバイスの準拠チェック、堅牢な監視を組み合わせることで、信頼されたユーザーとデバイスだけが重要なリソースにアクセスできる環境を構築できます。

先回りした対策を心がけてください。ポリシーを見直して更新し、準拠状態を監視し、脅威の変化に応じて柔軟な枠組みを取り入れましょう。防御を弱めることなくユーザーの満足度を保ちたい場合は、こちらの Microsoft 365 セキュリティの必読ガイド で、セキュリティの知識を深め、戦略を新鮮に保ってください。

Microsoft セキュリティ担当者のための著者の洞察と次のステップ

組織のアクセス管理戦略を確実なものにするには、日々Microsoftのセキュリティに深く関わっている専門家から学ぶことが重要です。Intune や条件付きアクセスの習熟に加えて、専門家は、混在するデバイス環境全体にこれらのソリューションを広げ、さらには Microsoft 以外のアプリやプラットフォームにまで適用する新たな方法を模索しています。

優れた専門家は基本だけにとどまりません。Addigy のようなプラットフォームを使い、Apple デバイスを Microsoft のツールと調和させて管理する方法を深く掘り下げています。彼らは常に次の展開を探っています。堅牢なポリシーの枠組みを構築すること、内容の充実したコミュニティに参加すること、セキュリティ上の隙間を効率よく埋める方法を学ぶことなどです。

続いて、クロスプラットフォーム戦略がデバイス管理をどのように変えつつあるのか、簡単に見ていきましょう。また、Microsoft のセキュリティ、コンプライアンス、ベストプラクティスにわたるコンテンツカテゴリもご覧ください。目に見えないセキュリティの隙間を防ぎ、アクセスポリシーへの信頼性を高めるには、条件付きアクセスを改善するための実践ガイドをご覧ください。また、その他のリソースを探すことで、より広い Microsoft セキュリティコミュニティの情報にも触れられます。

クロスプラットフォームの調和：Microsoft と Addigy による Apple 管理の変革

• 混在するデバイス環境の一元管理：Addigy が両者の隔たりを埋め、Intune が Windows エンドポイントと並べて Apple デバイスにも条件付きアクセスと準拠基準を適用できるようにします。
• 変革をもたらす Apple MDM：大規模な組織では、Microsoft の管理範囲を macOS と iOS にまで広げ、シームレスなポリシーの適用、リアルタイムの監視、Apple の更新へのゼロデイ対応を実現しています。
• チーム単位の制御：ロールベースの委任と細かな制御により、IT チームはデバイスの種類を問わず、アクセス、アプリ、コンプライアンスを大規模に管理できます。
• クロスプラットフォームの調和：Microsoft と Addigy を組み合わせることで、iPhone、Mac、PC などすべてで一貫したユーザー体験とセキュリティを実現し、それらを 1 つの管理フレームワークで統合できます。

Microsoft のセキュリティ、コンプライアンス、デバイス管理のコンテンツカテゴリを探す

• セキュリティとゼロトラスト：適応型の条件付きアクセス、高度な脅威防御、統合された ID 戦略について学びます。サイバー脅威の一歩先を行きましょう。
• データガバナンスとコンプライアンス：Microsoft Purview とポリシーの監視を活用して、クラウドサービス全体で確実なデータ保護と規制コンプライアンスを実現する方法を学びます。
• Power Platform と企業のガバナンス：迅速なアプリ開発を企業がどのように安全に行っているかを確認できます。詳しくはPower Platform のガバナンスに関するこちらのリソースをご覧ください。
• デバイス管理の革新：MDM、Apple との連携、大規模で分散した企業環境におけるデバイス管理のベストプラクティスに関するコンテンツをご覧いただけます。
• 詳細解説とコミュニティでの学び：重要なトピックを体系的に学ぶには、こちらのコンテンツカテゴリを活用し、Microsoft セキュリティに関する議論にぜひご参加ください。