Intuneコンプライアンスポリシー設計｜条件付きアクセスとの連携
Intuneにデバイスを登録しただけでは、セキュリティは向上しません。「このデバイスはセキュリティ要件を満たしているか」を判定するコンプライアンスポリシーを設定し、条件付きアクセスと連携して「準拠デバイスのみM365にアクセス許可」とすることで、ゼロトラストのデバイス保護が実現します。
コンプライアンスポリシーとは
コンプライアンスポリシーは、デバイスが満たすべきセキュリティ要件を定義するルールです。ポリシーに合致するデバイスは「準拠」、合致しないデバイスは「非準拠」と判定されます。
設定すべき主な条件
Windows デバイス
- OSの最小バージョン： サポート切れのWindows 10を排除。例：「Windows 11 23H2以上」
- BitLockerの有効化： ディスク暗号化が有効であること
- ファイアウォールの有効化： Windows Defenderファイアウォールがオンであること
- ウイルス対策の有効化： リアルタイム保護がオンであること
- パスワード要件： パスワードの最小文字数、複雑さの要件
iOS / Android デバイス
- OSの最小バージョン： 古いOSの脆弱性を排除
- 脱獄 / root化の検出： 脱獄（Jailbreak）またはroot化されたデバイスを非準拠に
- 画面ロックの要件： PINまたは生体認証による画面ロック必須
- デバイスの暗号化： ストレージ暗号化が有効であること
最初は4つに絞る
条件を増やすほど非準拠が増え、対応が追いつかなくなります。 最初に設定するのは次の4つで十分です。
- ディスク暗号化（BitLocker） — 紛失時に情報を守る本命
- ウイルス対策のリアルタイム保護
- ファイアウォールの有効化
- 画面ロック（PIN・生体認証）
OSの最小バージョンは、慎重に設定してください。 「最新の機能更新プログラムを必須」にすると、更新の展開が遅れている端末が一斉に非準拠になります。サポートが終了したバージョンを排除する水準から始め、段階的に引き上げるのが現実的です。
パスワード要件は、実際の運用と揃えてください。 Intune側で複雑な要件を設定すると、利用者に変更を求められます。Windows Hello や生体認証を使っている場合は、そちらを前提とした要件にしてください。
条件付きアクセスとの連携
コンプライアンスポリシー単体では「準拠/非準拠を判定する」だけです。実際にアクセスを制御するには、条件付きアクセスポリシーで「準拠デバイスを要求」を設定します。
推奨構成：
- 準拠デバイス → フルアクセス（Officeデスクトップ版、ファイルダウンロード含む）
- 非準拠デバイス → ブラウザアクセスのみ許可、ダウンロード禁止（アプリの条件付きアクセスセッション制御）
- 未登録デバイス → MFA必須＋ブラウザのみ
この構成なら、BYODからの業務を完全にブロックせず、制限付きで許可できます。
非準拠時のアクション
デバイスが非準拠になった場合のアクションを段階的に設定できます。
- 即時： ユーザーにメール通知（「デバイスが要件を満たしていません」）
- 3日後： 非準拠のままならアクセスをブロック
- 7日後： 非準拠のままならデバイスを「廃止」状態に
猶予期間を設けることで、ユーザーが自分で対応（OSアップデート、BitLocker有効化等）する機会を与えます。
導入のステップ
Step 1： コンプライアンスポリシーを「レポートのみ」モードで作成し、現在の非準拠デバイス数を把握
Step 2： 非準拠デバイスの所有者に個別に対応を依頼（OSアップデート、暗号化有効化等）
Step 3： 非準拠率が十分に下がったら、条件付きアクセスで「準拠デバイスを要求」を有効化
Step 3 の前に、必ず緊急用アカウントを除外してください。 条件付きアクセスの設定ミスで管理者全員が締め出される事故は実際に起きています。除外設定をした緊急用アカウントを用意し、パスワードは施錠保管してください。
未登録の端末がないかも確認してください。 Intuneに登録されていない端末は、そもそも準拠判定の対象外です。「準拠デバイスのみ許可」を有効にした瞬間、登録漏れの端末の利用者がアクセスできなくなります。管理画面の登録台数と、資産台帳の台数を突き合わせてください。
非準拠が減らないときに確認すること
Step 2 で個別に依頼しても、非準拠が残り続けることがあります。原因の多くは利用者の怠慢ではありません。
- BitLockerの暗号化が完了していない — 大容量ディスクでは数時間かかります。途中で電源を切ると進みません
- TPMが有効になっていない — 古い端末や、設定が変更された端末で起こります。BIOS/UEFIの設定変更が必要で、利用者には対応できません
- 更新プログラムの適用が失敗し続けている — 空き容量不足が典型的な原因です
- 判定の反映に時間がかかっている — 対応済みでも、次回のチェックまで非準拠のままになります
- 利用者が何をすればよいか分かっていない — 「デバイスが要件を満たしていません」という通知だけでは、何をすればよいか伝わりません
通知文は、具体的な操作手順にしてください。 「設定 → 更新とセキュリティ → …を開き、◯◯をオンにしてください」まで書き、それでも解決しない場合の連絡先を添えます。ここを整えるだけで、個別対応の件数が大きく減ります。
BYODをどう扱うか
私物端末をコンプライアンスポリシーの対象にすると、反発が出ます。 会社が端末の状態を判定し、条件を満たさなければ業務ができなくなるためです。
BYODを認める場合は、**端末を管理するMDMではなく、アプリ側でデータを保護するMAM（アプリ保護ポリシー）**を使ってください。記事本文の推奨構成のうち「非準拠デバイス → ブラウザアクセスのみ、ダウンロード禁止」は、私物端末に対する現実的な落としどころです。
まとめ
- 最初の条件は暗号化・ウイルス対策・ファイアウォール・画面ロックの4つで十分
- OSの最小バージョンは慎重に。サポート終了版の排除から始め、段階的に引き上げる
- パスワード要件は実際の運用（Windows Hello、生体認証）と揃える
- 有効化の前に緊急用アカウントを除外する。締め出し事故は実際に起きている
- Intune未登録の端末は準拠判定の対象外。管理画面の台数と資産台帳を突き合わせる
- 非準拠が減らない原因は、暗号化の未完了・TPM無効・更新失敗・反映待ちが多い
- 通知文は具体的な操作手順まで書く。それだけで個別対応が大きく減る
- BYODはMDMではなくMAM。「非準拠はブラウザのみ・ダウンロード禁止」が落としどころ
コンプライアンスポリシーは「デバイスの健全性を定義するルール」、条件付きアクセスは「ルールに基づいてアクセスを制御する仕組み」です。両者を連携させることで、ゼロトラストのデバイス保護が完成します。
情シス365では、Intuneのコンプライアンスポリシー設計と条件付きアクセス連携を支援しています。お気軽にご相談ください。