MENU

Intune準拠ポリシーに猶予期間を設定する方法｜条件付きアクセスで突然メールを止めない

Microsoft

Intuneの小さな設定違反でOutlookやExchange Onlineへのアクセスが突然止まるのを避けたい場合は、通知メールの日数ではなく、対象の準拠ポリシーにある Mark device non-compliant の Schedule を見直します。

各準拠ポリシーには、このアクションが既定で含まれており、初期値は0日です。0日のままでは、端末が要件を満たしていないと検出された後、直ちに非準拠として扱われます。準拠端末を要求する条件付きアクセスポリシーが設定されていると、メールなどの対象リソースがブロックされる可能性があります。Schedule を変更すれば、利用者が設定を修正するための猶予期間を設けられます。([Microsoft Learn][1])

ITtripTOOLS
その「面倒」、無料で解決。 ITtripがつくる、6つの道具。 無料ツール一覧へ すべて無料・追加課金なし
先頭0を守るCSV編集こわさないCSV PDFに直接書き込みかけるPDF 写真＋説明をPDFに写レポ スマホ⇄PCで共有コピペ便 · 文章・写真 みんなの日程を調整日程Fit 匿名質問・投票を集めるKOEQ
目次

Intuneで突然メールが使えなくなる仕組み

Intuneの準拠ポリシーとメールのアクセス制御は、次の3段階に分かれています。

段階主な機能決める内容
準拠ポリシーMicrosoft Intune端末が組織のセキュリティ要件を満たしているか
非準拠に対するアクションMicrosoft Intune非準拠として扱う時期、通知、ロックなど
条件付きアクセスMicrosoft Entra ID非準拠端末から、どのリソースへのアクセスを拒否するか

Intuneが端末を非準拠と判定しただけで、必ずメールが使えなくなるわけではありません。実際のアクセス許可または拒否は、Microsoft Entraの条件付きアクセスが端末の準拠状態を参照して判断します。

たとえば条件付きアクセスで、Exchange Onlineに対して Require device to be marked as compliant を要求している場合、非準拠端末からのメールアクセスがブロック対象になります。準拠状態の判定とリソースへのアクセス制御は、別の処理として考える必要があります。([Microsoft Learn][2])

Mark device non-compliantの既定値は0日

Mark device non-compliant は、すべての準拠ポリシーに自動で追加される既定のアクションです。削除はできませんが、実行までの日数は変更できます。

既定値の0日は、猶予なしで非準拠として扱う設定です。たとえば、端末が準拠要件を満たしていないことをIntuneが検出すると、端末は直ちに非準拠となり、条件付きアクセスによるブロック対象になり得ます。

この値を3日に変更すると、利用者は原則として3日間の猶予を得られます。猶予期間中に設定を修正して準拠状態へ戻れば、期限後のアクセス制限を避けられます。管理センターでは、0.25日を6時間、0.5日を12時間として、1日未満の猶予も設定できます。([Microsoft Learn][1])

重要: Send email to end user の日数は通知タイミングです。非準拠判定そのものの猶予は、Mark device non-compliant の Schedule で設定します。

たとえば次の設定では、通知を待たずに非準拠になる可能性があります。

アクションSchedule
Mark device non-compliant0日
Send email to end user3日

「利用者に3日間の修正期間を与えたい」のであれば、見直すべき中心項目は次のようになります。

アクション設定例
Send email to end user0日
2回目の Send email to end user2日
Mark device non-compliant3日

これは設計例です。通知や状態更新は端末のチェックイン状況にも左右されるため、実際に採用する日数はテスト端末で確認してください。

Intuneの準拠ポリシーに猶予期間を設定する手順

対象ポリシーの現在の設定を確認する

Microsoft Intune管理センターで、次の順に開きます。

  1. Devices
  2. Compliance
  3. 対象の準拠ポリシー
  4. Properties
  5. Actions for noncompliance
  6. Edit

一覧にある Mark device non-compliant の Schedule を確認します。変更していなければ、通常は0日になっています。既定のアクションは削除できませんが、Scheduleは編集できます。([Microsoft Learn][1])

日本語表示では、次のような名称で表示される場合があります。

  • Actions for noncompliance：非準拠に対するアクション
  • Mark device non-compliant：デバイスを非準拠としてマーク
  • Schedule：スケジュール、または非準拠後の日数

管理センターの更新や表示言語によって表記が異なることがあるため、英語の項目名も判断材料にしてください。

業務要件に合わせてScheduleを変更する

猶予期間は、単に長くすればよいわけではありません。違反内容の危険度と、利用者が修正するために必要な時間を分けて考えます。

猶予期間の候補向いているケース確認するポイント
0日即時にアクセスを止める必要がある誤検知でも業務停止する影響を許容できるか
0.25～1日短時間での修正や管理者確認が可能夜間や休日をまたがないか
2～3日利用者による設定変更や問い合わせが必要期限前に再通知できるか
5～7日計画的な移行や更新を促す猶予中のセキュリティリスクを許容できるか

日数は一律に決めず、対象となる準拠条件ごとに考えることが重要です。

たとえば、即時遮断したい条件と、数日間の修正期間を与えたい条件を同じ準拠ポリシーにまとめると、両方に同じ Mark device non-compliant のScheduleが適用されます。重要度が大きく異なる条件は、準拠ポリシー自体を分ける設計を検討します。

対象端末に割り当てられたすべてのポリシーを確認する

1つの準拠ポリシーだけを変更しても、別の準拠ポリシーが0日のままなら、そのポリシーによって端末全体が非準拠になる場合があります。

Intuneのポリシー別レポートで「準拠」と表示されていても、それは選択したポリシーに対する状態です。別のポリシーで要件を満たしていなければ、端末全体は非準拠として扱われることがあります。([Microsoft Learn][3])

対象端末について、少なくとも次の点を確認します。

  • ユーザーに割り当てられている準拠ポリシー
  • デバイスグループに割り当てられている準拠ポリシー
  • 各ポリシーの Mark device non-compliant
  • ポリシーごとのSchedule
  • 端末全体の準拠状態

利用者への通知を追加する

猶予期間を設定しても、利用者が違反を把握できなければ、期限までに修正されません。Scheduleの変更と同時に、メール通知やプッシュ通知も設定します。

通知メッセージテンプレートを作成する

メールを送る場合は、先に通知メッセージテンプレートを作成します。

  1. Microsoft Intune管理センターを開く
  2. Endpoint security
  3. Device compliance
  4. Notifications
  5. Create notification

テンプレートには、件名、本文、言語、組織名、問い合わせ先などを設定できます。{{UserName}}、{{DeviceName}}、{{DeviceId}}、{{OSAndVersion}} といった変数も利用できます。([Microsoft Learn][1])

通知文には、少なくとも次の情報を含めます。

  • どの端末で問題が検出されたか
  • 何日以内に対応する必要があるか
  • 利用者が行う修正手順
  • 修正後に同期や再確認を行う方法
  • 自分で直せない場合の連絡先
  • 期限を過ぎると利用できなくなるサービス

通知文の例は次のとおりです。

件名：
【要対応】端末 {{DeviceName}} の設定を3日以内に確認してください

本文：
お使いの端末 {{DeviceName}} が、組織のセキュリティ要件を満たしていません。

この通知を受け取ってから3日以内に、端末の設定を修正してください。
期限までに修正されない場合、メールなどの業務サービスを利用できなくなることがあります。

対応手順：
1. Company Portalまたは組織指定の端末管理アプリを開く
2. 対象端末の状態と、修正が必要な項目を確認する
3. 表示された手順に従って設定を修正する
4. 修正後に端末を同期し、準拠状態を再確認する

解決しない場合は、情報システム担当へお問い合わせください。

これは説明用の文例です。実際に案内する操作は、対象OSや組織の端末管理手順に合わせて変更してください。

準拠ポリシーへメール通知を追加する

通知テンプレートを作成した後、対象の準拠ポリシーで Actions for noncompliance を編集します。

  1. Send email to end user を追加する
  2. 作成したメッセージテンプレートを選択する
  3. Scheduleを設定する
  4. 必要に応じて追加の通知アクションを登録する

同じ通知アクションを異なる日数で複数登録できます。たとえば、初回を0日、再通知を2日、非準拠判定を3日とする構成が考えられます。Microsoftのドキュメントでも、異なるScheduleで複数回通知する設定例が示されています。([Microsoft Learn][1])

なお、メール通知ではユーザープロファイルのメールアドレスが使われます。UPNとは別にメールアドレスが登録されていない場合、通知が送信されない可能性があります。また、プッシュ通知は遅延や未達の可能性があるため、緊急連絡の唯一の手段としては適していません。([Microsoft Learn][1])

条件付きアクセスポリシーも併せて確認する

猶予期間を設定しても、条件付きアクセスの構成を確認しなければ、意図した動作になるとは限りません。

確認する主な項目は次のとおりです。

確認項目確認内容
対象ユーザー全ユーザーか、特定グループか
対象リソースExchange Onlineだけか、すべてのリソースか
許可制御Require device to be marked as compliant が設定されているか
除外対象緊急アクセス用アカウントが除外されているか
ポリシー状態オンか、レポート専用か

条件付きアクセスで準拠端末を要求していなければ、Intuneで非準拠になっても、そのことだけを理由にメールがブロックされるとは限りません。

反対に、条件付きアクセスの対象リソースが「すべてのリソース」になっていれば、メールだけでなく、SharePointやほかのMicrosoft 365サービスも影響を受ける可能性があります。

Microsoftは、準拠端末を要求する条件付きアクセスポリシーを作成する際、最初にレポート専用モードで影響を確認し、緊急アクセス用アカウントを除外することを案内しています。([Microsoft Learn][4])

猶予期間を設定した場合の動作例

次は、3日間の修正期間を設ける場合の設計例です。

経過アクション想定する状態
0日初回メール通知利用者へ修正を案内する
猶予期間中利用者が設定を修正In-grace periodから準拠へ戻ることを確認する
2日2回目のメール通知期限が近いことを案内する
3日Mark device non-compliant未修正なら非準拠として扱う
3日以降条件付きアクセス対象リソースへのアクセスを拒否する
修正後端末の再評価準拠状態とアクセスの回復を確認する

この猶予期間は、すべてのセキュリティ制御を一時的に無効にするものではありません。別の準拠ポリシーや別の条件付きアクセスポリシーに該当すれば、猶予中でもアクセスが制限される場合があります。

本番適用前にテスト端末で確認する

Scheduleを変更しただけで本番ユーザーへ適用するのは避けます。まずテスト用ユーザーとテスト端末に限定して、状態遷移を確認します。

確認する順序は次のとおりです。

  1. テスト端末を準拠状態にする
  2. 元へ戻せる方法で、テスト対象の要件を未達状態にする
  3. 端末が In-grace period として表示されるか確認する
  4. 初回通知が届くか確認する
  5. 猶予中にメールへアクセスできるか確認する
  6. 猶予期限後に非準拠へ移行するか確認する
  7. 条件付きアクセスで対象リソースがブロックされるか確認する
  8. 端末を修正して同期する
  9. 準拠状態とアクセスが回復するか確認する

Intuneの準拠状態やレポートは、端末のチェックインやポリシー更新のタイミングに依存します。Scheduleの時刻になった瞬間に、すべての管理画面や端末で同時に表示が変わるとは限りません。検出時刻、通知時刻、端末の最終チェックイン時刻、アクセス結果を記録して確認します。([Microsoft Learn][3])

猶予期間の設定で失敗しやすいポイント

メール通知のScheduleだけを変更している

通知を3日後にしても、Mark device non-compliant が0日のままなら、端末は先に非準拠になります。利用者が通知を受け取る前に、条件付きアクセスでメールが止まる可能性があります。

1つの準拠ポリシーしか確認していない

対象端末に複数の準拠ポリシーが割り当てられている場合、別のポリシーによって非準拠になることがあります。端末全体の状態と、すべての割り当て済みポリシーを確認します。

重大な条件と軽微な条件を同じポリシーにまとめている

即時遮断したい条件と、数日間待てる条件を同じポリシーに入れると、共通のScheduleしか設定できません。必要に応じてポリシーを分割します。

通知に修正手順が書かれていない

「端末が非準拠です」だけでは、利用者は何を直せばよいか判断できません。対象端末、期限、修正手順、同期方法、問い合わせ先まで記載します。

条件付きアクセスをいきなりオンにする

対象ユーザーや対象リソースを誤ると、管理者を含む多数の利用者へ影響する可能性があります。テストグループとレポート専用モードで影響を確認してから有効化します。

突然のメール停止を避けるなら判定・通知・ブロックを分けて設計する

Intuneで利用者に修正期間を与えるには、次の3点を別々に設定します。

  1. Mark device non-compliant のScheduleで、非準拠とするまでの猶予を設定する
  2. Send email to end user などで、期限前に修正手順を通知する
  3. 条件付きアクセスで、期限後にブロックするユーザーとリソースを指定する

メール通知の日数だけを変更しても、非準拠判定の猶予にはなりません。また、1つの準拠ポリシーを変更しただけでは、別のポリシーによる即時判定を防げない場合があります。

まず対象の準拠ポリシーを開き、Mark device non-compliant が0日になっていないか確認します。その後、テスト端末に限定して、猶予中、期限後、修正後の状態とメールアクセスを順番に検証してください。
[1]: https://learn.microsoft.com/en-us/intune/intune-service/protect/actions-for-noncompliance “Configure compliance policies with actions for noncompliance in Microsoft Intune – Microsoft Intune | Microsoft Learn”
[2]: https://learn.microsoft.com/en-us/intune/device-security/compliance/overview “Device compliance policies in Microsoft Intune – Microsoft Intune | Microsoft Learn”
[3]: https://learn.microsoft.com/en-us/intune/device-security/compliance/monitor-policy “Monitor results of your device compliance policies in Microsoft Intune – Microsoft Intune | Microsoft Learn”
[4]: https://learn.microsoft.com/en-us/entra/identity/conditional-access/policy-all-users-device-compliance “How to Require Device Compliance with Conditional Access – Microsoft Entra ID | Microsoft Learn”

Microsoft
条件付きアクセス Microsoft Intune 準拠ポリシー

この記事を書いた人

佐藤健司のアバター 佐藤健司

実務の現場で詰まりがちなポイントを地図にするITブログ「IT trip」を運営。Windows／Office（Teams・Excel）からSQL、サーバ運用、ガジェットまで、再現性のある手順と“なぜそうなるか”を丁寧に解説します。読んだらすぐ試せること、そして迷った人の次の一歩が見えることを大切にしています。

関連記事

コメント

コメントする

目次