MENU

PowerShellでMicrosoft Endpoint Managerのデバイスコンプライアンスを適用する方法

PowerShell

PowerShellを利用してMicrosoft Endpoint Manager（旧Intune）でデバイスコンプライアンスを効率的に管理する方法について解説します。Microsoft Endpoint Managerは、企業内のデバイスをセキュアに保ちながら業務効率を高めるために不可欠なツールです。本記事では、PowerShellを活用することで、手動作業を自動化し、複雑なポリシー適用を簡素化する実践的な手法を紹介します。初心者から中級者まで、すべてのIT管理者が実践可能な内容を網羅しています。

目次

Microsoft Endpoint Managerとデバイスコンプライアンスの基礎

Microsoft Endpoint Manager（MEM）は、組織のデバイス、アプリケーション、およびセキュリティを一元管理するためのツールであり、特にデバイスコンプライアンス管理において重要な役割を果たします。

デバイスコンプライアンスとは

デバイスコンプライアンスは、組織が定義したセキュリティ要件にデバイスが適合しているかを確認し、適合していない場合にアクセスを制限または強制修正する仕組みです。これにより、データの保護や不正アクセスの防止が可能となります。

デバイスコンプライアンスの重要性

  • セキュリティ強化：非準拠デバイスを制限することで、組織のデータを安全に保護します。
  • 効率的な管理：IT管理者がポリシーを一括適用し、デバイスの状態を容易に監視できます。
  • 規制遵守：GDPRやHIPAAなどの法的規制に準拠した運用を実現します。

Microsoft Endpoint Managerの役割

  • 一元管理：複数のプラットフォーム（Windows、iOS、Android）を一つの管理画面で管理可能。
  • ポリシー作成と適用：デバイスコンプライアンスに関連するポリシーを容易に作成し、適用できます。
  • リアルタイム監視：デバイスのコンプライアンス状態をリアルタイムで確認可能。

Microsoft Endpoint Managerとデバイスコンプライアンスの基本を理解することで、これらのツールが組織のセキュリティと運用効率の向上にどのように貢献するかが明確になります。

PowerShellを利用するメリット

PowerShellは、Microsoft Endpoint Managerでのデバイスコンプライアンス管理において強力なツールです。スクリプトを使用することで、手動作業を自動化し、効率的かつ柔軟な管理を実現できます。

PowerShellの主な利点

  • 自動化による効率化
    一度作成したスクリプトを繰り返し使用することで、ポリシーの作成や適用の手間を大幅に削減できます。
  • 一括処理
    複数のデバイスやユーザーに対して、同時にポリシーを適用することが可能です。
  • 詳細なカスタマイズ
    要件に応じてスクリプトを柔軟にカスタマイズできるため、特定の条件に基づくポリシー管理が実現します。
  • トラブルシューティングの簡素化
    コマンドを使用してデバイスやポリシーの状態を迅速に確認し、問題解決がスムーズになります。

PowerShellを使用する具体例

  1. ポリシーの作成
    スクリプトで新しいコンプライアンスルールを作成し、特定のデバイスグループに適用できます。
  2. 状態確認
    PowerShellを使用して、デバイスが現在ポリシーに準拠しているかを確認するコマンドを実行できます。
  3. ログ収集
    問題発生時にデバイスの詳細情報を効率的に収集し、分析するために役立ちます。

PowerShellの利便性がもたらす効果

PowerShellを使用することで、手作業では難しい規模の管理や繰り返し作業が容易になります。また、スクリプトを利用することで人的エラーのリスクを低減し、作業の正確性を向上させることが可能です。

PowerShellの活用は、Microsoft Endpoint Managerを用いたデバイスコンプライアンス管理において欠かせないツールとなります。

必要なツールと環境設定

PowerShellを使用してMicrosoft Endpoint Managerでデバイスコンプライアンスを管理するには、いくつかのツールと環境設定を事前に準備する必要があります。本セクションでは、その具体的な手順を解説します。

必要なツール

  1. Windows PowerShellまたはPowerShell Core
    PowerShellの最新バージョンをインストールしてください。最新版はPowerShell公式サイトから入手できます。
  2. Microsoft Graph PowerShell SDK
    Microsoft Graph APIを利用するために必要なモジュールです。以下のコマンドをPowerShellで実行してインストールします。
   Install-Module -Name Microsoft.Graph -Scope CurrentUser
  1. Azure Active Directoryアカウント
    管理者権限を持つアカウントでAzure ADにサインインする必要があります。

環境設定の手順

1. PowerShellの実行ポリシーの確認と設定

スクリプトを実行するには、適切な実行ポリシーを設定します。以下のコマンドで設定を変更します。

Set-ExecutionPolicy -ExecutionPolicy RemoteSigned -Scope CurrentUser

確認するには以下を実行します。

Get-ExecutionPolicy -Scope CurrentUser

2. Microsoft Graphにサインイン

Microsoft Graph PowerShell SDKを使用して、Azure ADにサインインします。以下のコマンドを使用します。

Connect-MgGraph

サインイン後、以下を実行して接続状態を確認します。

Get-MgProfile

3. APIアクセスの権限設定

Microsoft Graph APIに必要な権限を設定します。Azureポータルにアクセスし、必要なAPI権限（デバイス管理関連）をアプリケーションに割り当てます。例えば、DeviceManagementConfiguration.ReadWrite.Allなどの権限が必要です。

環境設定が完了したら

これでPowerShellを使用してMicrosoft Endpoint Managerでデバイスコンプライアンス管理を行う準備が整いました。次のセクションでは、具体的なスクリプトの使用方法について解説します。

Microsoft Graph APIとPowerShellの連携

PowerShellを使用してMicrosoft Endpoint Managerのデバイスコンプライアンスを管理するためには、Microsoft Graph APIとの連携が必要です。Graph APIは、Microsoftのクラウドリソースにアクセスするための統一されたエンドポイントを提供します。

Microsoft Graph APIの基本

Microsoft Graph APIは、Azure Active Directory、Intune、Microsoft 365など、さまざまなMicrosoftサービスにアクセスできるREST APIです。PowerShellと連携することで、スクリプトによる操作が可能になります。

Microsoft Graph PowerShell SDKのセットアップ

Graph APIを利用するために、Microsoft Graph PowerShell SDKを事前にインストールする必要があります。以下のコマンドでインストールします。

Install-Module -Name Microsoft.Graph -Scope CurrentUser

SDKのインポートと認証

インストール後、以下のコマンドを使用してMicrosoft Graphに認証します。

Connect-MgGraph

認証後、以下を実行して利用可能なスコープやプロファイルを確認できます。

Get-MgProfile

デバイスコンプライアンスに関連するエンドポイント

Microsoft Graph APIを使用してデバイスコンプライアンスポリシーを操作するには、以下のエンドポイントが役立ちます。

  • 一覧取得：既存のデバイスコンプライアンスポリシーを取得
  Get-MgDeviceManagementDeviceCompliancePolicy
  • 新規作成：新しいコンプライアンスポリシーを作成
  New-MgDeviceManagementDeviceCompliancePolicy
  • 更新：既存のポリシーを更新
  Update-MgDeviceManagementDeviceCompliancePolicy -DeviceCompliancePolicyId <PolicyId>
  • 削除：不要なポリシーを削除
  Remove-MgDeviceManagementDeviceCompliancePolicy -DeviceCompliancePolicyId <PolicyId>

PowerShellとGraph APIを使用した簡単なスクリプト例

以下は、既存のデバイスコンプライアンスポリシーを一覧表示するスクリプトの例です。

# Graph APIに接続
Connect-MgGraph

# デバイスコンプライアンスポリシーの一覧取得
$policies = Get-MgDeviceManagementDeviceCompliancePolicy
foreach ($policy in $policies) {
    Write-Output "Policy Name: $($policy.DisplayName)"
    Write-Output "Description: $($policy.Description)"
}

API連携の利点

  • 柔軟性：複数のデバイスやユーザーに対応するポリシーを効率的に管理可能。
  • リアルタイム操作：最新の状態を即座に反映できる。
  • スケーラビリティ：大規模環境でのポリシー管理に適している。

Microsoft Graph APIとPowerShellを活用することで、Microsoft Endpoint Managerのポリシー管理を効率化できるだけでなく、運用の精度も向上させることが可能です。

デバイスコンプライアンスポリシーの作成と適用

PowerShellを使用してMicrosoft Endpoint Managerで新しいデバイスコンプライアンスポリシーを作成し、デバイスに適用する手順を解説します。

デバイスコンプライアンスポリシーの作成

Microsoft Graph PowerShell SDKを使用して、新しいコンプライアンスポリシーを作成します。

1. 必要な情報の確認

ポリシーを作成する前に、以下の要件を明確にします。

  • ポリシー名: ユーザーが分かりやすい名称。
  • 説明: ポリシーの目的や適用範囲。
  • 設定内容: 必須条件（例：パスワードの強度、デバイス暗号化など）。

2. ポリシー作成のスクリプト

以下は、デバイスにパスワードポリシーを適用するスクリプトの例です。

# Graph APIに接続
Connect-MgGraph

# 新しいデバイスコンプライアンスポリシーの作成
New-MgDeviceManagementDeviceCompliancePolicy -OdataType "#microsoft.graph.androidCompliancePolicy" `
    -DisplayName "Android Device Compliance Policy" `
    -Description "Requires password and encryption" `
    -PasswordRequired $true `
    -PasswordMinimumLength 8 `
    -PasswordExpirationDays 30 `
    -StorageRequireEncryption $true

このスクリプトでは、以下の条件を設定しています：

  • パスワードが必須。
  • パスワードの最低文字数は8文字。
  • パスワードの有効期間は30日。
  • デバイスストレージの暗号化が必須。

デバイスへのポリシーの適用

作成したポリシーを特定のデバイスまたはグループに適用します。

1. デバイスグループの確認

適用対象となるデバイスグループのIDを確認します。

Get-MgGroup | Where-Object { $_.DisplayName -eq "Target Group Name" }

2. ポリシーの割り当て

以下のスクリプトを使用して、ポリシーをグループに割り当てます。

$policyId = "<PolicyId>" # 作成したポリシーのID
$groupId = "<GroupId>"   # 適用するグループのID

New-MgDeviceManagementDeviceCompliancePolicyAssignment -DeviceCompliancePolicyId $policyId `
    -TargetGroupId $groupId

ポリシーの適用状態の確認

以下のコマンドを使用して、ポリシーの適用状態を確認します。

Get-MgDeviceManagementDeviceCompliancePolicyAssignment -DeviceCompliancePolicyId $policyId

注意事項

  • 作成したポリシーが正しく適用されるよう、対象デバイスがMicrosoft Endpoint Managerに登録されている必要があります。
  • テスト環境でポリシーを試してから本番環境に適用することを推奨します。

PowerShellを使用することで、デバイスコンプライアンスポリシーの作成と適用を効率的に行うことができます。これにより、IT管理者はセキュリティ要件を迅速に満たすことが可能になります。

ポリシーの確認とデバッグ方法

デバイスコンプライアンスポリシーを作成・適用した後、適用状態を確認し、問題が発生した場合はデバッグを行う必要があります。本セクションでは、具体的な確認方法とトラブルシューティングの手順を解説します。

ポリシーの適用状態を確認する

1. 適用済みポリシーの一覧取得

PowerShellを使用して、デバイスに適用されているポリシーの一覧を確認できます。

# ポリシーの一覧を取得
Get-MgDeviceManagementDeviceCompliancePolicyAssignment -DeviceCompliancePolicyId <PolicyId>

このコマンドにより、指定したポリシーがどのデバイスグループに適用されているか確認できます。

2. デバイスの準拠状態を確認

特定のデバイスがポリシーに準拠しているかどうかを確認するには、以下のコマンドを使用します。

Get-MgDeviceManagementDeviceCompliancePolicyDeviceStatus -DeviceCompliancePolicyId <PolicyId>

出力例：

  • ComplianceStatus: compliant（準拠）または nonCompliant（非準拠）
  • LastReportedDateTime: デバイスが最後に準拠状態を報告した日時。

エラー発生時のデバッグ方法

1. ログの確認

デバイスから取得できるログを確認します。

Get-MgDeviceManagementDeviceCompliancePolicySettingStateSummary -DeviceCompliancePolicyId <PolicyId>

このコマンドでは、各設定項目が成功または失敗しているかを確認できます。

2. デバイス同期の実行

ポリシーが適用されない場合は、デバイスの同期を手動で実行してみましょう。

Invoke-MgDeviceManagementManagedDeviceSyncDevice -ManagedDeviceId <DeviceId>

3. エラーメッセージの解析

エラーメッセージが表示された場合は、内容を分析して原因を特定します。

  • 権限エラー: Graph APIに必要な権限が不足している可能性があります。
  • デバイス未登録: デバイスがMicrosoft Endpoint Managerに登録されているか確認してください。

一般的なトラブルシューティング例

ケース1: ポリシーが適用されない

  • デバイスが管理対象であることを確認します。
  • Graph APIで割り当てが正しく行われたかを確認します。

ケース2: デバイスが非準拠として報告される

  • デバイスが必要な設定を満たしているかを確認します。
  • ポリシー設定に矛盾がないか確認します。

最終確認

すべての確認と修正が完了したら、デバイスのコンプライアンス状態を再度チェックします。

Get-MgDeviceManagementDeviceCompliancePolicyDeviceStatus -DeviceCompliancePolicyId <PolicyId>

適用状態を定期的に監視し、エラーが発生した場合は迅速に対応することで、デバイスコンプライアンスの安定した運用が可能になります。

応用例：特定デバイスグループへのポリシー適用

PowerShellを活用することで、特定のデバイスグループに対してポリシーを適用する高度な操作が可能になります。このセクションでは、特定グループへの適用手順と応用例を紹介します。

特定デバイスグループへのポリシー適用手順

1. グループIDの取得

適用対象のデバイスグループIDを取得するために、以下のコマンドを実行します。

# グループの一覧を取得
Get-MgGroup | Where-Object { $_.DisplayName -eq "Target Group Name" }

出力結果からIdフィールドの値をコピーします。これがグループIDになります。

2. ポリシーIDの確認

適用するポリシーのIDを取得するには以下のコマンドを実行します。

# ポリシーの一覧を取得
Get-MgDeviceManagementDeviceCompliancePolicy

DisplayNameを確認して該当するポリシーのIDを取得します。

3. ポリシーの割り当て

以下のコマンドを使用して、特定グループにポリシーを割り当てます。

# ポリシーの割り当て
$policyId = "<PolicyId>" # ポリシーID
$groupId = "<GroupId>"   # グループID

New-MgDeviceManagementDeviceCompliancePolicyAssignment -DeviceCompliancePolicyId $policyId `
    -TargetGroupId $groupId

このスクリプトにより、指定したグループに対してポリシーが適用されます。

応用例

例1: デバイス種類別のポリシー適用

例えば、Androidデバイスには暗号化ポリシー、Windowsデバイスにはパスワードポリシーを適用するケースです。以下の手順で分けて適用します。

  1. Android用ポリシーを作成し、Androidデバイスのグループに適用。
  2. Windows用ポリシーを作成し、Windowsデバイスのグループに適用。

例2: 部署ごとに異なるポリシーを適用

異なる部署に異なるポリシーを適用する場合、各部署をデバイスグループで分け、それぞれのポリシーを割り当てます。

# HR部門グループにポリシー適用
$hrGroupId = "<HRGroupId>"
$hrPolicyId = "<HRPolicyId>"
New-MgDeviceManagementDeviceCompliancePolicyAssignment -DeviceCompliancePolicyId $hrPolicyId -TargetGroupId $hrGroupId

例3: 一時的なテスト環境への適用

新しいポリシーを本番適用前にテスト環境で試す場合、テスト用のデバイスグループを作成し、ポリシーを適用します。

# テスト環境に適用
$testGroupId = "<TestGroupId>"
$testPolicyId = "<TestPolicyId>"
New-MgDeviceManagementDeviceCompliancePolicyAssignment -DeviceCompliancePolicyId $testPolicyId -TargetGroupId $testGroupId

割り当て結果の確認

ポリシーが正しく割り当てられたかを確認するには以下のコマンドを使用します。

Get-MgDeviceManagementDeviceCompliancePolicyAssignment -DeviceCompliancePolicyId <PolicyId>

注意事項

  • 適用範囲を間違えないよう、事前に対象デバイスグループを確認してください。
  • テスト環境での確認を行い、ポリシーの影響を評価してから本番適用を行うことを推奨します。

このような応用例を活用することで、柔軟で効率的なポリシー管理が可能になります。

セキュリティとベストプラクティス

PowerShellを使用してMicrosoft Endpoint Managerでデバイスコンプライアンスを管理する際は、セキュリティを考慮しつつ、効率的な運用を行うためのベストプラクティスを導入することが重要です。このセクションでは、セキュリティ対策と管理の最適化方法を解説します。

PowerShellスクリプトのセキュリティ対策

1. 実行ポリシーの適切な設定

スクリプトの実行にはRemoteSignedポリシーを設定することを推奨します。これにより、信頼できるスクリプトのみが実行可能になります。

Set-ExecutionPolicy -ExecutionPolicy RemoteSigned -Scope CurrentUser

2. 機密情報の保護

スクリプト内に認証情報をハードコードしないようにしましょう。以下の方法で安全に管理します。

  • セキュアストリングの使用
    認証情報を安全に保存するために、PowerShellのセキュリティ機能を活用します。
  $credential = Get-Credential
  Connect-MgGraph -Credential $credential
  • Azure Key Vaultの利用
    機密情報をAzure Key Vaultに保存し、スクリプトから安全にアクセスします。

3. APIアクセス権の最小化

Microsoft Graph APIで必要な権限のみを付与するようにします。たとえば、デバイス管理にはDeviceManagementConfiguration.ReadWrite.Allのみを付与し、他の不要な権限を避けます。

PowerShellスクリプト運用のベストプラクティス

1. スクリプトのモジュール化

スクリプトを小さなモジュールに分割し、再利用可能な形にすると保守性が向上します。共通関数をモジュール化することで、コードの重複を防げます。

2. ログの記録

すべての操作ログを記録し、トラブルシューティングや監査に活用します。

Start-Transcript -Path "C:\Logs\CompliancePolicy.log"
# スクリプト内容
Stop-Transcript

3. テスト環境の活用

本番環境に適用する前に、テスト環境でスクリプトを実行し、問題がないことを確認します。スクリプトの変更が影響する範囲を最小限に抑えることが重要です。

セキュリティインシデント防止のベストプラクティス

1. MFA（多要素認証）の有効化

Azure ADアカウントに多要素認証を有効にし、不正アクセスを防ぎます。

2. 監査ログの監視

AzureポータルやPowerShellを使用して、すべての管理操作を監視します。

Get-AzActivityLog -StartTime (Get-Date).AddDays(-7) -EndTime (Get-Date)

管理効率を向上させる方法

  • スケジュールタスクの利用
    定期的なポリシー適用や状態確認を自動化するために、スクリプトをスケジュールタスクとして登録します。
  • レポートの自動生成
    デバイスコンプライアンス状態を定期的にレポートとして出力し、チーム全体で共有します。
  Get-MgDeviceManagementDeviceCompliancePolicyDeviceStatus | Export-Csv -Path "C:\Reports\ComplianceReport.csv"

まとめ

これらのセキュリティ対策とベストプラクティスを取り入れることで、PowerShellを用いたデバイスコンプライアンス管理が安全かつ効率的に実現できます。運用中も定期的に改善点を見直し、より高度なセキュリティと効率を目指しましょう。

まとめ

本記事では、PowerShellを使用してMicrosoft Endpoint Managerでデバイスコンプライアンスを効率的に管理する方法について解説しました。Microsoft Graph APIとの連携を通じてポリシーを作成・適用し、特定のデバイスグループへの割り当てや応用例についても詳しく紹介しました。また、セキュリティ対策とベストプラクティスを取り入れることで、安全性を確保しつつ管理業務を最適化する方法を学びました。

適切な環境設定やスクリプトの運用を行うことで、IT管理者は手動作業を減らし、スケーラブルな管理体制を構築できます。PowerShellとMicrosoft Endpoint Managerを活用し、組織全体のデバイスセキュリティを強化しましょう。

PowerShell
PowerShell Microsoft Endpoint Manager デバイスコンプライアンス

この記事を書いた人

佐藤健司のアバター 佐藤健司

実務の現場で詰まりがちなポイントを地図にするITブログ「IT trip」を運営。Windows／Office（Teams・Excel）からSQL、サーバ運用、ガジェットまで、再現性のある手順と“なぜそうなるか”を丁寧に解説します。読んだらすぐ試せること、そして迷った人の次の一歩が見えることを大切にしています。

関連記事

コメント

コメントする

目次