Configuration Manager での条件付きアクセス

Exchange Online (共有マルチテナント環境を使用)

Exchange Online への条件付きのアクセスでは、次を実行するデバイスがサポートされます。

• Windows 8.1 以降 (Intune に登録されている場合)

• Windows 7.0 または Windows 8.1 (ドメインに参加している場合)

• Windows Phone 8.1 以降

• iOS 7.1 以降

• Android 4.0 以降、Samsung Knox Standard 4.0 以降

補足:

• デバイスをワークプレース参加させる必要があります。ワークプレース参加させると、デバイスは Azure Active Directory Device Registration Service (AAD DRS) に登録されます。

  ドメインに参加した PC は、グループ ポリシーまたは MSI によって自動的に Azure Active Directory に登録されるはずです。 このトピックの「PC の条件付きアクセス」セクションに、PC の条件付きアクセスを有効にするためのすべての要件が説明されています。

  AAD DRS は、Intune や Office 365 のお客様に対して自動的にアクティブ化されます。 ADFS Device Registration Service をデプロイ済みのお客様には、オンプレミスの Active Directory で登録されたデバイスは表示されません。

• Exchange Online を含む Office 365 サブスクリプション (E3 など) を使用する必要があります。ユーザーには Exchange Online のライセンスが必要です。

• オプションの Exchange Server コネクタにより、Configuration Manager が Microsoft Exchange Online に接続されて、Configuration Manager コンソールでデバイス情報を監視できるようになります (「Configuration Manager と Exchange を使用してモバイル デバイスを管理する方法」を参照)。 コンプライアンス ポリシーまたは条件付きアクセス ポリシーを使用するうえでコネクタを使用する必要はありませんが、条件付きアクセスの影響を評価するためのレポートの実行に必要です。

Exchange On-premises

Exchange On-premises に対する条件付きアクセスでは、次のデバイスをサポートします。

• Windows 8 以降 (Intune に登録されている場合)

• Windows Phone 8 以降

• iOS のネイティブ電子メール アプリ

• Android 4 以降のネイティブ電子メール アプリ

• Android と iOS の Microsoft Outlook アプリはサポートされていません。

補足:

• Exchange のバージョンは、Exchange 2010 以降である必要があります。 Exchange Server クライアント アクセス サーバー (CAS) アレイがサポートされています。

  ヒント
  Exchange 環境が CAS サーバー構成にある場合は、CAS サーバーのいずれかを指すようにオンプレミスの Exchange コネクタを構成する必要があります。

• Configuration Manager を Microsoft Exchange On-premises に接続する Exchange Server コネクタを使用する必要があります。 これにより、モバイル デバイスを管理して、条件付きアクセスを有効にできるようになります (「Configuration Manager と Exchange を使用してモバイル デバイスを管理する方法」を参照)。

  • 最新バージョンの On-Premises Exchange Connector を使用していることを確認してください。 オンプレミスの Exchange コネクタは、Configuration Manager コンソールからインストールし、構成する必要があります。 詳細なチュートリアルについては、「Configuration Manager と Exchange を使用してモバイル デバイスを管理する方法」を参照してください。

  • コネクタは、System Center Configuration Manager のプライマリ サイトにのみインストールする必要があります。

  • このコネクタは、Exchange CAS 環境をサポートします。 コネクタを構成する際には、Exchange CAS サーバーのいずれかと通信するように設定する必要があります。

• Exchange ActiveSync は、証明書ベースの認証またはユーザーの資格情報のエントリで構成できます。

PC に対する条件付きアクセス

PC が Office デスクトップ アプリケーションを実行して Exchange Online と SharePoint Online にアクセスする場合、次の要件を満たす PC に対して条件付きアクセスをセットアップできます。

• Windows 7.0 または Windows 8.1 を実行している PC であること。

• ドメインに参加しているか、ドメイン対応の PC であること。

  ドメインに対応するためには、PC が Intune に登録済みで、ポリシーに準拠している必要があります。

  ドメインに参加する PC の場合、Azure Active Directory にデバイスを自動的に登録するように設定する必要があります。

• Office 365 の最新の認証が有効化されていて、最新の Office 更新プログラムがすべて適用されている必要があります。

  最新の認証により、Active Directory Authentication Library (ADAL) ベースのサインインが Office 2013 Windows クライアントに導入され、多要素認証および証明書ベースの認証などのより強力なセキュリティが有効になります。

• 最新ではない認証プロトコルをブロックするように ADFS 要求規則を設定します。