Configuration Manager での Exchange 電子メールの条件付きアクセス

Configuration Manager コンソールで、[資産とコンプライアンス] をクリックします。

[コンプライアンス設定]、[条件付きアクセス] の順に展開し、[Exchange Online] をクリックします。

[ホーム] タブの [リンク] グループで、[Intune コンソールでの条件付きアクセス ポリシーの構成] をクリックします。Intune サービスの全体管理者と Configuration Manager を結び付けるために使用したアカウントのユーザー名とパスワードの入力が必要になる場合があります。

Intune 管理コンソールが開きます。

Microsoft Intune 管理コンソールで、[ポリシー] > [条件付きアクセス] > [Exchange Online ポリシー] をクリックします。

[Exchange Online ポリシー] ページで、[Exchange Online の条件付きアクセス ポリシーを有効にする] を選択します。 これをチェックする場合、デバイスは準拠している必要があります。 これをチェックしないと、条件付きアクセスは適用されません。

[先進認証を使用するアプリ] で、アクセスを各プラットフォームに準拠しているデバイスのみに制限できます。 Windows デバイスはドメインに参加しているか、Intune に登録または準拠している必要があります。

ヒント
先進認証では、Active Directory Authentication Library (ADAL) ベースのサインインが Office クライアントに提供されます。 ADAL ベースの認証を使用すると、Office クライアントでブラウザー ベースの認証 (パッシブ認証とも呼ばれます) を利用できます。 認証する際に、ユーザーはサインイン Web ページに転送されます。 この新しいサインイン方法では、デバイスのコンプライアンスと、多要素認証が実行されたかどうかに基づいて、条件付きのアクセスなどの新しいシナリオを実現できます。 先進認証の動作の詳細については、この記事を参照してください。

Configuration Manager と Intune と共に Exchange Online を使用すると、条件付きアクセスでモバイル デバイスだけではなく、デスクトップ コンピューターも管理できます。 PC はドメインに参加しているか、または Intune に登録または準拠している必要があります。 以下の要件を設定できます。

- **デバイスはドメインに参加しているか準拠デバイスである必要があります**。PC はドメインに参加しているか、Intune のポリシー セットに準拠している必要があります。 PC がどちらの要件も満たさない場合、ユーザーはデバイスを Intune に登録するように求められます。

- **デバイスはドメインに参加している必要があります**。PC は Exchange Online にアクセスするために、ドメインに参加する必要があります。 PC がドメインに参加していない場合、メールへのアクセスはブロックされ、ユーザーは IT 管理者に連絡するように求められます。

- **デバイスは準拠デバイスである必要があります**。PC は Intune に登録および準拠している必要があります。 PC を登録していない場合は、登録する方法についての手順を示したメッセージが表示されます。

[Exchange ActiveSync メール アプリ] で、デバイスがポリシーに準拠していない場合に、メールの Exchange Online へのアクセスをブロックするように選択できます。また、Intune がデバイスを管理できない場合に、メールへのアクセスを許可するかブロックするかを選択できます。

[対象グループ] で、ポリシーを適用するユーザーの Active Directory セキュリティ グループを選択します。

[例外グループ] で、このポリシーから除外するユーザーの Active Directory セキュリティ グループを選択します。 ユーザーが対象グループと例外グループの両方に属している場合、ユーザーはポリシーから除外され、自分のメールにアクセスできます。

操作が完了したら、[保存] をクリックします。

Configuration Manager コンソールで、[資産とコンプライアンス] をクリックします。

[コンプライアンス設定]、[条件付きアクセス] の順に展開し、[On-Premises Exchange] をクリックします。

[ホーム] タブの [On-Premises Exchange] グループで、[条件付きアクセス ポリシーの構成] をクリックします。

条件付きアクセス ポリシーの構成ウィザードの [全般] ページで、Intune テナント ドメイン名を指定します。 これは、Intune コネクタをセットアップするために使用したテナント ID のサフィックスです。 たとえば、使用したテナント ID が admin@corpemail.contoso.com の場合は、ウィザードのこのページで入力するドメイン名は corpemail.contoso.com です。

[次へ] をクリックします。

[対象コレクション] ページで、1 つまたは複数のユーザー コレクションを追加します。 Exchange にアクセスするには、これらのコレクション内のユーザーが Intune でデバイスを登録し、展開されたすべてのコンプライアンス ポリシーに準拠する必要があります。

[次へ] をクリックします。

[除外コレクション] ページで、条件付きアクセス ポリシーから除外するすべてのユーザー コレクションを追加します。 これらのグループ内のユーザーは、Intune でデバイスを登録する必要はなく、Exchange にアクセスするために、展開されたすべてのコンプライアンス ポリシーに準拠する必要はありません。

ユーザーが対象リストと例外リストの両方に属している場合、ユーザーは条件付きアクセス ポリシーから除外されます。

[次へ] をクリックします。

[ユーザー通知の編集] ページで、Intune がデバイスのブロックを解除する方法についての説明と共にユーザーに送信するメールを構成します (Exchange が送信するメールに追加)。

既定のメッセージを編集したり、テキストの表示方法を HTML タグで書式設定したりすることができます。 変更の予定を通知し、デバイスを登録する手順を説明するメールを事前に従業員に送信することもできます。

[次へ] をクリックします。

[概要] ページで設定を確認し、ウィザードを完了します。