WEB問題集
Contoso は、新しく購入した Windows 11 Pro のノート PC 200 台を従業員へ配布します。これらのデバイスはオンプレミスの Active Directory Domain Services (AD DS) には参加させず、従業員は組織アカウントでデバイスにサインインします。デバイスは Microsoft Intune で管理し、条件付きアクセスでコンプライアンスへの準拠を要求します。上の図は、この構成でのデバイスと Microsoft Entra ID、オンプレミスの AD DS の関係を示しています。
デバイスに構成すべき参加の種類はどれですか。
解説
【正解: B】の理由
Microsoft Entra 参加は、組織が所有するデバイスをクラウドの Microsoft Entra ID だけに参加させる方式で、利用者は組織アカウントでデバイスにサインインします。オンプレミスの AD DS に参加させる必要はなく、Intune のような MDM で暗号化や更新といった組織の要件を強制できます。図が示すとおり、デバイスは Microsoft Entra ID に参加したうえで、組織のネットワーク上にいるときはファイル サーバーなどのオンプレミス リソースへのシングル サインオンも維持できます。展開の方法は初期設定 (OOBE)、一括登録、Windows Autopilot のいずれでもかまいません。
【他選択肢が違う理由】
- A: Microsoft Entra 登録は個人所有のデバイス (BYOD) を想定した方式で、デバイスへのサインインに組織アカウントを必要としません。
- C: Microsoft Entra ハイブリッド参加はオンプレミスの AD DS への参加が前提になるため、AD DS を使わない今回の要件には合いません。
- D: AD DS だけに参加させると Microsoft Entra ID にデバイスの ID が登録されず、条件付きアクセスでデバイスの準拠状態を評価できません。
【参考】
Contoso は Microsoft Entra ID で動的メンバーシップ グループを 3 つ作成し、Microsoft Intune のポリシー割り当てに使用します。それぞれのグループの要件を満たすために、メンバーシップ ルールで使用するデバイス属性を決めます。
各要件に当てはまるデバイス属性を選択してください。
| ステートメント | 選択 |
|---|---|
|
企業所有として登録されたデバイスだけを含める
|
|
|
特定の Windows Autopilot 登録プロファイルで登録されたデバイスだけを含める
|
|
|
Windows を実行するデバイスだけを含める
|
解説
【正解マッチング】
| 要件 | デバイス属性 |
|---|---|
| 企業所有として登録されたデバイスだけを含める | deviceOwnership |
| 特定の Windows Autopilot 登録プロファイルで登録されたデバイスだけを含める | enrollmentProfileName |
| Windows を実行するデバイスだけを含める | deviceOSType |
【ポイント】
デバイスの動的メンバーシップ ルールは、デバイス オブジェクトの属性を条件式で評価してメンバーを自動的に決めます。所有権を条件にする属性が取り得る値は Personal、Company、Unknown の 3 つで、Intune 側で「企業」と表示される所有権も、ルールでは Company と指定する点が間違えやすいところです。登録プロファイル名を条件にする属性は、Apple の自動デバイス登録、Android Enterprise の企業所有専用デバイスの登録、そして Windows Autopilot のプロファイル名に対応します。OS の種別を条件にする属性は Windows や iPhone のような文字列で判定し、前方一致の演算子も使えます。なお、グループの入れ子を条件にする memberOf 演算子と、入社日を条件にする employeeHireDate 属性はいずれもプレビューで制限があるため、運用に組み込む前に確認します。
【参考】
Contoso には、オンプレミスの Active Directory Domain Services (AD DS) で管理している Windows クライアントが 800 台あります。管理者は、これらを引き続きグループ ポリシーで構成しながら、Microsoft Entra ID の条件付きアクセスも利用できるようにするため、Microsoft Entra ハイブリッド参加の採用を検討しています。
Microsoft Entra ハイブリッド参加に関する説明として正しいものを 3 つ選んでください。
解説
【正解: A・C・E】の理由
Microsoft Entra ハイブリッド参加は、オンプレミスの AD DS に参加させたデバイスを Microsoft Entra ID にも登録し、両方に ID を持たせる方式です。既存の AD DS への投資を活かせるため、グループ ポリシーによる構成や、AD DS のコンピューター認証に依存する業務アプリを使い続けたい組織に向いています。対象となるオペレーティング システムは Home エディションを除く Windows 11 と Windows 10、および Windows Server 2016、2019、2022 で、デバイスの所有権は組織です。一方でこの方式は、オンプレミスのドメイン コントローラーへ定期的にネットワークで到達できることを前提としており、その接続が得られないとデバイスは使用できなくなります。
【他選択肢が違う理由】
- B: 所有権は組織で、主な対象はオンプレミスの AD DS を持つハイブリッド組織です。個人所有のデバイスは Microsoft Entra 登録の対象になります。
- D: デバイスの最大数の設定は Microsoft Entra 参加済みまたは Microsoft Entra 登録済みのデバイスに適用され、ハイブリッド参加済みデバイスには適用されません。
【参考】
Fabrikam の従業員が、自分で購入した Windows 11 のノート PC から社内の経費精算ツールを使いたいと申し出ました。このツールには、Microsoft Intune で準拠と評価されたデバイスからのみアクセスできます。従業員は、デバイスへのサインインには個人のアカウントを使い続けることを望んでいます。
この要件を満たす Microsoft Entra ID への統合方法はどれですか。
解説
【正解: C】の理由
Microsoft Entra 登録は職場参加とも呼ばれ、個人所有のデバイスやモバイル デバイスから組織のリソースへアクセスさせるための方式です。デバイスへのサインインには Microsoft アカウントのようなローカルのアカウントを使い続けられ、組織のリソースへアクセスするときにだけ Microsoft Entra のアカウントを使います。登録は Microsoft Entra ID にデバイスの ID を作る操作で、Intune への登録とは別です。管理者が登録を許可していれば、登録したデバイスをさらに Intune へ登録して、ストレージの暗号化やパスワードの複雑さといった組織の要件を強制でき、準拠済みデバイスを求める条件付きアクセスも適用できます。
【他選択肢が違う理由】
- A: Microsoft Entra 参加は組織が所有するデバイス向けで、デバイスへのサインインに組織アカウントが必要になります。
- B: ハイブリッド参加はオンプレミスの AD DS への参加が前提であり、個人所有の PC を対象にできません。
- D: AD DS に参加させても Microsoft Entra ID にデバイスの ID が作られないため、条件付きアクセスで準拠の状態を評価できません。
【参考】
Contoso は、Microsoft Entra ID へのデバイスの統合方法を見直しています。次の表は、対象となるデバイス グループの現在の状態と目的の状態を示しています。
| デバイス グループ | 現在の状態 | 目的の状態 |
|---|---|---|
| 営業部のデスクトップ | オンプレミスのドメイン参加済み | Microsoft Entra 参加済み |
| 経理部のノート PC | Microsoft Entra 登録済み | Microsoft Entra 参加済み |
| 開発部のノート PC | Microsoft Entra 参加済み | Microsoft Entra ハイブリッド参加済み |
| 工場の共有端末 | オンプレミスのドメイン参加済み | Microsoft Entra ハイブリッド参加済み |
それぞれのデバイス グループで最初に必要になる操作を対応付けてください。
- Microsoft Entra ID から参加を解除
- オンプレミスのドメインから参加解除
- デバイスの登録を解除
- Microsoft Entra Connect で自動参加
解説
【正解マッチング】
| デバイス グループ | 最初に必要な操作 |
|---|---|
| 営業部のデスクトップ | オンプレミスのドメインから参加解除 |
| 経理部のノート PC | デバイスの登録を解除 |
| 開発部のノート PC | Microsoft Entra ID から参加を解除 |
| 工場の共有端末 | Microsoft Entra Connect で自動参加 |
【ポイント】
統合方法を変えるときは、いま持っている ID を先に外すのが原則です。オンプレミスのドメインに参加しているデバイスを Microsoft Entra 参加済みにするには、先にドメインから参加を解除します。Microsoft Entra 登録済みのデバイスをMicrosoft Entra 参加済みにする場合は、参加の前に登録を解除します。逆に Microsoft Entra 参加済みのデバイスを Microsoft Entra ハイブリッド参加済みにするには、Microsoft Entra ID から参加を解除して、オンプレミスのワークグループまたは新規と同じ状態に戻す必要があります。オンプレミスのドメインに参加しているデバイスをハイブリッド参加済みにする場合だけは解除が要らず、Microsoft Entra Connect のウィザードまたは AD FS の構成によって自動的に参加させます。オンプレミスのドメインに参加している Windows 10 以降のデバイスは、環境が整っていれば既定で自動参加を試みます。