Microsoft Intuneでのモデル ベースのターゲット設定を使用したセキュア ブート証明書の更新設定の適用

この記事では、

• 概要

• 前提条件

• 手順 1 - Intuneでセキュア ブート証明書の更新設定を構成する (設定カタログ)

• 手順 2 - モデルベースのターゲット設定の割り当てフィルターを作成する

• 手順 3 - 割り当てフィルターを使用してポリシーを割り当てる

• よく寄せられる質問

• リソース

概要

このガイダンスは、IT 管理者がMicrosoft Intune設定カタログ ポリシーを使用してセキュア ブート証明書の更新プロセスを有効にするのに役立ちます。 証明書の更新プロセスを有効にするセキュア ブート設定を構成する方法と、その構成を展開する方法について説明します。 また、 モデルベースの割り当てフィルター を使用して、更新プログラムを正常に処理するために既に検証されているハードウェアで、制御された段階的なロールアウトをサポートする方法についても説明します。

前提条件

セキュア ブート証明書の更新資格は セキュア ブート ポリシー CSP とデバイス ファームウェアによって決まります。 このスコープは、Windows サービス (更新プログラム) のタイムラインやIntune登録要件と常に一致するとは限りません。

Intuneとポリシーの前提条件

• フィルターを作成し、設定カタログ ポリシーを作成/割り当てるアクセス許可を持つアカウントでサインインします。

• デバイスはIntuneに登録する必要があります (割り当てフィルターはマネージド デバイスにのみ適用されます)。

セキュア ブートの適格性の前提条件

• サポートされている Windows バージョンの一覧は、IT で管理された更新プログラムを使用Microsoft Intune Windows デバイスのセキュア ブートの方法で入手できます。

• デバイスでセキュア ブートが有効になっている必要があり、現在のサービス更新プログラムにインストールされている必要があります。

手順 1 - Intuneでセキュア ブート証明書の更新設定を構成する (設定カタログ)

この手順では、Microsoft Intuneで Windows 設定カタログ デバイス構成プロファイルを作成します。 また、セキュア ブート証明書の更新プロセスを有効にするセキュア ブート設定も構成します。

作成する内容

[セキュア ブート証明書の有効化] Updatesを有効にする Windows 設定カタログ デバイス構成プロファイル:

設定カタログ プロファイルを作成する

1. Microsoft Intune管理センターにサインインします。

2. [ デバイス ] > [デバイスの 管理 ] > [構成] に移動します。

3. [ 作成 ] > [新しいポリシー] を選択します。

4. [ プロファイルの作成] で、次の手順を実行します。

5. プラットフォーム: Windows 10以降

6. プロファイルの種類: 設定カタログ

7. [作成] を選択します。

8. プロファイルに名前を付け (セキュア ブート証明書の更新など)、省略可能な説明を追加し、[ 次へ] を選択します。

9. [ 構成設定] で、[ 設定の追加] を選択します。

10. 設定ピッカーで、 セキュア ブート を検索し、[ カテゴリ別に参照] で選択します。

11. [セキュア ブート証明書の有効化] Updates設定を、セキュア ブート カテゴリに表示されている 3 つからプロファイルに追加します。

    注: 展開シナリオで必要な場合と同じ方法で、このカテゴリの他のセキュア ブート設定を構成できます。

12. 設定値を [有効] に構成します。

13. [ 次へ ] を選択して割り当てを続行します。 (手順 3 でフィルターを適用します)。

手順 2 - モデルベースのターゲット設定の割り当てフィルターを作成 する

次に、特定のデバイス モデルを対象とするIntune割り当てフィルターを作成します。 モデルベースのターゲット設定を使用すると、選択したハードウェア モデルに対してセキュア ブート証明書の更新プログラムのスコープを設定できます。 この制御された段階的なデプロイでは、追加のMicrosoft Entra ID グループは必要ありません。

セキュア ブート証明書の展開にモデルベースのターゲット設定が推奨される理由

• ファームウェアのばらつき - OEM はセキュア ブートを異なる方法で実装するため、モデル レベルのスコープを使用すると、予期しない動作が減ります。

• 事前検証 - 広範なロールアウトの前に、既知の適切なハードウェア セットで証明書の更新を検証できます。

作成する内容

特定の デバイス モデルを対象とする (または除外する) マネージド デバイス割り当てフィルター。

割り当てフィルターを作成する

1. Microsoft Intune管理センターにサインインします。

2. [ テナント管理 ] > [ 割り当てフィルター] > [作成] に移動します。

3. [ 管理対象デバイス] を選択します。

4. [ 基本] で、次の値を設定します。

   • フィルター名 (説明)。

   • 説明 (省略可能ですが、推奨)。

   • プラットフォーム: Windows 10以降。

5. [次へ] を選択します。

6. [ ルール] で、次の 1 つの方法を選択します。

   • ルール ビルダー (ほとんどの管理者に推奨)

   • ルール構文 (手動式の編集)

モデルベースのルールを構築する (ルール ビルダー)

1. ルール ビルダーで、モデル プロパティを選択します。

2. 演算子を選択します。

3. 一致させるモデル文字列を入力します。

4. [ 式の追加] を選択してルールに追加します。

5. 必要に応じて、 And/Or を 使用して、追加のモデルにルールを拡張するか、フィルター可能な他のプロパティに基づいて追加の条件を追加します。

フィルターをプレビューして作成する

1. [ プレビュー デバイス ] を選択して、登録されているデバイスが一致することを確認します。

2. [次へ] を選択します。

3. (省略可能)スコープ タグを使用する場合は、 スコープ タグ を割り当てます。

4. [次へ] を選択します。

5. [ 確認と作成] で、[作成] を選択 します。

手順 3 - 割り当てフィルターを使用してポリシーを割り当てる

最後に、設定カタログ プロファイルをデバイスまたはユーザー グループに割り当て、割り当てフィルターを適用します。 これにより、ポリシーの評価中に、どの登録済みデバイスがセキュア ブート証明書の更新設定を受信して処理するかを決定します。

実行する内容

手順 1 のセキュア ブート設定カタログ プロファイルをグループに割り当ててから、含 める モードまたは 除外 モードで手順 2 のフィルターを適用します。

割り当てフィルターを適用する

1. Microsoft Intune管理センターで、[デバイス] > [デバイスの管理] > [構成] に移動します。

2. 上記の手順 1 で作成した設定カタログ プロファイルを選択します。

3. [プロパティ] > [割り当て] > [編集] を開きます。

4. プロファイルを適切な ユーザー グループ または デバイス グループに割り当てます。

   ヒント: ターゲット設定を制限する他の条件がない場合は、このポリシーを [すべてのデバイス ] 仮想グループに割り当てます。 手順 2 のデバイス モデル割り当てフィルターを使用して、割り当てのスコープを設定します。 この組み合わせは、ほとんどのデプロイで十分です。 [すべてのデバイス] 仮想グループが組み込まれており、グループのメンテナンスは必要なく、スケール用に最適化されています。 その後、割り当てフィルターは、追加のMicrosoft Entra グループを必要とせずに、デバイスのプロパティに基づいてデバイス チェックで適用性を狭めます。

5. [ フィルターの編集] を選択します。

6. 1 つを選択します。

   • 割り当てにフィルター処理されたデバイスを含める: フィルターに一致するデバイスのみがポリシーを受け取ります。

   • 割り当てでフィルター処理されたデバイスを除外する: フィルターに一致するデバイスはポリシーを受け取りません。

7. 手順 2 から既存の割り当てフィルターを選択し、[選択] を 選択します。

8. [ 確認と保存] > [保存] を選択します。

デバイスの動作を理解する

• Intuneは、デバイスが登録されたとき、チェックインするたびに、割り当てられたポリシーが再評価されるたびにフィルターを評価します。

• セキュア ブート設定を有効にしても、即時の証明書アプリケーションは保証されません。 更新プロセスをトリガーするセキュア ブート設定の場合、Windows セキュア ブート タスクは 12 時間ごとに実行されます。 一部の更新プログラムでは、再起動が必要になる場合があります。

よく寄せられる質問

リソース

• 設定の定義と許可される値: SecureBoot Policy CSP

• 設定カタログ フローと設定動作: IT で管理された更新プログラムを使用した Windows デバイスのセキュア ブートのMicrosoft Intune方法

• 背景とタイムライン: Windows セキュア ブート証明書の有効期限と CA 更新プログラム

• フィルターの作成、プレビュー、適用: Microsoft Intuneで割り当てフィルターを作成する

• サポートされているプロパティ、演算子、構文: 割り当てフィルターのプロパティと演算子のリファレンス

• 全体的なロールアウト計画とIntune推奨オプションとして呼び出されました:2026 年に期限切れになる証明書のセキュア ブート プレイブック

• 監視専用アプローチとIntuneレポート: Microsoft Intune修復によるセキュア ブート証明書の状態の監視