Microsoft Intune 2月更新: 承認強化とApple DDM

はじめに: なぜ重要なのか

デバイス管理における回避策は、しばしば利便性のために導入されますが、気づかないうちにリスクを高めることがあります。重複したポリシー、範囲が広すぎるソフトウェア更新の展開、レビューされていない変更は、攻撃対象領域を広げ、最小特権や強固な変更管理といった Zero Trust の実践を損ないます。今月の Intune の改善は、承認機能、より優れたフリート分析、Apple ポリシーのより正確なターゲティングを追加することで、こうしたギャップの縮小を目的としています。

Intune の新機能（2月）

1) Multi-admin approval がコンプライアンス ポリシーと構成ポリシーに拡大

Intune は、次の項目に対する multi-administrator approval の追加オプションをサポートするようになりました。

• Settings catalog で作成された device configuration policies
• Device compliance policies

multi-admin approval を有効にすると、これらの重要なポリシーの 作成、編集、削除 には、変更が有効になる前に 2 人目の管理者による承認が必要になります。これは、すでに他の高影響領域（apps、scripts、wipe/retire/delete などの device actions、RBAC roles、device categories）で利用可能な承認機能を拡張するものです。

重要な理由: これにより、誤操作や未承認のポリシー変更を防ぐための実践的なガバナンスが加わります。特に、構成ドリフトがすぐに非準拠につながる環境で有効です。

2) Advanced Analytics: より充実した Multiple Device Query (MDQ) 結果

Advanced Analytics では、MDQ の使いやすさと精度が改善されました。

• クエリ結果に operator の詳細が表示 されるようになり、join の種類（leftanti や rightsemi など）も含まれるため、「存在しない」デバイス条件をより正確に特定できます。
• MDQ 結果内の クリック可能な join syntax により、デバイス詳細へすばやく移動できます。
• エラー メッセージを改善。
• join の簡素化: 管理者は、カスタム Device syntax を使わずに Device フィールドで結果を join できるようになりました。

重要な理由: クエリの精度向上により、管理者はコンプライアンス ギャップ、不足している構成、大規模環境でのデバイス コホートを把握しやすくなります。これは、正確なインベントリと状態データに依存する Zero Trust の判断にとって重要です。

3) Apple DDM ポリシーが assignment filters をサポート

これまで Declarative Device Management (DDM) ポリシーでは assignment filters を使用できず、ターゲティングの柔軟性が制限されていました（たとえば、企業所有デバイスと個人所有デバイスの分離など）。現在は、Intune が DDM ベースのポリシーに対する assignment filters をサポートし、従来の MDM ベースのポリシーと同等の運用が可能になりました。

例:

• OS バージョン フィルターを使用して、iOS 17+ のデバイスのみにソフトウェア更新を適用する。
• enrollment profile name フィルターを使って、個人所有デバイスを除外しつつ ADE supervised デバイスを対象にする。

重要な理由: Apple が iOS、iPadOS、macOS、visionOS、tvOS 全体で DDM を拡大する中、過剰な展開を避けるために、一貫性があり正確なターゲティングが管理者に求められています。

IT 管理者とエンド ユーザーへの影響

• 管理者 は、高影響ポリシーに対する変更管理の強化、MDQ 改善によるトラブルシューティングとフリート分析の向上、重複ポリシーや一括更新割り当ての必要性低減といったメリットを得られます。
• エンド ユーザー は、意図しないポリシー変更の減少と、より適切な更新ターゲティング（特に BYOD シナリオ）による恩恵を受けます。

対応項目 / 次のステップ

• テナントで、コンプライアンス ポリシーおよび Settings catalog の構成ポリシーに対して multi-admin approval を有効にすべきか確認する。
• 新しい承認ワークフローを含めるように内部の変更管理ガイダンスを更新し、監査ログの保持期間がガバナンス要件を満たしていることを確認する。
• Apple DDM を利用している場合は、割り当て戦略を見直し、企業所有デバイスと個人所有デバイスの体験をより適切に分けるために filters を実装する。
• 分析を重視する環境では、MDQ クエリを再確認し、改善された join と operator の可視性を活用してフリート レポートの精度を高める。