DISPLAY SETTINGS 各種設定
Q1.自社ではオンプレミスの Active Directory ドメインを Microsoft Entra ID と同期させて運用しており、次の図に示す Windows Autopilot の展開プロファイルを作成しました。
提示された情報をもとに、ドロップダウン メニューから各文を完成させる最適な選択肢を選んでください。
解答を見る
プロファイルを適用する前提として、対象デバイスのハードウェア ハッシュを含むCSV ファイルを Windows Autopilot にインポートして登録しておく必要があります。
図の展開プロファイルでは「Azure AD への参加方法」が Azure AD joined（現行名称では Microsoft Entra 参加）に設定されています。
そのため適用後のデバイスはMicrosoft Entra ID のみに参加した状態となり、オンプレミスの Active Directory には参加しません。
Active Directory と Entra ID の両方に紐づく状態になるのは、参加方法を Microsoft Entra ハイブリッド参加に設定した場合であり、テナントがハイブリッド構成であってもプロファイルの設定が優先される点に注意してください。
Intuneでの Windows Autopilot ユーザー駆動型Microsoft Entra参加の概要 | Microsoft Learn
Q2.ある企業では Microsoft 365 テナントを利用し、複数のデバイスを Microsoft Intune に登録しています。
管理者は「Policy1」という条件付きアクセス ポリシーを作成し、「Group1」というグループに割り当てました。
Policy1 は、非準拠と判定されたデバイスからの Microsoft OneDrive for Business へのアクセスを制限します。
OneDrive for Business へアクセスを試みている非準拠デバイスを洗い出す必要があります。
何をすべきでしょうか。
解答を見る
Policy1 は条件付きアクセスによって OneDrive for Business へのアクセスを制御しているため、該当する非準拠デバイスの特定には条件付きアクセスの分析情報とレポート ブックを確認するのが適切です。
このブックでは、サインインに適用されたポリシーの影響をユーザーやアプリ、デバイスの状態などの観点から分析できます。
単なるコンプライアンス一覧では、OneDrive へのアクセス試行とポリシー評価を結び付けられません。
なお、Azure Active Directory は現在 Microsoft Entra ID へ名称変更されています。
条件付きアクセスに関する分析情報とレポートのブック – Microsoft Entra ID | Microsoft Learn
Q3.社内ネットワークには contoso.com という名前の Active Directory ドメインが存在します。
次の図のように Package1 という名前のプロビジョニング パッケージを作成した場合、Package1 を正常に実行できるデバイスの最大数はいくつになりますか。
解答を見る
Windows Configuration Designer のデバイス名には Comp%RAND:1% が指定されています。
%RAND:1% は1 桁のランダム値を生成するため、取り得る値は 0 から 9 までの 10 通りです。
Active Directory ドメインではコンピューター名が一意である必要があるため、名前が重複せず正常に実行できる最大数は 10 台となります。
したがって最大デバイス数は 10 が正解です。
Windows デバイスの一括登録 – Microsoft Intune
Q4.Microsoft 365 サブスクリプションを利用しています。
次の図のように Retention1 という名前の保持ラベルを作成します。
この Retention1 をすべての OneDrive コンテンツへ適用します。
2020 年 1 月 1 日に、ユーザーが File1 という名前のファイルを OneDrive へ保存します。
2020 年 1 月 10 日に、そのユーザーが File1 を編集します。
2020 年 2 月 1 日に、ユーザーが File1 を削除します。
File1 が OneDrive から完全に削除され、復元できなくなるのはいつですか。
解答を見る
Retention1 は 6 か月間の保持後に削除する設定で、保持期間の起点は作成日です。
したがって File1 の保持期限は 2020 年 1 月 1 日から 6 か月後の 2020 年 7 月 1 日になります。
1 月 10 日の編集は起点日を変更せず、2 月 1 日にユーザーが削除しても保持してから削除の動作により保持され、期限到来後に完全削除されます。
保持期間は開始日を基準に計算する点を押さえることが重要です。
コンテンツを自動的に保持または削除するようにMicrosoft 365 の保持設定を構成する | Microsoft Learn
Q5.Windows Autopilot の展開プロファイルを作成します。
次の要件を満たすようにプロファイル設定を構成する必要があります。
エンド ユーザーによる認証を求めることなく、新しいデバイスを自動的に登録し、システム アプリをプロビジョニングします。
コンピューター名にハードウェアのシリアル番号を含めます。
どの 2 つの設定を構成する必要がありますか。
解答を見る
エンド ユーザーの認証を求めずに登録とプロビジョニングを完了させるには、展開モードを自己展開（Self-deploying）に設定します。
自己展開モードではユーザー資格情報の入力が不要で、デバイス単位で Microsoft Entra ID への参加と Intune への登録が行われます。
ユーザー主導（User-driven）モードは登録時に資格情報を要求するため、この要件を満たしません。
また、コンピューター名にハードウェアのシリアル番号を含めるには、「デバイス名テンプレートを適用」を有効にして %SERIAL% マクロを指定します。
したがって構成すべき 2 つの設定は展開モードとデバイス名テンプレートの適用です。
Windows Autopilot プロファイルを構成する | Microsoft Learn
Q6.次の表に示すデバイスを保有しています。
これらの環境に Microsoft Defender for Endpoint を実装する予定です。
Microsoft Defender for Endpoint にオンボードできるデバイスを特定する必要があります。
何を特定する必要がありますか。
| 名前 | オペレーティング システム | ドメイン メンバー |
|---|---|---|
| Device1 | Windows 8.1 Enterprise | はい |
| Device2 | Windows 10 Pro | いいえ |
| Device3 | Windows 10 Enterprise | はい |
| Device4 | Mac OS X | いいえ |
解答を見る
Microsoft Defender for Endpoint は、Windows 10/11 の Pro や Enterprise、Windows 8.1 の Pro/Enterprise、macOS などをサポート対象としています。
表の Device1 はWindows 8.1 Enterprise、Device2 と Device3 は Windows 10 の対応エディション、Device4 はMac OS Xであり、いずれもオンボード可能です。
ドメイン参加の有無はこの設問における除外条件ではありません。
したがって 4 台すべてが対象となります。
Microsoft Defender for Endpoint の最小要件
Q7.次の表に示すデバイスを含む Microsoft 365 テナントがあります。
これらのデバイスは Microsoft Intune で管理されています。
「Policy1」というコンプライアンス ポリシーを作成し、「Group1」に割り当てました。
Policy1 は、デバイスのセキュリティ設定がポリシーの指定と一致する場合にのみデバイスを「準拠」とマークするよう構成されています。
ところが Group1 のメンバーではないデバイスも準拠として表示されています。
コンプライアンス ポリシーが割り当てられたデバイスのみを「準拠」とし、それ以外は「非準拠」と表示されるようにする必要があります。
Microsoft Intune 管理センターで何をすればよいですか。
| 名前 | 所属グループ |
|---|---|
| Device1 | Group1 |
| Device2 | Group1 |
| Device3 | Group1 |
解答を見る
ポリシーが割り当てられていないデバイスが準拠と表示されるのは、テナント全体の既定値である「コンプライアンス ポリシーが割り当てられていないデバイスを準拠としてマークする」が有効になっているためです。
Intune ではデバイス コンプライアンスの「コンプライアンス ポリシー設定」でこの既定の状態を「非準拠」に変更できます。
これにより、ポリシーが割り当てられたデバイスだけが準拠として扱われます。
条件付きアクセスはアクセス制御、非準拠に対するアクションは通知やブロックのタイミングを決める設定であり、準拠判定そのものは変わりません。
Microsoft Intune のデバイス コンプライアンス ポリシー – Microsoft Intune | Microsoft Learn
Q8.Microsoft Intune Suite を含む Microsoft 365 サブスクリプションを利用しています。
デバイス管理には Microsoft Intune を使用しています。
デバイスの起動時間と再起動の頻度を確認する必要があります。
何を使用すべきでしょうか。
解答を見る
エンドポイント分析は、Microsoft Intune で管理されるデバイスのユーザー エクスペリエンスや正常性を可視化する機能で、起動時間や再起動頻度などの指標を確認できます。
Azure Monitor は汎用的な監視、Intune データ ウェアハウスは分析用データの取得、Defender for Endpoint は主に脅威対策を目的としています。
したがって本件で使用すべきなのはエンドポイント分析です。
エンドポイント分析の概要 – Microsoft Intune | Microsoft Learn
Q9.次の表に示すコンピューターを含む Microsoft 365 サブスクリプションがあります。
今後 Windows Autopilot を利用する予定です。
各コンピューターが Windows Autopilot への自動登録に対応していることを確認する必要があります。
それぞれのコンピューターに対して何をすべきでしょうか。
| 名前 | オペレーティング システム | プロセッサ | Microsoft Entra ID の状態 |
|---|---|---|---|
| Computer1 | Windows 10 Enterprise | x64 | Microsoft Entra 登録済み |
| Computer2 | Windows 8.1 Enterprise | x64 | Microsoft Entra 登録済み |
解答を見る
Computer1 は対応 OS を実行していますが、状態が Microsoft Entra 登録済み（Registered）にとどまっており、参加済み（Joined）ではありません。
Windows Autopilot の自動登録は Microsoft Entra ID への参加が前提となるため、Computer1 は Microsoft Entra ID に参加させます。
Computer2 は x64 プロセッサで要件を満たす一方、Windows 8.1 は Windows Autopilot のサポート対象外であり、Windows 10 Enterprise へのアップグレードが必要です。
Autopilot がサポートするのは Windows 10／11 の Pro、Enterprise、Education などのエディションです。
Intune や Microsoft Entra ID からの削除は、いずれも登録の妨げを解消しません。
Windows Autopilot の要件 | Microsoft Learn
Q10.1,000 台の iOS デバイスと Microsoft Intune を含む Microsoft 365 サブスクリプションを運用しています。
デバイス上の管理対象アプリから企業データが印刷されるのを防止する必要があります。
どの設定を使用すべきですか。
解答を見る
アプリ保護ポリシーは、管理対象アプリ内の企業データに対する保存・転送・共有を制御するための設定です。
iOS/iPadOS では印刷に関するデータ保護もここで制御でき、組織データの出力をブロックすることで管理対象アプリからの印刷を防止できます。
アプリ構成ポリシーはアプリ動作の初期設定向けであり、セキュリティ ベースラインやプロビジョニング プロファイルはこの用途には適しません。
データ漏えい防止はアプリ保護ポリシー（APP）と結び付けて判断することが重要です。
iOS/iPadOS アプリ保護ポリシー設定 – Microsoft Intune | Microsoft Learn