Entra ID 条件付きアクセスの設定
Entra ID
条件付きアクセスの設定Entra ID 条件付きアクセスの前提条件を満たしていることを確認します。
- UEM管理コンソールのメニューバーで、［設定］ > ［外部統合］ > ［Entra ID 条件付きアクセス］をクリックします。
をクリックします。- 設定の名前を入力します。
- ［Entra クラウド］ドロップダウンリストで［グローバル］をクリックします。
- ［Entra テナント ID］フィールドに、組織のテナント名を FQDN 形式で入力するか、GUID 形式で一意のテナント ID を入力します。
- ［デバイスマッピングの上書き］で、［UPN］または［メール］を選択します。UPN を選択した場合は、接続を保存する前に、Entra IDテナントとマッピングされたすべてのディレクトリが同じ UPN 値をユーザーと共有していることを確認してください。接続を保存すると、デバイスマッピングの上書きを変更することができなくなります。
- ［使用可能な会社のディレクトリ］リストで、適切な会社のディレクトリを選択して追加します。
- ［保存］をクリックします。
- 組織のEntraテナントへのログインに使用する管理者アカウントを選択します。
- Microsoft権限要求を受け入れます。
- メニューバーで、［ポリシーとプロファイル］ > ［ポリシー］ > ［BlackBerry Dynamics］をクリックします。デバイスユーザーに割り当てる BlackBerry Dynamics プロファイル（デフォルトプロファイルやカスタムプロファイルなど）では、次の手順を実行します。
- プロファイルを開いて編集します。
- ［BlackBerry Dynamics に登録する UEM Client を有効にする］を選択します。
- Microsoft Authenticatorアプリがデバイスにインストールされるまで条件付きアクセスの登録プロセスを遅らせたい場合は、［認証ブローカーのインストール後に条件付きアクセス登録を開始する］を選択します。
- ［保存］をクリックします。
- 必要に応じ、プロファイルをユーザーおよびグループに割り当てます。
- メニューバーで、［ポリシーとプロファイル］ > ［ネットワークと接続］ > ［BlackBerry Dynamics 接続］の順にクリックします。デバイスユーザーに割り当てる BlackBerry Dynamics 接続プロファイル（デフォルトプロファイルやカスタムプロファイルなど）では、次の手順を実行します。
- プロファイルを開いて編集します。
- ［アプリサーバー］セクションで、［追加］をクリックします。
- ［機能 - Azure 条件付きアクセス］を検索してクリックします。
- ［保存］をクリックします。
- ［Azure 条件付きアクセス］テーブルで をクリックします。
- ［サーバー］フィールドに、「gdas-」と入力します。<UEM_SRP_ID>.<region_code>.bbsecure.com
- ［ポート］フィールドに「443」と入力します。
- ［ルートタイプ］で、［直接］をクリックします。
- ［保存］をクリックします。
- 必要に応じ、プロファイルをユーザーおよびグループに割り当てます。
- コンプライアンスプロファイルを作成して設定し、必要に応じてユーザーとグループにプロファイルを割り当てます。次の表では、UEMコンプライアンスアクションがIntuneに報告される方法の詳細を示しています。UEMのコンプライアンス強制アクション動作強制アクション：監視とログIntuneには何も報告されません。強制アクション：
- 信頼しない
- 仕事用データのみを削除
- すべてのデータを削除する
すべてのユーザープロンプトが期限切れになると、UEMはEntra IDに通知します。BlackBerry Dynamicsアプリへの強制アクション：監視とログIntuneには何も報告されません。BlackBerry Dynamicsへの強制アクション：- BlackBerry Dynamicsアプリの実行を許可しない
- BlackBerry Dynamicsのアプリデータの削除
UEMはEntra IDにコンプライアンス違反が検出されるとすぐに通知します。 - UEM ClientアプリとMicrosoft Authenticatorアプリの両方をユーザーのデバイスにインストールします。UEMでMicrosoft Authenticatorアプリを割り当てて展開するか（「アプリリストへの一般のアプリの追加」参照）、ユーザー自身でアプリをダウンロードするよう指示することができます。
- 組織で使用するメールクライアントによっては、メールクライアントがEntraを検証して通信できるように追加の手順を実行する必要があります。
- BlackBerry Workについては、『BlackBerry Work管理ガイド』の「Entra ID 条件付きアクセスのための BlackBerry Work アプリ設定の構成」を参照してください。
- iOSのネイティブのメールクライアントについては、「KB 94163」を参照してください。
- ユーザーがデバイスをアクティブ化すると、UEM ClientはユーザーにEntra条件付きアクセスで登録するよう求めます。アクティブ化されたデバイスのユーザーは、次回UEM Clientを開いたときにEntra条件付きアクセスで登録するように求められます。Microsoft Authenticator内のサインインオプションを使用せず、UEM Clientを使用してEntraで登録を開始するようユーザーに指示します。UEM Clientからの登録プロンプトがMicrosoft Authenticatorを開き、ユーザーに資格情報の入力を求めるプロンプトが表示され、登録プロセスを完了します。
- ユーザーがUEMでデバイスをアクティブ化した後、MicrosoftEndpoint Manager でユーザーのデバイスプロパティを確認し、デバイスが想定通りにEntraに登録されたことを確認できます。デバイスの名前は次の形式になります。<username>-<platform>unknown unknown -<xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxx>
- Entraパートナーコンプライアンス設定でユーザーまたはグループの範囲を変更した場合は、EntraポータルでBlackBerry UEM条件付きアクセスのセキュリティ権限に移動し、BlackBerryに対する管理者の同意を再度付与します。
- UEMからデバイスを削除しても、デバイスはEntra ID条件付きアクセス用に登録されたままになります。ユーザーがMicrosoft Authenticatorアプリのアカウント設定からEntra IDアカウントを削除できます。または、Entraポータルからそのデバイスを削除することもできます。