IntuneにてBYODと社給端末で適用ルールを変えたいとき

2020年1月16日 14:20

公開日：2020/01/16
更新日：2023/08/23

【参考】

はじめに

同じユーザーが持つモバイル端末でも、社給端末とBYODで別の設定を配布したい。それって可能なのかしら？
Intune のデバイスカテゴリ機能＋ Azure AD の動的グループ機能を組み合わせることで、端末に割り当てしたカテゴリによって適用する設定を変えることができます。
※ 機能名に「デバイス」が含まれており、可読性に影響するので、実端末のことは「デバイス」ではなく「端末」と記載します。
※ 画面キャプチャはあまり厳密にとっていないので、前の画面と後の画面で名前が違うなどの事態があります。。

2023/8/23 追記
この記事を書いた当時はデバイスフィルターがなかったので動的グループを利用していますが、動的グループの場合、設定適用までのタイムラグが発生します。デバイスフィルターを利用する方がタイムラグなく適用できます。
Intune ポリシーやアプリの割り当てとグループ種別｜Minami Hirosawa (note.com)

手順概要

１）Intune にてデバイスカテゴリを作成
２）Azure AD にて、(１) で作成したデバイスカテゴリごとに端末をグルーピングする動的グループを作成
３）Intuneにて、デバイス構成プロファイルや配布アプリを (２) で作成したグループに割り当てする
４）端末へデバイスカテゴリを割り当てする
・管理者画面：登録済みデバイスのプロパティからセット
・端末：登録時に Intune ポータルサイトアプリにて、デバイスカテゴリを選ばせる画面が表示される

１）Intune にてデバイスカテゴリを作成

1-1）Microsoft Endpoint Manager admin center 画面へアクセス
https://devicemanagement.microsoft.com/
1-2）[デバイス] - [その他] グループの [デバイスカテゴリ] - [デバイスカテゴリの作成] から作成

名前と説明、スコープくらいで、特段、指定することはなし。

できました。

２）Azure AD にて、(１) で作成したデバイスカテゴリごとに端末をグルーピングする動的グループを作成

2-1）同じMicrosoft Endpoint Manager admin center 画面で [グループ] - [新しいグループ] クリック
2-2）グループ作成画面にて適宜情報を入力
・[グループの種類] は「セキュリティグループ」
・[メンバーシップの種類] は「動的デバイス」
・[動的クエリの編集] をクリック

2-3）[動的メンバーシップルール] 画面にてルールを記載します。
今回はデバイスカテゴリがズバリ「BYOD」のもの。
※ 特にデバイスカテゴリのメタ情報を指定しているわけではないので、「BYOD」デバイスカテゴリが「私物端末」などに変更されると、動的グループの方は連動して変更といったことはしてくれない感じがします。試してはないです。
ルールが書けたら保存して、グループを作成。