【Intune】デバイスポリシーがエラーで困った、準拠しているはずなのに編
IntuneはMicrosoftが提供しているエンドポイント管理プラットフォームです。
デバイスの管理やアプリケーションの管理、コンプライアンス管理など、PCやスマホなどの端末をクラウド上で管理するものですね。
今回はIntuneのデバイスポリシーについて右往左往したため、備忘録としてnoteを書きます。
誰かの役に立って！！
エラーについて
2016345708(Syncml(404): 要求されたターゲットが見つかりませんでした。)
対象は Windows Default Compliance Policy 。
トップ画像がまさにそれ。
BitLocker
コードの整合性
セキュアブート
この３兄弟が仲良くエラーになりました。
このエラーが発生した端末は購入したばかりで、初期設定した直後からこの状態でした。
というより新しいし、ポリシーから外れるような端末を選んだり、そのような設定したつもりはなかったので、Intuneに登録されたからヨシ！としてニューPCライフをを満喫していました。
ところが数日たったある日、突然このメールが届く。
そしてタイミング悪く、Microsoftの月例パッチで「BitLocker回復画面が表示される不具合」に遭遇したようで、ポリシー設定を見直して再起動したらブルースクリーン…。
初めてBitLockerの回復キーを入力しましたが、復活しなかったらどうしよう…と不安満載でしたが、無事復活。
でも楽しいはずの日曜日が一気に憂鬱！
右往左往したこと
困ったときは先人の知恵をお借りすべく、ネットをさまよう。
しかしながらコレといった情報にたどり着けず。
ならばAIと、コパさん（Copilotにつけたあだ名）に聞いても、的を射たネタは出てこず。
じゃあ１個ずつ…と思い試してみる。
BitLockerを再設定してみたり、
TPMをクリアしてみたり、
セキュアブートの設定に誤りがないかチェックしたり…。
でも、全然だめでした。
ちなみに、TPMをクリアしたらWindows Helloが無効になって（当たり前ですが）、再設定が大変でしたのでお気を付けください。
その影響で、Outlookでこのエラーが出ました。
結局は、M365を一度切断して（Outlookからアカウント削除）して、再設定したら直りました。
ご参考まで。
結論、右往左往するだけ無駄でした。
原因：既知の問題です by MSサポート
もう、聞いてしまいましたサポートに。
そしたらこれは、現時点ではあきらめる系の既知の問題でした。
今回エラーになっている３兄弟は、Windows 正常性構成証明 (DHA) を使用してポリシーに準拠しているかチェックしているとのこと。
ただ、この機能が安定していないのか、それともハードウェア要因なのか不明ですが、今回のようなエラーや誤検知してしまう事例が多くあるとのことでした。
解決策：あきらめて別ポリシー作る
これはすぐには解決しない問題と割り切って、できる対策を取りました。
やったことは、「該当の端末用に新しくポリシーを作って適用」です。
具体的には、既存のポリシーから対象の端末をフィルターで除外する。
フィルターの作り方はこちら。
そして、エラー3兄弟を除いたポリシーを作成する。
具体的には「デバイスの正常性」の構成を外しました。
そして、その結果…
できた！
元のポリシーが「該当なし」に！！
新しく追加したポリシーが「準拠」に！！！
はぁースッキリ。
さいごに
海外のサイトも含めて色々探してみたのですが、なかなか良い情報に巡り合えませんでした。
まぁ私の検索する力 or AIへの聞き方が良くないってことはありますが、それにしても情報が少ない。
ってことは、Intuneで厳密にポリシー設定して運用している数がそれほど多くない、ということなのかなと…。
EDRとかも浸透し始めてきているので、セキュリティ面への理解は進んできているのだと思います。
でも、それはあくまで「外からの攻撃」に対する備えとしての側面が強いですよね。
でも、セキュリティ事故は結構「犯人はこの中にいる」的なこともあったりしますので、そういった意味でもIntuneのようなエンドポイントをしっかり管理することも、とても大切ですね。
セキュリティは大事！