モバイルデバイスの登録と管理の新機能

• 2020/10/20
• • M

この記事では、windows 10 モバイルデバイス管理 (MDM) の登録と管理エクスペリエンスをすべての Windows 10 デバイスで利用できる新機能について説明します。 この記事では、互換性のある変更、既知の問題、よく寄せられる質問の詳細についても説明します。

Windows 10 の Microsoft モバイルデバイス管理プロトコルの詳細については、「 [\ ms-MDM ]: モバイルデバイス管理プロトコル と [\ ms-MDE2 ]: モバイルデバイス登録プロトコルバージョン 2」を参照してください。

MDM for Windows 10 バージョン20H2 の新機能

MDM for Windows 10 バージョン2004の新機能

MDM for Windows 10 バージョン1909の新機能

MDM for Windows 10 バージョン1903の新機能

MDM for Windows 10 バージョン1809の新機能

MDM for Windows 10 バージョン1803の新機能

MDM for Windows 10 バージョン1709の新機能

MDM for Windows 10 バージョン1703の新機能

MDM for Windows 10 バージョン1607の新機能

MDM for Windows 10 バージョン1511の新機能

変更の中断と既知の問題

Atomic コマンド内での Get コマンドはサポートされていません

Windows 10 では、アトミックコマンド内の Get コマンドはサポートされません。 これは、Windows Phone 8 および Windows Phone 8.1 で許可されました。

Windows 8.1 から Windows 10 へのアップグレード中に通知チャネル URI が保持されない

Windows 8.1 から Windows 10 にアップグレードするときに、通知チャネルの URI 情報は保持されません。 さらに、MDM クライアントでは、PFN、AppID、クライアントシークレットが失われます。

Windows 10 にアップグレードした後で、MDM \ _WNSConfiguration クラスを呼び出して、通知チャネル URI を再作成する必要があります。

WMI クラスを使用してインストールされたアプリが削除されない

WMI クラスを使ってインストールされたアプリケーションは、MDM アカウントがデバイスから削除されても削除されません。

SyncML での CDATA の受け渡しが機能しない

Windows 10 では、SyncML のデータでの CDATA の ConfigManager と Csp の受け渡しは機能しません。 Windows Phone 8 で動作しました。

IIS server SCEP の SSL 設定は、"無視" に設定する必要があります。

Windows 10 では、SCEP の IIS サーバーの [SSL 設定] の下にある証明書の設定を [無視] に設定する必要があります。 Windows Phone 8.1 では、クライアント証明書を "Accept" に設定すると、正常に動作します。

トラフィックがプロキシを通過するときに、MDM の登録がモバイルデバイスで失敗する

モバイルデバイスが認証を必要とするプロキシを使用するように構成されている場合、登録は失敗します。 この問題を回避するために、ユーザーは、認証を必要としない、または接続されたネットワークからプロキシ設定を削除するプロキシを使用できます。

サーバーで開始された unenrollment のエラー

ワークアカウントの追加によって登録されたデバイスのサーバーで開始された unenrollment は、MDM アカウントをアクティブなままにすることで、自動的に失敗します。 MDM ポリシーとリソースはまだ設定されており、クライアントはサーバーとの同期を続行できます。

Azure Active Directory の参加によって登録されているモバイルデバイスでは、リモートサーバー unenrollment が無効になっています。 これは、サーバーにエラーメッセージを返します。 Azure AD に参加しているモバイルデバイスの登録を解除するには、デバイスをリモートでワイプする方法しかありません。

Wi-Fi と VPN で問題を引き起こしている証明書

現在、Windows 10 バージョン1511では、ClientCertificateInstall を使用して、デバイスストアに証明書をインストールするとき、および両方の証明書が同じ MDM ペイロード内のデバイスに送信されるときに、デバイスストア用の証明書もユーザーストアにインストールされます。 これにより、接続を確立するための適切な証明書を選択するときに Wi-Fi や VPN で問題が発生する可能性があります。 この問題の解決に取り組んでいます。

モバイルデバイスのバージョン情報

Devdetail/SwVからのソフトウェアのバージョン情報が、[システム/バージョン情報] の [設定] のバージョンと一致しません。

ApplicationRestriction policy を使用したアプリの許可リストによる Windows Phone 8.1 デバイスのアップグレードに関する問題

• 許可されたアプリの一覧で、ApplicationRestrictions 制限を使用して windows Phone 8.1 デバイスを Windows 10 Mobile にアップグレードすると、一部の Windows 受信トレイアプリがブロックされ、予期しない動作の原因となることがあります。 この問題を回避するには、利用可能なアプリのリストに必要な 受信トレイアプリ を含める必要があります。

  アップグレードプロセスのその他のガイダンスを次に示します。

  • 受信トレイアプリに記載されているアプリに Windows 10 製品 id を使用します。
  • 新しい Microsoft publisher の名前 (PublisherName = "CN = Microsoft Corporation, O = Microsoft Corporation, L = Redmond, S = ワシントン, C = US") and Publisher = "CN = Microsoft Windows, O =" CN = Microsoft Windows, O = "CN = Microsoft Windows, O =" CN = Microsoft Windows, O = Microsoft Corporation, L = Redmond, S = ワシントン Windows Phone 8.1 publisher ルールを使用している場合は、そのルールを削除しないでください。
  • SyncML では、小文字の製品 ID を使用する必要があります。
  • 製品 ID を複製しないでください。 メッセージと Skype ビデオでは、同じ製品 ID を使用しています。 重複するとエラーが発生します。

• Windows Phone 8.1 publisher ルールを使用して publisher ポリシーが指定されている場合でも、Silverlight xaps がインストールされないことがあります。 たとえば、Publisher の "Level" を指定した場合でも、Silverlight アプリの "レベル" はインストールされません < > 。

  この問題を回避するには、Windows Phone 8.1 発行者ルールを削除し、許可するアプリの一覧に、許可する Silverlight アプリごとに特定の製品 ID を追加します。

• 一部のアプリ (特に、AppX バンドルとして Microsoft Store に公開されているアプリ) は、アプリの一覧に含まれている場合でも、インストールがブロックされます。

  現時点では、回避策はありません。 この問題を解決するための OS 更新プログラムが間もなくリリースされます。

Microsoft Framework に依存するアプリが、ビルド10586.218 の前に電話でブロックされることがある

ビルド10586.218 より前の電話にのみ適用されます: ApplicationManagement/Applicationmanagement ポリシーが Windows 10 Mobile に展開されると、Microsoft Framework に依存するアプリのインストールと更新が、エラー0x80073CF9 でブロックされることがあります。 この問題を回避するには、許可されているアプリの一覧に Microsoft Framework Id を含める必要があります。

<App ProductId="{00000000-0000-0000-0000-000000000000}" PublisherName="CN=Microsoft Corporation, O=Microsoft Corporation, L=Redmond, S=Washington, C=US"/>

複数の証明書が原因で、Windows 10 Mobile で Wi-Fi 接続が不安定になることがある

展開では、デバイスにプロビジョニングされた複数の証明書があり、プロビジョニングされた Wi-Fi プロファイルに厳密なフィルター条件が設定されていない場合、Wi-fi に接続するときに接続エラーが発生する場合があります。 解決策として、プロビジョニングされた Wi-Fi プロファイルには、1つの証明書にのみ一致するフィルター条件が厳密に含まれていることを確認する必要があります。

VPN/Wi-fi 用の証明書ベースの EAP 認証を展開する企業は、認証の既定の条件を満たす複数の証明書がある場合に発生する可能性があります。 これにより、次のような問題が発生する可能性があります。

• ユーザーには、証明書の選択を求めるメッセージが表示されることがあります。
• 間違った証明書が自動選択され、認証が失敗することがあります。

運用の準備ができている展開では、展開されるプロファイルの一部として適切な証明書の詳細が含まれている必要があります。 以下の情報は、無関係な証明書がフィルター処理され、適切な証明書を認証に使うことができるように、EAP 構成 XML を作成または更新する方法について説明します。

EAP XML は、環境に関連する情報で更新する必要があります。これは、下記の XML サンプルを手動で編集するか、またはステップバイステップの UI ガイドを使用して手動で行うことができます。 EAP XML が更新されたら、次のようにして、MDM からの手順を参照して更新された構成を展開します。

• Wi-fi の場合は、 < > 現在の WLAN プロファイル XML の eapconfig セクション (Wi-Fi CSP の WLanXml ノードに指定した内容) を探します。 これらのタグ内では、完全な EAP 構成が見つかります。 Eapconfig の下のセクションを < > 更新後の XML で置き換えて、Wi-Fi プロフィールを更新します。 新しい Wi-Fi プロファイルを展開する方法について MDM のガイダンスを参照する必要がある場合があります。
• VPN の場合、EAP 構成は MDM 構成の独立したフィールドです。 MDM プロバイダーと協力して、適切なフィールドを特定し、更新します。

EAP 設定の詳細については、 https://technet.microsoft.com/library/hh945104.aspx#BKMK_Cfg_cert_Selct

EAP XML の生成について詳しくは、「 eap の構成」をご覧ください。

拡張キー使用法の詳細については、 http://tools.ietf.org/html/rfc5280#section-4.2.1.12

証明書に拡張キー使用 (EKU) を追加する方法については、 https://technet.microsoft.com/library/cc731792.aspx

次の一覧では、EAP で使用する証明書の前提条件について説明します。

• 証明書には、次の EKU (拡張キー使用) プロパティの少なくとも1つが含まれている必要があります。

  • クライアント認証
  • RFC 5280 で定義されているように、これは、値が1.3.6.1.5.5.7.3.2 で明確に定義された OID です。
  • 任意の目的
  • Microsoft によって定義され公開された EKU は、1.3.6.1.4.1.311.10.12.1 値を持つ、明確に定義された OID です。 この OID が含まれているということは、証明書を任意の目的で使うことができることを意味します。 この EKU をすべての目的の EKU に適用することによって、その他の重要ではない、またはカスタムの EKUs を有効なフィルター処理のために証明書に追加することもできます。
  • すべての目的
  • RFC 5280 で定義されているように、一部のアプリケーションのニーズを満たすために、CA で拡張キーの使用が許可されていても、そのキーの使用を制限しない場合、CA は拡張キー使用値0を追加できます。 このような EKU を含む証明書は、あらゆる目的で使用できます。

• クライアント上のユーザーまたはコンピューター証明書が信頼されたルート CA にチェーンされている

• ユーザーまたはコンピューターの証明書は、CryptoAPI 証明書ストアによって実行されるいずれかのチェックに合格しません。また、証明書はリモートアクセスポリシーの要件を満たしています。

• ユーザーまたはコンピューターの証明書は、インターネット認証サービス (IAS)/Radius サーバーで指定されている証明書オブジェクト識別子のいずれにも失敗しません。

• 証明書のサブジェクト代替名 (SubjectAltName) の拡張子には、ユーザーのユーザープリンシパル名 (UPN) が含まれます。

次の XML サンプルでは、証明書フィルターなどの EAP TLS XML のプロパティについて説明します。

<EapHostConfig xmlns="http://www.microsoft.com/provisioning/EapHostConfig">
 <EapMethod>
  <Type xmlns="http://www.microsoft.com/provisioning/EapCommon">13</Type>
  <!--The above property defines the Method type for EAP, 13 means EAP TLS -->

  <VendorId xmlns="http://www.microsoft.com/provisioning/EapCommon">0</VendorId>
  <VendorType xmlns="http://www.microsoft.com/provisioning/EapCommon">0</VendorType>
  <AuthorId xmlns="http://www.microsoft.com/provisioning/EapCommon">0</AuthorId>
  <!--The 3 properties above define the method publishers, this is seen primarily in 3rd party Vendor methods.-->
  <!-- For Microsoft EAP TLS the value of the above fields will always be 0 -->
 </EapMethod>
 <!-- Now that the EAP Method is Defined we will go into the Configuration -->
 <Config xmlns="http://www.microsoft.com/provisioning/EapHostConfig">
  <Eap xmlns="http://www.microsoft.com/provisioning/BaseEapConnectionPropertiesV1">
   <Type>13</Type>
   <EapType xmlns="http://www.microsoft.com/provisioning/EapTlsConnectionPropertiesV1">
    <CredentialsSource>
     <!-- Credential Source can be either CertificateStore or SmartCard -->
     <CertificateStore>
      <SimpleCertSelection>true</SimpleCertSelection>
      <!--SimpleCertSelection automatically selects a cert if there are mutiple identical (Same UPN, Issuer, etc.) certs.-->
      <!--It uses a combination of rules to select the right cert-->
     </CertificateStore>
    </CredentialsSource>
    <ServerValidation>
     <!-- ServerValidation fields allow for checks on whether the server being connected to and the server cert being used are trusted -->
     <DisableUserPromptForServerValidation>false</DisableUserPromptForServerValidation>
     <ServerNames/>
    </ServerValidation>
    <DifferentUsername>false</DifferentUsername>
    <PerformServerValidation xmlns="http://www.microsoft.com/provisioning/EapTlsConnectionPropertiesV2">false</PerformServerValidation>
    <AcceptServerName xmlns="http://www.microsoft.com/provisioning/EapTlsConnectionPropertiesV2">false</AcceptServerName>
    <TLSExtensions xmlns="http://www.microsoft.com/provisioning/EapTlsConnectionPropertiesV2">
     <!-- For filtering the relevant information is below -->
     <FilteringInfo xmlns="http://www.microsoft.com/provisioning/EapTlsConnectionPropertiesV3">
      <CAHashList Enabled="true">
       <!-- The above implies that you want to filter by Issuer Hash -->
       <IssuerHash>ff ff ff ff ff ff ff ff ff ff ff ff ff ff ff ff ff ff ff ff
        <!-- Issuing certs thumbprint goes here-->
       </IssuerHash>
       <!-- You can add multiple entries and it will find the list of certs that have at least one of these certs in its chain-->
      </CAHashList>
      <EKUMapping>
       <!-- This section defines Custom EKUs that you may be adding-->
       <!-- You do not need this section if you do not have custom EKUs -->
       <!-- You can have multiple EKUs defined here and then referenced below as shown -->
       <EKUMap>
        <EKUName>
         <!--Add a friendly Name for an EKU here for example -->ContostoITEKU</EKUName>
        <EKUOID>
         <!--Add the OID Value your CA adds to the certificate here, for example -->1.3.6.1.4.1.311.42.1.15</EKUOID>
       </EKUMap>
        <!-- All the EKU Names referenced in the example below must first be defined here
       <EKUMap>
        <EKUName>Example1</EKUName>
        <EKUOID>2.23.133.8.3</EKUOID>

       </EKUMap>
       <EKUMap>
        <EKUName>Example2</EKUName>
        <EKUOID>1.3.6.1.4.1.311.20.2.1</EKUOID>
       </EKUMap>
       -->
      </EKUMapping>
      <ClientAuthEKUList Enabled="true">
       <!-- The above implies that you want certs with Client Authentication EKU to be used for authentication -->
       <EKUMapInList>
        <!-- This section implies that the certificate should have the following custom EKUs in addition to the Client Authentication EKU -->
        <EKUName>
         <!--Use the name from the EKUMap Field above-->ContostoITEKU</EKUName>
       </EKUMapInList>
       <!-- You can have multiple Custom EKUs mapped here, Each additional EKU will be processed with an AND operand -->
       <!-- For example, Client Auth EKU AND ContosoITEKU AND Example1 etc. -->
       <EKUMapInList>
        <EKUName>Example1</EKUName>
       </EKUMapInList>
      </ClientAuthEKUList>
      <AllPurposeEnabled>true</AllPurposeEnabled>
      <!-- Implies that a certificate with the EKU field = 0 will be selected -->
      <AnyPurposeEKUList Enabled="true"/>
      <!-- Implies that a certificate with the EKU oid Value of 1.3.6.1.4.1.311.10.12.1 will be selected -->
      <!-- Like for Client Auth you can also add Custom EKU properties with AnyPurposeEKUList (but not with AllPurposeEnabled) -->
      <!-- So here is what the above policy implies.
      The certificate selected will have
      Issuer Thumbprint = ff ff ff ff ff ff ff ff ff ff ff ff ff ff ff ff ff ff ff ff
      AND
      ((Client Authentication EKU AND ContosoITEKU) OR (AnyPurposeEKU) OR AllPurpose Certificate)

      Any certificate(s) that match these criteria will be utilised for authentication
      -->
     </FilteringInfo>
    </TLSExtensions>
   </EapType>
  </Eap>
 </Config>
</EapHostConfig>

または、次の手順を使用して、EAP 構成 XML を作成することもできます。

1. 「 EAP 構成 」の記事に記載されている手順 1 ~ 7 を実行します。

2. [Microsoft VPN SelfHost のプロパティ] ダイアログボックスで、ドロップダウンから [ microsoft: スマートカードまたはその他の証明書 ] を選びます (これにより、EAP TLS が選択されます)。

   

   注意

   PEAP または TTLS の場合は、適切な方法を選んで、引き続きこの手順に従ってください。

3. ドロップダウンメニューの下にある [ プロパティ ] ボタンをクリックします。

4. [ スマートカードまたはその他の証明書のプロパティ ] メニューで、[ 詳細設定 ] ボタンを選択します。

   

5. [ 証明書の選択の構成 ] メニューで、必要に応じてフィルターを調整します。

   

6. [ OK ] をクリックしてウィンドウを閉じ、[メイン rasphone.exe] ダイアログボックスに戻ります。

7. [Rasphone] ダイアログボックスを閉じます。

8. 引き続き、手順9の eap 構成 の記事に記載されている手順に従って、適切なフィルターで eap TLS プロファイルを取得してください。

リモート PIN のリセットが Azure Active Directory に参加しているモバイルデバイスでサポートされていない

Windows 10 Mobile では、Azure AD に参加しているデバイスでのリモート PIN のリセットはサポートされません。 リモート PIN のリセットコマンドを RemoteLock CSP を使って発行すると、デバイスはワイプされます。

クライアントの更新後、mdm サーバーで MDM クライアントが直ちにチェックインされます。 WNS チャネル URI

Windows 10 以降では、MDM クライアントが WNS チャネル URI を自動的に更新した後、mdm クライアントは MDM サーバーを使ってすぐにチェックインします。 Henceforth、MDM クライアントのすべてのチェックインで、MDM サーバーは "ProviderID/Push/ChannelURI" の GET 要求を送信して、最新のチャネル URI を取得し、既存のチャネル URI と比較します。次に、必要に応じてチャネル URI を更新します。

Windows 10 PC に参加した Azure Active Directory でのユーザープロビジョニングエラー

Azure AD に参加した Windows 10 PC、プロビジョニング/。ユーザーが Azure AD ユーザーとしてログインしていない場合、ユーザーリソースは失敗します。 ユーザーインターフェイスに関する設定システムから azure ad に参加しようとしている場合は > System > About 、MDM サーバーから組織構成を取得するために、必ずログオフして azure ad 資格情報を使ってログオンしてください。 この動作は仕様です。

Kerberos 認証にも使用される VPN 証明書についての注意事項

VPN 認証に使用する証明書を使用する場合 (NTLM または Kerberos を使用してオンプレミスのリソースにアクセスする必要がある場合)、ユーザーの証明書は、スマートカード証明書の要件を満たしている必要があります。また、DC が DNS 登録から配置されていることを確認するために、ユーザーの証明書は、 これらの要件を満たしていない証明書が VPN で使用されている場合、ユーザーは Kerberos 認証を必要とするリソースにアクセスできない可能性があります。 この問題は主に Windows Phone に影響します。

プッシュボタンのリセット用のデバイス管理エージェントが動作しない

プッシュボタンのリセット用の DM エージェントは、OMA dm セッションのレジストリ設定を保持しますが、タスクのスケジュールは削除します。 クライアントの登録は保持されますが、MDM サービスと同期することはできません。

よく寄せられる質問

Windows 10 では、複数の MDM サーバーを使用して、デバイスの登録と管理を行うことができますか?

いいえ、そうではありません。 MDM は1つのみ許可されています。

ユーザーごとに Azure Active Directory に参加しているデバイスの最大数を設定するにはどうすればよいですか?

1. テナント管理者としてポータルにログインし https://manage.windowsazure.com ます。

2. 左側のウィンドウで [Active Directory] をクリックします。

3. テナントを選びます。

4. [構成] をクリックします。

5. クォータを実質無制限に設定します。

   

Dmwappushsvc とは何ですか?

MDM ドキュメントの履歴を変更する

MDM ドキュメントの変更点については、「 mdm ドキュメントの履歴を変更する」を参照してください。