モバイル デバイスの登録と管理の新機能

• 2020/10/20
• • M

この記事では、すべての Windows 10 デバイスでの Windows 10 モバイル デバイス管理 (MDM) の登録と管理エクスペリエンスの新機能について説明します。 この記事では、重要な変更点や既知の問題、よく寄せられる質問に関する詳細も示します。

Windows 10 用の Microsoft モバイル デバイス管理プロトコルの詳細については 、[MS-MDM]: モバイル デバイス管理プロトコルと [MS-MDE2]: モバイルデバイス登録プロトコル バージョン 2 を参照してください。

Windows 10 バージョン 20H2 の MDM の新機能

Windows 10 バージョン 2004 の MDM の新機能

Windows 10 バージョン 1909 の MDM の新機能

Windows 10 バージョン 1903 の MDM の新機能

Windows 10 バージョン 1809 の MDM の新機能

Windows 10 バージョン 1803 の MDM の新機能

Windows 10 バージョン 1709 の MDM の新機能

Windows 10 バージョン 1703 の MDM の新機能

Windows 10 バージョン 1607 の MDM の新機能

Windows 10 バージョン 1511 の MDM の新機能

変更の破損と既知の問題

アトミック コマンド内の Get コマンドはサポートされていません

Windows 10 では、アトミック コマンド内の Get コマンドはサポートされていません。 これは、Windows Phone 8 と Windows Phone 8.1 で許可されています。

Windows 8.1 から Windows 10 へのアップグレード中に保持されない通知チャネル URI

Windows 8.1 から Windows 10 へのアップグレード中、通知チャネルの URI 情報は保持されません。 さらに、MDM クライアントは PFN、AppID、およびクライアント シークレットを失います。

Windows 10 にアップグレードした後、MDM_WNSConfiguration クラスを呼び出して通知チャネル URI を再作成する必要があります。

WMI クラスを使用してインストールされたアプリは削除されません

MDM アカウントがデバイスから削除された場合、WMI クラスを使用してインストールされたアプリケーションは削除されません。

SyncML で CDATA を渡しても機能しない

SyncML のデータ内の CDATA を ConfigManager と CSP に渡しても、Windows 10 では機能しません。 Windows Phone 8 で動作しました。

SCEP 用 IIS サーバーの SSL 設定を "無視" に設定する必要があります。

SCEP の IIS サーバーの [SSL 設定] の下にある証明書の設定は、Windows 10 で "無視" に設定する必要があります。 Windows Phone 8.1 では、クライアント証明書を "Accept" に設定すると、正常に動作します。

トラフィックがプロキシを経由している場合、モバイル デバイスで MDM 登録が失敗する

認証を必要とするプロキシを使用するようにモバイル デバイスが構成されている場合、登録は失敗します。 この問題を回避するために、ユーザーは認証を必要としないプロキシを使用するか、接続されたネットワークからプロキシ設定を削除できます。

サーバーによって開始された登録解除の失敗

仕事用アカウントを追加して登録されたデバイスのサーバーによって開始された登録解除は、MDM アカウントをアクティブな状態にした状態でサイレント モードで失敗します。 MDM ポリシーとリソースは引き続き適用され、クライアントはサーバーとの同期を続行できます。

Azure Active Directory 参加によって登録されたモバイル デバイスでは、リモート サーバーの登録解除が無効になります。 サーバーにエラー メッセージを返します。 Azure に参加しているモバイル デバイスの登録を削除する唯一AD方法は、デバイスをリモートでワイプする方法です。

デバイスと VPN に関する問題Wi-Fi原因となっている証明書

現在、Windows 10 バージョン 1511 では、ClientCertificateInstall を使用してデバイス ストアに証明書をインストールし、ユーザー ストアと両方の証明書が同じ MDM ペイロード内のデバイスに送信される場合、デバイス ストア用の証明書もユーザー ストアにインストールされます。 これにより、正しい証明書を選択Wi-Fi接続を確立するときに、ユーザーまたは VPN に問題が発生する可能性があります。 We are working to fix this issue.

モバイル デバイスのバージョン情報

DevDetail/SwV のソフトウェア バージョン情報が、[システム]/[ バージョン情報] の [設定] のバージョンと一致しません。 ****

ApplicationRestriction ポリシーを使用したアプリの許可一覧を使用した Windows Phone 8.1 デバイスのアップグレードに問題がある

• 許可されたアプリの一覧を含む ApplicationRestrictions を使用して Windows Phone 8.1 デバイスを Windows 10 Mobile にアップグレードすると、一部の Windows 受信トレイ アプリがブロックされ、予期しない動作が発生します。 この問題を回避するには、許可されたアプリの一覧に必要な受信トレイ アプリを含める必要があります。

  アップグレード プロセスに関する追加のガイダンスを次に示します。

  • 受信トレイ アプリに一覧表示されているアプリに Windows 10 製品の ID を 使用します。
  • 発行元ポリシーを使用している場合は、新しい Microsoft 発行元名 (PublisherName="CN=Microsoft Corporation, O=Microsoft Corporation, L=Redmond, S=Washington, C=US") および Publisher="CN=Microsoft Windows, O=Microsoft Corporation, L=Redmond, S=Washington, C=US" を使用します。 使用している場合は、Windows Phone 8.1 発行元ルールを削除してください。
  • SyncML では、小文字の製品 ID を使用する必要があります。
  • 製品 ID を複製しない。 メッセージングと Skype ビデオは同じ製品 ID を使用します。 重複するとエラーが発生します。

• Silverlight xaps は、Windows Phone 8.1 発行元の規則を使用して発行元ポリシーが指定されている場合でもインストールされない場合があります。 たとえば < 、PublisherName="Microsoft Corporation" / を指定しても、Silverlight アプリの "レベル" はインストールされます > 。

  この問題を回避するには、Windows Phone 8.1 発行元の規則を削除し、許可する各 Silverlight アプリの特定の製品 ID を許可されたアプリの一覧に追加します。

• 一部のアプリ (具体的には、AppX バンドルとして Microsoft Store で公開されているアプリ) は、アプリ一覧に含まれてもインストールがブロックされます。

  現時点では回避策はありません。 この問題を修正するための OS 更新プログラムは近日公開予定です。

Microsoft Framework に依存するアプリは、ビルド 10586.218 より前に電話でブロックされる可能性があります。

ビルド 10586.218 より前の電話機にのみ適用されます。ApplicationManagement/ApplicationRestrictions ポリシーが Windows 10 Mobile に展開されている場合、Microsoft Framework に依存するアプリのインストールと更新がエラー 0x80073CF9 でブロックされる場合があります。 この問題を回避するには、許可されたアプリの一覧に Microsoft Framework ID を含める必要があります。

<App ProductId="{00000000-0000-0000-0000-000000000000}" PublisherName="CN=Microsoft Corporation, O=Microsoft Corporation, L=Redmond, S=Washington, C=US"/>

複数の証明書が Windows 10 Mobile Wi-Fi接続の不安定になる可能性がある

展開では、デバイスに複数の証明書がプロビジョニングされ、プロビジョニングされた Wi-Fi プロファイルに厳密なフィルター条件が設定されていない場合、Wi-Fi に接続するときに接続エラーが発生する可能性があります。 解決策は、プロビジョニングされたWi-Fiが 1 つの証明書にのみ一致する厳密なフィルター条件を持つ必要があります。

VPN/Wi-Fi に証明書ベースの EAP 認証を展開する企業では、認証の既定の条件を満たす証明書が複数ある状況に直面する可能性があります。 これにより、次のような問題が発生する可能性があります。

• 証明書の選択を求めるメッセージがユーザーに表示される場合があります。
• 間違った証明書が自動的に選択され、認証エラーが発生する可能性があります。

実稼働準備が整った展開では、展開するプロファイルの一部として適切な証明書の詳細が必要です。 次の情報では、不要な証明書がフィルター処理され、適切な証明書を認証に使用できるよう、EAP 構成 XML を作成または更新する方法について説明します。

EAP XML は、環境に関連する情報で更新する必要があります。これは、以下の XML サンプルを手動で編集するか、ステップ バイ ステップ UI ガイドを使用して行うことができます。 EAP XML が更新された後、MDM からの手順を参照して、次のように更新された構成を展開します。

• Wi-Fi の場合は、現在の WLAN プロファイル XML の EAPConfig セクションを探します (これは、Wi-Fi CSP の < > WLanXml ノードに対して指定します)。 これらのタグ内には、完全な EAP 構成があります。 EAPConfig の下の < セクションを更新した XML に > 置き換え、新しいWi-Fiします。 新しいユーザー プロファイルを展開する方法については、MDM のガイダンスを参照Wi-Fiがあります。
• VPN の場合、EAP 構成は MDM 構成の別のフィールドです。 MDM プロバイダーと一緒に、適切なフィールドを特定して更新します。

EAP 設定の詳細については、次を参照してください。 https://technet.microsoft.com/library/hh945104.aspx#BKMK_Cfg_cert_Selct

EAP XML の生成の詳細については、「EAP 構成」 を参照してください。

拡張キー使用法の詳細については、以下を参照してください。 http://tools.ietf.org/html/rfc5280#section-4.2.1.12

証明書への拡張キー使用法 (EKU) の追加の詳細については、以下を参照してください。 https://technet.microsoft.com/library/cc731792.aspx

次の一覧では、EAP で使用する証明書の前提条件について説明します。

• 証明書には、次の EKU (拡張キー使用法) プロパティの少なくとも 1 つが必要です。

  • クライアント認証
  • RFC 5280 で定義されている、これは値 1.3.6.1.5.5.7.3.2 の定義済みの OID です。
  • 任意の目的
  • Microsoft によって定義および公開された EKU は、値が 1.3.6.1.4.1.311.10.12.1 の、定義済みの OID です。 この OID を含めることは、証明書を任意の目的で使用できるという意味です。 All Purpose EKU に対するこの EKU の利点は、さらに重要でない EKU またはカスタム EKU を証明書に追加して、効果的なフィルター処理を行えるという利点があります。
  • すべての目的
  • RFC 5280 で定義されている、CA がアプリケーションのニーズを満たすために拡張キー使用法を含むが、キーの使用を制限しない場合、CA は 0 の拡張キー使用法の値を追加できます。 このような EKU を持つ証明書は、すべての目的に使用できます。

• 信頼されたルート CA へのクライアント チェーン上のユーザーまたはコンピューター証明書

• ユーザーまたはコンピューターの証明書は CryptoAPI 証明書ストアによって実行されるチェックの 1 つにも失敗し、証明書はリモート アクセス ポリシーの要件に合格します。

• ユーザーまたはコンピューターの証明書は、インターネット認証サービス (IAS)/Radius Server で指定されている証明書オブジェクト識別子のチェックに失敗しません。

• 証明書のサブジェクトの代替名 (SubjectAltName) 拡張には、ユーザーのユーザー プリンシパル名 (UPN) が含まれる。

次の XML サンプルでは、証明書フィルターを含む EAP TLS XML のプロパティについて説明します。

<EapHostConfig xmlns="http://www.microsoft.com/provisioning/EapHostConfig">
 <EapMethod>
  <Type xmlns="http://www.microsoft.com/provisioning/EapCommon">13</Type>
  <!--The above property defines the Method type for EAP, 13 means EAP TLS -->

  <VendorId xmlns="http://www.microsoft.com/provisioning/EapCommon">0</VendorId>
  <VendorType xmlns="http://www.microsoft.com/provisioning/EapCommon">0</VendorType>
  <AuthorId xmlns="http://www.microsoft.com/provisioning/EapCommon">0</AuthorId>
  <!--The 3 properties above define the method publishers, this is seen primarily in 3rd party Vendor methods.-->
  <!-- For Microsoft EAP TLS the value of the above fields will always be 0 -->
 </EapMethod>
 <!-- Now that the EAP Method is Defined we will go into the Configuration -->
 <Config xmlns="http://www.microsoft.com/provisioning/EapHostConfig">
  <Eap xmlns="http://www.microsoft.com/provisioning/BaseEapConnectionPropertiesV1">
   <Type>13</Type>
   <EapType xmlns="http://www.microsoft.com/provisioning/EapTlsConnectionPropertiesV1">
    <CredentialsSource>
     <!-- Credential Source can be either CertificateStore or SmartCard -->
     <CertificateStore>
      <SimpleCertSelection>true</SimpleCertSelection>
      <!--SimpleCertSelection automatically selects a cert if there are mutiple identical (Same UPN, Issuer, etc.) certs.-->
      <!--It uses a combination of rules to select the right cert-->
     </CertificateStore>
    </CredentialsSource>
    <ServerValidation>
     <!-- ServerValidation fields allow for checks on whether the server being connected to and the server cert being used are trusted -->
     <DisableUserPromptForServerValidation>false</DisableUserPromptForServerValidation>
     <ServerNames/>
    </ServerValidation>
    <DifferentUsername>false</DifferentUsername>
    <PerformServerValidation xmlns="http://www.microsoft.com/provisioning/EapTlsConnectionPropertiesV2">false</PerformServerValidation>
    <AcceptServerName xmlns="http://www.microsoft.com/provisioning/EapTlsConnectionPropertiesV2">false</AcceptServerName>
    <TLSExtensions xmlns="http://www.microsoft.com/provisioning/EapTlsConnectionPropertiesV2">
     <!-- For filtering the relevant information is below -->
     <FilteringInfo xmlns="http://www.microsoft.com/provisioning/EapTlsConnectionPropertiesV3">
      <CAHashList Enabled="true">
       <!-- The above implies that you want to filter by Issuer Hash -->
       <IssuerHash>ff ff ff ff ff ff ff ff ff ff ff ff ff ff ff ff ff ff ff ff
        <!-- Issuing certs thumbprint goes here-->
       </IssuerHash>
       <!-- You can add multiple entries and it will find the list of certs that have at least one of these certs in its chain-->
      </CAHashList>
      <EKUMapping>
       <!-- This section defines Custom EKUs that you may be adding-->
       <!-- You do not need this section if you do not have custom EKUs -->
       <!-- You can have multiple EKUs defined here and then referenced below as shown -->
       <EKUMap>
        <EKUName>
         <!--Add a friendly Name for an EKU here for example -->ContostoITEKU</EKUName>
        <EKUOID>
         <!--Add the OID Value your CA adds to the certificate here, for example -->1.3.6.1.4.1.311.42.1.15</EKUOID>
       </EKUMap>
        <!-- All the EKU Names referenced in the example below must first be defined here
       <EKUMap>
        <EKUName>Example1</EKUName>
        <EKUOID>2.23.133.8.3</EKUOID>

       </EKUMap>
       <EKUMap>
        <EKUName>Example2</EKUName>
        <EKUOID>1.3.6.1.4.1.311.20.2.1</EKUOID>
       </EKUMap>
       -->
      </EKUMapping>
      <ClientAuthEKUList Enabled="true">
       <!-- The above implies that you want certs with Client Authentication EKU to be used for authentication -->
       <EKUMapInList>
        <!-- This section implies that the certificate should have the following custom EKUs in addition to the Client Authentication EKU -->
        <EKUName>
         <!--Use the name from the EKUMap Field above-->ContostoITEKU</EKUName>
       </EKUMapInList>
       <!-- You can have multiple Custom EKUs mapped here, Each additional EKU will be processed with an AND operand -->
       <!-- For example, Client Auth EKU AND ContosoITEKU AND Example1 etc. -->
       <EKUMapInList>
        <EKUName>Example1</EKUName>
       </EKUMapInList>
      </ClientAuthEKUList>
      <AllPurposeEnabled>true</AllPurposeEnabled>
      <!-- Implies that a certificate with the EKU field = 0 will be selected -->
      <AnyPurposeEKUList Enabled="true"/>
      <!-- Implies that a certificate with the EKU oid Value of 1.3.6.1.4.1.311.10.12.1 will be selected -->
      <!-- Like for Client Auth you can also add Custom EKU properties with AnyPurposeEKUList (but not with AllPurposeEnabled) -->
      <!-- So here is what the above policy implies.
      The certificate selected will have
      Issuer Thumbprint = ff ff ff ff ff ff ff ff ff ff ff ff ff ff ff ff ff ff ff ff
      AND
      ((Client Authentication EKU AND ContosoITEKU) OR (AnyPurposeEKU) OR AllPurpose Certificate)

      Any certificate(s) that match these criteria will be utilised for authentication
      -->
     </FilteringInfo>
    </TLSExtensions>
   </EapType>
  </Eap>
 </Config>
</EapHostConfig>

または、次の手順を使用して EAP 構成 XML を作成できます。

1. EAP 構成の記事の手順 1 . ~ 7. に従 います。

2. [Microsoft VPN SelfHost のプロパティ] ダイアログ ボックスで、ドロップダウンから [Microsoft: スマート カードまたは他の証明書] を選択します (EAP TLS が選択されます)。

   

   注意

   PEAP または TTLS の場合は、適切な方法を選択し、次の手順に従います。

3. ドロップダウン メニュー の 下にある [プロパティ] ボタンをクリックします。

4. スマート カード または他の [証明書のプロパティ] メニュー で、[詳細設定] ボタン を選択 します。

   

5. [証明書 の選択の構成] メニューで、必要に応じてフィルターを調整します。

   

6. [OK] をクリックしてウィンドウを閉じ、ウィンドウのrasphone.exeします。

7. rasphone ダイアログ ボックスを閉じます。

8. 手順 9 の EAP 構成 記事の手順 に従って、適切なフィルター処理を含む EAP TLS プロファイルを取得します。

Azure Active Directory に参加しているモバイル デバイスではサポートされていないリモート PIN のリセット

Windows 10 Mobile では、Azure でのリモート PIN のリセットAD参加しているデバイスはサポートされていません。 RemoteLock CSP を使用してリモート PIN リセット コマンドを発行すると、デバイスはワイプされます。

MDM クライアントは、クライアントが WNS チャネル URI を更新した後すぐに MDM サーバーにチェックインします。

Windows 10 以降では、MDM クライアントが WNS チャネル URI を自動的に更新した後、MDM クライアントはすぐに MDM サーバーにチェックインします。 したがって、MDM クライアントのチェックインごとに、MDM サーバーから "ProviderID/Push/ChannelURI" の GET 要求を送信して、最新のチャネル URI を取得し、既存のチャネル URI と比較する必要があります。必要に応じてチャネル URI を更新します。

Azure Active Directory に参加している Windows 10 PC でのユーザー プロビジョニングエラー

Azure AD Windows 10 PC に参加し、プロビジョニング /.ユーザーが Azure ユーザーまたはユーザーとしてログインしていない場合、ユーザー リソースADします。 [設定システムについて] ユーザー インターフェイスから**** Azure AD に参加する場合は、必ずログオフして Azure AD 資格情報でログオンし > **** > ****、MDM サーバーから組織の構成を取得してください。 この動作は仕様です。

Kerberos 認証にも使用される VPN 証明書の注意が必要

VPN 認証に使用する証明書を Kerberos 認証にも使用する場合 (NTLM または Kerberos を使用してオンプレミスのリソースにアクセスする必要がある場合は必須)、ユーザーの証明書がスマート カード証明書の要件を満たしている必要があります。サブジェクト フィールドには DN に DNS ドメイン 名が含まれているか、SAN に完全修飾 UPN が含まれている必要があります。そうすると、DC を DNS 登録から検索できます。 これらの要件を満たしていない証明書が VPN に使用されている場合、ユーザーは Kerberos 認証を必要とするリソースにアクセスできない可能性があります。 この問題は、主に Windows Phone に影響します。

デバイスの管理エージェントで、ボタンのリセットが機能しない

プッシュ ボタン リセットの DM エージェント は 、OMA DM セッションのレジストリ設定を保持しますが、タスクスケジュールを削除します。 クライアント登録は保持されますが、MDM サービスと同期されません。

よく寄せられる質問

Windows 10 でデバイスの登録と管理を行う MDM サーバーが複数あるか。

いいえ、 MDM は 1 つしか許可されません。

ユーザーごとの Azure Active Directory に参加しているデバイスの最大数を設定する方法

1. テナント管理者としてポータルにログインします https://manage.windowsazure.com 。

2. 左側のウィンドウで [Active Directory] をクリックします。

3. テナントを選択します。

4. [構成] をクリックします。

5. クォータを無制限に設定します。

   

dmwappushsvc とは

MDM ドキュメントの変更履歴

MDM ドキュメントで変更された機能については、「MDM ドキュメントの変更 履歴」を参照してください。