モバイル デバイスの登録と管理の新機能

• 2020/10/20
• • M

この記事では、すべての Windows 10 デバイスでの Windows 10 モバイル デバイス管理 (MDM) 登録と管理エクスペリエンスの新機能について説明します。 この記事では、重要な変更点や既知の問題、よく寄せられる質問に関する詳細も説明します。

Windows 10 の Microsoft モバイル デバイス管理プロトコルの詳細については 、「[MS-MDM]: モバイル デバイス管理プロトコル」および 「[MS-MDE2]: モバイルデバイス登録プロトコル バージョン 2」を参照してください。

WINDOWS 10 バージョン 20H2 用 MDM の新機能

WINDOWS 10 バージョン 2004 の MDM の新機能

WINDOWS 10 バージョン 1909 の MDM の新機能

WINDOWS 10 バージョン 1903 の MDM の新機能

Windows 10 バージョン 1809 の MDM の新機能

WINDOWS 10 バージョン 1803 の MDM の新機能

WINDOWS 10 バージョン 1709 の MDM の新機能

WINDOWS 10 バージョン 1703 の MDM の新機能

WINDOWS 10 バージョン 1607 の MDM の新機能

WINDOWS 10 バージョン 1511 の MDM の新機能

変更と既知の問題の破損

アトミック コマンド内の Get コマンドはサポートされていません

Windows 10 では、アトミック コマンド内の Get コマンドはサポートされていません。 これは、Windows Phone 8 および Windows Phone 8.1 で許可されました。

通知チャネル URI は、Windows 8.1 から Windows 10 へのアップグレード中に保持されません

Windows 8.1 から Windows 10 へのアップグレード中、通知チャネル URI 情報は保持されません。 さらに、MDM クライアントは PFN、AppID、およびクライアント シークレットを失います。

Windows 10 にアップグレードした後、MDM_WNSConfigurationクラスを呼び出して、通知チャネル URI を再作成する必要があります。

WMI クラスを使用してインストールされたアプリは削除されません

MDM アカウントがデバイスから削除されると、WMI クラスを使用してインストールされたアプリケーションは削除されません。

SyncML で CDATA を渡しても動作しない

SyncML のデータ内の CDATA を ConfigManager および CSP に渡しても、Windows 10 では動作しません。 Windows Phone 8 で動作しました。

SCEP 用 IIS サーバーの SSL 設定を "Ignore" に設定する必要があります

SCEP 用 IIS サーバーの [SSL 設定] の下の証明書の設定は、Windows 10 で "無視" に設定する必要があります。 Windows Phone 8.1 では、クライアント証明書を "Accept" に設定すると、正常に動作します。

モバイル デバイスでトラフィックがプロキシ経由で行う場合、MDM 登録が失敗する

認証が必要なプロキシを使用するようにモバイル デバイスが構成されている場合、登録は失敗します。 この問題を回避するには、認証を必要としないプロキシを使用するか、接続されているネットワークからプロキシ設定を削除します。

サーバーによって開始された登録解除の失敗

仕事用アカウントをサイレント モードで追加して登録されたデバイスのサーバーによって開始された登録解除は、MDM アカウントをアクティブにした状態で失敗します。 MDM ポリシーとリソースは引き続き適用され、クライアントはサーバーとの同期を続行できます。

Azure Active Directory Join 経由で登録されたモバイル デバイスでは、リモート サーバーの登録解除が無効になります。 サーバーにエラー メッセージを返します。 参加している Azure デバイスであるモバイル デバイスの登録を削除するADは、デバイスをリモートでワイプする方法です。

サーバーと VPN に関する問題Wi-Fi引き起こす証明書

現在、Windows 10 バージョン 1511 では、ClientCertificateInstall を使用してデバイス ストアに証明書をインストールし、ユーザー ストアと両方の証明書が同じ MDM ペイロード内のデバイスに送信される場合、デバイス ストア用の証明書もユーザー ストアにインストールされます。 これにより、接続を確立するためにWi-Fi証明書を選択するときに、ユーザーまたは VPN に問題が発生する可能性があります。 この問題の解決に取り組み中です。

モバイル デバイスのバージョン情報

DevDetail/SwVのソフトウェア バージョン情報が、[システム/バージョン情報] の [設定] のバージョン****と一致しません。

ApplicationRestriction ポリシーを使用したアプリの許可一覧を使用した Windows Phone 8.1 デバイスのアップグレードに問題がある

• ApplicationRestrictions を使用して許可されたアプリの一覧を使用して Windows Phone 8.1 デバイスを Windows 10 Mobile にアップグレードすると、一部の Windows 受信トレイ アプリがブロックされ、予期しない動作が発生します。 この問題を回避するには、許可されたアプリの一覧に必要な受信トレイ アプリを含める必要があります。

  アップグレード プロセスの追加ガイダンスを次に示します。

  • 受信トレイ アプリに一覧表示されているアプリに Windows 10 製品の ID を 使用します。
  • 発行元ポリシーを使用する場合は、新しい Microsoft 発行元名 (PublisherName="CN=Microsoft Corporation, O=Microsoft Corporation, L=Redmond, S=Washington, C=US") と Publisher="CN=Microsoft Windows, O=Microsoft Corporation, L=Redmond, S=Washington, C=US" を使用します。 Windows Phone 8.1 発行元ルールを使用している場合は削除しない。
  • SyncML では、小文字の製品 ID を使用する必要があります。
  • 製品 ID を複製しない。 メッセージングと Skype ビデオは同じ製品 ID を使用します。 重複するとエラーが発生します。

• Silverlight xaps は、Windows Phone 8.1 発行元ルールを使用して発行元ポリシーが指定されている場合でもインストールされない場合があります。 たとえば、Publisher < PublisherName="Microsoft Corporation" / を指定しても、Silverlight アプリ "Level" はインストールされない > 。

  この問題を回避するには、Windows Phone 8.1 発行元ルールを削除し、許可する Silverlight アプリごとに特定の製品 ID を許可されたアプリの一覧に追加します。

• 一部のアプリ (特に、AppX バンドルとして Microsoft Store で公開されているアプリ) は、アプリ一覧に含まれている場合でもインストールをブロックされます。

  現時点では回避策はありません。 この問題を解決するための OS 更新プログラムが近日公開されます。

Microsoft Framework に依存するアプリは、ビルド 10586.218 より前に電話でブロックされる可能性があります

ビルド 10586.218 より前の電話にのみ適用されます。ApplicationManagement/ApplicationRestrictions ポリシーを Windows 10 Mobile に展開すると、Microsoft Framework に依存するアプリのインストールと更新がエラー 0x80073CF9 でブロックされる場合があります。 この問題を回避するには、許可されたアプリの一覧に Microsoft Framework ID を含める必要があります。

<App ProductId="{00000000-0000-0000-0000-000000000000}" PublisherName="CN=Microsoft Corporation, O=Microsoft Corporation, L=Redmond, S=Washington, C=US"/>

複数の証明書が Windows 10 Mobile Wi-Fi接続の不安定性を引き起こす可能性がある

展開では、デバイスに複数の証明書がプロビジョニングされ、プロビジョニングされた Wi-Fi プロファイルに厳密なフィルター条件が設定されていない場合は、Wi-Fi に接続するときに接続エラーが発生する場合があります。 この解決策は、プロビジョニングされたプロファイルWi-Fi 1 つの証明書にのみ一致する厳密なフィルター条件を持つ必要があります。

VPN/Wi-Fi 用の証明書ベースの EAP 認証を展開する企業は、認証の既定の条件を満たす複数の証明書がある状況に直面する可能性があります。 これにより、次のような問題が発生する可能性があります。

• ユーザーに証明書の選択を求めるメッセージが表示される場合があります。
• 間違った証明書が自動的に選択され、認証エラーが発生する可能性があります。

実稼働準備完了の展開では、展開するプロファイルの一部として適切な証明書の詳細が必要です。 次の情報は、余分な証明書がフィルター処理され、適切な証明書を認証に使用できるよう、EAP 構成 XML を作成または更新する方法について説明します。

EAP XML は、環境に関連する情報で更新する必要があります。これは、以下の XML サンプルを編集するか、ステップ バイ ステップ UI ガイドを使用して手動で行うことができます。 EAP XML が更新された後、MDM の手順を参照して、次のように更新された構成を展開します。

• Wi-Fi の場合は、現在の WLAN プロファイル XML の EAPConfig セクションを探します (これは、CSP の WLanXml ノードにWi-Fi < > します。 これらのタグの中には、完全な EAP 構成があります。 <[EAPConfig] のセクションを更新した XML に置き換え > 、ユーザー プロファイルWi-Fiします。 新しいプロファイルを展開する方法については、MDM のガイダンスを参照Wi-Fiがあります。
• VPN の場合、EAP 構成は MDM 構成の別のフィールドです。 MDM プロバイダーと一緒に作業し、適切なフィールドを特定して更新します。

EAP 設定の詳細については、次を参照してください。 https://technet.microsoft.com/library/hh945104.aspx#BKMK_Cfg_cert_Selct

EAP XML の生成の詳細については、「EAP 構成」 を参照してください。

拡張キーの使用法の詳細については、次を参照してください。 http://tools.ietf.org/html/rfc5280#section-4.2.1.12

証明書に拡張キー使用法 (EKU) を追加する方法については、次を参照してください。 https://technet.microsoft.com/library/cc731792.aspx

次の一覧では、EAP で使用する証明書の前提条件について説明します。

• 証明書には、次の EKU (拡張キー使用法) プロパティの少なくとも 1 つが必要です。

  • クライアント認証
  • RFC 5280 で定義されている場合、これは値 1.3.6.1.5.5.7.3.2 の定義済みの OID です。
  • 任意の目的
  • Microsoft によって定義および発行された EKU は、値が 1.3.6.1.4.1.311.10.12.1 の、よく定義された OID です。 この OID を含めることは、証明書が任意の目的で使用できることを意味します。 すべての目的 EKU に対するこの EKU の利点は、効果的なフィルター処理のために、追加の非クリティカルまたはカスタム EKU を証明書に追加できるという利点があります。
  • すべての目的
  • RFC 5280 で定義されている場合、一部のアプリケーションニーズを満たす拡張キー使用法が CA に含まれていますが、キーの使用を制限しない場合、CA は 0 の拡張キー使用法値を追加できます。 このような EKU を持つ証明書は、すべての目的で使用できます。

• 信頼できるルート CA にクライアント チェーン上のユーザーまたはコンピューター証明書

• ユーザーまたはコンピューター証明書は、CryptoAPI 証明書ストアによって実行されるチェックの 1 つも失敗しないし、証明書はリモート アクセス ポリシーの要件に合格します。

• ユーザーまたはコンピューター証明書は、インターネット認証サービス (IAS)/Radius Server で指定されている証明書オブジェクト識別子のチェックに失敗しません。

• 証明書のサブジェクト代替名 (SubjectAltName) 拡張機能には、ユーザーのユーザー プリンシパル名 (UPN) が含まれる。

次の XML サンプルでは、証明書フィルターを含む EAP TLS XML のプロパティについて説明します。

<EapHostConfig xmlns="http://www.microsoft.com/provisioning/EapHostConfig">
 <EapMethod>
  <Type xmlns="http://www.microsoft.com/provisioning/EapCommon">13</Type>
  <!--The above property defines the Method type for EAP, 13 means EAP TLS -->

  <VendorId xmlns="http://www.microsoft.com/provisioning/EapCommon">0</VendorId>
  <VendorType xmlns="http://www.microsoft.com/provisioning/EapCommon">0</VendorType>
  <AuthorId xmlns="http://www.microsoft.com/provisioning/EapCommon">0</AuthorId>
  <!--The 3 properties above define the method publishers, this is seen primarily in 3rd party Vendor methods.-->
  <!-- For Microsoft EAP TLS the value of the above fields will always be 0 -->
 </EapMethod>
 <!-- Now that the EAP Method is Defined we will go into the Configuration -->
 <Config xmlns="http://www.microsoft.com/provisioning/EapHostConfig">
  <Eap xmlns="http://www.microsoft.com/provisioning/BaseEapConnectionPropertiesV1">
   <Type>13</Type>
   <EapType xmlns="http://www.microsoft.com/provisioning/EapTlsConnectionPropertiesV1">
    <CredentialsSource>
     <!-- Credential Source can be either CertificateStore or SmartCard -->
     <CertificateStore>
      <SimpleCertSelection>true</SimpleCertSelection>
      <!--SimpleCertSelection automatically selects a cert if there are mutiple identical (Same UPN, Issuer, etc.) certs.-->
      <!--It uses a combination of rules to select the right cert-->
     </CertificateStore>
    </CredentialsSource>
    <ServerValidation>
     <!-- ServerValidation fields allow for checks on whether the server being connected to and the server cert being used are trusted -->
     <DisableUserPromptForServerValidation>false</DisableUserPromptForServerValidation>
     <ServerNames/>
    </ServerValidation>
    <DifferentUsername>false</DifferentUsername>
    <PerformServerValidation xmlns="http://www.microsoft.com/provisioning/EapTlsConnectionPropertiesV2">false</PerformServerValidation>
    <AcceptServerName xmlns="http://www.microsoft.com/provisioning/EapTlsConnectionPropertiesV2">false</AcceptServerName>
    <TLSExtensions xmlns="http://www.microsoft.com/provisioning/EapTlsConnectionPropertiesV2">
     <!-- For filtering the relevant information is below -->
     <FilteringInfo xmlns="http://www.microsoft.com/provisioning/EapTlsConnectionPropertiesV3">
      <CAHashList Enabled="true">
       <!-- The above implies that you want to filter by Issuer Hash -->
       <IssuerHash>ff ff ff ff ff ff ff ff ff ff ff ff ff ff ff ff ff ff ff ff
        <!-- Issuing certs thumbprint goes here-->
       </IssuerHash>
       <!-- You can add multiple entries and it will find the list of certs that have at least one of these certs in its chain-->
      </CAHashList>
      <EKUMapping>
       <!-- This section defines Custom EKUs that you may be adding-->
       <!-- You do not need this section if you do not have custom EKUs -->
       <!-- You can have multiple EKUs defined here and then referenced below as shown -->
       <EKUMap>
        <EKUName>
         <!--Add a friendly Name for an EKU here for example -->ContostoITEKU</EKUName>
        <EKUOID>
         <!--Add the OID Value your CA adds to the certificate here, for example -->1.3.6.1.4.1.311.42.1.15</EKUOID>
       </EKUMap>
        <!-- All the EKU Names referenced in the example below must first be defined here
       <EKUMap>
        <EKUName>Example1</EKUName>
        <EKUOID>2.23.133.8.3</EKUOID>

       </EKUMap>
       <EKUMap>
        <EKUName>Example2</EKUName>
        <EKUOID>1.3.6.1.4.1.311.20.2.1</EKUOID>
       </EKUMap>
       -->
      </EKUMapping>
      <ClientAuthEKUList Enabled="true">
       <!-- The above implies that you want certs with Client Authentication EKU to be used for authentication -->
       <EKUMapInList>
        <!-- This section implies that the certificate should have the following custom EKUs in addition to the Client Authentication EKU -->
        <EKUName>
         <!--Use the name from the EKUMap Field above-->ContostoITEKU</EKUName>
       </EKUMapInList>
       <!-- You can have multiple Custom EKUs mapped here, Each additional EKU will be processed with an AND operand -->
       <!-- For example, Client Auth EKU AND ContosoITEKU AND Example1 etc. -->
       <EKUMapInList>
        <EKUName>Example1</EKUName>
       </EKUMapInList>
      </ClientAuthEKUList>
      <AllPurposeEnabled>true</AllPurposeEnabled>
      <!-- Implies that a certificate with the EKU field = 0 will be selected -->
      <AnyPurposeEKUList Enabled="true"/>
      <!-- Implies that a certificate with the EKU oid Value of 1.3.6.1.4.1.311.10.12.1 will be selected -->
      <!-- Like for Client Auth you can also add Custom EKU properties with AnyPurposeEKUList (but not with AllPurposeEnabled) -->
      <!-- So here is what the above policy implies.
      The certificate selected will have
      Issuer Thumbprint = ff ff ff ff ff ff ff ff ff ff ff ff ff ff ff ff ff ff ff ff
      AND
      ((Client Authentication EKU AND ContosoITEKU) OR (AnyPurposeEKU) OR AllPurpose Certificate)

      Any certificate(s) that match these criteria will be utilised for authentication
      -->
     </FilteringInfo>
    </TLSExtensions>
   </EapType>
  </Eap>
 </Config>
</EapHostConfig>

または、次の手順を使用して EAP 構成 XML を作成できます。

1. EAP 構成の記事の手順 1 ~ 7 に従 います。

2. [Microsoft VPN SelfHost のプロパティ] ダイアログ ボックスで、ドロップダウンから [Microsoft : スマート カードまたは他の証明書] を選択します (EAP TLS が選択されます)。

   

   注意

   PEAP または TTLS の場合は、適切な方法を選択し、次の手順に従います。

3. ドロップダウン メニュー の 下にある [プロパティ] ボタンをクリックします。

4. [スマート カードまたは他の証明書のプロパティ] メニューで 、[詳細設定] ボタン を選択 します。

   

5. [証明書の 選択の構成] メニュー で、必要に応じてフィルターを調整します。

   

6. [OK] をクリックしてウィンドウを閉じ、メイン ウィンドウの [rasphone.exeに戻します。

7. rasphone ダイアログ ボックスを閉じます。

8. 手順 9 の EAP 構成記事 の手順に従って、適切なフィルター処理を使用して EAP TLS プロファイルを取得します。

Azure Active Directory に参加しているモバイル デバイスでリモート PIN リセットがサポートされていない

Windows 10 Mobile では、参加ADデバイスでのリモート PIN リセットはサポートされていません。 RemoteLock CSP を使用してリモート PIN リセット コマンドを発行すると、デバイスはワイプされます。

MDM クライアントは、クライアントが WNS チャネル URI を更新した後、すぐに MDM サーバーにチェックインします。

Windows 10 以降、MDM クライアントが WNS チャネル URI を自動的に更新すると、MDM クライアントは MDM サーバーにすぐにチェックインします。 したがって、MDM クライアント のチェックインごとに、MDM サーバーは最新のチャネル URI を取得し、既存のチャネル URI と比較するために"ProviderID/Push/ChannelURI" の GET 要求を送信する必要があります。必要に応じてチャネル URI を更新します。

Windows 10 PC に参加した Azure Active Directory でのユーザー プロビジョニングの失敗

Azure AD Windows 10 PC に参加し、プロビジョニング /.ユーザーが Azure ユーザーとしてログインしていない場合、ユーザー リソースADします。 Settings System **** About ユーザー インターフェイスから Azure AD に参加する場合は、MDM サーバーから組織構成を取得するために > **** > ****、必ずログオフして Azure AD 資格情報でログオンしてください。 この動作は仕様です。

Kerberos 認証にも使用される VPN 証明書の要件

VPN 認証に使用する証明書を Kerberos 認証にも使用する場合 (NTLM または Kerberos を使用してオンプレミス リソースにアクセスする必要がある場合は必須)、ユーザーの証明書がスマート カード証明書の要件を満たす必要があります。サブジェクト フィールドには DN に DNS ドメイン 名が含まれている必要があります。または SAN に完全修飾 UPN が含まれている必要があります。DC を DNS 登録から見つけることができます。 これらの要件を満たしていない証明書が VPN に使用されている場合、ユーザーは Kerberos 認証を必要とするリソースにアクセスできない可能性があります。 この問題は、主に Windows Phone に影響します。

プッシュ ボタンのリセットのデバイス管理エージェントが機能しない

プッシュ ボタンリセットの DM エージェントは 、OMA DM セッションのレジストリ設定を保持しますが、タスクスケジュールは削除されます。 クライアント登録は保持されますが、MDM サービスと同期されません。

よく寄せられる質問

Windows 10 でデバイスを登録および管理する MDM サーバーが複数あるか。

いいえ、 MDM は 1 つしか許可されません。

ユーザーごとの Azure Active Directory 参加デバイスの最大数を設定する方法

1. テナント管理者としてポータルに https://manage.windowsazure.com ログインします。

2. 左側のウィンドウで [Active Directory] をクリックします。

3. テナントを選択します。

4. [構成] をクリックします。

5. クォータを無制限に設定します。

   

dmwappushsvc とは

MDM ドキュメントの変更履歴

MDM ドキュメントで何が変更されたのかを知りたい場合は、「MDM の変更 履歴」のドキュメントを参照してください。