モバイル デバイスの登録と管理の新機能

• 2020/10/20
• • M

この記事では、モバイル デバイス管理 (MDM) Windows 10およびすべてのデバイスでの管理エクスペリエンスの新機能についてWindows 10します。 この記事では、重要な変更点や既知の問題、よく寄せられる質問に関する詳細も説明します。

Windows 10 の Microsoft モバイル デバイス管理プロトコルの詳細については、「[MS-MDM]: Mobile Device Management Protocol and [MS-MDE2]: Mobile Device Enrollment Protocol Version 2」を参照してください。

MDM for Windows 10バージョン 20H2 の新機能

MDM for Windows 10 バージョン 2004 の新機能

MDM for Windows 10バージョン 1909 の新機能

MDM for Windows 10 バージョン 1903 の新機能

MDM for Windows 10 バージョン 1809 の新機能

MDM for Windows 10 バージョン 1803 の新機能

MDM for Windows 10 バージョン 1709 の新機能

MDM for Windows 10 バージョン 1703 の新機能

MDM for Windows 10 バージョン 1607 の新機能

MDM for Windows 10 バージョン 1511 の新機能

変更と既知の問題の破損

アトミック コマンド内の Get コマンドはサポートされていません

このWindows 10、アトミック コマンド内の Get コマンドはサポートされていません。 これは、8 および Windows Phone 8.1 Windows Phoneで許可されました。

通知チャネル URI は、アップグレード中にサーバーからWindows 8.1にWindows 10

通知チャネルの URI Windows 8.1からWindows 10アップグレード中は、通知チャネルの URI 情報は保持されません。 さらに、MDM クライアントは PFN、AppID、およびクライアント シークレットを失います。

サーバーにアップグレードしたWindows 10 MDM_WNSConfigurationを呼び出して、通知チャネル URI を再作成する必要があります。

WMI クラスを使用してインストールされたアプリは削除されません

MDM アカウントがデバイスから削除されると、WMI クラスを使用してインストールされたアプリケーションは削除されません。

SyncML で CDATA を渡しても動作しない

SyncML のデータ内の CDATA を ConfigManager および CSP に渡しても、Windows 10。 これは、8 のWindows Phoneでした。

SCEP 用 IIS サーバーの SSL 設定を "Ignore" に設定する必要があります

SCEP 用 IIS サーバーの "SSL 設定" の下の証明書の設定は、サーバーの [無視] に設定するWindows 10。 Windows Phone 8.1 では、クライアント証明書を "Accept" に設定すると、正常に動作します。

モバイル デバイスでトラフィックがプロキシ経由で行う場合、MDM 登録が失敗する

認証が必要なプロキシを使用するようにモバイル デバイスが構成されている場合、登録は失敗します。 この問題を回避するには、認証を必要としないプロキシを使用するか、接続されているネットワークからプロキシ設定を削除します。

サーバーによって開始された登録解除の失敗

仕事用アカウントをサイレント モードで追加して登録されたデバイスのサーバーによって開始された登録解除は、MDM アカウントをアクティブのままにできません。 MDM ポリシーとリソースは引き続き適用され、クライアントはサーバーとの同期を続行できます。

[参加] を使用して登録されたモバイル デバイスでは、リモート サーバーの登録解除Azure Active Directory無効になります。 サーバーにエラー メッセージを返します。 参加している Azure デバイスであるモバイル デバイスの登録を削除するADは、デバイスをリモートでワイプする方法です。

サーバーと VPN に関する問題Wi-Fi引き起こす証明書

現在 Windows 10 バージョン 1511 では、ClientCertificateInstall を使用してデバイス ストアに証明書をインストールし、ユーザー ストアと両方の証明書が同じ MDM ペイロード内のデバイスに送信されている場合、デバイス ストア用の証明書もユーザー ストアにインストールされます。 これにより、接続を確立するためにWi-Fi証明書を選択するときに、ユーザーまたは VPN に問題が発生する可能性があります。 この問題の解決に取り組み中です。

モバイル デバイスのバージョン情報

DevDetail/SwVのソフトウェア バージョン情報が、System/About の設定バージョン****と一致しません。

ApplicationRestriction Windows Phoneを使用してアプリの許可一覧を使用して 8.1 デバイスをアップグレードすると問題が発生する

• ApplicationRestrictions を使用して、Windows Phone 8.1 デバイスを Windows 10 Mobile にアップグレードすると、一部の Windows 受信トレイ アプリがブロックされ、予期しない動作が発生します。 この問題を回避するには、許可されたアプリの一覧に必要な受信トレイ アプリを含める必要があります。

  アップグレード プロセスの追加ガイダンスを次に示します。

  • 受信Windows 10に表示されるアプリの製品の製品の ID を使用します。
  • 発行元ポリシーを使用する場合は、新しい Microsoft 発行元名 (PublisherName="CN=Microsoft Corporation、O=Microsoft Corporation、L=Redmond、S=Washington、C=US") と Publisher="CN=Microsoft Windows、O=Microsoft Corporation、L=Redmond、S=Washington、C=US" を使用します。 使用している場合Windows Phone 8.1 発行元ルールを削除しない。
  • SyncML では、小文字の製品 ID を使用する必要があります。
  • 製品 ID を複製しない。 メッセージングとビデオSkype同じ製品 ID を使用します。 重複するとエラーが発生します。

• Silverlight xaps は、発行元ポリシーが 8.1 発行元Windows Phone指定されている場合でもインストールされない場合があります。 たとえば、PublisherName="Microsoft Corporation" / を指定した場合でも < 、Silverlight アプリ "Level" はインストールPublisherインストールされない > 場合があります。

  この問題を回避するには、Windows Phone 8.1 発行元ルールを削除し、許可する Silverlight アプリごとに特定の製品 ID を許可されたアプリの一覧に追加します。

• 一部のアプリ (特にアプリ Microsoft Storeとして公開されているアプリ) は、アプリ一覧に含まれている場合でもインストールがブロックされます。

  現時点では回避策はありません。 この問題を解決するための OS 更新プログラムが近日公開されます。

Microsoft Framework に依存するアプリは、ビルド 10586.218 より前に電話でブロックされる可能性があります

ビルド 10586.218 より前の電話にのみ適用されます。ApplicationManagement/ApplicationRestrictions ポリシーを Windows 10 Mobile に展開すると、Microsoft Framework に依存するアプリのインストールと更新がエラー 0x80073CF9 でブロックされる可能性があります。 この問題を回避するには、許可されたアプリの一覧に Microsoft Framework ID を含める必要があります。

<App ProductId="{00000000-0000-0000-0000-000000000000}" PublisherName="CN=Microsoft Corporation, O=Microsoft Corporation, L=Redmond, S=Washington, C=US"/>

複数の証明書を使用すると、Wi-Fi接続が不安定Windows 10 Mobile

展開では、デバイスに複数の証明書がプロビジョニングされ、プロビジョニングされた Wi-Fi プロファイルに厳密なフィルター条件が設定されていない場合は、Wi-Fi に接続するときに接続エラーが発生する場合があります。 この解決策は、プロビジョニングされたプロファイルWi-Fi 1 つの証明書にのみ一致する厳密なフィルター条件を持つ必要があります。

VPN/Wi-Fi 用の証明書ベースの EAP 認証を展開する企業は、認証の既定の条件を満たす複数の証明書がある状況に直面する可能性があります。 これにより、次のような問題が発生する可能性があります。

• ユーザーに証明書の選択を求めるメッセージが表示される場合があります。
• 間違った証明書が自動的に選択され、認証エラーが発生する可能性があります。

実稼働準備完了の展開では、展開するプロファイルの一部として適切な証明書の詳細が必要です。 次の情報は、余分な証明書がフィルター処理され、適切な証明書を認証に使用できるよう、EAP 構成 XML を作成または更新する方法について説明します。

EAP XML は、環境に関連する情報で更新する必要があります。これは、以下の XML サンプルを編集するか、ステップ バイ ステップ UI ガイドを使用して手動で行うことができます。 EAP XML が更新された後、MDM の手順を参照して、次のように更新された構成を展開します。

• Wi-Fi の場合は、現在の WLAN プロファイル XML の EAPConfig セクションを探します (これは、CSP の WLanXml ノードにWi-Fi < > します。 これらのタグの中には、完全な EAP 構成があります。 <[EAPConfig] のセクションを更新した XML に置き換え > 、ユーザー プロファイルWi-Fiします。 新しいプロファイルを展開する方法については、MDM のガイダンスを参照Wi-Fiがあります。
• VPN の場合、EAP 構成は MDM 構成の別のフィールドです。 MDM プロバイダーと一緒に作業し、適切なフィールドを特定して更新します。

EAP の詳細については、「EAP 設定」を参照してください。 https://technet.microsoft.com/library/hh945104.aspx#BKMK_Cfg_cert_Selct

EAP XML の生成の詳細については、「EAP 構成」 を参照してください。

拡張キーの使用法の詳細については、次を参照してください。 http://tools.ietf.org/html/rfc5280#section-4.2.1.12

証明書に拡張キー使用法 (EKU) を追加する方法については、次を参照してください。 https://technet.microsoft.com/library/cc731792.aspx

次の一覧では、EAP で使用する証明書の前提条件について説明します。

• 証明書には、次の EKU (拡張キー使用法) プロパティの少なくとも 1 つが必要です。

  • クライアント認証
  • RFC 5280 で定義されている場合、これは値 1.3.6.1.5.5.7.3.2 の定義済みの OID です。
  • 任意の目的
  • Microsoft によって定義および発行された EKU は、値が 1.3.6.1.4.1.311.10.12.1 の、よく定義された OID です。 この OID を含めることは、証明書が任意の目的で使用できることを意味します。 すべての目的 EKU に対するこの EKU の利点は、効果的なフィルター処理のために、追加の非クリティカルまたはカスタム EKU を証明書に追加できるという利点があります。
  • すべての目的
  • RFC 5280 で定義されている場合、一部のアプリケーションニーズを満たす拡張キー使用法が CA に含まれていますが、キーの使用を制限しない場合、CA は 0 の拡張キー使用法値を追加できます。 このような EKU を持つ証明書は、すべての目的で使用できます。

• 信頼できるルート CA にクライアント チェーン上のユーザーまたはコンピューター証明書

• ユーザーまたはコンピューター証明書は、CryptoAPI 証明書ストアによって実行されるチェックの 1 つも失敗しないし、証明書はリモート アクセス ポリシーの要件に合格します。

• ユーザーまたはコンピューター証明書は、インターネット認証サービス (IAS)/Radius Server で指定されている証明書オブジェクト識別子のチェックに失敗しません。

• 証明書のサブジェクト代替名 (SubjectAltName) 拡張機能には、ユーザーのユーザー プリンシパル名 (UPN) が含まれる。

次の XML サンプルでは、証明書フィルターを含む EAP TLS XML のプロパティについて説明します。

<EapHostConfig xmlns="http://www.microsoft.com/provisioning/EapHostConfig">
 <EapMethod>
  <Type xmlns="http://www.microsoft.com/provisioning/EapCommon">13</Type>
  <!--The above property defines the Method type for EAP, 13 means EAP TLS -->

  <VendorId xmlns="http://www.microsoft.com/provisioning/EapCommon">0</VendorId>
  <VendorType xmlns="http://www.microsoft.com/provisioning/EapCommon">0</VendorType>
  <AuthorId xmlns="http://www.microsoft.com/provisioning/EapCommon">0</AuthorId>
  <!--The 3 properties above define the method publishers, this is seen primarily in 3rd party Vendor methods.-->
  <!-- For Microsoft EAP TLS the value of the above fields will always be 0 -->
 </EapMethod>
 <!-- Now that the EAP Method is Defined we will go into the Configuration -->
 <Config xmlns="http://www.microsoft.com/provisioning/EapHostConfig">
  <Eap xmlns="http://www.microsoft.com/provisioning/BaseEapConnectionPropertiesV1">
   <Type>13</Type>
   <EapType xmlns="http://www.microsoft.com/provisioning/EapTlsConnectionPropertiesV1">
    <CredentialsSource>
     <!-- Credential Source can be either CertificateStore or SmartCard -->
     <CertificateStore>
      <SimpleCertSelection>true</SimpleCertSelection>
      <!--SimpleCertSelection automatically selects a cert if there are mutiple identical (Same UPN, Issuer, etc.) certs.-->
      <!--It uses a combination of rules to select the right cert-->
     </CertificateStore>
    </CredentialsSource>
    <ServerValidation>
     <!-- ServerValidation fields allow for checks on whether the server being connected to and the server cert being used are trusted -->
     <DisableUserPromptForServerValidation>false</DisableUserPromptForServerValidation>
     <ServerNames/>
    </ServerValidation>
    <DifferentUsername>false</DifferentUsername>
    <PerformServerValidation xmlns="http://www.microsoft.com/provisioning/EapTlsConnectionPropertiesV2">false</PerformServerValidation>
    <AcceptServerName xmlns="http://www.microsoft.com/provisioning/EapTlsConnectionPropertiesV2">false</AcceptServerName>
    <TLSExtensions xmlns="http://www.microsoft.com/provisioning/EapTlsConnectionPropertiesV2">
     <!-- For filtering the relevant information is below -->
     <FilteringInfo xmlns="http://www.microsoft.com/provisioning/EapTlsConnectionPropertiesV3">
      <CAHashList Enabled="true">
       <!-- The above implies that you want to filter by Issuer Hash -->
       <IssuerHash>ff ff ff ff ff ff ff ff ff ff ff ff ff ff ff ff ff ff ff ff
        <!-- Issuing certs thumbprint goes here-->
       </IssuerHash>
       <!-- You can add multiple entries and it will find the list of certs that have at least one of these certs in its chain-->
      </CAHashList>
      <EKUMapping>
       <!-- This section defines Custom EKUs that you may be adding-->
       <!-- You do not need this section if you do not have custom EKUs -->
       <!-- You can have multiple EKUs defined here and then referenced below as shown -->
       <EKUMap>
        <EKUName>
         <!--Add a friendly Name for an EKU here for example -->ContostoITEKU</EKUName>
        <EKUOID>
         <!--Add the OID Value your CA adds to the certificate here, for example -->1.3.6.1.4.1.311.42.1.15</EKUOID>
       </EKUMap>
        <!-- All the EKU Names referenced in the example below must first be defined here
       <EKUMap>
        <EKUName>Example1</EKUName>
        <EKUOID>2.23.133.8.3</EKUOID>

       </EKUMap>
       <EKUMap>
        <EKUName>Example2</EKUName>
        <EKUOID>1.3.6.1.4.1.311.20.2.1</EKUOID>
       </EKUMap>
       -->
      </EKUMapping>
      <ClientAuthEKUList Enabled="true">
       <!-- The above implies that you want certs with Client Authentication EKU to be used for authentication -->
       <EKUMapInList>
        <!-- This section implies that the certificate should have the following custom EKUs in addition to the Client Authentication EKU -->
        <EKUName>
         <!--Use the name from the EKUMap Field above-->ContostoITEKU</EKUName>
       </EKUMapInList>
       <!-- You can have multiple Custom EKUs mapped here, Each additional EKU will be processed with an AND operand -->
       <!-- For example, Client Auth EKU AND ContosoITEKU AND Example1 etc. -->
       <EKUMapInList>
        <EKUName>Example1</EKUName>
       </EKUMapInList>
      </ClientAuthEKUList>
      <AllPurposeEnabled>true</AllPurposeEnabled>
      <!-- Implies that a certificate with the EKU field = 0 will be selected -->
      <AnyPurposeEKUList Enabled="true"/>
      <!-- Implies that a certificate with the EKU oid Value of 1.3.6.1.4.1.311.10.12.1 will be selected -->
      <!-- Like for Client Auth you can also add Custom EKU properties with AnyPurposeEKUList (but not with AllPurposeEnabled) -->
      <!-- So here is what the above policy implies.
      The certificate selected will have
      Issuer Thumbprint = ff ff ff ff ff ff ff ff ff ff ff ff ff ff ff ff ff ff ff ff
      AND
      ((Client Authentication EKU AND ContosoITEKU) OR (AnyPurposeEKU) OR AllPurpose Certificate)

      Any certificate(s) that match these criteria will be utilised for authentication
      -->
     </FilteringInfo>
    </TLSExtensions>
   </EapType>
  </Eap>
 </Config>
</EapHostConfig>

または、次の手順を使用して EAP 構成 XML を作成できます。

1. EAP 構成の記事の手順 1 ~ 7 に従 います。

2. [Microsoft VPN SelfHost のプロパティ] ダイアログ ボックスで、ドロップダウンから [Microsoft : スマート カードまたは他の証明書] を選択します (EAP TLS が選択されます)。

   

   注意

   PEAP または TTLS の場合は、適切な方法を選択し、次の手順に従います。

3. ドロップダウン メニュー の 下にある [プロパティ] ボタンをクリックします。

4. [スマート カードまたは他の証明書のプロパティ] メニューで 、[詳細設定] ボタン を選択 します。

   

5. [証明書の 選択の構成] メニュー で、必要に応じてフィルターを調整します。

   

6. [OK] をクリックしてウィンドウを閉じ、メイン ウィンドウの [rasphone.exeに戻します。

7. rasphone ダイアログ ボックスを閉じます。

8. 手順 9 の EAP 構成記事 の手順に従って、適切なフィルター処理を使用して EAP TLS プロファイルを取得します。

参加しているモバイル デバイスでリモート PIN Azure Active Directoryサポートされていません

このWindows 10 Mobile、参加しているデバイスの Azure AD PIN リセットはサポートされていません。 RemoteLock CSP を使用してリモート PIN リセット コマンドを発行すると、デバイスはワイプされます。

MDM クライアントは、クライアントが WNS チャネル URI を更新した後、すぐに MDM サーバーにチェックインします。

MDM クライアントWindows 10 WNS チャネル URI が自動的に更新された後、MDM クライアントは MDM サーバーにすぐにチェックインします。 したがって、MDM クライアント のチェックインごとに、MDM サーバーは最新のチャネル URI を取得し、既存のチャネル URI と比較するために"ProviderID/Push/ChannelURI" の GET 要求を送信する必要があります。必要に応じてチャネル URI を更新します。

PC に参加しているユーザー Azure Active DirectoryプロビジョニングWindows 10失敗

Azure AD PC にWindows 10プロビジョニング /.ユーザーが Azure ユーザーとしてログインしていない場合、ユーザー リソースADします。 設定System About ユーザー インターフェイスから Azure AD に参加する場合は、MDM サーバーから組織の構成を取得するために > **** > ****、Azure AD 資格情報を使用してログオフしてログオンしてください。 この動作は仕様です。

Kerberos 認証にも使用される VPN 証明書の要件

VPN 認証に使用する証明書を Kerberos 認証にも使用する場合 (NTLM または Kerberos を使用してオンプレミス リソースにアクセスする必要がある場合は必須)、ユーザーの証明書がスマート カード証明書の要件を満たす必要があります。サブジェクト フィールドには DN に DNS ドメイン 名が含まれている必要があります。または SAN に完全修飾 UPN が含まれている必要があります。DC を DNS 登録から見つけることができます。 これらの要件を満たしていない証明書が VPN に使用されている場合、ユーザーは Kerberos 認証を必要とするリソースにアクセスできない可能性があります。

プッシュ ボタンのリセットのデバイス管理エージェントが機能しない

プッシュ ボタンリセットの DM エージェントは 、OMA DM セッションのレジストリ設定を保持しますが、タスクスケジュールは削除されます。 クライアント登録は保持されますが、MDM サービスと同期されません。

よく寄せられる質問

デバイスを登録および管理する MDM サーバーが複数あるかWindows 10。

いいえ、そうではありません。 MDM は 1 つしか許可されません。

参加しているデバイスの最大数をユーザー Azure Active Directory設定する方法

1. テナント管理者としてポータルに https://manage.windowsazure.com ログインします。

2. 左側のウィンドウで [Active Directory] をクリックします。

3. テナントを選択します。

4. [構成] をクリックします。

5. クォータを無制限に設定します。

   

dmwappushsvc とは

MDM ドキュメントの変更履歴

MDM ドキュメントで何が変更されたのかを知りたい場合は、「MDM の変更 履歴」のドキュメントを参照してください。