モバイル デバイスの登録と管理の新機能

この記事では、Windows 10 および Windows 11 のモバイル デバイス管理 (MDM) 登録および管理エクスペリエンスの新機能について、Windows 10 および Windows 11 デバイス全体で説明します。 この記事では、重要な変更点や既知の問題、よく寄せられる質問に関する詳細も説明します。

Windows 10 および Windows 11 の Microsoft モバイル デバイス管理プロトコルの詳細については、「[MS-MDM]:モバイル デバイス管理プロトコル」および「[MS-MDE2]:モバイル デバイス登録プロトコル バージョン 2」を参照してください。

MDM 11 バージョン 21H2 Windows新機能

変更と既知の問題の破損

アトミック コマンド内の Get コマンドはサポートされていません

11 Windows 10および Windowsでは、アトミック コマンド内の Get コマンドはサポートされていません。

WMI クラスを使用してインストールされたアプリは削除されません

MDM アカウントがデバイスから削除されると、WMI クラスを使用してインストールされたアプリケーションは削除されません。

SyncML で CDATA を渡しても動作しない

SyncML のデータ内の CDATA を ConfigManager および CSP に渡しても、Windows 10および Windows 11 では動作しません。

SCEP 用 IIS サーバーの SSL 設定を "Ignore" に設定する必要があります

SCEP 用 IIS サーバーの "SSL 設定" の下にある証明書の設定は、11 の IIS サーバーで "ignore" にWindows 10設定Windows必要があります。

トラフィックがプロキシ経由でWindowsデバイスで MDM 登録が失敗する

認証がWindowsプロキシを使用するようにデバイスが構成されている場合、登録は失敗します。 この問題を回避するには、認証を必要としないプロキシを使用するか、接続されているネットワークからプロキシ設定を削除します。

サーバーによって開始された登録解除の失敗

仕事用アカウントをサイレント モードで追加して登録されたデバイスのサーバーによって開始された登録解除は、MDM アカウントをアクティブのままにできません。 MDM ポリシーとリソースは引き続き適用され、クライアントはサーバーとの同期を続行できます。

[参加] を使用して登録されたモバイル デバイスでは、リモート サーバーの登録解除Azure Active Directory無効になります。 サーバーにエラー メッセージを返します。 参加しているモバイル デバイスの登録を削除する唯Azure ADは、デバイスをリモートでワイプする方法です。

サーバーと VPN に関する問題Wi-Fi引き起こす証明書

Windows 10 および Windows 11 では、ClientCertificateInstall を使用してデバイス ストアに証明書をインストールし、ユーザー ストアと両方の証明書が同じ MDM ペイロード内のデバイスに送信される場合、デバイス ストア用の証明書もユーザー ストアにインストールされます。 これにより、接続を確立するためにWi-Fi証明書を選択するときに、ユーザーまたは VPN に問題が発生する可能性があります。 この問題の解決に取り組み中です。

バージョン 11 のWindows情報

DevDetail/Ext/Microsoft/OSPlatformのソフトウェア バージョン情報が、System/About の 設定バージョンと****一致しません。

複数の証明書を使用すると、Wi-Fi 11 の接続Windows 10不安定Windowsがあります。

展開では、デバイスに複数の証明書がプロビジョニングされ、プロビジョニングされた Wi-Fi プロファイルに厳密なフィルター条件が設定されていない場合は、Wi-Fi に接続するときに接続エラーが発生する場合があります。 この解決策は、プロビジョニングされたプロファイルWi-Fi 1 つの証明書にのみ一致する厳密なフィルター条件を持つ必要があります。

VPN/Wi-Fi 用の証明書ベースの EAP 認証を展開する企業は、認証の既定の条件を満たす複数の証明書がある状況に直面する可能性があります。 これにより、次のような問題が発生する可能性があります。

• ユーザーに証明書の選択を求めるメッセージが表示される場合があります。
• 間違った証明書が自動的に選択され、認証エラーが発生する可能性があります。

実稼働準備完了の展開では、展開するプロファイルの一部として適切な証明書の詳細が必要です。 次の情報は、余分な証明書がフィルター処理され、適切な証明書を認証に使用できるよう、EAP 構成 XML を作成または更新する方法について説明します。

EAP XML は、環境に関連する情報で更新する必要があります。これは、以下の XML サンプルを編集するか、ステップ バイ ステップ UI ガイドを使用して手動で行うことができます。 EAP XML が更新された後、MDM の手順を参照して、次のように更新された構成を展開します。

• Wi-Fi の場合は、現在の WLAN プロファイル XML の EAPConfig セクションを探します (これは、CSP の WLanXml ノードにWi-Fi < > します。 これらのタグの中には、完全な EAP 構成があります。 <[EAPConfig] のセクションを更新した XML に置き換え > 、ユーザー プロファイルWi-Fiします。 新しいプロファイルを展開する方法については、MDM のガイダンスを参照Wi-Fiがあります。
• VPN の場合、EAP 構成は MDM 構成の別のフィールドです。 MDM プロバイダーと一緒に作業し、適切なフィールドを特定して更新します。

EAP の詳細については、「eap 設定」を参照してください https://technet.microsoft.com/library/hh945104.aspx#BKMK_Cfg_cert_Selct 。

EAP XML の生成の詳細については、「EAP 構成」 を参照してください。

拡張キーの使用法の詳細については、「」 を参照してください http://tools.ietf.org/html/rfc5280#section-4.2.1.12 。

証明書に拡張キー使用法 (EKU) を追加する方法については、「. https://technet.microsoft.com/library/cc731792.aspx

次の一覧では、EAP で使用する証明書の前提条件について説明します。

• 証明書には、次の EKU (拡張キー使用法) プロパティの少なくとも 1 つが必要です。

  • クライアント認証。
  • RFC 5280 で定義されている場合、これは値 1.3.6.1.5.5.7.3.2 の定義済みの OID です。
  • 任意の目的。
  • Microsoft によって定義および発行された EKU は、値が 1.3.6.1.4.1.311.10.12.1 の、よく定義された OID です。 この OID を含めることは、証明書が任意の目的で使用できることを意味します。 すべての目的 EKU に対するこの EKU の利点は、効果的なフィルター処理のために、追加の非クリティカルまたはカスタム EKU を証明書に追加できるという利点があります。
  • すべての目的。
  • RFC 5280 で定義されている場合、一部のアプリケーションニーズを満たす拡張キー使用法が CA に含まれていますが、キーの使用を制限しない場合、CA は 0 の拡張キー使用法値を追加できます。 このような EKU を持つ証明書は、すべての目的で使用できます。

• クライアント上のユーザーまたはコンピューター証明書が信頼できるルート CA にチェーンします。

• ユーザーまたはコンピューター証明書は、CryptoAPI 証明書ストアによって実行されるチェックの 1 つも失敗しないし、証明書はリモート アクセス ポリシーの要件に合格します。

• ユーザーまたはコンピューター証明書は、インターネット認証サービス (IAS)/Radius Server で指定されている証明書オブジェクト識別子のチェックに失敗しません。

• 証明書のサブジェクト代替名 (SubjectAltName) 拡張機能には、ユーザーのユーザー プリンシパル名 (UPN) が含まれる。

次の XML サンプルでは、証明書フィルターを含む EAP TLS XML のプロパティについて説明します。

<EapHostConfig xmlns="http://www.microsoft.com/provisioning/EapHostConfig">
 <EapMethod>
  <Type xmlns="http://www.microsoft.com/provisioning/EapCommon">13</Type>
  <!--The above property defines the Method type for EAP, 13 means EAP TLS -->

  <VendorId xmlns="http://www.microsoft.com/provisioning/EapCommon">0</VendorId>
  <VendorType xmlns="http://www.microsoft.com/provisioning/EapCommon">0</VendorType>
  <AuthorId xmlns="http://www.microsoft.com/provisioning/EapCommon">0</AuthorId>
  <!--The 3 properties above define the method publishers, this is seen primarily in 3rd party Vendor methods.-->
  <!-- For Microsoft EAP TLS the value of the above fields will always be 0 -->
 </EapMethod>
 <!-- Now that the EAP Method is Defined we will go into the Configuration -->
 <Config xmlns="http://www.microsoft.com/provisioning/EapHostConfig">
  <Eap xmlns="http://www.microsoft.com/provisioning/BaseEapConnectionPropertiesV1">
   <Type>13</Type>
   <EapType xmlns="http://www.microsoft.com/provisioning/EapTlsConnectionPropertiesV1">
    <CredentialsSource>
     <!-- Credential Source can be either CertificateStore or SmartCard -->
     <CertificateStore>
      <SimpleCertSelection>true</SimpleCertSelection>
      <!--SimpleCertSelection automatically selects a cert if there are mutiple identical (Same UPN, Issuer, etc.) certs.-->
      <!--It uses a combination of rules to select the right cert-->
     </CertificateStore>
    </CredentialsSource>
    <ServerValidation>
     <!-- ServerValidation fields allow for checks on whether the server being connected to and the server cert being used are trusted -->
     <DisableUserPromptForServerValidation>false</DisableUserPromptForServerValidation>
     <ServerNames/>
    </ServerValidation>
    <DifferentUsername>false</DifferentUsername>
    <PerformServerValidation xmlns="http://www.microsoft.com/provisioning/EapTlsConnectionPropertiesV2">false</PerformServerValidation>
    <AcceptServerName xmlns="http://www.microsoft.com/provisioning/EapTlsConnectionPropertiesV2">false</AcceptServerName>
    <TLSExtensions xmlns="http://www.microsoft.com/provisioning/EapTlsConnectionPropertiesV2">
     <!-- For filtering the relevant information is below -->
     <FilteringInfo xmlns="http://www.microsoft.com/provisioning/EapTlsConnectionPropertiesV3">
      <CAHashList Enabled="true">
       <!-- The above implies that you want to filter by Issuer Hash -->
       <IssuerHash>ff ff ff ff ff ff ff ff ff ff ff ff ff ff ff ff ff ff ff ff
        <!-- Issuing certs thumbprint goes here-->
       </IssuerHash>
       <!-- You can add multiple entries and it will find the list of certs that have at least one of these certs in its chain-->
      </CAHashList>
      <EKUMapping>
       <!-- This section defines Custom EKUs that you may be adding-->
       <!-- You do not need this section if you do not have custom EKUs -->
       <!-- You can have multiple EKUs defined here and then referenced below as shown -->
       <EKUMap>
        <EKUName>
         <!--Add a friendly Name for an EKU here for example -->ContostoITEKU</EKUName>
        <EKUOID>
         <!--Add the OID Value your CA adds to the certificate here, for example -->1.3.6.1.4.1.311.42.1.15</EKUOID>
       </EKUMap>
        <!-- All the EKU Names referenced in the example below must first be defined here
       <EKUMap>
        <EKUName>Example1</EKUName>
        <EKUOID>2.23.133.8.3</EKUOID>

       </EKUMap>
       <EKUMap>
        <EKUName>Example2</EKUName>
        <EKUOID>1.3.6.1.4.1.311.20.2.1</EKUOID>
       </EKUMap>
       -->
      </EKUMapping>
      <ClientAuthEKUList Enabled="true">
       <!-- The above implies that you want certs with Client Authentication EKU to be used for authentication -->
       <EKUMapInList>
        <!-- This section implies that the certificate should have the following custom EKUs in addition to the Client Authentication EKU -->
        <EKUName>
         <!--Use the name from the EKUMap Field above-->ContostoITEKU</EKUName>
       </EKUMapInList>
       <!-- You can have multiple Custom EKUs mapped here, Each additional EKU will be processed with an AND operand -->
       <!-- For example, Client Auth EKU AND ContosoITEKU AND Example1 etc. -->
       <EKUMapInList>
        <EKUName>Example1</EKUName>
       </EKUMapInList>
      </ClientAuthEKUList>
      <AllPurposeEnabled>true</AllPurposeEnabled>
      <!-- Implies that a certificate with the EKU field = 0 will be selected -->
      <AnyPurposeEKUList Enabled="true"/>
      <!-- Implies that a certificate with the EKU oid Value of 1.3.6.1.4.1.311.10.12.1 will be selected -->
      <!-- Like for Client Auth you can also add Custom EKU properties with AnyPurposeEKUList (but not with AllPurposeEnabled) -->
      <!-- So here is what the above policy implies.
      The certificate selected will have
      Issuer Thumbprint = ff ff ff ff ff ff ff ff ff ff ff ff ff ff ff ff ff ff ff ff
      AND
      ((Client Authentication EKU AND ContosoITEKU) OR (AnyPurposeEKU) OR AllPurpose Certificate)

      Any certificate(s) that match these criteria will be utilised for authentication
      -->
     </FilteringInfo>
    </TLSExtensions>
   </EapType>
  </Eap>
 </Config>
</EapHostConfig>

または、次の手順を使用して EAP 構成 XML を作成できます。

1. EAP 構成の手順 1 ~ 7 に従います。

2. [Microsoft VPN SelfHost のプロパティ] ダイアログ ボックスで、ドロップダウンから [Microsoft : スマート カードまたは他の証明書] を選択します (EAP TLS が選択されます)。

   

   注意

   PEAP または TTLS の場合は、適切な方法を選択し、次の手順に従います。

3. ドロップダウン メニュー の 下にある [プロパティ] ボタンをクリックします。

4. [スマート カードまたは他の証明書のプロパティ] メニューで 、[詳細設定] ボタン を選択 します。

   

5. [証明書の 選択の構成] メニュー で、必要に応じてフィルターを調整します。

   

6. [OK] をクリックしてウィンドウを閉じ、メイン ウィンドウの [rasphone.exeに戻します。

7. rasphone ダイアログ ボックスを閉じます。

8. 手順 9 の EAP 構成の 手順に従って、適切なフィルター処理を使用して EAP TLS プロファイルを取得します。

MDM クライアントは、クライアントが WNS チャネル URI を更新した後、すぐに MDM サーバーにチェックインします。

MDM クライアントが WNS チャネル URI を自動的に更新すると、MDM クライアントは MDM サーバーにすぐにチェックインします。 したがって、MDM クライアント のチェックインごとに、MDM サーバーは最新のチャネル URI を取得し、既存のチャネル URI と比較するために"ProviderID/Push/ChannelURI" の GET 要求を送信する必要があります。必要に応じてチャネル URI を更新します。

11 台のデバイスAzure Active Directory接続Windows 10ユーザー プロビジョニングWindows失敗

11 Azure ADに参加Windows 10 11 Windowsプロビジョニング /.ユーザーがユーザーとしてログインしていない場合、ユーザー リソースAzure ADします。 設定 Azure AD System About ユーザー インターフェイスから Azure AD に参加する場合は、MDM サーバーから組織の構成を取得するために > **** > ****、Azure AD 資格情報を使用してログオフしてログオンしてください。 この動作は仕様です。

Kerberos 認証にも使用される VPN 証明書の要件

VPN 認証に使用する証明書を Kerberos 認証にも使用する場合 (NTLM または Kerberos を使用してオンプレミス リソースにアクセスする必要がある場合は必須)、ユーザーの証明書がスマート カード証明書の要件を満たす必要があります。サブジェクト フィールドには DN に DNS ドメイン 名が含まれている必要があります。または SAN に完全修飾 UPN が含まれている必要があります。DC を DNS 登録から見つけることができます。 これらの要件を満たしていない証明書が VPN に使用されている場合、ユーザーは Kerberos 認証を必要とするリソースにアクセスできない可能性があります。

プッシュ ボタンのリセットのデバイス管理エージェントが機能しない

プッシュ ボタンリセットの DM エージェントは 、OMA DM セッションのレジストリ設定を保持しますが、タスクスケジュールは削除されます。 クライアント登録は保持されますが、MDM サービスと同期されません。

よく寄せられる質問

デバイスを登録および管理する MDM サーバーが複数あるか、Windows 10 11 か

いいえ、そうではありません。 MDM は 1 つしか許可されません。

参加しているデバイスの最大数をユーザー Azure Active Directory設定する方法

1. テナント管理者としてポータルに https://manage.windowsazure.com ログインします。

2. 左側のウィンドウで [Active Directory] をクリックします。

3. テナントを選択します。

4. [構成] をクリックします。

5. クォータを無制限に設定します。

   

dmwappushsvc とは

MDM for Windows 10バージョン 20H2 の新機能

MDM for Windows 10 バージョン 2004 の新機能

MDM for Windows 10バージョン 1909 の新機能

MDM for Windows 10 バージョン 1903 の新機能

MDM の新機能 Windows 10 Version 1809

MDM ドキュメントの変更履歴

MDM ドキュメントで何が変更されたのかを知りたい場合は、「MDM の変更 履歴」のドキュメントを参照してください。