Risk Exchange 用 Microsoft Intune プラグイン

このドキュメントでは、Microsoft Intune v1.0.0 プラグインを Netskope Cloud Exchange プラットフォームのリスク交換モジュールと連携させる方法について説明します。このプラグインは、Microsoft Intune の[デバイス] > [すべてのデバイス]ページからデバイスデータを取得します。このプラグインは、Microsoft Intune プラットフォームでのデバイスの再起動、デバイスの同期、 Windows Defender スキャンの実行、およびWindows Defender 署名の更新アクションをサポートします。

前提条件

この統合を完了するには、以下が必要です。

• Netskopeテナント（または、例えば本番環境と開発／テスト環境など、複数のテナント）。
• Netskope Cloud Exchangeテナントには、テナントプラグインとリスクエクスチェンジプラグインが既に設定済みです。
• 必要な権限でEntra IDアプリケーションを既に設定済みです。
• 以下のホストへの接続性：
  • https://login.microsoftonline.com
  • https://graph.microsoft.com

Microsoft Intuneプラグインのサポート

This plugin fetches Devices data from the Devices > All Devices page in Microsoft Intune. This plugin supports the Reboot Device, Sync Device, Run Windows Defender Scan, and Update Windows Defender Signatures actions on the Microsoft Intune platform.

マッピング

マッピングは、プルされたデバイスとそれぞれの詳細を表示するために使用されます。 プラグイン設定時にマッピングされたフィールドは、データ取得後にレコードページに表示されます。以下は、プラグインの設定時に使用できる推奨マッピングです。 プラグインの設定時に使用できます。

デバイスのプルマッピング

権限 

Microsoft Entra ID アプリケーション（旧称 Azure Active Directory）には、以下の権限が必要です。

• DeviceManagementManagedDevices.Read.All
• DeviceManagementManagedDevices.ReadWrite.All
• DeviceManagementManagedDevices.PrivilegedOperations.All

{
    "token_type": "Bearer",
    "expires_in": 3599,
    "ext_expires_in": 3599,
    "access_token": "eyJ0eXAiOiJKV1QiLCJub25jZ.ASKajYnNghrgyqzO-H2Pns"
}

{
    "@odata.context": "https://graph.microsoft.com/v1.0/$metadata#deviceManagement/managedDevices",
    "@odata.count": 1,
    "value": [
        {
            "id": "97a16538-13de-4fb0-b522-4f42da4958b3",
            "userId": "e4ae0b3b-7d23-41fb-b3e7-ca2ab72ed952",
            "deviceName": "WIN11-50-10-99",
            "managedDeviceOwnerType": "company",
            "managementState": "managed",
            "enrolledDateTime": "2025-09-24T09:36:14Z",
            "lastSyncDateTime": "2025-10-28T11:54:19Z",
            "operatingSystem": "Windows",
            "complianceState": "compliant",
            "jailBroken": "Unknown",
            "managementAgent": "mdm",
            "osVersion": "10.0.22621.4317",
            "easActivated": true,
            "easDeviceId": "B2AA3AEF93D9972DF31470B343BFB661",
            "easActivationDateTime": "0001-01-01T00:00:00Z",
            "azureADRegistered": true,
            "deviceEnrollmentType": "windowsAutoEnrollment",
            "activationLockBypassCode": null,
            "emailAddress": "netskope@netskope.onmicrosoft.com",
            "azureADDeviceId": "65c126aa-b1da-44a3-ae14-dfe367da5987",
            "deviceRegistrationState": "registered",
            "deviceCategoryDisplayName": "NetskopeCE",
            "isSupervised": false,
            "exchangeLastSuccessfulSyncDateTime": "0001-01-01T00:00:00Z",
            "exchangeAccessState": "none",
            "exchangeAccessStateReason": "none",
            "remoteAssistanceSessionUrl": null,
            "remoteAssistanceSessionErrorDetails": null,
            "isEncrypted": false,
            "userPrincipalName": "netskope@netskope.onmicrosoft.com",
            "model": "VMware7,1",
            "manufacturer": "VMware, Inc.",
            "imei": "",
            "complianceGracePeriodExpirationDateTime": "9999-12-31T23:59:59Z",
            "serialNumber": "VMware-42030d0e92ed5c36-c1a09bc4b6be3254",
            "phoneNumber": "",
            "androidSecurityPatchLevel": "",
            "userDisplayName": "netskope",
            "configurationManagerClientEnabledFeatures": null,
            "wiFiMacAddress": "aa:bb:cc:dd:ee:ff",
            "deviceHealthAttestationState": null,
            "subscriberCarrier": "",
            "meid": "",
            "totalStorageSpaceInBytes": 52855570432,
            "freeStorageSpaceInBytes": 314572800,
            "managedDeviceName": "WindowsVM",
            "partnerReportedThreatState": "unknown",
            "requireUserEnrollmentApproval": null,
            "managementCertificateExpirationDate": "2026-05-04T15:01:05Z",
            "iccid": null,
            "udid": null,
            "notes": null,
            "ethernetMacAddress": “aa:bb:cc:dd:ee:ff”,
            "physicalMemoryInBytes": 0,
            "enrollmentProfileName": null,
            "deviceActionResults": []
        }
    ]
}

{
  "value": [
    {
      "@odata.type": "#microsoft.graph.userExperienceAnalyticsDeviceScores",
      "id": "0dd9f6cf-f6cf-0dd9-cff6-d90dcff6d90d",
      "deviceName": "Device Name value",
      "model": "Model value",
      "manufacturer": "Manufacturer value",
      "endpointAnalyticsScore": 7.333333333333333,
      "startupPerformanceScore": 7.666666666666667,
      "appReliabilityScore": 6.333333333333333,
      "workFromAnywhereScore": 7.0,
      "batteryHealthScore": 6.0,
      "healthStatus": "insufficientData"
    }
  ]
}

204 No Content

204 No Content

{
    "quickScan": True or False
}

204 No Content

204 No Content

{
    "requests": [
        {
            "id": "690b1aad-190e-40d2-9bc2-39132a2d3680",
            "url": "/deviceManagement/managedDevices/690b1aad-190e-40d2-9bc2-39132a2d3680/rebootNow",
            "method": "POST",
            "headers": {
                "Content-Type": "application/json"
            },
            "body": {}
        },
        {
            "id": "690b1aad-23db-4fb0-b922-4f42da2958b3",
            "url": "/deviceManagement/managedDevices/690b1aad-23db-4fb0-b922-4f42da2958b3/syncDevice",
            "method": "POST",
            "headers": {
                "Content-Type": "application/json"
            },
            "body": {}
        },
        {
            "id": "690b1aad-1935-4eae-b8d8-d13f2803f671",
            "url": "/deviceManagement/managedDevices/690b1aad-1935-4eae-b8d8-d13f2803f671/windowsDefenderScan",
            "method": "POST",
            "headers": {
                "Content-Type": "application/json"
            },
            "body": {
                "quickScan": true
            }
        },
        {
            "id": "690b1aad-09b7-4c38-8e93-23aef667af01",
            "url": "/deviceManagement/managedDevices/690b1aad-09b7-4c38-8e93-23aef667af01/windowsDefenderUpdateSignatures",
            "method": "POST",
            "headers": {
                "Content-Type": "application/json"
            },
            "body": {}
        }
    ]
}

{
    "responses": [
        {
            "id": "690b1aad-190e-40d2-9bc2-39132a2d3680",
            "status": 204,
            "body": null
        },
        {
            "id": "690b1aad-23db-4fb0-b922-4f42da2958b3",
            "status": 204,
            "body": null
        },
        {
            "id": "690b1aad-1935-4eae-b8d8-d13f2803f671",
            "status": 204,
            "body": null
        },
        {
            "id": "690b1aad-09b7-4c38-8e93-23aef667af01",
            "status": 204,
            "body": null
        }
    ]
}

パフォーマンスマトリックス

以下は、これらの仕様を持つ大規模CEスタック上で50万台のデバイスを使用して実施したパフォーマンスマトリックスです。

ユーザーエージェント

netskope-ce-6.0.0-cre-microsoft-intune-v1.0.0

ワークフロー

1. Microsoft IntuneからクライアントID、クライアントシークレット、テナントIDを取得してください。
2. Microsoft Intuneプラグインを設定します。
3. Microsoft Intune 用のビジネスルールを追加します。
4. Microsoft Intune のアクションを追加します。
5. Microsoft Intuneプラグインを検証します。

動画を見る

再生ボタンをクリックして動画をご覧ください。

Microsoft IntuneからクライアントID、クライアントシークレット、テナントIDを取得します。

1. Azure プラットフォームにログインし、 App Registrations > All applicationsに移動します。

   

2. アプリを検索してクリックしてください。

   

3. 「基本事項」に記載されているクライアントIDとテナントIDをコピーしてください。

   

4. クライアントシークレットについては、 Manage > Certificates & secretsにアクセスしてください。

   

5. New client secretをクリックし、要件に応じてデスク リプションと有効期限を入力します。

   

6. クライアントシークレットの値をコピーします。

   注記：

   クライアントシークレットの値ではなく、シークレットIDをコピーしないようにしてください。

Microsoft Intuneプラグインを構成する

1. Cloud Exchange で、 Settings > Plugin Storeに移動します。Microsoft Intune v1.0.0 (CRE)プラグインボックスを検索して選択します。

   

2. プラグインの設定名を追加し、必要に応じて同期間隔を変更します。

   

3. Nextをクリックして、設定パラメータを入力してください。 
   • Client ID: Microsoft AzureアプリケーションのクライアントID。
   • Client Secret: Microsoft Azureアプリケーションのクライアントシークレット。
   • Tenant ID: Microsoft AzureアプリケーションのテナントID。

   

4. Nextをクリックし、エンティティのドロップダウンリストからエンティティを選択します。要件に応じてフィールドマッピングを入力してください。

   任意のエンティティの下に新しいフィールドを作成するには、 +Add fieldをクリックします。

   

   フィールドラベル、データ型を入力し、一意性を設定（または設定しない）して、集計戦略を選択します。完了したら、 Saveをクリックしてください。

   

   以下のマッピング案を追加してください。

   

   

   

   

5. Saveをクリックしてください。

   

Microsoft Intuneプラグインにリスク交換ビジネスルールを追加する

1. Risk ExchangeでBusiness Rulesに移動し、 Create New Ruleをクリックします。
2. ルール名を入力してください。Microsoft Intuneプラグイン用にフィールドが構成されているエンティティをSelect 、要件に基づいてクエリを構成します。 このサンプルフィルターは、Intuneプラグインから準拠していないデバイスを取得します。

   

3. Saveをクリックしてください。

   

Microsoft Intuneプラグインにリスク交換アクションを追加する

Microsoft Intuneプラグインは、以下の種類のアクションをサポートしています。

• Reboot Device: ユーザーは、このアクションを使用して Microsoft Intune でデバイスを再起動/再起動できます。
• Update Windows Defender Signatures: ユーザーは、Microsoft Intune 上のデバイスの Windows Defender 署名を更新したり、このアクションを使用して Windows Defender セキュリティ インテリジェンスを更新したりできます。 注: このアクションは Windows デバイスでのみサポートされます。
• Run Windows Defender Scan: ユーザーは、Microsoft Intune 上のデバイスで Windows Defender スキャンを実行して、このアクションを実行できます。 注: このアクションは Windows デバイスでのみサポートされます。
• Sync Device: ユーザーは、このアクションを使用して Microsoft Intune でデバイスを同期できます。
• No Actionこのアクションに対しては、何も措置は講じられません。ユーザーは、この操作を行い、 [アラートの生成]トグルを有効にすることで、Ticket Orchestrator で UBA アラートを生成できます。

デバイスを再起動してください

1. Risk Exchangeで Actions に移動し、 Add Action Configurationをクリックします。
2. 必要なビジネスルール、プラグイン設定、および再起動アクションをそれぞれのドロップダウンメニューからSelect 。 デバイス ID は、再起動するデバイスの ID です。

   

3. デバイス上で何らかの操作を実行する前に承認が必要な場合は、 「承認が必要」トグルを有効にしてください。
4. Saveをクリックしてください。

   

Windows Defenderの署名を更新する

1. Risk Exchangeで Actions に移動し、 Add Action Configurationをクリックします。
2. それぞれのドロップダウンメニューから、必要なビジネスルール、プラグイン構成、およびWindows Defenderシグネチャの更新アクションSelect 。 デバイス ID は、再起動するデバイスの ID です。

   

3. デバイス上で何らかの操作を実行する前に承認が必要な場合は、 「承認が必要」トグルを有効にしてください。
4. Saveをクリックしてください。

   

Windows Defender スキャンを実行します

1. Risk Exchangeで Actions に移動し、 Add Action Configurationをクリックします。
2. それぞれのドロップダウンメニューから、必要なビジネスルール、プラグイン構成、およびWindows Defenderスキャン実行アクションSelect 。
   • デバイス ID: 再起動するデバイスの ID。
   • スキャンタイプ：クイックスキャンを実行するか、フルスキャンを実行するかを示します。静的な値の中からFull ScanまたはQuick Scanを選択する必要があります。

   

3. デバイス上で何らかの操作を実行する前に承認が必要な場合は、 「承認が必要」トグルを有効にしてください。
4. Saveをクリックしてください。

   

同期デバイス

1. Risk Exchangeで Actions に移動し、 Add Action Configurationをクリックします。
2. 必要なビジネスルール、プラグイン設定、および同期アクションをそれぞれのドロップダウンメニューからSelect 。

   

3. デバイス上で何らかの操作を実行する前に承認が必要な場合は、 「承認が必要」トグルを有効にしてください。
4. Saveをクリックしてください。

   

No Action

1. Risk Exchangeで Actions に移動し、 Add Action Configurationをクリックします。
2. それぞれのドロップダウンメニューから、「ビジネスルール」、「プラグイン設定」、「アクションなし」 Select 。
3. Enable the Generate Alert toggle to generate alerts in the Ticket Orchestrator module.

   

4. デバイス上で何らかの操作を実行する前に承認が必要な場合は、 「承認が必要」トグルを有効にしてください。
5. Saveをクリックしてください。

Microsoft Intuneプラグインを検証する

Cloud Exchangeで検証する

1. Risk ExchangeでRecordsに移動してください。デバイスのフィールド マッピングの構成中に使用されたエンティティSelect 、プルされたレコードを表示します。

   

2. Loggingページに移動して、プラグインのログを検索してください。 プラグイン名。

   

3. ホストに対して実行されたアクションを確認するには、 Loggingにアクセスしてください。プラグイン名またはプラグイン設定名を使用してフィルターを適用できます。

   デバイス再起動アクションのログ:

   

   Windows Defenderスキャン実行アクションのログ：

   

   Windows Defender 署名の更新/Windows Defender セキュリティ インテリジェンスの更新アクションのログ:

   

   同期デバイス操作のログ：

   

   「何もしない」アクションのログ:

   

4. ユーザーが設定済みのビジネスルールのいずれかに一致する場合、設定済みのアクションがそのユーザーに対して実行されます。これはRisk Exchange > Action Logsで確認できます。

   

Microsoft Intuneで検証する

Microsoft Intuneで利用可能なデバイスを確認するには、Azureインスタンスにログインして Intune > Devices > All Devicesへ行ってください。

特定のデバイスに関連するスコアを表示するには、デバイス名をクリックしてUser experienceに移動します。

デバイスの再起動操作の場合：

Windows Defenderスキャンを実行するアクションの場合：

Windows Defender 署名の更新アクションの場合：

同期デバイス操作の場合：

Tenant Administration > Audit Logsへ移動してください。

Microsoft Intuneプラグインのトラブルシューティング

Microsoft Intuneプラグインを構成できません

Microsoft Intuneプラグインを構成できない場合、以下のいずれかの理由が考えられます。

• クライアントID、クライアントシークレット、またはテナントIDが正しく入力されていません。
• 十分な権限を持たないクレデンシャルが提供されました。

What to do:

1. クライアント ID、クライアント シークレット、およびテナント ID を取得するには、 「Microsoft Intune からクライアント ID、クライアント シークレット、およびテナント ID を取得する」に記載されている手順に従ってください。
2. 設定パラメータに適切な権限を付与するには、 「権限」セクションを参照してください。

デバイスを取得できません

Microsoft Intuneプラグインからデバイスを取得できない場合、以下のいずれかの理由が考えられます。

• Microsoft Intune プラットフォームにはデバイスが存在しません。
• プラットフォームからデバイスを取得する際にエラーが発生しました。
• エンティティソースページでプラグインを設定する際に、マッピングは追加されませんでした。

What to do:

1. Microsoft Intune プラットフォームでデバイスが存在するかどうかを確認してください。
2. 500エラーを受信しました：サーバーがダウンしている可能性があります。しばらく待ってから再度確認してください。
3. 403 エラーの受信: プラグイン構成パラメータに十分な権限がないか、クレデンシャルが存在しません。 クライアントID、クライアントシークレット、およびテナントIDの権限を確認してください。
4. プラグインの設定時にマッピングが追加されていることを確認してください。

記録ページでデバイスの詳細を表示できません

レコードページでデバイスの詳細が表示されない場合は、Microsoft Intuneプラグインの設定時に、すべてのMicrosoft Intuneフィールドのマッピングが提供されなかったことが原因である可能性があります。

What to doプラグインの設定時には、必要なマッピングを必ず指定してください。

デバイス上で操作を実行できません

デバイスで操作を実行できない場合、以下のいずれかの理由が考えられます。

• 当該行為に対する十分な許可が与えられていなかった。
• 操作の実行中にエラーが発生しました。
• デバイスは Microsoft Intune プラットフォームに存在しません。
• アクションの設定中に「承認が必要」のトグルが有効になっていましたが、リクエストは承認されていません。

What to do:

1. 当該行為に対する十分な許可が与えられていなかった。Intuneに必要な権限が付与されているかどうかを確認してください。
2. マシンがダウンしているか存在しない場合、プラグインは正常にアクションを実行できません。デバイスにアクセス可能であることを確認してください。
3. Microsoft Intune プラットフォームに移動し、アクションを実行する必要があるデバイスが存在するかどうかを確認します。
4. アクションログページに移動し、リクエストを承認するログを選択して、承認アイコンをクリックします。または、設定済みのアクションで「承認が必要」のトグルを無効にして、アクションを再度実行してください。

制限

Windows、macOS、iOS、Androidなどのオペレーティングシステムは、一度にアクティブなモバイルデバイス管理（MDM）権限を1つだけ許可するように設計されています。Microsoft IntuneはMDMソリューションであり、Omnissa Workspace One UEMも同様です。したがって、複数のプラットフォームにデバイスを登録したい場合は、それがMDMソリューションではないことを確認してください。そうしないと、以下のエラーが表示されます。Omnissa で利用可能なデバイスを Intune に登録しようとすると、次の動作が発生します。