Risk Exchange 用 Microsoft Intune プラグイン

このドキュメントでは、Microsoft Intune v1.1.0 の構成方法について説明します。Netskope Cloud Exchange プラットフォームの Risk Exchange モジュールを使用したプラグイン。このプラグインは、Microsoft Intune の デバイス > All デバイス ページからデバイスのデータ、レポート > Analytics > エンドポイント Analytics ページからデバイスのヘルススコア、デバイス > デバイス Onboarding > Enrollment > Windows Autopilot > デバイス ページからグループタグを取得します。このプラグインは、Microsoft Intune における Reboot デバイス、Sync デバイス、Run Windows Defender Scan、および Update Windows Defender Signatures の各アクションをサポートします。

前提条件

この統合を完了するには、以下が必要です。

• Netskopeテナント（または、例えば本番環境と開発／テスト環境など、複数のテナント）。
• Netskope Cloud Exchangeテナントには、テナントプラグインとリスクエクスチェンジプラグインが既に設定済みです。
• 必要な アクセス権を持つ Entra ID アプリケーション。
• 以下のホストへの接続性：
  • https://login.microsoftonline.com
  • https://graph.microsoft.com

Microsoft Intuneプラグインのサポート

This plugin fetches Devices data from the Devices > All Devices page, Device Health Scores from the Reports > Analytics > Endpoint Analytics page, and Group Tags from the Devices > Device Onboarding > Enrollment > Windows Autopilot > Devices page in Microsoft Intune. This plugin supports Reboot Device, Sync Device, Run Windows Defender Scan, and Update Windows Defender Signatures actions in Microsoft Intune.

マッピング

プルされたデバイスとそれぞれの詳細を表示するためにマッピングが使用されます。データのプル後、プラグイン構成中にマッピングされたフィールドが [レコード] ページに表示されます。以下は、プラグインの構成時に使うことができる推奨マッピングです。

デバイスのプルマッピング

権限

Microsoft Entra IDアプリケーション（旧Azure Active Directory）には、次の権限が必要です。

• DeviceManagementManagedDevices.Read.All
• DeviceManagementManagedDevices.ReadWrite.All
• DeviceManagementManagedDevices.PrivilegedOperations.All
• DeviceManagementServiceConfig.ReadWrite.All
• DeviceManagementConfiguration.ReadWrite.All

{
    "token_type": "Bearer",
    "expires_in": 3599,
    "ext_expires_in": 3599,
    "access_token": "eyJ0eXAiOiJKV1QiLCJub25jZ.ASKajYnNghrgyqzO-H2Pns"
}

{
    "@odata.context": "https://graph.microsoft.com/v1.0/$metadata#deviceManagement/managedDevices",
    "@odata.count": 1,
    "value": [
        {
            "id": "97a16538-13de-4fb0-b522-4f42da4958b3",
            "userId": "e4ae0b3b-7d23-41fb-b3e7-ca2ab72ed952",
            "deviceName": "WIN11-50-10-99",
            "managedDeviceOwnerType": "company",
            "managementState": "managed",
            "enrolledDateTime": "2025-09-24T09:36:14Z",
            "lastSyncDateTime": "2025-10-28T11:54:19Z",
            "operatingSystem": "Windows",
            "complianceState": "compliant",
            "jailBroken": "Unknown",
            "managementAgent": "mdm",
            "osVersion": "10.0.22621.4317",
            "easActivated": true,
            "easDeviceId": "B2AA3AEF93D9972DF31470B343BFB661",
            "easActivationDateTime": "0001-01-01T00:00:00Z",
            "azureADRegistered": true,
            "deviceEnrollmentType": "windowsAutoEnrollment",
            "activationLockBypassCode": null,
            "emailAddress": "netskope@netskope.onmicrosoft.com",
            "azureADDeviceId": "65c126aa-b1da-44a3-ae14-dfe367da5987",
            "deviceRegistrationState": "registered",
            "deviceCategoryDisplayName": "NetskopeCE",
            "isSupervised": false,
            "exchangeLastSuccessfulSyncDateTime": "0001-01-01T00:00:00Z",
            "exchangeAccessState": "none",
            "exchangeAccessStateReason": "none",
            "remoteAssistanceSessionUrl": null,
            "remoteAssistanceSessionErrorDetails": null,
            "isEncrypted": false,
            "userPrincipalName": "netskope@netskope.onmicrosoft.com",
            "model": "VMware7,1",
            "manufacturer": "VMware, Inc.",
            "imei": "",
            "complianceGracePeriodExpirationDateTime": "9999-12-31T23:59:59Z",
            "serialNumber": "VMware-42030d0e92ed5c36-c1a09bc4b6be3254",
            "phoneNumber": "",
            "androidSecurityPatchLevel": "",
            "userDisplayName": "netskope",
            "configurationManagerClientEnabledFeatures": null,
            "wiFiMacAddress": "aa:bb:cc:dd:ee:ff",
            "deviceHealthAttestationState": null,
            "subscriberCarrier": "",
            "meid": "",
            "totalStorageSpaceInBytes": 52855570432,
            "freeStorageSpaceInBytes": 314572800,
            "managedDeviceName": "WindowsVM",
            "partnerReportedThreatState": "unknown",
            "requireUserEnrollmentApproval": null,
            "managementCertificateExpirationDate": "2026-05-04T15:01:05Z",
            "iccid": null,
            "udid": null,
            "notes": null,
            "ethernetMacAddress": “aa:bb:cc:dd:ee:ff”,
            "physicalMemoryInBytes": 0,
            "enrollmentProfileName": null,
            "deviceActionResults": []
        }
    ]
}

{
  "value": [
    {
      "@odata.type": "#microsoft.graph.userExperienceAnalyticsDeviceScores",
      "id": "0dd9f6cf-f6cf-0dd9-cff6-d90dcff6d90d",
      "deviceName": "Device Name value",
      "model": "Model value",
      "manufacturer": "Manufacturer value",
      "endpointAnalyticsScore": 7.333333333333333,
      "startupPerformanceScore": 7.666666666666667,
      "appReliabilityScore": 6.333333333333333,
      "workFromAnywhereScore": 7.0,
      "batteryHealthScore": 6.0,
      "healthStatus": "insufficientData"
    }
  ]
}

204 No Content

204 No Content

{
    "quickScan": True or False
}

204 No Content

204 No Content

{
    "requests": [
        {
            "id": "690b1aad-190e-40d2-9bc2-39132a2d3680",
            "url": "/deviceManagement/managedDevices/690b1aad-190e-40d2-9bc2-39132a2d3680/rebootNow",
            "method": "POST",
            "headers": {
                "Content-Type": "application/json"
            },
            "body": {}
        },
        {
            "id": "690b1aad-23db-4fb0-b922-4f42da2958b3",
            "url": "/deviceManagement/managedDevices/690b1aad-23db-4fb0-b922-4f42da2958b3/syncDevice",
            "method": "POST",
            "headers": {
                "Content-Type": "application/json"
            },
            "body": {}
        },
        {
            "id": "690b1aad-1935-4eae-b8d8-d13f2803f671",
            "url": "/deviceManagement/managedDevices/690b1aad-1935-4eae-b8d8-d13f2803f671/windowsDefenderScan",
            "method": "POST",
            "headers": {
                "Content-Type": "application/json"
            },
            "body": {
                "quickScan": true
            }
        },
        {
            "id": "690b1aad-09b7-4c38-8e93-23aef667af01",
            "url": "/deviceManagement/managedDevices/690b1aad-09b7-4c38-8e93-23aef667af01/windowsDefenderUpdateSignatures",
            "method": "POST",
            "headers": {
                "Content-Type": "application/json"
            },
            "body": {}
        }
    ]
}

{
    "responses": [
        {
            "id": "690b1aad-190e-40d2-9bc2-39132a2d3680",
            "status": 204,
            "body": null
        },
        {
            "id": "690b1aad-23db-4fb0-b922-4f42da2958b3",
            "status": 204,
            "body": null
        },
        {
            "id": "690b1aad-1935-4eae-b8d8-d13f2803f671",
            "status": 204,
            "body": null
        },
        {
            "id": "690b1aad-09b7-4c38-8e93-23aef667af01",
            "status": 204,
            "body": null
        }
    ]
}

{
    "@odata.context": "https://graph.microsoft.com/v1.0/$metadata#deviceManagement/windowsAutopilotDeviceIdentities",
    "@odata.count": 1,
    "@odata.nextLink": "https://graph.microsoft.com/v1.0/deviceManagement/windowsAutopilotDeviceIdentities?$top=1&$skiptoken=LastSerialNumber%3d%MP4193E7FAX%27",
    "value": [
        {
            "id": "19ed68e5-871e-4f49-8003-3363c06c2fe3",
            "groupTag": "LocalMachine-E",
            "purchaseOrderIdentifier": "",
            "serialNumber": "MP4193E7FAX",
            "productKey": "58fddc96-c392-871e-ad39-3363c06c2fe3",
            "manufacturer": "LENOVO",
            "model": "20VE",
            "enrollmentState": "enrolled",
            "lastContactedDateTime": "2026-01-30T09:19:13Z",
            "addressableUserName": "",
            "userPrincipalName": "",
            "resourceName": "",
            "skuNumber": "LENOVO_MT_20VE_BU_idea_FM_ThinkBook 15 G2 ITL",
            "systemFamily": "ThinkBook 15 G2 ITL",
            "azureActiveDirectoryDeviceId": "fe8503ff-f9bb-40b6-b652-3363c06c2fe3",
            "managedDeviceId": "c89ab55d-b652-4e79-f9bb-8675caaf73e0",
            "displayName": "NetskopeLaptop-1"
        }
    ]
}

パフォーマンスマトリックス

こちらは、50万台のデバイスをプルして、これらの仕様を持つ大規模なCloud Exchangeスタックで実施されたパフォーマンスマトリックスです。

ユーザーエージェント

netskope-ce-6.0.1-cre-microsoft-intune-v1.1.0

ワークフロー

1. Microsoft IntuneからクライアントID（Client ID）、クライアントシークレット（Client Secret）、テナントID（Tenant ID）を取得します。
2. Microsoft Intune プラグインの構成
3. Microsoft Intune のビジネス ルールの追加
4. Microsoft Intuneのアクションを追加する
5. Validation

動画を見る

再生ボタンをクリックして動画をご覧ください。

Microsoft IntuneからクライアントID、クライアントシークレット、テナントIDを取得します。

1. Azure プラットフォームにログインし、 App Registrations > All applicationsに移動します。

   

2. アプリを検索して選択します。

   

3. 「基本事項」に記載されているクライアントIDとテナントIDをコピーしてください。

   

4. クライアント シークレットについては、Manage > Certificates & secrets をご覧ください。

   

5. New client secretをクリックし、要件に従ってデスクリプションと有効期限を入力します。

   

6. クライアントシークレットをコピーします。

   注記

   クライアントシークレットの値ではなく、シークレットIDをコピーしないようにしてください。

Microsoft Intuneプラグインを構成する

1. Cloud Exchange で、 Settings > Plugin Storeに移動します。Microsoft Intune v1.1.0 (CRE)プラグインボックスを検索して選択します。

   

2. プラグインの設定名を追加し、必要に応じて同期間隔を変更してください。

   

3. Nextをクリックして、設定パラメータを入力してください。
   • Client ID: Microsoft AzureアプリケーションのクライアントID。Microsoft Azureポータルで、「Azure Entra ID > App registrations > Your Application > 概要」ページに移動し、クライアントIDを取得します。
   • Client Secret: Microsoft Azureアプリケーションのクライアントシークレット。Microsoft Azureポータルで、「Azure Entra ID > App registrations > Your Application > Certificates & Secrets」ページに移動し、クライアントシークレットを取得します。注意：シークレットIDではなく、クライアントシークレットの値を必ずコピーしてください。
   • Tenant ID: Microsoft AzureアプリケーションのテナントID。Microsoft Azureポータルで、「Azure Entra ID > アプリの登録 > お使いのアプリケーション > 概要」ページに移動し、テナントIDを取得します。

   

4. Next をクリックし、Entity ドロップダウンからエンティティを選択して、要件に従ってフィールド マッピングを指定します。任意のエンティティの下に新しいフィールドを作成するには、+ Add field をクリックします。

   

5. フィールドラベル（Field Label）とデータ型（Data type）を入力し、一意（Unique）にするかどうかを設定して、集計戦略を選択します。

   

   推奨されるマッピング：

   

   

   

6. Saveをクリックしてください。

   

Microsoft Intune の Risk Exchange ビジネス ルールの追加

1. Risk ExchangeでBusiness Rulesに移動してください。
2. Create New Ruleをクリックしてください。
3. ルール名を入力します。Select the Entity プラグイン用に構成されたフィールドのエンティティを選択し、要件に基づいてクエリを構成します。この例では、Intune プラグインから非準拠デバイスをフィルター処理します。

   

4. Saveをクリックしてください。

   

アクションを追加

Microsoft Intuneプラグインは、以下の種類のアクションをサポートしています。

• Reboot Device: このアクションを使うして、Microsoft Intune 上のデバイスを再起動します。
• Update Windows Defender Signaturesこのアクションを使うして、Microsoft Intune上のデバイスのWindows Defenderシグネチャを更新するか、Windows Defenderセキュリティインテリジェンスを更新します。このアクションはWindowsデバイスでのみサポートされます。
• Run Windows Defender Scanこのアクションを使用して、Microsoft Intune上のデバイスでWindows Defenderスキャンを実行します。このアクションはWindowsデバイスでのみサポートされます。
• Sync Device: このアクションを使う、Microsoft Intune 上のデバイスを同期します。
• No Action：このアクションに対して実行されるアクションはありません。ユーザーは、このアクションを使用し、Generate Alertsのトグルを有効にすることで、Ticket OrchestratorでUBAアラートを生成できます。

デバイスを再起動してください

1. Risk ExchangeでActionsに移動し、 Add Action Configurationをクリックします。
2. それぞれのドロップダウンから、ビジネス ルール、構成、およびアクション Select します。
3. デバイスIDには、再起動するデバイスのIDを入力します。

   

4. デバイスに対してアクションを実行する前に承認が必要な場合は、Require Approval トグルを有効にします。
5. Saveをクリックしてください。

   

Windows Defenderの署名を更新する

1. Risk ExchangeでActionsに移動し、 Add Action Configurationをクリックします。
2. それぞれのドロップダウンから、ビジネス ルール、構成、およびアクション Select します。
3. デバイスIDには、再起動するデバイスのIDを入力します。

   

4. デバイスに対してアクションを実行する前に承認が必要な場合は、Require Approval トグルを有効にします。
5. Saveをクリックしてください。

   

Windows Defender スキャンを実行します

1. Risk ExchangeでActionsに移動し、 Add Action Configurationをクリックします。
2. それぞれのドロップダウンから、ビジネス ルール、構成、およびアクション Select します。
3. デバイスIDには、再起動するデバイスのIDを入力します。
4. スキャン タイプ：クイック スキャンまたはフル スキャンの実行を選択します。

   

5. デバイスに対してアクションを実行する前に承認が必要な場合は、Require Approval トグルを有効にします。
6. Saveをクリックしてください。

同期デバイス

1. Risk ExchangeでActionsに移動し、 Add Action Configurationをクリックします。
2. それぞれのドロップダウンから、ビジネス ルール、構成、およびアクション Select します。
3. デバイスIDには、再起動するデバイスのIDを入力します。

   

4. デバイスに対してアクションを実行する前に承認が必要な場合は、Require Approval トグルを有効にします。
5. Saveをクリックしてください。

   

No Action

1. Risk ExchangeでActionsに移動し、 Add Action Configurationをクリックします。
2. それぞれのドロップダウンから、ビジネス ルール、構成、およびアクション Select します。
3. Select No actions をドロップダウンから選択し、Generate Alert トグルを有効にして、Ticket Orchestratorモジュールでアラートを生成します。

   

4. デバイスに対してアクションを実行する前に承認が必要な場合は、Require Approval トグルを有効にします。
5. Saveをクリックしてください。

Microsoft Intuneプラグインを検証する

Cloud Exchangeで検証する

1. Risk Exchangeで、Recordsに移動します。Select デバイスのフィールドマッピングの構成時に選択されたエンティティを選択して、取得したレコードを表示します。

   

2. Logging に移動し、プラグイン名を使うプラグインのログを検索します。

   

3. Loggingで、ホストに対して実行されたアクションを確認します。プラグイン名またはプラグイン構成名でフィルターを適用できます。

「Reboot デバイス」アクションのログ：

Run Windows Defender Scan アクションのログ：

Windows Defender シグネチャの更新 / Windows Defender セキュリティ インテリジェンスの更新アクションのログ：

Sync デバイス アクションのログ：

「アクションなし」アクションのログ:

ユーザーが設定済みのビジネスルールのいずれかに一致する場合、設定済みのアクションがそのユーザーに対して実行されます。これはRisk Exchange > Action Logsで見ることができます。

Microsoft Intuneで検証する

Microsoft Intuneで利用可能なデバイスを表示するには、Azureインスタンスにログインし、Intune > Devices > All Devicesに移動します。

特定のデバイスに関するスコアを表示するには、デバイス名（Device Name）をクリックしてユーザーエクスペリエンスページに移動します。

デバイスに関連付けられたグループタグを確認するには、Device Onboarding > Enrollment > Windows Autopilot > Devices に移動します。

デバイスの再起動操作の場合：

Windows Defenderスキャンを実行するアクションの場合：

Windows Defender 署名の更新アクションの場合：

同期デバイスのアクションについては、Tenant Administration > Audit Logsに移動します。

Microsoft Intuneプラグインのトラブルシューティング

Microsoft Intuneプラグインを構成できません

Microsoft Intuneプラグインを構成できない場合、以下のいずれかの理由が考えられます。

• クライアントID、クライアントシークレット、またはテナントIDが正しく入力されていません。
• 十分な権限を持たないクレデンシャルが提供されました。

What to do:

1. クライアント ID、クライアント シークレット、およびテナント ID を取得するには、 「Microsoft Intune からクライアント ID、クライアント シークレット、およびテナント ID を取得する」に記載されている手順に従ってください。
2. 設定パラメータに適切な権限を付与するには、 「権限」セクションを参照してください。

デバイスを取得できません

Microsoft Intuneプラグインからデバイスを取得できない場合、以下のいずれかの理由が考えられます。

• Microsoft Intune プラットフォームにはデバイスが存在しません。
• プラットフォームからデバイスを取得する際にエラーが発生しました。
• エンティティソースページでプラグインを設定する際に、マッピングは追加されませんでした。

What to do:

1. Microsoft Intune プラットフォームでデバイスが存在するかどうかを確認してください。
2. 500エラーを受信しました：サーバーがダウンしている可能性があります。しばらく待ってから再度確認してください。
3. 403 エラーの受信: プラグイン構成パラメータに十分な権限がないか、クレデンシャルが存在しません。 クライアントID、クライアントシークレット、およびテナントIDの権限を確認してください。
4. プラグインの設定時にマッピングが追加されていることを確認してください。

記録ページでデバイスの詳細を表示できません

レコードページでデバイスの詳細が表示されない場合は、Microsoft Intuneプラグインの設定時に、すべてのMicrosoft Intuneフィールドのマッピングが提供されなかったことが原因である可能性があります。

What to doプラグインの設定時には、必要なマッピングを必ず指定してください。

デバイス上で操作を実行できません

デバイスで操作を実行できない場合、以下のいずれかの理由が考えられます。

• 当該行為に対する十分な許可が与えられていなかった。
• 操作の実行中にエラーが発生しました。
• デバイスは Microsoft Intune プラットフォームに存在しません。
• アクションの設定中に「承認が必要」のトグルが有効になっていましたが、リクエストは承認されていません。

What to do:

1. 当該行為に対する十分な許可が与えられていなかった。Intuneに必要な権限が付与されているかどうかを確認してください。
2. マシンがダウンしているか存在しない場合、プラグインは正常にアクションを実行できません。デバイスにアクセス可能であることを確認してください。
3. Microsoft Intune プラットフォームに移動し、アクションを実行する必要があるデバイスが存在するかどうかを確認します。
4. アクションログページに移動し、リクエストを承認するログを選択して、承認アイコンをクリックします。または、設定済みのアクションで「承認が必要」のトグルを無効にして、アクションを再度実行してください。

プラグインのアップグレード後にグループタグを取得できません

プラグインを最新バージョンにアップグレードした後でグループタグをプルできない場合、次の理由が考えられます。グループタグフィールドはv1.1.0以降のプラグインで導入されているためです。v1.0.0からのアップグレード後、プラグインでグループタグがマッピングされません。

What to do: プラグインをアップデートし、マッピングに記載されているようにグループタグフィールドを追加します。

制限

Windows、macOS、iOS、Androidなどのオペレーティングシステムは、一度に有効にできるモバイルデバイス管理（MDM）オーソリティが1つだけになるように設計されています。Microsoft IntuneはMDMソリューションであり、Omnissa Workspace One UEMも同様です。そのため、複数のプラットフォームでデバイスを登録する場合は、それがMDMソリューションではないことを確認してください。そうしないと、以下のエラーが表示されます。この動作は、Omnissaで利用可能なデバイスをIntuneに登録しようとしたときに発生します。