デバイス グループの作成と管理

エンタープライズ シナリオでは、セキュリティ運用チームには通常、一連のデバイスが割り当てられます。 これらのデバイスは、ドメイン、コンピューター名、指定されたタグなどの属性のセットに基づいてグループ化されます。

Microsoft Defender for Endpointでは、デバイス グループを作成し、それらを使用して次のことができます。

• RBAC ロールが割り当てられている特定のMicrosoft Entra ユーザー グループに関連するアラートとデータへのアクセスを制限する
• デバイスのセットごとに異なる自動修復設定を構成する
• 自動調査中に適用する特定の修復レベルを割り当てる
• 調査では、グループ フィルターを使用して、特定のデバイス グループに対して [デバイス] リストをフィルター処理します。

ロールベースのアクセス (RBAC) のコンテキストでデバイス グループを作成して、特定のアクションを実行できるユーザーを制御したり、デバイス グループをユーザー グループに割り当てて情報を表示したりできます。 詳細については、「 ロールベースのアクセス制御を使用したポータル アクセスの管理」を参照してください。

デバイス グループを作成するプロセスの一環として、次の作業を行います。

• そのグループの自動修復レベルを設定します。 修復レベルの詳細については、「 自動調査を使用した脅威の調査と修復」を参照してください。
• デバイス名、ドメイン、タグ、OS プラットフォームに基づいて、グループに属するデバイス グループを決定する照合ルールを指定します。 デバイスが他のグループにも一致する場合は、最上位のデバイス グループにのみ追加されます。
• デバイス グループにアクセスできる必要があるMicrosoft Entra ユーザー グループを選択します。
• デバイス グループは、作成後に他のグループと比較してランク付けします。

デバイス グループを作成する

1. https://security.microsoft.comのMicrosoft Defender ポータルで、[設定>Endpoints>Permissions] セクション >Device groups に移動します。 または、デバイス グループ タブに直接移動するには、 https://security.microsoft.com/securitysettings/endpoints/machine_groupsを使用します。

2. [デバイス グループ] タブで、[ デバイス グループの追加] を選択します。

3. [デバイス グループの追加] ウィザードが開きます。 [ 全般 ] ページで、次の設定を構成します。

   • デバイス グループ名: デバイス グループの一意のわかりやすい名前を入力します。
   • 修復レベル: 次のいずれかの値を選択します。
     • 自動応答なし
     • Semi - すべてのフォルダーに承認が必要
     • 半 - 一時以外のフォルダーの承認が必要
     • Semi - システム フォルダーの承認が必要
     • 完全修復
   • 説明: 省略可能な説明を入力します。

   [次へ] を選択します。

4. [ デバイス ] ページで、グループに属するデバイスを決定する照合ルールを構成します。 手順については、「 自動調査の開始方法」を参照してください。

   ヒント

   デバイスのグループ化にタグ付けを使用するには、「デバイス タグの作成と管理」を参照してください。

   [次へ] を選択します。

5. [ デバイスのプレビュー ] ページで、[ プレビューの表示 ] を選択して、前のページで構成したデバイス ルールに一致する最大 10 台のデバイスを表示します。 結果に問題がなければ、[ 次へ] を選択します。

6. [ ユーザー アクセス ] ページで、作成したデバイス グループにアクセスできるユーザー グループを割り当てます。

   注:

   RBAC ロールに割り当てられているMicrosoft Entraユーザー グループにのみアクセス権を付与できます。

   デバイス グループを作成する準備ができたら、[送信] を選択 します。

デバイス グループを管理する

デバイス グループのランクを昇格または降格して、一致中に優先順位を高くまたは低くすることができます。 ランクが 1 のデバイス グループは、ランクが最も高いグループです。 デバイスが複数のグループに一致すると、最上位のランク付けグループにのみ追加されます。 グループを編集および削除することもできます。

既定では、デバイス グループにはポータル アクセス権を持つすべてのユーザーがアクセスできます。 既定の動作を変更するには、Microsoft Entraユーザー グループをデバイス グループに割り当てます。

グループに一致しないデバイスは、グループ化されていないデバイス (既定) グループに追加されます。 このグループのランクを変更したり、削除したりすることはできません。 ただし、このグループの修復レベルを変更し、このグループにアクセスできるMicrosoft Entraユーザー グループを定義できます。

デバイス グループ定義を追加する

デバイス グループ定義には、条件ごとに複数の値を含めることもできます。 複数のタグ、デバイス名、ドメインを 1 つのデバイス グループの定義に設定できます。

1. 新しいデバイス グループを作成し、[ デバイス ] タブを選択します。
2. いずれかの条件の最初の値を追加します。
3. +を選択して、同じプロパティ型の行をさらに追加します。

デバイス グループ定義へのリンクの詳細については、「 デバイス グループ - Microsoft 365 セキュリティ」を参照してください。

関連トピック

• ロールベースのアクセス制御を使用してポータルアクセスを管理する
• デバイス タグの作成と管理
• Graph APIを使用してテナント デバイス グループの一覧を取得する