役割ベースのアクセス制御

Microsoft Intune 管理センターのロールベースのアクセス制御を使用して、組織のリソースにアクセスできるユーザー、およびそれらのリソースを使ってできることを管理します。

組み込みの役割

Windows Autopatch を使用すると、ロールベースのアクセス制御で最低特権アクセスを実現し、Microsoft Intune で Windows Update 管理を分散および委任することができます。

Windows Autopatch 管理者または Windows Autopatch 閲覧者ロールで定義されているアクセス許可は、Autopatch グループ、サポート要求、Autopatch メッセージ、およびAutopatch レポートを管理するために使用されます。

更新ポリシーと Windows Update レポートを管理するには、デバイス構成アクセス許可が必要です。 このアクセス許可は、ポリシー ロールやプロファイル マネージャー ロールなどの組み込みロールで使用できます。

ポリシーとプロファイル マネージャーの役割

ポリシーとプロファイル マネージャーの役割には、次の更新ポリシーを含む Intune ポリシーを管理するためのデバイス構成アクセス許可が含まれます。

• リングを更新する
• 品質更新プログラム
• 機能更新プログラム
• ドライバーの更新

Windows Autopatch 管理者

Windows Autopatch 管理者ロールは、Windows Autopatch のすべての側面を管理します。

• Autopatch グループ
• Autopatch レポート
  • 品質と機能の更新の状態とトレンド レポート
• サポート要求とメッセージ

Windows Autopatch 閲覧者

Windows Autopatch 閲覧者は、Microsoft Intune で使用できる Windows Autopatch データを表示できますが、変更することはできません。

ポリシー ロールを更新する

Windows 品質更新プログラム、更新リング、Windows 機能更新プログラム、ドライバー更新プログラム、Microsoft 365 Apps、Microsoft Edge ポリシーを管理するには、ユーザーに完全なデバイス構成アクセス許可が必要です。 次の表は、更新管理ロールの完全な一覧です。

Windows Autopatch を低い特権ロールとして正常に管理するには、Autopatch 管理アクセス許可とポリシーとプロファイル管理者アクセス許可の両方がユーザーに必要です。

Microsoft Entra ロール

次の Microsoft Entra ロールは、Microsoft Intune ポータルから Windows Autopatch 機能にアクセスできます。

カスタムの役割

特定のジョブ ロールに必要なアクセス許可を含む 2 つのカスタム ロールを作成できます。

すべての更新管理を実現するには、Autopatch カスタム ロールに割り当てられているグループも、 ポリシーおよびプロファイル マネージャー ロール のメンバーであるか、同等のアクセス許可を持つカスタム ロールであることを確認します。

[テナント管理]>[ロール]>[カスタム ロールの作成]>[Windows Autopatch] の順に移動して、カスタム ロールを作成します。

スコープ

Windows Autopatch では、配布された更新管理に使用する Intune スコープ タグと、スコープを指定されたグループがサポートされています。 Microsoft Intune を使用して、スコープ タグを作成および管理します。

• Windows Autopatch では、Autopatch グループ、Autopatch ロールの割り当て、更新ポリシー、レポートの Intune スコープがサポートされています。
• Autopatch メッセージ、サポート、管理連絡先は、スコープをサポートしていません。
• スコープを指定された管理者によって作成された Autopatch グループは、ユーザーと同じスコープ タグに割り当てられます。
• 同じスコープ タグが割り当てられているスコープ管理者のみが、Autopatch グループを編集および管理できます。
• Autopatch グループを作成し、スコープ タグを割り当てると、作成された更新ポリシーは同じスコープ タグを継承します。
• Autopatch グループに割り当てられたデバイスは、Autopatch グループ スコープ タグを継承しません。 Intune を使用して、スコープ タグをデバイスに割り当てます。

Autopatch グループのアクセス許可

Autopatch グループは、Microsoft Entra グループを作成し、ポリシーを更新し、そのワークフローの一部としてグループにポリシーを割り当てます。 ワークフローを正常に完了するには、両方のアクセス許可が必要です。 Autopatch グループを作成するオプションは、ユーザーが両方のアクセス許可を有効にしている場合にのみ使用できます。

1. デバイス構成、すべてのアクセス許可
2. Windows Autopatch グループ、すべてのアクセス許可

スコープを指定されたタグが割り当てられている Windows Autopatch グループは、それらの正確なスコープ タグを持つユーザーにのみ表示されます。 これにより、IT 管理者は Autopatch グループを使用してリングベースのロールアウトを管理でき、スコープの不一致の影響を受けないようにします。

ユーザーにスコープを指定されたグループが割り当てられている場合、展開リングへの配布用のスコープを指定されたグループのみを割り当てることができます。

スコープを指定された管理者と Autopatch グループ

スコープを指定された Intune 管理者、特定のスコープ タグとスコープを指定されたグループが割り当てられている管理者ユーザーのみが、スコープを指定されたグループにのみポリシーを割り当てることができます。

スコープを指定された管理者と Autopatch グループ ワークフロー

Autopatch グループ作成ワークフローの一環として、Windows Autopatch は、選択した展開設定の Microsoft Entra グループと更新ポリシーを作成します。 新しく作成された展開リングに更新ポリシーを割り当てるには、デバイス構成のアクセス許可を含むロールに、スコープを指定されたグループとして Autopatch グループを含める必要があります。

次の表では、全体的なワークフローの概要について説明します。

Autopatch グループにスコープ タグを割り当てる

1. Microsoft Intune 管理センターで、[テナント管理]>[Autopatch グループ]>の順に移動し、グループを選択します。 Autopatch グループのすべてのリングとポリシーのスコープは同じです。
2. [グループをリングに追加] のオプションで、Autopatch グループに割り当てる Microsoft Entra グループを選択します。 スコープ オブジェクトを持つグループのみを選択できます。
3. [プロパティ]>[スコープ (タグ)]>[編集]>[スコープ タグを選択]> の順に移動し、プロファイルに追加するタグを選択します。 オブジェクトには、最大 100 個のスコープ タグを割り当てることができます。
   1. ロールベースのアクセス制御の前に作成された Autopatch グループをサービスが検出すると、[スコープ グループ] セクションが表示されます。 これは、スコープ付きグループとして追加できる Microsoft Entra グループが作成されることを示しています。 スコープ管理者は、スコープに含まれている場合、この Autopatch グループを管理できます。
   2. スコープを指定されたグループを割り当てるには、「スコープを指定された管理者と Autopatch グループ ワークフロー」セクションの手順に従います。
4. [レビューと保存] を選択します。

既知の問題

Windows 365 Enterprise では、IT 管理者は、Windows 365 プロビジョニング ポリシーの作成の一環として、Windows Autopatch にデバイスを登録するオプションを提供します。 このアクションを完了するには、Intune サービス管理者である必要があります。

一般的なトラブルシューティング