Intuneのスコープタグを利用してデバイスの表示を制限する方法

Intuneの機能の中にある「スコープタグ」というものをご存じでしょうか。

Intuneでデバイスやポリシーなどを管理していると、セキュリティの観点からIntune管理センターに表示する情報を制限したい、という事はないでしょうか。

例えば、「各支社のIntune管理者ユーザーには、各支社で管理しているデバイスと、各支社のIntune管理者自身が作成したポリシーだけを表示させたい」といった状況が出てくることもあるかと思います。

上記のような運用は、スコープタグを利用すれば可能になります。

今回は、スコープタグの概要や利用方法について説明していきたいと思います。

本章では、スコープタグの概要について記載します。

Intuneのスコープタグを利用する事で、タグに対して紐づけられた管理者ユーザーが表示可能なIntuneオブジェクトを限定することが可能です。

Intuneのスコープタグでは、決められたオブジェクトにしかタグが付与できません。

制御可能なオブジェクト（タグが付与できるオブジェクト）は以下のものになります。

下記のIntuneオブジェクトは、スコープタグを付与できる規則の対象外です。

Intuneのスコープタグは、Microsoft Entraロールには適用されません。そのため、Intune管理者とグローバル管理者ロールには、スコープタグに関係なく、Intuneへの完全な管理者アクセス権が付与されます。

また、Intuneのオブジェクトには最低でも1つのスコープタグが付与されている必要があります。今回のようにスコープタグを設定していない場合は既定のスコープタグが自動で設定され、これは削除できません。

本記事では、事前に以下のリソースを作成済みの想定で進めます。

今回は、下記のようなシナリオを想定して、実際の動作確認を行いました。

それぞれの拠点ごとの管理者を管理者Aと管理者Bで用意
スコープタグAを作成し、以下の要件を実現
- 管理者AはスコープタグAが付与されたデバイスを閲覧可能
- 管理者BはスコープタグAが付与された端末を閲覧できない

今回はIntuneでスコープタグで管理されているデバイスを閲覧するために、「拠点管理者A」と「拠点管理者B」にデバイス読み取り権限（Managed devices[Read]）のIntune管理者ロールを作成しました。

※ なお、本記事ではロールについての詳細は割愛します

今回は、スコープタグを使用して、各拠点の管理者が閲覧できるデバイスを制限する方法を紹介しました。

今回はデバイスの閲覧に限って紹介しましたが、スコープタグは構成プロファイルやIntuneから配信するアプリにも付与する事が出来ます。

スコープタグの運用が必要になった場合は、本記事を参考にしていただけますと幸いです。