Intune 5つの罠（ドキュメントからは読み取れないけど重要なところ）

# Intuneとは
[こちらをご覧ください](https://docs.microsoft.com/ja-jp/intune/what-is-intune)

## やりたかった事
* IntuneでBYOD windows10端末に Teamsアプリを自動インストール

## 少し考えた
* 自動インストールには BYOD windows10端末をMDMにする必要がある？
* WIPの設定さえしておけばMDM必要ない？

いや、とにかくやってみよう

# 次々と罠にハマる・・・
この罠、サポートに連絡したり、試行錯誤して時間をロスしたので同じ思いをする人を減らしたいので公開します。
**とはいえ、Intune系はアップデートが早い為、古い情報になるかも知れませんので自己責任で！**

## その１. MDMユーザスコープとMAMユーザスコープの意味と関係性
<img width="759" alt="スクリーンショット_2019-08-28_17_58_05.png" src="https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/164563/12a6452a-30d2-3ddd-48a9-66d2fb11a6a0.png">

ファイルにも記載したように、
* MDMユーザースコープ　→　Intuneを利用して、デバイスを管理する = MDM
* MAMユーザースコープ　→　Intuneを利用せず、会社データをWIPで保護 = MAM

という意味で、同一ユーザがデバイス毎に両者を使い分ける、ということは出来ない模様

ただし、MDMの場合も、「Intune利用して、会社データをWIPで保護」= MAM はできますので、MDMとMAMの共存は可能で、**デバイスをIntuneで管理(MDM)しながら、WIPで会社データも保護する(MAM)** ということはできます。

<https://teams.microsoft.com/l/message/19:d8e9ef7e7b004de586f6a55446421dea@thread.skype/1566889977651?tenantId=72f988bf-86f1-41af-91ab-2d7cd011db47&amp;groupId=026d1d6e-b166-43c2-9d13-b94765beb172&amp;parentMessageId=1566869379853&amp;teamName=PERSOL 様 Microsoft Teams 導入用&amp;channelName=EMS Deep Dive&amp;createdTime=1566889977651>

[ここを良く読めば書いてあるぞって話なんですが、設定画面にも書いとけやと思う今日この頃の俺だ by EXITカネチー](https://docs.microsoft.com/ja-jp/intune/windows-enroll#enable-windows-10-automatic-enrollment)
<img width="784" alt="スクリーンショット_2019-08-29_15_31_17.png" src="https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/164563/895c27d0-70e5-f5d5-ab85-437d14579215.png">


## その２. クライアントアプリにOffice 365 Pro Plus スイートを２個登録しても無効
クライアントアプリに、Teams用、OneDrive用という感じで２個登録して試したところ、挙動がおかしい・・・

<img width="1064" alt="スクリーンショット_2019-08-28_17_56_15.png" src="https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/164563/aa540ecc-5360-d9ef-2182-51817360caa5.png">

<img width="1083" alt="スクリーンショット_2019-08-29_15_22_54.png" src="https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/164563/18ef48a4-9077-0b6d-1f16-2ccdd4f3f67b.png">

画面上は複数登録できるUIだが、**Office 365 Pro Plus スイートは**1つしか有効じゃないので要注意！

## その３. Office365ProPlusスイートアプリのライセンスについて E1じゃダメよ問題
Teamsアプリだけを利用したいので、Office 365 Enterprise E1を契約して試したところ、挙動がおかしい・・・

<img width="798" alt="スクリーンショット_2019-08-29_14_58_46.png" src="https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/164563/a640d5f7-8290-e086-5b31-02dbc4febbdd.png">

ライセンス自体はE1にTeamsが含まれており、単独選択が可能にも関わらず、IntuneでOffice 365 Pro Plus スイート製品を自動インストールする際には、Office 365 Enterprise E3以上が必要になる。

これってバグじゃない？レベルで不親切

TeamsなどのE1製品の単独選択をした時に「E3からだよー」ってアラート出して欲しいし、そもそも[ドキュメント](https://docs.microsoft.com/ja-jp/intune/apps-add)に書いておいて欲しい！

## その４. WIP アプリ保護ポリシー アプリの追加の種類ってなんやねん
コンソールだけだと意味がわからんシリーズ第１段

<img width="1034" alt="スクリーンショット_2019-08-28_18_02_09.png" src="https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/164563/e389ffab-81a8-22d8-09a5-5281c3e494b9.png">

* 保存：msi
* デスクトップ：exe
* AppLocker：Office 365 Pro Plus スイート製品

なので、OneDriveに関しては　Office 365 Pro PlusのOneDriveを利用したいのであれば、AppLockerの `Office-365-ProPlus-1810-Allowed.xml` を選択する必要がある。
exe型で配布したい場合は、`Microsoft OneDrive`を選択する必要がある。

## その５. WIP アプリ保護ポリシー の管理の種類ってなんやねん
コンソールだけだと意味がわからんシリーズ第２段

<img width="1088" alt="スクリーンショット_2019-08-28_17_54_21.png" src="https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/164563/cb24439f-6eda-69ed-4e53-88b4afdfd9f2.png">

* 登録済み：MDMに登録済みの端末に適用されるポリシー MDM+WIPのパターン
* 未登録：MDMに未登録の端末に適用されるポリシー WIPオンリーのパターン

### MS製品はエンタープライズで利用するのにはメリットあるけど、ナレッジ少ないし、ドキュメント不親切だし、UIが悪いよね