IntuneでWin10シンクライアント端末を作る

お世話になります。

Microsoft365/AzureのサブセットであるIntuneが進化を続けているということでテストしてみました。

ゴール：
1. シングルアプリ起動のシンクライアント端末（キオスク）を作る
2. マルチアプリ起動の　　　　　〃
3. AzureADとの連携検証、コンフィグ変更検証


環境：
Win10 Enteprise SA 64bit（Hyper-V仮想マシン）


試用ライセンス：
Azure Active Directory Premium P1
Intune
Intune Device License


その他：
DEM（デバイス登録マネージャ）
Autopilot


=============================================

まず、MS365でIntuneのライセンスを試用登録します。
Intune Deviceライセンスというのは今回初めて試すのでよくわかっていない状態ですが、一応申し込みをしておきます。

![2021-06-26 20_10_50-スタート.jpg](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/790864/654e7e85-29ce-a707-138b-38da1284dc91.jpeg)

![2021-06-26 20_12_29-スタート.jpg](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/790864/a428cdc3-0b1e-57d5-84ef-15e0905ab160.jpeg)

![2021-06-26 20_13_08-スタート.jpg](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/790864/08659754-febf-ae00-c2c8-f908fd0c0739.jpeg)

![2021-06-26 20_13_44-スタート.jpg](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/790864/421070cb-bdb8-7165-245c-838b02aefa8d.jpeg)

![2021-06-26 20_29_41-スタート.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/790864/14256f48-cab2-ba1e-9b26-d9690e2ac795.png)

![2021-06-26 20_31_54-スタート.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/790864/a979eab7-e092-62a5-8981-f0fb65ccda6c.png)


次に、DEM(Device Enrollment Manager）というユーザを作成します。
これはMS365テナントでひとつ代表アカウントとして作るのがいいでしょう。
（例：demadmin@yourtenants.onmicrosoft.com）


![2021-06-26 20_24_52-スタート.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/790864/83628691-f573-35b8-fe2a-5619fe28af40.png)


![2021-06-26 20_53_46-スタート.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/790864/2c7653a5-3ae7-1276-1e49-1e5a9df68dcc.png)

続いて、Win10の仮想マシンをHyperVでデプロイします。
ドメイン未参加で、ローカルアカウントのみの状態です。

![2021-06-26 21_42_07-スタート.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/790864/e8dc7506-bdd1-892c-ccd5-29fa86126323.png)

今回、OSを初期化しつつAutopilotでAAD参加と、キオスク構成のロードを同時に行いたいと思います。まずはPowershellでデバイスのシリアル番号をCSVに出力します。

こちらのサイトを参考にさせて頂きました。
https://www.ether-zone.com/device-reset-autopilot/

```
md c:\HWID
Set-Location c:\HWID
Set-ExecutionPolicy -Scope Process -ExecutionPolicy Unrestricted -Force
Install-Script -Name Get-WindowsAutopilotInfo -Force
$env:Path += ";C:\Program Files\WindowsPowerShell\Scripts"
Get-WindowsAutopilotInfo.ps1 -OutputFile AutopilotHWID.csv
```

![2021-06-26 21_43_23-スタート.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/790864/542d4d51-f4d2-fc35-f7b0-3e1471df117a.png)

このようなCSVが出力されます。仮想マシンからIntuneを操作するメインPCに移動しておきます。

![2021-06-26 21_45_12-スタート.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/790864/c1d815f8-b750-ba56-e08a-39026104220f.png)

以下の手順で、仮想マシンを初期状態に戻します。

![2021-06-26 21_46_18-スタート.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/790864/d17439aa-233b-49c9-09ec-69befd0ebe2a.png)

![2021-06-26 21_46_45-スタート.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/790864/0050d4f4-cfb3-e3ce-648f-ffb4b9e845cc.png)

![2021-06-26 21_47_14-スタート.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/790864/9755b116-f218-8869-6a4d-e63d5c92537d.png)

![2021-06-26 21_52_50-スタート.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/790864/bd030748-3c33-6b9d-9a73-1864a71c92e1.png)

やり直せるようにチェックポイントを作成しておきます。

![2021-06-26 21_51_09-Greenshot.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/790864/de12b1ee-c08c-4fd3-f87d-a339fc0f08a8.png)

![2021-06-26 21_52_15-スタート.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/790864/a857b2f1-608b-aeec-5092-9d058cc664c3.png)

初期化には15分ほどかかるため、Intuneの画面に戻ります。

![2021-06-26 21_54_28-スタート.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/790864/99e61576-c980-be79-fe88-8eefee30d31c.png)

AutoPilotデバイスの登録をします。先ほどのCSVをアップロードします。

![2021-06-26 21_55_11-スタート.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/790864/166b7d83-8729-8850-64b4-f8e5fbebe571.png)

![2021-06-26 21_55_42-スタート.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/790864/9e9e0c2f-bf4c-ddda-455b-263470054a19.png)

![2021-06-26 21_56_38-スタート.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/790864/f32fee9b-1a54-8e6e-7027-061208481761.png)

続いてAutopilot用のグループを作ります。各デバイスはここに事前登録しておくことで、Autopilotによるゼロタッチ/ライトタッチプロビジョニングができるようになります。

![2021-06-26 21_57_22-スタート.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/790864/82db2e5b-6f7d-64a8-152b-d477aad77580.png)

![2021-06-26 22_01_05-スタート.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/790864/3396ce03-d8ff-cd30-d42a-dcf9cfc28fc1.png)

登録したマシンに名前を付けておきます。後からいつでも変更できます。

![2021-06-26 21_59_16-スタート.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/790864/60fd4568-6c7e-4f30-ee37-250bdaf3a2e1.png)

続いてAutopilotプロファイルを作成します。

![2021-06-26 22_03_42-スタート.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/790864/86699b9c-b20d-7757-46da-92951f74cbe4.png)

![2021-06-26 22_04_49-スタート.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/790864/026aac1a-3b18-68ac-90f5-4f07a7fd18b0.png)

プロファイルのパラメータを指定します。
配置モード：「ユーザドリブン」にしましたが、「自動展開（プレビュー）」でもできるかもしれません。今回はIT管理者（DEMユーザ）が大量のPCをキッティングする想定なので、ユーザドリブンを選択しました。

![2021-06-26 22_08_06-スタート.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/790864/6716fff3-5ba4-a5ff-0dd3-48d76faf6cd5.png)

グループ等を割り当てて完了します。

![2021-06-26 22_09_39-スタート.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/790864/adf57fe0-26bd-1b1c-3432-18d38f9202b2.png)

次に、シンクライアント用の管理テンプレート（キオスク）を適用します。「Autopilotプロファイル」とは別の、「Intune 構成プロファイル」という扱いです。

![2021-06-26 23_04_21-スタート.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/790864/7984818d-4196-6b80-aef0-6d8f5b042806.png)

![2021-06-26 23_05_20-スタート.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/790864/16f6d6f3-a59d-1e90-99f1-f5b8b25a0277.png)

![2021-06-26 23_05_36-スタート.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/790864/199584f0-eced-bacd-0ee0-1bb1b73b6de5.png)

次のように設定します。ブラウザが自動的に立ち上がり、Yahooを表示するという想定です。

![2021-06-26 23_07_17-スタート.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/790864/221d4bce-4f30-5ad3-b845-13b39394f755.png)

Autopilotグループに適用します。

![2021-06-26 23_08_12-スタート.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/790864/17c11687-5207-8f58-c54f-e4623c934382.png)


仮想マシンに戻り、OSが初期化されるまで待ちます。

![2021-06-26 22_20_32-スタート.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/790864/f80a630c-bfbd-c25f-863d-0dc10b050402.png)

再起動されたあと、一般的なOOBE展開の質問（IMEや言語の選択）が一切出ずに、DEMユーザのパスワードが効かれます。こうなれば成功です。

![2021-06-26 23_45_57-スタート.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/790864/af2237e2-3199-7fac-0810-001ffb0157f2.png)

あとは自動的に展開されていきます。ゼロ（ライト）タッチプロビジョニングですね。

![2021-06-26 23_48_04-スタート.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/790864/bde438c2-36d0-2cf2-1b84-4137a7cc6187.png)

Yahooの画面が表示されました。一般的なブラウザと違うのは、右上に「セッションを終了する」というボタンがある点です。
これを押すと、即座にCookieやセッションが初期化され、Yahooがリロードされます。
図書館やホテルなどのキオスクPC端末を想定した作りになっています。

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/790864/94da12a8-cf08-2430-dc28-2e89bb217ca3.png)

![2021-06-26 23_51_22-スタート.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/790864/c5cbba9a-cf47-65cf-56a4-1815733f481d.png)

あとはAzureADユーザーでログインしたらEdge IDに自動ログインし、業務システムWebサイトにSSOログインなどできれば、ユーザーは端末にログインするだけですぐに業務が開始できるようになり、シンクライアント端末として完成に近づくかと思います。

その場合はユーザー1人あたりにIntuneライセンスが必要になります。（Deviceライセンスは文字通り「ゼロクライアント」運用となり、AADユーザーでの利用を想定していないと思われます）
以下のサイトを参考にさせて頂きました。
https://zenn.dev/thdy/articles/010beeb20a96fb195174

デバイスライセンスは少し安い分、AADでの端末認証とSSO連携はできない、と考えるのがよさそうです。（＝ログイン後のブラウザやアプリでのID認証となる）。詳細なログ監査を取る目的などがなければ、運用もそちらのほうがシンプルかもしれません。

なおいずれの場合でもエクスプローラや設定画面が開けませんし、情報が端末に残ることはありませんので、シンクライアントのように使えます。

===========================================

続いてマルチアプリの端末プロファイルを作成してみます。

```
get-StartApps
```

コマンドを使って、RDPクライアント・Edge・クイックアシスト・SnippingtoolのAUMIDを取得します。
以下のサイトを参考にさせて頂きました。
https://techblog.zozo.com/entry/wvd-multiappkiosk#%E3%83%9E%E3%83%AB%E3%83%81%E3%82%A2%E3%83%97%E3%83%AA%E3%82%AD%E3%82%AA%E3%82%B9%E3%82%AF%E7%AB%AF%E6%9C%AB%E3%81%B8%E3%81%AE%E7%A7%BB%E8%A1%8C

![2021-06-27 00_44_20-スタート.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/790864/73ef5d5f-6c87-9405-47d3-857243a8b367.png)


![2021-06-27 00_26_43-スタート.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/790864/ab215529-2c96-5f6d-88f4-8cfaa15d23da.png)

シングルアプリの時と同様に、プロファイルを作成していきます。

![2021-06-27 00_43_29-スタート.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/790864/1614eac8-23c0-75e4-d652-4907d3d32850.png)


![2021-06-27 00_45_50-スタート.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/790864/ac16a90d-bd06-9ecd-99ed-150adfbe088c.png)

![2021-06-27 00_59_15-スタート.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/790864/c753ca37-2f32-e666-2ca9-73bcd733090c.png)

![2021-06-27 01_00_52-スタート.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/790864/23f7420c-d40c-5418-274a-f8e02daea5be.png)

![2021-06-27 01_02_25-スタート.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/790864/777b7665-0a2b-190a-8738-ebe9f28ce06b.png)

４つのアプリを登録した状態です。

![2021-06-27 01_03_35-スタート.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/790864/d7a579ba-2362-5876-a30c-4ff4bcf25cdc.png)

タスクバーを表示したり、ダウンロードフォルダにファイルを一時保存を許可できたりするようです。

![2021-06-27 01_04_55-スタート.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/790864/8610b0fa-eb64-6322-7423-dfed95de29d5.png)

先ほどと同様に、Autopilotグループを紐づけます。

![2021-06-27 01_05_18-スタート.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/790864/11634325-2309-2a6f-2224-f67c99f30b34.png)

Intuneデバイスから、即時同期をします。同期ボタンを押して何回か再起動をしていると適用されますが、最大30分ほどのタイムラグを想定して下さい。今回、ためしにリモート再起動を行ってみました。

![2021-06-27 01_17_29-メモ帳 のジャンプ リスト.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/790864/df9ae6b9-799b-9df5-732d-e5a76756d084.png)



![2021-06-27 01_20_14-スタート.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/790864/81cdf3d2-700b-f912-124c-432e0232ad19.png)

再起動すると、登録した４つのアプリが表示されています。

![2021-06-27 02_29_09-スタート.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/790864/f2463938-7125-0538-7a9b-6dc3225a56cc.png)

RDPアプリも使えるので、VDI接続用のシンクライアントとして問題なさそうです。マルチモニタにした場合は、位置調整のためおそらく「設定」アプリをメニューに登録する必要があるでしょう。その検証はまた別の機会に行いたいと思います

![2021-06-27 01_31_10-スタート.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/790864/d3ece75b-4210-2bf5-bc64-b01b895257db.png)

Alt + Tabキーでアプリの切り替え（同時表示）もできるため、WebサイトをキャプチャしてRDP先のVDI仮想端末にペーストする、といったことも一応できそうです。ただしマルチアプリを増やすほど管理は大変になり、ユーザートラブルの元になりうる点はご留意下さい。

![2021-06-27 02_31_01-スタート.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/790864/5cb4c2ba-4d4e-7090-c192-4f165eef8cdd.png)

最後に、AzureADをIDPにするメリットとしては、二段階認証が簡単に設定できる点が挙げられます。SMSやアプリによるQRスキャン認証などがユーザーごとに設定できます。

![2021-06-27 12_26_41-スタート.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/790864/344cc9bb-685f-75f3-93c7-16b10fbb3b33.png)

![2021-06-27 12_13_54-スタート.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/790864/f6f1780f-6ec6-a300-0fc8-ecf5420773e9.png)

![2021-06-27 12_14_37-Greenshot.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/790864/5476be94-1efc-24c3-d48f-0d4fe3f28983.png)

試しにAADのライセンスを外すと、端末にログインできずに弾かれることも確認いたしました。

![2021-06-27 12_24_12-スタート.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/790864/68ad7d4e-73ae-6768-18c5-86b8398f7e46.png)

![2021-06-27 12_22_59-スタート.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/790864/aa5ecc26-f1fb-89ca-e8de-7564e4b1e848.png)

![2021-06-27 12_22_37-スタート.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/790864/2ac7cf0e-fc3a-3234-b212-1bfbe4cb03ad.png)

テレワーク用のシンクライアントなどの目的に、Intune + AAD認証でセキュアな端末が構築ができることがわかりました。