テナント制限v2 + WDAC を Intune で配布する

# はじめに
2023 年 9 月頃に、AVD の検証をする傍ら、テナント制限v2 についての記事を公開していました。
当時は、ドメイン参加した VM に制限を掛ければ良かったので 設定を GPO で配布していたのですが、このたび Intune を使って構成してみたので、手順を紹介します。

当然ですが、Intune を使って配布するため、社外に持ち出した 物理のノート PC に対して テナント制限 を適用することができます。

:::note info
**（2023 年 9 月 に公開していた記事）**

**テナント制限v2 (GPO で配布)**
https://qiita.com/carol0226/items/f0d9bcb8adffb66d49f2
→　テナント制限の説明について、この記事に記載してます。参照ください。

**WDAC (コマンドで実行)**
https://qiita.com/carol0226/items/c06e7f84dfe851885f12
:::

# おさらい：テナント制限v2 + WDAC の動作イメージ
## Edge で 他テナントへのアクセス
Edge を使って、Office 365 へ 他社のテナントのアカウントでサインインを試みようとすると、テナント制限v2 が適用され、以下の画面のように ブロックされます。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/27b10a61-c503-b372-d5cc-66737401f95a.png)

## Office アプリで 他テナントへのアクセス
Office アプリでも 同様に、他社テナントにはアクセスできません。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/8ebb7d1e-27a6-f1a6-76f8-55f145877db9.png)

## Edge で 自テナントへのアクセス
Edge を使って、Office 365 へ 自社のテナントのアカウントでサインインを行うと、通常通りにサインインが可能です。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/a2de7a35-4554-3c39-4ef7-7cd1e648d5fd.png)

## 他社製アプリ（Chrome 等）の場合
以下のように、Chrome（Edge 以外のブラウザ）から Office 365 などの "組織アカウントでサインインを行う画面" へ遷移すると、WDAC によってブロックされます。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/ed4aca3e-a0dd-7d58-e40b-f8b30ce53b53.png)

:::note info
Chrome 以外にも、Firefox や、.NET で開発されたアプリケーションも WDAC でブロックされます。
:::

:::note alert
テナント制限v2 は、Microsoft 製のアプリケーションでしか機能しません。
もし、WDAC を導入せず、テナント制限v2 だけを採用した場合は、Chrome から Office 365 へのサインインが許可されてしまいます。Chrome に対しては、テナント制限v2 が効かないため、Chrome 経由で 他社テナントへのアクセスが出来てしまい、セキュリティホール になります。
:::

# テナント制限v2 の前提条件
- Microsoft Entra ID P1 以上のライセンス（旧名称：Azure AD Premium P1）
- グローバル管理者またはセキュリティ管理者のロールを持つアカウント
- Windows 10 / 11 に、最新の更新プログラムの適用

（参考：前提条件）
https://learn.microsoft.com/ja-jp/azure/active-directory/external-identities/tenant-restrictions-v2#prerequisites

# 構成手順
## 1. WDAC ポリシーの構成手順
1．以下の記事を参照し「1. ポリシーファイル (.csp) の作成」の章のみ の作業を実施して、.csp ファイルを作成します。

https://qiita.com/carol0226/items/c06e7f84dfe851885f12

2．作成した .csp ファイルの拡張子を .bin に改名します。<br>

ファイルの内容はそのままで OK なのですが、Intune ポータルでは、.bin 形式のみアップロード可能なため、ここで改名しておきます。

## 2. テナント制限v2 の構成手順
この章の手順を行う事で、該当のテナントにおいて テナント制限 が有効化されます。

0. Microsoft Entra ID の設定ページで「External Identities」を選ぶ
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/1377e6b2-55b7-7c3b-177e-fca5804d9400.png)
　<br>
0. 「テナント間アクセス設定」を選び「既定の設定」を選ぶ
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/b7d9b177-3d65-43c2-fb67-90c4d68ac784.png)
　<br>
0. 下へスクロールさせ、「テナント制限の既定値を編集する」をクリック
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/b7d057b9-978d-cecc-41f7-d45834d255b3.png)
　<br>
0. 「外部のユーザーとグループ」を選択して、「アクセスのブロック」と「外部のすべてのユーザーとグループ」を選択します。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/1a007bdf-bbab-80de-abbc-5580c71c3f7e.png)
　<br>
0. 「外部アプリケーション」を選択して、「アクセスのブロック」と「すべての外部アプリケーション」を選択して、「保存」ボタンを押します。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/636f6d27-99fb-0fd8-a352-eb779e586226.png)

以上の設定で、テナント側の設定は完了です。

（参考：ステップ 1: 既定のテナント制限 V2 を構成する）
https://learn.microsoft.com/ja-jp/azure/active-directory/external-identities/tenant-restrictions-v2#step-1-configure-default-tenant-restrictions-v2

## 3. Intune を使って PC へ設定を配布する
### 3-1. WDAC ポリシーの配布
0. Intune 管理センターへサインインし、左ペインの **デバイス** から **構成** を選び、**＋新しいポリシー** を選択します。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/a6d4a03a-3db0-8bea-9a24-03880bc6ea8a.png)
　<br>
0. プロファイルの作成画面で、下図の選択肢を選んで **作成** を押します。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/8860d58c-9cc7-df18-2462-05da03bfa77e.png)
　<br>
0. **基本** タブでは、任意の名前を設定して **次へ** を押します。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/8cf469b4-cf0d-4be5-498d-c1ed718f096e.png)
　<br>
0. **構成設定** タブでは、**追加** ボタンを押します。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/7f5a140e-b0d6-38b8-71e3-a64a365ccdcc.png)
　<br>
0. **OMA-URI の設定** 画面では、任意の名称を設定し、**OMA-URI** 欄には、以下の文字列を準備してから、貼り付けます。データ型は、Base64 を選択します。
~~~
./Vendor/MSFT/ApplicationControl/Policies/{Policy GUID}/Policy
~~~

:::note info
**例**
{Policy GUID} の箇所を「1. WDAC ポリシーの構成手順」の章で取得し改名した .bin ファイルのファイル名の部分を { } 中カッコ を省いて文字列を生成してください。
**（ポリシーファイル名）**
　{e6fc18f0-1a84-4c18-8de1-f6fbe455e6b4}.bin
**（生成した文字列）** → この文字列を OMA-URI 欄へ貼り付ける
　./Vendor/MSFT/ApplicationControl/Policies/e6fc18f0-1a84-4c18-8de1-f6fbe455e6b4/Policy
:::

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/15f1194e-f5fd-4da7-9fc1-3004d7627c34.png)

6．以下のファイル選択ウィンドウが表示されるため、赤枠部分を押します。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/b1d3c5d6-d605-d184-7382-12421b397843.png)

7．ファイル選択ダイアログで、WDAC ポリシー (.bin) を選択します。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/8079ccb0-536e-0df3-f1fb-91494bff0ffb.png)

8．以下のような表示になるため **保存** を押します。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/0899b772-43eb-4db6-b4a1-9ffbaf9b4dac.png)

9．以下の通知が表示されれば OK です。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/2e8084da-b64a-9d77-a385-7b0562385146.png)

10．一覧に 以下のように表示されたことを確認して **次へ** を押します。
　　特に、黄色枠 の箇所が Policy ID になっている必要がありますので、確認します。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/1d9f31bd-1350-315c-5452-5ce86e67aa4d.png)

11．**割り当て** タブでは、ポリシーを割り当てるデバイスを選択して **次へ** を押します。
下図の例では、"すべてのデバイス" を選択しています。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/bbbe2a42-77fb-ec34-c625-bfd18540419d.png)

12．**適用性ルール** タブでは、特に変更せず **次へ** を押します。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/883124b6-8867-ff88-e1cb-f2a2c5c62202.png)

13．**確認および作成** タブでは、値を確認して **作成** ボタンを押します。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/4d4e8b2b-9221-630d-1490-18acbba8547e.png)

14．以下の通知が表示されれば OK です。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/71c39d3f-b44c-4a11-1a7b-3b9acbf8d3c5.png)

15．作成された 構成ポリシーは、以下のように表示されます。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/61374e67-2fb4-f11b-0325-7cc64d2945d3.png)

**公開情報**

https://learn.microsoft.com/ja-jp/windows/security/application-security/application-control/windows-defender-application-control/deployment/deploy-wdac-policies-using-intune

## 3-2. テナント制限v2 有効化 を配布する
0. Intune 管理センターへサインインし、左ペインの **デバイス** から **構成** を選び、**＋新しいポリシー** を選択します。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/a6d4a03a-3db0-8bea-9a24-03880bc6ea8a.png)
　<br>
0. プロファイルの作成画面で、下図の選択肢を選んで **作成** を押します。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/96684f3b-a71b-a510-4d0c-02e844e27c78.png)
　<br>
0. **基本** タブでは、任意の名前を設定して **次へ** を押します。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/c9c39f78-ff47-9b08-401e-1a1bd786a4bc.png)
　<br>
0. **構成設定** タブでは、**＋設定の追加** を押します。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/4a5865bb-74f8-fcdd-2dbb-80bc6196daac.png)
　<br>
0. **設定ピッカー** で、"tenant" で検索し、**管理用テンプレート￥Windows コンポーネント￥テナントの制限** を選択し、**Cloud Policy Details** にチェックを入れます。設定ピッカーの画面は、✖ で閉じて構いません。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/c3288672-395b-146b-8261-c8b7e3ae7d23.png)
　<br>
0. **Cloud Policy Details** の赤枠部分を押し、**Enabled** に変更します。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/845b7c55-7a44-f029-955a-3cdb15e48232.png)
　<br>
0. 以下の画面が開くため、緑枠、赤枠、青枠 の３か所の設定を行い **次へ** を押します。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/9b9fd366-9092-483b-d308-ed517cf427de.png)

:::note warn
赤枠の **Enable firewall protection of Microsoft endpoints** を **True** にします。
実は、この赤枠の設定で WDAC を有効化しています。

この設定を有効にして WDAC ポリシーを配らなかった場合、Edge も含めて 全アプリが ブロックされます。

WDAC ポリシーを配布しない場合は、赤枠 の設定を False にすることで、WDAC を無効化しつつ テナント制限v2 を有効化できます。
:::

:::note info
**Azure AD Directory ID**（緑枠）と、**Policy GUID**（青枠）は、以下の画面の場所から転記してください。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/c95c5e7b-7aae-b661-d136-316d5fbcc0db.png)
:::

8．**スコープ**　タブでは、特に変更せず **次へ**　を押します。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/54b7a6ca-810f-0188-de37-3181cd04a8c5.png)

9．**割り当て** タブでは、ポリシーを割り当てるデバイスを選択して **次へ** を押します。
下図の例では、"すべてのデバイス" を選択しています。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/1168cdfd-337c-b6e0-b8ac-3cf674e317a6.png)

10．**確認および作成** タブでは、値を確認して **作成** ボタンを押します。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/95892899-c67c-b151-9cf2-b55826595fa6.png)

11．以下の通知が表示されれば OK です。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/a0ac695c-4d61-c65c-8379-8d4261001477.png)

12．作成された 構成ポリシーは、以下のように表示されます。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/a5f00d21-b0f4-c4d2-7764-24af8633f405.png)

# 動作確認
## ポリシーの適用
ポリシーが適用された Intune デバイスは、以下のように **TenantRestrictions** が表示されます。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/571733c1-32f9-ec27-94bd-62996752a502.png)

## 画面遷移
画面遷移は、冒頭の「おさらい」で説明した通りになります。
Chrome / Edge（他社）/ Edge（自社）のケースを確認し、想定通りの動作になっているかどうかを確認します。

**おさらい**
https://qiita.com/carol0226/items/8a5f11acd6282705b6fe#おさらいテナント制限v2--wdac-の動作イメージ

# まとめ
以上の構成で、Intune に参加したデバイスからは、自社テナントの情報資産のみにアクセスすることができ、他社テナントにはアクセスができなくなります。

テナント制限v2 だけでは、Chrome などがセキュリティホールになるので、必ず WDAC と組み合わせて利用する必要があることを、ご理解いただけたかと思います。



# 参考

https://qiita.com/carol0226/items/3bcf4e2014c422679733

https://qiita.com/carol0226/items/a5d11103506cee9e00fb

https://jpazureid.github.io/blog/azure-active-directory/how-tenant-restrictions-v2-can-be-used-to-prevent-data/