オンプレミスの Active Directory から Microsoft Entra ID および Intune への移行が加速しており、 の Windows 10 サポート終了 により、大規模な Windows デバイス群を管理する組織にとって、この移行はさらに急務となっています。
Provisioning devices into the cloud is more than just installing Windows 11—it means joining devices to the right identity service, deploying the Tanium agent automatically, applying policies, and ensuring the device is fully managed before it ever reaches an end user. Tanium Provision is built to handle exactly this, and the integration with Entra ID and Intune introduces a set of configuration choices that every team planning a Windows 11 migration needs to understand.
ロブ氏は、Tanium Provision における Entra ID の登録について、2つの異なるアプローチを解説しています：
- Windows Configuration Designer を使用してプロビジョニング パッケージを生成する
- オートパイロットの設定ファイルの使用
各方法では、デバイスが Intune に表示されるタイミング、ビルド中に Tanium エージェントがインストールされるかどうか、およびプロビジョニングの終了時にカスタムスクリプトが実行されるかどうかという点で、異なる結果となります。 これらは些細な違いではありません。これらは、価値実現までの時間、運用上のオーバーヘッド、そして組織全体でのデバイス・ペルソナの取り扱い方に影響を及ぼします。
また、ロブ氏は、トークンの有効期限や.zipファイルの構造に関する要件、問題が発生した際の確認ポイントなど、設計上の判断を下す際に考慮すべき具体的なトレードオフについても解説しています。
If your team is evaluating how to modernize device provisioning as part of a Windows 11 rollout, this walkthrough gives you the technical detail you need to make an informed choice. 以下の動画で、デモの全編をご覧ください。
キーポイント
- Provisionは、デバイスのライフサイクル全体をカバーしています： Tanium Provisionは、オペレーティングシステムのインストールや、デバイスのActive DirectoryまたはEntra IDへの参加から、Taniumエージェントの自動展開、 BitLockerなどのポリシーの適用、さらにはデータ消去やデータ削除を含むデバイスの廃棄管理に至るまで、あらゆる処理を処理します。
- Entra ID への登録でサポートされている 2 つの方法： Tanium Provision では、Windows デバイスを Entra ID および Intune に登録するための 2 つの方法がサポートされています。1 つはプロビジョニング パッケージ (PPKG) を生成する Windows Configuration Designer (WCD)、もう 1 つは Autopilot 構成ファイルを使用する方法です。それぞれ動作やメリット・デメリットが異なります。
「オートパイロット方式では、Taniumクライアントはインストールされず、バンドルの一部として使用できるカスタムスクリプトも実行されません。」Taniumのドメイン・アーキテクト、ロブ・ブロホール氏
- WCDアプローチでは、初回ログイン前にデバイスが登録されます： Windows Configuration Designerによって作成されたPPKGには、最長6か月間有効な一括登録トークンが含まれています。ユーザーが初めてログインする前に、デバイスはすでにEntra IDおよびIntuneに登録されており、Taniumエージェントもインストール済みとなっています。
- オートパイロットへの登録は、初回ログイン時に実行されます： オートパイロット方式では、ユーザーが初回ログイン時に認証情報を入力するまで、そのデバイスはEntra IDやIntuneに存在しません； その後、Intune経由でTaniumクライアントを展開する必要があります：。また、ビルドの一環としてカスタムスクリプトは実行されません。
- トークン管理と有効期限なしの比較： WCDプロビジョニングパッケージは6か月後に有効期限が切れるため、再生成してバンドルに再アップロードする必要があります。一方、AutopilotのJSONファイルにはトークンや認証情報が含まれておらず、有効期限もありませんが、それでも責任を持って扱う必要があります。
「正直なところ、この点について顧客や見込み客と話し合ったところ、彼らはWindows Configuration Designerのアプローチを好む傾向にあります。というのも、エンドユーザーによるデバイスの登録に依存する必要がないため、実際には作業が簡素化されると見なされているからです。」 これにより、複雑さが一層増しますが、WCDトークンによってその複雑さが解消されます。”Taniumのドメイン・アーキテクト、ロブ・ブロホール氏
- 設計の選択はユースケースによって異なります： WCDアプローチは、仮想デバイスや、初回ログイン前にデバイスの登録と管理を完了させることが重要な小売店のPOS端末などのシナリオに適しています。一方、Autopilotアプローチは、インターネットベースの展開や、ユーザーの認証手順が許容される企業向けデバイスなどには、より適している可能性があります。
「タイム・トゥ・バリューを、プロセスの開始からエンドユーザーが実際に使用できるデバイスを手にするまでの期間という観点で考えるのであれば、おそらく、Configuration Designer トークン方式を採用すべきという非常に有力な根拠となるでしょう。」Taniumのドメイン・アーキテクト、ロブ・ブロホール氏
- よくある設定ミスのトラブルシューティング： 特に注意すべき主な問題としては、カスタムスクリプトをパッケージ化する際の.zipファイル構造の不備（Provisionでは、ファイルはサブフォルダ内ではなく.zipファイルのルートに配置されている必要があります）、Autopilot JSONをzip形式に圧縮せずに直接バンドルにアップロードしてしまうこと、およびTaniumクライアントのログディレクトリにあるProvision PEログを確認し、PPKGインポートエラーや終了コードがないか確認することが挙げられます。
その他の参考資料
- Tanium Connector for Microsoft Intune：Intuneで管理されているモバイルデバイスをTaniumに統合し、一元的な可視化と対応を実現します。
- Tanium Connector for Microsoft Entra ID：Taniumが提供するリアルタイムのエンドポイントインテリジェンスを活用し、ゼロトラスト条件付きアクセスを強化します。
- Tanium Provision を使用した Windows および Linux エンドポイントのイメージ作成と展開：組織が Tanium Provision を活用して、環境全体での OS 展開とエンドポイントのイメージ作成を自動化する方法についてご紹介します。
- TaniumとMicrosoft Intuneを連携させる方法（Tanium Tech Talks #145）：Taniumのプロダクトマネージャーであるティム・ミントナー氏が、Tanium Connector for Microsoft Intune を使用して、モバイルデバイスやその他の非クライアント型エンドポイントを、ネイティブなエンティティとしてTaniumコンソールに取り込む方法を実演しています。
