情シスSlack4周年・BTAJP1周年記念イベント #BTAJP #BTCONJP のLTに登壇しました。
ちょっとわかるWindows Autopilot澤田 翔@ZUNDA株式会社12023/3/27情シスSlack4周年・BTAJP1周年記念イベント LT#3
View Slide
会社概要2会社名 ZUNDA株式会社役員共同創業者 代表取締役 澤田 翔共同創業者 取締役 藤井 大地メンバー 20名 (業務委託を含む)設立 2020年1月資本金 2,000,000円所在地 東京都渋谷区渋谷2-6-11 花門ビル3F主要事業● 業務IT環境の構築・運用代行● 各種クラウドサービス・IT機器の販売主要取引先Google Japan、日本マイクロソフト株式会社、Jamf Japan合同会社、ダイワボウ情報システム株式会社 他主要顧客株式会社一休、株式会社ヌーラボ、株式会社HOKUTO、株式会社One Team、その他、東証一部上場企業 他
3
主要事業の紹介デジタルワークプレイスコンサルティングSaaS 販売導入・運用支援ICT機器販売・MDM (遠隔管理)会社や事業のおかれている課題や要求事項にあわせ、SaaSとクラウドを活用した生産性の高い「デジタルワークプレイス」を提案します。✔ コンサルティングサービス✔ セキュリティ診断、リスク評価✔ ゼロトラスト "ID Solutions for DN"グループウェアとセキュリティサービスを中心に、選定からライセンスの販売、導入や移行のサポート、日々の運用までワンストップで対応します。✔ Google Workspace✔ Microsoft 365✔ Keeper などクラウドサービスを安全・快適に利用できるよう、紛失対策や端末認証などのセキュリティを強化した最新のPCやスマートフォンをご用意いたします。✔ PC (Windows, Mac)✔ スマートフォン、タブレット✔ MDM (遠隔管理) の設定と運用主に50〜300人規模の組織における「情シス」部門のニーズにワンストップでお応えします
取扱製品一覧コンサルティングから導入支援、導入後のマネージドサービスまでを高い技術力で支援します。セキュリティ・ITガバナンスグループウェア導入・運用(支援)MDMと連携した端末の販売・キッティングパソコン● ゼロトラストを取り入れた多層的なセキュリティを構築し、モダンな組織が必要とするITガバナンスの向上に寄与します。● マネージドサービスとして構築と運用を代行。運用担当者の確保が難しい中小企業においても安全で生産性の高いセキュリティ環境を実現できます。Google Workspace, Microsoft 365 をコアにした業務環境の導入、定着から運用改善まで継続的にサポートします● 業務効率や操作性の改善● 管理工数の削減、業務環境の品質向上● 監査対応、セキュリティリスクの低減その他コーポレートITの日常業務から調達まで幅広くサポートします● Windows Autopilot, ADE,Android Enterprise Zero-touchに対応した端末を販売● PCの購入から初期設定の自動化までワンストップで対応スマートフォン
Windows Autopilot とは6
セルフサービス (管理者の介在なし) で業務PCを使いはじめられる技術🏭 工場出荷時のイメージを利用🚚 PCを利用者 (従業員) に直送できる♻ スムーズな再割当 (入退社、修理交換)7Windows Autopilotとは
キッティング① 何もしない8 すべてのセットアップを利用者に任せる🏷 管理者はラベルを貼るだけ「手順書通りにやってください」というセットアップ手順。今でもよく見られます。
キッティング② 管理者によるセットアップ9 管理者があらかじめ設定する🌀 入社が集中すると大忙し！🛠 セットアップ後の設定変更が難しい管理者がユーザーのアカウントを作成してパスワードも設定。セキュリティ上もちょっと不安……。
キッティング③ イメージング10💿 コマーシャル版 Windows を利用してマスターイメージを作成して書き込み🚄 大量のデバイスを一度に設定できる(マルチキャスト通信)⚙ イメージの作成が難しく、更新頻度が下がってしまう大規模な会社では一般的PCごとにイメージを作成・管理するのでできるだけ同一の機種で統一したい
キッティング④ MDMでの設定11💼 「職場または学校用に設定する」🌎 インターネット接続があればOK📦 アプリケーションの配布は従業員ごとに可能Intune + Azure Active Directoryの「モダンな構成」といえばコレ
Windows キッティングシナリオ12イメージ 管理者の作業 ユーザーの作業 評価何もしない 🏭OEMイメージ 🏷ラベル貼付🔑ローカルユーザー作成📦アプリのインストール🆙Windows Update✅ 利用者のニーズにあった環境✅ セットアップ時点で最新✅ 管理者の手間は少ない❌ 品質のバラツキが大きい❌ 統制がとれない管理者セットアップ 🏭OEMイメージ🏷ラベル貼付🔑ドメイン/AAD参加管理ユーザでログイン📦アプリのインストール🛠環境設定🆙Windows Updateネットワークユーザーでログイン✅ 利用者の手間は少ない✅ セットアップ時点で最新✅ 一定の品質を担保し、統制がとれる❌ 管理者がとにかく大変❌ ユーザーごとの要望に応えるのが大変❌ 利用開始後の設定変更が難しいイメージング💿コマーシャルイメージ⚙ドライバの追加🛠環境設定📦アプリのインストール🏷ラベル貼付🔑ドメイン/AAD参加管理ユーザでログイン🆙Windows Updateネットワークユーザーでログイン✅ 利用者、管理者ともに手間が少ない✅ 一定の品質を担保し、統制がとれる❌ イメージが陳腐化しやすい❌ ユーザーごとの要望に応えられない❌ 利用開始後の設定変更が難しいMDMを利用(Intuneなど)🏭OEMイメージ 🏷ラベル貼付🔑ドメイン/AAD参加ネットワークユーザーでログイン(以下はMDMが実施)🛠環境設定📦アプリのインストール🆙Windows Update✅ 利用者、管理者ともに手間が少ない✅ セットアップおよび継続的に最新化✅ 一定の品質を担保し、統制がとれる❌ 初回セットアップの自動処理に時間がかかる❌ 実は野良PCでもAADに参加できちゃう
Windows キッティングシナリオ13イメージ 管理者の作業 ユーザーの作業 評価何もしない 🏭OEMイメージ 🏷ラベル貼付🔑ローカルユーザー作成📦アプリのインストール🆙Windows Update✅ 利用者のニーズにあった環境✅ セットアップ時点で最新✅ 管理者の手間は少ない❌ 品質のバラツキが大きい❌ 統制がとれない管理者セットアップ 🏭OEMイメージ🏷ラベル貼付🔑ドメイン/AAD参加管理ユーザでログイン📦アプリのインストール🛠環境設定🆙Windows Updateネットワークユーザーでログイン✅ 利用者の手間は少ない✅ セットアップ時点で最新✅ 一定の品質を担保し、統制がとれる❌ 管理者がとにかく大変❌ ユーザーごとの要望に応えるのが大変❌ 利用開始後の設定変更が難しいイメージング💿コマーシャルイメージ⚙ドライバの追加🛠環境設定📦アプリのインストール🏷ラベル貼付🔑ドメイン/AAD参加管理ユーザでログイン🆙Windows Updateネットワークユーザーでログイン✅ 利用者、管理者ともに手間が少ない✅ 一定の品質を担保し、統制がとれる❌ イメージが陳腐化しやすい❌ ユーザーごとの要望に応えられない❌ 利用開始後の設定変更が難しいMDMを利用(Intuneなど)🏭OEMイメージ 🏷ラベル貼付🔑ドメイン/AAD参加ネットワークユーザーでログイン(以下はMDMが実施)🛠環境設定📦アプリのインストール🆙Windows Update✅ 利用者、管理者ともに手間が少ない✅ セットアップおよび継続的に最新化✅ 一定の品質を担保し、統制がとれる❌ 初回セットアップの自動処理に時間がかかる❌ 実は野良PCでもAADに参加できちゃう管理者主導セルフサービス
セルフサービスのススメ14管理者主導のセットアップ セルフサービス🏭 同じ仕様のデバイスを大量に構成する🚚 セットアップは出荷時のみ→ 全ユーザーが同じ構成を利用するので柔軟性が低く、無駄が多い (Officeは全員使う？) ユーザーにあわせて展開📦 「管理者が許容する範囲で」事後的に構成できる→ 従業員が必要なサービスを必要なときに構成でき、無駄なくあたらしいサービスを展開可能
MDMの課題を解決する Windows Autopilot15イメージ 管理者の作業 ユーザーの作業 評価MDMを利用(Intuneなど)🏭OEMイメージ 🏷ラベル貼付🔑ドメイン/AAD参加ネットワークユーザーでログイン(以下はMDMが実施)🛠環境設定📦アプリのインストール🆙Windows Update✅ 利用者、管理者ともに手間が少ない✅ セットアップおよび継続的に最新化✅ 一定の品質を担保し、統制がとれる❌ 初回セットアップの自動処理に時間がかかる❌ 実は野良PCでもAADに参加できちゃうIntune +WindowsAutopilot🏭OEMイメージ💿シンプルイメージ🏷ラベル貼付🛠デバイス名、グループ設定(以下はMDMが実施)🔑ドメイン/AAD参加🛠環境設定📦アプリのインストールネットワークユーザーでログイン(以下はMDMが実施)🆙Windows Update✅ 利用者、管理者ともに手間が少ない✅ セットアップおよび継続的に最新化✅ 一定の品質を担保し、統制がとれる✅ ユーザーにAAD登録権限を付与しなくてOK✅ 自動処理の一部を事前に行えるため、引き渡してからのリードタイムを短縮できる❌ Windows Autopilot に対応したPCを手に入れなくてはいけない💡 Windows Autopilot で、セルフサービスから「初期設定」と「セキュリティ」を適切に分担できるようになる
Autopilotの特徴① デバイス情報の事前設定16Intuneからセットアップ前のPCの ユーザー割り当て🏷 コンピュータ名設定🛠 グループタグの割り当てが可能。
Autopilotの特徴② 事前プロビジョニング17一般ユーザのログイン前にESP (Enrollment Status Page) を起動して🔑 AAD/ドメイン参加🛠 Wi-Fi, VPNなどの初期設定📦 アプリの事前配布が可能。
Autopilotの特徴③ OOBE(ようこそ画面)の簡略化18ようこそ画面を簡略化 ユーザアカウント入力済み🌎 Wi-Fi 自動接続🚫 Cortana, プライバシー設定などをスキップ「個人デバイスのAAD登録権限」は不要になり、Windows Autopilot に事前設定済みのデバイスのみ対応できます
残る課題は……19Windows Autopilot に対応したPCを手に入れる？？？？
Microsoft の解説をみてみる20「理想的にはOEM, リセラーまたはディストリビューターによって実行されます」「ハードウェアIDを収集し、手動でアップロードすることで」「要件を満たしている場合は、自動登録用に構成することもできます。
誰が登録するの？ 事前準備 対応PC 評価OEM登録メーカー(DELL, Lenovoなど)Microsoft 365 の管理画面でメーカーを承認 (初回のみ)発注時にMicrosoft ID を連絡OEM登録に対応したメーカー + 機種 + 販売店✅ 対応していればこれがいちばん🍎でみたアレ...PKIDWindowsProduct Key IDMicrosoft クラウドリセラー(Microsoft 365 販売店)クラウドリセラーに販売代理権を渡すPKIDが提供されるメーカー + 機種✅ 比較的多くの機種が対応している❌ クラウドリセラーにほとんど理解されてない4KHH4096bytes のハードウェアハッシュユーザー4KHH を採取(ユーザーまたはメーカー)全機種メーカーが4KHHを採取してくれることもある✅ 理論上は全機種に対応❌ 自分で集めるのは面倒❌ メーカーの対応が遅かったり有料のことも自動登録 ユーザー先に Intune 管理下にする(Azure AD Join)全機種❌ 初回のセットアップは簡略化できない❌ 既存の AAD Join PC を無条件に登録していいのか悩ましい登録方法の解説21💡 できるだけ「OEM登録」「PKID」を使いたい！
対応機種 OEM登録 PKID4KHHリスト提供Microsoft 法人向け Surface△大規模導入のみ✅ ❌DELL法人向けモデル(Latitude, Optiplexなど)✅ ❌ ❌NEC Mate, VersaPro ❌ ✅ ❌HP 法人向け型番✅HP DirectPlus のみ❌ ✅マウスコンピュータ Mouse Pro シリーズ ❌ ✅ ❌富士通 法人向け型番 ❌ ❌ ✅Lenovo ThinkPad△大規模導入のみ✅ ❌パナソニック 法人向け Let's Note ❌ ❌ ✅メーカーごとの対応22💡 ZUNDA調べ (販路や流通によっても対応可否が異なります)
イメージについて23💡 プリインストールアプリ (McAfeeの体験版とか) のないクリーンな Windows を指定できるReady Image (DELL) RTP: Ready-to-Provision Image (Lenovo)
Windows Autopilot の難しさ要件24🏭 メーカー、機種、販路、SIなどに求められる Windows Autopilot への理解 「セルフサービス」での運用が前提🔑 Azure AD, Intuneでの管理🌎 展開に必要な通信帯域 (インターネット) の確保💿 「クリーンなイメージ」の入手課題⚙ Autopilotのスムーズな登録ができないPCをどうするか📦 Intuneでのアプリ配布や事前プロビジョニングがまだ不安定🆙 Windows Update や機能更新アップデートを事前に適用できない☁ クラウドネイティブなベンダー、パートナーが不在
[宣伝] ZUNDAのICT機器管理サービス25✅ クラウドサービスとデバイスの販売・管理をワンストップで手掛けております✅ 弊社で購入したPCはもちろん、直販などで購入したPCもZUNDAで荷受、Autopilot登録、出荷OK✅ デバイスインベントリ (機器管理台帳) の提供もサポート✅ Windows, macOS, iOS/iPadOS, Android すべてに対応予約はこちらから 👉
26予約はこちらから 👉FAQ修理したらどうなりますか？→ メーカーが修理後のデバイスに付替してくれることもあるが、基本的には自己責任。Autopilotの知識がないメーカーだと「修理後の動作確認ができませんでした」と怒られることも。基本的にはAutopilotの登録を解除してから修理に出しましょう。Autopilot リセットとは？→ Azure AD 登録、Intune 登録を維持したまま Intune で遠隔ワイプできる機能。Wi-Fi 設定や SCEP 証明書は残るので、次のユーザーはすぐに使いはじめられます。また従業員が不具合を解消するためにセルフサービスでリセットすることも可能になります。※HAADJ (Hybrid Azure AD Join) 環境では利用できません。Mac でも同じことはできますか？→ Mac では Automated Device Enrollment (DEPとも呼ばれている) で、同様に端末の自動設定が可能です。 (というかWindows Autopilot は Appleのパｋ...)
Thank you27予約はこちらから 👉
shao1555
k9i
convto
taishin
kojira
cyberagentdevelopers
hankehly
interu
whywaita
cafenero_777
onlinesalon
y_iwai
nabedge
brettharned
caitiem20
kneath
destraynor
aki_iinuma
nonsquared
chriscoyier
scottboms
ammeep
holman
schacon
tanoku