Intuneを利用して、起動可能なWindowsアプリケーションを制限する

厳しい会社さんだとホワイトリストで設定されたアプリケーションしか起動させないようにしたい。
などの要件があると思います、今回は、Intuneを利用してそのような要件に対応できるのかを確認してみました。
以前だとAppLockerやWIPで制御していた感じがありますが、現在はプレビューですが、アプリケーション制御ポリシーというもので設定をしていくようです。

前提

• Windows 10/11 Pro/Enterprise
• Intune P1

設定方法

• Intune管理センターにアクセスします。
• 「エンドポイントセキュリティ」→「アプリケーション制御（プレビュー）」→「マネージドインストーラー」タブ→「追加」→【追加】をクリックします

• 【はい】をクリックします

• 「最新の情報に更新」をクリックし、マネージドインストーラーが追加されたことを確認します

• すべてのデバイスにマネージドインストーラが一旦配布されます。
  この後のポリシーで割当グループで制御可能なので、こちらはすべてのデバイスへの適用でいいかと思います。

ポリシー設定

• 「アプリケーション制御」タブをクリックします。
• 【ポリシーの作成】をクリックします。

• わかりやすい名前をつけて【次へ】をクリックします。
• ポリシーを定義します。
  ここでは設定が簡単なIntuneマネージドアプリのみ許可という形にしてみます。

• 必要に応じてスコープタグを設定し、【次へ】をクリックします。
• 制御したいグループを割り当てて【次へ】をクリックします。
• 設定内容を確認し、【作成】をクリックします。

動作確認

Intuneから配布してないアプリケーションを起動してみます。
ポリシー配布前に、対象デバイスに対して秀丸を手動でインストール済みです。
ポリシーが展開されていることを確認し、対象デバイスで秀丸を起動してみました。

すると以下のような画面が表示され実行することができません。

Intuneから配布しているアプリに関しては、問題なく起動することがで可能でした。

まとめ

今回は簡易的にIntuneから配布したもの以外起動禁止。のような設定にしましたが、細かく設定する場合には、MSが公開している「WDACポリシーウィザード」を利用して設定ができるようです。
こちらも試して確認してみたいと思います。
もっと簡単にIntune画面からホワイトリスト的に作れればいいんですけどね。