社員の端末を既にMDMで管理している場合は、社員の端末にDrata Agentを入れなくても、MDMから端末の状態を集められます。DrataはMDMの設定を変えず、MDMが持っている端末の情報と、MDMのポリシーへの準拠の結果を読み取ります。このページでは、Drata Agentの代わりにMDMから端末の状態を集める方法として、対応するMDM、複数のMDMの併用、エージェントとの使い分け、端末と要員の対応付けがずれたときの直し方を説明します。
対応するMDM
連携できるMDMは、ConnectionsでMDMのカテゴリーに絞り込むと確かめられます。Jamf、Microsoft Intune、Kandji、JumpCloud、Hexnode、Workspace ONE、NinjaOne、Ripplingなどがあります。
Kandji、JumpCloud、NinjaOne、Workspace ONEとの連携では、対象はコンピューターで、スマートフォンとタブレットは対象外です。MDMごとの準備は、ヘルプセンターの連携の記事で決まっています。Microsoft IntuneとNinjaOneを例にした準備は、MDMとセキュリティー製品との連携で説明しています。
連携に対応していないMDMや、社内の資産管理のシステムから端末の情報を送りたい場合は、カスタムの端末連携（Custom Device Connection）を使います。決められた形式の端末のデータを、APIでDrataに送る仕組みです。カスタム連携で説明しています。
MDMで端末を確かめる仕組み
DrataはMDMの情報を、次のように読み取って評価します。
| 確かめ方 | 内容 | 例 |
|---|---|---|
| MDMのポリシーへの準拠 | 必要なポリシーがMDMにあるか、そのポリシーが端末に割り当てられているか、端末がポリシーに準拠しているかを確かめる | ディスクの暗号化と自動更新（MDMの連携全般）。Kandjiでは、ブループリントのライブラリー項目の名前に決まった語（FileVault、Passcode、Screen Saver、Software Updateなど）を含める |
| MDMの準拠の評価 | MDMが端末と利用者を準拠と評価した結果を読む | Microsoft Intuneのコンプライアンスポリシー |
| MDMで集めた値 | MDMのスクリプトなどで集めた値を読む | Jamfの拡張属性（画面ロックと自動更新）。NinjaOneのカスタムフィールド（ディスクの暗号化と画面ロック） |
| アプリの一覧 | 端末に入っているアプリから、ウイルス対策のソフトウェアやパスワードマネージャーを確かめる | MDMが集めたアプリの一覧 |
【注意】 MDMの連携では、パスワードマネージャーは、端末にインストールしたデスクトップのアプリだけが確かめられます。ブラウザーの拡張機能として使うパスワードマネージャーは検出されないため、デスクトップのアプリを入れてもらいます。JumpCloudとの連携に限り、対応するChromeの拡張機能も確かめられます。
各項目の判定の基準は、端末の確認項目と是正で説明します。
MDMの集め方を有効にする
MDMをつないだら、端末の状態をMDMから集めるように設定します。設定を変えられるのは、Adminのロールのユーザーです。
Settingsを開き、OrganizationのPersonnel complianceを選びます。Internal SecurityタブのAutomationの欄で、Workstation configuration monitoringを確かめます。- つないだMDMの選択肢（
Automated via Intune MDM、Automated via Kandji MDMなど）を選びます。 Save changesを選びます。
Personnel ComplianceのInternal Securityタブ。端末の状態の集め方を、MDMごと、Drata Agent、社員の手作業のアップロードから選ぶ
MDMによっては、連携をつなぐと、MDMの選択肢が自動で有効になります（Jamfなど）。つないだMDMが一覧にあり、有効になっていることを確かめてください。
Drata Agentとの使い分け
同じ端末について、MDMとDrata Agentの両方から情報が届く場合は、Drata Agentの情報が優先されます。Drata Agentが入っていない端末では、MDMの情報が使われます。これにより、同じ端末の記録が重複したり食い違ったりすることを防いでいます。
| 状況 | 集め方 |
|---|---|
| 全ての端末をMDMで管理している | MDMの選択肢を有効にする。社員にDrata Agentを入れてもらう必要はない |
| MDMで管理していない端末がある | MDMの選択肢とAutomated via Drata Agentの両方を有効にし、MDMの外の端末にだけDrata Agentを入れてもらう |
| MDMを使っていない | Automated via Drata Agentを有効にする（Drata Agentの配布） |
| MDMの情報だけを使いたい | MDMの選択肢を有効にし、Automated via Drata Agentを外す。両方を有効にしたままだと、Drata Agentが入っている端末ではエージェントの情報が使われる |
【注意】 端末の管理をDrata AgentからMDMに切り替えた場合、端末がそのまま使われ、シリアル番号と担当者が変わらないなら、端末の対応付けを外さないでください。次の同期で、Drataが情報の取得元の変更を認識し、自動で更新します。
同期の時期
DrataはつないだMDMの全てから、毎晩、端末の情報を同期し、要員に対応付けます。
- Jamfとの連携では、つないだ直後には端末の情報が同期されません。最初の情報は、毎晩の同期で取り込まれます。
- MDMの側の変更がDrataに表示されるまで、最大で24時間かかります。
- MDMの連携を使っている場合、端末のテスト（画面ロック、パスワードマネージャー、ウイルス対策、自動更新、ディスクの暗号化）は、
Test nowで実行し直しても、Drataが最新の情報を同期するまで結果が変わらないことがあります。 - MDMやDrata Agentをつないでも、つなぐ前の期間の証跡がさかのぼって集まるわけではありません。
複数のMDMを併用する
チームやOSごとに別のMDMを使っている場合や、MDMの移行中の場合は、複数のMDMをつなげます。既存のMDMの連携を止めずに追加でき、つないだ全てのMDMの選択肢をWorkstation configuration monitoringで有効にします。
【注意】 1台の端末の情報は、1つのMDMから集めます。DrataはMDMごとに別の端末として取り込み、ディスクの暗号化の状態は一方のMDMから、画面ロックの状態はもう一方のMDMから、のように組み合わせることはできません。
端末と要員の対応付け
MDMから集めた端末は、要員に対応付けられて初めて、その要員の確認項目に使われます。
対応付けの仕組み
| 前提 | 内容 |
|---|---|
| IDプロバイダーの連携（Microsoft Intune） | Microsoft Intuneとの連携では、Intuneの端末の準拠の結果を要員に対応付けるために、IDプロバイダーとの連携と、Drataに要員の記録があることが必要 |
| メールアドレスの一致 | MDMで端末に登録した利用者のメールアドレスが、Personnelページの要員のメールアドレスと一致している必要がある。Jamfでは、端末のUser and LocationのEmail Addressが空のときだけ、ユーザー名で対応付けを試みる。誤ったメールアドレスが入っている端末は、要員に対応付けられない |
| 利用者のディレクトリー | Kandjiなどでは、MDMをDrataと同じIDプロバイダー（Google、Okta、Microsoft 365）の利用者のディレクトリーにつなぐ |
| 端末の担当者 | 1台の端末の担当者は1人。JumpCloudで1台の端末に複数の担当者がいる場合、Drataで対応付けられるのは1人だけで、ほかの担当者にはManually Configuredの端末が表示される |
MDMにもDrata Agentにも登録された端末がない要員には、Manually Configuredの端末が表示されます。この端末には、端末の設定の証跡を手作業でアップロードできます。
対応付けがずれたときの直し方
端末がAssetsページにあるが、要員に対応付いていない
Risk→Assetsを開き、シリアル番号か資産タグで端末を探します。All Providersの絞り込みで、つないだMDMに絞ることもできます。- 端末を開き、
Ownerの欄を確かめます。 - 担当者がいないか、誤っている場合は、MDMで端末が正しい利用者に割り当てられているかを確かめます。
- MDMの利用者のメールアドレスが、Drataの
Personnelページの要員のメールアドレスと一致しているかを確かめます。
端末がDrataに表示されない
- 端末がMDMに正しく登録されているかを確かめます。
Personnelページで対象の要員を開き、退職日（separation date）が入っていないかを確かめます。退職日が入っている要員の端末は、同期されません。- 再入社した要員などで、古い退職日が残っている場合は、
Adminのロールのユーザーが退職日を消します。 - MDMの同期の後に画面を更新し、端末が表示されることを確かめます。
端末の対応付けを外す
廃棄した端末、使わなくなった端末、紛失や盗難にあった端末、壊れた端末は、対応付けを外します。
Risk→Assetsを開きます。- 対象の端末を選びます。
Unlink deviceを選びます。
対応付けを外した端末は、コンプライアンスの監視の対象から外れ、AssetsページとPersonnelページから消えます。要員のコンプライアンスは、残っている登録済みの端末だけで評価されます。複数の端末を持つ要員の場合、1台を外しても、ほかの端末の評価には影響しません。
MDMで端末を削除したり、別の利用者に割り当て直したりした場合は、対応するMDM（Workspace ONEを除く）では、Drataが自動で対応付けを外します。MDMに残っている端末は、後から対応付け直せます。
資産の一覧の見方は、資産と脆弱性の管理で説明します。