> For the complete documentation index, see [llms.txt](https://docs.realmjoin.com/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://docs.realmjoin.com/ja/ugd-management/user-and-group-settings/additional-settings.md).
# 利用可能な RealmJoin ポリシー
ユーザーまたはグループごとに構成可能な、利用可能な RealmJoin Client の設定とポリシーの参照です。
次の記事では、RealmJoin Client の設定/ポリシー候補の一覧を示します。これらは、個別に構成して割り当てることができます。 [ユーザーまたはグループ](/ja/ugd-management/user-group-device-management.md).
各設定は 1 つの **キー** と 1 つの **値**:
* キーはドット区切りのパスです（たとえば `Integration.Notification`）。RealmJoin は、そのパスのクライアント設定にその値をマージし、 [Tenant 全体の既定値](/ja/ugd-management/user-and-group-settings.md#tenant-default-values).
* 値は有効な JSON でなければなりません。たとえば次のような単純な値も含まれます: `true` または `"release"` （引用符で囲み、角括弧は付けません）。
{% hint style="info" %}
値が `undefined` **の場合は** キーを有効な構成から削除します。これを使うと、より広い範囲（Tenant 全体のクライアント構成または「RealmJoin - All Users」）で設定された値を、別の値で上書きするのではなく除去できます。
{% endhint %}
{% hint style="info" %}
次のキーは `Allow.*`, `Restrict.*` および `SoftwarePackageOverrides.*` は RealmJoin バックエンドによって評価され、デバイスに送信される前に構成から除去されます。これらがクライアントに届くことはありません。
{% endhint %}
### ユーザーが自分のデバイスの RealmJoin LAPS にアクセスできるようにします
ユーザーは、RealmJoin ポータルにアクセスして、自分が所有するデバイスのさまざまな LAPS 種類にアクセスできます。
**キー**
Allow\.SelfLAPS
**値**
```
true | false
```
またはアカウント種別ごとに
```
{
"EmergencyAccount": true,
"SupportAccount": true,
"PrivilegedAccount": true
}
```
参照: [Local Admin Password Solution (LAPS)](/ja/realmjoin-agent/realmjoin-client/local-admin-password-solution-laps.md#enable-self-service) セルフサービスの完全な説明については、これを参照してください。
{% hint style="info" %}
`Allow.*` 設定は通常の「より狭いスコープが優先される」という優先順位に従いません。ユーザーとそのグループに割り当てられたすべての値は結合され、明示的な `false` は、いかなるものよりも常に優先されます `true`.
{% endhint %}
{% hint style="warning" %}
`Allow.*` および `Restrict.*` は、ユーザーの **Entra ID group memberships**。組み込みの「RealmJoin - All Users」グループに割り当てても効果はありません。実際の Entra ID グループを使用するか、ユーザーに直接割り当ててください。
{% endhint %}
### ユーザーが自分のデバイスの Intune LAPS にアクセスできるようにします
ユーザーは、自分のデバイスの LAPS パスワードにアクセスし、ローテーションできます。
**キー**
Allow\.SelfLAPSIntune
**値**
```
true | false
```
または具体的には:
```
{
"CanReadPassword": true,
"CanRotatePassword": false
}
```
次のバージョンから: **Portal v2026.29**、アクセスをスコープ指定できます **プラットフォームごとに** （Windows/macOS）。プラットフォーム固有のプロパティは、汎用の `CanReadPassword`/`CanRotatePassword` を、対応するデバイス プラットフォームで上書きします:
```
{
"CanReadPasswordWindows": true,
"CanRotatePasswordWindows": true,
"CanReadPasswordMacOS": true,
"CanRotatePasswordMacOS": false
}
```
プレーン文字列値は次のように動作します `true` 対応するプラットフォームに対してのみ:
```
"windows"|"macos"
```
アクセスは、デバイスのプライマリ ユーザーまたは登録済み所有者にのみ許可されます。As with `Allow.SelfLAPS`、割り当てられたすべての値が結合され、明示的な `false` は、いかなるものよりも優先されます `true`.
### RJ パッケージの BranchCache を構成
この設定は、 **新しい** クライアントの BranchCache モードを変更します。
**キー**\
BranchCache.Mode
**値**
```
"Distributed"|"Undefined"
```
### レガシー ドメイン用の DomainConnect を構成
次の設定で、レガシー ドメイン用の DomainConnect を構成します。
**キー**\
DomainConnect.CredentialName
**値**
```
"RealmJoin (domain)"
```
**キー**\
DomainConnect.Domain
**値**
```
"domain.contoso.net"
```
**キー**\
DomainConnect.NetBIOS
**値**
```
"contoso"
```
### RealmJoin のリリース チャンネルを構成
この設定は、次回の RealmJoin Client 更新時にユーザー/ユーザー グループのチャンネルを変更します。
**キー**\
Environment.Channel
**値**
```
"release" | "beta" | "canary"
```
{% hint style="info" %}
この設定は共有 VDI クライアントでは無視されます。これらは常にイメージのチャンネルのままです。
{% endhint %}
### RealmJoin ESP を構成
初回の RealmJoin エージェント インストール後の既定の再起動を変更します。
**キー**
FirstRun.AfterSuccessAction
**値**
```
"none" | "logoff" | "restart"
```
RJ ESP を表示するかどうかを変更します。
セカンダリ ユーザーに対して展開画面を無効にする必要がある場合は、システム変数 *$env:RjDisableSecondaryInitialDeployment = 1* を最初の SU ログイン前に設定する必要があります。
**キー**
FirstRun.DisableDeploymentScreen
**値**
```
"true" | "false"
```
制限付きデスクトップまたはセキュア デスクトップで展開画面を表示します。
**キー**
FirstRun.EnableSecureDesktop
**値**
```
"true" | "false"
```
### パッケージのダウングレードを許可
バージョン番号が変更された場合、既にインストールされているアプリケーションの自動更新によるダウングレードを許可します。グループまたはユーザー設定経由でこのポリシーを受け取るユーザーに割り当てられたすべてのパッケージに適用されます。
**キー**
SoftwarePackaging.AutoUpgradeCanDowngrade
**値**
```
"true" | "false"
```
### ソフトウェア パッケージの動作に対するグローバル上書き
これらの設定は、主に共有デバイス上の Deployment/DEM ユーザー向けです。適用対象は **すべての** 受信ユーザーに割り当てられたソフトウェア パッケージです。
すべてのパッケージでバックグラウンド インストール フラグを強制します。
**キー**
SoftwarePackageOverrides.AllowBackgroundInstall
**値**
```
true | false
```
次の [メイン アプリ / ユーザー部分の制限](/ja/apurikshon/packages/package-settings.md) （Logon、Manual、Initial、Normal）を、すべてのパッケージで無視します。
**キー**
SoftwarePackageOverrides.IgnorePhaseRestrictions
**値**
```
true
```
すべてのパッケージにおける、それらの制限のプライマリ/セカンダリ ユーザー部分を無視します。
**キー**
SoftwarePackageOverrides.IgnoreUserRestrictions
**値**
```
true
```
{% hint style="info" %}
`IgnorePhaseRestrictions` および `IgnoreUserRestrictions` に設定された場合にのみ有効になります `true`; `false` は、まったく設定しないのと同じです。制限を解除できるのはこの方法だけで、追加することはできません。
デバイスのプライマリ ユーザーが deployment (DEM) ユーザーの場合、これらの上書きは、その deployment ユーザーからセカンダリ ユーザーが継承するパッケージにも適用されます。
{% endhint %}
### AnyDesk 機能
この設定は次のものを有効または無効にします [AnyDesk 機能](/ja/realmjoin-agent/realmjoin-client/anydesk-integration.md).
**キー**\
Integration.AnyDesk
**値**
```json
{
"Enabled": true | false,
"BootstrapperUrl": "https://.../.../AnyDesk.exe",
"CustomClientSuffix": "myorg",
"Ui": {
"TrayMenuTextEnglish": "Start remote session"
}
}
```
* **Enabled:** AnyDesk 統合をオンまたはオフにします。
* **BootstrapperUrl:** 統合で使用される AnyDesk クライアントのダウンロード場所です。
* **CustomClientSuffix:** カスタム AnyDesk クライアントの接尾辞です。これは次の作成に使用されます `anydesk:` セッション開始時に RealmJoin Portal が開くリンクです。汎用クライアントを使用する場合は省略してください。
* **Ui.TrayMenuTextEnglish:** RealmJoin トレイ メニュー内の項目のキャプションです。既定値は `"Start remote session"`.
### ExecutionMonitor 機能
この設定は ExecutionMonitor 機能を有効または無効にします。
**キー**\
Integration.ExecutionMonitor
**値**
```json
{
"Enabled": true | false,
"UpdateInterval": "08:00"
}
```
### Notifier 機能
この設定は次のものを有効または無効にします [Notifier 機能](/ja/realmjoin-agent/realmjoin-client/showing-notifications.md) また、エディター UI も有効または無効にします。
**キー**\
Integration.Notification
**値**
```json
{
"Enabled": true | false,
"SourceUrl": "URL_PROVIDED_BY_GK",
"FallbackCulture": "en",
"CheckInterval": "00:01"
}
```
* **Enabled:** Notifier をオンまたはオフにします。
* **SourceUrl:** 通知定義の場所です。この値は、Tenant でこの機能が有効化されると RealmJoin によって作成されます。変更しないでください。
* **FallbackCulture:** 通知にユーザーの言語向けの内容がない場合に使用される言語です。既定値は `"en"`.
* **CheckInterval:** クライアントが新しい通知を確認する頻度（[HH:mm](https://learn.microsoft.com/en-us/dotnet/standard/base-types/standard-timespan-format-strings)）です。既定値は `"00:01"`.
### LocalAdminManagement 機能
このセクションでは、LocalAdminManagement 機能に必要なすべての設定を示します。この機能の詳細については、次の記事をお読みください: [Local Admin Password Solution の記事](/ja/realmjoin-agent/realmjoin-client/local-admin-password-solution-laps.md).
**キー**\
LocalAdminManagement.Inactive
**値**
```
false
```
**キー**\
LocalAdminManagement.CheckInterval
**値**
```
"00:05"
```
**キー**\
LocalAdminManagement.EmergencyAccount
**値**
```json
{
"MaxStaleness": "00:45",
"NamePattern": "ADM-{HEX:4}",
"DisplayName": "Local Emergency Account",
"PasswordCharSet": "1234567890ABCDEFGHIJKLMNOPQRSTUVWXYZabcdefghijklmnopqrstuvwxyz",
"PasswordLength": 14
}
```
**キー**\
LocalAdminManagement.SupportAccount
**値**
```json
{
"MaxStaleness": "00:45",
"NamePattern": "ADM-{HEX:4}",
"DisplayName": "Local Support Administrator",
"PasswordCharSet": "1234567890ABCDEFGHIJKLMNOPQRSTUVWXYZabcdefghijklmnopqrstuvwxyz",
"PasswordLength": 14,
"OnDemand": true | false
}
```
**キー**\
LocalAdminManagement.PrivilegedAccount
**値**
```json
{
"NamePattern": "Privileged-User-{COUNT:1}",
"DisplayName": "Privileged User",
"PasswordRenewals": ["DayAfterCreate", "Monthly", "Thursday"],
"PasswordPreset": 3,
"PasswordLength": 3
}
```
{% hint style="info" %}
3 つのアカウント種別は、同じ共通プロパティを共有します（`NamePattern`, `DisplayName`, `PasswordCharSet`, `PasswordLength`, `PasswordPreset`, `MaxStaleness`). `OnDemand` および `Expiration` はサポート アカウント固有であり、 `Expiration` および `PasswordRenewals` は特権アカウント固有です。まったく構成されていないアカウント種別は非アクティブのままです。 [LAPS の記事](/ja/realmjoin-agent/realmjoin-client/local-admin-password-solution-laps.md) では、各プロパティ、既定値、パスワード プリセットを詳しく説明しています。
{% endhint %}
### AppCatalog 機能
この設定は、次へのネイティブなワンクリック アクセスを制御します [App Catalog](/ja/realmjoin-agent/client-menu/self-service-portal.md#app-catalog-tab) RealmJoin トレイ メニューおよび Windows のスタート メニューから。
**キー**\
AppCatalog
**値**
```json
{
"Enabled": true | false,
"HidePackages": true | false,
"CreateStartMenuShortcut": true | false,
"Ui": {
"DisplayName": "App Catalog"
}
}
```
* **Enabled:** 次の **App Catalog** 項目を RealmJoin トレイ メニューに追加します。これは、Microsoft Edge アプリ モードでデバイスの App Catalog ページを開きます。
* **HidePackages:** 個々のソフトウェア パッケージを、従来のトレイの「Install」/「Update」サブメニューから非表示にします。ユーザーを App Catalog に誘導した後に便利です。
* **CreateStartMenuShortcut:** 必要です `Enabled: true`。同じページを開くユーザーごとのスタート メニュー ショートカット（「App Catalog」）を作成するため、スタート検索で見つけたり、タスクバーにピン留めしたりできます。
* **Ui.DisplayName:** RealmJoin トレイ メニュー内の App Catalog 項目のキャプションです。同じテキストは、 `CreateStartMenuShortcut`。既定値は `"App Catalog"`.
### App Catalog の Edge プロトコル プロンプト
App Catalog は Microsoft Edge アプリ ウィンドウで実行され、そこにあるすべてのインストール リンクは `realmjoin:` URL です。 `realmjoin` プロトコルがポータルのオリジンに対して許可されていない場合、最初のクリックで Edge の外部プロトコル ダイアログ（「このサイトは開こうとしています…」）が表示されます。このプロトコルは、Edge ポリシー [`AutoLaunchProtocolsFromOrigins`](https://learn.microsoft.com/en-us/deployedge/microsoft-edge-policies#autolaunchprotocolsfromorigins)で許可されます。Tenant が管理している値に `realmjoin` エントリを追加するか、RealmJoin エージェントがそのエントリをユーザーのレジストリ ハイブに書き込みます。
**キー**\
Policies.EdgeAllowRealmJoinProtocol
**値**
```
true | false
```
{% hint style="danger" %}
**どちらか一方の方法を選んでください。両方は使わないでください。** Tenant が `AutoLaunchProtocolsFromOrigins` 自体を管理するか、RealmJoin がこの設定でそれを行います。このポリシーにはデバイスごとに所有者は 1 つしかなく、2 つの所有者は互いに上書きします。
{% endhint %}
#### Edge がポリシーを評価する方法
ポリシーは、レジストリ ハイブごとに 1 つの JSON 値であり、次の下にあります `SOFTWARE\\Policies\\Microsoft\\Edge\\AutoLaunchProtocolsFromOrigins` の `HKLM` または `HKCU`です。複数のソースから組み立てることはできません:
* **マシンがユーザーよりも全体として優先されます。** Edge はユーザー値の代わりにマシン値を使用します。2 つの一覧がマージされることはありません。マシン値があると、ユーザーごとに設定された内容はすべて静かに無効になります。
* **Intune** は、この設定を ADMX ベースのポリシーとして適用します（設定カタログ: *Microsoft Edge > 特定のサイトが外部プロトコルを起動できるようにする*）。MDM クライアントは同期のたびに値全体を書き換えるため、他の当事者が追加したものは次回のチェックイン後に消えます。
* **2 つの Intune プロファイル** この設定を構成するプロファイル同士は競合します。デバイス上の結果は決定的ではありません。
#### ルート 1: Tenant が Edge ポリシーを管理する
次の `realmjoin` プロトコルを **1 つの** 既存のプロファイルに追加し、そのプロファイルが設定している `AutoLaunchProtocolsFromOrigins`を、そのプロファイルが存在するスコープ（デバイスまたはユーザー）内で、すでに許可しているプロトコルの横に追加します:
```json
[
{ "protocol": "realmjoin", "allowed_origins": ["realmjoin.com"] },
{ "protocol": "msteams", "allowed_origins": ["teams.microsoft.com", "teams.cloud.microsoft"] }
]
```
そのために 2 つ目のプロファイルを作成せず、 `Policies.EdgeAllowRealmJoinProtocol`.
#### ルート 2: Tenant がこのポリシーを管理していない
設定します `Policies.EdgeAllowRealmJoinProtocol` を `true`。JSON 値 `true` だけが有効になります。エージェントが構成を適用するたびに、SYSTEM として実行されている RealmJoin サービスが、トレイが実行されているユーザーに対してポリシーを評価します:
* **マシン値が存在する場合** （たとえばデバイス スコープの Intune プロファイルや GPO）: 何も書き込まれません。ユーザー値はいずれにせよ無視されるためです。エージェント ログには、マシン値がすでにポータルを許可しているかどうかが示されます。
* **ユーザー値が MDM によって管理されている場合**：何も書き込まれません。
* **それ以外の場合** エージェントはポータル ホストをユーザー値にマージし、 `HKCU`。その値にすでに含まれている他のプロトコルとオリジンは保持されます。 `realmjoin` エントリに、ポータルをカバーするオリジンがすでに含まれている場合（たとえば `realmjoin.com`）、何も書き込まれません。
オプトインがない、つまりキーが `false`に設定されている、削除されている、または `Policies` 設定がまったくない場合、エージェントはユーザー値から自分自身のエントリを再び削除します。エージェントをアンインストールしても同じです。
{% hint style="info" %}
どちらのルートも必須ではありません。ポリシーがなくても App Catalog は動作します。Edge はユーザーごとに 1 回だけ確認し、Edge ポリシーでそのチェックボックスを非表示にしていない限り、ユーザーは「Always allow」を選択できます。
{% endhint %}
#### 次の `realmjoin` エントリを正しく書く
* Edge が使用するのは **最初の** エントリで、その `プロトコルが` URL スキームに一致するものだけです。比較は小文字のスキームに対して大文字と小文字を区別して行われます。2 つ目の `realmjoin` エントリは無視されます。 `RealmJoin`と綴られたものも同様に無視されます。許可するオリジンはすべて 1 つの `realmjoin` エントリにまとめてください。
* オリジンは Edge の [URL ブロックリスト フィルター形式](https://learn.microsoft.com/en-us/deployedge/microsoft-edge-browser-policies/urlblocklist)に従います。ホスト名のみの記述は `realmjoin.com` もカバーします `portal.realmjoin.com`。一方で `.realmjoin.com` （先頭にドットがあるもの）は、厳密に一致するホストのみと一致し、 `realmjoin.com` したがって **ではありません** ポータルに一致しません。
{% hint style="info" %}
デバイスで結果を確認するには、Edge で `edge://policy` を開いてください。そこには、有効な値、そのスコープ（マシンまたはユーザー）、および正常に解析されたかどうかが表示されます。
{% endhint %}
### RealmJoin トレイ用の Web リンク
次の設定は、トレイに Web リンクを生成します。
**キー**\
WebLinks
**値**
```json
[
{
"Name": "マイ Azure アカウント",
"Target": "https://account.activedirectory.windowsazure.com/r/#/profile",
"Platform": "any"
},
{
"Name": "Outlook Web Access",
"Target": "https://outlook.office365.com/owa/?realm=contoso.onmicrosoft.com",
"Platform": "any"
}
]
```
### アクセス制限
{% hint style="info" %}
現在はこれのみ [RealmJoin LAPS](/ja/realmjoin-agent/realmjoin-client/local-admin-password-solution-laps.md) がサポートされています。Intune 管理の Windows LAPS へのアクセスは、カスタム ロール権限によって制御されます `CanSeeDeviceIntuneManagedLapsStatus` および `CanRotateIntuneManagedDeviceLocalCredentials` また、この設定の影響は受けません。
{% endhint %}
この設定を、次のグループに割り当てます **デバイス所有者** 保護したい対象です。すると、どの管理者が使用できるかが制限されます [LAPS](/ja/realmjoin-agent/realmjoin-client/local-admin-password-solution-laps.md) それらのユーザーのデバイスで。
この設定は次にも割り当てられます **デバイス グループ**。これには Tenant 機能 *デバイス グループから Restrict.LAPS を適用する*。この機能は、Portal バージョン 2026.40 からオンボードされたすべての Tenant で有効です。既存の Tenant については、RealmJoin サポートに連絡して有効化してください。有効にすると、デバイス所有者のグループとデバイス自体のグループのルールが統合されます。
{% hint style="warning" %}
既存の Tenant でこの機能を有効にする前に、デバイス グループに既存の `Restrict.LAPS` 設定がないか確認してください。これまで、これらの設定は効果がありませんでした。機能が有効になるとすぐに適用され、一部の管理者の LAPS アクセスが削除される場合があります。
{% endhint %}
**キー**\
Restrict.LAPS
値
```json
{
"Admin": [
"11-cf35-49dd-a862-123123",
"11-2ec2-47ee-8cb8-123123"
],
"Supporter": [
"23-cf35-49dd-a862-231"
],
"Deny": []
}
```
各プロパティには Entra ID Groups のオブジェクト ID が格納されます。RealmJoin ロールごとに 1 つのリストがあります:
```
"Admin" | "Auditor" | "Supporter" | "AdvancedSupporter" | "RunbookRunner" |
"SoftwareAgent" | "SoftwareRequester" | "OrganicRequester" | "NotificationAgent" | "Deny"
```
{% hint style="warning" %}
リストは包含型です。少なくとも 1 つのリストに値が入ると、そのロールに一致する RealmJoin ロールを持つ管理者のみが **および** そのロールに対して列挙されたグループのいずれかのメンバーである場合に、これらのデバイスで LAPS を使用できます。それ以外の人は拒否されます。
以下に記載されたグループのメンバーシップは `Deny` 常にアクセスを拒否します。他のリストに関係なくそうです。グローバル管理者は決して制限されません。
{% endhint %}
各ロールは、そのロール専用のリストと照合されます。管理者は、自分のグループのいずれかを含むリストがあるロールの LAPS アクセスのみを取得します。たとえば、Admin と Supporter の両方であり、かつ次の下に記載されたグループのメンバーである管理者は `Supporter`の場合、これらのデバイスでは Admin アクセスではなく Supporter アクセスが付与されます。
{% hint style="info" %}
Portal バージョン 2026.40 より前は、いずれか 1 つのロールに記載されていれば、管理者の最上位ロールのアクセスを取得するのに十分でした。
{% endhint %}
LAPS 権限のいずれかを持つカスタム ロール（`CanUseDeviceLapsAsAdvancedSupporter`, `CanSeeDeviceLapsAsAuditor`, `CanUseDeviceLapsAsSupporter`）は、対応するロールのリストと照合されます: `AdvancedSupporter`, `Auditor` または `Supporter`。参照 [LAPS アカウントにアクセスできるユーザー](/ja/realmjoin-agent/realmjoin-client/local-admin-password-solution-laps.md#who-can-access-laps-accounts).
### 各種トグル
このセクションでは RealmJoin の 4 つのポリシーを示します。
**キー**\
Policies.DisableNetworkLocationWizard
**値**
```
true | false
```
**キー**\
Policies.RequireSecurityFeatures.BitlockerEnabled
**値**
```
true | false
```
**キー**\
Policies.SetCurrentUserAdministrator
**値**
```
true | false
```
**キー**\
Policies.SetTimeserver
**値**
```
["time.windows.com", "time.apple.com", "pool.ntp.org"]
```
---
# Agent Instructions
This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com.
## Querying This Documentation
If you need additional information that is not directly available in this page, you can query the documentation by asking a question.
Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters:
```
GET https://docs.realmjoin.com/ja/ugd-management/user-and-group-settings/additional-settings.md?ask=&goal=
```
`ask` is the immediate question: it should be specific, self-contained, and written in natural language.
`goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case.
The response will contain a direct answer to the question and relevant excerpts and sources from the documentation.
Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.