Microsoft 365 / IntuneでWindowsを登録・管理する方法

Microsoft Intune は、組織の PC・モバイルデバイスを登録し、設定・セキュリティ状態・業務アプリを管理するクラウドサービスです。Windows デバイスを初めて管理する場合は、ライセンスと登録範囲を確認した後、試験デバイス登録 → セキュリティ設定の展開 → コンプライアンス状態の確認 → アプリ展開 の順に進めてください。本稿は Windows 11 試験 PC を基準に、各段階で何を選び、どこで結果を確認するかを説明します。

管理センターと実習準備

Microsoft Intune 管理センター で管理します。従来の Microsoft Endpoint Manager 管理センターを使用していた方も、このアドレスにアクセスすれば問題ありません。管理センターの更新により、メニュー名・配置が変わることがあります。実際の作業は、併記したメニュー経路と項目名で確認してください。

• ユーザーとライセンス: 管理対象ユーザーが Intune の使用権限を持っているか確認します。自動MDM（Mobile Device Management、デバイス管理）登録および条件付きアクセスを使用する場合、Microsoft Entra ID P1/P2 など該当機能のライセンスも確認します。Office アプリを展開するには、アプリの使用・ライセンス認証の権利が別途必要です。
• 管理者権限: Intune の役割と範囲が該当デバイス・ポリシー・グループを管理できるか確認します。メニューが表示されても、すべての操作権限があるわけではありません。
• 試験範囲: 組織の承認を得た試験用 PC 一台と試験ユーザー・グループを準備します。既存の MDM 管理状況、Windows のバージョン・エディション、重要ファイルのバックアップと復元手段を先に確認します。
• 記録: デバイス名・シリアル番号・登録ユーザー、変更したポリシー・グループ、適用前の値を記録します。すべてのユーザー・すべてのデバイスにすぐに割り当てません。

Windows 10の通常サポートは2025年10月14日に終了しました。Intuneへの登録が可能であるという事実と、オペレーティングシステム（OS）のセキュリティサポートの有無は別問題です。新しい実習ではサポートされているWindows 11環境を使用し、既存のWindows 10デバイスはアップデート・サポート計画を別途確認してください。登録方式と要件はWindows登録ガイドで確認できます。

デバイス登録方式を選ぶ

登録（Enrollment）は、デバイスがIntuneの管理対象に接続される過程です。Microsoft Entra IDにデバイス項目があるだけでIntune登録が完了したと判断しないでください。Intuneのデバイス → すべてのデバイスで管理方式・ユーザー・最後のチェックインを確認する必要があります。

Intune ポータルサイトで試験デバイスを登録する

管理者はまず Windows 登録の制限、ユーザーごとの登録上限、および該当ユーザーの Intune 権限を確認します。すでに他の組織で管理されている PC は勝手に接続を解除せず、既存の管理担当者と処理してください。単にIntune ポータルサイトアプリをインストールしてログインするだけでは終わらず、アプリのデバイス設定・接続手順を完了させる必要があります。

1. 試験 PC の Microsoft Store からIntune ポータルサイト(Company Portal)をインストールします。
2. Intune ポータルサイトを開き、該当組織の職場または学校のアカウントでログインします。ホーム画面のデバイス設定で次へ → 接続を進め、アカウントを再確認した後、設定を完了させます。表示される組織管理の案内を読み、Intune ポータルサイトに戻って完了状態を確認します。
3. 管理者は デバイス → すべてのデバイスで該当PCを探します。名前だけでなく、シリアル番号・ユーザー・OSおよび管理状態を照合します。Intune ポータルサイトでもデバイスが表示されるか確認します。

検索できない場合は、まずユーザー・組織アカウントが正しいか確認し、Intune ポータルサイトで同期します。エラーがある場合はコード・時刻を記録した後、ライセンス、登録制限、ネットワークおよび重複登録を確認します。再インストールやデバイス削除から繰り返さないでください。画面ごとのフローは Windows Intune ポータルサイト登録手順と照合できます。

自動登録と Windows Autopilot

MDM(Mobile Device Management)はデバイスの設定と状態を組織で管理する方法です。自動登録を設定するには管理センターの デバイス → 登録 → Windows → 自動登録でMDMユーザー範囲を確認します。最初は 一部(Some)とテストグループを使用し、該当ユーザーに必要な Intune・Entra ID 権限があるか確認してください。MDM使用条件・検出・コンプライアンスのURLは特別な理由がない限りデフォルト値を変更しません。

ユーザー範囲を保存した後、試験用PCで組織が定めた参加・登録手順を実行し、Intuneリストに表示されるか確認します。範囲を除外することは今後の自動登録を制限する措置であり、既に登録されている機器を自動的に管理解除する操作として扱うべきではありません。詳細な設定については自動MDM登録の構成を参照してください。

Windows Autopilotは、初期のWindows設定プロセスで組織の機器構成とアプリの準備をサポートします。従来のAutopilotは機器をサービスに登録し、展開プロファイルを対象グループに割り当て、自動登録・ネットワーク・サポートエディションなどを準備します。通常のPCでIntune ポータルサイトをインストールする方法と同じ手順ではありません。初期化が必要な展開テストは、重要なデータがない別のPCで実施してください。

Windows AutopilotとWindows Autopilot device preparationは別の展開方式です。名前が似ていても機器識別・ポリシー・サポート条件が同じだと仮定せず、組織が選択した方式の手順に従ってください。

会社所有のWindowsデバイスの名前変更

デバイス名は資産番号と同様に、組織の命名規則に従って設定します。例えば、テスト用PCであれば、SEOUL-TEST01のように識別可能な名前を使用できます。IntuneでのWindowsの名前変更は会社所有のデバイスを対象とし、 Microsoft Entraハイブリッド参加デバイスには対応していません。 ハイブリッド環境の場合は、ドメイン管理の方法で対応してください。

1. デバイス → すべてのデバイス で対象のPCを選択します。デバイス名とシリアル番号を照合して、他のユーザーのPCを選択していないか確認します。
2. デバイスの プロパティ → 編集 で名前を修正します。以前の画面では、名前の変更 の操作として表示されます。
3. 組織の命名規則に従って入力し、ユーザーと再起動のタイミングを相談した上で保存します。作業中のPCをすぐに再起動すると、保存されていない作業が中断される可能性があります。

デバイスがオンラインでチェックインされているか確認した後、管理センターのデバイス作業状態とWindowsの設定 → システム → バージョン情報を照合します。リストがすぐに更新されないからといって、同じリクエストを繰り返さないでください。元に戻す場合も、以前の名前を記録した後、サポートされている方法で再度変更し、必要な再起動を行います。管理名やIntune ポータルサイトに表示される名前まで全て同じに変わるわけではありません。デバイス名変更のサポート範囲を確認してください。

コンプライアンスポリシーでセキュリティ状態を評価する

コンプライアンスポリシー(Compliance policy)は、デバイスが組織の最低条件を満たしているか評価するルールです。例えば、ウイルス対策が必要なデバイスを区別できます。ウイルス対策ソフトのインストール・設定やBitLockerの有効化は、後で説明するセキュリティ構成と合わせて設計する必要があります。以下の実習では、テストグループにウイルス対策の要件を適用し、デバイスごとの結果を確認する流れを示します。

1. デバイス → コンプライアンス(Compliance)に移動します。以前の画面ではコンプライアンスポリシーとして表示されます。
2. ポリシーの作成を選択します。
3. プラットフォームでWindows 10以降を選択して作成します。メニュー名にWindows 10があっても、Windows 11対象のポリシーに使用されます。
4. ポリシー名に対象と目的を記入します。例えばTEST-Windows-Antivirusに指定し、テストポリシーであることを説明に残します。
5. 準拠設定のカテゴリを展開して評価条件を確認します。実習で扱わない項目をすべて必要に変更しないでください。
6. システムセキュリティ → ウイルス対策を必要に設定します。組織が使用しているウイルス対策ソフトとWindowsセキュリティの状態が要求条件に合致するかを確認するテストです。
7. 非準拠時の動作で、非準拠として表示するスケジュールとユーザー通知を確認します。業務端末の猶予期間・サポート手順は組織ポリシーに合わせて設定し、不要なロック・使用停止作業を追加しないでください。
8. 割り当てで事前に準備したテストグループを選択します。ユーザーグループかデバイスグループか、実際の構成メンバーを確認します。
9. 確認画面で条件・動作・対象を再度確認した後に作成します。
10. テストPCを同期した後、ポリシーのデバイス状態と設定ごとの状態を確認します。対象デバイスがない場合や保留中の場合は、評価完了として記録しません。

予想される結果は、ポリシーがテストデバイスに到達し、ウイルス対策の要求条件の評価結果が表示されることです。非準拠の場合は、まずデバイスの詳細で失敗した設定を確認し、Windowsセキュリティ状態・ポリシーの衝突・最後のチェックインを調査します。画面の円グラフ全体だけを見て、すべてのデバイスが安全だと結論を出さないでください。複数のポリシーを持つデバイスは、他のポリシーの失敗も別途確認する必要があります。

非準拠として表示する基本動作は即時実行されるよう構成されており、スケジュールを調整できます。ただし、リソースアクセスのブロックは、条件付きアクセスなど関連する制御も確認する必要があります。コンプライアンスポリシーの作成・評価および非準拠動作と猶予期間を確認し、条件付きアクセスをまず全面的に適用して、登録中のデバイスまでブロックしないようテストします。

ウイルス対策・BitLocker・ファイアウォールはどこで設定しますか？

コンプライアンスポリシーは基準評価、構成ポリシーは実際の設定展開に焦点を当てます。1つの設定を複数の構成プロファイルやセキュリティ基準で重複管理すると、衝突の原因を見つけにくくなります。ポリシーごとの担当範囲を決め、既存のグループポリシーや他の管理ツールも一緒に確認してください。Intuneエンドポイントセキュリティとポリシーの違いについて説明されています。

ウイルス対策

エンドポイントセキュリティ → ウイルス対策 → ポリシー作成でサポートされるWindowsプラットフォームとMicrosoft Defender Antivirusプロファイルを選択します。既存のウイルス対策製品、リアルタイム保護および更新管理方式を確認し、テストグループに必要な設定のみを割り当てます。デバイスごとのポリシー状態とWindowsセキュリティの実際のウイルス対策状態を一緒に確認してください。サードパーティのウイルス対策を使用しているPCをMicrosoft Defenderが既定のウイルス対策であるPCと同じ条件と考えてはいけません。ウイルス対策ポリシー案内でサポート条件を確認してください。

ディスク暗号化とBitLocker

エンドポイント セキュリティ → ディスク暗号化で Windows BitLocker ポリシーを作成します。TPM（Trusted Platform Module、暗号鍵を保護するための機能）・Windows エディション・既存の暗号化状態および回復キーの保管・参照権限を先に確認してください。データと回復手段が準備されていない端末には一括適用しないでください。テストPCに適用した後、ポリシーの適用成功だけでなく、実際のドライブ暗号化状態や承認された管理者が回復キーにアクセスできるかを確認します。ポリシーの割り当て解除はディスクの復号化と同じではないため、変更の取り消しも別途計画する必要があります。

ファイアウォールとポリシー結果の確認

エンドポイント セキュリティ → ファイアウォールで Windows ファイアウォールのプロファイルとルールを管理します。すべてのファイアウォールをオフにするのではなく、必要なアプリ・ポート・方向・ネットワークプロファイルを特定して設計してください。テストグループで業務アプリ・VPN・リモートサポートが動作するか確認し、端末ごとのポリシーエラーを調査します。暗号化・ファイアウォールなど各プロファイルの役割は エンドポイント セキュリティ ポリシーの種類を参考にできます。

準拠する端末のみアクセスできるよう接続する

Microsoft Entra 条件付きアクセスで準拠として表示されたデバイスを要求すると、Intune の評価状態をリソースアクセスの判断に使用できます。条件付きアクセスは Intune のウイルス対策設定画面でオンにする機能ではありません。対象ユーザー・クラウドアプリ・プラットフォームおよび必要なライセンスを確認した後に構成します。

まず 条件付きアクセス ポリシーの試験・例外・復旧手順に従ってレポート専用で予想される影響を確認し、限定された試験対象で実際のアクセスを確認します。準拠デバイスで成功するか、非準拠デバイスで意図した制限が適用されるかをサインインログで確認してください。緊急アクセス用アカウントとデバイス登録・復旧経路を考慮せずにすべてのユーザー・すべてのリソースに一度に適用すると、管理作業も止まる可能性があります。

Windowsに Microsoft 365 アプリを展開する

この実習は Intune に登録された試験用 PC に Microsoft 365 Apps を展開する流れです。対象ユーザーのアプリライセンス、既存 Office のインストール方式・32/64 ビット・追加機能の互換性およびインストール中の他の作業を事前に確認します。展開前にユーザーが文書を保存し、Office アプリを閉じるよう案内してください。

1. アプリ → すべてのアプリまたは Windows アプリの一覧に移動します。
2. 作成(Create)を選択します。旧画面では［追加］と表示されます。
3. アプリの種類でMicrosoft 365 Apps → Windows 10以降を選びます。
4. 選択したアプリの種類を確認し、選択を押します。
5. アプリパッケージの名前と説明を記入します。テスト展開であることを識別できるように名前を付けます。
6. インストールアプリ・アーキテクチャ・言語・更新チャネルなどを設定します。チャネルは組織の更新運用方式に合わせ、既存の展開設定と競合しないか確認します。
7. 割り当てでテストグループを選択します。自動インストールが目的なら必須(Required)、ユーザーがIntune ポータルサイトで選択できるようにする場合は利用可能(Available)の割り当て対象と動作を確認して選択します。
8. 確認画面で製品・構成・対象を確認した後、作成します。テスト端末がチェックインし、インストールの時間を確保します。

構成デザイナーとXML（Extensible Markup Language、設定データの記述形式）入力のどちらを使うかも確認する必要があります。Microsoft 365 Apps for business エディションは公式案内に従ってXMLデータでアプリのパッケージを構成します。既存のMSI形式（Windows Installer）のOfficeは削除設定の確認が必要で、この設定は選択したインストールアプリだけでなく、既存のMSI Officeアプリ全体に影響を与える可能性があります。既存アプリの削除を確認なしでオンにしないでください。使用中のWindowsエディションのサポート状況や詳細なオプションはWindows用 Microsoft 365 Apps 展開ガイドで確認します。

完了基準はポリシーを作成したというメッセージではありません。アプリのデバイスのインストール状況・ユーザーのインストール状況でテストPCが成功したか確認し、PCでWordなど対象アプリを開いてアカウントのライセンス認証状態と実際の業務文書の開封を検査します。失敗した場合は、エラーコード、最終チェックイン、既存Officeの競合・インストール中のアプリ実行・ネットワークとライセンスの順に確認してください。

テストを中止する場合は、まず割り当て対象からテストグループを外して追加展開を停止します。割り当てを解除したりIntuneのアプリ項目を削除するだけで、既にインストールされたアプリが自動で削除されると想定しないでください。削除が必要な場合は、サポートされている削除方法とユーザーデータ・業務への影響を別途確認します。デバイスの初期化・使用停止などのリモート操作は、ポリシーのエラーを解決する最初の手段として使用しません。