Intuneで始めるWindows端末管理：登録・コンプライアンス・アプリ配布の手順

Microsoft Intuneとは、Windows・macOS・iOS・Androidの端末をクラウドから登録・設定・監視する、Microsoft 365に含まれるデバイス管理（MDM/MAM）サービスです。オンプレミスのActive Directoryとグループポリシーがなくても、BitLockerの強制、Defenderの設定、Windows Updateの制御、アプリ配布までブラウザーの管理センターから行えます。

対象はMicrosoft 365 Business Premium程度の環境で、Windows 11端末をEntra参加で自動登録するところから、コンプライアンスポリシー、BitLocker・Defenderの構成、更新リング、アプリ配布までを順に設定します。Intune管理センター（intune.microsoft.com）のメニュー名は執筆時点のもので、改名されることがあるため英語名も併記します。

Intuneとは：MDMとMAM、できること・できないこと

Intuneには2つの管理モードがあります。MDM（Mobile Device Management）は端末そのものを登録して、暗号化・パスワード・更新・アプリを端末レベルで制御する方式です。MAM（Mobile Application Management）は端末を登録せず、OutlookやTeamsなどのアプリ内のデータだけを守る方式で、私物スマホに向きます。会社支給のWindows PCはMDM、私物スマホはMAMという組み合わせが中小企業の標準的な構成です。

資産台帳や購入・契約の管理は、Intuneのデバイス一覧をエクスポートしてIT資産管理ツール側で持つ設計にしたほうが、廃棄や再配布の履歴まで追えます。

必要なライセンスと前提

Intuneはユーザー単位のライセンスで、執筆時点ではIntune Plan 1がMicrosoft 365 Business Premium、E3、E5、EMS E3/E5に含まれています。Business BasicやStandardには含まれないため、単体のIntune Plan 1を追加するかBusiness Premiumへ切り替えます。もう1つ見落としやすいのが、Entra参加と同時に自動登録させる「MDM自動登録」にEntra ID P1が必要な点です。Business PremiumにはP1が入っていますが、Intune単体＋Business Standardの組み合わせでは自動登録が使えず、ユーザーが手動で登録する手順になります。

端末側の前提はWindows 10/11のPro・Enterprise・Educationです。Home EditionはEntra参加もMDM登録もできないため、家電量販店で買ったPCを支給している会社は、まずProへのアップグレードが必要です。TPM 2.0はBitLockerのサイレント有効化に必要で、Windows 11対応PCなら搭載されています。

管理センターへのアクセスは、グローバル管理者かIntune管理者ロールで行います。作業用にはIntune管理者ロールを割り当てた管理者アカウントを別に用意し、条件付きアクセスで管理者ロールを保護しておくのが前提です。

自動登録（Entra参加）の設定

Windows端末をEntra IDに参加させると、ユーザーが「MDMユーザースコープ」に含まれていればIntuneへの登録が自動で行われます。仕組みとしては、Entra参加の処理中にWindowsがEntra IDのMDM構成（MDM検出URLとしてenrollment.manage.microsoft.com）を取得し、そのままMDM登録プロトコルで登録を完了します。設定は次の2か所です。

1. Intune管理センター →「デバイス → 登録（Enrollment） → Windows → 自動登録（Automatic Enrollment）」で、MDMユーザースコープを「すべて」（または対象グループ）にする。MAMユーザースコープは「なし」のままにする
2. Entra管理センター →「ID → デバイス → デバイスの設定」で、「ユーザーはデバイスをMicrosoft Entraに参加させることができる」が「すべて」または対象グループになっていることを確認する。「ユーザーごとのデバイスの最大数」の既定は50台

MDMとMAMの両方のスコープに同じユーザーを入れると、Entra参加ではMDM、私物端末の「職場アカウントの追加」ではMAMが選ばれるという挙動になります。意図せずMAMだけになって「登録したのにポリシーが来ない」という問い合わせの原因になるので、Windows PCの管理だけが目的ならMAMスコープは「なし」にしておきます。

端末側の操作は、新品なら初期設定（OOBE）の「職場または学校用に設定」で会社アカウントでサインインするだけです。既に使っている端末は「設定 → アカウント → 職場または学校にアクセスする → 接続 →『このデバイスをMicrosoft Entra IDに参加させる』」を選びます。ローカルアカウントで使っていたユーザープロファイルは引き継がれず新しいプロファイルが作られるので、データ移行の案内が必要です。

コンプライアンスポリシーの作成

コンプライアンスポリシーは「端末が満たすべき最低条件」を定義し、結果を「準拠／非準拠」としてEntra IDのデバイスオブジェクトに書き込みます。この値を条件付きアクセスが読んで、非準拠端末からのアクセスを止めるのが本来の使い方です。設定そのものを変える機能ではなく、あくまで評価と報告なので、BitLockerを「要求」してもBitLockerが有効になるわけではありません。有効化は次の構成プロファイルで行います。

作成は「デバイス → コンプライアンス（Compliance policies） → ポリシーの作成 → プラットフォーム: Windows 10以降」です。最初の1本として次の値をおすすめします。

「デバイス → コンプライアンス → コンプライアンスポリシーの設定」にある「コンプライアンスポリシーが割り当てられていないデバイスをマーク」は既定で「準拠」です。この状態だと、ポリシーを1本も受け取っていない端末が「準拠」として条件付きアクセスを通過します。ポリシーを作ったら、この既定値を「非準拠」に変えてください。逆に、全端末にポリシーを割り当てる前に変えると全端末が非準拠になるので、順序は「ポリシー割り当て → 既定値変更」です。

構成プロファイル：BitLockerとDefender

セキュリティ関連の設定は「エンドポイントセキュリティ（Endpoint security）」のメニューから作るのが現在の推奨です。「デバイス → 構成」のテンプレートや設定カタログでも同じ設定は作れますが、エンドポイントセキュリティのほうが項目が絞られていて迷いません。

BitLockerは「エンドポイントセキュリティ → ディスクの暗号化 → ポリシーの作成 → Windows → BitLocker」です。ユーザーの操作なしに暗号化を始める「サイレント有効化」にするには、次の組み合わせが条件になります。

• 「デバイスの暗号化を要求する」: 有効
• 「他のディスク暗号化の警告を許可する」: 無効（これが有効だとユーザーに確認画面が出て止まる）
• 「標準ユーザーの暗号化を許可する」: 有効（ユーザーがローカル管理者でなくても暗号化できる）
• 「OSドライブの回復情報をMicrosoft Entra IDに保存する」: 必須にし、「回復情報が保存されるまで暗号化を開始しない」を有効
• スタートアップ時の追加認証: TPMのみ（PIN必須にするとサイレント有効化にならない）
• 暗号化方式: OSドライブはXTS-AES 128ビット（既定）または256ビット

回復キーはEntra管理センターの「ID → デバイス → 該当デバイス → BitLockerキー」から取得でき、ユーザー自身もMyAccountポータルの「デバイス」から自分の端末のキーを見られます。ヘルプデスクに回復キー照会の権限だけを渡したい場合は、Entraの「ヘルプデスク管理者」ではなく専用のカスタムロールで絞ります。

Defenderは「エンドポイントセキュリティ → ウイルス対策 → Microsoft Defenderウイルス対策」で、リアルタイム保護、クラウド提供の保護、望ましくない可能性のあるアプリ（PUA）のブロック、毎日のクイックスキャン、セキュリティインテリジェンス更新間隔（4時間程度）を設定します。改ざん防止（Tamper Protection）は同じメニューの「Windowsセキュリティエクスペリエンス」プロファイル側にあります。EDR製品を別に入れている環境では、Defenderをパッシブモードにするか、EDR側の管理コンソールに任せるかを決めてから設定しないと、2つのエンジンが競合してPCが重くなります。

更新リングでWindows Updateを制御する

更新リングは、Windows Update for Business（WUfB）の延期日数と期限を端末グループごとに設定する仕組みです。「デバイス → Windows → 更新リング（Update rings for Windows 10 and later）」から作ります。おすすめは2本構成です。

期限（deadline）を設定すると、猶予期間を過ぎた端末はアクティブ時間外に強制再起動されます。「再起動を促しても誰も押さない」問題は延期日数ではなく期限で解決するので、期限なしのリングは作らないでください。機能更新（年次の大型更新）はバージョンを固定したい場合、「Windows 10以降の機能更新プログラム」ポリシーで「Windows 11, version 24H2」のように指定します。Windows Autopatchを使える環境（執筆時点ではBusiness Premiumも対象）なら、リング設計自体をMicrosoftに任せる選択肢もあります。

アプリ配布：Microsoft StoreアプリとWin32アプリ

「アプリ → すべてのアプリ → 追加」でアプリの種類を選びます。Storeにあるものは「Microsoft Storeアプリ（新規）」が最も手間がかからず、Store側で更新も自動で行われます。最初に配布すべきはポータルサイト（Company Portal）で、割り当ては「必須」、対象は「すべてのデバイス」にします。

Storeにない社内ツールやベンダー製品は、Win32アプリとして配布します。インストーラーをMicrosoft Win32 Content Prep Tool（IntuneWinAppUtil.exe）で.intunewin形式に固め、アップロード時にインストール／アンインストールコマンドと検出ルールを指定します。

# C:\pkg\app にインストーラー一式を置いた状態で実行
.\IntuneWinAppUtil.exe -c C:\pkg\app -s setup.msi -o C:\pkg\out -q

# 管理センターで指定するコマンド例（MSIの場合）
# インストール:      msiexec /i "setup.msi" /qn /norestart
# アンインストール:  msiexec /x "{製品コードGUID}" /qn /norestart
# 検出ルール:        MSI（製品コードは自動入力される）
# インストールの動作: システム（ユーザーのサインインを待たずに入る）

Win32アプリはIntune Management Extension（IME）というエージェントが処理します。IMEはWin32アプリかPowerShellスクリプトが割り当てられた端末に自動でインストールされ、ログはC:\ProgramData\Microsoft\IntuneManagementExtension\Logs\のIntuneManagementExtension.logとAppWorkload.logに出ます。検出ルールはインストール後にも定期的に評価され、検出に失敗するとインストールが繰り返されるため、MSIなら製品コード、それ以外はファイルやレジストリの存在かバージョン「以上」の条件で書くのが確実です。

検出ルールに特定バージョンとの「一致」を使うと、アプリが自動更新された後に検出が失敗し、Intuneが古いバージョンを再インストールして再び自動更新される、というループが起きます。自動更新するアプリ（ブラウザーやPDFリーダーなど）は、バージョン条件を「以上」にするか、ベンダーが提供するMSIの製品コード検出に任せてください。

ポータルサイト（Company Portal）の役割

ポータルサイトは、ユーザーが「登録済みデバイスで使用可能」として割り当てられたアプリを自分でインストールしたり、自分の端末の準拠状態と非準拠の理由を確認したりする窓口です。「BitLockerが有効になっていません」のような具体的な理由が表示されるので、ヘルプデスクへの問い合わせ前にユーザー自身で状況を把握できます。「テナント管理 → カスタマイズ」で会社名、ロゴ、サポート連絡先を入れておくと、ユーザーが偽アプリと区別しやすくなります。

確認方法：管理センターと端末側コマンド

管理センターでは「デバイス → すべてのデバイス → 該当端末」で最終チェックイン日時、準拠状態、割り当てられた構成プロファイルごとの適用結果（成功／エラー／保留中）を確認できます。「レポート → デバイスのコンプライアンス」で全端末の準拠率と非準拠理由の内訳が見られるので、条件付きアクセスで準拠デバイスを要求する前の指標にします。Windowsのチェックイン間隔は登録直後は数分おき、安定後は約8時間ごとで、「同期」ボタンで即時に促せます。

端末側では次のコマンドで参加状態と暗号化状態を確認します。

# Entra参加とMDM登録の状態
dsregcmd /status
#   AzureAdJoined : YES   ← Entra参加済み
#   MdmUrl : https://enrollment.manage.microsoft.com/...  ← Intune登録済み

# BitLockerの状態（管理者権限で実行）
manage-bde -status C:
#   Conversion Status: Fully Encrypted / Protection Status: Protection On が目標

# 手動同期（設定アプリの「同期」と同じ）
Get-ScheduledTask -TaskPath "\Microsoft\Windows\EnterpriseMgmt\*" | Start-ScheduledTask

ポリシーが届いているのに反映されない場合は、イベントビューアーの「アプリケーションとサービスログ → Microsoft → Windows → DeviceManagement-Enterprise-Diagnostics-Provider → Admin」を見ると、どの設定がどのエラーコードで失敗したかが記録されています。

つまずきポイント

登録時に「0x80180018」または「0x80180014」で失敗する

0x80180018はユーザーにIntuneライセンスが割り当てられていないときのエラーです。Microsoft 365管理センターでライセンスを付与し、数分待ってから再試行します。0x80180014は端末の種類が登録制限（デバイス → 登録 → 登録制限）でブロックされているか、Home Editionなど対応外のOSのときに出ます。winverでエディションを確認し、登録制限で個人所有のWindowsをブロックしている場合はEntra参加（会社所有扱い）で登録し直します。

BitLockerを有効にしたのにコンプライアンスが「非準拠」のまま

BitLocker、セキュアブート、コード整合性の判定はDevice Health Attestation（起動時にTPMが記録した状態）を使うため、暗号化完了後に再起動して次回のチェックインが済むまで「非準拠」が続きます。再起動して「同期」を押し、それでも変わらなければmanage-bde -statusで「Protection On」になっているか確認します。「Protection Off」なら暗号化は済んでいても保護が一時停止している状態で、manage-bde -protectors -enable C:で再開します。

Win32アプリが「インストール保留中」から進まない

IMEがまだ端末に入っていないか、端末がチェックインしていない状態です。サービス一覧に「Microsoft Intune Management Extension」があるか確認し、なければ同期を実行して数分待ちます。IMEがあるのに進まない場合はAppWorkload.logを開き、検出ルールの評価結果とインストーラーの終了コードを見ます。終了コード1603はMSIの一般的な失敗で、ユーザーの操作が必要なインストーラーを「システム」コンテキストで実行しているケースが多いです。

サイレント暗号化が始まらない

「他のディスク暗号化の警告を許可する」が無効になっていない、ユーザーが標準ユーザーなのに「標準ユーザーの暗号化を許可する」が有効になっていない、TPMがBIOSで無効、のいずれかがほとんどです。イベントビューアーの「Microsoft → Windows → BitLocker-API → Management」に理由が記録されるので、そこから設定を修正します。

Autopilotの概要と次の一歩

ここまでの設定ができていれば、新しいPCは「Entra参加 → 自動登録 → ポリシーとアプリが降ってくる」という流れで使えるようになります。Windows Autopilotは、この流れの最初の一歩である「誰が・どの端末を・どう初期設定するか」を、ハードウェアハッシュの事前登録とデプロイプロファイルで自動化する仕組みです。ユーザーは箱から出したPCで会社アカウントにサインインするだけで、情シスが触らずにキッティングが終わります。ハードウェアハッシュは、PowerShell GalleryのGet-WindowsAutopilotInfoスクリプトで既存端末から取得するか、購入時に販売店に登録を依頼します。具体的な流れと手順書の作り方はPCキッティング効率化のガイドで扱います。

よくある質問

Intuneでできることは？

端末の登録と棚卸し、BitLockerやDefenderなどのセキュリティ設定の強制、Windows Updateの延期と期限管理、Microsoft Store・Win32・Microsoft 365 Appsの配布、PowerShellスクリプトの実行、準拠状態の評価と条件付きアクセスへの連携、紛失時のリモートワイプです。Windows以外にmacOS、iOS、Androidも管理できます。

Intuneは個人でも使えますか？

個人向けの販売はなく、組織向けにユーザー単位で提供されます。学習目的なら、Microsoft 365 Business Premiumの試用版などで自分のテナントを作り、手元のWindows Pro端末を登録して試すのが現実的です。試用期間が終わると端末は管理外になるため、検証後は登録解除してから終了してください。

導入手順の全体像は？

ライセンス確認 → MDM自動登録スコープの設定 → コンプライアンスポリシー → BitLocker・Defenderの構成プロファイル → 更新リング → ポータルサイトと必須アプリの配布 → 情シス端末でパイロット → 部署ごとに展開 → 準拠率が上がったら条件付きアクセスで準拠デバイスを要求、の順です。パイロットから全社展開までは1〜2か月が目安です。

Intuneでできないことは？

OSイメージの展開、Windows Home Editionの管理、標準機能でのリモート操作（Remote Helpはアドオン）、購入・契約情報を含む資産台帳、オフライン端末への即時反映です。グループポリシーの全項目が使えるわけでもないため、既存GPOを移行する場合は設定カタログとグループポリシー分析（Group Policy analytics）で対応状況を先に確認します。

まとめ

Intune導入で最初に効くのは、自動登録によって「登録漏れの端末がなくなる」ことと、BitLockerのサイレント有効化と回復キーのEntra保存で「紛失時に説明できる状態」になることです。コンプライアンスポリシーは評価しかしないので、必ず構成プロファイルとセットで作り、既定の「ポリシー未割り当て＝準拠」を変えるのを忘れないでください。更新リングは期限を設定して初めて機能します。ここまで整ってから条件付きアクセスで準拠デバイスを要求すると、締め出しの問い合わせを最小限にできます。

次に読む

• Entra IDの条件付きアクセス入門：準拠デバイスを要求するポリシーの作り方と検証手順
• PCキッティングを効率化する：Autopilotのハードウェアハッシュ登録から手順書まで
• IT資産管理の始め方：Intuneのデバイス一覧を台帳に連携する