PCキッティング効率化：Windows Autopilotとイメージ展開・手順書

キッティングとは、新しいPCを業務で使える状態にする一連の作業のことで、開梱・検品、OSの初期設定、Entra IDやドメインへの参加、セキュリティ設定、業務アプリの導入、資産登録、利用者への引き渡しまでを含みます。仮に1台3時間の手作業なら年100台で300時間、担当者ひとりの2か月分がここに消えます。

効率化の本命はWindows Autopilotで、情シスが箱を開けずに利用者へ直送し、初回サインインで設定とアプリが降ってくる形にできます。ただしAutopilotは「設定とアプリの配布基盤（Intune）が整っていること」が前提で、そこを飛ばすと手作業が形を変えて残るだけです。方式の比較、Autopilotの流れ、Intuneとの組み合わせ、受領から回収までの手順書テンプレート、資産管理との連携、廃棄、Macの場合まで、実際に運用へ乗せる順番でまとめます。

手作業キッティングの限界を数字で把握する

まず現状の作業を分解して、1台あたりの時間を工程ごとに測ります。典型的な内訳は、開梱・検品と資産タグ貼付、OS初期設定（OOBE）、ネットワークとアカウント設定、Entra ID参加またはドメイン参加、BitLocker有効化、業務アプリの導入（オフィススイート、ブラウザ、VPN、業務固有アプリ）、プリンターや共有フォルダの設定、動作確認、引き渡しです。測ってみると、時間の大半はアプリのダウンロードとインストールの待ち時間で、担当者が手を動かしている時間は3割程度という結果になることが多いです。

手作業の問題は時間より品質のばらつきです。担当者によってBitLockerの有効化を忘れる、ローカル管理者のパスワードが端末ごとに違う（または全台同じ）、アプリのバージョンが混在する、といった差が、後のセキュリティ対応の工数として跳ね返ります。自動化に踏み切る目安は、年間の入替台数が50台を超える、拠点が複数ある、在宅勤務者へ配送する必要がある、のいずれかです。逆に年20台以下で全員が本社にいるなら、手順書の整備と設定スクリプトで十分で、Autopilotの設計に時間をかける方が高くつきます。

方式の比較：手動・マスターイメージ・Autopilot

Microsoft 365のプランにIntuneが含まれているなら、Autopilotを第一候補にしてください。理由は、イメージ方式が「端末の状態をある時点で固定する」のに対し、Autopilotは「端末をIntuneのポリシーに常に追従させる」ため、キッティング後の設定変更やアプリ更新も同じ仕組みで済むからです。この判断が当てはまらないのは、インターネットに出られない工場や検査室の端末、ライセンス認証がイメージに依存する旧式の業務ソフト、ドメイン参加が必須でEntra ID参加に移れない環境の3つで、これらはマスターイメージを残し、それ以外をAutopilotに寄せる二本立てが現実的です。

Autopilotの流れ：ハッシュ登録・プロファイル・利用者体験

前提となるライセンスは、執筆時点ではIntuneとEntra ID P1（自動MDM登録に必要）を含むプラン、たとえばMicrosoft 365 Business PremiumやE3/E5相当です。OSはWindows 10/11のPro以上が対象です。条件は変わるため、契約前に公式サイトのライセンス要件を確認してください。Entra IDの設定で「MDMユーザースコープ」を対象ユーザーに設定し、Intuneへの自動登録を有効にしておきます。

流れは3段階です。第一にハードウェアハッシュの登録で、端末固有のハッシュをIntuneのAutopilotデバイス一覧に登録し、「この端末は自社のもの」と紐づけます。登録方法は、販売店やメーカーに購入時に登録してもらう（パートナーセンター経由）、PowerShellでハッシュを取得してCSVをアップロードする、すでにIntuneに登録済みの端末をAutopilotデバイスに変換する設定を使う、の3通りです。新規購入分は販売店登録が最も手間がなく、見積時に「Autopilot登録対応」を条件に入れます。手元の端末は次のコマンドで取得します。

New-Item -Type Directory -Path C:\HWID -Force
Set-Location C:\HWID
Set-ExecutionPolicy -Scope Process -ExecutionPolicy RemoteSigned
Install-Script -Name Get-WindowsAutopilotInfo -Force

# CSV に出力して Intune 管理センターからインポートする場合
Get-WindowsAutopilotInfo -OutputFile AutopilotHWID.csv

# 管理者資格情報で直接アップロードし、グループタグも付ける場合
Get-WindowsAutopilotInfo -Online -GroupTag "Sales-Laptop"

-Onlineでの直接登録は管理者権限での認証が必要です。利用者に渡す端末のOOBE画面で管理者の資格情報を入力したら、必ずサインアウトして資格情報を残さないでください。また、登録した直後はIntuneの一覧に反映されるまで時間がかかることがあります。反映前に利用者がOOBEを進めると会社のサインイン画面が出ず、通常の個人セットアップになってしまうので、一覧に「割り当て済み」と表示されてから配布します。

第二にデプロイプロファイルです。Intune管理センターでプロファイルを作り、参加の種類（Entra参加）、展開モード（利用者が自分でサインインするユーザードリブン、共用端末やキオスク向けのセルフデプロイ）、OOBEで省略する画面（プライバシー設定、ライセンス条項、ローカル管理者にしない設定）、デバイス名のテンプレート（例：PC-%SERIAL%）を決めます。プロファイルはグループに割り当て、グループタグを条件にした動的グループを使うと、営業用・開発用のように用途別の設定を自動で振り分けられます。

第三が利用者体験です。利用者は届いた箱を開けて電源を入れ、Wi-Fiにつなぐと会社名の入ったサインイン画面が出ます。会社アカウントでサインインすると登録ステータスページ（ESP）が表示され、ポリシーの適用と必須アプリの導入が終わるまで待ち、完了するとデスクトップが開きます。情シス側であらかじめアプリを入れておきたい場合は「事前プロビジョニング」モードを使い、技術者がOOBEでWindowsキーを5回押して事前展開を実行し、電源を切って発送します。利用者側の初回待ち時間を短くしたい在宅勤務者向けや、大容量アプリが必須の部門にはこの方式が向きます。

アプリ・設定の配布と組み合わせる設計ルール

Autopilotは端末を「Intuneに参加した状態」にするだけで、その後の中身はIntune側の割り当てで決まります。Intuneの基本（登録、コンプライアンス、構成プロファイル、アプリ配布）はIntuneで始めるWindows端末管理にまとめていますが、Autopilotと組み合わせるときの設計ルールは3つです。

• ESPでブロックする必須アプリを絞る：ESPは指定したアプリの導入完了までデスクトップを見せません。ここにVPNクライアントとセキュリティ製品だけを入れ、オフィススイートや業務アプリはESP完了後にバックグラウンドで降ろします。大容量アプリをブロック対象にするとESPがタイムアウトし、利用者が初日に情シスへ電話することになります。
• 設定はデバイスグループ、アプリはユーザーグループに割り当てる：BitLocker、Defender、Wi-Fi、更新リングのような端末の状態はデバイス側に、部門で違う業務アプリは利用者側に割り当てると、端末を別の人に渡したときも設定が破綻しません。
• ローカル管理者は作らない：利用者を標準ユーザーにし、ローカル管理者パスワードはWindows LAPSでIntuneから管理します。全台共通の管理者パスワードは、1台の侵害が全台の侵害になる最短経路です。

コンプライアンスポリシー（BitLocker有効、Defender有効、OSバージョンの下限）を作り、Entra IDの条件付きアクセスで「準拠デバイスのみ社内データにアクセス可」とすると、キッティングを経ていない私物端末や設定漏れの端末は自動的に締め出されます。設定の順番はEntra IDの条件付きアクセス入門にあります。

手順書テンプレート：受領→登録→配布→回収

自動化しても、箱の受け取りと台帳の更新は人の作業として残ります。手順書は工程ごとに「誰が・何をして・どこに記録するか」を1行で書き、担当が代わっても同じ結果になる粒度にします。

この表で最も抜けやすいのが「初期セットアップ支援」の翌営業日確認です。ESPが途中で失敗した端末は、利用者が気づかず設定の一部が欠けたまま使われます。Intuneのデバイス一覧で「登録日が昨日以降で非準拠」の端末を毎朝確認する運用を、ヘルプデスクの定常業務に入れてください。

IT資産管理との連携

Autopilotで直送する運用では、情シスが端末に触れないため、台帳の登録は「シリアル番号」を軸に行います。販売店から納品時にシリアル一覧のCSVをもらい、資産台帳に一括インポートしてから、Intuneのデバイス一覧のシリアルと突合します。デバイス名をPC-%SERIAL%にしておくと、Intune・EDR・台帳の3つがシリアルで一致するので、突合が目視で済みます。資産タグをホスト名にしたい場合は、Autopilotデバイス一覧で端末ごとにデバイス名を指定する機能（Entra参加の場合）を使い、ハッシュ登録の工程で資産タグを名前として入力します。台帳側の設計はIT資産管理の始め方にあります。

資産タグの物理ラベルは、直送の場合は利用者に貼ってもらうことになります。ラベルを同梱して「底面の手前左に貼付し、貼った写真をヘルプデスクに送る」と初回ガイドに書いておくと、棚卸しの時点でラベルがない端末をほぼなくせます。

返却・再利用・廃棄

返却された端末は、まずIntuneからワイプ（初期状態に戻す）を実行します。Autopilotに登録されたままなら、次の利用者がサインインするだけで再キッティングが完了するので、再利用のコストはほぼゼロです。再利用するかどうかは、保証の残り、バッテリーの劣化度、OSの要件（Windows 11のTPM 2.0要件を満たすか）の3点で判断します。

Intuneのワイプは、端末がIntuneに接続したときに実行される命令です。電源が切られた端末やネットワークにつながらない端末には届きません。回収後は手元で起動してワイプの完了をIntune側で確認し、起動できない端末はストレージの物理破壊か消去証明書つきの業者処分に回してください。「ワイプを送った」だけでは消去した証拠になりません。

廃棄や売却では順番が重要です。先にIntuneでワイプし、次にIntuneとEntra IDのデバイスオブジェクトを削除し、最後にAutopilotデバイス一覧から登録を削除します。Autopilot登録を消し忘れた端末は、売却先で初期化されても自社テナントへ参加しようとし、購入者が使えないうえに自社の情報（テナント名）が表示されます。ストレージはBitLockerで暗号化済みなら回復キーの削除と初期化で「暗号化消去」になりますが、取引先の要求で物理破壊やデータ消去証明書が必要な場合は、廃棄業者の証明書をPDFで台帳に添付します。事業で使ったPCは家庭用のリサイクル制度の対象外で、産業廃棄物として許可を持つ業者かメーカーの法人向け回収サービスに引き渡します。

Macの場合：Apple Business ManagerとMDM

MacにおけるAutopilot相当が、Apple Business Manager（ABM）の自動デバイス登録です。Appleまたは正規販売店から法人購入した端末は、購入時にABMへ登録してもらえ、ABMでMDM（Intune、Jamfなど）を割り当てておくと、初回起動時に自動でMDMに登録されて設定とアプリが配布されます。仕組みはAutopilotと同じで、「ABM登録＝ハッシュ登録」「MDMの登録プロファイル＝デプロイプロファイル」と読み替えれば設計は共通です。

違いは、量販店や個人で買った端末はABMに入らない点です。Apple Configuratorを使えば手動で追加できますが、追加後に仮登録期間があり、その間は利用者が登録を解除できます。法人購入で最初からABMに入れる方が確実で、購入ルートを購買部門と決めておくことがMacキッティングの前提になります。

つまずきポイント：導入初期によくある失敗

• ハッシュ未登録の端末が利用者に届く：販売店に登録を依頼したつもりが伝わっておらず、利用者の初回起動で会社のサインイン画面が出ません。発注書に「Autopilot登録対応」を明記し、納品時にIntuneの一覧でシリアルを確認してから配送します。
• ESPに大容量アプリを入れてタイムアウトする：CADや開発ツールをブロック対象にして、ESPが規定時間内に終わらずエラーになります。ブロック対象はVPNとセキュリティ製品だけに絞り、他はESP完了後に配布します。
• ローカル管理者パスワードが全台共通：手作業時代の習慣で共通パスワードを設定し、1台の侵害が全台に広がる経路を残します。Windows LAPSで端末ごとにランダム化し、Intuneから取得する運用にします。
• 売却端末のAutopilot登録を消し忘れる：買取業者から「初期化しても御社のサインイン画面が出る」と連絡が来ます。廃棄手順書に「ワイプ→デバイス削除→Autopilot登録削除」の順を書き、台帳のステータス変更を最後のステップにします。

よくある質問

Autopilotに必要なライセンスは？

執筆時点では、Intuneと、自動MDM登録に必要なEntra ID P1相当が含まれるプランが必要です。Microsoft 365 Business PremiumやE3/E5がこれに当たります。端末側はWindows 10/11のPro以上です。ライセンス要件と含まれるプランは変わることがあるので、契約前に公式サイトの要件を確認してください。

1台あたりどのくらい時間がかかる？

Autopilotでは情シスの作業は受領・登録・配送手配で1台あたり数分に収まり、利用者側の初回セットアップはネットワーク速度と必須アプリの容量で決まります。ESPのブロック対象を絞れば、利用者は初回サインインからデスクトップが開くまで待ち時間中心で、手作業のように担当者が張り付く時間はなくなります。時間を測るなら、情シスの作業時間と利用者の待ち時間を分けて記録してください。

外注と内製の判断は？

Autopilotが使える環境なら内製が基本です。外注する価値があるのは、マスターイメージ方式が必要な端末の書き込み作業と、年に1回の大量入替（数百台）で受領・検品・ラベル貼付・配送の物流だけを委託する場合です。プロファイルやアプリ配布の設計まで外注すると、変更のたびに費用と時間がかかり、Intuneを内製で持っている意味が薄れます。

まとめ

キッティング効率化の順番は、Intuneの設定とアプリ配布を先に整え、次にAutopilotで端末をその仕組みに乗せ、最後に受領から廃棄までの手順書と台帳の更新ルールを固める、です。ESPのブロック対象を絞る、設定はデバイス・アプリはユーザーに割り当てる、ローカル管理者はLAPSで管理する、廃棄時はAutopilot登録を削除する。この4つを守れば、担当者が張り付く時間はなくなり、品質は端末ごとにばらつかなくなります。

次に読む

• Intuneで始めるWindows端末管理：登録・コンプライアンス・アプリ配布の手順
• IT資産管理の始め方：台帳の作り方とOSSツール（Snipe-IT）での運用手順
• Entra IDの条件付きアクセス入門：中小企業が最初に設定すべき5つのポリシー