合同会社小村ソフト
相談する
メニュー

グループポリシーからIntuneへ ── 中小企業のデバイス管理移行ガイド

· 更新日: · · Intune, グループポリシー, MDM, Microsoft Entra ID, デバイス管理, 中小企業, 情報システム, Windows

「サーバーの保守期限が来たので更改を計画している。ただ、ADサーバーを買い直してドメインとグループポリシーをもう一周(5年)続けるべきなのか、自信がなくなってきた」「在宅勤務のノートPCに社内で決めたグループポリシーがいつまでも当たらない。VPNにつないだときだけ適用されるようでは、管理できているとは言えないのではないか」── ここ数年、中小企業のお客様からこの種の相談が着実に増えています。

背景には働き方の変化があります。オンプレミスのActive Directory(AD)とグループポリシー(GPO)は、「PCは社内LANにあり、ドメインコントローラーにいつでも届く」ことを前提にした仕組みです。持ち出しPCと在宅勤務が当たり前になった今、その前提のほうが崩れました。加えて、更新管理の定番だったWSUSが2024年9月に非推奨となり1、Microsoftのデバイス管理の重心はEntra ID+Intune(MDM)へ移っています。

とはいえ、移行は”全部か無か”ではありません。Entra join+Intuneで管理するPCとADドメイン参加+GPOのPCは同じ社内で共存でき2、ファイルサーバーのためにADを残したまま、新規PCからIntune管理に切り替えていく段階移行が可能です。この記事では、中小企業の情シス担当者・経営者を対象に、GPOとMDMの仕組みの違い、前提となる構成、ライセンス、現行GPOの棚卸し方法、段階移行のシナリオ、つまずきどころまでを、2026年8月時点のMicrosoft Learn等の一次情報にもとづいて整理します。

1. まず結論

  • GPOはドメインネットワークに接続したときに適用され、Intune(MDM)はインターネット経由で同期します。「在宅PCに設定が届かない」問題は、MDMでは構造的に発生しません。定常状態の同期はおおよそ8時間ごとで、ポリシー変更時には通知による同期も走ります。3
  • 移行は”全部か無か”ではなく、共存を前提にした段階移行が現実解です。Microsoft自身が、新規PCはEntra join、既存のドメイン参加PCはhybrid joinのままリプレースサイクルで置き換える進め方を推奨しています。2
  • Intuneは単体契約もできますが、中小企業ではMicrosoft 365 Business PremiumにIntune Plan 1が含まれる形で使うのが現実的です(2026年8月時点)。プラン構成は変わり続けているため、契約前に必ず一次情報を確認してください。45
  • 現行GPOの棚卸しには、Intune標準のGroup Policy analyticsを使います。GPOのXMLエクスポートを取り込むと設定ごとの移行可否が仕分けされ、対応済みの設定は設定カタログのポリシーへ変換できます。6
  • GPO時代の主要業務は、ほぼIntuneに対応物があります。管理用テンプレート相当は設定カタログ7、WSUSはWindows Update for Business、BitLocker回復キーはEntra ID保存8、ローカル管理者パスワードはWindows LAPS9、アプリ配布はWin32アプリ(.intunewin)10とMicrosoft Storeアプリ(winget基盤)11です。
  • そのまま移せない代表格は、ログオンスクリプト・ドライブマップ・プリンター配布です。PowerShellスクリプトの配布12、Remediations(旧称Proactive remediations)13、アプリ化、または「その運用をやめる」ことで代替します。
  • 同じ設定をGPOとMDMの両方から配らないでください。既定では競合時にGPOが勝ちます。MDMWinsOverGPを1にするとMDMが勝ちますが、効くのはPolicy CSPの設定だけです。14
  • ドメイン参加機とEntra join機は共存でき、Entra join機からオンプレのファイルサーバーへのアクセスも可能です。ADの即時廃止は移行の条件ではありません。2

一文でまとめるなら、「ADサーバーをもう一周更改するか」の問いは、「これからの5年、社外にあるPCを何で管理するか」の問いに置き換えて判断すべきです。

2. GPOとMDMは何が違うか ── 適用の仕組みを比べる

まず、両者を同じ土俵で比較します。GPOの仕組み自体(LSDOUの適用順序、gpupdate/gpresultでの確認方法)は「グループポリシー(GPO)実務入門」で詳しく扱っているので、ここでは移行判断に効く違いに絞ります。

観点 グループポリシー(GPO) Intune(MDM)
ポリシーの取得元 社内のドメインコントローラー インターネット上のIntuneサービス
適用の契機 起動・サインイン時+定期更新(既定でおよそ90分間隔+ランダムオフセット) 定常時はおよそ8時間ごとの同期+ポリシー変更時の通知、管理センター/端末からの手動同期3
社外PCへの到達 ドメインコントローラーに接続できたときだけ(実質VPN頼み) インターネットにつながれば場所を問わない
適用対象の指定 OUへのリンク+セキュリティフィルター+WMIフィルター Entra IDのユーザー/デバイスグループ+割り当てフィルター
設定の実体 レジストリ書き込み(管理用テンプレート)ほか Windowsが公開するCSP(構成サービスプロバイダー)への書き込み
競合時の既定 GPO同士はLSDOUの順序で解決 GPOとMDMが競合すると既定ではGPOが優先14
必要なインフラ ADドメイン(サーバーの購入・構築・保守・更改) サブスクリプション(サーバーレス)

移行判断で最も重要なのは1行目と3行目です。GPOが在宅PCに届かないのは不具合ではなく、「PCはドメインコントローラーに届く場所にある」という設計前提が現代の働き方と合わなくなったということです。VPNの常時接続を全社員に強制してGPOを延命する道もありますが、それはVPN基盤という別のインフラ維持を抱え込む選択でもあります。

一方でMDMの同期間隔(約8時間)はGPOの定期更新(約90分)より粗く、「配ったらすぐ反映」という感覚は通用しません。ポリシーの割り当てや変更の際には端末へ通知が飛び、比較的すみやかに同期されますが3、即時性を要する統制(緊急のブロックなど)は同期間隔を前提に設計する必要があります。

3. 前提の整理 ── ドメイン参加・hybrid join・Entra joinの3形態

Windows PCの「会社への参加のしかた」には3形態あり、どれを選ぶかで使える管理手段が決まります。2

形態 概要 使える管理手段 備考
ADドメイン参加のみ 従来型。オンプレADにのみ参加 GPO 社外ではポリシー更新が届かない
Microsoft Entra hybrid join ADドメイン参加+Entra IDにも登録 GPO+Intune(併用可) 初回サインイン等でドメインコントローラーへの接続(見通し)が必要2
Microsoft Entra join Entra IDにのみ参加。ADには参加しない Intune クラウドネイティブ。社外でも認証・管理が完結

hybrid joinは「既存のドメイン参加PCにクラウドの身分証を持たせる」ための形態で、既存資産を活かしながらIntuneや条件付きアクセスを使い始められます。ただしMicrosoftは、hybrid joinを最終ゴールにせず、新規・リプレースのPCはEntra joinにすることを推奨しています。2

ここで押さえるべき制約が1つあります。既存のドメイン参加PC(hybrid join含む)をEntra joinへ変換する、Microsoftサポート対象の手段は存在せず、Windowsのリセット(ワイプ)が必要です。だからこそMicrosoftも、ハードウェア更新やOS入れ替えのタイミングに合わせてEntra joinへ移すことを勧めています。2

以上から、中小企業の現実的なゴールはこう置けます。

  1. 新規・入替のPCはEntra join+Intuneで管理する
  2. 既存のドメイン参加PCは無理に触らず、リプレースサイクルで自然に置き換える
  3. ADはファイルサーバー認証など残存する役割のために当面残し、GPOの中身だけを段階的に空にしていく

Entra join機とドメイン参加機は同じ環境で共存でき、Entra join機からオンプレのファイルサーバーなど社内資産へのアクセスも可能です。2 ただしこのシングルサインオンには前提が2つあります。①ユーザーがEntra Connect(またはCloud Sync)でオンプレADから同期されたハイブリッドIDであること(クラウドにしか存在しないユーザーはADのKerberos/NTLM資格情報を得られません)、②PCからドメインコントローラーへネットワーク的に到達できること(社外からは VPN 等が必要)です。15 移行計画では、この2点を満たさないユーザー・利用場面が無いかを先に確認してください。

4. ライセンスと費用 ── Intuneはどのプランに含まれるか(2026年8月時点)

Intuneの基本ライセンスはMicrosoft Intune Plan 1で、単体のサブスクリプションとしても、各種Microsoft 365プランへの同梱としても提供されます。4

中小企業にとって重要なのは、300ユーザーまでのMicrosoft 365 Business PremiumにIntune Plan 1が含まれることです。5 Business PremiumにはMicrosoft Entra ID P1やMicrosoft Defender for Businessも含まれるため、後述するコンプライアンスポリシー+条件付きアクセスの構成までこのプラン内で完結します。一方、Business Standard/BasicにIntuneは含まれません。メールとOfficeだけの契約からデバイス管理へ踏み出す場合は、Business Premiumへのアップグレード費用が実質的なIntune導入費用になります。

注意点が2つあります。

  • プラン構成は頻繁に変わります。2026年に入ってからも、Intune Suiteの機能をMicrosoft 365上位プラン(E3/E5等)へ再配分する変更が進行しているなど、同梱内容の見直しが続いています。4 本節の内容は2026年8月時点のものとして扱い、契約前に必ずMicrosoftのライセンスページと価格ページで最新情報を確認してください。
  • Intuneの画面から使えても、別ライセンスを要求する機能があります。代表例が後述のRemediationsで、Windows Enterprise E3/E5系(Microsoft 365 E3/E5等に同梱)のライセンスが必要であり、Business Premiumの範囲では利用できません。13

費用の比較は、「Intuneのサブスク費用」対「ゼロ円」ではありません。GPO側にも、ADサーバーのハードウェア更改、Windows ServerライセンスとCAL、構築費、5年分の保守、バックアップ、障害対応という費用がかかっています。サーバー更改の見積書とBusiness Premiumの5年分の差額を並べたうえで、「社外PCに管理が届くか」という能力差を加味して判断するのが正しい比較です。

5. GPOでやってきたことをIntuneでどうやるか

GPO運用の主要な仕事ごとに、Intuneでの対応物を対応表で示します。

GPOでの実現方法 Intuneでの対応物
管理用テンプレート(ADMX)でのレジストリ設定 設定カタログ ── ADMX由来を含む数千のWindows設定をCSP経由で構成7
「ドメイン参加PCだから信頼する」暗黙の前提 コンプライアンスポリシー+条件付きアクセス ── 準拠デバイスだけに社内データへのアクセスを許可16
WSUSでの更新管理 Windows Update for Business(更新リング等) ── WSUSは2024年9月に非推奨1
BitLocker回復キーのAD保存 BitLockerポリシー+Entra IDへの回復キー保存 ── サイレント有効化・キーローテーション・利用者のセルフサービス取得まで対応8
ローカル管理者パスワードの管理(LAPS) Windows LAPSポリシー ── パスワードの自動ローテーションとEntra ID/ADへの保存。Intune Plan 1+Entra ID Freeで利用可9
ソフトウェアの配布(MSI配布や手作業) Win32アプリ(.intunewin) ── インストーラーをツールで変換して配布。サイレントインストール必須、1アプリ30GBまで10。ストア掲載アプリはMicrosoft Storeアプリ(新)で、winget(Windows Package Manager)の仕組みを使って配布11
ログオンスクリプト・スタートアップスクリプト プラットフォームスクリプト(PowerShellを割り当て時に実行)12、Remediations(検知+修復スクリプトを定期実行)13

いくつか補足します。

  • 設定カタログは「GPOエディターのクラウド版」に相当する画面で、Microsoftも「オンプレミスのGPOと同様に細かく構成したい場合の自然な移行先」と位置づけています。ADMXバックドポリシー(ADMXで定義された設定のMDM版)も含まれ、サードパーティ製ADMXの取り込み機能(プレビュー)もあります。7
  • コンプライアンスポリシー+条件付きアクセスは、GPOにはなかった発想です。「BitLocker有効・OS最新・Defender稼働」のような準拠条件を定義し、満たさないデバイスからはMicrosoft 365へのアクセスをブロックできます。条件付きアクセスはEntra ID P1の機能で、Business Premiumに含まれます。16
  • Remediationsは旧称Proactive remediationsから改名されています。検知スクリプトと修復スクリプトのペアを定期実行する仕組みで、「ログオンのたびに何かを直す」系のGPO運用の代替になりますが、前述のとおりWindows Enterprise E3/E5系ライセンスが必要です。13 Business Premiumの範囲では、プラットフォームスクリプト(スクリプトや割り当ての変更時に実行され、失敗時は再試行される)12とWin32アプリの検出ルールを組み合わせて代替するのが現実的です。
  • 更新管理の詳細な選択肢(WUfB・Autopatch・WSUS継続の判断)は「WSUS非推奨後のWindows Update管理」で、BitLockerとLAPSの設計は「BitLocker実務ガイド」「Windows LAPS実務ガイド」でそれぞれ掘り下げています。

6. 現行GPOの棚卸し ── Group Policy analyticsで仕分ける

移行計画の最初の実作業は、現行GPOの棚卸しです。IntuneにはGroup Policy analyticsという専用機能があり、手作業でGPOを読み解かなくても、設定単位で「MDMで代替できるか」を仕分けできます。6

手順は次のとおりです。6

  1. ドメインコントローラー等でグループポリシー管理コンソール(GPMC.msc)を開き、対象GPOを右クリック→「レポートの保存」でXMLファイルとしてエクスポートする(1ファイル4MB以下)
  2. Intune管理センターの「デバイス」→「Group Policy analytics」でXMLをインポートする(複数選択可)
  3. 自動分析の結果、GPOごとにMDMサポート率(Intuneに同等設定がある割合)が表示される
  4. 「グループポリシー移行準備状況」レポートで、設定ごとにReady for migration(移行可)/Not supported(対応設定なし)/Deprecated(廃止済み)の仕分けを確認する
  5. Ready for migrationの設定は、そのまま設定カタログのポリシーへ変換して配布できる

日本語環境では重要な注意があります。Group Policy analyticsの非ADMX設定の分析は英語のみの対応で、英語以外の言語の設定を含むGPOをインポートするとMDMサポート率が不正確になり得ます。6 サポート率は概算の参考値として使い、最終判断は設定単位の一覧で行ってください。

実務では、仕分け結果を3つの山に分けます。

  1. 捨てる設定 ── Internet Explorer時代の設定、退役済みシステム向けの設定、誰も理由を説明できない設定。棚卸しの最大の成果は、実はこの山を捨てられることです。10年運用したGPOには相当量の遺産が堆積しています。
  2. Intuneへ移す設定 ── Ready for migrationのうち今後も必要なもの。設定カタログへ変換し、パイロットグループで検証します。
  3. 代替策を設計する設定 ── Not supportedのうち今後も必要なもの。代表例と代替の方向性は次のとおりです。
代替できない代表例 代替の方向性
ログオンスクリプトでのドライブマップ OneDrive/SharePointへの共有移行、またはプラットフォームスクリプトでのマップ12
プリンターの一括配布 Universal Printやプリンターベンダーの配布ツール、スクリプト配布
フォルダーリダイレクト OneDriveの既知のフォルダーの移動(KFM)へ置き換え
複雑なインストール・構成処理 Win32アプリ化して検出ルールつきで配布10

7. 段階的な移行シナリオ ── 5段階と完了条件

全体を5段階に分け、各段階に完了条件を置きます。「いつ終わったと言えるか」を先に決めておくことが、1人情シスの移行を頓挫させないコツです。

段階 やること 完了条件
① パイロット 新規PC数台をEntra join+Intune登録し、実業務で使う パイロット利用者が1か月、業務(共有・印刷・基幹システム)に支障なく使えている。BitLocker回復キーとLAPSパスワードをEntra ID上で確認できる
② 基本ポリシー セキュリティ基準(画面ロック・Defender・BitLocker・更新リング)をIntuneで再現 パイロット全台がコンプライアンスポリシーで「準拠」。GPO側の対応する設定を特定し、移行済みリストに記録した
③ アプリ配布 標準アプリをWin32アプリ/Storeアプリとして登録 新品PCがIntuneの自動処理だけで業務可能になる(キッティング手順書から手作業が消える)
④ 既存PCの扱い 原則リプレースサイクルで置換。前倒ししたい台のみワイプしてEntra join GPO管理下の台数が毎四半期減っており、全廃の期限が決まっている
⑤ ADの役割縮小 GPOを空にし、ADの残存役割を文書化。不要ならAD自体の廃止を検討 「GPOで配っている設定」がゼロ。AD廃止または縮小後の構成図が存在する

各段階の要点です。

  • ① パイロットは、次の新入社員PCや故障交換機など、どうせ買うPCで始めます。追加投資ゼロで開始でき、失敗してもワイプしてやり直せるのが新規機から始める利点です。台数が増えてきたら、OOBE(初期セットアップ)からEntra join+Intune登録までを自動化するWindows Autopilotの利用を検討します。2
  • ② 基本ポリシーでは、GPOの全設定の再現を目指さないでください。まず更新・暗号化・Defender・画面ロック・LAPSの5点に絞り、コンプライアンスポリシーで準拠状態を可視化します。条件付きアクセスで「準拠デバイスのみアクセス可」を有効にするのは、パイロットで誤検知がないことを確認した後です。16
  • ③ アプリ配布は、キッティングの自動化と地続きです。すでにwingetベースの手順を整備しているなら(「winget + PowerShellでPCキッティングを自動化する」)、その資産はStoreアプリ(新)やWin32アプリのラッパーとしてほぼそのまま活かせます。11
  • ④ 既存PCは、3章で述べたとおりEntra joinへの無変換パスがないため、原則は自然置換です。Windows 10からの入れ替え計画(「Windows 10サポート終了後の現実解」)が残っている組織は、その入れ替えを④と同時に進めると二度手間を避けられます。
  • ⑤ ADの役割縮小では、GPOが空になってもADが即座に不要になるとは限りません。ファイルサーバーの認証、レガシーアプリのLDAP参照などが残っていれば、ADは「認証サーバー」として縮小継続します。それらの棚卸しと期限設定までがこの段階の仕事です。

8. つまずきどころ

8.1. GPOとMDMの二重適用 ── 既定ではGPOが勝つ

移行期間中はGPOとIntuneの両方が同じPC(hybrid join機)に設定を配る場面が生じます。ここで同じ設定が競合した場合、既定ではGPO側が優先されます。Policy CSPのMDMWinsOverGPを1に設定するとMDM側の設定が優先され、対応するGPO設定はブロックされますが、この仕組みが効くのはPolicy CSP配下の設定に限られ、Defender CSPなど他のCSPで定義される設定には適用されません。Microsoft自身も、MDMWinsOverGPの管理下にない設定をGPOとMDMの両方で構成すると競合状態になり、どちらが勝つか保証されないと明言しています。14

実務の原則はシンプルです。優先制御に頼らず、同じ設定を両方から配らない。Intuneへ移した設定は、対応するGPO側の構成を「未構成」に戻すか、GPOごとリンクを外します。6章の移行済みリストは、このための台帳でもあります。

8.2. オンプレ資産への依存 ── ネットワークドライブとプリンター

移行の詰まりどころの多くは、Intuneの機能ではなくオンプレ資産との接続です。Entra join機からオンプレのファイルサーバーへのアクセス自体は可能ですが2、ドライブマップやプリンター配布をGPOのログオンスクリプトに依存していた場合、その配布手段だけが先に消えます。共有のOneDrive/SharePoint移行やUniversal Printへの置き換えを③の段階に織り込むか、当面はスクリプト配布12でつなぐかを、パイロット中に決めておいてください。

8.3. キッティングの再設計 ── Autopilotは「必須」ではない

Intune移行とセットでWindows Autopilotの導入を勧められることがありますが、数台〜十数台/年の調達規模なら、OOBEで職場アカウントにサインインして手動でEntra joinする運用でも実害はありません。Autopilotが効いてくるのは、調達台数が増えて開梱からの無人セットアップに価値が出てきたときや、販売店側でのデバイス登録を使えるときです。②③が整ってから足せばよく、移行の前提条件ではありません。

8.4. 「全部Intuneにしないと駄目」という誤解

最後は技術ではなく思い込みの問題です。Entra join機とドメイン参加機の共存は正式にサポートされた構成であり2、「ADが残っている=移行失敗」ではありません。GPOに数個の設定が残ったまま数年併走する会社は珍しくなく、それでも「新しいPCはすべてクラウド管理で、社外でも統制が効く」状態には大きな価値があります。完全移行の美しさより、後戻りできる小さな前進を優先してください。

9. 情シス1人体制での現実解

最後に、担当者が1人(または兼任)の会社での運用設計をまとめます。

  • 管理項目を最初から絞る。GPO時代の設定を全部持ち込もうとすると、棚卸しだけで疲弊します。7章②の5点(更新・暗号化・Defender・画面ロック・LAPS)から始め、必要が生じた設定だけを足す「引き算の設計」にしてください。設定カタログは数千の設定を提供しますが7、使う義務はありません。
  • 標準PC像を1つに決める。「この会社のPCはこのポリシー群とこのアプリ群」という標準を1セットだけ維持します。部署別の例外はグループとフィルターで表現できますが、例外が増えるほど1人では回らなくなります。
  • 外部パートナーには設計とテンプレ作りを頼み、日常運用は内製する。Intune移行の外注で失敗しやすいのは、構築を丸投げして「管理画面の意味が誰も分からない」状態になるケースです。初期設計・ポリシーのテンプレート化・移行判断の壁打ちを外部に求め、日々のPC追加やポリシー微調整は自分でできる状態をゴールにしてください。逆に言えば、そこまで引き継いでくれるパートナーを選ぶべきです。
  • 変更は一度に1つ。ポリシー変更は1件ずつ行い、Intuneのレポート(ポリシーの適用状態や割り当ての失敗)で結果を確認してから次に進みます。MDMの同期は約8時間周期であり3、「反映されない」の大半は故障ではなく時間の問題です。

10. まとめ

  • GPOはドメインコントローラーに届くことが前提の仕組みで、社外PCには構造的に届きません。Intune(MDM)はインターネット経由で同期するため、この課題を根本から解消します。
  • 移行は”全部か無か”ではありません。Entra join機とドメイン参加機は共存でき、新規PCからEntra join+Intuneへ切り替える段階移行が中小企業の現実解です。既存機の変換パスはないため、リプレースサイクルでの置換が定石です。
  • IntuneはMicrosoft 365 Business Premium(Intune Plan 1+Entra ID P1)で始めるのが中小企業では現実的です。ただしプラン構成は変わり続けており、Remediationsのように上位ライセンスを要する機能もあるため、2026年8月時点の本記事を鵜呑みにせず一次情報を確認してください。
  • 現行GPOの棚卸しはGroup Policy analyticsで自動化できます。移行可の設定は設定カタログへ変換し、対応設定のないログオンスクリプトやプリンター配布はスクリプト配布・アプリ化・運用廃止で代替します。日本語GPOではサポート率が不正確になり得る点に注意してください。
  • 移行は「パイロット→基本ポリシー→アプリ配布→既存PCの自然置換→ADの役割縮小」の5段階で進め、各段階の完了条件を先に決めます。
  • 二重適用の競合は既定でGPOが勝ちます。MDMWinsOverGPはPolicy CSP限定の仕組みなので、原則は「同じ設定を両方から配らない」です。
  • サーバー更改の見積りが出てきたときが、この移行を検討する最良のタイミングです。「ADをもう一周」の前に、次の5年のPCがどこで使われるかを考えてみてください。

関連記事

関連する相談領域

合同会社小村ソフトでは、AD+GPO環境からEntra ID+Intuneへの段階移行の設計(現行GPOの棚卸し、ポリシーの再現方針、パイロット計画)、サーバー更改とクラウド移行の比較検討、既存の業務アプリ・キッティング資産を活かした移行の相談を扱っています。「ADサーバーをもう一度買うべきか」を一緒に検討するところからで構いません。

参考リンク

  1. Microsoft Learn, Features removed or no longer developed in Windows Server. WSUSが非推奨(deprecated)となり新機能の開発が終了したこと、非推奨後も本番環境での利用がサポートされ製品ライフサイクルに従ってセキュリティ更新と品質更新を受け続けることについて。 ↩ ↩2

  2. Microsoft Learn, Microsoft Entra joined vs. Hybrid Microsoft Entra joined in cloud-native endpoints. Entra join/hybrid joinの違い、hybrid join機がドメインコントローラーへのネットワーク接続(見通し)を必要とすること、新規・リセット済みPCにはEntra joinが推奨されhybrid joinを長期ゴールにすべきでないこと、hybrid joinからEntra joinへのリセットなしの変換パスがなくハードウェア更新等の機会に移行すべきこと、両形態が同一環境で共存できること、Entra join機からオンプレミス資産へアクセスできること、AutopilotがEntra joinの主要な導入手段であることについて。 ↩ ↩2 ↩3 ↩4 ↩5 ↩6 ↩7 ↩8 ↩9 ↩10 ↩11

  3. Microsoft Learn, Common questions, answers, and scenarios with policies and profiles in Microsoft Intune. Intuneに登録済みデバイスの定期同期がおよそ8時間ごとであること、新規登録直後はより高頻度で同期すること、ポリシーの割り当て・変更時にはオンラインのデバイスへ同期通知が送られること、管理センターや端末から手動同期できることについて。 ↩ ↩2 ↩3 ↩4

  4. Microsoft Learn, Microsoft Intune licensing. IntuneがPlan 1/Plan 2/Intune Suiteの3プランで提供されること、多くの組織がMicrosoft 365バンドル(E3/E5等)経由でIntuneを取得すること、Intuneのサービスから利益を受けるユーザー/デバイスにライセンスが必要なこと、最新のプラン内容と価格は公式のプラン・価格ページで確認すべきことについて。 ↩ ↩2 ↩3

  5. Microsoft Learn, Device management and application management in Microsoft 365 Business Premium. Microsoft 365 Business PremiumにMicrosoft Intune Plan 1が含まれること、会社所有デバイスにはMDM、個人所有デバイス(BYOD)にはMDMまたはMAMを使い分けるBusiness Premiumでのデバイス管理戦略について。 ↩ ↩2

  6. Microsoft Learn, Import and analyze your on-premises GPOs using Group Policy analytics in Microsoft Intune. GPMCからGPOをXMLレポートとしてエクスポートし(1ファイル4MB以下)、Intuneへインポートして分析する手順、MDMサポート率の表示、移行準備状況レポートのReady for migration/Not supported/Deprecatedの分類、インポート済みGPOを設定カタログのポリシーへ移行できること、非ADMX設定は英語のみサポートで英語以外の言語ではMDMサポート率が不正確になり得ることについて。 ↩ ↩2 ↩3 ↩4

  7. Microsoft Learn, Use the Intune settings catalog to configure settings. 設定カタログが構成可能な設定を一覧化した仕組みであること、Windowsでは管理用テンプレート(ADMX)を含む数千の設定がCSPから直接生成されて提供されること、オンプレミスGPOと同様に細かく構成したい場合の自然な移行先と位置づけられていること、ポリシー作成・割り当て・レポートの手順について。 ↩ ↩2 ↩3 ↩4

  8. Microsoft Learn, Encrypt Windows devices with BitLocker using Intune. IntuneのBitLockerポリシーによるサイレント有効化、回復キーのMicrosoft Entra IDへの自動バックアップ、管理センターからの回復キー参照と監査ログ、回復キーのローテーション、Company Portal等による利用者のセルフサービス取得について。 ↩ ↩2

  9. Microsoft Learn, Microsoft Intune support for Windows LAPS. Intuneのアカウント保護ポリシーでWindows LAPSを構成し、ローカル管理者パスワードの要件強制・自動ローテーション・Entra IDまたはオンプレADへのバックアップができること、ライセンス要件がIntune Plan 1とMicrosoft Entra ID Freeであること、Pass-the-Hash等の攻撃の抑止に役立つことについて。 ↩ ↩2

  10. Microsoft Learn, Win32 app management in Microsoft Intune. MSI/EXE/スクリプトインストーラーをMicrosoft Win32 Content Prep Toolで.intunewin形式に変換して配布するWin32アプリ管理、アプリサイズの上限が1アプリ30GBであること、サイレントインストールが必須であること、配信の最適化(Delivery Optimization)による配布について。 ↩ ↩2 ↩3

  11. Microsoft Learn, Add Microsoft Store apps to Microsoft Intune. Microsoft Store for Businessの廃止後、IntuneのMicrosoft Storeアプリ(新)がWindows Package Manager(winget)を活用したストアアプリ配布の仕組みであること、UWPとWin32のストアアプリを検索して割り当てられること、ストア経由の自動更新やストアアクセスを制御するポリシーとの関係について。 ↩ ↩2 ↩3

  12. Microsoft Learn, Use PowerShell scripts on Windows devices in Intune. Intune管理拡張(Intune Management Extension)によるPowerShellスクリプトの配布、スクリプトはユーザー資格情報またはシステムコンテキストで実行できること、割り当て後に一度実行されスクリプトやポリシーの変更時に再実行されること、失敗時には3回まで再試行されること、Entra参加済み(登録済み)デバイスが前提であることについて。 ↩ ↩2 ↩3 ↩4 ↩5

  13. Microsoft Learn, Remediations. Proactive RemediationsがRemediationsへ改名されたこと、検知スクリプトと修復スクリプトのペアで構成されるスクリプトパッケージを配布して問題を自動修復できること、スクリプトが既定で24時間ごとに再実行されること、利用にはWindows Enterprise E3/E5(Microsoft 365 F3/E3/E5に同梱)・Windows Education A3/A5・Windows VDAのいずれかのライセンスが必要なことについて。 ↩ ↩2 ↩3 ↩4

  14. Microsoft Learn, Policy CSP - ControlPolicyConflict. MDMWinsOverGPの既定値が0であること、1に設定すると同等のグループポリシーがブロックされMDMポリシーが優先されること、対象がPolicy CSP内のポリシーに限られDefender CSPなど他のCSPには適用されないこと、MDMWinsOverGPの管理下にない設定をGPOとMDMの両方で構成すると競合状態になりどちらが勝つか保証されないことについて。 ↩ ↩2 ↩3

  15. Microsoft Learn, How SSO to on-premises resources works on Microsoft Entra joined devices. Entra join機からオンプレミス資産へのSSOの前提条件として、ドメインコントローラーへの見通し通信(社外からはVPN等が必要なこと)と、Entra ConnectまたはCloud SyncによるSAMアカウント名・ドメイン名等のユーザー属性の同期が必要なこと、Kerberos/NTLMチケット取得の流れについて。 ↩

  16. Microsoft Learn, Learn about Conditional Access and Intune. Intuneのコンプライアンスポリシーと条件付きアクセスを組み合わせ、準拠デバイスだけにメールや社内リソースへのアクセスを許可できること、条件付きアクセスがMicrosoft Entra ID P1/P2ライセンスに含まれる機能であること、デバイスベース/アプリベースの制御方式について。 ↩ ↩2 ↩3

関連する記事

同じタグを共有する最新の記事です。さらに近い話題で知識を深められます。

関連トピック

このテーマと近いトピックページです。記事を起点に、関連するサービスや他の記事へ進めます。

このテーマがつながるサービス

この記事は次のサービスページにつながります。近い入口からご覧ください。

よくある質問

この記事のテーマについて、相談時によくある質問をまとめています。

GPOからIntuneへ移行すると、いま使っているグループポリシーの設定はすべて再現できますか？
すべては再現できません。Intuneの設定カタログにはADMX由来を含む数千のWindows設定があり、大半のセキュリティ設定や制限は移せますが、ログオンスクリプトによるドライブマップやプリンター一括配布のように、MDMに対応する設定が存在しないものもあります。IntuneのGroup Policy analyticsに現行GPOのXMLエクスポートを取り込むと、設定ごとに移行可否(Ready for migration / Not supported / Deprecated)を仕分けできます。代替がない設定は、PowerShellスクリプトの配布やアプリ化、あるいは「その設定をやめる」ことで対応します。
Intuneを使うにはどのライセンスが必要ですか？
基本となるのはMicrosoft Intune Plan 1で、単体でも契約できますが、中小企業ではMicrosoft 365 Business Premium(300ユーザーまで)に含まれる形で使うのが一般的です。Business PremiumにはEntra ID P1も含まれるため、コンプライアンスポリシーと条件付きアクセスの組み合わせまで利用できます。一方、Remediationsのように、Windows Enterprise E3/E5系のライセンスを別途要求する機能もあります。プラン構成は頻繁に変わるため、契約前にMicrosoftの公式ライセンスページで最新の内容を確認してください(本記事は2026年8月時点)。
ADサーバーはすぐに廃止しなければいけませんか？
いいえ。Entra join+Intuneで管理するPCと、ADドメイン参加+GPOで管理するPCは同じ社内ネットワークで共存できます。ファイルサーバーの認証や既存業務システムのためにADを残したまま、新規PCだけをEntra joinにする段階移行が現実的です。逆に、既存のドメイン参加PCをEntra joinへ「変換」する正式な手段はなくワイプ(初期化)が必要になるため、既存機はリプレースサイクルで置き換えるのが定石です。ADの廃止はGPOが空になり、残存する役割を洗い出せてから検討すれば十分です。
在宅勤務のPCにグループポリシーが適用されないのはなぜですか？
GPOはドメインコントローラーに接続できるときに取得・適用される仕組みだからです。社外のPCはVPNなどでドメインコントローラーに到達できた時にしか最新のポリシーを受け取れず、VPNを使わない在宅PCには実質的に届きません。Intune(MDM)はインターネット経由でポリシーを同期するため、PCがどこにあっても管理でき、社外PCの管理という課題はMDM側の構造で解消します。おおよそ8時間ごとの定期同期に加え、ポリシー変更時には通知による同期も行われます。
GPOとIntuneの両方から同じ設定を配ったらどちらが優先されますか？
既定では、競合する設定はグループポリシー側が優先されます。MDMWinsOverGPポリシーを1に設定するとMDM(Intune)側が優先されるようになりますが、この仕組みが効くのはPolicy CSP配下の設定に限られ、Defender CSPなど他のCSPで定義される設定には適用されません。優先制御に頼ると挙動の予測が難しくなるため、実務では「同じ設定を両方のチャネルから配らない」ことを原則にし、Intuneへ移した設定は元のGPOから削除して二重管理を避けるのが安全です。

著者プロフィール

記事の著者プロフィールページです。

小村 豪

合同会社小村ソフト 代表

Windows ソフト開発、技術相談、不具合調査を中心に、既存資産が残る案件や原因が見えにくい障害調査に強みがあります。

お問い合わせ
ブログ一覧に戻る