GPOからIntuneへの移行判断の知識マップ(知識グラフ)
GPOはドメインネットワークに接続したときに適用され、Intuneはインターネット経由で同期します。在宅PCに設定が届かないのは不具合ではなく、PCがドメインコントローラーに届く場所にあるという設計前提が働き方と合わなくなったということです。ただしIntuneの定常同期はおよそ8時間ごとで、GPOの約90分より粗いため、即時性を要する統制は同期間隔を前提に設計します。移行は全部か無かではなく、新規PCはEntra join、既存のドメイン参加PCはhybrid joinのまま置き換える段階移行が現実解で、両者の共存は正式にサポートされています。棚卸しにはGroup Policy analyticsを使い、管理用テンプレート相当は設定カタログ、アプリ配布はWin32アプリとMicrosoft Storeアプリへ移します。移行期間中の最大の落とし穴は二重適用で、既定ではGPOが勝ちます。
Microsoft Entra join
Entra IDにのみ参加し、Active Directoryには参加しないデバイスの参加形態。管理はIntuneで行い、社外でも認証・管理が完結する。
Intuneの設定カタログ
構成可能な設定を一覧化し、必要なものだけ選んでポリシーにできるIntuneの仕組み。GPOの管理用テンプレートに相当する役割を担う。
Microsoft Entra ID
Microsoftのクラウド型ID・アクセス管理基盤。
Microsoft Entra hybrid join
ADドメイン参加とEntra IDへの登録を併用する参加形態。GPOとIntuneを併用できる。
Active Directory(AD DS)
オンプレミスのWindowsドメインを構成するディレクトリサービス。
オンプレAD
オンプレミスリソースへのSSO
Entra joinしたデバイスから、オンプレミスのファイルサーバーやプリンターなどActive Directory統合リソースへシングルサインオンでアクセスすること。
ドメインコントローラー
Active Directoryのディレクトリサービスを提供し、KDCの機能やNTLMのパススルー認証の相手を担うサーバー。
ドメインGPO
Active Directoryに保存し、サイト・ドメイン・OUにリンクして配布するグループポリシーオブジェクト。GPMCで編集する。
Microsoft Intune
クラウドからPC・モバイルデバイスを管理するMicrosoftのMDMサービス。
Intuneのポリシー同期間隔
登録済みデバイスがIntuneからポリシーを取りに行く周期。定常時はおよそ8時間ごとで、ポリシー変更時には通知による同期も走る。
即時性を要する統制
ポリシー変更が短時間で確実に端末へ届くことを前提にする統制・運用。適用が周期同期に依存する仕組みでは、この前提を置けない。
グループポリシー
Active Directoryドメイン環境でWindowsの設定を集中構成する仕組み。
Group Policy analytics
オンプレミスのGPOをインポートして、MDMがサポートする設定と非推奨・利用不能な設定を分析するIntuneの機能。
同一設定の二重構成
同じ設定項目をグループポリシーとMDMの両方から構成すること。移行期の共存自体は問題なく、避けるべきなのは同一設定の重複構成だけ。
ポリシーの競合
同じ設定が複数の管理チャネルから構成され、どちらの値が適用されるか保証されない、または意図しない側が優先される状態。
Policy CSP(構成サービスプロバイダー)
MDMがOSの設定を構成するために使う仕組み。IntuneなどのMDMはこれを通じてポリシーを適用する。
構成サービスプロバイダー
MDMWinsOverGP
Policy CSP内の対応ポリシーについて、MDMの設定をグループポリシーより優先させるポリシー。既定値は0(優先させない)。
IntuneのWin32アプリ(.intunewin)
MSI/EXE/スクリプトインストーラーをContent Prep Toolで.intunewin形式に変換して配布する仕組み。
IntuneのMicrosoft Storeアプリ(新)
Windows Package Manager(winget)を基盤としてストアのアプリを配布する仕組み。
IntuneのPowerShellスクリプト配布
Intune管理拡張によってWindowsデバイスへPowerShellスクリプトを配布・実行させる仕組み。
Remediations(旧Proactive remediations)
検知スクリプトと修復スクリプトのペアで構成され、条件を検出したら自動で修復するIntuneの仕組み。
条件付きアクセス
デバイスの状態やサインインのリスクなどの条件に応じて、Entra IDへのサインインを許可・拒否・追加認証要求するポリシー機構。
BitLocker
ドライブ全体を暗号化して紛失・盗難・不適切な廃棄によるデータ流出を防ぐWindowsの機能。
BitLockerドライブ暗号化
Windows LAPS
ローカル管理者アカウントのパスワードを端末ごとにランダム化して自動ローテーションし、Active DirectoryまたはMicrosoft Entra IDにバックアップする、Windowsに組み込まれた機能。
Intuneのライセンス
Plan 1 / Plan 2 / Intune Suiteの3プランで提供され、多くの組織はMicrosoft 365バンドル経由で利用する。
Entra joinはEntra IDにのみ参加してActive Directoryには参加しない形態で、クラウドネイティブに社外でも認証・管理が完結する。
hybrid joinはADドメイン参加とEntra IDへの登録を併用する形態で、初回サインイン等でドメインコントローラーへの接続(見通し)が必要になる。GPOとIntuneを併用できる。
新規PCはEntra join、既存のドメイン参加PCはhybrid joinのままリプレースサイクルで置き換える進め方が推奨されている。両者の共存は正式にサポートされた構成で、ADが残っていることは移行失敗を意味しない。
Entra join機からオンプレミスのファイルサーバー等へSSOするには、デバイスからドメインコントローラーへの見通しが前提になる。Entra join自体はDCなしで完結し、オンプレ資産へのアクセスにだけこの条件が付く。
GPOはドメインコントローラーからポリシーを取得するため、そこに届かない社外PCには実質VPN頼みになる。
登録済みデバイスの定常同期はおよそ8時間ごとで、ポリシーの割り当てや変更の際には端末へ通知が飛び比較的すみやかに同期される。管理センターや端末からの手動同期もできる。
MDMの同期間隔はGPOの定期更新(既定でおよそ90分間隔+ランダムオフセット)より粗いため、「配ったらすぐ反映」という感覚は通用せず、即時性を要する統制は同期間隔を前提に設計する必要がある。
設定カタログは構成可能な設定を一覧化した仕組みで、GPOの管理用テンプレートに相当する役割を担う。
GPMCからXMLレポートとしてエクスポートしたGPOを取り込むと設定ごとの移行可否が仕分けされ、対応済みの設定は設定カタログのポリシーへ変換できる。移行済みリストは二重適用を防ぐ台帳にもなる。
同じ設定をGPOとMDMの両方から構成すると競合状態になり、既定では競合時にGPO側の値が優先される。優先制御に頼らず同じ設定を両方から配らないのが原則で、Intuneへ移した設定は対応するGPO側を未構成に戻す。
MDMWinsOverGP(既定値0)を1に設定すると、同等のグループポリシー設定がブロックされてMDM側が優先される。ただし効くのはPolicy CSP配下の設定に限られ、Defender CSPなど他のCSPには適用されない。管理下にない設定を両方で構成すると、どちらが勝つか保証されない。
MSI/EXE/スクリプトインストーラーをContent Prep Toolで.intunewin形式に変換して配布する仕組みが、GPOのソフトウェアインストールに代わる。
Microsoft Store for Businessの廃止後、IntuneのMicrosoft Storeアプリ(新)はWindows Package Manager(winget)を基盤としてストアのアプリを配布する。
ログオンスクリプト・ドライブマップ・プリンター配布のようにそのまま移せない設定は、Intune管理拡張によるPowerShellスクリプトの配布でつなぐ。
Remediationsは検知スクリプトと修復スクリプトのペアで構成され、条件を検出したら自動で修復する。Proactive Remediationsから改名された。
デバイス準拠を条件にする場合、条件付きアクセスはIntuneのコンプライアンスポリシーの評価結果を参照し、条件を満たすデバイスにだけリソースへのアクセスを許せる。ユーザー・場所・MFAなどの条件だけならIntuneなしでも構成できる。
IntuneのBitLockerポリシーでサイレント有効化と回復キーのEntra ID保存を構成できる。
Intuneのアカウント保護ポリシーでWindows LAPSを構成し、ローカル管理者パスワードの要件やローテーションを管理できる。
IntuneはPlan 1 / Plan 2 / Intune Suiteの3プランで提供され、多くの組織はMicrosoft 365バンドル経由で利用する。中小企業ではMicrosoft 365 Business PremiumにIntune Plan 1が含まれる形が現実的になる。
GPOがドメインコントローラーへの到達を前提とするのに対し、Intuneはインターネットにつながれば場所を問わずポリシーを届けられる。ADの即時廃止は移行の条件ではない。