知識マップ: グループポリシーからIntuneへ ── 中小企業のデバイス管理移行ガイド

記事「グループポリシーからIntuneへ ── 中小企業のデバイス管理移行ガイド」の主張を、概念と関係(エッジ)に分解した知識グラフの全体です。各関係には根拠・確認日・確度が付いています。

GPOはドメインネットワークに接続したときに適用され、Intuneはインターネット経由で同期します。在宅PCに設定が届かないのは不具合ではなく、PCがドメインコントローラーに届く場所にあるという設計前提が働き方と合わなくなったということです。ただしIntuneの定常同期はおよそ8時間ごとで、GPOの約90分より粗いため、即時性を要する統制は同期間隔を前提に設計します。移行は全部か無かではなく、新規PCはEntra join、既存のドメイン参加PCはhybrid joinのまま置き換える段階移行が現実解で、両者の共存は正式にサポートされています。棚卸しにはGroup Policy analyticsを使い、管理用テンプレート相当は設定カタログ、アプリ配布はWin32アプリとMicrosoft Storeアプリへ移します。移行期間中の最大の落とし穴は二重適用で、既定ではGPOが勝ちます。

flowchart LR
    accTitle: GPOからIntuneへの移行判断の知識マップ
    accDescr: GPOがドメインコントローラーに届く場所を前提とするのに対しIntuneがインターネット経由で同期する違い、Entra joinとhybrid joinの共存、Group Policy analyticsによる棚卸し、GPO時代の業務のIntune側の対応物、二重適用で既定ではGPOが勝つという落とし穴を示す図
    entra_join["Microsoft Entra join"]
    intune_settings_catalog["Intuneの設定カタログ"]
    entra_id["Microsoft Entra ID"]
    entra_hybrid_join["Microsoft Entra hybrid join"]
    active_directory["Active Directory(AD DS)"]
    on_premises_sso["オンプレミスリソースへのSSO"]
    domain_controller["ドメインコントローラー"]
    domain_gpo["ドメインGPO"]
    intune["Microsoft Intune"]
    intune_policy_sync["Intuneのポリシー同期間隔"]
    immediate_policy_enforcement["即時性を要する統制"]
    group_policy["グループポリシー"]
    group_policy_analytics["Group Policy analytics"]
    duplicate_policy_configuration["同一設定の二重構成"]
    policy_conflict["ポリシーの競合"]
    policy_csp["Policy CSP(構成サービスプロバイダー)"]
    mdm_wins_over_gp["MDMWinsOverGP"]
    intune_win32_app["IntuneのWin32アプリ(.intunewin)"]
    intune_store_app["IntuneのMicrosoft Storeアプリ(新)"]
    intune_powershell_script["IntuneのPowerShellスクリプト配布"]
    intune_remediations["Remediations(旧Proactive remediations)"]
    conditional_access["条件付きアクセス"]
    bitlocker["BitLocker"]
    windows_laps["Windows LAPS"]
    intune_licensing["Intuneのライセンス"]
    entra_join -->|"前提とする"| entra_id
    entra_hybrid_join -->|"前提とする"| active_directory
    entra_join -->|"の後継"| entra_hybrid_join
    on_premises_sso -->|"前提とする"| domain_controller
    domain_gpo -->|"前提とする"| domain_controller
    intune -->|"利用する"| intune_policy_sync
    intune_policy_sync -->|"用いるのは非推奨"| immediate_policy_enforcement
    intune_settings_catalog -->|"の後継"| group_policy
    group_policy_analytics -->|"より先に行うべき"| intune_settings_catalog
    duplicate_policy_configuration -->|"原因になり得る"| policy_conflict
    policy_csp -->|"で構成できる"| mdm_wins_over_gp
    intune_win32_app -->|"の後継"| group_policy
    intune -->|"利用する"| intune_store_app
    intune_powershell_script -.->|"の後継"| group_policy
    intune_remediations -->|"利用する"| intune_powershell_script
    conditional_access -.->|"利用する"| intune
    bitlocker -->|"で構成できる"| intune
    windows_laps -->|"で構成できる"| intune
    intune -.->|"前提とする"| intune_licensing
    intune -->|"の後継"| group_policy

概念間の関係(全20件)

図と同じ関係を文章でも列挙します。表示している文と機械可読な意味データ(RDFa)は同じ要素に載っています。確度が「確立した関係」のものは直接の関係として、「条件付きの関係」のものは成立条件つきの言明(rdf:Statement)として表現しています。

• Microsoft Entra joinはMicrosoft Entra IDを前提とします。Entra joinはEntra IDにのみ参加してActive Directoryには参加しない形態で、クラウドネイティブに社外でも認証・管理が完結する。 / 確度: 確立した関係 / 確認日: 2026-08-20 出典
• Microsoft Entra hybrid joinはActive Directory(AD DS)を前提とします。hybrid joinはADドメイン参加とEntra IDへの登録を併用する形態で、初回サインイン等でドメインコントローラーへの接続(見通し)が必要になる。GPOとIntuneを併用できる。 / 確度: 確立した関係 / 確認日: 2026-08-20 出典
• Microsoft Entra joinはMicrosoft Entra hybrid joinの後継に当たります。新規PCはEntra join、既存のドメイン参加PCはhybrid joinのままリプレースサイクルで置き換える進め方が推奨されている。両者の共存は正式にサポートされた構成で、ADが残っていることは移行失敗を意味しない。 / 確度: 確立した関係 / 確認日: 2026-08-20 出典
• オンプレミスリソースへのSSOはドメインコントローラーを前提とします。Entra join機からオンプレミスのファイルサーバー等へSSOするには、デバイスからドメインコントローラーへの見通しが前提になる。Entra join自体はDCなしで完結し、オンプレ資産へのアクセスにだけこの条件が付く。 / 確度: 確立した関係 / 確認日: 2026-08-22 出典 出典
• ドメインGPOはドメインコントローラーを前提とします。GPOはドメインコントローラーからポリシーを取得するため、そこに届かない社外PCには実質VPN頼みになる。 / 確度: 確立した関係 / 確認日: 2026-08-22 出典
• Microsoft IntuneはIntuneのポリシー同期間隔を利用します。登録済みデバイスの定常同期はおよそ8時間ごとで、ポリシーの割り当てや変更の際には端末へ通知が飛び比較的すみやかに同期される。管理センターや端末からの手動同期もできる。 / 確度: 確立した関係 / 確認日: 2026-08-20 出典
• Intuneのポリシー同期間隔を即時性を要する統制に用いることは推奨されません。MDMの同期間隔はGPOの定期更新(既定でおよそ90分間隔+ランダムオフセット)より粗いため、「配ったらすぐ反映」という感覚は通用せず、即時性を要する統制は同期間隔を前提に設計する必要がある。 / 確度: 確立した関係 / 確認日: 2026-08-22 出典
• Intuneの設定カタログはグループポリシーの後継に当たります。設定カタログは構成可能な設定を一覧化した仕組みで、GPOの管理用テンプレートに相当する役割を担う。 / 確度: 確立した関係 / 確認日: 2026-08-20 出典
• Group Policy analyticsはIntuneの設定カタログより先に行うべきです。GPMCからXMLレポートとしてエクスポートしたGPOを取り込むと設定ごとの移行可否が仕分けされ、対応済みの設定は設定カタログのポリシーへ変換できる。移行済みリストは二重適用を防ぐ台帳にもなる。 / 確度: 確立した関係 / 確認日: 2026-08-20 出典
• 同一設定の二重構成はポリシーの競合の原因になることがあります。同じ設定をGPOとMDMの両方から構成すると競合状態になり、既定では競合時にGPO側の値が優先される。優先制御に頼らず同じ設定を両方から配らないのが原則で、Intuneへ移した設定は対応するGPO側を未構成に戻す。 / 確度: 確立した関係 / 確認日: 2026-08-22 出典
• Policy CSP(構成サービスプロバイダー)はMDMWinsOverGPで構成できます。MDMWinsOverGP(既定値0)を1に設定すると、同等のグループポリシー設定がブロックされてMDM側が優先される。ただし効くのはPolicy CSP配下の設定に限られ、Defender CSPなど他のCSPには適用されない。管理下にない設定を両方で構成すると、どちらが勝つか保証されない。 / 確度: 確立した関係 / 確認日: 2026-08-22 出典
• IntuneのWin32アプリ(.intunewin)はグループポリシーの後継に当たります。MSI/EXE/スクリプトインストーラーをContent Prep Toolで.intunewin形式に変換して配布する仕組みが、GPOのソフトウェアインストールに代わる。 / 確度: 確立した関係 / 確認日: 2026-08-20 出典
• Microsoft IntuneはIntuneのMicrosoft Storeアプリ(新)を利用します。Microsoft Store for Businessの廃止後、IntuneのMicrosoft Storeアプリ(新)はWindows Package Manager(winget)を基盤としてストアのアプリを配布する。 / 確度: 確立した関係 / 確認日: 2026-08-22 出典
• IntuneのPowerShellスクリプト配布はグループポリシーの後継に当たります。ログオンスクリプト・ドライブマップ・プリンター配布のようにそのまま移せない設定は、Intune管理拡張によるPowerShellスクリプトの配布でつなぐ。 / 確度: 条件付きの関係 / 確認日: 2026-08-20 出典
• Remediations(旧Proactive remediations)はIntuneのPowerShellスクリプト配布を利用します。Remediationsは検知スクリプトと修復スクリプトのペアで構成され、条件を検出したら自動で修復する。Proactive Remediationsから改名された。 / 確度: 確立した関係 / 確認日: 2026-08-20 出典
• 条件付きアクセスはMicrosoft Intuneを利用します。デバイス準拠を条件にする場合、条件付きアクセスはIntuneのコンプライアンスポリシーの評価結果を参照し、条件を満たすデバイスにだけリソースへのアクセスを許せる。ユーザー・場所・MFAなどの条件だけならIntuneなしでも構成できる。 / 確度: 条件付きの関係 / 確認日: 2026-08-22 出典
• BitLockerはMicrosoft Intuneで構成できます。IntuneのBitLockerポリシーでサイレント有効化と回復キーのEntra ID保存を構成できる。 / 確度: 確立した関係 / 確認日: 2026-08-20 出典
• Windows LAPSはMicrosoft Intuneで構成できます。Intuneのアカウント保護ポリシーでWindows LAPSを構成し、ローカル管理者パスワードの要件やローテーションを管理できる。 / 確度: 確立した関係 / 確認日: 2026-08-20 出典
• Microsoft IntuneはIntuneのライセンスを前提とします。IntuneはPlan 1 / Plan 2 / Intune Suiteの3プランで提供され、多くの組織はMicrosoft 365バンドル経由で利用する。中小企業ではMicrosoft 365 Business PremiumにIntune Plan 1が含まれる形が現実的になる。 / 確度: 条件付きの関係 / 確認日: 2026-08-20 出典 出典
• Microsoft Intuneはグループポリシーの後継に当たります。GPOがドメインコントローラーへの到達を前提とするのに対し、Intuneはインターネットにつながれば場所を問わずポリシーを届けられる。ADの即時廃止は移行の条件ではない。 / 確度: 確立した関係 / 確認日: 2026-08-20 出典 出典

主要概念の定義

Microsoft Entra join

Entra IDにのみ参加し、Active Directoryには参加しないデバイスの参加形態。管理はIntuneで行い、社外でも認証・管理が完結する。

Intuneの設定カタログ

構成可能な設定を一覧化し、必要なものだけ選んでポリシーにできるIntuneの仕組み。GPOの管理用テンプレートに相当する役割を担う。

Microsoft Entra hybrid join

ADドメイン参加とEntra IDへの登録を併用する参加形態。GPOとIntuneを併用できる。

オンプレミスリソースへのSSO

Entra joinしたデバイスから、オンプレミスのファイルサーバーやプリンターなどActive Directory統合リソースへシングルサインオンでアクセスすること。

ドメインGPO

Active Directoryに保存し、サイト・ドメイン・OUにリンクして配布するグループポリシーオブジェクト。GPMCで編集する。

Microsoft Intune

クラウドからPC・モバイルデバイスを管理するMicrosoftのMDMサービス。

Intuneのポリシー同期間隔

登録済みデバイスがIntuneからポリシーを取りに行く周期。定常時はおよそ8時間ごとで、ポリシー変更時には通知による同期も走る。

Group Policy analytics

オンプレミスのGPOをインポートして、MDMがサポートする設定と非推奨・利用不能な設定を分析するIntuneの機能。

同一設定の二重構成

同じ設定項目をグループポリシーとMDMの両方から構成すること。移行期の共存自体は問題なく、避けるべきなのは同一設定の重複構成だけ。

Policy CSP(構成サービスプロバイダー)

MDMがOSの設定を構成するために使う仕組み。IntuneなどのMDMはこれを通じてポリシーを適用する。

IntuneのWin32アプリ(.intunewin)

MSI/EXE/スクリプトインストーラーをContent Prep Toolで.intunewin形式に変換して配布する仕組み。

IntuneのPowerShellスクリプト配布

Intune管理拡張によってWindowsデバイスへPowerShellスクリプトを配布・実行させる仕組み。

Remediations(旧Proactive remediations)

検知スクリプトと修復スクリプトのペアで構成され、条件を検出したら自動で修復するIntuneの仕組み。

条件付きアクセス

デバイスの状態やサインインのリスクなどの条件に応じて、Entra IDへのサインインを許可・拒否・追加認証要求するポリシー機構。

BitLocker

ドライブ全体を暗号化して紛失・盗難・不適切な廃棄によるデータ流出を防ぐWindowsの機能。

Windows LAPS

ローカル管理者アカウントのパスワードを端末ごとにランダム化して自動ローテーションし、Active DirectoryまたはMicrosoft Entra IDにバックアップする、Windowsに組み込まれた機能。

機械可読データ

• JSON-LD / Turtle ── この記事の知識グラフ全体
• 概念一覧 / 語彙(述語)の定義

このデータセットについて

作成

合同会社小村ソフト

ライセンス

CC BY 4.0 ── 出典(合同会社小村ソフト)とライセンスへのリンクを明示し、改変した場合はその旨を示すことを条件に、再配布・改変を含めて再利用できます

最終確認日

2026-08-22 ── 収録する関係のうち、最後に出典と照合した日

このページはサイトの知識グラフ(_data/knowledge/)から自動生成されています。誤りの指摘はお問い合わせからお願いします。