Microsoft Intuneとは？機能・ライセンス・導入手順を図解
Microsoft Intuneは、会社のPCやスマートフォンとアプリを、クラウドからまとめて管理・保護するMicrosoftのサービスです。
多くの組織は、Intuneを単体ではなく、Microsoft 365 E3やE5などのプランに含まれる形で利用しています。
この記事では、機能・ライセンス・導入手順・つまずきやすい点を、Microsoft Learnの公式情報をもとに図解します。
この記事は以下のような人におすすめ！
- Intuneで何ができるのか知りたい人
- どのライセンスが必要か確かめたい人
- 導入の手順とつまずく点を知りたい人
Microsoft Intuneとは？クラウドで端末とアプリを管理するサービス
1-1. Intuneでできること
Microsoft Intuneは、組織の端末とアプリを守り、管理するためのクラウド型のエンドポイント管理サービスです（参考1）。
端末の登録・設定・保護・更新、アプリの配布と保護、そして会社の資源にアクセスできる利用者と端末の制御までを、1つのサービスで扱います（参考1）。
対応するOSは、Windows、macOS、iOS/iPadOS、Android、Linuxに加え、tvOSやvisionOSも含まれます（参考1）。
サービスはすべてクラウドで動くため、社内に管理用のサーバーを用意する必要はありません（参考1）。
管理者は、Webブラウザーで開く「Microsoft Intune 管理センター」から設定や端末の状態を確認します（参考1）。
管理センターの操作はMicrosoft Graph APIでも同じように行えるため、定型作業を自動化することもできます（参考1）。
図のように、管理者が作った設定やアプリはIntuneから各端末に配られ、端末は自分の状態をIntuneへ報告します。
Intuneは、端末が会社のルールを満たしているかという「準拠状態」をMicrosoft Entra IDへ送り、アクセスの判断に役立てます（参考1）。
Intuneの考え方の中心にあるのは、サインインする「ID」、使う「端末」、仕事で使う「アプリ」の3つです（参考1）。
端末のセキュリティ対策全体の中でIntuneがどこを担うのかは、次の記事も参考になります。
1-2. MDMとMAMの違い
Intuneには、端末全体を管理する「MDM」と、仕事のアプリだけを管理する「MAM」という2つの使い方があります（参考1）。
MDM（モバイルデバイス管理）では、端末をIntuneに登録し、設定やセキュリティ、アプリを含めて端末全体を管理します（参考1）。
端末をなくしたり盗まれたりしたときは、端末のデータを消去（ワイプ）できます（参考1）。
MAM（モバイルアプリケーション管理）では、仕事のアプリとその中のデータだけを管理し、端末のほかの部分には手を出しません（参考1）。
個人のスマートフォンを仕事に使うBYOD（私物端末の業務利用）で、よく使われる方法です（参考1）。
利用者は個人のアプリやデータを自分で管理でき、会社はOutlookやTeamsなどの管理対象アプリの中にある会社のデータを守れます（参考1）。
利用者が退職したときは、個人のデータに触れずに会社のデータだけを消去できます（参考1）。
2つは組み合わせることもでき、会社支給のスマートフォンをMDMで管理しながら、機密性の高いデータを扱うアプリにMAMの保護を重ねられます（参考1）。
迷ったときは、会社支給の端末はMDM、個人の端末はMAMを基本に、端末の持ち主と守りたいデータの範囲で考えると選びやすくなります。
場所を選ばない働き方と私物端末の扱いについては、WFA（Work-From-Anywhere）の解説記事で紹介しています。
1-3. Microsoft Entra IDとの関係
Intune自体は、利用者のIDを保存したり、サインインの認証をしたりはしません（参考1）。
その役割はMicrosoft Entra IDが担い、Intuneは主に次の3つでEntra IDと連携します（参考1）。
- 認証：利用者はEntra IDのIDで端末にサインインし、シングルサインオンや多要素認証、パスワードレスも使える
- ユーザーとグループ：Intuneのポリシー、設定、アプリ、ライセンスは、Entra IDのグループを単位に割り当てる
- 条件付きアクセス：Intuneが送った端末の準拠状態を、Entra IDがアクセスの許可やブロックの判断に使う
Intuneでは、利用者のグループ、端末のグループ、またはその両方を対象に設定を割り当て、端末がIntuneと通信（チェックイン）したときに反映されます（参考1）。
そのため、導入の前にEntra IDのグループをどう分けるかを考えておくと、後の設定がスムーズになります。
1つのIDで複数のサービスにサインインする仕組みは、シングルサインオンの解説記事で詳しく説明しています。
IDとサインインはEntra ID、端末とアプリの管理はIntuneと役割が分かれていて、2つを組み合わせて使います。
Intuneの主な機能
2-1. 端末の登録と設定の配布
Intuneで端末を管理する最初の一歩は、端末をIntuneに登録することです。
登録には、利用者がポータルサイトアプリ（Company Portal）から自分で行う方法と、Windows Autopilot、AppleのAutomated Device Enrollment、Android Enterpriseで自動的に行う方法があります（参考1）。
登録した端末には「構成プロファイル」を使って、Wi-Fi、VPN、メール、証明書などの設定をまとめて配ります（参考4）。
オンプレミスのActive Directoryで使ってきたグループポリシー（GPO）の代わりに、クラウドではこの構成プロファイルで設定を管理します（参考4）。
構成プロファイルは、WindowsではCSP（構成サービスプロバイダー）、Apple製品ではデバイス管理のペイロード、AndroidではAndroid Management APIなど、各OSが用意した仕組みで設定を反映します（参考4）。
既存のGPOを移すときは、Intuneの「グループポリシー分析」でGPOを取り込み、Intuneで使える設定と使えない設定を確かめられます（参考4）。
使える設定は、取り込んだ内容をもとに設定カタログのポリシーとして作成できます（参考4）。
OSやアプリの更新プログラムを配ることも、Intuneで管理できる作業の一つです（参考1・参考4）。
端末を紛失したときのワイプのように、管理センターから端末に対して操作を実行することもできます（参考1）。
2-2. コンプライアンスポリシーと条件付きアクセス
コンプライアンスポリシーは、管理する端末の設定が会社の条件を満たしているかを評価するためのルールの集まりです（参考5）。
条件の例には、決められたバージョン以上のOSを使うこと、脱獄やルート化をしていないこと、Intuneと連携する脅威対策ソフトが示す脅威レベルが基準以下であることがあります（参考5）。
条件を満たさない端末には、「非準拠」の印を付けるほか、利用者へのメール通知や、一定期間後のリモートロックといった対応を設定できます（参考5）。
長く非準拠のままの端末を「回収（リタイア）」の候補として一覧にし、管理者が操作すると、会社のデータを消して管理から外すこともできます（参考5）。
この判定結果をMicrosoft Entraの条件付きアクセスと組み合わせると、準拠している端末だけに会社の資源へのアクセスを許可できます（参考5）。
端末がIntuneに登録されるとEntra IDにも登録され、その準拠状態がEntra IDへ報告されます（参考5）。
条件付きアクセスのポリシーで「Require device to be marked as compliant（準拠済みの端末を必須にする設定）」を選ぶと、その状態をもとにメールなどへのアクセスを許可またはブロックします（参考5）。
条件付きアクセスは、端末の準拠状態に加えて、利用者、アプリ、場所、Microsoft Defenderのリスクの情報も組み合わせて判断します（参考1）。
社内ネットワークにつながっているかではなく、端末のいまの状態でアクセスを決めるため、ゼロトラストの考え方に沿った仕組みです（参考1）。
なお、非準拠の端末へのメール通知やロックと、条件付きアクセスによるブロックは、別々に働く仕組みです（参考5）。
条件付きアクセスでよく一緒に求める多要素認証（MFA）も、あわせて確認しておくと理解が深まります。
準拠した端末だけを通す考え方の土台は、次の記事で解説しています。
2-3. アプリ保護と高度な機能
Intuneでは、業務で使うアプリを端末に配布し、その中のデータを保護できます（参考1）。
アプリ保護ポリシーは、OutlookやTeamsなどの管理対象アプリの中にある会社のデータを守るための設定です（参考1）。
端末を登録しない個人のスマートフォンでも使えるため、BYODで会社のデータを守る中心的な手段になります（参考1）。
会社が配るアプリと保護の仕組みを整えることは、許可していないアプリやサービスが使われるシャドーITを減らす取り組みにもつながります。
基本の機能に加えて、Intuneには追加の契約で使える「高度な機能」があります（参考3）。
- Remote Help：ヘルプデスクが、役割に応じた権限の範囲で利用者の端末に安全に接続して支援する
- Endpoint Privilege Management：ふだんは最小限の権限で使い、承認した作業だけ権限を上げて実行する
- Microsoft Cloud PKI：証明書の発行・更新・失効を、管理された認証局で行う
- Enterprise Application Management：Microsoftが用意したカタログからWin32アプリを配布する
- Advanced Analytics：端末の利用体験を分析して改善に役立てる
- Microsoft Tunnel for MAM：Intuneに登録していないAndroidやiOSの端末にもMicrosoft TunnelのVPNを広げる
- その他：AR/VRヘッドセットや会議室の端末などの特殊な端末の管理、Android端末のファームウェアの無線更新
これらの機能はPlan 2、Intune Suite、一部のMicrosoft 365のプランを通じて提供されており、プランの違いは3-1で説明します（参考3）。
管理センターには、Microsoft Security Copilotを使ったAIアシスタント「Copilot in Intune」も組み込まれています（参考1）。
使い始める前に、自分の組織の契約でCopilotを利用できるかをMicrosoftの案内で確かめておくと安心です。
Copilotは、既存のポリシーの内容を要約して競合を指摘したり、設定の意味を説明したり、端末の問題の切り分けを手伝ったりします（参考1）。
管理センターの「エンドポイント セキュリティ」では、Microsoft Defender for Endpointと連携するEDR（エンドポイントでの検知と対応）のポリシーも扱います（参考4）。
端末上の脅威を見つけて対応する仕組みそのものはEDR製品の役割で、その考え方は次の記事で解説しています。
Intuneのライセンスと料金の考え方
3-1. Plan 1・Plan 2・Intune Suiteの違い
Intuneの機能は、次の3つのプランに整理されています（参考2）。
| プラン | 位置づけ | 主な内容 |
|---|---|---|
| Microsoft Intune Plan 1 | 基本のサービス | 端末とアプリのクラウドでの統合管理（この記事の1〜2章で紹介した基本機能） |
| Microsoft Intune Plan 2 | Plan 1への追加 | 高度な端末管理の機能（公式の説明ではRemote HelpとAdvanced Analyticsが例に挙げられている） |
| Microsoft Intune Suite | Plan 1への追加 | 高度な端末管理とセキュリティの機能をまとめたもの（Plan 2を含む） |
Plan 2とIntune Suiteは単独で使うものではなく、Plan 1に追加して使うものです（参考2）。
2-3で紹介した高度な機能は、Plan 2やIntune Suite、一部のMicrosoft 365のプランで使えるほか、単体の契約でも提供されています（参考1・参考3）。
2-3の機能がPlan 2とIntune Suiteのどちらに入るかは参考2・参考3に一覧がなく、区分も変わり得るため、契約前にMicrosoftの「Microsoft Intune plans and pricing」のページで最新の内容を確認してください（参考2・参考3）。
金額は契約の形態や時期で変わるため、公式の料金ページや販売店の見積もりで確かめてください。
すでに持っているライセンスと重なる機能を買わないよう、追加の前にいまの契約内容を確認することもMicrosoftは勧めています（参考3）。
3-2. Microsoft 365のプランに含まれるか確認する
多くの組織は、Intuneのプランを直接買うのではなく、Microsoft 365 E3、E5、E7などのセットの一部としてIntuneを使っています（参考2）。
教育機関向けでは、Microsoft 365 Education A5とA3に、Intune Plan 1 for Educationが含まれます（参考2）。
まずは、いま契約しているMicrosoft 365のプランにIntuneが含まれているかを確かめるのが近道です。
Intuneのライセンスは、Intuneの機能から直接または間接に恩恵を受けるすべての利用者や端末に必要です（参考2）。
MicrosoftのAPIを通じてIntuneの機能を使う場合も、この対象に含まれます（参考2）。
ライセンスの状況は、管理センターの「Tenant administration（テナント管理）」の「Tenant status（テナントの状態）」で、MDM機関やライセンスのある利用者数、Intuneのライセンス数として確認できます（参考2）。
条件付きアクセスなど、Microsoft Entra ID P1またはP2が前提の機能は、Intuneのライセンスだけでは使えません（参考2）。
Entra ID P1/P2が契約中のMicrosoft 365のプランに含まれるかも確認しましょう。
Intune自体は、30日間の無料試用で自社の環境に合うかを評価できます（参考1）。
Intuneの試用を始めると、Entra ID P1またはP2とIntuneを含むEnterprise Mobility + Security（EMS）の試用も付きます（参考2）。
高度な機能も、機能ごとに90日間、テナントあたり最大250ユーザーまで試用でき、終了後には30日間の猶予期間があります（参考3）。
試用は1つの機能につきテナントごとに1回までなので、評価する担当者と期間を決めてから始めると無駄がありません（参考3）。
3-3. 端末だけのライセンスと管理者のライセンス
受付のキオスク端末や会議室の端末など、特定の利用者にひも付かない端末のために、端末単位のライセンスも用意されています（参考2）。
端末単位のライセンスは、Windows Autopilotのセルフデプロイモード、利用者とひも付けないAppleの自動登録、Android Enterpriseの専用端末などで登録した端末に適用されます（参考2）。
ただし、端末単位のライセンスで登録した端末では、アプリ保護ポリシー、条件付きアクセス、メールや予定表のような利用者単位の機能は使えません（参考2）。
一方、管理者はIntuneのライセンスがなくても、管理センターにサインインして管理できます（参考2）。
2021年7月より後に作られたテナントでは、この「ライセンスのない管理者のアクセス」が最初から有効です（参考2）。
それより前に作られたテナントでは設定で有効にする必要があり、一度有効にすると元に戻せません（参考2）。
- 入れ子になったセキュリティグループのメンバーは、ライセンスのない管理者のアクセスの対象外で、Intuneのライセンスが必要
- 1つのセキュリティグループで扱えるライセンスのない管理者は1000人まで
- アクセスの変更が反映されるまで、最大48時間かかることがある
また、Intuneを含む多くのライセンスには、契約が有効な間、Microsoft Configuration Managerを使う権利も含まれています（参考2）。
Intuneの導入手順
4-1. 導入の前に決めておくこと
いきなり端末を登録する前に、次の点を整理しておくと手戻りを減らせます。
- 管理する端末：会社支給か個人所有か、OSの種類と台数
- ライセンス：Microsoft 365のプランに含まれるか、Entra ID P1またはP2があるか
- グループ：ポリシーやアプリを割り当てるEntra IDのグループの分け方
- いまの仕組み：端末管理なし、他社のMDM、Configuration Manager、グループポリシーのどれか
いま使っている仕組みによって、Intuneへの移り方は変わります（参考4）。
端末管理の仕組みをまだ使っていない場合は、Intuneから直接始められます（参考4）。
Configuration Managerを使っている場合は、その端末をIntuneの管理センターから見られるようにする「テナントアタッチ」や、作業ごとに管理を分担する「共同管理」も選べます（参考4）。
Configuration ManagerはオンプレミスのWindows Serverの管理などに向いているため、Microsoftも多くの利用者が使い続けると説明しています（参考4）。
また、IntuneはIDをもとにアクセスを制御するため、社外の端末から会社のデータにアクセスするのにネットワークのプロキシは必要ありません（参考4）。
Microsoft 365の管理センターにも、環境に合わせて案内が変わるIntuneのセットアップガイドが用意されています（参考4）。
4-2. 初期設定から端末の登録までの5つの手順
Microsoftの導入ガイドでは、端末管理の仕組みを使っていない組織がIntuneを始める流れを、次の5つの手順にまとめています（参考4）。
| 手順 | やること | 主な内容 |
|---|---|---|
| 1 | Intuneを準備する | ライセンスの確認と割り当て、ユーザーとグループ、MDM機関をIntuneに設定 |
| 2 | アプリを追加・保護する | 業務アプリの追加と配布、アプリ保護ポリシー |
| 3 | コンプライアンスポリシーを計画する | 準拠の条件と、非準拠のときの対応 |
| 4 | 構成プロファイルを作る | Wi-Fi、VPN、メール、証明書などの設定 |
| 5 | 端末を登録する | 利用者への具体的な登録手順の案内、自動登録の準備 |
端末は登録されると、作成しておいたポリシーとプロファイルを受け取ります（参考4）。
手順1の「MDM機関」は端末をどの管理サービスで管理するかを示す設定で、Intuneで管理する場合はIntuneに設定します（参考4）。
ライセンスは、Entra IDのユーザーやグループに割り当てます（参考1）。
手順3で条件付きアクセスも使う場合は、5-1で説明する「ポリシーが割り当てられていない端末の扱い」も一緒に決めておきましょう（参考5）。
アプリ・ルール・設定を先に用意してから端末を登録すると、登録した直後から会社のルールで端末を守れます。
4-3. 端末に合った登録方法を選ぶ
登録の方法は、端末の持ち主とOSによって選びます。
| 端末 | 主な登録方法 | 補足 |
|---|---|---|
| 会社支給のWindows PC | Windows Autopilot | 自動で登録する方法（参考1） |
| 会社支給のApple製品 | Apple Automated Device Enrollment | 自動で登録する方法（参考1） |
| 会社支給のAndroid | Android Enterprise | 自動で登録する方法（参考1） |
| 個人所有のスマートフォン | ポータルサイトアプリで登録、または登録せずにMAM | 仕事のアプリだけを守る選択もできる（参考1） |
| 特定の利用者がいない共用端末 | Autopilotのセルフデプロイモード、Android Enterpriseの専用端末など | 端末単位のライセンスが使える（参考2） |
利用者が自分で登録する場合は、ポータルサイトアプリ（Company Portal）を使います（参考1）。
個人の端末は、端末を登録せずにMAMで仕事のアプリだけを守る方法も選べます（参考1）。
どの方法でも、利用者に具体的な登録の手順を伝えることが大切だとMicrosoftは説明しています（参考4）。
OSごとに必要な準備が異なるため、実際の設定はMicrosoft Learnの登録ガイドで確認してください。
Intuneでよくあるつまずきと確認ポイント
5-1. 設定や準拠の判定が反映されない
ポリシーの反映や準拠の判定は、端末がIntuneと通信するタイミングと、ポリシーの更新の間隔に左右されます（参考5）。
設定した直後に反映されないことはあるため、すぐに作り直さず、まずは割り当てと端末の通信状況を確かめましょう。
Windowsでは、端末側の状態の変化を検知したときに、端末から準拠の再評価を求める仕組みもあります（参考5）。
| 症状 | 確認するところ | 補足 |
|---|---|---|
| ポリシーが届かない | 割り当てたグループに利用者や端末が入っているか | 設定はグループ単位で割り当てる（参考1） |
| 一部のOSだけ準拠にならない | OSごとにコンプライアンスポリシーを作ったか | OSの種類ごとに別のポリシーが必要（参考5） |
| ポリシーのない端末も準拠になる | ポリシーが割り当てられていない端末の扱い | 既定は「準拠」（参考5） |
| しばらく使わなかった端末が非準拠になる | 準拠状態の有効期間 | 既定は30日、1〜120日で設定（参考5） |
| 構成プロファイルと結果が食い違う | コンプライアンスポリシーとの競合 | 一部の設定は上書きされることがある（参考5） |
特に注意したいのは、コンプライアンスポリシーを割り当てていない端末の扱いです。
既定では、ポリシーが割り当てられていない端末は「準拠」とみなされます（参考5）。
条件付きアクセスで準拠済みの端末だけを通したい場合は、この設定を「非準拠」に変えるようMicrosoftは案内しています（参考5）。
この設定は、管理センターの「Endpoint security」＞「Device compliance」＞「Compliance policy settings」にあります（参考5）。
利用者にポリシーが割り当てられていないときは、ポータルサイトアプリに「No compliance policies have been assigned」と表示されます（参考5）。
非準拠の理由は、管理センターのデバイスコンプライアンスのダッシュボードで、ポリシーや端末ごとにたどって確認できます（参考5）。
30日以上Intuneと通信していない端末では、ポータルサイトアプリが登録を直す流れに入り、それでも通信できなければ、利用者が登録し直せるよう回収の命令が出されます（参考5）。
暗号化のようにOSが自動で直さない項目は、非準拠のときに条件付きアクセスでブロックされ、ポータルサイトアプリが利用者に問題を知らせます（参考5）。
一方、iOSのPINのように、OSが利用者に設定を求めて直す項目もあります（参考5）。
5-2. 他のMDMやConfiguration Managerから移るとき
1台の端末を管理するMDMは、1つだけにする必要があります（参考4）。
他社のMDMからIntuneへ移るときは、利用者が元のMDMから端末の登録を解除してから、Intuneに登録します（参考4）。
登録を解除してからIntuneに登録するまでの間、端末はどちらのポリシーも受け取らないため、保護されていない状態になります（参考4）。
その間の会社のデータを守るために、先にアプリ保護ポリシーを配っておくことが勧められています（参考4）。
Entra ID P1またはP2がある場合は、Intuneに登録するまで端末をブロックする条件付きアクセスも検討できます（参考4）。
Intuneと既存の他社のMDMの両方で、ExchangeやSharePointなどへのアクセス制御を同時にかけないよう注意してください（参考4）。
Configuration Managerで管理しているmacOSの端末も、クライアントを外してからIntuneに登録するまでの間は保護されません（参考4）。
そのため、Intuneの準備と登録のポリシーがそろってから移すのが安全です（参考4）。
Microsoftは、少人数のパイロットから始め、グループを順に増やして全体に広げる段階的な進め方を勧めています（参考4）。
パイロットでは、登録の成功率、VPN・Wi-Fi・メール・証明書が使えるか、配ったアプリを開けるか、コンプライアンスの報告に問題がないかを確かめます（参考4）。
ヘルプデスクへの問い合わせの量も見ながら進め、残りの利用者に対応できる体制が整うまでは登録の期限を設けないよう勧められています（参考4）。
移行は「アプリ保護を先に配る→少人数で試す→結果を見て広げる」の順で進めると、保護の空白と問い合わせの集中を抑えやすくなります。
よくある質問
Q1. Microsoft Intuneは無料で使えますか？
A. 30日間の無料試用はありますが、管理する利用者や端末にはIntuneのライセンスが必要で、多くの組織はMicrosoft 365 E3やE5などのプランに含まれる形で使っています。
Q2. 個人のスマートフォンにもIntuneを使えますか？
A. 使えますが、個人の端末は登録せずに仕事のアプリとデータだけを守るMAMも選べ、退職時には個人のデータに触れずに会社のデータだけを消去できます。
Q3. Intuneと条件付きアクセスは何が違いますか？
A. Intuneは端末が会社のルールを満たしているかを判定する側で、条件付きアクセスはその結果などを使ってサインイン時にアクセスを許可またはブロックするMicrosoft Entra IDの機能です。
Q4. IntuneがあればVPNは不要ですか？
A. Intuneは端末とアプリを管理するサービスなので、社内アプリへの接続はVPNやZTNAなどで用意し、IntuneからはVPNの接続設定を端末に配る形で組み合わせます。
Q5. Intuneの料金はいくらですか？
A. 金額は契約の形態や時期によって変わるため、いまのMicrosoft 365のプランに含まれるかとあわせて、Microsoftの「Microsoft Intune plans and pricing」のページや販売店で確認してください。
まとめ
Microsoft Intuneは、会社の端末とアプリをクラウドからまとめて管理し、端末の状態をアクセスの判断に生かすためのサービスです。
- 機能：端末の登録と構成プロファイル、コンプライアンスポリシー、アプリ保護、高度な機能
- 使い方：会社の端末はMDM、個人の端末はMAMを基本に考える
- ライセンス：Plan 1が基本で、多くの組織はMicrosoft 365のプランに含まれる形で使う
- 導入：準備、アプリ、準拠のルール、設定、登録の順で、少人数から広げる
条件付きアクセスと組み合わせるときは、ポリシーが割り当てられていない端末を「非準拠」として扱うかどうかを必ず確認しましょう。
まずはいまのMicrosoft 365の契約にIntuneが含まれているかを確かめ、無料試用や少人数のパイロットで自社の端末に合うかを試すところから始めてみてください。
- 参考1：Microsoft Learn「What is Microsoft Intune?」
- 参考2：Microsoft Learn「Microsoft Intune licensing」
- 参考3：Microsoft Learn「Microsoft Intune advanced capabilities」
- 参考4：Microsoft Learn「Migration guide: Set up or move to Microsoft Intune」
- 参考5：Microsoft Learn「Use compliance policies to set rules for devices you manage with Intune」
