Microsoft Intuneとは？主な機能とEntra ID・Active Directoryとの違い

Microsoft Intuneは、企業のPC・スマートフォン・タブレットなどの端末と、業務アプリをクラウドから管理するMicrosoftのサービスです。読み方は「マイクロソフトインチューン」です。

情シス担当者は、WebベースのMicrosoft Intune管理センターから、端末の登録、設定、アプリ配信、状態確認などを行えます。在宅勤務や多拠点の端末にも、インターネット経由で管理を行える点が特徴です。Microsoft公式の概要

たとえば「入社者へ必要なアプリを配布する」「会社PCの暗号化を有効にする」「古いOSの端末を見つける」といった日常業務を、共通ルールで運用するために使います。本記事の仕様・要件は2026年10月24日時点で確認しています。

基本となるMDMとMAM

Intuneを理解するときは、端末全体の管理と、業務アプリ内のデータ保護を分けると整理しやすくなります。

管理方式	管理する範囲	代表的な使い方
MDM（Mobile Device Management）	登録した端末の設定・セキュリティ・アプリなど	会社支給PCやスマートフォンを管理する
MAM（Mobile Application Management）	対応する業務アプリと、その中の会社データ	私物スマートフォンのOutlookなどを保護する

MDMは「モバイルデバイス管理」と訳されますが、スマートフォンだけでなくPCも対象です。MAMはMDMと併用できるほか、対応OS・アプリでは端末をMDM登録せずに利用できます。アプリ保護ポリシーの概要

Microsoft Intuneの主な機能

1. デバイス管理と設定の配布

Windows、macOS、iOS/iPadOS、Androidなどの端末を管理し、OSや端末の情報、管理状態を確認できます。ただし、利用できる設定や操作はOSと登録方式によって異なります。

構成プロファイルを使うと、Wi-Fi・VPNなどの接続設定や、端末機能の制限をユーザー・デバイスのグループへ配布できます。全社共通の設定と、部門・用途別の設定を分けて管理することも可能です。デバイス構成の概要

2. アプリケーションの配布・アップデート

業務アプリを管理対象に追加し、利用者や端末へ割り当てます。会社が必須とするアプリのインストールや、利用者がCompany Portal（ポータルサイト）から選んで導入する運用などを設計できます。

すべてのアプリが自動で最新版になるわけではありません。 ストアアプリ、社内開発アプリ、WindowsのWin32アプリなどで更新方法が異なり、新しいパッケージの登録や更新の構成が必要になる場合があります。導入時はサイレントインストール、インストール済みかどうかの検出、再起動も検証します。アプリ管理と更新方法

3. 業務アプリ内のデータ保護

対応アプリには、アプリ保護ポリシーを適用できます。たとえば、業務データを個人用アプリへコピーする操作の制限や、業務アプリを開く際のPIN要求などです。

BYOD（私物端末の業務利用）では、会社データだけを選択的に削除する運用も可能です。ただし、任意のアプリを無条件に保護できる機能ではありません。対象OS・アプリ・データの範囲を確認し、利用者へ説明することが必要です。 アプリ保護でできること

4. 更新プログラム管理

Windowsでは、更新リングで延期期間、適用期限、再起動の動作などを設定できます。小規模な検証グループから順に広げる運用や、機能更新プログラムで対象バージョンを指定する運用が可能です。

Intuneは更新を制御するポリシーを管理し、更新データ自体は通常Windows Updateから端末へダウンロードされます。「Intuneサーバーへ更新ファイルを置いて配る」という仕組みではありません。ほかのOSについては、対応する更新管理機能を個別に確認します。Windows更新管理の概要

5. コンプライアンスポリシーの管理

コンプライアンスポリシーは、端末が会社の基準に適合しているかを判定するルールです。OSに応じて、最低OSバージョンや暗号化の状態などを評価できます。

ここでは、次の3つを分けることが大切です。

仕組み	役割	例
構成・セキュリティポリシー	端末へ必要な設定を適用する	暗号化を有効にする設定を配布する
コンプライアンスポリシー	端末の状態が基準を満たすか判定する	暗号化されていない端末を非準拠とする
Entra IDの条件付きアクセス	判定などを使って対象サービスへのアクセスを制御する	非準拠の端末からのアクセスを制限する

非準拠と判定するだけで、必ず設定が自動修復されたり、サービスへのアクセスが遮断されたりするわけではありません。 通知、猶予期間、必要な設定の配布、条件付きアクセスとの連携を設計します。また、ここでいう準拠は設定したルールへの適合であり、法令への適合や端末の完全な安全性を保証するものではありません。コンプライアンスポリシーの概要

6. セキュリティ設定と遠隔操作

対応する端末では、暗号化、ファイアウォール、ウイルス対策などの設定を管理できます。Microsoft Defender for Endpointと連携し、リスク情報を管理に利用することも可能です。Intuneは設定・管理の役割を担い、脅威の検出や調査にはDefenderなどの保護機能を組み合わせます。エンドポイントセキュリティ管理

遠隔操作には、同期、再起動、ワイプなどがありますが、対応する操作はOS・登録方式ごとに異なります。ワイプ、管理の解除、アプリ内の会社データの削除は影響範囲が異なるため、紛失・退職時の手順を分けましょう。オフラインの端末へ直ちに命令が届くわけではありません。 デバイスの遠隔操作と前提条件

MAMでは具体的に何を制限できるか

スマートフォンのMAMでは、対応アプリへアプリ保護ポリシーを適用して、会社データの移動と利用条件を制御します。以下は構成例で、すべての設定がすべてのOS・アプリで使えるわけではありません。

制限すること	設定の具体例
コピー＆ペースト	会社のOutlookから個人用LINEやメモへの貼り付けを禁止する
アプリ間の共有	添付ファイルを、保護対象のWordなどでだけ開けるようにする
保存先	個人用ストレージへの保存を制限し、会社のOneDriveなどを許可する
バックアップ	業務アプリ内の会社データを個人用バックアップへ含めない
印刷・画面キャプチャ	会社データの印刷や、対応する画面キャプチャを禁止する
リンクを開くアプリ	業務アプリ内のWebリンクをEdgeで開かせる
アプリの利用条件	PIN・生体認証を要求し、古いOS・アプリや改造端末では利用を制限する
オフライン利用	一定期間認証できない場合、会社データへのアクセスを制限する

画面キャプチャなどはOSやアプリ内のIntune SDKのバージョンによって対応が変わります。iOS/iPadOSの設定一覧、Androidの設定一覧

たとえば「会社のOutlookから会社のTeamsへのコピーは許可し、個人用LINEへのコピーは禁止する」という使い分けです。複数アカウントに対応するアプリでは、仕事用のデータを保護しながら個人用の利用を分けられます。退職時には、管理対象アプリの会社データだけを選択的に削除する運用も可能です。アプリ保護の範囲

ただし、別のカメラで画面を撮影するなどの持ち出しまで防げるものではありません。

追加アプリは必要か。会社アカウントだけで制限されるか

会社アカウントでサインインするだけでは、MAMの制限は自動的に有効になりません。 会社側で必要なライセンスを用意し、対応アプリと利用者へ保護ポリシーを割り当てる必要があります。アプリは会社アカウントに対応する設定を受け取って動作します。

スマートフォンのOS	必要なアプリの考え方
Android	Outlookなどの対象アプリに加え、MAMの動作にIntune Company Portalが必要
iOS/iPadOS	MAMだけならCompany Portalは通常不要。認証構成によってMicrosoft Authenticatorが必要

通常、OutlookやTeamsは普段のアプリを使います。Androidでも、Company Portalをインストールすることと、端末全体をMDMへ登録することは別です。 MAMのみの構成ではMDM登録は不要です。AndroidのMAM要件、認証用アプリの役割

GmailやSlackにも同じ制限をかけられるか

Microsoft製かどうかではなく、アプリがIntuneの保護に対応しているかで決まります。ここではスマートフォンアプリを対象にしています。

アプリ	Intune MAMでの扱い
Outlook・Teams	対応。会社側の保護ポリシーを適用できる
Gmailアプリ	現在の対応アプリ一覧に含まれず、同じアプリ保護ポリシーを直接適用できない
Slack	専用のSlack for Intuneアプリで対応できる

Slack for Intuneには、SlackのEnterpriseプラン、必要なIntuneライセンス、管理者の設定が必要です。通常版とは別の専用アプリを使います。AndroidではCompany Portalも必要です。Microsoftの対応アプリ一覧、Slack公式の導入条件

Gmailでも、Androidの仕事用プロファイルを使って、仕事用アプリから個人用アプリへのコピーを制限する方法があります。これは端末登録なしのMAMとは異なる、端末・プロファイル管理の仕組みです。Google公式のAndroid管理設定

OutlookからGmailへのコピーを止めることと、Gmail内のデータを管理することも別です。 前者は送信元のOutlookのMAMで制限できますが、後者にはGmail側へ適用できる別の管理方法が必要です。

私物PCにはどのような制限ができるか

PCでは、スマートフォンのMAMをそのままデスクトップ版OutlookやSlackへ適用できるわけではありません。次の3つの方法を分けて検討します。

方法	保護する範囲	制限の例
Windows MAM	Edgeで扱う会社データ	ダウンロード、外部へのコピー、印刷の制限
サービス側のアクセス制御	対象のWebサービスへのアクセス	ブラウザー限定、保存・同期の禁止、アクセス拒否
IntuneへのMDM登録	登録したPCの設定・管理	暗号化、更新、アプリ配布、準拠状態の管理

Windows：端末をMDM登録せずEdge内を保護する

Windows MAMでは、対応する私物Windows PCのEdgeで、会社データのダウンロード、コピー＆ペースト、印刷などを制限できます。対象は保護された業務利用の範囲であり、PC内のすべてのアプリやファイルではありません。

この方式はMDM未登録などの要件があり、Microsoft Entra join済み・MDM管理済み端末とは適用条件が異なります。Macに同じWindows MAMを適用することもできません。Windows MAMの設定と要件

Windows・Mac：会社サービスをブラウザー限定にする

SharePoint・OneDriveとEntraの条件付きアクセスを使うと、管理されていないPCにブラウザー限定のアクセスを認め、ダウンロード・印刷・同期やデスクトップ版Officeからのアクセスを禁止できます。ブラウザー上の編集を許可するかも設定できます。これはIntune MAM単独の機能ではありません。未管理端末のアクセス制御

ほかの対応Webサービスでは、Defender for Cloud Appsのセッション制御でダウンロード・コピー・印刷などを制限できる場合があります。ブラウザー制御を迂回されないよう、デスクトップアプリなどからのアクセスも設計します。必要なライセンスと、サービス・ブラウザーの対応条件を確認してください。ブラウザーセッションの制御

PC自体をIntuneへ登録する

私物Windows PCやMacをMDM登録する場合は、対応OS・エディションに応じて端末設定まで管理する構成になります。端末名やOSバージョンなども会社側で確認できるため、管理の範囲、配布するソフトウェア、解除・削除操作の扱いを利用者へ説明します。登録時に会社が確認できる情報

私物PCの利用では、まずブラウザー限定と保存・同期の制限で要件を満たせるか検討すると整理しやすくなります。ローカルの業務アプリまで必要なら、端末管理や仮想デスクトップなども含めて設計します。

Microsoft IntuneとMicrosoft Entra IDの関係

Microsoft Entra ID（旧Azure AD）は、会社アカウントの認証やアクセス制御を担当します。Intuneは、その利用者が使う端末や業務アプリの状態を管理します。

たとえば、会社のMicrosoft 365へのアクセスを保護する場合は、次のように連携します。

Entra IDが利用者を認証する。
Intuneが端末の準拠状態をEntra IDへ提供する。
Entra IDの条件付きアクセスが、ユーザーや端末などの条件を評価して、アクセスの許可・制限を決める。

Intuneに登録済みであることと、Entra IDで認証できることは別です。 また、条件付きアクセスはEntra IDの機能で、Intune管理センターから設定する場合も役割は変わりません。利用にはEntra ID P1/P2などの必要な権利を確認します。Intuneと条件付きアクセス

Microsoft IntuneとActive Directoryの違い

ここでのActive Directoryは、Windows Server上のActive Directory Domain Services（AD DS）を指します。

比較項目	Microsoft Intune	Active Directory（AD DS）
主な役割	端末・アプリの設定、配布、状態管理	ドメインのユーザー・コンピューター管理と認証
基盤	Microsoftのクラウドサービス	ドメインコントローラーを運用する構成
設定管理	構成プロファイルやセキュリティポリシーなど	グループポリシー（GPO）など
主な管理対象	対応OSの端末とアプリ	ドメインに属するWindows環境など
設計時の通信	インターネット上の管理サービスへの到達性	ドメインコントローラーへの到達性など

AD DSは認証基盤としての役割があり、Intuneを導入するだけで置き換わるものではありません。AD DSとEntra IDの違いも含めて、認証と端末管理を別々に設計します。AD DSとEntra IDの比較

また、IntuneのポリシーとGPOには設定管理の重なりがありますが、既存GPOをすべてそのまま移せるとは限りません。移行時は設定ごとに対応状況、適用先、重複・競合を確認します。グループポリシーの仕組み

Windows Autopilotとの違い

Windows Autopilotは、Windows PCの初回セットアップや管理登録を自動化するための仕組みです。一方、Intuneはアプリ・設定の配信と、利用開始後の継続管理を担当します。

「Autopilotで入社者のPCをセットアップし、その後はIntuneで管理する」と考えると役割を整理できます。詳しくはWindows Autopilotの記事を参照してください。

導入するメリットと向いている場面

Intuneは、在宅勤務や複数拠点の端末を管理したい場合、Microsoft 365と連携して利用条件をそろえたい場合、会社支給端末とBYODで保護の範囲を分けたい場合に検討しやすいサービスです。

作業を標準化できる：アプリや設定の個別作業を減らし、部署・用途ごとのルールで配布できます。
離れた端末を管理しやすい：端末の回収や出社を伴う作業を減らせます。
問題を把握しやすい：配布失敗や非準拠の端末を確認し、対応対象を絞れます。

一方、購入・保管・貸出・会計情報まで含めたIT資産台帳や、すべての操作を記録する監視、ファイルのバックアップまで、一つのサービスで満たせるとは限りません。必要な業務と機能を対応づけ、不足する領域には別の仕組みを組み合わせます。

導入前に確認すること

対象を決める：OS、会社所有・私物、共有端末、必要な管理範囲を整理します。
ライセンスを確認する：基本となるIntune Plan 1と、追加機能・関連サービスの利用権を分けます。Microsoft 365に含まれるかは契約プラン次第です。公式のライセンス説明
登録方法を決める：Windows Autopilot、AppleやAndroidの登録方式など、端末と用途に合う方法を選びます。
少数で検証する：設定、アプリ配信、更新、条件付きアクセスを段階的に試します。既存GPOやほかの管理製品との競合も確認します。
日常運用を決める：失敗端末の確認、例外処理、紛失・退職対応、BYODの利用者への説明を手順化します。

導入の目的は、管理画面へ端末を登録することだけではありません。会社が求める設定を配り、その結果を確認して、問題があれば対応できる運用まで整えることが大切です。

参考記事

以下の記事を、機能や利用場面を整理する参考にしています。技術仕様・利用条件は本文中のMicrosoft公式資料を確認してください。