Cloud Identity PremiumはEntra ID P1＋Intuneの代替になるか｜機能マッピングとコストの整理

前提整理：Cloud Identity PremiumはEnterpriseに含まれる

比較の出発点として、まずライセンスの前提を正確に押さえます。

Googleの公式エディション比較表には、「Cloud Identity Premium security management (no separate license required)」という項目があり、次のエディションで提供されると明記されています。

つまり Google Workspace Enterpriseを契約している時点で、ID管理とデバイス管理のための追加ライセンス費用は発生しません。これはMicrosoft側との構造的な違いです。Microsoftでは、Office 365系のプランに含まれるのはEntra IDの無償版であり、条件付きアクセスやIntuneを使うにはMicrosoft 365 E3以上、またはEntra ID P1／Intune Plan 1を別途調達する必要があります。

なおBusinessエディションについては、比較表に「Cloud Identity Premium」という語自体が登場しません。Business Plusには「Advanced endpoint management」が明記されていますが、Cloud Identity Premiumという名称では紐づけられていない、という点は正確に理解しておく必要があります。BusinessエディションでEnterprise相当の統制を期待するのは誤りです。

機能マッピング

Microsoft側の構成要素と、Google側の対応を並べます。

一目でわかるとおり、分岐点はWindows PCです。IDとモバイルはGoogle側で完結できますが、Windowsの資産管理・キッティング・ソフトウェア配布はGoogleだけでは埋まりません。

モバイル管理：基本と高度の違い

Googleエンドポイント管理には「基本的なモバイル管理」と「高度なモバイル管理」の2段階があります。Intuneとの比較を語る際に混同されやすいので、正確に区別します。

対応エディション

機能差

注目すべきは、基本管理はエージェント不要（agentless）で、既定で有効という点です。デバイス側に何もインストールしなくても、パスコードの強制、デバイスのブロック、アカウントのリモート削除といった制御が効きます。Intuneの展開でよく問題になる「エージェントが入っていない端末をどうするか」という論点が、Googleでは基本管理のレイヤーで一定程度カバーされます。

一方で、BYODの要件を満たすには高度な管理が必須です。Androidの仕事用プロファイルによるデータ分離も、iOSのマネージド アプリ構成も高度な管理の機能で、Business Starter／Standardでは使えません。BYODを含む要件ではBusiness Plus以上かEnterpriseが前提になります。

Windows管理：どこまでできるか

ここがCloud Identity Premiumの限界線です。公式ヘルプが明記している「できること」は、ユーザー管理権限レベルの設定、BitLocker暗号化の有効化、Windows自動更新の管理、カスタム設定（USBドライブの無効化、画面ロックのタイムアウトなど）、デバイスのワイプ・詳細情報の取得・サインアウト・監査・登録解除です。

ポリシー配布は「カスタム設定」として、WindowsのCSPに対応する設定パスを指定する形で行います。管理コンソール側は名前・設定パス・データ型・値の4項目を入力するUIで、設定パスにはオートコンプリートが用意されています。Active DirectoryのGPOで行っていた設定のうち、WindowsのCSPで表現できるものはここから配布できます。

ソフトウェア配布は「あるが、限定的」

公式ヘルプは、カスタム設定を使ってWindowsデバイスにソフトウェアをインストールできると記載しています。方法は、アプリのMSIファイルの場所を記述したXMLをカスタム設定の値として指定するというものです。必要な情報は、①アプリのURL、②SHA256ハッシュ（Get-FileHash -Path <PathToFile> -Algorithm SHA256 で取得）、③プロダクトIDの3つ。インストール ファイルはベンダー サイトかhttp／https／ftpでアクセスできる場所に置く必要があり、端末はインターネット接続後3時間以内にインストールを実行します。

つまり MSI形式のアプリをURL指定でインストールさせる仕組みはある、というのが正確な理解です。.exe についての公式記載はありません。そして、Intuneや構成管理ツールが提供する「依存関係の解決」「サイレント配布と自動再試行」「配布グループごとの段階展開」「インストール成否の詳細レポート」といったパッケージ配信の機能とは、明らかに水準が異なります。

したがって現実的な設計は、Windowsのセキュリティ更新プログラム配信とソフトウェア資産管理は、既存の構成管理ツール（Microsoft Configuration Managerなど）を継続利用するという前提になります。

GCPWの役割

Windows端末でGoogleアカウントを認証に使う場合、GCPW（Google Credential Provider for Windows）を導入します。役割は「Windows 10／11へのサインインをGoogleアカウントで行う」「GoogleアプリおよびSSO連携アプリへのシングル サインオン」「Windowsデバイス管理への自動登録」の3つです。

制約として、GCPWはGoogleのみをIDプロバイダとしてサポートし、他のIdPには対応しません。Oktaなどを主軸に据えている組織では、この点が設計上の分岐になります。オフライン サインインの許容日数は管理者が設定でき、2段階認証（USBセキュリティ キー、Googleプロンプト、Google Authenticator、バックアップ コード）にも対応します。プロキシ環境ではホスト名の許可リスト登録が必要です。

ChromeOSを含めると絵が変わる

ここまでは「Windowsを前提にした場合」の比較です。端末をChromeOSに寄せられる組織では、構図そのものが変わります。ChromeOS端末の管理には ChromeOS Enterprise Upgrade が必要です（旧称はChrome Enterprise Upgrade。表記が併存しているため、仕様書では初出時に併記しておくのが安全です）。

ChromeOSを採用すると、Windowsのセキュリティ更新プログラム配信の運用、アンチウイルス／EDRのライセンスと運用コスト、キッティングとセルフ プロビジョニングの仕組み（Autopilot相当）が、まとめて設計から消えます。

ただし前提条件があります。ブラウザで完結する業務に限る、という点です。クライアント アプリケーションが必要な業務が残る場合、その端末はWindowsのまま運用することになります。全面ChromeOS化ではなく、業務特性で端末を分ける「混在前提の設計」が現実的です。

コストの比較

米ドル建ての公表価格で構造を比較します。日本円での実勢価格は代理店・契約形態で変わるため、あくまで構造の理解として参照してください。

読み取るべきポイントは2つです。ひとつは、MicrosoftではID・デバイス統制が上位プランへの誘因になっていること。Business Standard（$23.50）にはIntuneが含まれず条件付きアクセスも使えないため、統制をかけるにはBusiness Premium（$32）またはMicrosoft 365 E3（$39）に上げるか、Entra ID P1＋Intune Plan 1（合計 $15）を買い足すことになります。もうひとつは、GoogleではEnterpriseエディションに最初から入っていること。「no separate license required」と明記されており、MDM／MAMのために別ライセンスを買う必要がありません。

なお Office 365 E3（$23.00）とMicrosoft 365 E3（$39.00）は別プランです。Entra ID Plan 1とIntune Plan 1が含まれるのはMicrosoft 365 E3のほうです。提案書で「E3」とだけ書くと比較が成立しなくなるため、必ずどちらかを明示してください。

代替になるケース・ならないケース

代替になる

• ID・SSO・多要素認証・条件付きアクセス：Cloud Identityのコンテキストアウェア アクセスで、ユーザー属性・デバイスの状態・IP・場所に基づく制御ができます。
• iOS／AndroidのMDM／MAM：高度なモバイル管理で、仕事用プロファイル、マネージド アプリ、リモート ワイプ、デバイス承認、ゼロタッチ登録に対応します。
• BYODのデータ分離：Androidの仕事用プロファイル、iOSのマネージド アプリ構成で、業務データの個人領域への流出を止められます。
• ChromeOSの管理：そもそもGoogle側が本家です。

代替にならない

• Windowsのソフトウェア パッケージ配信：MSIのURL指定インストールに限定されます。既存の構成管理ツールの継続利用が前提です。
• Windowsのセキュリティ更新プログラム配信：自動更新の管理はできますが、配信サーバーとしての機能は持ちません。
• Windowsのセルフ プロビジョニング（Autopilot相当）：該当機能がありません。
• Google以外のIdPを主軸にしたWindowsサインイン：GCPWはGoogleのみをIdPとしてサポートします。

設計パターン

実務では次の3つに収れんします。A：Google完結型は端末をChromeOSに寄せ、統制をすべてGoogle側に集約する形。EDRとパッチ配信の運用コストごと設計から消せます。B：Google ＋ 既存構成管理ツール併存型は、ID・アクセス制御・モバイルをCloud Identity Premiumに寄せ、Windowsのパッチとソフトウェア配布はMicrosoft Configuration Managerなどを継続する形で、採用例が最も多いパターンです。C：IDはGoogle、WindowsはIntune併存型は、Autopilotによるキッティングを止められない場合の選択肢です。ただしCでは、条件付きアクセスの対象がGoogle WorkspaceのサービスだけなのかMicrosoftのサービスも含むのかで結論が変わるため、要件の切り分けが先に必要になります。

よくある質問

Google Workspace Business Standardでも同じことができますか。

できません。エディション比較表でCloud Identity Premiumの管理機能が記載されているのはEnterprise Standard／Plus、Frontline Standard／Plus、Education Standard／Plusです。高度なモバイル管理もBusiness Starter／Standardは対象外です。

Cloud Identity Premiumを単体で買うといくらですか。

GoogleのCloud Identityページには $7.2／ユーザー／月という表示がありますが、これがPremiumの価格であることを明記した公式記載は確認できていません。単体調達を検討する場合は見積りで確認してください。なおCloud Identity Freeはデフォルトで50ユーザーまでで、追加ライセンスを無償で申請できます。

条件付きアクセスに相当する機能はどのエディションで使えますか。

コンテキストアウェア アクセスの対応はFrontline Standard／Plus、Enterprise Standard／Plus、Education Standard／Plus、Enterprise Essentials Plus、Cloud Identity Premiumです。Businessエディションは対象外です。

WindowsのGPOで配布していた設定は移行できますか。

WindowsのCSPで表現できる設定であれば、Google管理コンソールのカスタム設定から配布できます。すべてのGPO設定が対応するわけではないため、移行対象の棚卸しが必要です。

エージェントのインストールは必要ですか。

基本的なモバイル管理はエージェント不要で既定で有効です。高度なモバイル管理を使う場合はデバイス ポリシー エージェントのセットアップが必要になります。

移行はどこから始めるべきですか。

ID（ディレクトリ同期とSSO）を先に固め、その後モバイル、最後にWindowsという順序が安全です。Windowsを最初に触ると、代替できない領域に早期にぶつかってプロジェクトが止まります。

まとめ

• Cloud Identity Premiumの管理機能はGoogle Workspace Enterpriseに別ライセンス不要で含まれます。 Microsoft側でEntra ID P1＋Intune Plan 1（$15／ユーザー／月）または上位プランが必要な部分に、追加コストが発生しません。
• ID・アクセス制御・iOS／Androidのデバイス管理は代替可能です。BYODのデータ分離を含め、必要な機能は高度なモバイル管理でカバーできます。
• Windowsのソフトウェア配布・パッチ配信・キッティングは代替できません。 既存の構成管理ツールとの併存を前提に設計してください。
• 端末をChromeOSに寄せられる範囲では、EDRやパッチ配信の運用コストごと設計から消せます。ただしブラウザで完結する業務に限られます。
• BusinessエディションではEnterprise相当の統制はできません。比較検討時にエディションを明示しないと、見積りも要件も成立しません。

現行のEntra ID／Intune構成の棚卸しと、Google Workspaceへの移行時に何が残り何が消えるかの整理については、当社でも支援を行っています。