Intuneのデバイス管理は組織所有デバイスのMDM管理とBYODのMAM管理を使い分けます。条件付きアクセスと連携することで「準拠デバイスのみM365にアクセス可能」という強力なセキュリティを実現できます。
デバイス管理の全体像
Intuneのデバイス管理はデバイスの登録→ポリシー適用→継続監視→リモートアクションの4フェーズで運用します。管理対象のデバイスは「準拠」「非準拠」のステータスで監視され、非準拠デバイスにはアクセス制限や通知が自動的に適用されます。
OS別の登録方式
| OS | 組織所有デバイス | 個人デバイス（BYOD） |
|---|---|---|
| Windows | Entra Join＋自動登録、Autopilot | Entra Register＋MAM |
| iOS/iPadOS | Apple Business Manager＋自動登録（DEP） | ポータルサイトアプリで登録、またはMAMのみ |
| Android | Android Enterprise 完全管理型 | 仕事用プロファイル（個人/仕事のデータ分離） |
| macOS | Apple Business Manager＋自動登録 | ポータルサイトアプリで登録 |
Microsoft 365の設計・移行・運用は、ライセンス構成とセキュリティ設定の組み合わせで運用負荷が大きく変わります。設定の妥当性から見直すご支援が可能です。
Intune 運用支援 を見る →コンプライアンス管理
コンプライアンスポリシーで「準拠デバイスの条件」を定義し、条件付きアクセスと連携して「非準拠デバイスはM365にアクセスさせない」制御を実現します。
- Windows：OS更新、BitLocker暗号化、ファイアウォール、Defender有効化
- iOS：OS最小バージョン、脱獄検知、パスコード設定
- Android：OS最小バージョン、root化検知、デバイス暗号化
非準拠デバイスが検出された場合の段階的アクション（通知→アクセス制限→リタイア）も設定できます。
リモートアクション
| アクション | 内容 | 用途 |
|---|---|---|
| リモートワイプ | デバイスを工場出荷状態に初期化 | 紛失・盗難時の情報漏洩防止 |
| 選択的ワイプ | 組織データのみ削除（個人データは保持） | BYODの退職処理 |
| リモートロック | デバイスを即座にロック | 紛失時の一時的な対応 |
| パスコードリセット | デバイスのパスコードをリセット | パスコード忘れ対応 |
| BitLocker回復キー取得 | 暗号化の回復キーをIntuneから取得 | BitLockerロック解除 |
| デバイスの同期 | 最新のポリシーを即座に適用 | ポリシー変更の即時反映 |
BYOD対応
個人デバイスはMAM（モバイルアプリ管理）を使い、デバイス全体ではなくアプリレベルで管理します。
- 業務アプリ（Outlook、Teams等）内のデータをコピー・貼り付け禁止
- 業務アプリにPIN/生体認証を要求
- 退職時に業務データのみ選択的ワイプ（個人の写真やLINEは影響なし）
よくある質問
Intuneのデバイス管理はどう運用しますか？
デバイスの登録→ポリシー適用→継続監視→リモートアクションの4フェーズで運用します。管理対象は「準拠」「非準拠」のステータスで監視され、非準拠デバイスにはアクセス制限や通知が自動適用されます。
OSごとの登録方式は何が違いますか？
Windowsは組織所有ならEntra Join＋自動登録やAutopilot、BYODならEntra Register＋MAM。iOS/iPadOSは組織所有ならApple Business Manager経由の自動登録（DEP）、BYODはポータルサイトアプリで登録します。
紛失時にはどう対応できますか？
リモートワイプでデバイスを工場出荷状態に初期化する、リモートロックで即座にロックする、パスコードをリセットするといったリモートアクションが使えます。
私物端末の個人データは守られますか？
守られます。選択的ワイプを使えば組織データのみを削除し、個人の写真やLINEなどには影響しません。また業務アプリ内のデータのコピー・貼り付け禁止や、業務アプリへのPIN/生体認証要求も設定できます。
まとめ
Intuneのデバイス管理は組織所有デバイスのMDM管理とBYODのMAM管理を使い分けます。条件付きアクセスと連携することで「準拠デバイスのみM365にアクセス可能」という強力なセキュリティを実現できます。