参考になった

レビュー投稿日の情報になります

株式会社コロプラ / 中村知

メンバー / 情報システム / 従業員規模: 501名〜1,000名 / エンジニア組織: 101名〜300名

最終更新日2026/09/25投稿日2026/09/29

ツールの利用開始時期
2022年12月

ツールの利用開始時期	2022年12月

導入の背景・解決したかった問題

導入背景

ツール導入前の課題

当社ではPC紛失時のリスク低減を目的に、2019年12月からMacに Jamf Pro を導入し
リモートワイプや設定ポリシーの配布を実現していました。
一方でWindows PCには同等の仕組みがなく、Macの管理と管理レベルの差が生まれていました。
具体的には次のような状態です。

紛失時に取りうる手段が限られていた
リモートでのワイプもロックもできず、対応の選択肢が乏しい状態でした。
セキュリティ設定が端末ごとにバラバラ
Windowsのポリシーを一括で配布、強制する仕組みがなく暗号化や画面ロックといった
基本設定の適用がキッティング時の手作業に依存しており、「設定されているはず」を
確認する手段がありませんでした。
キッティングが完全に手作業
担当者の作業は単純ではあるものの、不要なプリインストールソフトの削除、
ウイルス対策ソフトの導入、プリンタ設定などをすべて人手で実施していました。
複数台同時にキッティングする時のスペース確保に苦慮することが多く、払い出し
可能な状態になるまで1台2時間程度要するなど、工数に関する問題がありました。
在宅勤務の常態化で、PCが物理的にオフィスの外にある時間が大半になった
社内にPCがあることを前提とした確認、対応が成り立たなくなり、設定が意図通りに
適用されているか、OSが最新かなどの詳細を把握するのが困難な状態が生まれました。
何か対応が必要になっても、出社を待つか利用者本人に手順を案内して自力で対応して
もらう、といった対応が発生していました。

どのような状態を目指していたか

「会社の全Windows PCが情シス部門の管理下にある状態」を目標に据えました。
必須要件は次の2点です。

リモートワイプ
Jamfと同等に、紛失端末がインターネットに接続した段階でワイプが走ること
ソフトウェアの制限
バージョン・アプリ名での制御

加えて、できると良いこととして「アプリの配布」「キッティングの自動化」を置きました。

選定理由

既にMicrosoft 365 / Azure AD（現Entra ID）を利用しており、利用ライセンスで
Intune・Azure AD Premium・Autopilotまで揃うこと
Autopilotによるゼロタッチキッティングまで一気通貫で実現できること、
MDM単体ではなくキッティング工数の削減までスコープに入れられた
Microsoft Defender for Endpointなど、今後のエンドポイントセキュリティ製品を
検討する際の土台になること

導入の成果

どのような成果が得られたか

2022年12月、全Windows PC への導入を完了。
Macに続き、Windowsも含めた全社のPCが情シス部門の管理下に入りました。
基本的なセキュリティ設定の適用状況を、端末ごとに確認できるようになりました。
コンプライアンスポリシーで要件を定義することで、「設定されているはず」から
「準拠状況が一覧で見える」状態に変わったのが最大の変化です。
BitLocker回復キーをIntune上で一元管理できるようになり、実際に端末トラブル時の
復旧で利用しています。
Autopilotによりキッティングが自動化され、EDRやChromeなどの標準アプリはポリシーで
自動配布されるようになりました。
キッティング工数が「1台2時間→30分」になりました。
PC交換の対応はセルフキッティングを案内しています。利用者がPCにログインするだけで
キッティングが自動的に開始されるため、管理者側の作業をさらに削減できています。
Windows Updateについても、毎月のリリース情報をもとに最小OSバージョンを更新する
運用に載せ、サポート切れOSの端末を検知できるようになりました。

導入時の苦労・悩み

ローカルアカウント運用を維持したまま導入する必要があったのが最大の制約でした。
当社はPCログインをローカルアカウントで行う運用としていたため、Windows Hello for Businessや
Windows Update for Businessといった機能が使えません。このため、代替となるポリシー設計を
機能ごとに検証しながら進めることになりました。「この構成でこの機能が想定通り動くか」を事前に
机上で判断しきれず、検証機での確認を積み重ねることになりました。

払い出し済みのPCへの適用も手間でした。
Autopilotに払い出し済みPCを登録するにはPowerShellでハードウェア情報を抽出する必要があり、
そのためにEDRのポリシーを一時的に変更する調整も発生しました。
全社展開時は、利用者自身にAzure AD参加の作業をしてもらう必要があったため、対象者を
グループに分け、数回に分けて案内する形を取りました。

導入に向けた社内への説明

上長・チームへの説明

「セキュリティ強化」と「キッティング自動化による工数削減」を同時に実現できることを軸に説明しました。

Windows PCのキッティングは月あたり数十台規模を手作業で行っており、Autopilotで初期設定と
アプリ配布を自動化できれば、その工数をそのまま他の業務に振り向けられます。
ライセンス費用に対して削減できる作業工数を示すことで、「管理を強めるためのコスト」ではなく
「投資対効果のある施策」として位置づけられました。
すでにMicrosoft 365を契約しており、追加の基盤構築が不要で初期コストを抑えられる点もあわせて
説明しています。
技術的な合意形成としては、セキュリティ担当を含む関係者を集めて、Intune管理コンソールと検証機を
実際に見せながら「Intuneで何が制御できるのか」を説明する場を設けました。
その場で出た懸念（認証状態が意図せず切れないか、ローカルアカウントでOS更新を制御できるか、
ポリシーの適用タイミングを指定できるかなど）をシートに集約し、検証結果を後日回答する進め方を
しました。
利用者の環境に影響する施策なので、まず管理者側で疑問を潰しておくプロセスを先に踏んだ形です。

活用方法

情シス部門で運用しています。
日常的にはPCの払い出し・回収のたびに登録／削除を行い、月次でWindows Updateの最新ビルドを
確認して最小OSバージョンのポリシーを更新しています。また、資産管理システムのデータとIntuneの
エクスポートデータを突合し、登録漏れ・削除漏れの端末を検出する棚卸しを定期的に実施しています。

よく使う機能

1.コンプライアンスポリシー
BitLocker必須／ウイルス対策必須／最小OSバージョンの3本を運用。
非準拠端末を検知する起点にしています。
2.構成プロファイル
BitLocker有効化、デバイス制限（OneDrive、Microsoftアカウント、手動での登録解除をブロック）、
画面ロック時間などを配布
3.Windows Autopilot
新規PCのゼロタッチキッティング。
デプロイプロファイルと登録ステータスページで、開封から利用開始までを自動化
4.アプリ配布（Win32／MSI）
EDR、Google Chrome、プリンタドライバなどを自動配布
5.更新リング／品質更新プログラム
Windows 11へのアップグレード制御とセキュリティ更新の適用強制
6.リモートワイプ／BitLocker回復キー管理
紛失時の備えと、実運用でのトラブル復旧

ツールの良い点

Microsoft 365 / Entra IDを利用している組織なら、追加の基盤構築なしに始められます。
MDM・キッティング自動化・条件付きアクセスの土台が1つのライセンスに揃うのは大きいです。
Autopilotまで含めて設計すると、セキュリティ強化と情シスの工数削減を同時に取りにいけます。
「管理を強める」だけの投資にならないのが導入の説得材料になりました。
BitLocker回復キーの保管など、インシデント時に効く機能が標準で備わっています。

ツールの課題点

設定項目が非常に多く、自社の構成で狙った挙動になるかを事前に判断しづらいです。
公式ドキュメントも組み合わせのすべてを網羅しているわけではないため、検証機で
1つずつ確認する前提で計画を立てたほうがよいと思います。
ポリシーの反映がリアルタイムではありません。同期は既定で数時間おき、トリガー指定は不可、
手動同期は1台ずつ。「設定したのに反映されない」ように見える時間帯が発生します。
ローカルアカウント運用だと制約が増えます。Windows Hello for Business、Windows Update for Businessが利用できず、代替のポリシー運用が必要です。
Windowsのリモートロックが非対応（ワイプは可能）
デバイス削除の順序（Intune → Entra ID）を誤ると、Intune側のレコードが消えなくなる。
運用フローに落とし込んでおかないと、台帳との不整合が積み上がります。

ツールを検討されている方へ

既にMicrosoft 365を契約している組織には第一候補になりますが、
「使いたい機能が自社の運用（特にアカウント設計）で動くか」は必ず検証機で確認してください。
当社はローカルアカウント運用を維持したことで、後から代替策を探す場面が何度もありました。
導入と同じくらい、削除・棚卸しの運用設計が重要です。登録漏れ・削除漏れは必ず発生するので、
資産管理台帳と突合する仕組みを最初から用意しておくことをおすすめします。
MDM単体ではなくAutopilotとセットで設計すると、社内への説明がしやすくなります。