Microsoft Intuneの管理画面から「再起動」や「同期」を実行したのに、対象端末で何も起きないことがあります。この場合、同じ操作を何度も繰り返すのではなく、対象デバイス、通信状態、Intune登録、対応OS・登録方式、実行権限の順に確認するのが効果的です。
特に重要なのは、管理画面が操作要求を受け付けたことと、端末側で処理が完了したことは同じではない点です。Intuneのリモート操作には、端末がIntuneへ登録されていること、インターネット経由で通信できること、操作がその端末構成に対応していることが必要です。([Microsoft Learn][1])
Intuneのリモート操作が完了しないとはどういう状態か
Intuneのリモート操作は、管理者のパソコンから対象端末を直接操作しているわけではありません。管理センターから操作要求を送信し、対象端末がIntuneと通信したときに、その要求を受信して処理します。
たとえば「同期」は、端末にIntuneへのチェックインを促し、保留中の操作や割り当てられたポリシーを受け取らせる機能です。端末が通信できなければ、同期そのものも成立しません。([Microsoft Learn][2])
そのため、管理画面上で操作要求が受け付けられていても、次のような理由で端末側の処理が進まないことがあります。
| 状況 | 考えられる意味 | 最初に確認すること |
|---|---|---|
| 最終チェックインが古い | 端末がIntuneと通信していない可能性が高い | 電源、インターネット接続、登録状態 |
| 同じ名前のデバイスが複数ある | 古いデバイスレコードを操作している可能性がある | デバイスID、シリアル番号、利用者 |
| 同期はできるが再起動できない | 再起動の対応条件を満たしていない可能性がある | OS、登録方式、監視対象モード |
| 他の端末では実行できる | 対象端末固有の登録・通信問題が疑われる | 対象端末のチェックインと管理プロファイル |
| 特定の管理者だけ実行できない | Intuneのロールまたは管理対象範囲の問題が考えられる | リモートタスク権限、デバイス参照権限 |
なお、操作履歴の表示だけで端末側の完了を判断するのは危険です。Microsoftの公式ドキュメントでも、デバイス削除操作の「Completed」はサーバー側の処理完了を意味し、端末側でRetireが完了したことまでは保証しないと説明されています。([Microsoft Learn][1])
最初に正しい対象デバイスを選んでいるか確認する
Intuneの再起動や同期が実行されないときは、通信設定を調べる前に、操作したデバイスレコードが本当に現在使用中の端末か確認します。
Intune管理センターで、次の順に開きます。
- 「Devices」を開く
- 「All devices」を開く
- 操作対象のデバイスを選択する
- デバイスの概要と最終チェックインを確認する
リモート操作は、選択したデバイスレコードに対して実行されます。端末名だけで判断せず、次の情報を照合してください。
| 確認項目 | 確認する理由 |
|---|---|
| デバイス名 | 利用者が認識している端末名と一致するか確認する |
| IntuneデバイスID | 同名のデバイスレコードを区別する |
| シリアル番号 | 実際の物理端末と管理レコードを照合する |
| 利用者情報 | 現在の利用者に紐づいたレコードか確認する |
| OSとバージョン | 実行した操作の対応条件を確認する |
| 登録方式 | 監視対象、専用端末、個人所有端末などの違いを確認する |
| 最終チェックイン | 最近Intuneと通信できているか確認する |
再登録や端末交換を行った環境では、似た名前の古いデバイスレコードが残っている場合があります。同名レコードが複数あるときは、最終チェックインが新しいという理由だけで決めず、シリアル番号やデバイスIDも照合してください。
古いと思われるレコードが見つかっても、この段階で削除する必要はありません。まず、実際に使用中の端末に対応するレコードを特定し、そのレコードに対して非破壊的な「同期」などを試します。
端末の電源・通信・Intune登録状態を確認する
Microsoftの公式ドキュメントでは、Intuneのデバイス操作に共通する前提として、次の条件が示されています。
- 端末がIntuneへ登録されている
- 端末がインターネットへ接続されている
- 操作に必要なロールまたは権限がある
また、利用できる操作はプラットフォームや端末構成によって異なります。([Microsoft Learn][1])
利用者には、次の項目を確認してもらいます。
端末の電源が入っているか
通常のIntune MDM操作は、電源が切れた端末を直接起動して実行する仕組みではありません。電源が切れている場合は、端末を起動し、ネットワークへ接続した後に状態を確認します。
スリープ状態でも端末やネットワーク構成によって通信状況が異なるため、「スリープ中でも必ず受信できる」とは判断しないでください。
インターネットへ実際に接続できているか
Wi-Fiや有線LANのアイコンが表示されているだけでなく、ブラウザなどで外部通信ができるか確認します。
プロキシ、ファイアウォール、VPN、ネットワークフィルターなどを利用している環境では、Intuneやプッシュ通知に必要な通信が制限されていないかも確認が必要です。
Windows端末への再起動指示は、Windows Notification Servicesによる通知配信に依存します。端末がオフラインの場合やプッシュ通知が遮断されている場合、再起動は通信が戻るまで遅延します。([Microsoft Learn][3])
Intuneの登録が残っているか
端末側で、組織の管理プロファイルや職場・学校アカウントが残っているか確認します。
次のようなケースでは、Intune管理センターにデバイスレコードが残っていても、端末側の管理状態が正常でない可能性があります。
- 利用者が管理プロファイルを削除した
- OSを初期化または再インストールした
- 組織アカウントを端末から切断した
- 端末を再登録したが、古いレコードを操作している
- 証明書や登録情報に問題が発生している
管理センターに端末が表示されることだけで、現在も正常に管理通信できているとは判断しないことが重要です。
ロックを解除して通信を確認する
Apple端末では、パスコードでロックされた状態では保存済みWi-Fi資格情報を利用できず、利用者がロックを解除するまでIntuneと通信できない場合があります。該当する端末では、利用者にロックを解除してもらい、Wi-Fi接続後に再確認します。([Microsoft Learn][3])
「同期」は通信障害を直す機能ではない
同期を実行すれば、どのような状態の端末でもIntuneへ接続できると考えがちですが、同期にもIntuneとの通信経路が必要です。
Intuneの同期操作は、端末にチェックインを促し、保留中の操作、構成ポリシー、アプリの状態、スクリプトなどを更新するためのものです。端末がインターネットへ接続できない場合や、Intune登録が壊れている場合は、同期を繰り返しても根本的な解決にはなりません。([Microsoft Learn][2])
切り分けでは、次のように考えます。
- 最終チェックインが更新されない
通信または登録状態を優先して確認する - 最終チェックインは更新されるが、ポリシーが反映されない
割り当て、対象グループ、適用条件、競合などを確認する - 同期は動くが再起動だけ動かない
再起動の対応プラットフォーム、登録方式、権限を確認する - 管理センターからの同期だけ動かない
管理者権限、対象デバイス、操作履歴を確認する
つまり、同期は「通信経路が正常か確認するための非破壊的な操作」としては利用できますが、通信できない端末を強制的にオンラインにする機能ではありません。
再起動や同期がOS・登録方式に対応しているか確認する
Intuneで利用できるリモート操作は、OSだけでなく、登録方式や端末構成によっても変わります。
特に「再起動」は、すべての登録済み端末で同じように利用できるわけではありません。
| 操作 | 主な確認ポイント |
|---|---|
| 同期 | Android、iOS・iPadOS、macOS、tvOS、visionOS、Windowsなどの対応状況 |
| 再起動 | OSに加え、監視対象モード、専用端末、キオスクなどの登録・構成条件 |
| リモートロック | OS、管理方式、パスコード管理の対応条件 |
| 診断情報の収集 | 対応OS、エディション、必要な権限 |
| Wipe・Retire | 対象OS、所有形態、削除されるデータの範囲 |
たとえば、公式ドキュメントでは再起動について、iOS・iPadOSは監視対象モード、ChromeOSはキオスクモードまたは管理対象ゲストセッションなど、プラットフォームごとの条件が示されています。Androidでも、企業所有の専用端末やフルマネージド端末など、管理方式による違いがあります。([Microsoft Learn][3])
同期は再起動より広いプラットフォームで利用できますが、同期できることと、ほかのリモート操作もすべて利用できることは同義ではありません。([Microsoft Learn][2])
管理画面に操作項目が表示されているかだけで判断せず、次の3段階で確認してください。
OSが対応しているか
Windows、Android、iOS・iPadOS、macOS、ChromeOSでは、利用できるリモート操作が異なります。
登録方式と端末構成が対応しているか
同じOSでも、次の違いによって利用できる操作が変わります。
- 個人所有か企業所有か
- ユーザー登録かデバイス登録か
- 監視対象端末か
- 専用端末またはキオスク端末か
- フルマネージド端末か
- 管理対象ゲストセッションか
管理者に必要な権限があるか
再起動や同期を実行するには、リモートタスクの権限だけでなく、対象デバイスを参照してアクセスできる権限も必要です。
カスタムロールを使用している場合は、少なくとも次の点を確認します。
- 再起動に必要なリモートタスク権限がある
- 同期に必要なリモートタスク権限がある
- Managed devicesを参照できる
- 対象デバイスが管理者の管理対象範囲に含まれている
Microsoftの公式ドキュメントでも、再起動と同期には、それぞれのリモートタスク権限に加え、管理対象デバイスを参照・操作するための権限が必要とされています。([Microsoft Learn][3])
通信が戻った後に端末側の実行結果を確認する
利用者が端末を起動し、インターネットへ接続してロックを解除したら、すぐに同じ操作を何度も送信するのではなく、次の順で確認します。
- 対象デバイスの最終チェックインが更新されたか確認する
- Intuneのデバイス操作履歴を確認する
- 対応画面では同期状態や関連する処理状況を確認する
- 端末側で実際の結果を確認する
- 必要な場合だけ、対象デバイスを再確認して操作を再実行する
再起動であれば、利用者への確認や端末の稼働状況によって、実際に再起動されたかを判断します。
同期であれば、最終チェックインだけでなく、確認したいポリシー、アプリ、スクリプトなどの状態が更新されたかを確認します。最終チェックインが新しくなっただけでは、目的の設定が正常に適用されたとは限りません。
WindowsおよびiOS・iPadOSでは、対応する管理画面で同期処理の状態を確認できる場合があります。ただし、管理画面の構成やプレビュー機能は変更されることがあるため、利用中のIntune管理センターで表示される項目を確認してください。([Microsoft Learn][2])
応答がないからとWipeやRetireを追加しない
再起動や同期が実行されないときに、「別の操作なら届くかもしれない」と考えてWipe、Retire、Deleteを試すのは危険です。
| 操作 | 主な影響 |
|---|---|
| Sync | ポリシーや保留中の操作を受信するためにチェックインする |
| Restart | 端末を再起動する |
| Retire | 会社のデータや管理設定を端末から削除する |
| Wipe | 端末を工場出荷状態へ戻し、データや設定を削除する |
| Delete | Intuneからデバイスを削除し、管理解除処理を開始する |
Retire、Wipe、Deleteは、通信確認のためのテスト操作ではありません。
さらにMicrosoftの公式ドキュメントでは、Retire、Wipe、Deleteはほかの保留中操作より優先され、複数の操作が保留されている場合、それ以外の操作が無視されることがあると説明されています。([Microsoft Learn][1])
端末がオフラインだった場合、通信が戻った後に保留中の操作を受信する可能性があります。応答がない端末に破壊的操作を追加すると、後から意図せず初期化や管理解除が実行されるおそれがあります。
リモート操作の疎通確認には、原則として同期などの非破壊的な操作を使用してください。
Intel vProなどの電源外管理は通常のIntune操作と分けて考える
「電源が切れていてもリモート操作できる」という説明を見かけることがありますが、通常のIntune MDM操作と、ハードウェアレベルの電源外管理は別の仕組みです。
Microsoftの公式ドキュメントでは、Intel vPro対応端末について、Intel vPro Fleet Servicesとの統合により、OSが応答しない状態や電源が切れた状態でも利用できるアウトオブバンド管理機能が案内されています。([Microsoft Learn][1])
これは、一般的なIntune登録端末で常に利用できる機能ではありません。次の条件を別途確認する必要があります。
- 端末がIntel vProに対応している
- 必要なサービスと構成が導入されている
- ハードウェアレベルの管理機能が有効になっている
- 管理ネットワークから利用できる状態になっている
通常の再起動や同期を切り分けるときは、「一般的なIntune MDM操作」と「Intel vProなどのアウトオブバンド管理」を混同しないようにしてください。
解決しない場合に記録してエスカレーションする情報
正しいデバイスを選び、端末がオンラインで、Intune登録も有効であり、対応OS・登録方式・権限にも問題がない場合は、情報を整理してIntune管理者やMicrosoftサポートへエスカレーションします。
最低限、次の情報を記録しておくと切り分けが進みやすくなります。
| 記録項目 | 内容 |
|---|---|
| IntuneデバイスID | 操作した管理レコードを特定する |
| 端末名・シリアル番号 | 実端末との照合に使用する |
| 利用者 | 対象端末の現在の利用者 |
| OS・バージョン | 対応条件を確認する |
| 登録方式 | 監視対象、専用端末、フルマネージドなど |
| 実行した操作 | Restart、Syncなど |
| 操作日時 | タイムゾーンを含めて記録する |
| 操作前後の最終チェックイン | 通信状態の変化を確認する |
| 管理画面の操作状態 | 表示された状態と更新時刻 |
| 端末側の結果 | 再起動の有無、ポリシー反映の有無 |
| ネットワーク条件 | 社内LAN、VPN、モバイル回線など |
| 実行者のロール | 標準ロールまたはカスタムロール |
問い合わせ内容は、次のように整理します。
対象デバイスID：
端末名・シリアル番号：
OS・バージョン：
登録方式：
実行した操作：
操作日時：
操作前の最終チェックイン：
操作後の最終チェックイン：
管理画面上の状態：
端末側で確認した結果：
利用したネットワーク：
実行者のIntuneロール：「再起動できない」とだけ伝えるより、対象デバイス、通信、登録方式、権限の確認結果を添えることで、端末側の問題か、テナント側の問題かを切り分けやすくなります。
Intuneの再起動・同期が実行されないときの確認順序
Intuneのリモート操作が端末で実行されない場合は、次の順で確認します。
- デバイスID、シリアル番号、利用者を照合し、正しいレコードを選ぶ
- 最終チェックインを確認する
- 端末の電源、インターネット接続、ロック状態を確認する
- Intune登録や管理プロファイルが残っているか確認する
- 操作がOSと登録方式に対応しているか確認する
- 実行者のリモートタスク権限と管理対象範囲を確認する
- 通信復旧後に最終チェックインと端末側の結果を再確認する
- 解決しなければ必要情報を記録してエスカレーションする
最も重要なのは、管理画面で要求が受け付けられたことを、端末側の実行完了と扱わないことです。また、応答しない端末にWipeやRetireを追加してはいけません。
まずは対象デバイスを確定し、通信とIntune登録を確認したうえで、OS・登録方式・権限の順に切り分けてください。
[1]: https://learn.microsoft.com/en-us/intune/device-management/actions/ “Device Actions – Wipe, Lock, Locate, and More – Microsoft Intune | Microsoft Learn”
[2]: https://learn.microsoft.com/en-us/intune/device-management/actions/sync “Device Action: Sync – Microsoft Intune | Microsoft Learn”
[3]: https://learn.microsoft.com/en-us/intune/device-management/actions/restart “Device Action: Restart – Microsoft Intune | Microsoft Learn”
コメント