Microsoft Entra のデバイス制限で最初に押さえるべき結論は、Intune のデバイス上限制限と Microsoft Entra のデバイス上限制限は、同じ「台数制限」でも止める場所が違うという点です。Intune は「ユーザーが Microsoft Intune に登録できるデバイス数」を制御し、Microsoft Entra は「ユーザーが Microsoft Entra ID に参加または登録できるデバイス数」を制御します。BYOD、Windows Autopilot、GPO による自動登録、Device Enrollment Manager を混在させている環境では、どちらの制限が効いているかを見誤ると、原因調査や設定変更を誤ります。(Microsoft Learn)
本稿で扱う Microsoft Learn の「Understand Intune and Microsoft Entra device limit restrictions – Microsoft Intune」は、Android、iOS、macOS、Windows を対象に、Intune 側と Microsoft Entra 側のデバイス制限の違いを整理した公式情報です。なお、確認時点では該当ページの最終更新日は 2026年4月9日と表示されています。2026年7月時点で運用判断に使う場合も、実際の Microsoft Learn の表示日と本文内容をあわせて確認してください。(Microsoft Learn)
最初に押さえるべきポイント：Intune と Microsoft Entra では制限対象が違う
Intune device limit restrictions は、Microsoft Intune へのデバイス登録数を制限する仕組みです。標準ユーザーが登録できる台数を制御したい場合に使い、Microsoft Intune 管理センターの Devices > Enrollment から設定します。一方、Microsoft Entra device limit は、Microsoft Entra ID に参加または登録できるデバイス数を制御する仕組みで、Microsoft Entra 管理センターの Identity > Devices > Device settings から設定します。(Microsoft Learn)
| 比較項目 | Intune device limit restrictions | Microsoft Entra device limit |
|---|---|---|
| 主な目的 | Intune に登録できるデバイス数を制限する | Microsoft Entra ID に参加・登録できるデバイス数を制限する |
| 効く場所 | Intune 登録処理 | Microsoft Entra への join / register |
| 設定画面 | Microsoft Intune admin center | Microsoft Entra admin center |
| 代表的な対象 | BYOD、ユーザー主導の Intune 登録 | Microsoft Entra joined / registered デバイス |
| 上限の考え方 | ユーザーあたり最大 15 台までの登録制限 | 既定値は 50、最大 100、または Unlimited を選択可能 |
| 注意点 | Autopilot や一部の自動登録には効かない | Hybrid joined や一部の自動登録には効かない |
実務では、ユーザーに見える現象はどちらも「デバイスを追加できない」ですが、原因は異なります。Microsoft Entra 側で止まっている場合は、Intune のデバイス上限制限を緩和しても解決しません。逆に Intune 側で止まっている場合は、Microsoft Entra の上限値を上げても登録は進みません。
影響範囲：BYOD、Autopilot、GPO 自動登録、DEM 利用環境は要確認
今回のポイントは、単に「台数上限を設定できる」という話ではありません。重要なのは、登録方式によって Intune の制限が効く場合、Microsoft Entra の制限が効く場合、どちらも効かない場合が分かれることです。特にグローバル企業や教育機関のように、国・拠点・部門ごとに登録方式が異なるテナントでは、同じ制限値を設定しても結果が揃わないことがあります。(Microsoft Learn)
| 登録・管理シナリオ | Microsoft Entra 制限 | Intune 制限 | 実務上の見方 |
|---|---|---|---|
| Android Enterprise personally owned work profile | 有効 | 有効 | BYOD 管理で両方の制限を意識する |
| Android Enterprise dedicated device | 無効 | 無効 | キオスク・共有端末は別の統制が必要 |
| Android Enterprise fully managed | 有効 | 有効 | 会社支給 Android でも台数設計が必要 |
| iOS / macOS の BYOD 登録 | 有効 | 有効 | 個人所有端末の増えすぎを抑えやすい |
| Apple Automated Device Enrollment | 有効 | 有効 | ユーザー affinity の有無を確認する |
| Windows BYOD のユーザー登録 | 有効 | 有効 | ユーザー主導の登録制限に有効 |
| Windows Autopilot | 有効 | 無効 | Intune の台数制限だけでは止められない |
| Windows 自動登録 + GPO | 無効 | 無効 | Hybrid join / GPO 側の設計を確認する |
| Windows 自動登録 + DEM | 有効 | 無効 | DEM と Microsoft Entra の上限を分けて考える |
| Co-management with Configuration Manager | 有効 | 無効 | ConfigMgr 連携環境では Intune 制限に頼りすぎない |
管理者が特に注意すべきなのは、Windows Autopilot、GPO 自動登録、DEM、Co-management です。これらは大規模展開で使われやすい一方、Intune device limit restrictions が効かない、または Microsoft Entra 側だけを確認すべきケースがあります。(Microsoft Learn)
よくある誤解：低い方の上限が必ず効くわけではない
Intune と Microsoft Entra の両方に上限値があると、「単純に低い方が効く」と考えがちです。しかし実際には、登録方式とデバイス状態によって制限の適用可否が変わります。
たとえば iOS または Android で、Microsoft Entra の Maximum number of devices per user を 3、Intune の Device limit を 5 にした場合、ユーザーは 3 台までしか登録できません。4 台目は Microsoft Entra 側への登録で止まるため、Intune 側の上限 5 には到達しません。(Microsoft Learn)
逆に Microsoft Entra の上限を 20、Intune の上限を 2 にした場合、Intune 登録は 2 台で止まります。この場合、Microsoft Entra の上限には余裕があっても、Intune の登録制限が先に効きます。Apple Automated Device Enrollment では、Microsoft Entra の制限がユーザー affinity を持つ構成で関係する点も見落としやすいポイントです。(Microsoft Learn)
Windows ではさらに注意が必要です。Microsoft Entra hybrid joined デバイスを GPO で自動登録する構成では、Microsoft Entra のデバイス制限も Intune のデバイス制限も適用されない例が示されています。一方、ローカルドメイン参加済みの Windows デバイスを Settings アプリから登録する場合は、Intune 側の上限によって登録台数が制限されます。(Microsoft Learn)
設定変更前に確認すべきこと
デバイス制限は、セキュリティ強化にも、ヘルプデスク問い合わせの増加にもつながります。いきなり全社適用するのではなく、現在の登録方式、ユーザー別のデバイス数、例外ユーザー、海外拠点の運用を確認してから変更することが重要です。
| 確認項目 | 確認する場所 | 判断ポイント |
|---|---|---|
| Intune のデバイス上限制限 | Intune admin center > Devices > Enrollment | 既定ポリシーと優先順位付きポリシーの両方を見る |
| Microsoft Entra の上限値 | Entra admin center > Identity > Devices > Device settings | Maximum number of devices の値を確認する |
| どの登録方式を使っているか | Intune の Enrollment、Autopilot、GPO、DEM、ConfigMgr | 制限が効く方式かどうかを先に判定する |
| ユーザーごとの実デバイス数 | Entra の All devices、Intune の Devices | Intune と Entra で見える台数が一致するとは限らない |
| 古いデバイスや退職者端末 | Entra の stale devices、Intune の managed devices | 削除・退役・ワイプの順序を誤らない |
Intune の device limit restriction は、Intune 管理対象であること、直近 90 日以内に Intune と通信していること、登録待ち状態が長期化していないこと、削除済みでないことなど、カウント対象に条件があります。つまり、Microsoft Entra に存在する台数と Intune の上限制限で数えられる台数は必ずしも一致しません。(Microsoft Learn)
Microsoft Entra 側では、デバイス一覧やエクスポートで join type、MDM、所有者、UPN、最終サインイン時刻などを確認できます。ただし、概要ページのデバイス数はリアルタイム更新ではなく、反映に数時間かかる場合があります。台数制限のトラブル調査では、直後の画面表示だけで判断しないことが大切です。(Microsoft Learn)
Intune 側の設定で注意すべきポイント
Intune の device limit restriction は、既定ポリシーを編集するか、ユーザーグループに割り当てる追加ポリシーとして作成します。Microsoft Learn では、device limit restriction policy は最大 25 個まで作成でき、既定ポリシーは上位優先のポリシーが割り当てられるまで、すべてのユーザーおよびユーザーなし登録に適用されると説明されています。(Microsoft Learn)
編集時に重要なのは、変更が既存登録済みデバイスには影響せず、新しい登録に適用される点です。たとえば、すでに 5 台登録済みのユーザーに対して上限を 2 台へ下げても、既存の 5 台が即時削除されるわけではありません。次回以降の追加登録が制限されます。(Microsoft Learn)
また、device limit restriction を作成・編集・削除・優先順位変更するには、Intune Service Administrator ロールが必要です。その他の組み込み Intune ロールは読み取り専用とされているため、運用チームに権限委任している場合は、作業者のロールを事前に確認してください。(Microsoft Learn)
Microsoft Entra 側の設定で注意すべきポイント
Microsoft Entra の Maximum number of devices は、ユーザーが Microsoft Entra joined または Microsoft Entra registered のデバイスを何台まで持てるかを制御します。既定値は 50、最大値は 100 で、Unlimited を使うと既存のクォータ制限以外の台数制限を設けない運用も可能です。(Microsoft Learn)
この設定を変更できるのは Cloud Device Administrator など、デバイス設定を変更できる権限を持つ管理者です。Intune Administrator や Windows 365 Administrator は読み取り専用として説明されているため、Intune 管理者が Microsoft Entra 側の上限を変更できるとは限りません。(Microsoft Learn)
Microsoft Entra 側の制限は、Microsoft Entra hybrid joined デバイスには適用されません。さらに、Android Enterprise dedicated device、Windows の bulk enrollment、Windows の GPO 自動登録などにも適用されないケースがあります。Hybrid join や GPO を中心に運用している企業では、Microsoft Entra の上限を下げても想定どおりの制御にならない可能性があります。(Microsoft Learn)
移行期限と設定変更の有無：新しい強制期限は読み取れない
該当の Microsoft Learn ページは、Intune と Microsoft Entra のデバイス制限の違い、適用条件、例外シナリオを説明する内容です。少なくとも本文上は、特定日までに設定変更を強制する移行期限や、テナント設定が自動変更されるという記述は確認できません。したがって、管理者が取るべき対応は「急いで値を変更する」ことではなく、自社の登録方式に対して現在の制限が正しく効いているかを棚卸しすることです。(Microsoft Learn)
ただし、Android device administrator 管理については注意が必要です。公式情報では、Google Mobile Services にアクセスできるデバイスでは Android device administrator 管理は非推奨かつ利用不可となっており、別の Android 管理方式への移行が推奨されています。Android 端末を多く持つグローバル企業では、デバイス制限の見直しとあわせて、Android Enterprise への移行状況も確認してください。(Microsoft Learn)
Device Enrollment Manager を使う場合の落とし穴
Device Enrollment Manager、いわゆる DEM は、大量の端末を登録・準備するための仕組みです。DEM アカウントでサインインしたユーザーは最大 1,000 台まで登録・管理できる一方、標準の非管理者アカウントは 15 台までとされています。大規模展開では便利ですが、Intune の device limit restriction だけを見ていると設計を誤ります。(Microsoft Learn)
DEM で登録された Windows デバイスは共有デバイスモードとして扱われるため、Intune の device limit restrictions は機能しません。代わりに Microsoft Entra 側でハードリミットを構成する考え方になります。また、Microsoft Entra の最大デバイス数を DEM アカウントに対して小さく設定すると、DEM の 1,000 台という登録上限に到達する前に Microsoft Entra 側で止まる可能性があります。(Microsoft Learn)
運用上は、DEM アカウントは個人ユーザーではなく専用アカウントとして用意し、登録済みデバイスが残っている状態で DEM アカウントを削除しないことが重要です。Microsoft Learn でも、DEM として割り当てられたアカウントを、登録済みデバイスがある状態で削除しないよう注意が示されています。(Microsoft Learn)
古いデバイスを削除する前に確認すべきこと
台数制限に引っかかったとき、単純に古いデバイスを削除すればよいと考えるのは危険です。Microsoft Entra からデバイスを削除すると、そのデバイスは Microsoft Entra リソースへアクセスできなくなり、BitLocker キーなどデバイスに関連する情報も削除される場合があります。削除は元に戻せない操作として扱われるため、必要な場合を除き推奨されていません。(Microsoft Learn)
特に Intune など別の管理権限で管理されているデバイスは、Microsoft Entra から削除する前にワイプまたは退役処理を行うべきです。Windows Autopilot デバイスは、Intune 側で削除される前に Microsoft Entra から削除できない点も押さえておく必要があります。(Microsoft Learn)
ヘルプデスク運用では、「ユーザーに古いデバイスを削除してもらう」だけでなく、削除対象が業務端末なのか、Autopilot 登録済み端末なのか、BitLocker 回復キーが必要な端末なのかを確認する手順を用意しておくと事故を防げます。
管理者向けの実務チェックリスト
デバイス制限の見直しでは、次の順序で確認すると原因の切り分けがしやすくなります。
| 手順 | 確認内容 | 判断のポイント |
|---|---|---|
| 1 | 登録方式を分類する | BYOD、Autopilot、GPO、DEM、Co-management を分ける |
| 2 | Intune の制限値を確認する | 既定ポリシーだけでなく、優先順位付きポリシーを見る |
| 3 | Microsoft Entra の上限値を確認する | Maximum number of devices が小さすぎないか確認する |
| 4 | ユーザー別の台数を確認する | Intune と Entra の台数差を前提に見る |
| 5 | 例外シナリオを確認する | Autopilot、GPO、dedicated device などは制限の効き方が違う |
| 6 | 変更はパイロットから実施する | 全社適用前に少数グループで登録テストを行う |
| 7 | 削除・退役手順を整備する | BitLocker、Autopilot、Intune 管理状態を確認してから削除する |
Microsoft Intune の展開ガイドでも、新しい構成や初回展開では、小さなテストグループから始め、段階的に対象を広げることが推奨されています。デバイス制限はユーザーの登録体験に直接影響するため、海外拠点や時差のあるサポート体制では、パイロット運用と問い合わせ導線の準備が特に重要です。(Microsoft Learn)
まとめ：まずは「どの制限が効く登録方式か」を棚卸しする
Microsoft Entra の「Understand Intune and Microsoft Entra device limit restrictions – Microsoft Intune」で確認すべき最大のポイントは、Intune と Microsoft Entra のデバイス制限を同じものとして扱わないことです。Intune は Intune 登録数、Microsoft Entra は join / register できるデバイス数を制御します。
次に取るべき行動は、制限値をすぐ変更することではありません。まず、自社のデバイス登録方式を BYOD、Autopilot、GPO、DEM、Co-management、Android Enterprise dedicated device などに分類してください。そのうえで、Intune 側の device limit restriction、Microsoft Entra 側の Maximum number of devices、古いデバイスの削除・退役手順をセットで見直すと、登録失敗の原因調査とセキュリティ統制の両方を改善できます。
コメント