Microsoft Intune のデバイス登録で MFA を必須化したい場合、確認すべき中心は Intune 単体の設定ではなく、Microsoft Entra ID の条件付きアクセスです。結論として、対象ユーザーまたはグループを指定し、ターゲットリソースに Microsoft Intune Enrollment を選び、付与制御で 多要素認証が必要を要求します。これにより、ユーザーが Android、iOS/iPadOS、macOS、Windows デバイスを Intune に登録するタイミングで、追加認証を求められるようになります。(Microsoft Learn)
この設定は「既存のすべての端末に突然 MFA が出る」という変更ではありません。主な影響は、これから Intune に登録する端末、再登録する端末、Apple 自動デバイス登録などの登録フローです。特に Apple ADE、Android Enterprise の法人所有デバイス、Temporary Access Pass を使う初期展開では、登録手順やヘルプデスク対応まで含めて事前確認が必要です。(Microsoft Learn)
なお、Microsoft Learn の表示上は英語ページが 2026年4月9日、日本語ページが 2026年4月10日更新です。一方、GitHub の該当ドキュメント履歴では 2026年5月4日に「Updating requirements」、2026年5月5日に「cleanup」のコミットが確認できます。この記事では、2026年5月6日時点で管理者が確認すべき実務ポイントとして整理します。(Microsoft Learn)
Intune デバイス登録時の MFA 必須化で何が変わるのか
今回のポイントは、Microsoft Intune のデバイス登録を Microsoft Entra 条件付きアクセスの対象として扱うことです。
Microsoft Learn では、Intune と Microsoft Entra 条件付きアクセス ポリシーを組み合わせることで、デバイス登録中に MFA を要求できると説明されています。MFA では、パスワードや PIN のような「知っているもの」、信頼済みデバイスや電話のような「持っているもの」、指紋などの「本人であること」を示す要素のうち、2つ以上を使って認証します。(Microsoft Learn)
実務上の変更点は、次のように整理できます。
| 確認項目 | 実務上の意味 |
|---|---|
| 設定場所 | Intune 管理センターの条件付きアクセス、または Microsoft Entra 管理センターで設定する |
| 対象リソース | Microsoft Intune Enrollment アプリを条件付きアクセスの対象にする |
| 対象者 | 全社一括ではなく、ユーザーまたはグループ単位で段階展開できる |
| 認証要件 | 登録時に MFA を要求する |
| 追加の付与制御 | 公式手順では「デバイスは準拠としてマーク済みである必要があります」も選択する流れになっている |
| セッション制御 | サインイン頻度を「毎回」に設定する手順が示されている |
| 登録後の挙動 | ポリシー適用後、登録ユーザーには 1 回限りの MFA プロンプトが表示される |
注意したいのは、MFA を有効にするだけで登録体験が安全になるわけではない点です。対象ユーザー、対象アプリ、除外対象、Temporary Access Pass、Apple ADE のプロンプト位置まで設計しないと、初期セットアップ時にユーザーが登録を完了できないケースが出ます。
対象になる管理者・開発者・利用者
この設定の影響を受けるのは、主に Intune 管理者と ID 管理者です。ただし、端末キッティング、自動化、社内アプリ展開に関わる担当者にも影響します。
| 対象者 | 確認すべきこと |
|---|---|
| Intune 管理者 | 登録方式、対象プラットフォーム、準拠ポリシー、Company Portal の動作 |
| Microsoft Entra 管理者 | 条件付きアクセス、対象ユーザー、除外グループ、MFA 方法、緊急アクセスアカウント |
| 情報システム・ヘルプデスク | 初回登録時に必要な認証手段、TAP 発行手順、ユーザー向け案内 |
| 開発者・自動化担当者 | PowerShell や Microsoft Graph でサービスプリンシパル作成を自動化している場合の対象アプリ ID |
| エンドユーザー | 登録時に別デバイス、Authenticator、TAP などが必要になる可能性 |
特に新しいテナントでは、Microsoft Intune Enrollment クラウドアプリが自動作成されない場合があります。その場合、Microsoft Entra 管理者が PowerShell または Microsoft Graph で、アプリ ID d4ebce55-015a-49b5-a083-c84d1797ae8c のサービスプリンシパル オブジェクトを作成する必要があると公式ドキュメントに記載されています。(Microsoft Learn)
前提条件：ライセンスと対応プラットフォーム
Intune デバイス登録時に MFA を要求するには、対象ユーザーに Microsoft Entra ID P1 以降が割り当てられている必要があります。対応プラットフォームは Android、iOS/iPadOS、macOS、Windows です。(Microsoft Learn)
| 項目 | 要件 |
|---|---|
| ライセンス | Microsoft Entra ID P1 以降 |
| 対応 OS | Android、iOS/iPadOS、macOS、Windows |
| 管理基盤 | Microsoft Intune と Microsoft Entra 条件付きアクセス |
| 登録時の認証 | MFA を完了できる認証方法が必要 |
| 法人所有端末の注意 | 別デバイスまたは Temporary Access Pass が必要になる場合がある |
Windows 10 は Intune で登録可能なバージョンとして扱われていますが、2025年10月14日にサポート終了となっており、機能が保証されない可能性があると Microsoft は案内しています。Windows 10 端末をまだ登録対象に含めている組織は、MFA 設定だけでなく、Windows 11 への移行計画も並行して確認すべきです。(Microsoft Learn)
Intune デバイス登録で MFA を要求する基本手順
公式手順では、Intune 管理センターから条件付きアクセス ポリシーを作成します。Microsoft Entra 管理センターの条件付きアクセス領域と同じ設定を扱うため、どちらの管理センターから操作しても、設計上は Microsoft Entra の条件付きアクセス ポリシーとして考えるのが分かりやすいです。(Microsoft Learn)
| 手順 | 設定内容 |
|---|---|
| 1 | Microsoft Intune 管理センターにサインインする |
| 2 | Devices に移動する |
| 3 | Manage devices を展開し、Conditional Access を選択する |
| 4 | Create new policy を選ぶ |
| 5 | ポリシー名を付ける |
| 6 | Users で対象ユーザーまたはグループを選ぶ |
| 7 | 必要に応じて除外ユーザーまたは除外グループを設定する |
| 8 | Target resources で Resources formerly cloud apps を選ぶ |
| 9 | 対象リソースとして Microsoft Intune Enrollment を検索して追加する |
| 10 | Grant で Grant access を選ぶ |
| 11 | Require multifactor authentication を選ぶ |
| 12 | Require device to be marked as compliant を選ぶ |
| 13 | 複数コントロールは Require all the selected controls を選ぶ |
| 14 | Session で Sign-in frequency を選び、Every time にする |
| 15 | ポリシーを有効化し、作成する |
条件付きアクセスでは、複数のポリシーが同じユーザーに適用される場合、該当するすべてのポリシー要件を満たす必要があります。たとえば、別の条件付きアクセスで「準拠デバイスが必要」を要求している場合、MFA と準拠デバイスの両方が実質的な条件になります。既存ポリシーと重複すると、登録時に想定外のブロックや追加プロンプトが発生するため、展開前にサインインログと条件付きアクセスの適用結果を確認してください。(Microsoft Learn)
Apple 自動デバイス登録ではクラウドアプリの選択が重要
Apple 自動デバイス登録、いわゆる ADE で Setup Assistant と先進認証を使う場合は、条件付きアクセスで選ぶクラウドアプリによって MFA プロンプトの出方が変わります。ここは運用トラブルになりやすいポイントです。
| 選択するクラウドアプリ | MFA プロンプトの場所 | 実務上の違い |
|---|---|---|
| Microsoft Intune | Setup Assistant、Company Portal アプリ | 登録時に加えて、ユーザーが Company Portal アプリまたは Web サイトへサインインするたびに MFA が必要 |
| Microsoft Intune Enrollment | Setup Assistant | 登録時に MFA が必要。Company Portal サインインページで 1 回限りの MFA プロンプトとして表示 |
登録時だけ MFA を要求したい場合は、基本的に Microsoft Intune Enrollment を対象にする設計が分かりやすいです。一方、Company Portal へのサインインも継続的に強く保護したい場合は、Microsoft Intune を対象にする選択肢があります。ただし、その場合はユーザー体験に影響しやすく、問い合わせ増加につながる可能性があります。(Microsoft Learn)
法人所有デバイスでは「別デバイス」または TAP を準備する
Android Enterprise のフル マネージド デバイス、Android Enterprise の仕事用プロファイル付き法人所有デバイス、Apple ADE で登録する iOS/iPadOS と macOS では、MFA チャレンジを完了するために 2 台目のデバイスまたは Temporary Access Pass が必要です。理由は、プロビジョニング中のメインデバイスが通話や SMS を受け取れない場合があるためです。(Microsoft Learn)
Temporary Access Pass は、Microsoft Entra ID で発行できる時間制限付きのパスコードです。単回利用または複数回利用として構成でき、ユーザーがパスワードレス認証方法を登録する際にも使えます。デバイス登録と Windows Hello for Business の登録を同じ初期セットアップで行う場合、単回利用 TAP では途中で 2 回目の TAP が必要になるケースがあるため、配布手順と有効期間を事前に設計してください。(Microsoft Learn)
TAP を使う場面の判断基準
| 利用シーン | 推奨される準備 |
|---|---|
| 新入社員の初回端末配布 | 事前に TAP を発行し、有効期限と利用回数を案内する |
| Apple ADE のゼロタッチ展開 | 登録中に MFA を完了できる別デバイスまたは TAP を用意する |
| Android Enterprise 法人所有端末 | プロビジョニング端末以外で認証できる方法を準備する |
| Windows Hello for Business も同時登録 | 単回利用 TAP か複数回利用 TAP かを事前検証する |
| リモート配布 | 本人確認、TAP 伝達、失効手順をヘルプデスク手順書に含める |
TAP は便利ですが、配布方法を誤るとセキュリティリスクになります。チャットで平文共有する、長すぎる有効期限を設定する、利用後の失効確認をしない、といった運用は避けてください。
展開前に確認すべきチェックリスト
Intune デバイス登録時の MFA 必須化は、セキュリティ強化として有効です。ただし、いきなり全社適用すると、端末登録が止まる可能性があります。まずはパイロットグループで検証し、登録方式ごとの挙動を確認してください。
| 確認項目 | 具体的に見るポイント |
|---|---|
| 対象ユーザー | 全社適用ではなく、部門・端末種別・登録方式ごとに段階展開する |
| 除外設定 | 緊急アクセス用アカウントや検証用アカウントをどう扱うか決める |
| 既存の条件付きアクセス | Microsoft Intune、Microsoft Intune Enrollment、すべてのクラウドアプリを対象にしたポリシーとの重複を確認する |
| MFA 方法 | Microsoft Authenticator、FIDO2、SMS、音声通話、TAP のどれを許可するか確認する |
| Apple ADE | Microsoft Intune と Microsoft Intune Enrollment のどちらを対象にするか決める |
| Android Enterprise | 別デバイスまたは TAP が必要な登録方式を洗い出す |
| 準拠ポリシー | 登録前後の準拠判定でブロックされないか確認する |
| ユーザー案内 | 登録前に必要なもの、MFA 画面が出るタイミング、失敗時の連絡先を明記する |
| ログ確認 | サインインログ、条件付きアクセスの結果、Intune 登録エラーを確認する |
| ロールバック | 問題発生時にポリシーを無効化する手順と判断者を決める |
Microsoft は、緊急時に管理者がテナントへ入れなくなる事態を避けるため、緊急アクセスアカウントを用意し、定期的に検証することを推奨しています。条件付きアクセスを強化する前に、管理者自身がロックアウトされない設計になっているか確認してください。(Microsoft Learn)
よくある失敗と対策
Microsoft Intune と Microsoft Intune Enrollment を混同する
登録時だけ MFA を要求したいのに Microsoft Intune を対象にすると、Company Portal アプリや Web サイトへのサインインでも MFA が求められる可能性があります。Apple ADE では特に体験差が出るため、検証端末でプロンプトの出方を確認してから展開してください。(Microsoft Learn)
新しいテナントで Microsoft Intune Enrollment が見つからない
新しいテナントでは、Microsoft Intune Enrollment クラウドアプリが自動作成されない場合があります。対象リソースの検索で見つからない場合は、サービスプリンシパル オブジェクトの作成が必要か確認します。PowerShell や Microsoft Graph で自動化する場合は、アプリ ID d4ebce55-015a-49b5-a083-c84d1797ae8c を誤らないようにしてください。(Microsoft Learn)
TAP を用意せずに法人所有端末を配布する
法人所有端末では、登録中の端末だけでは MFA を完了できない場合があります。特にリモート配布やキッティング済み端末の郵送では、ユーザーが「認証コードを受け取れない」「Authenticator を登録していない」という状態になりがちです。TAP を使う場合は、有効期限、利用回数、本人確認、失効手順までセットで運用してください。(Microsoft Learn)
既存の条件付きアクセスと競合する
条件付きアクセスは、複数ポリシーが同時に適用されると、すべての条件を満たす必要があります。登録時 MFA のポリシーだけを見て問題ないと判断せず、「すべてのクラウドアプリ」を対象にしたポリシー、場所ベースの制御、準拠デバイス要求、認証強度要求なども一緒に確認してください。(Microsoft Learn)
ユーザー向け案内が不足している
技術的には正しく設定できていても、ユーザーが登録時の MFA を想定していないと、ヘルプデスクへの問い合わせが増えます。展開前に、少なくとも次の内容を案内しておくと混乱を減らせます。
| 案内項目 | 伝える内容 |
|---|---|
| いつ MFA が出るか | 新しい端末を Intune に登録するタイミング |
| 何が必要か | Authenticator、別デバイス、TAP など |
| 失敗時の対応 | 何回試すか、どこへ連絡するか |
| TAP の扱い | 有効期限、再発行方法、第三者に共有しないこと |
| 対象端末 | 会社支給端末、個人所有端末、再登録端末の違い |
管理者・開発者が次に取るべき行動
まず、現在の条件付きアクセス ポリシーで Microsoft Intune または Microsoft Intune Enrollment を対象にしている設定を棚卸ししてください。次に、登録方式ごとに「ユーザーがどの画面で MFA を求められるか」を検証します。特に Apple ADE、Android Enterprise 法人所有端末、Windows Autopilot、TAP を使う初回登録は、実機での確認が欠かせません。
開発者や自動化担当者は、Microsoft Graph や PowerShell でサービスプリンシパル作成、TAP 発行、ユーザーグループ割り当てを自動化している場合、対象アプリ ID、権限、例外処理を確認してください。条件付きアクセスはセキュリティ設定であると同時に、端末展開フローそのものに影響する設定です。
最初にやるべきことは、全社展開ではありません。検証グループを作り、対象リソースを Microsoft Intune Enrollment に絞り、登録方式ごとの MFA 体験を確認することです。そのうえで、TAP 運用、ヘルプデスク手順、緊急アクセスアカウント、ロールバック手順を整えてから段階展開してください。
コメント