同じ会社、同じMicrosoft Intune環境を利用しているのに、一部の利用者だけ端末登録を拒否される場合は、まず利用者ごとに適用される登録制限ポリシーと優先順位を確認します。
Intuneの登録制限は、OSの種類やバージョン、メーカー、端末の所有区分などを基準に、端末登録の入口を制御する機能です。既定ポリシーだけでなく、利用者が所属するグループに割り当てられた上位ポリシーが適用されるため、同じ会社でも登録結果が異なることがあります。([Microsoft Learn][1])
ただし、端末登録の失敗原因は登録制限だけではありません。端末数の上限、Intuneライセンス、登録方式の前提条件なども分けて確認する必要があります。
Intuneに端末を登録できないときの最初の確認ポイント
一部の利用者だけ登録できない場合、最初から端末の初期化やポリシー変更を行うのは避けましょう。先に、成功する利用者と失敗する利用者の差を記録します。
最低限、次の情報をそろえます。
| 確認項目 | 記録する内容 | 確認する理由 |
|---|---|---|
| 利用者 | ユーザープリンシパル名、所属グループ | 利用者ごとのポリシー割り当てを調べるため |
| OS | Windows、iOS/iPadOS、macOS、Android | プラットフォームごとに登録制限が異なるため |
| OSバージョン | エディション、バージョン、ビルド番号 | 最小・最大OSバージョン制限との比較に必要 |
| 所有区分 | 個人所有、会社所有、判定不明 | 個人所有端末を拒否する設定があるため |
| 登録方式 | Company Portal、Windows設定、Autopilot、Apple ADEなど | 登録方式によって適用される制限が異なるため |
| エラー | 表示メッセージ、エラーコード、発生時刻 | 別原因との切り分けに必要 |
| 比較対象 | 同じ条件で成功した利用者や端末 | 差分を最短で見つけるため |
「Intuneに登録できない」という情報だけでは、利用者側の問題なのか、端末条件の問題なのか判断できません。
次のような形式で記録すると、管理者間でも状況を共有しやすくなります。
記録例（説明用）
利用者：[email protected]
発生日時：2026年9月19日 10:30
OS：Windows 11 Pro
バージョン：24H2
所有区分：会社所有として準備した端末
登録方式：Windowsの職場または学校アカウントから登録
エラー：表示された文章を省略せず記録
成功比較：同型端末で[email protected]は登録成功この段階では、「会社所有のはず」「同じパソコンのはず」といった推測ではなく、管理画面と端末画面で確認できる事実を記録することが重要です。
一部の利用者だけ拒否される理由
Intuneの登録制限には、大きく分けて次の種類があります。
- デバイスプラットフォームの登録制限
- デバイス数の登録制限
プラットフォームの登録制限では、端末のプラットフォーム、OSバージョン、メーカー、個人所有かどうかなどを条件にできます。デバイス数の登録制限では、利用者が登録できる端末数を制御します。([Microsoft Learn][1])
それぞれに既定ポリシーがあり、対象利用者に上位のポリシーが割り当てられていない場合は既定ポリシーが適用されます。
一方、特定のユーザーグループに独自ポリシーを割り当てている場合、その利用者には既定ポリシーではなく、優先度の高いポリシーが適用されます。
たとえば、次のような構成です。
| ポリシー | 優先度 | 割り当て先 | 個人所有Windows |
|---|---|---|---|
| 管理職向け登録制限 | 1 | 管理職グループ | 許可 |
| 一般職員向け登録制限 | 2 | 全職員グループ | ブロック |
| 既定ポリシー | 既定 | その他 | 許可 |
ある利用者が「管理職グループ」と「全職員グループ」の両方に所属していれば、優先度1のポリシーが適用されます。
反対に、グループへの追加漏れや動的グループの判定違いによって管理職向けポリシーの対象になっていなければ、全職員向けポリシーが適用され、同じ会社でも結果が変わります。
複数の登録制限に該当する場合は、数字の小さいポリシーほど優先度が高く、最も優先度の高い制限が適用されます。ほかの該当ポリシーの設定を寄せ集めて適用する仕組みではありません。([Microsoft Learn][2])
登録制限のポリシーと割り当てを確認する手順
Microsoft Learnの現行手順では、プラットフォームの登録制限はMicrosoft Intune管理センターの次の場所から確認します。
- Microsoft Intune管理センターにサインインする
- 「デバイス」を開く
- 「デバイスのオンボード」内の「登録」を開く
- 「デバイス プラットフォームの制限」を選択する
- 対象OSのタブを選択する
- ポリシーの優先順位、割り当て、プラットフォーム設定を確認する
管理画面の名称や配置は変更される場合がありますが、確認する対象は「登録」「デバイスプラットフォームの制限」「デバイス数の制限」です。([Microsoft Learn][3])
対象利用者に該当するポリシーを洗い出す
失敗した利用者について、次の順番で照合します。
- 利用者が所属するMicrosoft Entraグループを確認する
- 各登録制限ポリシーの割り当て先を確認する
- 利用者に該当するポリシーをすべて抽出する
- 抽出したポリシーの優先順位を確認する
- 最上位のポリシー設定を端末条件と比較する
- 該当ポリシーがなければ既定ポリシーを確認する
ここで重要なのは、管理者が「適用させたいポリシー」ではなく、実際のグループ所属と優先順位から適用されるポリシーを見ることです。
割り当てフィルターも確認する
Windows、iOS/iPadOS、macOSの登録制限では、グループ割り当てに加えて割り当てフィルターが設定されている場合があります。
グループ上は対象でも、OSバージョン、所有区分、モデル、OSのSKUなどのフィルター条件によって、ポリシーの対象から外れたり対象に含まれたりすることがあります。Androidの登録制限では、同じ形での割り当てフィルターには対応していません。([Microsoft Learn][3])
確認時は、次の3段階を分けて見ます。
利用者がグループに所属しているか
↓
登録制限がそのグループに割り当てられているか
↓
割り当てフィルターの条件にも一致しているかグループ変更直後は反映時間を考慮する
利用者をグループに追加した直後や、割り当てフィルターを変更した直後は、すぐに再登録して結論を出さないようにします。
Microsoftの説明では、Microsoft Entra IDとIntune間でグループやフィルターの割り当てが処理されるまで、通常は最大15分程度かかることがあります。即時反映とは限らないため、変更時刻と再試行時刻も記録しておきましょう。([Microsoft Learn][3])
ポリシーと端末条件を比較する
適用ポリシーが分かったら、対象端末がどの条件に抵触しているかを確認します。
| 制限項目 | 確認内容 | よくある見落とし |
|---|---|---|
| プラットフォーム | 対象OSが許可されているか | Androidの登録方式を一括して考えている |
| OSバージョン | 最小値・最大値の範囲内か | メジャーバージョンだけを見てビルドを確認していない |
| メーカー | Android端末のメーカーが拒否対象でないか | メーカー名の表記差やOEM端末を見落とす |
| 所有区分 | 個人所有端末が許可されているか | 会社備品であることと、Intuneの所有区分を同一視している |
| 割り当てフィルター | 端末属性がフィルター条件に一致するか | グループ割り当てだけを見ている |
| 登録方式 | 制限がその登録方式に対応しているか | ユーザー主導とユーザーなし登録を混同している |
OSバージョンは完全な値で比較する
「Windows 11だから許可されるはず」と判断せず、設定されている最小バージョン、最大バージョンと実際のバージョンを比較します。
Windowsでは、登録制限にバージョン範囲を設定できます。管理画面上の設定値と、端末のバージョン・ビルド番号を同じ形式で並べると確認しやすくなります。([Microsoft Learn][3])
設定上の最小バージョン：
設定上の最大バージョン：
失敗端末のバージョン：
成功端末のバージョン：成功端末と失敗端末でOS名が同じでも、ビルド番号まで同一とは限りません。
「会社の端末」と「会社所有として判定される端末」は別
現物が会社購入の端末でも、登録方式や事前登録の状態によって、Intune上では個人所有として扱われることがあります。
たとえば、iOS/iPadOSやmacOSでは、所定のシリアル番号登録やAppleの自動デバイス登録を利用していない端末は、既定で個人所有として分類されます。Windowsでも、個人所有端末をブロックしている場合は、登録要求が会社所有端末として許可された方式かどうかが確認されます。([Microsoft Learn][1])
したがって、会社所有端末が拒否された場合に、すぐ「個人所有を許可する」へ変更するのは適切ではありません。
先に次の点を確認します。
- 想定している登録方式を使っているか
- 会社所有端末として必要な事前登録が完了しているか
- Intune上の所有区分が意図どおりか
- 利用者が別の登録経路を選んでいないか
全利用者に対して個人所有端末を許可すると、本来拒否したかった私物端末まで登録できる可能性があります。
登録方式によって適用されるポリシーが異なる
登録制限の調査では、端末のOSだけでなく、登録がユーザー主導かどうかも確認します。
ユーザー主導の登録では、通常、その利用者に割り当てられた登録制限が評価されます。一方、ユーザーにひも付かない登録や一部の自動展開方式では、利用者向けの上位ポリシーではなく既定ポリシーが適用されます。([Microsoft Learn][1])
既定ポリシーが使われる例として、Microsoftは次のような登録シナリオを挙げています。
- Windows Autopilotの自己展開モード
- Windows Autopilotの事前プロビジョニング
- Windows Configuration Designerによる一括登録
- 共同管理による登録
- ユーザーとデバイスの関連付けがないApple自動デバイス登録
- Android Enterpriseの会社所有専用デバイス
そのため、次の2台が同じ設定になるとは限りません。
端末A：利用者がCompany Portalから登録
端末B：ユーザーなしの自動展開方式で登録「同じ利用者なのに結果が違う」「同じ端末設定なのに拠点によって違う」という場合は、実際に選択された登録方式も比較してください。
意図しない制限だけを見直す
原因となるポリシーが分かっても、すぐに既定ポリシーを緩和するのは避けます。
問題の範囲に応じて、最小限の変更を行います。
| 原因 | 適切な対応例 | 避けたい対応 |
|---|---|---|
| 利用者が誤ったグループに所属 | グループ所属を修正する | 全社向けポリシーを緩和する |
| 例外用ポリシーの優先順位が低い | 優先順位と設計を見直す | 同じ内容のポリシーを追加する |
| OSの最小バージョンを満たさない | OSを更新するか、例外の必要性を判断する | 根拠なく最小バージョンを下げる |
| 会社端末が個人所有と判定 | 登録方式や事前登録を修正する | 個人所有端末を全面的に許可する |
| 割り当てフィルターが誤っている | フィルター条件を修正する | フィルター自体を削除する |
| 一時的な例外が必要 | 限定グループに例外ポリシーを割り当てる | 既定ポリシーを例外用に変更する |
登録制限の変更は、新しく行われる登録に適用され、すでに登録済みの端末には影響しません。設定変更後の検証では、既存端末の表示だけで判断せず、新しい登録要求で確認します。([Microsoft Learn][3])
登録制限だけで全原因を説明しない
適用ポリシーと端末条件を比較しても拒否理由が見つからない場合は、登録制限以外の原因へ切り分けます。
デバイス数の登録制限
Intuneでは、利用者が登録できる端末数を1台から15台の範囲で制限できます。
デバイス数の制限にも既定ポリシーと追加ポリシーがあり、複数のポリシーに該当する場合は、優先度の最も高いポリシーが適用されます。上限に達した利用者は、新しい端末を登録できません。([Microsoft Learn][1])
確認する際は、単に管理画面に表示される端末の総数を見るだけではなく、次の点も整理します。
- その利用者に適用される端末数制限
- 現在その利用者に関連付けられている端末
- 利用を終了した古い端末の有無
- 登録方式が端末数制限の対象かどうか
一部のWindows登録方式では、Intuneのデバイス数制限が適用されない場合があります。そのため、「表示台数が上限を超えているから原因は必ず端末数制限」と決めつけないことも重要です。([Microsoft Learn][1])
Intuneライセンス
ユーザー単位の登録では、対象利用者に必要なIntuneライセンスが割り当てられているかを確認します。
Microsoftは、Intuneサービスの恩恵を直接または間接的に受けるユーザーまたはデバイスには、適切なIntuneライセンスが必要と説明しています。ユーザーなしの専用端末など、デバイス単位ライセンスを利用するシナリオもあるため、登録方式とライセンス形態を合わせて確認します。([Microsoft Learn][4])
同じ会社でも、次のような差があれば一部の利用者だけ失敗します。
- ライセンス割り当てグループへの追加漏れ
- グループベースライセンスの処理エラー
- 対象サービスが無効になっている
- ユーザー登録なのにデバイス専用の前提で設計している
ライセンス画面で製品名が表示されていることだけでなく、対象利用者にIntuneサービスが実際に割り当てられているかを確認してください。
登録方式固有の前提条件
登録制限に抵触していなくても、登録方式の準備が完了していなければ登録は成功しません。
たとえば、Appleの自動デバイス登録、Windows Autopilot、Android Enterpriseなどでは、それぞれ事前設定や端末の登録状態があります。
この場合は、次の順で切り分けます。
登録制限に抵触していない
↓
端末数の上限に達していない
↓
必要なライセンスがある
↓
選択した登録方式の前提条件を満たしている
↓
表示されたエラーに対応する個別調査へ進む登録制限と準拠ポリシーを混同しない
登録制限は、Intuneへ端末を登録させるかどうかを判断する入口の制約です。
登録制限を通過したからといって、その端末が安全であることや、組織のセキュリティ要件を満たしていることが保証されるわけではありません。Microsoftも、登録制限をセキュリティ機能として扱うべきではなく、悪意のない利用者に対するベストエフォートの障壁であると説明しています。([Microsoft Learn][1])
整理すると、役割は次のように異なります。
| 項目 | 主な役割 |
|---|---|
| 登録制限 | 端末をIntuneへ登録できるか制御する |
| デバイス数制限 | 利用者が登録できる台数を制御する |
| 準拠ポリシー | 登録後の端末が組織の要件を満たすか判定する |
| 条件付きアクセス | 判定結果などに基づいてサービスへのアクセスを制御する |
「登録を許可するか」と「業務サービスへアクセスさせるか」は、別の段階として設計する必要があります。
成功者と失敗者を横並びで比較する
一部の利用者だけ拒否される問題は、成功者との比較が最も効率的です。
次の表を作り、違いがある項目から確認してください。
| 比較項目 | 登録成功者 | 登録失敗者 | 差分 |
|---|---|---|---|
| 所属グループ | |||
| 適用される登録制限 | |||
| ポリシー優先順位 | |||
| 割り当てフィルター | |||
| OS・ビルド | |||
| 所有区分 | |||
| 登録方式 | |||
| 登録済み端末数 | |||
| Intuneライセンス | |||
| エラー表示 |
特に、次の組み合わせは原因を絞り込みやすくなります。
- 同じ端末で利用者を変えると結果が変わる
利用者のグループ、ポリシー、端末数、ライセンスを優先して確認します。 - 同じ利用者で端末を変えると結果が変わる
OSバージョン、所有区分、メーカー、登録方式を優先して確認します。 - 同じ利用者と同じ端末でも登録方式を変えると結果が変わる
登録方式に対応する制限と、ユーザー主導かユーザーなし登録かを確認します。
Intuneの端末登録拒否を切り分ける順番
一部の利用者だけ端末登録を拒否される場合は、次の順番で確認すると無駄な設定変更を減らせます。
- 失敗した利用者、OS、所有区分、登録方式、エラーを記録する
- 利用者の所属グループを確認する
- 該当する登録制限ポリシーをすべて洗い出す
- 優先順位が最も高いポリシーを特定する
- プラットフォーム、OSバージョン、所有区分などを端末と比較する
- 割り当てフィルターと変更後の反映時間を確認する
- ユーザーなし登録の場合は既定ポリシーを確認する
- デバイス数の上限を確認する
- Intuneライセンスを確認する
- 登録方式固有の前提条件とエラーを調査する
同じ会社で一部の利用者だけ失敗する場合、全社共通設定よりも、まず利用者ごとの差分を見ることが重要です。
既定ポリシーを安易に変更せず、実際に適用されている上位ポリシー、グループ割り当て、端末条件を順番に照合してください。原因が登録制限にないと分かった段階で、端末数、ライセンス、登録方式へ調査範囲を広げると、必要以上に設定を緩和せずに解決できます。
[1]: https://learn.microsoft.com/en-us/intune/device-enrollment/restrictions “Overview of enrollment restrictions – Microsoft Intune | Microsoft Learn”
[2]: https://learn.microsoft.com/en-us/intune/device-enrollment/create-device-limit-restrictions “Create device limit restrictions – Microsoft Intune | Microsoft Learn”
[3]: https://learn.microsoft.com/en-us/intune/device-enrollment/create-platform-restrictions “Create device platform restrictions – Microsoft Intune | Microsoft Learn”
[4]: https://learn.microsoft.com/en-us/intune/fundamentals/licensing “Microsoft Intune Licensing Plans and Options – Microsoft Intune | Microsoft Learn”
コメント