Microsoft Intuneの「Retire（廃止）」は、端末を初期化する操作ではありません。会社データ、MDMで配布した設定、管理プロファイルなどを削除し、Intune管理から外しながら、ユーザーの個人データは残すためのデバイスアクションです。BYOD端末の返却、退職者端末の管理解除、組織管理から外す端末の整理では有効ですが、紛失端末の完全消去や再利用前の初期化には「Wipe」や「Delete」との使い分けが必要です。(Microsoft Learn)
管理者が特に確認すべきポイントは、Retireが次回のIntuneチェックイン時に実行されること、WindowsのMicrosoft Entra参加済み端末ではサインインやBitLocker回復キーに影響すること、複数管理者承認（MAA）の対象になり得ること、Microsoft Graph APIで実行する場合は高権限のデバイス操作権限が必要になることです。(Microsoft Learn)
Microsoft IntuneのRetireとは
Microsoft IntuneのRetireは、日本語UIでは「廃止」と表示されるデバイスアクションです。目的は、端末を工場出荷時の状態に戻すことではなく、会社の管理対象データとIntune管理を端末から取り除くことです。
Retireを実行すると、Intuneからの登録解除、MDMで展開されたマネージドアプリ、構成プロファイル、Wi-FiやVPNプロファイル、証明書などの削除が行われます。一方で、写真、個人アプリ、個人ファイルなどのユーザー個人データは基本的に残ります。公式ドキュメントでも、RetireはWipeと異なりユーザーコンテンツを保持するアクションとして説明されています。(Microsoft Learn)
実務では、次のような場面でRetireを選びます。
| 利用シーン | Retireが向いている理由 |
|---|---|
| 個人所有端末を業務利用から外す | 個人データを消さずに会社データだけを削除できる |
| 退職者のBYOD端末から会社管理を外す | Intune登録、業務プロファイル、会社アプリを整理できる |
| 端末を別の管理方式へ移す | 現在のMDM管理を外してから再登録しやすい |
| 紛失ではない端末を棚卸しする | 完全消去せず、管理対象データだけを除去できる |
反対に、企業所有端末を次の利用者に渡す、紛失端末のデータを確実に消す、廃棄前に全データを削除する、といったケースではRetireだけでは不十分な場合があります。
今回の公式情報で押さえるべき変更・確認ポイント
Microsoft LearnのRetireドキュメントは、2026年5月時点でデバイスアクションとしての位置づけ、対応プラットフォーム、実行に必要なロール、OS別の削除範囲、Microsoft Entra IDやApple Business Managerとの後処理を整理しています。GitHub上のMicrosoftDocs履歴でも、Intuneのデバイスアクション文書群に2026年5月5日付の更新が記録されています。(GitHub)
重要なのは、Retireの基本動作が「初期化」へ変わったわけではない点です。確認すべき実務上のポイントは、以下のように整理できます。
| 確認項目 | 管理者が見るべきポイント | 見落とした場合のリスク |
|---|---|---|
| 実行タイミング | Retireは次回デバイスがIntuneにチェックインしたときに実行される | すぐ消えたと思い込み、管理センター上の残存表示を誤解する |
| 対応OS | Android Device Administrator、Android Enterprise個人所有仕事用プロファイル、iOS/iPadOS、macOS、tvOS、visionOS、Windowsが対象 | 対象外の登録方式で想定どおり処理されない |
| 権限 | Help Desk Operator、School Administrator、またはRemote tasks/Retireを含むカスタムロールなどが必要 | 権限不足で実行できない、または過剰権限を付与してしまう |
| MAA | アクセスポリシーにより2人目の管理者承認が必要になる場合がある | 緊急時に処理が進まない、承認フローを把握できない |
| Windows | Entra参加済み端末、BitLocker、ローカル管理者資格情報の扱いを事前確認する | Retire後にEntraアカウントでサインインできず、ローカルデータへアクセスできない |
| 開発者対応 | Graph APIではPrivilegedOperations権限と対象managedDeviceIdが必要 | 自動化スクリプトで誤った端末を一括Retireする |
Retire・Wipe・Deleteの違い
Intune管理で混同しやすいのが、Retire、Wipe、Deleteの違いです。特に「管理センターから消す」ことと「端末上のデータを消す」ことは同じではありません。
| アクション | 主な目的 | 個人データ | 主な用途 |
|---|---|---|---|
| Retire | 会社データとIntune管理を削除する | 残る | BYOD端末の業務利用解除、組織管理からの離脱 |
| Wipe | 端末を工場出荷時の状態に戻す | 原則削除される | 企業所有端末の再利用、紛失・盗難時の消去、初期化 |
| Delete | Intuneのデバイスインベントリから削除する | プラットフォームや登録方式によりRetireまたはWipe相当の動作になる | 古い端末、不要端末、再利用済み端末の管理台帳整理 |
Wipeは個人データと組織データ、アプリ、構成を削除して端末を既定状態へ戻す操作です。Retireとは目的が異なるため、「会社データだけ消したい」のか「端末全体を初期化したい」のかで選ぶ必要があります。(Microsoft Learn)
Deleteはさらに注意が必要です。公式情報では、Appleモバイル、macOS、WindowsではDeleteがRetireコマンドをトリガーし、Androidでは登録の種類によってDeleteまたはWipeがトリガーされます。Android Enterpriseの企業所有フルマネージド、専用、企業所有仕事用プロファイル、AOSPではWipeがトリガーされるため、BYODと同じ感覚で使うと影響が大きくなります。(Microsoft Learn)
OS別に見るRetire後の影響範囲
Retireで何が消えるかは、OSや登録方式によって異なります。運用手順書を作る場合は、「Retireは会社データだけ消える」と一言で済ませず、OS別にユーザーへ説明できる状態にしておくことが重要です。
| プラットフォーム | 主な削除内容 | 残るもの・注意点 |
|---|---|---|
| iOS/iPadOS | 管理プロファイルに紐づく会社アプリやデータ、Wi-Fi/VPN、証明書、メールプロファイル、キャッシュメールなど | 個人データは残る。Microsoft Entra IDレコードは削除されない。Outlook Mobileの連絡先は重複対策が必要になる場合がある |
| Android Enterprise個人所有仕事用プロファイル | 仕事用プロファイル内のデータ、アプリ、設定 | 個人領域は残る。BYOD端末ではRetireの代表的な利用先 |
| Android Device Administrator | Webリンク、管理対象アプリの一部データ、Wi-Fi/VPN、証明書の失効、デバイス管理者権限など | Google Mobile Servicesにアクセスできる端末ではAndroid Device Administrator管理は非推奨で、別のAndroid管理方式への移行が推奨される |
| macOS | Intuneポリシーの適用解除、Wi-Fi/VPN、証明書、管理プロファイル | Microsoft Entra IDレコードは削除されない。条件付きアクセスが有効な場合、新しいメールを受信できなくなる |
| Windows | Intuneでインストールした会社アプリ、サイドローディングキー、Wi-Fi/VPN、証明書、Intuneでプロビジョニングしたメールアカウントなど | Microsoft 365 Appsは削除されない。Intune管理拡張機能で入れたWin32アプリは、登録解除済み端末ではアンインストールされない |
Windowsでは特に、Microsoft Entra参加状態への影響を確認する必要があります。Microsoft Entra joinedの端末はRetire後にEntraから参加解除され、Microsoft Entraアカウントでサインインできなくなります。ローカル管理者アカウントでアクセスできるよう、事前に資格情報を確認しておく必要があります。(Microsoft Learn)
Retireを実行する前の管理者チェックリスト
Retireは個人データを残す操作とはいえ、業務データ、証明書、プロファイル、サインイン状態に影響します。実行前には、少なくとも次の点を確認してください。
| チェック項目 | 確認内容 |
|---|---|
| 端末の所有区分 | BYODか企業所有か。企業所有で再利用するならWipeの方が適切な場合がある |
| 登録方式 | Android Enterprise BYOD、Windows Entra joined、Apple ADEなど、登録方式ごとの後処理を確認する |
| 最終チェックイン | オフライン端末はRetire Pendingのまま残る可能性がある |
| BitLocker | WindowsのBitLocker回復キーをバックアップしているか確認する |
| ローカル管理者 | WindowsでEntraアカウントが使えなくなった場合に備え、ローカル管理者資格情報を確認する |
| MAA設定 | Retireが複数管理者承認の対象になっているか確認する |
| 条件付きアクセス | Retire後のアクセス制御を条件付きアクセスやセッション管理と合わせて確認する |
| ユーザー通知 | 消える会社アプリ、メール、Wi-Fi/VPN、仕事用プロファイルを事前に説明する |
BitLockerで保護されたMicrosoft Entra参加済みデバイスをRetireまたはDeleteすると、Intuneはキー保護機能を削除する同期をトリガーし、回復不能な暗号化シナリオを避けるためOSボリューム上のBitLockerを一時停止します。処理前には、BitLocker回復キーとローカル管理者アカウントの資格情報を必ず確認してください。(Microsoft Learn)
また、オフライン端末ではすぐに処理が完了しません。Microsoftのトラブルシューティング情報では、MDM証明書が有効な間に端末がチェックインすればRetireまたはWipeが実行され、チェックインしなければ保留状態が続くと説明されています。管理センター上の表示だけで「失敗」と判断せず、最終チェックイン日時と端末状態を合わせて確認しましょう。(Microsoft Learn)
Intune管理センターでRetireを実行する手順
Retireの基本手順はシンプルです。
| 手順 | 操作 |
|---|---|
| 1 | Microsoft Intune管理センターにサインインする |
| 2 | 「デバイス」から「すべてのデバイス」を開く |
| 3 | 対象デバイスを選択する |
| 4 | デバイス概要のアクションから「廃止」または「Retire」を選択する |
| 5 | 確認画面で「はい」を選択する |
| 6 | 必要に応じてMAAの承認完了を待つ |
| 7 | デバイスのチェックイン後、状態と監査ログを確認する |
公式手順でも、Intune管理センターの「デバイス」から「すべてのデバイス」を開き、対象デバイスの概要ペイン上部にあるアクションからRetireを選択する流れが示されています。(Microsoft Learn)
複数管理者承認が有効な環境では、Retireの実行要求がすぐに適用されない場合があります。MAAでは、保護対象リソースへの変更は別の管理者が承認するまで適用されず、Retire、Wipe、Deleteなどのデバイスアクションもアクセスポリシーの対象としてサポートされています。(Microsoft Learn)
Retire後に確認すべきログと状態
Retireを実行したら、対象端末の状態だけでなく、誰が実行したか、承認が必要だったか、端末がチェックインしたかを確認します。
| 確認場所 | 見る内容 |
|---|---|
| Devices > All devices | 対象端末が残っているか、状態が変わったか |
| Devices > Monitor > Device actions | デバイスアクションの履歴 |
| Tenant administration > Audit logs | 実行者、実行日時、操作内容 |
| Multi admin approval | 承認待ち、承認済み、完了、拒否などの状態 |
| Microsoft Entra ID | デバイスレコードが残るか、削除されたか |
| Apple Business Manager | ADE端末を組織から完全に外す必要があるか |
Microsoftのトラブルシューティング情報では、Intune管理センターの監査ログで「Initiated By」列を確認し、デバイスアクションの詳細はDevices > Monitor > Device actionsで確認できると説明されています。(Microsoft Learn)
Retire後もMicrosoft Entra IDやApple Business Manager側にレコードが残る場合があります。IntuneでRetireを実行しただけで、ID基盤やApple ADE登録まで完全に整理されたと考えないようにしてください。Apple ADEデバイスでは、組織管理から完全に外すためにApple Business Managerでデバイスをリリースする必要がある場合があります。(Microsoft Learn)
開発者向け：Microsoft Graph APIでRetireを実行する場合
開発者や運用自動化担当者は、Microsoft Graph APIからRetireを実行できます。Graphの公式ドキュメントでは、Intune APIを利用するにはテナントに有効なIntuneライセンスが必要で、Retireは次のエンドポイントで実行できます。(Microsoft Learn)
POST https://graph.microsoft.com/v1.0/deviceManagement/managedDevices/{managedDeviceId}/retireこのAPIにはリクエストボディは不要です。成功時は 204 No Content が返ります。必要な権限は、委任権限またはアプリケーション権限の DeviceManagementManagedDevices.PrivilegedOperations.All です。個人用Microsoftアカウントはサポートされません。(Microsoft Learn)
自動化する場合は、次の順序で実装すると誤操作を減らせます。
| 実装ステップ | 実務上のポイント |
|---|---|
| 対象抽出 | 所有区分、OS、登録方式、最終チェックイン日時、ユーザー、グループを条件にする |
| 事前検証 | Windows Entra joined、BitLocker、Autopilot、Apple ADE、Android登録方式を確認する |
| 承認 | CSVレビュー、チケット番号、MAA、変更管理番号を紐づける |
| 実行 | 1台ずつ結果を記録し、204応答だけで完了扱いにしない |
| 追跡 | デバイスアクション、監査ログ、Entra ID、ABMなどの後処理を確認する |
| 例外処理 | オフライン端末、保留状態、権限不足、対象外プラットフォームを分けて記録する |
一括Retireでは「端末名に特定文字列を含む」だけの条件は危険です。端末名は重複や再利用が起きやすいため、managedDeviceId、シリアル番号、ユーザー、所有区分、最終チェックイン日時を組み合わせて確認する運用にしましょう。
移行・展開上の注意点
Android Device Administratorを使っている環境
Android Device Administrator管理は、Google Mobile Servicesにアクセスできる端末では非推奨であり、利用できなくなります。現在もDA管理を使っている場合は、Retire運用だけでなく、Android Enterpriseの適切な登録方式への移行計画を立てる必要があります。(Microsoft Learn)
特にBYODは「Android Enterprise個人所有の仕事用プロファイル」、企業所有端末はフルマネージド、専用、COPEなど、所有区分に合わせて登録方式を選ぶことが重要です。Delete実行時の挙動も登録方式で変わるため、Android移行時には「Retireされる端末」と「Wipeされる端末」を運用表に分けておきましょう。(Microsoft Learn)
Windows Autopilot端末
Windows端末では、Retire後のMicrosoft Entra IDレコードやAutopilot登録の扱いに注意が必要です。公式のRetire情報では、WindowsでAutopilotに登録されている端末はMicrosoft Entra IDレコードが削除されないと説明されています。(Microsoft Learn)
Microsoft Entra IDの古いデバイス管理に関する公式情報でも、Autopilotなどのシステム管理デバイスは削除に注意が必要で、BitLocker回復キーのバックアップ確認や、削除前に無効化期間を設けることが推奨されています。(Microsoft Learn)
Apple ADE端末
Apple Automated Device Enrollmentで登録されたiPhone、iPad、Macは、IntuneでRetireしただけでは組織管理から完全に外れない場合があります。再販、譲渡、完全な管理解除を行う場合は、Apple Business Managerで該当デバイスを検索し、組織からリリースする手順も確認してください。(Microsoft Learn)
条件付きアクセスとトークン
RetireやDeleteは、端末上の管理データやIntuneインベントリを整理する操作であり、すべてのアクセス状態を即座に無効化する万能なセキュリティ対策ではありません。Microsoftのトラブルシューティング情報では、インベントリから削除してもアクセストークンは取り消されず、この状態は条件付きアクセスで軽減できると説明されています。(Microsoft Learn)
退職者や紛失端末への対応では、Retireだけでなく、アカウント無効化、セッション失効、条件付きアクセス、デバイスコンプライアンス、アプリ保護ポリシーを組み合わせて設計する必要があります。
失敗しやすいポイント
Retireの運用でよくある失敗は、「端末から何が消えるか」を管理者とユーザーが同じ理解で共有していないことです。
| 失敗例 | 原因 | 対策 |
|---|---|---|
| Retireしたのに端末が管理センターに残っている | 次回チェックインまで実行されない | 最終チェックイン日時とPending状態を確認する |
| Windowsユーザーがサインインできない | Entra joined端末でRetire後にEntraアカウントが使えない | ローカル管理者資格情報を事前に確認する |
| Win32アプリが残っている | Intune管理拡張機能でインストールしたWin32アプリは未登録端末でアンインストールされない | BYOD向け割り当て除外や手動削除手順を用意する |
| Android企業所有端末をDeleteして想定外にWipeされた | 登録方式によってDeleteの挙動が変わる | Android登録方式別のアクション表を作る |
| Retireでアクセス遮断も完了したと思い込む | Retireはトークン失効を保証しない | 条件付きアクセス、セッション管理、アカウント制御を併用する |
| Apple ADE端末が再び組織管理に戻る | ABM側のリリースをしていない | Intune後処理にABM確認を含める |
管理者が次に取るべき行動
まず、自社の端末をBYOD、企業所有、共有端末、Autopilot端末、Apple ADE端末、Android Enterprise端末に分類してください。そのうえで、Retire、Wipe、Deleteのどれを使うかを端末種別ごとに決めます。
次に、Retire前チェックリストを運用手順書に入れます。WindowsではBitLocker回復キーとローカル管理者資格情報、Androidでは登録方式、AppleではABMリリース要否、Graph APIでは権限と対象抽出条件を必ず確認します。
最後に、Retireのような影響の大きいデバイスアクションには、MAA、監査ログ、チケット管理、実行後レビューを組み合わせてください。Retireは「安全な会社データ削除」のための便利な機能ですが、端末ライフサイクル全体の中で使い分けてこそ、事故のない運用につながります。
コメント