【Microsoft 365】グループポリシーでActive DirectoryデバイスをIntuneへ自動登録する方法

このガイドでは、オンプレミスのActive Directory(AD)ドメイン参加デバイスをMicrosoft Intuneに登録し、一元的に管理する方法をわかりやすく解説します。

オンプレミスのActive DirectoryがMicrosoft Entra Connect経由でMicrosoft Entra ID(旧Azure AD)と統合されている環境では、WindowsデバイスをIntuneへ自動登録することで、多数の端末管理が格段に効率化されます。

MDM自動登録を有効にすれば、ドメイン内のユーザーはMicrosoft 365の職場アカウントでWindows PCにサインインするだけで、デバイスが自動的にIntuneに登録され、中央集権的な管理が実現します。

Active Directory(AD)のWindowsデバイスをIntuneに自動登録する手順

前提条件: オンプレミスのADが、Microsoft Entra Connect(旧Azure AD Connect)によってMicrosoft Entra IDと同期済みであること。

ステップ1:グループポリシーで「既定のAzure資格情報を使用した自動MDM登録」を有効化

1. サーバーマネージャーを開き、ツールメニューからグループポリシーの管理を起動します。

2. 新しいグループポリシーオブジェクト(GPO)を作成し、Microsoft Entra IDと同期したいユーザーやデバイスが所属するドメイン、または組織単位(OU)にリンクします。

3. 作成したGPOを編集モードで開き、以下のパスへ移動します。

• コンピューターの構成 > 管理用テンプレート > Windowsコンポーネント > MDM

4. 「既定のAzure AD資格情報を使用した自動MDM登録を有効にする」ポリシーを開きます。

※注意: このポリシーが見つからない場合は、後述の「ポリシーを追加する方法」を参照してください。

5. ポリシーを「有効」に設定し、登録に使用する資格情報の種類として「ユーザーの資格情報(User Credential)」を選択します。適用 > OKをクリックし、グループポリシーエディターを閉じます。

6. コマンドプロンプトまたはPowerShellで「gpupdate /force」を実行してポリシーを適用し、ステップ2へ進みます。

「既定のAzure資格情報を使用した自動MDM登録」ポリシーが存在しない場合の対処法

1. ドメインのワークステーションにインストールされているWindowsのバージョンに合わせて、最新の管理用テンプレート(.admx)パッケージをダウンロードします。

• Windows 11 バージョン 25H2
• Windows 11 バージョン 24H2
• Windows 11 バージョン 23H2
• Windows 11 バージョン 22H2
• Windows 10 バージョン 22H2

2. ダウンロードしたパッケージをドメインコントローラーにインストールします。

3. インストール後、ADMXテンプレートが配置されたパスへ移動します。

• 例:「Windows 11(23H2)」のテンプレートをインストールした場合は、次のフォルダーを開きます:
  C:\Program Files (x86)\Microsoft Group Policy\Windows 11 October 2023 Update (23H2)\

4. 「PolicyDefinitions」フォルダーを、以下の場所へコピーします。

• \\サーバー名\SYSVOL\ドメイン名.local\Policies\

5. SYSVOLのDFSRレプリケーションが完了するまで待ちます(同一サイト内のドメインコントローラー間なら約15秒程度)。その後、ステップ1の手順に従って自動MDM登録を有効にしてください。

ステップ2:Intune管理センターで自動登録を有効化

1. Intune管理センター > デバイス > Windows > 登録の順に移動し、「自動登録」を開きます。

2. 「MDMユーザースコープ」を「すべて」に、「Windows Information Protection(WIP)」も「すべて」*に設定し、保存をクリックします。

*注意: ステップ3のデバイス登録時に「Device Management could not be enabled(デバイス管理を有効にできませんでした)」というエラー(エラーコード:-2145833241 または 80192EE7)が発生した場合は、「Windows Information Protection(WIP)」を「なし」に変更してから、再度登録を試みてください。

ステップ3:Intuneでのデバイス登録を確認

ここまでの設定を完了すると、Azure AD Connect経由でMicrosoft Entra IDと同期されているWindowsデバイス上で、ユーザーがサインインする際にMicrosoft 365アカウントの資格情報入力を求められ、デバイスがIntuneへ登録されます。

Entra IDの同期サービスが再実行されるのを待ち、同期完了後にIntune管理センター > デバイス > Windowsデバイスを確認し、対象デバイスが登録・管理状態になっていることをチェックしましょう。

補足:トラブルシューティングと手動登録

1. Windows 11/10デバイスをIntuneに手動登録する場合:

設定 > アカウント > 職場または学校にアクセスするの順に開き、「職場または学校アカウントを追加」の横にある「接続」をクリックします。Microsoft 365アカウントの資格情報を入力すれば、デバイスがIntuneに登録されます。

2. デバイスが「Microsoft Entraハイブリッド参加」として表示されない場合:

同期の時点ですでにMicrosoft Entra IDへ登録されていたデバイスは、通常、同期後に「Microsoft Entraハイブリッド参加」デバイスとして表示されます。

しかし、ステータスが「Microsoft Entra登録済み」のまま変わらない、あるいはMicrosoft Entra ID内に二重に表示される(「登録済み」と「ハイブリッド参加済み」の両方のエントリーが存在する)場合は、該当するワークステーションで次の操作を行ってください。

(1)管理者としてコマンドプロンプトを開き、以下のコマンドを実行します。

• dsregcmd.exe /leave

(2)PCを再起動し、改めて職場または学校アカウントを追加します。

以上で設定は完了です。このガイドがお役に立ちましたら、ぜひコメントでフィードバックをお寄せください。また、周囲の方へのシェアも歓迎します。

よくある質問(FAQ)

Q. オンプレミスADデバイスをIntuneに自動登録するための前提条件は?
A. オンプレミスのActive Directoryが、Microsoft Entra Connect(旧Azure AD Connect)を使用してMicrosoft Entra IDと同期されている必要があります。

Q. Windowsデバイスの自動MDM登録はどうやって有効化する?
A. グループポリシーの管理で新しいGPOを作成し、「既定のAzure AD資格情報を使用した自動MDM登録を有効にする」ポリシーを構成します。ポリシーを「有効」にし、資格情報の種類として「ユーザーの資格情報」を選択して適用してください。

Q. 「既定のAzure資格情報を使用した自動MDM登録」ポリシーが見つからない場合は?
A. ワークステーションのWindowsバージョンに対応した最新の管理用テンプレート(.admx)パッケージをダウンロードしてドメインコントローラーにインストールし、「PolicyDefinitions」フォルダーをSYSVOL配下のPoliciesフォルダーへコピーしてください。

Q. WindowsデバイスがIntuneに登録されたか確認する方法は?
A. 自動登録を有効化しMicrosoft Entra IDとの同期が完了したら、Intune管理センター > デバイス > Windowsデバイスを開き、デバイスが登録・管理対象として表示されていることを確認します。