新入社員の PC をキッティングした。Windows の初期設定で会社のアカウントでサインインし、Entra ID への参加も済んだ。あとは Intune からアプリとポリシーが降ってくるのを待つだけ——のはずが、30分たっても何も来なかった。
ある会社（Windows PC 約50台、Intune 管理）で、翌月入社の人の PC を準備していたときのことだ。Intune の管理センターを見ると、そもそも PC が Intune に登録されていなかった。原因は、利用者のアカウントが Entra の特定のグループに入っていなかったこと。前任から引き継いだ手順書には、そのグループに入れる手順が書かれていなかった。この記事では、原因と、後から Intune に登録し直した方法、そのときに出た「所有者が個人になる」問題を書く。
この記事でわかること
- ▶ Entra 参加しても Intune に登録されない原因（自動登録のユーザースコープ）
- ▶ PC を初期化せずに、後から Intune に登録する方法
- ▶ 後から登録すると、所有者が「個人」になる
- ▶ 入社の手順の、どこに何を足したか
▼原因：自動登録の対象が「一部のグループ」だけだった
Windows の PC が Entra ID に参加したとき、Intune にも自動で登録されるかどうかは、Intune の「自動登録」の設定にある MDM ユーザースコープで決まる。選べるのは「なし」「一部」「すべて」の3つで、「一部」にすると、指定したグループに入っているユーザーが参加させた PC だけが Intune に登録される。
この会社は「一部」で、対象は 「MDM User」という名前の Entra グループだった。新入社員のアカウントは作ってライセンスも付けていたが、このグループには入れていなかった。だから PC は Entra に参加しただけで、Intune には登録されなかった。
| 状態 | 起きること |
|---|---|
| 利用者がスコープのグループに入っている | Entra 参加と同時に Intune に登録。アプリ・ポリシーが届く |
| 入っていない | Entra には参加する。Intune には登録されず、何も届かない。エラーも出ない |
しかもこの会社では、Defender・Wi-Fi・BitLocker・LAPS・電源の設定、Chrome などのアプリも、同じ「MDM User」グループに割り当てていた。グループ1つの入れ忘れで、PC の管理がまるごと抜ける構造になっていた。
「すべて」にしない理由もある
スコープを「すべて」にすれば入れ忘れは起きない。ただ、個人の PC で会社のアカウントを使った人の端末まで Intune の管理下に入る可能性がある。どちらが正解かは会社の方針しだいだ。今回は前任の設計を尊重して「一部」のままにし、入社の手順の方を直した。
▼後から Intune に登録する：初期化しなくていい
PC はすでに Entra に参加して、利用者のプロファイルもできている。初期化からやり直すのは避けたい。次の順で、初期化せずに登録できた。
- 利用者のアカウントを「MDM User」グループに追加する
- PC で Win＋R を押し、
ms-device-enrollment:?mode=mdmを実行する - 登録の画面が出るので、利用者のアカウントでサインインする
- 数分で Intune の管理センターに PC が出て、同期・準拠の確認ができた。必須アプリの配布も始まった
▼注意：この方法だと所有者が「個人」になる
登録できて一安心、と思って Intune の一覧を見ると、その PC の所有者が「個人」になっていた。会社が買った PC なのに、だ。
所有者が「個人」だと、会社所有の端末だけを対象にしたポリシーや、会社所有でないと使えない操作から外れる。端末の一覧で「会社の PC が何台か」を数えるときにもずれる。この会社では、以前にも所有者が「個人」のままの PC が7台見つかっていた。
直し方は簡単で、Intune の管理センターでその PC を開き、プロパティの「デバイスの所有権」を「会社」に変えるだけだ。台数が多いなら Graph API でまとめて変えられる。大事なのは、後から登録したら所有者を必ず確認すると手順に書いておくことだ。
▼入社の手順に足したこと
| タイミング | 足したこと |
|---|---|
| アカウントを作ったとき | すぐ「MDM User」に入れる（PC の Entra 参加より前に） |
| PC の初期設定の直後 | Intune の一覧に PC が出たか、所有者が「会社」かを確認 |
| 入れ忘れたとき | グループに入れて ms-device-enrollment:?mode=mdm で登録し、所有者を「会社」に直す |
本当は、PC を Autopilot で登録しておけば、こうした漏れはかなり防げる。この会社でも Autopilot の準備を進めている。それまでの間は、手順書の1行で防ぐ。
▼まとめ
- ▶ Entra 参加しても Intune に登録されないときは、自動登録の MDM ユーザースコープを見る
- ▶ 「一部」なら、利用者が対象のグループに入っているか。入っていなくてもエラーは出ない
- ▶ 後からの登録は ms-device-enrollment:?mode=mdm で。初期化は要らない
- ▶ 後から登録すると所有者が「個人」になる。「会社」に直す
前任の設計には、たいてい理由がある。ただ、その前提（このグループに入れること）が手順書に書かれていないと、引き継いだ人が同じ穴に落ちる。設計を変えるより先に、前提を手順に書き起こすのが早い。
📅 30分無料相談、受け付けています
「Intune を入れたはずなのに、管理できていない PC がある気がする」——そういった段階からお気軽にどうぞ。現状の設定の読み解きから、入社手順への落とし込みまで対応しています。
📅 30分無料相談を予約する →