Intune で配った「Codex」は ChatGPT、「ChatGPT」は Classic だった

ある会社（30名規模）で、ChatGPT の Windows 向けデスクトップアプリを Intune から配った。この会社は ChatGPT Business を全社員分契約していて、Codex を試したい人もいる。

先に結論を書く。アプリを配る範囲は、Intune のグループで決まる。だから、絞るために「利用可能」にしておく理由はない。「必須」でいい。ただし、Intune で決まるのは「誰に配るか」までだ。Codex を使えるかどうかは ChatGPT の管理画面で決まる。そして Business では、その許可がワークスペースの全員に対するスイッチ1つしかない。

当日は、登録から3時間弱で割り当てを「利用可能」から「必須」に変えた。さらに、この記事のために裏を取り直したら、Intune で「Codex」と名付けて配ったのは、今の Store では「ChatGPT」（Chat・Work・Codex が1つに入ったアプリ）だった。「ChatGPT」として足したほうは、従来版の「ChatGPT Classic」だった。

筋は1つ。配る・入れられる・使えるは、別の場所で決まる。それぞれ確かめる。

▼Store アプリ（新規）・システム・アプリごとのグループで登録した

配り方は、OpenAI の Windows 向けの配布ガイドに合わせて Intune の「Microsoft Store アプリ（新規）」にした。アプリは Store 経由で自分で更新するので、版を Intune 側で追いかけなくていい。判断が要ったのは「インストールの動作」と「誰に割り当てるか」の2つだけだった。

項目	値	理由
種類	Microsoft Store アプリ（新規）	OpenAI の推奨。Store に届かない環境なら、MSIX を包んで配る方法もある
アプリの指定	Store の製品 ID	名前で探すと、似た名前のアプリが出る。発行元が OpenAI かも確かめる
インストールの動作	システム	Entra 登録（個人）の PC が数台ある。「ユーザー」だと、そうした PC ではポータル サイトでインストールを押したときに「要件を満たしていません」になる
割り当て	アプリごとのユーザーグループ。最初は「利用可能」	誰に配ったかを、グループのメンバーと記録表で残す

インストールの動作は、Microsoft のドキュメントでも「Entra 登録の端末はシステムを使う」とされている。Intune への登録で詰まり、PC の所有者が「個人」になった話は、別の記事に書いた。

最初に登録したのは、自分が「Codex のアプリ」だと思っていたものだ。Intune 上の名前も「Codex」と付けた。これが後で効いてくる。

グループは、アプリごとに分けた。ChatGPT のアプリは全社に広げる可能性がある。Codex は、承認した人だけにしたかった。Codex は PC の中のファイルを読み、コマンドを実行する。ブラウザの ChatGPT より、PC に対してできることが広い。この分け方の前提は、後で崩れる。

登録はスクリプト（Microsoft Graph）で回した。グループ作成 → メンバー追加 → アプリ登録 → 割り当ての順で、すでにあるものは作らない。割り当てを変えるときは、同じグループの別の種類の割り当てを置き換え、ほかのグループの割り当ては残す。最初の対象は、パイロットとして総務の担当者1名にした。

▼「届いていない」は、同期の時刻・アプリ名・割り当ての種類の3つで切り分けた

登録から2時間半あまりたって、パイロットの PC にまだ何も入っていないことに気づいた。PC を触る前に、管理センターで3つを見た。

① 同期の時刻

パイロットの PC（Windows 11、Entra 参加・会社所有・準拠）が最後に Intune と同期したのは、アプリを登録する約20分前だった。インストールの記録は0件。PC から見れば、まだ何も割り当てられていない。

Intune のアプリ配布を受け持つ PC 側の仕組み（Intune Management Extension）が、新しい割り当てを確認するのは8時間ごとだ。待てば届くが、ポータル サイトの「同期」か、管理センターのデバイスの「同期」で早められる。

② アプリ名

その日の定例で話していたのは「ChatGPT のデスクトップアプリを入れる」だった。Intune に登録してあったのは、「Codex」と名付けた1つだけ。ChatGPT のアプリは未登録だと判断して、その場で ChatGPT のアプリの製品 ID を決め、「ChatGPT」という名前で登録して別のグループに割り当てた。ID は、作業を手伝わせている AI エージェントが出したものを、OpenAI のヘルプ記事で裏を取って使った。Store のページは開かなかった。この判断が正しくなかったことは、2つ後の節で書く。

③ 割り当ての種類

同期させた後も、記録は0件のままだった。「利用可能」は、本人がポータル サイトを開いてインストールを押すまで入らない。しかも Microsoft のドキュメントには、Store アプリを「利用可能」で配ると、インストールの状態そのものが報告されない、とある。0件は「届いていない」のか「本人がまだ押していない」のか、管理センターからは区別できない。

▼「利用可能」は絞る手段ではなかった。だから「必須」にした

「利用可能」を選んだのは、前の週の自分だ。理由は「使う人を絞り、誰に配ったかを残すため」だった。だが振り返ると、それを担っていたのはグループと記録表で、「利用可能」ではなかった。割り当ての種類を変えても、配る範囲は変わらない。

そこで、2つのアプリとも「必須」（自動インストール）に変えた。本人がポータル サイトを開いて押す手間がなくなる。最初の登録から3時間弱だった。数分後に同期させると、2つとも PC に「必須」として届いた。インストールの状態は「不明」のままで、PC に実際に入ったか、サインインできたかは、この記事の時点ではまだ確かめていない。

	利用可能	必須
入るきっかけ	本人がポータル サイトでインストールを押す	同期の後に自動で入る
情シスから見えること	Store アプリはインストールの状態が報告されない。届いていないのか、押していないのか区別できない	「必須」として PC に届いたかは見える。インストールの状態は、この会社では当日「不明」のままだった
配る範囲を決めるもの	グループ	グループ（同じ）
消したいとき	「アンインストール」で割り当てる。グループから抜いたときに、入っているアプリがどうなるかはまだ確かめていない

誰をグループに入れたかは、記録表に「いつ・誰を・何の根拠で」と残している。グループで絞って記録表に残す考え方は、同じ会社で ChatGPT の Microsoft 365 連携を絞った記事と同じだ。

▼配った2つのアプリは、思っていた2つではなかった

この記事を書くために、Microsoft Store の掲載と OpenAI の配布ガイドを確かめ直した。結果はこうだった。

Intune で付けた名前	Store の製品 ID	Store の今の掲載名	中身
Codex	9PLM9XGG6VKS	ChatGPT	Chat・Work・Codex が1つに入ったデスクトップアプリ。OpenAI の配布ガイドが案内しているのはこれ
ChatGPT	9NT1R1C2HH7J	ChatGPT Classic	従来のデスクトップアプリ。配布ガイドには載っていない

※ 2026年10月26日時点の Microsoft Store の掲載と、OpenAI の Windows 向け配布ガイドで確認

パイロットの PC に「必須」で届けたのは、新しい統合版の ChatGPT（Intune 上の名前は「Codex」）と、旧版の ChatGPT Classic の2つだった。担当者が待っていた「ChatGPT のデスクトップアプリ」は、最初に登録した方がそれだった。「ChatGPT のアプリが未登録」という判断は、自分で付けた名前に引っ張られていた。そして足した「ChatGPT」は、今の Store では従来版の「ChatGPT Classic」だった。

前の週に配布方法を調べたとき、自分はこの製品 ID を Codex のアプリとして記録していた。これ自体は間違いではない。Store のカタログを見ると、9PLM9XGG6VKS のパッケージ名は今も「OpenAI.Codex」で、掲載名が「ChatGPT」になっている。9NT1R1C2HH7J のパッケージ名は「OpenAI.ChatGPT-Desktop」で、掲載名は「ChatGPT Classic」だ。OpenAI のヘルプは、Codex のアプリを更新すると Chat・Work・Codex の入った新しい ChatGPT のデスクトップアプリになる、と書いている。それとは別に、新しいアプリと従来のアプリが並んで入っているときは、従来のほうが「ChatGPT Classic」と表示される、とも書いている。Codex のアプリが「ChatGPT」の名前を引き継ぎ、従来の ChatGPT のアプリは「Classic」と呼ばれる側に回った。Intune 上の「Codex」という名前は、その前の呼び名のまま、こちらで付けたものだった。間違えたのは、2つ目に足した Classic のほうだ。その ID は、AI エージェントが出したものを OpenAI のヘルプ記事で裏取りしていた。手順としては1つ確かめている。ヘルプ記事では「ChatGPT の Windows アプリ」の ID として載っていた。だが、誰も Store の今の掲載名を見ていなかった。AI が出しても人が調べても、同じ穴に落ちる。足りなかったのは、最後に Store の今の掲載名を見る1手だ（AI エージェントに作業を手伝わせている体制はこちらの記事に書いた）。

どちらを配ればいいかの答えは、新しいほう（9PLM9XGG6VKS）だ。OpenAI のヘルプでは、Classic も使い続けてよく、移行は必須ではない。更新も続く。ただし、新しいエージェントの機能は新しいアプリにしか入らないことがある。配布ガイドも新しいアプリしか案内していない。

この会社では、その日のうちに Classic の「必須」の割り当てを外した。Intune には割り当てなしで登録だけ残し、名前を「ChatGPT Classic」に直した。統合版は Intune の名前を「ChatGPT（Chat・Work・Codex）」に直し、「必須」のままにしている。外した時点で、パイロットの PC にどちらかのアプリが入ったかは、まだ分かっていない。

▼Intune で決まるのは「誰に配るか」まで

配る・入れられる・使えるは、別の場所で決まる

段	決める場所	この会社の今
配る	Intune の割り当て（グループ）	パイロットの1名
入れられる	Microsoft Store の制御（Intune の設定など）	未確認。Store を止める設定を入れているか、まだ調べていない
使える	ChatGPT の管理画面（ワークスペースの設定）	Codex のローカル使用：全メンバー対象で許可（スイッチ1つ）。Codex Cloud：この会社の管理画面では「オン」で、変えられなかった

Intune の割り当てが決めるのは「誰に配るか」だけだ。配っていない人が Microsoft Store から自分で入れるのは、割り当てでは止まらない。

Store を止める設定（Store アプリをオフにする）を入れても、Intune の Store アプリ（新規）での配布は止まらない。Microsoft と OpenAI のドキュメントの両方にそう書いてある。逆に、止めていなければ、配っていない社員が Store から自分で入れられる可能性がある。標準ユーザーの PC で入れられるかは公式の記述が分かれていて、実機で試すのが確実だ。この会社ではまだ試していない。Store を止めると社員が自分で入れているほかのアプリにも効くので、止めるかどうかはこの記事では結論を出さない。

Business では、1人に Codex を使わせると全員に許可することになる

ChatGPT Business では、Codex をローカル（デスクトップアプリや CLI）で使う許可は、管理画面の「権限とロール」にあるスイッチ1つだ。この会社の画面では「メンバーに Codex と Work のローカル使用を許可」という名前だった。対象はワークスペースの全員で、グループやロールで分けられない。OpenAI のヘルプでも、グループ機能とロールごとに機能を切る仕組みは Enterprise など上位のプラン向けで、Business は対象に入っていない。

当日、Codex をアクセストークンで動かす疎通を試した。最初は 403（rejected_by_access_enforcement）が返った。でたらめなトークンなら 401 が返るので、トークン自体は受け付けられ、権限で拒否されている。最初のトークンで使える範囲（スコープ）は「ワークスペースエージェント」だけだった。もう1つ、Codex は以前に社内で一度止めていたことがあり、ワークスペースの許可がオフのままだった可能性もあった。

管理画面で Codex の許可を見直し、Codex をスコープに含めてトークンを発行し直したら通った。設定とトークンの2つを同時に変えたので、どちらが決め手だったかは切り分けていない。

通った後に画面を見ると、Codex のローカル使用の許可は全メンバー対象でオンだった。変更前がオフだったかは見ていない。個人用アクセストークンを作る許可も、全メンバー対象でオンになっている。

Enterprise なら、OpenAI の管理者向けガイドはロールとグループで Codex の利用者を絞る前提で書かれている。ただ、Business から移る条件（最低の席数など）は公開されていない。30名規模の会社で、そのためにプランを上げる話にはしていない。

ChatGPT の設定は API で読めない。画面で一覧にした

使える範囲を確かめる手段は、管理画面しかなかった。この会社の Admin Console の認証情報には「ChatGPT アクセストークン」のタブしかなく、管理用の Admin key は作れなかった。トークンを作るときに選べるスコープも「ワークスペースエージェント」と「Codex」の2つだけだ。OpenAI のヘルプも、Admin key の対象として挙げているのは Enterprise・Edu・Healthcare で、Business は入っていない。トークンの有効期限の上限は、この会社の設定では7日だった（上限はオーナーが設定する値だ）。

そこで、2つの管理画面（Admin Console と ChatGPT 側の管理画面）を読み、日付入りの一覧にした。どちらも同じ設定を指しているので、一覧には1回だけ書いた。一覧を作るときは読むだけにして、設定は変えていない。

• ▶ Business では表示されるだけで変えられない項目も、分けて書く。「変えられない」と分かっていること自体が、プランを上げるかどうかの判断材料になる
• ▶ 日付を入れる。画面の名前や項目は、提供元の展開状況で変わる。アプリの掲載名が変わっていたのと同じだ

▼まだ終わっていないこと

終わったこと	まだのこと
統合版の ChatGPT の登録と「必須」の割り当て。パイロット1名の PC に「必須」として届いたところまで	PC に実際に入ったか、会社のアカウントでサインインできたかの確認
Classic の「必須」の割り当てを外し、Intune の名前を Store の掲載名に合わせて直した	requirements.toml で PC の上の Codex を縛るかの検討（未検証）
ChatGPT の管理画面の設定一覧	配っていない人が Store から入れられるかの確認
	Codex を全員に許可する前の、使い方のルール。個人用アクセストークンを作る許可を戻すか

▼まとめ

• ▶ ChatGPT のデスクトップアプリは、Store アプリ（新規）・システム・グループの割り当てで配る（OpenAI の配布ガイドと同じ設定）
• ▶ 「届いていない」は、同期の時刻・アプリ名・割り当ての種類の3つで切り分ける
• ▶ 絞るのはグループ。「利用可能」は絞る手段ではない。押してもらう前提がなければ「必須」にする
• ▶ 登録は製品 ID で、Store の今の掲載名と配布ガイドで中身を確かめる。Intune の表示名に自分の呼び名を付けない
• ▶ 配る（Intune）・入れられる（Store）・使える（ChatGPT）は別の場所で決まる。Business では Codex のローカルの許可が全員に1つ。クラウドもこの会社の画面では変えられなかった。「PC の上で使わせるか」から決める