はじめに

テナントの既定の設定では、一般ユーザーが Microsoft Entra テナントに Windows デバイスを参加させることが出来ます（管理者権限は不要です）

良くあるニーズとして、会社が支給した PC のみをテナントに参加させ、私用 PC は参加させたくない・・・というケースがあると思います。具体的に、どのような状態を目指すべきかを、以下に挙げてみました。

目指すべき姿

テナントには会社が支給したデバイスだけが接続されている
一般ユーザーは、会社から支給した PC のみをテナントに参加させることができる
管理者は、任意のデバイスをテナントに参加させることができる（例外対応）
管理者の手間ができるだけ掛からないようにする

本記事では、上記のような事を実現するためには、どのように構成したら良いのかを説明していきたいと思います。

注意事項：Microsoft Entra Join の制限で対応できるのか？
私が過去に投稿した以下の記事をもとに Microsoft Entra の参加と登録の設定 を行うと、テナントへの 参加 (Join) を制限することができます。しかし、この方法では一般ユーザーがすべての PC をテナントに参加させることができなくなります。会社支給の PC であっても、例外なく許可されず、例外の設定もありません。

その結果、すべてのデバイスを管理者の手によって参加 (Join) する運用が必要となってしまいます。

つまり、以下の要件しか満たすことができません
〇：テナントには会社が支給したデバイスだけが接続されている
✖：一般ユーザーは、会社から支給した PC のみをテナントに参加させることができる
〇：管理者は、任意のデバイスをテナントに参加させることができる（例外対応）
✖：管理者の手間ができるだけ掛からないようにする

※条件のマルの部分だけが満たされていれば OK であれば、この方法が簡単です。

そのため、別の方法を考える必要があります。

解決策

以下に紹介する ① ~ ③ をすべて構成することで、目的を達成できます。

① Intune への登録制限を使う

Intune への登録を制限したい場合は、以下の公開情報で説明されている 登録制限 という機能を使う事で実現できます。この制限を行う方法は、次章（"設定手順" の章）で画面キャプチャ付きで説明してありますので、参照ください。

登録制限：個人用 Windows デバイスのブロック
https://learn.microsoft.com/ja-jp/mem/intune/enrollment/enrollment-restrictions-set?wt.mc_id=mvp_407731#blocking-personal-windows-devices

② Intune への自動登録（MDM ユーザースコープ）を構成する

この構成を行う事で、Microsoft Entra Join を行った際に Intune への自動登録が行われます。

上記の記事で MDM ユーザースコープを設定する際に すべて を選択してください。
MDM ユーザースコープは、テナントにデバイスを参加 (Join) する際に、連動して Intune にも登録する対象者（ユーザー）を誰にするのかを定義する設定です。

なお、この構成を行った場合は、ユーザーが参加 (Join) を行う際に、Intune の登録権限があるかどうかも、同時に評価されます。
そのため、「① Intune への登録制限」が構成されたユーザーによるアクションだった場合には、参加 (Join) が失敗します。

注意
MDM ユーザースコープをなし or 一部に設定した場合は、MDM ユーザースコープで指定されなかったユーザーは、Intune には登録されなくなりますが、Microsoft Entra Join は成功してしまいます。

③ Windows Autopilot ユーザー駆動モードを採用する

一般ユーザーによる登録作業をブロックしてしまうと、全デバイスについて、管理者の作業が必要になってしまいます。

それを回避する方法として、Autopilot のユーザー駆動モードを採用する事で解決できます。

Autopilot のユーザー駆動モードを使うと新品の社用デバイスをユーザーへ直接配布したあとで、ユーザー自身の手でテナントへの参加と Intune への登録を実施できるように権限委譲できます。

Autopilot は「① Intune への登録制限」の影響を受けない仕様となっているため、セキュリティと運用負荷をうまくバランスさせられます。

ポイント
上記の記事の Step 3 で説明されていますが、Autopilot を実行するためには事前にハードウェアハッシュを Intune に登録しておく必要があります。そのため、このハードウェアハッシュの有無が会社支給のデバイスであることの証となります。

設定手順

① 登録制限の実施

以下の画面で ＋制限を作成 を押します。

　
基本タブでは、任意の名前を設定して次へを押します。

　
プラットフォームの設定 タブでは 個人所有のデバイス を ブロック に設定して次へを押します。

　
スコープタグ タブでは特に変更せず次へを押します。

　
割り当て タブでは すべてのユーザーを追加 を選択して次へを押します。

　
確認および作成 タブで内容を確認して作成を押します。

ここまでの設定で、すべてのユーザーによる Intune への登録がブロックされます。
管理者であっても、例外なくブロックされます。
次章の作業で、管理者を例外扱いにすることができます。

② 管理者による登録を許可

例外設定をするために、管理者が含まれたユーザーグループを事前に作成しておく必要があります。
本章では、以下のように Admin Group というユーザーグループを割り当てる手順として紹介します。

前章の作業で以下のように Windows の制限 が追加されています。引き続き ＋制限を作成 を押します。

　
基本タブでは、任意の名前を設定して次へを押します。

　
プラットフォームの設定 タブでは 個人所有のデバイス を許可のままにして次へを押します。

　
スコープタグ タブでは特に変更せず次へを押します。

　
割り当て タブでは グループを追加 を選択して事前作成しておいた 管理者グループ (Admin Group) を選択して選択を押します。

　
以下のように一覧に表示されたことを確認して次へを押します。

　
確認および作成 タブで内容を確認して作成を押します。

　
設定が追加されると、以下のように一覧に追加されます。

③ 優先順位を変更する

最後に、優先順位の変更が必要です。
Windows の制限 が優先度が高いため、このままでは 管理者 もブロックされてしまいます。
そのため、以下の手順を実施して優先度を入れ替えます。

赤マルの部分をドラッグして、赤線（2 と既定の間あたり）でマウスを離します。

　
すると、以下のような通知が表示されます。

　
以下の表示順に変更されていれば、OK です。

以上の構成で一般ユーザーがデバイスを手動で Intune へ登録してしまうことを防止しつつ、管理者を除外することができるようになりました。

検証結果

私の方で検証を行ったところ、以下の結果が得られました。

検証結果のサマリ

▼ アクション / ユーザー ▶	一般ユーザー	管理者
手動での Microsoft Entra Join	ブロック	参加 OK
Autopilot での展開	参加 OK	参加 OK

手動での Microsoft Entra Join の検証結果

一般ユーザー
以下のエラー (mdmerrors) でブロックされて Entra Join に失敗します。

管理者ユーザー
Intune の登録制限で 管理者 を除外しているため、Entra Join に成功します。

Autopilot の検証結果

一般ユーザー と 管理者ユーザー ともに、Autopilot での展開に成功しました。

Autopilot を実施したら成功してしまうので、目に見えるエビデンスを示すことが難しいのですが、ちゃんと検証して裏付けは取れています。

Intune の登録制限があっても、問題なく Autopilot を正常終了させることができました。

以上で、目指すべき姿 で定義した目的を達成することができました。
〇：テナントには会社が支給したデバイスだけが接続されている
〇：一般ユーザーは、会社から支給した PC のみをテナントに参加させることができる
〇：管理者は、任意のデバイスをテナントに参加させることができる（例外対応）
〇：管理者の手間ができるだけ掛からないようにする

注意点：Microsoft Entra Hybrid Join の場合

Hybrid Join を採用している組織では、注意が必要です。
そうでない場合は、この章は無視して構いません。

Hybrid Join については、以下の記事で紹介しています。

(課題)
① で Intune への登録制限を行った場合でも Hybrid Join のデバイスには制限が掛かりません。
Hybrid Join のデバイスは、テナントで Intune への自動登録 (MDM) が許可されていると、Intune へ自動登録されてしまいます。

(解決策)
検討してみましたが、スマートな解決策は見当たりませんでした。
アナログな方法での対処が必要そうです。

(アナログ対処案 1)
ドメインの OU で、企業所有デバイスと、個人所有デバイスを分類しておき、企業所有の OU のみを Hybrid Join の対象にするなどの工夫が必要と思います。
ここで、デバイスが企業所有か個人所有かは、人力で分類する必要がありそうです。

(アナログ対処案 2)
既定でオンプレミスのドメインユーザーはドメイン参加が許可されているため、これをドメイン管理者のみがドメイン参加できるように構成して、管理者以外が PC をドメイン参加できないように構成して対策するような方法があるかと思います。

注意
オンプレミスのドメインに参加しているデバイスは、Intune では企業所有のデバイスとして扱われてしまう点は、認識しておく必要があるかと思います。