移行ガイド: Microsoft Intune の設定または移動

Microsoft Intune への移行を計画した後、次のステップでは、organization に適した移行方法を選択します。 これらの決定は、現在のモバイル デバイス管理 (MDM) 環境、ビジネス目標、技術要件によって異なります。

この移行ガイドでは、Intune を採用または移行するための次のようなオプションを一覧表示し、説明します。

  • モバイル デバイス管理ソリューションを使用していない場合
  • サード パーティのパートナーの MDM ソリューションを使用している
  • Configuration Manager を使用します
  • オンプレミスのグループ ポリシーを使用している
  • Microsoft 365 Basic Mobility and Security を使用している

このガイドを使用して、最適な移行アプローチを決定し、いくつかのガイダンス & 推奨事項を入手してください。

ヒント

この記事の付属として、Microsoft 365 管理センターにもセットアップ ガイダンスがいくつかあります。 このガイドでは、環境に基づいてエクスペリエンスをカスタマイズします。 この展開ガイドにアクセスするには、Microsoft 365 管理センターの Microsoft Intune セットアップ ガイドに移動し、(少なくとも) グローバル閲覧者でサインインします。 これらの展開ガイドと必要な役割の詳細については、「Microsoft 365 および Office 365 製品の高度な展開ガイド」を参照してください。

開始する前に

  • Microsoft Intune は、ID、デバイス、アプリの管理に役立つクラウド ネイティブ ソリューションです。 クラウド ネイティブになることが目標の場合は、次の記事で詳細を確認できます。

  • Intune の展開は、以前の MDM の展開とは異なる場合があります。 Intune には、ID 主導のアクセス制御が使用されています。 ご自分のネットワークの外部にあるデバイスから組織のデータにアクセスするためにネットワーク プロキシは必要ありません。

現在は何も使用していない

現在、MDM またはモバイル アプリケーション管理 (MAM) プロバイダーを使用していない場合は、いくつかのオプションがあります。

サード パーティの MDM プロバイダーを現在使用している

デバイスには MDM プロバイダーを 1 つのみ含める必要があります。 Workspace ONE (以前は AirWatch と呼ばれていました)、MobileIron、MaaS360 などの別の MDM プロバイダーを使用している場合は、Intune に移行できます。

ユーザーは、Intune に登録する前に、現在の MDM プロバイダーからデバイスの登録を解除する必要があります。

  1. MDM 機関を Intune に設定することを含め、Intune を設定します。

    詳細については、次を参照してください:

  2. アプリを展開し、アプリ保護ポリシーを作成します。 この目的は、移行中およびデバイスが Intune によって登録 & 管理されるまで、アプリ内のorganization データを保護することです。

    詳細については、「ステップ 2 - Intune を使用してアプリを追加、構成、保護する」を参照してください。

  3. 現在の MDM プロバイダーからデバイスの登録を解除します。

    デバイスの登録を解除すると、デバイスはポリシーを受け取らなくなります。これには、保護を提供するポリシーも含まれます。 デバイスは、Intune に登録し、新しいポリシーの受信を開始するまで脆弱です。

    ユーザーに特定の登録解除手順を提供します。 デバイスの登録解除の方法については、既存の MDM プロバイダーからのガイダンスを提供します。 明確で役立つコミュニケーションにより、エンド ユーザーのダウンタイム、不満、ヘルプデスクへの問い合わせが最小限に抑えられます。

  4. 省略可能ですが、推奨されます。 Microsoft Entra ID P1 または P2 を使用している場合は、条件付きアクセスを使用して、Intune に登録するまでデバイスをブロックします。

    詳細については、「 手順 3 - コンプライアンス ポリシーを計画する」を参照してください。

  5. 省略可能ですが、推奨されます。 すべてのユーザーとデバイスに必要なコンプライアンスとデバイス設定のベースラインを作成します。 これらのポリシーは、ユーザーが Intune に登録するときに展開できます。

    詳細については、次を参照してください:

  6. Intune に登録します。 ユーザーに特定の登録手順を必ず示してください。

    詳細については、次を参照してください:

重要

Exchange や SharePoint などのリソースにアクセス制御を適用するように、Intune と既存のサード パーティの MDM ソリューションを同時に構成しないでください。

推奨事項:

  • パートナーの MDM/MAM プロバイダーから移行する場合は、実行しているタスクと使用している機能に注意してください。 この情報は、Intune で実行するタスクの概要を示します。

  • 段階的なアプローチを使用します。 パイロット ユーザーで構成された小規模なグループで開始して、全面的な展開に達するまでグループを追加していきます。

  • 各フェーズで、ヘルプ デスクの負荷と登録の完了を監視します。 スケジュールに余裕を持たせ、各グループの成功基準を評価してから次のグループで移行を開始するようにします。

    パイロット展開では次のタスクを検証する必要があります。

    • 登録の成功率と失敗率が想定内であること。

    • ユーザーの生産性:

      • VPN、Wi-Fi、電子メール、証明書などの会社のリソースが機能している。
      • 展開済みのアプリにアクセスできる。

    • データ セキュリティ:

      • コンプライアンス レポートを確認し、一般的な問題と傾向を確認します。 問題、解決策、および傾向をヘルプ デスクに伝達します。
      • モバイル アプリ保護が適用される。

  • 移行の最初のフェーズに満足したら、次のフェーズの移行サイクルを繰り返します。

    • すべてのユーザーが Intune に移行するまで、段階的なサイクルを繰り返します。
    • 移行中に、ヘルプ デスクがエンド ユーザーに対応できているか確認します。 サポート コールのワークロードを見積もることができるまでは、自主的な移行を実施します。
    • ヘルプデスクが残りのすべてのユーザーを処理できるようになるまで、登録の期限を設定しないでください。

役立つ情報:

Configuration Manager を現在使用している

Configuration Manager は、Windows Server、および Windows & macOS クライアント デバイスをサポートしています。 organization が他のプラットフォームを使用している場合は、デバイスをリセットしてから Intune に登録する必要がある場合があります。 登録されると、作成したポリシーとプロファイルを受け取ります。 詳細については、Intune の登録に関する展開ガイドを参照してください。

Configuration Manager を現在使用していて、Intune を使用したい場合は、次のオプションがあります。

オプション 1 - テナントのアタッチを追加する

テナントのアタッチを使用すると、Configuration Manager デバイスを Intune の organization (テナントとも呼ばれます) にアップロードできます。 デバイスを接続したら、Microsoft Intune 管理センターを使用して、コンピューターやユーザー ポリシーの同期などのリモート操作を実行します。 オンプレミスのサーバーを確認し、OS 情報を取得することもできます。

テナント接続は、Configuration Manager の共同管理ライセンスに追加費用なしで含まれます。 これは、クラウド (Intune) をオンプレミスの Configuration Manager セットアップと統合する最も簡単な方法です。

詳細については、テナントのアタッチの有効化に関するページを参照してください。

オプション 2 - 共同管理を設定する

このオプションでは、一部のワークロードには Configuration Manager を使用し、他のワークロードには Intune を使用します。

  1. Configuration Manager で、共同管理を設定します。
  2. Intune で、[MDM 機関] を [Intune] に設定するなど、Intuneを設定します。

デバイスを Intune に登録し、ポリシーを受け取る準備ができました。

役立つ情報:

オプション 3 - Configuration Manager から Intune に移行する

Configuration Manager の既存のお客様は、ほとんどの場合 Configuration Manager を引き続き使用したいと考えています。 これには、オンプレミス デバイスにとって有益なサービスが含まれます。

これらの手順は概要であり、100% のクラウド ソリューションを必要とするユーザーのためにのみ記載されています。 このオプションでは、次のことを行います。

  • 既存のオンプレミスの Active Directory Windows クライアント デバイスを Microsoft Entra ID のデバイスとして登録します。
  • 既存のオンプレミスの Configuration Manager ワークロードを Intune に移動します。

このオプションは、管理者にとってはより手間がかかりますが、既存の Windows クライアント デバイスに対してよりシームレスなエクスペリエンスを作成できます。 新しい Windows クライアント デバイスの場合は、Microsoft 365 と Intune (この記事内) を使用して最初から始めることをお勧めします。

  1. Microsoft Entra で、デバイスのハイブリッド Active Directory と Microsoft Entra ID を設定します。 Microsoft Entra ハイブリッド参加済みデバイスは、オンプレミスの Active Directory に参加し、Microsoft Entra ID で登録されます。 デバイスが Microsoft Entra ID にある場合は、Intune でも使用できます。

    ハイブリッド Microsoft Entra ID では、Windows デバイスがサポートされます。 サインイン要件など、その他の前提条件については、「Microsoft Entra ハイブリッド結合の実装を計画する」を参照してください。

  2. Configuration Manager で、共同管理を設定します。

  3. Intune で、[MDM 機関] を [Intune] に設定するなど、Intuneを設定します。

  4. Configuration Manager で、Configuration Manager のすべてのワークロードを Intune に移動します。

  5. デバイスで、Configuration Manager クライアントをアンインストールします。 詳細については、「クライアントをアンインストールする」を参照してください。

    Intune がセットアップされたら、Configuration Manager クライアントをアンインストールする Intune アプリ構成ポリシーを作成できます。 たとえば、「Intune を使って構成マネージャー クライアントをインストールする」の手順を逆にすることができます。

デバイスを Intune に登録し、ポリシーを受け取る準備ができました。

重要

ハイブリッド Microsoft Entra ID では、Windows デバイスのみがサポートされます。 Configuration Manager では、Windows デバイスと macOS デバイスがサポートされます。 Configuration Manager で管理されている macOS デバイスの場合、次のことができます。

  1. Configuration Manager クライアントをアンインストールする。 アンインストールすると、デバイスはポリシーを受け取らなくなります。これには、保護を提供するポリシーも含まれます。 Intune に登録し、新しいポリシーの受信を開始するまで、脆弱です。
  2. ポリシーを受け取るには、デバイスを Intune に登録します。

脆弱性を最小限に抑えるために、Intune を設定した後、登録ポリシーを展開する準備ができたら macOS デバイスを移動します。

オプション 4 - Microsoft 365 と Intune を最初から始める

このオプションは、Windows クライアントデバイスに適用されます。 Windows Server 2022 などの Windows Server を使用している場合は、このオプションを使用しないでください。 Configuration Manager を使用してください。

Windows クライアント デバイスを管理するには:

  1. Microsoft 365 を展開します。ユーザーとグループを作成する作業も含まれます。 Microsoft 365 Basic Mobility and Security を使用または構成しないでください。

    便利なリンク:

  2. MDM 機関を Intune に設定することを含め、Intune を設定します。

  3. 既存のデバイスから Configuration Manager クライアントをアンインストールします。 詳細については、「クライアントをアンインストールする」を参照してください。

デバイスを Intune に登録し、ポリシーを受け取る準備ができました。

オンプレミスのグループ ポリシーを現在使用している

クラウドでは、Intune などの MDM プロバイダーがデバイスの設定と機能を管理します。 グループ ポリシー オブジェクト (GPO) は使用されません。

デバイスを管理する場合、Intune デバイス構成プロファイルはオンプレミスの GPO を置き換えます。 デバイス構成プロファイルは、Apple、Google、および Microsoft によって公開されている設定を使用します。

特に次のような場合です。

グループ ポリシーからデバイスを移動する場合は、グループ ポリシー分析を使用します。 グループ ポリシー分析は、GPO を分析する Intune のツールおよび機能です。 Intune で GPO をインポートし、Intune で使用可能な (および使用できない) ポリシーを確認します。 Intune で使用できるポリシーについては、インポートした設定を使用して設定カタログ ポリシーを作成できます。 この機能の詳細については、「Microsoft Intune でインポートした GPO を使用して設定カタログ ポリシーを作成する」を参照してください。

次に、手順 1: Microsoft Intune を設定します。

現在、Microsoft 365 Basic Mobility and Security を使用しています

Microsoft 365 Basic Mobility and Security ポリシーを作成して展開した場合は、「Microsoft 365 Basic Mobility and Security から Intune への移動」を参照してください。

テナントからテナントへの移行

テナントとは、Contoso のような Microsoft Entra ID 内の自分の organization です。 これには、Contoso が Microsoft Intune や Microsoft 365 などの Microsoft クラウド サービスを取得するときに受け取る専用の Microsoft Entra サービス インスタンスが含まれています。 Microsoft Entra ID は、Intune と Microsoft 365 によって使用され、ユーザーとデバイスを識別したり、作成したポリシーへのアクセスを制御したりします。

Intune では、Microsoft Graph と Windows PowerShell を使用して、一部のポリシーをエクスポートおよびインポートすることができます。

たとえば、Microsoft Intune 試用版サブスクリプションを作成するとします。 このサブスクリプションの試用版テナントには、アプリと機能の構成や、コンプライアンスの確認などを行うポリシーがあります。 これらのポリシーを別のテナントに移動することができます。

このセクションでは、テナントからテナントへの移行に Microsoft Graph スクリプトを使用する方法について説明します。 また、エクスポートできるポリシーの種類とエクスポートできないポリシーの種類も一覧表示します。

重要

  • これらの手順では、GitHub 上の Intune ベータ Graph サンプルを使用します。 サンプル スクリプトでは、テナントに変更が加えられます。 これらはそのまま使用できます。また、非運用または "テスト" テナント アカウントを使用して検証する必要があります。 スクリプトが組織のセキュリティ ガイドラインを満たしていることを確認してください。
  • スクリプトでは、証明書プロファイルなど、すべてのポリシーがエクスポートおよびインポートされるわけではありません。 これらのスクリプトで利用できるタスクよりも多くのタスクを実行する必要があります。 いくつかのポリシーを再作成する必要があります。
  • ユーザーは、古いテナントからデバイスの登録を解除し、新しいテナントに再登録する必要があります。

サンプルをダウンロードし、スクリプトを実行する

このセクションには、各手順の概要が記載されています。 これらの手順をガイダンスとして使用し、特定の手順が異なる可能性があることに注意してください。

重要

AzureAD PowerShell のサポートは 2025 年 3 月に終了し、Microsoft Graph PowerShell に置き換えられます。 詳細については、「 アクションが必要: MSOnline および AzureAD PowerShell の廃止 - 2025 年の情報とリソース」を参照してください。

  1. サンプルをダウンロードし、Windows PowerShell を使用してポリシーをエクスポートします。

    1. microsoftgraph/powershell-intune-samples に移動し、[Code]\(コード\)>[Download ZIP]\(ZIP のダウンロード\) を選択します。 .zip ファイルの内容を抽出します。

    2. 管理者として Windows PowerShell アプリを開き、使用するフォルダーにディレクトリを変更します。 たとえば、次のコマンドを入力します。

      cd C:\psscripts\powershell-intune-samples-master

    3. Microsoft.Graph モジュールをダウンロードしてインストールします。

      プロンプトが表示されたら、 Y を選択して、信頼されていないリポジトリからモジュールをインストールします。 このインストールには数分かかることがあります。

    4. 実行するスクリプトがあるフォルダーにディレクトリを変更します。 たとえば、ディレクトリを CompliancePolicy フォルダーに変更します。

      cd C:\psscripts\powershell-intune-samples-master\powershell-intune-samples-master\CompliancePolicy

    5. エクスポート スクリプトを実行します。 たとえば、次のコマンドを入力します。

      .\CompliancePolicy_Export.ps1

      自分のアカウントでサインインします。 メッセージが表示されたら、ポリシーを配置するパスを入力します。 たとえば、次のように入力します。

      C:\psscripts\ExportedIntunePolicies\CompliancePolicies

    フォルダーに、ポリシーがエクスポートされます。

  2. 新しいテナントにポリシーをインポートします。

    1. 実行するスクリプトがある PowerShell フォルダーにディレクトリを変更します。 たとえば、ディレクトリを CompliancePolicy フォルダーに変更します。

      cd C:\psscripts\powershell-intune-samples-master\powershell-intune-samples-master\CompliancePolicy

    2. インポート スクリプトを実行します。 たとえば、次のコマンドを入力します。

      .\CompliancePolicy_Import_FromJSON.ps1

      自分のアカウントでサインインします。 メッセージが表示されたら、インポートするポリシーの .json ファイルへのパスを入力します。 たとえば、次のように入力します。

      C:\psscripts\ExportedIntunePolicies\CompliancePolicies\PolicyName.json

  3. Microsoft Intune 管理センターにサインインします。 インポートしたポリシーが表示されます。

実行できない操作

エクスポートできないポリシーの種類がいくつかあります。 一部のポリシーの種類は、エクスポートできても別のテナントにインポートできません。 次の一覧をガイドとして使用してください。 記載されていないポリシーの種類が他にもあることに注意してください。

ポリシーまたはプロファイルの種類 情報
アプリケーション  
Android の基幹業務アプリ エクスポート
インポート

LOB アプリを新しいテナントに追加するには、元の .apk アプリケーション ソース ファイルも必要です。
Apple – Volume Purchase Program (VPP) エクスポート
インポート

これらのアプリは、Apple VPP と同期されます。 新しいテナントで、お使いの VPP トークンを追加します。これによって使用可能なアプリが表示されます。
iOS および iPadOS 基幹業務アプリ エクスポート
インポート

LOB アプリを新しいテナントに追加するには、元の .ipa アプリケーション ソース ファイルも必要です。
マネージド Google Play エクスポート
インポート

これらのアプリと Web リンクは、マネージド Google Play と同期されます。 新しいテナントで、お使いのマネージド Google Play アカウントを追加します。これによって使用可能なアプリが表示されます。
ビジネス向け Microsoft Store エクスポート
インポート

これらのアプリは、ビジネス向け Microsoft Store と同期されます。 新しいテナントで、お使いのビジネス向け Microsoft Store アカウントを追加します。これによって使用可能なアプリが表示されます。
Windows アプリ (Win32) エクスポート
インポート

LOB アプリを新しいテナントに追加するには、元の .intunewin アプリケーション ソース ファイルも必要です。
コンプライアンス ポリシー  
コンプライアンス非対応に対するアクション エクスポート
インポート

電子メール テンプレートへのリンクが存在する可能性があります。 コンプライアンス非対応アクションを含むポリシーをインポートすると、既定のコンプライアンス非対応に対するアクションが代わりに追加されます。
課題 エクスポート
インポート

割り当てはグループ ID を対象としています。 新しいテナントでは、グループ ID は異なります。
構成プロファイル  
メール エクスポート

メール プロファイルで証明書を使用していない場合、インポートは機能するはずです。
電子メール プロファイルでルート証明書を使用している場合、そのプロファイルを新しいテナントにインポートすることはできません。 新しいテナントでは、ルート証明書 ID は異なります。
SCEP 証明書 エクスポート

インポート

SCEP 証明書プロファイルでは、ルート証明書が使用されます。 新しいテナントでは、ルート証明書 ID は異なります。
VPN エクスポート

VPN プロファイルで証明書を使用しない場合は、インポートが機能するはずです。
VPN プロファイルでルート証明書を使用している場合、そのプロファイルを新しいテナントにインポートすることはできません。 新しいテナントでは、ルート証明書 ID は異なります。
Wi-Fi エクスポート

Wi-Fi プロファイルで証明書を使用しない場合は、インポートが機能するはずです。
Wi-Fi プロファイルでルート証明書を使用している場合、そのプロファイルを新しいテナントにインポートすることはできません。 新しいテナントでは、ルート証明書 ID は異なります。
課題 エクスポート
インポート

割り当てはグループ ID を対象としています。 新しいテナントでは、グループ ID は異なります。
エンドポイントのセキュリティ  
エンドポイントの検出および応答 エクスポート
インポート

このポリシーは Microsoft Defender for Endpoint にリンクされます。 新しいテナントで、Microsoft Defender for Endpoint を構成すると、エンドポイントの検出と応答ポリシーが自動的に含まれます。
  • Last updated on