グループポリシーを使用した Windows 10 デバイスの自動登録

[アーティクル]
03/18/2023

適用対象:

Windows 11
Windows 10

Windows 10 Version 1709 以降、グループポリシーを使用して、Active Directory (AD) ドメインに結合しているデバイス用にモバイルデバイス管理 (MDM) の自動登録をトリガーすることができます。

Intune への登録は、ローカルの AD に作成されたグループポリシーによってトリガーされ、ユーザーの操作なしで行われます。この原因と影響のメカニズムは、多数のドメインに参加している大規模な量の企業デバイスを Microsoft Intune に自動的に一括登録することができることを意味します。 Azure AD アカウントを使用してデバイスにサインインすると、バックグラウンドで登録プロセスが開始されます。

要件:

バージョン 1709 以降の Windows 10 Active Directory に参加している PC
エンタープライズは、モバイルデバイス管理 (MDM) サービスを構成しています
オンプレミスの Active Directory を Azure ADと統合する必要があります (Azure AD Connect)
デバイスは、クラシックエージェントを使用している Intune には登録されていないことが必要です (エージェントを使用して管理されたデバイスでは、error 0x80180026 の登録に失敗します)
Windows Server バージョンの最小要件は、ハイブリッド Azure AD join の要件に基づいています。詳細については、「ハイブリッド Azure Active Directory 結合の実装を計画する方法」を参照してください。

ヒント

詳しくは、次のトピックをご覧ください。

自動登録は、MDM サービスと PC 用の Azure Active Directory 登録の有無に依存します。 Windows 10 バージョン 1607 以降、エンタープライズが Azure AD に AD を登録すると、ドメインに参加している Windows PC は、自動的に Azure AD –登録されます。

注

Windows 10 Version 1709 では、登録プロトコルが更新され、デバイスがドメインに結合しているかどうかを確認します。詳細については、「 [MS-MDE2]: モバイルデバイス登録プロトコルバージョン 2」を参照してください。例については、「MS-MDE2 プロトコルドキュメントの 4.3.1 RequestSecurityToken」を参照してください。

自動登録グループポリシーが有効になっていると、MDM 登録を開始するタスクがバックグラウンドで作成されます。このタスクは、ユーザーの Azure Active Directory 情報の既存の MDM サービス構成を使用します。多要素認証が必要な場合は、認証を完了するように求めるメッセージが表示されます。登録が構成されると、ユーザーは設定ページで状態を確認できます。

Windows 10 Version 1709 以降、同じポリシーがグループポリシーおよび MDM に構成されている場合、グループポリシーは MDM より優先されます。 Windows 10 Version 1803 以降では、新しい設定を使用すると MDM に優先するように変更できます。詳細については、「Windows 10 グループポリシーと Intune MDM ポリシーのどちらを優先するか」を参照してください。

このポリシーが機能するためには、MDM サービスプロバイダがドメインに参加しているデバイス用に開始された MDM 登録をグループポリシーに許可していることを確認する必要があります。

自動登録の要件と設定を確認する

自動登録機能が期待どおりに動作していることを確認するには、さまざまな要件と設定が正しく構成されていることを確認する必要があります。次の手順では、Intune サービスを使用して必要な設定を示します。

デバイスを登録するユーザーが有効な Intune ライセンスを持っている必要があります。
Intune を使用してデバイスをモバイルデバイス管理 (MDM) に登録するユーザーに対して自動登録がアクティブ化されているのを確認します。詳細については、「Azure AD と Microsoft Intune: 新しいポータルでの自動 MDM 登録」を参照してください。

重要

BYOD (Bring Your Own Device) の場合は、すべてのユーザー (またはユーザーの同じグループ) に対してモバイルデバイス管理 (MAM) と MDM 両方のユーザースコープが有効になっている場合、MAM ユーザースコープが優先されます。デバイスは、MDM に登録するのではなく、Windows 情報保護 (WIP) ポリシーを使用します (構成した場合)。

企業所有のデバイスの場合、両方のスコープが有効になっている場合は、MDM ユーザースコープが優先されます。デバイスには MDM が登録されます。
デバイスの OS バージョンが Windows 10 Version 1709 以降であることを確認します。
グループポリシーを通した Intune への自動登録は、ハイブリッド Azure AD に結合しているデバイスにのみ有効です。この状態は、デバイスはローカルの Active Directory と Azure Active Directory の両方に結合する必要があることを意味します。デバイスがハイブリッド Azure AD に結合していることを確認するには、コマンドラインから dsregcmd /status を実行します。

AzureAdJoined と DomainJoined が YES に設定されている場合、デバイスは適切にハイブリッド結合されていることを確認できます。

さらに、[SSO 状態のセクション] に AzureAdPrt が [YES] として表示されていることを確認します。

この情報は、Azure AD デバイスのリストにもあります。
自動登録時の MDM 探索 URL が https://enrollment.manage.microsoft.com/enrollmentserver/discovery.svc であることを確認する
テナントによっては、モビリティの下に Microsoft Intune と Microsoft Intune 登録の両方がある場合があります。自動登録の設定が、Microsoft Intune 登録ではなく、Microsoft Intune で構成されていることを確認します。
既定の Azure AD 資格情報グループポリシーを使用して自動 MDM 登録を有効にする (ローカルグループポリシーエディター > コンピューター構成>ポリシー > 管理用テンプレート > Windows コンポーネント > MDM) が、Intuneに登録する必要があるすべてのデバイスに適切に展開されていることを確認します。

グループポリシーが正常に展開されているかどうかを確認するには、ドメインの管理者に問い合わせてください。

デバイスが Intune Silverlight ポータルで使用されている以前の Intune クライアントに登録されていないことを確認します (Azure ポータルより前に使用されていた Intune ポータルです)。
Microsoft Intune が Windows デバイスの登録を許可していることを確認します。

1 台の PC の自動登録グループポリシーを構成する

この手順は、新しい自動登録ポリシーのしくみを説明する目的にのみ使用します。この手順は、エンタープライズでの運用環境には推奨されません。一括展開の場合、グループポリシー管理コンソールのプロセスを使用する必要があります。

要件:

Windows 10 Version 1709 以降を実行している場合
エンタープライズは MDM サービスが既に構成されています
エンタープライズ AD は、Azure AD に登録されている必要があります

GPEdit.msc を実行します。 [スタート] を選択し、テキストボックスの種類で gpedit。
[最適一致] で、[グループポリシーの編集] を選択して起動します。
ローカルコンピュータポリシーで、[管理用テンプレート]>[Windows コンポーネント]>[MDM] を選択します。
[既定の Azure AD 資格情報を使用して MDM の自動登録を有効にする] (以前の Windows 10 Version 1709 ではAAD トークンを使用した MDM の自動登録と呼ばれていました) をダブルクリックします。 Windows 10 バージョン 1903 以降の ADMX ファイルの場合は、使用する資格情報の種類として [ユーザー資格情報] を選択します。
[有効化] を選択し、ドロップダウンから[ユーザーの資格情報]、[使用する視覚情報の種類を選択する] を選択して、[OK] を選択します。

注

Windows 10 Version 1903 では、MDM.admx ファイルが更新され、デバイスの登録に使用する資格情報を選択するオプションが追加されました。 デバイスの資格情報は、Windows 10 Version 1903 以降がインストールされているクライアントにのみ有効な新機能です。以前のリリースの既定の動作では、ユーザーの資格情報に戻されます。 デバイス資格情報は、Intune サブスクリプションがユーザー中心であるため、共同管理または Azure Virtual Desktop マルチセッションホストプールを使用するシナリオでのMicrosoft Intune登録でのみサポートされます。ユーザー資格情報は、 Azure Virtual Desktop 個人用ホストプールでサポートされています。

クライアントでグループポリシーの更新が発生すると、タスクが作成され、1 日の期間で 5 分ごとに実行されるようにスケジュールされます。タスク名は、"Azure Active Directory から MDM に自動登録するために登録クライアントが作成したスケジュール" と呼ばれます。

スケジュールされたタスクを表示するには、タスクスケジューラアプリを起動します。

2 要素認証が必要な場合は、プロセスを完了するように求めるメッセージが表示されます。スクリーンショットの例を次に示します。

ヒント

Azure AD の条件付きアクセスポリシーを使用して、この動作を回避することができます。詳細については、「条件付きアクセスとは」を参照してください。
MDM に正常に登録されたことを確認するには、[スタート]>[設定]>[アカウント]>[職場または学校にアクセス] をクリックし、自分のドメインアカウントを選択します。
[情報] を選択すると、MDM の登録情報が表示されます。

[情報] ボタンまたは登録情報が表示されない場合は、登録が失敗した可能性があります。タスクスケジューラアプリの状態を確認します。

タスクスケジューラアプリ

[スタート] を選択し、テキストボックスの種類 task scheduler を選択します。
[最適一致] で [タスクスケジューラ] を選択して起動します。
タスクスケジューラライブラリで、Microsoft > Windows を開き、[EnterpriseMgmt] を選択します。

タスクの結果を表示するには、スクロールバーを右に移動して、[最終実行結果] を表示します。メッセージ 0x80180026 はエラーメッセージ (MENROLL_E_DEVICE_MANAGEMENT_BLOCKED) です。 [履歴] タブにログが表示されます。

デバイスの登録がブロックされる場合、IT 管理者がMDM の登録を無効にするポリシーを有効にしている可能性があります。

注

GPEdit コンソールには、デバイスの IT 管理者が設定したポリシーの状態が反映されません。ポリシーを設定するのは、ユーザーのみです。

複数のデバイスの自動登録を構成する

要件:

Windows 10 Version 1709 以降を実行している場合
エンタープライズでは MDM サービスが既に構成されています (Intune またはサードパーティのサービスプロバイダーを使用)
エンタープライズ AD は、Azure AD に統合されている必要があります。
PC が同じコンピューターグループに属していることを確認します。

重要

ポリシーが表示されない場合は、Windows 10 Version 1803、Version 1809、または Version 1903 用の ADMX がインストールされていない可能性があります。この問題を修正するには、次の手順を使用します。最新の MDM.admx は後方互換性があることに注意してください。

ダウンロード:
ドメインコントローラーにパッケージをインストールします。
フォルダーのバージョンに応じて、次の操作を行います。
- 1803 -->C:\Program Files (x86)\Microsoft グループポリシー\Windows 10 April 2018 Update (1803) v2
- 1809 -->C:\Program Files (x86)\Microsoft グループポリシー\Windows 10 October 2018 Update (1809) v2
- 1903 -->C:\Program Files (x86)\Microsoft グループポリシー\Windows 10 May 2019 Update (1903) v3
- 1909 -->C:\Program Files (x86)\Microsoft グループポリシー\Windows 10 November 2019 Update (1909)
- 2004 -->C:\Program Files (x86)\Microsoft グループポリシー\Windows 10 May 2020 Update (2004)
- 20H2 -->C:\Program Files (x86)\Microsoft グループポリシー\Windows 10 October 2020 Update (20H2)
- 21H1 -->C:\Program Files (x86)\Microsoft グループポリシー\Windows 10 May 2021 Update (21H1)
- 21H2 -->C:\Program Files (x86)\Microsoft グループポリシー\Windows 10 2021 Update V2 (21H2)
- 22H2 -->C:\Program Files (x86)\Microsoft グループポリシー\Windows 10 October 2022 Update (22H2)
- 22H2 -->C:\Program Files (x86)\Microsoft グループポリシー\Windows 11 September 2022 Update (22H2)
抽出したポリシー定義フォルダーの名前を PolicyDefinitions に変更します。
PolicyDefinitions フォルダーを \\contoso.com\SYSVOL\contoso.com\policies\PolicyDefinitions にコピーします。

このフォルダーが存在しない場合は、ドメイン全体に対して、中央ポリシーストアに切り替えることができます。
ポリシーが使用可能になるまで、SYSVOL DFSR レプリケーションが完了するのを待ちます。

この手順は、将来のどのバージョンでも同様に動作します。

グループポリシーオブジェクト (GPO) を作成し、グループポリシーコンピューターの構成>ポリシー>管理用テンプレート>Windows コンポーネント> MDM >を有効にして、既定の Azure AD 資格情報を使用して MDM の自動登録を有効にします。
PC のセキュリティグループを作成します。
GPO をリンクします。
セキュリティグループを使用してフィルター処理を行います。

デバイスの自動登録のトラブルシューティング

必須の確認手順をすべて実行しても問題が解決しない場合は、ログファイルを調査します。調査する最初のログファイルは、対象の Windows 10 デバイスのイベントログです。

イベントビューアーログを収集するには、次の操作を行います。

イベントビューアーを開きます。
アプリケーションとサービスのログ>Microsoft>Windows>DeviceManagement-Enterprise-Diagnostic-Provider>Admin に移動します。

ヒント

Intune のイベントログの収集方法の詳細については、「MDM イベントビューアーログを収集する」を参照してください。
自動登録を正常に完了したことを意味するイベント ID 75 を検索します。自動登録が正常に完了した場合のスクリーンショットの例を次に示します。

ログにイベント ID 75 が見つからない場合は、自動登録が失敗していることを示しています。このエラーは、次の理由で発生することがあります。
- エラーが発生して登録に失敗しました。この場合は、自動登録の失敗を示しているイベント ID 76 を検索します。自動登録に失敗したスクリーンショットの例を次に示します。
  
  トラブルシューティングを行うには、イベントに表示されているエラーコードを確認します。詳細については、「Microsoft Intune で Windows デバイス登録の問題に関するトラブルシューティング」を参照してください。
- 自動登録がまったくトリガーされませんでした。この場合、イベント ID 75、イベント ID 76 のいずれも見つかりません。その理由を知るためには、以下のセクションで説明するように、デバイス上で発生している内部メカニズムを理解する必要があります。
  
  自動登録プロセスは、タスクスケジューラー内のタスク (Microsoft>Windows>EnterpriseMgmt) によってトリガーされます。このタスクは、既定の Azure AD 資格情報を使用して MDM の自動登録を有効にするグループポリシー ([コンピューターの構成]>[ポリシー]>[管理用テンプレート]>[Windows コンポーネント]>[MDM] の順に移動) が、次に示すスクリーンショットのように、対象のコンピューターに正常に展開された場合に表示されます。
注

このタスクは標準ユーザーには表示されません。管理者の資格情報を使用して、スケジュールされたタスクを実行し、タスクを見つけます。

このタスクは、1 日の間、5 分ごとに実行されます。タスクが成功したかどうかを確認するには、タスクスケジューラのイベントログ ( アプリケーションとサービスログ > Microsoft > Windows > タスクスケジューラ > 操作) を確認します。 Azure Active Directory から MDM に自動登録するために登録クライアントによって作成されたタスクスケジューラがイベント ID 107 によってトリガーされているエントリを検索します。

タスクが完了すると、新しいイベント ID 102 がログに記録されます。

タスクスケジューラのログには、自動登録の成否に関わらず、イベント ID 102 (タスク完了) が表示されます。この状態の表示は、タスクスケジューラログが自動登録タスクがトリガーされたかどうかを確認する場合にのみ役立つことを意味します。自動登録の成否を示しているわけではありません。

Azure AD から MDM に自動登録するために登録クライアントによって作成されたタスクスケジュールが表示されない場合は、グループポリシーに問題がある可能性があります。コマンドプロンプトで gpupdate /force コマンドをすぐに実行して、グループポリシーオブジェクトを適用します。この手順に従っても問題が解決しない場合は、Active Directory についてのトラブルシューティングを続ける必要があります。よく見られるエラーの 1 つは、ターゲットクライアントデバイス (HKLM > Software > Microsoft > Enrollments) 上のレジストリの古い登録エントリに関連しています。デバイスが登録されている場合 (Intune だけでなく、MDM ソリューションの場合も含みます)、レジストリに追加された登録情報が表示されます。

既定では、これらのエントリはデバイスの登録を解除したときに削除されますが、登録解除後もレジストリキーが残っている場合があります。この場合、gpupdate /force は自動登録タスクを開始しません。エラーコード 2149056522 がアプリケーションとサービスのログ>Microsoft>Windows>タスクスケジューラ>操作イベントログファイルは、イベント ID 7016 に表示されます。

この問題を解決するには、手動でレジストリキーを削除します。削除するレジストリキーがわからない場合は、上のスクリーンショットのように、ほとんどのエントリが表示されるキーを使用してください。その他のすべてのキーには、次のスクリーンショットに示すように、表示されるエントリが少なくなります: