Microsoft Intune 2025年10月更新: EPM強化と登録改善

はじめに: ユーザーを遅くしないセキュリティ

10 月の Intune リリースは、サイバーセキュリティ啓発月間のテーマ「Security Starts with You」に沿ったものですが、IT 管理者にとっての実際のメッセージは実務的です。安全な構成を「使いづらいもの」にしてしまう日々の摩擦を減らすこと。この月の追加機能は、プロビジョニング中の可視性を高め、ID を意識した特権昇格の選択肢を追加し、バックエンドのネットワーク変更によってサービス信頼性を強化します。

Intune の新機能 (2025 年 10 月)

1) 登録時のグループ化失敗レポート (GA)

プロビジョニング中にデバイスが想定した静的デバイス グループに入らない理由のトラブルシューティングは、特に大規模環境で長年の課題でした。

• 一般提供 (GA): Devices > Monitor > Enrollment time grouping failures
• データ更新の高速化: 約 20 分以内に更新された情報を表示
• 対象:
  • Windows Autopilot device preparation provisioning
  • Android Enterprise fully managed
  • Android corporate-owned work profile (COPE)
  • Android Enterprise dedicated

このレポートにより、登録時にグループ メンバーシップに失敗したデバイスを特定できるため、管理者はより迅速に是正し、後続の構成/アプリ割り当ての欠落を回避できます。

2) Endpoint Privilege Management: 「elevate as current user」

EPM では、昇格したプロセスを以下のどちらとして実行するかを選択できるようになりました。

• ユーザー自身のアカウント ("elevate as current user")、または
• EPM の既定の仮想アカウント (厳格な Zero Trust シナリオで推奨)

重要な理由: 昇格でユーザー プロファイルのコンテキスト (環境変数、プロファイル パス、レジストリ設定、ライセンス、カスタマイズなど) が失われると、一部アプリは動作しなくなることがあります。新しいオプションにより、スコープされたルールと監査証跡を維持しつつ柔軟性が得られます。

3) 新しい EPM Overview ダッシュボード

ローカル管理者から標準ユーザーへ移行する組織に向けて、Intune に EPM Overview Dashboard が追加され、準備状況と運用上の洞察を集約できます。

このダッシュボードは、チームが次の点を把握するのに役立ちます。

• 昇格に関連してユーザーがどこで摩擦を感じているかを特定
• managed と unmanaged の昇格アクティビティ/傾向を比較
• ヘルプデスク負荷を下げるための自動承認ルール候補を特定

4) ネットワーク エンドポイントの更新 (Azure Front Door の IP 変更)

Intune は Azure Front Door によって定義される新しい IP アドレスを採用します。これは、IP または service tags に基づく firewall allowlists でアウトバウンド トラフィックを許可しているお客様に影響します。

5) Autopilot/OOBE でのセキュリティ更新プログラム適用タイミングの変更

OOBE 中に Windows セキュリティ更新プログラムをインストールする Enrollment Status Page の機能は、2026 年 1 月にスケジュールされました。設定は表示される場合がありますが、OOBE 中の更新はまだ有効化されていません。

IT 管理者への影響

• プロビジョニングのトラブルシューティングが高速化し、誤ったグループ化デバイスの是正までの時間を短縮。
• EPM は監査性を維持しながら、ユーザー コンテキストを必要とする実アプリ運用に対応。
• EPM Overview ダッシュボードにより、永続的な管理者権限からの脱却の進捗を定量化。
• ネットワーク エンドポイント変更により、サービス停止を防ぐための firewall/proxy の事前レビューが必要。

対応項目 / 次のステップ

1. 新しいレポートを確認: Devices > Monitor で、Autopilot と Android Enterprise の登録時グループ化を検証。
2. EPM の昇格モードを評価: ユーザー コンテキストが必要なアプリに限って “elevate as current user” をパイロットし、可能な限り仮想アカウントでの昇格を既定に維持。
3. EPM Overview ダッシュボードを使用し、ポリシー調整や自動承認ルールの候補となるユーザー/デバイスを特定。
4. 最新の Intune ネットワーク エンドポイント ドキュメントに基づき、firewall/proxy allowlists を更新 (特に IPs/service tags を固定している場合)。
5. ESP 中の Windows セキュリティ更新プログラムのインストールに依存する Autopilot/OOBE 戦略がある場合は、2026 年 1 月を前提に計画。