Intune とは｜Business Premium で会社のパソコン・スマホを管理できる範囲と、Standard との違い
Microsoft Intune は、会社のパソコン・スマホとアプリをクラウドから管理するサービスです。Business Premium に入っている Intune プラン 1 でできる登録・構成・コンプライアンス・アプリ保護を、会社の端末と私物のスマホに分けて整理し、Business Standard では何ができないかと、最初に手を付ける順番を書きます。
目次 クリックで開く
この記事の要点
- Intune は、会社のパソコン・スマホとその中のアプリを、クラウドから管理する Microsoft のサービスです。Business Premium には Intune プラン 1 が入っていて、端末の登録、設定の配布（構成プロファイル）、条件を満たす端末かの見分け（コンプライアンス ポリシー）、アプリの中の会社のデータの保護（アプリ保護ポリシー）が使えます。
- 最初に決めるのは機能ではなく「誰の端末か」です。会社の端末は登録して丸ごと管理し、社員の私物のスマホは登録させずにアプリ保護で Outlook などの中だけを守る。私物を登録すると、会社は端末を工場出荷時の状態に戻す操作（ワイプ）まで送れるようになります。
- Business Standard にも「基本的なモビリティとセキュリティ」という簡単な端末管理はあります。無いのは、アプリ保護、Windows パソコンを条件で止める仕組み、アプリや Wi-Fi の設定の配布、Autopilot、macOS の管理です。
Business Premium を契約すると、ライセンスの中に「Intune」が入っています。ところが Microsoft Intune 管理センター（以下、管理センター）を開くと、デバイス・アプリ・エンドポイント セキュリティと項目が並び、どこから手を付けるのか、社員の私物のスマホまで登録させてよいのかで手が止まります。先に決めるのは機能ではなく、「誰の端末か」です。会社の端末と私物の端末で守り方を分ければ、どの機能をどの端末に使うかは、そこから決まります。
この記事では、会社のノートパソコンと私物の iPhone を持つ1人の社員を例に、Business Premium の Intune で何ができるか、私物のスマホを登録すると会社に何が見えて何を消せるか、Business Standard では何ができないか、最初に何から手を付けるかを順に書きます。プランの差額と比べ方はBusiness Standard と Business Premium の違いの記事に書いています。
Microsoft 365 の導入を支援している当社が、Microsoft の公式の説明と、当社の検証用の環境の管理センターの画面で確かめた内容です。
Intune とは：会社の端末とアプリを、クラウドから管理する
Intune は、組織のデバイスとアプリを守って管理する、クラウドのエンドポイント管理サービスです。社内にサーバーを置く必要はなく、管理する端末は Windows・macOS・iOS/iPadOS・Android・Linux などです。Business Premium には Intune プラン 1 が含まれています。プラン 1 は Intune の基本のサービスで、リモート ヘルプなどの上位の機能はプラン 2 や Intune Suite の追加になります（Microsoft Intune のライセンス）。
Intune は、サインインと本人確認を自分では行いません。それは Microsoft Entra ID が受け持ち、ポリシーやアプリを誰に配るかは Entra のセキュリティ グループで決めます。そして Intune が判定した「この端末は条件を満たしているか」を Entra に渡し、条件付きアクセスがサインインを通すか止めるかを決めます。つまり、Intune で端末の状態を見分け、Entra ID で入口を閉める、という2段の仕組みです。管理するユーザーまたは端末ごとに Intune のライセンスが要りますが、Business Premium を割り当てた社員なら、そこに含まれます。
管理のしかたは2つあります。端末そのものを Intune に登録して、設定・セキュリティ・アプリを端末ごと管理するモバイル デバイス管理（MDM）と、端末は登録せず、仕事のアプリとその中のデータだけを管理するモバイル アプリケーション管理（MAM）です。この2つは、別々にも一緒にも使えます。以下、MDM を「登録」、MAM を「アプリ保護」と呼びます。
会社のパソコンと私物のスマホで、4つの機能をどう使い分けるか
機能を一覧で並べると、どれも要りそうに見えます。ここでは例を1つに固定します。会社のノートパソコン（Windows）を1台渡されていて、自分の私物の iPhone で Outlook と Teams も見ている、営業の社員1人です。300人以下の会社なら、まずこの2台をどう守るかが決まれば、ほかの端末も同じ考えで分けられます。私物のスマホで会社のメールを見ることを禁止している会社なら、4のアプリ保護は読み飛ばしてかまいません。ただし、1の登録の制限は私物を登録させない設定で、それだけでは私物のスマホから会社のメールを開くことは止まりません（登録の制限はセキュリティ機能ではない、と1で書きます）。私物の登録は1の登録の制限で止め、私物からメールを開けないようにするのは、後の「300人以下の会社は、何から手を付けるか」の6番目、準拠した端末だけを通す条件付きアクセスです。
1. 登録（MDM）：会社のノートパソコンを管理下に入れる
会社のノートパソコンは登録します。Microsoft が公開している Business Premium の設定手順も、会社所有の端末には MDM を勧めています。登録の入口は管理センターの［デバイス］>［登録］で、プラットフォームごとのタブ（Windows・Apple・Android など）に分かれています。Windows のタブの「自動登録」を設定しておくと、Windows を Entra ID に参加または登録したときに、そのパソコンが Intune に登録されます。この項目の説明文は、画面では Entra ID の旧名の「Azure Active Directory」のままでした。
間違えやすいのは、同じ画面にある「デバイス プラットフォームの制限」の役割です。どの種類の端末を登録させるかを、プラットフォーム・バージョン・製造元・所有権の種類（会社所有か私物か）で制限する設定で（登録制限とは）、私物の iPhone を登録させたくない場合はここで止めます。ただし、登録の制限はセキュリティ機能ではありません。悪意のない社員に対しての防ぎという位置づけで、守りそのものは次のコンプライアンスと条件付きアクセスで作ります。
登録には、端末の種類ごとに前提の準備があります。Windows は自動登録の設定、iPhone・iPad は Apple MDM プッシュ証明書、Android は管理対象の Google Play アカウントへの接続です。会社のパソコンの登録方法（自動登録・Entra 参加・Autopilot）の違いは別の記事で扱います。
2. 構成（構成プロファイル）：ノートパソコンに設定を配る
登録したノートパソコンには、Intune から設定を配れます。設定のまとまりを「構成プロファイル」と呼び、Wi-Fi・VPN の設定、Bluetooth の許可・禁止、ソフトウェア更新のタイミングの管理などを配れます。例の社員なら、社内の Wi-Fi の設定と、Windows Update をいつ入れるかを配ることになります。社員が自分で設定する手間が減り、全員の設定がそろいます。
管理センターでは［デバイス］の中の［デバイスの管理］>［構成］にあり、用途ごとにまとまった「テンプレート」と、設定できる項目が1か所に並ぶ「設定カタログ」の2つの作り方があります。間違えやすいのは、構成プロファイルは登録した端末にしか届かないことです。私物の iPhone を登録させないなら、その iPhone には Wi-Fi の設定も配れません。私物の中の会社のデータを守るのは、4のアプリ保護です。
3. コンプライアンス：条件を満たすパソコンか見分ける
コンプライアンス ポリシーは、端末が会社の決めた条件を満たしているかを判定するルールです。Business Premium の設定手順では、Windows なら BitLocker（ドライブの暗号化）・セキュア ブート・ファイアウォール・ウイルス対策などを必須にするよう勧めています。例の社員のノートパソコンなら、ドライブが暗号化されているか、ファイアウォールとウイルス対策が動いているかを見ます。条件を満たさないパソコンは「非準拠」と判定され、管理センターの［デバイス］の概要に出ます。
ここで間違えやすい点が2つあります。1つ目は、コンプライアンス ポリシーは判定するだけで、サインインを止めるのは Entra ID の条件付きアクセスだということです。止めるには、準拠している端末を条件にした条件付きアクセスのポリシーを別に作ります（Business Premium の設定手順にも、デバイスを条件にした条件付きアクセスのポリシーが入っています）。2つ目は、既定ではポリシーが割り当てられていない端末は「準拠」と見なされることです。条件付きアクセスで準拠した端末だけを通すなら、この全体の設定を「非準拠」に変えておきます。
条件付きアクセスの考え方は、全員に多要素認証を求めるところから入るのが近道です。例外の作り方や締め出されない順番は多要素認証を全員に有効にする記事で書いています。
4. アプリ保護（MAM）：私物の iPhone は、Outlook の中だけ守る
私物の iPhone は登録せず、アプリ保護ポリシーで守ります。アプリ保護ポリシーは、端末の登録なしに、Outlook などのアプリの中の会社のデータを守る仕組みです。例えば、会社のメールを開くときに PIN か指紋を求めたり、会社のデータを私物のアプリにコピーして貼り付けさせないようにしたりできます。Business Premium の設定手順が勧める設定は、iOS/iPadOS と Android の両方にポリシーを作り、対象を「コア Microsoft Apps (Outlook を含む)」にして、会社のデータのバックアップ（iTunes・iCloud）と端末への保存をブロックし、保存先は OneDrive と SharePoint だけにする、というものです。
例の社員なら、私物の iPhone で Outlook を開くときに PIN を求められ、添付ファイルを端末に保存したり、メールの本文を私物のメッセージのアプリに貼ったりはできなくなります。写真や私物のアプリには、会社は何もしません。
間違えやすい点は2つあります。1つ目は、アプリ保護ポリシーを確実に効かせるには、条件付きアクセスと組み合わせることです（保護されていないアプリからは入れなくする）。2つ目は Android で、アプリ保護の機能の多くがポータル サイト アプリに入っているため、登録はしなくてもポータル サイト アプリのインストールは要ります。管理センターの［作成］の選択肢には Windows もあり、Windows 向けのアプリ保護の説明もありますが、Business Premium の設定手順は iOS/iPadOS と Android で書かれています。私物の Windows パソコンをどう扱うかは、この記事では扱いません。
私物のスマホは、登録すると会社に何が見えて、何を消せるか
Business Premium の設定手順は、私物にも MDM と MAM のどちらも使えるとしています。それでも当社が私物のスマホをアプリ保護に分けるよう勧めるのは、登録すると会社にできることが端末全体に広がるからです。社員に登録を頼む前に、会社に何が見えて何が見えないかを、Microsoft が利用者向けに出している説明（デバイスを登録した場合に組織が確認できる情報）で確かめておくと、説明しやすくなります。
登録しても会社には、通話と Web 閲覧の履歴、メール、連絡先、写真、本人が作った文書の中身は見えません。見えるのは端末の名前・シリアル番号・モデル・OS のバージョン・IMEI などです。私物の場合、電話番号は下4桁だけ、位置情報は見られません。アプリの一覧は、私物では管理されたアプリが見え、設定によってはそれ以上が見えることもあります。会社所有の端末では入っているアプリがすべて見えます。
見える情報よりも大きいのは、消せる範囲です。Intune の「ワイプ」は端末を工場出荷時の状態に戻し、個人のデータも含めて全部を消します。もう1つの「廃止」は、会社のデータだけを消して個人のデータは残します。私物を登録していると、誤ってワイプを送れば社員の写真まで消えます。アプリ保護に分けた私物のスマホは登録していないので、そもそもワイプは届かず、会社が消せるのはアプリの中の会社のデータだけです（管理センターでは［アプリ］>［アプリの選択的ワイプ］）。
例の社員が退職したときは、会社のノートパソコンは回収して次の人に渡す前にワイプし、私物の iPhone は Outlook などの中の会社のデータを消します。私物を登録していた場合は、ワイプではなく廃止を使います。
Business Standard では何ができないか
Business Basic と Business Standard にも、端末の管理が何も無いわけではありません。「基本的なモビリティとセキュリティ」という、Intune の一部の機能を使える無料の MDM が含まれています。iOS/iPadOS・Android・Windows の端末を登録し、パスワードなどの条件を求め、紛失時に会社のデータを消したり初期化したりできます。ただし Windows には条件が2つあります。Entra ID P1 または P2 を足していない Standard のままだと、社員が Windows のメール アプリや新しい Outlook を初めて開いても、基本的なモビリティとセキュリティへの登録は求められません。また、Windows のパスワードの条件はローカル アカウントにだけ効き、Entra ID のアカウントには効きません。
Business Premium の Intune との差が大きいのは次の点です。アプリ保護（MAM）が無いので、私物のスマホを登録させずに守る手段がありません。条件を満たさない端末を止める仕組みは Exchange Online・SharePoint・Outlook に限られ、Windows パソコンでは使えません（基本的なモビリティとセキュリティの説明には、準拠していない Windows でも Microsoft 365 へのアクセスはブロックされない、とあります）。アプリの配布、Wi-Fi・VPN の設定、Autopilot、macOS の管理もありません。さらに、モバイルのブラウザーから SharePoint や Outlook on the web に入る場合は、基本的なモビリティとセキュリティのポリシーではブロックされません。
例の社員でいえば、Standard のままだと、私物の iPhone を守るには登録してもらうしかなく、会社のノートパソコンが暗号化されていなくてもメールは開けます。この2つを許せるかどうかが、Business Premium に切り替えるか、Standard のままにするかの分かれ目になります。差額と、Standard に足して補う場合の組み合わせはBusiness Standard と Business Premium の違いの記事で比べています。
300人以下の会社は、何から手を付けるか
Business Premium の設定手順（Microsoft 365 Business Premium でのデバイス管理とアプリケーション管理）は、登録の制限と前提の準備から入り、コンプライアンス ポリシー、デバイスを条件にした条件付きアクセスのポリシーを作ってから、最後に端末を登録する順です。この記事では順番を変えて、端末を持ち主で分けて会社の端末を登録し、条件を満たさない端末がどれだけあるかを見てから、最後に条件付きアクセスで止める、6つの順に並べ直しました。非準拠と判定された端末は、条件付きアクセスを当てるとブロックされます。この仕組みから考えると、数を見ないまま先に止めれば、条件を満たさない端末を使っている社員は、その端末から会社のメールなどに入れなくなります。止める前に数を見ておけば、直してから止められる、と当社は考えています。
最初の表は、会社のパソコン・会社のスマホ・私物のスマホが、誰に何台あるかを数えるだけで足ります。私物のスマホで会社のメールを見ている社員が何人いるかで、アプリ保護のポリシーを何人の端末に配り、社員への説明をどこまで用意するかが決まります。コンプライアンス ポリシーは、条件付きアクセスを足すまでは端末を見分けるだけで、誰のサインインも止めません。この間に、暗号化されていないパソコンや古い OS の端末がどれだけあるかを管理センターで確かめ、直してから止める段階に進みます。
この記事の確かめ方
端末の持ち主ごとの守り方を決める材料は、Microsoft Learn では Intune の説明・Business Premium の設定手順・Business Standard の端末管理・登録したときに会社に見える情報と、別々のページに分かれています。この記事は、それを1人の社員の2台の端末の例で通して読めるようにまとめたものです。機能の範囲は Microsoft Learn の日本語版で2026年10月28日に確かめました。
画面の名前は、当社の検証用の環境（Microsoft 365 Business Premium）の管理センターで2026年10月28日に開いて確かめました。画面は開いて表示を確かめるところまでで、ポリシーやプロファイルは作っていません。端末も登録していないので、画面の数字は0のままです。写真の組織名などは伏せています。Windows パソコンの登録方法の違い、Autopilot、ポリシーの作り方の細かい手順はそれぞれ別の話になるので、この記事では「何ができて、どれを選ぶか」までにとどめています。管理センターの画面は更新が続いているため、設定の前に各ページの最新を確かめてください。
まず、端末を持ち主で数える
まず、会社の端末と私物の端末を数えた表を作ってください。そのうえで管理センターの［デバイス］>［登録］を開き、「デバイス プラットフォームの制限」で私物の登録をどうするかを決めます。ここが決まれば、会社の端末は登録、私物のスマホはアプリ保護、と以降の設定の向きがそろいます。Microsoft 365 の導入の全体の中でいつ手を付けるかは、Microsoft 365 導入の手順の記事に書いています。
端末の洗い出しから、私物の扱いの社内ルール、ポリシーの段取りまで一緒に進めたい場合は、Microsoft 365 の導入支援でお手伝いしています。
執筆・監修
Aurant Technologies CAIO（Chief AI Officer）
Microsoft 365 と生成 AI の導入を支援する立場から、Microsoft 365 を管理する方向けにまとめています。
Microsoft 365・Google Workspace の移行と設定のスポット相談
メールの移行、ドメインとDNS、共有アドレスや代理人の権限、新しいOutlookへの切り替え、Copilot・Geminiを使うときの社内ルール。調べた手順で直らないとき、同じことが何人もで起きているときに、いま困っていることを1件から相談できます。
