Intune のコンプライアンスポリシー｜条件を満たさない端末をサインインさせない設定と、「非準拠」の原因の確かめ方

たとえば、会社のノートパソコン（Windows）を Intune に登録し終えた会社があるとします。次は、ドライブが暗号化されていないパソコンからは、会社のメールや Teams に入れないようにしたい。ところが、設定をオンにした翌朝に社員の多くが入れなくなったら困ります。管理センターに「非準拠」と出ても、理由が分からなければ社員に説明できません。

この記事を読むと、条件を満たさないパソコンを、社員や管理者を締め出さずに止めるまでの設定が分かります。「非準拠」と出たときに、どこを見て原因を確かめるかも分かります。当社は Microsoft 365 の導入を支援している会社で、ライセンスの販売はしていません。

止まるのは、3つの設定がそろったとき

コンプライアンス ポリシーは、端末が会社の決めた条件を満たしているかを判定する Intune のルールです。条件を満たす端末は「準拠」、満たさない端末は「非準拠」と判定されます。ポリシーは Windows・macOS・iOS などの端末の種類ごとに作ります。種類ごとに設定できる項目が違うからです。判定されるのは Intune に登録した端末だけです。パソコンの登録のしかたはWindows パソコンを Intune に登録する記事に書いています。

判定の結果でサインインを止めるのは、Entra ID の条件付きアクセスです。条件付きアクセスは、決めた条件を満たすときだけ Microsoft 365 などへのサインインを通す機能です。Microsoft の公式の技術文書のサイトである Microsoft Learn（以下、Learn）によると、使うには Microsoft Entra ID P1 のライセンスが要り、Business Premium の契約でも使えます（Microsoft Learn「条件付きアクセスとは」）。

Learn には、Business Premium で端末を管理するための設定の手順のページがあります（以下、Business Premium の手順）。そのページは、コンプライアンス ポリシーは、対応する条件付きアクセスのポリシーが当たるまで適用されない、と書いています（Microsoft Learn「Microsoft 365 Business Premium での Microsoft Intune によるデバイス管理とアプリケーション管理」）。つまり、準拠を求める条件付きアクセスがまだ無ければ、コンプライアンス ポリシーを作って当てても、それだけでは誰のサインインも止まりません。

その間に入るのが、会社全体で1つの「コンプライアンス ポリシー設定」です。ここには、ポリシーが当たっていない端末を「準拠」と見るか「非準拠」と見るかと、何日 Intune に状態を報告しない端末を非準拠にするかの2つがあります。止めるまでに決めることは、この3か所に分かれています。

手を付ける前に、Entra 管理センターの［条件付きアクセス］>［ポリシー］を開き、［許可］で準拠を求めるポリシーがすでにあるかを見てください。すでにあってオンになっているなら、コンプライアンス ポリシーを当てて非準拠と判定された端末は、その時点からサインインが止まります（当社では、この組み合わせは確かめていません）。その場合、当社は、先にそのポリシーの対象を絞ってから進めることをお勧めします。対象から外した人の端末は、その間は止まらなくなりますが、レポート専用に戻すと、そのポリシーで今止めている端末がすべて止まらなくなるからです。

この記事に関連するサービス

M365・Google Workspace の移行と設定の相談移行と設定を、1件から相談できます。詳しく見る →Microsoft 365 導入支援Exchange・SharePoint・Teamsの移行から権限設計・Copilot活用まで詳しく見る →Google Workspace 導入・移行支援Gmail移行から権限設計・Gemini活用まで詳しく見る →AIセキュリティ診断・規約・ルール整備AIを使う前に、出す前に。安全の確認と、規約・ルールの整備を詳しく見る →Notion 導入支援議事録・ナレッジ・タスクを一箇所にまとめる詳しく見る →

Windows で何を必須にするか：Business Premium の手順の推奨から始める

ポリシーは、Intune 管理センターの［デバイス］>［デバイスの管理］>［コンプライアンス］で作り、プラットフォームに［Windows 10 以降］を選びます（Microsoft Learn「Microsoft Intune でコンプライアンス ポリシーを作成する」）。作成のボタンの名前は、Learn の日本語版でも「Create policy」と英語のままです。この記事では Intune 管理センターの画面を確かめられていないので、Intune の画面の名前は Learn の日本語版の表記で書きます。

Windows の設定の主な項目は、既定が「未構成」です。「未構成」の項目は判定に使われません（Microsoft Learn「Intune での Windows のデバイス コンプライアンス設定」）。何を「必須」にするかは、Business Premium の手順の推奨から始めると決めやすくなります。手順は次の設定を必須にしています。

例の会社が止めたいのは、暗号化されていないパソコンです。それには［BitLocker が必要］を必須にします。BitLocker は、Windows のドライブを暗号化する機能です。パソコンをなくしても、中のデータを読み取られにくくなります。ほかの設定は、起動の部品が改ざんされていないか（セキュア ブート・コードの整合性）、ファイアウォールとウイルス対策が動いているかを見ます。TPM は、暗号化の鍵などを守るパソコンの中のチップです。

Business Premium の手順は、ポリシーの割り当て先を［すべてのユーザー］にしています。Windows 以外の端末では、ロック解除のパスワード・端末の暗号化・コードの整合性を、選べる範囲で必須にするとしています。ポリシーは、登録するすべての種類の端末に作ることが勧められています。会社の Mac や iPhone も登録するなら、それぞれにポリシーを作ります。

最小 OS バージョン：更新を止めている端末を見つける

手順の推奨には入っていませんが、［最小 OS バージョン］を入れると、入れた版より古い Windows の端末が非準拠になります。値の形は「メジャー.マイナー.ビルド.リビジョン」です。Learn には、コマンド プロンプトで「ver」と打って出る値（例は 10.0.17134.1）を使う説明と、ビルド番号の前に Windows 11 なら「11.0」などを付けるという注意の両方があります（Microsoft Learn「Intune での Windows のデバイス コンプライアンス設定」）。当社は、入れた値で少人数のグループに当て、意図どおりに判定されるかを見てから広げることをお勧めします。2つの書き方のどちらで判定されるかを、当社では確かめていないからです。

非準拠になった社員には、更新のしかたの案内が出ます。更新すれば、会社のデータに入れるようになります。当社は、Windows Update の配り方を決めてから最小の版を入れることをお勧めします。更新の時期をそろえないまま最小の版を上げると、更新が遅れている端末が一度に非準拠になるからです。

ほかのポリシーと重なったとき

1台の端末に複数のコンプライアンス ポリシーが当たると、Intune はいちばん厳しいものを使います。また、構成プロファイル（端末に設定を配るポリシー）とコンプライアンス ポリシーで同じ設定がぶつかると、コンプライアンス ポリシーが優先されます（Microsoft Learn「Intune デバイス コンプライアンス ポリシーの結果を監視する」）。当社は、Windows 向けのポリシーを1本にまとめることをお勧めします。何本もあると、どのポリシーの条件で非準拠になったかを追う手間が増えるからです。

非準拠になってから止まるまで：猶予の日数を決める

コンプライアンス ポリシーには、非準拠に対するアクション（Learn では「コンプライアンス違反に対するアクション」）を付けます。どのポリシーにも最初から［デバイスを非準拠とマークする］が入っていて、このアクションは削除できません。スケジュールの既定は0日です。そのため、条件を外れたことが分かると、すぐに「非準拠」と付きます（Microsoft Learn「Intune で非準拠デバイスに対するアクションを構成する」）。条件付きアクセスで準拠を求めていれば、その時点からサインインが止まります。

［デバイスを非準拠とマークする］のスケジュールを0日より後にすると、そのあいだに社員が直せば「非準拠」と付きません。この期間を猶予と呼びます。猶予のあいだ、端末は「猶予期間」と表示され、条件付きアクセスで守ったアプリにも入れます。Business Premium の手順は、このスケジュールを「直ちに」から1に変えるよう書いています（Microsoft Learn「Microsoft 365 Business Premium での Microsoft Intune によるデバイス管理とアプリケーション管理」）。日数は0〜365日で、0.25日（6時間）刻みでも入れられます。

当社は、Business Premium の手順のとおり1日から始めることをお勧めします。0日のままだと、条件を外れたと分かった時点で止まり、社員が直す時間がありません。Learn の非準拠のアクションのページも、アクセスを止める前に、準拠するための猶予を社員に与える使い方を例に挙げています。猶予を長くすると、そのぶん条件を満たさない端末が会社のデータに入れる日が延びます。何日まで延ばすかは、社員が直すのにかかる日数で決めます。

あわせて付けられるアクション

Windows の端末に付けられるのは、主に次の2つです（Microsoft Learn「Intune で非準拠デバイスに対するアクションを構成する」）。

• 社員にメールを送る：先に通知のメールのひな形を作り、何日目に送るかを決めます。同じアクションを日数を変えて何回も足せます。宛先は、サインインの名前（UPN）ではなく、ユーザーの情報にあるメール アドレスです。メール アドレスが登録されていない人には送られません。メールは、非準拠と付いてから6時間以内に送信されるとされています。
• 廃止する端末の一覧に入れる：一覧に入るだけでは、何も消えません。端末から会社のデータが消えるのは、管理者が一覧から廃止を選んだときです。

リモートでのロックとプッシュ通知もありますが、Learn の対応する端末の一覧に Windows は入っていません。

会社全体の「コンプライアンス ポリシー設定」の2つの値

会社全体の設定は、Learn では［エンドポイント セキュリティ］>［デバイスのコンプライアンス］>［コンプライアンス ポリシー設定］にあると書かれています。どの端末にも当たる、組み込みのポリシーのように働きます。

［コンプライアンス ポリシーが割り当てられていないデバイスをマークする］：条件付きアクセスで使うなら「非準拠」

既定は「準拠」です。この値のままだと、コンプライアンス ポリシーが当たっていない端末は「準拠」と見なされます。条件付きアクセスで準拠を求めても、ポリシーの無い端末は通ってしまいます。Learn は、条件付きアクセスで使うなら「非準拠」に変えるよう書いています（Microsoft Learn「コンプライアンス ポリシーを使用して、Intune で管理するデバイスのルールを設定する」）。Business Premium の手順も、ふだんは既定の「準拠」を勧めつつ、準拠した端末だけを通す条件付きアクセスを使う場合は「非準拠」にするとしています。

当社は、登録するすべての種類の端末にポリシーを当て終えてから「非準拠」に変えることをお勧めします。変えた時点で、ポリシーの無い端末はすべて非準拠になるからです。準拠を求める条件付きアクセスがまだ無ければ、その時点では誰も止まりません。オンにする前に非準拠の一覧を見れば、ポリシーの当て忘れに気づけます。

［コンプライアンス状態の有効期間 (日)］：既定は30日

端末は、当たっているポリシーの判定の結果を、この日数のうちに Intune へ報告する必要があります。報告しないまま日数が過ぎると、その端末は非準拠として扱われます。既定は30日で、1〜120日の間で変えられます。たとえば長い休みのあいだ電源を入れなかったパソコンは、日数が過ぎていれば、休み明けに非準拠から始まります。当社は、変える前に、貸し出し用のパソコンのように長く電源を入れない端末を数えることをお勧めします。その日数が既定を超えるなら、日数を延ばすか、使う前に電源を入れて状態を確かめてもらう運用にするかを決めます。

このほか、Intune の組み込みの判定では、端末を使っている登録済みのユーザーが Intune のライセンスを持っていないときも、端末は非準拠になります（Microsoft Learn「Intune デバイス コンプライアンス ポリシーの結果を監視する」）。ライセンスを外した社員の端末が非準拠になるのは、このためです。

条件付きアクセスで止める：［許可］で準拠を求める

止めるポリシーは、Entra 管理センターの［条件付きアクセス］>［ポリシー］で作ります。Intune 管理センターにも条件付きアクセスの画面がありますが、中身は Entra ID のものと同じです。ポリシーの欄の全体と、最初に作るポリシーの順番は条件付きアクセスの設定方法の記事に書いています。ここでは準拠を求める欄だけを書きます。

［アクセス制御］の［許可］を開き、［アクセス権の付与］の下の［デバイスは準拠しているとしてマーク済みである必要があります］に印を付けます。Learn の日本語版には「デバイスは準拠としてマーク済みである必要があります」と書かれた箇所もありますが、当社の検証用の環境の画面は上の表記でした。印を付けると、その下に「自分自身をロックアウトしないでください。デバイスが準拠していることをご確認ください。」と出ました。

ほかの項目と組み合わせるときは、下の［複数のコントロールの場合］で［選択したコントロールすべてが必要］（最初の値）か［選択したコントロールのいずれかが必要］かを選びます。たとえば［デバイスは準拠しているとしてマーク済みである必要があります］と［多要素認証を要求する］を選んで［選択したコントロールのいずれかが必要］にすると、準拠した端末か、多要素認証を済ませた人のどちらかなら通ります。Business Premium の手順が勧めるポリシーの1つは、この「準拠、ハイブリッド参加済み、または多要素認証」の形です。この形は、端末の条件だけで止めるものではありません。準拠していない端末を止めたいなら、準拠を求めるポリシーを別に作ります。

だれに当てるか：管理者を締め出さない

Learn の準拠を求める手順は、ユーザーを［すべてのユーザー］、リソースを［すべてのリソース］にし、緊急用アカウント（Learn では緊急アクセス アカウント）を対象外にして、まず［レポート専用］で作る形です。また、先にコンプライアンス ポリシーを作り、準拠した端末が少なくとも1台あることを確かめてから作るよう書いています（Microsoft Learn「条件付きアクセスでデバイス コンプライアンスを要求する」）。

一方で、Learn のトラブルシューティングのページは、すべてのユーザー・すべてのリソースに準拠を求める構成を、使わないものの1つに挙げています。端末をまだ登録していない人はすべてのアクセスが止まり、端末を登録していない管理者はポリシーを直すために入り直せなくなるからです（Microsoft Learn「条件付きアクセスでのサインインに関する問題のトラブルシューティング」）。当社は、画面に出た「自分自身をロックアウトしないでください」という表示も、同じ注意だと読んでいます。

当社は、まず管理者ではない数人のテスト用のグループで試し、管理者は自分のパソコンを登録して準拠させてから対象に入れることをお勧めします。管理者が先に入ると、判定が想定と違ったときに、ポリシーを直しに入れなくなるからです。そのうえで対象を順に広げます。緊急用アカウントは、全員に広げた後も対象外に残します。緊急用アカウントの作り方は管理者ロールと緊急用アカウントの記事に、レポート専用の結果の見方はレポート専用モードの記事に書いています。

• すべてのユーザー・すべてのリソースに準拠を求めていても、新しい端末を Intune に登録することは止まりません（Microsoft Learn「条件付きアクセスでデバイス コンプライアンスを要求する」）。止まった社員も、端末を登録すれば判定を受けられます。
• 準拠の印は、Entra ID に登録された端末にしか付きません。Windows の InPrivate の Microsoft Edge は、非準拠の端末として扱われます（Microsoft Learn「条件付きアクセス: 許可」）。社員が InPrivate で開いて入れないときは、これを疑います。
• レポート専用のポリシーでも、macOS・iOS・Android の利用者には端末の証明書を選ぶ画面が出ることがあります。当社の検証用の環境の画面の案内では、Linux も挙がっていました。避け方は条件付きアクセスの設定方法の記事に書いています。

「非準拠」と出たときに、原因を確かめる順番

非準拠の端末が出たら、最初に「どのポリシーの、どの設定で非準拠か」を見ます。端末の側を触るのはその後です。

管理者が見る場所

Learn に書かれている見る場所は、次の3つです。

• ［デバイス］>［コンプライアンス］の［モニター］タブ：会社全体で、準拠・猶予期間・評価されていない・非準拠の端末が何台あるかを見ます。
• 同じ画面でポリシーを選ぶ：そのポリシーの［デバイスの状態］と、設定ごとの状態が見られます。設定ごとの状態で、どの設定で非準拠の端末が多いかが分かります。
• ［レポート］>［デバイス コンプライアンス］の［レポート］タブ：非準拠の端末を一覧で見ます。

ポリシーを当てた直後は、表示が古いことがあります。端末が Intune とやり取りしてポリシーを受け取り、結果を報告するまで、オンラインの端末でも最大24時間かかることがあります。登録したばかりの端末は、最初は「評価されていません」と表示されます（Microsoft Learn「Intune デバイス コンプライアンス ポリシーの結果を監視する」）。

考えられる原因

例の会社のように BitLocker を必須にしたとき、気づきにくいのが再起動です。BitLocker の状態は起動のときにしか測られないので、暗号化が終わっても、再起動するまで端末は準拠になりません（Microsoft Learn「Intune での Windows のデバイス コンプライアンス設定」）。社員に暗号化を頼むときは、終わったら再起動するところまでを伝えます。

設定の判定が「エラー」になったときは、端末の準拠の状態は最大7日そのまま保たれます。7日たってもエラーのままなら非準拠になり、猶予を決めていれば猶予期間になります（Microsoft Learn「Intune デバイス コンプライアンス ポリシーの結果を監視する」）。ファイアウォールは、再起動やスリープからの復帰の直後に同期するとエラーと出ることがあります。しばらく待ってから同期し直します。

社員に頼むこと

端末を直したら、社員にポータル サイト アプリを開いてもらいます。ポータル サイトで同期すると、ポリシーの更新をすぐに確かめられます。Learn の監視のページによると、準拠の判定し直しは、社員がポータル サイトで準拠の状態を確かめたときにも行われます。iPhone のポータル サイトでは、端末を選んで［ステータスの確認］を押すと、職場のデータに入れるかどうかが表示されます（Microsoft Learn「iOS デバイスでコンプライアンスを確認する」）。どのポリシーでサインインが止まったかは、Entra 管理センターのサインイン ログの［条件付きアクセス］タブで見られます。見方は条件付きアクセスの設定方法の記事に書いています。

入れる順番：止める前に、非準拠の端末を直しておく

準拠を求める条件付きアクセスがまだ無い会社なら、コンプライアンス ポリシーを当てた段階では誰も止まりません。そのあいだに非準拠の一覧を見て、社員に再起動や更新を頼めます。条件付きアクセスをオンにするのは、非準拠の端末を直し終えてからです。Business Premium の全体の設定の中での位置はBusiness Premium を契約したら最初に有効にする設定の記事に書いています。

在宅で使うパソコンを、場所（IP アドレス）ではなく端末の条件で絞りたいときも、この形を使います。場所で絞る方法は条件付きアクセスで社外・海外からのサインインを制限する記事に書いています。私物のスマホのように Intune に登録しない端末は、コンプライアンス ポリシーでは判定できません。私物の扱いはIntune の記事に書いています。

次にすること

まず、Intune 管理センターの［デバイス］>［コンプライアンス］の［モニター］タブで、「コンプライアンス ポリシーのないデバイス」の数を見てください。Learn によると、このタイルからポリシーが当たっていない端末の一覧に進めます。当社は、この数が0になるまでポリシーを当ててから、会社全体の設定を「非準拠」に変えることをお勧めします。先に変えると、ポリシーの無い端末が非準拠になるからです。ウイルス対策を Defender に入れ替える話はDefender for Business の記事に書いています。当社では、端末の管理と条件付きアクセスの設計をあわせた Microsoft 365 の導入支援も行っています。