この記事は、生成AIを活用した自動生成フローで作成しています。
Microsoft Intune Plan 1とは？M365 E3/E5の端末管理を実務目線で整理
この記事について
Microsoft公式情報を2026年9月18日時点で確認し、Intune Plan 1の基本と、2026年7月以降のMicrosoft 365 E3/E5における高度機能の再配分も含めて整理しています。検証ステータス：📘 Microsoft公式情報確認済み・実機未確認
Microsoft Intune Plan 1は、Windows PC、スマートフォン、タブレット、アプリをクラウドから一元管理するIntuneの基本サービスです。
Microsoft 365 E3/E5ではIntuneを使って、端末登録、設定配布、コンプライアンス判定、アプリ管理などを行い、Microsoft Entra IDのConditional Accessと組み合わせて「会社の条件を満たした端末だけ業務データへアクセスさせる」といった設計につなげます。
最初に覚えたい用語
| 用語 | 初心者向けの意味 |
|---|---|
| MDM | Mobile Device Management。PCやスマホそのものを管理する仕組み |
| MAM | Mobile Application Management。アプリと業務データを中心に管理する仕組み |
| enrollment | 端末をIntune管理へ登録すること |
| compliance | 端末が組織のセキュリティ基準を満たしているか判定する仕組み |
| configuration profile | Wi-Fi、セキュリティ、Windows設定などを端末へ配布する設定 |
| Conditional Access | ユーザー・端末状態などを条件にクラウドへのアクセスを制御するEntra ID機能 |
| RBAC | Role-Based Access Control。管理者が操作できる範囲を役割で制限する仕組み |
| scope tag | Intune管理対象を管理者ごとに分離するためのタグ |
Plan 1 / Plan 2 / Suiteを分けて考える
Microsoftの現在のIntuneライセンス文書は、Intuneを次の3階層で説明しています。
| プラン | 位置づけ |
|---|---|
| Intune Plan 1 | クラウドベースの基本的なendpoint/app管理 |
| Intune Plan 2 | Plan 1へ高度なendpoint管理機能を追加 |
| Intune Suite | Plan 1へ高度なendpoint管理・セキュリティ機能群を追加し、Plan 2も含む |
ただし、2026年7月からMicrosoft 365のライセンス階層へSuite機能の一部が再配分されています。MicrosoftのPlanning Guideでは、E3にPlan 2、Remote Help、Advanced Analyticsが含まれ、E5/E7にはそれらに加えてEndpoint Privilege Management、Microsoft Cloud PKI、Enterprise Application Managementが含まれると説明されています。
そのため、古い「E3はPlan 1だけ」という比較表をそのまま使わず、現在の契約条件を確認する必要があります。
Intuneの基本的な流れ
flowchart LR
D[会社PC / スマホ] --> E[Intune Enrollment]
E --> I[Microsoft Intune]
I --> C[Configuration]
I --> P[Compliance]
I --> A[App Management]
P --> CA[Entra Conditional Access]
CA --> M[Microsoft 365]
Intuneだけで「ログインを許可/拒否」するというより、Intuneが端末状態を管理・判定し、その結果をEntra Conditional Accessがアクセス制御へ利用する構成が代表的です。
まず試す：変更せずテナント状態を見る
Microsoft Intune admin centerでTenant administration > Tenant statusを開きます。
ここを見る
MDM authorityが想定どおりか。
Licensed users / Intune licensesが契約と大きくずれていないか。
自分に必要な管理ロールだけが付いているか。
成功の目安
「このテナントでは誰がIntuneを利用でき、どの仕組みがMDM authorityなのか」を説明できることです。
1か所変える
設定そのものではなく、端末一覧のフィルターをOSやownershipで切り替えます。最初からconfiguration profileやcompliance policyを書き換えません。
Windows端末側からEntra参加状態を読む
Windowsでは次のコマンドで登録状態を確認できます。
dsregcmd /status
ここを見る
Device State付近のAzureAdJoinedなどを確認し、想定したMicrosoft Entra参加状態になっているかを見ます。このコマンドは設定を書き換えません。
1か所変える
会社所有PCと検証PCの2台で同じコマンドを実行し、join状態の違いを比較します。
実務例：会社PCだけ経理システムへアクセスさせる
sequenceDiagram
participant U as 利用者
participant D as Windows PC
participant I as Intune
participant E as Entra ID
participant M as Microsoft 365/業務サービス
D->>I: 端末状態を報告
I-->>E: Compliant / Noncompliant
U->>E: サインイン
E->>E: Conditional Access評価
E-->>M: 条件を満たせばアクセス許可
たとえば「BitLocker有効・サポート対象OS・会社所有端末」などをcompliance条件として設計し、その結果をConditional Accessへ渡します。
ただし最初から厳しいConditional Accessを全社員へ適用するとロックアウト事故につながるため、break-glass account、検証グループ、除外条件を含めて段階展開します。
ユーザーライセンスとdevice-only license
Intuneは一般的にユーザーライセンスで利用しますが、特定ユーザーへ紐づかないキオスク、専用端末、IoTなどにはdevice-only subscriptionという考え方もあります。
Microsoft公式では、Intuneサービスから直接・間接に恩恵を受けるユーザー/端末には適切なライセンスが必要と説明されています。API経由だからライセンス不要、とは考えません。
1ユーザーが管理できる端末数
Microsoftのライセンス割当文書では、ユーザーソフトウェアライセンスを持つ利用者は最大15台のMDM devicesを管理できると説明されています。実際のenrollment limitは別途Intune設定でも制御できるため、ライセンス上限と運用上限を分けて確認します。
一般利用者・事務職・情シスの確認点
| 立場 | 確認すること |
|---|---|
| 一般利用者 | なぜ会社管理へ登録するか、どの情報/設定が管理対象か |
| 事務職・端末担当 | 入社・異動・退職、貸出、紛失、端末交換の手順 |
| 情シス | license、enrollment、compliance、Conditional Access、RBAC、BYOD、app protection |
管理者が確認する項目
E3/E5で現在含まれるIntune機能を最新ライセンス情報で確認する。
対象ユーザー/端末へ適切なライセンスがあるか。
Entra ID P1/P2を必要とするConditional Access等との組み合わせを確認する。
Windows/Apple/Androidごとのenrollment方式を決める。
BYODとcorporate-ownedを明確に区別する。
Compliance policyとConfiguration profileを混同しない。
RBACとscope tagで管理者権限を必要最小限にする。
Configuration Managerを使う場合co-managementの役割分担を決める。
Remote Help等の高度機能が現在のE3/E5に含まれるか契約時点で確認する。
よくある誤解
「IntuneはPCへ制限をかけるだけの製品」
端末登録、設定、アプリ、compliance、リモート操作などを統合するendpoint management基盤です。
「IntuneでCompliantなら自動的にクラウドアクセスを拒否/許可する」
アクセス制御はEntra Conditional Accessなどと組み合わせます。Intuneのcompliance判定だけで完結する話ではありません。
「2025年のPlan 1/2比較表を見ればE3/E5の機能が分かる」
2026年7月から高度機能のMicrosoft 365ライセンスへの再配分があるため、現在の公式情報を確認します。
Microsoft公式情報
Intune Plan 1は、端末を登録すること自体ではなく、端末状態・アプリ・アクセス制御を一つの運用へつなげる土台として理解すると実務で使いやすくなります。
