Microsoft 365のセキュリティを端末側から整えるには、Intuneの登録後に設定と適用結果を確かめます。Intuneに登録した会社支給のWindows PCで、まず何を配布するか。ウイルス対策とファイアウォールがすでに管理されている環境なら、BitLocker、Windows Updateリング、コンプライアンスポリシーから着手する方法があります。暗号化、更新、状態の判定を、少数の端末で一通り試せるためです。
ただし、最初は少数のPCに配布します。設定後の状態と業務への影響を確認し、問い合わせに対応できることを確かめてから、対象を広げます。
初回の配布範囲は、問題が起きたときに担当者が調べられる台数に絞ります。全社へ配った後に問い合わせが重なると、設定の問題と個別端末の問題を切り分ける余裕がなくなるからです。
今回は、Intuneに登録済みの会社支給Windows 11 PCを想定します。ウイルス対策とファイアウォールは、すでに管理されている前提です。この3種類は、その環境での初期配布の提案であり、Intune導入に必要な設定をすべて網羅するものではありません。
Microsoft 365のセキュリティの初回配布で確認する内容
| ポリシー | 初回の設定範囲 | 試験で見るところ |
| BitLocker | OSドライブの暗号化と回復キーの保存 | 問い合わせ担当者が対象端末のキーを取得できるか |
| Windows Updateリング | 更新の延期日数、適用期限、再起動や通知の設定 | 更新・再起動後も普段の仕事ができるか |
| コンプライアンス | 暗号化など、端末が満たすべき条件 | 非準拠と判定された理由を確認できるか |
BitLockerは回復キーを取得できるかまで試す
暗号化対策では、回復キーの取得まで確認します。BitLockerでは、暗号化が完了したことに加え、対象端末の回復キーがMicrosoft Entra IDに保存されていることを確認します。そのうえで、実際にキーを取得してみます。管理者なら誰でも取得できるとは限りません。普段PCの問い合わせを受ける人に必要な権限があるかを確認し、その人のアカウントで操作します。
PCが起動しなくなってから権限を申請するのでは、対応に時間がかかります。ここは最初の1台で済ませておきたい作業です。
作業手順には、回復キーの取得場所、必要な権限、本人と対象端末の確認方法を残します。回復キー自体は機密情報として扱い、広く共有する作業メモへ転記しないでください。
更新後の業務動作を試験する
更新リングの試験では、業務で使うアプリが異なる利用者に参加してもらいます。情シスのPCで問題がなくても、経理ソフトやVPNの確認までできたことにはなりません。それらを日常的に使う人に、更新と再起動を終えた状態で仕事をしてもらいます。
再起動の通知が出たとき、いつまでに再起動が必要なのかが利用者に伝わるかも確認します。設定上は意図どおりでも、月末の処理や外出先での業務に支障が出るなら、配布範囲を広げる前に調整が必要です。
延期日数や適用期限は、業務への影響と更新を遅らせるリスクを踏まえて決めます。特定のWindowsバージョンにそろえる必要がある場合は、機能更新プログラムのポリシーとの役割分担も確認してください。試験で問題が出たら、更新内容と影響した操作を記録します。
コンプライアンスは設定と判定を分けて見る
コンプライアンスポリシーでは、端末が組織の定めた条件を満たしているかを判定します。例えば、BitLockerのポリシーで暗号化を設定し、コンプライアンスポリシーで暗号化されているかを判定します。判定条件を入れるだけで、暗号化が始まるわけではありません。
試験中に「非準拠」のPCが見つかったら、どの項目で判定されたのかを確認し、端末の状態と照合します。設定が反映されていないのか、反映後の状態がまだ報告されていないのかによっても、対応は変わります。
理由が分からないPCを残したまま全社へ広げると、同じ問い合わせに何度も対応することになります。最初の数台で、確認する場所と対処の流れをつかんでおきたいところです。
準拠状態を使った条件付きアクセスの制限は、判定が意図どおり行われることを確認してから検討します。アクセスできなくなった社員に何を案内し、誰が端末の状態を調べるかも、あわせて決めておきます。
Microsoft 365のセキュリティの問い合わせに備えて配布対象を広げる
試験で直した内容は、短いメモでも残しておきます。回復キーをどこから取得するか、更新後に何を確認したか、非準拠になったPCをどう調べたか。次の担当者がその記録を見て対応できれば、対象を増やす際にも役立ちます。対象を広げる判断材料は、配布成功の台数だけではありません。未解決の問題に担当者が付いているか、同じ問い合わせに手順で対応できるかも確かめます。問題が残る場合は、次の配布を急がず原因を調べます。
次の配布前に、暗号化、更新後の業務動作、準拠状態の判定結果を一枚にまとめてみてください。その結果をもとに、設定と運用手順の調整をAdvangeが支援します。
参考資料
Microsoft IntuneとBitLocker
Microsoft Windows Updateリングの管理
参照日 2026年10月26日
