登録制限とは

デバイス登録の制限を使用すると、特定のデバイス属性に基づいてデバイスが Intune に登録できないように制限できます。 Microsoft Intune で構成できるデバイス登録制限には、次の 2 種類があります。

• デバイス プラットフォームの制限: デバイス プラットフォーム、バージョン、製造元、所有権の種類に基づいてデバイスを制限します。
• デバイスの制限の制限: ユーザーが Intune に登録できるデバイスの数を制限します。

制限の各種類には、必要に応じて編集およびカスタマイズできる 1 つの既定のポリシーが付属しています。 Intune では、より優先度が高いポリシーを割り当てるまで、すべてのユーザーとユーザーなしの登録に既定のポリシーが適用されます。

この記事では、利用可能な登録制限と機能制限の概要について説明します。 制限の作成を開始するには、「 次の手順 」(本記事内) に進みます。

前提条件

可用性は、制限の種類によって異なります。

利用可能な制限

管理センターでは、次の制限を構成できます。

• デバイス制限
• デバイスのプラットフォーム
• OS のバージョン
• デバイスの製造元
• デバイスの所有権 (個人所有のデバイス)

デバイス制限

1 人が登録できるデバイスの数に制限を設けます。 デバイス制限は 1 から 15 まで設定できます。

この構成は、管理センターの [登録デバイス制限] にあります。

デバイスのプラットフォーム

特定のデバイス プラットフォームで実行されているデバイスをブロックします。 この制限は、以下を実行しているデバイスに適用できます。

• Android デバイス管理者
• 仕事用プロファイル (BYOD) を使用する Android Enterprise 個人所有のデバイス
• iOS/iPadOS
• macOS
• Windows

両方の Android プラットフォームが許可されているグループでは、仕事用プロファイルをサポートするデバイスが仕事用プロファイルに登録されます。 仕事用プロファイルをサポートしていないデバイスは、Android デバイス管理者プラットフォームに登録されます。 Android 登録のすべての前提条件を満たすまで、仕事用プロファイルの登録もデバイス管理者の登録も機能しません。

この制限は、管理センターの [デバイス>デバイス オンボード>登録]>デバイス プラットフォーム制限にあります。

OS のバージョン

この制限により、最大および最小の OS バージョン要件が適用されます。 この種類の制限は、次のオペレーティング システムで機能します。

• Android デバイス管理者*
• 仕事用プロファイルを使用する Android Enterprise 個人所有のデバイス (BYOD)*
• iOS/iPadOS*
• Windows

* バージョン制限は、これらのオペレーティング システムで Intune ポータル サイト経由で登録されたデバイスに対してのみサポートされます。

この制限は、管理センターの [デバイス>デバイス オンボード>登録]>デバイス プラットフォーム制限にあります。

デバイスの製造元

この制限は、特定の製造元のデバイスをブロックするもので、Android デバイスのみに適用されます。 これは、管理センターの [デバイス>デバイス オンボード>登録]>デバイス プラットフォーム制限にあります。

個人所有のデバイス

この制限は、デバイス ユーザーが自分の個人用デバイスを誤って登録するのを防ぐのに役立ち、次を実行しているデバイスに適用されます。

• Android
• iOS/iPad OS
• macOS
• Windows

この制限は、管理センターの [デバイス>デバイス オンボード>登録]>デバイス プラットフォーム制限にあります。

個人用 Android デバイスのブロック

既定では、管理センターで手動で変更を加えるまでは、Android Enterprise の仕事用プロファイルのデバイス設定と Android デバイス管理者デバイス設定は同じです。

個人用デバイスで Android Enterprise 仕事用プロファイルの登録をブロックすると、企業所有のデバイスのみが 個人所有の仕事用プロファイルで登録できます。

個人の iOS/iPadOS デバイスをブロックする

既定では、Intune は iOS/iPadOS デバイスを個人所有として分類します。 企業所有に分類するには、iOS/iPadOS デバイスが次のいずれかの条件を満たしている必要があります。

• シリアル番号または IMEI で登録されています。
• 自動デバイス登録 (旧称 Device Enrollment Program) を使用して登録されています。

個人用 Mac のブロック

既定では、Intune は macOS デバイスを個人所有として分類します。 企業所有に分類するには、Mac が次のいずれかの条件を満たしている必要があります。

• シリアル番号で登録されている。
• Apple Automated Device Enrollment (ADE) を使用して登録されている。

個人用 Windows デバイスのブロック

個人所有の Windows デバイスを登録からブロックすると、Intune は、新しい各 Windows 登録要求が企業登録に対して承認されているかどうかを確認します。 承認されていない登録はブロックされます。

次の登録方法は、企業の登録に対して承認されています。

• デバイスは Windows Autopilot 経由で登録されます。
• デバイスが GPO または共同管理用の Configuration Manager からの自動登録経由で登録されます。
• デバイスが一括プロビジョニング パッケージ経由で登録されます。
• 登録ユーザーはデバイス登録マネージャー アカウントを使用しています。

Intune では、次の種類の登録を行うデバイスを企業所有としてマークし、(Windows Autopilot に登録されていない限り) 登録をブロックします。これらの方法ではデバイスごとの Intune 管理者制御が提供されないためです。

• Windows セットアップ中の Microsoft Entra 参加を使用した自動 MDM 登録。
• Windows の設定から Microsoft Entra 参加を使用した自動 MDM 登録。
• 既存のデバイスの 既存デバイス向け Windows Autopilot 経由で、Microsoft Entra 参加またはハイブリッド Entra 参加を使用した自動 MDM 登録。

また、Intune では、次の登録方法を使用して個人用デバイスをブロックします。

• 自動 MDM 登録と Windows 設定からの職場アカウントの追加。
• Windows 設定からの MDM 登録のみオプション。
• Intune ポータル サイト アプリを使用した登録。
• Microsoft 365 アプリを使用した登録。アプリのサインイン中にユーザーが [Allow my organization to manage my device (デバイスの管理を許可する)] オプションを選択すると発生します。

制限事項

• 登録制限は、ユーザー主導の登録に適用されます。 ユーザー主導ではない登録シナリオの場合、Intune は既定のポリシーを適用します。 たとえば、次の登録シナリオでは、ユーザー主導 ではないため 、既定のポリシーが使用されます。

  • Windows Autopilot の自己展開モードと、事前にプロビジョニングされた展開のための Windows Autopilot
  • Windows Configuration Designer を使用した一括登録
  • 共同管理登録
  • ユーザーレス Apple の自動デバイス登録 (ユーザー デバイス アフィニティを使用しない)
  • Azure Virtual Desktop
  • Windows 365
  • Android Enterprise 企業所有の専用デバイス

• 次の Windows 登録シナリオでは共有デバイス モードが使用されるため、デバイスの上限数の制限をデバイスに適用できません。

  • 共同管理登録
  • グループ ポリシー (GPO) 登録
  • 一括登録を含む Microsoft Entra 参加済み登録
  • Windows Autopilot 登録
  • デバイス登録マネージャー登録

  代わりに、Microsoft Entra ID でこれらの登録の種類のハード制限を構成できます。 詳細については、「Azure ポータルを使用してデバイス ID を管理する」を参照してください。

次の手順

適用する登録制限の種類を選択し、プロファイルを作成します。

• デバイス プラットフォームの登録制限を作成する
• デバイス制限の登録制限を作成する