Windows デバイスの一括登録

新しい Windows デバイスを Microsoft Entra ID と Intune に参加させます。 Microsoft Entra テナントにデバイスを一括登録するには、Windows Configuration Designer (WCD) アプリを使用してプロビジョニング パッケージを作成します。 企業所有のデバイスにプロビジョニング パッケージを適用すると、デバイスは Microsoft Entra テナントに参加し、Intune 管理用に登録されます。 パッケージが適用されると、Microsoft Entra ユーザーがサインインする準備が整います。

Microsoft Entra ユーザーは、これらのデバイスの標準ユーザーであり、割り当てられた Intune ポリシーと必要なアプリを受け取ります。 Windows 一括登録を使用して Intune に登録されている Windows デバイスは、ポータル サイト アプリを使用して、使用可能なアプリをインストールできます。

要件

プロビジョニング パッケージの作成

1. Microsoft Store から Windows Configuration Designer (WCD) をインストールします。

2. Windows Configuration Designer アプリを開き、[Provision desktop devices] (デスクトップ デバイスのプロビジョニング) を選択します。

3. [新しいプロジェクト] ウィンドウが開くので、そこで次の情報を指定します。

   • 名前 - プロジェクトの名前
   • プロジェクト フォルダー - プロジェクトの保存場所
   • 説明 - プロジェクトのオプションの説明

4. デバイスの一意の名前を入力します。 名前には、シリアル番号 (%SERIAL%)、または文字のランダムなセットを含めることができます。 必要に応じて、Windows のエディションをアップグレードする場合にプロダクト キーを入力したり、デバイスを共有使用のために構成したり、事前にインストールされたソフトウェアを削除することもできます。

   

5. 必要に応じて、初回起動時にデバイスが接続する Wi-fi ネットワークを構成できます。 ネットワーク デバイスが構成されていない場合は、デバイスの初回起動時にワイヤード (有線) ネットワーク接続が必要になります。

6. [Enroll in Azure AD]\(Azure AD に登録\) を選択し、[Bulk Token Expiry]\(一括トークンの有効期限\) の日付を入力して、[Get Bulk Token]\(一括トークンの取得\) を選択します。 トークンの有効期間は 180 日です。

   注:

   プロビジョニング パッケージが作成されたら、関連付けられている package_{GUID} ユーザー アカウントを Microsoft Entra ID から削除することで、有効期限が切れる前に取り消すことができます。

   一括登録プロセスで package_{GUID} ユーザー アカウントを使用するため、MFA で条件付きアクセス ポリシーを使用するテナントは、このシナリオでは MFA がサポートされていないため、このプロセスに対して除外 MFA を設定または無効にする必要があります。

7. 一括トークンを取得するには、Microsoft Entra 資格情報を指定してください。 この操作ではアプリで他の認証方法がサポートされていないため、パスワードまたは CBA 認証を使用して認証してください。
   

   注:

   • Windows Configuration Designer アプリで一括登録トークンを要求するために使用されるアカウントは、Microsoft Entra ID の MDM ユーザー スコープに含める必要があります。 MDM ユーザー スコープに関連付けられているグループからこのアカウントを削除すると、一括登録は機能しなくなります。
   • 段階的なロールアウトが有効になっているフェデレーション ユーザー アカウントでは、一括トークンの取得は機能しません。

8. [すべてのアプリにサインインしたままにする] ページで、[いいえ、このアプリのみにサインインします] を選択します。 チェック ボックスが選択された状態のままにして [OK] をクリックすると、使用しているデバイスが組織によって管理されるようになります。 デバイスを管理対象にしない場合は、必ず [いいえ、このアプリのみにサインインします] を選択してください。

9. 一括トークンが正常にフェッチされたら、[次へ] をクリックします。

10. 必要に応じて [アプリケーションの追加] や [証明書の追加] ができます。 これらのアプリと証明書がデバイスでプロビジョニングされます。

11. 必要に応じて、プロビジョニング パッケージをパスワードで保護できます。 [作成] をクリックします。

デバイスのプロビジョニング

1. アプリで指定したプロジェクト フォルダーの場所にあるプロビジョニング パッケージにアクセスします。

2. プロビジョニング パッケージをデバイスに適用する方法を選択します。 プロビジョニング パッケージは、次のいずれかの方法でデバイスに適用できます。

   • USB ドライブにプロビジョニング パッケージを置いて、USB ドライブを一括登録するデバイスに挿入し、初期セットアップ時に適用する
   • ネットワーク フォルダーにプロビジョニング パッケージを配置して、初期セットアップ後に適用する

   スプロビジョニング パッケージを適用するステップ バイ ステップの手順については、「プロビジョニング パッケージの適用」をご覧ください。

3. パッケージを適用したら、デバイスは 1 分後に自動的に再起動します。

4. デバイスが再起動すると、Microsoft Entra ID に接続され、Microsoft Intune に登録されます。

Windows 一括登録のトラブルシューティング

プロビジョニングに関する問題

プロビジョニングは新しい Windows デバイスで使用することが想定されています。 プロビジョニングのエラーが起きると、場合によっては、デバイスをワイプするか、ブート イメージからデバイスを復元する必要があります。 プロビジョニングのエラーが起きるいくつかの理由について例を挙げます。

• ローカル アカウントを作成しない Active Directory ドメインまたは Microsoft Entra テナントに参加しようとするプロビジョニング パッケージにより、ネットワーク接続がないためにドメイン参加プロセスが失敗した場合、デバイスに到達不能になる可能性があります。
• プロビジョニング パッケージによって実行されるスクリプトは、システム コンテキストで実行されます。 スクリプトは、デバイスのファイル システムと構成に、任意の変更を加えることができます。 悪意のある、または正しくないスクリプトを使用すると、デバイスは再イメージングまたはワイプすることでのみ回復できる状態になることがあります。

イベント ビューアーへの Provisioning-Diagnostics-Provider の管理者ログインでパッケージ内の設定が成功したかどうかを確認できます。

Wi-Fi で一括登録

オープン ネットワークを使用していない場合は、デバイス レベルの証明書を使用して接続を開始する必要があります。 一括登録されたデバイスは、ネットワーク アクセスのためにユーザー対象の証明書に使用することはできません。

条件付きアクセス

条件付きアクセスは、Windows 11 または Windows 10 バージョン 1803 以降を実行して一括登録によって登録されたデバイスで使用できます。