Microsoft Intune サービス リリース 2610 は、Microsoft により 2026 年 10 月 26 日の週に公開され、管理者による AOSP アプリケーション、Apple のルーティングと更新、Windows セキュリティ、証明書インフラストラクチャ、アクセス許可、スクリプト配信の管理方法を変更します。このリリースには、ポリシー、ファイアウォール、移行に直接影響する複数の構成変更が含まれます。
Intune 管理者にとってのメッセージは明確です。このリリースは単一の注目機能というより、サポートされない経路を排除し、より適切な制御の証跡を提供するものです。チームは 2610 を、Apple ポリシー、Windows 接続性、証明書運用、委任管理の見直しサイクルとして扱うべきです。
1. AOSP 参照アプリで既存パッケージを管理
Microsoft によると、Intune は APK のアップロードを必要とせず、パッケージ名でアプリケーションを識別する AOSP 参照アプリの種類をサポートするようになりました。この機能は、サポート対象の AOSP デバイスにすでに存在する OEM アプリ、プリロード アプリ、または外部展開されたアプリに適用されます。
Required の割り当ては既存アプリを表示し、Uninstall の割り当てはそれを非表示にします。これは別のアプリケーション配布メカニズムではありません。デバイス上にすでに存在するソフトウェアの制御レイヤーです。
Microsoft の AOSP アプリケーション ドキュメントでは、参照アプリに JSON ベースのアプリ構成ポリシーを適用できることも説明されています。Intune には管理対象構成スキーマを取得するためのアップロード済み APK がないため、Configuration designer と Connected Apps はサポートされません。
制御できること： パッケージ名から参照アプリケーションを作成し、Required または Uninstall の意図を割り当て、手動で作成した JSON 構成を対象に適用できます。
重要な理由： OEM イメージまたは外部展開システムを使用する組織は、Intune でパッケージ配布を重複させることなく、デバイス常駐アプリケーションを統制できます。その代償として、正確なパッケージ名とベンダー提供の JSON スキーマへの依存度が高くなります。
管理者の対応： 各対象パッケージがすでにデバイス上にあることを確認し、OEM またはアプリケーション ベンダーから正確なパッケージ名を取得して、限定的な AOSP グループで表示動作と JSON 設定の両方をテストしてください。
2. Apple VPN プロファイルに Enforce Routes のサポートを追加
Microsoft によると、Intune は iOS、iPadOS、macOS の VPN プロファイルで Apple の Enforce Routes 機能をサポートするようになりました。管理者は Include all networks と Exclude local networks を使用して想定する動作を定義し、Intune が対応する Enforce Routes 構成を導出します。
Microsoft の Apple VPN ドキュメントによると、結果として生じる動作は Apple のルーティング セマンティクスに従います。Include all networks は大半のトラフィックをトンネル経由にし、Exclude local networks はローカル サービスをトンネル外に維持できるようにします。
制御できること： トラフィックで VPN を広範に使用するかどうか、およびローカル ネットワーク トラフィックを直接アクセス可能な状態に維持するかどうかを指定できます。
重要な理由： 明示的なルーティングにより、あいまいなルート優先順位によるトラフィックのバイパスや匿名性の喪失の可能性を低減できます。これはセキュリティ制御ですが、組み合わせを誤ると、ローカル プリンター、近隣サービス、または特殊なルーティング依存関係を持つリソースへのアクセスも妨げる可能性があります。
管理者の対応： 既存の Apple VPN プロファイルを確認し、想定するルート動作を文書化して、本番の割り当てを変更する前にフルデバイス VPN とアプリ単位 VPN のシナリオをテストしてください。
3. 従来の Apple 更新ワークロードを削除
Microsoft によると、Apple が OS 27 で基盤となるコマンドとペイロードを廃止したため、Intune は従来の Apple MDM ソフトウェア更新ワークロードを削除しています。管理者はソフトウェア更新の管理を継続するために、Apple の宣言型デバイス管理更新ポリシーを使用する必要があります。
Microsoft の Apple 更新計画ガイダンスでは、宣言型デバイス管理をサポートされる代替手段として位置付けています。このモデルでは、管理者が望ましい更新動作を宣言し、デバイスがダウンロード、通知、準備、インストールのライフサイクルのより多くを管理します。
これは UI の整理ではありません。基盤となる Apple メカニズムがサポートされなくなった制御の削除です。
これが意味すること： 従来の MDM 更新コマンドを中心に構築された既存の運用ドキュメント、自動化、ポリシー レビューは、現在では古くなっています。サポートされる経路は、宣言型の更新強制と関連するソフトウェア更新設定です。
重要な理由： 社内の手順書には残っていても、サポートされるデバイス コマンドに対応しないポリシーは、誤った安心感を生みます。これはコンプライアンスとパッチ ガバナンスの問題です。
管理者の対応： 従来の Apple 更新構成を棚卸しし、宣言型ポリシーに置き換え、代表的な iOS、iPadOS、macOS デバイスで期限およびユーザー通知の動作を検証してください。
4. MEFERI OEMConfig のサポートが Android Enterprise に追加
Microsoft は、Android Enterprise デバイス向けに、パッケージ名 com.meferi.oemconfig で識別される MEFERI OEMConfig アプリケーションのサポートを追加しました。管理者は Intune の既存 OEMConfig ワークフローを使用して、MEFERI が OEM 提供スキーマを通じて公開する設定を展開できます。
必要なワークフローは、Managed Google Play からアプリケーションを追加して割り当て、スキーマ バンドル用の OEMConfig プロファイルを作成することです。利用可能な設定は Intune ではなく MEFERI によって定義されます。
制御できること： チームは標準の Intune OEMConfig ポリシー モデルを通じて、MEFERI 固有のデバイス機能を構成できます。
重要な理由： 必要な設定が OEM スキーマを通じて公開されている場合、MEFERI のフリートでは別個の構成回避策が不要になります。利用可能なキーと既定値は OEM が制御するため、スキーマの変更には引き続きテストが必要です。
管理者の対応： Managed Google Play から com.meferi.oemconfig を追加し、パイロット デバイス グループに割り当て、公開されるスキーマを確認して、展開を拡大する前にポリシーの競合をテストしてください。
5. Setup Assistant の従来認証を終了
Microsoft によると、Intune は、ユーザー紐付けを使用する iOS、iPadOS、macOS の自動デバイス登録プロファイルにおける Setup Assistant の従来認証のサポートを終了しました。既存のプロファイルは、モダン認証を使用する Setup Assistant に自動的に更新されます。
管理者がプロファイルを作成または編集する場合、従来のオプションは使用できなくなります。これらのプロファイルを通じてすでに登録されたデバイスは、引き続き登録された状態であり、影響を受けません。
これが意味すること： 直近のリスクはデバイスの登録解除ではありません。自動更新されたプロファイルを使用する将来のデバイスにおける登録ワークフローの変更です。
重要な理由： 自動登録中の認証動作は、ユーザーへのプロンプト、サポート手順、条件付きアクセスの順序に影響します。プロファイルが自動更新される場合でも、運用面での検証が必要です。
管理者の対応： 影響を受ける自動デバイス登録プロファイルを確認し、該当する各 Apple プラットフォームで新規登録を実行して、モダン認証のプロンプトを反映するようヘルプデスク ドキュメントを更新してください。
6. Administrator protection を Intune ポリシー全体に拡張
Microsoft は、エンドポイント セキュリティの Account protection ポリシーに 2 つの Administrator protection 設定を追加しました。サポートされる Windows 11 バージョンでは、管理者は Administrator Approval Mode の種類を構成し、Administrator protection で使用する昇格プロンプトの動作を選択できます。
Microsoft によると、同じ 2 つの制御は Windows 11 バージョン 24H2 および 25H2 の設定カタログでもサポートされます。これにより、動作を構成するための Intune ポリシー画面が 2 つ提供されます。
制御できること： サポートされる Windows デバイス上で、Administrator Approval Mode の動作と昇格プロンプトの表示方法を定義できます。
重要な理由： 昇格動作は、デバイスごとの想定ではなく、明示的なポリシー判断になります。Account protection と設定カタログの両方で構成が重複すると、回避可能なポリシー競合が発生する可能性があります。
管理者の対応： これらの設定に対するポリシーの管理元を 1 つ選択し、サポート対象の Windows パイロット グループを対象にして、広範な割り当ての前に結果のポリシー状態を確認してください。
7. Windows プッシュ接続にはファイアウォールの見直しが必要
Microsoft によると、デバイス アクション、Win32 アプリケーション、PowerShell スクリプト、Remediations を含む、プッシュ通知に依存する Windows シナリオの接続性が改善されました。Microsoft は、ファイアウォール ルールを更新して新しいエンドポイントを含め、最新の Intune および Windows Push Notification Services の依存関係リストを確認することを推奨しています。
監視対象のリリース エントリには、エンドポイント値自体は記載されていません。管理者は、古いファイアウォール ベースラインからアドレスをコピーするのではなく、Microsoft の最新のネットワーク要件を使用する必要があります。
重要な理由： プッシュ経路がブロックされると、複数の運用ワークフローが同時に遅延する可能性があります。根本的な問題がネットワーク アクセスであるにもかかわらず、アプリケーション、スクリプト、またはデバイス アクションの障害として見える場合があります。
管理者の対応： 送信ファイアウォールおよびプロキシ ルールを Microsoft の最新エンドポイント要件と比較し、代表的なネットワーク セグメントからテストして、デバイス アクションとスクリプト通知が管理対象の Windows デバイスに到達することを確認してください。
8. Apple OS 27 の DDM データをデバイス インベントリに追加
Microsoft によると、Intune のデバイス インベントリには、OS 27 を実行する Apple デバイスの宣言型デバイス管理ステータス データが含まれるようになりました。追加されるインベントリには、ハードウェア コンポーネントの正常性、拡張ログ セッション、コンテンツ キャッシュの状態、Apple MDM とセキュリティの状態が含まれます。
これらの状態には、登録タイプ、構成待ち、ロックダウン モードが含まれる場合があります。Microsoft は、利用可能な値がデバイスの OS、ハードウェア、登録、および宣言型管理機能に依存すると説明しています。
制御できること： この変更は新たな強制メカニズムではなく、追加のインベントリ証跡を提供します。
重要な理由： サポート チームとセキュリティ チームは、追加された状態データを使用して、ユーザー報告だけに依存することなく、構成、ハードウェア正常性、キャッシュ、登録の状態を区別できます。利用可能性は異なるため、値がないことを自動的に障害と解釈すべきではありません。
管理者の対応： 代表的な OS 27 デバイスのインベントリ出力を確認し、どの新しいプロパティをサポート手順、コンプライアンス調査、運用レポートに含めるかを決定してください。
9. Agent runtime protection が一般提供に
Microsoft によると、Microsoft Defender for Endpoint の Agent runtime protection 設定向けエンドポイント セキュリティ テンプレートが一般提供になりました。このテンプレートにはプレビューの指定がなくなり、新しい AI agent runtime inspection 設定が含まれます。
制御できること： 管理者は、AI agent runtime inspection を含む、Windows デバイス向けのサポート対象ランタイム保護設定をエンドポイント セキュリティ テンプレートから構成できます。
重要な理由： 一般提供により、展開の判断はプレビュー評価から本番ポリシーの計画へ移行します。ただし、互換性とレポート動作をテストする必要性がなくなるわけではありません。
管理者の対応： プレビュー期間中の割り当てを確認し、一般提供テンプレートと比較して、管理された Windows グループで AI agent runtime inspection をテストし、拡大前にロールバック基準を文書化してください。
10. Certificate Connector の正常性を管理センターで確認可能に
Certificate Connector for Microsoft Intune は、Intune 管理センターで正常性および状態シグナルを公開するようになりました。Microsoft によると、これらのインジケーターは、到達不能な証明機関、証明書の発行または失効に必要なサービス アカウント権限の不足、PKCS プロファイルとの証明書テンプレート不一致などの状態を識別します。
各シグナルには、調査および修復ガイダンスが含まれます。これにより、証明書ポリシーの割り当てと証明書発行の間にあった運用可視性のギャップが解消されます。
重要な理由： 証明書の障害は、アクセス、サインイン、またはコンプライアンスの問題として下流で表面化する可能性があります。コネクタ レベルの正常性証跡により、管理者は失敗した各デバイスを個別のエンドポイント問題として扱う前に、発行経路を調査できます。
管理者の対応： 定期的なコネクタ正常性レビューを確立し、証明機関およびサービス アカウントの障害に対する担当者を割り当て、新しいシグナルを証明書インシデントの手順書に組み込んでください。
11. スコープ付き RBAC アクセス許可が一般提供に
Microsoft によると、Intune のロールベース アクセス制御向けスコープ付きアクセス許可が一般提供になりました。異なるスコープ タグを持つロール割り当てのアクセス許可は、マージされるのではなく、独立して適用されます。
Microsoft は、スコープ付きアクセス許可を有効にする前に Permissions Assessment Report を使用することを推奨しています。マージされた動作が独立したスコープ割り当てに置き換わると、管理者の実効アクセスが変化する可能性があるため、このレポートは必須の計画制御です。
重要な理由： これは見た目だけの RBAC 調整ではありません。スコープ境界をまたぐ委任アクセスの計算方法を変更します。
スコープ タグを使用して地域、事業部門、または管理チームを分離している組織では、新しい動作により意図した境界をより適切に維持できます。一方で、管理者が以前はマージされた割り当てを通じて得ていたアクセスが削除される可能性もあります。
管理者の対応： Permissions Assessment Report を実行し、実効アクセスが変更される管理者を特定して例外を文書化し、影響を受けるサポート チームと運用チームが結果を承認した後にのみスコープ付きアクセス許可を有効にしてください。
12. Windows スクリプトでより高速なプッシュベース配信を実現
Microsoft によると、Intune は、管理者が開始した変更およびサービス側の Windows スクリプト変更に対して、プッシュ通知を使用するようになりました。管理対象デバイスは、通常のポーリング間隔を待つだけでなく、スクリプト変更後により早くチェックインできます。
スクリプトの作成および割り当てのワークフローは変更されません。変更されるのは配信トリガーです。
重要な理由： より高速な通知により、スクリプト変更からデバイス処理までの間隔を短縮でき、修復や時間に制約のある構成作業に役立ちます。この改善は引き続きプッシュ接続の正常性に依存するため、リリース 2610 におけるファイアウォールの見直しは運用上重要です。
管理者の対応： 異なるプロキシおよびファイアウォール経路を持つネットワークからスクリプト配信を検証し、観測されたチェックイン動作を比較して、オフラインまたはプッシュ通知を受信できないデバイスに対して現実的な展開期間を維持してください。
全体像
- Apple の移行を完了する。 ソフトウェア更新を宣言型デバイス管理へ移行し、自動登録時のモダン認証を検証して、VPN ルーティングを統合された Apple ワークストリームとして確認してください。
- 接続性を依存関係として扱う。 デバイス アクション、Win32 アプリケーション、スクリプト、Remediations の配信速度を評価する前に、Windows プッシュの許可リストを更新してください。
- 新しいセキュリティ制御をパイロット運用する。 重複する設定に対して文書化された単一のポリシー管理元を設け、管理されたグループで Administrator protection と Agent runtime inspection をテストしてください。
- 新しい証跡を活用する。 Certificate Connector の正常性、Apple OS
27のインベントリ、Permissions Assessment Report を運用レビューに追加してください。 - ベンダー定義の Android 制御を検証する。 本番環境への割り当て前に、AOSP パッケージ名、JSON スキーマ、MEFERI OEMConfig の動作を確認してください。
今後の Intune 更新情報にもご期待ください。また、いつものように、本番環境へ展開する前に徹底的にテストしてください。