Microsoft Intune は 6 月から 7 月初旬にかけて着実にアップデートを出し続けており、Service Release 2605 と、すでに取り上げた 2606 に続く週次リリースで、いくつかの重要な機能が登場しました。夏のプロジェクトに没頭していた方のために、テナントに届いている最新の変更点で知っておくべきことをまとめます。

セキュリティ態勢の改善から Android 管理のモダナイズ、そして Windows 上で未承認の AI エージェントを検出してブロックする新機能まで、最も影響の大きいアップデートを順に見ていきましょう。

1. マルチ管理者承認が自動化による API 呼び出しにも適用

自動化に依存している Intune 管理者にとって、これはおそらく最も影響の大きい変更です。マルチ管理者承認 (MAA) が、サービス プリンシパル、自動化スクリプト、DevOps パイプラインによる Microsoft Graph API 呼び出しにも適用されるようになりました。 ポータルでの対話的な管理操作だけではありません。

テナントに MAA アクセス ポリシーが構成されていて、サービス プリンシパル、Connect-MSGraph を使う PowerShell スクリプト、またはサードパーティ ツールで保護対象の Intune リソースを変更している場合、それらの呼び出しも手動操作と同じ承認ワークフローの対象になります。必要な承認ヘッダーのない呼び出しは HTTP 403 エラー を返します。

これが重要な理由: この変更以前は、侵害された、または過剰な権限を持つサービス プリンシパルが、人によるチェックを一切経ずに影響の大きい Intune 操作 (アプリの展開、ポリシーの変更、構成ベースライン) を実行できました。今回の変更で、この重大なセキュリティ上のギャップが塞がれます。

推奨アクション:

  • Intune に触れるすべての Graph ベースの自動化 (スクリプト、CI/CD パイプライン、統合ツール) を棚卸しする
  • API 呼び出しに MAA 承認ヘッダーを含めるようスクリプトを更新する
  • アプリ認証トークンを使用していて、すぐにコードを変更できないアプリケーションについては、MAA アクセス ポリシー ウィザードの新しい [除外] タブ を使用し、修正が済むまで特定のアプリを一時的に除外する
  • DevOps チームと自動化チームにプロセスの変更を周知する。承認によって自動化ワークフローに待ち時間が加わります

2. Android Enterprise の個人所有ワーク プロファイルが Android Management API (AMAPI) に移行

Android Enterprise の個人所有ワーク プロファイル (BYOD) の登録方式が大きくモダナイズされます。Intune はこれらのデバイスを従来の登録方式から Android Management API (AMAPI) へ移行し、2 つの大きな改善をもたらします。

Web ベースの登録: ユーザーは登録のために Intune ポータル サイト アプリをインストールする必要がなくなります。登録全体を Web ブラウザーだけで完了でき、この設定はテナント全体に適用され、ID ポータルやオンボーディング フローともシームレスに連携します。

新しいポリシー配信モデル: Intune は、BYOD ワーク プロファイル デバイスへのポリシーの配信と監視について、COBO、COSU、COPE デバイスですでに採用されている方式に合わせた最新の実装を展開しています。これにより、すべての Android 登録の種類で動作の一貫性が高まり、長期的なサポートも向上します。

推奨アクション:

  • Intune 管理センターでオプトインする: [デバイス] > [デバイスのオンボーディング] > [登録] > [Android] > [仕事用プロファイル付きの個人所有デバイス]
  • 「Android 個人所有ワーク プロファイル管理に登録するすべてのユーザーに Web 登録を使用する」 をオンにする
  • [デバイス] > [デバイスの管理] > [構成] > [作成] > [新しいポリシー] > [Android Enterprise] > [Android Management API に移行] から新しいポリシーを作成する
  • ユーザー向けの登録ガイドと案内を更新する
  • 新しいモデルでのコンプライアンス ポリシーと構成ポリシーのカバー範囲を確認する

3. Windows 11 STIG SCAP ベンチマーク監査ベースライン (GCC High)

政府機関のお客様や防衛関連の請負業者にとって、これは大きなニュースです。Intune に、国防情報システム局 (DISA) のセキュリティ技術実装ガイド (STIG) に照らして Windows デバイスを評価する STIG 監査ベースライン が追加されました。

最初のベースラインは、Microsoft Windows 11 STIG SCAP Benchmark Version 2, Release 7 (ベンチマーク日付: 2026 年 1 月 5 日) に対して監査を行います。

主な特徴:

  • 監査のみ: ほかの Intune セキュリティ ベースラインとは異なり、STIG ベースラインは設定を強制したり変更したりしません。現在のデバイスの状態を評価し、詳細なレポートを生成します。
  • DISA コンプライアンス レポート: 監査結果には、正式なコンプライアンス報告のために NIST XCCDF の結果カテゴリへの対応付けが記載されています。
  • Graph API のサポート: プログラムによるデータ取得と、テナントをまたいだ評価結果の集計が可能です。
  • ライセンス: GCC High テナントで利用でき、Advanced Analytics ライセンスが必要です。

推奨アクション:

  • まずパイロット グループに STIG ベースラインをレポートのみのモードで展開する
  • 生成された監査レポートを確認し、既存の GPO ベースのセキュリティ構成と比較する
  • 現状と STIG 要件とのギャップに基づいて修正の優先順位を決める
  • 監査証跡の収集に向けて調査結果を文書化する

4. APP の複数マネージド アカウント

アプリ保護ポリシー (APP) が複数のマネージド アカウントをサポートするようになり、ユーザーは同じアプリ内で複数のマネージド アカウントを追加して管理できます。アプリ保護ポリシーはアカウントごとに個別に適用されるため、アカウントの組織やテナントに応じて保護を調整できます。

最初の対応アプリは iOS/iPadOS 版 Microsoft Teams (v8.10.0 以降) です。ほかのアプリやプラットフォームへの対応も近日中に予定されています。

これが重要な理由: コンサルタント、MSP のスタッフ、複数のテナントや組織を管理するすべての人にとって、別の仕事用アカウントにアクセスするたびにサインアウトとサインインを繰り返したり、アプリのインスタンスを別々に実行したりする必要がなくなります。

推奨アクション:

  • 同じアプリ内に複数の組織が存在する場合に、各テナントの APP ポリシーが正しくスコープ設定されていることを確認する
  • データ転送の制限をテストし、「組織のデータを他の組織に移動できない」が想定どおりに機能することを確認する
  • マルチテナントのユーザーに、追加のアカウントを追加する方法を案内する

5. Windows デバイスでシャドウ AI を検出してブロック (パブリック プレビュー)

Intune は シャドウ AI、つまり管理対象デバイス上で動作する未承認のローカル AI エージェントへの対策に乗り出しました。この新しいパブリック プレビュー機能では、互いに補完し合う 3 つの機能を使って、Windows デバイス上の OpenClaw のようなツールを検出してブロックできます。

  1. プロパティ カタログ: Local AI Agent エンティティを収集し、未承認の AI エージェントが存在する、または動作しているデバイスを特定します
  2. デバイス クエリ: 環境全体で Local AI Agent が存在するデバイスを表示します
  3. Local AI Agent ベースライン - OpenClaw (プレビュー): 管理対象の Windows デバイスでユーザーが OpenClaw を実行できないようにブロックする専用のセキュリティ ベースラインです

これが重要な理由: シャドウ AI ツールは、機密データを持ち出し、承認されていないコードを実行し、既存のデータ損失防止制御を回避するおそれがあります。AI エージェントが急増するなか、IT チームとセキュリティ チームには検出だけでなく、ポリシーを強制する能力が求められています。

推奨アクション:

  • セキュリティ チームおよび法務チームと連携し、組織としての AI ガバナンスの方針を定める
  • プロパティ カタログ ポリシーを展開し、未承認の AI エージェントがあるデバイスを棚卸しする
  • デバイス クエリを使用してレポートを生成する
  • 必要に応じて OpenClaw ベースラインを展開し、利用をブロックすることを検討する
  • 許可される AI ツールと禁止される AI ツールについて、エンド ユーザーへの案内を計画する

6. Cloud PKI 発行証明機関のインプレース更新

Intune の Cloud PKI を使用している場合、この運用上の改善で大幅に時間を節約できます。インプレース更新 により、新しい CA を作成したり SCEP 証明書プロファイルを更新したりすることなく、対象となる発行 CA を更新できます。

これまでは、発行 CA を更新するには新しい CA を作成し、依存するすべての SCEP プロファイルを手動で更新する必要があり、構成ミスのリスクと運用負荷が生じていました。インプレース更新では、Wi-Fi、VPN、メールのシナリオで証明書の発行が中断されずに継続します。既存の SCEP プロファイルやデバイスの割り当てを変更する必要はありません。

7. Android 向け Microsoft Tunnel の厳格トンネル モード

Microsoft Tunnel が Android Enterprise デバイスでの厳格トンネル モード (Strict Tunnel Mode) をサポートするようになりました。有効にすると、すべてのネットワーク トラフィックが VPN トンネルを経由するよう強制されます。VPN 接続が切断された場合、VPN が再接続するまでデバイス上のすべてのネットワーク トラフィックがブロックされ、アプリがトンネルの外でパブリック インターネットにアクセスすることを防ぎます。

アプリ除外リストを使えば、特定のアプリ (認証ヘルパーや信頼できる生産性ツールなど) にトンネルをバイパスして直接接続させることができます。

厳格トンネル モードは、Microsoft Tunnel の VPN プロファイルが常時接続 VPN で構成されている場合に利用できます。Android Management API で登録されたデバイスが必要で、MAM 登録デバイスについては Microsoft Edge のアプリ構成ポリシーを通じてサポートされます。

8. Android の基幹業務アプリを直接管理

Managed Google Play に公開することなく、Android の LOB アプリを Microsoft Intune で直接管理できるようになりました。APK ファイルを Intune に直接アップロードし、対応する Android Enterprise の登録の種類 (COBO と COSU) に展開するだけです。

これは、次のような組織にとって大幅な簡素化になります:

  • 社内向け Android アプリを開発・配布している
  • Google Play へのアクセスが制限された環境で運用している
  • Google Play サービスを完全には備えていないキオスク デバイスや堅牢型デバイスを使用している
  • プライベート アプリを短いサイクルで迅速に改良する必要がある

直接管理する LOB アプリもアプリ構成ポリシーをサポートしているため、Managed Google Play アプリと同じ柔軟性で構成できます。

9. 脆弱性修復エージェントが Microsoft Entra エージェント ID を使用

脆弱性修復エージェント (パブリック プレビュー) は、人間のユーザー ID ではなく Microsoft Entra エージェント ID を使用するようになりました。新しいエージェント インスタンスをセットアップすると、セットアップ プロセスによってテナントの Entra ディレクトリにエージェント ID が自動的にプロビジョニングされます。エージェントは、このエージェント ユーザーに委任された権限の下で動作します。

タイミングに関する重要な注意: すでに人間のユーザー ID を使用するエージェントがある場合、当面は引き続き動作しますが、そのサポートは このリリースから 90 日後 に終了します。期限までにエージェント ID へ移行する必要があります。エージェント ID への移行が可能になると、エージェントのページにバナーが表示されてお知らせします。

10. その他の注目すべきアップデート

Managed Home Screen の機能強化 (6 月 8 日の週)

  • カスタム トップ バー要素: {{SerialNumber}}、{{DeviceName}}、{{TenantName}} などの動的変数を含む自由形式の文字列 (最大 63 文字) を表示できます
  • ロック タスク モード終了パスワード: アプリ構成ポリシーではなく、デバイス構成プロファイルで構成する必要があります
  • 認証中のアプリの消音: MHS がロックされている間、通知、トースト、着信音を抑止します。重要なアプリ向けの許可リストも構成できます

設定カタログに Microsoft Edge 148 の新しい設定

Copilot の新しいタブ ページの制御、Copilot を使ったブラウズの許可/ブロック リスト、仕事用プロファイルでの M365 認証ポップアップの動作、開発者ツールの許可/ブロック リストなど、新しい Edge ポリシーが大量に追加されました。Windows の設定カタログで利用できます。

iOS/iPadOS 向けの新しい有線ネットワーク プロファイル

ドックやモニター接続を使用する M シリーズ iPad 向けの 802.1x 有線ネットワーク プロファイルです。EAP-TLS、PEAP、TTLS をサポートします。iOS/iPadOS 17 以降が必要です。

iOS/iPadOS 版 Intune アプリのバージョン要件

Android 版 Microsoft Intune アプリは、バージョン 2025.11.01 以降が必要になりました。この変更は 2026 年 5 月 1 日に発効しています。古いバージョンのユーザーはサインインに失敗する可能性があります。

まとめと推奨アクション

機能優先度対象
自動化への MAA 適用高自動化を利用するすべての組織
Android AMAPI 移行高BYOD Android を運用する組織
STIG 監査ベースライン中GCC High / DoD のお客様
APP の複数マネージド アカウント中マルチテナントの組織
シャドウ AI 検出中規制対象業界
Cloud PKI のインプレース更新低～中Cloud PKI ユーザー
厳格トンネル モード低～中Android と Tunnel を使う組織
Android LOB の直接管理低～中社内 Android アプリの開発者

2605 リリースとその前後の週次アップデートは、2026 年を通じて見られてきた傾向を引き継いでいます。Intune はデバイス管理ツールから、包括的なセキュリティ運用プラットフォームへと進化しつつあります。自動化ガバナンスの制御 (API 呼び出しへの MAA)、正式なコンプライアンス ベースライン (STIG)、AI エージェントのガバナンス (シャドウ AI 検出) の追加は、いずれもこの方向性を示すものです。

いつものとおり、広く展開する前にステージング環境でこれらの機能をテストし、段階的なロールアウトに注意してください。機能によっては、テナントに届くまで数週間かかる場合があります。

Intune とエンドポイント管理に関するその他のコンテンツは、X/Twitter で Kevin をフォローしてください: https://x.com/kkaminsk