Microsoft Intune のサービスリリース 2607（2026年7月27日の週）は、Android Enterprise、Windows、macOS、Apple tvOS/visionOS というすべての主要プラットフォームをカバーする大幅なアップデートです。単一の目立つ機能ではなく、エンドポイント管理チームが長年抱えていた課題——Samsung デバイスのファームウェア制御、macOS コンプライアンスのプラットフォームパリティ、Defender の構成権限、Windows デバイス同期の可視性向上——に対処する一連の改善を提供します。

Android Enterprise 向け Samsung Knox E-FOTA ファームウェア更新管理

変更内容： Intune が Samsung Knox Enterprise Firmware-Over-The-Air (E-FOTA) と統合され、管理者は Intune 管理センターから直接、企業所有の Samsung デバイスのファームウェア更新を管理できるようになりました。

Samsung デバイスを多数運用している組織にとって、これは重要な追加機能です。以前は、Samsung デバイスのファームウェア更新はキャリア主導、ユーザー開始、または別の Knox コンソールが必要でした。現在、Intune が中央制御ポイントとなります。

できること：

  • 各デバイスが受信するファームウェアバージョンを制御 — テストグループで新ファームウェアを検証しながら本番デバイスを検証済みバージョンに維持
  • ユーザー操作なしでファームウェア更新を展開 — ユーザーが OTA プロンプトを受け入れることに依存しない
  • ダウンロードとインストールをスケジュール — 営業時間外に更新を計画してダウンタイムを削減
  • 既存の Intune デバイスグループを使用 — グループメンバーシップが変更されるとファームウェア割り当ても自動的に追従

Knox Mobile Enrollment (KME) との相補関係：

KME は登録とプロビジョニングを担当し、E-FOTA は継続的なファームウェアライフサイクルを管理します。ほとんどの Samsung Enterprise 環境では両方を併用します。

適用対象： Android Enterprise COSU、COBO、COPE

macOS 向けカスタムコンプライアンス設定

変更内容： Intune が macOS のカスタムコンプライアンス設定をサポートし、既存の Windows および Linux カスタムコンプライアンス機能とのプラットフォームパリティを実現しました。

Mac が多くの環境にとって、今回のリリースで最も影響力のある変更です。以前は、macOS 管理者は Intune の組み込みコンプライアンス設定に限定されていました。組み込みカタログ外のチェック——サードパーティ EDR エージェントの実行確認やカスタムセキュリティ構成の検証——が必要な場合、外部ツールを構築するかギャップを受け入れる必要がありました。

仕組み：

  1. デバイス状態を評価するスクリプト（bash、zsh、Python）を作成
  2. スクリプトが JSON データを出力
  3. Intune でその JSON 出力を評価するコンプライアンスルールを定義
  4. 結果は Intune 管理中心の標準コンプライアンスレポートと一緒に表示
  5. 非準拠デバイスは Conditional Access でリソースアクセスをブロック可能

実用的なユースケース：

  • EDR/AV 検証 — CrowdStrike、Jamf Protect などのセキュリティエージェントがインストール、実行、正しく構成されていることを確認
  • セキュア構成チェック — sudoers 設定、カスタムパスワードポリシー、FileVault 構成の検証
  • ソフトウェアバージョン強制 — 規制環境で Xcode、Docker、内部ツールの特定バージョンがインストールされていることを確認
  • 規制コンプライアンス — ISO 27001、SOC2、業界固有のコントロールを具体的なスクリプトチェックにマッピングし Conditional Access に連携

適用対象： macOS

Microsoft Defender ウイルス対策設定の制御構成（プレビュー）

変更内容： パブリックプレビューで、Intune が Microsoft Defender ウイルス対策設定の制御構成をサポートします。有効にすると、Intune または Microsoft Defender for Endpoint セキュリティ設定管理で配信される Defender AV 設定が唯一の権威ソースとなり、他のすべてのチャネルからの構成を上書きします。

今回のリリースで最もセキュリティ上重要な変更です。ハイブリッド環境の長年の問題である管理ツール間の構成競合を直接解決します。

解決する問題：

多くの組織で、Defender AV 設定が複数の重複するツールで構成されています：

  • オンプレミス Active Directory からのグループポリシーオブジェクト (GPO)
  • Configuration Manager ベースライン
  • Intune エンドポイントセキュリティポリシー
  • ローカルスクリプトや手動レジストリ編集

これらのツールが競合する構成をプッシュすると結果は予測不可能になります。

制御構成による解決：

CC を有効にすると：

  • Intune/Microsoft 365 Defender 設定が GPO、SCCM、ローカルスクリプト、手動編集より優先
  • デバイスは他のツールが何をプッシュしても Intune 構成に収束
  • Tamper Protection を拡張し、ローカル/マルウェアベースの変更だけでなく他の管理スタックからのポリシーレベルの上書きもブロック

有効化前の準備：

  1. 既存の GPO と Config Manager Defender 構成を監査 — 目標の Defender ベースラインと競合するレガシーポリシーを特定
  2. CC が上書きする内容を文書化 — 切り替える前に何が変わるかを把握
  3. クラウドファーストのセキュリティ標準化を計画 — GPO/SCCM をクラウド管理できないシステムのフォールバックとして扱う

適用対象： Windows

改善された Windows オンデマンドデバイス同期

変更内容： Intune 管理センターのデバイスごとの同期エクスペリエンスが大幅にアップグレードされました。

新機能：

  • リアルタイム同期ステータスペイン — デバイス通知からポリシー/アプリ/スクリプト処理、コンプライアンス計算まで各ステップの進捗を表示
  • MDM + IME 同期の統合 — 同期アクションが MDM チェックインと Intune Management Extension (IME) チェックインを同時にトリガー
  • シングルパス同期 — 1回の同期で構成ポリシー、アプリ、PowerShell スクリプトを同時に取得

トラブルシューティングでの重要性：

以前、同期ボタンはブラックボックスのようでした。クリックして待ち、最善の結果を期待するだけ。Win32 アプリや PowerShell スクリプトが届かない場合、デバイスがチェックインしていないのか IME サイクルがまだ実行されていないのか判断できませんでした。

今、同期ステータスペインで：

  • 障害の正確な位置を特定 — デバイスが到達不能なのかスクリプトがインストール失敗なのか
  • すべてのワークロードが同期されたことを確認 — ポリシー、アプリ、スクリプトが1パスで
  • 障害ポイントのスクリーンショット をエスカレーションチケット用に取得
  • 平均解決時間 (MTTR) を短縮 — より速い診断はより速い修正を意味する

適用対象： Windows

プロパティカタログによる Windows レジストリデータ収集

変更内容： Intune がプロパティカタログを通じて Windows レジストリデータの収集をサポートします。デバイスインベントリポリシーを作成する際、登録済み Windows デバイスから収集する特定のレジストリキーと値を定義できます。

収集モード：

  • 単一値 — 特定のレジストリ値を収集
  • キー下のすべての値 — 指定されたキーの直下のすべての値を収集
  • サブキー間の同じ値 — HKEY_LOCAL_MACHINE 下のすべてのサブキーから名前付き値を収集

実用的なユースケース：

  • セキュリティ態勢監視 — Defender レジストリキーの確認、未承認セキュリティツールの検出、既知のレジストリ署名を使用した Shadow AI エージェントの識別
  • アプリケーション構成の発見 — 必要なアプリ設定が存在し正しく構成されていることを確認
  • ライセンス追跡 — レジストリに保存された機能フラグやライセンス状態を持つデバイスのインベントリ
  • 動的デバイスグループ化 — レジストリ条件に基づいてグループを構築しポリシーをターゲット設定

これにより、SCCM 式のレジストリクエリ機能が Intune のクラウドネイティブインベントリエンジンにもたらされます。Configuration Manager から移行するチームにとって、SCCM を維持する理由がさらに1つ減ります。

適用対象： Windows

Microsoft Store アプリの地域サポート

変更内容： Intune で Microsoft Store アプリを追加する際、検索と展開元の地域（市場）の Store カタログを選択できるようになりました。以前は米国カタログのみが検索可能でした。

必要性：

米国外で運営する多くの組織が、ローカルに公開されたアプリが Intune の Store 統合で利用できないことを発見しました。日本、スペイン、その他の地域市場向けに公開されたアプリは検索結果に表示されませんでした。

これにより管理者は回避策を取らざるを得ませんでした：手動アプリパッケージング、地域別デプロイスクリプト、地理地域ごとの個別アプリカタログ維持など。

有効化すること：

  • グローバルアプリ標準化 — 地域間で機能する Store アプリを使用してアプリベースラインを定義
  • ローカライズされたアプリデプロイ — 特定市場向けに公開されたアプリをデプロイ
  • パッケージングオーバーヘッドの削減 — Store アプリが直接利用可能な場合のカスタムパッケージニーズを削減

適用対象： Windows

tvOS と visionOS の Setup Assistant 画面のスキップ

変更内容： Intune が tvOS と visionOS デバイスの Automated Device Enrollment (ADE) 中に Setup Assistant 画面の非表示/表示をサポートするようになりました。

設定中に表示される画面を選択できます：

  • Apple ID — iCloud サインインプロンプトを抑制
  • 診断データ — 診断共有オプトインをスキップ
  • 位置情報サービス — 位置情報サービス有効化画面をバイパス

会議室ディスプレイやデジタルサイネージとして Apple TV を展開する組織、企業やトレーニングシナリオで Vision Pro を展開する組織にとって、不要な Setup Assistant 画面はデプロイの摩擦ポイントです。非必須画面を抑制することで、デバイスは最小限のインタラクションで直接管理状態になります。

適用対象： tvOS、visionOS

Google ゼロタッチ登録の専用 RBAC 権限

変更内容： Intune に Google ゼロタッチ登録ポータルアクセス用の専用 RBAC 権限が追加され、「アプリ同期の更新」権限から分離されました。

以前のモデルの問題：

以前、ゼロタッチ登録 iframe は「アプリ同期の更新」権限を必要としていましたが、これは Managed Google Play アプリ同期の管理権限も付与します。つまり：

  • 過剰な権限を持つ管理者 — ゼロタッチ登録の管理だけが必要なスタッフが不要なアプリ同期管理能力も取得
  • セキュリティリスク — ゼロタッチ登録はデバイスが自動登録される先とテナント/プロファイルを定義。ここでの設定ミスは新規デバイスを誤った環境に再指向する可能性
  • 職務分離の欠如 — セキュリティベストプラクティスでは登録サプライチェーン管理を日常のポリシー/アプリ管理から分離すべき

適用対象： Android Enterprise

新しい Windows 設定カタログと Edge ポリシー

Windows 設定カタログ：

カメラ動作、キーボードフィルターコントロール（Windows Insider デバイス用）、Linux 用 Windows サブシステム (WSL) 設定を追加。

Microsoft Edge 管理用テンプレート：

Edge 149（バージョン 149.0.4022.21）に更新し、20以上の新しいポリシー設定を追加：

  • 複数の Copilot コントロール（ブラウジング許可/ブロック URL、アドレスバー候補、新しいタブページ構成、Outlook リンクのサイドペイン自動オープン）
  • ローカルフォント権限管理
  • デベロッパーツール URL 許可/ブロックリスト
  • ワークプロファイルでの M365 認証ポップアップ制御
  • WebSocket プロキシ接続制限
  • CPU パフォーマンスティアオーバーライド

リリース 2607 の運用方法

Android チーム：Knox E-FOTA とゼロタッチ RBAC を登録・ライフサイクルドキュメントに組み込む

macOS チーム：カスタムコンプライアンススクリプトを設計し Conditional Access 要件にマッピング

Windows チーム：新しい同期ステータスペインを活用するためのトラブルシューティングスクリプトを更新、制御構成ロールアウトを計画

セキュリティチーム：制御構成、レジストリ収集、カスタムコンプライアンスは IT ツールと同様にセキュリティプログラムツールとして連携

Apple チーム：tvOS と visionOS の ADE プロファイルを更新し不要な Setup Assistant 画面を抑制

まとめ

サービスリリース 2607 は成熟したマルチプラットフォームアップデートであり、異種環境でのより深い制御と可視性に向かう Intune の軌跡を反映しています。注目機能——Samsung Knox E-FOTA 統合、macOS カスタムコンプライアンス、Defender 制御構成——はそれぞれ、複数のプラットフォームと管理スタック間で運用する IT チームを制限してきた特定のギャップに対処します。

エンドポイント管理プロフェッショナルにとって、このリリースは Intune を Windows ファーストのツールから真の統合クラウドネイティブエンドポイント管理プラットフォームに近づけます。クロスプラットフォームコンプライアンス、ファームウェアライフサイクル管理、構成競合解決への投資は、ツールを統合しクラウドファースト運用へとさらに移行する成熟したチームにまさに必要なものです。

Kevin の X フォローは https://x.com/kkaminski で、Intune とエンドポイント管理のコンテンツをさらに入手できます。