Microsoft Intune の Service Release 2607 は、7 月 27 日の初回リリース日以降も段階的な更新を続けています。Windows デバイス構成プロファイルに 5 つの新しい設定カタログ項目が追加されました。内容は、Azure Virtual Desktop セッション管理、Microsoft Store パッケージの削除、Get Started アプリの制御、OneDrive ガバナンス、そしておそらく最も注目すべき点として、Visual Studio の GitHub Copilot で Model Context Protocol (MCP) を無効化する新しいポリシーです。
これらの追加は、Intune 設定カタログを Windows エンドポイントの中心的な構成ハブにしようとする Microsoft の継続的な取り組みを反映するとともに、AI ツールとクラウド ストレージをめぐって浮上しているガバナンス上の課題に対処するものです。
以下に、各新しい設定の詳細、その機能、そして IT 管理者が注目すべき理由を説明します。
Windows 設定カタログの新しい Windows App (Azure Virtual Desktop) 設定
Intune は、Windows 設定カタログに 5 つの新しい Windows App (Azure Virtual Desktop) 設定を直接公開するようになりました。これらの設定により、管理者は管理対象 Windows デバイス上の Windows App クライアントのエクスペリエンスをポリシー レベルで制御できます。これまでは手動構成またはグループ ポリシーが必要でした。
新しい設定:
- Windows App の自動更新をオフにする — Windows App クライアントが更新プログラムを自動的にチェックしてインストールするかどうかを制御します。自社のプロセスで更新タイミングを管理したい場合は、これを無効にします。
- 非アクティブ期間経過後にユーザーを自動的にログオフする — 定義された非アクティブ期間の経過後、Windows App からユーザーをサインアウトさせます。これは、アイドル状態の AVD セッションがアクセス可能なままになるのを防ぐセッション セキュリティ制御です。
- 初回実行エクスペリエンス (FRE) をスキップする — Windows App のオンボーディング ウィザードをスキップし、ユーザーがリソースに直接アクセスできるようにします。標準化された展開での摩擦を軽減します。
- 管理者リリース リング ポリシー — Windows App が追従する更新リリース リング (チャネル) を設定します。Windows 機能更新プログラムを段階的に展開するのと同じ方法で、Windows App の更新を段階的に展開できます。
- Windows App のショートカットをデスクトップに自動作成する — 公開された Windows App リソースのデスクトップ ショートカットを作成します。特定の AVD リソースに即座にアクセスする必要があるタスク ワーカー環境で役立ちます。
これが重要な理由:
Azure Virtual Desktop を運用している組織にとって、これらの設定は Intune のデバイス管理と AVD クライアント エクスペリエンスの間のギャップを埋めます。従来、Windows App クライアントの構成には、グループ ポリシー、カスタム スクリプト、または既定の動作を受け入れることが必要でした。これらが Intune 設定カタログに取り込まれたことで、次のことが可能になります:
- セッション セキュリティ — 非アクティブ後の自動ログオフにより、共有エンドポイントや BYOD エンドポイントでの離席リスクを抑えられます。規制対象環境では、ISO 27001 や SOC 2 などのフレームワークで要求されるセッション管理制御をサポートします。
- 更新ガバナンス — リリース リング制御により、広範な展開の前にテスト グループで新しい Windows App バージョンをパイロット展開でき、クライアント側の互換性問題のリスクを軽減できます。
- ユーザー エクスペリエンスの標準化 — FRE のスキップとショートカットの自動作成により、サポート チケットが減り、ユーザー主導の初回構成によるばらつきが排除されます。
実用的なユース ケース:
- 高セキュリティ AVD 環境 — 財務、人事、管理者デスクトップに短いアイドル タイムアウト (15〜30 分) を適用する
- タスク ワーカー展開 — コール センターやキオスクのシナリオで、摩擦なく即座にアクセスする必要があるユーザー向けに、デスクトップ ショートカットを自動作成し FRE をスキップする
- 段階的な Windows App ロールアウト — リリース リングを使用して、新しい AVD クライアント バージョンを本番ユーザーに展開する前に検証する
適用対象: Windows
既定の Microsoft Store パッケージを削除する設定の新しいオプション
ApplicationManagement 領域にある既存の [既定の Microsoft Store パッケージを削除する] 設定に、新しいサブ設定 [削除する追加のパッケージ ファミリ名を指定する] が追加されました。
その機能:
このサブ設定により、Intune が既に削除する既定の Microsoft Store パッケージ セットに加えて、Windows デバイスから削除するパッケージ ファミリ名 (PFN) のカスタム リストを指定できます。従来は既定のセットのみを削除でき、組織固有のパッケージでリストを拡張する方法はありませんでした。
これが重要な理由:
- 攻撃面の削減 — プリインストールされた Store アプリはすべて、更新チャネル、潜在的な脆弱性、ユーザーがコンシューマー サービスにアクセスする経路になり得ます。削除リストを拡張することで、追加のブロートウェア、コンシューマー アプリ、または承認されなくなった以前に展開されたアプリを取り除けます。
- データ漏えいの防止 — コンシューマー Microsoft アカウントに同期するアプリ (Xbox、コンシューマー OneDrive、コンシューマー Outlook) を削除することで、企業データが個人のクラウド サービスに流れ込む可能性を減らせます。
- コンプライアンスと標準化 — カスタム PowerShell スクリプトやイメージ変更ではなく Intune ポリシーで実行することで、反復可能、レポート可能、監査可能になります。これは規制対象環境の重要な要件です。
実用的なユース ケース:
- 規制対象環境 — PII、HIPAA データ、または輸出規制対象情報を扱うエンドポイントから、コンシューマー向けメッセージング、ゲーム、ソーシャル アプリを取り除く
- 特権ワークステーション — 管理者または開発者ワークステーションから不要な Store アプリをすべて削除し、横移動の経路を減らす
- キオスクおよび共有デバイス — 承認済みの Store アプリのみを利用可能にするロックダウンされたエクスペリエンスを提供する
適用対象: Windows
Get Started アプリを無効化する新しい設定
Experience ポリシー CSP の新しい [Get Started を無効にする] 設定により、Windows の Get Started アプリをユーザーが利用できないようにできます。
その機能:
Get Started アプリ (ヒントや Get Help と呼ばれることもあります) は、Microsoft の推奨事項、機能のハイライト、セットアップ ガイダンスをユーザーに表示する Windows のオンボーディング エクスペリエンスです。個人の Microsoft アカウントでのサインイン、コンシューマー機能の有効化、企業ポリシーと競合する可能性のある Microsoft サービスの探索を促すプロンプトが頻繁に含まれます。
この新しい Intune 設定により、管理者は管理対象 Windows デバイス全体でアプリを完全に抑制できます。
これが重要な理由:
- 競合するガイダンスの排除 — Get Started アプリは、個人アカウントでのサインイン、コンシューマー OneDrive の有効化、または企業 IT が承認していない機能の探索をユーザーに頻繁に促します。これを無効化することで、ユーザーは企業のオンボーディング フローに従うようになります。
- サポート チケットの削減 — Get Started のプロンプトに従ったユーザーは、Intune ポリシーと競合する構成になり、設定が期待と一致しないときにサポート チケットが発生することがよくあります。
- よりクリーンな VDI エクスペリエンス — AVD および共有デバイスでは、Get Started アプリは価値のないノイズを追加します。これを無効化すると、タスク ワーカーにとってより焦点の絞られたエクスペリエンスになります。
実用的なユース ケース:
- 企業 ID 環境 — 会社管理のマシンで個人の Microsoft アカウントを使用するよう促すプロンプトを防止する
- VDI および共有ワークスペース — オンボーディング ガイダンスを必要としないタスク ワーカー向けに不要な UX 要素を削除する
- 教育および試験ラボ — 学生をその環境で承認されていない機能やネットワークに導く可能性のある提案を回避する
適用対象: Windows
Windows 設定カタログの新しい OneDrive 設定
Windows 設定カタログに 7 つの新しい OneDrive 設定が追加され、管理者は管理対象 Windows デバイス上の OneDrive 構成を大幅に細かく制御できるようになりました。これらの設定は、特にオフライン データ アクセスとハイブリッド SharePoint 認証に関する、OneDrive ガバナンスの長年のギャップに対処します。
新しい設定:
OneDrive フォルダーのカスタム名を設定する
管理者は、既定の「OneDrive – <組織名>」の代わりに、ローカルの OneDrive 同期フォルダーのカスタム名を指定できます。これは特に次の場合に役立ちます:
- マルチテナント組織 — ユーザーが異なるテナントの OneDrive フォルダーを持つ場合、「Corporate-OneDrive」のようなカスタム名で曖昧さを排除できます
- スクリプトと自動化の一貫性 — 既知のフォルダー パスに依存するコンプライアンス スクリプト、バックアップ ツール、監視システムをすべてのデバイスで確実に動作させられます
- データ分類の明確化 — 明確にラベル付けされたフォルダーにより、ユーザーは企業ストレージと個人の場所を区別しやすくなります
オンプレミス SharePoint 同期の OIDC 認証を有効にする
オンプレミスの SharePoint Server に接続する際、OneDrive 同期クライアントの OpenID Connect (OIDC) ベースの認証を有効にします。これにより、ハイブリッド SharePoint シナリオに最新のトークン ベース認証がもたらされ、レガシー認証方式が置き換えられます。
- 最新の認証への整合 — OIDC は、SharePoint Online が使用するものと同じトークン ベースで条件付きアクセスに対応した認証モデルをオンプレミス SharePoint にもたらします
- パスワードレスへの準備 — 最新の認証はパスキーやパスワードレス戦略の前提条件であり、オンプレミス コンテンツへのパスワード ベースのアクセスへの依存を減らします
- 統合されたガバナンス — コンテンツが SharePoint Online にあろうとオンプレミスにあろうと、一貫した ID およびアクセス管理を適用できます
OIDC 用 Entra アプリケーションの Application ID URI を指定する
上記の OIDC 認証の付随設定です。OIDC に使用する Microsoft Entra アプリケーションの Application ID URI が SharePoint Server の URL と異なる場合に、その URI を指定します。Entra アプリ登録が SharePoint エンドポイントとは異なる URI を使用するケースに対応します。
ユーザーが Web 上の OneDrive でオフライン モードを有効にすることを防ぐ
Web 上の OneDrive でユーザーがオフライン モードをオンにすることをブロックします。これは今回のリリースで最もセキュリティ上重要な OneDrive 設定の 1 つです。
オフライン モード制御が重要な理由:
- エンドポイント上のデータ レジデンシー — オフライン同期は、機密ファイルがローカルにキャッシュされるかどうかを決定します。これを制限すると、暗号化されている場合でも、紛失または盗難されたデバイス上のデータ量を減らせます。
- BYOD および請負業者デバイス — 管理が緩いエンドポイントでは、オフライン モードをブロックすることでブラウザー ベースのアクセスのみが許可され、企業ファイルの制御されないローカル コピーを防げます。
- 規制コンプライアンス — 一部のデータ保護体制では、データが物理的に存在する場所が非常に重視されます。厳格なオフライン制御により、機密ライブラリがエンドポイントに永続的にキャッシュされていないことを示しやすくなります。
- インシデント対応 — ローカル キャッシュが少なければ、デバイスが侵害されたときの封じ込めが簡単になります。回復すべきデータが少なく、追跡すべきコピーも少なくなります。
他の組織から共有されたライブラリのオフライン モードを防ぐ
オフライン モードのブロックを、他の組織から共有されたライブラリとフォルダーにも拡張します。これは、外部組織がユーザーとコンテンツを共有する B2B コラボレーション シナリオで重要です。アクセスは許可しても、そのコンテンツがローカルにキャッシュされないようにしたい場合があります。
アンマウント時にフォルダー ショートカットの内容を完全削除する
OneDrive フォルダー ショートカットがアンマウントされるとき、この設定はローカルの内容をごみ箱に移動する代わりに完全に削除します。孤児データをデバイスに残さず、クリーンなプロビジョニング解除を保証します。
ユーザーがアクセス許可を失ったときにフォルダー ショートカットの内容を完全削除する
ユーザーがフォルダーへのアクセス許可を失ったとき、フォルダー ショートカットの内容を完全に削除します。これは次の場合に重要です:
- 自動化された退職処理 — 従業員が退職してプロジェクト アクセスが取り消されたとき、共有フォルダーのキャッシュ済みデータがデバイスに残らないことを保証します
- プロジェクトの異動 — ユーザーがプロジェクト間を移動するとき、古いプロジェクト データがごみ箱に残るのではなく、きれいに削除されます
OneDrive 設定の実用的なユース ケース:
- 高機密ライブラリ (M&A、医療記録、防衛プロジェクト) — オフライン同期を完全にブロックし、AVD またはブラウザー経由のアクセスのみを要求する
- 共有またはキオスク デバイス — OneDrive がセッション間でユーザー データをキャッシュするのを防ぐ
- マルチテナント組織 — カスタム フォルダー名を使用してテナントの OneDrive インスタンスを区別する
- ハイブリッド SharePoint — 条件付きアクセス ポリシーを維持しながら、オンプレミス SharePoint に最新の認証用の OIDC を有効にする
- 退職処理の自動化 — 完全削除設定により、ユーザーが退職または役割変更したときにアクセスがクリーンに削除されることを保証する
適用対象: Windows
更新された Visual Studio 管理用テンプレート: GitHub Copilot の MCP を無効化
Visual Studio 管理用テンプレートがバージョン 1.0.184.40051 に更新され、新しいポリシー設定 [Model Context Protocol (MCP) を無効にする] (DisableMCP) が Visual Studio の GitHub Copilot に追加されました。
MCP とは何か、なぜ無効化が重要なのか
Model Context Protocol (MCP) は、Visual Studio の GitHub Copilot が外部ツール、データ ソース、サービスに接続できるようにするメカニズムです。MCP 統合を通じて、Copilot は内部 API から情報を取得し、データベースにクエリを実行し、ドキュメントを読み取り、さまざまな開発者ツールと対話できます。単純なコード補完を超えて、開発環境全体にわたる AI 駆動の統合レイヤーとして機能するようになります。
MCP は強力なワークフローを可能にする一方で、重大なセキュリティとガバナンス上の考慮事項ももたらします:
- データ外部送信のリスク — MCP 統合により、内部システムとデータが AI ツールにさらされる可能性があります。内部 API に接続された Copilot インスタンスは、機密データをコンテキスト ウィンドウに取り込み、ソース コード、シークレット、アーキテクチャの詳細を漏えいさせる可能性があります。
- サプライ チェーンの懸念 — 開発者ワークステーションは価値の高い標的です。MCP が有効な Copilot は内部ツールの「スーパー インテグレーター」として機能します。構成を誤った、または過度に寛容な MCP 統合は、機密データが流れる経路を意図せず作り出す可能性があります。
- 未審査の統合 — 無効化ポリシーがない場合、個々の開発者がセキュリティ審査を受けていない内部システムに Copilot を接続し、通常のガバナンス プロセスを迂回するシャドウ統合を作り出す可能性があります。
Disable MCP 設定の機能:
Intune ポリシーで有効にすると、この設定は管理対象デバイス全体の Visual Studio で GitHub Copilot のすべての MCP 統合を集中的にブロックします。Copilot のコア機能 (エディター コンテキストに基づくコード提案) は引き続き利用可能で、無効化されるのは外部ツール接続のみです。
これが今回のアップデートで最も重要なセキュリティ制御である理由:
医療、防衛、金融などの規制産業の組織にとって、AI ツールが明示的な承認なしに保護されたデータ システムと直接統合できないことを証明できることは、新興の AI リスク フレームワークの下で重要な制御になりつつあります。この設定はその制御を提供します。
実用的なユース ケース:
- セキュアな開発環境 — 開発者の生産性のために GitHub Copilot を有効にしつつ、次の環境では MCP = 無効を強制する:
- PCI データを扱う決済システム チーム
- PHI を扱う医療チーム
- 機密または輸出規制対象コードを扱う防衛チーム
- AI と内部システムの統合が正式に評価されていないすべての環境
- 段階的な AI 採用 — フェーズ 1: MCP を無効にした Copilot (外部統合なし)。フェーズ 2 以降: リスク評価とデータ保護レビューの後、別のガバナンス プロセスを通じて審査済みツールへの MCP を選択的に許可する。
- サードパーティおよびベンダーの開発者マシン — ベンダーが Intune 経由で貴社の Visual Studio テンプレートを使用する場合、MCP を無効にすることで、正式な統合経路なしに彼らの Copilot インスタンスが貴社の内部システムに自動的にアクセスできないようにできます。
適用対象: Windows
これらの新しい設定を運用化する方法
Windows エンドポイント チーム向け:
- AVD 構成を確認する — 新しい Windows App 設定により、手動の GPO やスクリプトを Intune ネイティブ ポリシーに置き換えられます。既存の AVD クライアント構成を Intune 設定カタログ プロファイルに移行してください。
- Microsoft Store アプリ削除のベースラインを更新する — 削除したいコンシューマー アプリの追加の PFN を特定し、新しいサブ設定に追加してください。
- Get Started アプリを評価する — 既にカスタム オンボーディングを使用している場合、Get Started を無効にすると競合するガイダンスが排除されます。
- OneDrive オフライン モードを監査する — 現在オフライン同期しているライブラリを特定し、データ感度の階層に応じてオフライン モードのブロックが適切かどうかを判断してください。
- MCP ガバナンスを計画する — 開発者が Visual Studio と GitHub Copilot を使用している場合、Disable MCP 設定を直ちに評価すべきです。今日無効化しなくても、統合の表面を理解することは AI リスク管理に不可欠です。
セキュリティ チーム向け:
- OneDrive オフライン モード制御は、データ レジデンシーとエンドポイント データ保護の重要なレバーです。階層化ポリシーを定義してください。高機密ライブラリはオフラインを完全にブロックし、標準ライブラリは準拠した暗号化デバイスでオフラインを許可します。
- MCP の無効化は、AI ガバナンス フレームワークの一部にすべきです。Copilot を許可する組織でも、どのような MCP 統合が存在し、セキュリティ審査を受けたかどうかを理解すべきです。
- AVD のセッション制御 (自動ログオフ) は、ISO 27001、SOC 2、および類似のフレームワークで要求されるセッション管理制御をサポートします。
開発ガバナンス向け:
- MCP 設定は、AI ツールチェーン統合を特にターゲットにした最初の Intune ネイティブ ポリシー制御です。AI 支援開発が標準になるにつれ、このような制御がさらに増えると予想されます。今すぐガバナンスのベースラインを確立してください。
まとめ
Service Release 2607 に追加されたこれら 5 つの新しい設定カタログ項目は、Windows エンドポイント向けの包括的な構成プラットフォームとしての Intune の継続的な拡大を示しています。追加内容は 3 つの主要テーマに及びます:
- セッションとクライアント管理 — Windows App の AVD 設定により、クライアント側のガバナンスが Intune のポリシー エンジンに組み込まれます
- データ ガバナンスと保護 — OneDrive オフライン モード制御、完全削除ポリシー、Store パッケージ削除により、エンドポイントのデータ保護が拡張されます
- AI ツールチェーン ガバナンス — GitHub Copilot の MCP 無効化設定は、エンドポイント ポリシーによる AI 支援開発リスクの管理に向けた初期ながら重要な一歩です
IT 管理者にとって優先すべきアクションは明確です。データ保護要件に照らして OneDrive オフライン モード制御を評価し、開発環境で MCP を無効化すべきかを判断し、AVD クライアント構成の GPO から Intune ネイティブ ポリシーへの移行を開始してください。
Kevin を X でフォロー: https://x.com/kkaminski — Intune とエンドポイント管理のコンテンツを発信しています。