Microsoft は 2026 年 10 月 27 日に MD-102 を再び作り直し、今回は試験名まで変わりました。2024 年の出題範囲で勉強していると、配点が変わった内容に時間を使い、追加された Intune Suite、Windows 365、ホットパッチ、Security Copilot の目標を取りこぼします。このガイドはそれ自体が必要な Web ページです。現在の領域と配点、各目標が実際に問うこと、各目標について私が読む Microsoft Learn のドキュメント、無料の試用テナントで実行できるラボを組み込んだ 8 週間の計画、そして既定値が静かに変わったために経験豊富な管理者が失点する事実をまとめました。構成は私の AI-103 学習ガイドと CCAF 学習ガイドと同じで、試験概要、配点付きの領域、学習ノート、落とし穴、FAQ の順です。以下の事実はすべて 2026 年 10 月下旬に Microsoft Learn と照合し、出典は末尾に掲載しています。

MD-102 の出題範囲と受験すべき人

試験 MD-102 の現在の名称は Managing and Securing Microsoft 365 Endpoints by using Intune です。合格すると Microsoft 365 Certified: Endpoint Administrator Associate を取得でき、この資格名は変わっていません。Microsoft は 2026 年 10 月 27 日に英語版の試験を更新し、ローカライズ版は約 8 週間後に追従します。MD-102 公式学習ガイドは準備中ずっと開いておくべき文書で、以下の各セクションはそれに対応しています。

対象者プロファイルは率直です。Microsoft 365 テナントで Intune「およびエージェント型のツールとワークフロー」を使ってデバイスとクライアント アプリを管理する専門知識が求められます。ツールの一覧は Intune、Intune Suite、Windows Autopilot、Microsoft Defender for Endpoint、Microsoft Entra ID、PowerShell、Microsoft Graph、Windows 365 で、さらに Security Copilot、Intune エージェント、Defender XDR を理解しているべきだと Microsoft は付け加えています。また、ほとんどの問題は一般提供（GA）の機能を扱うものの、よく使われるプレビュー機能が出題されることもあると明記しています。

私の経験では、余裕をもって合格する人は、本番環境で Intune を 1 年運用し、Autopilot の展開を少なくとも一度完了し、コンプライアンスや更新の問題を切迫した状況で解決したことがあります。苦戦する人は Intune について読んだことはあっても、登録状態ページが失敗する様子を一度も見ていません。後者に当たるなら、まずラボを作り、読むのは後にしてください。この試験は、Configuration Manager とグループ ポリシーから Intune へ移行するデスクトップ管理者、デバイス管理を引き継いだ Microsoft 365 管理者、最新の資格が必要なコンサルタント、そして各プラットフォームが前提とする Intune の深い知識を求める Windows 365 や Azure Virtual Desktop の管理者に適しています。

試験の要点一覧

項目詳細（2026 年 10 月確認）
試験MD-102: Managing and Securing Microsoft 365 Endpoints by using Intune
資格Microsoft 365 Certified: Endpoint Administrator Associate（中級、管理者ロール）
評価スキル2026 年 10 月 27 日適用の版
時間解答時間 100 分。Microsoft はラボのない Associate 試験に 120 分の着席時間を割り当て
問題数試験ごとには非公開。ほとんどの試験は 40〜60 問と Microsoft が記載
合格点1〜1,000 点のスケールで 700 点以上。推測による減点なし
実施Pearson VUE、監督付き。対話型コンポーネントを含む場合あり
言語英語、中国語（簡体字）、ドイツ語、スペイン語、フランス語、日本語、ポルトガル語（ブラジル）
価格試験が監督される国または地域に基づく。Microsoft の資格ページを参照
再受験初回不合格後 24 時間、その後は 14 日間隔、12 か月で最大 5 回
更新12 か月ごとに無料のオンライン評価で更新
練習資格ページに無料の練習評価と試験サンドボックス

個人の Microsoft アカウントで登録してください。職場または学校のアカウントで登録すると、その組織を離れたときに試験記録が失われ、復元できないと Microsoft は警告しています。

5 つの領域と配点

#領域配点
1デバイス用のインフラストラクチャの準備20–25%
2デバイスの管理と保守25–30%
3デバイスの保護15–20%
4アプリケーションの管理と保護15–20%
5自動化、監視、レポートによるエンドポイント運用の最適化10–15%

2026 年 10 月版で計画に影響する変更は 2 つあります。アプリケーション領域は「アプリケーションの管理と保護」に改名され、変更ログでは 7 つの機能グループに「軽微な」変更が記録されています。登録、Windows クライアントの展開、デバイス構成プロファイル、Intune Suite アドオン、リモート操作、アプリの展開、監視と正常性です。Windows バックアップ、Quiet Time、Advanced Analytics、テナント正常性アラートの項目はこれらのグループに含まれます。ID とコンプライアンス、エンドポイント セキュリティ、デバイスの更新、アプリ保護、自動化は変更がないため、ホットパッチと Security Copilot エージェントの項目は前のバージョンから引き継がれています。領域 1 と 2 を合わせると試験の 45〜55% になるため、ID、登録、Autopilot、構成に学習時間の半分を割く価値があります。

公式トレーニングは Course MD-102T00-A: Manage and secure Microsoft 365 endpoints by using Intune で、5 日間のインストラクター主導コースです。同じ内容は Microsoft Learn で 8 つの自習用ラーニング パスとして公開されています。

  1. Prepare infrastructure for devices using Microsoft Intune and Microsoft Entra ID（5 モジュール）
  2. Manage and maintain devices using Microsoft Intune（4 モジュール）
  3. Manage applications using Microsoft Intune（5 モジュール）
  4. Protect devices using Microsoft Intune（6 モジュール）
  5. Automate and optimize endpoint management using Microsoft Intune（3 モジュール）
  6. Support operational excellence and readiness using Microsoft Intune（3 モジュール）
  7. Extend endpoint capabilities using Microsoft Intune Suite（4 モジュール）
  8. Deliver cloud-hosted desktops using Azure Virtual Desktop and Windows 365（4 モジュール）

2023 年版の試験を勉強した人にとって、パス 7 と 8 はまったく新しい領域です。飛ばさないでください。

領域 1：デバイス用のインフラストラクチャの準備（20–25%）

参加の種類と登録

Microsoft Entra ID には 3 種類のデバイス ID があります。登録済み、参加済み、ハイブリッド参加済みです。Entra 登録は個人所有デバイスとモバイル デバイス向け、Entra 参加は組織所有の Windows デバイス向けで、ハイブリッド参加は「Microsoft Entra 参加への道の中間ステップ」と Microsoft は説明しています。組織に Active Directory が残っていても正解が Entra 参加になるシナリオ問題を想定してください。

自動 MDM 登録には Microsoft Entra ID P1 または P2 が必要です。Intune 管理センターの Devices > Device onboarding > Enrollment > Windows > Automatic Enrollment で構成し、MDM user scope を None、Some、All のいずれかに設定し、WIP user scope は None のままにします。両方のスコープに含まれるユーザーは、会社所有デバイスでは MDM に登録されますが、個人デバイスでは WIP user scope が優先され、デバイスは Intune に登録されません。これは典型的なひっかけです。

Apple と Android については、企業向け macOS と iOS 登録のための Apple Business Manager 統合、Android 向けの Samsung Knox Mobile Enrollment または Google ゼロタッチ、そして Android Enterprise のプロファイル種別（フル マネージド、専用、仕事用プロファイルを持つ会社所有）が目標に挙げられています。共有キオスクと個人利用も認める会社携帯でそれぞれどのプロファイルが適切か押さえてください。

ロール、スコープ タグ、複数管理者承認

Intune のロールベースのアクセス制御には組み込みロール（Application Manager、Endpoint Security Manager、Help Desk Operator、Intune Role Administrator、Policy and Profile Manager、Read Only Operator、School Administrator、および Endpoint Privilege Manager と Reader）があり、テナントに Windows 365 がある場合は Cloud PC Administrator と Cloud PC Reader も表示されます。ロール割り当てはメンバー（管理者グループ）、スコープ グループ（管理できるユーザーとデバイス）、スコープ タグ（表示できるオブジェクト）の 3 要素で構成されます。Entra ロールの Global Administrator と Intune Administrator はフルの読み書き権限を持ち、Microsoft はどちらも日常業務に使わないよう明言しています。Graph と PowerShell では Intune Administrator ロールは今も Intune Service Administrator と表示されます。

複数管理者承認はアプリ、コンプライアンス ポリシー、設定カタログの構成ポリシー、デバイス アクション（ワイプ、インベントリから削除、削除）、ロールベースのアクセス制御、Windows スクリプト、デバイス カテゴリを保護します。管理者は自分の要求を承認できず、Global Administrator の変更にも別の承認者が必要で、承認者グループは Intune のロール割り当てにメンバーとして含まれるセキュリティ グループでなければならず、3 日以内に完了しない要求は期限切れになります。

コンプライアンス、条件付きアクセス、Windows Hello、LAPS

コンプライアンス ポリシーは 2 層です。Endpoint security > Device compliance にあるテナント全体の Compliance policy settings には、既定が Compliant の Mark devices with no compliance policy assigned as と、既定 30 で 1〜120 を指定できる Compliance status validity period (days) が含まれます。その上でプラットフォームごとのデバイス コンプライアンス ポリシーがルールと非準拠時のアクション（非準拠としてマーク（既定）、メール送信、リモート ロック、インベントリから削除、プッシュ通知送信）を持ちます。条件付きアクセスは許可制御 Require device to be marked as compliant でこの結果を利用します。

Windows LAPS は Endpoint security > Account protection で管理します。必要なのは Intune Plan 1 と Microsoft Entra ID Free だけですが、Entra 参加デバイスでは先に Entra 管理センターの Identity > Devices > Overview > Device settings で LAPS を有効にする必要があり、ハイブリッド参加デバイスでは不要です。デバイスは Entra ID かオンプレミス Active Directory のどちらか一方にバックアップし、両方にはしません。リモート タスク Rotate Local Admin Password はどの組み込み Intune ロールにも Entra の Intune Administrator ロールにも含まれず、カスタム ロールで付与します。Windows 11 24H2 では自動アカウント管理が追加されました。

領域 2：デバイスの管理と保守（25–30%）

Autopilot と Autopilot デバイス準備の違い

現在の試験で最も多く問われる区別です。Microsoft の比較ページは暗記する価値があります。

機能Autopilot デバイス準備Windows Autopilot
モードユーザー駆動、自動ユーザー駆動、事前プロビジョニング、自己展開、既存デバイス
参加の種類Microsoft Entra 参加のみEntra 参加と Entra ハイブリッド参加
デバイス登録（ハードウェア ハッシュ）不要必要
管理者が構成するものデバイス準備ポリシーと、Intune Provisioning Client を所有者とするデバイス セキュリティ グループ展開プロファイルと登録状態ページ
OOBE 中のアプリアプリ 25 個と PowerShell スクリプト 10 個までアプリ 100 個まで
同一展開での Win32 と LOB の混在可不可
Windows バージョンWindows 11 24H2 以降（または KB5035942 適用済みの 22H2/23H2）サポート対象の Windows 10 と 11
その他のサポートGCC High と DoD、ほぼリアルタイムのレポートAutopilot Reset、HoloLens、Teams Rooms、DFCI、共同管理

自己展開モードはユーザー資格情報なしで Entra ID に参加し、デバイス構成証明付きの TPM 2.0 を必要とし、Entra 参加のみをサポートし、仮想マシンではエラー 0x800705B4 で失敗します。プライマリ ユーザーも設定されません。事前プロビジョニングも TPM 2.0 と物理ハードウェアを必要とし、Entra 参加とハイブリッド参加の両方をサポートし、技術者が最初の OOBE 画面で Windows キーを 5 回押して開始し、Reseal で終了します。Microsoft はユーザー フローまで 90 分以上待ち、6 か月以内に実行するよう求めています。Autopilot のライセンスは Microsoft 365 Business Premium、F1/F3、A1/A3/A5、E3/E5、EMS E3/E5、Intune for Education、または Entra ID P1/P2 と Intune の組み合わせで満たせます。

登録状態ページはデバイスの準備、デバイスのセットアップ、アカウントのセットアップを追跡します。覚えておく既定値は、タイムアウト 60 分、すべてまたは選択したアプリのインストールまでデバイスをブロック可能（ブロック アプリは 100 個まで）、テナントあたり ESP プロファイルは最大 51（既定 + 50）、新規プロファイルの Install Windows quality updates は既定 Yes でプロビジョニングが 20〜40 分延びる、という点です。Autopilot の ESP で LOB（MSI）アプリと Win32 アプリを混在させないでください。どちらも TrustedInstaller を使うため、Win32 のインストールが「別のインストールが進行中」で失敗します。ESP が Microsoft 365 Apps を追跡する場合は Win32 アプリとして展開することも Microsoft は推奨しています。

構成プロファイル、フィルター、グループ ポリシー分析

設定カタログが既定のプロファイル種別です。試験ではサードパーティ テンプレートの ADMX インポートとグループ ポリシー分析も求められます。後者はグループ ポリシー管理コンソールから XML でエクスポートした GPO（Save report、XML、4 MB 未満）をインポートし、MDM Support の割合を表示し、対応する設定を設定カタログ ポリシーに移行します。割り当てフィルターはグループ メンバーシップ処理ではなくデバイスのチェックイン時に評価され、包含と除外のモードがあり、テナントあたり 200 個、1 個 3,072 文字が上限で、(device.osVersion -eq "10.0.18362") and (device.manufacturer -eq "Microsoft") のような構文を使います。Microsoft の指針は、Intune のターゲット設定にはフィルター、条件付きアクセス、ライセンス、Autopilot プロファイル割り当てには動的グループです。

Intune Suite アドオン

目標には Endpoint Privilege Management、Enterprise App Catalog、Remote Help、Microsoft Cloud PKI、MAM 向け Microsoft Tunnel、Advanced Analytics が挙げられています。Microsoft の高度な機能ページによると、これらは Intune Plan 2、Intune Suite、一部の Microsoft 365 バンドルで提供され、試用は 90 日間、最大 250 ユーザー、テナントあたり機能ごとに 1 回で、その後 30 日間の猶予期間があります。EPM は昇格設定ポリシー、昇格ルール ポリシー、昇格システム設定ポリシーを使い、昇格の種類は自動、ユーザー確認、現在のユーザーとして昇格、サポート承認、拒否で、対応ファイルは .exe、.msi、.ps1 です。Enterprise App Catalog は Microsoft がパッケージした Win32 アプリで、Apps > All apps > Create > Enterprise App Catalog app から追加し、ESP のブロック アプリとして使え、64 ビット Windows 限定です。デバイス クエリは会社所有の Windows デバイス 1 台に対して WNS 経由でリアルタイムに Kusto 照会言語を実行し、Managed Devices/Query 権限が必要で、1 分あたり 15 クエリまでです。

リモート アクション

同期、再起動、インベントリからの削除、ワイプは基本です。2026 年版の項目では一括アクション、Defender セキュリティ インテリジェンスの更新、BitLocker キーのローテーション、ローカル管理者パスワードのローテーション、KQL によるデバイス クエリ、トラブルシューティング ブレードを含む診断収集が加わりました。これらのうち Windows Enterprise マルチセッションで使えないものを把握してください（後述）。

領域 3：デバイスの保護（15–20%）

エンドポイント セキュリティと Defender for Endpoint

セキュリティ ベースラインは Endpoint security > Security baselines にあります。2026 年 10 月時点の最新版は、Security Baseline for Windows 10 and later バージョン 26H2、Defender for Endpoint ベースライン バージョン 24H1、Microsoft 365 Apps for Enterprise バージョン 2512、Edge バージョン 139、Windows 365 Security Baseline 24H1 で、さらに Windows 365 for Agents ベースラインと OpenClaw 向けのプレビュー版 Local AI Agent Baseline があります。既定値は最も制限の厳しい選択肢で、Defender ベースラインは VM や VDI には推奨されず、新バージョンが出ると旧プロファイルは読み取り専用になります。

Defender for Endpoint 統合は 2 つのポータルで行います。Defender ポータルで System > Settings > Endpoints > General > Advanced features > Intune connection を On にし、Intune では Endpoint security > Defender for Endpoint に Connection status（最大 15 分）とプラットフォームごとのコンプライアンス評価トグルが表示されます。Windows のオンボードは Auto from connector を使うエンドポイントの検出と対応ポリシーで、All Devices を対象にした事前構成ポリシーかカスタム ポリシーのどちらかです。macOS、Android、iOS は手動です。コンプライアンス設定 Require the device to be at or under the machine risk score は Clear、Low、Medium、High を提供し、Microsoft は Low を推奨しています。条件付きアクセス ポリシーはまずレポート専用モードで作成し、緊急アクセス アカウントを除外してください。

Windows Update：リング、Autopatch、ホットパッチ

Intune の Windows Update 管理はポリシーのみを保存し、承認するコンテンツは Windows Autopatch が決め、デバイスは Windows Update からダウンロードします。重要なポリシーは 4 種類で、更新リング、機能更新プログラム ポリシー、品質更新プログラム ポリシー（迅速化とホットパッチを含む）、ドライバー更新プログラム ポリシーです。Autopatch を基盤とする 3 種類は Autopatch の権利を含むライセンス、診断データ レベル Required、Microsoft Account Sign-In Assistant サービスが無効化されていないことを必要とし、Entra 登録デバイスはサポートしません。

更新リングの設定には試験が好む数値が並びます。品質更新の延期 0〜30 日、機能更新の延期 0〜365 日、機能更新のアンインストール期間 2〜60 日、機能更新と品質更新の期限 2〜30 日、猶予期間 0〜7 日、Auto reboot before deadline は Yes が推奨です。Windows Autopatch は 2025 年 4 月に機能のアクティブ化を廃止し、現在は Business Premium、A3+、E3+、F3 に Autopatch グループ、品質・機能・ドライバー更新、Microsoft 365 Apps、Edge、Teams の更新を提供し、サポート リクエストの送信だけが E3+/F3 限定です。ホットパッチは、Windows 11 24H2 以降、仮想化ベースのセキュリティが有効、対象ライセンス（Windows 11 Enterprise E3/E5、Microsoft 365 F3、Education A3/A5、Business Premium、Windows 365 Enterprise）を満たすデバイスで、再起動なしに月例セキュリティ更新をインストールします。ベースライン月は 1 月、4 月、7 月、10 月で再起動が必要、残りの 8 か月がホットパッチ月です。品質更新プログラム ポリシーで When available, apply without restarting the device (“Hotpatch”) を Allow にして有効化し、Autopatch は対象デバイスで既定で有効にします。

領域 4：アプリケーションの管理と保護（15–20%）

Win32 アプリは Microsoft Win32 Content Prep Tool で .intunewin ファイルにパッケージし、アプリあたり 30 GB が上限で、サイレント インストールできる必要があります。

powershell
IntuneWinAppUtil.exe -c C:\Source\App -s setup.exe -o C:\Output -q

アプリ追加ウィザードでは、インストールとアンインストールのコマンド（または 50 KB までの PowerShell スクリプト インストーラー）、Install behavior の System または User（Entra 登録デバイスは System）、既定 60 分・最大 1,440 分のインストール時間、Failed、Hard reboot、Soft reboot、Retry（5 分間隔で 3 回試行）、Success の種類を持つリターン コードを設定します。検出ルールは MSI 製品コード、ファイル、レジストリ、カスタム スクリプトで、スクリプトは終了コード 0 で STDOUT に書き込んだ場合のみ検出とみなされ、すべてのルールが一致する必要があります。依存関係は 100、置き換えは 10 が上限で、推移的な参照も含みます。割り当ての種類は Required、Available for enrolled devices、Uninstall です。インストール コマンドで powershell.exe を呼ぶと 32 ビット PowerShell が起動するため、64 ビットには %SystemRoot%\Sysnative\WindowsPowerShell\v1.0\powershell.exe を使います。

アプリ保護ポリシーは登録済み・未登録デバイス上の管理対象アプリ内のデータを保護し、3 段階のデータ保護フレームワーク（基本、強化、高）に沿い、Intune App SDK を組み込んだアプリを必要とし、条件付きアクセスのアプリ保護許可制御と組み合わせて強制するべきです。Android には Company Portal が必要で、Android の Microsoft 365 アプリは MAM ポリシーを受け取るのに Entra デバイス登録が必要になりました。2026 年版の目標には、Android と iOS の Quiet Time ポリシー、Intune または Microsoft 365 Apps 管理センターでの Microsoft 365 Apps ポリシー、Office 展開ツールまたは Intune による Autopilot 中の Microsoft 365 Apps 展開も加わっています。

領域 5：エンドポイント運用の最適化（10–15%）

自動化とは Microsoft Graph PowerShell モジュールで Microsoft Graph を使うことです。アクセス許可スコープ名を覚えてください。DeviceManagementManagedDevices.Read.All、DeviceManagementConfiguration.ReadWrite.All、DeviceManagementApps.ReadWrite.All、DeviceManagementRBAC.ReadWrite.All、DeviceManagementScripts.ReadWrite.All、そしてワイプ、インベントリからの削除、リモート ロック用の DeviceManagementManagedDevices.PrivilegedOperations.All です。すべての Intune スコープは管理者資格情報を必要とし、2025 年 7 月 31 日以降、スクリプトのエンドポイントは Configuration ではなく Scripts スコープを必要とします。

修復は Devices > Manage devices > Scripts and remediations にあります。ユーザーには Windows Enterprise E3/E5、Education A3/A5、または VDA が必要で、デバイスは Entra 参加またはハイブリッド参加で、Intune に登録済みか共同管理である必要があります。テナントには 200 個のスクリプト パッケージを置け、修復は検出が終了コード 1 を返した場合のみ実行され、出力は 2,048 文字まで、スケジュールは 1 回・毎時・毎日、クライアントは 8 時間ごとにポリシーを取得します。目標には Endpoint analytics のスコア、カスタム レポートとブック、サービス正常性とメッセージ センターの監視、コンプライアンスのずれや登録失敗のアラート ルールも含まれます。

「エージェント型」の項目は Intune の Security Copilot を指します。自然言語によるデータ探索、ポリシーの説明と比較、デバイスのトラブルシューティング、Cloud PC のインサイト、デバイス クエリ用の KQL 生成で、いずれも自分の RBAC ロールとスコープ タグの範囲内に制限されます。落とし穴が 1 つあります。Change Review Agent と Policy Configuration Agent は 2026 年 8 月 31 日に管理センターから削除されたため、古いブログ記事に頼らず Agents ノードで現在存在するものを確認してください。

8 週間の学習計画

週領域読むもの試用テナントでのラボ
11Entra デバイス ID、自動登録、RBAC、複数管理者承認30 日 Intune 試用に申し込み、MDM ユーザー スコープを設定し、スコープ タグ付きの範囲限定 Help Desk Operator ロールを作成し、2 人目の管理者を使ったアクセス ポリシーでスクリプトを保護する
21 と 2Autopilot 要件、デバイス準備の比較、自己展開、事前プロビジョニング、ESPHyper-V VM のハードウェア ハッシュを登録し、Win32 アプリ 1 個でブロックする ESP を付けてユーザー駆動 Autopilot を展開し、次にデバイス準備ポリシーを作ってレポートを比較する
31コンプライアンス概要、条件付きアクセス統合、LAPSWindows コンプライアンス ポリシーを作成し、テナント既定を Not compliant に変え、レポート専用の条件付きアクセス ポリシーを作り、Entra で LAPS を有効にしてパスワードをローテーションする
42設定カタログ、グループ ポリシー分析、フィルター、Windows 365 プロビジョニングGPO を XML でエクスポートして移行し、製造元の包含フィルターを作り、ライセンスがなくても Windows 365 プロビジョニング ポリシーを作って項目を学ぶ
53セキュリティ ベースライン、Defender for Endpoint 統合、BitLocker と攻撃面の縮小Intune と Defender を接続し、事前構成の EDR ポリシーを展開し、リスク スコアをコンプライアンスに追加し、Windows ベースラインを展開して競合を 1 件解決する
63更新管理の概要、更新リング設定、Autopatch、ホットパッチ延期と期限を設定した 3 つのリング、バージョンを固定した機能更新ポリシー、ホットパッチを許可した品質更新ポリシーを作る
74Win32 のパッケージ化と追加、アプリ保護ポリシー、Microsoft 365 Apps検出と依存関係を持つ Win32 アプリをパッケージし、Microsoft 365 Apps を Win32 として展開し、レベル 2 のアプリ保護ポリシーと条件付きアクセス許可を作る
85 と復習Graph のアクセス許可スコープ、修復、Intune の Security CopilotMicrosoft Graph PowerShell で接続してデバイスを一覧表示し、組み込みの修復を展開し、無料の練習評価を 2 回受ける

重要なハンズオン ラボ

ラボ 1：Autopilot 登録

デバイスを登録し、動的デバイス グループでユーザー駆動の展開プロファイルを割り当て、選択した Win32 アプリがインストールされるまでブロックする ESP を構成します。次に意図的に壊します。Win32 アプリと並べて LOB MSI を割り当て、ESP が失敗する様子を観察します。最後に Intune Provisioning Client が所有するグループでデバイス準備ポリシーを作成し、なぜハードウェア ハッシュが不要だったのか説明できるようにします。

ラボ 2：コンプライアンスと条件付きアクセス

BitLocker、セキュア ブート、Defender リスク スコア Low 以下を要求する Windows コンプライアンス ポリシーを作成します。Mark devices with no compliance policy assigned as を Not compliant に変更し、どのデバイスが赤くなるか観察します。Exchange Online と SharePoint Online に準拠デバイスを要求する条件付きアクセス ポリシーを作り、1 日レポート専用のままにしてサインイン ログを確認し、その後有効化します。

ラボ 3：Win32 アプリのパッケージ化

Content Prep Tool でサイレント インストーラーをパッケージし、レジストリ検出ルールと 3010 のソフト再起動リターン コードを追加し、ランタイムに依存させ、新しいバージョンで置き換えてアンインストール動作を確認します。最後にローカルでアンインストールし、Intune 管理拡張機能が Required アプリの欠落を検出して再インストールする様子を確認します。

ラボ 4：更新リングと Autopatch

品質更新の延期をそれぞれ 0、7、14 日、期限を 2 日と 7 日、猶予期間を 2 日にしたパイロット、ブロード、クリティカルのリングを作成します。現在の Windows 11 リリースに固定した機能更新ポリシーと、ホットパッチを許可した品質更新ポリシーを追加します。そして Entra 登録デバイスが受け取れるポリシーと受け取れないポリシーを記録します。

ラボ 5：Defender オンボード

Defender ポータルで Intune 接続を切り替え、Intune で Connection status を確認し、事前構成の EDR ポリシーを展開し、30 分以内にデバイスが Defender のデバイス インベントリに表示されることを確認します。コンピューターのリスク スコアをコンプライアンス ポリシーに追加し、テスト検出でコンプライアンス状態が反転する様子を観察します。

ラボ 6：共同管理の基礎

Configuration Manager のラボがあるなら、既存クライアントをハイブリッド参加させて Intune に登録し共同管理を有効にし、パイロット コレクションでワークロードを 1 つ Intune に移します。ない場合は 2 つの経路（既存クライアント、および Autopilot 後にクライアントを入れる新しいインターネット ベースのデバイス）と 7 つのワークロード（コンプライアンス ポリシー、Windows Update ポリシー、リソース アクセス ポリシー、Endpoint Protection、デバイス構成、Office Click-to-Run アプリ、クライアント アプリ）を学んでください。Entra 登録デバイスはサポートされないこと、共同管理は管理の選択肢でハイブリッド参加は ID の選択肢であること、クラウド管理ゲートウェイは必須でないことを覚えておきます。

間違えやすい重要事実

  • 試験名は変わり、資格名は変わっていません。試験を「Endpoint Administrator」と呼ぶ学習ガイドや練習問題は 2026 年 10 月 27 日より古いものです。
  • コンプライアンスの既定は緩いです。ポリシーのないデバイスは既定で Compliant、有効期間は 30 日です。条件付きアクセスで準拠デバイスを要求する前に既定を変えてください。
  • デバイス準備にはハードウェア ハッシュがありません。Entra 参加のみ、ユーザー駆動または自動モード、アプリ 25 個とスクリプト 10 個で、デバイス グループは Intune Provisioning Client が所有する必要があります。問題がハイブリッド参加、事前プロビジョニング、自己展開、25 個超のアプリを必要とするなら、答えは従来の Autopilot です。
  • 自己展開と事前プロビジョニングには物理 TPM 2.0 が必要です。仮想マシンは構成証明に 0x800705B4 で失敗します。自己展開は Entra 参加のみ、事前プロビジョニングはハイブリッド参加もサポートします。
  • 更新リングの上限：品質更新の延期 30 日、機能更新の延期 365 日、期限 2〜30 日、猶予期間 0〜7 日、アンインストール期間 2〜60 日。
  • Entra 登録デバイスは機能・品質・ドライバー更新ポリシーを使えず、更新リングと Windows Update クライアント ポリシーだけです。
  • ホットパッチには Windows 11 24H2 以降と VBS の有効化が必要で、4 つのベースライン月は依然として再起動します。
  • Win32 の数値：上限 30 GB、検出スクリプトは終了コード 0 で STDOUT に書き込む、Retry は 5 分間隔で 3 回、依存関係 100、置き換えノード 10。
  • Entra 参加デバイスの LAPS は先に Entra のデバイス設定を有効化する必要があり、Rotate Local Admin Password タスクはカスタム ロールでのみ利用できます。
  • 複数管理者承認：自分の要求は承認できず、Global Administrator も例外ではなく、要求は 3 日で期限切れになります。
  • 修復はユーザー単位でライセンスされます。Windows Enterprise E3/E5、Education A3/A5、または VDA。検出の終了コード 1 が修復を起動し、出力は 2,048 文字、パッケージは 200 個。
  • フィルターはチェックイン時に評価され、テナントあたり 200 個が上限です。Autopilot プロファイル割り当てと条件付きアクセスには動的グループを使います。
  • Defender のリスク スコア レベルは Clear、Low、Medium、High で、Low が推奨、接続は Intune ではなく Defender ポータルで有効にします。
  • ハイブリッド参加の Autopilot は ESP タイムアウトに約 40 分を加え、新しいデバイスでのハイブリッド参加は明確に非推奨です。
  • 試験中に Microsoft Learn を開けますが時計は止まらず、Q&A と練習評価はブロックされ、休憩後は休憩前に見た問題に戻れません。

MD-102 と Windows 365、AVD、Intune Suite の関係

2026 年 10 月の目標は Windows 365 を領域 2 に明確に位置づけています。プロビジョニング ポリシー、ネットワーク接続、イメージ管理です。Windows 365 Enterprise はライセンスを持つユーザーが割り当て済みグループに入ると Cloud PC を自動プロビジョニングして Intune に登録し、以後は他のデバイスと同様に管理します。Devices > Provision Cloud PCs のプロビジョニング ポリシーでは、ライセンスの種類（Enterprise、Flex、Reserve）、参加の種類（Microsoft ホステッド ネットワークまたは Azure ネットワーク接続を使う Entra 参加、あるいは ANC を必須とするハイブリッド参加）、シングル サインオン、ギャラリー イメージまたはカスタム イメージ、言語と地域、%RAND:Y%（Y は 5 以上）を含まなければならない任意の名前付けテンプレート、任意の Windows Autopatch 登録を設定します。ハイブリッド参加のポリシー作成は最長 60 分かかることがあります。Cloud PC の運用を仕事にしているなら、私の Windows 365 トレーニングはこの層を試験よりはるかに深く扱います。

Azure Virtual Desktop はラーニング パス 8 と、Intune の Windows Enterprise マルチセッションサポートを通じて登場します。試験に関わる制約は次の通りです。セッション ホストは Azure Resource Manager で展開したプール ホスト プールにあり、エージェント 1.0.2944.1400 以降を実行していること、構成は OS エディション Enterprise multi-session でフィルターした設定カタログを使い、テンプレートは証明書とデバイス トンネル VPN のみ対応、アプリはシステム コンテキストで Required または Uninstall の意図でインストールし Available は不可、コンプライアンス ポリシーはデバイスを対象にすること、更新リングは非対応で品質更新の設定は設定カタログから行うこと、Autopilot、ESP、ワイプ、リモート ロック、Fresh Start、Autopilot リセット、BitLocker キーのローテーション、パスワードのリセットはすべて使えないことです。登録済みマシンのクローン イメージは登録を壊し、FSLogix のトークン ローミングはオフにする必要があります。

Intune Suite は領域 2 で独立した機能グループとして現れ、その機能は Advanced Analytics を通じて領域 5、Enterprise App Catalog を通じて領域 4 にも再登場します。ライセンスの境界を学んでください。Plan 1 が基準で、Suite の機能は Plan 2 または Suite アドオンで 90 日・250 ユーザーの試用があり、修復と Autopatch は Intune ではなく Windows Enterprise でライセンスされます。これらの機能が毎月どう変わったかを追うには、Intune 新機能シリーズをフォローしてください。

試験当日と更新

予約前に無料の練習評価と試験サンドボックスを試してください。サンドボックスは実際のインターフェイスで問題形式（アクティブ画面、ビルド リスト、ケース スタディ、ドラッグ アンド ドロップ、ホット エリア、多肢選択、ラボ）を見せてくれます。試験当日の持ち時間は 100 分です。5 分の休憩時間が組み込まれていますが、タイマーは止まらず、休憩を始めると既に見た問題には戻れないので、先にすべて解答してフラグを外しておきます。Microsoft Learn パネルはロールベース試験で使え、延期の範囲や設定名を調べるのに本当に役立ちますが、時計が動いたままの分割画面で、毎問使えば終わらないと Microsoft は率直に述べています。試験が自分の言語で提供されていない場合は 30 分の延長を申請できます。

スコアは数分以内に 1〜1,000 のスケールで報告され、合格ラインは 700、領域別の棒グラフが付きます。どの問題を間違えたかは Microsoft は明かしません。不合格なら再受験ポリシーにより 24 時間後に 2 回目、以降は 14 日間隔、12 か月で最大 5 回まで受験でき、毎回有料です。

資格の有効期間は 12 か月です。更新は Microsoft Learn 上の無料・監督なし・オープンブックの評価で、ロールの変更点に焦点を当てます。6 か月の受験可能期間が期限前に開き、合格すると元の有効期限から 1 年延長されます。更新の試行回数に制限はなく、2 回目の不合格以降は 24 時間以上空けます。Microsoft Learn プロファイルを資格プロファイルに接続すると Renew ボタンが表示されます。

このガイドの対象読者

  • Configuration Manager とグループ ポリシーから Intune へ移行し、試験が使うクラウド ネイティブの用語を身につけたいエンドポイント管理者
  • デバイス管理を引き継ぎ、Autopilot、コンプライアンス、更新を体系的に学びたい Microsoft 365 管理者
  • 各プラットフォームが今や前提とする Intune の深い知識を必要とする Windows 365 と Azure Virtual Desktop の管理者
  • 2026 年 10 月の出題範囲を反映した最新の資格を求めるコンサルタントと MSP エンジニア
  • 2026 年末時点で各 Intune 機能が管理センターのどこにあるかを示す、検証済みの地図を求めるすべての人

案内付きの学習を好むなら、Big Hat Group は米国とカナダのチーム向けに Windows 365 と Intune のトレーニングを提供しています。

MD-102 試験 FAQ

2026 年も MD-102 が Endpoint Administrator Associate 資格の試験ですか?

はい。MD-102 は Microsoft 365 Certified: Endpoint Administrator Associate の唯一の試験です。Microsoft は試験名を Managing and Securing Microsoft 365 Endpoints by using Intune に改め、2026 年 10 月 27 日適用の新しい評価スキルを公開しましたが、資格名と 1 試験で取得する構成は変わっていません。

MD-102 の試験時間と問題数は?

資格ページには評価を完了するのに 100 分あると記載され、Microsoft はラボのない Associate 試験に 120 分の着席時間を割り当てています。試験ごとの問題数は公開されておらず、ほとんどの認定試験は 40〜60 問とされています。1,000 点満点のスケール スコアで 700 点以上が合格です。

MD-102 の受験料はいくらですか?

Microsoft は資格ページに単一の価格を掲載していません。価格は試験が監督される国または地域によって決まると記載されているため、Microsoft Learn ページの Schedule exam リンクから自分の地域の価格を確認してください。再受験は再度有料で、年次の更新評価は無料です。

Windows Autopilot のラボなしで MD-102 に合格できますか?

展開プロファイルと登録状態ページの設定はドキュメントから学べますが、試験はユーザー駆動、事前プロビジョニング、自己展開、デバイス準備の使い分けを問い、その違いは一度実際に動かすと格段に定着します。無料の 30 日 Intune 試用と Hyper-V 仮想マシンでユーザー駆動 Autopilot はカバーできます。自己展開と事前プロビジョニングは仮想マシンが構成証明に失敗するため、TPM 2.0 搭載の物理デバイスが必要です。

Endpoint Administrator Associate 資格はどう更新しますか?

資格は 12 か月ごとに更新します。Microsoft は有効期限の前に 6 か月の受験可能期間を開き、その間に Microsoft Learn 上で無料・監督なし・オープンブックの評価を受けます。合格すると元の有効期限から 1 年延長されます。初回不合格後はすぐに再挑戦でき、それ以降は試行の間に 24 時間以上空ける必要があります。

学習チェックリスト

  1. 2026 年 10 月 27 日版の評価スキルをダウンロードし、何も調べずにテナントで実行できる項目をすべて線で消す。
  2. 30 日 Intune 試用に申し込み、MDM 機関が Microsoft Intune であることを確認し、MFA を登録し、複数管理者承認をテストするための 2 つ目の管理者アカウントを作成する。
  3. MDM ユーザー スコープを設定し、スコープ タグ付きのカスタム ロールを 1 つ作成し、どの Entra ロールが依然として Intune へのフル アクセスを持つか記録する。
  4. Hyper-V VM で ESP 付きのユーザー駆動 Autopilot を実行し、次にデバイス準備ポリシーを作成して観察した違いを書き出す。
  5. テナントのコンプライアンス既定を Not compliant に変え、有効期間を意図的に設定し、レポート専用の条件付きアクセス ポリシーをコンプライアンスに紐付ける。
  6. Defender for Endpoint を接続し、事前構成の EDR ポリシーでオンボードし、コンピューターのリスク スコアをコンプライアンスに追加する。
  7. 3 つの更新リング、バージョン固定の機能更新ポリシー、ホットパッチ有効の品質更新ポリシーを作成し、触れた数値の上限をすべて記録する。
  8. 検出、依存関係、置き換え、64 ビット PowerShell インストール コマンドを含む Win32 アプリを 1 つ端から端までパッケージする。
  9. 組み込みの修復を展開し、試用アドオンがあればデバイス クエリを実行し、Microsoft Graph PowerShell で接続してデバイスを一覧表示する。
  10. 練習評価を 2 回連続で合格するまで受け、個人の Microsoft アカウントで試験を予約し、前夜に重要事実を読み直す。

人手が必要ですか? Big Hat Group は米国とカナダの組織向けに、2 週間のヘルス チェックから完全移行まで、Microsoft Intune コンサルティングを提供しています。ディスカバリー コールを予約して、お客様の環境についてお話しください。

出典