大規模な Cloud PC ライフサイクル管理は、運用効率とセキュリティのバランスを取るプロセスです。退職ユーザーの Cloud PC を迅速にデプロビジョニングしてライセンスを解放し攻撃面を減らしたい一方で、デバイスごとの操作は煩雑で時間がかかります。新しくプロビジョニングされた Cloud PC に強力な PowerShell セキュリティデフォルトを設定したい一方で、組織の GPO 設定が Microsoft のデフォルトと競合すると、プロビジョニング自体が失敗する可能性があります。

今週の Windows 365 アップデート（2026年7月27日の週）は、2つの新機能でこの両方の課題に直接対応します：

  1. 猶予期間中の Cloud PC の一括デプロビジョニング（パブリックプレビュー）
  2. Cloud PC プロビジョニング中の PowerShell 実行ポリシー強化

各機能が何をするか、なぜ重要か、環境をどう準備すべきかを詳しく見ていきましょう — プロビジョニング失敗を引き起こす可能性のある重要な PowerShell ポリシー競合についても説明します。

1. 猶予期間中の Cloud PC の一括デプロビジョニング（パブリックプレビュー）

解決する問題

ユーザーの Windows 365 ライセンスが削除されるか、プロビジョニンググループから削除されると、その Cloud PC は 7日間の猶予期間に入ります。この間、Cloud PC は引き続き存在し — 重要なことに — アクティブな Cloud PC ライセンス使用量にカウントされます。管理者は猶予期間を早期に終了して Cloud PC を即座にデプロビジョニングできますが、1台ずつしか操作できませんでした。

小規模環境では小さな不便ですが、数百から数千の Cloud PC を管理する組織 — 特に季節的要員変動、レイオフ、組織再編の際 — では、1台ずつのアプローチは重大な運用ボトルネックになります。

新機能

新しい一括デプロビジョニング機能（現在パブリックプレビュー中）により、管理者は以下のことが可能です：

  • 複数の猶予期間中の Cloud PC を選択
  • 猶予期間を一括終了し、同時にデプロビジョニング
  • Windows 365 Enterprise と Windows 365 Frontline Dedicated で利用可能

重要性

ライセンス回収速度。 猶予期間中の Cloud PC はライセンスを消費するため、一括デプロビジョニングにより即座にライセンスを解放し、再割り当てが可能になります。

セキュリティ衛生。 退職ユーザーの Cloud PC がデプロビジョニングされるまでの時間が短いほど、不正アクセスの窓が小さくなります。

運用スケール。 大規模環境には一括操作が不可欠です。この機能により、Cloud PC デプロビジョニングが Intune の他の一括デバイス管理機能と一致します。

注意事項

  • 不可逆。 猶予期間が終了し Cloud PC がデプロビジョニングされると、VM とそのローカル状態は削除されます。データを保持する必要がある場合は、一括デプロビジョニングの前に復元ポイントを作成してください。
  • プレビュー状態。 パブリックプレビュー機能として、GA 前に UI 変更や制限がある可能性があります。
  • 猶予期間の前提条件。 一括デプロビジョニングは既に猶予期間中の Cloud PC にのみ適用されます。

IT 管理者が取るべき対策

  1. オフボーディング手順書を更新。 ユーザーがオフボードされ Cloud PC ライセンスが削除されたら、一括デプロビジョニングのために Cloud PC にタグを付けます。
  2. 事前に復元ポイントを作成。 データ保持が必要な Cloud PC については、デプロビジョニング前に一括復元ポイント作成を使用します。
  3. ライセンス使用量を監視。 猶予期間中の Cloud PC 数と、アクティブ vs 利用可能なライセンス数を定期的に確認します。
  4. 承認ワークフローを実装。 一括破壊的操作には変更チケットと承認を要求します。
  5. まずパイロット。 大規模展開前に小さなサブセットでテストします。

2. Cloud PC プロビジョニング中の PowerShell 実行ポリシー強化

解決する問題

PowerShell は Windows 管理で最も強力なツールの一つであり、マルウェアやポストエクスプロイト活動で最も一般的なベクターの一つでもあります。従来、Cloud PC プロビジョニングは特定の PowerShell 実行ポリシーを強制していませんでした。つまり、新しくプロビジョニングされた Cloud PC は、イメージ、テナント設定、またはプロビジョニング中にスクリプトが設定したポリシーを継承する可能性がありました。

新機能

Windows 365 は Cloud PC プロビジョニング中に PowerShell 実行ポリシーを RemoteSigned に、LocalMachine スコープで明示的に設定するようになりました。これはすべての Cloud PC 製品に適用されます。

実際の意味：

  • ローカル作成スクリプトはデジタル署名なしで実行可能 — プロビジョニング中に使用されるカスタムスクリプト拡張 (CSE) スクリプトを含む
  • ダウンロードスクリプト — インターネットやリモートロケーションから取得したもの — は信頼できる発行者によってデジタル署名されている必要があります

重要な注意事項：AllSigned の競合

IT 管理者はここに特别注意する必要があります。

組織が Intune デバイス設定またはグループポリシー (GPO) を通じて AllSigned PowerShell 実行ポリシーを強制している場合、Cloud PC プロビジョニングが完全に失敗する可能性があります。

理由はスコープの優先順位です。Windows 365 は LocalMachine に RemoteSigned を設定しますが、GPO/Intune からの MachinePolicy または UserPolicy に AllSigned が設定されていると、より高い優先順位を持ちます。プロビジョニングプロセスがこの競合に遭遇すると — 特に CSE ベースのスクリプトを実行する必要があるが署名されていない場合 — スクリプトが失敗し、プロビジョニングが停止または完全に失敗する可能性があります。

重要性

セキュリティの向上。 RemoteSigned は意味のあるセキュリティベースラインです。インターネットから未署名スクリプトをダウンロードして実行するという最も一般的な PowerShell 悪用パターンを阻止しつつ、正当なローカル自動化をブロックしません。

標準化。 新しくプロビジョニングされた各 Cloud PC は、イメージやテナント設定に関わらず、同じ予測可能な PowerShell 実行ポリシーで開始されます。

プロビジョニング失敗の可能性。 組織のセキュリティポリシーが新しいデフォルトと競合する場合、以前は発生しなかったプロビジョニング失敗が見られる可能性があります。

現在の状態を確認する方法

# すべての実行ポリシースコープを確認
Get-ExecutionPolicy -List

# 有効なポリシーを確認
Get-ExecutionPolicy

MachinePolicy または UserPolicy スコープで AllSigned が表示される場合、プロビジョニング失敗のリスクがあります。

IT 管理者が取るべき対策

  1. プロビジョニングスクリプトのインベントリ。 Cloud PC プロビジョニング中または直後に実行されるすべての PowerShell スクリプトを特定します。ローカル作成 vs ダウンロード、署名済み vs 未署名に分類します。
  2. リモートスクリプトに署名。 プロビジョニング中にリモートロケーションからダウンロードするスクリプトがある場合、PKI または信頼できる CA からコード署名証明書を取得して署名します。
  3. Intune/GPO PowerShell ポリシーを見直し。 MachinePolicy または UserPolicy スコープで AllSigned を強制している場合：
    • ポリシーの適用をプロビジョニング完了後に遅らせることを検討
    • すべてのプロビジョニングスクリプトが適切に署名され、証明書が Cloud PC に信頼されていることを確認
    • パイロットグループでポリシーレイヤリングをテスト
  4. Cloud PC セキュリティベースライン文書を作成。 予想される実行ポリシーと組織のオーバーライドとその根拠を文書化します。
  5. プロビジョニング成功率を監視。 この変更が展開された後、プロビジョニング失敗の増加に注目します。
  6. チームを教育。 管理者と自動化エンジニアが Cloud PC でスクリプト失敗のトラブルシューティング時に有効な実行ポリシーを確認する方法を知っていることを確認します。

総合的影響：ライフサイクル管理とセキュリティ強化の融合

これら2つのアップデートは、同じコインの異なる面を解決します：Cloud PC のライフサイクル全体で効率的に管理しながら、強力なセキュリティデフォルトを維持すること。

プロジェクト終了時に50人の請負業者を退職させる組織の例。

この更新前：

  • 各請負業者の Cloud PC が7日間の猶予期間に入り、その間ライセンスを消費
  • 管理者は猶予期間を1台ずつ終了する必要がある — Intune 管理センターで50回クリック
  • 一方、代替請負業者の新しい Cloud PC は一貫性のない PowerShell 実行ポリシーを継承する可能性あり

この更新後：

  • 管理者は50台すべての猶予期間 Cloud PC を選択し、一括でデプロビジョニングし、即座にライセンスを解放
  • 代替請負業者の Cloud PC は RemoteSigned をベースライン PowerShell 実行ポリシーとしてプロビジョニング — 一貫、安全、予測可能
  • 組織が GPO で AllSigned を強制している場合、管理者はプロビジョニングスクリプトに署名済みで、競合を避けるためポリシー適用をずらし済み

準備チェックリスト

タスク優先度メモ
有効な PowerShell 実行ポリシーを確認重要Get-ExecutionPolicy -List — MachinePolicy/UserPolicy の AllSigned を確認
AllSigned を強制する場合はプロビジョニングスクリプトに署名重要PKI または CA からの信頼できるコード署名証明書を使用
GPO/Intune ポリシータイミングを調整高プロビジョニング完了後に AllSigned を適用することを検討
一括デプロビジョニングのためにオフボーディング手順を更新高退職ユーザーの Cloud PC にバッチ処理のタグを付け
一括デプロビジョニング前に復元ポイントを作成中データ保持のために一括復元ポイント作成を使用
小さなサブセットで一括デプロビジョニングをパイロット中広範な展開前に動作を検証
プロビジョニング成功率を監視中ポリシー変更後の失敗増加に注目
Cloud PC セキュリティベースライン文書を更新低予想される実行ポリシーとオーバーライドを文書化

詳細は、Windows 365 の新機能ドキュメント、Cloud PC のデプロビジョニングまたは猶予期間の終了、自動プロビジョニングステップ、Windows 365 の既知の問題 を参照してください。

X で @kkaminski をフォローして、毎日の Windows 365 アップデートと分析を入手してください。