今週の Windows 365 の新機能は、一見小さな変更ですが運用上の重みがあります。「ローカル管理者を有効にする」設定がクラウド PC 構成でパブリック プレビューになりました（2026 年 9 月 7 日の週）。これにより管理者は、どのユーザーが自分のクラウド PC のローカル管理者になるかを制御する、最新の Intune の方法を利用できます。

表面的には、1 つのトグルが新しいブレードに移動しただけです。しかし実際には、Microsoft による [ユーザー設定] ページの廃止が残した最後の重要なギャップを埋めるものです。以前はそこが、管理者がローカル管理者権限を付与できる唯一の場所でした。[ユーザー設定] の移行を完了するためのクラウド PC 設定の代替を待っていたなら、これがそれです。

変更内容

Windows 365 Enterprise の新機能ページの発表は次のとおりです。

「ローカル管理者を有効にする」設定がクラウド PC 構成でパブリック プレビューに——既存のローカル管理者を有効にする設定を、Intune の [デバイス] > [クラウド PC 設定] > [作成] > [クラウド PC 構成] から構成できるようになりました。この設定により、IT 管理者はユーザーにクラウド PC のローカル管理者権限を付与できます。

完全な構成ガイダンスは、更新されたクラウド PC 構成ページにあります。

「ローカル管理者を有効にする」の実際の動作

設定自体は以前の [ユーザー設定] 版と変わりません。有効にすると、割り当てられたグループの各ユーザーが、それぞれ自分のクラウド PC のローカル管理者に昇格されます。 権限はユーザー レベルで、そのユーザーに割り当てられたクラウド PC にのみ適用されます。

つまり、対象ユーザーの Entra ID アカウントが自分のクラウド PC のローカル Administrators グループに追加され、次のことが可能になります。

  • ソフトウェアとドライバーのインストールおよびアンインストール
  • システムおよびアプリケーション設定の変更
  • ローカル ユーザーとグループの管理
  • ファイアウォールやサービスを含むセキュリティ関連構成の変更

これはテナント レベルの管理者でも Windows 365 管理者ロールでもありません。永続的な Windows デスクトップにおける従来の恒久的なローカル管理者です。開発者やパワー ユーザーのシナリオでは多くの場合に生産性の要件ですが、規制対象や共有ワークロードでは通常は明確に禁止されます。

この移行が重要な理由：[ユーザー設定] は廃止される

Microsoft はクラウド PC の制御を [デバイス] > [クラウド PC 設定] の下にある新しいクラウド PC 構成に統合し、古い [ユーザー設定] ページを段階的に廃止しています。この移行で厄介だったのがローカル管理者です。復元やリセットのオプションとは異なり、「ローカル管理者を有効にする」には新しいモデルで直接の代替がなく、移行中の管理者はこの項目で行き詰まりました。

このプレビューがその壁を取り除きます。Microsoft の更新されたドキュメントは推奨事項を明確に示しています。

ローカル管理者を有効にする（プレビュー）設定を構成する際は、クラウド PC 構成の使用を推奨します。ユーザー設定にある既存のローカル管理者を有効にする（プレビュー）構成は、当面そこでも引き続き管理できます。ユーザー設定でのサポートが段階的に廃止されるにつれて、これらの構成をクラウド PC 構成に移行することを推奨します。

したがって、現時点で壊れるものはありません。既存の [ユーザー設定] の割り当ては引き続き機能します。しかし、今後の方向性が明確になり、それは他のクラウド PC 設定がすでに進んでいるのと同じ道です。

構成方法

  1. Microsoft Intune 管理センターにサインインします。
  2. [デバイス] > [クラウド PC 設定]（[Windows 365 クラウド PC の管理] の下）に移動します。
  3. [作成] > [クラウド PC 構成] を選択します。
  4. 設定の名前と任意の説明を入力します。
  5. [構成設定] タブで、[ローカル管理者を有効にする（プレビュー）] を [有効] に設定します。構成しない項目は [未構成] のままにします。
  6. 必要なスコープ タグを追加します。
  7. [割り当て] で [グループの追加] を選び、この設定を受け取るユーザー グループを選択します。
  8. 確認して [作成] を選択します。

クラウド PC 構成はユーザー グループの対象指定をサポートし、同じページで他に 2 つの機能も提供されます。**AI 対応機能（Frontier プレビュー）とビジネス継続性および災害復旧機能（プレビュー）**です。また、Microsoft のドキュメントには、このページの一部の設定が 8 vCPU / 32 GB / 256 GB 以上のスペックのクラウド PC にのみ適用されるという注記があります。広く展開する前にサイズの注記を確認してください。

重複する割り当てに注意

ローカル管理者の動作はユーザー グループのメンバーシップによって決まるため、ポリシーの重複は予期しない結果の典型的な原因です。[ユーザー設定] モデルでは、ユーザーが複数のポリシーに属している場合、最後に作成されたポリシーが有効になり、他は無視されました。最後に更新された時刻は関係ありませんでした。

さらに注意すべき点は、適用される設定でローカル管理者を有効にするがチェックされていない場合、それらのグループのユーザーからローカル管理者権限が削除されることです。これにより、ユーザーをローカル Administrators グループに追加するカスタム ソリューションやスクリプトが静かに壊れる可能性があります。割り当てを曖昧にせず、複数の構成オブジェクトから同じグループを対象にしないようにしてください。

セキュリティに関する考慮事項

永続的な Windows デスクトップでエンド ユーザーにローカル管理者を付与することは、形式ではなく実際のリスクです。ローカル管理者ユーザーは、任意のソフトウェアをインストールし、セキュリティ制御を無効化または弱体化し、昇格された権限でマルウェアを実行し、ログやセキュリティ エージェントを改ざんできます。クラウド PC もこの点では物理 PC と同じであり、さらにリモートから到達可能であるため露出が広がります。

有効にする際の実践的なガイダンス：

  1. 標準ユーザーと規制対象ワークロードでは既定で無効にします。職務上必要な場合にのみ有効にし——開発ツール、特定のドライバー、デバッガーのシナリオなど——小さく把握しやすい Entra ID グループに限定します。
  2. Windows LAPS を使用します。 ローカル管理者アカウントが必要な場合（緊急アクセス、サポート）、Intune のエンドポイント セキュリティ > アカウント保護を通じて Windows LAPS で管理し、パスワードを一意で定期的にローテーションし安全に保管します。
  3. ジャストインタイム昇格を優先します。 可能であればエンドポイント特権管理を採用し、昇格を恒久的ではなく時間制限付きで承認・監査されるようにします。
  4. 明示的なローカル グループ メンバーシップを検討します。 特定のアカウントをローカル Administrators グループに追加する必要がある場合、Intune のアカウント保護 > ローカル ユーザー グループ メンバーシップのほうが、一律のグループ トグルより細かい制御ができます。
  5. タスクが許す場合は、ローカル管理者としてサインインする代わりに Intune と Windows 365 の RBAC を管理操作に使用します。

管理者が今すぐ行うべきこと

  1. [ユーザー設定] の使用状況を棚卸しします。 現在ローカル管理者を有効にしている [ユーザー設定] ポリシーを見つけ、対象とするユーザー グループを記録します。
  2. プレビューで同等のクラウド PC 構成を用意します。 同じグループを割り当て、テスト用クラウド PC でローカル管理者メンバーシップが期待どおりに動作することを検証します。
  3. 設定を作り直してから古い設定を廃止します。 クラウド PC 構成が機能したら、重複する [ユーザー設定] ポリシーを削除して単一の情報源にします。ローカル管理者に関連する削除の意味に注意してください。
  4. 移行時に権限を絞り込みます。 この移行は、広いグループをそのまま引き継ぐのではなく、ローカル管理者の対象を減らす良い機会です。LAPS と、可能であればエンドポイント特権管理を組み合わせます。
  5. サイズを確認します。 広く展開する前に、このページの 8 vCPU / 32 GB / 256 GB 以上の設定に関する注記を確認します。

ソース

X の https://x.com/kkaminsk で、毎週の Windows 365 と Intune の更新情報をフォローしてください。