【Intune】暗号化済みなのにBitLocker要件で端末が非準拠になる時

会社PCがBitLockerで暗号化されているにもかかわらず、Microsoft Intuneのコンプライアンスポリシーで「非準拠」と表示され、条件付きアクセスによってOutlookやTeamsにアクセスできなくなるケースが発生することがあります。暗号化自体は正しく行われているのに、なぜコンプライアンス違反と判定されるのでしょうか。この問題は、端末の所有権やOSのビルド番号、BitLockerの保護機能の構成など、複数の要因が絡むことが多く、初心者の管理者では原因を特定しにくいのが実情です。本記事では、暗号化済み端末が非準拠になる典型的な原因を整理し、自分で確認できる範囲と管理者に依頼すべき対応を明確にします。

1. 暗号化済みなのに非準拠になる原因の全体像

IntuneのBitLockerコンプライアンスポリシーは、単にドライブが暗号化されているかだけでなく、暗号化の強度や保護機能の状態、OSのバージョン、端末の所有権など、複数の条件をチェックします。そのため、暗号化が有効でも以下の理由で非準拠となる可能性があります。

• 暗号化方式の不一致: IntuneポリシーがXTS-AES 256を要求しているのに、端末がXTS-AES 128で暗号化されている。
• キー保護機能の不足: TPMのみで保護されているが、ポリシーがTPM + PINまたはパスワードを要求している。
• OSビルドが古い: Windows 10 バージョン1903未満など、サポート対象外。
• 所有権が個人: 会社所有のはずがIntune上で「個人」と登録されている。
• 暗号化ステータスの更新遅延: Intuneへのレポートが完了していない。

これらの原因を一つずつ確認していくことで、適切な対処が可能になります。

2. 確認手順:Intuneポータルサイトでの端末状態の見方

まずは自分で確認できる情報を集めましょう。以下の手順でIntuneポータルサイトにアクセスし、端末のコンプライアンス状態を確認します。

1. Webブラウザで https://portal.manage.microsoft.com にアクセスし、会社のアカウントでサインインします。
2. 左メニューから「デバイス」をクリックし、該当する端末の名前をクリックします。
3. 「コンプライアンス」タブを開き、赤字で「非準拠」と表示されている項目を確認します。多くの場合、「BitLocker暗号化」という項目がエラーになっています。
4. 同じページの「BitLocker」セクションでは、暗号化の状態、暗号化方式、キー保護機能の種類が表示されます。これと後述のテーブルを照らし合わせて原因を推定します。
5. もし回復キーが必要な場合は、「回復キーの表示」からコピーできますが、通常はこの操作は管理者が行います。

この画面の情報だけでは不十分な場合、管理者がIntune管理センターで詳細なコンプライアンスポリシーを確認する必要があります。

3. 原因別の切り分け:比較表で理解する

以下の表は、暗号化済みにもかかわらず非準拠になる代表的な原因とその特徴をまとめたものです。自分の端末の状態と照らし合わせてみてください。

原因	確認方法	典型的な現象	対応
暗号化方式の不一致	コマンドプロンプトで “manage-bde -status” を実行し、「暗号化方式」欄を確認	XTS-AES 128(ポリシーは256を要求)	管理者がポリシーを緩和するか、端末を再暗号化する
キー保護機能の不足	Intuneポータル「BitLocker」セクション、または manage-bde -protectors -get C:	TPMのみ(ポリシーはTPM+PINが必要)	管理者がポリシーを変更するか、利用者がPINを設定(ただし会社ポリシーに従う)
OSビルドが古い	設定 → システム → バージョン情報でビルド番号を確認	Windows 10 バージョン1809以下	Windows Updateを実行して最新ビルドにする
所有権が個人	Intuneポータル「デバイスの詳細」→「所有権」	「個人」と表示	管理者が所有権を「会社」に変更する
更新遅延	Intuneポータル下部の「最終チェックイン」が古い	暗号化後に24時間以上経過しても非準拠	Intuneポータルで「チェックイン」を実行するか、端末を再起動する

この表を参考に、自分の端末の状態がどの行に該当するかを調べてください。複数の原因が重なっていることもあります。

4. 失敗パターンと回避策

4-1. 暗号化後に再起動していない

BitLockerの暗号化はバックグラウンドで進行しますが、完了後もIntuneに状態が報告されるまでに再起動が必要な場合があります。暗号化が100%完了しても、端末を再起動しないとコンプライアンス状態が更新されません。必ず再起動してから数時間待ってください。

4-2. キー保護機能の追加を間違える

例えば、ポリシーが「TPMとスタートアップPIN」を要求しているのに、管理者がPINを設定していない場合や、誤ってパスワード保護だけを有効にしてしまうケースがあります。一般ユーザーが勝手に保護機能を変更すると、回復キーが失われるリスクがあるため、絶対に行わないでください。

4-3. 暗号化方式の再暗号化に失敗する

暗号化方式を変更するには、一度暗号化を解除してから再暗号化する必要がありますが、この操作中に停電などが発生するとデータが破損する恐れがあります。必ずバックアップを取った上で、管理者が実施するようにしてください。

5. 管理者に依頼すべき確認事項

ユーザー自身では解決できない原因については、管理部署に以下の情報を伝えてください。

• Intuneで適用されているBitLockerコンプライアンスポリシーの内容: 暗号化方式、必要なキー保護機能、OSバージョンの要件など。
• 端末の所有権設定: 会社所有にもかかわらず「個人」になっていないか。
• 条件付きアクセスポリシー: BitLockerのコンプライアンスが条件に含まれているか。
• IntuneとAzure ADの同期状態: 端末が正しく登録されているか。

管理者はIntune管理センターで「デバイスコンプライアンス」ポリシーを確認し、必要に応じてポリシーを調整するか、端末に対して「修復」アクションを実行できます。なお、修復アクションは「まだチェックインしていない」などの一時的な問題を解決する場合に有効です。

6. よくある質問(FAQ)

Q1. BitLocker暗号化が有効なのに、Intuneポータルで「暗号化されていません」と表示される

端末の暗号化状態がIntuneにまだ反映されていない可能性があります。端末を再起動し、数時間待っても改善しない場合は、管理者によるチェックインの強制が必要です。

Q2. 自分でBitLockerの設定を変更してもよいですか?

会社PCでは、IntuneのポリシーによってBitLockerの設定が管理されているため、一般ユーザーが変更することは推奨されません。特にキー保護機能の追加や暗号化方式の変更は、回復キーの紛失やデータ損失の原因になります。必ず管理者に依頼してください。

Q3. コンプライアンス非準拠のままだとどうなる?

会社の条件付きアクセスポリシーによって、メールやTeams、SharePointなどのアクセスがブロックされる可能性があります。早急に対処しないと業務に支障が出るため、速やかに管理者へ連絡しましょう。

7. まとめ

BitLocker暗号化済み端末がIntuneで非準拠になる原因は、暗号化方式の不一致、キー保護機能の不足、OSビルドの古さ、所有権の誤設定、更新遅延の5つに大きく分類できます。ユーザー自身で確認できるのはIntuneポータルサイトの情報とmanage-bdeコマンドの結果程度であり、ポリシーの変更や端末設定の修正は管理者に依頼する必要があります。まずはこの記事の比較表を使って原因を切り分け、適切な関係部署に連絡してください。早期解決により、業務の中断を防ぐことができます。

👥

Teams/Outlookトラブル完全解決データベース サインイン、接続エラー、メール送受信の不具合など、特有のトラブル解決策を網羅。困った時の逆引きに活用してください。

🔐

会社アカウント・認証トラブル完全解決データベース 職場または学校アカウント、MFA、Authenticator、VPN、権限、会社ポリシーで止まる問題を横断的に確認できます。