【Intune】構成プロファイルを削除する前に確認する影響範囲

Intuneで配布した構成プロファイルを削除する場面は、ポリシーの見直しや端末の再設定時などに発生します。しかし、削除によって端末の設定がどのように変化するのか、影響範囲を事前に把握していないと、意図しないセキュリティ低下や業務アプリの動作不良を引き起こす恐れがあります。特に、セキュリティベースラインやファイアウォールルール、監査設定などは、削除後にクライアント側で既定値に戻るのか、それとも設定が残るのかが異なります。本記事では、構成プロファイルを削除する前に確認すべき影響範囲を、具体的な設定項目ごとに解説します。

プロファイル削除による設定変化のパターン

構成プロファイルを削除したとき、クライアント端末の設定がどのように変わるかは、プロファイルの種類や設定方法によって異なります。大きく分けて、以下の3パターンがあります。

1. 設定がIntune側で「未構成」になり、クライアントの該当設定が削除される。 多くのカスタム構成プロファイル(OMA-URIやカスタム設定)は、削除時にクライアントに適用されていた値が取り消され、レジストリやポリシーから削除されます。ただし、削除された後の状態は必ずしもWindowsの既定値とは限らず、以前に別の方法で設定されていた値やローカルグループポリシーの値が再び有効になる場合があります。
2. 設定がクライアントに残存する。 セキュリティベースラインや一部のエンドポイントセキュリティポリシーでは、削除後もクライアントに設定が残ることがあります。これはIntuneが明示的に設定を削除するコマンドを送信しないためで、結果として古い設定が残り続けます。その場合、手動でクリアするか、新しいポリシーで上書きする必要があります。
3. 設定がWindowsの既定値に戻る。 時刻同期や一部のファイアウォールルールなど、単純な設定項目は削除と同時にOSの標準状態に戻ります。ただし、既定値が必ず安全とは限らず、社内基準と乖離する可能性があるため注意が必要です。

次の表に、代表的な設定カテゴリについて削除後の挙動をまとめました。

設定カテゴリ	削除後のクライアント挙動	注意点
セキュリティベースライン	一部設定がレジストリに残存する	完全に初期状態に戻らないため、手動でクリアか上書きが必要
カスタム構成プロファイル (OMA-URI)	設定値が削除されるが、既定値に戻らないものもある	設定を元に戻すには明示的なOMA-URIで既定値を指定する必要がある
ファイアウォールルール	Intuneで有効にしたルールは削除後無効化(ルール自体は削除される)	ローカルで追加されたルールはそのまま残る
監査ポリシー	設定が維持される場合が多い(削除後も監査オン)	グループポリシーと競合する場合は注意
時刻同期設定	デフォルトNTPサーバーに戻る	社内NTPサーバー指定が外れる場合あり
BitLocker設定	暗号化状態は変わらないが、バックアップや回復キーの保護設定は解除される	データ消失にはつながらないが、管理が不完全になる

セキュリティベースライン削除の影響

Windowsセキュリティベースラインは、OSの推奨セキュリティ設定を一括で適用するプロファイルです。削除時の挙動は特に注意が必要です。Intune経由でセキュリティベースラインを適用した後、そのプロファイルを削除しても、クライアントの多くの設定は自動的に初期状態に戻りません。これは、ベースラインが各設定を「有効」または「無効」に変更するものの、削除時には「未構成」にはならないからです。

具体的には、SMB署名、LDAP署名、Windows Defenderのリアルタイム保護など、レジストリベースの設定は削除後も残り続けます。もし元のOS既定値に戻したい場合は、同じ設定を「未構成」にするための別のプロファイルを展開するか、手動でレジストリを編集する必要があります。このため、セキュリティベースラインを削除する前に、現在適用されている設定のバックアップ(PowerShellでGet-MpComputerStatusやreg queryなど)を取得しておくことを推奨します。

また、削除によって競合が発生することもあります。たとえば、後から別のセキュリティベースラインやカスタムプロファイルを割り当てている場合、古い設定が残っていると意図しない優先順位で動作する可能性があります。影響範囲を把握するには、endpoint.microsoft.comの「デバイス構成」レポートで各端末の実際の設定状態を確認し、期待値と乖離がないか検証してください。

ファイアウォール・監査・時刻同期設定の削除影響

ファイアウォール設定

Intuneの構成プロファイルでファイアウォールのルールを設定している場合、そのプロファイルを削除すると、Intune経由で追加されたルールはクライアントから削除されます。しかし、ファイアウォール全体の有効/無効設定は、削除後もActive Directoryグループポリシーやローカル設定の影響を受けるため、単純に「ファイアウォールが無効になる」わけではありません。また、削除後も管理者が各端末にログインしてルールが残っていないか確認するには、netsh advfirewall コマンドやWindows Defender Firewallの管理コンソールを使用できます。削除前に、適用されているルール一覧をエクスポート(netsh advfirewall export)しておくと、元に戻したいときに役立ちます。

監査設定

監査ポリシーを構成するプロファイルは、削除後もクライアントの監査設定が維持される傾向があります。これは、Intuneが監査ポリシーを「有効」に設定した後、削除時に「無効」に戻す動作を行わないためです。結果として、大量の監査ログが生成され続ける可能性があり、ディスク容量やパフォーマンスに影響が出る場合があります。監査設定を元の状態に戻すには、同じポリシーカテゴリに対して「監査無効」を設定する新しいプロファイルを展開するか、ローカルのセキュリティポリシー(secpol.msc)で手動変更する必要があります。削除前に、現在の監査設定を auditpol /get /category:* で出力して保管しておきましょう。

時刻同期設定

時刻同期の設定は比較的単純で、プロファイル削除後はデフォルトのNTPサーバー(time.windows.com)に戻ります。ただし、社内で専用のNTPサーバーを利用している場合、削除後に時刻同期が社外サーバーに切り替わるため、ファイアウォールルールやDNS解決に影響が出る可能性があります。また、Windows Timeサービスが停止している場合は再起動が必要になることもあります。削除前に、w32tm /query /status で現在のNTPサーバーと同期状態を確認し、必要に応じて代替のポリシーを用意しておくと安全です。

ローカル設定と端末保護状態への影響

構成プロファイルには、BitLocker、Windows Defender、ローカルグループポリシーなど、端末の保護状態に直接関わる設定が含まれます。これらの設定を削除すると、端末のセキュリティレベルが低下する恐れがあります。たとえば、BitLockerの管理ポリシーを削除すると、ドライブの暗号化自体は解除されませんが、回復キーの自動バックアップが停止し、キーを紛失した際にデータにアクセスできなくなるリスクが生じます。また、Windows Defenderの除外設定やリアルタイム保護設定を削除すると、Defenderの動作がデフォルトに戻り、以前に許可されていたアプリがブロックされる可能性があります。

ローカル設定の中には、削除後もレジストリに残り、他のポリシーと競合するものもあります。特に、複数の構成プロファイルが同じ設定を異なる値で管理している場合、最後に評価されたポリシーが優先されます。プロファイル削除後は、優先順位が変わるため、想定外の設定が有効になることがあります。これを防ぐには、削除前に ManageEngineやPowerShellのInvoke-Commandを使って全端末の該当設定値を収集し、削除後の状態をシミュレーションしておくとよいでしょう。

端末保護状態の監視は、Microsoft Defender for Endpointや Intuneの「エンドポイントのセキュリティ」レポートで行えます。削除前後の保護状態を比較できるように、レポートをエクスポートして保管しておくことをお勧めします。

削除前に管理者と確認すべきポイント

構成プロファイルを削除する前に、以下の項目について管理者と合意しておくことで、トラブルを未然に防げます。

1. 削除後、代わりに適用されるポリシーはあるか? 削除によってセキュリティ設定が緩む場合、別のプロファイルで補完する必要があります。たとえば、試験導入していたベースラインを削除する際、本番用のベースラインが後で適用される予定なら、順序を決めておきます。
2. 該当プロファイルの設定内容を文書化しているか? 削除後に元に戻す可能性を考え、設定のバックアップ(XMLやOMA-URIパス・値の一覧)を共有しておきます。特にカスタムOMA-URI設定は、削除後もレジストリに残るため、後で手動削除するための情報が必要です。
3. 削除の影響範囲を限定するテストは行っているか? いきなり全社に影響するプロファイルを削除するのではなく、まずパイロットグループで削除を実施し、数日間動作を観察します。その後、問題がなければ対象を広げます。
4. 端末の再起動は必要か? 設定の中には即時反映されず、再起動やgpupdate相当の処理が必要なものもあります。削除後、端末がいつ再起動されるかを運用ルールとして決めておくと混乱を防げます。
5. 障害発生時のロールバック手順は準備しているか? 削除後に不具合が起きた場合に備え、同じプロファイルを再割り当てするクイック手順や、スタンドアロンで設定を戻すバッチファイルなどを準備します。
6. コンプライアンスポリシーや条件付きアクセスとの連動を考慮しているか? 構成プロファイルは、コンプライアンスポリシーの評価条件になっている場合があります。削除により準拠状態が変わり、端末がリソースにアクセスできなくなる可能性があるため、事前に確認してください。

よくある質問

Q. セキュリティベースラインを削除したら、すぐに設定が戻らないのはなぜですか?

Intuneのセキュリティベースラインは、各設定を「有効」または「無効」に変更するもので、削除時にその変更を取り消す動作をしません。そのため、削除後も設定が残ります。設定を元に戻すには、既定値に設定する別のプロファイルを適用するか、ローカルで手動変更する必要があります。

Q. ファイアウォールルールのプロファイルを削除したら、全部のルールが消えますか?

プロファイルで追加したルールだけが削除されます。ローカル管理者が手動で追加したルールや、グループポリシーで配布されたルールはそのまま残ります。削除前に、そのプロファイルにどのルールが含まれているかを確認するには、Intune管理画面のプロファイル設定を開き、ルール一覧を参照してください。

Q. 監査設定を削除してもログが止まらない場合、どうすればいいですか?

監査ポリシーは削除後も維持されるため、新しいプロファイルで「監査を無効にする」設定を明示的に適用する必要があります。たとえば、[コンピューターの構成]>[管理用テンプレート]>[Windowsコンポーネント]>[イベントログサービス]でログの最大サイズを制限する、または監査カテゴリを「成功」や「失敗」のチェックを外すポリシーを作成して展開します。即座に対応したい場合は、各端末で auditpol /clear を実行して現在の監査ポリシーをクリアできますが、一度クリアすると過去ログも失われる点に注意してください。

構成プロファイルの削除は、一見簡単な操作に見えますが、端末のセキュリティと業務継続性に大きく影響します。影響範囲を正しく把握し、事前の準備と管理者との連携を徹底することで、リスクを最小限に抑えられます。セキュリティベースラインやファイアウォール、監査設定などは特に慎重に扱い、削除後も設定が残ることを前提に対策を講じてください。また、常に最新のIntuneのドキュメントを参照し、プロファイルの種類ごとの動作を確認する習慣をつけることをお勧めします。

まとめ

構成プロファイルの削除は、社内アプリや証明書、ネットワーク設定にまとめて影響することがあります。削除の前に対象端末、影響範囲、代替手段を管理者と確認し、自己判断で会社管理から外さないようにしてください。

👥

Teams/Outlookトラブル完全解決データベース サインイン、接続エラー、メール送受信の不具合など、特有のトラブル解決策を網羅。困った時の逆引きに活用してください。

🔐

会社アカウント・認証トラブル完全解決データベース 職場または学校アカウント、MFA、Authenticator、VPN、権限、会社ポリシーで止まる問題を横断的に確認できます。