【Intune】Endpoint securityポリシーが未適用になる時の端末確認

IntuneでEndpoint securityポリシーを割り当てたにもかかわらず、端末に反映されないケースがあります。ポリシーの未適用は、セキュリティ設定の抜け穴になるだけでなく、監査やコンプライアンス違反につながる可能性があります。この記事では、端末側の設定や状態を確認する具体的な手順を説明し、管理者へ報告すべき情報を整理します。ポリシー適用を妨げる要因を一つずつ切り分け、根本的な解決につなげてください。

1. Endpoint securityポリシーが未適用になる主な原因

ポリシーが適用されない理由は、端末側の要因と管理側の要因に大別されます。以下に代表的な原因を挙げます。

• 端末がIntuneと未同期: ポリシーを受け取る前に同期が行われていない。
• ローカル設定の競合: グループポリシーやレジストリ変更がIntuneポリシーを上書きしている。
• ファイアウォールや監査ポリシーのブロック: セキュリティソフトがIntuneの通信や設定変更を妨げている。
• 時刻同期のずれ: 端末の時刻が大きくずれると証明書や認証に失敗しポリシーが適用されない。
• ライセンス不足: ユーザーまたは端末にIntuneライセンスが割り当てられていない。

2. 端末側の確認手順

以下の順に端末をチェックし、原因を特定してください。

1. ポリシー同期状態の確認: 端末で「設定」→「アカウント」→「仕事または学校」→該当のアカウントを選択し「情報」をクリック。Intuneポリシーの最終同期時刻と状態を確認します。「保留中」や「エラー」の場合は、ポリシーが届いていない可能性があります。
2. 強制同期: コマンドプロンプトを管理者として開き、dsregcmd /status を実行し、Azure AD参加状態を確認した後、Start-Process -FilePath "C:\Program Files (x86)\Microsoft Intune\IntuneManagementExtension.exe" -ArgumentList "-SyncPolicy" -NoNewWindow を実行してポリシーを強制同期します。
3. ローカルセキュリティポリシーの確認: secpol.msc を開き、セキュリティ設定(アカウントポリシー、監査ポリシーなど)がIntuneポリシーと矛盾していないか確認します。特に監査ポリシーのサブカテゴリ設定がグループポリシーで上書きされていないか注意してください。
4. ファイアウォール設定の確認: Windows Defender ファイアウォールが有効であることを確認します。無効になっているとIntuneの管理通信が遮断されることがあります。また、サードパーティ製ファイアウォールがIntuneのエンドポイント(例:*.manage.microsoft.com)をブロックしていないか確認してください。
5. 時刻同期の確認: タスクバーの時刻を右クリックし「日付と時刻の設定」を開き、「時刻の自動設定」がオンで、同期サーバー(time.windows.comなど)に接続できているか確認します。コマンドプロンプトで w32tm /query /status を実行し、最後の同期が正常か確認します。
6. イベントログの調査: イベントビューアーを開き、「アプリケーションとサービスログ」→「Microsoft」→「Windows」→「DeviceManagement-Enterprise-Diagnostics-Provider」→「Admin」を確認します。エラーや警告が記録されている場合、ポリシー適用の失敗原因が記載されています。

3. 失敗パターンと判断基準

実際に発生しやすい失敗パターンと、その判断基準を表にまとめました。

失敗パターン	判断基準	対処の方向性
ポリシー同期が「保留中」のまま	Intune管理センターでポリシーのステータスが「保留中」、端末の同期時刻が古い	強制同期を実行し、ネットワーク接続を確認。それでも改善しない場合はIntune Management Extensionの再インストールを検討
ローカルの監査ポリシーが反映されない	secpol.mscで設定した監査ポリシーが無視されている、またはグループポリシーが優先されている	グループポリシーの結果を gpresult /h report.html で確認し、競合するGPOを特定。管理者にGPOの見直しを依頼
ファイアウォールが有効にならない	Intuneポリシーでファイアウォールを有効に設定しても、端末で無効のまま	サードパーティ製セキュリティソフトがファイアウォールを無効にしている可能性。ソフトの設定を確認し、競合を除外
端末の時刻がずれている	イベントログに認証エラーや時刻関連の警告が記録される	時刻同期を手動で実行し、同期サーバーへの接続を確認。ファイアウォールがNTPポート(123)をブロックしていないか確認
ユーザーライセンス未割り当て	Intune管理センターで該当ユーザーにIntuneライセンスが表示されない	管理者にライセンス割り当てを依頼。またはポリシーの割り当て対象がデバイスグループの場合、デバイスが適切なグループに属しているか確認

4. 管理者に報告すべき情報

問題を解決するために、管理者に以下の情報を送るとスムーズです。

1. 端末の状態: Intune管理センターにおける端末のコンプライアンス状態、最終同期時刻、ポリシーのエラーコード。
2. ローカルセキュリティ設定の差分: secpol.mscで確認した監査ポリシーやユーザー権利の割り当てが、Intuneポリシーと異なる場合その内容。
3. ファイアウォールログ: Windows Defender ファイアウォールのログや、サードパーティ製ソフトのブロックログ。
4. イベントログの抽出: DeviceManagement-Enterprise-Diagnostics-ProviderのAdminログをエクスポートしたもの。
5. gpresultレポート: グループポリシーが競合している場合、gpresult /h report.html の出力ファイル。

5. 再発防止のポイント

ポリシー未適用を繰り返さないために、日常的な管理と端末のメンテナンスが重要です。

• 定期的な同期の習慣: 端末の電源投入時に手動同期を行う、またはスケジュールタスクで定期的に同期を実行する。
• ローカル設定の変更禁止: 会社PCではセキュリティ設定を勝手に変更しない。変更が必要な場合は管理者の承認を得る。
• 時刻同期の自動化: Windowsの時刻同期設定を有効にし、NTPサーバーへの接続を維持する。
• セキュリティソフトの導入管理: Intuneと競合する可能性のあるサードパーティ製ソフトは、管理者が事前にテストして許可を得る。
• ライセンス管理の徹底: ユーザーやデバイスに適切なIntuneライセンスが割り当てられていることを定期的に監査する。

6. よくある質問

Q1: Intuneポリシーが適用されない場合、最初に試すべきことは?

最初に端末の強制同期を実行してみてください。それでも改善しない場合は、イベントログを確認しエラーコードを管理者に報告します。

Q2: ファイアウォールを無効にするとポリシーが適用されるようになりますか?

一時的に適用される可能性はありますが、セキュリティリスクが高いため推奨しません。代わりに、Intuneのエンドポイントへの通信が許可されているか確認してください。

Q3: グループポリシーとIntuneポリシーが競合した場合はどうなりますか?

一般に、グループポリシーが優先される場合があります。管理者にグループポリシーの設定を見直してもらい、Intuneポリシーと統一する必要があります。

Q4: 端末の時刻がずれている影響は?

証明書の検証や認証に失敗し、Intuneとの通信ができなくなります。時刻同期を正しく設定してください。

まとめ

Endpoint securityポリシーが未適用になる原因は、端末の同期状態、ローカル設定、ファイアウォール、時刻同期、ライセンスなど多岐にわたります。まずは端末側の確認手順に従い、原因を切り分けてください。設定を無効にして回避するのではなく、会社の基準との差分を管理者に正確に伝え、適切な対処を受けることが重要です。定期的なメンテナンスと管理との連携により、再発防止を図ってください。

👥

Teams/Outlookトラブル完全解決データベース サインイン、接続エラー、メール送受信の不具合など、特有のトラブル解決策を網羅。困った時の逆引きに活用してください。

🔐

会社アカウント・認証トラブル完全解決データベース 職場または学校アカウント、MFA、Authenticator、VPN、権限、会社ポリシーで止まる問題を横断的に確認できます。