【Intune】古い端末情報が残って条件付きアクセスに影響する時の対処法

Microsoft Intuneで端末を管理している組織では、条件付きアクセスを利用して、準拠した端末からのみ社内リソースにアクセスできるように設定するケースが増えています。しかし、端末を交換したりOSを再インストールした後でも、古い端末情報がIntuneに残ったままになっていると、意図しない認証の失敗やアクセス制限が発生することがあります。特に、所有権の設定やOS要件が古い情報に基づいている場合、新しい端末なのに「準拠していない」と判定されてしまう問題が起こりえます。この記事では、古い端末情報が条件付きアクセスに影響する仕組みと、安全に原因を切り分ける方法、管理者が実施すべき対処手順を詳しく解説します。

なぜ古い端末情報が条件付きアクセスに影響するのか

条件付きアクセスのポリシーでは、アクセスを許可する条件の一つとして「デバイスが準拠していること」を指定できます。Intuneに登録された端末は、コンプライアンスポリシーの評価結果に基づいて「準拠」または「非準拠」の状態を持ちます。この状態は、端末の一意識別子であるデバイスIDに紐づいています。

問題が発生する典型的なシナリオとして、以下のようなケースがあります。

• 端末を再利用した場合: 古い端末を別のユーザーに割り当てたり、OSを再インストールして同じ端末を使い続けると、Intune側に以前の登録情報が残ったまま新しい登録が行われる可能性があります。
• 端末を紛失・交換した場合: 古い端末をIntuneから削除せずに新しい端末を登録すると、両方の端末情報が存在し、条件付きアクセスがどちらの端末を参照するかで混乱することがあります。
• 所有権の設定ミス: 個人所有(BYOD)と会社所有の設定が実際と異なる場合、コンプライアンスポリシーや条件付きアクセスの条件に影響します。
• OSバージョン情報のずれ: 端末が更新されているのにIntuneに古いOSバージョンが記録されていると、OS要件を満たしていないと判定されることがあります。

これらの状態が続くと、ユーザーがOutlookやTeamsにサインインしようとした際に「このデバイスは条件を満たしていません」というエラーが表示され、アクセスがブロックされます。

トラブルシューティングの手順:端末側と管理側の確認

手順1:現在の端末の準拠状態を確認する

1. Windowsの設定アプリを開き、[アカウント]→[職場または学校にアクセスする]を選択します。
2. 接続されているアカウントをクリックし、[情報]を選んで、デバイスの準拠状態が「準拠しています」と表示されているか確認します。
3. [同期]ボタンをクリックして、最新の状態をIntuneと同期します。同期後も「このデバイスは組織のセキュリティポリシーに準拠していません」と表示される場合は、原因をさらに調べる必要があります。
4. Microsoft Edgeで https://myaccount.microsoft.com にアクセスし、[デバイス]タブから自分の端末が一覧に正しく表示されているか確認します。
5. 複数の端末が表示されている場合、古い端末が残っていないか確認し、もし心当たりのない端末があれば管理者に連絡します。

手順2:管理者がIntune管理センターで確認する

1. 管理者は Microsoft Intune管理センター にサインインします。
2. [デバイス]→[すべてのデバイス]を選択し、問題のユーザーが使用している端末を検索します。
3. 端末をクリックして詳細を開き、[コンプライアンス]の状態、[所有権]、[OS]の情報が実際の端末と一致しているか確認します。
4. もし重複した端末や明らかに古い端末が存在する場合は、その端末を選択して[削除]を実行します。削除前に、その端末が本当に使用されていないことをユーザーに確認してください。
5. 所有者が「個人」または「会社」のどちらになっているか確認し、実際の所有形態と異なる場合は[プロパティ]から所有権を変更します。
6. OSのバージョンが実際と異なる場合、端末でIntuneポータルサイトアプリを開いて[デバイスの同期]を実行するか、手動で更新を促します。

状況別の比較:古い端末情報が及ぼす影響の違い

シナリオ	残っている古い情報	影響	対処方法
端末を交換したが古い端末を削除していない	古いデバイスID、準拠状態が不明	条件付きアクセスが古い端末の状態を参照し、新しい端末がブロックされる	管理者がIntuneで古い端末を削除
端末のOSを再インストールした	同じデバイス名だが登録日が古い	端末が非準拠と判定され、アクセス拒否	端末側で「切断」→再登録、または管理者がデバイスを削除して再登録
所有権を「個人」と設定すべきところ「会社」になっている	所有権が異なる	コンプライアンスポリシーの条件(会社所有のみ準拠など)に合致せず非準拠になる	管理者がIntune上で所有権を修正
OSバージョンが実際とずれている	Intuneに記録されたOSが古い	コンプライアンスポリシーのOS要件を満たさず非準拠	端末で同期、またはポータルサイトアプリの[デバイスの状態]で更新

失敗パターン:よくある誤解と注意点

端末を手動で削除しても問題が解決しないケース

古い端末をIntuneから削除したのに、すぐに条件付きアクセスが通らないことがあります。これは、Azure AD(Entra ID)側にも端末オブジェクトが残っているためです。IntuneとAzure ADは連携していますが、Intuneで端末を削除してもAzure ADのデバイスが自動的に消えない場合があります。その場合は、Azure AD管理センターでも該当デバイスを削除する必要があります。

ユーザー自身でレジストリを変更しようとする

「端末情報を強制的に消すためにレジストリを編集する」といった情報がインターネットにありますが、会社PCでは絶対に実行しないでください。レジストリの誤った編集はOSの動作不良を招き、社内ポリシー違反になる可能性があります。また、Intuneの管理対象端末では、レジストリ変更が自動で元に戻されることもあります。

「準拠していない」エラーがすべて古い端末情報に起因するわけではない

条件付きアクセスの拒否理由は、端末の非準拠以外にも、アカウントのリスク、場所、アプリなど様々です。そのため、まずはエラーメッセージに表示される詳細や、Azure ADのサインインログを確認することが重要です。サインインログには「アクセスがブロックされた理由」がコードと共に表示されます。そのコードが「Device not compliant (デバイスが準拠していない)」以外の場合は、別の原因を疑う必要があります。

管理者へ伝えるべき情報と依頼内容

ユーザーが自分で端末を確認しても問題の根本解決が難しい場合は、管理者に対応を依頼する必要があります。その際、以下の情報を伝えるとスムーズに調査が進みます。

• エラーメッセージのスクリーンショット: 特に「アクセスが拒否されました」という画面に表示される詳細メッセージやエラーコードを撮影します。
• 影響を受けているアプリと操作: Outlook、Teams、OneDriveなど、どのアプリで問題が発生しているかを伝えます。
• 端末の情報: Windowsのバージョン(例:Windows 10 Pro 22H2)、Intuneに表示されている端末名、所有権の設定(会社/個人)を確認します。
• 最近の端末変更: OS再インストール、端末交換、アカウントの追加・削除などを行ったかどうかを伝えます。
• 同期の試行: [職場または学校にアクセスする]画面で同期を実行したか、その結果を伝えます。

管理者はこれらの情報をもとに、Intune管理センターとAzure ADの両方でデバイスレコードを確認し、古い情報があれば削除や修正を行います。また、コンプライアンスポリシーの再評価をトリガーすることもできます。

よくある質問(FAQ)

Q1: 古い端末を削除したのに、まだ新しい端末が非準拠と表示されます。どうすればいいですか?

A: 端末側でIntuneポータルサイトアプリを開き、[デバイス]タブから該当端末を選択して[同期]を実行してください。それでも改善しない場合、管理者に依頼して端末の登録を一度解除し、再度登録してもらう必要があります。

Q2: 所有権の変更はユーザー自身でできますか?

A: できません。所有権の変更はIntuneの管理者ロールを持つユーザーのみが行えます。ユーザーは所有権が誤っていることを管理者に連絡してください。

Q3: 端末を同期してもOSバージョンが更新されません。なぜですか?

A: OSバージョン情報の更新は、Intuneへのチェックイン時に自動で行われますが、同期の方法によっては即時反映されない場合があります。管理者がIntune管理センターで「チェックインの強制」を実行すると、端末が強制的にIntuneと通信し、最新情報がアップロードされます。

Q4: 条件付きアクセスでブロックされた場合、必ず端末情報が原因ですか?

A: いいえ、他にもリスクベースの条件(異常なサインイン)、場所(許可されていない国からのアクセス)、クライアントアプリの種類(モダン認証に対応していない)など様々な要因があります。詳細はAzure ADのサインインログで確認できます。

まとめ

古い端末情報がIntuneに残ることで、条件付きアクセスに予期せぬ影響が出るケースは少なくありません。原因の切り分けは、まず端末側の準拠状態とIntune上のデバイス一覧を照合することから始まります。管理者は重複した端末の削除や所有権の修正、OS情報の同期を適切に行うことで、問題を解決できます。ユーザー側で勝手にレジストリなどを変更するのは避け、正確な情報を管理者に伝えることが再発防止につながります。

また、条件付きアクセスのポリシー自体が正しく構成されているかどうかも定期的に見直すことが重要です。不要になった端末を定期的にクリーンアップする運用ルールを策定しておけば、同様のトラブルを未然に防げるでしょう。

👥

Teams/Outlookトラブル完全解決データベース サインイン、接続エラー、メール送受信の不具合など、特有のトラブル解決策を網羅。困った時の逆引きに活用してください。

🔐

会社アカウント・認証トラブル完全解決データベース 職場または学校アカウント、MFA、Authenticator、VPN、権限、会社ポリシーで止まる問題を横断的に確認できます。