【Intune】端末がRoot化・改造済みと判定された時に確認する事項

会社支給のスマートフォンやタブレットで、業務用アプリやメールにアクセスしようとしたところ、「端末がRoot化されています」や「改造済み端末」といったメッセージが表示され、利用できなくなった経験はありませんか。Intune(Microsoft Endpoint Manager)では、端末の状態を監視し、セキュリティポリシーに違反する端末をブロックする仕組みがあります。この記事では、Intuneで端末がRoot化または改造済みと判定された場合に、ユーザー自身で確認すべきポイントと管理者に連絡する際の手がかりを整理します。原因の切り分けと適切な対処方法を理解することで、スムーズな解決につなげることができます。

Intuneが「Root化・改造済み」と判定する仕組み

コンプライアンスポリシーとRoot検出

Intuneのコンプライアンスポリシーには、端末が脱獄(iOS)またはRoot化(Android)されている場合に非準拠とする設定項目があります。これは、企業データを保護するために、端末のセキュリティが損なわれている状態を検出するためです。Intuneは、端末の特定のファイルやシステムプロパティ、ブートローダーのロック状態などをチェックして、Root化や改造の有無を判断します。判定は、端末がIntuneにチェックインするタイミングや、条件付きアクセスポリシーが適用される際に行われます。会社のポリシーによっては、開発者向けオプションが有効になっているだけでも非準拠になる場合があります。

端末状態の確認手順(ユーザー自身で確認できる方法)

Android端末の場合

Android端末では、Root化の痕跡を確認するアプリをインストールする方法がありますが、会社支給端末では余計なアプリを入れないほうが安全です。以下の手順で、端末の状態を確認してください。

1. 設定アプリを開き、「システム」→「端末情報」をタップします。ここで「ビルド番号」を7回連続でタップすると、開発者向けオプションが有効になります。
2. 開発者向けオプションのメニューを開き、「OEMロック解除」や「ルートアクセス」といった項目が存在するか確認します。これらの項目が表示されていたり、有効になっている場合、ブートローダーが解除されているかRoot化されている可能性があります。
3. 「設定」→「セキュリティ」→「アプリのインストール元」で、「提供元不明のアプリ」のインストールが許可されていないか確認します。許可されている場合、安全でないアプリをインストールしている可能性があります。
4. インストール済みのアプリ一覧を確認し、「Superuser」「Magisk」「KingRoot」などRoot管理アプリがないか探します。心当たりのないアプリがある場合は、アンインストールを検討します。
5. Intuneポータルサイトアプリを開き、「デバイス」→「デバイスの状態」をタップして、準拠状況を確認します。「非準拠」と表示され、理由に「Root化デバイス」と書かれている場合、Intuneが端末を改造済みと見なしています。
6. 上記の確認で異常が見つからない場合でも、中古端末やカスタムROMの影響で誤検出が発生することがあります。その場合は、工場出荷状態にリセットする前に、管理者に連絡して指示を仰いでください。

iOS端末の場合

iOS端末では、脱獄(Jailbreak)が行われているかを確認する手順を説明します。脱獄の痕跡はOSレベルで隠蔽されることがあるため、以下の点を丁寧にチェックします。

1. 設定アプリを開き、「一般」→「プロファイル」を確認します。脱獄ツールがインストールした不明なプロファイルが存在しないか確認します。もしあれば、削除せずに管理者へ報告してください。
2. ホーム画面で、Cydia、Sileo、Zebraといった脱獄ストアアプリが表示されていないか確認します。通常のApp Storeではインストールできないアプリです。
3. 端末を再起動してみます。一部の脱獄(untether脱獄)は再起動後も持続しますが、tethered脱獄では再起動後に脱獄状態が解除されます。再起動後にポータルサイトで状態が改善した場合は、脱獄の可能性が疑われます。
4. Intuneポータルサイトアプリでデバイスの状態を確認し、非準拠の理由をチェックします。「Jailbreak detected」と表示されている場合、脱獄端末と判定されています。
5. iOSのバージョンが最新であることを確認します。脱獄は特定のiOSバージョンでのみ可能なため、最新版にアップデートすると脱獄が無効化されることがあります。
6. 上記の確認で脱獄の痕跡が見つからず、かつ端末が最新のiOSにアップデートされている場合、誤検出の可能性があります。その際は、管理者に状況を伝え、ポリシーの見直しを依頼してください。

考えられる原因の切り分け(比較表)

以下の表で、主な原因とその特徴をまとめました。自分の端末の状況と照らし合わせて、どの原因に該当するかを判断してください。

原因	症状・特徴	対処法
実際にRoot化/脱獄している	端末を中古で購入した、または自分で改造した場合。Root管理アプリやCydiaが存在し、ブートローダーが解除されている。	工場出荷状態にリセットし、正規の状態に戻す。再発する場合は管理者に報告。会社支給端末なら管理者に端末交換を依頼。
誤検出(特定のアプリや設定がトリガー)	開発者向けオプションの有効化、特定のセキュリティアプリ、カスタムROMをインストールしているなど。実際にはRoot化していない。	開発者向けオプションを無効化、不要なアプリをアンインストール、OSを最新版にアップデート。改善しない場合は管理者に相談。
ポリシーの厳しすぎる設定	管理者が設定したコンプライアンスポリシーが非常に厳格で、通常の端末でも非準拠になる場合がある。例:開発者向けオプションの有効化を禁止しているが、ユーザーが有効にしていない。	管理者にポリシーの緩和や除外条件の追加を依頼。ただし、セキュリティバランスを考慮する必要がある。
OSバージョンやセキュリティパッチの問題	古いOSバージョンを使用している、またはカスタムROMでセキュリティ更新が未適用。ポリシーで要求されるOSバージョンに達していない。	端末を最新の公式OSにアップデート。キャリアアップデートが必要な場合もある。できない場合は管理者へ連絡。

失敗パターンと注意点

この問題でよくある失敗として、Root検出を回避するためのアプリ(Magisk HideやRootCloakなど)をインストールしようとする行為が挙げられます。企業のポリシーに違反するだけでなく、Intuneがより高度な検出方法を使用している場合、かえって端末が完全にブロックされるリスクがあります。また、問題解決のために端末を初期化する際、業務データのバックアップを取らずに行うと、重要なファイルを失う可能性があります。必ずOneDriveなどの会社クラウドストレージにデータをバックアップしてから実行してください。さらに、Intuneポータルサイトの「デバイスをワイプ」機能はすべてのデータを消去するため、個人端末の場合は特に注意が必要です。これらの対処を行う前に、まずは管理者に連絡して指示を仰ぐことを推奨します。

管理者に依頼すべき確認事項

ユーザー自身で確認しても問題が解決しない場合、管理者に以下の情報を伝えると迅速な対応が期待できます。伝える情報として、端末の型番、OSバージョン、ビルド番号、Intuneポータルサイトに表示されている非準拠の理由(スクリーンショットがあるとベスト)、自分で行った確認結果(開発者向けオプションの状態、インストール済みアプリのリストなど)、端末の所有権(会社支給か個人所有か)を準備してください。管理者側では、コンプライアンスポリシーの「Root化されたデバイス」設定が有効になっているか、条件付きアクセスポリシーが正しく構成されているか、所有権ごとに異なるポリシーが適用されているかを確認します。また、特定の端末モデルやOSバージョンで誤検出が報告されている場合、ポリシーの例外設定や更新プログラムの適用を検討します。

よくある質問(FAQ)

Q: Intuneで「端末がRoot化されています」と表示されたが、自分ではRoot化した覚えがありません。どうすればよいですか?
A: 誤検出の可能性が高いです。まずは上記の手順で端末の開発者向けオプションやインストール済みアプリを確認してください。中古で購入した端末の場合、前のユーザーがRoot化している可能性もあります。工場出荷状態にリセットしてみて、それでも表示される場合は管理者に連絡してください。

Q: 会社支給の端末ですが、私が改造したわけではありません。この場合、責任は私にあるのですか?
A: 端末の所有権が会社にある場合、通常は管理者側で端末の状態を管理する責任があります。ただし、ユーザーが許可なく個人用途で端末を改造したり、不正なアプリをインストールした場合は違反となります。まずは管理者に状況を説明し、指示を仰いでください。

Q: Root化検出を回避するアプリを使えば、回避できますか?
A: 絶対に行わないでください。企業ポリシー違反となり、発覚した場合は端末が完全にブロックされる可能性があります。また、Intuneは隠蔽を検出する高度な機能を持つ場合があります。正当な方法で解決することをお勧めします。

Q: 端末を初期化しても問題が解決しません。次に何をすべきですか?
A: 初期化後も同じメッセージが表示される場合、端末自体にRoot化の痕跡が残っているか、ポリシー設定に問題がある可能性があります。管理者に連絡し、端末の交換やポリシーの見直しを依頼してください。

まとめ

Intuneで端末がRoot化・改造済みと判定された場合、まずは原因を切り分けるために端末の状態を確認し、誤検出の可能性を排除することが重要です。自分で解決できない場合は、管理者に正確な情報を伝えて対応を依頼してください。決して検出を回避するような不正な手段に頼らず、企業のセキュリティポリシーに従って行動することが、長期的に安全な業務環境を維持するための最善の方法です。

👥

Teams/Outlookトラブル完全解決データベース サインイン、接続エラー、メール送受信の不具合など、特有のトラブル解決策を網羅。困った時の逆引きに活用してください。

🔐

会社アカウント・認証トラブル完全解決データベース 職場または学校アカウント、MFA、Authenticator、VPN、権限、会社ポリシーで止まる問題を横断的に確認できます。