Microsoft Intune（以下、Intune）の導入を検討すると、「これ一つで端末管理はすべて完結するのか」という疑問に必ず突き当たります。実際には得意な領域と、追加のライセンスや別ツールで補うべき領域がはっきり分かれます。本稿では競合比較ではなく、Intune単体のカバー範囲を事実ベースで整理し、不足分をどう補完するかまでを情シスの実務目線で解説します。

^Intuneの得意領域｜まず何ができるかを押さえる

Intuneはクラウド型のエンドポイント管理サービスであり、端末とアプリの「登録・構成・保護・更新」を一元的に担います。できないことを語る前に、まず本来の守備範囲を正確に把握しておくと、過不足のない判断がしやすくなります。

Microsoftの公式定義では、IntuneはWindowsに加えてAndroid・iOS/iPadOS・macOS・Linuxなど複数のプラットフォームを対象とし、オンプレミス基盤を持たずに運用できるとされています。管理モードはデバイス全体を管理するMDMと、業務アプリとその中のデータのみを守るMAMの2種類があり、両者を組み合わせて使える点が特徴です。

端末の構成・セキュリティ・アプリ配布

Intuneが最も力を発揮するのは、ポリシーによる構成管理です。パスワード要件や暗号化、Wi-Fiや証明書の配布といった設定を、Microsoft Entra IDのグループ単位でまとめて適用できます。

さらに、コンプライアンスポリシーで端末の状態を評価し、条件付きアクセスと連携させれば、基準を満たさない端末からの社内リソースアクセスを遮断できます。アプリ配布についても、Win32アプリやストアアプリを対象に展開・アンインストールを制御できるため、キッティング後の運用を大きく効率化できます。

関連記事：MDMとは？仕組み・EMM/UEMとの違い・製品比較を情シス向けに徹底解説

参考記事：What is Microsoft Intune?（Microsoft Learn）

Intuneでできないこと・苦手なことの整理

得意領域が広い一方で、Intuneには「標準機能だけでは完結しにくい領域」が確かに存在します。ここを誤解したまま導入すると、運用開始後に想定外の手作業や追加コストが発生しがちです。

以下は情シスが特につまずきやすいポイントを整理したものです。いずれも「絶対にできない」ではなく、「標準では手間がかかる」「追加ライセンスや別ツールが前提になる」という濃淡がある点に注意してください。

次章以降で、特に相談の多い「サードパーティアプリのパッチ管理」と「OS・Microsoft製アプリの更新」を掘り下げます。

サードパーティアプリのパッチ管理はどこまでできるか

「Intuneはサードパーティ製アプリのパッチ管理ができない」という説明を目にすることがありますが、これは正確ではありません。標準機能の手間と、追加アドオンによる拡張を分けて理解する必要があります。

標準のIntuneでも、Win32アプリとして自分でパッケージ化し、新バージョンを追加して旧版との置き換え（supersedence）を設定すれば更新は可能です。ただしアプリの数だけこの作業が発生するため、対象が増えるほど運用負荷が跳ね上がる点が実務上の課題になります。

Enterprise App Managementという有償アドオンの存在

この課題に対してMicrosoftが提供するのが、Enterprise App Management（EAM）です。Microsoft IntuneのPlan 1またはPlan 2に加えて追加のサブスクリプションが必要な有償機能で、単体SKUまたはMicrosoft Intune Suiteの一部として購入できます。

EAMではMicrosoft製・非Microsoft製の両方のWin32アプリを集めた「Enterprise App Catalog」から、アプリの検出・配布・更新を行えます。必須割り当てのアプリに自動更新を有効化すれば、新バージョンをIntuneが検知して自動適用するため、手動のパッケージ化や置き換え作業を省けます。

カバー範囲と運用負荷の論点

便利な一方で、範囲と運用面の前提も押さえておくべきです。カタログはMicrosoftが用意した収録アプリに限られ、対象はWindowsアプリのみです。収録されていないアプリはフィードバックポータルからリクエストする形で、追加が保証されているわけではありません。

自動更新には段階的なロールアウト（配信リング）が使えず、対象端末へ一斉に展開される点や、カタログ情報のキャッシュが最大1時間反映されない場合がある点も、公式に明記された制約です。つまり「有償アドオンでかなり楽になるが、収録範囲と展開制御には割り切りが要る」というのが実像だといえます。

関連記事：エンドポイントセキュリティとは｜EPP・EDR・XDRの違いと選び方を情シス向けに解説

参考記事：Microsoft Intune Enterprise Application Management（Microsoft Learn）

OS・Microsoft製アプリの更新でできること・限界

OSやMicrosoft純正アプリの更新は、Intuneが得意とする領域です。ただし「何をどこまで自動化できるか」を取り違えると、サードパーティ更新まで自動で片付くと誤解しがちなので注意が必要です。

Intuneはクラウドから Windows Update for Business を通じて更新を制御します。更新プログラムそのものはIntuneに保存されず、ポリシー設定をWindows Autopatchへ渡し、承認された更新を端末がWindows Updateから直接ダウンロードする仕組みです。

更新リングと各種更新ポリシー

具体的には、更新リングで配信のタイミングや延期期間、再起動の挙動を段階的に制御できます。加えて、機能更新プログラムポリシーで特定のWindowsバージョンに固定したり、品質更新プログラムポリシーで毎月のセキュリティ更新を管理したりできます。

再起動を伴わずにセキュリティ更新を適用するHotpatchや、緊急時に延期設定を上書きして即時配信するExpediteも利用できます。OSの更新統制という観点では、選択肢は十分にそろっているといえます。

自動化の対象範囲という限界

一方で、更新の自動化が及ぶ範囲には明確な線引きがあります。Windows Autopatchが自動化するのは、Windows・Microsoft 365 Apps・Microsoft Edge・Microsoft Teamsの更新であり、これらはいずれもMicrosoft製の対象に限られます。

したがって、AdobeやブラウザプラグインなどMicrosoft製以外のアプリ更新は、前章のEnterprise App Managementや別のパッチ管理ツールで別途カバーする設計になります。「OS更新の自動化イコール全アプリの自動更新」ではない、という理解が運用設計の出発点です。

参考記事：Windows Update Management Overview（Microsoft Learn）

参考記事：What is Windows Autopatch?（Microsoft Learn）

Intuneの管理範囲外になりやすい領域

パッチや更新以外にも、Intuneの設計思想から外れる領域があります。ここを別の仕組みで補う前提を持っておくと、「Intuneを入れたのに管理できない資産がある」という後悔を避けられます。

Intuneはあくまでクラウド型のエンドポイント管理であり、端末とアプリを主対象とします。そのため、端末以外のIT資産や、台帳・コストといった管理観点は守備範囲の外側になりやすい傾向があります。

オンプレミス資産・ネットワーク機器

Intuneに登録できるのは、対応OSを備えたクライアント端末が中心です。オンプレミスのサーバーやスイッチ、ルーターといったネットワーク機器、あるいは登録に対応しないレガシー機器は管理対象になりません。

これらを含めた全社的なインフラ運用を可視化したい場合は、構成管理データベースや別の運用管理ツールと役割分担する必要があります。端末管理と資産管理を同じ道具で完結させようとしない切り分けが重要です。

IT資産台帳・ライセンスコストの最適化

Intuneは端末の構成状態を把握できますが、購入日や保証期限、契約金額まで含めた詳細なIT資産台帳の維持や、ライセンスコストの最適化は本来の目的ではありません。SaaSの利用状況やアカウント単位の費用を横断的に見たいというニーズも、Intune単体では満たしにくい領域です。

こうした資産・コストの管理は、IT資産管理やSaaS管理の専用サービスと組み合わせるのが現実的です。端末はIntune、資産とコストは別基盤、と割り切ることで、それぞれの強みを最大化できます。

関連記事：IT資産管理とは？対象・目的・SaaS時代の管理方法を解説

Intuneの不得意領域を補う運用設計と補完策

ここまで整理したできないこと・苦手なことは、いずれも「別の仕組みと組み合わせる」ことで解消できます。大切なのは、無理に一つのツールへ寄せず、役割ごとに最適な道具を配置する発想です。

補完の考え方は大きく三つに分けられます。サードパーティ更新はEnterprise App Managementや専用パッチ管理ツールで、端末以外の資産は運用管理ツールで、そしてSaaSアカウントやID・コストの統制は統合管理プラットフォームで補う、という整理です。

SaaS・アカウント・IT資産の統合管理という補完

端末そのものはIntuneに任せつつ、その外側にあるSaaSアカウントやライセンス、IDのライフサイクルを束ねる層を持たせると、管理の抜け漏れが大きく減ります。入社時のアカウント発行から退職時の権限剥奪まで、人と権限の動きを一貫して追える体制が理想です。

ジョーシスのプラットフォームは、350種類以上のアプリと連携し、SaaSアカウントの棚卸しやライセンスの可視化、入退社に伴うID管理を一元化できるSaaS統合管理の選択肢の一つです。Intuneが担う端末管理と、アカウントや資産の統制を分担させることで、情シスの工数を抑えながら統制を効かせられます。

端末管理と周辺領域の役割分担を具体的に検討したい場合は、機能や導入イメージをまとめた資料が参考になります。

資料ダウンロード

補完ツールを選ぶ際の判断軸

補完策を選ぶときは、対応範囲だけでなく運用負荷と連携性を軸に比較すると失敗が減ります。既存のMicrosoft Entra IDやIntuneとどこまで自然に連携できるか、棚卸しや権限変更をどの程度自動化できるかを確認しておくと安心です。

料金体系は各サービスで大きく異なり、要問い合わせのものも少なくありません。まずは自社の管理対象を棚卸しし、Intuneで賄える範囲と補完が必要な範囲を線引きしたうえで、候補を絞り込むと選定がスムーズに進みます。

関連記事：MDM比較ガイド｜主要10製品の機能・価格・選定ポイントを徹底比較

よくある質問

Intuneのできないことをめぐって、情シスの現場から寄せられやすい疑問をまとめました。導入判断の最終確認にお役立てください。

Intuneでサードパーティアプリのパッチ管理は本当にできないのですか

標準機能でもWin32アプリとして手動でパッケージ化すれば更新は可能です。加えて有償アドオンのEnterprise App Managementを使えば、収録カタログ内のアプリを自動更新できます。ただし対象はWindowsアプリに限られ、収録範囲や配信制御には制約があります。

IntuneとWindows Autopatchは何が違うのですか

Windows Autopatchは、Windowsや Microsoft 365 Apps、Edge、Teamsの更新を自動化するクラウドサービスです。Intuneはその設定を渡す管理基盤であり、更新リングなどのポリシーを通じて配信を制御します。両者は対立するものではなく、連携して動く関係です。

Intuneだけで社内の全端末・全資産を管理できますか

対応OSを備えたクライアント端末は管理できますが、オンプレミスのサーバーやネットワーク機器、詳細なIT資産台帳やコスト管理は範囲外になりやすい領域です。資産やコストの管理は、IT資産管理やSaaS管理の仕組みと組み合わせる設計が現実的です。

Intuneの不足を補うにはどのようなツールが必要ですか

サードパーティ更新はEnterprise App Managementや専用パッチ管理ツール、端末以外の資産は運用管理ツール、SaaSアカウントやIDの統制は統合管理プラットフォームで補うのが一般的です。管理対象を棚卸しし、役割ごとに道具を配置すると過不足を防げます。

まとめ

Intuneは端末の構成・保護・更新やアプリ配布を得意とする一方で、サードパーティアプリのパッチ管理は有償アドオンや別ツールが前提となり、オンプレミス資産やIT資産台帳・コスト管理は範囲外になりやすいという特性があります。重要なのは、これらを弱点として避けるのではなく、役割分担の前提として設計に織り込むことです。

端末はIntune、その外側のSaaSアカウントやID・資産の統制は統合管理プラットフォームへと切り分ければ、情シスの工数を抑えつつ統制の抜け漏れを防げます。自社の管理範囲を一度棚卸しし、最適な組み合わせを検討することをおすすめします。

無料デモを予約する

関連記事：ゼロトラストセキュリティとは｜概念・原則・SaaS環境での実装方法を解説