Microsoft MD-102: デバイスの登録と Azure AD 参加 — 学習ガイド

By Laurynas Brazys · 5 August 2026 · #microsoft #md-102 #certification #exam-prep #study-guide

こちらの一部です： Microsoft Endpoint Administrator Associate MD-102 — 学習ガイド. 検証済みの解答で練習： Microsoft試験ハブ, または時間制限付き模擬試験に挑戦： ExamRoll.io.

概要

デバイスの登録は、Microsoft Entra ID (旧 Azure AD) と Intune におけるデバイスのアイデンティティ、信頼、および管理の境界を決定します。Windows では、それぞれ異なるユースケースを持つ 3 つの主要なデバイス状態があります。

• Azure AD Join (AADJ): デバイスは Entra ID にクラウド参加し、通常は Intune に自動登録されます。AADJ は、クラウドファーストの組織、リモート/ハイブリッドワーク、およびパスワードレスサインイン (Windows Hello for Business)、最新のデバイスベースの条件付きアクセス、オンプレミスへの依存がないことを望む場合に使用します。Windows Autopilot のユーザー駆動モードまたは自己展開モードとの組み合わせが理想的です。自動登録には適切なライセンス (Intune および Entra ID P1) が必要です。
• Hybrid Azure AD Join (HAADJ): デバイスはオンプレミスの Active Directory に参加し、Entra ID に登録されます。HAADJ は、グループポリシー、従来の Kerberos/NTLM 認証、またはオンプレミスドメインへの依存関係が依然として必要な場合に使用します。Autopilot HAADJ の場合、Intune Connector for Active Directory (オフラインドメイン参加) と、ドメイン要件を満たすための慎重なネットワーク/VPN 計画が必要です。
• Workplace Join (Azure AD Registered): ユーザーが個人用またはドメインに参加していない Windows デバイスを Entra ID に登録します。デバイスは MDM 登録できますが、Entra ID を使用した Windows ログオンには参加せず、OS レベルでのデバイスベースの SSO がありません。BYOD シナリオや、完全なデバイス管理を強制することなく企業データを保護するためのモバイルアプリケーション管理 (MAM) と共に使用します。

これらの参加状態は、条件付きアクセスの態勢、コンプライアンスレポート、SSO、およびライフサイクル操作 (ワイプ/インベントリからの削除/削除) の基盤となります。正しい参加状態を選択することが、登録ワークフロー、適用できるセキュリティ制御、およびエンドユーザーエクスペリエンスを決定します。

Windows Autopilot と登録のオーケストレーション

Windows Autopilot は、従来のイメージングをクラウド主導のプロビジョニングフローに置き換えるもので、Out-of-Box Experience (OOBE) 中に ID、デバイス構成、およびアプリケーションを適用します。

• ユーザー駆動モード: ユーザーが OOBE でサインインすると、デバイスは AADJ または HAADJ を完了し、Intune に登録され、ポリシー/アプリが適用されます。ナレッジワーカーや割り当てられたラップトップ/デスクトップに使用します。展開プロファイルでユーザーを標準ユーザーまたはローカル管理者として構成することをサポートします。
• 自己展開モード: プライマリユーザーがいないデバイス (キオスク、デジタルサイネージ) 向けのゼロタッチプロビジョニング。TPM 2.0 とデバイス構成証明、AADJ、および OOBE でのネットワーク接続が必要です。ユーザーの操作は不要で、デバイスは自動的に登録され、必要なプロファイル/アプリを適用します。
• 事前プロビジョニング (旧 White Glove): 技術者または OEM が、エンドユーザーにデバイスを渡す前にアプリ、ポリシー、更新プログラムを事前にダウンロードして適用し、ユーザーは短いサインインフェーズを完了します。OOBE で事前プロビジョニングの技術者フェーズを開始します (Windows キーを 5 回押します)。これを使用して、大規模なアプリのペイロードを前もって読み込み、初日のユーザーの待ち時間を短縮します。

Autopilot 展開プロファイルは、OOBE のエクスペリエンスとコアとなる参加動作を定義します。

• 参加の種類 (Azure AD Join または Hybrid Azure AD Join)
• ユーザーアカウントの種類 (管理者または標準)
• OOBE のカスタマイズ (プライバシー設定、EULA、地域/言語、OEM の事前プロビジョニングをスキップ)
• デバイス名のテンプレート (AADJ 用)、および言語/キーボードのオプション

登録ステータスページ (ESP) は、必要なポリシー、セキュリティベースライン、およびアプリがインストールされる前にユーザーがデスクトップにアクセスできるかどうかを制御します。ESP を構成して以下を行います。

• 必要なアプリがインストールされるまでブロックするか、再試行ロジックでタイムアウトする
• 必須の Win32/LOB/Store アプリのすべて、または厳選されたリストを追跡する
• Autopilot 展開中のサポート性を有効にするため、失敗時にログ収集を許可する

デバイスグループタグは、Autopilot デバイスレコード上のメタデータであり、プロファイルとアプリの割り当てのために Azure AD の動的デバイスグループのメンバーシップを決定するために使用されます。一般的なパターンには、ハードウェアハッシュがインポートされた瞬間に正しい展開プロファイルと構成をターゲットにするため、ZTDID の devicePhysicalIds と [OrderID]:<GroupTag> でフィルタリングする動的ルールが含まれます。

クロスプラットフォーム登録: Apple と Android

Apple プラットフォーム

• Apple Business Manager (ABM) と Apple School Manager (ASM) は Intune と統合し、iOS/iPadOS および macOS 向けの Automated Device Enrollment (ADE) を提供します。ADE は、ゼロタッチ登録、iOS/iPadOS の監視、macOS の「ユーザー承認済み MDM」ステータスを提供し、高度な管理機能（カーネル/システム拡張機能の承認、ブートストラップトークンによる FileVault キーのエスクローなど）を解放します。
• 前提条件: Apple Push Certificates Portal で Apple MDM プッシュ証明書 (.pem) を作成し、更新します。Intune の公開キーを ABM/ASM にアップロードした後に生成される ABM/ASM サーバートークン (.p7m) をアップロードして、ABM/ASM を Intune に接続します。ABM/ASM でデバイスを Intune MDM サーバーに割り当て、Intune の登録プロファイル（セットアップアシスタントの画面、デバイスの命名、監視、MDM 登録が必須で削除不可かどうかの設定）を構成します。
• Apps and Books (旧 VPP) の統合では、ロケーショントークンを介して、監視対象デバイス上で Apple ID なしでのライセンスベースのアプリ展開が可能になります。
• Apple Configurator による登録は、ABM/ASM を通じて購入されていないデバイスをサポートします。これにより、iOS/iPadOS デバイスを ABM/ASM に追加でき (iOS 11以降、30日間の仮登録期間あり)、また Configurator を介して自動登録プロファイルを使用した macOS の登録も提供します。

Android プラットフォーム (Android Enterprise)

• 仕事用プロファイル (BYOD): 個人所有デバイス上に、暗号化された独立した仕事用コンテナーを作成し、企業データを分離します。Company Portal と Managed Google Play が必要です。強力なプライバシー分離が必要な BYOD (Bring-Your-Own-Device) シナリオで使用します。条件付きアクセスにより、アプリにアクセスする前に準拠した仕事用プロファイルを要求できます。
• フル マネージド (会社所有、ユーザー アフィニティ): 組織がデバイス全体を管理し、ユーザーのサインインが必要です。強力なデバイスポスチャ、制限、広範なアプリ展開が必要な COBO (Corporate-Owned, Business-Only) シナリオで使用します。登録には、QR コード、NFC、または Zero-touch enrollment を使用できます。
• 専用 (会社所有、ユーザーなし): ロックダウンされた共有デバイスまたはキオスクデバイスで、多くの場合シングルアプリまたはマルチアプリモードで使用されます。登録には QR/NFC/Zero-touch を使用します。Intune のデバイス制限では、キオスクの動作は「デバイス エクスペリエンス」で構成されます。個人利用が許可されない、小売店の端末、現場のユニット、または共有スキャナーなどに使用します。

Android Zero-touch (Google) および Knox Mobile Enrollment (Samsung) では、調達時に Intune 登録プロファイルを割り当てることで、シームレスな初期セットアップエクスペリエンスを実現します。

Intune の自動登録、一括プロビジョニング、および制限

Intune の自動登録は、Microsoft Entra ID の [モビリティ (MDM および MAM)] で Microsoft Intune 用に構成します。

• MDM ユーザースコープ: AADJ または Azure AD 登録が発生したときに、どのユーザーのデバイスが Intune に自動的に登録されるかを制御します。クラウド参加済みおよび登録済みのデバイスに対して摩擦のない登録を確実にするために、[すべて] またはスコープ指定されたグループに設定します。ユーザーに割り当てられた Intune および Entra ID P1 ライセンスが必要です。
• MAM ユーザースコープ: サポートされているプラットフォームで、デバイス登録なしでアプリ保護 (MAM) の対象となるユーザーを指定します。Windows では、歴史的に Windows Information Protection (WIP) の MAM-we シナリオを対象としていました。管理されていない/BYOD デバイスで、完全な MDM を強制することなくデータ保護と条件付きアクセスが必要な場合に MAM を使用します。

プロビジョニング パッケージ (Windows Configuration Designer, WCD) を使用した一括登録は、Autopilot が利用できないラボ、キオスク、またはエアギャップ環境のシナリオで実用的です。

• WCD を使用して、デバイス ID と管理を構成するプロビジョニング パッケージ (.ppkg) を作成します (例: 一括 Azure AD 登録トークンでの登録、ローカルアカウントの設定、Wi-Fi プロファイル、ポリシーベースラインなど)。
• .ppkg を OOBE (USB/SD) または実行時に適用します。一括登録では、通常、プライマリユーザーがいない (共有) デバイスとなり、ユーザーアフィニティに依存する機能 (ユーザーを対象としたアプリのインストールなど) が制限されます。ハードウェアハッシュとインターネットアクセスが利用可能な場合は Autopilot を優先し、オフラインで、または OEM/Azure の事前登録なしで大規模にプロビジョニングする必要がある場合は .ppkg を使用します。

デバイス登録の制限は、登録の境界でガバナンスを強制します。

• プラットフォームの制限: グローバルまたはグループごとに、プラットフォーム (Windows, macOS, iOS/iPadOS, Android) と登録方法 (例: Android Enterprise を強制するために Android デバイス管理者をブロック) を許可またはブロックします。
• OS バージョンのゲート: 最小/最大 OS バージョンを定義して、古いまたはサポートされていない OS の登録をブロックします。
• 個人所有の制限: プラットフォームごとに個人用デバイスをブロックして、会社所有を要求します (例: iOS/iPadOS で ADE、または Android Enterprise の会社所有モードを強制)。会社の識別子 (IMEI/シリアル) と組み合わせて、登録時に所有権を自動的にマークします。
• デバイス数の制限: ユーザーあたりのデバイス数を制限して、無秩序な増加を防ぎます。例外 (例: IT スタッフ) のためにグループスコープの制限を作成し、特定の制限が既定の制限を上書きするように優先順位を確保します。

割り当ての優先順位を調査し、会社所有と BYOD の両方のフローをテストします。登録の制限、自動登録のスコープ、および Autopilot の割り当ては、ユーザーが最初のサインイン時に意図した所有権パス (会社所有 vs 個人所有)、正しい参加状態、および適切なアプリ/ポリシーセットを受け取れるように、整合性を取る必要があります。

実践的な問題シナリオ

Adobe 社は、スタッフ向けの会社所有ラップトップ、ブリーフィングセンターの Android キオスク、および請負業者向けの BYOD を組み合わせて、Windows 11 へのグローバルなリフレッシュを計画しています。ユーザーのダウンタイムを最小限に抑え、個人用デバイスでのデータ分離を強制し、デザインスタジオの Apple ハードウェアに対してゼロタッチを有効にする必要があります。

1. スタッフのラップトップに Autopilot ユーザー駆動モードによる Azure AD Join を実装する

• 理由: AADJ は、最新の SSO、デバイスベースの条件付きアクセス、およびシームレスな Intune 登録を提供します。ユーザー駆動モードの Autopilot は IT の作業を削減し、ユーザーを標準アカウントとして設定し、ESP を適用した OOBE 中にセキュリティベースラインと必須アプリを適用します。

2. リンクが遅い地域では Autopilot 事前プロビジョニングを使用する

• 理由: 事前プロビジョニングは、大規模な Win32 アプリや更新プログラムを事前に読み込むため、従業員は迅速に生産的なデスクトップに到達できます。ESP はセキュリティスタックが配置されるまでブロックし、失敗時のログ収集はトラブルシューティングを加速させます。

3. Windows キオスク用に Autopilot 自己展開モードを構成する

• 理由: 自己展開モードは、ユーザーの操作なしでデバイスを登録および構成するため、ロビーやサイネージに最適です。TPM の構成証明はデバイスの信頼性を保証し、Intune のデバイスエクスペリエンスでシングルアプリまたはマルチアプリのキオスクを設定します。

4. Intune の MDM ユーザースコープを [すべて] に、MAM ユーザースコープを BYOD 請負業者グループに設定する

• 理由: 自動登録は従業員の摩擦を取り除きます。MAM スコープは、請負業者に対して登録なしでアプリ保護を有効にし、個人のプライバシーを尊重しながら Microsoft 365 アプリ内の企業データを保護します。

5. 登録制限を適用する

• 理由: 従業員の個人所有の Windows および Android の登録をブロックして、会社所有を確実にします。Android Enterprise を要求し (デバイス管理者をブロック)、最小 OS バージョン (Windows 11/Android 11/iOS 15+) を設定し、ユーザーあたりのデバイス数を制限して、管理されていない増加を防ぎます。

6. Apple Business Manager を Intune と統合し、ADE を展開する

• 理由: ADE を使用した ABM は、ゼロタッチの iOS/iPadOS/macOS 登録、iOS/iPadOS の監視、および macOS のユーザー承認済み MDM を提供します。セットアップアシスタントの画面を構成してプロンプトを減らし、Apple ID なしでアプリとブックのライセンスを通じてデザインアプリをプッシュします。

7. Android Enterprise の登録を構成する: COBO 用にフル マネージド、キオスク用に専用

• 理由: フル マネージド デバイスは、会社の電話に対して IT に完全な制御とコンプライアンスの強制を与えます。専用モードは、共有の Android サイネージ/タブレットを保護し、キオスクの制限はデバイスエクスペリエンスで適用されます。

8. Android の調達に Zero-touch/Knox Mobile Enrollment を使用する

• 理由: 購入時に Intune 登録プロファイルを事前に割り当てることで、IT の手を介さずにデバイスが初回起動時に登録され、一貫したポスチャと迅速なスケールを保証します。

9. Autopilot デバイスグループタグを使用して動的デバイスグループを適用する

• 理由: グループタグは、インポート時にハードウェアを正しい展開プロファイルとアプリセットにルーティングし、事業部門や地域をまたいで割り当てロジックを維持可能にします。

10. エッジケースのためにプロビジョニングパッケージを確保しておく

• 理由: サイトがエアギャップ環境にある場合や OEM 登録が不可能な場合、WCD .ppkg はオフラインでの登録とベースライン構成を可能にします。これは Autopilot を置き換えるのではなく補完するものであり、Intune で一貫した管理モデルを維持します。

すべてのドメイン · デバイス構成プロファイルとポリシー →

これらの問題を練習する → · ExamRoll.ioで時間制限付き練習 →

Microsoftを閲覧 →