Microsoft 365の管理画面を触っていると、Microsoft Entra ID・条件付きアクセス・Intuneという名前が何度も出てきます。どれも「誰が、どの端末から、会社のデータに入れるか」を決める仕組みですが、どこまでやるかで必要なライセンスも手間も大きく変わります。この記事では、社員15名ほどのサンプル工務店を例に、Entra IDとIntuneが何をするものか、条件付きアクセスで何ができるか、小さな会社がどの段階まで進めればよいかを書きます。読み終わると、今の会社に必要な段階と、上げるときの順番と注意が決められます。
この記事の内容
先に答えると
Microsoft Entra ID（旧 Azure Active Directory）は、Microsoft 365のアカウントそのものを管理している仕組みです。Microsoft 365を契約した時点で、すでに全員がEntra IDを使っています。Intuneは会社のパソコンとスマホを登録して、設定の配布・アプリの配布・紛失時のデータ消去をする端末管理のサービスです。
- 条件付きアクセスには Microsoft Entra ID P1 が必要。Business Basic・Business Standard には含まれず、Business Premium に含まれる
- Intune は Business Premium に Intune Plan 1 として含まれる。Basic・Standard には含まれない
- 価格は2026年11月時点で、Business Premium が年払いで¥3,298ユーザー/月相当、単体の Entra ID P1 が¥1,049、Intune P1 が¥1,199（いずれも税抜）
- 小さな会社は「セキュリティの既定値群だけ」→「条件付きアクセス」→「Intuneで会社のパソコンを管理」の3段階で、困りごとが出たところで1段ずつ上げる
- 上げるときは、先に緊急用の管理者アカウントを2つ作り、新しいルールはレポート専用モードで試してから有効にする
Entra IDとは
Microsoft 365のユーザーを追加すると、そのユーザーはEntra IDのテナント（sample-koumuten.onmicrosoft.com のような初期ドメインを持つ、会社ごとの入れ物）に作られます。Microsoft 365 管理センターでユーザーを足したりライセンスを付けたりしている操作は、裏ではEntra IDの操作です。
| 何を | Microsoft 365 管理センター | Microsoft Entra 管理センター |
|---|---|---|
| ユーザーの追加・ライセンスの割り当て | ここでやる | できるが、普段は使わない |
| グループ（チームや配布グループ） | ここでやる | セキュリティグループの細かい設定 |
| セキュリティの既定値群のオン・オフ | 案内だけ | ここでやる |
| 認証方法（Authenticatorなど）の管理 | 一部 | ここでやる |
| 条件付きアクセス | 入口だけ | ここでやる（Entra ID P1 が必要） |
| サインインのログ | 一部 | ここで見る |
Entra IDには無料のFreeと、有料のP1・P2があります。Microsoft 365のどのプランでもFreeの機能（ユーザー管理・セキュリティの既定値群による多要素認証）は使えます。P1で条件付きアクセスが、P2でサインインの危険度を使った条件付きアクセス（Microsoft Entra ID 保護）が使えるようになります。Business PremiumにはP1が含まれ、Microsoft 365 E5にはP2が含まれます。
名前は Azure Active Directory から Microsoft Entra ID に変わりました。画面やドキュメントの一部にはまだ「Azure Active Directory」や「Azure AD」の表記が残っていますが、同じものです。
先に決めること
今の困りごとが何か
条件付きアクセスもIntuneも、入れれば安全になる魔法ではありません。何に困っているかで、要るものが変わります。
| 困りごと | 要るもの |
|---|---|
| パスワードだけで入れてしまう | セキュリティの既定値群（追加費用なし） |
| 社内では多要素認証を省きたい・海外からのサインインを止めたい | 条件付きアクセス（Entra ID P1） |
| 私物のパソコンや知らない端末から会社のファイルを落とされたくない | 条件付きアクセス＋Intune |
| 会社のパソコンの設定（BitLocker・更新・パスワード）をそろえたい | Intune |
| スマホをなくしたときに会社のデータを消したい | Intune |
| 私物スマホの会社アプリだけ守りたい | Intune のアプリ保護ポリシー |
サンプル工務店の困りごとは2つでした。1つは、事務のパソコン3台の設定が人によってばらばらで、1台はBitLockerがかかっていなかったこと。もう1つは、現場監督の私物スマホのOutlookに施主の住所や図面が入ったメールが残っていて、辞めたときに消す手がないことです。どちらもIntuneの話なので、Business Premiumへ上げる判断をしました。
誰の分のライセンスを上げるか
Intuneは、管理するユーザーか端末ごとにライセンスが必要です（管理者はライセンスがなくても管理画面に入れます）。条件付きアクセスは、公式がP1ライセンスが必要とだけ書いていて、ポリシーの対象になる全員に要るのかまでは書いていません。そのためこの記事では、全員分のEntra ID P1をそろえる前提で組みます（Business Premiumに上げるか、P1を足す）。全員をBusiness Premiumにするのが一番わかりやすいですが、プランは混在させられるので、必要な人だけ上げる手もあります。
| 製品（2026年11月時点・年払い・税抜） | ユーザー/月相当 | 含まれるもの |
|---|---|---|
| Microsoft 365 Business Premium | ¥3,298 | Business Standard の内容＋Entra ID P1・Intune Plan 1・Defender for Business・Defender for Office 365・Purview の一部 |
| Microsoft 365 Business Premium（Teams なし） | ¥2,817 | 上から Teams を除いたもの |
| Microsoft Entra ID P1（単体） | ¥1,049 | 条件付きアクセスなど |
| Microsoft Intune P1（単体） | ¥1,199 | 端末管理・アプリ保護 |
| Microsoft Defender for Business（単体） | ¥449 | パソコンのウイルス・ランサムウェア対策 |
サンプル工務店は、Business Standardの9名（代表・営業3名・設計2名・事務3名）をBusiness Premiumに上げ、Business Basicの現場監督5名とパート1名も、全員分のEntra ID P1をそろえるため、Business Premiumに上げるか、Basicのまま単体のEntra ID P1とIntune P1を足すかを比べました。現場監督にはWordやExcelのデスクトップ版は要らないので、足せるなら安く済む可能性があります。ただ、Business Basic・Standardに単体のP1を足せるかと価格は公式で確かめられませんでした。Microsoft 365 管理センターのMarketplace（または販売店）で、足せるかと価格を確かめてから決めます。プランの選び方そのものは「Microsoft 365の料金とプラン比較：Business Basic・Standard・Premiumの選び方」で書いています。
条件付きアクセスでできること
条件付きアクセスは「この条件のとき、こうしてから入れる（または入れない）」というルールを作る機能です。ルールは、誰が（ユーザー・グループ）、何に（アプリ）、どこから（場所・国）、どの端末で（OS・管理されているか）の組み合わせで書きます。結果は「ブロック」か、「多要素認証を要求」「準拠済みの端末を要求」「アプリ保護ポリシーを要求」などの条件付きの許可です。
| やりたいこと | 条件付きアクセスでの書き方 | 必要なもの |
|---|---|---|
| 全員に多要素認証 | 全ユーザー×全アプリ→多要素認証を要求 | Entra ID P1 |
| 社外からのサインインだけ多要素認証 | 会社の固定IPを「信頼できる場所」に登録し、それ以外→多要素認証を要求 | Entra ID P1・会社の固定IP |
| 日本以外からのサインインを止める | 国を指定した場所を作り、日本以外→ブロック | Entra ID P1 |
| 会社の端末からだけ入れる | Windows→準拠済みの端末を要求 | Entra ID P1・Intune |
| 私物スマホは会社アプリの保護をかけた上で入れる | iOS・Android→アプリ保護ポリシーを要求 | Entra ID P1・Intune |
| 古いメールソフト（POP・IMAP）を止める | レガシ認証のクライアント→ブロック | Entra ID P1 |
| 管理者はフィッシングに強い方法だけ | 管理者ロール→認証強度を要求 | Entra ID P1 |
サインインの危険度（いつもと違う場所からの不自然なサインインなど）でブロックするルールはP2の機能で、Business Premiumには含まれません。
セキュリティの既定値群と条件付きアクセスは同時に使えません。条件付きアクセスに切り替えるときは、セキュリティの既定値群をオフにして、同じ守りを条件付きアクセスで作り直すところから始めます。セキュリティの既定値群の中身は「Microsoft 365の多要素認証：Microsoft Authenticatorとセキュリティの既定値」で書いています。
Intuneでできること
Intuneは、端末をまるごと管理する方法（MDM）と、端末は管理せず会社のアプリとデータだけを守る方法（MAM）の2つを持っています。会社のパソコンと会社支給のスマホはMDM、私物スマホはMAMと使い分けます。
| できること | 中身 | 会社の端末（MDM） | 私物スマホ（MAM） |
|---|---|---|---|
| 端末の登録 | Windows・Mac・iPhone・Android を Intune の管理下に置く | する | しない |
| 設定の配布 | BitLocker・Windows Update・画面ロック・パスワードの決まりをそろえる | できる | できない |
| 準拠ポリシー | 決まりを守っている端末を「準拠」と判定し、条件付きアクセスで使う | できる | できない |
| アプリの配布 | Microsoft 365 アプリやその他のアプリを入れる | できる | できない（本人がストアから入れる） |
| 紛失時のワイプ | 端末を初期状態に戻す | できる | できない |
| 会社のデータだけ消す | 会社のアプリ内のデータだけ消して、私物の写真などは残す | できる | できる（選択的ワイプ） |
| アプリ保護 | Outlook・Teams・OneDrive で、PIN を要求・個人のアプリへのコピーを禁止・個人の保存先への保存を禁止 | できる | できる |
私物スマホにMAMを使う利点は、会社がスマホの中身に触れないことです。Intuneのアプリ保護ポリシーは「職場のアカウント」で使っているときだけ効き、同じOutlookで個人のメールを読むときには何も制限しません。社員に「会社がスマホを監視するわけではない」と説明しやすいのはこちらです。
Androidでアプリ保護ポリシーを受け取るには、端末を登録しなくても「Intune ポータル サイト」アプリを入れておく必要があります。iPhoneは不要です。
小さな会社でどこまでやるか
| 段階 | やること | 必要なライセンス | 向いている会社 |
|---|---|---|---|
| 1. セキュリティの既定値群だけ | 全員に多要素認証・古い認証方式をブロック | 全プラン（追加費用なし） | 端末の管理に困っていない会社。まずここ |
| 2. 条件付きアクセス | 1と同じ守りを作り直し、国でのブロックや例外を足す | Entra ID P1（Business Premium） | 海外からの不審なサインインがある・例外が要る会社 |
| 3. Intuneで会社のパソコンを管理 | パソコンを登録し設定をそろえる。準拠した端末だけ入れる。私物スマホはアプリ保護 | Entra ID P1＋Intune Plan 1（Business Premium） | 会社のパソコンがある・私物スマホで会社のメールを読む会社 |
段階を飛ばさないのがこつです。セキュリティの既定値群を有効にしていない会社がいきなりIntuneを入れても、パスワードだけで入れる穴はそのまま残ります。逆に、社員が数名で、会社のパソコンもなく、全員がブラウザーでしか使わない会社なら、段階1で止めてかまいません。Intuneの設定を誰も見なくなると、準拠の判定が外れた端末からサインインできなくなる事故だけが残ります。
入れるときの順番
サンプル工務店で段階2と3を入れたときの順番です。Microsoft 365 管理センターでBusiness Premiumのライセンスを付け替えた翌週から始めました。
1. 緊急用の管理者アカウントを2つ作る
条件付きアクセスの設定を間違えると、管理者も含めて全員が入れなくなります。Microsoftは、特定の個人にひもづけない緊急用のアカウントを2つ以上作ることを勧めています。
- Microsoft 365 管理センターで「ユーザー」→「アクティブなユーザー」→「ユーザーの追加」を選ぶ
- ドメインに sample-koumuten.onmicrosoft.com を選び、emergency01 のような名前で作る（独自ドメインは使わない）
- グローバル管理者のロールを付ける
- 2つ目も同じように作る
- 2つともパスキー（FIDO2セキュリティキー）を登録する。普段の管理者アカウントと同じ Authenticator にしない
- セキュリティキーとパスワードを封筒に入れ、代表と総務の2人だけが開けられる金庫にしまう
緊急用アカウントは、サインインをブロックしたり制限したりする条件付きアクセスのルールから必ず除外します。Microsoftは、少なくとも90日ごとに実際にサインインできるか確かめることも勧めています。サンプル工務店では、四半期ごとの棚卸しの日に総務が1回サインインして確かめています。
2. セキュリティの既定値群と同じ守りを条件付きアクセスで作る
セキュリティの既定値群が有効なままでも、条件付きアクセスのポリシーは作れます（有効にはできません）。先に作っておき、セキュリティの既定値群をオフにした直後に有効にすると、守りが途切れる時間を短くできます。
- Microsoft Entra 管理センターで「Entra ID」→「条件付きアクセス」→「ポリシー」を開く
- 「テンプレートから新しいポリシー」を選ぶ
- 「テンプレートの選択」タブの「セキュリティで保護された基盤」から「すべてのユーザーに多要素認証を要求する」を選ぶ
- 「確認と作成」タブで、ポリシーの状態を「オフ」のまま「作成」を選ぶ
- 同じように「管理者に多要素認証を要求する」「従来の認証をブロックする」「Azure 管理に多要素認証を要求する」を作る
- 各ポリシーの「割り当て」→「ユーザー」→「除外」で、自動で入っている自分のアカウントを外し、緊急用アカウントを入れる
- 「Entra ID」→「概要」→「プロパティ」→「セキュリティの既定値群の管理」で「無効」にし、理由に条件付きアクセスを使う予定を選んで保存する
- すぐに1〜5のポリシーを開き、状態を「オン」にして保存する
3. 新しいルールはレポート専用モードで試す
国でのブロックや「準拠済みの端末を要求」のような新しいルールは、ポリシーの状態を「レポート専用」にして1〜2週間置きます。レポート専用のポリシーはサインインのたびに評価されますが、実際にはブロックも多要素認証の要求もしません。結果はサインイン ログの「レポート専用」タブで見られます。
サンプル工務店では、日本以外からのサインインをブロックするルールをレポート専用で2週間置いたところ、設計Aが海外出張中にスマホからサインインした記録が「失敗」として出ました。そのまま有効にしていたら、出張先でTeamsが使えなくなっていたことになります。出張の予定がある人は、出張の間だけ除外のグループに入れる運用にしてから「オン」にしました。
準拠済みの端末を要求するレポート専用のポリシーは、Mac・iPhone・Androidのユーザーに証明書を選ぶ画面を繰り返し出すことがあります。試す間は、対象のプラットフォームをWindowsだけにしておきます。
4. 会社のパソコンをIntuneに登録する
事務の3台は、もともとローカルアカウントで使っていたWindowsパソコンです。
- Microsoft Intune 管理センター（intune.microsoft.com）で「デバイス」→「Windows」→「Windows 登録」→「自動登録」を開く
- 「MDM ユーザー スコープ」を「一部」にし、事務のグループを選んで保存する
- 事務のパソコンで「設定」→「アカウント」→「職場または学校へのアクセス」→「接続」を選ぶ
- 「このデバイスを Azure Active Directory に参加させる」（Entra IDのことです。実機の表示は新しい名前の場合があります）を選び、事務のアカウント（例: jimu-a@sample-koumuten.example）でサインインする
- 再起動して、会社のアカウントでWindowsにサインインする
- Intune 管理センターの「デバイス」→「すべてのデバイス」に3台が出ているのを確かめる
Microsoft Entra IDに参加させると、Windowsにサインインするアカウントが会社のアカウントに変わり、デスクトップやドキュメントの中身は元のローカルアカウント側に残ります。実際に移行の現場で一番手間取ったのがここで、事務Cのデスクトップに置いていた請求書のフォルダが「消えた」と言われました。参加させる前に、OneDriveの同期でデスクトップとドキュメントをOneDriveに移しておくと、会社のアカウントでサインインし直した後もそのまま出てきます。設計の2台は図面のソフトのライセンスがローカルアカウントにひもづいていたので、今回は登録を見送りました。新しく買うパソコンは、最初の電源投入時に会社のアカウントでサインインすれば参加と登録が同時に済みます。
登録できたら、準拠ポリシー（BitLockerが有効・Windowsが最新・ウイルス対策が動いている）を作って事務のグループに割り当て、条件付きアクセスに「Windowsからは準拠済みの端末を要求」をレポート専用で足します。問題がなければオンにします。
5. 私物スマホにアプリ保護をかける
現場監督の私物スマホ2台は、端末を登録せず、アプリ保護だけにしました。
- Intune 管理センターで「アプリ」→「保護」→「ポリシーの作成」から iOS/iPadOS 用と Android 用を作る
- 対象のアプリに Outlook・Teams・OneDrive・Word・Excel・PowerPoint を選ぶ
- 「組織データのコピーを保存」で、保存先を OneDrive と SharePoint だけにする
- 「切り取り、コピー、貼り付けの制限」で、個人のアプリへの貼り付けを禁止する
- アクセスのときに PIN か指紋・顔認証を要求する
- 現場監督のグループに割り当てる
- 条件付きアクセスで「iOS・Androidからはアプリ保護ポリシーを要求」を作り、レポート専用で試してからオンにする
7を入れないと、スマホの標準メールアプリや保護のかかっていないアプリで会社のメールを読めてしまい、アプリ保護が素通りになります。現場監督が辞めたときは、Intune 管理センターからその人の会社のデータだけを消せます（選択的ワイプ）。退職の日の手順全体は「Microsoft 365の退職者の処理：アカウント・メール・OneDriveの引き継ぎとライセンスの回収」で書いています。
応用
- 会社支給のスマホは、端末ごと登録（MDM）して、なくしたときにワイプできるようにする。iPhoneをまとめて買うならApple Business Managerと組み合わせる
- 代表のMacも Intune で管理できるが、1台のために設定を作る手間と見合うかで決める。サンプル工務店では後回しにした
- 新しいパソコンが増えるたびに手で参加させるのが大変になったら、Windows Autopilot（自動登録が前提なので Entra ID P1 が必要）を検討する
- Business Premiumに含まれる Defender for Business でパソコンのランサムウェア対策をそろえる
できないことと、その代わり
| できないこと | 代わりの手 |
|---|---|
| Business Basic・Standard だけで条件付きアクセスを使う | Business Premium に上げるか、Entra ID P1 を足す。上げないならセキュリティの既定値群で全員に多要素認証 |
| Business Premium でサインインの危険度によるブロック | Entra ID P2（Microsoft 365 E5 など）が必要。小さな会社は国でのブロックと多要素認証で十分なことが多い |
| 私物スマホを MAM だけで丸ごとワイプ | できない（会社のデータだけ消える）。端末ごと消したいなら会社支給にする |
| セキュリティの既定値群と条件付きアクセスの併用 | どちらか1つ。条件付きアクセスにしたら既定値群と同じ守りを作り直す |
| ポリシーを1つ残したままセキュリティの既定値群に戻す | 戻すときはポリシーをすべて削除する（設定を記録してから） |
| ライセンスが切れた後に条件付きアクセスを直す | ポリシーは消えないが更新できない。切らす前に整理する |
| 他社の端末管理ツールで管理中の端末を Intune で同時に管理 | 先に今のツールから外してから Intune に登録する |
よく詰まるところ
| 症状 | 原因 | 直し方 |
|---|---|---|
| 条件付きアクセスのポリシーを「オン」にできない | セキュリティの既定値群が有効のまま | 既定値群を無効にしてからオンにする |
| ポリシーを有効にしたら管理者も入れなくなった | 緊急用アカウントを除外していない・自分を除外から外してしまった | 緊急用アカウントでサインインしてポリシーを直す。最初から除外を確かめる |
| 出張先でTeamsに入れない | 日本以外をブロックするルールにかかった | 出張の人を除外グループに入れる。有効にする前にレポート専用で見ておく |
| セキュリティの既定値群の管理が押せない | 条件付きアクセスのポリシーが1つ以上ある（オフやレポート専用でも） | 条件付きアクセスのまま運用するか、記録してから全部消す |
| 参加させたらデスクトップのファイルが消えた | ローカルアカウントから会社のアカウントに変わった | 元のユーザーフォルダから移す。次からは先にOneDriveへ移しておく |
| 「デバイスが準拠していない」と出て入れない | BitLocker・更新などの準拠ポリシーを満たしていない | Intune 管理センターでその端末の準拠の状態を見て、足りない設定を直す |
| Mac・iPhoneで証明書を選ぶ画面が繰り返し出る | 準拠済み端末を要求するレポート専用ポリシーの評価 | レポート専用で試す間は、Mac・iOS・Androidを対象から外す |
| Androidでアプリ保護がかからない | Intune ポータル サイトが入っていない | ポータル サイトを入れてもらう（端末の登録は不要） |
| 私物スマホの標準メールアプリで会社のメールが読める | アプリ保護ポリシーを要求する条件付きアクセスがない | iOS・Androidに「アプリ保護ポリシーを要求」をかける |
| Intune に端末が出てこない | 自動登録の MDM ユーザー スコープの対象外・ライセンスがない | スコープのグループとライセンスを確かめる |
次にやること
まだ全員に多要素認証をかけていないなら、段階1から始めます。手順は「Microsoft 365の多要素認証：Microsoft Authenticatorとセキュリティの既定値」にまとめています。Business Premiumに上げるかどうかの比較は「Microsoft 365の料金とプラン比較：Business Basic・Standard・Premiumの選び方」で、ライセンスの付け替えとグループの作り方は「Microsoft 365管理センターの使い方：ユーザー・ライセンス・グループの管理」で書いています。端末とアプリの保護を入れたら、社員が辞めたときに会社のデータを消す流れを「Microsoft 365の退職者の処理：アカウント・メール・OneDriveの引き継ぎとライセンスの回収」で決めておきます。