セイテクエンジニアのブログかつて山市良と呼ばれたおじさんのブログ vol.221　事前プロビジョニング用、Entraハイブリッド参加の設定（その1）｜Windows Autopilot試乗会

vol.221　事前プロビジョニング用、Entraハイブリッド参加の設定（その1）｜Windows Autopilot試乗会

2026年07月23日配信
2026年07月23日更新
執筆者：山内和朗

　前回から、Windows Autopilot（従来のWindows Autopilot、Autopilot v1）の「事前プロビジョニング用」シナリオを使用した、Entraハイブリッド参加環境への新規デバイスの導入を試しています。対象のデバイスは、vol.218で準備したHyper-V VMの仮想マシン（VM）で作成した疑似OEMプレインストールデバイス（Hyper-V VM）です。

展開シナリオの手順を再確認

　事前プロビジョニング用シナリオのEntraハイブリッド登録による新規デバイスの導入手順を再確認します。「手順 4: デバイスを Windows Autopilot デバイスとして登録する」の疑似OEMプレインストールデバイス（Hyper-V VM）のハードウェアIDの登録は前回済ませました。

Windows Autopilot 事前プロビジョニング用、Entraハイブリッド参加の手順

手順 1: Windows の自動Intune登録を設定する（Microsoft Learnドキュメント）
手順 2: Active Directory 用のIntune コネクタをインストールする（Microsoft Learnドキュメント）
手順 3: 組織単位 (OU) でコンピューターアカウントの制限を増やす（Microsoft Learnドキュメント）
済 vol.220）手順 4: デバイスを Windows Autopilot デバイスとして登録する（Microsoft Learnドキュメント）
手順 5: デバイスグループを作成する（Microsoft Learnドキュメント）
手順 6: Windows Autopilot 登録状態ページ (ESP) を構成して割り当てる（Microsoft Learnドキュメント）
手順 7: ハイブリッド参加 Windows Autopilot プロファイルを作成して割り当てる（Microsoft Learnドキュメント）
手順 8: ドメイン参加プロファイルを構成して割り当てる（Microsoft Learnドキュメント）
手順 9: Windows Autopilot デバイスをユーザーに割り当てる (省略可能)（Microsoft Learnドキュメント）
手順 10: テクニシャンフロー（Microsoft Learnドキュメント）
手順 11: ユーザーフロー（Microsoft Learnドキュメント）

手順 1: Windows の自動Intune登録を設定する

　Windows Autopilotを機能させるには、デバイスがIntuneに自動登録できる必要があります。そのための設定は、Intune管理ポータル（intune.microsoft.com）ではなく、Azureポータル（portal.azure.com）の「Entra ID」ブレードの「ホーム｜管理 > モビリティ（MDMおよびWIP）」ページ（Azureサブスクリプションがなくてもアクセスできます）、またはMicrosoft Entra管理センター（entra.microsoft.com）の「ホーム｜Entra ID > モビリティ」の「モビリティ（MDMおよびWIP）」ページにあります。

　Intuneのライセンスがある場合、「モビリティ（MDMおよびWIP）」ページには「Microsoft Intune」という名前のアプリケーションが登録済みになっているはずです。「Microsoft Intune」を開き、「MDMユーザースコープ」を確認します。「すべて」または「一部」が選択されていることを確認します（画面1）。「一部」の場合は、デバイスを使用するユーザーを含むユーザーグループが選択されていることを確認します。また、「MDM使用条件URL」「MDM探索URL」「MDM準拠URL」が設定されていることを確認します。設定されていない場合は、「既定のMDM URLを選択する」をクリックして設定を復元します。設定を変更した場合は、「保存」をクリックして終了します。変更がなければ「×」をクリックして閉じます。

画面1　Intuneのデバイス自動登録の設定を確認する

▲

手順 2: Active Directory 用のIntune コネクタをインストールする

　Windows Autopilotは、Entraハイブリッド参加をサポートするために、オンプレミス側にインストールする「Active Directory用Intuneコネクタ」（オフラインドメイン参加《ODJ》コネクタとも呼ばれます）を必要とします。このコネクタは、Windows Autopilotプロセス中にデバイスをオンプレミスのActive Directoryに参加させ、Active Directoryの「Computers」コンテナー（既定）または指定された組織単位（OU）にコンピューターオブジェクトを作成します。ここでは、Entraハイブリッド参加の環境が既に整備されていることを前提に説明します。Entraハイブリッド参加のための環境構築については、以下の連載シリーズで説明しています。

「はじめてのIntune」シリーズの目次

　Active Directory用Intuneコネクタのインストーラー（ODJConnectorBootstrapper.exe）は、Intune管理センター（intune.microsoft.com）の「ホーム｜デバイス｜プラットフォーム別 > Windows｜デバイスのオンボーディング > 登録」ページの「Windows Autopilot」にある「Active DirectoryのIntuneコネクタ」を開き、「＋追加」をクリックすることでダウンロードできます（画面2）。

画面2　Active Directory用Intuneコネクタのインストーラー（ODJConnectorBootstrapper.exe）をダウンロードする

　Active Directory用Intuneコネクタは、ドメインコントローラーまたはドメインのメンバーサーバーにインストールします。常時稼働するサーバーにインストールすることが重要です。インストール後に実行するウィザードは、Microsoft Edge WebView2に基づいているため、WebView2ランタイムを先にインストールしておいてください。また、インストール後に実行するウィザードでは、Intune管理者ロールを持つEntra IDユーザーアカウントの情報でサインインする必要があり、このユーザーアカウントにはIntuneライセンスが割り当てられている必要があるため、事前に確認しておいてください。^*1 これらの条件が整っていない場合、インストール後のウィザードはサインイン後に不明なエラーでクラッシュする場合があります。
^{*1　Intuneの管理のために、Intuneライセンスの割り当ては必須ではなく、Intuneライセンスの割り当てなしでもIntune管理センターにサインインして管理できますが、ライセンスの割り当てのないユーザーはActive Directory用Intuneコネクタのウィザードのサインインには使用できません。ライセンスのない管理者｜Microsoft Intune（Microsoft Learn）}

Microsoft Edge WebView2ランタイム｜Microsoft Edge Developer（Microsoft）

　サーバーにローカル管理者の権限を持つユーザーでログオンしたら（ドメインのAdministratorなど）、インストーラーを実行して、コネクタをインストールします。コネクタのインストールが完了すると、セットアップの最後画面に「今すぐ構成する」ボタンが表示されるので、このボタンをクリックします（画面3）。

画面3　ドメインコントローラー（この例の場合）またはメンバーサーバーにローカル管理者権限を持つユーザーでログオンし、コネクタをインストールして構成する

　「Active DirectoryのIntuneコネクタ」ウィンドウが表示されます。「登録」タブの「サインイン」をクリックして、Intne管理者ロールが割り当てられたEntra IDユーザーアカウント（このユーザーにはIntuneライセンスが割り当てられていること）の資格情報でサインインします。サインイン処理が完了すると、「Active DirectoryのIntuneコネクタが正常に登録されました」と表示されるので、「OK」をクリックします。続いて、「"msaODJxxxxx"という名前の管理されたサービスアカウントが正常に設定されました」と表示されたら、表示された管理されたサービスアカウント（Managed Service Account《MSA》）の名前を控え、「OK」をクリックしてメッセージを閉じます（画面4）。正常に完了するとウィンドウの「サインイン」ボタンが非アクティブに、「管理されたサービスアカウントを構成する」ボタンがアクティブの状態になるので、「x」をクリックしてウィンドウを閉じます。「管理されたサービスアカウントを構成する」ボタンのクリックは不要です。

画面4　Intune管理者ロールと、Intuneライセンスを持つユーザーでサインインし、コネクタの登録とMSAの作成を完了する

　Intune管理センター（intune.microsoft.com）の「ホーム｜デバイス｜プラットフォーム別 > Windows｜デバイスのオンボーディング > 登録」ページの「Windows Autopilot」にある「Active DirectoryのIntuneコネクタ」を開き、コネクタがIntuneに登録され“アクティブ”になっていることを確認します（画面5）。

画面5　コネクタがIntuneに登録され、状態が“アクティブ”になるったことを確認

　Active Directory用Intuneコネクタは、既定でActive Directoryの「Computers」コンテナーにデバイスのコンピューターアカウントを作成します。別の組織単位（OU）に作成するには、コネクタに追加の設定（XMLへのOUの追加）が必要になります。具体的な手順については手順2の公式ドキュメントで確認してください。

▲

手順 3: 組織単位 (OU) で･･･制限を増やす（Computersでは不要）

　一般ユーザー（Domain Users、今回のコネクタ用MSAを含む）は既定で最大10台までドメインにコンピューターアカウントを作成する（コンピューターをドメインに参加させる）ことができます。この手順はMSAが組織単位（OU）にコンピュータアカウントを作成する際にこの10台制限によって発生する問題を回避するために行う委任設定です。Active Directoryの「Computers」オブジェクトを使用する既定の構成では不要な手順です。

　この手順の公式ドキュメントを読むと、“Note: コンピューターが OU ではなく既定の Computers コンテナーに参加している場合は、[ コンピューター ] コンテナーを右クリックし、[ 制御の委任] を選択します。”と書いてありますが、その先の手順が示されていません。以下のドキュメントにあるように、そもそもコネクタは既定で「Computers」コンテナーにオブジェクトを作成する権限を持つため、10台の制限の影響は受けません（画面6）。なお、Active Directoryのコンテナーや組織単位（OU）のプロパティに「セキュリティ」タブを表示するには、「Active Directoryユーザーとコンピューター」の「表示 > 拡張機能」をオンにする必要があります。

参考:
Intuneと Windows Autopilot を使用して、ハイブリッド参加済みデバイスMicrosoft Entra展開する｜Windows（Microsoft Learn）
“既定では、MSA は Computers コンテナーにコンピューターオブジェクトを作成するためのみアクセスできます。 MSA には、組織単位 (OU) でコンピューターオブジェクトを作成するためのアクセス権がありません。 MSA が OU でオブジェクトを作成できるようにするには、...”

画面6　「Computers」コンテナーには既定でMSAに対する「コンピューターの作成」アクセス許可が付与されている