会社が購入し、社員に支給したPCは、どうやって「社内PC」になるのでしょうか。

会社の所有物という意味では、もちろん最初から会社のPCです。しかし情シスの視点で考えると、それだけでは十分ではありません。会社のルールに沿って設定し、必要なセキュリティ対策を行い、組織が管理できる状態にする必要があります。かつて、そのための重要な作業の一つがActive Directoryへのドメイン参加でした。では、クラウドサービスを社内外から利用する現在はどうなっているのでしょうか。

今回は、PC管理の変遷を振り返りながら、Microsoft Intuneを中心とした現在のPC管理、そしてその先にあるゼロトラストの考え方まで整理してみます。

以前、私が情報システム部でPCのセットアップをしていたころ、新しく入った社員にPCを渡すまでには、いくつかの作業がありました。

Windowsをセットアップして、コンピュータ名を決め、Active Directoryのドメインに参加させる。会社によって運用方法は異なりますが、2000年代に企業のWindows環境を管理していた方なら、似たような作業を経験したことがあるのではないでしょうか。

Active Directoryドメインに参加したPCには、グループポリシー（GPO）を使って会社共通の設定を適用できます。規模の大きな環境なら、更新プログラムやソフトウェア配布などにWSUSやSystem Centerなどを利用することもありました。

今振り返ってみると、こうしたPC管理には一つの大きな前提があります。

「会社のPCは、会社が管理するネットワークの中にある」

ということです。

PCをドメインに参加させ、社内ネットワークにつなぐ。会社が管理する範囲の中にPCがあるからこそ、設定を統一したり、アクセスできるシステムを制限したりすることができました。

自身の経験では、一般ユーザーが自分のPCのローカルAdministrator権限を持ち、必要なソフトウェアを自分でインストールできる環境もありました。今の感覚からすると少し驚きますが、そういう運用をしていた時期もあります。

もちろん、すべての企業が同じ運用だったわけではありません。ただ現在と比較すると、PCをどこに置き、どのネットワークに接続するかが、管理とセキュリティの重要な要素だったのは間違いありません。

では、PC管理がクラウドへ移ったのは最近のことなのでしょうか。

あらためて歴史を調べてみると、意外と早い時期からMicrosoftは別の方法を考えていました。

2010年、Microsoftは「Windows Intune」を発表します。現在のMicrosoft Intuneの前身ですが、当時からWindows PCをインターネット経由で管理することを目的としたサービスでした。発表された当初、Microsoftが特に想定していたのは、25～500台程度のPCを利用する中規模企業でした。オンプレミスにPC管理用のインフラを構築・維持するための予算や人員を十分に確保できない企業に対して、クラウドからPCを管理するという選択肢を提示していました。

翌2011年の正式提供時には、対象はより広い規模の企業へと広がっています。日本マイクロソフトは当時、最大20,000台のPCを管理でき、小規模事業者から大企業まで利用できるサービスとしてWindows Intuneを紹介していました。

当時の世の中的には、Active DirectoryドメインにPCを参加させ、GPOなどを利用して管理する方法が一般的でした。その中で、

「PCを管理するための仕組みを、必ずしも社内に用意しなくてもいいのではないか」

という別の選択肢がすでに登場していたことになります。今から考えると、かなり先を見ていた仕組みだったようにも思えます。

もっとも、当時のWindows Intuneと現在のIntuneは、機能も位置づけも同じではありません。その後、スマートフォンやタブレットの業務利用が増える中で、Intuneはモバイル端末にも管理対象を広げ、現在のエンドポイント管理サービスへと発展していきます。

私自身、Intuneには長らく「モバイル端末を管理するMDM」という印象を持っていました。しかし歴史をたどってみると、もともとはWindows PCをクラウドから管理するサービスとして始まっていたのです。

Windows Intuneが登場してからのち、企業のIT環境は大きく変化しました。

ノートPCを社外へ持ち出すことは珍しくなくなり、スマートフォンやタブレットから業務システムへアクセスする機会も増えました。さらにMicrosoft 365をはじめとしたSaaSの普及によって、利用するシステム自体も社内ネットワークの外へ広がっています。リモートワークなら、自宅から直接クラウドサービスへアクセスします。出張先や外出先でも同じです。

こうなると、

「社内ネットワークにつながっているPCだから、会社が管理しているPCだ」

という従来の判断だけでは足りません。そもそも、PCが社内ネットワークにつながらないまま一日中仕事をすることもあります。

現在では、オンプレミスのActive Directoryへのドメイン参加を前提とせず、Microsoft Entra IDに参加し、Intuneによってインターネット経由で管理する構成も可能です。Windows Autopilotを利用したユーザー主導の展開では、ユーザーがMicrosoft Entraのアカウントで認証すると、PCをMicrosoft Entra IDへ参加させ、Intuneへ登録し、組織が指定したアプリやポリシーを適用できます。昔のように、情シス担当者がPCを手元に置いて、一台ずつ会社の環境へ参加させてから社員へ渡すことだけがPC管理ではなくなっているわけです。

では、会社のネットワークに入っていることを基準にできないとしたら、何をもってそのPCを「会社のPC」と判断すればよいのでしょうか。

ここで、冒頭の問いに戻ってきます。

現在のMicrosoft環境で、その役割を担うサービスの一つがMicrosoft Intuneです。

現在のIntuneは、Windowsだけでなく、macOS、iOS/iPadOS、Android、Linuxなどにも対応するクラウド型のエンドポイント管理サービスです。Microsoft自身も現在、Intuneを「クラウドベースのエンドポイント管理サービス」と位置づけています。Windows PCの場合、Microsoft Entra IDやWindows Autopilotなどと組み合わせることで、かつて情シスが行っていた作業の多くをクラウド側から行えるようになっています。

昔と現在を大まかに比較してみると、次のようになります。

かつてのPC管理	現在のクラウド型管理の一例
情シスがPCをセットアップ	Windows Autopilotでプロビジョニング
Active Directoryドメインに参加	Microsoft Entra IDに参加
GPOで設定を適用	Intuneから設定・ポリシーを配布
ソフトウェアを個別に導入・配布	Intuneからアプリを配布
社内の仕組みで更新管理	クラウド経由で更新を管理
社内LANを前提に管理	インターネット経由で管理

ただし、ここで注意したいのは、「昔のAD/GPOを、そのままEntra ID/Intuneに置き換えればよい」という話ではないことです。既存のActive Directoryを利用しながらクラウドへ移行する企業もありますし、オンプレミスとクラウドを組み合わせた管理方法もあります。

重要なのは製品の置き換えではなく、PC管理の前提が変わったことです。

ここまでPC管理の変化を追ってくると、単に管理ツールが変わっただけではないことが見えてきます。変わったのは、PCを何によって信頼するのかです。社内ネットワークにいるかどうかだけでは判断できないのであれば、別の情報を確認しなければなりません。

たとえば、「誰が使っているのか。」「会社が管理している端末なのか。」「端末は会社が決めたセキュリティ基準を満たしているのか。」そして、「何にアクセスしようとしているのか。」

現在のIntuneでは、会社が設定した条件を端末が満たしているかをコンプライアンスポリシーによって評価できます。その結果をMicrosoft Entraの条件付きアクセスと組み合わせれば、基準を満たしていない端末から組織のリソースへのアクセスを制限することもできます。これは、前回取り上げたActive DirectoryからMicrosoft Entra IDへの変化ともつながります。

ユーザーについては「社内にいる人だから」ではなく、IDや認証から判断する。

PCについても「社内LANにある端末だから」ではなく、その端末が今、会社の求める状態を満たしているかを確認する。

つまり、「どこからアクセスしているか」だけではなく、「誰が、どの端末から、どのような状態でアクセスしているのか」を確認する。

ここまで来ると、PC管理の変化がゼロトラストセキュリティの考え方につながっていることが見えてきます。Microsoft自身も現在のIntuneについて、ゼロトラストセキュリティモデルを支援するサービスと位置づけています。

「Intune」という名前を調べてみると、商標上は「IN TUNE」と読める名称になっています。「in tune」には、調子が合っている、調和している、といった意味があります。

これはMicrosoftが公式に説明している名称の由来ではありませんが、私は「in tune」と聞くと、オーケストラが演奏前にチューニングをしている光景を思い浮かべます。オーボエが基準となるAの音を出し、それに合わせて、それぞれの楽器が音を調整していく。そんなイメージです。

現在の端末管理も、それに少し似ているように感じます。PC、スマートフォン、タブレット。端末の種類も違えば、使っている場所も違います。それでも会社として「この状態なら業務で使ってよい」という基準を決め、それぞれの端末をその状態に合わせていく。

かつては、PCをActive Directoryドメインに参加させ、会社のネットワークの中で管理することが大きな前提でした。現在は、PCがどこにあっても、「会社が求める状態になっているか」を確認し続けることが重要になっています。

PC管理は、「会社のネットワークに入れる」ことから、「会社が求める状態に保つ」ことへ変わった。そう考えると、ドメイン参加からIntuneまで続いてきたPC管理の変化も、少しわかりやすく見えてくるのではないでしょうか。そして、この「ネットワークの内側だから信頼する」のではなく、IDや端末の状態を確認しながらアクセスを判断する考え方が、現在のゼロトラストセキュリティにもつながっています。

ドコモソリューションズでは、こうしたゼロトラストセキュリティを企業が導入しやすい形で提供しています。社内PCの管理方法が変わってきた今、PCだけではなく、その先にあるセキュリティ環境についても考えてみてはいかがでしょうか。

参考文献

• Microsoft「Microsoft Takes Desktop Management to the Cloud: Introducing Windows Intune」（2010年4月）
• 日本マイクロソフト「クラウドベースのPC管理サービス Microsoft Windows Intuneを4月20日より提供開始」（2011年4月）
• Microsoft Learn「Microsoft Intuneとは」
• Microsoft Learn「クラウドネイティブなWindowsエンドポイントとは」
• Microsoft Learn「WindowsクライアントデバイスをMicrosoft Intuneに登録する」
• Microsoft Learn「デバイスコンプライアンスを要求する条件付きアクセスポリシー」
• WINDOWS INTUNE 商標記録（Pseudo Mark: WINDOWS IN TUNE）

商標について

Microsoft、Windows、Microsoft Entra、Microsoft Intune、Windows Autopilot、Active Directory、Microsoft 365、WSUS、System Centerは、Microsoftグループの企業の商標です。その他、記載されている会社名、製品名は、各社の登録商標または商標です。