Windows MDM は、Windows に最初から入っている管理クライアントを通じて、設定・アプリ・暗号化・初期化の指示をクラウドから届ける仕組みです。社内ネットワークにつながっていないパソコンにもポリシーが届くため、持ち出したノートパソコンをそのまま管理できます。Windows 10 のサポートは2025年10月14日に終わり、更新プログラムの配信を支えてきた WSUS も積極的な開発が止まりました。ドメインとグループポリシーに寄せてきた管理をどこへ移すかは、もう先送りできる論点ではありません。この記事では、Windows MDM でできることを機能ごとに整理し、グループポリシーとの違い、登録の条件、製品選びの見どころを扱います。
LOCKED MDM は、iOS・Android・macOS・Windows をひとつの管理コンソールから扱える端末管理サービスです。遠隔ロックとデータ消去、アプリ配布、更新の制御、セキュリティポリシーの配布に対応し、端末数の制限がないID単位の課金で使えます。
無料で製品資料をお送りしています。Windows の管理方式を見直す検討材料にお使いください。 製品資料をダウンロードする →
Windows MDM とは、OS に組み込まれた管理の受け口
Windows には、管理サーバーに登録するためのクライアントと、登録後にサーバーと定期的に同期してポリシーを適用するクライアントが組み込まれています。管理側のソフトをパソコンに入れて回る必要はありません。Microsoft 以外の管理サーバーも、Windows が公開している管理プロトコルに沿って通信すれば同じ仕組みを使えます（モバイル デバイス管理の概要）。スマートフォンから始まったモバイルデバイス管理（MDM）の枠組みに、パソコンが後から乗ってきた形です。
設定の中身を決めているのは「構成サービスプロバイダー」
管理サーバーが「画面ロックは15分」と指示を送ると、その指示を受け取って Windows の該当する設定へ書き込む部品が動きます。この部品を構成サービスプロバイダー（CSP）と呼びます。ポリシー系の設定を受け持つのが Policy CSP で、グループポリシー管理テンプレート（ADMX）由来の設定も一部はここを通ります（Policy CSP）。製品ごとの管理画面は、結局このCSPをどれだけ分かりやすく包めているかの違いです。
使えるのは Pro 以上。Home は対象外
公式の対応エディション一覧に並んでいるのは、Pro、Enterprise、Pro Education / SE、Education です。Home は入っていません。個人所有のパソコンを業務で使っている場合、Home のままでは管理に載せられないため、エディションの確認が先に来ます。
MDM選定ガイド
MDM製品の選定で押さえるべきポイントを解説。OS対応、リモート制御、ポリシー管理など、主要な評価軸を整理しています。
Windows MDM でできること
管理画面から指示できる範囲は広く、設定の配布から紛失時の初期化までを一本の導線でつなげます。実務で効くものを順に見ていきます。
パスワードと防御機能の基準をまとめて配る
設定項目を1つずつ吟味する前に見ておきたいのが、Microsoft が配布している MDM セキュリティベースラインです。グループポリシーのセキュリティベースラインと同じ役割を果たすもので、収録されているのはBitLocker や Windows Defender SmartScreen、Microsoft Defender ウイルス対策、ファイアウォールといった防御機能の設定、デバイスへのリモートアクセスの制限、パスワードとPINの要件、古い技術の利用制限などです。1項目ずつ吟味するより、ベースラインを土台にして自社で変える項目だけを決めるほうが早く終わります。
暗号化は、回復キーの預け先まで決めてから有効にする
ノートパソコンの紛失で情報漏えいに発展するかどうかは、ディスクが暗号化されていたかどうかで分かれます。BitLocker による暗号化は MDM から一括で有効にできますが、先に決めておく必要があるのが回復キーの保管先です。暗号化を有効にしてから考えると、起動できなくなったパソコンを前にして回復キーを探す羽目になります。
業務アプリは配布も削除も棚卸しも管理画面から
MSI 形式のアプリについては、インストール、アンインストール、インストール済みアプリの照会を管理サーバーから実行できます。取得できるのはアプリ名、発行元、バージョン、インストール日、処理の状態です（EnterpriseDesktopAppManagement CSP）。何が入っているか分からないパソコンを目視で数える作業から抜けられます。
更新プログラムは延期日数で足並みをそろえる
全台が同じ日に再起動して業務が止まる、あるいは誰も更新しないまま穴が残る。この両極を避けるため、Policy CSP の Update 領域では適用時期を日数で指定できます。品質更新プログラムは最大30日、機能更新プログラムは一般提供チャネルで最大365日まで延期できます。自動更新そのものの振る舞いも、ダウンロード前に通知する、自動でインストールして再起動する、指定した日時に実行するといった選択肢から選べます（Policy CSP - Update）。
紛失したパソコンは遠隔で初期化できる
RemoteWipe CSP には、用途の違う初期化が用意されています。doWipe は設定アプリの「このPCをリセット」と同じ動きで、電源を切られると回避される余地があります。紛失・盗難の場面で使うのは doWipeProtected で、完了するまでリセットを試み続けます。ユーザーアカウントとデータを残したまま初期化する指示もあります（RemoteWipe CSP）。どれを押すかは、端末が戻ってくる見込みがあるかどうかで変わります。
新しいパソコンは、箱から出したまま社員に渡せる
同じ RemoteWipe CSP の AutomaticRedeployment は、Autopilot リセットを実行します。通常の初期化と違い、Microsoft Entra ID と MDM への登録、Wi-Fiプロファイル、地域・言語・キーボードの設定を保持したまま初期状態へ戻すため、再配布の手間が小さくなります。新品のパソコンを無人で業務用に仕上げる流れは、Windows Autopilotで扱っています。
自社の台数とエディションで何ができるか、無料で個別にご相談いただけます。 デモ・個別相談を申し込む →
グループポリシーとの違いは、社内ネットワークにつながなくても効くこと
グループポリシーが適用されるのは、ドメインに参加したパソコンがドメインコントローラーに到達できるときです。在宅勤務が続き、出社しないまま数か月が過ぎたパソコンには、設定した内容が届きません。MDM は管理サーバーとHTTPS経由で同期するため、家庭のネットワークでも、出張先のホテルでもポリシーが届きます。VPNに繋がせる前提を置かずに済むのが、移行の最大の動機です。
管理の粒度では、まだグループポリシーのほうが細かい設定を持っています。すべてのグループポリシーが MDM やCSP経由で使えるわけではない、と公式資料にも明記されています。だからこそ、どちらで何を決めるかの線引きが必要になります。
同じ設定を両方で入れると、どちらが勝つかは保証されない
移行期にいちばん危ないのが、グループポリシーと MDM で同じ設定を二重に構成した状態です。MDMWinsOverGP の制御下にない設定を GPO と MDM の両方で構成しないよう、Microsoft は推奨しています。両方で構成すると競合状態が起き、どちらが勝つかは保証されません（ControlPolicyConflict Policy CSP）。
MDMWinsOverGP を 1 に設定すると、同等のグループポリシーを持つ MDM ポリシーが設定されている場合に、グループポリシー側からの設定がブロックされます。既定値は 0 で、Windows 10 バージョン1803以降が対象です。ただし効くのは Policy CSP のポリシーに限られ、Defender CSP など別のCSPで定義された設定には適用されません。「MDM を優先に設定したから安心」とはならない点に注意が必要です。
併用するなら、設定ごとに持ち場を先に書き出す
現実には、ファイルサーバーやプリンタの都合でドメインを残す会社が多数あります。その場合は、MDM に寄せる設定とグループポリシーに残す設定の一覧を先に作り、同じ項目が両方に現れないことを確認してから配信します。移行の順番としては、持ち出しの多いノートパソコンを MDM に先に載せ、据え置きの端末を後から動かすほうが、効果が早く出ます。
登録できるのは管理者のみ、1台に入れられる MDM は1つだけ
技術的には動くのに運用で詰まる論点が、登録のまわりに集まっています。
標準ユーザーは MDM に登録できません。登録できるのは管理者ユーザーだけで、Windows デスクトップの組み込み Administrator アカウントも登録できません。オンプレミスの Active Directory に参加しているパソコンも、設定アプリの「職場または学校にアクセス」から登録できます。この場合、ユーザー固有のポリシーは登録したユーザーだけが対象になり、デバイスを対象とするポリシーは全ユーザーに効きます。逆に、ドメイン参加済みPCの MDM 登録をグループポリシーで禁止することもできます（モバイル デバイスの登録）。
そしてもうひとつ、1台のデバイスに登録できる MDM は1つだけです。既存の管理ツールを残したまま新しい MDM を並行稼働させる移行計画は、この一点で成立しません。切り替え日を決め、登録解除と登録をセットで実施する前提で段取りを組みます。
移行の期限はすでに過ぎている
Windows 10 のサポートは2025年10月14日に終了しました。最終バージョンは22H2で、この日以降、サポートの切れたバージョンには品質更新（セキュリティと信頼性の修正）も機能更新もテクニカルサポートも提供されません（Windows 10 Home and Pro - Microsoft Lifecycle）。社内の更新配信に使われてきた WSUS についても、Microsoft は積極的な開発を終了したと公表しています。既存の機能とコンテンツは引き続き利用できますが、新しい機能は追加されません（Windows Server で削除または開発されなくなった機能）。
ただし、延命の手段はあります。有料の拡張セキュリティ更新プログラム（ESU）に登録した商用・教育機関のパソコンは、サポート終了から最大3年間、重要なセキュリティ更新を受け取れます。登録の前提はバージョン22H2で、受け取れるのはセキュリティ更新だけです。新機能、セキュリティ以外の更新、テクニカルサポートは含まれません。ボリュームライセンスの価格は1年目が1台あたり61ドルで、以降は年ごとに倍になります（Windows 10 の拡張セキュリティ Updates (ESU) プログラム）。長期サービスチャネル（LTSC）のリリースは、それぞれのライフサイクルに沿って終了日以降も更新を受け取ります。ESU が売っているのは時間であり、その時間には上限と値札がついています。
つまり、これから買うパソコンは Windows 11 になり、キッティングと更新配信の受け持ちを決め直す必要があります。社内にサーバーを立て直すのか、MDM に寄せるのか。判断を遅らせている間も、管理されていないパソコンは増えていきます。
製品選びで見るのは、他のOSと同じ画面で扱えるか
Windows MDM の土台はOS側にあるため、どの製品を選んでも「できること」の骨格は大きく変わりません。差が出るのは、iPhone や Android、Mac と同じ管理画面で扱えるか、料金が端末単位かID単位か、問い合わせ窓口が日本語かといった運用面です。1人が複数台を持つ職場では、端末単位の課金が積み上がりやすい点も見ておく価値があります。
Windows から iPhone、Android、Mac まで、台数と運用体制に合わせた進め方を無料でご相談いただけます。 資料請求・デモ依頼はこちら →
参考資料
- Microsoft Learn：モバイル デバイス管理の概要
- Microsoft Learn：モバイル デバイスの登録
- Microsoft Learn：ControlPolicyConflict Policy CSP
- Microsoft Learn：RemoteWipe CSP
- Microsoft Lifecycle：Windows 10 Home and Pro
- Microsoft Learn：Windows 10 の拡張セキュリティ Updates (ESU) プログラム
- Microsoft Learn：Windows Server で削除または開発されなくなった機能