Windows AutopilotでEntra参加する設定手順｜旧Azure ADとの関係・必要ライセンス・device preparationとの違い【2026年10月】

Windows Autopilotは、メーカーから届いた新品のPCを利用者がネットにつないで社用アカウントでサインインするだけで、Microsoft Entra ID（旧Azure AD）への参加とIntuneへの登録、アプリや設定の配布まで進める仕組みです。この記事は「entra autopilot」「azure autopilot」で手順を探している情シス担当者向けに、Entra参加で展開するまでの8ステップを、実行するコマンドと既定値つきで書きます。2024年に登場した新方式Autopilot device preparationは2026年に機能追加が続いており、8月には端末を事前に組織へ結び付けるdevice associationが加わりました。どちらの方式を使うべきかの判断基準と、失敗したときにエラーコードから確認先を引く方法も載せています。

まとめ：Windows AutopilotとEntra参加の要点

• Azure ADは現在のMicrosoft Entra ID。「Azure AD Join」は「Microsoft Entra参加」と読み替えます。ただし名前の読み替えで済むのは用語だけで、ハイブリッド用コネクタやハッシュ取得スクリプトは更新されているため、古い手順は版と画面を確かめてから使います。
• 新規の端末はEntra参加で展開する。Microsoftは新規デバイスのEntraハイブリッド参加を、Autopilot経由も含めて推奨していません。
• ライセンスはEntra ID P1とIntune。Microsoft 365 Business Premium・E3・E5・F1/F3・A1/A3/A5などに含まれます。Business Standardには含まれません。
• 従来方式（v1）は8ステップ。自動登録→Entra参加の許可→ハードウェアハッシュ登録→デバイスグループ→ESP→プロファイル→（任意）ユーザー割り当て→展開の順に進めます。
• device preparationはハッシュ登録が不要。対応はWindows 11とEntra参加だけで、ハイブリッド参加・事前プロビジョニング・セルフデプロイが要るならv1を使います。
• 2026年8月27日にdevice associationが追加。端末のUEFIにテナントの識別情報を書き込み、端末単位のポリシー割り当てと会社所有の自動判定ができるようになりました。

Windows AutopilotとMicrosoft Entra IDの関係

Autopilotが自動化する範囲とEntra参加の役割

Autopilotが置き換えるのは、マスターイメージを焼いて1台ずつ設定する従来のキッティング作業です。端末は工場出荷時のWindowsのまま利用者へ届き、OOBE（初回セットアップ画面）で社用アカウントを入力した時点で、Entra IDへの参加、Intuneへの自動登録、BitLockerやWindows Hello for Businessなどの構成、アプリのインストールが順に走ります。Microsoft Learnのユーザー駆動チュートリアルが示す利用者側の操作は、電源投入、言語やキーボードの選択、ネットワーク接続、サインインだけです。

この流れの起点がEntra参加です。端末がEntra IDのデバイスオブジェクトとして登録され、自動MDM登録が成功すればIntuneの管理対象になります。そのうえで、条件付きアクセスで「準拠済みの社用端末だけ」を許可するゼロトラスト型の制御にも使えます。

「azure autopilot」で見つかる旧名称の読み替え

Azure Active DirectoryはMicrosoft Entra IDへ改称されました。Autopilotまわりで出てくる旧名称は次のように読み替えます。Entra ID自体の機能と料金はMicrosoft Entra ID（旧Azure AD）とは？読み方・ADとの違い・料金と始め方にまとめています。

LearnのチュートリアルはURLに「azure-ad-join」を残したまま、本文は現行の名称で更新されています。

Entra参加とEntraハイブリッド参加の選び方

新規の端末をEntra参加にする理由

ハイブリッド参加のLearnページは冒頭で「新しいデバイスはMicrosoft Entra参加のクラウドネイティブで展開することを推奨し、Windows Autopilot経由を含めてハイブリッド参加での新規展開は推奨しない」と明記しています。Entra参加ならOOBE中にドメインコントローラーへ到達する必要がないので、メーカーから利用者の自宅へ直送してその場で展開できます。

ハイブリッド参加を残すときの要件

グループポリシー（GPO）でしか配れない設定や、コンピューターアカウントでドメイン認証する社内システムが残っている場合に限り、ハイブリッド参加を使います。その場合の要件は次のとおりです。

• Intune Connector for Active Directory（ODJコネクタ）を、Windows Server 2016以降・.NET Framework 4.7.2以降のサーバーに入れる。最新ビルドは2026年6月18日公開の6.2604.2000.3（Windows AutopilotのWhat’s new）。
• 旧コネクタは2025年6月下旬に廃止済み。低い権限のマネージドサービスアカウントで動く新コネクタへの入れ替えが要る。
• 端末はOOBE中にドメインコントローラーへpingが通る必要がある。社外で展開するならプロファイルの「Skip AD connectivity check」を「はい」にし、対応VPNで接続する。

「既存のADに合わせておけば安全」という理由だけでハイブリッドを選ぶと、直送先でもDCへの接続（対応VPNなど）を確保する必要が生じ、device preparationも使えなくなります。GPOの中身を棚卸しし、Intuneの構成プロファイルへ移せる設定が大半ならEntra参加へ寄せる方が運用の手数は減ります。

必要なライセンスと対応するWindows

Entra ID P1とIntuneを含むサブスクリプション

Autopilotのライセンス要件は、自動MDM登録と会社のブランドを使うためにEntra ID P1相当とMDMが要る、という整理です。次のいずれかがあれば足ります。

• Microsoft 365 Business Premium
• Microsoft 365 F1またはF3
• Microsoft 365 A1・A3・A5
• Microsoft 365 E3またはE5
• Enterprise Mobility + Security E3またはE5
• Intune for Education
• Microsoft Entra ID P1またはP2と、Microsoft Intune（または他社のMDM）

見落としやすいのはMicrosoft 365 Business Standardです。一覧に入っていないので、Business Standardだけのテナントでは、Entra ID P1とIntuneを追加するか、Business Premiumへ上げる必要があります。プランごとの差はMicrosoft 365 Business Standardとは｜Basic・Premiumとの違いと選び方で比べています。また、サブスクリプションを契約しただけでは登録できず、展開する利用者にライセンスを割り当てておく必要があります。

対応エディションとWindows 10の扱い

Windows 11はPro・Pro Education・Pro for Workstations・Enterprise・Education・Enterprise LTSCが対象で、Homeは対象外です（IoT EnterpriseはTeams Rooms端末に限る）。device preparationは、Windows 11 24H2以降、または22H2・23H2にKB5035942以降を当てた端末が条件です。セルフデプロイモードと事前プロビジョニングは、デバイス構成証明に対応した物理的なTPM 2.0が必須で、仮想マシンやTPM 1.2の端末では動きません。

Windows 10の通常チャネル（最終版22H2）は2025年10月14日にサポートが終わりました。LTSCは版ごとに期限が別で、たとえばWindows 10 Enterprise LTSC 2021は2027年1月12日（米国時間）までです。v1の要件にはWindows 10の各エディションも残っていますが、同じページに「サポートライフサイクルを過ぎた製品はAutopilotでもサポートしない」と書かれており、device preparationはWindows 11専用です。これから展開する端末はWindows 11 25H2などのサポート中の版に揃えてください。

従来のWindows Autopilot（v1）でEntra参加させる8ステップ

Learnのユーザー駆動・Entra参加チュートリアルは次の8ステップで構成されています。ステップ1・2はテナントで一度設定すれば済みます。

ステップ1・2：自動Intune登録とEntra参加の許可設定

ステップ1はWindowsの自動Intune登録の設定です。Azureポータルで［Microsoft Entra ID］→［Mobility (MDM and WIP)］→［Microsoft Intune］を開き、［MDM user scope］を「All」か「Some」にします。Someにした場合は、展開する利用者を含むユーザーグループを指定します。同じ設定はIntune管理センターの［デバイス］→［デバイスのオンボーディング］→［登録］→［Windows］タブ→［自動登録］からも開けます。ここが「None」のままだと、Entra参加は成功してもIntuneに登録されず、アプリもポリシーも届きません。

ステップ2は、Entra IDの［Devices］→［Device settings］で［Users may join devices to Microsoft Entra］を「All」または「Selected」にする設定です。Selectedにしたときは展開する利用者が含まれているかを確認します。Learnのトラブルシューティングは、Entra参加の失敗で最も多い原因としてこの権限設定を挙げています。

ステップ3：ハードウェアハッシュの取得とAutopilotへの登録

v1では、端末のハードウェアハッシュ（端末固有の識別情報）をAutopilotに登録した端末だけが展開の対象になります。新品をOEMやリセラー経由で調達するなら、販売店に登録を依頼できます。手元の端末を登録する場合は、Learnの手動登録手順にあるとおり、OOBEのサインイン画面でShift+F10を押してコマンドプロンプトを開き、次を順に実行します（1行目でPowerShellを起動）。

powershell.exe
[Net.ServicePointManager]::SecurityProtocol = [Net.SecurityProtocolType]::Tls12
Set-ExecutionPolicy -Scope Process -ExecutionPolicy RemoteSigned
Install-Script -Name Get-WindowsAutopilotInfo -Force
Get-WindowsAutopilotInfo -Online

最後のコマンドでEntra IDのサインイン画面が出るので、Intune管理者以上の権限を持つアカウントでサインインすると、ハッシュがIntuneへ直接アップロードされます。初回はスクリプトが使うアプリ登録の権限への同意を求められます。アップロード後はIntune管理センターの［Windows Autopilot］→［デバイス］に端末が載ったことを確かめます。OOBE中の端末は、ステップ6のプロファイル割り当てが済んだあとに再起動すると、Autopilotのプロファイルを受け取って展開に進みます。スクリプトは2023年7月にMicrosoft Graph PowerShellモジュールを使う版へ更新されているので、古い版を社内に置いているなら入れ替えてください。CSVで取り出して後からまとめて取り込むときは、-Online の代わりに -OutputFile AutopilotHWID.csv を付けます。

ステップ4〜6：デバイスグループの作成とESP・展開プロファイルの割り当て

ステップ4では、Autopilotに登録した端末を集めるデバイスグループを作ります。登録済みの全端末を対象にするなら、Learnが示す動的メンバーシップの規則は次のとおりです。

(device.devicePhysicalIDs -any (_ -startsWith "[ZTDid]"))

ステップ5はEnrollment Status Page（ESP、登録状況ページ）の設定です。既定のESPはアプリと構成の進行状況を表示しない設定なので、Learnは別のESPを作って［Show app and profile configuration progress］を「はい」にするよう勧めています。タイムアウトの既定値は60分で、OOBE中に入れるアプリが多いときは延ばします。2026年1月のWindows品質更新（2026-01 B）からは、ESPの［Install Windows quality updates (might restart the device)］でOOBE中に月例のセキュリティ更新を入れるかを選べます。新規作成したESPの既定は「はい」、既存のESPは設定を「はい」に変えて保存するまで「いいえ」のままです。作ったESPは、ステップ4のデバイスグループに割り当てます。ESPは個々の端末でなくデバイスグループに割り当てる仕組みです。

ステップ6でWindows Autopilotの展開プロファイルを作り、［Join to Microsoft Entra ID as］を「Microsoft Entra joined」にして、ステップ4のデバイスグループに割り当てます。利用者を標準ユーザーにするか、OOBEのライセンス条項やプライバシー設定の画面を隠すかもここで決めます。グループへの割り当てが端末に反映されるまでには時間がかかるため、展開前に［Windows Autopilot］→［デバイス］で端末のプロファイルが割り当て済みになっていることを確認します。

ステップ7・8：任意のユーザー割り当てと端末の展開

ステップ7のユーザー割り当ては任意です。端末を利用者に割り当てると、その利用者向けのポリシーとアプリもAutopilotの処理中に適用されます。テスト段階では、特にハイブリッド構成の場合、ユーザーを割り当てずに一度展開を試す方がよいとLearnは書いています。適用されるポリシーとアプリの範囲が絞られ、原因を切り分けやすくなるためです。ステップ8で利用者が端末の電源を入れ、ネットワークにつないで社用アカウントでサインインすると、Entra参加→Intune登録→ESPでのアプリと構成の適用まで進みます。展開後は3段階に分けて確認します。Entra管理センターで端末の［参加の種類］が「Microsoft Entra joined」になっているか、Intune管理センターに端末が登録されているか、ESPで指定したアプリと構成がエラーなく適用されたかです。Entra参加だけ成功してIntuneに出てこない場合は、ステップ1の自動登録を疑います。

Autopilot device preparationで設定するときの違い

v1との違いは「登録不要・端末側の構成だけ」

device preparationは、ハードウェアハッシュの事前登録をやめ、OOBE中に端末向けの構成だけを配る方式です。Learnの比較ページから、判断に効く差を抜き出します。

設定の中身も変わります。v1の展開プロファイルとESPの代わりに、device preparationポリシーと、所有者に「Intune Provisioning Client」（AppId f1346770-5b25-470b-88bd-d5744ab7952c）を指定したデバイスのセキュリティグループを用意します。テナントによってはこのサービスプリンシパルが「Intune Autopilot ConfidentialClient」と表示されますが、AppIdが同じなら正しい相手です。所有者の指定を忘れると、端末がグループに入らずアプリが配られません。

device preparationに2026年追加された機能

device preparationのWhat’s newによると、2026年は次の更新が入っています。登場時の上限（アプリ10個）を前提に「device preparationでは足りない」と判断していたなら、見直す価値があります。

managed installerは、それまでWin32・Microsoft Store・Enterprise App Catalogのアプリが競合を避けるためにスキップされていた問題を解消するものです。9月14日の改善では、OOBE中に既定の128ビットBitLockerポリシーを当てるのをやめて管理者が設定した暗号化方式を優先するようになり、OOBE直後にIntune Management Extensionが同期を始め、OOBE中にネットワークが切れた後の再同期も速くなりました。同じ日にv1のESP側でもアプリのインストール再試行回数が増えています。

v1とdevice preparationの選択条件

Windows 11のEntra参加で、ユーザー駆動の展開をするなら、新しく組む構成はdevice preparationで始めるのが妥当です。ハッシュ登録の工程が消え、2026年の更新でアプリ数の制約もほぼ実用の範囲に収まりました。逆に、次のどれかに当てはまる端末はv1に残します。

• ハイブリッド参加が必要
• キオスクや会議室端末をセルフデプロイで展開する（Teams RoomsやHoloLensはv1のみ）
• 技術者が事前にアプリを入れる事前プロビジョニングを使う
• OOBE中に26個以上のアプリを入れる、またはユーザー単位の構成が終わるまでデスクトップを開かせたくない
• Autopilot Resetで端末を使い回す

同じテナントで両方を並行して使えますが、1台の端末で動くのはどちらか一方です。v1に登録済みの端末は、device associationをしていなければv1のプロファイルが優先され、関連付け済みならdevice preparationが動きます。

device associationによる端末の事前関連付け

device association（デバイスの関連付け）は2026年8月27日にdevice preparationへ追加された機能です。Learnの概要ページによると、端末のTPMに裏付けられた識別情報を検証したうえで、テナントの識別情報を含むマーカーを端末のUEFIファームウェアに書き込みます。v1のハッシュ登録が「クラウド側に端末の一覧を持つ」方式なのに対し、こちらは「端末の側に所属先を刻む」方式です。

使える端末はdevice preparation一般より絞られます。device associationの要件は、Windows 11 24H2または25H2にKB5120998以降を当てた物理端末で、TPM 2.0が有効かつ機能制限モードでないことです。仮想マシンは対象外なので、Hyper-Vで検証環境を作っても関連付けは試せません。

関連付けの流れと端末単位のポリシー割り当て

1. device preparationポリシーを作る
2. OOBEで端末の情報をエクスポートする
3. IntuneでCSVをアップロードして事前関連付け（pre-associate）し、必要ならポリシーを割り当てる
4. OOBEで端末がネットワークにつながると自動で関連付けられ、UEFIにマーカーが書かれる
5. 登録すると、端末向けのポリシーと会社所有の判定、OOBEのカスタマイズが適用される

関連付けた端末は自動で会社所有と判定されるので、個人所有デバイスの登録制限に止められず、会社識別子（corporate identifier）を別途アップロードする必要もありません。ポリシーを利用者のグループでなく端末に直接割り当てられるため、同じ利用者が用途の違う端末を複数受け取っても、端末ごとに別のポリシーを当てられます。OOBEでは言語・キーボード・ライセンス条項・プライバシー設定の画面を飛ばせ、%SERIAL% や %RAND:x% を使った63文字以内の端末名を登録前に付けられます。

関連付けの解除手順とWi-Fi・Cloud PCの制約

関連付けの解除はIntuneからはできず、端末上でPowerShellスクリプトを実行してUEFIのマーカーを消す必要があります。端末を売却・返却・廃棄するときの手順に、この解除を必ず組み込んでください。消し忘れた端末は他社のテナントで登録するときに支障が出ます。Wi-Fi接続でOOBEを進める端末は、言語とキーボードの画面が隠れない点もLearnに書かれています。Windows 365のクラウドPCは最初から会社所有として扱われるため、関連付けの対象外です。

Entra参加・Intune登録が失敗するときの確認ポイント

Entra参加の段階で止まる場合

AutopilotのトラブルシューティングFAQから、Entra参加で止まるときの確認先をまとめます。

• 参加の権限：ステップ2の［Users may join devices to Microsoft Entra］に利用者が含まれているか。最も多い原因です。
• 端末数の上限：1人がEntra IDに参加させられる端末数の既定は50台。超えるとエラーになるので、検証で同じアカウントを使い回している場合に当たります。
• 「Microsoft Entra registered」になる：以前に職場アカウントの追加などでEntra登録済みだった端末は、その種類が引き継がれます。Intune・Entra ID・Autopilotの3か所から端末を削除してから登録し直します。
• Entra IDのデバイスオブジェクトを消した：v1でハッシュを取り込んだときに作られるEntra IDのオブジェクトは、グループや割り当ての起点です。消すと参加に失敗するので、Autopilotから削除して取り込み直します。

Intune登録・ESPの段階で止まる場合

• エラー0x80180014：セルフデプロイや事前プロビジョニングの端末を再展開すると出ます。Intune管理センターの［Windows Autopilot］→［デバイス］で端末を選び、［Unblock device］を実行してから展開し直します。テナントでWindowsのMDM登録自体が無効でも同じコードになります。
• ESPがタイムアウトする：アプリが多くて既定の60分を超えていないかを先に見ます。Intuneの登録エラーの解説は、ESPで旧Microsoft Store for Businessのアプリを追跡し、かつ「準拠済みデバイスを要求」する条件付きアクセスを全クラウドアプリとWindowsに適用している組み合わせでもタイムアウトすると説明しています。準拠ポリシーをユーザーでなくデバイスに割り当て、サインイン前に準拠を判定できるようにします。
• Win32とLOBの混在：v1のESPは、Win32アプリとLOB（基幹業務）アプリの混在に対応していません。どちらもTrustedInstallerを使い同時にインストールできないためです。混在させるならESPを使わないdevice preparationを使います。

原因を絞り込むには、ESPのプロファイルで［Turn on log collection and diagnostics page for end users］を「はい」にしておき、Windows 11の端末でCtrl+Shift+Dを押して診断ページを開きます。イベントビューアーでは［アプリケーションとサービス ログ］→［Microsoft］→［Windows］→［ModernDeployment-Diagnostics-Provider］→［Autopilot］に記録が残ります。ログ一式をまとめて採るなら、管理者権限のコマンドプロンプトで次を実行します。

Mdmdiagnosticstool.exe -area Autopilot;TPM -cab c:\autopilot.cab

device preparationに特有の既知の問題

device preparationの既知の問題には、OOBEの進行が100%で止まったまま進まない現象（利用者が手動で再起動すると続行）が載っています。もう1つ注意したいのは、ポリシーの［User account type］を「Standard user」にし、かつEntra IDの［Local administrator settings］（Entra参加時に登録ユーザーをローカル管理者に追加する設定）を「Selected」か「None」にした組み合わせです。この場合はプロビジョニングが飛ばされ、指定したアプリや構成が入らないまま利用者がデスクトップに進みます。利用者を標準ユーザーにしたいときは、Entra側を「None」にしてポリシー側を「Administrator」にする、Entra側を「All」にしてポリシー側を「Standard user」にする、など、Learnが示す3つの組み合わせのどれかに合わせます。v2で失敗した端末の診断ログは、Intuneの［Windows Autopilot device preparation deployment status］レポートから直接ダウンロードできます。

展開後に配るアプリやツールの制御は、PowerToysを全社展開する手順：winget配布とGPO・Intuneでの機能制御のように、Intuneの構成プロファイルへ寄せていくと端末の状態を一か所で管理できます。テナントの初期設定からAutopilotの展開設計、Intuneへの移行までまとめて相談したい場合は、Microsoft 365・Copilot導入支援で対応しています。

よくある質問

「azure autopilot」と「entra autopilot」は違うものですか？

同じものです。Azure ADがMicrosoft Entra IDへ改称されたため呼び方が2通りあり、製品としてはどちらもWindows Autopilotを指します。「Azure AD Join」は「Microsoft Entra参加」と読み替えてください。

Windows Autopilotに対応しているメーカーはどこですか？

MicrosoftのWindows Autopilotの製品ページに、参加しているメーカーの一覧が載っています。一覧のメーカーやリセラーから購入すると、ハードウェアハッシュの登録を販売側に任せられます。一覧外の端末でも、ステップ3の手動登録やdevice preparationなら展開できます。

Intuneだけ契約すればAutopilotは使えますか？

Intuneに加えてEntra ID P1（またはP2）が必要です。Microsoft 365 Business Premium・E3・E5などには両方が含まれます。Business Standardには含まれないので、追加購入かプラン変更が要ります。

オンプレミスのADを残したままAutopilotは使えますか？

v1のハイブリッド参加で使えます。ただしIntune Connector for Active Directoryの設置と、OOBE中のドメインコントローラーへの到達（社外ならVPN）が必要で、device preparationは使えません。Microsoftは新規端末のハイブリッド参加を推奨していないため、GPOをIntuneへ移せるかを先に確かめてください。

今からv1で組むのとdevice preparationで組むのはどちらがよいですか？

Windows 11をEntra参加でユーザー駆動展開するなら、device preparationで始める方が手順が少なく済みます。ハイブリッド参加、セルフデプロイ、事前プロビジョニング、Autopilot Reset、OOBE中に26個以上のアプリが要る場合はv1を選びます。同じテナントで両方を並行して使えます。

関連記事

• Microsoft Entra ID（旧Azure AD）とは？読み方・ADとの違い・料金と始め方【2026年10月】
• MDMとは？モバイルデバイス管理の仕組みとEMM/UEMの違い・選び方【情シス向け】
• キッティングとは？PC設定の手順・手作業とクローニングの違いと外注判断【情シス向け】
• ゼロトラストセキュリティとは？構成技術と導入手順・費用を実装視点で解説
• fTPMとdTPM・Intel PTTの違いとは？TPM2.0の仕組みと確認方法、fTPMリセット表示の判断