Windows Autopilotは、キッティングした端末を箱から出してネットにつなぐだけで、業務PCとしての初期構成を自動で終わらせる仕組みです。その中心にあるのが、端末を組織のIDへ結び付けるMicrosoft Entra ID（旧Azure AD）への参加です。この記事では「entra autopilot」「azure autopilot」で調べる担当者向けに、Entra参加とEntraハイブリッド参加の違い、必要なライセンス、設定手順、そして2024年に登場した新方式Autopilot device preparation（v2）までを、実装の判断軸で整理します。
まとめ：先に押さえる連携の結論
時間がない読者向けに、Windows AutopilotとEntra ID連携の要点を先に示します。
- Azure ADは2023年にMicrosoft Entra IDへ改称。旧「Azure AD Join」は現在「Microsoft Entra参加」で、機能はそのまま名前が変わったもの。
- 参加方式は2種類。クラウドのみで完結する「Entra参加」と、オンプレミスADとEntra IDの両方に参加する「Entraハイブリッド参加」がある。
- 新規導入はEntra参加が既定解。MicrosoftはクラウドネイティブなEntra参加を推奨し、新規デバイスのハイブリッド参加は推奨していない。オンプレADのGPO依存が残る場合だけハイブリッドを選ぶ。
- 必要なのはEntra ID P1とIntune。いずれもMicrosoft 365 E3／E5に同梱される。Windows 11はPro以上のエディションが対象。
- 2024年に新方式が登場。ハードウェアハッシュ登録が要らない「Autopilot device preparation（v2）」が使えるようになり、従来方式（v1）と併存する。
以降で、各方式の違いと具体的な設定手順を順に見ていきます。
Windows AutopilotとMicrosoft Entra ID連携でできること
Windows Autopilotが自動化するキッティング工程
Windows Autopilotは、Windowsデバイスの初期構成をクラウド側の設定に沿って自動化する、Microsoft Intune配下のプロビジョニング技術です。管理者が事前に導入プロファイルを用意しておけば、利用者は電源投入後にサインインするだけで、組織のポリシー適用・アプリ配布・Intune登録まで自動で完了します。従来のように管理者が1台ずつマスターイメージを焼いて手渡す必要がなく、メーカーから利用者へ直送する運用も成立します。
Azure ADからMicrosoft Entra IDへの名称変更と「Entra参加」
連携先の「Azure Active Directory（Azure AD）」は、2023年にMicrosoft Entra IDへ改称されました。名称が変わっただけで、クラウド上のID基盤という役割は同じです。これに伴い用語も置き換わっており、端末をEntra IDに登録する操作は「Azure AD Join」から「Microsoft Entra参加（Entra joined）」へ、オンプレADと併用する形は「Hybrid Azure AD Join」から「Microsoft Entraハイブリッド参加」へと呼び名が変わりました。「azure autopilot」で検索して古い手順に当たった場合も、読み替えれば現行の操作にそのまま対応します。Entra ID自体の位置づけはMicrosoft Entra ID（旧Azure AD）とは？読み方・機能・料金で補足しています。
連携で実現する自動登録・SSO・条件付きアクセス
AutopilotとEntra IDを組み合わせる価値は、端末が「誰の・どの組織の資産か」をクラウドが把握できる点にあります。Entra参加した端末は、Intuneへ自動登録されて管理下に入り、利用者はEntra IDの資格情報でサインオンするだけでMicrosoft 365などの業務アプリにシングルサインオン（SSO）できます。さらに、端末の準拠状態や場所を条件に接続可否を判断するゼロトラストセキュリティの条件付きアクセスを、参加済み端末を前提に適用できます。
Microsoft Entra参加とEntraハイブリッド参加の違いと選び方
Microsoft Entra参加（クラウドネイティブ）
Entra参加は、端末をEntra IDにのみ登録する方式です。オンプレミスのActive Directoryドメインコントローラー（DC）への到達性が不要なため、プロビジョニング中に社内ネットワークへつなぐ必要がありません。端末をメーカーから利用者宅へ直送し、自宅のインターネット回線でセットアップを完了させる運用が組めます。VPNに依存せずどこからでも認証できるため、リモートワーク主体の組織に向きます。
Microsoft Entraハイブリッド参加（オンプレADと併存）
ハイブリッド参加は、端末をオンプレミスADドメインとEntra IDの両方に参加させる方式です。オンプレADのグループポリシー（GPO）やドメイン参加を前提とした社内システム、ファイルサーバー認証などが残っている環境で選びます。ただしプロビジョニング中にDCへ到達できる必要があり、直送・自宅セットアップとは相性が悪い点に注意が必要です。オンプレADとクラウドを橋渡しする設計はMDM（モバイルデバイス管理）の仕組みとEMM／UEMの違いとあわせて検討すると全体像を掴みやすくなります。
新規導入はEntra参加が既定（判断の基準）
迷ったらEntra参加を選ぶ、が現時点の妥当な判断です。Microsoftは新規デバイスをクラウドネイティブなEntra参加で展開することを推奨しており、Autopilotを含めて新規端末のハイブリッド参加は推奨していません。ハイブリッド参加を選ぶべきなのは、GPO必須の社内アプリやオンプレAD認証のレガシー資産が明確に残っている場合に限られます。「とりあえず既存ADに合わせてハイブリッド」と惰性で選ぶと、DC接続要件のせいで直送運用ができず、Autopilotの利点を自ら削ることになります。
| 比較軸 | Entra参加 | Entraハイブリッド参加 |
|---|---|---|
| 参加先 | Entra IDのみ | オンプレAD＋Entra ID |
| DC接続 | 不要 | プロビジョニング中に必須 |
| 直送・自宅設定 | 可能 | 不向き |
| GPO依存の資産 | 非対応（Intuneへ移行） | 継続利用可 |
| Microsoftの推奨 | 新規はこちら | 新規は非推奨 |
連携に必要なライセンスと前提条件
必要ライセンス（Entra ID P1／Intune）
Windows AutopilotでEntra参加を行うには、Microsoft Entra ID P1（またはP2）とMicrosoft Intune（Plan 1）のライセンスが必要です。この2つはMicrosoft 365 E3／E5、およびBusiness Premiumに同梱されるため、これらを契約していれば追加購入なしで開始できます。逆に、無償のEntra IDフリー枠やIntune無しでは自動登録が成立しないため、着手前にライセンスの割り当て状況を確認してください。
対応するWindowsエディションとバージョン
対象はWindows 11 一般提供（GA）チャネルの各エディションで、Pro／Pro Education／Pro for Workstations／Enterprise／Education／Enterprise LTSCが対応します。HomeエディションはAutopilotの対象外です。端末側の前提として、Windows 11の動作要件であるTPM 2.0が有効になっている必要があり、self-deployingなど一部シナリオでは端末認証にTPMが使われます。
Entra自動登録（MDM自動登録）の事前構成
Autopilotが端末をIntuneの管理下に置くには、Entra参加時にIntuneへ自動でMDM登録される設定が要ります。Entra管理センターの「モビリティ（MDMおよびMAM）」でIntuneのMDMユーザースコープを対象ユーザーに割り当てておくと、Entra参加と同時にIntune登録が走ります。この事前構成が抜けていると、端末はEntra参加はできてもIntune管理下に入らず、アプリやポリシーが配布されません。
Windows AutopilotでEntra参加を設定する手順
ハードウェアハッシュによるデバイス登録（v1）
従来方式（v1）では、端末固有のハードウェアハッシュ（デバイス識別子）をAutopilotデプロイサービスへ登録します。新規購入端末はメーカー／リセラーがCSP経由で自動登録するのが一般的で、既存端末はGet-WindowsAutopilotInfoスクリプトでハッシュを収集してアップロードします。登録された端末は、Entra IDのテナントに紐づいたAutopilot対象として認識されます。
Autopilot導入プロファイルの作成と割り当て
Intune管理センターで「デバイス」→「登録」→「Windows Autopilotの登録プロファイル」から導入プロファイルを作成します。展開モードはユーザー駆動（利用者がサインインして構成）や自己展開（サインイン不要のキオスク・共有端末向け）などから選び、参加方法として「Microsoft Entra参加済み」を指定します。作成したプロファイルを対象端末のグループに割り当てると、次回OOBE時に設定が適用されます。
OOBEでのEntra参加とIntune自動登録の流れ
設定済みの端末は、初回起動のOOBE（Out-of-Box Experience）でAutopilotプロファイルをフェッチしEntra IDのサインイン画面を表示します。利用者がEntra IDの資格情報でサインインすると、端末がEntra参加し、事前構成したMDM自動登録によってIntuneへ登録され、登録状態ページ（ESP）でアプリとポリシーの適用進捗が表示されます。適用が完了すればデスクトップが利用可能になり、キッティング工程は不要です。
従来のAutopilotとAutopilot device preparation（v2）の違い
ここは競合記事や2024年以前の解説が押さえきれていない論点です。Microsoftは2024年に、Autopilotを再設計したWindows Autopilot device preparation（通称v2）を提供開始しました。従来方式（v1）と何が変わり、どう使い分けるかを整理します。
device preparation（v2）で変わった点
v2の最大の変更は、ハードウェアハッシュの事前登録が不要になったことです。v1が抱えていた「新規端末のハッシュ収集・アップロードが運用の手間」という課題を解消しました。代わりにEnrollment Time Grouping（登録時グループ化）を採用し、登録の瞬間に端末を事前定義した静的セキュリティグループへ自動追加します。動的デバイスグループの反映待ちが発生しないため、アプリ・スクリプト・ポリシーが即座に配布されます。プロファイルも単一に統合され、Win32アプリとLOB（MSI）アプリを同時に配布できる、アプリ・スクリプトごとに準リアルタイムでレポートを確認できる、といった改善が入っています。1つのポリシーで指定できるアプリ数も最大25まで拡張されました。
対応シナリオと参加タイプの制約
ただしv2には現時点の制約があります。参加タイプはEntra参加のみで、ハイブリッド参加はサポートしません。対応シナリオも、物理デバイスはユーザー駆動、共有はWindows 365 Frontlineの自動フローが中心で、v1にある事前プロビジョニング（旧White Glove）や自己展開は初期リリースの対象外です。オンプレADとの併用が必須の環境では、引き続きv1のハイブリッド参加を使うことになります。
v1とv2の使い分け（併存が前提）
v1からv2へ全面移行する必要はなく、両者は並行して利用できます。判断はシンプルで、クラウドネイティブ（Entra参加）で運用でき、ハッシュ登録の手間を減らしたいならv2、ハイブリッド参加や事前プロビジョニングが要るなら従来のv1、と切り分けます。既存のAutopilotプロファイルはそのまま残せるため、新規案件からv2を試し、要件に合わないケースだけv1を使う進め方が現実的です。
Entra参加が失敗するときの確認ポイント
Entra参加・Intune登録に失敗する主な原因
OOBEでEntra参加やIntune登録が止まる場合、原因はライセンスと事前構成に集中します。対象ユーザーにEntra ID P1／Intuneが割り当たっていない、MDM自動登録のユーザースコープが対象外になっている、というライセンス・スコープ不備が典型です。加えて、Autopilotプロファイルの割り当てが端末グループに届いていない、OOBE中にプロキシやファイアウォールでEntra／Intuneのエンドポイントへ到達できない、といったネットワーク要因も頻出します。
プロファイル適用と登録状態の確認手順
切り分けは、まずEntra管理センターとIntune管理センターで対象端末が「Autopilotデバイス」として登録され、プロファイルが割り当て済み（状態が「割り当て済み」）かを確認します。次に登録状態ページ（ESP）でどの段階（アプリ／ポリシー）で止まったかを特定し、OOBE中にShift+F10で開くコマンドプロンプトからdsregcmd /statusを実行して参加状態を確認します。v2ではアプリ・スクリプト単位の準リアルタイムレポートとログのエクスポートが使えるため、失敗箇所の特定はv1より容易です。
よくある質問
Azure ADとMicrosoft Entra IDは何が違いますか？
機能的な違いはなく、2023年にAzure Active Directory（Azure AD）がMicrosoft Entra IDへ改称されたものです。「Azure AD Join」は「Microsoft Entra参加」に呼び名が変わっただけで、操作や役割は同じです。古い手順書のAzure AD表記は、そのままEntra IDへ読み替えて問題ありません。
Entra参加とEntraハイブリッド参加はどちらを選ぶべきですか？
新規導入ならEntra参加が既定解です。MicrosoftはクラウドネイティブなEntra参加を推奨しており、新規デバイスのハイブリッド参加は推奨していません。オンプレADのGPOやドメイン認証が必須の資産が残っている場合に限り、ハイブリッド参加を選びます。
Windows AutopilotのEntra参加に必要なライセンスは？
Microsoft Entra ID P1（またはP2）とMicrosoft Intuneが必要です。どちらもMicrosoft 365 E3／E5やBusiness Premiumに同梱されるため、これらを契約していれば追加購入は不要です。
Autopilot device preparation（v2）へ移行すべきですか？
必須ではありません。v1とv2は併存でき、Entra参加でハードウェアハッシュ登録の手間を省きたい新規案件からv2を試すのが現実的です。ハイブリッド参加や事前プロビジョニングが要る環境は従来のv1を継続します。
オンプレミスADを残したままAutopilotは使えますか？
使えます。Entraハイブリッド参加を選べば、端末をオンプレADとEntra IDの両方へ参加させられます。ただしプロビジョニング中にドメインコントローラーへ到達できる必要があり、端末の直送・自宅セットアップには向きません。将来的なクラウド移行を見据えるなら、可能な範囲でEntra参加への切り替えを検討する価値があります。
