Mac管理のミッシングリンクを埋めた2つのアップデート
Windowsを中心に業務環境を構築してきた企業にとって、Macは長らく「管理はできるものの、Windowsと共通の仕組みには組み込みにくい端末」でした。IntuneによるMac管理は年々強化されてきましたが、企業IDとの連携では利用者による追加操作が残り、組織独自のセキュリティ基準を端末の準拠判定に反映する際には、別の仕組みによる補完が必要になる場合があったためです。
そのうち、ID連携と端末評価という2つの課題について、状況が変わり始めています。Microsoftは2026年7月、macOS向けのカスタムコンプライアンス設定を正式提供しました。これに先立つ同年5月には、対応するMacで、初期セットアップ中にプラットフォームSSOの登録を行える機能もリリースしています。
両機能を活用することで、Macの初期導入から企業IDとの連携、端末状態の評価、業務リソースへのアクセス制御までを、IntuneとMicrosoft Entra IDを中心とした一連の運用として設計しやすくなりました。MacとWindowsの管理機能やOSの管理モデルが同じになったわけではありませんが、Macだけを常に別の管理系統に置く必要性は以前より薄れています。
Macを「例外」にしていた2つの管理課題
Intuneは以前から、Apple Business Manager（ABM）とAutomated Device Enrollment（ADE）を組み合わせたMacの自動登録に対応していました。企業が購入したMacを従業員へ直接届け、電源を入れるとIntuneへ登録されるゼロタッチ導入が可能です。
登録後は、FileVaultによるディスク暗号化、ファイアウォールやパスワードの設定、業務アプリの配布、OSアップデートなどを遠隔管理できます。Microsoft Defender for Endpointと連携し、端末のリスクに応じてMicrosoft 365へのアクセスを制限することも可能でした。
それでも、Windows中心の企業がMacを本番導入する際には、大きく2つの構造的な課題が残されていました。
一つは、Macのローカルアカウントと、業務で利用するEntra IDとの間をスムーズにつなぐことです。
従来の導入フローでは、Intuneへの登録が終わってデスクトップが表示された後、利用者が手作業でプラットフォームSSOの登録を完了する必要がありました。利用者が登録作業を途中で止めたり、通知を見落としたりすれば、管理者側で未登録端末を確認し、利用者へ対応を依頼する必要があります。大規模にMacを展開するほど、こうした「最後のひと手間」が運用負荷になっていました。
もう一つは、Intune標準のコンプライアンスポリシーだけでは、組織独自の細かな条件を準拠判定に組み込みにくかったことです。
OSのバージョン、パスワード設定、FileVault、ファイアウォールといったIntuneであらかじめ用意された項目は判定できました。しかし、特定の業務アプリやセキュリティ製品が正しく稼働しているか、といった企業固有の条件については、Intuneネイティブのコンプライアンス判定だけでは扱いにくい部分がありました。
つまり、端末の設定配布はできても、組織のセキュリティ基準を満たした安全な端末であるかを、Windowsと同等に細かく判定し、その結果をアクセス制御へ反映するには制約がありました。
デスクトップに進む前に企業ID連携を完了
2026年5月に正式提供された新方式では、macOS 26以降のMacにおいて、ADEによる初期セットアップの途中でプラットフォームSSOの登録まで完了できるようになりました。デスクトップが表示された時点で、Entra IDで保護されたアプリや業務リソースへアクセスできる状態を整えられます。
認証方式として、パスワード、Secure Enclaveを利用するプラットフォーム資格情報（Platform Credential）、スマートカードを利用できます。パスワード方式では、Entra IDのパスワードとMacのローカルアカウントのパスワードを同期します。プラットフォーム資格情報ではSecure Enclaveにハードウェア保護された暗号鍵を生成し、Microsoft Entra IDへのSSOに利用します。
組織独自の基準をアクセス制御に反映
7月に正式提供されたカスタムコンプライアンス設定は、もう一つの管理上の空白だった、企業独自の端末状態評価を補う機能です。
標準のコンプライアンス設定ではカバーできない要件について、シェルスクリプトを使って端末の状態を取得し、その結果をJSONで定義したルールと照合して「準拠／非準拠」を判定できます。
具体的には、以下のような項目を組織独自の基準として確認できます。
- セキュリティツールやEDRエージェントの稼働状態、バージョン
- 必須アプリ（VPN、指定ブラウザなど）や構成プロファイルの導入・適用状況
- 設定ファイル（Plistなど）や環境変数の値、証明書の有効期限など、細かな設定項目の適合状況
- ローカル管理者権限の有無など、独自に確認したい端末状態
条件を満たさない端末は、コンプライアンス評価の結果として「非準拠（Not Compliant）」になります。これをEntra IDの条件付きアクセスと連携させることで、非準拠端末からMicrosoft 365などの業務リソースへアクセスできないよう制御できます。
従来もスクリプトを使ってMacの情報を取得すること自体は可能でした。しかし今回のアップデートにより、その結果を正式なコンプライアンス判定へ組み込み、条件付きアクセスの判断材料として利用できるようになりました。カスタム項目も、Intune標準のコンプライアンス項目と同様に条件付きアクセスの判断材料として利用できます。
これにより、「端末登録」「ID連携」「状態評価」「アクセス制御」という一連の流れを、IntuneとEntra IDを中心としたゼロトラスト運用としてつなげやすくなったことが、一連の機能強化の核心といえます。
Mac専用MDMが必要になる境界が後退
これらの機能により、IntuneだけでMacを実用的に管理できる範囲は大きく広がりました。特に、社内端末の大半をWindowsが占め、デザイン部門やエンジニア、経営層など一部でMacが使われている環境では、管理画面の二重投資や運用ルールの分断を解消する効果が期待できます。
もちろん、IntuneがJamf、Iru、MosyleといったApple向けMDMを全面的に置き換えるわけではありません。
たとえば、Endpoint Privilege Management（EPM）やRemediationsのような高度な権限管理や自律復旧機能は現在もWindows向けの機能です。また、Mac向けにEnterprise App Catalogと同等のカタログ型パッチ管理環境が用意されているわけではありません。Macを利用するうえで、豊富なアプリカタログ、複雑な依存関係を考慮したパッチ管理、柔軟なセルフサービス環境などを重視する場合は、Apple管理を専門とする製品に引き続き利点があります。
Mac導入を阻む理由が変わる
現在のIntuneは、MacをWindowsとまったく同じ方法で管理できる製品ではありません。しかし、これまで情シス部門がMac導入をためらう要因となっていた「ID連携の手間」「独自セキュリティ基準を反映する難しさ」「Mac専用の別管理製品の必要性」という3つのハードルは、今回の2つのアップデートによって確実に下がっています。
Microsoftを中心とした企業IT基盤にMacを組み込み、企業IDと連携させたうえで自社独自の基準に基づいて端末状態を判定し、その結果に応じてアクセスを制御するという、ゼロトラストの基盤は着実に整ってきました。
Macを「管理上の例外」として扱うのではなく、Microsoftのセキュリティ基盤を構成する正式なエンドポイントとして位置づけられる段階に入った今、 Mac導入をめぐる論点は変わります。従来の「企業として安全に管理できるか」という技術的制約の議論が、今後は業務アプリとの互換性、導入・運用コスト、そして従業員の生産性をどこまで高められるかといった、より「実務的な価値の検証」へと移っていくはずです。
