こんにちは！竹内です！

企業や組織でMicrosoft Intuneを導入し、デバイス管理を強化する中で、意図せず「Entra登録（Microsoft Entra registered）」されたデバイスが増えてしまっているケースがあります。 

Entra registeredデバイスは、Intuneによる構成プロファイルやアプリの自動配布、条件付きアクセスの制御が不完全になることがあり、「管理されているようで管理されていない」という状況になってしまいます。 
また、デバイスを紛失した際など、緊急時に管理側で対応することも難しいです。 

本記事では、こうしたリスクを回避するために、既存のEntra registeredデバイスを「Entra参加（Microsoft Entra joined）」へ移行する方法をご紹介します。 

目次

• １．参加の種類
• ２． なぜEntra登録（Entra registered）の状態になる？
• 　-Entra 登録（Entra registered）になる原因
• 　-Entra 登録（Entra registered）の再現
• ３．Entra 登録（Entra registered）の結果
• 　-デバイスの状態
• 　-管理センター上の表示
• ４． Entra 登録（Entra registered）デバイスをEntra joinedに変更する手順
• ５． Entra 参加（joined）の結果
• 　-デバイスの状態
• 　-管理センター上の表示
• ６．Intuneへの自動登録が構成されていない場合
• ７．まとめ
• ８．Entra登録（registered）では、結局“何ができて・何ができない”のか？(※2026/8/13追記)

１．参加の種類

	Entra登録(Entra regisutered)	Entra参加(Entra joined)	ハイブリッドEntra参加(Hybrid Microsoft Entra Joined)
登録方法	ユーザーが手動で登録	OOBEやAutopilotでEntra IDに参加	Entra ConnectでADと同期し自動登録
対象ユーザー	個人所有（BYOD）	組織所有	組織所有＋オンプレAD環境
Intuneによる管理	△ 一部可能（MDM登録が必要）  構成プロファイルやアプリ配布に制限あり	◎ フル管理可能  自動登録でポリシー適用もスムーズ	◎ フル管理可能  GPOとの併用も可能
条件付きアクセス	△ 制限あり  「準拠デバイス」として判定されにくい	◎ フル適用可能  アクセス制御が強化される	◎ 同上
シングルサインオン（SSO）	△ 不安定な場合あり  ローカルアカウントとの併用で問題が出やすい	◎ 完全なSSO  Microsoft 365などにシームレスアクセス	◎ 同上（オンプレADとの連携も可能）
セキュリティリスク	高  管理が不完全で、情報漏洩や不正アクセスのリスクあり	低  組織のポリシーが強制される	低  ADとEntraの両方で制御可能
主な用途	個人PCの業務利用（BYOD）	クラウドネイティブな企業環境	ハイブリッド環境（AD＋Entra）

２． なぜEntra登録（Entra registered）の状態になる？

-Entra 登録（Entra registered）になる原因

ユーザーが気づかぬうちにMicrosoft Entraに「登録済み（Entra Registered）」状態になる主な原因 として「ローカルPCでMicrosoft 365 へのサインイン」を行うことが多い原因の一つです。 
具体的には、以下のような流れで Microsoft Entra IDに「registered」状態で登録されます。 
<流れ>
————————————————————————————————————————————  
家電量販店などで購入したPC（ローカルアカウントでセットアップ） 
　↓ 
Microsoft 365アプリ（Outlook / Teams / OneDrive / Edge/Excelなど）に会社アカウントでサインイン 
　↓ 
「組織がデバイスを管理できるようにする」というメッセージが表示 
　↓ 
「はい」を選択、または自動的に登録される設定が有効 
　↓ 
Microsoft Entra IDに「registered」状態で登録される 
 ———————————————————————————————————————————— 

-Entra 登録（Entra registered）の再現

以下は、上記でご紹介したEntra registered状態を再現する手順です。 
※この手順は、Intuneへの自動登録が構成されている環境を前提としています。構成されていない場合は、第6章をご参照ください。 

PCのセットアップ  
まずは、ローカルアカウントでPCをセットアップします。  
※事前にインターネットを切断してください。  

1．「日本」を選択し、「はい」をクリックします。

2．「はい」をクリックします。

3．「スキップ」をクリックします。

4．「ネットワークに接続しましょう」と表示されるので、キーボードの「Shift」と「F10」を同時に押し、コマンドプロンプトを開きます。

5．コマンドプロンプトに、以下のコマンドを入力します。 

cd oobe

6．次に、以下のコマンドを入力します。

BypassNRO.cmd

7．再起動が始まります。

8．再度、手順１～３を繰り返します。

9．「ネットワークに接続しましょう」と表示されるので、「インターネットに接続していません」をクリックします。

10．デバイス名を入力し、「次へ」をクリックします。

11．パスワードを入力し、「次へ」をクリックします。

12．再度パスワードを入力し、「次へ」をクリックします。

13．セキュリティの質問を３つ設定し、「次へ」をクリックします。

14．「今はスキップ」をクリックします。 
※後からでも指紋を設定することができます。

15．「次へ」をクリックします。

16．「次へ」をクリックします。

17．「同意」をクリックします。

18．セットアップの準備が始まります。

19．セットアップが完了し、デスクトップが立ち上がりました。「設定」をクリックします。

20．正常にローカルアカウントでセットアップされています。

21．また、あらかじめ、PC上に以下を用意しました。
Entra登録、Entra参加それぞれでデスクトップに変化があるかも確認していきます。 
・Chrome 
・ショートカット 
・フォルダ 

Entra登録 
次に、”ローカルアカウント”で使用しているPCを”Entra登録”させます。 
※インターネットへの接続が必要です。 
今回は、ユーザー目線でEntra登録してしまう一つの流れを再現していきます。 
想定：「家で会社の情報にアクセスしたい」「会社用としてPCを購入したが、セットアップ時に特に何もしなかった人」 

１．Microsoft Edgeを開きます。

２．Microsoft 365にアクセスします。

３．「サインイン」をクリックします。

４．会社で使用しているアカウントIDを入力し、「次へ」をクリックします。

５．パスワードを入力し、「サインイン」をクリックします。

６．Microsoft 365にサインインできました。
デスクトップ版のOfficeアプリを使用するには、アプリのインストールが必要であるため、「インストールなど」のプルダウンを開き、「Microsoft 365 Apps」をクリックします。 

７．「Officeのインストール」をクリックします。

８．ダウンロードされたexe.ファイルを開きます。

９．ダウンロードが開始されます。

１０．ダウンロードが完了しました。「閉じる」をクリックします。

１１．Officeアプリを開きます。※今回はExcelを開いてみます。

１２．ポップアップが表示されるので「アカウントにサインインまたはアカウントを作成」をクリックします。

１３．アカウントIDを入力し、「次へ」をクリックします。

１４．パスワードを入力し、「サインイン」をクリックします。

１５．ポップアップが表示され、「組織がデバイスを管理できるようにする」というチェックボックスが出てきます。
このチェックボックスにチェックを入れ、進めることでEntra登録（registered）の状態となります。 
さらに、デフォルトでチェックが入っているため、ユーザーは気づかぬうちにEntra登録状態となる可能性が高いです。 
個人用のPC、さらには会社用として購入したPCでも、上記流れでOfficeアプリにアクセスしようとすることで Entra登録（registered）デバイスが誕生します。 

１６．「はい、すべてのアプリ」をクリックし先に進みます。

１７．「SMSを送信」をクリックします。
弊社は条件付きアクセスによりMFAを強制しているため、認証が求められます。 
※条件付きアクセスによるMFAの設定方法について以下ブログで詳しく解説しております。管理者を守る！Intuneの条件付きアクセスとMFAの導入方法 | yjk365 

１８．届いたコードを入力し、「検証」をクリックします。

１９．「OK」をクリックします。

２０． PINを設定し、「OK」をクリックします。

２１．アカウントが正常に追加され、会社の情報へアクセスができるようになりました。 
「次へ」をクリックします。

２２．「同意する」をクリックします。

以上がユーザーが自身のデバイスをEntra登録させてしまっているケースの再現となります。

３．Entra 登録（Entra registered）の結果

-デバイスの状態

Entra登録したことでデバイスの状態がどのように変わるのか確認していきます。 

【デスクトップ】
Entra登録をしても特に変わりはありませんでした。 
後述するEntra参加を行う場合、デスクトップがクリーンな状態になる挙動が確認できました。 

-管理センター上の表示

【Microsoft Entra 管理センター】
以下の状態が確認できます。 
・参加の種類： Entra registered（Entra登録の状態） 
・MDM：Intune（Inutneに登録されている状態。冒頭の表で紹介したような制御が可能） 

【Microsoft Intune 管理センター】
以下の状態が確認できます。 
・所有権：個人（Entra登録デバイスがIntuneへ登録されると所有者が個人となります） 

４． Entra 登録（Entra registered）デバイスをEntra joinedに変更する手順

はじめに、先ほどEntra登録を行ったことでテナントへ接続されている状態となっているため、一度接続を解除します。 

1．設定を開き、「アカウント」をクリックします。

２．「職場または学校へのアクセス」をクリックします。

３．職場アカウントのプルダウンを開き、「切断」をクリックします。

４．ポップアップが表示されるため「はい」をクリックします。

５．職場アカウントの表示がなくなり、ローカル状態に戻りました。

６．「接続」をクリックします。

７．「このデバイスを Microsoft Entra ID に参加させる」をクリックします。  
※インターネットに繋がっていないと表示されません。

８．アカウントIDを入力し、「次へ」をクリックします。

9．パスワードを入力し、「サインイン」をクリックします。
※手順3,4で解除を行わないと、Microsoft Inutneへ二重登録となるため、この作業は以下【エラー画面】が表示され進めません。 

【エラー画面】

１１．「完了」をクリックします。

１２． 「h.kondo@~ によって接続済み」と表示されました。

1３．この状態では、まだデスクトップに変化はありません。

１４．「Windowsマーク」をクリックし、「アカウント」をクリックします。

１５．3点リーダーをクリックし、「Swich user」をクリックします。

１６．「他のユーザー」をクリックします。

１７．アカウントIDとパスワードを入力し、サインインします。

１８．サインインの準備が始まります。

１９．「OK」をクリックします。  
※組織のセキュリティ設定により、この後の画面で認証を求められるケースがあります。その場合、画面の指示に従い認証を行ってください。

２０．PINを設定し、「OK」をクリックします。

２１．「OK」をクリックします。

２２．以上でEntra参加設定が完了しました。 
続いてEntra参加しているデバイスの状態について確認していきます。 

５． Entra 参加（joined）の結果

-デバイスの状態

Entra参加したことでデバイスの状態がどのように変わるのか確認していきます。

【デスクトップ】 
デスクトップを確認すると、ローカルアカウントからEntra登録を行った際は変わらなかった、フォルダやショートカットが無くなり、デスクトップが変わったことがわかります。 
※ChromeはIntuneで配布しているため、ローカルアカウントから「引き継がれている」ではなく「Intuneにより配布されている」状態です。 

-管理センター上の表示

【Microsoft Entra 管理センター】
以下の状態が確認できます。 
・参加の種類： Entra joined（Entra参加の状態） 
・MDM：Intune（Entra参加の状態でInutneに登録されているため、冒頭の表で紹介したような制御が可能となります。） 

【Microsoft Intune 管理センター】
以下の状態が確認できます。 
・所有権：企業 
→３．Entra登録の結果【Microsoft Intune 管理センター】の表示と異なり、所有権が「企業」となっています。 
これにより、冒頭でご紹介したEntra参加デバイスに対し可能な制限を行うことができるようになります。 

６．Intuneへの自動登録が構成されていない場合

今回の検証は冒頭で紹介したように、テナントへ参加したデバイスが自動的にIntuneへも登録される構成のうえ行いました。 
Intuneへの自動登録が構成されていない場合、手動で登録を行う必要があります。 
そこで、上記を構成していないテナントのパターンとして、 
Intuneに登録されていないEntra登録デバイスを、Intuneへ登録する方法 
について具体的にどのような作業が必要となるかご紹介します。 

１．以下を参考にEntra登録状態のデバイスでアカウント画面へアクセスします。 
-Entra 登録（Entra registered）の再現   

２．「デバイス管理のみに登録する」をクリックします。(5-1) 

３．アカウントIDを入力し、「次へ」をクリックします。

４．パスワードを入力し、「サインイン」をクリックします。

５．「SMSを送信」をクリックします。
弊社は条件付きアクセスによりMFAを強制しているため、認証が求められます。 
※条件付きアクセスによるMFAの設定方法について以下ブログで詳しく解説しております。管理者を守る！Intuneの条件付きアクセスとMFAの導入方法 | yjk365 

６．届いたコードを入力し、「検証」をクリックします。

７．「クラウド事業部　MDMに接続済み」という表示がされています。

８．Microsoft Intune管理センターからも登録されていることを確認できました。

７．まとめ

今回は Entra登録（Entra registered）から Entra参加（Entra joined）に移行する方法をご紹介しました。 
Entra登録（registered）デバイスは管理が不完全になりやすく、セキュリティやポリシー適用に課題があります。 
Entra参加（Entra joined）に移行することで、Intuneによる完全な管理とセキュリティ強化が可能になります。 
全社的なデバイス管理を進めていく中で、デバイスがバラバラの登録状況になってしまっている場合、ぜひ本記事をご参考いただければと思います。 

８．「Entra登録（registered）では、結局“何ができて・何ができない”のか？」

※2026/8/13追記

■「登録されているのに、思ったように管理できない」のはなぜ？

 「Intune には入っているはずなのに、Windows Update の管理ができない」「ASR（攻撃面の削減）ルールを配っても効いていない」——Entra registered のデバイスを運用していると、こうした“できるはず”と“実際にできること”のズレに戸惑うことがあります。

これは設定ミスではなく、Entra registered という状態そのものに管理機能の上限があるためです。今回、実際にこの点を Microsoft サポートへ確認したところ、明確な回答が得られましたので、公式回答をベースに整理してご紹介します。

■ Entra registered で「利用できる機能／制限される機能」

Microsoft サポートの回答によると、Entra registered（Intune 登録あり）の構成では、利用できる機能に以下のような差があります。

区分	機能	Entra registered での可否
利用できる	Microsoft 365 Apps の展開	○
利用できる	コンプライアンス ポリシー	○
制限あり	デバイス構成プロファイル	×
制限あり	Attack Surface Reduction（ASR）ルール	×
制限あり	Web コンテンツ フィルタリング	×
制限あり	Windows Update for Business（WUfB）	×
制限あり	LocalUsersAndGroup（ローカル管理者権限の一元管理）	非サポート

※本内容は、Microsoft サポートへの問い合わせ（2026年8月時点の回答）に基づき整理したものです。仕様は変更される可能性があるため、最新の情報は公式ドキュメントをあわせてご確認ください。

つまり、「アプリを配る」「準拠状態をチェックする」ことはできても、「OS 更新を統制する」「攻撃面を削減する」「Web アクセスを制御する」といった“端末を守り込む”設定は Entra registered のままでは適用できない、ということです。とくに Windows Update（WUfB）の管理ができない点は、更新プログラムの適用状況を組織側でコントロールできないため、セキュリティ運用上の大きな穴になり得ます。

■ どちらを選ぶべき？ ― 目的で分かれる使い分け

▶ Entra Joined を推奨するケース（会社所有端末を“包括的に”管理したい）

• ローカル管理者権限を一元管理したい
• ランサムウェア対策として ASR ルールを展開したい
• Web フィルタリングで特定サイトへのアクセスを制御したい
• 業務アプリをサイレント（自動）配布したい
• Windows 更新プログラムのライフサイクルを完全に管理したい

→ これらを実現したい場合は、Entra Joined への移行が推奨されます。

▶ Entra Registered のまま運用してよいケース（BYOD でプライバシーに配慮）

• 端末が個人所有（BYOD）である
• Exchange Online・SharePoint など社内リソースへアクセスする際に、パスワード設定やウイルス対策の導入といった“最低限のセキュリティ要件”だけ満たせればよい
• 個人アプリや OS 設定にまでは組織の管理を及ぼしたくない

→ この場合は、無理に参加させず Entra Registered のまま運用するのが適切です。

■ まとめ

ASR・Web フィルタリングなど「守りの制御」まで行いたいなら Entra Joined 一択です。一方、あくまで個人端末から社内リソースへ安全にアクセスさせたいだけであれば、Entra Registered が適しています。「管理できているつもり」で Entra registered を放置せず、端末の所有形態と管理したい範囲をもとに構成を選びましょう。

参考情報： Entra Registered vs Entra Joined | Microsoft Community Hub

その他お困りごとも動画で解説！