はじめに

Windows Autopilot には、いくつかのシナリオがあります。
この記事では、そのなかから Active Directory に参加する場合 のシナリオについて 公開情報のチュートリアルに沿って画面キャプチャ付きで、手順を紹介しています。

Intune での Windows Autopilot ユーザー駆動型Microsoft Entraハイブリッド参加のステップ バイ ステップ チュートリアル
https://learn.microsoft.com/ja-jp/autopilot/tutorial/user-driven/hybrid-azure-ad-join-workflow?wt.mc_id=MVP_407731

本手順の位置づけ

私が Microsoft Entra 関係で記載している記事で共通で使っている表です。
私なりに、機能を分類して コンポーネント に分割しています。
このうち、本手順は、以下のエリアが対象となります。

1. 前提事項

1-1. 前提となる環境

以下の記事に Microsoft Entra Hybrid Join を構成するためのノウハウを説明しています。
この構成を実施済みであれば、おおむね 本件の前提事項も満たされます。

Microsoft Entra ハイブリッド参加（旧HAADJ）を構成してみた
https://qiita.com/carol0226/items/7c16c4813e2b54a76789

Windows デバイス を Intune に自動登録する
https://qiita.com/carol0226/items/e75b04f2a6a99fa6bcf7

1-2. システム要件

以下の公開情報に、詳細な システム要件 が記載されています。

公開情報：要件（全般）
https://learn.microsoft.com/ja-jp/autopilot/windows-autopilot-hybrid?wt.mc_id=MVP_407731&tabs=general-requirements#requirements

公開情報：要件（デバイスの登録）
https://learn.microsoft.com/ja-jp/autopilot/windows-autopilot-hybrid?wt.mc_id=MVP_407731&tabs=device-enrollemnt-requirements#requirements

公開情報：要件（Intune コネクタ）
https://learn.microsoft.com/ja-jp/autopilot/windows-autopilot-hybrid?wt.mc_id=MVP_407731&tabs=intune-connector-requirements#requirements

1-3. サンプルアーキテクチャ

ネットワーク構成図

VPN の構成は、以下の記事の方法を使っています。

Azure Marketplace の OpenVPN を使って 超簡単・安価にリモートアクセスを可能にする
https://qiita.com/carol0226/items/7a9160b298b736aa187e

私の検証環境 （上記構成図の 「オンプレ環境」部分）

ルーター OpenVPN Client
物理環境側のルーター は、以下の GL.iNet 社の GL-AXT1800 を使っています。
このルーターは、OpenVPN のプロファイルを Web の設定画面で読み込ませるだけで繋がるし、物理スイッチを使って、VPN の接続を ON/OFF できるので、このような環境を作る際に非常に重宝しています。
https://www.amazon.co.jp/GL-iNet-GL-AXT1800-WiFiルーターWiFi6-1201Mbps-wiregurad対応/dp/B0B4S2V99D

2.構築

以下の流れで作業を行います。7つの章に分かれています。
2-1. Active Directory 用 Intune コネクタをインストールする
2-2. OU 上に コンピューターオブジェクトを作成できるようにする (省略可能)
2-3. Windows Autopilot デバイスを登録する
2-4. デバイス グループを作成する
2-5. Windows Autopilot 展開プロファイルを作成して割り当てる
2-6. (省略可能) 登録状態ページを有効にする
2-7. ドメイン参加プロファイルを作成して割り当てる

2-1. Active Directory 用 Intune コネクタをインストールする

この章では、Hybrid Join 構成を成立させるために キッティング時に コンピューターオブジェクト を ドメインコントローラー上に作成するためのモジュールである Intune コネクタ をセットアップしていきます。
2-1-1. Active Directory 用 Intune コネクタ を ダウンロードする
2-1-2. Active Directory 用 Intune コネクタ を サーバーにインストールする
2-1-3. Active Directory 用 Intune コネクタ に サインインする
2-1-4. Active Directory 用 Intune コネクタ が アクティブであることを確認する

公開情報：Active Directory 用 Intune コネクタをインストールする
https://learn.microsoft.com/ja-jp/autopilot/windows-autopilot-hybrid?wt.mc_id=MVP_407731&tabs=general-requirements#install-the-intune-connector-for-active-directory

2-1-1. Active Directory 用 Intune コネクタ を ダウンロードする

1．任意のコンピューター上で、 Microsoft Intune 管理センターにサインインします。
※Intune コネクタ を導入予定のサーバー上でも構いません。
https://intune.microsoft.com

2．ホーム 画面で、左側のウィンドウで デバイス を選択します。

3．デバイス 概要 画面の プラットフォーム別 で Windows を選択します。

4．左ペインの デバイス オンボーディング で、登録 を選択 します。

5．Windows | 登録 画面の Windows Autopilot で、Active Directory の Intune コネクタ を選択します。

6．Active Directory の Intune コネクタ 画面で、追加 を選択します。

7．開いた コネクタの追加 ウィンドウの Active Directory の Intune コネクタを構成する で、オンプレミスの Active Directory の Intune コネクタをダウンロード を選択します。

ODJConnectorBootstrapper.exe というファイルがダウンロードされます。

公開情報：Active Directory 用 Intune コネクタをダウンロードする
https://learn.microsoft.com/ja-jp/autopilot/windows-autopilot-hybrid?wt.mc_id=MVP_407731&tabs=general-requirements#download-the-intune-connector-for-active-directory

2-1-2. Active Directory 用 Intune コネクタ を サーバーにインストールする

Intune Connector を導入するサーバーはどれ？

私の検証環境では、Active Directory (AD DS) , Microsoft Entra Connect と同居させても動作していました。PoC であれば、これで十分です。

本番環境の場合を想定すると、AD DS と Entra Connect は分離している場合が多いですし、Intune Connector は インターネット接続を必要とするので、Entra Connect と同居が良いのではないかと思います。
Entra Connect を冗長化していた場合、Intune Connector も同じサーバーへ複数導入しての冗長化で良いと思います。

インストール手順

1．ローカル管理者権限を持つアカウントを使用して、Active Directory 用 Intune コネクタ を インストールする予定のサーバーにサインインします。
※前章でダウンロードしたモジュール (ODJConnectorBootstrapper.exe) を 上記のサーバーにコピーしてください。

2．ダウンロードした ODJConnectorBootstrapper.exe ファイルを実行します。Intune Connector for Active Directory セットアップが起動されるため、規約に同意し、インストール を実行します。

3．進捗状況を見守ります。

4．正常に完了したら、今すぐ構成する を選択します。

5．設定パネルで 以下のように Intune コネクタ が導入されていることが確認できます。

公開情報：サーバーに Intune Connector for Active Directory をインストールする
https://learn.microsoft.com/ja-jp/autopilot/windows-autopilot-hybrid?wt.mc_id=MVP_407731&tabs=general-requirements#install-the-intune-connector-for-active-directory-on-the-server

2-1-3. Active Directory 用 Intune コネクタ に サインインする

1．スタートボタンから Intune connector for Active Directory を探して、起動します。

2．Active Directory の Intune コネクタ ウィンドウで サインイン を選択します。

3．サインイン タブで、Intune 管理者ロール を持つ Microsoft Entra ID 資格情報を使用してサインインします。 ユーザー アカウントに Intune ライセンス が割り当てられている必要があります。 サインイン プロセスが完了するまでに数分かかる場合があります。

※この場面で FIDO2 を使った パスワードレス認証もサポートされていました。

4．サインイン プロセスが完了したら、Active Directory の Intune コネクタが正常に登録されました と 表示されます。
OK を選択 してウィンドウを閉じます。

5．管理されたサービス アカウントが正常に設定されました と表示されます。
冒頭のダブルコーテーションで括られた名前は、##### が 5 文字のランダム文字である msaODJ##### 形式でネーミングされており、MSA アカウントと呼ばれます。

6．登録 タブで、 Active Directory の Intune コネクタ が登録されたことを確認します。サインイン ボタンがグレーアウトされ、管理されたサービスアカウントを構成する が有効になっていれば OK です。

7．Active Directory の Intune コネクタ ウィンドウを閉じます。

公開情報：Active Directory 用 Intune コネクタにサインインする
https://learn.microsoft.com/ja-jp/autopilot/windows-autopilot-hybrid?wt.mc_id=MVP_407731&tabs=general-requirements#sign-in-to-the-intune-connector-for-active-directory

2-1-4. Active Directory 用 Intune コネクタ が アクティブであることを確認する

1．Intune 管理センター の画面に戻ります。
以下の表示が残っていれば ✖ を押して閉じます。

2．Active Directory の Intune コネクタ ページで、最新の情報に更新 を押します。

• コネクタ名 にサーバーが表示され 状態 に アクティブ と表示されていることを確認します
• バージョンが 6.2501.2000.5 以上であることを確認します。
  

※サーバーが表示されない場合は しばらく待って 最新の情報に更新 を押してみてください。

公開情報：Intune Connector for Active Directory がアクティブであることを確認する
https://learn.microsoft.com/ja-jp/autopilot/windows-autopilot-hybrid?wt.mc_id=MVP_407731&tabs=general-requirements#verify-the-intune-connector-for-active-directory-is-active

2-2. OU 上に コンピューターオブジェクトを作成できるようにする (省略可能)

既定では、MSA は Computers コンテナーにコンピューター オブジェクトを作成することしかできません。

MSA には、組織単位 (OU) でコンピューター オブジェクトを作成するためのアクセス権が無いため、MSA が OU でオブジェクトを作成できるようにするには、追加の構成が必要です。

2-2-1. OU でのオブジェクトの作成を許可するように MSA を構成する

作業概要
Intune Connector for Active Directory がインストールされたディレクトリ (通常はC:\Program Files\Microsoft Intune\ODJConnector) の配下に、ODJConnectorEnrollmentWizard フォルダがあります。その配下にある "ODJConnectorEnrollmentWizard.exe.config" というコンフィグファイル を編集し、OU を追加する必要があります。

構成手順
1．Intune Connector for Active Directory がインストールされているサーバーで、"ODJConnectorEnrollmentWizard ディレクトリ" に移動します。

2．"ODJConnectorEnrollmentWizard ディレクトリ" で、テキスト エディターで既存の ODJConnectorEnrollmentWizard.exe.config ファイル を編集で開きます。

3．ODJConnectorEnrollmentWizard.exe.config ファイルの add key 要素で、value= の横に、OU を追加する必要があります。
修正すべき箇所は、下図の 赤枠の vaule の "" で括られた中です。

たとえば、以下のように avd.server-on.net というドメイン配下に Autopilot という OU を用意していた場合は、OU=Autopilot,DC=avd,DC=server-on,DC=net と記載します。複数の OU がある場合は カンマ区切りで設定できます。

4．必要なすべての OU が追加されたら、ODJConnectorEnrollmentWizard.exe.config ファイルを保存します。

5．スタート ボタンから Intune Connector for Active Directory を探して開きます。

6．Active Directory の Intune コネクタ ウィンドウの 登録 タブで マネージド サービス アカウントの構成 を選択します。

7．管理されたサービス アカウントが正常に設定されました というウィンドウが表示されます。OK を選択 してウィンドウを閉じます。

※このタイミングで 編集したコンフィグファイルが読み込まれているみたいです。

8．用意した OU を右クリックして、プロパティを開きます。セキュリティ タブ を見ると、MSA アカウント が追加されていることが確認できれば OK です。特殊なアクセス許可 に チェック が入っています。

公開情報：OU でのオブジェクトの作成を許可するように MSA を構成する (省略可能)
https://learn.microsoft.com/ja-jp/autopilot/windows-autopilot-hybrid?wt.mc_id=MVP_407731&tabs=general-requirements#configure-the-msa-to-allow-creating-objects-in-ous-optional

2-2-2. 組織単位でコンピューター アカウントの上限を増やす

1．用意した OU を右クリックして、プロパティを開きます。

2．セキュリティ タブ を表示して 詳細設定 を開きます。

3．以下の通り MSA アカウント が登録されており、アクセス権 として コンピューターオブジェクトの作成 が構成されていれば OK です。この章は SKIP してください。

上記の設定が構成されていなかった場合は、公開情報の手順を参考に MSA アカウント のアクセス権（コンピューターオブジェクトの作成）を追加してください。結果的に、上記のキャプチャのようになれば OK です。

（公開情報の手順）
1．上のキャプチャ セキュリティの詳細設定画面 で、左下の 追加 を押します。

2．プリンシパルの選択 を押します。

3．オブジェクトの種類 をクリックします。

4．サービスアカウント にチェックを入れます。

5．オブジェクト名 の欄に MSA と入力して 名前の確認 を押します。以下の通り、前章で作成された MSA アカウント名が表示されれば OK です。

6．アクセス許可エントリ ウィンドウで 適用先: ドロップダウン メニューを選択し このオブジェクトのみ を選択します。

7．アクセス許可 で、すべての項目の選択を解除(★)し、コンピューター オブジェクトの作成 チェックボックスのみを選択します。★右下の すべてクリア　というボタンがあるので、活用できます。

8．設定が終わったら OK を選択 して アクセス許可エントリ ウィンドウを閉じます。

9．セキュリティの詳細設定 ウィンドウで、以下の行が追加されていれば OK です。適用 または OK を 選択して変更を適用します。

公開情報：組織単位でコンピューター アカウントの上限を増やす
https://learn.microsoft.com/ja-jp/autopilot/windows-autopilot-hybrid?wt.mc_id=MVP_407731&tabs=general-requirements#increase-the-computer-account-limit-in-the-organizational-unit

2-3. Windows Autopilot デバイスを登録する

本運用時は、ハードウェアメーカーから Autopilot 用の ハードウェアハッシュの情報を提供してもらい、Intune 管理センターにアップロードします。そうすることで、メーカーから出荷された PC を Autopilot の対象にすることができます。

例えば、HP 社 のパソコンの場合ですが、以下のサイトの後半の方に、デバイス ID 発行についての説明が記載されています。
このように、利用する PC メーカーから情報を入手して対応することができます。

HP 社の Autopilot に関するページ
https://jp.ext.hp.com/business-solution/autopilot/

Surafce の場合は、以下の公開情報に説明されています。

公開情報：Windows Autopilot と Surface デバイス
https://learn.microsoft.com/ja-jp/surface/windows-autopilot-and-surface-devices?wt.mc_id=MVP_407731

しかし、PoC で Autopilot を検証する際に 新品の PC を使う訳にはいかないため、既存の PC や 仮想マシン を使うことになります。

既存 PC を使って Autopilot の検証をする際に、ハードウェアハッシュ を取り出す方法があります。取得の方法は、以下の公開情報に記載されている通り、いくつかあります。

公開情報：ハードウェア ハッシュを収集する
https://learn.microsoft.com/ja-jp/autopilot/add-devices?wt.mc_id=MVP_407731#collect-the-hardware-hash

本章では、上記の公開情報のうち、2 番目の PowerShell で シリアルを取得する方法を紹介していきます。

公開情報：PowerShell
https://learn.microsoft.com/ja-jp/autopilot/add-devices?wt.mc_id=MVP_407731#powershell

既存 PC の ハードウェアハッシュを取得する手順

1．目的の PC にサインインして、PowerShell（管理者）を開いて、以下のスクリプトを実行します。

[Net.ServicePointManager]::SecurityProtocol = [Net.SecurityProtocolType]::Tls12
New-Item -Type Directory -Path "C:\HWID"
Set-Location -Path "C:\HWID"
$env:Path += ";C:\Program Files\WindowsPowerShell\Scripts"
Set-ExecutionPolicy -Scope Process -ExecutionPolicy RemoteSigned
Install-Script -Name Get-WindowsAutopilotInfo
Get-WindowsAutopilotInfo -OutputFile AutopilotHWID.csv

（実行結果）

上記の赤下線部に、デバイスのシリアルナンバーが表示されます。

上記のフォルダに AutopilotHWID.csv ファイルが出力されています。

2．続けて、Intune 管理ポータルへ AutopilotHWID.csv ファイル をアップロードします。
こうすることで、このハードウェアが Autopilot で展開できるようになります。

3．インポートを押します。

4．先ほどエクスポートされた AutopilotHWID.csv ファイル を指定して「インポート」を押します。

6．以下のメッセージが表示されて、インポートが進行します。

7．インポートが終わると、以下の通知が表示されます。

8．「最新の情報に更新」を押すと、一覧に インポートされたデバイスが表示されます。

9．シリアル番号の箇所をクリックして、デバイスの詳細を表示できます。

公開情報：Windows Autopilot デバイスを登録する
https://learn.microsoft.com/ja-jp/autopilot/windows-autopilot-hybrid?wt.mc_id=MVP_407731&tabs=general-requirements#register-windows-autopilot-devices

2-4. デバイス グループを作成する

1．Microsoft Intune 管理センターで、[グループ>新しいグループ] を選択します。

2．グループ ウィンドウで、次のオプションを選択します。
グループの種類 で セキュリティ を選択します。
グループ名 と グループの説明 を入力します。
メンバーシップの種類として 動的デバイス が選択します。
動的デバイス メンバー で 動的クエリの追加 を選択します。

3．ルール構文 ボックスで 編集 を選択し、次のいずれかのコード行を入力します。

4．規則の構文 欄 に、(device.devicePhysicalIDs -any _ -startsWith "[ZTDId]") と入力して OK を押します。

5．以下のように表示されたら 保存 を押します。

6．グループを指定して、以下の画面の戻ってきたら 作成 を押します。

7．以下の通知が表示されます。

8．グループの一覧に 以下のように表示されます。

9．もう一度、グループ内のメンバーを表示します。
動的メンバーシップによって、前章で作成した Autopilot デバイスが 一覧に表示されていれば OK です。

公開情報：デバイス グループを作成する
https://learn.microsoft.com/ja-jp/autopilot/windows-autopilot-hybrid?wt.mc_id=MVP_407731&tabs=general-requirements#create-a-device-group

2-5. Windows Autopilot 展開プロファイルを作成して割り当てる

Windows Autopilot 展開プロファイルは、Windows Autopilot デバイスを構成するために使用されます。

1．Microsoft Intune 管理センターにサインインします。
https://intune.microsoft.com

2．ホーム 画面で、左側のウィンドウで デバイス を選択します。
デバイス | 概要 画面の プラットフォーム別 で Windows を選択します。

3．デバイス | Windows 画面の デバイス オンボーディング で 登録 を選択 します。
続いて Windows | 登録 画面の デプロイプロファイル を選択します。

4．Windows AutoPilot Deployment プロファイル 画面で プロファイルの作成 ドロップダウン メニューを選択し Windows PC を選択します。

5．プロファイルの作成 画面の 基本 ページで 名前 とオプションの 説明 を入力します。
割り当てられたグループ内のすべてのデバイスが自動的に Windows Autopilot に登録させたい場合は、すべての対象デバイスを Autopilot に変換 を はい に設定して 次へ を選択します。

6．Out-of-box experience (OOBE) ページの 配置モード で ユーザー ドリブン を選択します。
次のように Microsoft Entra ID に参加 ボックスで、Microsoft Entra ハイブリッド参加済み を選択します。次へ を選択します。

7．割り当て タブ では 組み込まれたグループ 欄の グループの追加 を選択します。続いて デバイス グループ（例では Hybrid Join Autopilot グループ を選択した画面になっています。）
次へ を押して先に進めます。

8．確認および作成 タブでは、設定した内容を確認して 作成 を押します。

9．以下の通知が表示されれば OK です。

10．以下のように 作成された プロファイルが 表示されます。

公開情報：Windows Autopilot 展開プロファイルを作成して割り当てる
https://learn.microsoft.com/ja-jp/autopilot/windows-autopilot-hybrid?wt.mc_id=MVP_407731&tabs=general-requirements#create-and-assign-a-windows-autopilot-deployment-profile

2-6. (省略可能) 登録状態ページを有効にする

本章は、省略可能です。
省略した場合は、Autopilot 展開後に、利用者は すぐに デスクトップ画面 に到達し 業務を始められますが、PC へ展開される ユーザー設定や アプリが 遅れて配布されることになる場合があります。

登録状態ページ を構成することで、利用者が使い始める前のタイミングで 導入しておくべき アプリ を指定することが可能になります。

1．Intune 管理センターで 左ペイン デバイス を開き、登録 を表示させてから 登録状態ページ を選択します。

2．以下の画面で ＋作成 を押します。

3．基本 タブでは、任意の名前（例：GSA クライアントのインストールを待機する）を入力し 次へ を押して進めます。

4．以下の画面では アプリとプロファイルの構成の進行状況を表示します を はい にします。
続いて これらの必要なアプリがユーザーまたはデバイスに割り当てられている場合、それらがインストールされるまでデバイスの使用をブロックします の項目で 選択しました を選び、＋アプリを選択 ボタンを押します。

5．以下の画面で 事前インストールするアプリを選択します。
（例：GlobalSecureAccessClient.exe の場合）

6．以下の画面のように表示されたら 次へ を押して進めます。

7．割り当て タブでは ①：グループの追加 を押し ②：デバイスグループ を選択してから ③：選択 を押し、一覧に ④：選んだグループ が表示されたら ⑤：次へ を押して進めます。

8．スコープタグ では、特に設定することはないため 次へ を押して進めます。

9．確認および作成 タブでは、設定した内容を確認して 作成 を押します。

10．以下の通知が表示されれば OK です。

11．以下のように、登録状態ページの一覧に追加されます。

公開情報：(省略可能) 登録状態ページを有効にする
https://learn.microsoft.com/ja-jp/autopilot/windows-autopilot-hybrid?wt.mc_id=MVP_407731&tabs=general-requirements#optional-turn-on-the-enrollment-status-page

参考：時間制限またはエラーの発生時にカスタム メッセージを表示する
JBS さんが公開している記事で 詳細に解説されています。
https://blog.jbs.co.jp/entry/2024/12/25/124939

2-7. ドメイン参加プロファイルを作成して割り当てる

本章が デバイスをドメインに参加させるために必要な 最重要 の設定です。

1．Microsoft Intune 管理センターで、左ペイン デバイス を開き 構成 を表示させてから 新しいポリシー を選択します。右ペインに表示された欄へ、下図の選択肢の通りに入力し ドメイン参加 のテンプレートを選びます。最後に 作成 ボタンを押します。

2．基本 タブでは 任意の名前（例：Hybrid Join Autopilot）を入力し 次へ を押して進めます。

3．構成設定 タブでは、以下の情報を入力し 次へ を押して進めます。

• コンピューター名プレフィックス ＝　PC名の接頭語（例：PC）
• ドメイン名 ＝　フルサイズのドメイン名（例：avd.server-on.net）
• 組織単位 ＝　DN 形式で OU 名（例：OU=Autopilot,DC=avd,DC=server-on,DC=net）
  

4．割り当て タブでは ①：グループの追加 を押し ②：デバイスグループ を選択してから ③：選択 を押し、一覧に ④：選んだグループ が表示されたら ⑤：次へ を押して進めます。

5．適用性ルール タブは、特に設定することはありません。次へ を押して進めます。

6．確認および作成 タブでは、設定した内容を確認して 作成 ボタンを押します。

7．以下の通知が表示されれば OK です。

公開情報：ドメイン参加プロファイルを作成して割り当てる
https://learn.microsoft.com/ja-jp/autopilot/windows-autopilot-hybrid?wt.mc_id=MVP_407731&tabs=general-requirements#create-and-assign-a-domain-join-profile

3. 展開の実施

PC の OOBE が完了したあと、パスワード を使ったドメインログオンは、すぐに実施できます。

しかし、FIDO2 でログオンできるようになるまでは、Hybrid Join が成立したあと、１回再起動の実施が必要でした（サインインオプション のリンクが表示されていません）

詳細
以下の画面では、登録済み の欄は 保留 のままです（まだ FIDO2 ログオンは出来ない）

保留だった箇所に、日時が入ります。これで デバイス側が Hybrid Join 構成になっています。

そのあと、PC を再起動すると、FIDO2 でログオンができるようになります。

おススメ：管理者が１回ログオンしておく

おススメの対応として、ドメイン管理者が １回 ログオンしておきましょう。
これをやっておかないと、PC 上に ローカル管理者権限をもったユーザーが 誰も居ない状態になっています。
PC が ドメインネットワークに接続できない状況が発生すると、管理者ログオンができずに メンテナンスができなくなります。

加えて、管理者が１回ログオンしておけば、サインインオプションで FIDO2 のアイコンが表示されているかどうか確認してから、出荷をすることも可能です。

参考

展開時の状況事のステータスについて、こちらの記事がとても参考になります。