数千台規模のWindows端末を、オンプレミスのActive Directory（AD、企業内のユーザー・端末を一元管理するディレクトリサービス）とGPO（グループポリシーオブジェクト、ADで端末設定を一括配布する仕組み）でパッチ運用してきた企業のエンドポイント管理担当者は、2026年6月以降その運用が静かに効かなくなる局面を迎えている。対象はWUfB（Windows Update for Business、更新プログラムの配信タイミングや対象を制御するポリシー群）の設定である。設定手段がIntune（クラウドベースの端末管理サービス）またはMicrosoft Graph API経由に一本化され、GPOで構成した値をクライアントが読まなくなった。エラーも警告も出ないまま更新の展開順序が崩れるため、気づきにくいのが厄介な点である。本稿では何が変わったのか、GPO運用と何が違うのか、そして日本企業がどう備えるべきかを整理する。
予備知識
- GPO（グループポリシーオブジェクト）: オンプレADで端末設定を一括管理する仕組み。
- Intune: クラウドベースの端末管理サービス。GPOに代わる設定の反映経路になる。
- Windows Update for Business（WUfB）: Windows端末への更新プログラム配信のタイミングや対象を制御するポリシー群。
- Windows Autopatch／ホットパッチ: 更新適用を自動化するマネージドサービスと、再起動なしでセキュリティ更新を適用する仕組み。
GPOからの移行後に必要になるIntune側の更新ポリシー設定を画面単位で確認できる
WUfB設定はなぜIntune一本化になったのか
WUfBは、Windows端末への更新プログラム配信のタイミングや対象を制御するポリシー群である。2026年6月以降、この設定手段がIntune経由に一本化され、GPOや非推奨のUpdate CSP経由で構成済みの値はクライアント側で無視されるようになった[1][2]。Intune管理コンソール上の「Update policies for Windows」が、更新リングの設定・機能更新プログラムの延期・ドライバー配信ポリシーを扱う唯一の管理面になった[1][2]。同時にEndpoint analyticsワークスペースに「WUfB configuration source」という新しいコンプライアンス指標が追加され、廃止対象の設定元からまだ値を読み込んでいる端末を検出できるようになった[1][2]。GPOに依存してきた組織向けに、Intune管理センターの「テナントの管理 > Windows更新プログラム > 移行」から既存のGPO値を読み取り、相当するIntuneポリシーを生成する移行スクリプトも用意されている[2][3]。ただし更新リングと対象デバイスグループの対応づけは自動化されず、手動での調整が必要である[2][3]。
GPOによる更新プログラム管理を含め、現行のオンプレAD運用の全体像を棚卸しする際の参照に適する
GPO運用とIntune運用で何が変わるのか
GPO運用とIntune運用の最大の違いは、設定の反映経路がオンプレのドメインコントローラかクラウド側のポリシーエンジンかという点にある。
| 項目 | GPO運用（〜2026年5月） | Intune運用（2026年6月〜） |
|---|---|---|
| 設定の反映経路 | ドメインコントローラ経由 | Intune／Graph API経由 |
| 対象範囲 | オンプレAD参加済み端末 | Intune登録済み端末（Entra参加・ハイブリッド参加） |
| ドライバー配信制御 | GPOで制御可能だった | Intuneの「Driver updates for Windows」で制御 |
| 設定漏れの検知 | 標準機能では困難 | Endpoint analyticsの「WUfB configuration source」で検知 |
| 移行手段 | ― | 管理センターの移行スクリプト（リング対応は手動） |
ドライバー・ファームウェア更新についても、配信自体はWindows Updateから行われるが、リリースを制御するポリシーはIntune側で設定しない限り無視される[1][2]。GPOだけで運用してきた環境では、この「効かなくなる」変化に気づきにくい。設定漏れの発見が遅れるほど、更新の展開順序やリング分割が崩れるリスクが高まる[1][2]。
社内向けのDNS運用は、長らくVPN専用機器やActive Directory統合DNSサーバーなど、パブリックDNSとは別建ての基盤で行われてきた。ネットワーク・インフラ運用チームにとって、この二重構成は監査ログの分断や設定ドリフトの温[…]
同時期に進むもう一つの変化——Autopatchホットパッチの既定有効化
ホットパッチは、再起動を伴わずにセキュリティ更新を適用できる仕組みである。Windows Autopatchは対象端末で2026年5月のセキュリティ更新からホットパッチを既定で有効化し、テナント側のオプトアウト設定は2026年4月1日から利用可能になっている[4][5][6]。さらに2026年6月15日以降、対象クライアントは自動的にホットパッチ更新チャネルへ切り替わる[4][5]。対象条件はWindows 11 24H2以降であること、Autopatch対応ライセンスを持つこと、2026年4月のセキュリティ更新が適用済みであることの3点である[4][5][6]。ホットパッチ適用後も、四半期ごとのベースライン更新では引き続き再起動が必要になる[4][5]。WUfBのIntune一本化とAutopatchのホットパッチ既定化は、いずれも更新制御をMicrosoft管理のクラウド側へ寄せる同じ方向の変化である[1][4]。
権威DNSサーバの代表格であるISC BIND 9で、DNSSEC（DNS応答の改ざんを電子署名で検証する仕組み）の検証をすり抜けられる脆弱性が見つかった。Internet Systems Consortium（ISC）は2026年7月2[…]
実務担当者が今すぐ確認すべき手順
最初の一歩は、自社のWUfB設定が現在どの経路で反映されているかを確認することである。Intuneの「エンドポイント分析」で「WUfB configuration source」インサイトを開くと、GPOや非推奨のUpdate CSPから設定を読み込んでいる端末が一覧化される[1][2]。該当端末が多い場合は、管理センターの移行スクリプトを実行し、既存のGPO値に相当するIntuneポリシーを生成する[2][3]。更新リングとデバイスグループの対応づけは自動化されないため、既存のGPO対象OU構成を手作業で再現する必要がある[2][3]。ドライバー・ファームウェア更新のポリシーもGPO側では効かなくなるため、Intuneの「Driver updates for Windows」で別途設定を組み直す[1][2]。移行完了後は、同じ指標で設定元がIntuneに切り替わったことを継続的に確認するとよい[1][2]。
オンプレAD依存が厚い日本企業に、この移行はどう効くか
日本企業でも同じ移行圧力は避けられない。ソフトクリエイトが2022年に実施した調査では、クラウド化が済んでいないシステムの上位にActive Directoryが挙がり、53.8％の企業が「オンプレミス運用のまま」と回答している[7]。米国発の大企業に比べ、日本企業はAD運用そのものをSIerとの保守契約に委ねているケースが多く、Intune移行は単なる設定変更ではなく契約範囲の見直しとして稟議を通す必要が生じやすい。監査・内部統制の観点でも、GPOで統制していた更新適用の証跡取得先が、オンプレのイベントログからIntune／Graph API側のログへ切り替わる。既存のAD基盤が10年以上稼働する企業ほど、影響範囲を洗い出す初期棚卸しに時間がかかりやすい。IT部門の判断は、まず自社のWUfB設定がGPO由来かIntune由来かをEndpoint analyticsで確認することに尽きる。決裁側の判断は、移行を単発の設定変更ではなく、SIer契約の改定を伴う予算化案件として扱うかどうかである。
まとめ
2026年6月のWUfB Intune一本化は、GPOでの構成が読まれなくなるという運用上の断絶である。読者が次にすべきことは二つある。ITエンジニアはEndpoint analyticsの「WUfB configuration source」で自社端末の設定元を確認し、GPO依存が残る端末を洗い出す。決裁側は、Intune移行を単発のIT作業ではなく、SIer契約改定や稟議を伴う予算化案件として扱う判断材料をそろえる。ホットパッチの既定有効化も同時期に進んでおり、更新プロセス全体の見直しは避けられない局面に入っている。
よくある質問（FAQ）
Q1. WUfBのIntune一本化とはどういう意味ですか。
A. 2026年6月以降、Windows Update for Businessのポリシー設定手段がIntune（またはMicrosoft Graph API）に一本化され、GPOや非推奨のUpdate CSP経由の設定値はクライアント側で無視されるようになったことを指す[1][2]。
Q2. GPOで設定した内容はどうなりますか。
A. GPO側の設定自体は残っていても、対象端末がそれを読み込まなくなる。既存の値をIntuneポリシーへ変換する移行スクリプトが管理センターに用意されているが、更新リングとデバイスグループの対応づけは手動調整が必要[2][3]。
Q3. ホットパッチの既定有効化とは別の話ですか。
A. 別の変更だが同時期に進む。Windows Autopatchが対象端末で2026年5月からホットパッチを既定で有効化し、6月15日以降は対象クライアントが自動的に切り替わる[4][5][6]。
