オンプレAD(GPO)からIntune(MDM)への移行期は、多くの環境で両者が一定期間併存します。この移行期に「MDMWinsOverGP」(競合時にIntune側の設定を優先する)を有効化したくなる場面がありますが、思わぬ落とし穴があります。
MDMWinsOverGPとは
GPOとIntuneの両方で同じ設定項目が構成されている場合、どちらを優先するかを決めるポリシーです。有効にすると、競合する設定については常にIntune(MDM)側が勝つようになります。
落とし穴: 「Intuneで設定していない項目」まで無視されることがある
MDMWinsOverGPを有効にすると、字面上は「競合する設定はIntune優先」という挙動に見えますが、実際にはIntune側で明示的に構成していないGPOポリシーまで適用されなくなる、という業務影響が出ることがあります。つまり「Intuneで扱っていない設定は今まで通りGPOが効く」という期待が崩れるケースがあるということです。
このため、GPOでしか構成していない重要な設定(移行期でIntune側にまだ移行できていない項目)が、MDMWinsOverGPを有効にした瞬間に無効化されてしまうリスクがあります。
移行期の現実的な進め方
MDMWinsOverGPは基本的に有効化しない方針とし、GPOとIntuneそれぞれで何を構成しているかの一覧を作って重複・競合している項目を洗い出します。重複している項目はどちらか一方に寄せ(Intune側に寄せるなら、GPO側の該当設定を無効化・削除する)、オンプレADを完全に廃止できない事情(古いシステムのLDAP依存など)がある場合は、GPOとIntuneの「棲み分け」を明確にした上で両方が共存する設計にします。
フォルダーリダイレクトのような「見えにくい依存」に注意
GPOで長年運用してきたフォルダーリダイレクト(デスクトップ・ドキュメント等を共有サーバーへリダイレクトする設定)がある環境では、Intune側の「OneDriveへの既知フォルダーの自動移動」機能と設定が競合しやすいポイントです。両方が有効な状態で移行を進めると、リダイレクト先のサーバーが実は多くのユーザーにとってまだ重要な依存先だった、ということが移行の終盤で発覚することがあります。移行対象ユーザーの棚卸しと合わせて、こうした「今もまだ使われているオンプレ依存」を早い段階で洗い出しておくことが重要です。
まとめ
MDMWinsOverGPは名前だけ見ると便利な機能に思えますが、「Intuneで設定していない項目まで巻き込まれる」という挙動を理解せずに有効化すると、業務影響のある設定が意図せず無効化されるリスクがあります。GPOとIntuneの併存期間は、優先順位の一括切り替えに頼らず、設定項目ごとに丁寧に棲み分けを設計するのが安全です。
コメント