GPOとIntuneを併用する環境で「MDM優先(MDMWinsOverGP)」を安易に有効にしてはいけない理由

オンプレAD(GPO)からIntune(MDM)への移行期は、多くの環境で両者が一定期間併存します。この移行期に「MDMWinsOverGP」(競合時にIntune側の設定を優先する)を有効化したくなる場面がありますが、思わぬ落とし穴があります。

MDMWinsOverGPとは

GPOとIntuneの両方で同じ設定項目が構成されている場合、どちらを優先するかを決めるポリシーです。有効にすると、Policy CSPの設定のうちGPOに同等の設定があるものについて、Intune(MDM)で構成した値が優先され、GPO側の同じ項目はブロックされます。

落とし穴: 「何でもIntuneが勝つ」わけではない

MDMWinsOverGPが効くのは、Policy CSPで配った設定だけです。Defender CSPなど別のCSPで配った設定は対象外で、GPOでも同じ項目を設定していると、どちらが適用されるかは保証されません(Microsoftのドキュメントも、MDMWinsOverGPの対象外の設定はGPOとMDMの両方で構成しないよう推奨しています)。「有効にしたから競合は全部Intuneが勝つ」と考えると、対象外の設定で競合が残ります。

逆に、対象になる項目では、GPOで部署ごとに細かく調整していた値が、有効にした時点でIntune側の値に一斉に置き換わります。移行期にIntune側の値がまだ仮のままだと、これが業務影響になります。どのGPO設定がブロックされたかは、端末の「設定 > アカウント > 職場または学校へのアクセス」から作成できる詳細診断レポートで確認できます。なお、Windows 10 バージョン1803では、一度有効(1)にすると無効(0)に戻せません。

移行期の現実的な進め方

MDMWinsOverGPは基本的に有効化しない方針とし、GPOとIntuneそれぞれで何を構成しているかの一覧を作って重複・競合している項目を洗い出します。重複している項目はどちらか一方に寄せ(Intune側に寄せるなら、GPO側の該当設定を無効化・削除する)、オンプレADを完全に廃止できない事情(古いシステムのLDAP依存など)がある場合は、GPOとIntuneの「棲み分け」を明確にした上で両方が共存する設計にします。

フォルダーリダイレクトのような「見えにくい依存」に注意

GPOで長年運用してきたフォルダーリダイレクト(デスクトップ・ドキュメント等を共有サーバーへリダイレクトする設定)がある環境では、Intune側の「OneDriveへの既知フォルダーの自動移動」機能と設定が競合しやすいポイントです。両方が有効な状態で移行を進めると、リダイレクト先のサーバーが実は多くのユーザーにとってまだ重要な依存先だった、ということが移行の終盤で発覚することがあります。移行対象ユーザーの棚卸しと合わせて、こうした「今もまだ使われているオンプレ依存」を早い段階で洗い出しておくことが重要です。

まとめ

MDMWinsOverGPは名前だけ見ると便利な機能に思えますが、対象がPolicy CSPの設定に限られることと、対象の項目ではGPOの値が一斉にブロックされることを理解せずに有効化すると、競合が残ったり、業務影響のある値が意図せず置き換わったりします。GPOとIntuneの併存期間は、優先順位の一括切り替えに頼らず、設定項目ごとに丁寧に棲み分けを設計するのが安全です。

(2026-10-05追記: Microsoft Learn「ControlPolicyConflict Policy CSP」に合わせて、MDMWinsOverGPの対象範囲の説明を修正しました)