Microsoft Intune では、ユーザーベース・デバイスベースの2軸で構成プロファイルを割り当てることができ、目的の異なる複数のポリシーを組み合わせて運用するケースは少なくありません。
構成プロファイルを整理する中で「割り当て対象（ユーザー/デバイス）が異なる2種の構成プロファイルを同一端末に並行展開した場合、両方の設定が同時に適用されるのか？」という疑問を持ちました。
本記事では、異なる2種類の構成プロファイルを 並行展開し、両設定が同時に適用されるかを検証した結果と、適用状態の確認手順を紹介します。
前提条件と対象
本検証は、以下の条件を前提としています。
- Microsoft Intune に iOS 端末が登録済みであること
- 異なる割り当て方式（ユーザーベース / デバイスベース）の構成プロファイルを2種類用意していること
検証で用意した構成プロファイルは以下の通りです。
| 構成プロファイル | 割り当て方式 | 主な設定内容 |
|---|---|---|
| 構成プロファイルA | ユーザーベース（user01 に割り当て） | パスワード最小6桁を要求 / アプリホワイトリストは未構成 |
| 構成プロファイルB | デバイスベース（iOS 端末に割り当て） | パスワード未構成 / アプリホワイトリスト構成 / デバイス名変更禁止 |
なお、テスト iOS 端末（「iPhone検証用5」という名称を設定）の所有者は user01 であるため、ユーザー／デバイス双方の割り当てが同一端末に対して有効になります。
検証の目的
検証の主眼は、割り当て方式が異なる2種類の構成プロファイルを並行展開した場合に、両方の設定内容が1台の iOS 端末へ同時に適用されるかを確認することです。
具体的には、以下が同時に成立するかどうかを判断します。
- 構成プロファイルA に基づく「パスワード最小6桁要求」が有効であること
- 構成プロファイルB に基づく「アプリホワイトリスト」「デバイス名変更禁止」が有効であること
検証手順と結果
以下の順序で iOS 端末に2種類の構成プロファイルを適用し、それぞれの挙動を確認します。
構成プロファイルA（ユーザーベース：パスワード6桁要求）の適用
以下の手順で実施しました。
- user01をユーザーベースで構成プロファイルAに割り当てる。
- iOS 端末に4桁パスコードが設定された状態で、構成プロファイルA を適用する。
- パスコード変更要求のダイアログから [今すぐ変更] をタップする。
次のような結果になりました。
- 端末に4桁パスコードを設定していたが、パスコードの変更を要求された。
- 6桁以上のパスコードへの変更要求が表示された。
-
「パスコード変更ダイアログに『6桁数字コード』と『カスタムコード』の2種類が表示される。
-
[カスタム数字コード] を選択して4桁で設定しようとすると、6桁未満のため失敗する。
この時点で、構成プロファイルA（パスワード最小6桁要求）が正常に適用されていることが確認できます。
構成プロファイルB（デバイスベース：アプリホワイトリスト＋デバイス名変更禁止）の適用
構成プロファイルB 適用前は、iOS 端末の「設定 > 一般 > 情報」からデバイス名を変更可能な状態でした。
以下の手順で実施しました。
- テスト iOS 端末に対し、デバイスベースで構成プロファイルB を割り当てる。
- 構成プロファイルB を適用後、ホーム画面、デバイス名、パスコード変更可否を確認する。
次のような結果になりました。
- ホーム画面に表示されるアプリが、構成プロファイルB のホワイトリストで許可したアプリのみに制限された。
- 「設定 > 一般 > 情報」からデバイス名を変更できなくなった。
- パスコード変更画面では、引き続き6桁未満では設定できない状態が維持されていた。
検証結果
上記の通り、構成プロファイルA・B の双方の設定が同一端末上で同時に有効となっており、割り当て方式（ユーザーベース／デバイスベース）が異なる2種の構成プロファイルは、並行適用可能であることが確認できました。
iOS 端末側での適用状態の確認方法
端末側で、現在どの機能制限が適用されているかを確認することも可能です。
確認手順は以下の通りです。
- iOS 端末で [設定] > [一般] > [VPN とデバイス管理] を開く。
- 適用中の構成プロファイルを選択し、[機能制限] を表示する。
- 以下の項目が一覧に表示されていることを確認する。
- 許可アプリケーション（アプリホワイトリスト）
- デバイス名変更禁止
- パスコード最小 6 桁
上記3点すべてが [機能制限] 一覧に表示されていれば、構成プロファイルA・B の両方の設定が端末側で適用されていると判断できます。
なお、今回のテスト iOS 端末には、別途ユーザーベースで別プロファイルを適用済みのため、本記事で設定した以外の機能制限項目が表示されています。
運用上のポイント
本検証から得られる運用観点でのポイントは以下の通りです。
- ユーザーベースとデバイスベースの構成プロファイルは、設定項目が競合しない限り併存して適用可能。
- 「人に紐づけたいポリシー（例：パスコード強度）」と「端末に紐づけたいポリシー（例：アプリ制限、デバイス名変更禁止）」を、割り当て方式で明確に分離できる。
なお設定の重複・競合が発生する場合は、Intuneの設定競合ルールに従って評価されるため、設計時点で割り当て範囲と設定項目の棲み分けを整理しておくことが重要です。
ポリシーの競合を回避する - Microsoft Intune | Microsoft Learn
おわりに
Intune の構成プロファイルは、ユーザーベース／デバイスベースという異なる割り当て軸を組み合わせて運用できる柔軟性が大きな特徴です。
BYOD や共有端末など、ユーザー単位／端末単位で異なるポリシー要件が混在する環境において、構成プロファイル設計の参考になれば幸いです。
