2026年9月、IntuneにAndroid Enterprise端末の出荷時セットアップ（Out-of-Box Experience）中に、Microsoft Defender for Endpointを自動起動する機能が追加されました。対象は、企業所有で完全管理対象のデバイス（COBO）と、ワークプロファイル付きの企業所有デバイス（COPE）です。これまでセキュリティ対策アプリのインストールは、キッティングが一段落してから手動で行う現場も多かったはずですが、その順序そのものが見直せる更新です。
Androidのキッティングで、セキュリティ設定が「後回し」になりやすい理由
Androidのキッティングでは、まずOSの初期設定、アカウント登録、必要な業務アプリの配信を済ませてから、セキュリティ対策アプリを後から追加する、という順序になりがちです。理由は単純で、セットアップ直後の端末には、まだMDMからのアプリ配信が完了していないことが多いからです。結果として、ネットワークに接続されてから実際にセキュリティ対策が有効になるまでの間に、どうしても「無防備な時間」が生まれてしまいます。
台数が多いキッティング現場ほど、この「後からインストール」の工数自体も積み重なっていきます。1台あたり数分の作業でも、100台規模になれば数時間分の人手がそこに固定されることになります。
従来の順序では、OS初期設定→業務アプリ配信→Defenderを後から手動インストール、という流れでしたが、自動起動後は、OOBE中にDefenderが起動し、セットアップと同時に保護が始まる形に変わります。
2026年9月更新の本体機能：出荷時セットアップ中にDefenderを自動起動
今回追加された機能は、COBO・COPE端末の出荷時セットアップの最中に、Microsoft Defender for Endpointを自動的に開く、というものです。Microsoft Learnの公開情報によれば、対応する企業所有Android Enterpriseデバイスであれば、ユーザーが手動でアプリを探してインストールする前に、セットアップの流れの中でDefenderが立ち上がる状態を作れます。
具体的には、①端末の電源投入・OOBE開始 → ②Intuneセットアップ画面でDefenderが自動起動 → ③ユーザーがそのままDefenderの初期設定を実施、という流れで進みます。
設定の下準備：Defenderコネクタ、MTDロール権限、アプリ割り当ての3点
この機能を有効にするには、事前に3つの設定を済ませておく必要があります。1つ目は、Defender for Endpointコネクタの設定です。Intune管理センター上でMicrosoft Defender for Endpointとの連携をあらかじめ構成しておきます。2つ目は、「MTDロール権限を付与する（Grant MTD role permissions）」という設定をオンにすることです。これがオフのままだと、Defenderをモバイルの脅威を防ぐ仕組み（MTD）として正しく機能させられません。3つ目は、Defenderアプリ自体を対象の端末またはユーザーグループに「必須」として割り当てることです。この3点がそろって初めて、「Endpoint security」＞「Defender for Endpoint」の設定から、セットアップ時にDefenderを起動する体験を有効化できます。
落とし穴：グループへの割り当てタイミングと、設定が間に合わない場合の挙動
注意しておきたいのは、割り当てのタイミングです。Microsoft Learnの説明では、特定のデバイスグループに対する割り当て処理が、登録のタイミングまでに完了しない場合があるとされています。グループベースでの割り当てを使う場合は、登録が始まる前の十分早いタイミングで、対象グループへの割り当てを済ませておく必要があります。確実性を重視するなら、特定のグループに絞るのではなく、ユーザーグループ全体や全デバイスを対象に割り当てておくほうが、セットアップ時点での利用可能性は高まります。
もう一つ覚えておきたいのは、万が一この設定が間に合わなかった場合の挙動です。設定が完了していなくても、Intuneのセットアップ手順自体はそのまま表示され続けるため、ユーザーは後からその手順に戻ってDefenderを開き直すことができます。つまり自動起動が失敗しても、それで後がなくなるという設計ではなく、自動化が効かなかった場合の手動の逃げ道がちゃんと残されています。この点は、現場で運用する側としては安心材料です。
合わせて効いてくる変更：Managed Home Screen認証の強化とeSIM設定
同じ2026年9月の更新では、Managed Home Screen（MHS）に関する変更も入っています。保護対象のアプリ操作に対して、MHSの認証をユーザーが回避できないようにする仕組みが強化されました。キオスク運用や共有端末でMHSを使っている現場では、この認証強化もあわせて確認しておくとよいでしょう。
なお、Android Enterprise端末のeSIM関連の設定（ワイプ時にeSIMを保持するか削除するかを選べる設定など）は、今回の9月更新より前、2026年8月の更新で追加されたものです。対象はAndroid 15以降とされています。eSIM運用を検討している場合は、こちらは別のタイミングで導入された機能として区別して把握しておくのが安全です。
セキュリティ対策アプリの導入タイミングを、キッティングの「最後」から「最初」に移せるこの更新は、地味ですが効果の大きい変更だと感じています。台数が多い現場ほど、積もっていた後工程がまとめて前倒しになるメリットは大きいはずです。
Mobitech Solutionへのご相談
Android Enterprise端末のキッティング設計や、Defender for Endpointとの連携設定について相談したい場合は、Mobitech Solutionまでお気軽にお問い合わせください。
