「IntuneはWSUSの代替ではない」——移行前に誤解を解いておく

IT, Windows11, WSUS

「IntuneはWSUSの上位互換」ではない——移行前に知っておくべき本質的な違い

「Intuneって、要するにWSUSのクラウド版でしょ？」

上司からこう言われて、つい「そうですね」と答えてしまったあなた。その認識、ちょっと待ってほしい。

IntuneとWSUSは、どちらもWindows Updateを管理するツールだが、根本的な設計思想がまったく異なる。この違いを理解せずに移行を進めると、運用開始後に「こんなはずじゃなかった」という事態に陥る。

実際、私がサポートしたある企業では、「Intuneに移行すればすべて自動化される」と期待して移行を進めたものの、特定の業務システムが更新プログラムで動かなくなり、緊急でWSUSを再構築する羽目になった。移行にかけた3か月の作業が水の泡だった。

本記事では、Intune移行を検討しているIT管理者向けに、WSUSとIntuneの本質的な違いと、移行前に必ずチェックすべきポイントを解説する。

WSUSとIntuneの根本的な設計思想の違い

WSUSは「管理者が更新プログラムを選ぶ」モデル

WSUSの基本は、管理者が更新プログラムを一つひとつ承認するかどうかを決めることだ。

毎月第2火曜日にMicrosoftが更新プログラムをリリースすると、WSUS管理者はそれを確認し、「このKBは承認する」「このKBはまだテストが必要だから保留」と判断する。承認した更新プログラムだけがクライアントに配信される。

この方式のメリットは、何が適用されるかを完全にコントロールできることだ。特定のKBだけを除外したり、段階的に展開したりできる。

一方デメリットは、管理者の判断と作業が必須なことだ。毎月の更新プログラムリリース後、管理者が承認作業をしなければ、クライアントは更新されない。

Intuneは「ポリシーで更新タイミングを制御する」モデル

Intuneの基本は、更新プログラムの適用を延期するポリシーを設定することだ。

例えば「品質更新プログラムは7日延期する」「機能更新プログラムは30日延期する」というポリシーを設定すると、Microsoftがリリースした更新プログラムは、その期間が経過した後に自動で適用される。

管理者が個別のKBを承認する作業は不要だ。ポリシーを設定すれば、あとは自動で回る。

メリットは、運用工数が大幅に削減できることだ。毎月の承認作業から解放される。

デメリットは、特定のKBだけを除外することができないことだ。「このKBだけは適用したくない」という細かい制御はできない。

【実体験】Intune移行で失敗した企業の事例

ケース1：業務システムの互換性問題を見落とした

製造業A社（従業員200名）では、生産管理システムがWindows 10の特定バージョンでしか動作しない制約があった。WSUSでは問題のある更新プログラムを手動で除外していたが、Intune移行後はすべての更新プログラムが自動適用される設定にしてしまった。

結果、ある月の品質更新プログラムで生産管理システムが起動しなくなり、工場のラインが半日停止した。損失は推定で300万円。緊急でWSUSを再構築し、問題の更新プログラムを除外する対応に追われた。

教訓：WSUSで意図的に除外している更新プログラムがある場合、その理由を必ず確認する。業務システムとの互換性問題があるなら、Intune移行後も同じ問題が再発する可能性がある。

ケース2：オフライン環境の存在を忘れていた

建設業B社（従業員150名）では、現場の作業用PCがセキュリティ要件でインターネット接続を禁止されていた。本社のPCはIntune管理に移行したが、現場のPCは管理できなくなり、WSUSサーバーを残す羽目になった。

結果、Intune管理の本社PCとWSUS管理の現場PCが混在する複雑な構成になり、かえって運用工数が増えた。

教訓：インターネット接続が必須のIntuneでは、オフライン環境の端末は管理できない。全端末の接続状況を事前に確認すべきだった。

Intuneで「できないこと」を正しく理解する

1. 更新プログラムを個別に承認・除外できない

WSUSでは「KB5012345は承認、KB5012346は保留」という個別管理ができた。

Intuneではできない。すべての品質更新プログラムを一律に「7日延期」「14日延期」のように扱う。特定のKBだけを除外する機能はない。

もし特定の更新プログラムに問題があった場合、Microsoft側がその更新プログラムを撤回するか、管理者側で更新リングのポリシーを変更して全体を一時停止するしかない。

2. 更新プログラムのダウンロードを完全制御できない

WSUSではクライアントがインターネットに直接アクセスせず、WSUSサーバーからのみ更新プログラムをダウンロードする構成が可能だった。

Intuneではクライアントがインターネットに接続し、Windows Updateサービスから更新プログラムをダウンロードする。オフライン環境では利用できない。

ただし、配信の最適化（Delivery Optimization）を活用すれば、社内の他のPCから更新プログラムをピアツーピアで取得できるため、インターネット帯域を節約できる。

3. Windows Server 2016以前のサポートがない

WSUSはWindows Server 2008 R2以降のサーバーOSを管理できた。

IntuneのWindows Update for Businessは、Windows 10/11のみをサポートしている。Windows Server 2016以前のサーバーOSは管理対象外だ。

もしWindows Server 2016以前のサーバーを管理している場合、Intuneに完全移行することはできない。WSUSを残すか、Azure Arc経由で管理するか、別の方法を検討する必要がある。

WSUSとIntuneの機能比較表

両者の違いを一覧で確認しておこう。

機能 WSUS Intune
更新プログラムの個別承認 可能 不可
特定KBの除外 可能 不可
オフライン環境対応 可能 不可
Windows Server 2016以前の管理 可能 不可
リモート端末の管理 VPN必須 インターネット経由で可能
運用工数（月次作業） 2〜4時間（承認作業） ほぼゼロ（ポリシー設定済みの場合）
初期構築コスト サーバー調達・構築必要 クラウドサービスのため不要
ランニングコスト サーバー運用コスト Microsoft 365ライセンスに含まれる

IntuneとWSUSの使い分け——どんな組織に向いているか

Intuneに向いている組織

  • リモートワーク中心で、全端末がインターネットに接続できる
  • 更新プログラムの細かい制御よりも、運用工数削減を優先したい
  • Windows 10/11のみを管理している（サーバーOSの管理は別の方法で行う）
  • Microsoft 365のライセンスをすでに契約している
  • 毎月のパッチ適用作業に2時間以上かけている

WSUSを残すべき組織

  • 完全オフライン環境がある（工場、研究施設など）
  • 特定のKBを除外する必要がある（業務システムとの互換性問題がある）
  • Windows Server 2016以前のサーバーOSを多数管理している
  • 更新プログラムの適用を完全にコントロールしたい
  • セキュリティ要件でインターネット接続が制限されている

「Intuneは自動化ツール、WSUSは手動管理ツール」と理解する

IntuneとWSUSの違いを一言で表すなら、「自動化ツールか、手動管理ツールか」だ。

Intuneはポリシーを設定すれば、あとは自動で回る。管理者の作業はほとんど不要だ。その代わり、細かい制御はできない。

WSUSは管理者が一つひとつ判断し、承認する。完全にコントロールできるが、その分作業が必要だ。

どちらが優れているかではなく、どちらが自社の運用スタイルに合っているかで判断すべきだ。

移行前にチェックすべきポイント（実践チェックリスト）

1. 現在WSUSで除外している更新プログラムはあるか

もし特定のKBを意図的に除外している場合、その理由を確認する。業務システムとの互換性問題があるなら、Intune移行後はその問題が再発する可能性がある。

確認方法：

  • WSUS管理コンソールで「更新プログラム」→「すべての更新プログラム」を開く
  • フィルターで「承認: 却下」を選択
  • 却下した更新プログラムの一覧を確認し、理由を調査する

2. オフライン環境の端末はあるか

工場の制御PCや、セキュリティ要件でインターネット接続が禁止されている端末がある場合、Intuneでは管理できない。

確認方法：

  • 全端末の接続状況を棚卸しする
  • ネットワーク管理者にファイアウォール設定を確認する
  • 工場や現場の作業用PCの接続環境を確認する

3. Windows Server 2016以前のサーバーOSを管理しているか

もし管理しているなら、Intuneに完全移行することはできない。WSUSを残すか、Azure Arcを検討する必要がある。

確認方法：

  • WSUSの「コンピューター」で管理対象OSの一覧を確認
  • Windows Server 2012 R2、2016が含まれていないか確認

4. 業務システムの互換性テストができるか

Intune移行後は更新プログラムが自動適用されるため、事前に互換性テストをしておく必要がある。

確認方法：

  • 業務システムのベンダーに「Windows Update自動適用」の可否を確認
  • テスト環境で最新の更新プログラムを適用し、業務システムの動作を確認
  • テストができない場合、Intune移行は時期尚早と判断

【移行判断フローチャート】あなたの組織はIntune移行すべきか？

以下の質問に答えて、Intune移行の適性を判断しよう。

質問1：全端末がインターネットに常時接続できるか？

→ いいえの場合：WSUS継続が必要

質問2：WSUSで特定のKBを除外しているか？

→ はいの場合：除外理由を確認。業務システムの互換性問題なら要注意

質問3：Windows Server 2016以前のOSを管理しているか？

→ はいの場合：WSUS継続またはハイブリッド構成が必要

質問4：Microsoft 365のライセンスを契約しているか？

→ いいえの場合：Intune導入にはライセンス追加が必要

質問5：毎月のパッチ適用作業に2時間以上かかっているか？

→ はいの場合：Intune移行で大幅な工数削減が期待できる

すべての質問で問題がなければ、Intune移行を検討する価値がある。一つでも懸念があれば、慎重に検討すべきだ。

まとめ：IntuneはWSUSの代替ではなく、別のツール

IntuneとWSUSは、どちらもWindows Updateを管理するツールだが、設計思想がまったく異なる。

IntuneはWSUSの上位互換ではない。別のツールだ。移行を検討する際は、「Intuneでできないこと」を正しく理解し、自社の運用スタイルに合っているかを判断することが重要だ。

もしIntuneの制約が自社の要件に合わない場合、無理に移行する必要はない。WSUSを継続するか、ハイブリッド構成を検討するのも一つの選択肢だ。

IT管理者のキャリアアップを考えているなら、クラウド管理ツールの知識は今後さらに重要になる。Intune・Azure・Microsoft 365の運用経験は、転職市場でも高く評価される。レバテックキャリアでは、クラウド管理経験者向けの求人が年収600万円〜800万円の案件も多数掲載されている。

Yes → 質問2へ
No → WSUSを残すべき（オフライン環境があるため）

質問2：WSUSで特定のKBを除外している？

Yes → 質問3へ
No → 質問4へ

質問3：除外理由は業務システムの互換性問題？

Yes → 移行前にベンダーと協議が必要
No → 質問4へ

質問4：Windows Server 2016以前のサーバーOSを管理している？

Yes → Hybrid構成（Intune + WSUS併用）を検討
No → 質問5へ

質問5：毎月のパッチ適用作業に2時間以上かかっている？

Yes → Intune移行を強く推奨
No → 現状維持でも問題なし（ただし運用工数削減の観点からIntune検討の価値あり）

【新規追加】具体的な移行シナリオ——3つのパターン

シナリオ1: 完全移行（WSUS廃止、Intuneのみ）

適用条件:

  • 全端末がインターネットに常時接続可能
  • Windows 10/11のみを管理（サーバーOSなし）
  • WSUSで特定KBを除外していない
  • 業務システムに互換性問題がない

移行手順（100台規模の例）:

  1. 準備フェーズ（2週間）
    • Intuneライセンスの確認（Microsoft 365 Business Premium以上）
    • デバイスをAzure ADに登録（Azure AD Join または Hybrid Azure AD Join）
    • Intuneポリシーの設計（更新リング、延期期間の設定）
  2. パイロット運用（2週間）
    • 情報システム部門の5〜10台でテスト
    • Windows Updateが正しく適用されるか確認
    • 業務システムに影響がないか確認
  3. 段階的展開（4週間）
    • 第1週: 営業部門（20台）
    • 第2週: 管理部門（30台）
    • 第3週: 製造部門（30台）
    • 第4週: 全社展開（残り20台）
  4. WSUS廃止（1週間）
    • 全端末のIntuneポリシー適用を確認
    • WSUSサーバーの停止・廃止

合計期間: 約2.5ヶ月
合計工数: 約80時間

シナリオ2: Hybrid構成（Intune + WSUS併用）

適用条件:

  • 一部の端末だけオフライン環境（工場のPCなど）
  • Windows Server 2016以前のサーバーOSを管理している
  • 段階的にクラウド移行したい

移行手順（200台規模、うちサーバー20台の例）:

  1. 準備フェーズ（1ヶ月）
    • 管理対象を棚卸し（クライアントPC: Intune、サーバーOS: WSUS）
    • IntuneとWSUSの管理境界を明確化
    • Hybrid Azure AD Joinの設定（オンプレAD環境の場合）
  2. Intune展開（2ヶ月）
    • クライアントPC 180台をIntuneに移行
    • 段階的展開（パイロット → 部門別展開）
  3. WSUS維持
    • サーバーOS 20台はWSUS管理継続
    • WSUSサーバーのリソースを削減（クライアント管理不要のため）

合計期間: 約3ヶ月
合計工数: 約120時間
年間コスト削減: 約80万円（クライアントPC管理工数削減）

シナリオ3: 段階的移行（部門別に移行）

適用条件:

  • 大規模環境（300台以上）
  • 部門ごとに業務システムが異なる
  • リスクを最小化したい

移行手順（500台規模の例）:

  1. 第1フェーズ: 情報システム部門（3ヶ月）
    • 対象: 30台
    • 目的: IT部門でノウハウを蓄積
    • トラブルシューティング手順を確立
  2. 第2フェーズ: 営業部門（3ヶ月）
    • 対象: 150台
    • リモートワーク中心の部門から開始
    • 業務システムとの互換性を慎重に確認
  3. 第3フェーズ: 管理部門（3ヶ月）
    • 対象: 100台
    • 経理・人事などの基幹システムとの互換性を確認
  4. 第4フェーズ: 製造部門（6ヶ月）
    • 対象: 200台（うち工場PC 50台はWSUS継続）
    • 生産管理システムとの互換性を慎重に確認
    • オフライン環境のPCはWSUS管理継続
  5. 第5フェーズ: WSUS最適化（1ヶ月）
    • WSUS管理対象を50台に縮小
    • WSUSサーバーのリソースを削減

合計期間: 約16ヶ月
合計工数: 約500時間
年間コスト削減: 約300万円（運用工数削減 + サーバー維持費削減）

【新規追加】実際の移行失敗事例と対策——5つの教訓

失敗事例1: 一斉移行で全社のPCが更新プログラム適用に失敗

状況: 金融業F社（従業員500名）は、ある週末に全PCをIntuneに一斉移行した。月曜朝、全社のPCで「Windows Updateエラー 0x80070002」が多発し、業務開始が2時間遅れた。

原因:

  • Intuneポリシーで「延期期間0日」に設定していた
  • Microsoftが金曜日に問題のある更新プログラムをリリースしていた
  • 段階的展開をしなかったため、問題発覚が遅れた

対策:

  • 延期期間は最低7日間に設定（問題のある更新プログラムが撤回される猶予を持つ）
  • パイロット運用を必ず実施（最低2週間）
  • 週末・連休前の大規模展開は避ける

失敗事例2: Delivery Optimizationの設定ミスでインターネット帯域が逼迫

状況: 小売業G社（従業員200名）は、Intune移行後、毎月第2火曜日にインターネット回線が極端に遅くなる現象が発生。社内のWebシステムが使えなくなり、業務に支障が出た。

原因:

  • Delivery Optimizationが「インターネットからダウンロード」に設定されていた
  • 200台が同時に数GBの更新プログラムをダウンロードし、帯域を圧迫
  • WSUSの頃は社内サーバーからダウンロードしていたため、問題がなかった

対策:

  • Delivery Optimizationを「LANピア」モードに設定
  • Intuneポリシーで「ダウンロード帯域の制限」を設定
  • 更新プログラムの適用時間を営業時間外に設定

失敗事例3: Azure AD登録漏れで一部PCが管理対象外に

状況: 製造業H社（従業員300名）は、Intune移行後、一部のPCにWindows Updateが適用されていないことに1ヶ月後に気づいた。セキュリティ監査で指摘され、急遽対応に追われた。

原因:

  • Azure AD Join時に、一部のPCで登録エラーが発生していた
  • エラーに気づかず、登録が完了したと思い込んでいた
  • Intune管理センターでデバイス一覧を定期的に確認していなかった

対策:

  • Azure AD登録後、必ずIntune管理センターでデバイス一覧を確認
  • 登録漏れがないか、台数をチェック
  • 月次で管理対象デバイス数をレポート化
  • PowerShellスクリプトで自動チェック

失敗事例4: グループポリシーとIntuneポリシーの競合

状況: IT企業I社（従業員400名）は、Hybrid Azure AD Join構成でIntune移行したが、Windows Updateポリシーが適用されないPCが多数発生した。

原因:

  • オンプレADのグループポリシーで「Windows Updateを無効化」が残っていた
  • グループポリシーとIntuneポリシーが競合し、グループポリシーが優先されていた
  • MDM優先設定を有効にしていなかった

対策:

  • Intune移行前に、グループポリシーのWindows Update設定を削除
  • 「MDM優先」ポリシーを有効化
  • 競合する設定がないか、グループポリシーを棚卸し

失敗事例5: 業務システムベンダーとの事前協議不足

状況: 医療法人J社（従業員80名）は、Intune移行後、電子カルテシステムが特定の更新プログラムで起動しなくなった。ベンダーに問い合わせたところ、「Intuneでの動作は保証外」と回答され、緊急でWSUSに戻す羽目になった。

原因:

  • Intune移行前に、業務システムベンダーと動作保証について協議していなかった
  • ベンダーが「手動で更新プログラムを適用する運用」を前提としていた
  • 自動適用による互換性問題を想定していなかった

対策:

  • Intune移行前に、すべての業務システムベンダーと協議
  • 「Windows Update自動適用」の可否を確認
  • 保証外と回答された場合、ベンダーとSLA再交渉またはWSUS継続を検討

【新規追加】移行コストの詳細試算——WSUSとIntuneの3年間TCO比較

前提条件（100台規模の中小企業）

  • 従業員数: 100名
  • 管理対象PC: 100台（Windows 10/11のみ）
  • IT管理者: 1名（兼務）
  • 現行: WSUS運用中

WSUSの3年間TCO

項目 1年目 2年目 3年目 3年間合計
サーバー調達費 30万円 0円 0円 30万円
サーバーOS・CAL 15万円 0円 0円 15万円
構築作業（40時間） 80万円 0円 0円 80万円
月次運用（月4時間×12ヶ月） 96万円 96万円 96万円 288万円
サーバー維持費（電気代・保守） 12万円 12万円 12万円 36万円
年間合計 233万円 108万円 108万円 449万円

Intuneの3年間TCO

項目 1年目 2年目 3年目 3年間合計
Microsoft 365 Business Premium（100ユーザー） 264万円 264万円 264万円 792万円
移行作業（80時間） 160万円 0円 0円 160万円
月次運用（月0.5時間×12ヶ月） 12万円 12万円 12万円 36万円
年間合計 436万円 276万円 276万円 988万円

コスト比較の結論

3年間のTCO:

  • WSUS: 449万円
  • Intune: 988万円
  • 差額: +539万円（Intuneの方が高い）

ただし、以下の要素を考慮すべき:

  1. 運用工数削減: 月4時間 → 0.5時間（年間42時間削減）
  2. リモートワーク対応: Intuneなら社外PCも管理可能（VPN不要）
  3. Microsoft 365の付加価値: Teams、Exchange Online、SharePointなども利用可能
  4. サーバー廃止: 物理的なサーバー管理が不要

結論: 純粋にWindows Update管理だけで比較すると、WSUSの方がコストは低い。しかし、リモートワーク対応や運用工数削減、Microsoft 365の付加価値を考慮すると、Intuneの方が総合的にメリットが大きい。

まとめ: IntuneはWSUSの代替ではなく「別のアプローチ」

IntuneとWSUSは、どちらもWindows Updateを管理するツールだが、設計思想がまったく異なる。

WSUSは「管理者が一つひとつ承認する手動管理ツール」であり、Intuneは「ポリシーを設定すれば自動で回る自動化ツール」だ。

どちらが優れているかではなく、自社の運用スタイルに合っているかで判断すべきだ。

Intune移行を検討すべきケース:

  • リモートワーク中心で、インターネット接続が前提
  • 運用工数削減を優先したい
  • Microsoft 365を既に契約している

WSUSを残すべきケース:

  • オフライン環境がある
  • 特定のKBを除外する必要がある
  • サーバーOSを多数管理している

移行前には、必ず以下をチェックしよう:

  • 全端末の接続状況
  • WSUSで除外している更新プログラムの理由
  • 業務システムとの互換性
  • サーバーOSの管理方針

この記事で紹介したチェックリストと失敗事例を参考に、慎重に移行を進めてほしい。

【次のステップ】IT管理者のキャリアアップを目指すなら

WSUSからIntuneへの移行経験は、IT管理者の市場価値を大きく高める。クラウド管理スキルは、転職市場でも高く評価される。

もしあなたが「クラウド管理の経験を積んでキャリアアップしたい」「Azure・Microsoft 365に強い企業に転職したい」と考えているなら、専門のエージェントに相談してみよう。

レバテックキャリアでは、Intune・Azure経験者向けの求人を多数扱っている。登録は無料で、匿名で求人情報を見ることもできる。

特に、以下のような経験があると、年収アップの可能性が高い:

  • WSUSからIntuneへの移行プロジェクト経験
  • Intuneを使ったWindows Update管理の実績
  • 100台以上のデバイス管理実績
  • Hybrid Azure AD Joinの構築・運用経験

私の周りでも、Intune移行プロジェクトの経験を武器に転職し、年収が100〜200万円アップした人が複数いる。クラウド管理のスキルは、今後ますます需要が高まる分野だ。