WSUS→Intune移行を検討しているIT担当者から、「IntuneはWSUSの完全な代替になりますか？」という質問をよく受ける。
結論から言うと、IntuneとWSUSは設計思想が異なるため、「同じこと」はできない。
ただし、Intuneには「WSUSではできなかったこと」もできる。
この記事では、Intuneでできること・できないことを、WSUS担当者向けに具体的に解説する。
移行を検討している方は、まずWSUS担当者がIntuneを触る前に知っておくべき概念の違い5つも併せて読んでほしい。
私がIntune移行プロジェクトを始めた初日、最も驚いたのは「WSUSでできていたことができない」というギャップだった。
具体的には：
「これじゃあWSUSより不便じゃないか」と思ったのが正直なところだ。
しかし、使い込んでいくうちに、Intuneには「WSUSではできなかったこと」が山ほどあることに気づいた。
Intuneは「WSUSの代替」ではなく、「次世代の端末管理」だと理解できた瞬間だった。
WSUSは社内ネットワークに接続している端末しか管理できない。リモートワーク端末を管理するには、VPN接続が必要だった。
Intuneはクラウドベースのため、インターネットに接続していれば、どこからでも管理できる。
これらのシーンでも、VPN接続なしでWindows Updateを配信できる。
私の会社では、コロナ禍以降、従業員の70%がリモートワークに移行した。
WSUS時代は、VPN接続が前提だったため、以下の問題があった：
Intune移行後、VPN接続なしで自動的にWindows Updateが配信されるようになり、これらの問題が一気に解決した。
IT担当者として、「VPN接続してください」という催促メールを送る必要がなくなったのは、地味だが大きな改善だった。
WSUSはWindowsのみ対応。
Intuneは以下のOSに対応：
BYOD（私物端末の業務利用）環境でも、Intuneなら一元管理できる。
営業部に配布していたiPad（50台）は、これまでApple Configuratorで手動管理していた。
新規導入や設定変更のたびに、iPadを回収して手動で設定するのは非常に手間だった。
Intuneに移行後、以下が可能になった：
管理工数が月10時間から2時間に削減された。
WSUSはWindows Updateの配信のみ。
Intuneは以下のアプリケーション配信に対応：
例えば、新入社員の端末に「Office 365」「Teams」「Adobe Acrobat Reader」を自動インストールすることが可能だ。
これまで、新入社員の端末セットアップには以下の手順が必要だった：
これを1台あたり1時間かけて手動で実施していた。年間20名の新入社員がいるため、年間20時間の工数だった。
Intune + Autopilotを使うことで、以下のように自動化できた：
IT担当者の介入なしで、新入社員が自分で端末をセットアップできるようになった。年間工数が20時間から0時間になった。
WSUSにはない機能として、「コンプライアンスポリシー」がある。
例えば：
このように、セキュリティ要件を満たさない端末を自動的にブロックできる。
以前、ある社員が「Windows Updateが面倒」という理由で、半年間更新を無効にしていた。
その端末がマルウェアに感染し、社内システムに不正アクセスの痕跡が残った。幸い情報漏洩には至らなかったが、対応に丸一日かかった。
Intuneのコンプライアンスポリシーを導入後、以下のルールを設定した：
この設定により、社員は自然と更新を適用するようになった。IT部門が催促する必要もなくなった。
WSUSでは、新規端末のActive Directory参加は手動で行う必要があった。
IntuneのAutopilot機能を使えば、端末が初回起動時に自動的にAzure ADに参加し、必要なアプリケーションやポリシーが自動適用される。
新入社員や拠点増設時の端末セットアップ工数を大幅に削減できる。
地方拠点を新設した際、30台の端末をセットアップする必要があった。
WSUS時代は、以下の手順が必要だった：
これを30台分実施するのに、丸3日かかった。
Autopilot導入後は、以下のように変わった：
IT担当者の介入時間は、シリアル番号の事前登録（30分）のみ。工数を90%削減できた。
WSUSでは、更新プログラムを1つずつ確認して承認できた。
Intuneは基本的に自動配信で、個別の更新プログラムを「この更新だけ拒否」といった細かい制御はできない。
ただし、以下の制御は可能：
「この更新プログラムだけは適用しない」という運用は、Intuneでは難しい。
2024年10月、Microsoftがリリースした品質更新プログラム（KB5006670）で、一部の業務アプリが起動しなくなる問題が報告された。
WSUS時代であれば、「この更新だけ承認しない」という対応ができた。
しかし、Intuneでは個別の更新プログラムを拒否できない。対応策として、以下を実施した：
結局、Microsoftが修正版を10日後にリリースしたため、大きな問題にはならなかった。
教訓: Intuneでは「延期期間」を適切に設定し、問題のある更新プログラムを回避する猶予を作ることが重要。
WSUSは社内サーバーから配信するため、インターネット帯域を消費しない。
Intuneはインターネット経由でMicrosoftから直接ダウンロードするため、帯域が不足すると遅延が発生する。
対策：
完全にインターネット経由を避けることはできないが、工夫次第で帯域消費を抑えられる。
Intune移行直後、Patch Tuesday当日にインターネット回線が異常に遅くなった。全200台の端末が一斉にMicrosoft Updateから累積更新プログラム（約500MB）をダウンロードしたためだ。
対策として、Delivery Optimizationを有効にした。
設定手順:
この設定により、1台目がMicrosoftからダウンロードした後、残りの199台は社内LAN経由でその端末から取得するようになった。
次回のPatch Tuesdayでは、インターネット帯域の消費が約90%削減された。
WSUSは社内ネットワーク内で完結するため、インターネット接続がなくても管理できた（WSUSサーバー自体はインターネット接続が必要）。
Intuneはクラウドベースなので、端末がインターネットに接続していないと管理できない。
完全なオフライン環境（例: 工場の製造ライン端末）では、Intuneは使えない。
私の会社には、工場の製造ライン端末が50台ある。これらはセキュリティ上の理由でインターネットに接続できない。
Intuneに移行できないため、これらの端末はWSUSで管理を継続している。
ハイブリッド運用（Intune + WSUS）で、それぞれの強みを活かした管理ができている。
詳しくはIntune移行後もWSUSを残すべきケースと、完全廃止できるケースの判断基準を参照してほしい。
WSUSは以下のレポート機能が充実していた：
Intuneにもレポート機能はあるが、WSUSほど詳細ではない。
ただし、Microsoft 365管理センターやAzure ADのレポート機能と組み合わせることで、より広範な情報を取得できる。
| 機能 | WSUS | Intune |
|---|---|---|
| Windows Update配信 | ◯ | ◯ |
| 更新プログラムの個別承認 | ◯ | △（延期設定のみ） |
| リモート端末管理（VPN不要） | ✕ | ◯ |
| iOS/Android管理 | ✕ | ◯ |
| アプリケーション配信 | ✕ | ◯ |
| 社内サーバーからの配信 | ◯ | △（Delivery Optimization） |
| オフライン環境対応 | ◯ | ✕ |
| コンプライアンスポリシー | ✕ | ◯ |
| 自動登録（Autopilot） | ✕ | ◯ |
| 詳細レポート | ◯ | △ |
| サーバー運用工数 | 高い | 低い |
| ライセンスコスト | 無料（Windows Server CAL込み） | 有料（Microsoft 365 E3/E5など） |
IntuneとWSUSは、必ずしもどちらか一方を選ぶ必要はない。
以下のようなハイブリッド運用も可能だ：
詳しくはIntune移行後もWSUSを残すべきケースと、完全廃止できるケースの判断基準を参照してほしい。
個別承認はできないが、延期期間（0〜30日）を設定することで、検証期間を確保できる。
例えば：
完全に社内サーバーから配信することはできないが、Delivery Optimizationを有効にすることで、社内ピアツーピアでキャッシュ共有できる。
設定方法：
Intune単体ではレポート機能が弱いが、Microsoft 365管理センターやAzure ADのレポート機能と組み合わせることで、より詳細な情報を取得できる。
A: 以下の質問で判断できる。
A: Microsoft 365 E3ライセンス（月額約3,000円/ユーザー）が必要。Intune単体ライセンス（約1,000円/ユーザー）もある。詳しくはIntune移行にかかる費用と工数の現実を参照。
A: 端末台数と既存環境による。100台規模で3〜6ヶ月が目安。詳しくはWSUSからIntuneへの移行ロードマップを参照。
A: Windows Update経由でドライバー更新を配信できる。ただし、メーカー独自のドライバーは、Win32アプリとして配信する必要がある。
A: 完全移行後は不要。ただし、ロールバックに備えて1〜3ヶ月は残しておくと安心。
詳しくは中小企業がIntuneを導入してWSUSを廃止するまでの実録——3ヶ月の移行記録を参照してほしい。
IntuneとWSUSを比較すると、以下のことが分かる。
Intuneは「WSUSの代替」ではなく、「次世代の端末管理」だ。
WSUSの機能をそのまま置き換えるのではなく、Intuneの強みを活かした運用設計が必要だ。
次のステップ:
移行は一朝一夕にはいかない。焦らず、段階的に進めることが成功の鍵だ。
※免責事項: 本記事の内容は一般的な情報提供を目的としており、特定の環境における動作を保証するものではありません。実際の運用はMicrosoft公式ドキュメントを確認の上、検証環境でテストしてから実施してください。