Microsoft Intuneで導入する

IntuneのPlatform scriptsでFoltaをSYSTEM・64bit PowerShell実行し、3層で導入結果を確認する手順です。

IntuneのPlatform scriptsからFoltaをWindows端末へ配布し、導入結果を確認する手順です。

まず結論

現行のFoltaは、IntuneのPlatform scriptsへ setup-mdm.ps1 をそのまま登録し、SYSTEM・64bit PowerShellで実行する方式を推奨します。

Intuneに「実行コマンド」を入力する欄はありません。アップロードしたPowerShellスクリプトをIntune Management Extensionが直接実行します。

Win32 app方式は、現行Foltaにアンインストール処理、完全な検出ルール、登録後の部分失敗を安全に再実行する仕組みがないため、本ページの標準手順にはしません。

**検証状況：公式仕様確認済み・Folta実機検証待ち。**Microsoft公式情報で、Platform scriptsの画面、SYSTEM / 64bit設定、割り当て、ログ、再試行を確認済みです。Foltaの非冪等な登録処理を含む端末実行は実テナントで未検証のため、共有端末を含む2〜5台で検証してから展開してください。

仕組みを30秒で理解する

Microsoft Intune
  ↓ SYSTEM・64bit PowerShellで実行
setup-mdm.ps1
  ↓
Foltaへ端末登録
  ↓
Chrome / Edgeの強制インストールとManaged StorageをHKLMへ設定

Foltaの導入処理は setup-mdm.ps1 が行います。Intuneはそのファイルを端末へ届け、SYSTEM権限で起動する役目です。

この手順の対象

• Microsoft IntuneのWindows Platform scriptsを利用できること
• Windows 10 / 11のIntune管理端末
• Windows Home、S modeではないこと
• 原則としてMicrosoft Entra joinedまたはMicrosoft Entra hybrid joinedであること
• Google ChromeまたはMicrosoft Edgeを使用すること

Intune Management Extension（IME）1.58.103.0以降が動作し、対象ユーザーまたはデバイスに適切なIntune利用ライセンスが割り当てられていることを確認してください。

Entra registeredだけの端末は、本ページの標準対象外です。Chrome Web Store外の拡張機能強制インストールが成立するかを実機で確認してから展開してください。

事前準備

• Folta管理者権限
• Intune Administrator、またはPlatform scriptsの作成・割り当て・監視に必要なIntune RBAC権限
• 対象グループとscope tagを操作できる権限
• 対象ユーザーまたはデバイスのIntune利用ライセンス
• Intune Management Extension（IME）が導入・通信できる端末
• 2〜5台のテスト用デバイスグループ
• Folta管理画面の［セットアップ］から取得した最新のWindows用セットアップキット
• SYSTEMコンテキストからFolta API、拡張機能の更新先、Intune必要エンドポイントへHTTPS接続できること

登録トークンの有効期限は発行から90日です。期限内に未登録端末が残る場合は、新しいセットアップキットを取得してください。

1. セットアップキットを準備する

Folta管理画面の左サイドメニューで、［端末］から［セットアップ］を開きます。

左サイドメニューの［端末］にある［セットアップ］を選択します。

「Windows」を選ぶと、Windows用セットアップキットのダウンロードボタンが表示されます。

Windowsを選択し、Windows用セットアップキットをダウンロードします。

ダウンロードには編集権限が必要です。ブラウザの配布設定が完了していない場合は、ダウンロードボタンが無効になります。

1. ［Windows用をダウンロード］を押します。
2. ZIPを管理者PCで展開します。
3. setup-mdm.ps1 を確認します。

IntuneのPlatform scriptsへ登録するのは setup-mdm.ps1 だけです。

• setup.ps1 は手動導入用のため使用しません。
• extension フォルダを端末へ配る必要はありません。
• ファイル内には環境固有の登録トークンが含まれるため、本文、チケット、チャット、スクリーンショットへ貼り付けないでください。

2. Platform scriptを作成する

Intune管理センターで次へ進みます。

Devices
→ Scripts and remediations
→ Platform scripts
→ Add
→ Windows 10 and later

名前は、環境と発行日を識別できるようにします。

Folta setup - Windows - 2026-08-21

setup-mdm.ps1 をアップロードし、実行設定を次のとおりにします。

設定	値
Run this script using the logged on credentials	No
Enforce script signature check	No
Run script in 64-bit PowerShell host	Yes

Run this script using the logged on credentials = No によりSYSTEMで実行されます。64-bit = Yes により、64bit Windowsの意図したHKLMへポリシーを書き込みます。

3. テスト端末へ割り当てる

1. 2〜5台だけを含むMicrosoft Entra IDのデバイスセキュリティグループを用意します。
2. Platform scriptのAssignmentsで、そのデバイスグループを割り当てます。
3. 作成内容を確認して保存します。

ユーザーグループではなく、デバイスグループへの割り当てを推奨します。FoltaはSYSTEMで端末単位のHKLMを設定するためです。

配布を早める場合は、Company Portalの［Settings］→［Sync］、またはIntune管理センターの対象端末から［Sync］を実行します。

ScriptsにMulti Admin Approvalが設定されているテナントでは、別管理者の承認も必要です。

Platform scriptは200KB未満のASCIIである必要があり、1回の実行は30分でタイムアウトします。端末時計が大幅にずれている場合も失敗原因になります。

4. 端末上で事前テストする場合

通常のIntune配布ではコマンド入力は不要です。次の管理者コマンドは構文と一般動作の確認用であり、IntuneのSYSTEM実行を再現しません。

%SystemRoot%\System32\WindowsPowerShell\v1.0\powershell.exe -NoLogo -NoProfile -NonInteractive -ExecutionPolicy Bypass -File "C:\Temp\setup-mdm.ps1"

32bitプロセスから64bit PowerShellを明示的に起動する場合は次を使用します。

%SystemRoot%\Sysnative\WindowsPowerShell\v1.0\powershell.exe -NoLogo -NoProfile -NonInteractive -ExecutionPolicy Bypass -File "C:\Temp\setup-mdm.ps1"

Microsoft公式の案内どおりSYSTEMでローカル確認する場合は、Microsoft SysinternalsのPsExecを管理者として実行し、SYSTEMのコマンドプロンプトを開きます。

psexec.exe -accepteula -i -s cmd.exe

開いたプロンプトで whoami が nt authority\system であることを確認してから、上記のPowerShellコマンドを実行します。PsExecを利用できない環境では、Intuneの1台パイロットでSYSTEM実行を確認してください。

この操作は実際にFoltaへ端末を登録します。登録済み端末で再実行すると409で失敗するため、新しい検証端末で行ってください。

5. 正常導入を確認する

Intuneの Succeeded だけではFoltaの導入成功とは判断しません。次の3か所をすべて確認します。

① Intune

対象のPlatform scriptを開き、［Monitor］のDevice statusで対象端末が Succeeded になっていることを確認します。

② Windows・ブラウザ

ChromeまたはEdgeを完全終了して再起動します。

• chrome://policy または edge://policy でポリシーを再読み込みする
• ExtensionInstallForcelist がエラーなしで表示される
• chrome://extensions または edge://extensions でFoltaがポリシー管理として表示される
• 利用者がFolta拡張機能を削除できない

Chromeのレジストリは管理者PowerShellで次のように確認できます。

Get-ItemProperty 'HKLM:\Software\Policies\Google\Chrome\ExtensionInstallForcelist'

Edgeの場合:

Get-ItemProperty 'HKLM:\Software\Policies\Microsoft\Edge\ExtensionInstallForcelist'

Managed Storageの値を表示すると認証情報が含まれます。コマンド結果をチャット、チケット、スクリーンショットへ貼らないでください。

③ Folta管理画面

• 端末一覧に対象端末が表示される
• ホスト名と想定ユーザーを確認できる
• テスト用ポリシーで検知・警告・ブロックが動作する
• 管理画面へログが届く
• Windowsやブラウザの再起動後も拡張機能が維持される

Intuneログを確認する

Intune管理センター:

Platform script
→ Monitor
→ Device status / User status

端末上のIMEログ:

C:\ProgramData\Microsoft\IntuneManagementExtension\Logs

主に確認するログ:

ログ	確認内容
IntuneManagementExtension.log	IMEのチェックイン、ポリシー取得、結果報告
AgentExecutor.log	Platform scriptとPowerShellの実行

重要：失敗後の自動再試行

Platform scriptが失敗すると、Intuneは次の3回のIMEチェックインで再試行します。その後はスクリプトまたはポリシーを変更しない限り追加試行されません。

Foltaは同じ有効端末へ再登録すると409で終了するため、次の部分失敗に注意してください。

Foltaへの端末登録は成功
  ↓
その後のレジストリ設定で失敗
  ↓
Intuneが再試行
  ↓
すでに登録済みのため409となり、レジストリ設定へ進めない

この状態では次の順で復旧します。

1. Folta管理画面で対象端末を確認する
2. 対象端末をrevokeする
3. 登録トークンが期限切れなら新しいセットアップキットを取得する
4. Intune側でスクリプトを更新するなど、再実行対象になる変更を行う
5. 再配布後、Intune・ブラウザ・Foltaの3か所を再確認する

Microsoft公式には、デバイスへ割り当てたPowerShell scriptが、新しいユーザーの初回サインイン時にも実行される場合があると記載されています。Foltaは再登録で409となるため、共有端末では新規ユーザーのサインインを含めて実行回数を確認し、確認が終わるまで全社へ割り当てないでください。

パイロットの停止・復旧

次のいずれかが発生したら、Assignmentsから次の配布対象を外し、原因が分かるまでScopeを広げません。

• 1台でも401 / 409または原因不明の再試行が発生した
• Intuneは Succeeded だが、ブラウザまたはFolta管理画面で確認できない
• 新規ユーザーのサインインで意図せず再実行された
• テストポリシーまたはログ送信が失敗した

Platform scriptの割り当て解除は、新規実行を止める操作です。既に書き込まれたChrome / Edgeのレジストリポリシー、拡張機能、Folta端末登録を元に戻す操作ではありません。現行キットには公式アンインストーラーがないため、既存端末を手動で一括削除せず、対象端末を記録し、必要なFolta登録だけを管理画面でrevokeしてから撤去方法を個別に検証してください。

トラブルシューティング

Device statusに端末が表示されない

• デバイスグループへの所属を確認する
• Intune enrollmentとIMEサービスを確認する
• Company Portalまたは管理センターから同期する
• Windows Home、S modeでないことを確認する

401で失敗する

登録トークンの期限切れです。Folta管理画面から新しいWindows用セットアップキットを取得します。

409で失敗する

同じハードウェアUUIDの端末がFoltaへ登録済みです。単純に成功扱いせず、Folta管理画面で対象端末を確認し、必要な場合だけrevokeしてから再配布します。

SYSTEMではFolta APIへ接続できない

ユーザー単位のプロキシ設定や認証プロキシが原因になる場合があります。SYSTEMコンテキストからFolta APIと拡張機能更新先へ通信できるようにします。

IntuneはSucceededだが拡張機能が出ない

• Chrome / Edgeを完全終了して再起動する
• chrome://policy または edge://policy を確認する
• 拡張機能更新先と配信先への通信を確認する
• Entra参加状態を確認する
• 64bit PowerShell設定が Yes か確認する

Folta上のユーザー名がSYSTEMまたは管理者になる

スクリプト実行時に利用者がWindowsへログオンしていない場合があります。ホスト名とハードウェアUUIDで端末を照合し、利用者名が重要な場合は対象ユーザーのログオン中に検証します。

やってはいけないこと

• setup.ps1 をPlatform scriptsへ登録する
• 64bit PowerShellを No にする
• ユーザー資格情報で実行する
• Intuneの Succeeded だけで全社展開へ進む
• 409を成功として無視する
• Managed Storageの認証情報や登録トークンを共有する
• 現行の setup-mdm.ps1 を、検出ルールのないWin32 appとして繰り返し再配布する
• 共有端末で新規ユーザーのサインイン時再実行を確認せず全社割り当てする

全社展開前チェック

• 2〜5台のデバイスグループで検証した
• Platform scriptが Succeeded になった
• Chrome / Edgeのポリシーと拡張機能を確認した
• Folta管理画面で端末登録とログを確認した
• SYSTEMから必要な通信先へ接続できた
• 失敗時のIMEログを保存できる
• 401 / 409 / 部分失敗の復旧手順を担当者が理解した
• 段階展開の対象と実施時間を決めた
• 新規ユーザーのサインインを含む再実行条件を確認した
• 停止判断と、現行キットに公式アンインストーラーがないことを担当者が理解した

参考：なぜWin32 appを使わないのか

Win32 appには、インストール後の検出ルールとアンインストールコマンドが必要です。現行Foltaのセットアップは端末登録済み状態で安全に何度も再実行できず、単一レジストリ値だけではChrome・Edge・Folta登録の全成功を判定できません。

Folta側に、冪等な再実行、完全な検出スクリプト、アンインストーラーが追加された段階でWin32 app手順を作成します。

公式情報

• Microsoft IntuneでWindows PowerShellスクリプトを使用する
• Intune Management Extensionの前提条件
• Intuneのネットワークエンドポイント
• Intuneの組み込みRBACロール
• Multi Admin Approval
• Google Chrome ExtensionInstallForcelist