Windowsのサポートが終了した端末を把握することは、セキュリティリスク対策として重要です。本記事では、前回ご紹介した動的グループを活用して、サポートが既に終了したWindows端末を自動的に抽出する方法をご紹介します。
1. Windowsのサポート期限を確認する
Windows 11のサポート終了バージョンは以下公式サイトから確認できます。これらのページに各バージョンのサポート期限が記載されています。
Windows 11のサポート期限 (Home/Pro)
Windows 11 Home and Pro - Microsoft Lifecycle
Windows 11 Home and Pro - Microsoft Lifecycle
Windows 11のサポート期限 (Enterprise/Education)
Windows 11 Enterprise and Education - Microsoft Lifecycle
Windows 11 Enterprise and Education - Microsoft Lifecycle
2026年1月時点では、Windows10の全エディション、およびWindows 11のバージョン23H2（Home/Pro）がすでにサポートが終了しています。しかし、同じバージョン番号であってもエディションによってサポート期限が異なるため注意する必要があります。
例えば23H2の場合、Home/Pro版は既にサポートが終了していますが、Enterprise/Education版は引き続きサポートが提供されています。
エディションによるサポート期限の違い
バージョン | エディション | サービス終了日 |
|---|---|---|
23H2 | Home, Pro | 2025年11月11日 |
23H2 | Enterprise, Education | 2026年11月10日 |
2. 設定方法
それでは、実際に動的グループを使ってサポート終了の端末を抽出しましょう。動的グループでOS種別とビルド番号、この2つでフィルタリングします。
今回はHome/Pro版のサポート切れを想定して説明します。
23H2のOSビルド番号は 10.0.22631.xxxx で、24H2は 10.0.26100.xxxx のため、24H2未満の端末を抽出するルールを作成します。各ビルド番号は以下公式サイトで確認できます。
23H2のOSビルド番号は 10.0.22631.xxxx で、24H2は 10.0.26100.xxxx のため、24H2未満の端末を抽出するルールを作成します。各ビルド番号は以下公式サイトで確認できます。
ただ、ここで問題があります。動的クエリの device.deviceOSVersion プロパティは 「文字列（String）」 として扱われるため、-lt などの比較演算子が使えません。
そのため 正規表現 を使用して、「Windows 10（全バージョン）」と「Windows 11のサポート切れバージョン」 を指定する方法をとります。
設定するルール構文（サポート終了バージョン）
2025年12月時点でサポートが終了している以下のバージョンを抽出対象とします。
- Windows 10: 全バージョン（ビルド番号 10.0.1**** 系）
- Windows 11: 21H2, 22H2, 23H2（ビルド番号 10.0.22000, 22621, 22631）
これらを正規表現で表現すると以下のようになります。
1(device.deviceOSType -eq "Windows") -and (device.deviceOSVersion -match "^10.0.(1[0-9]+|22000|22621|22631)(\\.[0-9]+)?$")
上記設定で対象デバイスがグループに参加されるか、ご確認ください。
設定するルール構文（バージョンの個別判定）
先頭一致の正規表現を利用することで、バージョンの判別を行います。
- Windows 10: 全バージョン（ビルド番号 10.0.1**** 系）
1(device.deviceOSType -eq "Windows") and (device.deviceOSVersion -startsWith "10.0.1")
- Windows 11: 全バージョン（ビルド番号 10.0.2**** 系）
1(device.deviceOSType -eq "Windows") and (device.deviceOSVersion -startsWith "10.0.2")
- Windows 11: 23H2（ビルド番号 10.0.22631.**** 系）
1(device.deviceOSType -eq "Windows") and (device.deviceOSVersion -startsWith "10.0.22631")
3. 補足
今回のように -match などの演算子を使用した複雑なルールの場合、グループのメンバーシップ更新に時間がかかることがあります。検証では数分で反映されましたが、公式サイトには「24時間以上かかる場合がある」と記載されているため、反映されない場合は、焦らず時間を置いてから再度確認してください。
4. まとめ
Microsoft Intuneには「更新リング」などの自動更新機能が備わっていますが、何らかのエラーで更新が当たらない端末や、長期間放置されている未使用端末も存在します。そうした端末を今回の仕組みで洗い出し、セキュリティリスクの低減にお役立てください。
