Microsoft IntuneでPC管理を行う場合に、既定ではEntra参加を行ったユーザーのEntra IDアカウントが
PCのローカル管理者グループ(Administrators)へ追加される動きとなっています。

利用者のユーザーアカウントに対して、ローカル管理者権限を与えないようにするには下記3つのオプションにて対応可能です。

• デバイス登録ポリシー
• Windows Autopilot
• 一括登録

デバイス登録ポリシー

デバイス登録ポリシーはMicrosoft Entra管理センター上のデバイス設定より下記設定を行うことで制御可能です。

• 登録ユーザーはMicrosoft Entra参加中にデバイスのローカル管理者として追加されます

Windows Autopilot

Windows Autopilotで作成するプロファイルにて下記設定を行うことで制御します。

• Out-of-box experienceページにある、「ユーザーアカウントの種類」を標準にする

一括登録

プロビジョニングパッケージによる一括登録は自動生成したユーザーのコンテキストにて実行されるため
仕組み上、Entra参加後に利用者によるサインインとなり結果としてローカル管理者権限が付与されません。

参考URL

• 通常のユーザーの管理
  • https://learn.microsoft.com/ja-jp/entra/identity/devices/assign-local-admin#manage-regular-users
• デバイス登録ポリシー
  • https://learn.microsoft.com/ja-jp/entra/identity/devices/manage-device-identities
• Windows Autopilot
  • https://learn.microsoft.com/ja-jp/autopilot/tutorial/user-driven/azure-ad-join-autopilot-profile