ほぼタイトルの通りの内容ではあるのですが……。
Microsoft 365 Business PremiumからStandardにプランを変更したら、使えるはずの「Basic Mobility and Security（基本的なモビリティとセキュリティ）」が全く動作しなくなった、という話題です。
デバイスの遠隔ワイプなど、ごく基礎的なMDM（モバイルデバイス管理）機能を利用できる、Microsoft 365 Business用のサービス「Basic Mobility and Security（基本的なモビリティとセキュリティ）」。下位の法人用プラン（Microsoft 365 Business BasicもしくはStandard）でも利用でき、小規模な組織であればデバイス管理にかなりの力を発揮してくれます。
しかし、私のように、過去に一度でもIntuneを有効にしていた組織の場合、以後、Intuneのライセンスのない下位プランでは「Basic Mobility and Security」を使えなくなる可能性があることが分かりました。
公式サポートにかなりの期間をかけて問い合わせた結果、私の環境では、Intuneの再導入（プランの再アップグレード等）なしでは解決不能と判断されています。
IntuneとBasic Mobility and Security
有名な「Microsoft Intune」は、Microsoft 365 Business Premiumなど、小～中規模法人用パックの上位プランにも付帯するエンドポイント管理サービスです。従業員の利用する端末（デバイス）やアプリケーションの細やかな一元管理が遠隔から可能になる、非常に優秀なツールだと評されています。
一方で、零細ひとり出版の私には、Intuneほど高度なデバイス管理は必要がない、というのが実情です。従業員もいませんから、いざというときにデバイスをワイプ（消去）できれば十分、というのが正直なところになります。
そういう弱者のニーズを満たしてくれそうなのが、下位プラン（Microsoft 365 Business BasicもしくはStandard）でも利用できる、標準MDM（モバイルデバイス管理）機能「Basic Mobility and Security（基本的なモビリティとセキュリティ）」です。
MDMとして基本的な機能が備わっており、デバイスのワイプ以外にも一定のレベルで端末管理ができますから、うちのような零細企業ならこちらで十分、という気もします。Intuneとの比較など、詳細は以下の公式情報をご確認ください。
また、機能のオンや設定は、Microsoft 365 管理センターではなく、「Microsoft Purview」から行います。自覚的に調べないと、この設定画面にはほぼ到着できないような気がしなくもありません。
プランのダウングレードでBasic Mobility and Securityが使用不能に
しかし、私の環境では、Microsoft 365 Business PremiumからStandardにダウングレードし、Intuneのライセンスが失効した直後から、Basic Mobility and Securityが完全に利用できない状態になりました。
下位プランでも使えるはずのMDMが、まったく機能しないのです。必要な設定を正しく行っても、デバイスの接続、ポータルアプリへのログイン、Basic Mobility and Securityの設定など、あらゆる場面でエラーが必ず発生します。
- Windowsの設定（アカウント）で、「職場または学校にアクセスする」項目から「接続」を試行した際のサーバーエラー（0x80180018）
- iOS用ポータルアプリで発生した、MDMプッシュ証明書ダウンロード試行時のエラー（EnrollmentNotEligibleError、userLicenseTypeInvalid: UserLicenseTypeInvalid）
など、それらの大半は、ライセンスエラー（Intuneのライセンス不足）が起きていることを示唆していました。
……Basic Mobility and Securityに、Intuneのライセンスは要らないはずですよね？
これらのエラー発生後、Microsoft社の公式サポートに支援を依頼して解決を試みましたが、「不要なはずのIntuneのライセンスが求められる」という状況は変化することなく、対処のしようがありませんでした。
結論として、この問題を解決するためには、Intuneのライセンスを再度取得する必要があるそうです。
どうやら同じ条件下でも、Intuneが利用できる環境なら、Basic Mobility and Securityは問題なく動作するということでした。しかし、Intuneが利用できる上位プランで低機能なBasic Mobility and Securityを使うというのでは、本末転倒になってしまいます。
次項で詳述しますが、おそらく、この問題の原因には「過去にIntuneを有効にしていたこと」が関わっているものと私は推測しています（サポートからは言及されていません、念のため）。
私のように一度でもIntuneを導入した組織は、以後、365 Business下位プラン単体（Intuneなし）でのBasic Mobility and Security運用ができなくなる可能性があることを想定しておくべきではないでしょうか。
この2ヶ月の間に、サポート窓口で解決不能と判断されること、都合3回。別の窓口に問い合わせるよう促されるたびに自力でチケットを再発行し、また最初からスクリーンショット付きで説明を繰り返す……という行為への徒労感。
その果てに、「同様の状況でも、Intuneの権限があればBasic Mobility and Securityは正常に動作する」という結論でサポートは完結したことは、やはりショックでした。
一度Intuneに手を染めた私は、もうIntuneを契約し続けるしか、Microsoftエコシステムの中でMDMを使う道がないということかもしれません。
Intuneを有効にしたことのあるテナントは要注意か
IntuneとBasic Mobility and Securityの関係はかなり複雑に見えますが、下位→上位プランへのアップグレードやIntuneライセンスの追加契約という順当な流れなら、問題は発生しづらいのでしょう。はじめにBasic Security and Mobilityを有効にし、その後からIntuneを追加すればよいという情報自体は、過去にMicrosoft Learnでも取り上げられていました。
しかしながら、今回のようなダウングレード、あるいはIntuneを有効にしていた組織での下位プランの混在、といった状況が絡んでくると、トラブル報告があちこちで散見されるようになります。
先ほど例に挙げたMicrosoft Learnの記事でも、コメントを開いて最後まで流れを確認すると、先にIntune設定あり→Premium・Standardプラン混在、という環境下でBasic Mobility and Securityに発生するライセンスエラーは、結局のところ改善されていません。
ライセンス割り当てやデバイス登録の確認、保護ポリシーの検討など、必要とされる手順を全て行ってもライセンスエラーが消えない、という状況は、私が直面したトラブルとよく似ているように思います。
Redditのような海外の掲示板でも、Business PremiumとStandardの契約がテナント内で混在していると、StandardプランのユーザーがBasic Mobility and Securityを使えないという話題が過去に投稿されていたようです。このトピック内にある「（Microsoftドキュメントで）Intuneを有効にしたことがある場合、『基本的なモビリティとセキュリティ』を使用できないということを読みました」というコメント（事実関係不明、かつ5年前の投稿）も、案外ありえる根の深い問題なのかもしれません。
また、これは私とサポートの方とのやりとりを通じて分かったことですが、MDM権限が「Microsoft Intune」に設定されている場合はIntuneによるデバイス管理が、「Microsoft Office 365」に設定されている場合はBasic Mobility and Securityによる管理が適用されるそうです。ただ、IntuneからOffice 365にMDM機関を明示的に変更する操作はないということで、私は「現状では、いったん権限をIntuneに設定すると、もうOffice 365に変えられないのでは？」と勝手にいぶかしんでいます。
なお、先に挙げたRedditの別のトピックでは、プランをダウングレードしたテナントで、まだ生きているIntuneの設定からMDMのスコープを「なし」にしたらデバイスが追加できた、という情報もありましたが、私の環境では全くダメでした。
サポートへの仕様確認から始まった泥沼と現状
そもそも、なぜこのように面倒な事態に私が陥っているのかといいますと……。以前、「デバイスを遠隔でワイプする」ためにはIntuneが必要だと、公式サポートで案内されたからなのです※1。
※1 以下、ほぼ愚痴なので、この項は読み飛ばしていただいても何の問題もありません。
かつては、私が細々と使っていたMicrosoft 365 Apps for businessにも、遠隔でデバイスを無効化する程度の管理機能が用意されていたような記憶があります（アカウント管理画面の「デバイス」あたりから実行できたような……）。ところがふと気づくと、以前のような操作項目がどこにも見当たらなくなっていました。
そこで、サポートに「いま、（職場用アカウントの）デバイスを遠隔でワイプするためにはIntuneを使うしかないのですか？」と問い合わせたところ、「その通りで、Intuneが必要です」とのこと。
この情報提供が決定打となって、私は（自分にとって不要な機能も沢山ついてくる）365 Business Premiumへの契約変更をその場で決めたのです。
しかし、Intuneの設定を済ませ、そのままダラダラとPremiumを使い続けていたある日。「やっぱりおかしいんじゃないの？」と思って調べてみたら、あるではないですか。Microsoft 365 Business BasicとStandardにも、Basic Mobility and Securityという必要十分な機能が。
確かに、私個人の感想としては分かりにくいシステムですし、あまり大っぴらには紹介されていませんけれども……。「Microsoft Purview」からオンにできるということ自体、この時点で調べ直すまで全く気づきませんでしたし。
これが使えるなら、あとは、零細企業でも安価にエンドポイント検知対応（EDR）が使えてありがたいMicrosoft Defender for Businessを別途契約しておけば、Standardプランの内容でも個人的には満足なわけです。
そこで、改めてサポートに問い合わせてみると、やはり遠隔ワイプ程度ならBasic Mobility and Securityだけで実行できるとのこと。私は愕然としながら、プランの中途変更・ダウングレードを申し出たのでした。
……そこからが泥沼です。
Premiumのライセンスが失効した瞬間から、MDM関係のエラーが出るわ出るわ。
PCもスマホも、MDMが関わる機能は全滅。Basic Mobility and Security側をきっちり設定したことは確かなのに、何かするたびに「Intuneのライセンスがない」的なエラーを吐きまくります。ワイプどころではなく、PCやスマホのポータルアプリもエラーでまともに使えません。
当然ながら、スマホ用のMicrosoft関係アプリだって、Basic Mobility and Securityでポリシーを有効にしている限りはログイン不能になります※2。
※2 一度Basic Mobility and Securityをオンにすると、オフにする項目はありません。Intuneなしの状況でこの問題が発生中、かつ職場用アカウントでMDMを無効にしたければ、ポリシーの設定を「このポリシーは保存されますが、組織内のどのデバイスにも適用されません。」に変更しておくのが無難な避け方かと思います。
その後、サポートからのすすめでIntuneの窓口に（自力でチケットを新規発行して）問い合わせ、混み合っているために1ヶ月待ち、そこから（おそらく自動翻訳のせいで）まったくこちらの意図が届かないまま別のチケットを発行するよう通告され、新たにチケットを発行して最初から説明をやり直し……。
そしてついに「今回のケースでも、Intuneを利用できる環境ならBasic Mobility and Securityは問題なく動く」という結論に至ったのでした。プランの自主的な再アップグレードを前提とした解決策しか示されなかったのは、やはり残念です。
そんなわけで、私の心は悲しみに沈んでいます。
これはもう、本来なら必要のなかったMicrosoft 365 Business Premiumを再契約して、使い続けるほかないということですね（サポートから明言はされませんでしたが）。
初期サポートの誤りから始まったトラブルなのに、ほぼ使い途のない機能が盛りだくさんのプランに対して上乗せ料金を払い続けるなんて、心情的にかなりつらいのですが……。
ちなみに、仕方なく試用版のMicrosoft 365 Business Premiumライセンスを入れてみたら、Intuneの権限が復活し、ポータルアプリを含めてMDMが絡む機能は全て問題なく動くようになりました。……そんなことは、やる前から分かっていましたけれども。
