ユーザーが Windows 11 デバイスを contoso.com に参加させるときにローカルの管理者グループに自動的に追加されないようにするには、Azure AD でデバイス設定を構成する必要があります。デバイス設定を使用すると、どのユーザーがデバイスを Azure AD に参加できるか、またそのユーザーがローカル管理者として追加されるか標準ユーザーとして追加されるかを管理できます。既定では、デバイスを Azure AD に参加させるユーザーはローカルの Administrators グループに追加されますが、この設定を [なし] または [選択済み 1] に変更できます。
他のオプションは、次の理由からこのシナリオには関係ありません。
Windows Autopilot は、新しいデバイスを事前構成し、それらを Azure AD および Microsoft Intune に自動的に登録できるサービスです。デバイスに参加するユーザーのローカル管理者の役割は制御されません2。
Windows のプロビジョニング パッケージは、セットアップ プロセス中に Windows デバイスに適用できるカスタム設定とポリシーを含むファイルです。これらは、Azure AD 参加プロセスやユーザーのローカル管理者ロールには影響しません3。
Azure AD のセキュリティの既定値は、一般的な攻撃から組織を保護するために既定で有効になる一連の基本的な ID セキュリティ メカニズムです。これらには、デバイス管理またはローカル管理者の役割に関連する設定は含まれません4。
参考資料: Microsoft Entra 管理センターを使用したデバイス ID の管理、Windows Autopilot、Windows 10 のプロビジョニング パッケージ、セキュリティの既定値とは何ですか?

説明
* 管理者 1
アプリケーション管理者は、エンタープライズ アプリケーション、アプリケーションの登録、およびアプリケーション プロキシ設定に完全にアクセスできます。
* 管理者2
アプリを発行者認証済みとしてマークします。
Azure AD では、このユーザーはアプリケーション管理者、クラウド アプリケーション管理者、またはグローバル管理者のいずれかのロールのメンバーである必要があります。
* 管理者3
Office Apps 管理者 - 以下を行う必要があるユーザーに Office Apps 管理者の役割を割り当てます。
- Office クラウド ポリシー サービスを使用して、Office のクラウドベースのポリシーを作成および管理します
- サービスリクエストの作成と管理
- ユーザーが Office アプリで表示する新機能コンテンツを管理する
- サービスの健全性を監視する
参照：
Office Apps 管理者 - 次の操作を行う必要があるユーザーに Office Apps 管理者の役割を割り当てます。
https://docs.microsoft.com/en-us/azure/active-directory/develop/mark-app-as-publisher-verified

説明