モバイルアプリケーション管理を使ってAndroid上でMicrosoft Defender for Endpointを設定

Android版のMicrosoft Defender for Endpointは、Microsoft Intuneモバイルアプリケーション管理(MAM)をサポートし、Intuneモバイルデバイス管理(MDM)に登録されているか登録されていないデバイスに対応しています。 他の企業向けモビリティ管理ソリューションを使用する組織も、管理されたアプリ内の組織データを保護するためにIntune MAMを利用できます。

Intuneアプリ保護ポリシーでは、Defender for Endpointデバイスリスクシグナルを用いて、管理されたアプリに条件付きローンチアクションを適用します。 アプリ設定ポリシーは、ウェブ保護、ネットワーク保護、プライバシー、ファイルスキャン、オプション権限、サインアウトコントロール、デバイスタグなどのDefender機能を制御します。

この記事では、管理者およびエンドユーザーの前提条件、Intuneポリシーで使用するDefenderの設定、そしてエンドユーザーのオンボーディング体験について説明します。

Microsoft Intuneは、エンドポイント機能のDefenderを構成してデバイスに配布するための推奨ツールです。 IntuneはDefender for Endpointの一部ではない別の製品です。 すべてのサブスクリプションに含まれているわけではありません。 Intune を使用するには、Intune を含むサブスクリプションが必要です。または、スタンドアロン サブスクリプションまたはアドオンとして個別に購入することもできます。 詳細については、「Microsoft Intune のライセンス」を参照してください。

Android版Defender for Endpointは以下のMAM構成をサポートしています:

• MaMを用いたIntune MDM:Intuneはデバイスを管理し、管理されたアプリにアプリ保護ポリシーを適用します。
• デバイス登録なしのMAM:Intuneは、登録されていないデバイスの管理されたアプリに アプリ保護ポリシー を適用します。 この構成はMAM-WEとも呼ばれ、第三者のエンタープライズモビリティ管理プロバイダーに登録されたデバイス上のアプリを保護することができます。

Microsoft Intune管理センターを使って両方の構成でアプリを管理してください。

前提条件

管理者の前提条件

ユーザーがDefender for EndpointをMAMモードでオンボードする前に、Defender for EndpointをIntuneに接続し、Androidアプリ保護ポリシー用のコネクタを有効にし、アプリ保護ポリシーを作成してください。

統合を設定するには、以下の権限が必要です:

• Intuneでは、 エンドポイントセキュリティマネージャー の役割または同等の権限でモバイル脅威防御設定を管理できます。
• Microsoft Entra ID では、セキュリティ管理者 ロール、または Defender for Endpoint のセキュリティ設定を管理するアクセス許可。

Defender for Endpoint を Intune に接続する

接続手順の詳細については、「Connect Microsoft Defender for Endpoint to Intune」をご覧ください。

次の設定を確認します。

• Microsoft Defender ポータルの「その他のオプション」ページで、Microsoft Intune 接続がオンになっていることを確認してください。

• Microsoft Intune管理センターのエンドポイントセキュリティ|Microsoft Defender for Endpointページで、以下の設定を確認してください:

  • ページの上部には「 接続状態 が 有効」となっています。
  • アプリ保護 policy evaluation セクションでは、Connect Android devices to Defender for Endpoint は On です。

アプリ保護ポリシーを作成する

アプリ保護ポリシーは、管理されたアプリ内の組織データを保護するルールです。 Intune App SDKに統合されたり、Intune App Wrapping Toolでラップされたアプリは、Intuneで管理可能です。 サポートされているパブリックアプリについては、Microsoft Intune保護アプリをご覧ください。

Android app protectionポリシーの作成および割り当て手順の詳細については、「アプリ保護 policiesの概要」をご覧ください。 このページは Intune ドキュメント内の新しいタブで開きます。

ポリシーを作成する際には、以下のDefender固有の設定を設定してください:

• ポリシー タイプ: Microsoft Intune 管理センターのアプリ | 保護ページで、作成>Androidを選択します。

• アプリ タブ:少なくとも1つの管理アプリを追加してください。 管理されたデバイス、管理されていないデバイス、または管理状態の任意のデバイスにアプリをターゲットにすることができます。

• 条件付きローンチ タブ: デバイス条件 セクションで 最大許容デバイス脅威レベル を選択し、以下の設定を設定します。

  • 価値:組織が許容する最大脅威レベルを選択します:セキュア、ロー、ミディアム、またはハイ。
  • アクション: アクセスをブロック するか データ消去を選択します。

Defender for EndpointはIntuneとデバイス脅威レベルを共有しています。 ユーザーがターゲットを絞った管理アプリにサインインすると、IntuneはDefenderデバイスのリスク信号を評価し、設定されたアクションを適用します。

エンド ユーザーの前提条件

ユーザーがオンボーディングを開始する前に、以下の要件が満たされているか確認してください:

• このデバイスはAndroid 10.0以降のシステムで動作しています。
• Intune ポータル サイトのブローカーアプリがインストールされています。
• ユーザーは管理アプリに必要なライセンスを持っています。
• 管理されたアプリはインストールされています。

エンドユーザーのオンボーディング

ターゲット型管理アプリがDefender for Endpointの有効化されていないことを検知すると、IntuneはユーザーにDefenderアプリのインストールと有効化を案内します。 一般的なAndroidのインストールおよびアクティベーション手順については、「モバイル 端末にモバイル脅威防御アプリをインストールする」をご覧ください。 アクティベート後、ユーザーは管理されたアプリに戻り、「 継続 」を選択してサインインします。

管理されたアプリの設定ポリシーを作成する

残りのセクションのDefender設定はIntune管理アプリの設定ポリシーを使用しています。 キーが同じ割り当てに適用される場合は、複数の Defender 構成キーを 1 つのポリシーに追加できます。 異なる設定や割り当てが必要な場合は別々のポリシーを作成しましょう。

手順の詳細については、「管理対象アプリのアプリ構成ポリシーを追加する」をご覧ください。 このページは Intune ドキュメントで新しいタブとして開きます。

ポリシーを作成するときは、次の設定を使用します。

• ポリシーの種類: Microsoft Intune 管理センターのアプリ | 構成ページで、作成>管理対象アプリを選択します。

• 基本タブ: 以下の設定を行ってください。

  • ターゲット ポリシー:選択したアプリ が選択されていることを確認します。
  • パブリックアプリを選択してください:+パブリックアプリを選択し、Microsoft Defender Endpoint Androidを見つけて選択し、その後選択を選択します。

• 設定 タブ: 一般的な設定設定 セクションで、以下の手順を行います:

  • この記事の該当するセクションで指定された名前と値を追加してください。
  • Defender for Endpoint を構成するすべての 1 ポリシーに、値 DefenderMAMConfigs を持つ を追加してください。 例外は、価値が0となるエンドユーザーオンボーディングを無効にするポリシーです。 このキーを 管理デバイス ポリシーに追加しないでください。

Web 保護を構成する

ウェブ保護 は、ウェブ脅威やフィッシング攻撃からデバイスを守ります。 フィッシング対策やURLやドメインのカスタムインジケーターもサポートされています。 Web コンテンツ フィルタリングは現在、モバイル プラットフォームではサポートされていません。

「Managed apps アプリの構成ポリシー」手順をご利用ください。 設定タブの一般設定セクションに、以下の設定キーを追加してください:

• 名前: antiphishing

• 値:

  • 1:フィッシング防止を有効にしてください。
  • 0:フィッシング防止を無効にしてください。

• 名前: vpn

• 値:

  • 1: ウェブ保護で使用されるローカル仮想プライベートネットワーク(VPN)を有効にします。
  • 0:VPNを無効にしてください。

すべてのウェブ保護を無効にするには、両方のキーを 0に設定してください。 VPNなしでフィッシング対策を有効にしたい場合は、 antiphishing を 1 に、 vpn を 0に設定してください。

ネットワーク保護を構成する

ネットワーク保護は、不正な Wi-Fi ネットワークや証明書からの脅威を検出します。 機能の挙動、対応する検知モード、プライバシー制御、最新イベントの状況概要については 、「ネットワーク保護の設定」をご覧ください。

Managed apps アプリ構成ポリシーの手順を使用してください。 設定タブの一般設定セクションに該当する設定キーを追加してください:

• 名前: DefenderNetworkProtectionEnable。 ネットワーク保護の有効化または無効化。 残りのネットワーク保護キーは、このキーが 1に設定された場合にのみ有効になります。

• 値:

  • 0:無効化。
  • 1: 有効化(デフォルト)。

• 名前: DefenderAllowlistedCACertificates。 ルート認証機関(CA)および自己署名証明書の信頼を確立します。

• 値:証明書のサムプリントを含む文字列を入力するか、値を入力しない(デフォルト)。

• 名前: DefenderCertificateDetection。 悪意ある証明書検出を制御します。 監査モードでは、ユーザーに通知せずにイベントがデバイスタイムラインに送信されます。 有効化されると、ユーザーに通知が届き、イベントがデバイスのタイムラインに送信されます。

• 値:

  • 0: 無効化(デフォルト)。
  • 1: 監査。
  • 2: 有効にする。

• 名前: DefenderOpenNetworkDetection。 オープンネットワーク検出を制御します。 監査モードでは、ユーザーに通知せずにイベントがデバイスタイムラインに送信されます。 有効化されると、ユーザーに通知が届き、イベントがデバイスのタイムラインに送信されます。

• 値:

  • 0:無効化。
  • 1: 監査。
  • 2: 有効化(デフォルト)。

• 名前: DefenderEndUserTrustFlowEnable。 安全でないネットワークや悪意のある証明書を信頼する、または信頼を解除する際のアプリ内エクスペリエンスを制御します。

• 値:

  • 0: 無効化(デフォルト)。
  • 1: 有効にする。

• 名前: DefenderNetworkProtectionAutoRemediation。 ユーザーがより安全な Wi-Fi アクセスポイントへの切り替えや疑わしい証明書の削除などの行動を取った際の修復アラートを制御します。

• 値:

  • 0:無効化。
  • 1: 有効化(デフォルト)。

• 名前: DefenderNetworkProtectionPrivacy。 ネットワーク保護データの収集を制御します。 プライバシーが無効化されると、ユーザーは悪意のある Wi-Fi や証明書データの共有に同意を求められます。 プライバシーを有効にすると、ユーザーに促されることもなく、アプリのデータも収集されません。

• 値:

  • 0:無効化。
  • 1: 有効化(デフォルト)。

プライバシー制御を構成する

プライバシー管理により、Defender for Endpointがフィッシング報告でドメイン情報を収集したり、マルウェア報告でアプリ情報を収集したりするのを防ぐことができます。 ネットワーク情報は「ネットワーク保護の設定」のDefenderNetworkProtectionPrivacyによって別途制御されます。

Managed apps のアプリ構成ポリシー手順をご利用ください。 設定 タブの一般構成設定セクションで、以下の1つまたは両方の構成キーを追加してください:

• 名前: DefenderExcludeURLInReport

• 値:

  • 1:フィッシング報告でドメイン名や安全でないウェブサイト情報を収集しないでください。
  • 0: ドメイン名および安全でないウェブサイトの詳細を収集(デフォルト)。

• 名前: DefenderExcludeAppInReport

• 値:

  • 1:マルウェア報告でアプリ名やパッケージ情報を収集しないでください。
  • 0: アプリ名とパッケージ情報を収集します(デフォルト)。

APK 以外のファイル スキャンを構成する

Androidアプリケーションパッケージ(APKファイル)をスキャンするだけでなく、Android版Defender for Endpointは文書、圧縮アーカイブ、スクリプトなどの非APKファイルもスキャンできます。 エンドポイントのDefenderは、Android プロファイルの境界を尊重し、ユーザーの個人プロファイル内のファイルにアクセスできません。

Managed apps アプリ構成ポリシー手順をご利用ください。 設定タブの「一般設定」セクションに、以下の設定キーを追加してください:

• 名前: EnableNonAPKFileScan

• 値:

  • 1: 非APKファイルスキャンを有効にしてください。
  • 0: 非APKファイルスキャンを無効にしてください(デフォルト)。

オプション権限

オプション権限により、VPNやアクセシビリティ権限を付与せずにオンボーディングを完了できます。 ユーザーは後でこれらの権限を確認して付与することができます。

オプション権限の設定

Managed apps app configuration policy の手順をご利用ください。 「設定」タブの「一般設定」セクションで、以下の1つまたは両方の設定キーを追加してください:

• 名前: DefenderOptionalVPN

• 値:

  • 1:オンボーディング時にVPN権限をスキップできるように。
  • 0: オンボーディング時にVPN権限を要求する(デフォルト)。

• 名前: DefenderOptionalAccessibility

• 値:

  • 1:オンボーディング時にアクセシビリティ許可をスキップできるように。
  • 0: オンボーディング時にアクセシビリティ許可を要求する(デフォルト)。

オンボーディング時の任意の権限に関するユーザーフロー

オプション権限を有効にすると、ユーザーは以下の動作を経験します:

1. ユーザーはVPN権限、アクセシビリティ権限、またはその両方をスキップしてオンボーディングを完了できます。
2. デバイスはオンボードし、ユーザーが権限をスキップしても心拍を送ります。
3. 両方の権限が無効になっているとウェブ保護は有効ではありません。 ウェブ保護は、ユーザーが権限のいずれかを付与したときに部分的に有効になります。
4. ユーザーは後にDefenderアプリからウェブ保護を有効にすることができます。 ウェブ保護を有効にすると、デバイスにVPN設定がインストールされます。

サインアウトを無効にする

サインアウトボタンを隠すことで、ユーザーがDefenderアプリからサインアウトするのを防ぎ、Defender for Endpointが引き続き動作するようにします。

Managed apps のアプリ構成ポリシーの手順をご利用ください。 設定タブの一般設定セクションに、次の設定キーを追加してください:

• 名前: DisableSignOut

• 値:

  • 1:サインアウトボタンを隠せ。
  • 0: サインアウトボタン(デフォルト)を表示します。

デバイスのタグ付けを構成する

Android版Defender for Endpointは、オンボーディング時にモバイルデバイスの一括タグ付けをサポートします。 ユーザーがDefenderをインストールして有効化した後、クライアントアプリはデバイスタグをMicrosoft Defenderポータルに送信します。 タグはデバイスインベントリに表示されます。

「Managed apps アプリの構成ポリシー」手順を使用してください。 設定タブの一般設定セクションに、以下の設定キーを追加してください:

• 名前: DefenderDeviceTag

• 値:

  • 新しいタグを割り当てるには、デバイスタグの文字列値を入力します。
  • 既存のタグを編集するには、値を変更してください。
  • 既存のタグを削除するには、ポリシーからキーを削除してください。

エンドユーザーのオンボーディングを無効にする

Android 上の Defender for Endpoint は、MAM モードで既定で有効になっています。 ユーザーが登録されていないデバイスでDefenderをダウンロードして設定するのを防ぐには、管理対象アプリのアプリ構成ポリシーの手順を使って、設定 タブの 一般的な構成設定 セクションに以下の構成キーを追加してください:

• 名前: DefenderMAMConfigs

• 値:

  • 0: エンドユーザーのオンボーディングを無効にしてください。
  • 1: エンドユーザーオンボーディングを有効にする(デフォルト)。

関連するコンテンツ

• モバイル脅威防御の概要
• モバイルでMicrosoft Defenderの動的プレビュー リングを構成する
• Microsoft Intune: Android でMicrosoft Defender for Endpointをデプロイして構成する