Microsoft Intune の App Configuration ポリシー

アプリ構成ポリシーは、アプリの実行前にエンド ユーザーに割り当てられたポリシーに構成設定を割り当てることができるようにすることで、アプリのセットアップに関する問題を排除するのに役立ちます。 この設定は、エンド ユーザーのデバイスでアプリが構成されたときに自動的に提供されるため、エンドユーザーはアクションを実行する必要はありません。 構成設定は、各プラットフォームに固有です。

アプリ構成ポリシーを作成して使用し、iOS/iPadOS または Android アプリの両方の構成設定を提供できます。 これらの構成設定を使用すると、アプリの構成と管理を使用してアプリをカスタマイズできます。 構成ポリシー設定は、通常、アプリが初めて実行されるときに、アプリがこれらの設定をチェックするときに使用されます。

たとえば、アプリ構成の設定では、次のいずれかの詳細を指定する必要がある場合があります。

• カスタム ポート番号
• 言語の設定
• セキュリティの設定
• 会社のロゴなどのブランド設定

エンド ユーザーが代わりにこれらの設定を入力すると、誤った操作を行う可能性があります。 アプリ構成ポリシーは、企業全体に一貫性を提供し、自分で設定を構成しようとするエンドユーザーからのヘルプデスクへの問い合わせを減らすのに役立ちます。 アプリ構成ポリシーを使用すると、新しいアプリの導入を簡単かつ迅速に行うことができます。

使用可能な構成パラメーターと構成パラメーターの実装は、アプリケーションの開発者によって決定されます。 アプリケーション ベンダーのドキュメントを確認して、使用可能な構成と、構成がアプリケーションの動作にどのような影響を与えるかを確認する必要があります。 一部のアプリケーションでは、使用可能な構成設定が Intune によって設定されます。

包含割り当てと除外割り当てを組み合わせて使用することで、エンド ユーザーとデバイスのグループにアプリの構成ポリシーを割り当てることができます。 アプリ構成ポリシーを追加または更新するプロセスの一環として、アプリ構成ポリシーの割り当てを設定できます。 ポリシーの割り当てを設定するときに、ポリシーが適用されるエンド ユーザーの グループ を含めるか除外するかを選択できます。 1 つ以上のグループを追加する場合は、追加する特定のグループを選択するか、組み込みグループを選択できます。 組み込みグループには、[すべてのユーザー]、[すべてのデバイス]、および [すべてのユーザー + すべてのデバイス] が含まれます。

管理対象の iOS および Android デバイスのアプリ構成ポリシーを展開するときに 、フィルターを使用して 割り当てスコープを絞り込むこともできます。 最初に、iOS および Android で使用可能なプロパティのいずれかを使用して フィルターを作成する 必要があります。 次に、管理センター Microsoft Intune [アプリ>構成]>[作成]>[管理対象デバイス] の順に選択し、割り当てページに移動して、管理対象アプリの構成ポリシーを割り当てることができます。 グループを選択したら、フィルターを選択し、それを包含モードで使用するか除外モードで使用するかを決定することで、ポリシーの適用性を調整できます。

アプリ構成ポリシーワークロードには、テナント用に作成されたアプリ構成ポリシーの一覧が表示されます。 この一覧には、名前、プラットフォーム、更新、登録の種類、スコープ タグなどの詳細が表示されます。 特定のアプリ構成ポリシーの詳細については、ポリシーを選択してください。 ポリシーの概要ウィンドウでは、デバイスとユーザーに基づくポリシーの状態や、ポリシーが割り当てられているかどうかなど、特定の詳細を確認できます。

アプリの構成をサポートするアプリ

アプリ構成は、登録済みデバイスのモバイル デバイス管理 (MDM) OS チャネル (iOS の場合は Managed App Configuration チャネル、Android の場合は Enterprise チャネルの Android) を通じて配信するか、モバイル アプリケーション管理 (MAM) チャネルを介して配信できます。

Intune は、次のようなさまざまなアプリ構成ポリシー チャネルを表します。

• 管理対象デバイス - デバイスは、統合エンドポイント管理プロバイダーとして Intune によって管理されます。 アプリは、iOS/iPadOS の管理プロファイルにピン留めするか、Managed Google Play を介して展開するか、Android デバイスに直接展開された基幹業務アプリとしてピン留めする必要があります。 さらに、アプリは目的のアプリ構成をサポートします。
• マネージド アプリ - Intune アプリ SDK を統合したアプリ、または Intune ラッピング ツールを使用してラップされ、アプリ保護ポリシーをサポートするアプリ。 この構成では、デバイスの登録状態やアプリがデバイスに配信される方法は関係ありません。 アプリは、目的のアプリ構成をサポートします。

アプリでは、ユーザー設定に関してアプリ構成ポリシーの設定が異なる場合があります。 たとえば、Outlook for iOS と Android では、[フォーカス受信トレイ] アプリの構成設定はユーザー設定を尊重し、ユーザーが管理者の意図をオーバーライドできるようにします。 他の設定を使用すると、ユーザーが管理者の意図に基づいて設定を変更できるかどうかを制御できます。

管理対象デバイス

デバイス登録の種類として [管理対象デバイス] を選択すると、具体的には、登録済みデバイスに Intune によって展開されたアプリを指し、登録プロバイダーとして Intune によって管理されます。

登録済みデバイスで Intune を通じて展開されたアプリのアプリ構成をサポートするには、OS で定義されているアプリ構成の使用をサポートするようにアプリを作成する必要があります。 MDM OS チャネルを介した配信をサポートしているアプリ構成キーの詳細については、アプリ ベンダーにお問い合わせください。 MDM OS チャネルを使用する場合、通常、アプリ構成の配信には次の 4 つのシナリオがあります。

• 職場または学校アカウントのみを許可する
• アカウント設定の構成設定
• 一般的なアプリ構成設定
• S/MIME 構成設定

管理されているアプリ

[デバイス登録の種類] として [マネージド アプリ] を選択すると、特に、登録の状態に関係なく、デバイスで Intune App Protection ポリシーで構成されたアプリが示されます。

MAM チャネルを使用してアプリの構成をサポートするには、アプリを Intune App SDK と統合する必要があります。 基幹業務アプリは、Intune App SDK を統合するか、Intune App Wrapping Tool を使用できます。 Intune App SDK とIntune App Wrapping Toolの比較については、「アプリ保護ポリシーの基幹業務アプリを準備する」を参照してください。

MAM チャネルを介したアプリ構成の配信では、デバイスを登録したり、統合エンドポイント管理ソリューションを使用してアプリを管理または配信したりする必要はありません。 MAM チャネルを使用したアプリ構成の配信には、次の 3 つのシナリオがあります。

• 一般的なアプリ構成設定
• S/MIME 構成設定
• 高度なアプリ保護ポリシー アプリ保護ポリシーによって提供される機能を拡張するデータ保護設定

MAM チャネルを使用してアプリの構成をサポートするアプリの詳細については、「保護されている Microsoft Intune アプリ」を参照してください。

Android Enterprise セキュリティ構成フレームワークのアプリ構成ポリシー

Android Enterprise アプリ構成ポリシーの場合は、アプリ構成プロファイルを作成する前にデバイス登録の種類を選択できます。 登録の種類に基づく証明書プロファイルを考慮できます。

登録の種類は、次のいずれかです。

• すべてのプロファイルの種類: 新しいプロファイルが作成され、デバイス登録の種類として [ すべてのプロファイルの種類 ] が選択されている場合、証明書プロファイルをアプリ構成ポリシーに関連付けることはできません。 このオプションでは、ユーザー名とパスワードの認証がサポートされます。 証明書ベースの認証を使用する場合は、このオプションを使用しないでください。
• フル マネージド、専用、および Corporate-Owned 仕事用プロファイルのみ: 新しいプロファイルが作成され、[完全に管理され]、[専用]、[Corporate-Owned 仕事用プロファイルのみ] が選択されている場合、[デバイス>デバイスの管理]>構成で作成されたフル マネージド、専用、および Corporate-Owned 仕事用プロファイル証明書ポリシーを利用できます。 このオプションでは、証明書ベースの認証、ユーザー名とパスワードの認証がサポートされます。 フル マネージドは、 Android Enterprise のフル マネージド デバイス (COBO) に関連します。 専用は、 Android Enterprise 専用デバイス (COSU) に関連します。 企業所有の仕事用プロファイルは 、Android Enterprise 企業所有の仕事用プロファイル (COPE) に関連しています。
• 個人所有の仕事用プロファイルのみ: 新しいプロファイルが作成され、[個人所有の仕事用プロファイルのみ] が選択されている場合、[デバイス>デバイスの管理]>構成で作成された仕事用プロファイル証明書ポリシーを利用できます。 このオプションでは、証明書ベースの認証、ユーザー名とパスワードの認証がサポートされます。

適用されたアプリ構成ポリシーを検証する

アプリの構成ポリシーは、次の 3 つの方法を使用して検証できます。

1. デバイス上でアプリ構成ポリシーを目に見えて確認します。 対象のアプリが、アプリ構成ポリシーに適用されている動作を示していることを確認します。

2. 診断ログで確認します (以下の 「診断ログ 」セクションを参照してください)。

3. Microsoft Intune 管理センターで確認します。 Microsoft Intune 管理センターで、[アプリ]>すべてのアプリ>関連するアプリ* を選択します。 次に、[モニター] セクションで、[デバイスのインストールの状態] を選択します。 デバイス インストール状態レポートは、構成ポリシーの対象となっているすべてのデバイスの最新のチェックインを監視します。

   さらに、Microsoft Intune 管理センターで、[デバイス]>すべてのデバイス>デバイス>アプリの構成を選択します。 [アプリの構成] ウィンドウには、割り当てられているすべてのポリシーとその状態が表示されます。

   

診断ログ

非管理対象デバイスでの iOS/iPadOS の構成

管理対象アプリ構成ポリシーを通じて展開された設定については、Intune 診断ログを使用して iOS/iPadOS 構成を検証できます。 以下の手順に加えて、Microsoft Edge を使用してマネージド アプリのログにアクセスできます。 詳細については、「 iOS および Android 用 Microsoft Edge を使用して管理されたアプリ ログにアクセスする」を参照してください。

1. デバイスにまだインストールされていない場合は、App Store から Microsoft Edge をダウンロードしてインストールします。 詳細については [Microsoft Intune に保護されているアプリ] を参照してください。

2. Microsoft Edge を起動し、アドレス ボックスに「about:intunehelp」と入力します。

3. [ 開始する] をクリックします。

4. [ ログの共有] をクリックします。

5. 任意のメール アプリを使用して自分にログを送信し、PC で表示できるようにします。

6. テキスト ファイル ビューアーで IntuneMAMDiagnostics.txt を確認します。

7. ApplicationConfiguration を検索します。 結果は次のようになります。

       {
           (
               {
                   Name = "com.microsoft.intune.mam.managedbrowser.BlockListURLs";
                   Value = "https://www.aol.com";
               },
               {
                   Name = "com.microsoft.intune.mam.managedbrowser.bookmarks";
                   Value = "Outlook Web|https://outlook.office.com||Bing|https://www.bing.com";
               }
           );
       },
       {
           ApplicationConfiguration =
           (
               {
               Name = IntuneMAMUPN;
               Value = "CMARScrubbedM:13c45c42712a47a1739577e5c92b5bc86c3b44fd9a27aeec3f32857f69ddef79cbb988a92f8241af6df8b3ced7d5ce06e2d23c33639ddc2ca8ad8d9947385f8a";
               },
               {
               Name = "com.microsoft.outlook.Mail.BlockExternalImagesEnabled";
               Value = true;
               }
           );
       }
   

アプリケーション構成の詳細は、テナント用に構成されているアプリケーション構成ポリシーと一致する必要があります。

管理対象デバイスでの iOS/iPadOS の構成

iOS/iPadOS の構成は、マネージド アプリ構成のマネージド デバイスでの Intune 診断ログを使用して検証できます。

1. デバイスにまだインストールされていない場合は、App Store から Microsoft Edge をダウンロードしてインストールします。 詳細については [Microsoft Intune に保護されているアプリ] を参照してください。
2. Microsoft Edge を起動し、アドレス ボックスに「about:intunehelp」と入力します。
3. [ 開始する] をクリックします。
4. [ ログの共有] をクリックします。
5. 任意のメール アプリを使用して自分にログを送信し、PC で表示できるようにします。
6. テキスト ファイル ビューアーで IntuneMAMDiagnostics.txt を確認します。
7. AppConfig を検索します。 結果は、テナント用に構成されたアプリケーション構成ポリシーと一致する必要があります。

管理対象デバイスでの Android の構成

管理対象アプリ構成の管理対象デバイスの Intune 診断ログを使用して、Android 構成を検証できます。

Android デバイスからログを収集するには、ユーザーまたはエンド ユーザーが USB 接続 (またはデバイスの相当するエクスプローラー) を介してデバイスからログをダウンロードする必要があります。 それらのステップは次のとおりです。

1. USB ケーブルを使用して Android デバイスをコンピューターに接続します。

2. コンピューターで、デバイスの名前を含むディレクトリを探します。 そのディレクトリで、 Android Device\Phone\Android\data\com.microsoft.windowsintune.companyportalを見つけます。

3. com.microsoft.windowsintune.companyportal フォルダーで、Files フォルダーを開き、OMADMLog_0 を開きます。

4. AppConfigHelperを検索して、アプリ構成関連のメッセージを検索します。 結果は、次のデータ ブロックのようになります。

   2019-06-17T20:09:29.1970000 INFO AppConfigHelper 10888 02256 Returning app config JSON [{"ApplicationConfiguration":[{"Name":"com.microsoft.intune.mam.managedbrowser.BlockListURLs","Value":"https:\/\/www.aol.com"},{"Name":"com.microsoft.intune.mam.managedbrowser.bookmarks","Value":"Outlook Web|https:\/\/outlook.office.com||Bing|https:\/\/www.bing.com"},{"Name":"com.microsoft.intune.mam.managedbrowser.homepage","Value":"https:\/\/www.arstechnica.com"}]},{"ApplicationConfiguration":[{"Name":"IntuneMAMUPN","Value":"AdeleV@M365x935807.OnMicrosoft.com"},{"Name":"com.microsoft.outlook.Mail.NotificationsEnabled","Value":"false"},{"Name":"com.microsoft.outlook.Mail.NotificationsEnabled.UserChangeAllowed","Value":"false"}]}] for user User-875363642

アプリ構成の Graph API サポート

Graph API を使用して、アプリの構成タスクを実行できます。 詳細については、「Graph API リファレンス MAM ターゲット構成」を参照してください。Intune と Graph の詳細については、「Microsoft Graph での Intune の操作」を参照してください。

トラブルシューティング

ログを使用して構成パラメーターを表示する

適用中であることが確認されているものの、動作していないように見える構成パラメーターがログに示されている場合は、アプリ開発者による構成の実装に問題がある可能性があります。 最初にそのアプリ開発者に連絡するか、サポート情報を確認することで、Microsoft へのサポート電話を省くことができます。 アプリ内での構成の処理方法に関する問題である場合は、そのアプリの将来の更新バージョンで対処する必要があります。

次の手順

管理対象デバイス

• iOS/iPadOS デバイスでアプリ構成を使用する方法について説明します。 管理 対象の iOS/iPadOS デバイスのアプリ構成ポリシーの追加を参照してください。
• Android デバイスでアプリ構成を使用する方法について説明します。 管理 対象の Android デバイスのアプリ構成ポリシーの追加を参照してください。

管理されているアプリ

• マネージド アプリでアプリ構成を使用する方法について説明します。 「 デバイス登録なしでマネージド アプリのアプリ構成ポリシーを追加する」を参照してください。