Intune アプリ保護ポリシー内の条件付き起動アクションを使用すると、組織は、特定のデバイスまたはアプリの条件が満たされない場合に、アクセスをブロックするか、組織データをワイプする機能が提供されます。
これらの設定を使用すると、コンプライアンス違反に対するアクションとして、エンド ユーザーのデバイスから会社の企業データを消去することが明示的に選択できます。 一部の設定では、アクセスのブロックや指定した異なる値に基づいてデータをワイプするなど、複数のアクションを構成できます。
条件付き起動アクションを使用してアプリ保護ポリシーを作成する
- Microsoft Intune 管理センターにサインインします。
- [ アプリ>保護] を選択します。
- [ ポリシーの作成 ] を選択し、ポリシーに対応するデバイスのプラットフォームを選択します。
- [ 必要な設定の構成] を選択して、ポリシーに対して構成可能な設定の一覧を表示します。
- [設定] ウィンドウを下にスクロールすると、編集可能なテーブルを含む [ 条件付き起動] というタイトルのセクションが表示されます。
- [設定] を選択し、ユーザーが会社のアプリにサインインするために満たす必要がある [値] を入力します。
- ユーザーが要件を満たしていない場合に実行する アクション を選択します。 場合によっては、単一の設定に対して複数のアクションを構成できます。 詳細については、「 アプリ保護ポリシーを作成して割り当てる方法」を参照してください。
ポリシー設定
アプリ保護ポリシー設定テーブルには、[ 設定]、[ 値]、 および [アクション] の列があります。
プレビュー: Windows ポリシー設定
Windows では、[ 設定 ] ドロップダウンを使用して、次の "正常性チェック" 設定のアクションを構成できます。
- 無効なアカウント
- OS の最大バージョン
- アプリの最小バージョン
- OS の最小バージョン
- SDK の最小バージョン
- [オフラインの猶予期間]
- 許容される最大デバイス脅威レベル
iOS ポリシー設定
iOS/iPadOS の場合、[ 設定] ドロップダウンを使用して、次の設定のアクションを構成できます。
- PIN の最大試行回数
- [オフラインの猶予期間]
- 脱獄またはルート化されたデバイス
- OS の最大バージョン
- OS の最小バージョン
- アプリの最小バージョン
- SDK の最小バージョン
- デバイス モデル
- 許容される最大デバイス脅威レベル
- 無効なアカウント
デバイス モデル設定を使用するには、iOS/iPadOS モデル識別子のセミコロン区切りのリストを入力します。 これらの値では大文字と小文字は区別されません。 'デバイス モデル' 入力の Intune レポート内に加えて、このサード パーティの GitHub リポジトリで iOS/iPadOS モデル識別子を見つけることができます。
入力例: iPhone5,2;iPhone5,3
エンドユーザーのデバイスでは、Intune クライアントは、アプリケーション保護ポリシーの Intune で指定されているデバイス モデル文字列の単純な一致に基づいてアクションを実行します。 照合は、デバイスが報告する内容に完全に依存します。 IT 管理者は、さまざまなデバイスの製造元とモデルに基づいてこの設定をテストし、少数のユーザー グループを対象として、意図した動作を実行することをお勧めします。 既定値は [未構成] です。
次のいずれかの操作を設定します。
- 指定を許可 (未指定のブロック)
- 指定を許可 (未指定のワイプ)
IT 管理者が、同じ Intune ユーザーの同じアプリを対象としたポリシー間で iOS/iPadOS モデル識別子の異なる一覧を入力するとどうなりますか?
構成された値の 2 つのアプリ保護ポリシー間で競合が発生した場合、通常、Intune は最も制限的なアプローチを採用します。 ターゲットの Intune ユーザーによって開かれたターゲット アプリに送信される結果のポリシーは、同じアプリ/ユーザーの組み合わせを対象としたポリシー A とポリシー B にリストされている iOS/iPadOS モデル識別子の交差になります。 たとえば、ポリシー A は iPhone5,2;iPhone5,3 を指定し、ポリシー B は iPhone5,3 を指定します。結果として、ポリシー A とポリシー B の両方の対象となるIntune ユーザーのポリシーはiPhone5,3です。
Android ポリシー設定
Android の場合、[ 設定] ドロップダウンを使用して、次の設定のアクションを構成できます:
- PIN の最大試行回数
- [オフラインの猶予期間]
- 脱獄またはルート化されたデバイス
- OS の最小バージョン
- OS の最大バージョン
- アプリの最小バージョン
- 最小パッチ バージョン
- デバイスの製造元
- 整合性判定のプレイ
- アプリに対する脅威スキャンの必須
- 最小ポータル サイト バージョン
- 許容される最大デバイス脅威レベル
- 無効なアカウント
- デバイス ロックの必須
最小ポータル サイト バージョンを使用すると、エンド ユーザー デバイスに適用されるポータル サイトの特定の最小定義バージョンを指定できます。 この条件付き起動設定では、各値が満たされない場合に可能なアクションとして、 アクセスのブロック、 データのワイプ、 および警告の 値を設定できます。 この値の可能な形式は、パターン [Major] に従います。[Minor]、[Major].[Minor]。[Build]、または [Major].[Minor]。[Build].[改訂]。 一部のエンド ユーザーは、その場でアプリを強制的に更新することを好まない場合があるため、この設定を構成する際には [警告] オプションが理想的かもしれません。 Google Play ストアは、アプリの更新のデルタ バイトのみを送信するという良い仕事をしています。 ただし、更新時にユーザーがデータを使用している場合、これはユーザーが使用したくない可能性のある大量のデータであることに変わりはありません。 更新を強制し、更新されたアプリをダウンロードすると、更新時に予期しないデータ料金が発生する可能性があります。 [最小ポータル サイトバージョン] 設定が設定されている場合、バージョン 5.0.4560.0 のポータル サイトを取得するすべてのエンド ユーザーおよび今後のバージョンのポータル サイトに影響します。 この設定は、この機能がリリースされたバージョンより古いバージョンのポータル サイトを使用しているユーザーには影響しません。 デバイスでアプリの自動更新を使用しているエンド ユーザーには、最新のポータル サイト バージョンを使用している可能性が高いため、この機能のダイアログは表示されない可能性があります。 この設定は、登録済みデバイスと登録済みデバイスに登録されていないデバイスのアプリ保護を備えた Android のみです。
デバイスの製造元の設定を使用するには、Android 製造元のセミコロン区切りのリストを入力します。 これらの値では大文字と小文字は区別されません。 Intune レポートの他に、デバイスの製造元はデバイス設定で確認できます。
入力例: 製造元 A;製造元 B
注:
次の一覧は、Intune を使用するデバイスから報告される一般的な製造元の一部であり、入力として使用できます。 Asus;ブラックベリー;bq;ジオニー;グーグル;Hmd global;HTC;ファーウェイ;Infinix;京セラ;ルモービル;レノボ;Lge;モトローラ;ワンプラス;オッポ;サムスン;シャープ;ソニー;テクノ;ビボ;ボーダフォン;シャオミ;Zte;Zuk
エンドユーザーのデバイスでは、Intune クライアントは、アプリケーション保護ポリシーの Intune で指定されているデバイス モデル文字列の単純な一致に基づいてアクションを実行します。 照合は、デバイスが報告する内容に完全に依存します。 IT 管理者は、さまざまなデバイスの製造元とモデルに基づいてこの設定をテストし、少数のユーザー グループを対象として、意図した動作を実行することをお勧めします。 既定値は [未構成] です。
次のいずれかの操作を設定します。
- 指定を許可 (未指定の場合はブロック)
- 指定を許可 (指定されていない場合はワイプ)
IT 管理者が、同じ Intune ユーザーの同じアプリを対象としたポリシー間で異なる Android 製造元のリストを入力するとどうなりますか?
構成された値の 2 つのアプリ保護ポリシー間で競合が発生した場合、通常、Intune は最も制限的なアプローチを採用します。 ターゲットの Intune ユーザーによって開かれているターゲット アプリに送信される結果のポリシーは、同じアプリ/ユーザーの組み合わせを対象としたポリシー A とポリシー B に記載されている Android 製造元の交差になります。 たとえば、ポリシー A は Google;Samsung を指定し、ポリシー B は Google を指定します。結果として、ポリシー A とポリシー B の両方の対象となるIntune ユーザーのポリシーはGoogleです。
追加の設定とアクション
既定では、[オフラインの猶予期間] および [アクセスに PIN を要求する] 設定が [はい] に設定されている場合には、最大 PIN 試行数で構成された設定として、テーブルに入力された行が含まれています。
設定を構成するには、[ 設定] 列のドロップダウンから設定を選択します。 設定を選択すると、値を設定する必要がある場合は、同じ行の [値 ] 列の下で編集可能なテキスト ボックスが有効になります。 また、[ アクション] 列の下でドロップダウンが有効になり、設定に適用できる条件付き起動アクションのセットが付与されます。
次の一覧に、操作の一般的な一覧を示します。
- アクセスのブロック – エンド ユーザーによる企業アプリへのアクセスをブロックします。
- データのワイプ – エンド ユーザーのデバイスから企業データをワイプします。
- 警告 – 警告メッセージとしてエンド ユーザーにダイアログを提供します。
最小 OS バージョン設定などの場合によっては、さまざまなバージョン番号に基づいて該当するすべてのアクションを実行するように設定を構成できます。
設定が完全に構成されると、行は読み取り専用ビューで表示され、いつでも編集できるようになります。 さらに、行には [ 設定] 列で選択できるドロップダウンがあるようです。 複数のアクションを許可しない構成済みの設定は、ドロップダウンで選択することはできません。
次の手順
Intune アプリ保護ポリシーの詳細については、次を参照してください。