Windows のアプリ保護ポリシー設定

この記事では、Windows のアプリ保護ポリシー (APP) の設定について説明します。 ここに記載されているポリシー設定は、新しいポリシーを作成するときに、Intune 管理センターの [設定] ウィンドウでアプリ保護ポリシー用に構成できます。

個人の Windows デバイスで Microsoft Edge を介して、組織データへの保護された MAM アクセスを有効にすることができます。 この機能は Windows MAM と呼ばれ、Intune アプリケーション構成ポリシー (ACP)、Intune アプリ保護ポリシー、Windows セキュリティ センター クライアント脅威防御、およびアプリケーション保護条件付きアクセスを使用して機能を提供します。 Windows MAM の詳細については、「Windows MAM のデータ保護」、「Windows 用の MTD アプリ保護ポリシーの作成」、および「Intune を使用して Windows 用の Microsoft Edge を構成する」を参照してください。

Windows のアプリ保護ポリシー設定には、次の 2 つのカテゴリがあります。

重要

Windows 上の Intune MAM は、アンマネージド デバイスをサポートします。 デバイスが既に管理されている場合、Intune MAM の登録はブロックされ、アプリ保護ポリシーの設定は適用されません。 MAM 登録後にデバイスが管理されるようになった場合、アプリ保護ポリシーの設定は適用されなくなります。

デバイスは、Microsoft Entra ID に参加しているか、MAM ユーザーのテナントを含むテナントに登録されているモバイル デバイス管理 (MDM) であってはなりません。 また、デバイスは、MAM ユーザー以外の 2 人を超えるユーザーに社内参加してはなりません (合計 3 人の制限)。

データの保護

データ保護の設定は、組織のデータとコンテキストに影響します。 管理者は、組織保護のコンテキストとの間のデータの移動を制御できます。 組織コンテキストは、指定された組織アカウントによってアクセスされるドキュメント、サービス、サイトによって定義されます。 次のポリシー設定は、組織コンテキストに受信する外部データと組織コンテキストから送信される組織データを制御するのに役立ちます。

データ転送

Setting 使用方法 既定値
データを受信する元 次のいずれかのオプションを選択して、組織ユーザーがデータを受信できるソースを指定します。
  • すべてのソース: 組織ユーザーは、任意のアカウント、ドキュメント、場所、またはアプリケーションのデータを組織のコンテキストで開くことができます。
  • ソースなし: 組織ユーザーは、外部アカウント、ドキュメント、場所、またはアプリケーションのデータを組織のコンテキストに開くことはできません。 : Microsoft Edge の場合、 ソースなし は、ドラッグ アンド ドロップまたはファイルを開くダイアログを介してファイルのアップロード動作を制御します。 サイト/タブ間でのローカル ファイルの表示および共有がブロックされます。


すべてのソース
組織データを次の宛先に送信する 次のいずれかのオプションを選択して、組織ユーザーがデータを送信できる宛先を指定します。
  • すべての宛先: 組織ユーザーは、組織データを任意のアカウント、ドキュメント、場所、またはアプリケーションに送信できます。
  • 宛先なし: 組織ユーザーは、組織のコンテキストから外部のアカウント、ドキュメント、場所、またはアプリケーションに組織データを送信できません。 : Microsoft Edge の場合、[ 宛先なし] でファイルのダウンロードがブロックされます。 これは、サイト/タブ間のファイルの共有がブロックされることを意味します。


すべての宛先
の切り取り、コピー、貼り付けを許可 次のいずれかのオプションを選択して、組織ユーザーが組織のデータを切り取ったり、コピーしたり、貼り付けたりできるソースと宛先を指定します。
  • 任意の宛先と任意のソース: 組織ユーザーは、任意のアカウント、ドキュメント、場所、またはアプリケーションからデータを貼り付けたり、データを切り取り/コピーしたりできます。
  • 宛先またはソースがありません: 組織ユーザーは、組織のコンテキストとの間で外部アカウント、ドキュメント、場所、またはアプリケーションとの間でデータを切り取ったり、コピーしたり、貼り付けたりすることはできません。 : Microsoft Edge の場合、 コピー先またはソース ブロックなし の切り取り、コピー、貼り付け動作は Web コンテンツ内でのみ行われます。 切り取り、コピー、貼り付けはすべての Web コンテンツから無効になりますが、アドレス バーを含むアプリケーション コントロールは無効ではありません。
  • 組織データの出力先と任意のソース: 組織ユーザーは、任意のアカウント、ドキュメント、場所、またはアプリケーションからデータを貼り付け、他の組織のドキュメント、場所、またはアプリケーションにデータを切り取り/コピーできます。
  • 組織データの出力先と組織のデータ ソース: 組織ユーザーは、組織コンテキスト内の組織データを他の組織のドキュメント、場所、またはアプリケーションに切り取ったりコピーしたりできます。 組織ユーザーは、組織コンテキスト内のデータを他の組織のドキュメント、場所、またはアプリケーションに貼り付けることができます。


任意の宛先と任意のソース

機能

Setting 使用方法 既定値
組織データを出力する 組織データの印刷を禁止するには、[ ブロック] を選択します。 [ 許可 ] を選択して、組織データの印刷を許可します。 個人データまたは管理されていないデータは影響を受けません。 許可

正常性チェック

アプリの保護ポリシーの正常性チェック条件を設定します。 [ 設定 ] を選択し、ユーザーが組織データにアクセスするために満たす必要がある を入力します。 次に、ユーザーが条件を満たしていない場合に実行する アクション を選択します。 場合によっては、単一の設定に対して複数のアクションを構成できます。

アプリの条件

次の正常性チェック設定を構成して、組織のアカウントとデータへのアクセスを許可する前にアプリケーション構成を確認します。

注:

ポリシー管理アプリという用語は、アプリ保護ポリシーで構成されたアプリを指します。

Setting 使用方法 既定値
[オフラインの猶予期間] ポリシーで管理されたアプリがオフラインで実行できる分数。 アプリのアクセス要件を再確認するまでの時間 (分) を指定します。

"アクション" に含まれている項目:

  • アクセスのブロック (分): ポリシーで管理されたアプリがオフラインで実行できる分数。 アプリのアクセス要件を再確認するまでの時間 (分) を指定します。 構成された期間が過ぎると、ネットワーク アクセスが利用可能になるまで、職場や学校のデータへのアクセスがアプリによってブロックされます。 データ アクセスをブロックするためのオフライン猶予期間タイマーは、Intune サービスでの最後のチェックインに基づいて計算されます。 このポリシー設定の形式は、正の整数をサポートします。
  • データのワイプ (日数): オフラインで実行してからこの日数 (管理者が定義) すると、アプリはユーザーがネットワークに接続して再認証する必要があります。 ユーザーが認証に成功した場合、引き続きデータにアクセスでき、オフライン間隔はリセットされます。 ユーザーが認証に失敗した場合、アプリはユーザーのアカウントとデータの選択的なワイプを実行します。 選択的ワイプで削除されるデータの詳細については、「Intune で管理されるアプリから企業データのみをワイプする方法」を参照してください。 データをワイプするためのオフライン猶予期間タイマーは、Intune サービスでの最後のチェックに基づいてアプリによって計算されます。 このポリシー設定の形式は、正の整数をサポートします。
このエントリは複数回表示できます。インスタンスごとに異なるアクションがサポートされます。

アクセスのブロック (分): 720 分 (12 時間)

データのワイプ (日): 90

アプリの最小バージョン アプリケーションの最小バージョンの値を指定します。

"アクション" に含まれている項目:

  • [警告] - デバイス上のアプリ バージョンが要件を満たさない場合、通知が表示されます。 この通知は閉じることができます。
  • [アクセスのブロック] - デバイスのアプリ バージョンが要件を満たさない場合、アクセスがブロックされます。
  • データのワイプ - アプリケーションに関連付けられているユーザー アカウントがデバイスからワイプされます。
多くの場合、アプリ間には異なるバージョン管理スキームがあるため、1 つのアプリを対象とする最小 1 つのアプリ バージョンを持つポリシーを作成します。

このエントリは複数回表示できます。インスタンスごとに異なるアクションがサポートされます。

このポリシー設定では、一致する Windows アプリ バンドルのバージョン形式 (major.minor または major.minor.patch) がサポートされます。
既定値はありません
SDK の最小バージョン Intune SDK のバージョンの最小値を指定します。

"アクション" に含まれている項目:

  • [アクセスのブロック] - アプリの Intune アプリ保護ポリシー SDK バージョンが要件を満たさない場合、アクセスがブロックされます。
  • データのワイプ - アプリケーションに関連付けられているユーザー アカウントがデバイスからワイプされます。
このエントリは複数回表示できます。インスタンスごとに異なるアクションがサポートされます。
既定値はありません
無効なアカウント ユーザーの Microsoft Entra アカウントが無効になっている場合は、自動アクションを指定します。 管理が指定できるアクションは 1 つだけです。 この設定に設定する値はありません。 "アクション" に含まれている項目:
  • アクセスのブロック - ユーザーが Microsoft Entra ID で無効になっていることを確認すると、アプリは職場または学校のデータへのアクセスをブロックします。
  • データのワイプ - ユーザーが Microsoft Entra ID で無効になっていることを確認すると、アプリはユーザーのアカウントとデータの選択的なワイプを実行します。
注: 接続、認証、またはその他の理由によりユーザー状態を確認できない場合、これらのアクション (アクセスのブロックデータのワイプ) は強制されません。
既定値はありません

デバイスの状態

次の正常性チェック設定を構成して、組織のアカウントとデータへのアクセスを許可する前にデバイス構成を確認します。 同様のデバイス ベースの設定を、登録済みデバイスにも構成できます。 登録済みデバイスのデバイス コンプライアンス設定の構成の詳細については、こちらを参照してください。

Setting 使用方法 既定値
OS の最小バージョン このアプリを使用する最小限の Windows オペレーティング システムを指定します。

"アクション" に含まれている項目:

  • 警告 - デバイス上の Windows バージョンが要件を満たしていない場合、ユーザーに通知が表示されます。 この通知は閉じることができます。
  • アクセスのブロック - デバイス上の Windows バージョンがこの要件を満たしていない場合、ユーザーはアクセスからブロックされます。
  • データのワイプ - アプリケーションに関連付けられているユーザー アカウントがデバイスからワイプされます。
このエントリは複数回表示できます。インスタンスごとに異なるアクションがサポートされます。

このポリシー設定では、major.minor、major.minor.build、major.minor.build.revision のいずれの形式もサポートされます。

Windows のバージョンを確認するには、コマンド プロンプトを開きます。 バージョンは、コマンド プロンプト ウィンドウの上部に表示されます。 使用するバージョン形式の例は 10.0.22631.3155 です。 winver コマンドを使用すると、OS ビルド (22631.3155 など) だけが表示され、これは使用するのに適した形式ではないことに注意してください。
OS の最大バージョン このアプリを使用する Windows オペレーティング システムの最大数を指定します。

"アクション" に含まれている項目:

  • 警告 - デバイス上の Windows バージョンが要件を満たしていない場合、ユーザーに通知が表示されます。 この通知は閉じることができます。
  • アクセスのブロック - デバイス上の Windows バージョンがこの要件を満たしていない場合、ユーザーはアクセスからブロックされます。
  • データのワイプ - アプリケーションに関連付けられているユーザー アカウントがデバイスからワイプされます。

このエントリは複数回表示できます。インスタンスごとに異なるアクションがサポートされます。

このポリシー設定では、major.minor、major.minor.build、major.minor.build.revision のいずれの形式もサポートされます。
許容される最大デバイス脅威レベル アプリ保護ポリシーでは、Intune-MTD コネクタを利用できます。 このアプリの使用に対して許容される最大脅威レベルを指定します。 脅威は、エンド ユーザー デバイスで選択された Mobile Threat Defense (MTD) ベンダー アプリによって決定されます。 "セキュリティ保護"、""、""、"" のいずれかを指定します。 "セキュリティ保護" は、デバイスに対する脅威は不要で、構成可能な最も制限の厳しい値であるのに対し、"" では基本的に Intune と MTD の間のアクティブな接続が必要です。

"アクション" に含まれている項目:

  • アクセスのブロック - エンド ユーザー デバイスで選択した Mobile Threat Defense (MTD) ベンダー アプリによって決定された脅威レベルがこの要件を満たしていない場合、ユーザーはアクセスからブロックされます。
  • データのワイプ - アプリケーションに関連付けられているユーザー アカウントがデバイスからワイプされます。

この設定の使用方法について詳しくは、未登録デバイスに対する MTD の有効化に関する記事をご覧ください。

追加情報

Windows デバイス用の APP の詳細については、次のリソースを参照してください。