仕事用プロファイルで個人所有のデバイスに Android Management API を使用する

Microsoft Intune は、個人所有の仕事用プロファイル管理を Google の Android Management API に移行しています。 この変更により、Intune が Android の個人所有の仕事用プロファイル デバイスにポリシーを配信する方法が最新になり、Web ベースの登録フローが導入されます。

この記事では、Android Management API の概要、Intune 環境への影響、および準備に必要な作業について説明します。

Android Management API とは

Android Management API は、Android Enterprise デバイス管理に Google が推奨する API です。 Android Management API では、Android デバイス ポリシー アプリを使用してデバイスにポリシーを適用し、Intune ポータル サイト アプリなどのカスタム デバイス ポリシー コントローラー (DPC) の必要性を置き換えます。

Intune が最初に Android の個人所有の仕事用プロファイル管理のサポートをリリースしたとき、ポータル サイト アプリに組み込まれているカスタム DPC 実装を使用しました。 それ以来、Google は Android Management API をリリースし、現在ではすべての Android Enterprise 管理に推奨しています。 Google は、カスタム DPC 機能を積極的に非推奨にしています。

Intune では、既に 3 つの企業向け Android Enterprise 管理メソッドに Android Management API を使用しています。

• 仕事用プロファイルを持つ企業所有のデバイス
• 完全に管理されたデバイス
• 専用デバイス

個人所有の仕事用プロファイルは、Android Management API に移行する最後の管理方法です。

Android Management API への移行特典

Android Management API への移行には、IT 管理者にとって次の利点があります。

• 機能配信の高速化: 新しい Android Enterprise 管理機能は、カスタム DPC 実装のために個別の開発を行う必要なく、すべての Android Enterprise 管理メソッドで同時にリリースされます。
• 一貫した動作: すべての Android Enterprise 管理メソッドは同じ基になる API を使用するため、予測可能で統一された動作が得られます。
• 更新されたユーザー アプリ: Microsoft Intune アプリは、デバイス管理、診断、IT 連絡先のための主要なユーザー向けアプリとして、ポータル サイト アプリに取って代わります。 これは、企業の Android Enterprise デバイスが既に機能する方法に合わせて調整されます。

前提条件

新しいデバイスに Web ベースの登録を使用する

Android Management API への移行により、iOS 用の Web ベースのデバイス登録と同様に、個人所有の仕事用プロファイル デバイス用の新しい Web ベースの登録フローも有効になります。

Web ベースの登録を有効にする

Web ベースの登録を有効にすると、すべての新しい個人所有の仕事用プロファイルの登録にテナント レベルで適用されます。 ユーザーは、アプリのインストールを必要とせずに Web ページから登録を開始できます。 管理者は、指定した URL から登録ページにアクセスするか、条件付きアクセスで企業リソースにアクセスする前に登録が必要な場合に生産性アプリからアクセスできます。

Web ベースの登録を有効にする前に、次の手順を実行します。

• 運用環境で有効にする前に、テスト テナントでテストします。
• 登録エクスペリエンスを確認し、内部ヘルプデスクのドキュメントを更新します。

Web ベースの登録を有効にする手順については、「 登録プロファイルの作成」を参照してください。 Web ベースの登録の有効化はテナント レベルで適用され、元に戻すことはできません。

既存のデバイスのデバイス構成プロファイルを作成する

Intune に既に登録されているデバイスの場合は、Android Management API デバイス構成ポリシーを使用して、これらのデバイスを Android Management API に移行します。 Android Management API に移行した後は、以前の管理方法にロールバックすることはできません。

移行前に

• 環境を準備します。 Android Management API では動作しない機能や、動作が変更された可能性のある他の機能がいくつかあります。

• 小さく始める。 フリート全体を移行する前に、小規模なデバイスのセットを移行してエクスペリエンスを検証します。

• ユーザーに通知します。 デバイスを移行する前に、ユーザーにメールを送信するか、カスタム通知を構成して、今後の変更について説明します。

• 進行状況を監視します。 Android 管理 API レポート上の個人用デバイスを使用して、これらの状態のデバイスを追跡します。

  • AMAPI: Android Management API 上のデバイス。
  • 移動のターゲットではない: Android Management API への移動のターゲットではないデバイス。
  • 保留中の移動: 移動対象で完了が保留されているデバイス。
  • エラー: 移動を試みてエラーが発生したデバイス。

デバイス構成プロファイルの作成

1. Microsoft Intune 管理センターにサインインします。

2. [デバイス]>[デバイスの管理]>[構成]>[作成]>[新しいポリシー] の順に選択します。

3. 次のプロパティを入力します。

   • [プラットフォーム]: [Android エンタープライズ] を選択します。
   • プロファイルの種類: [テンプレート>Android 管理 API に移動] を選択します。

4. [作成] を選択します。

5. [Basics]\(基本\) で次のプロパティを入力します。

   • 名前: ポリシーのわかりやすい名前を入力します。 後で簡単に識別できるよう、ポリシーに名前を付けます。 たとえば、適切なポリシー名は Android です。Android Management API に移行します。
   • [説明]: ポリシーの説明を入力します。 この設定は省略可能ですが、推奨されます。

6. [次へ] を選択します。

7. [構成設定] で、[次へ] を選択します。

   このテンプレートには、構成できる設定はありません。 構成は、デバイスがポリシーを受信したときに Intune によって行われます。

8. [ 割り当て] で、プロファイルを受け取るデバイス グループを選択します。 プロファイルの割り当ての詳細については、「 ユーザーとデバイス プロファイルの割り当て」を参照してください。

   [次へ] を選択します。

9. [確認と作成] で、設定を確認します。 [作成] を選択すると、変更内容が保存され、プロファイルが割り当てられます。 また、ポリシーがプロファイル リストに表示されます。

10. [デバイス] -> [モニター] の下の Android 管理 API レポートの個人用デバイスでの進行状況を監視します。 レポートは、ポリシー自体 (> [デバイスの割り当て状態] 、または [デバイス ビュー] > [デバイス構成] タブの下に表示されないことに注意してください。

ポリシーを割り当てると、デバイスの Android Management API への移行が開始されます。 このポリシーの割り当てを解除または削除した場合、既に移動したデバイスでは引き続き Android Management API が使用されます。 ポリシーを受け取っていない対象デバイスは、Android Management API に移動されません。

移行中のデバイスへの影響

デバイスが Android Management API に移行する場合:

• 登録解除は発生しません。 ユーザーは、移行中も企業リソースに引き続きアクセスできます。
• Microsoft Intune アプリはサイレント インストールされ、プライマリ ユーザー アプリになります。 これは、デバイス管理タスクのポータル サイトを置き換えます。
• Android デバイス ポリシー アプリは非表示の状態でインストールされ、Android 管理 API ポリシーを適用します。
• Wi-Fi アクセスが影響を受ける可能性があります。 ユーザー名/パスワード認証を使用して企業 Wi-Fi に接続されているデバイスは、ユーザーが再度サインインするまで Wi-Fi アクセスできなくなります。 証明書ベースの Wi-Fi 認証を使用しているデバイスは影響を受けません。

登録または移行後にインストールされたアプリ

Intune は、Android Management API によって管理されるデバイスに次のアプリを自動的にインストールします。

環境を準備する

スムーズな移行を確実に行うには、Android Management API に移行する前に次のアクションを実行してください。

カスタム構成ポリシーを置き換える

Intune は、個人所有の仕事用プロファイル デバイスのカスタム構成ポリシーのサポートを終了しました。 カスタム ポリシーは Android Management API では機能しません。 すべてのカスタム ポリシーを同等の組み込みポリシーに置き換えます。

置換設定のヘルプについては、「 カスタム ポリシーを組み込み設定に置き換える」を参照してください。 設定カタログで設定が使用可能な場合は、設定カタログ ポリシーを作成します。 設定カタログで設定が利用できない場合は、 デバイスの制限テンプレートを使用します。

証明書ベースの Wi-Fi 認証に切り替える

Wi-Fi ポリシーでユーザー名/パスワード認証を使用している場合は、証明書ベースの認証に切り替えます。 Android Management API 上のデバイスは、移行中にユーザーが手動で再度サインインするまで、Wi-Fi アクセスを失います。

生体認証構成を評価する

Android Management API では、ユーザーが生体認証 (顔、指紋、虹彩) を使用したり、エージェントを信頼したりして デバイス レベルでデバイスのロックを解除できないようにするポリシーはサポートされていません。 仕事用プロファイル レベルで生体認証をブロックするポリシーは引き続きサポートされています。

現在デバイス レベルで生体認証をブロックしている場合は、その制限を仕事用プロファイル レベルに移動して、仕事用リソースを引き続き保護することを検討してください。

登録制限を確認する

登録制限 (Android Enterprise (仕事用プロファイル) の個人所有のデバイス設定は、Android Management API によって管理されるデバイスには適用されません。 この設定は、すべてのデバイスが Android Management API にあるときに Intune 管理センターから削除されます。

現在 [個人所有] を [ブロック] に設定している場合は、別の方法を計画します。

• 代わりに、会社所有の仕事用プロファイルなどの企業管理方法を使用します。
• 特定のユーザー グループのみを許可するように登録制限を構成します。

サポートされている Android バージョンにデバイスを更新する

デバイスがサポートされている Android バージョンを実行していることを確認します。 Android Management API を使用した登録を有効にすると、任意の Android OS バージョンを実行しているデバイスを登録できます。 サポートされているすべてのバージョンの一覧については、「 サポートされているプラットフォーム」を参照してください。

Android Management API に移行するには、デバイスが Android 9 以降を実行している必要があります。

最適なエクスペリエンスを得るために、デバイスの利用可能な最新バージョンの Android に更新するようユーザーに推奨します。

注意すべき変更

カスタム DPC 実装と比較して、Android Management API によって管理されるデバイスでは、一部の動作が変更されます。

関連コンテンツ

ロールアウト タイムラインと適用の変更に関する最新の更新情報については、「Android の個人所有の仕事用プロファイルの新しいポリシーの実装と Web 登録」を参照してください。

• Android Enterprise 仕事用プロファイル管理の概要
• Android Enterprise 個人所有の仕事用プロファイル デバイスの登録を設定する
• Android Enterprise デバイスのワークプレース参加をやり直す