Microsoft Intune では、仕事用プロファイル管理をサポートしています。これは、Android Enterprise 管理オプションの一環で、仕事用アプリと登録済みデバイスのデータをプラットフォーム レベルで分離できます。 従業員または学生が Intune にデバイスを登録すると、仕事用プロファイルの作成が有効になります。 仕事用プロファイルは、ユーザーが個人用アプリと仕事用アプリを簡単かつ安全に切り替えられるように、デバイス上にユーザーの仕事用アカウント用の個別のパーティションを作成します。 仕事用プロファイルを離れると、デバイスの個人用側に戻り、個人用アプリとデータは Intune ポリシーの影響を受けません。
この記事では、Microsoft Intune でサポートされている、Android Enterprise 仕事用プロファイル管理オプションの概要について説明します。これには以下が含まれます。
- 企業所有デバイスの仕事用プロファイル。
- 個人用デバイスの仕事用プロファイル。
登録エクスペリエンス
Microsoft Intune では、仕事用プロファイルを使用して Android デバイスを登録する方法が複数サポートされています。 organization の構成に応じて、ユーザーは Web ページ (Web ベースの登録) または Intune ポータル サイト アプリ (アプリベースの登録) から登録を開始できます。
さまざまな登録方法の比較については、次の表をご覧ください。
| 機能/手順 | 会社所有の仕事用プロファイル | 個人用の仕事用プロファイル (アプリベースの登録) | 個人用の仕事用プロファイル (Web ベースの登録) |
|---|---|---|---|
| 登録を開始するユーザー | IT/管理者またはユーザー | User | User |
| 登録開始方法 | QR コード/トークン/アプリ | Google Play からポータル ポータル サイト アプリをインストールする | ブラウザーで登録 URL を開く (Chrome/Edge) |
| デバイスの所有権 | 企業 | 個人 (BYOD) | 個人 (BYOD) |
| ポリシーの配信方法 | Android Management API | カスタム DPC | Android Management API |
| ポータル サイト アプリの役割 | 非表示/Intune へのリダイレクト | 登録とアプリ カタログに必要 | アプリ カタログ/モバイル アプリケーション管理用にインストールされます。登録には必要ありません |
必要な知識
Android Enterprise はすべての場所で利用できるわけではありません。 Microsoft Intune 管理センターで登録プロファイルを作成する前に、お住まいの地域で Android Enterprise が利用できることを確認してください。 Android Enterprise の可用性と要件の詳細については、「 Android Enterprise の要件 (Android Enterprise ヘルプが開きます)」を参照してください。
Android Enterprise がサポートされていない場所では、次のような他の Intune でサポートされている Android 管理オプションを選択できます。
- Android オープンソース プラットフォーム (AOSP) 管理
- Android デバイス管理者の管理
- モバイル アプリケーション管理
管理対象 Google Play アカウント
Intune で Android Enterprise デバイスのデバイスとアプリの管理を有効にするには、Microsoft Intune テナントを管理された Google Play アカウントに接続する必要があります。
仕事用プロファイルの管理
Microsoft Intune ポリシーと設定は、仕事用プロファイルにのみ適用されます。 Intune 管理者は、登録済みデバイスの作業パーツを管理できます。
- Intune に展開するすべてのアプリは、仕事用プロファイルにインストールされます。 管理者は、仕事用プロファイルの対象となるアプリケーションと操作を管理および監視できます。
- 仕事用プロファイル以外のすべての Android アプリとデータは個人用であり、デバイス ユーザーが管理します。 ユーザーは、選択した任意のアプリをデバイスの個人用側にインストールできます。
仕事用プロファイルには、ユーザーがデバイス上の仕事用アプリと個人用アプリを区別するのに役立つ一意のアプリ アイコンがあります。
登録からデバイス構成、コンプライアンスに至るまで、Intune で使用できる設定を使用すると、保護レベルをorganizationのニーズに合わせて調整できます。 適用可能な設定の詳細については、次を参照してください。
アプリの発行と配布
Managed Google Play は、Android Enterprise アプリの配布と管理に不可欠な要素です。 個人用および企業所有のデバイス上の仕事用プロファイルに展開されているすべてのアプリは、管理対象の Google Play サービスから取得されます。
Play ストアでアプリを管理および展開するには、Google 管理用の管理者資格情報を使用して Google Play Web サイトにサインインします。 ここから、アプリの展開を承認できます。 承認済みのアプリは Microsoft Intune と同期され、管理センターにも表示され、展開と管理を行うことができます。 organization によって開発された基幹業務 (LOB) アプリは、Google Play マネージド公開コンソールを使用してマネージド Google Play に公開する必要があります。
アプリは、ユーザーの操作なしで、また不明なソースからのアプリのインストールをユーザーが許可することなくインストールできます。 オプションまたは利用可能なアプリを参照してインストールするために、ユーザーはデバイスで Managed Google Play ストアを参照できます。 詳細については、Intune を使用してアプリを Android Enterprise 仕事用プロファイル デバイスに割り当てる方法に関する記事を参照してください。
登録後、いくつかのアプリが自動的にインストールされます。
| アプリ | 説明 | アプリベースの登録 | Web ベースの登録 |
|---|---|---|---|
| Microsoft Intune | コンプライアンス状態の確認、デバイスの同期、診断ログの収集、IT サポートへの連絡など、デバイス管理タスクに使用されます。 | ✔ | ✔ |
| ポータル サイト | ワーク アプリの参照、インストール、管理に使用され、モバイル アプリケーション管理シナリオをサポートします。 | ✔ | ✔ |
| Android デバイス ポリシー | 管理ポリシーを仕事用プロファイルに適用します。 このアプリは非表示の状態でインストールされており、ユーザーには表示されません。 | ✗ | ✔ |
| Microsoft Authenticator アプリ | ワーク アプリのサインインと認証を提供します。 | ✔ | ✔ |
アプリの構成
Android Enterprise には、アプリの構成値を、そのアプリをサポートするアプリに展開するインフラストラクチャがあります。 ワーク アプリの値を指定することで、ユーザーがアプリを初めて起動したときに適切に構成されるようになります。 アプリ構成のサポートでは、アプリ開発者は、管理された構成値をサポートするために特別に Android アプリを作成する必要があります。 そうすると、Intune を使用して、構成設定を指定および適用できるようになります。 詳細については、「管理対象の Android デバイス用アプリ構成ポリシーを追加する」を参照してください。
電子メールの構成
Android Enterprise には、iOS または iPadOS で提供されているような既定の電子メール アプリまたはネイティブの電子メール プロファイル オブジェクトはありません。 代わりに、Intune アプリの構成設定を使用して、サポートされているメール アプリのメール設定を構成できます。
Gmail と Nine Work は、Android Enterprise アプリの構成をサポートする Play ストアの 2 つの Exchange ActiveSync (EAS) クライアント アプリです。 Intune には、Gmail と Nine Work アプリの構成テンプレートが用意されているため、ワーク アプリとして管理できます。 アプリ構成ポリシーでアプリ構成プロファイルをサポートする他のメール アプリを構成できます。
個人または企業所有のデバイスに Exchange ActiveSync 条件付きアクセスを使用している場合は、Gmail または Nine Work メール アプリの使用を検討してください。 Android 版 Microsoft Outlook アプリや、MSAL による先進認証を使用するその他のメール アプリもサポートされています。 詳細については、「Microsoft Intune で電子メールの設定を構成する方法」を参照してください。
ヒント
Azure AD Authentication Library (ADAL) は非推奨になったため、現在 ADAL を使用しているアプリを MSAL に更新することをお勧めします。 詳細については、「Microsoft Authentication Library (MSAL) と Microsoft Graph API を使用するようにアプリケーションを更新する」を参照してください。
アプリ保護ポリシー
Microsoft Intune は、仕事用プロファイルのアプリとデバイスの個人用側のアプリに適用されるアプリ保護ポリシーをサポートします。 基幹業務アプリは Google Play 発行コンソールで公開でき、アプリを organization に対して非公開にすることもできます。
仕事用プロファイルのアプリ保護ポリシーの詳細については、次の記事を参照してください。
VPN プロファイル
VPN のサポートは、Android VPN プロファイルに似ています。 Android Enterprise の管理には同じ VPN プロバイダーと基本的な構成オプションを使用できますが、次の 2 つの違いがあります。
仕事用プロファイルスコープの VPN – VPN 接続は、個人および企業所有のデバイス上の仕事用プロファイルに展開されているアプリに制限されるため、管理されたアプリのみが VPN 接続を使用できます。 デバイス上の個人用アプリは、マネージド VPN 接続を使用できません。 詳細については、「Android エンタープライズの VPN の設定」を参照してください。
アプリ固有の VPN – VPN プロバイダーが以下をサポートしている場合は、Intune でアプリ固有の VPN を構成できます。
アプリ固有の VPN の構成。
Android Enterprise アプリ構成プロファイルを使用してアプリごとの VPN を構成する機能。
詳細については、「Microsoft Intune のカスタム プロファイルを使って、Android デバイス用にアプリごとの VPN プロファイルを作成する」を参照してください。
証明書プロファイル
Android の管理で使用できるのと同じ証明書プロファイル構成を、個人および企業所有のデバイス上の仕事用プロファイルで使用できます。 Android Enterprise には、強化された証明書管理 API があります。
強化された証明書管理:
証明書の展開がサイレントでユーザーにとってシームレスに行われるようにします。
デバイスが Intune から廃止され、仕事用プロファイルが削除されるときに、展開された証明書が削除されるようにします。
証明書が IT サポート担当者によって Microsoft Intune 経由で展開および構成されたことをデバイス ユーザーに通知します。
詳細については、「Microsoft Intune でデバイスの証明書プロファイルを構成する」を参照してください。
Wi-Fi プロファイル
デバイスが Intune から廃止され、仕事用プロファイルが削除されると、Wi-Fi プロファイルは削除されます。 詳細については、「Microsoft Intune で Wi-Fi の設定を構成する方法」を参照してください。