Android Enterprise のフル マネージド デバイスの登録を設定する

Microsoft Intune で Android Enterprise のフル マネージド デバイス ソリューションを設定して、企業所有のデバイスを登録および管理します。 完全に管理されたデバイスは 1 人のユーザーに関連付けられ、個人使用ではなく仕事を目的としています。 Intune 管理者は、デバイス全体を管理し、次のような Android Enterprise 仕事用プロファイルでは使用できないポリシー制御を適用できます。

  • Managed Google Play からのアプリのインストールのみを許可します。
  • ユーザーがマネージド アプリをアンインストールできないようにします。
  • ユーザーがデバイスを出荷時の設定にリセットできないようにします。

ユーザーとデバイス ユーザーは、デバイスのセットアップ中に登録トークンを入力またはスキャンすることで、登録を開始できます。 この記事では、登録の前提条件と、登録プロファイルとトークンを作成する方法について説明します。 この記事の最後に、デバイスを登録できます。

手順 1: 前提条件

登録を成功させるには、これらの前提条件を完了します。

クラウドの要件

お住まいの地域で Android Enterprise がサポートされていることを確認してください。 Android Enterprise の要件については、「 Android Enterprise の概要」を参照してください。

デバイス プラットフォームの要件

デバイスは次の条件を満たしている必要があります。

  • Android OS バージョン 10.0 以降を実行します。
  • Google Mobile Services 接続がある Android ビルドを実行します。
  • Google モバイル サービスを利用でき、接続できること。

3 つの要件がすべて満たされている場合、デバイス製造元/OEM に制限はありません。 Android Enterprise がデバイスでサポートされていることを確認します。 詳細については、以下を参照してください:

テナント構成の要件

注:

Android のセットアップ プロセスでは、Chrome タブを使用して、登録時にデバイス ユーザーを認証します。 次の構成の Microsoft Entra 条件付きアクセス ポリシーがある場合は、ポリシーから Microsoft Intune クラウド アプリを除外する必要があります。

  • [デバイスを準拠者としてマークする必要がある] 設定は、アクセスを許可またはブロックするために使用されます。
  • このポリシーは、 すべてのクラウド アプリ、 Android、 ブラウザーに適用されます。

手順 2: 新しい登録プロファイルを作成する

Intune は、完全に管理されたデバイスの既定の登録プロファイルと登録トークンを自動的に生成します。 既定の登録プロファイルの名前は 、既定の完全管理プロファイルです。

新しい登録プロファイルを作成するには:

  1. Microsoft Intune 管理センターにサインインします。

  2. [ デバイス>登録] に移動します。

  3. [ Android ] タブを選択します。

  4. [Android Enterprise>登録プロファイル] で、企業所有のフル マネージド ユーザー デバイスを選択します。

  5. [ポリシーの作成] を選択します。

  6. プロフィールの基本を入力します:

    • 名前: プロファイルに名前を付けます。 動的デバイス グループを設定するときに必要になるため、後で使用するために名前をメモしておいてください。

    • 説明: プロファイルの説明を入力します この設定は省略可能ですが、推奨されます。

    • トークンの種類: 企業のフル マネージド デバイスの登録に使用するトークンの種類を選択します。 詳細については、この記事の 「トークンの種類 」を参照してください。 次のようなオプションがあります:

      • 企業所有のフル マネージド (既定)

      • 企業所有のフル マネージド (ステージング経由)

      ヒント

      登録時間のグループ化は、ステージング トークンではサポートされていません。 登録時間グループ化で使用するプロファイルを構成する場合は、企業所有のフル マネージド (既定) トークンを使用します。

    • トークンの有効期限: ステージング トークンでのみ使用できます。 トークンの有効期限を 65 年先までと入力します。 使用できる日付形式: MM/DD/YYYY または YYYY-MM-DD トークンの有効期限は、選択した日付の、作成されたタイム ゾーンの午後 12:59:59 に失効します。

    • 名前付けテンプレート: 既定の動作では、登録の種類、デバイス ID、登録時間などのデバイスのプロパティを使用してデバイスに名前を付けます。 例: AndroidForWork_01/01/2025_12:00 PM

      カスタム名前付けテンプレートを作成するには:

      1. [ デバイス名テンプレートの適用] で、[ はい] を選択します。

      2. デバイスに適用する名前付けテンプレートを入力します。 名前には文字、数字、ハイフンを含めることができます。

      次の文字列を使用して、名前付けテンプレートを作成できます。 Intune によって、文字列はデバイス固有の値に置き換えられます。

      • デバイスのシリアル番号は {{SERIAL}}。

      • デバイスのシリアル番号の最後の 4 桁には {{SERIALLAST4DIGITS}}。

      • デバイス タイプの場合は {{DEVICETYPE}}。 例: AndroidForWork

      • 登録の日時は {{ENROLLMENTDATETIME}}。

      • {{UPNPREFIX}} をユーザーの名に置き換えます。 例: Eric (デバイスがユーザーに関連付けられている場合)。

      • デバイスがユーザーに関連付けられている場合は、ユーザーのユーザー名に {{USERNAME}}。 例: EricSolomon

      • {{RAND:x}} (ランダムな数値文字列の場合。 x は 1 から 9 の間です、追加する桁数を示します。 Intune は、名前の末尾にランダムな数字を追加します。

      名前付けテンプレートに加えた編集は、新規登録にのみ適用されます。

  7. [ 次へ ] を選択して 、デバイス グループに進みます。

  8. 必要に応じて、登録時にデバイスをグループ化する場所を選択します。 [ グループ名で検索] を選択します。 次に、静的な Microsoft Entra デバイス グループを見つけて選択します。 グループ化に使用するデバイス グループを作成する方法の詳細については、「 登録時間のグループ化の設定」を参照してください。

    ヒント

    ユーザー グループではなく、必ずデバイス グループを選択してください。

  9. [ 次へ ] を選択して [ タグの範囲指定] に進みます。

  10. 1 つ以上のスコープ タグを適用して、プロファイルの表示と管理を Intune の特定の管理者ユーザーに制限します。 スコープ タグは省略可能です。 スコープ タグの使用方法の詳細については、「 分散型 IT に役割ベースのアクセス制御 (RBAC) とスコープ タグを使用する」を参照してください。

  11. [ 次へ ] を選択して、[ レビュー + 作成] に進みます。

  12. プロファイルの概要を確認し、[ 作成 ] を選択して確定します。

プロファイルを確認、変更、または削除するには:

  1. プロファイルを選択します。

  2. [ 概要 ] を選択してプロフィールのエッセンシャルを確認し、プロフィールを削除します。

  3. [プロパティ>編集] を選択して、プロファイルの基本またはスコープ タグを変更します。

  4. トークンを取得、取り消す、またはエクスポートするには、[ トークン] を選択します。

手順 3: 動的な Microsoft Entra グループを作成する

必要に応じて、動的な Microsoft Entra グループを作成して、特定の属性または変数に基づいてデバイスを自動的にグループ化します。 この場合は、 enrollmentProfileName プロパティを使用して、同じプロファイルで登録しているデバイスをグループ化します。

注:

enrollmentProfileNameに基づく動的グループは、ワークロード間のシナリオ (条件付きアクセスやグループベースのライセンスなど) でグループ メンバーシップが必要な場合に役立ちます。 Intune ポリシーとアプリを特定のプロパティを持つデバイスのみを対象とすることが目標の場合は、代わりに割り当てフィルターの使用を検討してください。 フィルターは、グループ メンバーシップの処理に依存せずに、チェック時に評価されます。

次の構成をグループに追加します。

  • [グループの種類]: セキュリティ

  • [メンバーシップの種類]: 動的デバイス

  • 次のルールを使用して動的クエリを追加します。

既定の登録プロファイルでは動的グループを使用できません。 ルールを使用して動的グループを作成する方法の詳細については、「 グループ メンバーシップ ルールの作成」を参照してください。

手順 4: デバイスを登録する

注:

Microsoft Authenticator アプリは、登録時に完全に管理されたデバイスに自動的にインストールされます。 このアプリはこの登録方法に必要であり、アンインストールすることはできません。

登録プロファイル、トークン、動的グループを設定したら、次のいずれかのプロビジョニング方法を使用して、デバイスをフル マネージドとして登録できます。

  • 近距離無線通信 (NFC)
  • トークン文字列または QR コード
  • ゼロタッチ登録
  • Samsung Knox モバイル登録

各プロビジョニング方法を使用してデバイスを登録する方法など、次の手順については、「 Android Enterprise 企業所有デバイスの登録」を参照してください。

トークンの種類

管理センターで登録プロファイルを作成するときは、トークンの種類を選択する必要があります。 トークンには次の 2 種類があります。 種類ごとに、異なる登録フローが有効になります。

既定のトークンである企業所有のフル マネージド トークンでは、標準の Android Enterprise 企業のフル マネージド デバイスとして Microsoft Intune に登録されます。 このトークンでは、デバイスを配布する前に事前プロビジョニング手順を完了する必要があります。 エンド ユーザーは、職場または学校アカウントでサインインするときに、デバイス上の残りの手順を完了します。

デバイス ステージング トークン (企業所有のフル マネージド) はステージング経由で、デバイスをステージング モードで Microsoft Intune に登録して、ユーザーまたはサード パーティ ベンダーがすべての事前プロビジョニング手順を完了できるようにします。 エンド ユーザーは、職場または学校アカウントで Microsoft Intune アプリにサインインすることにより、プロビジョニングの最終手順を完了します。 サインイン時にデバイスを使用する準備ができます。 Intune では、Android 10 以降を実行している Android Enterprise デバイスのデバイス ステージングがサポートされています。

詳細については、「 デバイス ステージングの概要」を参照してください。

トークンの置き換え、削除、またはエクスポート

管理センターでトークンを選択すると、次の管理オプションにアクセスできます。

  • トークンの置き換え: 有効期限が近づいている新しいトークンを生成します。

  • トークンの取り消し: トークンを直ちに期限切れにします。 取り消すと、トークンは使用できなくなります。 このオプションは、次の場合に役立ちます。

    • 誤ってトークンを未承認のパーティと共有してしまいました。

    • すべての登録を完了し、トークンは不要になります。

  • トークンのエクスポート: トークンの JSON コンテンツをエクスポートします。 このオプションを使用して、Google ゼロ タッチまたは Knox モバイル登録の構成に必要な JSON コンテンツを取得できます。

これらのアクションを適用しても、既に登録されているデバイスには影響しません。

  • Last updated on