Android で Microsoft Defender for Endpoint を展開および構成する

Android デバイスで Defender for Endpoint を展開および構成するには、Microsoft Intune を使用します。 Intune は、アプリの展開とポリシー配信を処理します。 オンボードすると、Microsoft Defender はデバイス上でモバイルの脅威に対する保護を提供します。 Android では、オンボードはアプリ駆動型です。ユーザーが Defender アプリを開いてセットアップを完了すると、デバイスはオンボードされたと見なされます。 この記事では、Managed Google Play からのアプリの追加、デプロイの割り当てと検証、アプリ構成ポリシーの作成、常時接続 VPN の設定、オプションでロータッチ オンボードを有効にする方法について説明します。

ヒント

Intune を使用して、Intune モバイル デバイス管理 (MDM) に登録されていない Android デバイスに Defender for Endpoint を展開することもできます。 この方法には、管理対象外のデバイスと、Intune モバイル アプリケーション管理 (MAM) を使用して別の MDM に登録されたデバイスが含まれます。 詳細については、「アプリ保護ポリシー (MAM) で Microsoft Defender for Endpoint リスク シグナルを構成する」を参照してください。

前提条件

  • ライセンス:ユーザーに Intune ライセンスと Defender for Endpoint ライセンスの両方を割り当てます。 ライセンスの詳細については、「Microsoft Defender for Endpoint のライセンス要件」を参照してください。

  • 登録:次のいずれかの Android Enterprise 登録の種類を使用して、Intune にデバイスを登録します。

    • 仕事用プロファイルが設定されている個人所有のデバイス
    • 仕事用プロファイルを持つ企業所有のデバイス
    • 企業所有のフル マネージド ユーザー デバイスの登録

    重要

    Android デバイス管理者 (DA) 管理は非推奨となり、Google モバイル サービス (GMS) にアクセスできるデバイスでは使用できなくなりました。 現在 DA 管理を使用している場合は、別の Android 管理オプションに切り替えることをお勧めします。 サポートとヘルプのドキュメントは、GMS のない一部の Android 15 以前のデバイスで引き続き利用できます。 詳細については、「 GMS デバイスでの Android デバイス管理者のサポートの終了」を参照してください。

  • Android OS バージョン: サポートされている OS バージョンについては、「Android での Defender for Endpoint の システム要件 」を参照してください。

  • マネージド Google Play:Android Enterprise デバイス用のアプリを追加して割り当てる前に、Intune テナントを Managed Google Play に接続します。

  • Intune-Defender 接続: Defender for Endpoint との Intune サービス間接続を有効にします。 これがない場合、Intune でのオンボード状態、デバイス リスク シグナル、EDR の可視性は利用できません。 詳細については、「Intune デバイスとオンボード デバイスを使用して Microsoft Defender for Endpoint を構成する」を参照してください。

Android に Defender for Endpoint を展開する

Managed Google Play からアプリを追加する

Defender for Endpoint アプリをマネージド Google Play ストアに追加し、Intune で使用できるようにするには:

  1. Microsoft Intune 管理センターで、[アプリ] (1) に移動し、[Android] タイルを選択して [Android アプリ] ページ (2) を開きます。 [ 作成] (3) を選択し、[アプリの種類] で [ 管理対象 Google Play アプリ] (4) を選択して、[ 選択] を選択します。

    Microsoft Intune 管理センター ポータルで管理された Google Play アプリを作成する場所を示すスクリーンショット。

    1. [ Managed Google Play] ページで、 Microsoft Defender を検索します。 検索結果から [Defender: ウイルス対策 ] を選択します。これは、マネージド Google Play ストアの Defender for Endpoint アプリの名前です。

    2. [アプリ] ページで、アプリの詳細を確認し、[選択] (1) を選択し、[同期] (2) を選択してアプリを Intune と同期します。

      [選択] ボタンと [同期] ボタンの場所を示すスクリーンショット。

      同期は数分で完了します。

  2. 同期が完了したら、Intune 管理センターに戻り、[Android アプリ] 画面で [更新] を選択します。 Microsoft Defender: ウイルス対策がアプリの一覧に表示されるようになりました。

    アプリ リストの Microsoft Defender for Endpoint アプリを示すスクリーンショット。

次の手順については、[ Android アプリ ] ページをご利用ください。

アプリを割り当てる

アプリを必須アプリとして割り当てて、ポータル サイト アプリを介した次のデバイスの同期中に仕事用プロファイルに自動的にインストールされるようにします。

  1. Intune 管理センターの [Android アプリ] ページで、[アプリ] の一覧から [Microsoft Defender: ウイルス対策] を選択します。 [ プロパティ] (1) に移動し、[ 課題] で [編集] (2) を選択します。

    [プロパティ] ページの [編集] オプションを示すスクリーンショット。

  2. [ アプリケーションの編集 ] ウィンドウで、[ 必須 ] セクション (1) に移動し、[ グループの追加 ] を選択して [ グループの選択 ] ウィンドウを開きます。

    [グループの選択] ウィンドウを示すスクリーンショット。

  3. [ グループの選択 ] ウィンドウで、このアプリを受け取るグループを選択し、[ 選択] を選択します。

  4. [ アプリケーションの編集 ] ウィンドウに戻り、ウィンドウの下部にある [ レビュー + 保存 ] を選択し、[ 保存] を選択して課題をコミットします。

展開を確認する

割り当てを保存すると、構成を続行する前に、対象デバイスのインストールの状態を確認できます。

  1. Intune 管理センターの [Android アプリ] ページで、[アプリ] の一覧から [Microsoft Defender: ウイルス対策] を選択します。 既定のアプリ ページの [概要] に、Intune には、インストール状態のロールアップを示すグラフ タイルが表示されます。

  2. 特定のデバイスでアプリがインストールされたかどうかを確認するには、[ デバイスのインストール状態 ] を選択するか、[ デバイスの状態 ] タイルを選択します。 Intune には、対象となるデバイスの一覧の詳細が表示されます。

    [デバイスのインストールの状態] ウィンドウを示すスクリーンショット。

  3. 続行する前に、ターゲット デバイスがインストールに成功した状態を示していることを確認してください。

Android で Defender for Endpoint を構成する

アプリを展開したら、Intune ポリシーを使用して Android デバイスで Defender for Endpoint を構成します。 構成には、アプリのアクセス許可を付与するアプリ構成ポリシーと、Web 保護用の常時オン VPN を設定するためのデバイス構成プロファイルの作成が含まれます。 ネットワーク保護やプライバシー制御など、Defender に固有のオプション機能の構成については、Defender ドキュメントの「Android 機能で Microsoft Defender for Endpoint を構成する」を参照してください。

アプリのアクセス許可とオンボード設定の構成

アプリ構成ポリシーを作成して、Defender にデバイスで必要なアクセス許可を付与し、必要に応じて、ロータッチ オンボードを有効にして、ユーザーが最初の起動時に完了する手順を減らします。

  1. Microsoft Intune管理センターで、[アプリ] に移動し、[マネージド アプリ] を展開して、[構成]>[作成]>[マネージド デバイス] を選択します。

  2. [ 基本 ] ページで、次の詳細を指定します。

    • 名前: Defender for Endpoint など、わかりやすい名前を入力します。
    • プラットフォーム: Android Enterprise
    • プロファイルの種類: デバイス登録に一致する種類を選択します。
      • 個人所有の仕事用プロファイルのみ
      • 完全に管理された専用の企業所有の仕事用プロファイルのみ
    • 対象アプリ: [Microsoft Defender: ウイルス対策] を選択し、[OK] を選択して、[次へ] を選択します。

  3. [ 設定 ] ページで、現時点では 構成設定の形式 を既定のままにしておきます。 [ アクセス許可] で、[ 追加] を選択します。 [ アクセス許可の追加] 一覧から、使用可能なアプリのアクセス許可を選択し、[ OK] を選択します。

    EndPoint 向け Defender では、展開時に次のアクセス許可を付与することをお勧めします。

    アクセス許可 推奨状態 共同作業の重要性
    位置情報へのアクセス (細かい) 自動付与 Web 保護と ネットワーク保護に必要です。 これがない場合、Defender は偽装証明書からしか保護できません。Wi-Fi 脅威の検出は使用できません。 また、ユーザーは、脅威の完全な Wi-Fi カバレッジを得るには、オンボード中に [常に許可 ] を選択する必要があります。
    POST_NOTIFICATIONS 自動付与 脅威アラートがユーザーに到達するために必要です。 登録の種類と OS バージョンの制限事項については、メモを参照してください。

    アクセス許可を追加したら、[ アクセス許可の状態 ] ドロップダウンを使用して、それぞれに必要な動作を設定します。

    • プロンプト: ユーザーに受け入れるか拒否するかをプロンプトします。
    • 自動付与: ユーザーに通知せずに自動的に承認します。
    • 自動拒否: ユーザーに通知せずに自動的に拒否します。

    注:

    Android 12 以降では、会社所有の仕事用プロファイルと専用デバイスに対する特定のアクセス許可に対して 自動付与 はサポートされていません。 詳細については、「 管理対象 Android Enterprise デバイスのアプリ構成ポリシーの追加」を参照してください。

  4. (オプション)ロータッチ オンボードを有効にします。

    ロータッチ オンボードは既定で無効になっています。 これがない場合、初めて Defender for Endpoint を開くユーザーは、職場アカウントの資格情報を入力し、アプリのセットアップ ウィザードを手動で実行する必要があります。 ロータッチ オンボード モードでは、ポリシーによってユーザーの ID (UPN) が事前に設定されるため、ユーザーは最初の起動時にサインイン資格情報を入力する必要はありません。 次のセクションで説明する常時オンの VPN プロファイルと組み合わせると、オンボード中にユーザーが遭遇するプロンプトと手順を最小限に抑えることができます。

    ロータッチ オンボーディングは、ユーザーの負担を軽減したい企業所有のフル マネージド展開に役立ちます。 ユーザーがアプリのセットアップにより積極的に参加することを期待する個人所有の仕事用プロファイル デバイスの場合は、標準フローの方が適切な場合があります。 この手順をスキップすると、ポリシーはアクセス許可のみのポリシーとして機能し、ユーザーは標準フローを通じてオンボードを完了します。

    注:

    iOS (監視あり) や Windows とは異なり、Android では完全サイレントまたはゼロタッチのオンボーディングはサポートされていません。 Android のアクセス許可モデルでは、特定のアクセス許可に対してユーザーの明示的な同意が必要なため、初回起動時にはある程度のユーザー操作が常に必要です。 ロータッチ オンボーディングは、その相互作用を最小限に抑えるために利用できる最も近いオプションです。

    ロータッチ オンボードを有効にするには、[ 設定 ] ページで [構成設定形式 ] ドロップダウンを [構成デザイナーを使用] に設定し、[ 追加] を選択して、次のキーを構成します。

    キー 値の型 構成値
    ロー タッチ オンボーディング 整数 1
    ユーザー UPN 変数 User Principal Name (UPN)

    一覧から両方のキーを選択し、[ OK] を選択してから、表に示すようにそれぞれの値 の種類 と 構成の値 を設定します。

  5. [割り当て] ページで、このポリシーを Microsoft Defender: ウイルス対策アプリを展開するときに使用したのと同じユーザー グループに割り当てます。

  6. [ レビュー + 作成] で、選択内容を確認し、[ 作成] を選択します。

Always-On VPN を設定する

デバイス構成プロファイルを使用すると、Intune ポリシーを介して登録済みデバイスに Defender の Web 保護トンネルを配信できます。そのため、ユーザーはオンボード中に VPN を手動で構成する必要はありません。

  1. Microsoft Intune 管理センターで、[デバイス] (1) に移動し、[デバイスの管理] を展開して、[構成] (2) を選択します。 [ ポリシー] タブ (3) で、[ 作成 (4) >新しいポリシー] を選択します。 [ プロファイルの作成 ] ウィンドウで、[ プラットフォーム ] を [Android Enterprise ] に、 [ プロファイルの種類] を [テンプレート (5)] に設定し、デバイス登録の種類に基づいて、次のテンプレートの種類のいずれかに対して [ デバイスの制限 (6)] を選択します。

    • 完全に管理された専用の Corporate-Owned 仕事用プロファイル
    • 個人所有の仕事用プロファイル

    次に、[ 作成 ] を選択して、デバイス制限ポリシー構成ワークフローを開きます。

    [ポリシー] ウィンドウの [構成プロファイル] メニュー項目

  2. [ 基本 ] ページで、構成プロファイルを一意に識別するための [名前 ] と [説明 ] を指定します。

    [基本] ウィンドウのデバイス構成プロファイル名と説明フィールド

  3. [ 構成設定] で、[ 接続] を展開してから、VPN を構成します。

    1. Always-On VPN (仕事用プロファイル レベル) を有効にします。 仕事用プロファイルで VPN クライアントを設定して、可能な限り VPN に自動的に接続および再接続するようにします。 特定のデバイスで常時オン VPN 用に構成できる VPN クライアントは 1 つだけなので、デバイスに複数の常時オン VPN ポリシーを展開しないようにしてください。

    2. VPN クライアントのドロップダウン リストを使用して、[カスタム] を選択します。 この場合、カスタム VPN は Defender for Endpoint VPN であり、これは Web 保護を提供します。

      注:

      VPN の自動セットアップを実行するには、Defender for Endpoint アプリをユーザーのデバイスにインストールする必要があります。

    3. パッケージ ID には、マネージド Google Play ストアの Microsoft Defender: ウイルス対策アプリの ID を指定します。 Microsoft Defender アプリ URL の場合、パッケージ ID は com.microsoft.scmx です。

    4. [ロックダウン モード] を既定の [未構成] に設定します。

      [構成設定] タブの [接続] ウィンドウ

  4. [ 割り当て] ページで、このデバイス構成プロファイルを割り当てるユーザー グループを選択します。 [含める グループの選択 ] を選択し、該当するグループを選択して、[ 次へ] を選択します。

    選択するグループは、通常、Defender for Endpoint Android アプリを割り当てるのと同じグループです。

  5. [ レビュー + 作成 ] ページで、設定を確認し、[ 作成] を選択します。

デバイスのオンボードを完了する

ポリシーをデバイスにプッシュすると、ユーザーはデバイスからのオンボードを完了します。 仕事用プロファイルが設定されている個人所有のデバイスでは、仕事用プロファイルに Defender が表示されます。 企業所有の完全に管理されたデバイスでは、Defender は単一のデバイス プロファイルに表示されます。

  1. ユーザーは Defender for Endpoint アプリを開き、オンボードを完了するためのアクセス許可を承諾します。

    ヒント

    アプリのセットアップ中に位置情報へのアクセスを求められたら、[ 常に許可 ] を選択するようにユーザーに指示します。 この選択により、 ネットワーク保護を通じて脅威の検出を全面的に Wi-Fi できます。 ユーザーが アプリの使用中に 選択するか、アクセス許可を拒否した場合、Defender は引き続き偽装証明書から保護できますが、オープンまたは疑わしい Wi-Fi ネットワーク上の脅威を検出することはできません。 この選択を強制する管理者構成はありません。OS レベルでのユーザーの同意が必要です。

    モバイル デバイスでの Microsoft Defender for Endpoint アプリケーションの表示

オンボード状態の確認

ユーザーがオンボードを完了したら、デバイスが正常にレポートすることを確認します。

Intune 管理センターから確認するには:

  1. 「 エンドポイント セキュリティ>エンドポイントの検出と応答」に移動します。
  2. [EDR オンボーディング ステータス] タブを選択し、Android デバイスのオンボーディング ステータスを確認します。 正常にオンボードしたデバイスの状態は [正常にオンボードされました] と表示されます。

Defender ポータルから確認するには:

  1. Microsoft Defender ポータルで、[エンドポイント>デバイス インベントリ] に移動し、Android デバイスが表示されていることを確認します。

Intune を使用してプラットフォーム間でオンボード状態を監視する方法の詳細については、「 デバイスのオンボード状態の監視」を参照してください。

デバイスが期待どおりに表示されない場合は、次の条件をチェックします。

次の手順

  • Last updated on