Android 用モバイル アプリケーション管理用 Microsoft Tunnel

この機能には、Microsoft Intune プラン 2 または追加のサブスクリプションが必要です。 ライセンス オプションについては、「Microsoft Intune のプランと価格」および「Microsoft 365 Security Enterprise プラン」を参照してください。

Microsoft Tunnel for Mobile Application Management (MAM) をテナントに追加すると、未登録の Android デバイスで Microsoft Tunnel VPN Gateway を使用して MAM シナリオをサポートできます。 MAM のサポートにより、登録されていないデバイスは Tunnel を使用してorganizationに安全に接続し、ユーザーとアプリが組織データに安全にアクセスできます。

適用対象:

  • Android Enterprise

MAM をサポートするように既存の Microsoft Tunnel 構成を拡張するには、登録されていないデバイスでこのサポートを構成する 3 つのプロファイルを作成して展開します。

  • Microsoft Defender のアプリ構成ポリシー。 このポリシーでは、デバイス上の Microsoft Defender for Endpoint を VPN トンネル クライアント アプリとして構成します。
  • Microsoft Edge のアプリ構成ポリシー。 このポリシーでは、Microsoft Edge で Microsoft の "職場または学校" アカウントから Microsoft "個人用アカウント" アカウントに切り替えるときに、VPN トンネルを自動的に接続および切断する ID スイッチをサポートするように Microsoft Edge を構成します。
  • デバイス上の MAM 対応アプリが企業リソースにアクセスしたときに Microsoft トンネルへの接続を自動的に開始するアプリ保護ポリシー。

これらのポリシーを設定すると、トンネルの既存のサイトとサーバーの構成で、Intune に登録されていないデバイスからのアクセスがサポートされます。 さらに、MDM トンネル構成を使用する代わりに、MAM トンネルの構成を登録済みデバイスに展開することもできます。 ただし、登録されたデバイスでは、MDM トンネル構成または MAM トンネル構成のみを使用する必要があり、両方を使用することはできません。 たとえば、登録済みデバイスでは、他のアプリが MDM トンネル構成を使用しているときに MAM トンネル構成を使用する Microsoft Edge のようなアプリを含めることはできません。

対話型デモをお試しください: [Android 向けモバイル アプリケーション管理の Microsoft トンネル](/ https:/regale.cloud/Microsoft/viewer/1896/microsoft-tunnel-for-mobile-application-management-for-android/index.html#/0/0) 対話型デモでは、Tunnel for MAM が Intune に登録されていない Android デバイスをサポートするために Microsoft トンネル VPN Gatewayを拡張する方法を示します。

前提条件

インフラストラクチャとテナント:

MAM のトンネルを使用するには、登録済みデバイスにトンネルを使用する場合と同じ考慮事項と前提条件が必要です。 詳細については、「 トンネルの前提条件」を参照してください。

Microsoft Tunnel を構成すると、2 つのアプリ構成ポリシーと、登録されていないデバイスで Tunnel を使用できるようにするアプリ保護ポリシーを追加する準備が整います。 これらのポリシーの構成については、次のセクションで詳しく説明します。

デバイス:

Intune に登録されていないデバイスのユーザーは、MAM のトンネル シナリオを使用する前に、Android デバイスに次のアプリをインストールする必要があります。 これらのアプリはすべて、Google Play ストアから手動でインストールできます。

  1. Microsoft Defender - Microsoft Defender から入手 - Google Play のアプリ。 Microsoft Defender には、デバイスが Microsoft Tunnel への接続に使用するトンネル クライアント アプリが含まれています。 MAM のトンネルをサポートするには、Microsoft Defender for Endpoint がバージョン 1.0.4722.0101 以降である必要があります。

  2. Microsoft Edge - Microsoft Edge から入手: Web ブラウザー - Google Play のアプリ。

  3. ポータル サイト - Intune ポータル サイトで入手 - Google Play のアプリ。 ユーザーがアプリにサインインしたり、デバイスを Intune に登録したりする必要はありませんが、デバイスにはポータル サイト アプリをインストールする必要があります。

基幹業務アプリ:

基幹業務 (LOB) アプリの場合は、それらを MAM SDK と統合します。 後で、 LOB アプリ を MAM トンネルのアプリ保護ポリシーとアプリ構成ポリシーに追加できます。 「 MAM for Android の概要」を参照してください。

注:

Android LOB アプリケーションが MDM と MAM の両方について、ダイレクト プロキシまたはプロキシ自動構成 (PAC) をサポートしていることを確認します。

MAM SDK バージョン:

MAM 用 Microsoft Tunnel の Android の信頼されたルート機能を使用するには、MAM SDK バージョン 9.5.0 以降が必要です。リリース バージョン 9.5.0 · msintuneappsdk/ms-intune-app-sdk-android on github.com に移動します。

政府機関向けクラウド サポート

Android の MAM 用 Microsoft Tunnel は、次のソブリン クラウド環境でサポートされています。

  • 米国政府機関コミュニティ クラウド (GCC) 高
  • 米国国防総省 (DoD)

Android の MAM 用 Microsoft Tunnel は、21Vianet が運用する Microsoft Azure ではサポートされていません。

Android の MAM 用 Microsoft Tunnel は、Federal Information Processing Standard (FIPS) をサポートしていません。

詳細については、「米国政府機関向け Microsoft Intune GCC サービスの説明」を参照してください。

MAM 用 Microsoft Tunnel をサポートするようにポリシーを構成する

MAM 用 Tunnel の使用をサポートするには、次のセクションで詳しく説明する 3 つのプロファイルを作成して展開します。 これらのポリシーは、任意の順序で作成できます。

3 つすべてが構成されて同じグループに展開されると、Microsoft Edge が起動するたびに、アプリの保護ポリシーによってトンネルが自動的にトリガーされ、VPN に接続します。

オンプレミス リソースに接続する必要がある場合や、オンプレミスまたはプライベート証明機関 (CA) が発行する SSL/TLS 証明書によって保護される場合に、Microsoft Edge や基幹業務アプリで使用するための 信頼された証明書プロファイル を構成することもできます。 既定では、Microsoft Edge は信頼されたルート証明書をサポートします。 LOB アプリの場合は、 MAM SDK を使用して 、信頼されたルート証明書のサポートを追加します。

Microsoft Defender のアプリ構成ポリシー

トンネル クライアント アプリとして使用するようにデバイスで Microsoft Defender for Endpoint を構成するアプリ構成ポリシーを作成します。

注:

1 つの Defender アプリ構成ポリシーのみが登録されていないデバイスを対象とすることを確認します。 Defender for Endpoint のトンネル設定が異なる 1 つ以上のアプリ構成ポリシーを対象とすると、デバイスでトンネル接続の問題が発生します。

  1. Microsoft Intune 管理センターにサインインし、[アプリ>構成]>[アプリの作成]> [マネージド アプリ] に移動します。

  2. [基本] タブで、次の操作を行います。

    1. このポリシーの名前と説明 (省略可能) を入力します。
    2. [パブリック アプリの選択] をクリックし、[Android 用の Microsoft Defender エンドポイント] を選択して、[選択] をクリックします。

    Microsoft Defender エンドポイントがパブリック アプリに表示されたら、[次へ] を選択します。

    パブリック アプリとして Microsoft Defender エンドポイントを使用してアプリ構成ポリシーを構成するスクリーンショット。

  3. [ 設定 ] タブで、このポリシーに使用されない [全般構成設定] カテゴリをスキップします。 Microsoft Tunnel 設定カテゴリの場合、次の構成を行います。

    • [Microsoft Tunnel VPN を使用する] を [はい] に設定します。
    • [ 接続名] で、VPN の接続名を指定します。

    次に、[ サイトの選択] をクリックします。

    • [サイト名] で、使用可能なサイトを選択し、[OK] をクリックします。

    • アプリごとの VPN (Android のみ) はオプションの設定です。 パブリック アプリまたはカスタム アプリを選択して、トンネル VPN 接続の使用をこれらの指定されたアプリに制限します。

      重要

      Microsoft Edge 内でシームレスな ID 切り替えと正確なトンネル通知を確保するには、アプリごとの VPN リストに Edge を含めることが不可欠です。

      Microsoft Edge が追加されたアプリごとの構成のスクリーンショット。

      重要

      Android 用 MAM トンネルは、 Always-on VPN の使用をサポートしていません。 Always-on VPN が Enable に設定されている場合、トンネルは正常に接続せず、デバイス ユーザーに接続失敗通知を送信します。

      MAM トンネル接続が利用できない場合にネットワーク トラフィックをブロックするには、Always-On VPN ではなく Microsoft Edge アプリ構成ポリシーを使用して ストリクト トンネル モード を構成します。

    • プロキシ はオプションの設定です。 オンプレミス ネットワークの要件を満たすようにプロキシ設定を構成します。

      注:

      プロキシ サーバーの構成は、バージョン 10 より前のバージョンの Android ではサポートされていません。 詳細については、Android 開発者向けドキュメントの VpnService.Builder を参照してください。

    準備ができたら、[次へ] を選択して続行します。

    アプリ構成ポリシー設定のスクリーン ショット。

  4. [割り当て] タブで [グループの追加] を選択し、Microsoft Edge アプリ構成プロファイルの展開先と同じ Microsoft Entra グループを選択して、[次へ] を選択します。

  5. [ レビュー + 作成 ] タブで、[ 作成 ] を選択してポリシーの作成を完了し、割り当てられたグループにポリシーを展開します。

新しいポリシーが [アプリ構成ポリシー] の一覧に表示されます。

Microsoft Edge のアプリ構成ポリシー

Microsoft Edge のアプリ構成ポリシーを作成します。 このポリシーは、ID スイッチをサポートするように Microsoft Edge を構成し、Microsoft の "職場または学校" アカウントにサインインまたは切り替えるときに VPN トンネルを自動的に接続し、Microsoft の個人用アカウントに切り替えるときに VPN トンネルを自動的に切断する機能を提供します。

  1. Microsoft Intune 管理センターにサインインし、[アプリ>構成]>[アプリの作成]> [マネージド アプリ] に移動します。

  2. [基本] タブで、次の操作を行います。

    1. ポリシーの名前と説明 (省略可能) を入力します。
    2. [パブリック アプリの選択]、[Android 用の Microsoft Edge ]、[選択] の順にクリックします。

    Microsoft Edge が パブリック アプリとして一覧表示されたら、[ 次へ] を選択します。

    パブリック アプリとして Microsoft Edge を使用してアプリ構成ポリシーを構成するスクリーンショット。

  3. [設定] タブで、[全般] 構成設定カテゴリの名前と値のペアを次のように構成します。

    名前 説明
    com.microsoft.intune.mam.managedbrowser.StrictTunnelMode

    値: True    		 Trueに設定すると、Edge にストリクト トンネル モードのサポートが提供されます。 ユーザーが organization アカウントを使用して Edge にサインインすると、VPN が接続されていない場合、ストリクト トンネル モードでインターネット トラフィックがブロックされます。

    VPN が再接続すると、インターネット閲覧が再び使用可能になります。
    com.microsoft.intune.mam.managedbrowser.TunnelAvailable.IntuneMAMOnly

    値: True    		 True に設定すると、Edge に ID 切り替えサポートが提供されます。

    ユーザーが 職場アカウントまたは学校アカウントでサインインすると、Edge は自動的に VPN に接続します。 ユーザーが In-Private ブラウズを有効にすると、Edge は 個人用アカウント に切り替え、VPN を切断します。

    注:

    StrictTunnelMode アプリ構成キーは、登録されていないデバイスの MAM シナリオに適用され、MAM トンネル接続が利用できない場合に Edge インターネット トラフィックがブロックされます。 登録済みデバイスの場合、ストリクト トンネル モードは Microsoft Tunnel VPN プロファイル のデバイスレベルの設定として構成され、Edge だけでなくデバイス上のすべてのネットワーク トラフィックに適用されます。

    次の図は、Microsoft Edge のアプリ構成ポリシーの Identity switch 設定を示しています。

    Microsoft Intune のアンマネージド Android デバイス上の MAM トンネルの ID スイッチ構成キーと値を示す画像。

    注:

    [全般] 構成設定の末尾にスペースがないことを確認します。

    この同じポリシーを使用して、[ Microsoft Edge 構成設定] カテゴリ内の他の Microsoft Edge 構成を構成できます。 Microsoft Edge の追加構成の準備ができたら、[ 次へ] を選択します。

  4. [課題] タブで [グループの追加] を選択し、このポリシーを受け取る 1 つ以上の Microsoft Entra グループを選択します。 グループを構成した後、[ 次へ] を選択します。

  5. [ レビュー + 作成 ] タブで、[ 作成 ] を選択してポリシーの作成を完了し、割り当てられたグループにポリシーを展開します。

新しいポリシーが [アプリ構成ポリシー] の一覧に表示されます。

Microsoft Edge のアプリ保護ポリシー

アプリの起動時に Microsoft Tunnel VPN 接続を自動的に開始するアプリ保護ポリシーを作成します。

注:

アプリが起動すると、トンネル VPN 接続の開始が試みられます。開始されると、デバイスは Microsoft Tunnel ゲートウェイ経由で利用可能なオンプレミス ネットワーク ルートにアクセスできるようになります。 トンネル ネットワーク アクセスを特定のアプリに制限する場合は、[アプリごとの VPN (Android のみ)] 設定を構成します。

  1. Microsoft Intune 管理センターにサインインし、[アプリ>保護]>[作成]>Android に移動します。

  2. [基本] タブで、このポリシーの名前と説明 (省略可能) を入力し、[次へ] を選択します。

  3. [ アプリ ] タブで、[ パブリック アプリの選択]、[ Microsoft Edge]、[ 選択] の順にクリックします。

    Microsoft Edge が パブリック アプリとして一覧表示されたら、[ 次へ] を選択します。

    パブリック アプリとして Microsoft Edge を使用してアプリ保護ポリシーを構成するスクリーンショット。

  4. [ データ保護 ] タブで、一番下までスクロールし、[ アプリ起動時に Microsoft トンネル接続を開始する] を [ はい] に設定し、[ 次へ] を選択します。

    アプリの起動時にトンネルを使用するためのアプリ保護ポリシー設定を構成する場合のスクリーンショット。

  5. [アクセス要件] タブと [条件付き起動] タブを越えて進みます。

  6. [割り当て] タブで [グループの追加] を選択し、2 つのアプリ構成プロファイルを展開したのと同じ Microsoft Entra グループを選択して、[次へ] を選択します。

  7. [ レビュー + 作成 ] タブで、[ 作成 ] を選択してポリシーの作成を完了し、割り当てられたグループにポリシーを展開します。

新しいポリシーが、アプリ構成ポリシーの一覧に表示されます。

基幹業務アプリケーションを構成する

LOB アプリを MAM SDK と統合している場合は、以前に作成した 3 つの MAM トンネル ポリシーにカスタム アプリとして追加することで、それらを Microsoft トンネルと共に使用できます。

ポリシーにカスタム アプリを追加する方法の詳細については、2 つのポリシーの種類に関する次の記事を参照してください。

未登録のデバイスで LOB アプリをサポートするには、Microsoft Intune 管理センター内から利用可能なアプリとしてアプリを展開する必要があります。 Intune を使用して、登録されていないデバイスに必須アプリとしてアプリを展開することはできません。

信頼された証明書プロファイルを使用する

Android で MAM トンネルを使用する LOB アプリは、Intune アプリ SDK と統合する必要があり、新しいトンネルを使用して MAM 信頼マネージャーを使用して、LOB アプリに信頼されたルート証明書のサポートを利用する必要があります。 信頼されたルート証明書をサポートするには、この記事の 前提条件 のセクションで詳しく説明されているように、最小の SDK バージョン (またはそれ以降) を使用する必要があります。

信頼されたルート証明書の管理:

アプリケーションで、内部 Web サイトやアプリケーションへの安全なアクセスを提供するためにオンプレミスまたはプライベート証明機関によって発行された SSL/TLS 証明書が必要な場合、Intune アプリ SDK には、API クラス MAMTrustedRootCertsManager と MAMCertTrustWebViewClient を使用した証明書信頼管理のサポートが追加されています。

要件:

  • Tunnel for MAM Android でサポートされている証明書形式:

    • DER エンコード バイナリ X.509
    • PEM

  • MAMCertTrustWebViewClient は以下をサポートします。

    • Android 11 以降

  • MAMTrustedRootCertsManager は以下をサポートします。

    • SSLContext
    • SSLSocketFactory
    • TrustManager
    • WebView

MAM 用トンネルを使用するアプリのアプリ構成プロファイルの構成時に、使用する証明書プロファイルを選択します。

  1. アプリ構成プロファイルの [ 設定 ] タブで、[ Microsoft Tunnel for Mobile Application Management 設定] を展開します。 アプリ構成ポリシーのトンネル設定の表示。

  2. 次のオプションを構成します。

    1. [MAM 用 Microsoft Tunnel を使用する] を [はい] に設定します。
    2. [ 接続名] で、この接続のユーザー向け名前 ( mam-tunnel-vpn など) を指定します。
    3. 次に、[ サイトの選択] を選択し、Microsoft Tunnel ゲートウェイ サイトのいずれかを選択します。 Tunnel ゲートウェイ サイトを構成していない場合は、「 Microsoft Tunnel の構成」を参照してください。
    4. アプリに信頼された証明書が必要な場合は、[ ルート証明書] を選択して [ ルート証明書 の選択] ウィンドウを開き、使用する信頼された証明書プロファイルを選択します。

    ルート証明書選択ウィンドウのビュー。

    ルート証明書プロファイルの構成の詳細については、「Microsoft Intune の信頼されたルート証明書プロファイル」を参照してください。

  3. トンネル MAM 設定を構成したら、[ 次へ ] を選択して [ 割り当て] タブを開きます。

既知の問題

MAM Tunnel for Android の既知の問題または制限事項を次に示します。

モバイル アプリケーション管理のトンネルは、個人プロファイル モードでの Microsoft Defender をサポートしていません

個人用プロファイル モードの Microsoft Defender の詳細については、「BYOD モードの Android Enterprise の個人用プロファイルの Microsoft Defender」を参照してください。

回避策: なし。

MDM トンネルの使用時に MAM トンネルがサポートされない

MDM トンネル構成を使用する代わりに、登録済みデバイスで MAM トンネルを使用することを選択できます。 ただし、登録されたデバイスでは、MDM トンネル構成または MAM トンネル構成のみを使用する必要があり、両方を使用することはできません。 たとえば、登録済みデバイスでは、他のアプリが MDM トンネル構成を使用しているときに MAM トンネル構成を使用する Microsoft Edge のようなアプリを含めることはできません。

回避策: なし。

信頼されたルートのサポートに WebView と Intune SDK を使用する基幹業務アプリケーション、内部エンドポイントはレンダリングできません

回避策: Tunnel 上の WebView で LOB アプリを使用する未登録の Android デバイスに、信頼されたルート証明書を手動で展開してインストールします。

プライベート証明機関を使用すると、Android は証明書チェーンの構築に失敗する

MAM で MAMCertTrustWebViewClient と共に WebView を使用して証明書を検証する場合、MAM は Android に委任して、管理者とサーバーによって提供される証明書から証明書チェーンを構築します。 プライベート証明書を使用するサーバーが接続する WebView へのフル チェーンを提供し、管理者がルート証明書のみを展開する場合、Android は証明書チェーンの構築に失敗し、サーバーの信頼を確認するときに失敗する可能性があります。 この動作は、Android がチェーンを許容可能なレベルまで構築するために中間証明書を必要とするために発生します。

回避策: 適切な証明書検証を確保するために、管理者はルート証明書とすべての中間証明書を Intune に展開する必要があります。 ルート証明書とすべての中間証明書が展開されていない場合、Android は証明書チェーンの構築に失敗し、サーバーを信頼できない可能性があります。

プライベート証明機関からの TLS/SSL 証明書を使用すると Defender for Endpoint 証明書エラーが発生する

Microsoft Tunnel ゲートウェイ サーバーがプライベート (オンプレミス) CA によって発行された TLS/SSL 証明書を使用する場合、接続を試みると、Microsoft Defender for Endpoint によって証明書エラーが生成されます。

回避策: Android デバイス上の、対応するプライベート証明機関の信頼されたルート証明書を手動でインストールします。 Defender for Endpoint アプリの今後の更新プログラムではサポートが提供され、信頼されたルート証明書を手動でインストールする必要がなくなります。

Microsoft Edge は、起動後しばらくの間、内部リソースにアクセスできない

Microsoft Edge が開いた直後に、ブラウザーはトンネルに正常に接続する前に、内部リソースへの接続を試みます。 この動作により、リソースまたはリンク先 URL が利用できないとブラウザーが報告されます。

回避策: デバイスのブラウザー接続を更新します。 このリソースは、トンネルへの接続が確立された後に使用可能になります。

登録されていないデバイスのトンネルをサポートするために必要な 3 つのアプリは、デバイス上のポータル サイト アプリに表示されません

Microsoft Edge、Microsoft Defender for Endpoint、および ポータル サイト が、登録の有無にかかわらず使用可能なデバイスに割り当てられると、対象ユーザーは ポータル サイト または portal.manage.microsoft.com でアプリを見つけることができません。

回避策: Google Play ストアから 3 つのアプリすべてを手動でインストールします。 この記事の 前提条件 セクションでは、Google Play の 3 つのアプリすべてへのリンクを見つけることができます。

エラー: "MSTunnel VPN を起動できませんでした。IT 管理者にお問い合わせください"

このエラー メッセージは、トンネルが接続されていても発生することがあります。

回避策: このメッセージは無視できます。

エラー: ライセンスが無効です。管理者にお問い合わせください

このエラーは、Microsoft Defender for Endpoint のバージョンでトンネルがサポートされていない場合に発生します。

回避策: サポートされているバージョンの Defender for Endpoint を Microsoft Defender - Google Play のアプリからインストールします。

Defender の複数のポリシーを使用してアプリごとに異なるトンネル サイトを構成することはサポートされていません

異なるトンネル サイトを指定する Microsoft Defender に複数のアプリ構成ポリシーを使用することはサポートされておらず、トンネルの正常な使用を妨げる競合状態が発生する可能性があります。

回避策: Microsoft Defender の単一のアプリ構成ポリシーで各デバイスを対象とし、登録されていない各デバイスが 1 つのサイトのみを使用するように構成されるようにします。

基幹業務アプリとの自動切断

基幹業務 (LOB) シナリオでの自動切断はサポートされていません。

Edge がアプリごとの VPN 構成に一覧表示されている唯一のアプリケーションである場合、自動切断機能は正しく機能します。 アプリごとの VPN 構成に他のアプリケーションが含まれている場合、自動切断機能は動作しません。 この場合、ユーザーは手動で切断して、すべての接続を確実に終了する必要があります。

回避策: LOB シナリオでは、ユーザーは手動で接続を切断する必要があります。

次の手順

以下も参照してください。

  • Last updated on