この機能には、Microsoft Intune プラン 2 または追加のサブスクリプションが必要です。 ライセンス オプションについては、「Microsoft Intune のプランと価格」および「Microsoft 365 Security Enterprise プラン」を参照してください。
Microsoft Tunnel for Mobile Application Management (MAM) をテナントに追加すると、未登録の iOS デバイスで Microsoft Tunnel VPN Gateway を使用して、次のシナリオで MAM をサポートできます。
- 先進認証、シングル サインオン (SSO)、条件付きアクセスを使用して、オンプレミス リソースへのセキュリティで保護されたアクセスを提供します。
- エンド ユーザーが個人デバイスを使用して会社のオンプレミス リソースにアクセスすることを許可します。 MDM (モバイル デバイス管理) の登録は必要ありません。会社のデータは保護されたままです。
- 組織が個人所有のデバイス持ち込み (BYOD) プログラムを採用することを許可します。 BYOD または個人用デバイスは、全体的な総所有コストを削減し、ユーザーのプライバシーを確保し、企業データをこれらのデバイスで保護します。
適用対象:
- iOS/iPadOS
Tunnel for MAM iOS は、組織がモバイル アプリケーションを安全に管理および保護できるようにする強力なツールです。 このソリューションの VPN 接続は、iOS SDK MAM 用 Microsoft Tunnel を介して提供されます。
MAM トンネルは、未登録のデバイスで使用するだけでなく、登録済みのデバイスでも使用できます。 ただし、登録されたデバイスでは、MDM トンネル構成と MAM トンネル構成のどちらか一方を使用する必要がありますが、両方を使用することはできません。 たとえば、登録済みデバイスでは、他のアプリが MDM トンネル構成を使用しているときに MAM トンネル構成を使用する Microsoft Edge のようなアプリを含めることはできません。
対話型のデモをお試しください[iOS/iPadOS 用モバイル アプリケーション管理向け Microsoft トンネル](/ https:/regale.cloud/Microsoft/viewer/1976/microsoft-tunnel-for-mobile-application-management-for-ios-ipados/index.html#/0/0) 対話型デモでは、Tunnel for MAM が Microsoft Tunnel VPN Gatewayを拡張して、Intune に登録されていない iOS および iPadOS デバイスをサポートする方法を示します。
政府機関向けクラウド サポート
iOS/iPadOS 上の MAM 用 Microsoft Tunnel は、次のソブリン クラウド環境でサポートされています。
- 米国政府機関コミュニティ クラウド (GCC) 高
- 米国国防総省 (DoD)
iOS/iPadOS 上の MAM 用 Microsoft Tunnel は、21Vianet が運用する Microsoft Azure ではサポートされていません。
iOS/iPadOS 上の MAM 用 Microsoft Tunnel は、Federal Information Processing Standard (FIPS) をサポートしていません。
詳細については、「米国政府機関向け Microsoft Intune GCC サービスの説明」を参照してください。
iOS に必要な SDK
iOS MAM 用 Microsoft Tunnel を使用するには基幹業務 (LOB) アプリを更新して、次の 3 つの SDK を統合する必要があります。 各 SDK の統合に関するガイダンスについては、この記事の後半で説明します。
MAM iOS SDK アーキテクチャ用のトンネル
次の図は、Tunnel for MAM SDK for iOS と正常に統合されたマネージド アプリからのフローを示しています。
アクション
- アプリの初回起動時には、MAM SDK のトンネルを介して接続が確立されます。
- 認証には認証トークンが必要です。
- デバイス上の別の MAM 対応アプリ (Outlook、Microsoft Edge、Microsoft 365 Office モバイル アプリなど) を使用して以前のサインインから取得した Microsoft Entra 認証トークンが既にデバイスにある場合があります。
- TCP 接続 (TLS ハンドシェイク) は、トンネル サーバーへのトークンを使用して発生します。
- Microsoft Tunnel ゲートウェイで UDP が有効になっている場合、DTLS を使用したデータチャネル接続が確立されます。 UDP が無効になっている場合は、トンネル ゲートウェイへのデータ チャネルを確立するために TCP が使用されます。 Microsoft Tunnel のアーキテクチャの TCP、UDP ノートを参照してください。
- モバイル アプリがオンプレミスの企業リソースに接続する場合:
- 会社のリソースに対する MAM 用 Microsoft Tunnel API 接続要求が発生します。
- 暗号化された Web 要求が企業リソースに対して送信されます。
注:
MAM iOS SDK 用トンネルには VPN トンネルが用意されています。 アプリ内のネットワーク レイヤーが対象になります。 VPN 接続は iOS の設定に表示されません。
Tunnel for MAM iOS-SDK と統合され、フォアグラウンドで実行されるアクティブな基幹業務 (LOB) アプリは、Tunnel ゲートウェイ サーバー上のアクティブなクライアント接続を表します。 mst-cli コマンド ライン ツールを使用して、アクティブなクライアント接続を監視できます。 mst-cli コマンドライン ツールの詳細については、「 Microsoft Tunnel ゲートウェイのリファレンス」を参照してください。
Mam 用 Microsoft Tunnel iOS の Intune ポリシーを構成する
MAM 用 Microsoft Tunnel iOS では、次の Intune ポリシーとプロファイルが使用されます。
- アプリの構成ポリシー - Edge と LOB アプリの Microsoft Tunnel ゲートウェイ設定を構成します。 オンプレミスのリソース アクセスに必要な信頼された証明書を追加できます。
- アプリ保護ポリシー - データ保護設定を構成します。 また、Edge および LOB アプリの Microsoft Tunnel 設定を構成するアプリ構成ポリシーを展開する方法も確立します。
- 信頼できる証明書プロファイル - オンプレミスのリソースに接続し、オンプレミスまたはプライベート証明機関 (CA) によって発行された SSL/TLS 証明書によって保護されているアプリ向け。
LOB アプリのアプリ構成ポリシーを構成する
MAM 用にトンネルを使用するアプリのアプリ構成ポリシーを作成します。 このポリシーは、Edge および基幹業務 (LOB) アプリに対して特定の Microsoft Tunnel ゲートウェイ サイト、プロキシ、信頼できる証明書を使用するようにアプリを構成します。 これらのリソースは、オンプレミス リソースに接続するときに使用されます。
Microsoft Intune 管理センターにサインインし、[アプリ>構成]>[アプリの作成]> [マネージド アプリ] に移動します。
[基本] タブで、ポリシーの名前と説明 (省略可能) を入力します。
LOB アプリの場合は、[ + カスタム アプリの選択 ] を選択して、[ ターゲットにするアプリの選択 ] ウィンドウを開きます。 [ ターゲットにするアプリの選択 ] ウィンドウで、次の操作を行います。
- バンドルまたはパッケージ ID として、LOB アプリのバンドル ID を指定します
- [ プラットフォーム] で [iOS/iPadOS] を選択し、[ 追加] を選択します。
- 追加したアプリを選択し、[ 選択] を選択します。
注:
LOB アプリには、iOS および MSAL 統合用の Intune アプリ SDK が必要です。 MSAL には Microsoft Entra アプリの登録が必要です。 アプリ構成ポリシーで使用されるバンドル ID が、Microsoft Entra アプリの登録と Xcode アプリ プロジェクトで指定されたバンドル ID と同じであることを確認します。 Xcode は macOS 上で実行される Apple 統合開発者環境であり、MAM iOS SDK 用トンネルをアプリと統合するために使用されます。
Intune に追加されたアプリのバンドル ID を取得するには、Intune 管理センターを使用します。
アプリを選択したら、[ 次へ] を選択します。
ポリシーにカスタム アプリを追加する方法の詳細については、「Intune App SDK マネージド アプリのアプリ構成ポリシー」を参照してください。
[ 設定 ] タブで、[*Microsoft Tunnel for Mobile Application Management 設定] を展開し、次のオプションを構成します。
注:
プロキシ トンネリングとスプリット トンネリングを構成する場合:
- プロキシ自動構成スクリプト (PAC) ファイルを使用すると、スプリット トンネリングとプロキシの両方を有効にすることができます。
- プロキシ アドレスまたはポート番号を使用する場合、スプリット トンネリングとプロキシの両方を有効にすることはサポートされていません。 含まれるルートにプロキシ サーバーが構成されている場合、すべてのトラフィックはプロキシを通過します。 含まれるルートにプロキシ サーバーが構成されていない場合、すべてのトラフィックはトンネルの使用から除外されます。
- [MAM 用 Microsoft Tunnel を使用する] を [はい] に設定します。
- [ 接続名] で、この接続のユーザー向け名前 ( mam-tunnel-vpn など) を指定します。
- 次に、[ サイトの選択] を選択し、Microsoft Tunnel ゲートウェイ サイトのいずれかを選択します。 Tunnel ゲートウェイ サイトを構成していない場合は、「 Microsoft Tunnel の構成」を参照してください。
- アプリに信頼された証明書が必要な場合は、[ ルート証明書] を選択し、使用する信頼された証明書プロファイルを選択します。 詳細については、後述の 「信頼された証明書プロファイルを構成する」 を参照してください。
フェデレーションされた Microsoft Entra テナントの場合、アプリケーションが認証して必要なリソースにアクセスできるようにするには、次の構成が必要です。 この構成では、公開されているセキュリティで保護されたトークン サービスの URL がバイパスされます。
[ 設定 ] タブで [ 全般構成設定 ] を展開し、 名前 と 値 のペアを次のように構成して、トンネルの Edge プロファイルを設定します。
-
名前 =
com.microsoft.tunnel.custom_configuration -
Value =
{"bypassedUrls":["Company'sSTSURL"]}
-
名前 =
注:
bypassedUrl には、フェデレーション STS エンドポイントを含める必要があります。
たとえば、 値は{"bypassedUrls":["ipcustomer.com", "whatsmyip.org"]} のように表示されます。
トンネル MAM 設定を構成したら、[ 次へ ] を選択して [ 割り当て] タブを開きます。
[割り当て] タブで [グループの追加] を選択し、このポリシーを受け取る 1 つ以上の Microsoft Entra ユーザー グループを選択します。 グループを構成した後、[ 次へ] を選択します。
[ レビュー + 作成 ] タブで、[ 作成 ] を選択してポリシーの作成を完了し、割り当てられたグループにポリシーを展開します。
新しいポリシーが [アプリ構成ポリシー] の一覧に表示されます。
Microsoft Edge のアプリ構成ポリシーを構成する
Microsoft Edge のアプリ構成ポリシーを作成します。 このポリシーでは、Microsoft Tunnel に接続するようにデバイス上の Edge を構成します。
注:
LOB アプリ用にアプリ構成ポリシーを既に作成している場合は、そのポリシーを編集して Edge および必要な キー/値ペア の設定を含めることができます。
Microsoft Intune 管理センターで、[アプリ>構成]>[アプリの作成]> [マネージド アプリ] に移動します。
[基本] タブで、次の操作を行います。
- ポリシーの名前と説明を入力します (省略可能)。
- [ パブリック アプリの選択] をクリックし、 iOS/iPadOS 用 Microsoft Edge を選択して、[ 選択] をクリックします。
- Microsoft Edge がパブリック アプリとして一覧表示されたら、[次へ] を選択します。
[ 設定 ] タブで [ 全般構成設定 ] を展開し、 名前 と 値 のペアを次のように構成して、トンネルの Edge プロファイルを設定します。
名前 説明 com.microsoft.intune.mam.managedbrowser.StrictTunnelMode
値:TrueTrueに設定すると、Edge にストリクト トンネル モードのサポートが提供されます。 ユーザーが organization アカウントを使用して Edge にサインインすると、VPN が接続されていない場合、ストリクト トンネル モードでインターネット トラフィックがブロックされます。
VPN が再接続すると、インターネット閲覧が再び使用可能になります。com.microsoft.intune.mam.managedbrowser.TunnelAvailable.IntuneMAMOnly
値:TrueTrueに設定すると、Edge に ID 切り替えサポートが提供されます。
ユーザーが 職場アカウントまたは学校アカウントでサインインすると、Edge は自動的に VPN に接続します。 ユーザーが In-Private ブラウズを有効にすると、Edge は 個人用アカウント に切り替え、VPN を切断します。フェデレーションされた Microsoft Entra テナントのみ com.microsoft.tunnel.custom_configuration
値:{"bypassedUrls":["Company'sSTSURL"]}フェデレーションされた Microsoft Entra テナントで使用されます。 Edge が認証して必要なリソースにアクセスできるようにするには、この設定が必要です。 一般公開されているセキュリティで保護されたトークン サービスの URL をバイパスします。
bypassedUrl値には、フェデレーション STS エンドポイントを含める必要があります。 たとえば、値は{"bypassedUrls":["ipcustomer.com", "whatsmyip.org"]}のようになります。次の図は、Microsoft Edge のアプリ構成ポリシーの
bypassedUrl設定を示しています。
注:
[全般] 構成設定の末尾にスペースがないことを確認します。
この同じポリシーを使用して、[ Microsoft Edge 構成設定] カテゴリ内の他の Microsoft Edge 構成を構成できます。 Microsoft Edge の追加構成の準備ができたら、[ 次へ] を選択します。
[課題] タブで [グループの追加] を選択し、このポリシーを受け取る 1 つ以上の Microsoft Entra グループを選択します。 グループを構成した後、[ 次へ] を選択します。
[ レビュー + 作成] タブで、[ 作成 ] を選択してポリシーの作成を完了し、割り当てられたグループにポリシーを展開します。
アプリの保護ポリシーを構成する
iOS MAM 用 Microsoft Tunnel を使用するアプリ用に Microsoft MAM 用 Microsoft Tunnel を構成するには、アプリ保護ポリシーが必要です。
このポリシーは、必要なデータ保護を提供し、アプリにアプリ構成ポリシーを提供する手段を確立します。 アプリの保護ポリシーを作成するには、次の手順を使用します。
Microsoft Intune 管理センターにサインインし、[アプリ>保護] >+ [ポリシーの作成] に移動し>iOS/iPadOS を選択します。
[基本] タブで、ポリシーの名前と説明 (省略可能) を入力し、[次へ] を選択します。
[ アプリ ] タブの LOB アプリの場合は、[ + カスタム アプリの選択 ] を選択して、[ ターゲットにするアプリの選択 ] ウィンドウを開きます。 次に、[ ターゲットにするアプリの選択 ] ウィンドウで、次の手順を実行します。
- [バンドル ID] で、LOB アプリのバンドル ID を指定し、[追加] を選択します。
- 追加したアプリを選択し、[ 選択] を選択します。
注:
LOB アプリには、iOS および MSAL 統合用の Intune アプリ SDK が必要です。 MSAL には Microsoft Entra アプリの登録が必要です。 アプリ構成ポリシーで使用されるバンドル ID が、Microsoft Entra アプリの登録と Xcode アプリ プロジェクトで指定されたバンドル ID と同じであることを確認します。
Intune に追加されたアプリのバンドル ID を取得するには、Intune 管理センターを使用します。
[ データ保護]、[ アクセス要件]、[ 条件付き起動 ] タブで、展開とデータ保護の要件に基づいて、残りのアプリ保護ポリシー設定を構成します。
[割り当て] タブで [グループの追加] を選択し、このポリシーを受け取る 1 つ以上の Microsoft Entra ユーザー グループを選択します。 グループを構成した後、[ 次へ] を選択します。
新しいポリシーが、アプリ保護ポリシーの一覧に表示されます。
信頼された証明書プロファイルを構成する
MAM トンネルを使用して、オンプレミスまたはプライベート証明機関 (CA) によって発行された SSL/TLS 証明書によって保護されたオンプレミス リソースに接続するアプリには、 信頼できる証明書プロファイルが必要です。 アプリでこの種類の接続が必要ない場合は、このセクションをスキップできます。 信頼された証明書プロファイルは、アプリの構成ポリシーに追加されていません。
信頼できる証明書プロファイルは、オンプレミス インフラストラクチャとの信頼チェーンを確立するために必要です。 このプロファイルにより、デバイスはオンプレミスの Web サーバーまたはアプリケーション サーバーで使用される証明書を信頼し、アプリとサーバー間の安全な通信を確保できます。
MAM 用トンネルでは、Intune の信頼された証明書プロファイルに含まれる公開キー証明書ペイロードが使用されますが、プロファイルを Microsoft Entra ユーザーまたはデバイス グループに割り当てる必要はありません。 その結果、任意のプラットフォームに対して信頼できる証明書プロファイルを使用できます。 そのため、iOS デバイスでは、Android、iOS、または Windows の信頼できる証明書プロファイルを使用して、この要件を満たすことができます。
重要
MAM iOS SDK 用のトンネルでは、信頼された証明書で DER エンコードされたバイナリ X.509 または PEM 証明書形式を使用する必要があります。
Tunnel for MAM を使用するアプリのアプリ構成プロファイルの構成時に、使用する証明書プロファイルを選択します。 これらのプロファイルの構成の詳細については、「Microsoft Intune の信頼されたルート証明書プロファイル」を参照してください。
Microsoft Entra 管理センターで基幹業務アプリを構成する
iOS 用の MAM 用 Microsoft Tunnel を使用する基幹業務アプリには、次のものが必要です:
- Microsoft Tunnel ゲートウェイ サービス プリンシパル クラウド アプリ
- Microsoft Entra アプリの登録
Microsoft Tunnel ゲートウェイ サービス プリンシパル
Microsoft Tunnel MDM 条件付きアクセス用にまだ作成されていない場合は、Microsoft Tunnel ゲートウェイ サービス プリンシパル クラウド アプリをプロビジョニングします。 ガイダンスについては、「 条件付きアクセス ポリシーで Microsoft Tunnel VPN ゲートウェイを使用する」を参照してください。
Microsoft Entra アプリの登録
Tunnel for MAM iOS SDK を基幹業務アプリに統合する場合、次のアプリ登録設定が Xcode アプリ プロジェクトと一致する必要があります。
- アプリケーション ID
- テナント ID
必要に応じて、次のいずれかのオプションを選択します。
新しいアプリ登録を作成する
以前に iOS 用 Intune アプリ SDK または Microsoft 認証ライブラリ (MSAL) と統合されていない iOS アプリがある場合は、新しいアプリの登録を作成する必要があります。 新しいアプリ登録を作成する手順は次のとおりです。- アプリの登録
- 認証の構成
- API アクセス許可の追加
- トークン構成
- 統合アシスタントを使用して確認する
既存のアプリの登録を更新する
以前に Intune App SDK for iOS と統合した iOS アプリがある場合は、既存のアプリの登録を確認して更新する必要があります。
新しいアプリ登録を作成する
Microsoft Entra オンライン ドキュメントには、アプリ登録を作成する方法に関する詳細な手順とガイダンスが記載されています。
次のガイダンスは、Tunnel for MAM iOS SDK 統合の要件に固有のものです。
テナントのMicrosoft Entra 管理センターで、[アプリケーション] を展開し、[アプリの登録>+ 新規登録] を選択します。
[ アプリケーションの登録 ] ページで、次の操作を行います。
- アプリ登録の **Name を指定します
- [ この組織ディレクトリのアカウントのみ (YOUR_TENANT_NAMEのみ - シングル テナント)] を選択します。
- 現時点では 、リダイレクト URI を指定する必要はありません。 1 つは、後の手順で自動的に作成されます。
[ 登録] ボタンを選択して登録を完了し、アプリ登録 の概要ページを開きます 。
[概要] ウィンドウで、アプリケーション (クライアント) ID とディレクトリ (テナント) ID の値に注意します。 これらの値は、アプリの登録 Xcode プロジェクトに必要です。 2 つの値を記録した後、[ 管理] で [ 認証] を選択します。
アプリ登録の [認証 ] ウィンドウで、[ + プラットフォームの追加] を選択し、 iOS/macOS 用のタイルを選択します。 [ iOS または macOS アプリの構成 ] ウィンドウが開きます。
[ iOS または macOS アプリの構成 ] ウィンドウで、MAM iOS SDK のトンネルと統合する Xcode アプリの バンドル ID を入力し、[ 構成] を選択します。 [iOS/macOS] の構成ウィンドウが開きます。
このビューの バンドル ID は、Xcode の バンドル ID と完全に一致する必要があります。 この詳細は、Xcode プロジェクトの次の場所にあります。
- Info.plist > IntuneMAMSettings: ADALRedirectUri
- Project > General > Identity: Bundle ID
リダイレクト URI と MSAL 構成が自動的に生成されます。 ダイアログ ウィンドウの下部にある [完了 ] を選択して終了します。 認証にその他の設定は必要ありません。
次に、アプリの登録の確認中に、[ API アクセス許可 ] を選択し、[ + アクセス許可の追加] を選択します。 Microsoft Mobile Application Management と Microsoft Tunnel Gateway の API アクセス許可を追加します。
- [API アクセス許可の要求] ページで、organization が使用する API のタブを選択します。
- Microsoft Mobile Application Management を検索し、結果を選択して、チェック ボックスをオンにします。
-
[アクセス許可の追加] を選択します。
次に、2 番目のアクセス許可に対してプロセスを繰り返します。
- [+ アクセス許可の追加] を選択し、[APIs my organization uses (私の組織が使用している API)] タブに移動します。
- Microsoft Tunnel ゲートウェイを検索し、結果を選択して、[トンネル許可] のチェックボックスをオンにします。
-
[アクセス許可の追加] を選択します。
構成を完了するには、[ API のアクセス許可 ] ウィンドウに戻り、[ YOUR_TENANT の管理者の同意を付与する] を選択し、[ はい] を選択します。
次に、アプリの登録の確認中に、[ トークン構成] を選択し、[ + オプション クレームの追加] を選択します。 [ オプションの要求の追加 ] ページで、[ トークンの種類 ] で [アクセス] を選択し、[ 要求] で [アカウント] のチェック ボックスをオンにします。 MAM のトンネルでは、Microsoft Entra ID に対してユーザーを認証するためにこの認証トークンが必要です。 [ 追加 ] を選択してトークンの構成を完了します。
すべての設定が正常に適用されたことを確認するには、[統合アシスタント] を選択します。
- どのような 種類のアプリケーションを構築していますか?[モバイル アプリ (Android、iOS、UWP)] を選択します。
- [ このアプリケーションは API を呼び出していますか?] を [いいえ] に設定し、[ アプリの登録を評価する] を選択します。
結果には、推奨される構成と推奨されない構成の両方について [完了] の状態が表示されます。
既存のアプリの登録を更新する
アプリの登録が既にある場合は、新しい登録を作成する代わりに更新することを選択できます。 次の設定を確認し、必要に応じて変更を加えます。
- アプリケーション ID と テナント ID
- 認証の構成
- API のアクセス許可
- トークン構成
- 統合アシスタント
Microsoft Entra 管理センターで、[アプリケーション] を展開し、[アプリの登録] を選択します。 次に、確認および更新するアプリ登録を選択して、 概要 ウィンドウを開きます。 アプリケーション (クライアント) ID とディレクトリ (テナント) ID の値を記録します。
これらの値は、Xcode アプリ プロジェクト内の次の値と完全に一致する必要があります。
- IntuneMAMSettings > info.plist
- アプリケーション (クライアント) ID = ADALClientId
- ディレクトリ (テナント) ID = ADALAuthority
- IntuneMAMSettings > info.plist
[ 認証] を選択し、アプリのプラットフォームの種類を確認します。 iOS/macOS で、バンドル ID とリダイレクト URI を持っている必要があります。 リダイレクト URI は
msauth.Your_Bundle_ID://authとして作成する必要があります。次に、[ 表示 ] を選択して、 バンドル ID と リダイレクト URI の詳細を表示します。 MSAL 構成が存在することを確認します。 サポートされていない場合は、「ガイダンスについては、「リソースにアクセスできる Microsoft Entra アプリケーションとサービス プリンシパルを作成する」を参照してください。
前の手順と同様に、 バンドル ID と リダイレクト URI の値を、Xcode アプリ プロジェクトのこれらの値と比較します。
- Project > General > Identity: Bundle ID
- Info.plist > IntuneMAMSettings: ADALRedirectUri
また、アプリ プロジェクトの Xcode バンドル識別子がアプリ登録バンドル ID と一致していることを確認します。
API のアクセス許可を確認して更新します。 Microsoft Graph と Microsoft モバイル アプリケーション管理のアクセス許可が既に設定されていることを確認します。
次に、 Microsoft Tunnel ゲートウェイ サービス プリンシパルのアクセス許可を追加します。
[ + アクセス許可の追加] を選択します。
[API my organization uses (私の組織が使用している API)] タブを選択します
Microsoft Tunnel ゲートウェイを検索し、API アクセス許可を要求する を選択します。
Microsoft Tunnel ゲートウェイが一覧に表示されない場合は、プロビジョニングされていません。 プロビジョニングするには、「 条件付きアクセス ポリシーで Microsoft Tunnel VPN ゲートウェイを使用する」を参照してください。
Tunnel_Allowアクセス許可を選択し、[アクセス許可の追加] を選択して続行します。
次に、新しいアクセス許可に 管理者の同意 を与えます。
- [ YOUR_TENANT_NAME に管理者の同意を与える] を選択します。
- [ 管理者の同意の付与 ] 確認ダイアログで、[ はい] を選択します。
更新後、以下の 3 つの API アクセス許可が [付与済み] の状態 YOUR_TENANT_NAME表示されます。
- Microsoft Graph
- Microsoft Mobile Management
- Microsoft Tunnel ゲートウェイ
[ トークンの構成] を選択して設定を確認します。 [要求] には、トークンの種類がアクセスの acct の値が表示されます。
アカウントが指定されていない場合は、[+オプションの要求の追加] を選択して要求を追加します。
- [ トークンの種類] で、[ アクセス] を選択します。
- アカウントのチェック ボックスを選択します。
- [ 追加] を選択して構成を完了します。
統合アシスタントを選択して、アプリの登録を検証します。
- どのようなアプリケーション タイプ向けに構築していますか?モバイル アプリ (Android、iOS、UWP) を選択する
- [ このアプリケーションは API を呼び出していますか?] を [いいえ] に設定し、[ アプリの登録を評価する] を選択します。
結果には、推奨される構成と推奨されない構成の両方について [完了] の状態が表示されます。
Xcode 基幹業務アプリの統合
Xcode は macOS 上で実行される Apple 統合開発者環境であり、MAM iOS SDK 用トンネルをアプリと統合するために使用されます。
Xcode を使用して iOS アプリを正常に統合し、MAM 用 Microsoft Tunnel iOS を使用するための要件を次に示します。
- macOS - Xcode を実行するには
- Xcode 14.0 以降
- MAM-SDK – 最小バージョン: 16.1.1
- MSAL-SDK – 最小バージョン: 1.2.3
- GitHub で利用可能 MAM iOS SDK のトンネル
SDK の統合に関するガイダンスについては、「 Tunnel for MAM iOS SDK 開発者ガイド」を参照してください。
既知の問題
iOS での MAM 用トンネルの既知の問題または制限事項を次に示します。 MAM 用 Microsoft Tunnel iOS SDK に関する既知の問題については、「Tunnel for MAM iOS SDK 開発者ガイド」を参照してください。
MDM トンネルの使用時に MAM トンネルがサポートされない
MDM トンネル構成を使用する代わりに、登録済みデバイスで MAM トンネルを使用することを選択できます。 ただし、Microsoft Tunnel 設定を含む MAM と MDM の両方のトンネル アプリ構成構成ポリシーを同じデバイスに展開することはサポートされていないため、クライアント ネットワークでエラーが発生します。
たとえば、登録済みのデバイスでは、他のアプリが MDM トンネル構成を使用しているときに MAM トンネル アプリ構成ポリシー設定を使用する Microsoft Edge のようなアプリを含めることはできません。
回避策: 登録済みデバイスで MAM トンネルを使用するには、Defender for Endpoint iOS アプリに Microsoft トンネル設定で構成されたアプリ構成ポリシーがないことを確認します。
JavaScript WebSocket のサポート
既定では、MAM 用 Microsoft Tunnel iOS は、Web ビューから開始される JavaScript WebSocket の使用をサポートします。 ただし、ネイティブ WebSocket API やそれらに依存するアプリはサポートされていません。
Firebase と Tunnel for MAM iOS の統合
Firebase を統合するアプリで iOS 版 Microsoft Tunnel を使用する場合、Firebase を初期化する前にアプリが Tunnel への接続を確立しなければ、初期化の問題や予期しない動作が発生することがあります。
回避策: この問題を回避するには、Firebase を初期化する前に、アプリ ロジックが Tunnel への正常な接続の確立を優先するようにします。
Firebase の詳細については、 https://firebase.google.com/ を参照してください。
新しく作成したカスタム アプリが UX に表示されない
カスタム アプリ構成ポリシーを作成すると、新しく追加されたアプリがターゲット アプリの一覧または使用可能なカスタム アプリの一覧に表示されない可能性があります。
回避策: この問題は、Intune 管理センターを更新し、ポリシーに再度アクセスすることで解決できます。
- Intune 管理センターで、[アプリ>構成]>[作成] に移動します。
- カスタム アプリを選択し、iOS 用のバンドルまたはパッケージ ID を追加し、フローを完了して、アプリ構成ポリシーを作成します。
- 基本設定を編集します。 新しく追加したバンドル ID が、対象のカスタム アプリのリストに表示されます。
Microsoft Azure Authenticator アプリが MAM 用トンネルで機能しない iOS 条件付きアクセス
回避策: アクセス許可制御として多要素認証を必要とする Microsoft Tunnel ゲートウェイの条件付きアクセス ポリシーがある場合は、基幹業務アプリケーション内の Microsoft Tunnel デリゲート クラスに "onTokenRequiredWithCallback" メソッドを実装する必要があります。
フェデレーションされた Microsoft Entra テナント
MAM-Tunnel Connect ログインの問題に対処するために、顧客の STS (フェデレーション サーバー URL) を除外する [全般] 構成設定をアプリ構成で作成します。
ユーザーが職場アカウントでサインインした場合の Edge ブラウザーでのエクスペリエンス。 また、ユーザーが初めて LOB アプリにサインインするときにも発生します。
回避策: "一般的な構成設定" を作成します。
キー: com.microsoft.tunnel.custom_configuration
value: {"bypassedUrls":["ipchicken.com", "whatsmyip.org"]}
注:
bypassedUrl には、フェデレーション STS エンドポイントを含める必要があります。
iOS/iPadOS で Edge を使用する場合の制限事項
MAM のトンネルでは、次のものはサポートされていません。
- Kerberos を使用するオンプレミス サイト。
- Edge を使用する Web サイトの証明書ベースの認証
回避策: なし。
ヒント
iOS の MAM 用トンネルでは、Microsoft Edge を使用した NTLM 統合認証 Web サーバー サインインはサポートされますが、基幹業務 (LOB) アプリについてはサポートされていません。 詳細については、「Intune を使用して iOS および Android で Microsoft Edge を管理する」の「NTLM シングル サインオン サイトの管理」を参照してください。