Intune を使用して Android で AI を管理する - IT 管理者向けガイド

Microsoft Intune では、Intune に登録されている Android デバイスでの生成 AI の使用を管理および制限できます。 AI アプリ、Web サイト、画面駆動型エクスペリエンス、デバイス上の AI サービス、OEM 固有の AI 機能をブロック (または許可) できます。

この記事では、Android デバイスで AI エクスペリエンスを利用できるさまざまな方法と、Intune を使用してこれらのエクスペリエンスをブロックする方法について説明します。

このガイドの手順を使用すると、Android デバイスでの AI エクスペリエンスを管理および制限できます。

適用対象:

  • Android Enterprise

前提条件

デバイス プラットフォームの要件

IT 管理者とセキュリティ エンジニアは、次の Android 登録の種類で生成 AI を許可またはブロックできます:

  • Android Enterprise 企業所有のフル マネージド デバイス (COBO)
  • 会社所有 Android Enterprise 専用デバイス (COSU)
  • 仕事用プロファイルを持つ Android Enterprise 企業所有のデバイス (COPE)
  • 仕事用プロファイルがある個人所有の Android Enterprise デバイス (BYOD)

さまざまな Android 登録オプションの詳細については、 Android 登録ガイドを参照してください。

デバイス構成の要件

  • 共同管理対象デバイスを含む、Intune に登録されているデバイス
  • Intune 管理センターでリンクされた管理対象 Google Play アカウント (Android > 登録>管理対象 Google Play >デバイス)

ロールの要件

ポリシーを構成するには、次のロールを持つアカウントを使用します。

開始する前に

  • AI ポリシーを作成するときに、 それらを [すべてのユーザー ] グループと [ すべてのデバイス ] グループに割り当てることができます。 これは最も簡単な方法ですが、ポリシーの対象を特定のユーザーとデバイスにすることができます。

    詳細については、次を参照してください。

  • 仕事用プロファイル (COPE) を使用する企業所有のデバイスと仕事用プロファイル (BYOD) を持つ個人所有のデバイスの場合、ほとんどのコントロールは仕事用プロファイルでのみ使用できます。 これらは個人プロファイルでは使用できません。

  • このガイドの手順では、AI エクスペリエンスをブロックする方法について説明します。 特定の AI エクスペリエンスを許可する場合は、同じ手順を使用しますが、ブロックする代わりに許可するように構成できます。

  • ポリシーを作成して割り当てると、デバイスは次回 Intune でチェックするときにポリシーを受け取ります。 詳細については、「Intune ポリシーの更新間隔」を参照してください。

Android での AI の表示方法

Android デバイスでは、AI をいくつかの方法で利用できます。

  • AI アプリ - ChatGPT、Microsoft Copilot、Perplexity などのスタンドアロン アプリをデバイスにダウンロードして使用できます。
  • AI Web サイト - ユーザーは、Microsoft Edge や Chrome などのブラウザー アプリを通じて AI Web サイトにアクセスできます。
  • 画面駆動型およびアシスタント エクスペリエンス - 画面上のコンテンツを読み取る (Circle to Search など) またはアシスタント ヘルプを提供する OS 統合機能は、通常、既定でインストールされ、使用可能です。
  • オンデバイス AI サービス - Android は、AICore を使用してデバイス上の Gemini Nano 基盤モデルをローカルで実行できます。 Messages、Recorder、GBoard などのアプリは、Gemini Nano を使用してメッセージに応答し、要約を生成し、スマートな返信を提案します。
  • OEM 固有の AI サービス - OEM は、Samsung の Galaxy AI など、独自の AI 機能を実装する場合があります。

AI アプリをブロックする

目的 - エンド ユーザーは Google Play ストアから AI アプリをインストールできません

ChatGPT、Copilot、Perplexity、Claude などの AI アプリは、Google Play ストアからインストールできます。 Intune を使用して、これらのアプリがデバイスにインストールされないようにブロックできます。

サポートされている登録の種類:

  • 企業所有の完全管理対象デバイス (COBO)
  • 企業所有の専用デバイス (COSU)
  • 仕事用プロファイルを持つ企業所有のデバイス (COPE)

手順 1 - アプリの戦略を決定する

organization のアプリ戦略を決定する - ブロックまたは許可:

  • ブロック戦略 - 管理者の割り当てがない限り、Google Play ストア内のアプリをダウンロードできません。 割り当てられたアプリのみがデバイスで使用できます。

    この方法は、企業所有のデバイスの既定値です。

  • 戦略を許可 - 管理者によって明示的にブロックされていない限り、すべてのアプリをダウンロードできます。

    次の設定が [デバイスの制限構成プロファイルで許可] に設定されている場合、organization はおそらく許可戦略を使用しています。 この設定により、管理者以外が指定したアプリをダウンロードできます。

    • デバイス>Android Enterprise>環境設定>作成>新しいポリシー>テンプレート>デバイスの制限>アプリケーション>Google Play ストア内のすべてのアプリへのアクセスを許可する

ステップ 2 - アプリ戦略を実装する

この手順では、AI アプリをブロックまたは許可するアプリ戦略を実装します。

ブロック戦略 (既定)

ブロック戦略では、明示的に許可されていない限り、Google Play ストア内のアプリをダウンロードできません。 次の手順を使用して、ブロックするアプリがまだデバイスに展開されていないことを確認します。

  1. Microsoft Intune 管理センターで、[アプリ] > [Android] > [Android アプリ] に移動します。
  2. アプリ名 >プロパティ] を選択します。
  3. [課題] が [必須] に設定されていない、[登録済みデバイスで使用可能] に設定されていない、または [登録の有無にかかわらず使用可能] に設定されていないことを確認します。

これらのオプションがすべて設定されていない場合は、アプリは Intune ポリシーによって展開されていません。 これらのいずれかのオプションが設定されている場合は、アプリが展開されます。 このシナリオでは、割り当てを [アンインストール ] に変更してデバイスから削除できます。

許可戦略

許可戦略を使用すると、Google Play ストア内のすべてのアプリをダウンロードできます。

  1. [ Google Play ストア内のすべてのアプリへのアクセスを許可する] 設定が [許可] に設定されているかどうかを確認します。

    Copilot を使用している場合は、Copilot にこの設定のチェックを依頼できます。 新しいデバイス制限プロファイルを作成して、この設定を構成することもできます。

    1. Microsoft Intune 管理センターで、[デバイス>構成]>[作成]>新しいポリシーの順に移動します

    2. 次のプロパティを構成し、[ 作成] を選択します。

      • [プラットフォーム]: [Android エンタープライズ] を選択します。
      • プロファイルの種類: [テンプレート]>[フル マネージド]、[専用]、[Corporate-Owned 仕事用プロファイル>デバイスの制限] を選択します。

    3. [ アプリケーション] カテゴリを展開し、[ Google Play ストア内のすべてのアプリへのアクセスを許可する] 設定を [許可] に設定します。

    4. [ 次へ ] を選択し、プロファイルの作成を続行します。 詳しい手順については、「 デバイス プロファイルの作成」を参照してください。

  2. ブロックするアプリを追加します。

    アプリが Intune に追加されたときに、アプリをブロックできます。 その後、マネージド アプリと見なされます。

    1. Microsoft Intune 管理センターで、[アプリ > Android > 管理対象 Google Play アプリを作成>] に移動します。
    2. > 同期をブロックする AI アプリを選択します。
    3. [アプリ] > [Android] > [Android アプリ] で、アプリが一覧に表示されていることを確認します。 同期には数分かかる場合があります。

  3. アン インストール用に割り当てて特定のアプリをブロックします。

    アプリが既にデバイスにインストールされている場合、アプリにアン インストール 用に割り当てると、デバイスから削除されます。

    1. Microsoft Intune 管理センターで、[アプリ] > [Android] > [Android アプリ] に移動します。
    2. アンインストールする AI アプリを選択します >プロパティ。
    3. [課題>編集] を選択します。
    4. [ アンインストール] で、グループ、ユーザー、またはデバイスを追加します。

AI Web サイトをブロックする

目的 - Web ブラウザー アプリで AI Web サイトをブロックする

Intune アプリ構成ポリシーを使用して、Microsoft Edge や Chrome などの Web ブラウザー アプリで AI Web サイトへのアクセスをブロックできます。 入力した Web サイトのみがブロックされます。 そのため、このアプローチを使用して、特定の AI Web サイトのみを許可することもできます。 複数のブラウザーを使用している場合は、Web ブラウザー アプリごとに個別のポリシーを作成する必要があります。

サポートされている登録の種類:

  • 企業所有の完全管理対象デバイス (COBO)
  • 企業所有の専用デバイス (COSU)
  • 仕事用プロファイルを持つ企業所有のデバイス (COPE)
  • 仕事用プロファイルを持つ個人所有のデバイス (BYOD)

手順 1 - Web ブラウザーをマネージド アプリとして追加する

ブラウザーの設定を構成するには、まずブラウザー アプリを Intune に追加して、マネージド アプリにする必要があります。

手順については、次を参照してください。

手順 2 - アプリ構成ポリシーを作成する

次の手順を使用して、入力した AI Web サイトへのアクセスをブロックするように Web ブラウザー アプリを構成するアプリ構成ポリシーを作成します。

  1. Microsoft Intune管理センターで、[アプリ>構成] > [管理対象デバイス>の作成] に移動します。

  2. [ 基本] で、次のプロパティを構成します。

    • 名前: 「Edge で AI Web サイトをブロックする」など、ポリシーの名前を入力します。

    • [プラットフォーム]: [Android エンタープライズ] を選択します。

    • プロファイルの種類: 登録の種類を選択します。

      • 完全に管理された専用の Corporate-Owned 仕事用プロファイルのみ
      • 個人所有の仕事用プロファイル デバイス

    • 対象のアプリ: 追加したブラウザー アプリ (Microsoft Edge や Chrome など) を選択します。

  3. [次へ] を選択します。

  4. [設定>構成設定の形式] で、[JSON データの入力] を選択します。 ブロックする URL のリストを入力します。 たとえば、次のように入力します。

    {
  "key": "URLBlocklist",
  "valueStringArray": [ "https://chatgpt.com", "https://claude.ai", "https://copilot.microsoft.com", "https://perplexity.ai", "https://gemini.google.com" ]
}

  5. [ 次へ ] を選択し、ポリシーの作成を続行します。 詳細な手順については、「管理対象 Android Enterprise デバイスの App Configuration ポリシーの追加」を参照してください。

ブロック Screen-Driven AI エクスペリエンス

目標 - 画面上のコンテンツを読み取ることができる機能をブロックする

AI 機能は画面上のコンテンツを読み取り、スクリーンショットや画面に表示されるコンテンツから分析情報 & 推奨事項を提供できます。 これらの機能には、Circle to Search のように OS に組み込まれているものもあれば、アシスタント アプリによって提供されるものもあります。

これらの機能をブロックするには、Intune を使用してスクリーンショット機能を制限し、特権アプリとのコンテンツ共有をブロックします。

サポートされている登録の種類:

  • 企業所有の完全管理対象デバイス (COBO)
  • 企業所有の専用デバイス (COSU)

手順 1 - 基本的なカバレッジを実装する

この手順では、[ 特権アプリとのアシスト コンテンツ共有のブロック ] 設定を構成する設定カタログ ポリシーを作成します。

この設定は、スクリーンショットやアプリの詳細などのアシスト コンテンツが、アシスタント アプリなどの特権アプリに送信されるのをブロックします。 この設定は、Circle to Search などの Android AI 機能で使用できます。 この設定は、一般的なスクリーンショット機能には影響しません。

  1. Microsoft Intune 管理センターで、[デバイス>構成] > [新しいポリシーの作成] > に移動します。

  2. 次のプロパティを入力します。

    • [プラットフォーム]: [Android エンタープライズ] を選択します。
    • プロファイルの種類: [設定カタログ] を選択します。

  3. [作成] を選択します。

  4. [ 基本] に プロファイルの名前を入力し 、[ 次へ] を選択します。

  5. [ 設定の追加] を選択します。

  6. [ 全般 ] カテゴリ >特権アプリとのアシスト コンテンツ共有のブロック 設定を選択します。 その値を True に設定します。

  7. [ 次へ ] を選択し、プロファイルの作成を続行します。 詳しい手順については、「Intune 設定カタログを使用して設定を構成する」を参照してください。

手順 2 - 包括的なカバレッジを実装する (省略可能)

より包括的な保護を行うために、画面キャプチャをブロックすることで、スクリーンショット機能やその他の機能を制限することもできます。

この設定は、AI 機能による画面上のコンテンツへのアクセスをブロックしますが、デバイス全体でスクリーンショットも無効になります。

  1. Microsoft Intune 管理センターで、[デバイス>構成] > [新しいポリシーの作成] > に移動します。

  2. 次のプロパティを入力します。

    • [プラットフォーム]: [Android エンタープライズ] を選択します。
    • プロファイルの種類: [設定カタログ] を選択します。

  3. [作成] を選択します。

  4. [ 基本] に プロファイルの名前を入力し 、[ 次へ] を選択します。

  5. [ 設定の追加] を選択します。

  6. [ 全般 ] カテゴリ >ブロック画面キャプチャ 設定を選択します。 その値を True に設定します。

    この設定では、AI 機能が画面上のコンテンツにアクセスできなくなります。 エンド ユーザーはデバイスでスクリーンショットを撮ることができません。

  7. [ 次へ ] を選択し、プロファイルの作成を続行します。 詳しい手順については、「Intune 設定カタログを使用して設定を構成する」を参照してください。

デバイス上の AI システム アプリを無効にする

目標 - Google のローカル AI 処理をブロックする

Gemini Nano は Google のオンデバイス基盤モデルであり、デバイス上で AI インタラクションを処理します。 これにより、メッセージ、レコーダー、GBoard、その他のサービスで AI 要約とメッセージ返信機能が有効になります。 Intune を使用して、AICore システム アプリを無効にできます。

サポートされている登録の種類:

  • 企業所有の完全管理対象デバイス (COBO)
  • 企業所有の専用デバイス (COSU)
  • 仕事用プロファイルを持つ企業所有のデバイス (COPE)
  • 仕事用プロファイルを持つ個人所有のデバイス (BYOD)

次の手順を実行して、AICore システム アプリを無効にします。

  1. Microsoft Intune 管理センターで、[アプリ] > [Android > 作成] を選択します。

  2. [ アプリの種類の選択] で、[ その他] > Android Enterprise システム アプリを選択し、[ 選択] を選択します。

  3. [アプリ情報] で、次のプロパティを構成し、[次へ] を選択します。

    • 名前: AICoreを入力します。
    • 発行元: 「 Google Android」と入力します。
    • パッケージ名: com.google.android.aicoreと入力します。

  4. [スコープのタグ] で、[次へ] を選択します。

  5. [ 割り当て] > [アンインストール] で、アプリのグループ割り当てを選択します。 [ アンインストール] を選択すると、アプリは無効になります。

    [次へ] を選択します。

  6. [ レビュー + 作成] で、アプリに入力した値と設定を確認します。 完了したら、[ 作成] を選択します。

OEM-Specific AI 機能を無効にする

目標 - OEM が提供する AI 機能を無効にする

OEM は、Knox Service Plugin を通じた Samsung Galaxy AI エクスペリエンスなど、独自の AI 機能をデバイスに組み込むことができます。 これらの機能は通常、OEM の OEMConfig アプリを通じて管理されます。 Intune を使用すると、これらの AI 機能を管理するように OEMConfig アプリを構成できます。

OEMConfig アプリを構成するには、アプリで使用できる AI 設定を知っている必要があります。 OEM に問い合わせて、OEMConfig アプリで利用可能な AI コントロールの一覧を入手してください。

サポートされている OEMConfig アプリの一覧については、「Intune の OEMConfig - サポートされている OEMConfig アプリ」を参照してください。

サポートされている登録の種類:

  • 企業所有の完全管理対象デバイス (COBO)
  • 企業所有の専用デバイス (COSU)
  • 仕事用プロファイルを持つ企業所有のデバイス (COPE)
  • 仕事用プロファイルを持つ個人所有のデバイス (BYOD)

次の手順を使用して、OEMConfig アプリとその AI 機能を追加、展開、構成します。

手順 1 - OEMConfig アプリを追加する

  1. Microsoft Intune 管理センターで、[Android >アプリ] に移動し> [管理対象 Google Play アプリ>作成] >選択します。
  2. 構成する OEMConfig アプリを選択します。
  3. [ Select>Sync] を選択します。

アプリが一覧に表示されていることを確認します (Android >アプリ>アプリ)。 同期には数分かかる場合があります。

手順 2 - OEMConfig アプリを展開する

  1. Microsoft Intune 管理センターで、[アプリ] > [Android] > [Android アプリ] に移動します。

  2. 追加した OEMConfig アプリを選択します。

  3. [プロパティ]>[割り当て]>[編集] を選択します。

  4. グループやユーザーを次の 課題に追加します。

    • 必須
    • 登録されたデバイスで利用可能
    • 登録の有無にかかわらず利用可能

  5. 変更内容をレビューして保存します。

手順 3 - OEMConfig アプリを構成する

  1. Microsoft Intune 管理センターで、[デバイス] > [デバイスの管理] > [構成] > [新しいポリシーの作成] > に移動します。

  2. 次のプロパティを入力します。

    • [プラットフォーム]: [Android エンタープライズ] を選択します。
    • プロファイルの種類: [テンプレート] > OEMConfig を選択します。

  3. [作成] を選択します。

  4. [ 基本] で、次のプロパティを構成し、[ 次へ] を選択します。

    • 名前: プロファイルの名前を入力します。
    • OEMConfig アプリ: 追加して割り当てた OEMConfig アプリを選択します。

  5. [構成設定] で、構成デザイナーまたは JSON エディターを選択して、OEMConfig アプリで使用可能な設定を構成します。 構成デザイナーを選択した場合は、[検索] ボックスを使用して AI 関連の設定を検索できる場合があります。

    使用可能な設定は、選択した OEMConfig アプリによって異なります。 OEM に問い合わせて、OEM の OEMConfig アプリで利用可能な AI コントロールの一覧を入手してください。

  6. [ 次へ ] を選択し、プロファイルの作成を続行します。 詳しい手順については、「 OEMConfig での Android Enterprise デバイスの使用と管理」を参照してください。

    OEMConfig アプリを割り当てたのと同じグループやユーザーにプロファイルを割り当てていることを確認します。

関連コンテンツ

  • Last updated on