MAM とアプリの保護に関してよく寄せられる質問

MAM の概要

アプリ保護ポリシーは、管理対象アプリで組織のデータがセキュリティ保護または保持されるようにするルールです。 ポリシーは、ユーザーが "企業" データにアクセスまたは移動しようとしたときに Intune が適用するルールです。 また、ユーザーがアプリを使用しているときに Intune がブロックまたは監視するアクションを定義することもできます。

各アプリ保護ポリシー設定の詳細については、「 Android アプリ保護ポリシー設定 」と「 iOS/iPadOS アプリ保護ポリシー設定」を参照してください。

デバイス管理の状態を設定せずに MAM ポリシーをユーザーに適用すると、ユーザーは個人用デバイス (bring-your-own-device (BYOD) とも呼ばれます) と Intune マネージド デバイスの両方で MAM ポリシーを取得します。 デバイス管理の状態に基づいて MAM ポリシーを適用することもできます。 そのため、アプリの保護ポリシーを作成するときは、[ すべてのデバイスの種類上のアプリをターゲットにする] の横で [いいえ] を選択します。 次のいずれかを選択します。

• Intune マネージド デバイスに制限が緩い MAM ポリシーを適用し、MDM が登録されていないデバイスにより制限の厳しい MAM ポリシーを適用します。
• Intune が管理するデバイスと Microsoft 以外の管理対象デバイスに同様に厳格な MAM ポリシーを適用します。
• 登録解除されたデバイスのみに MAM ポリシーを適用します。

詳細については、「 アプリ保護ポリシーを監視する方法」を参照してください。

Intune App SDK と統合されているアプリ、または Intune App Wrapping Tool によってラップされているアプリは、Intuneアプリ保護ポリシーを使用して管理できます。 一般公開されている Intune で管理されているアプリの公式の一覧を参照してください。

• エンド ユーザーは Microsoft Entra アカウントを持っている必要があります。 Microsoft Entra ID で Intune ユーザーを作成する方法の詳細については、「ユーザーを追加し、Intune に管理者アクセス許可を付与する」を参照してください。

• エンド ユーザーは、Microsoft Entra アカウントに Microsoft Intune のライセンスが割り当てられている必要があります。 エンド ユーザーに Intune ライセンスを割り当てる方法の詳細については、「Intune ライセンスの管理」を参照してください。

• エンド ユーザーは、アプリの保護ポリシーの対象となるセキュリティ グループに属している必要があります。 同じアプリ保護ポリシーは、使用している特定のアプリを対象にしている必要があります。 アプリ保護ポリシーは、Microsoft Intune 管理センターで作成および展開できます。 セキュリティ グループは現在のところ、Microsoft 365 管理センターで作成できます。

• エンド ユーザーは、Microsoft Entra アカウントを使用してアプリにサインインする必要があります。

Intune SDK 開発チームは、ネイティブ Android、iOS/iPadOS (Obj-C、Swift)、.NET、MAUI プラットフォームで構築されたアプリのサポートを積極的にテストして管理しています。 一部のお客様は、Intune SDK を React Native や NativeScript などの他のプラットフォームと正常に統合しています。 ただし、Microsoft では、サポートされているプラットフォーム以外のプラットフォーム向けのガイダンスやプラグインは提供していません。

Intune アプリ SDK は、認証と条件付き起動のシナリオに Microsoft 認証ライブラリを使用できます。 また、MSAL に依存して、ユーザー ID を MAM サービスに登録し、デバイス登録シナリオなしで管理します。

• エンド ユーザーのデバイスに Outlook モバイル アプリ がインストールされている必要があります。

• エンド ユーザーには、Microsoft 365 Exchange Online メールボックスと、Microsoft Entra アカウントにリンクされたライセンスが必要です。

  注:

  Outlook モバイル アプリは現在、ハイブリッド先進認証を備えた Microsoft Exchange Online および Exchange Server の Intune App Protection のみをサポートしており、Office 365 専用の Exchange はサポートしていません。

• エンド ユーザーは、Microsoft Entra アカウントにリンクされた Microsoft 365 Apps for business または enterprise のライセンスを持っている必要があります。 サブスクリプションには、モバイル デバイス用の Office アプリが含まれている必要があり、 OneDrive クラウド ストレージとビジネス向けのファイル共有を備えたクラウド ストレージ アカウントを含めることができます。 Microsoft 365 ライセンスは、Microsoft 365 管理センターで割り当てることができます。こちらの手順に従ってください。

• エンド ユーザーは、[組織データのコピーを保存] アプリケーション保護ポリシー設定の機能として、詳細保存を使用して管理対象の場所を構成しておく必要があります。 たとえば、管理されている場所が OneDrive である場合、エンド ユーザーの Word、Excel、または PowerPoint アプリで OneDrive アプリを構成する必要があります。

• 管理対象の場所が OneDrive の場合、アプリは、エンド ユーザーに展開されているアプリの保護ポリシーの対象となる必要があります。

  注:

  現段階では、Office モバイル アプリは SharePoint Online のみをサポートし、オンプレミスの SharePoint はサポートされていません。

Intune では、アプリ内のすべてのデータが "企業用" または "個人用" のいずれかとしてマークされます。データは、事業所から送信された場合、"企業向け" と見なされます。 Office アプリの場合、Intune はメール (Exchange) とクラウド ストレージ (OneDrive) を勤務先として扱います。

Skype for Business のライセンス要件を参照してください。 Skype for Business (SfB) のハイブリッド構成とオンプレミス構成については、「それぞれ Microsoft Entra ID を使用した SfB とExchange のハイブリッド先進認証の一般提供と SfB オンプレミスの最新認証の移行」を参照してください。

複数 ID のサポートとは、アプリにサインインしている職場または学校アカウントにのみアプリ保護ポリシーを適用する Intune アプリ SDK の機能です。 個人用アカウントでアプリにサインインした場合、データは管理されません。

マルチ ID のサポートにより、"企業" ユーザーとコンシューマー対象ユーザーの両方を含むアプリ (つまり、Office アプリ) を、"企業" アカウントの Intune アプリ保護機能を使用して一般にリリースできます。

Outlook には個人用メールと "企業" メールの両方のメール ビューが統合されているため、Outlook アプリの起動時に Intune PIN の入力を求められます。

暗証番号 (PIN) は、アプリケーションで適切なユーザーが組織のデータにアクセスしていることを確認するために使用されるパスコードです。

Intune では、ユーザーが "企業" データにアクセスしようとした場合にアプリの PIN が要求されます。 Word/Excel/PowerPoint などのマルチ ID アプリでは、ユーザーが "企業" のドキュメントまたはファイルを開こうとすると、PIN の入力を求められます。 Intune App Wrapping Toolを使用して管理される基幹業務アプリなどの単一 ID アプリでは、Intune App SDK はアプリでのユーザー エクスペリエンスが常に "企業向け" であることを認識しているため、起動時に PIN の入力を求められます。

IT 管理者は、Microsoft Intune 管理センターで Intune アプリ保護ポリシー設定 'アクセス要件を再確認する (分後)' を定義できます。 この設定では、デバイスでアクセス要件がチェックされ、アプリケーション PIN 画面が再度表示されるまでの時間を指定します。 ただし、ユーザーに表示されるメッセージの頻度に影響を与える PIN に関する重要な詳細は次のとおりです。

• 使いやすさを向上させるために、PIN は同じ発行元のアプリ間で共有されます。 iOS/iPadOS では、1 つのアプリ PIN が 同じアプリ発行元のすべてのアプリ間で共有されます。 Android では、1 つのアプリ PIN がすべてのアプリ間で共有されます。
• デバイス再起動後の 'アクセス要件を再確認する (分)' 動作:"PIN タイマー" は、次に Intune アプリ PIN を表示するタイミングを決定する非アクティブ状態の分数を追跡します。 iOS/iPadOS では、PIN タイマーはデバイスの再起動による影響を受けません。 したがって、デバイスの再起動は、Intune PIN ポリシーを使用してユーザーが iOS/iPadOS アプリから非アクティブである分数には影響しません。 Android では、PIN タイマーはデバイスの再起動時にリセットされます。 そのため、Intune PIN ポリシーを持つ Android アプリでは、デバイスの再起動後に 'アクセス要件を再確認する (分)' 設定値に関係なく、アプリ PIN の入力が求められる可能性があります。
• PIN に関連付けられているタイマーのローリングの性質: アプリ (アプリ A) にアクセスするために PIN が入力され、アプリがデバイスのフォアグラウンド (メイン入力フォーカス) から離れると、その PIN タイマーがリセットされます。 タイマーがリセットされたため、この PIN を共有するアプリ (アプリ B) は、ユーザーに PIN の入力を求めるメッセージを表示しません。 "(分数) 後にアクセス要件を再確認する" の値がもう一度満たされると、再度プロンプトが表示されます。

iOS/iPadOS デバイスでは、異なる発行元のアプリが同じ PIN を共有することができます。 ただし、[次の値にアクセス要件を再確認する (分)] 値に達すると、アプリが主な入力フォーカスではない場合、Intune はユーザーに PIN の入力を求めます。 そこで、たとえば、ユーザーに発行元 X からのアプリ A と発行元 Y からのアプリ B があるとき、それら 2 つのアプリで同じ PIN が共有されているとします。 ユーザーのフォーカスがアプリ A (前景) にあり、アプリ B は最小化されています。 [(分数) 後にアクセス要件を再確認する] 値が満たされ、ユーザーがアプリ B に切り替えると、PIN が必要になります。

Intune PIN は、非アクティブ ベースのタイマー ('アクセス要件を再確認する (分)' の値) に基づいて機能します。 そのため、Intune PIN プロンプトは、既定でアプリの起動に関連付けられていることが多い Outlook および OneDrive 用の組み込みのアプリ PIN プロンプトとは独立して表示されます。 ユーザーに両方の PIN プロンプトが同時に表示される場合、Intune PIN が優先される動作が予想されます。

PIN は、アプリで適切なユーザーのみが組織のデータにアクセスできるようにするためのものです。 そのため、エンドユーザーが Intune アプリの PIN を設定またはリセットするには、職場または学校のアカウントを使用してサインインする必要があります。 Microsoft Entra ID は、セキュリティで保護されたトークン交換を通じてこの認証を処理し、Intune App SDK に対して透過的ではありません。 セキュリティの観点からは、職場または学校のデータを保護する最も効果的な方法は暗号化です。 暗号化はアプリ PIN とは関係ありませんが、独自のアプリ保護ポリシーです。

IT 管理者は、アプリの PIN ポリシーの一環として、アプリがロックされるまでにユーザーが PIN の認証を試みることのできる最大回数を設定できます。 試行回数が満たされると、Intune アプリ SDK はアプリ内の "企業" データをワイプできます。

IOS/iPadOS の MAM では、英数字と特殊文字 (パスコードと呼ばれます) を使用したアプリケーション レベルの PIN がサポートされています。 パスコードの設定を適用するには、Word、Excel、PowerPoint、Outlook、マネージド ブラウザー、Yammer などのアプリで iOS/iPadOS 用の Intune アプリ SDK を統合する必要があります。 この統合を使用しない場合、Intune はそれらのアプリにパスコード設定を適用できません。 Intune では、iOS/iPadOS 用 SDK バージョン 7.1.12 でこの機能が導入されました。

この機能をサポートし、iOS/iPadOS 用 Intune SDK の以前のバージョンとの互換性を維持するために、バージョン 7.1.12 以降では、すべての PIN (数値またはパスコード) を以前のバージョンで使用されていた数値 PIN とは別に処理します。 そのため、同じ発行元の 7.1.12 以前および 7.1.12 以降のバージョンの iOS/iPadOS 用 Intune SDK を持つアプリケーションがデバイスにある場合は、2 つの PIN を設定する必要があります。

とはいえ、2 つの PIN (アプリごと) はまったく関連していません。 アプリケーションに適用されるアプリケーション保護ポリシーを順守する必要があります。 そのため、アプリ A とアプリ B に (PIN に関して) 同じポリシーが適用されている 場合にのみ 、ユーザーは同じ PIN を 2 回設定できます。

これは、Intune モバイル アプリの管理が有効になっている iOS/iPadOS アプリケーション上の PIN に固有の動作です。 時間の経過とともに、新しいバージョンの iOS/iPadOS 用 Intune SDK が採用されていくと、同じ発行元のアプリに 1 つの PIN を 2 回設定しなくてはならないことは問題ではなくなっていきます。

IT 管理者は、アプリ データの暗号化を必須にするアプリ保護ポリシーを展開できます。 ポリシーの一環として、IT 管理者はコンテンツがいつ暗号化されるかを指定することもできます。

Intune は、暗号化のアプリ保護ポリシー設定に従ってデータを暗号化します。 詳細については、「 Android アプリ保護ポリシー設定 」と「 iOS/iPadOS アプリ保護ポリシー設定」を参照してください。

IT 管理者のアプリ保護ポリシーに従い、"企業" データとしてマークされたデータのみが暗号化されます。 勤務地から送信されたデータは "企業" データと見なされます。 Office アプリの場合、Intune はメール (Exchange) とクラウド ストレージ (OneDrive) を勤務先として扱います。 Intune App Wrapping Tool によって管理される基幹業務アプリの場合、すべてのアプリ データは "企業向け" と見なされます。

Intune では、3 つの異なる方法でアプリ データをワイプできます。完全なデバイス ワイプ、MDM の選択的ワイプ、MAM の選択的ワイプです。 MDM のリモート ワイプの詳細については、ワイプまたはインベントリからの削除を使用してデバイスを削除する方法に関するページを参照してください。 MAM を使用した選択的なワイプの詳細については、インベントリからの削除アクションに関するページとアプリから会社のデータのみをワイプする方法に関するページを参照してください。

ワイプは 、デバイスを工場出荷時の既定の設定に戻すことで、すべてのユーザー データと設定を デバイス から削除します。 デバイスは Intune から削除されません。

MDM の選択的ワイプは、個人データに影響を与えずに会社データのみをデバイスから削除します。 詳細については、「 デバイスの削除 - 廃止」を参照してください。

MAM の選択的ワイプは、単にアプリから業務用アプリのデータを削除します。 要求は、Microsoft Intune 管理センターを使用して開始されます。 ワイプ要求を開始する方法については、アプリから企業データのみをワイプする方法に関するページを参照してください。

セレクティブ ワイプの開始時にユーザーがアプリを使用している場合、Intune アプリ SDK は 30 分ごとに Intune MAM サービスからの選択的ワイプ要求を確認します。 ユーザーがアプリを初めて起動し職場または学校のアカウントを使ってサインインした場合も、選択的ワイプがチェックされます。

Intune アプリの保護は、アプリケーションと Intune アプリ SDK の間で一貫性を保つために、ユーザーの ID に依存します。 これを保証する唯一の方法は、最新の認証を使用することです。 アプリがオンプレミス構成で動作するシナリオはありますが、一貫性や保証はありません。

はい。 IT 管理者は、Microsoft Edge アプリのアプリ保護ポリシーを展開および設定できます。 IT 管理者は、Microsoft Edge アプリを使用して Intune で管理されるアプリのすべての Web リンクを開くことを要求できます。

ポータル サイト アプリと Intune アプリの保護

アクセスのための Intune アプリ保護ポリシーは、エンド ユーザーが企業アカウントから対象のアプリにアクセスしようとすると、特定の順序で適用されます。 通常は、ブロックが優先され、その後は無視可能な警告が発行されます。 たとえば、特定のユーザー/アプリに適用可能な場合、ユーザーのアクセスをブロックする最小の Android パッチ バージョン設定の後、パッチ アップグレードを実行するようユーザーに警告する最小の Android パッチ バージョン設定が適用されます。 したがって、IT 管理者が最小の Android パッチ バージョンを 2018-03-01 に構成し、最小の Android パッチ バージョン (警告のみ) を 2018-02-01 に構成した状態で、アプリにアクセスしようとしているデバイスがパッチ バージョン 2018-01-01 にあった場合、エンド ユーザーは最小の Android パッチ バージョンに対するより制限の厳しい設定に基づいてブロックされ、その結果、アクセスがブロックされます。

さまざまな種類の設定を扱う場合、優先順位は、アプリのバージョン要件、Android オペレーティング システムのバージョン要件、Android パッチのバージョン要件となります。 その後、同じ順序ですべての種類の設定の警告が確認されます。

Intune サービスは、サービスの負荷によって決定される構成不可能な間隔で Google Play に接続します。 Google Play のデバイス整合性チェック設定に対して IT 管理者が構成したアクションは、条件付き起動時に Intune サービスに最後に報告された結果に基づいて実行されます。 Google のデバイス整合性の結果が準拠している場合、何の措置も実行されません。 Google のデバイス整合性の結果が非準拠の場合、IT 管理者が構成したアクションが直ちに実行されます。 Google Play のデバイス整合性チェックへの要求が何らかの理由で失敗した場合、前回の要求でキャッシュされた結果が最大 24 時間、または次のデバイス再起動時 (いずれか早い方) 使用されます。 その時点で、Intune アプリ保護ポリシーは、現在の結果が得られるまでアクセスをブロックします。

これを行う方法の手順は、デバイスによって若干異なります。 一般的なプロセスでは、Google Play Store に移動し、[My apps & games]\(アプリとゲーム\) をアクセスし、最後のアプリ スキャンの結果をクリックします。クリックすると、Play Protect メニューが表示されます。 [端末をスキャンしてセキュリティ上の脅威を確認] のトグルが確実にオンになっているようにします。

Intune は Google Play 整合性 API を適用して、登録されていないデバイスの既存のルート検出チェックに追加します。 Google は、Android アプリがルート化されたデバイスでアプリを実行したくない場合に採用できるように、この API セットを開発して管理しました。 たとえば、Android Pay アプリにはこれが組み込まれています。 Google は、発生するルート検出チェックの全体を公開していませんが、これらの API がデバイスを root 化したユーザーを検出することを期待しています。 そのようなユーザーのアクセスをブロックしたり、ポリシーが有効になっているアプリからそのようなユーザーの企業アカウントを消去したりできます。 [Check basic integrity] は、デバイスの全般的な整合性を示します。 ルート化されたデバイス、エミュレーター、仮想デバイス、改ざんの兆候があるデバイスは基本的な整合性のチェックで不合格になります。 [認定デバイスの基本的な整合性 & 確認する] には、デバイスと Google のサービスとの互換性が表示されます。 Google に認められた、改造されていないデバイスのみがこのチェックに合格します。 失敗するデバイスは次のとおりです。

• 基本的な整合性のチェックで不合格になるデバイス
• ブートローダーがロックされていないデバイス
• カスタム システム イメージ/ROM が含まれるデバイス
• 製造元が Google 認定を申請していない、または Google 認定に合格していないデバイス
• Android オープン ソース プログラムのソース ファイルから直接構築されたシステム イメージを含むデバイス
• ベータ版/開発者プレビューのシステム イメージを含むデバイス

技術的な詳細については 、Play Integrity API に関する Google のドキュメント を参照してください。

Google Play 整合性 API チェックでは、少なくとも構成証明結果を決定するための "ラウンドトリップ" が実行される時間の間に、エンド ユーザーがオンラインである必要があります。 エンド ユーザーがオフラインの場合でも、IT 管理者は [ジェイルブレイク/ルート化されたデバイス] 設定から結果が適用されることを予期できます。 ただし、エンド ユーザーがオフライン状態が長すぎる場合は、「オフラインの猶予期間」値が有効になり、そのタイマー値に達すると、ネットワーク アクセスが使用可能になるまで、職場または学校のデータへのすべてのアクセスがブロックされます。 両方の設定を有効にすると、エンド ユーザー デバイスを正常に保つための階層的なアプローチが可能になります。これは、エンド ユーザーがモバイルで職場や学校のデータにアクセスするときに重要です。

[Play の整合性判定] と [アプリの脅威スキャン] 設定の両方で、Google が決定したバージョンの Google Play サービスを正しく機能させる必要があります。 これらはセキュリティの領域に該当する設定であるため、エンド ユーザーがこれらの設定の対象となり、Google Play サービスの適切なバージョンを満たしていない場合、または Google Play サービスにアクセスできない場合、エンド ユーザーはブロックされます。

Intune アプリ保護ポリシーでは、アプリへのアクセスを制御して、Intune のライセンスがあるユーザーのみを許可することができます。 アプリへのアクセスを制御する方法の 1 つは、Apple の Touch ID または Face ID のいずれかをサポートされているデバイス上で要求することです。 Intune は、デバイスの生体認証データベースに変更がある場合、次の非アクティブ タイムアウト値に達したときに、Intune がユーザーに PIN の入力を求める動作を実装します。 フィンガープリントや顔の追加や削除も、生体認証データの変更に含まれます。 Intune ユーザーが PIN を設定していない場合は、Intune PIN を設定するようにガイドされます。

その目的は、アプリ内の organization のデータを引き続き安全に保ち、アプリ レベルで保護することです。 この機能は iOS/iPadOS でのみ使用でき、iOS/iPadOS バージョン 9.0.1 以降の Intune APP SDK を統合するアプリケーションの参加が必要です。 SDK の統合は、対象のアプリケーション上で動作を適用するために必要です。 この統合は、ローリング方式で行われ、特定のアプリケーション チームに依存します。 参加するアプリケーションには、WXP、Outlook、Managed Browser、Yammer などが含まれます。

Intune アプリ保護ポリシーは、デバイスを管理しない限り iOS 共有拡張機能を制御できません。 そのため、Intune は、アプリの外部で共有される前に、"企業" データを暗号化します。 これを検証するには、マネージド アプリの外部で "corporate" ファイルを開きます。 ファイルは暗号化されていて、管理対象アプリの外部では開くことができないはずです。

エンド ユーザーが企業アカウントから対象のアプリにアクセスしようとすると、アクセスのための Intune アプリ保護ポリシーがエンド ユーザー デバイスに特定の順序で適用されます。 通常は、ワイプが優先され、その後にブロックが続き、無視可能な警告が続きます。 たとえば、特定のユーザーまたはアプリに適用可能な場合、ユーザーのアクセスをブロックする最小の iOS/iPadOS オペレーティング システム設定の後、iOS/iPadOS バージョンを更新するようユーザーに警告する最小の iOS/iPadOS オペレーティング システム設定が適用されます。 そのため、IT 管理者が最小 iOS/iPadOS オペレーティング システムを 11.0.0.0 に構成し、最小 iOS/iPadOS オペレーティング システム (警告のみ) を 11.1.0.0 に構成するシナリオでは、アプリにアクセスしようとしているデバイスが iOS/iPadOS 10 上であった場合、エンド ユーザーは、最小 iOS/iPadOS オペレーティング システム バージョンのより制限の厳しい設定に基づいてブロックされ、アクセスがブロックされます。

さまざまな種類の設定を処理する場合、Intune アプリの SDK バージョン要件が優先され、アプリ バージョンの要件が優先され、iOS/iPadOS オペレーティング システムのバージョン要件が続きます。 その後、同じ順序ですべての種類の設定の警告が確認されます。 Intune アプリ SDK バージョン要件は、重要なブロック シナリオに関する Intune 製品チームからのガイダンスに基づいてのみ構成することをお勧めします。

関連項目

• Intune を展開する
• ロールアウト計画を作成する
• Microsoft Intune での Android モバイル アプリ管理ポリシーの設定
• iOS/iPadOS モバイル アプリ管理ポリシー設定
• アプリ保護ポリシー ポリシーの更新
• アプリ保護ポリシーを検証する
• デバイスを登録せずに管理対象アプリのアプリ構成ポリシーを追加する
• Microsoft Intune でサポートを受ける方法