Intune App Protection (MAM) を使用して Microsoft Edge で企業データを保護する

Edge for Business では、別のテナントで管理されているデバイスで作業しているユーザーを含め、Windows の Intune アプリ保護 (MAM) ポリシーがサポートされています。

この機能により、組織は完全なデバイス管理を必要とせずに、クリップボードの制限、保護されたダウンロード、透かし、漏洩防止などのデータ保護制御を Edge 作業プロファイルに直接適用できます。 ポリシーは Microsoft Intune アプリ保護ポリシーと Microsoft Entra 条件付きアクセスを通じて適用されるため、請負業者、パートナー、合併などのテナント間のシナリオでも、Edge 経由でアクセスされる企業データがテナントによって管理され続けます。

構成すると、Edge はユーザー登録後に MAM ポリシーを自動的に受け取り、エンド ユーザーにネイティブ ブラウザー エクスペリエンスを維持しながら、サポートされている機能全体で一貫して保護を適用します。

この記事でカバーする内容

  • Entra 条件付きアクセス、Intune App Protection、Edge for Business で Windows で MAM 保護を有効にする方法
  • クロステナント デバイスを含む Edge MAM でサポートされているシナリオと既知の制限事項
  • 条件付きアクセス、アプリ保護ポリシー、ユーザー登録の構成手順

前提条件

Licensing

  • Microsoft Intune
  • Microsoft Entra ID P1 または P2 (条件付きアクセス用)

サポートされているプラットフォーム

  • Windows 10/11
  • Microsoft Edge for Business バージョン 147 以降

Entra、Intune、Edge for Business が保護を提供する方法

entra、intune、edge がどのように連携するかを示すスクリーンショット

Microsoft Edge では、Microsoft Entra 条件付きアクセスを使用して、ユーザーが企業リソースにアクセスするときにアプリの保護を要求します。 この要件により、デバイスを登録せずに、Edge 作業プロファイルの Intune App Protection (MAM) 登録がトリガーされます。

Intune アプリ保護ポリシーは、どのデータ保護を適用するかを定義し、Edge はそれらの保護をブラウザーで直接適用し、組織データのみを対象とします。 これにより、個人閲覧に影響を与えずに、管理されていない Windows デバイスまたはクロステナント Windows デバイスでのセキュリティで保護されたアクセスが可能になります。

サポートされるシナリオと既知の制限事項

制限事項 影響
同じテナントで管理されているデバイス 同じテナントによって管理されるデバイスは、この記事で説明する条件付きアクセス構成ではサポートされていません。 ユーザーは、この構成で条件付きアクセスで保護されたデータにアクセスできません。
デバイスで有効になっているエンドポイント DLP デバイス レベルのエンドポイント DLP が有効になっている場合、この制限をバイパスするようにポリシーが設定されていない限り、Intune App Protection (MAM) ポリシーをそのデバイス上の Edge 作業プロファイルに適用できません。 そうでない場合、プロファイルの切り替えは使用できず、追加されたプロファイルを削除する必要があります。
Microsoft Defender for Cloud Apps DLP ポリシー Microsoft Edge バージョン 149 以降では、Microsoft Defender for Cloud Apps (MDCA) データ損失防止ポリシーと Intune App Protection (MAM) ポリシーの両方が適用される場合は、MDCA DLP ポリシーが優先されます。 Microsoft Entra 条件付きアクセスは引き続き適用されますが、MDCA ポリシーは MAM アプリ保護ポリシーの代わりに適用されます。 この構成では、両方のポリシー ソースが同じテナントによって制御されるため、管理者は MDCA ポリシーを変更して目的の動作を実現できます。

デバイスでエンドポイント DLP が有効になっているかどうかを確認する方法

  1. Microsoft Edge を開く
  2. 移動 edge://edge-dlp-internals
  3. [機能の状態] ページで、[プロバイダー名] フィールドをチェックします

プロバイダーの状態が [使用可能] に設定され、プロバイダーがエンドポイント DLP の場合、デバイス レベルのエンドポイント DLP が有効になります。

例:

プロバイダー名 プロバイダーの状態
エンドポイントの DLP 利用可能

デバイス レベルのエンドポイント DLP ブロックは、ポリシー MAMWithDeviceDLPEnabledを使用してバイパスできます。 このポリシーは、デバイスを管理するテナントが構成する必要があります。 Edge バージョン 148 以降を使用している場合、このポリシーは Intune を介して構成できます。 Edge バージョン 147 を使用している場合は、グループ ポリシーまたはレジストリを使用してポリシーを設定できます。

構成手順

手順 1: アプリを必要とする条件付きアクセス ポリシー

Entra 管理センター (entra.microsoft.com) 内:

  1. [条件付きアクセス] → [新しいポリシーの作成] に移動します

    認証ダイアログを示すスクリーンショット。

  2. Edge アクセスのアプリ保護を必要とする条件付きアクセス ポリシーを作成します。

    設定ポリシー フィールド 値
    ユーザーまたはエージェント (プレビュー) ターゲット ユーザーまたはグループ
    ターゲット リソース Office 365 (またはその他の保護されたリソース)
    条件 -> クライアント アプリ Browser
    条件 - > デバイス プラットフォーム Windows
    許可 アプリ保護ポリシーが必要

サポートされない

  • 「準拠デバイスが必要」(ユーザーは MAM 登録からブロックされます)

手順 2: アプリ保護ポリシーを構成する

Intune 管理センターでは、次の手順を実行します。

  1. [アプリ→保護] → [Windows の作成] →移動する

プラットフォーム間で展開されたアプリ保護ポリシーの一覧を示す Microsoft Intune Apps >保護ページを示すスクリーンショット。

  1. Windows のアプリ保護ポリシーを作成します。 [アプリ] で、[Microsoft Edge] を選択します。
  2. 必要に応じてデータ保護設定を構成するには、 こちらを参照してください。
  3. 手順 1 で作成した条件付きアクセス ポリシーの対象と同じユーザー グループにポリシーを割り当てます。
  4. 新しいポリシーを確認して作成します。

関連情報:Microsoft Edge for Business で Intune 内の企業データを保護する

手順 3: MAM にユーザーの Edge プロファイルを登録する

ユーザー手順

  1. 管理対象デバイスで Microsoft Edge を開きます。
  2. 企業リソース (SharePoint や内部サイトなど) に移動します。
  3. 会社の資格情報を使用してリソースへのサインインを試みます。
  4. 条件付きアクセス ブロックが発生しました。

認証ダイアログを示すスクリーンショット

  1. プロンプトに従って Edge プロファイルを切り替えます。
  2. サインイン フローを完了し、プロンプトを受け入れます。
  3. 重要: ダイアログ プロンプトで [ はい ] を選択します。

SSO およびデバイス登録の同意プロンプトを示すスクリーンショット

  1. サインイン後、Edge は MAM ポリシー を自動的に受信し始めます。

この段階で、ユーザーは MAM に登録され、Edge for Business はアプリ保護ポリシーを適用できます。

クリップボードへのアクセス、ダウンロード、アプリ間のデータ共有など、ブラウザー内での組織データの処理方法を制御するには、Edge Management Service と Intune でデータ保護設定を構成する必要があります。

これらのコントロールを定義するには、こちらを参照してください。

  • Last updated on