Intune App Wrapping Tool を使用してアプリ保護ポリシーに対応する iOS アプリを準備する

iOS 用 Microsoft Intune App Wrapping Tool を使用すると、アプリ自体のコードを変更せずに、社内の iOS アプリのIntuneアプリ保護ポリシーを有効にすることができます。

このツールは、アプリのラッパーを作成する macOS コマンドライン アプリケーションです。 アプリが処理されたら、 アプリ保護ポリシー を展開することで、アプリの機能を変更できます。

ツールをダウンロードするには、GitHub の iOS 版Microsoft Intune App Wrapping Toolを参照してください。

App Wrapping Tool の一般的な前提条件

App Wrapping Tool を実行する前に、いくつかの一般的な前提条件を満たす必要があります。

• GitHub から iOS 用のMicrosoft Intune App Wrapping Toolをダウンロードします。

• Xcode ツールセットのバージョン 16.0 以降がインストールされている macOS コンピューター。

• 会社または独立系ソフトウェア ベンダー (ISV) は、入力 iOS アプリを開発して署名する必要があります。

  • ファイルの拡張子は .ipa または .app である必要があります。

  • iOS 16.0 以降用にコンパイルする必要があります。

  • 暗号化することはできません。

  • 拡張ファイル属性はありません。

  • Intune App Wrapping Tool を使用してアプリを処理する前に、エンタイトルメントを設定します。 資格により、 通常付与されるアクセス許可を超えるアクセス許可と機能がアプリに付与されます。 手順については、「 アプリのエンタイトルメントの設定 」を参照してください。

• 有効な署名証明書がシステム キーチェーンに存在することを確認します。 アプリのコード署名の問題がある場合は、次の手順に従って解決します。
  • 関連するすべての証明書の信頼設定をリセットする
  • システム キーチェーンとサインイン キーチェーンに中間証明書をインストールする
  • 関連するすべての証明書をアンインストールして再インストールする

アプリを Microsoft Entra ID に登録する

1. アプリを Microsoft Entra ID に登録します。 詳細については、「Microsoft ID プラットフォームへのアプリケーションの登録」を参照してください。
2. カスタム リダイレクト URL をアプリの設定に追加します。 詳細については、「 MSAL の構成」を参照してください。
3. アプリに Intune MAM サービスへのアクセス権を付与します。 詳細については、「アプリに Intune モバイル アプリ管理サービスへのアクセス権を付与する」を参照してください。
4. 上記の変更が完了したら、最新バージョンの Intune アプリ ラッピング ツールを実行します。 Microsoft 認証ライブラリ (MSAL) 用にアプリを構成する: Intune App Wrapping Toolを使用して、Microsoft Entra アプリケーション クライアント ID をコマンド ライン パラメーターに追加します。 詳細については、「 コマンド ライン パラメーター」を参照してください。

5. アプリを展開します。

App Wrapping Tool の Apple 開発者向け前提条件

ラップされたアプリを organization のユーザーにのみ配布するには、Apple Developer Enterprise Program のアカウントと、Apple Developer アカウントにリンクされているアプリ署名用のいくつかのエンティティが必要です。

iOS アプリを organization のユーザーに内部的に配布する方法の詳細については、Apple Developer Enterprise Program アプリの配布に関する公式ガイドをお読みください。

Intune でラップされたアプリを配布するには、以下が必要です。

• Apple Developer Enterprise Program のデベロッパー アカウント。

• 有効なチーム識別子を使用した社内およびアドホック配布署名証明書。

  • Intune App Wrapping Toolへのパラメーターとして、署名証明書の SHA1 ハッシュが必要です。

• 社内配布プロビジョニング プロファイル。

Apple デベロッパー エンタープライズ アカウントを作成する

1. Apple Developer Enterprise Program のサイトに移動します。

2. ページの右上で、[ 登録] を選択します。

3. 登録に必要なもののチェックリストを読んでください。 ページの下部にある [ 登録の開始 ] を選択します。

4. organization の Apple アカウントでサインインします。 お持ちでない場合は、「 Apple アカウントを作成」を選択します。

5. エンティティの種類を選択し、[続行] を選択します。

6. フォームに自分の organization の情報を記入します。 [続行] を選択します。 この時点で、Apple から連絡があり、organization を登録する権限があることを確認します。

7. 確認後、[ ライセンスに同意する] を選択します。

8. ライセンスに同意したら、 プログラムを購入してアクティブ化して終了します。

9. チーム エージェント (organization の Apple Developer Enterprise Program に参加する人) の場合は、チーム メンバーを招待し、チームを構築するためのロールを割り当てます。 チームを管理する方法については、 デベロッパー アカウント チームの管理に関する Apple のドキュメントを参照してください。

Apple 署名証明書を作成する

1. Apple デベロッパー ポータルに移動します。

2. ページの右上にある [ アカウント] を選択します。

3. 組織の Apple アカウントでサインインします。

4. [ 証明書]、[ID]、[プロファイル] & を選択します。

   

5. 右上隅にある を選択します。 このアクションにより、iOS 証明書が追加されます。

6. [運用] で社内証明書とアドホック証明書を作成することを選択します。

   

   注:

   アプリを配布する予定がなく、内部でテストするだけの場合は、運用用の証明書の代わりに iOS アプリ開発証明書を使用できます。 開発証明書を使用する場合は、モバイル プロビジョニング プロファイルにアプリのインストール予定のデバイスが含まれていることを確認します。

7. ページの下部にある [ 次へ ] を選択します。

8. macOS コンピューターでキーチェーン アクセス アプリケーションを使用して 証明書署名要求 (CSR) を作成する手順をお読みください。

   

9. 前の手順に従って、証明書署名要求を作成します。 macOS コンピューターで、 キーチェーン アクセス アプリケーションを起動します。

10. 画面上部の macOS メニューで、[ キーチェーン アクセス] > [証明書アシスタント] に移動し > 証明機関に証明書を要求します。

    

11. Apple デベロッパー サイトの指示に従って、証明書署名要求 (CSR) ファイルを作成します。 CSR ファイルを macOS コンピューターに保存します。

    

12. Apple デベロッパー サイトに戻ります。 [続行] を選択します。 次に、CSR ファイルをアップロードします。

13. Apple が署名証明書を生成します。 ダウンロードして macOS コンピューターの覚えやすい場所に保存します。

    

14. ダウンロードした証明書ファイルをダブルクリックして、証明書をキーチェーンに追加します。

15. もう一度 「キーチェーンアクセス 」を開きます。 右上の検索バーで証明書の名前を検索し、証明書を見つけます。 項目を右クリックしてメニューを表示し、[ 情報の取得] を選択します。 サンプル画面では、運用証明書の代わりに開発証明書を使用しています。

    

16. 情報ウィンドウが表示されます。 一番下までスクロールし、 指紋 ラベルの下を確認します。 SHA1 文字列 (ぼやけて表示) をコピーして、App Wrapping Tool の "-c" の引数として使用します。

    

In-House 配布プロビジョニング プロファイルを作成する

1. Apple デベロッパー アカウント ポータルに戻る後、組織の Apple アカウントでサインインします。

2. [ 証明書]、[ID]、[プロファイル] & を選択します。

3. 右上隅にある を選択します。 このアクションにより、iOS プロビジョニング プロファイルが追加されます。

4. [配布] で社内プロビジョニング プロファイルを作成することを選択します。

   

5. [続行] を選択します。 以前に生成した署名証明書をプロビジョニング プロファイルにリンクしてください。

6. 手順に従って、プロファイル (拡張機能 .mobileprovision付き) を macOS コンピューターにダウンロードします。

7. 覚えやすい場所にファイルを保存します。 このファイルは、App Wrapping Tool を使用する際の -p パラメーターに使用されます。

App Wrapping Tool をダウンロードする

1. App Wrapping Tool のファイルを GitHub から macOS コンピューターにダウンロードします。

2. [Microsoft Intune Application Restrictions Packager for iOS.dmg] をダブルクリックします。 エンドユーザー使用許諾契約書 (EULA) のウィンドウが表示されます。 ドキュメントをよく読んでください。

3. [ 同意する ] を選択して EULA に同意すると、パッケージがコンピューターにマウントされます。

App Wrapping Tool を実行する

ターミナルを使用する

macOS ターミナルを開き、次のコマンドを実行します。

/Volumes/IntuneMAMAppPackager/IntuneMAMPackager/Contents/MacOS/IntuneMAMPackager -i /<path of input app>/<app filename> -o /<path to output folder>/<app filename> -p /<path to provisioning profile> -c <SHA1 hash of the certificate> -ac <client ID of input app> -ar <redirect URI of input app> [-aa <authority URI of input app>] [-b [<output app build string>]] [-v] [-e] [-x /<array of extension provisioning profile paths>] [-dt] [-dl] [-ds]

例:次のコマンド例では、MyApp.ipa という名前のアプリで App Wrapping Tool を実行します。 プロビジョニング プロファイルと署名証明書の SHA-1 ハッシュが指定され、ラップされたアプリの署名に使用されます。 出力アプリ (MyApp_Wrapped.ipa) が作成され、デスクトップ フォルダーに保存されます。

./IntuneMAMPackager/Contents/MacOS/IntuneMAMPackager -i ~/Desktop/MyApp.ipa -o ~/Desktop/MyApp_Wrapped.ipa -p ~/Desktop/My_Provisioning_Profile_.mobileprovision -c "12 A3 BC 45 D6 7E F8 90 1A 2B 3C DE F4 AB C5 D6 E7 89 0F AB" -ac "xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx" -ar "msauth.myAppsBundleID://auth" -v

コマンド ライン パラメーター

App Wrapping Tool で次のコマンド ライン パラメータを使用できます。

例:次のコマンド例では、1 つのテナント内で使用するアプリケーションをラップするときに必要なコマンドを含む App Wrapping Tool を実行します。

./IntuneMAMPackager/Contents/MacOS/IntuneMAMPackager -i ~/Desktop/MyApp.ipa -o ~/Desktop/MyApp_Wrapped.ipa -p ~/Desktop/My_Provisioning_Profile_.mobileprovision -c "12 A3 BC 45 D6 7E F8 90 1A 2B 3C DE F4 AB C5 D6 E7 89 0F AB" -aa https://login.microsoftonline.com/<tenantID> -ac "Client ID of the input app if the app uses the Microsoft Authentication Library" -ar "Redirect/Reply URI of the input app if the app uses the Microsoft Authentication Library"  -v

plist を使用して引数を入力する

App Wrapping Tool を実行する簡単な方法は、すべてのコマンド引数を plist ファイルに配置することです。 Plist は、フォーム インターフェイスを使用してコマンド ライン引数を入力するために使用できる XML に似たファイル形式です。

IntuneMAMPackager/Contents/MacOS フォルダーで、テキスト エディターまたは Xcode を使用して Parameters.plist (空の plist テンプレート) を開きます。 次のキーの引数を入力します。

plist を唯一の引数として IntuneMAMPackager を実行します。

./IntuneMAMPackager –f Parameters.plist

ラッピング後

ラッピング プロセスが完了すると、"アプリケーションが正常にラップされました" というメッセージが表示されます。 エラーが発生した場合は、「 エラー メッセージ 」を参照してヘルプを参照してください。

ラップされたアプリは、前に指定した出力フォルダーに保存されます。 アプリを Intune 管理センターにアップロードし、モバイル アプリケーション管理ポリシーに関連付けることができます。

これで、アプリをユーザー グループに展開し、アプリ保護ポリシーをアプリに対象とすることができます。 指定したアプリ保護ポリシーを使用してデバイスでアプリが実行されます。

どのくらいの頻度で iOS アプリケーションを Intune App Wrapping Tool で再ラップする必要がありますか?

アプリケーションを再ラップする必要がある主なシナリオは次のとおりです。

• アプリケーション自体が新しいバージョンをリリースしました。 前のバージョンのアプリがラップされ、Intune 管理センターにアップロードされました。
• iOS 用 Intune App Wrapping Tool は、主要なバグ修正、または新しい特定のIntune アプリケーション保護ポリシー機能を有効にする新しいバージョンをリリースしました。 新しいバージョンのリリースは、iOS 用 Microsoft Intune App Wrapping Tool の GitHub リポジトリを通じて 6 - 8 週間ごとに行われます。

iOS/iPadOS の場合、元々アプリの署名に使用されたものとは異なる証明書またはプロビジョニング プロファイルでアプリをラップできます。 ただし、新しいプロビジョニング プロファイルにアプリで指定された権利が含まれていない場合、ラップ プロセスは失敗します。 "-e" コマンド ライン オプションを使用して、不足している資格をアプリから削除し、このシナリオでラッピングが失敗しないように強制すると、アプリの機能が壊れる可能性があります。

折り返しのベスト プラクティスには次のようなものがあります。

• 別のプロビジョニング プロファイルに、以前のプロビジョニング プロファイルとして必要なすべての権利が含まれていることを確認します。

エラー メッセージとログ ファイル

次の情報を使用して、アプリ ラッピング ツールの問題のトラブルシューティングを行います。

エラー メッセージ

アプリ ラッピング ツールが正常に完了しない場合は、コンソールに次のいずれかのエラー メッセージが表示されます。

デバイスからラップされたアプリケーションのログを収集しています

次の手順を使用して、トラブルシューティング中にラップされたアプリケーションのログを取得します。

1. デバイスの iOS 設定アプリに移動し、LOB アプリを選択します。
2. [Microsoft Intune] を選択します。
3. [ ディスプレイ診断コンソール ] 設定を [オン] に切り替えます。
4. LOB アプリケーションを起動します。
5. [開始する] リンクを選択します。
6. これで、ログを Microsoft に直接送信したり、デバイス上の別のアプリケーションを介してログを共有したりできます。

システムからのクラッシュ ログの収集

アプリが iOS クライアント デバイス コンソールに有用な情報をログしている場合があります。 この情報は、アプリケーションに問題が発生し、問題が App Wrapping Tool に関連しているのか、アプリ自体に関連しているのかを判断する必要がある場合に役立ちます。 この情報を取得するには、次の手順を使用します。

1. アプリを実行して問題を再現します。

2. 展開された iOS アプリのデバッグに関する Apple の手順に従って、コンソール出力を収集します。

ラップされたアプリでは、アプリがクラッシュした後に、メールを介してデバイスから直接ログを送信するオプションもユーザーに提供されます。 ユーザーはログを送信して調査し、必要に応じて Microsoft に転送できます。

証明書、プロビジョニング プロファイル、認証の要件

iOS 用の App Wrapping Tool には、完全な機能を保証するために満たさなければならない要件がいくつかあります。

アプリのエンタイトルメントの設定

アプリをラップする前に、 資格 を付与して、アプリで通常実行できる以上の追加のアクセス許可と機能をアプリに付与できます。 エンタイトルメント ファイルは、コード署名中に使用され、アプリ内の特別なアクセス許可 (共有キーチェーンへのアクセスなど) を指定します。 機能と呼ばれる特定のアプリ サービスは、アプリ開発中に Xcode 内で有効になります。 有効にすると、機能はエンタイトルメント ファイルに反映されます。 エンタイトルメントと機能の詳細については、「iOS デベロッパー ライブラリでの 機能の追加 」を参照してください。 サポートされている機能の完全な一覧については、「 サポートされている機能」を参照してください。

iOS 用 App Wrapping Tool でサポートされている機能

資格を有効にする手順

1. アプリの機能を有効にする:

   a. Xcode で、アプリのターゲットに移動し、[ 機能] を選択します。

   b. 適切な機能を有効にします。 各機能の詳細と正しい値の決定方法については、「iOS 開発者ライブラリでの 機能の追加 」を参照してください。

   c. プロセス中に作成した ID をメモします。 これらの ID は、 AppIdentifierPrefix 値と呼ばれる場合があります。

   d. ラップするアプリをビルドして署名します。

2. プロビジョニング プロファイルで権利を有効にします。

   a. Apple デベロッパー メンバー センターにサインインします。

   b. アプリのプロビジョニング プロファイルを作成します。 手順については、「iOS 用 Intune App Wrapping Tool の前提条件を入手する方法」を参照してください。

   c. プロビジョニング プロファイルで、アプリと同じ権利を有効にします。 アプリの開発中に指定したものと同じ ID ( AppIdentifierPrefix 値) を指定する必要があります。

   d. プロビジョニング プロファイル ウィザードを完了し、ファイルをダウンロードします。

3. すべての前提条件が満たされていることを確認し、アプリをラップします。

エンタイトルメントに関する一般的なエラーのトラブルシューティング

iOS 用 App Wrapping Tool でエンタイトルメント エラーが表示される場合は、次のトラブルシューティング手順を試してください。

署名済みアプリの既存の資格を見つける

署名済みアプリとプロビジョニング プロファイルの既存の権利を確認するには:

1. .ipa ファイルを見つけて拡張子を .zip に変更します。

2. .zip ファイルを展開します。 このアクションにより、.app バンドルを含むペイロード フォルダーが作成されます。

3. codesign ツールを使用して、.app バンドルのエンタイトルメントをチェックします。ここで、YourApp.app は.appバンドルの実際の名前です。

   codesign -d --entitlements :- "Payload/YourApp.app"
   

4. セキュリティ ツールを使用して、アプリの埋め込みプロビジョニング プロファイルのエンタイトルメントをチェックします。ここで、YourApp.app は.appバンドルの実際の名前です。

   security cms -D -i "Payload/YourApp.app/embedded.mobileprovision"
   

–e パラメーターを使用してアプリからエンタイトルメントを削除する

このコマンドは、資格ファイルにないアプリの有効になっている機能をすべて削除します。 アプリで使用されている機能を削除すると、アプリが壊れる可能性があります。 不足している機能を削除できる例は、既定ですべての機能を持つベンダー製アプリです。

./IntuneMAMPackager/Contents/MacOS/IntuneMAMPackager –i /<path of input app>/<app filename> -o /<path to output folder>/<app filename> `–p` /<path to provisioning profile> –c <SHA1 hash of the certificate> -ac <client ID of input app> -ar <redirect URI of input app> -e

App Wrapping Tool のセキュリティとプライバシー

App Wrapping Tool を使用するときは、次のセキュリティとプライバシーのベスト プラクティスを使用します。

• 指定する署名証明書、プロビジョニング プロファイル、基幹業務アプリは、アプリのラッピング ツールの実行に使用するのと同じ macOS コンピューター上にある必要があります。 ファイルが UNC パス上にある場合は、macOS コンピューターがファイルにアクセスできることを確認します。 パスは、IPsec または SMB 署名によってセキュリティで保護されている必要があります。

  管理センターにインポートされたラップされたアプリケーションは、ツールを実行したのと同じコンピューター上にある必要があります。 ファイルが UNC パス上にある場合は、管理センターを実行しているコンピューターでアクセスできることを確認します。 パスは、IPsec または SMB 署名によってセキュリティで保護されている必要があります。

• App Wrapping Tool が GitHub リポジトリからダウンロードされる環境は、IPsec または SMB 署名によってセキュリティで保護する必要があります。

• 攻撃から確実に保護するために、処理するアプリは信頼できるソースから提供されている必要があります。

• 特にリモート フォルダーの場合は、App Wrapping Tool で指定した出力フォルダーがセキュリティで保護されていることを確認します。

• ファイル アップロード ダイアログ ボックスを含む iOS アプリでは、アプリに適用されている制限を回避、切り取り、コピー、貼り付けすることができます。 たとえば、ユーザーは [ファイルのアップロード] ダイアログ ボックスを使用して、アプリ データのスクリーンショットをアップロードできます。

• ラップされたアプリ内からデバイス上のドキュメント フォルダーを監視すると、 .msftintuneapplauncher という名前のフォルダーが表示される場合があります。 このファイルを変更または削除すると、制限されたアプリの正常な機能に影響を与える可能性があります。

• カスタム URL スキームを登録すると、特定の URL をアプリにリダイレクトできます。 iOS と iPadOS では、複数のアプリで同じカスタム URL スキームを登録でき、呼び出されるアプリケーションは OS によって決定されます。 不正な形式の URL を処理するための推奨事項と、カスタム URL スキームの競合を回避するための推奨事項とセキュリティ ガイドラインについては、Apple のドキュメント「 アプリのカスタム URL スキームの定義 」を参照してください。

その他のリソース

• Microsoft Intune を使用してモバイル アプリケーション管理用アプリを準備する方法を決定する
• デバイスのポリシーとプロファイルに関する一般的な質問、問題、解決策
• SDK を使用して、モバイル アプリケーション管理用のアプリを有効にする