Intune を使用して iOS および Android で Microsoft Edge を管理する

iOS および Android 用の Microsoft Edge は、ユーザーが Web を閲覧できるように設計されており、マルチ ID をサポートしています。 ユーザーは、閲覧用に職場アカウントと個人用アカウントを追加できます。 2 つの ID は完全に分離されています。これは、他の Microsoft モバイル アプリで提供されているものと同様です。

この機能は、以下に適用されます。

• iOS/iPadOS 14.0 以降
• 登録済みデバイスの場合は Android 8.0 以降、登録解除されたデバイスの場合は Android 9.0 以降

Enterprise Mobility + Security スイートをサブスクライブすると、Microsoft 365 データに対する最も豊富で広範な保護機能を利用できます。これには、Microsoft Intune や、条件付きアクセスなどの Microsoft Entra ID P1 または P2 機能が含まれています。 少なくとも、モバイル デバイスから iOS および Android 用の Microsoft Edge への接続のみを許可する条件付きアクセス ポリシーと、閲覧エクスペリエンスが保護されるようにする Intune アプリ保護ポリシーを展開します。

Intune アプリ保護ポリシーを作成する

組織が SaaS や Web アプリケーションを採用するようになるにつれ、ブラウザーは企業にとって不可欠なツールとなっています。 ユーザーは、外出先でモバイル ブラウザからこれらのアプリケーションにアクセスする必要があることがよくあります。 モバイル ブラウザを介してアクセスされるデータが意図的または意図しない漏洩から確実に保護されるようにすることが重要です。 たとえば、ユーザーが誤って組織のデータを個人用アプリと共有してデータ漏洩を引き起こしたり、ローカル デバイスにダウンロードしたりする可能性があり、これもリスクをもたらします。

組織は、許可されるアプリと、組織のデータに対してユーザーが実行できるアクションを定義するアプリ保護ポリシーを構成することで、ユーザーがモバイル用 Microsoft Edge を使用して閲覧するときにデータが漏洩するのを防ぐことができます。 アプリ保護ポリシーの選択肢により、組織は特定のニーズに合わせて保護を調整できます。 一部のユーザーにとっては、完全なシナリオを実装するために必要なポリシー設定が明確でない場合があります。 組織がモバイル クライアント エンドポイントのセキュリティ強化に優先順位を付けるのを支援するために、Microsoft は iOS および Android モバイル アプリ管理用のアプリ保護ポリシーのデータ保護フレームワークの分類法を導入しました。

アプリ保護ポリシーのデータ保護フレームワークは、3 つの異なる構成レベルに編成されており、各レベルは前のレベルに基づいて構築されています。

• エンタープライズ基本データ保護 (レベル 1) では、アプリが PIN で保護され、暗号化されており、選択的ワイプ操作を実行できるようにします。 Android デバイスの場合、このレベルでは Android デバイスの構成証明を検証します。 この構成はエントリ レベルの構成であり、Exchange Online メールボックス ポリシーで同様のデータ保護制御を提供し、IT とユーザー集団を APP に導入します。
• エンタープライズ拡張データ保護 (レベル 2) には、アプリ保護ポリシー、データ漏洩防止メカニズム、最小 OS 要件が導入されています。 この構成は、職場または学校のデータにアクセスするほとんどのモバイル ユーザーに適用できます。
• エンタープライズの高度なデータ保護 (レベル 3) には、高度なデータ保護メカニズム、拡張 PIN 構成、およびアプリ保護ポリシーの Mobile Threat Defense が導入されています。 この構成は、リスクの高いデータにアクセスするユーザーに適しています。

各構成レベルと保護する必要がある最小限のアプリに関する具体的な提案については、 アプリ保護ポリシーを使用してデータ保護フレームワークを確認してください。

デバイスが統合エンドポイント管理 (UEM) ソリューションに登録されているかどうかに関わらず、「アプリ保護ポリシーを作成して割り当てる方法」の手順を使用して、iOS アプリと Android アプリ両方の Intune アプリ保護ポリシーを作成する必要があります。 これらのポリシーは、少なくとも次の条件を満たす必要があります。

• これらには、Microsoft Edge、Outlook、OneDrive、Office、Teams などのすべての Microsoft 365 モバイル アプリケーションが含まれており、ユーザーは安全な方法で任意の Microsoft アプリ内の職場または学校のデータにアクセスして操作できます。

• これらはすべてのユーザーに割り当てられるため、iOS 用または Android 用の Microsoft Edge を使用しているかどうかに関係なく、確実に保護されます。

• 要件を満たすフレームワーク レベルを決定します。 ほとんどの組織では、データ保護とアクセス要件の制御を有効にするように、エンタープライズ拡張データ保護 (レベル 2) で定義されている設定を実装する必要があります。

条件付きアクセスを適用する

アプリ保護ポリシーで Microsoft Edge を保護することは重要ですが、Microsoft Edge が企業アプリケーションを開くための必須ブラウザーであることを確認することも重要です。 それ以外の場合、ユーザーは保護されていない他のブラウザーを使用して企業アプリケーションにアクセスする可能性があり、データ漏洩につながる可能性があります。

組織は Microsoft Entra 条件付きアクセス ポリシーを使用して、ユーザーが iOS および Android 用 Microsoft Edge を使用してのみ職場または学校のコンテンツにアクセスできるようにすることができます。 これを行うには、すべての潜在的なユーザーを対象とする条件付きアクセス ポリシーが必要です。 これらのポリシーについては、「条件付きアクセス: 承認済みのクライアント アプリまたはアプリ保護ポリシーを要求する」で説明されています。

「 モバイル デバイスで承認済みのクライアント アプリまたはアプリ保護ポリシーを要求する」の手順に従って、iOS および Android 用の Microsoft Edge を許可しますが、他のモバイル デバイス Web ブラウザーは Microsoft 365 エンドポイントに接続するのをブロックします。

条件付きアクセスを使用すると、Microsoft Entra アプリケーション プロキシを介して外部ユーザーに公開したオンプレミス サイトをターゲットにすることもできます。

詳細については、「Microsoft Entra アプリケーション プロキシを使用してリモート ユーザー向けにオンプレミス アプリを発行する」を参照してください

ポリシーで保護されたブラウザーで Microsoft Entra に接続された Web アプリへのシングル サインオン

iOS および Android 用の Microsoft Edge は、Microsoft Entra に接続されているすべての Web アプリ (SaaS およびオンプレミス) へのシングル サインオン (SSO) を利用できます。 SSO を使用すると、ユーザーは資格情報を再入力することなく、iOS および Android 用 Microsoft Edge を介して Microsoft Entra に接続された Web アプリにアクセスできます。

SSO では、iOS デバイス用の Microsoft Authenticator アプリまたは Android 上のIntune ポータル サイトによってデバイスを登録する必要があります。 ユーザーがこれらのいずれかのアプリを持っている場合、ポリシーで保護されたブラウザーで Microsoft Entra に接続された Web アプリに移動すると、デバイスの登録を求めるメッセージが表示されます (この手順は、デバイスがまだ登録されていない場合にのみ必要です)。 Intune によって管理されているユーザーのアカウントにデバイスが登録されると、そのアカウントで Microsoft Entra に接続された Web アプリに対して SSO が有効になります。

アプリの構成を使用して閲覧環境を管理する

iOS および Android 用 Microsoft Edge では、管理者が Microsoft Intune などの統合エンドポイント管理を許可するアプリ設定がサポートされており、アプリの動作をカスタマイズできます。

アプリ構成は、登録済みデバイスのモバイル デバイス管理 (MDM) OS チャネル (iOS の場合は管理対象アプリの構成チャネル、Android の場合は Android Enterprise チャネル) または MAM (モバイル アプリケーション管理) チャネルを介して配信できます。 iOS および Android 用 Microsoft Edge では、次の構成シナリオがサポートされています。

• 職場または学校アカウントのみを許可する
• 一般的なアプリ構成設定
• データ保護の設定:
• 管理対象デバイスのその他のアプリ構成

各構成シナリオでは、その特定の要件が強調表示されています。 たとえば、構成シナリオでデバイスの登録が必要で、UEM プロバイダーと連携するか、Intune アプリ保護ポリシーを必要とするかなどです。

職場または学校アカウントのみを許可する

最大かつ高度に規制されているお客様のデータ セキュリティとコンプライアンス ポリシーを尊重することは、Microsoft 365 の価値の重要な柱です。 一部の企業では、企業環境内のすべての通信情報を取得し、デバイスが企業通信にのみ使用されることを保証する必要があります。 これらの要件をサポートするために、登録済みデバイスで iOS および Android 用の Microsoft Edge を、アプリ内で 1 つの企業アカウントのみをプロビジョニングできるように構成できます。

組織で許可されているアカウント モード設定の構成の詳細については、こちらを参照してください。

• Android 設定
• iOS 設定

この構成シナリオは、登録済みデバイスでのみ機能します。 ただし、任意の UEM プロバイダーがサポートされています。 Microsoft Intune を使用していない場合は、これらの構成キーを展開する方法について UEM ドキュメントを参照してください。

一般的なアプリ構成シナリオ

iOS および Android 用 Microsoft Edge では、管理者はアプリ内のいくつかの設定の既定の構成をカスタマイズできます。 この機能は、iOS および Android の Microsoft Edge に、アプリにサインインしている職場または学校アカウントにマネージド アプリの App Configuration ポリシーが適用されている場合に提供されます。

Microsoft Edge では、次の構成設定がサポートされています。

• 新しいタブ ページ エクスペリエンス
• ブックマーク エクスペリエンス
• アプリの動作エクスペリエンス
• キオスク モード エクスペリエンス

これらの設定は、デバイスの登録状態に関係なく、アプリに展開できます。

新しいタブ ページのレイアウト

インスピレーションを与えるレイアウトは、新規タブ ページの既定のレイアウトです。 トップ サイトのショートカット、壁紙、ニュース フィードが表示されます。 ユーザーは好みに応じてレイアウトを変更できます。 組織で、レイアウト設定を管理することもできます。

ニュース フィードをオフにする例

• com.microsoft.intune.mam.managedbrowser.NewTabPageLayout=custom
• com.microsoft.intune.mam.managedbrowser.NewTabPageLayout.Custom=topsites
• com.microsoft.intune.mam.managedbrowser.NewTabPageLayout.UserSelectable=false

新しいタブ ページ エクスペリエンス

iOS および Android 用の Microsoft Edge には、組織のロゴ、ブランド カラー、ホーム ページ、トップ サイト、業界ニュースなど、新しいタブ ページのエクスペリエンスを調整するためのいくつかのオプションorganization が用意されています。

組織のロゴとブランドの色

organization ロゴとブランドの色設定を使用すると、iOS および Android デバイスで Microsoft Edge の新しいタブ ページをカスタマイズできます。 バナー ロゴは organization のロゴとして使用され、ページの背景色は organization のブランド カラーとして使用されます。 詳細については、「 会社のブランドを構成する」を参照してください。

次に、次のキーと値のペアを使用して、organization's ブランドを iOS および Android 用の Microsoft Edge に取り込みます。

ホームページのショートカット

この設定を使用すると、新しいタブ ページで iOS および Android 用 Microsoft Edge のホームページ ショートカットを構成できます。 ユーザーが iOS および Android 用 Microsoft Edge で新しいタブを開くと、構成したホームページのショートカットが検索バーの下に最初のアイコンとして表示されます。 ユーザーは、マネージド コンテキストでこのショートカットを編集または削除できません。 ホームページ のショートカットには、組織の名前が表示され、区別されます。

複数のトップ サイト ショートカット

ホームページのショートカットを構成する場合と同様に、iOS および Android 用 Microsoft Edge の新規タブ ページで複数のトップ サイトのショートカットを構成できます。 ユーザーは、マネージド コンテキストでこれらのショートカットを編集または削除できません。 注: ホームページのショートカットを含め、合計 8 つのショートカットを構成できます。 ホームページ ショートカットを構成した場合、そのショートカットは最初に構成されたトップ サイトを上書きします。

業界ニュース

iOS および Android 用 Microsoft Edge 内で新しいタブ ページ エクスペリエンスを構成して、organization に関連する業界ニュースを表示できます。 この機能を有効にすると、iOS と Android 用の Microsoft Edge は、organization のドメイン名を使用して、organization、organization's industry、競合他社に関する Web からのニュースを集約します。これにより、ユーザーは、iOS および Android 用 Microsoft Edge 内の一元化された新しいタブ ページから、関連する外部ニュースをすべて見つけることができます。 業界ニュースは既定ではオフになっています。

新しいタブ ページ エクスペリエンスの代わりにホームページ

iOS および Android 用の Microsoft Edge を使用すると、組織は新しいタブ ページのエクスペリエンスを無効にし、代わりにユーザーが新しいタブを開いたときに Web サイトを起動できます。これはサポートされているシナリオですが、新しいタブ ページ エクスペリエンスを利用して、ユーザーに関連する動的なコンテンツを提供することを検討してください。

ブックマーク エクスペリエンス

iOS および Android 用 Microsoft Edge には、ブックマークを管理するためのいくつかのオプションが組織に用意されています。

マネージド ブックマーク

簡単にアクセスできるように、ユーザーが iOS および Android 用 Microsoft Edge を使用しているときに使用できるようにするブックマークを構成できます。

• ブックマークは職場または学校アカウントにのみ表示され、個人用アカウントには公開されません。
• ユーザーがブックマークを削除または変更することはできません。
• ブックマークが一覧の上部に表示されます。 ユーザーが作成するすべてのブックマークは、これらのブックマークの下に表示されます。
• アプリケーション プロキシリダイレクトを有効にしている場合は、内部 URL または外部 URL を使用してアプリケーション プロキシ Web アプリを追加できます。
• ブックマークは、Microsoft Entra ID で定義された organization の名前にちなんで名付けられたフォルダーに作成されます。

マイ アプリのブックマーク

既定では、ユーザーは iOS および Android 用 Microsoft Edge 内の organization フォルダー内にマイ アプリのブックマークを構成します。

アプリの動作エクスペリエンス

iOS および Android 用 Microsoft Edge には、アプリの動作を管理するためのいくつかのオプションが組織に用意されています。

Microsoft Entra パスワード シングル サインオン

Microsoft Entra ID によって提供される Microsoft Entra パスワード シングル サインオン (SSO) 機能は、ID フェデレーションをサポートしていない Web アプリケーションにユーザー アクセス管理を提供します。 既定では、iOS および Android 用の Microsoft Edge は、Microsoft Entra 資格情報を使用して SSO を実行しません。 詳細については、「アプリケーションにパスワードベースのシングル サインオンを追加する」を参照してください。

既定のプロトコル ハンドラー

既定では、ユーザーが URL にプロトコルを指定しない場合、iOS および Android 用の Microsoft Edge は HTTPS プロトコル ハンドラーを使用します。 一般に、これはベスト プラクティスと見なされますが、無効にすることもできます。

オプションの診断データを無効にする

既定では、ユーザーは[設定]->[プライバシーとセキュリティ]>-[診断データ]->[オプションの診断データ] 設定からオプションの診断データを送信することを選択できます。 組織はこの設定を無効にすることができます。

特定の機能を無効にする

iOS および Android 用の Microsoft Edge を使用すると、組織は既定で有効になっている特定の機能を無効にできます。 これらの機能を無効にするには、次の設定を構成します。

パスワードのインポート機能を無効にする

iOS および Android 用の Microsoft Edge を使用すると、ユーザーはパスワード マネージャーからパスワードをインポートできます。 パスワードのインポートを無効にするには、次の設定を構成します。

iOS 用 Microsoft Edge には、[ 追加 ] ボタンがあります。 パスワードのインポート機能が無効になっている場合は、[ 追加 ] ボタンも無効になります。

Cookie モードを制御する

Android 用 Microsoft Edge 内で、サイトがユーザーの Cookie を保存できるかどうかを制御できます。 これを行うには、次の設定を構成します。

Android デバイスでのキオスク モード エクスペリエンス

Android 用 Microsoft Edge は、次の設定でキオスク アプリとして有効にできます。

ロックされたビュー モード

iOS および Android 用の Microsoft Edge は、MDM ポリシー EdgeLockedViewModeEnabled を使用して、ロックされたビュー モードとして有効にできます。

これにより、組織はさまざまなブラウザー機能を制限し、制御された集中的な閲覧エクスペリエンスを提供できます。

• URL アドレス バーが読み取り専用になり、ユーザーが Web アドレスを変更できなくなります
• ユーザーは新しいタブを作成できません
• Web ページのコンテキスト検索機能が無効になっています
• オーバーフロー メニューの下にある次のボタンは無効になっています

ビューのロック モードは、多くの場合、MAM ポリシー com.microsoft.intune.mam.managedbrowser.NewTabPage.CustomURL または MDM ポリシー EdgeNewTabPageCustomURL と共に使用されます。これにより、組織は Microsoft Edge を開いたときに自動的に起動する特定の Web ページを構成できます。 ユーザーはこの Web ページに制限され、他の Web サイトに移動できないため、特定のタスクやコンテンツの消費に制御された環境が提供されます。

Chromium と iOS の間でネットワーク スタックを切り替える

既定では、iOS と Android の両方の Microsoft Edge は、同期サービス、自動検索候補、フィードバックの送信などの Microsoft Edge サービス通信に Chromium ネットワーク スタックを使用します。 また、iOS 用の Microsoft Edge は、Microsoft Edge サービス通信の構成可能なオプションとして iOS ネットワーク スタックも提供します。

組織は、次の設定を構成することにより、ネットワーク スタックの基本設定を変更します。

プロキシ .pac ファイルの URLを設定する

組織は、iOS および Android 用 Microsoft Edge のプロキシ自動構成 (PAC) ファイルの URL を指定できます

PAC の failed-open サポート

既定では、iOS および Android 用の Microsoft Edge は、無効な PAC スクリプトまたは使用できない PAC スクリプトを使用してネットワーク アクセスをブロックします。 ただし、組織は既定の動作を PAC failed open に変更できます。

ネットワーク リレーを構成する

iOS 用 Microsoft Edge は、iOS 17 でネットワーク リレーをサポートするようになりました。 これらは、リモート アクセスとプライバシー ソリューションに使用できる特別な種類のプロキシです。 トラフィックのセキュリティで保護された透過的なトンネリングをサポートし、内部リソースにアクセスする際の VPN の最新の代替手段として機能します。 ネットワーク リレーの詳細については、「Apple デバイスでネットワーク リレーを使用する」を参照してください。

組織は、一致したドメインと除外されたドメインに基づいてトラフィックをルーティングするようにリレー プロキシ URL を構成できます。

ネットワーク リレーの JSON ファイルの例
{
"default": [{
"proxy_type": "http",
"host_name": "170.200.50.300",
"port": "3128",
"failover_allowed":0,
"match_domains": [
"domain1.com",
"domain2.com" ],
"excluded_domains": [
"domain3.com",
"domain4.com" ]
} ]
}

ユーザーが Android で Microsoft Edge にサインインするためのプロキシ

プロキシ自動構成 (PAC) は、通常、VPN プロファイルで構成されます。 ただし、プラットフォームの制限により、PAC は、Microsoft Edge サインイン プロセス中に使用される Android WebView で認識されません。 ユーザーは Android で Microsoft Edge にサインインできない可能性があります。

組織は、ユーザーが Android で Microsoft Edge にサインインするために、MDM ポリシーを介して専用プロキシを指定できます。

Microsoft Defender SmartScreen

Microsoft Defender SmartScreen は、ユーザーが悪意のあるサイトやダウンロードを回避するのに役立つ機能です。 これは既定で有効になっています。 組織はこの設定を無効にすることができます。

証明書の検証

既定では、Android 用の Microsoft Edge は、組み込みの証明書検証ツールと Microsoft ルート ストアをパブリック信頼のソースとして使用してサーバー証明書を検証します。 組織は、システム証明書検証ツールとシステム ルート証明書に切り替えることができます。

SSL 警告ページ コントロール

既定では、SSL エラーが発生しているサイトにユーザーが移動すると表示される警告ページをユーザーが通過できます。 組織は、動作を管理できます。

ポップアップ設定

既定では、ポップアップはブロックされています。 組織は、動作を管理できます。

特定のサイトでのポップアップを許可する

このポリシーが構成されていない場合、 DefaultPopupsSetting ポリシーの値 (設定されている場合) またはユーザーの個人用の構成がすべてのサイトで使用されます。 組織は、ポップアップを開くことができるサイトの一覧を定義できます。

URL 形式の詳細については、「エンタープライズ ポリシー URL パターン形式」を参照してください。

特定のサイトのポップアップをブロックする

このポリシーが構成されていない場合、 DefaultPopupsSetting ポリシーの値 (設定されている場合) またはユーザーの個人用の構成がすべてのサイトで使用されます。 組織は、ポップアップを開くのがブロックされているサイトの一覧を定義できます。

URL 形式の詳細については、「エンタープライズ ポリシー URL パターン形式」を参照してください。

既定の検索プロバイダー

既定では、ユーザーがアドレス バーに URL 以外のテキストを入力した場合、Microsoft Edge は既定の検索プロバイダーを使用して検索を実行します。 ユーザーは検索プロバイダーの一覧を変更できます。 組織は、検索プロバイダーの動作を管理できます。

検索プロバイダーを構成する

組織は、ユーザーの検索プロバイダーを構成できます。 検索プロバイダーを構成するには、 DefaultSearchProviderEnabled を構成する必要があります。

Copilot

Microsoft 365 Copilot Chat は、iOS 版および Android 版 Microsoft Edge で利用できます。 Copilot Chat が有効になっている場合、ユーザーはアドレス バーのボタンを押して Copilot を起動できます。 これは既定で有効になっており、 で無効にすることができます。下記の Chat ポリシー。

Copilot Chat は既定で、閲覧コンテキストと、開いているタブや閲覧履歴などのコンテンツにアクセスできます。次の方法で無効にすることができます。下記の ChatPageContext ポリシー。

さらに、Edge モバイルでは、"Microsoft 365 Copilot モード" という名前のブラウザーでより Copilot 指向のエクスペリエンスが提供されるようになりました。現時点では、NTP に Copilot の提案プロンプトが表示され、さらに多くの機能とエクスペリエンスの更新が近日公開される予定です。 Copilot モードも間もなく将来のバージョンで既定で有効になる予定です。また、IT 管理者は によって明示的にオプトアウトすることができます。CopilotMode MAM ポリシーを下記している場合、Edge モバイルは現在の Copilot に最適化されていないエクスペリエンスとして維持されます。

注: 上記の動作も既定で有効になっています。すべての Edge モバイル ユーザーは、関心や選択に応じて Edge 設定で個別にオン/オフを切り替えることができますが、以下のポリシーは対象グループ/テナント内のすべてのユーザーに適用されます。

データ保護アプリ構成シナリオ

iOS および Android の Microsoft Edge では、アプリにサインインしている職場または学校アカウントに適用される管理されたアプリのApp Configuration ポリシーを使用してアプリが Microsoft Intune によって管理されている場合、次のデータ保護設定のアプリ構成ポリシーがサポートされます:

• アカウント同期を管理する
• 制限付き Web サイトを管理する
• プロキシ構成を管理する
• NTLM シングル サインオン サイトを管理する

これらの設定は、デバイスの登録状態に関係なく、アプリに展開できます。

アカウント同期を管理する

既定では、Microsoft Edge の同期により、ユーザーはサインインしているすべてのデバイス間で閲覧データにアクセスできます。 同期でサポートされるデータには、次のものが含まれます。

• お気に入り
• パスワード
• 住所など (オートフィル フォーム エントリ)

同期機能はユーザーの同意によって有効になり、ユーザーは前述のデータ型ごとに同期をオンまたはオフにすることができます。 詳細については、「 Microsoft Edge の同期」を参照してください。

組織には、iOS と Android で Microsoft Edge の同期を無効にする機能があります。

制限付き Web サイトを管理する

組織は、iOS および Android 用 Microsoft Edge の職場または学校アカウント コンテキスト内でユーザーがアクセスできるサイトを定義できます。 許可リストを使用する場合、ユーザーは明示的にリストされたサイトにのみアクセスできます。 ブロック リストを使用する場合、ユーザーは明示的にブロックされたサイトを除くすべてのサイトにアクセスできます。 両方ではなく、許可されたリストまたはブロックされたリストのみを適用する必要があります。 両方を適用する場合は、許可されたリストのみが適用されます。

また、組織は、ユーザーが制限付き Web サイトへの移動を試みた場合の動作も定義します。 既定では、切り替えが許可されます。 organization で許可されている場合、制限された Web サイトは、個人用アカウント コンテキスト、Microsoft Entra アカウントの InPrivate コンテキスト、またはサイトが完全にブロックされているかどうかに関係なく開くことができます。 サポートされているさまざまなシナリオの詳細については、「Microsoft Edge モバイルでの制限付き Web サイトの切り替え」を参照してください。 切り替えエクスペリエンスを許可することで、組織のユーザーは保護を維持しながら、企業リソースを安全に保ちます。

ブロックされた URL を開くためにユーザーが手動で個人用プロファイルまたは InPrivate モードに切り替える必要性を減らすことで、プロファイル切り替えエクスペリエンスを強化するために、2 つの新しいポリシーが導入されました。

• com.microsoft.intune.mam.managedbrowser.AutoTransitionModeOnBlock
• com.microsoft.intune.mam.managedbrowser.ProfileAutoSwitchToWork

これらのポリシーは構成や組み合わせに基づいて異なる結果をもたらすため、詳細なドキュメントを調べる前に、プロファイル切り替えエクスペリエンスが organization のニーズに合っているかどうかを確認するために、次のポリシーの提案を試して簡単に評価することを検討してください。 推奨されるプロファイル切り替えの構成設定には、次の値が含まれます。

• com.microsoft.intune.mam.managedbrowser.AllowTransitionOnBlock=true
• com.microsoft.intune.mam.managedbrowser.openInPrivateIfBlocked=true
• com.microsoft.intune.mam.managedbrowser.AutoTransitionModeOnBlock=1
• com.microsoft.intune.mam.managedbrowser.ProfileAutoSwitchToWork=2

次のキーと値のペアを使用して、iOS および Android 用 Microsoft Edge の許可またはブロックされたサイト一覧を構成します。

copilot.microsoft.com を除く次のサイトは、定義された許可リストまたはブロック リストの設定に関係なく、常に許可されます。

• https://*.microsoft.com/*
• http://*.microsoft.com/*
• https://microsoft.com/*
• http://microsoft.com/*
• https://*.windowsazure.com/*
• https://*.microsoftonline.com/*
• https://*.microsoftonline-p.com/*

[サイトのブロック] ポップアップの動作を制御する

ブロックされた Web サイトにアクセスしようとすると、ユーザーは InPrivate または個人用アカウントへの切り替えを使用してブロックされた Web サイトを開くように求められます。 InPrivate アカウントと個人用アカウントのユーザー設定を選択できます。

アカウント切り替え時の POST 要求の動作を制御する

ブロックされた Web サイトにアクセスしようとすると、ユーザーは InPrivate または個人用アカウントへの切り替えを使用してブロックされた Web サイトを開くように求められます。 アカウント切り替え時の投稿要求の処理方法の設定を選択できます。 MAM ポリシーは iOS 専用です。

個人用プロファイルを仕事用プロファイルに切り替える動作を制御する

Microsoft Edge が個人用プロファイルで、ユーザーが仕事用プロファイルの下にある Outlook または Microsoft Teams からリンクを開こうとすると、Microsoft Edge、Outlook、Microsoft Teams は Intune によって管理されるため、Intune は既定で Microsoft Edge 仕事用プロファイルを使用してリンクを開きます。 ただし、リンクがブロックされると、ユーザーは個人用プロファイルに切り替わります。 これにより、ユーザーに摩擦が生じます。

ユーザー エクスペリエンスを向上させるポリシーを構成できます。 構成したポリシー値に従ってユーザーが個人用プロファイルに切り替わる可能性があるため、このポリシーを AutoTransitionModeOnBlock と一緒に使用することを検討してください。

サブ リソースのブロックを管理する

既定では、AllowListURLs と BlockListURLs はナビゲーション レベルでのみ適用されます。 ブロックされた URL (BlockListURLs で構成されている URL または AllowListURLs で構成されていない URL) を Web ページ内のサブリソースとして埋め込んだ場合、それらのサブリソース URL はブロックされません。

これらのサブ リソースをさらに制限するには、サブ リソースの URL をブロックするポリシーを構成できます。

許可されたサイト リストとブロックされたサイト リストの URL 形式

さまざまな URL 形式を使用して、許可またはブロックされたサイト リストを作成できます。 これらの許可されるパターンの詳細を次の表に示します。

• 一覧に入力するときに、すべての URL に http:// または https:// のプレフィックスを付けてください。

• ワイルドカード記号 (*) は、次の許可されるパターンの一覧の規則に従って使用できます。

• ワイルドカードは、ホスト名の一部 ( news-contoso.com など) またはコンポーネント全体 ( host.contoso.com など)、またはパスの部分全体 (スラッシュで区切られた場合) のみに一致します (www.contoso.com/images)。

• アドレスにポート番号を指定できます。 ポート番号を指定しない場合、使用される値は次のようになります。

  • http の場合ポート 80
  • https の場合ポート 443

• ポート番号にワイルドカードを使用することは、iOS 版 Microsoft Edge でのみサポートされています。 たとえば、 http://www.contoso.com:* と http://www.contoso.com:*/ を指定できます。

• CIDR 表記での IPv4 アドレスの指定がサポートされています。 たとえば、127.0.0.1/24 (IP アドレスの範囲) を指定できます。

  URL	詳細	一致します	一致しない
  http://www.contoso.com	1 つのページに一致します	www.contoso.com	host.contoso.com www.contoso.com/images contoso.com/
  http://contoso.com	1 つのページに一致します	contoso.com/	host.contoso.com www.contoso.com/images www.contoso.com
  http://www.contoso.com/*	www.contoso.com で始まるすべての URL と一致します	www.contoso.com www.contoso.com/images www.contoso.com/videos/tvshows	host.contoso.com host.contoso.com/images
  http://*.contoso.com/*	contoso.com のすべてのサブドメインと一致します	developer.contoso.com/resources news.contoso.com/images news.contoso.com/videos	contoso.host.com news-contoso.com
  http://*contoso.com/*	contoso.com/ で終わるすべてのサブドメインと一致します	news-contoso.com news-contoso.com/daily	news-contoso.host.com news.contoso.com
  http://www.contoso.com/images	1 つのフォルダーと一致します	www.contoso.com/images	www.contoso.com/images/dogs
  http://www.contoso.com:80	ポート番号を使用して 1 つのページと一致します	www.contoso.com:80
  https://www.contoso.com	1 つのセキュリティで保護されたページと一致します	www.contoso.com	www.contoso.com/images
  http://www.contoso.com/images/*	1 つのフォルダーとすべてのサブフォルダーに一致します	www.contoso.com/images/dogs www.contoso.com/images/cats	www.contoso.com/videos
  http://contoso.com:*	1 つのページの任意のポート番号に一致する	contoso.com:80 contoso.com:8080
  10.0.0.0/24	10.0.0.0 から 10.0.0.255 までの IP アドレスの範囲に一致します	10.0.0.0 10.0.0.100	192.168.1.1

  • 指定できない入力の一部の例を次に示します。
  • *.com
  • *.contoso/*
  • www.contoso.com/*images
  • www.contoso.com/*images*pigs
  • www.contoso.com/page*
  • https://*
  • http://*
  • http://www.contoso.com: /*

Microsoft Edge 内部ページを無効にする

Edge://flags や Edge://net-export などの Microsoft Edge 内部ページを無効にできます。 その他のページは以下からご覧いただけます Edge://about

ファイルのアップロードを許可する Web サイトを管理する

ユーザーは Web サイトの表示のみを許可され、ファイルのアップロードは許可されないシナリオが存在する場合があります。 組織は、ファイルのアップロードを受信できる Web サイトを指定できます。

内部 Web サイトを含むすべての Web サイトでファイルのアップロードをブロックする例

• com.microsoft.intune.mam.managedbrowser.FileUploadBlockedForUrls=*

特定の Web サイトにファイルのアップロードを許可する例

• com.microsoft.intune.mam.managedbrowser.FileUploadAllowedForUrls=https://[*.]contoso.com/|[*.]sharepoint.com/
• com.microsoft.intune.mam.managedbrowser.FileUploadBlockedForUrls=*

URL 形式の詳細については、「エンタープライズ ポリシー URL パターン形式」を参照してください。

プロキシ構成を管理する

iOS および Android 用 Microsoft Edge と Microsoft Entra アプリケーション プロキシを併用して、ユーザーがモバイル デバイスでイントラネット サイトにアクセスできるようにします。 例:

• ユーザーは、Intune によって保護されている Outlook モバイル アプリを使用しています。 次に、ユーザーは電子メール内のイントラネット サイトへのリンクを選択します。 iOS および Android 用の Microsoft Edge は、このイントラネット サイトがアプリケーション プロキシを介してユーザーに公開されたことを認識します。 ユーザーは、イントラネット サイトに到達する前に、該当する多要素認証と条件付きアクセスを使用して認証するために、アプリケーション プロキシを介して自動的にルーティングされます。 これで、ユーザーはモバイル デバイス上でも内部サイトにアクセスでき、Outlook のリンクは期待どおりに機能します。
• ユーザーが iOS または Android デバイスで iOS および Android 用のMicrosoft Edge を開きます。 iOS および Android 用 Microsoft Edge が Intune で保護され、アプリケーション プロキシが有効になっている場合、ユーザーは使い慣れた内部 URL を使用してイントラネット サイトにアクセスできます。 iOS および Android 用の Microsoft Edge は、このイントラネット サイトがアプリケーション プロキシを介してユーザーに公開されたことを認識します。 ユーザーは、イントラネット サイトに到達する前に認証するために、アプリケーション プロキシ経由で自動的にルーティングされます。

はじめに:

• Microsoft Entra アプリケーション プロキシを使用して内部アプリケーションを設定します。
  • アプリケーション プロキシを構成し、アプリケーションを発行するには、セットアップ ドキュメントを参照してください。
  • アプリがパススルー事前認証の種類で構成されている場合でも、ユーザーが Microsoft Entra アプリケーション プロキシ アプリに割り当てられていることを確認します。
• iOS および Android アプリ用の Microsoft Edge には、Intune アプリ保護ポリシーが割り当てられている必要があります。
• Microsoft アプリには、他のアプリのデータ転送による Web コンテンツの転送を制限する設定が Microsoft Edge に設定されているアプリ保護ポリシーが必要です。

次のキーと値のペアを使用して iOS および Android 用の Microsoft Edge をターゲットにし、アプリケーション プロキシを有効にします。

iOS 版および Android 版 Microsoft Edge と Microsoft Entra アプリケーション プロキシを併用して、オンプレミス Web アプリへのシームレスで保護された (そして保護された) アクセスを実現する方法の詳細については、「より良い組み合わせ: Intune と Microsoft Entra が協力してユーザー アクセスを改善します。

NTLM シングル サインオン サイトを管理する

組織によっては、ユーザーがイントラネット Web サイトにアクセスするために NTLM で認証する必要がある場合があります。 既定では、NTLM 資格情報のキャッシュが無効になっているため、NTLM 認証を必要とする Web サイトにアクセスするたびに、資格情報を入力するように求められます。

組織は、特定の Web サイトに対して NTLM 資格情報のキャッシュを有効にすることができます。 これらのサイトでは、ユーザーが資格情報を入力し、認証に成功すると、資格情報は既定で 30 日間キャッシュされます。

Microsoft Edge スタートアップ Web ページ オプションを管理する

組織は、既定値を [中断したところから閲覧を続ける ] または [ 常に新しいタブで開始する] に設定することで、Microsoft Edge スタートアップ Web ページ オプションを管理できます。

Web シングル サインオンの対話モードを管理する

組織は、Web シングル サインオン (WebSSO) の対話モードを有効または無効にすることができます。 対話モードがアクティブ化されると、Microsoft Edge モバイルは現在のアカウントのサインイン状態を更新し、必要に応じて直接操作を通じてユーザーに再認証を求めます。

iframe 要求での Web シングル サインオンのサポート

組織には、Microsoft Edge の iframe 要求で Web シングル サインオン (SSO) を有効または無効にするオプションがあります。

モバイルでデスクトップ ビューを管理する

このポリシーは、Web サイトの既定の表示モードを決定します。 組織は、常にデスクトップ ビューまたはモバイル ビューで開くサイト URL パターンの一覧を指定できます。

管理対象デバイスのその他のアプリ構成

次のポリシーは、元々はマネージド アプリのアプリ構成ポリシーを使用して構成可能でしたが、マネージド デバイスのアプリ構成ポリシーを通じて使用できるようになりました。 マネージド アプリのポリシーを使用する場合、ユーザーは Microsoft Edge にサインインする必要があります。 管理対象デバイスのポリシーを使用する場合、ユーザーはポリシーを適用するために Microsoft Edge にサインインする必要はありません。

マネージド デバイスのアプリ構成ポリシーにはデバイス登録が必要であるため、統合エンドポイント管理 (UEM) がサポートされます。 MDM チャネルで他のポリシーを見つけるには、「Microsoft Edge モバイル ポリシー」を参照してください。

Microsoft Intune を使用してアプリ構成シナリオを展開する

モバイル アプリ管理プロバイダーとして Microsoft Intune を使用している場合は、次の手順に従って、マネージド アプリ アプリ構成ポリシーを作成できます。 構成を作成した後、その設定をユーザー グループに割り当てることができます。

1. Microsoft Intune 管理センターにサインインします。

2. App Configuration ポリシーで、[追加] を選択し、[マネージド アプリ] を選択します。

3. [App Configuration ポリシー] で、[追加] を選択し、[マネージド アプリ] を選択します。

4. [ 基本] セクションで、アプリ構成設定の [名前] とオプションの [説明 ] を入力します。

5. パブリック アプリの場合は、パブリック アプリの選択を選択し、対象アプリで iOS と Android の両方のプラットフォーム アプリを選択して、iOS と Android 用の Edge を選択します。 [ 選択] を選択して、選択したパブリック アプリを保存します。

6. [ 次へ ] を選択して、アプリ構成ポリシーの基本設定を完了します。

7. [設定] セクションで、[Edge 構成設定] を展開します。

8. データ保護設定を管理する場合は、必要な設定を適切に構成します。

   • [アプリケーション プロキシ リダイレクト] で、使用可能なオプション ([有効]、[無効] (既定値)) から選択します。

   • [ホームページのショートカット URL] に、http:// または https:// のプレフィックスを含む有効な URL を指定 します。 不正な URL は、セキュリティ対策としてブロックされます。

   • [マネージド ブックマーク] には、タイトルと http:// または https:// のプレフィックスを含む有効な URL を指定します。

   • [許可された URL] には、有効な URL を指定します (これらの URL のみが許可されます。他のサイトにはアクセスできません)。 サポートされている URL 形式の種類の詳細については、「許可されたサイト一覧とブロックされたサイト一覧の URL 形式」を参照してください。

   • [ブロックされた URL] には、有効な URL を指定します (これらの URL のみがブロックされます)。 サポートされている URL 形式の種類の詳細については、「許可されたサイト一覧とブロックされたサイト一覧の URL 形式」を参照してください。

   • [制限付きサイトを個人用コンテキストにリダイレクトする] で、使用可能なオプション ([有効] (既定値)、[無効]) から選択します。

   注:

   ポリシーで許可された URL とブロックされた URL の両方が定義されている場合は、許可されたリストのみが適用されます。

9. その他のアプリ構成設定を公開しない場合は、[ 全般構成設定 ] ノードを展開し、それに応じてキーと値のペアを入力します。

10. 設定が完了したら、[ 次へ] を選択します。

11. [ 課題 ] セクションで、 [ 含めるグループの選択] を選択します。 アプリの構成ポリシーを割り当てる Microsoft Entra グループを選択し、[選択] を選択します。

12. 課題が完了したら、[ 次へ] を選択します。

13. アプリ構成ポリシーの作成 [レビュー + 作成] ブレードで、構成されている設定を確認し、[作成] を選択します。

新しく作成した構成ポリシーが [アプリ構成] ブレードに表示されます。

iOS および Android 用の Microsoft Edge を使用して管理対象アプリ ログにアクセスする

iOS または Android デバイスに iOS および Android 用の Microsoft Edge がインストールされているユーザーは、Microsoft が公開したすべてのアプリの管理状態を表示できます。 次の手順を使用して、管理対象の iOS アプリまたは Android アプリのトラブルシューティングのためにログを送信できます。

1. デバイスで iOS 版と Android 版の Microsoft Edge を開きます。

2. アドレス ボックスに「edge://intunehelp/」と入力 します。

3. iOS および Android 用の Microsoft Edge がトラブルシューティング モードを起動します。

Microsoft サポートからログを取得するには、ユーザーのインシデント ID を指定します。

アプリ ログに保存されている設定のリストについては、「クライアント アプリの保護ログを確認する」を参照してください。

診断ログ

edge://intunehelp/からのIntuneログに加えて、iOS および Android 用 Microsoft Edge の診断ログを提供するように Microsoft サポート から求められる場合があります。 ログを Microsoft サーバーにアップロードするか、ローカルに保存して Microsoft サポートと直接共有することができます。

ログを Microsoft サーバーにアップロードする

ログを Microsoft サーバーにアップロードするには、次の手順に従います。

1. 問題を再現します。
2. 右下隅にあるハンバーガー アイコンを選択して、オーバーフロー メニューを開きます。
3. 左にスワイプし、[ ヘルプとフィードバック] を選択します。
4. [ 起こっている内容を説明する] セクションで、問題に関する詳細を入力し、サポート チームが関連するログを特定できるようにします。
5. 右上隅にあるボタンを選択して、ログを Microsoft サーバーにアップロードします。

ログをローカルに保存し、Microsoft サポートと直接共有します

ログをローカルに保存して共有するには、次の手順に従います。

1. 問題を再現します。
2. 右下隅にあるハンバーガー メニューを選択して、オーバーフロー メニューを開きます。
3. 左にスワイプし、[ ヘルプとフィードバック] を選択します。
4. 診断データを選択します。
5. iOS 用 Microsoft Edge の場合は、右上隅にある [共有 ] アイコンをタップします。 OS 共有ダイアログが表示され、ログをローカルに保存したり、他のアプリを介して共有したりできます。 Android 用 Microsoft Edge の場合は、右上隅のサブメニューを開き、ログを保存するオプションを選択します。 ログは Download>Edge フォルダーに保存されます。

古いログをクリアする場合は、診断データを選択するときに右上の [クリア] アイコンを選択します。 その後、問題をもう一度再現して、新しいログのみがキャプチャされるようにします。

モバイルで Edge アプリを強制的に起動するディープリンク メソッド

Edge モバイル用に設計された特定のディープリンクがあります。

次の手順

• アプリ保護ポリシーとは
• Microsoft Intune のアプリ構成ポリシー