管理対象 Android Enterprise デバイスの App Configuration ポリシーの追加

Microsoft Intune のアプリ構成ポリシーは、管理対象 Google Play アプリと、管理対象 Android Enterprise デバイスに直接展開された基幹業務 (LOB) アプリに設定を提供します。 アプリ開発者は、Android で管理されるアプリの構成設定を公開します。 Intune は、管理者がアプリの機能を構成するために、これらの公開設定を使用します。 アプリ構成ポリシーは、ユーザー グループに割り当てられます。 ポリシー設定は、通常、アプリの初回実行時に、アプリがチェックするときに使用されます。

すべてのアプリがアプリ構成をサポートしているわけではありません。 アプリがアプリ構成ポリシーをサポートしているかどうかは、アプリの開発者にご確認ください。

メール アプリ

Android Enterprise には、いくつかの登録方法があります。 登録の種類は、デバイスでのメールの構成方法によって異なります。

• Android Enterprise のフル マネージド、専用、会社所有の仕事用プロファイルでは、アプリ構成ポリシーとこの記事の手順をご使用ください。 アプリ構成ポリシーは、Gmail と Nine Work メール アプリをサポートしています。
• 仕事用プロファイルを持つ個人所有の Android Enterprise デバイスで、Android Enterprise メール デバイス構成プロファイルを作成します。 プロファイルを作成するときに、アプリ構成ポリシーをサポートするメール クライアントの設定を構成できます。 構成デザイナーを使用すると、Intune に Gmail アプリと Nine Work アプリに固有のメール設定が含まれます。

アプリ構成ポリシーを作成する

1. Microsoft Intune 管理センターにサインインします。

2. [Apps>Configuration>Create>Managed devices] を選択します。 管理対象デバイスと管理対象アプリのどちらかを選択できます。 詳細については、「 アプリ構成をサポートするアプリ」を参照してください。

3. [基本] ページで、次の詳細を設定します。

   • 名前 - ポータルに表示されるプロファイルの名前。
   • 説明 - ポータルに表示されるプロファイルの説明。
   • デバイスの登録の種類 - この設定は、マネージド デバイスに設定されます。

4. プラットフォームとして [Android Enterprise] を選択します。

5. [対象アプリ] の横にある [アプリの選択] を選択します。 [関連アプリ] ウィンドウが表示されます。

6. [ 関連付けられたアプリ] ウィンドウで、構成ポリシーに関連付けるマネージド アプリを選択し、[ OK] を選択します。

7. [ 次へ ] を選択して、[ 設定 ] ページを表示します。

8. [ 追加 ] を選択して 、[アクセス許可の追加 ] ウィンドウを表示します。

9. 上書きするアクセス許可を選択します。 付与されたアクセス許可は、選択したアプリの "既定のアプリのアクセス許可" ポリシーをオーバーライドします。

10. アクセス許可ごとのアクセス許可状態を設定します。 [プロンプト]、[自動付与]、または [自動拒否] から選択できます。

    注:

    Android 12 以降、次のアクセス許可に対する 自動付与 の構成は、企業所有の仕事用プロファイルまたは企業所有の専用デバイスではサポートされていません。

    • SMS (読み取り)
    • 位置情報へのアクセス (粗い)
    • 位置情報へのアクセス (細かい)
    • 位置情報へのアクセス (バックグラウンド)
    • カメラ
    • 音声を録音する
    • 身体センサー データを許可する

    注:

    Android 16 の時点で、HEALTH アクセス許可グループの下のアクセス許可に対する自動付与の構成はサポートされなくなりました。

11. マネージド アプリで構成設定がサポートされている場合は、[構成設定の形式] ドロップダウン ボックスが表示されます。 構成情報を追加するには、次のいずれかの方法を選択します。

    • 構成デザイナーを使用する
    • JSON データの入力

    構成デザイナーの使用方法の詳細については、「構成デザイナーを使用する」を参照してください。 XML データの入力の詳細については、「JSON データの入力」を参照してください。

12. ユーザーが仕事用プロファイルと個人用プロファイルの両方で対象のアプリを接続できるようにする必要がある場合は、[接続アプリ] の横にある [有効] を選択します。

    

    注:

    この設定は、個人所有および会社所有の仕事用プロファイル デバイスでのみ機能します。

    [ 接続済みアプリ] の設定を [ 未構成 ] に変更しても、デバイスから構成ポリシーは削除されません。 [接続アプリ] 機能をデバイスから削除するには、関連する構成ポリシーの割り当てを解除する必要があります。

13. 特定のアプリがシステム資格情報プロバイダーとして動作できるようにするには、[ 資格情報プロバイダー] を選択します。 既定では、Android はサード パーティの資格情報プロバイダーによる資格情報の提供をブロックします。 詳細については、「 アプリに資格情報プロバイダーになることを許可する」を参照してください。

14. [次へ] を選択して、[スコープ タグ] ページを表示します。

15. [省略可能] アプリ構成ポリシーのスコープ タグを構成できます。 スコープ タグの詳細については、「分散 IT のためのロールベースのアクセス制御とスコープのタグの使用」をご覧ください。

16. [次へ] を選択して、[課題] ページを表示します。

17. アプリ構成ポリシーを割り当てるには、[割り当て先] の横にあるドロップダウン ボックスで [グループの追加]、[すべてのユーザーの追加]、または [すべてのデバイスの追加] のいずれかを選択します。 割り当てグループを選択したら、 フィルター を選択して、管理対象デバイスのアプリ構成ポリシーを展開するときに割り当て範囲を調整できます。

    

18. ドロップダウン ボックスで [すべてのユーザー] を選択します。

    

19. [オプション] [ フィルターの編集 ] を選択して フィルター を追加し、割り当て範囲を絞り込みます。

    

20. [ 除外するグループの選択 ] を選択して、関連ウィンドウを表示します。

21. 除外するグループを選択してから、[ Select] を選択します。

    注:

    グループを追加するときに、特定の割り当ての種類に他のグループが既に含まれている場合、そのグループは事前に選択され、他の含まれる割り当ての種類では変更できません。 そのため、既に使用されているグループを除外されるグループとして選択することはできません。

22. [ 次へ ] を選択して、[ レビュー + 作成 ] ページを表示します。

23. [作成] を選択して、アプリ構成ポリシーを Intune に追加します。

構成デザイナーを使用する

アプリが構成設定をサポートするように設計されている場合は、Managed Google Play アプリの構成デザイナーを使用できます。 構成は、Intune に登録されているデバイスに適用されます。 デザイナーでは、アプリによって公開される設定の特定の構成値を構成できます。

1. [追加] を選択します。 アプリに入力する構成設定のリストを選択します。

   Gmail または Nine Work メール アプリを使用している場合は、Android Enterprise デバイス設定を使用してメールを構成することで、これらの特定の設定に関する詳細情報が得られます。

2. 構成内のキーと値ごとに、次の値を設定します。

   • 値の型: 構成値のデータ型。 文字列値型の場合、必要に応じて値型として変数または証明書プロファイルを選択できます。 ポリシーが作成されると、これらの値の種類は文字列として表示されます。
   • 構成値: 構成の値。 値の型に変数または証明書を選択した場合、変数または証明書プロファイルのリストから選択します。 証明書を選択すると、デバイスに展開された証明書の証明書エイリアスが実行時に入力されます。

構成値でサポートされている変数

値の型として変数を選択した場合、次のオプションを選択できます。

アプリで構成済みの組織アカウントのみを許可する

Microsoft Intune の管理者として、職場または学校のアカウントをマネージド デバイスの Microsoft アプリに追加するように制御できます。 アクセスを許可された組織のユーザー アカウントのみに制限し、登録済みデバイスの個人用アカウントをブロックできます。 Android デバイスの場合、マネージド デバイス アプリの構成ポリシーで次のキーと値のペアを使用します。

JSON データの入力

アプリの一部の構成設定 (バンドル タイプのアプリなど) は、構成デザイナーでは構成できません。 これらの値には JSON エディターを使用してください。 設定は、アプリのインストール時に自動的にアプリに提供されます。

1. 構成設定の形式については、[JSON エディターの入力] を選択します。
2. エディターでは、構成設定の JSON 値を定義できます。 [JSON テンプレートのダウンロード] を選択すると、構成可能なサンプル ファイルをダウンロードできます。
3. [OK] を選んでから、[追加] を選択します。

ポリシーが作成され、一覧に表示されます。

割り当てられたアプリがデバイスで実行されると、アプリ構成ポリシーで構成した設定で実行されます。

接続されたアプリを有効にする

適用対象:
Android 11 以降

個人所有の仕事用プロファイルユーザーには、ポータル サイト バージョン 5.0.5291.0 以降が必要です。 企業所有の仕事用プロファイル ユーザーは、サポートのために特定のバージョンの Microsoft Intune アプリは必要ありません。

Android の個人所有および会社所有の仕事用プロファイルを使用するユーザーに対して、サポートされているアプリの接続されたアプリ エクスペリエンスを有効にすることを許可できます。 このアプリ構成設定を使用すると、アプリは仕事用および個人用のアプリ インスタンス間でアプリ データを接続して統合できます。

アプリでこのエクスペリエンスを提供するには、アプリを Google の接続されたアプリ SDK と統合する必要があるため、一部のアプリのみがサポートされています。 接続済みアプリの設定を積極的にオンにすることができ、アプリにサポートが追加されると、ユーザーは接続済みアプリ エクスペリエンスを有効にできます。

[ 接続済みアプリ] の設定を [ 未構成 ] に変更しても、デバイスから構成ポリシーは削除されません。 [接続アプリ] 機能をデバイスから削除するには、関連する構成ポリシーの割り当てを解除する必要があります。

[接続済みアプリ] の設定を有効にした後、ユーザーが職場用アプリと個人用アプリを接続できるようにするには 2 つの方法があります。

1. サポートされているアプリでは、プロファイル間での接続の承認をユーザーに求めるように求めることを選択できます。
2. ユーザーは設定アプリを開き、[接続された職場アプリ] & [個人用アプリ] セクションに移動すると、サポートされているすべてのアプリが一覧表示されます。

アプリが資格情報プロバイダーになることを許可する

適用対象:

• Android Enterprise の完全管理対象デバイス (COBO)
• Android Enterprise 専用デバイス (COSU)
• 仕事用プロファイルを持つ Android Enterprise 企業所有のデバイス (COPE)
• Android Management API (AM API) に移行した後の Android Enterprise 個人所有の仕事用プロファイル デバイス (BYOD)

Android の資格情報プロバイダー機能を使用すると、管理対象の Android Enterprise デバイス (企業所有と個人所有の仕事用プロファイル (BYOD) デバイスの両方) でパスワードの自動入力とパスキー ストレージを担当する、システム レベルの資格情報プロバイダーとして動作できるアプリケーションを制御できます。

既定では、Android はサード パーティの資格情報プロバイダー アプリによる資格情報の提供をブロックします。 資格 情報プロバイダー の設定は、特定のアプリ (サード パーティのパスワード マネージャーなど) がシステム資格情報プロバイダーとして動作することを許可する場合に使用します。 Microsoft Authenticator は自動的に許可されます。

資格情報プロバイダーのアクセス許可を構成するには、[アプリ>構成]>[作成]>管理対象のデバイスの順に移動し、プラットフォームとして [Android Enterprise] を選択します。 特定のアプリが資格情報プロバイダーとして機能することを許可するには、設定で [資格情報プロバイダー ] を選択します。

この設定を使用すると、次のことができます:

• 特定のアプリが資格情報プロバイダーとして動作することを許可する
• 管理対象 Android Enterprise デバイス全体でパスキーベースのサインインを有効にする
• 企業および個人所有のデバイスで信頼される資格情報ソースの制御を維持します

個人所有のデバイスを AM API に移行する前に

個人所有の仕事用プロファイル (BYOD) デバイスを Android Management API (AM API) に移行する場合は、移行を開始するか、Web ベースの登録を選択する前に、ユーザーが依存する資格情報プロバイダー アプリのアプリ構成ポリシーを作成する必要があります。 一般的な資格情報プロバイダー アプリには、次のものがあります。

• Microsoft Authenticator (自動的に許可、アプリ構成ポリシーは必要ありません)
• LastPass
• 1Password
• Okta
• Bitwarden
• Dashlane
• Proton
• Callpod
• Nordpass
• Roboform

サード パーティ資格情報プロバイダーの移行前にアプリ構成ポリシーが設定されていない場合:

• Android 14 以降のデバイスを使用しているユーザーの場合、オートフィルが期待どおりに機能しない場合があります。
• パスキーベースのサインインは、Android 14 以降のデバイスでは利用できない場合があります。

個人所有の仕事用プロファイルから AM API への移行は元に戻すことはできません。 必要なアプリ構成ポリシーを使用せずに続行する場合でも、移行の完了後にポリシーを作成して、ユーザーの資格情報プロバイダー機能を復元できます。

アプリのアクセス許可状態を事前構成する

また、Android デバイスの機能にアクセスするためのアプリのアクセス許可を事前構成することもできます。 既定では、位置情報やデバイス カメラへのアクセスなど、デバイスのアクセス許可を必要とする Android アプリは、ユーザーにアクセス許可の承認または拒否するかを尋ねます。

たとえば、アプリがデバイスのマイクを使用するとします。 ユーザーは、アプリにマイクを使用する許可を与えるように促されます。

1. Microsoft Intune管理センターで、[アプリ>構成]>[作成]>管理対象のデバイスの順に選択します。
2. 以下のプロパティを追加します。
   • 名前: ポリシーのわかりやすい名前を入力します。 後で簡単に識別できるよう、ポリシーに名前を付けます。 たとえば、適切なポリシー名として「会社全体の Android Enterprise プロンプト アクセス許可アプリ ポリシー」があります。
   • 説明。 プロファイルの説明を入力します。 この設定は省略可能ですが、推奨されます。
   • デバイスの登録の種類: この設定は、マネージド デバイスに設定されます。
   • [プラットフォーム]: [Android エンタープライズ] を選択します。
3. [プロファイルの種類] を選択します。
4. [対象アプリ] を選択します。 構成ポリシーを関連付けるアプリを選択します。 承認して Intune と同期した Android Enterprise のフル マネージド仕事用プロファイル アプリの一覧から選択します。
5. [アクセス許可]>[追加] を選択します。 リストから、使用可能なアプリのアクセス許可を選択して >[OK] を選択します。
6. このポリシーで付与する各アクセス許可のオプションを選択します。
   • プロンプト。 ユーザーに承認または拒否を促します。
   • 自動付与。 ユーザーに通知せずに自動的に承認します。
   • 自動拒否。 ユーザーに通知せずに自動的に拒否します。
7. アプリ構成ポリシーを割り当てるには、アプリ構成ポリシーの >[割り当て]>[グループの選択] を選択します。 > [選択] を割り当てるユーザー グループを選択します。
8. [保存] を選択してポリシーを割り当てます。

追加情報

• Android Enterprise の個人所有および会社所有の仕事用プロファイル デバイスに Managed Google Play アプリを割り当てる
• Outlook for iOS/iPadOS および Android アプリの構成設定の展開

次の手順

アプリの [割り当て] と [監視] に進みます。