アプリ保護ポリシー (MAM) を使用して Android リスクシグナルに対するMicrosoft Defender for Endpointを構成する

適用対象: Microsoft Defender for Endpoint Plan 1, Microsoft Defender for Endpoint Plan 2

モバイルデバイス管理 (MDM) のシナリオですでにエンタープライズユーザーを保護している Android 上の Microsoft Defender for Endpoint は、Intune のモバイルデバイス管理 (MDM) を使用して登録されていないデバイス向けに、モバイルアプリ管理 (MAM) のサポートも提供するようになりました。また、モバイルアプリケーション管理 (MAM) に Intune を引き続き使用しながら、他のエンタープライズモビリティ管理ソリューションを使用しているお客様にも MAM サポートを拡張します。 MAM のMicrosoft Defender for Endpointサポートにより、アプリケーション内で組織のデータを管理および保護できます。

Android の脅威情報に関するMicrosoft Defender for Endpointは、これらのアプリを保護するために、Intune App Protection ポリシーによって適用されます。アプリ保護ポリシー (APP) は、組織のデータが安全な状態にあるか、またはマネージドアプリ内に格納されることを保証するルールです。マネージドアプリケーションにはアプリ保護ポリシーが適用されており、Intuneによって管理できます。

Android 上のMicrosoft Defender for Endpointでは、INTUNE MDM + MAM と MAM (デバイス登録なし) の両方の MAM 構成がサポートされています。

INTUNE MDM + MAM: IT 管理者は、Intune モバイルデバイス管理 (MDM) に登録されているデバイスの App Protection ポリシーを使用してのみアプリを管理できます。
デバイス登録なしの MAM: デバイス登録のない MAM、または MAM-WE を使用すると、IT 管理者は、Intune MDM に登録されていないデバイスでアプリ保護ポリシーを使用してアプリを管理できます。デバイス登録のない MAM は、サードパーティの EMM プロバイダーに登録されているデバイスで Intune でアプリを管理できることを意味します。デバイス登録なしで Intune MDM + MAM と MAM の両方でアプリを管理するには、Microsoft Intune管理センターで Intune を使用する必要があります。

Android MAM Microsoft Defender for Endpointサポートを有効にするには、管理者は、Microsoft Defender for Endpointと Intune の間の接続を構成し、アプリ保護ポリシーを作成し、対象のデバイスとアプリケーションにポリシーを適用する必要があります。

エンドユーザーは、デバイスにMicrosoft Defender for Endpointをインストールし、オンボードフローをアクティブ化する手順を実行する必要もあります。

管理者の前提条件

開始する前に、次の構成手順を完了して、Microsoft Defender for Endpointを Intune に接続し、アプリ保護ポリシーを作成します。

Endpoint-Intune コネクタのMicrosoft Defenderが有効になっていることを検証します。
1. [security.microsoft.com] に移動します。
2. 設定>エンドポイント>詳細機能>Microsoft Intune Connection がオンになっていることを確認します。
3. 接続がオンになっていない場合は、トグルを選択してオンにし、[ 設定の保存] を選択します。
4. Microsoft Intune管理センターに移動し、Endpoint-Intune コネクタのMicrosoft Defenderが有効かどうかを検証します。
Android Connector for App Protection Policy (APP) でMicrosoft Defender for Endpointを有効にします。

アプリ保護ポリシーのMicrosoft Intuneでコネクタを構成します。
1. [テナント管理] > [コネクタとトークン] > Microsoft Defender for Endpointに移動します。
2. Android のアプリ保護ポリシーのトグルをオンにします。
3. [保存] を選択します。
アプリ保護ポリシーを作成します。

アプリ保護ポリシーを作成して、Microsoft Defender for Endpointリスクシグナルに基づいてマネージドアプリのアクセスまたはワイプデータをブロックします。

Microsoft Defender for Endpointは、アプリ保護ポリシー (APP、MAM とも呼ばれます) で使用される脅威シグナルを送信するように構成できます。アプリ保護ポリシーで Microsoft Defender for Endpoint の脅威シグナルを使用すると、Microsoft Defender for Endpoint を使用してマネージドアプリを保護できます。
1. ポリシーを作成します。
  
  アプリ保護ポリシー (APP) は、組織のデータが安全な状態にあるか、またはマネージドアプリ内に格納されることを保証するルールです。ポリシーの例としては、ユーザーが "企業" データへのアクセスまたは移動を試みた場合や、アプリ内で禁止または監視されている一連の操作を試みた場合に適用されるルールがあります。
2. アプリを追加します。
  1. このポリシーをさまざまなデバイス上のアプリに適用する方法を選択します。次に、少なくとも 1 つのアプリを追加します。
    
    このオプションを使用して、このポリシーが非管理対象デバイスに適用されるかどうかを指定します。 Android では、Android Enterprise、Device 管理、またはアンマネージドデバイスに適用されるポリシーを指定できます。また、任意の管理状態のデバイス上のアプリをポリシーの対象にすることもできます。
    
    デバイス登録のない MAM はデバイス管理を必要としないため、組織は管理対象デバイスと非管理対象デバイスの両方で会社のデータを保護できます。管理の中心がユーザー ID になり、デバイスを管理する必要がなくなります。企業は、MDM の有無にかかわらず、アプリ保護ポリシーを同時に使用できます。たとえば、会社で支給されたスマートフォンと自分のタブレットの両方を使用する社員がいるとします。会社のスマートフォンは MDM に登録されたうえでアプリ保護ポリシーによって保護されますが、個人のデバイスはアプリ保護ポリシーのみで保護されます。
  2. [アプリ] を選択します。
    
    管理対象アプリは、アプリ保護ポリシーが適用されたアプリであり、Intune で管理できます。 Intune SDK と統合されているか、Intune App Wrapping Toolによってラップされたアプリは、Intuneアプリ保護ポリシーを使用して管理できます。 Intune SDK または Intune アプリラッピングツールを使用して作成され、一般公開されているMicrosoft Intune で保護されたアプリの公式一覧を参照してください。
    
    例: マネージドアプリとしての Outlook
3. 保護ポリシーのサインインセキュリティ要件を設定します。
  
  [デバイス条件>最大許容デバイス脅威レベルの設定] を選択し、値を入力します。次に、[ アクション: "アクセスのブロック" を選択します。 Android 上のMicrosoft Defender for Endpointは、このデバイスの脅威レベルを共有します。
ポリシーを適用する必要があるユーザーグループを割り当てます。

[ 含まれるグループ] を選択します。次に、関連するグループを追加します。

注:

構成ポリシーが登録解除されたデバイス (MAM) を対象とする場合は、管理対象デバイスを使用するのではなく、管理対象アプリに一般的なアプリ構成設定を展開することをお勧めします。

アプリ構成ポリシーをデバイスに展開する場合、複数のポリシーが同じ構成キーに対して異なる値を持ち、同じアプリとユーザーを対象とする場合に問題が発生する可能性があります。これらの問題は、異なる値を解決するための競合解決メカニズムがないためです。これらの問題を防ぐには、デバイスに対して 1 つのアプリ構成ポリシーのみが定義され、同じアプリとユーザーを対象としていることを確認します。

エンドユーザーの前提条件

ユーザーがオンボードを開始する前に、次の前提条件が満たされていることを確認します。

ブローカーアプリをインストールする必要があります。
- Intune 会社ポータル
ユーザーには、マネージドアプリに必要なライセンスがあり、アプリがインストールされています。

エンドユーザーのオンボーディング

注:

エンドユーザーのオンボードは、Defender アプリをダウンロードまたは起動することで直接実行できます。ポリシーが明示的に設定されていない場合、オンボードは既定で有効になります。

マネージドアプリケーション (Outlook など) にサインインします。デバイスが登録され、アプリケーション保護ポリシーがデバイスに同期されます。アプリケーション保護ポリシーは、デバイスの正常性状態を認識します。
[続行] を選択します。 Microsoft Defender: ウイルス対策 (モバイル) アプリのダウンロードと設定を推奨する画面が表示されます。
[ダウンロード] を選択します。アプリストア (Google Play) にリダイレクトされます。
Microsoft Defender: ウイルス対策 (モバイル) アプリをインストールし、マネージドアプリのオンボード画面に戻ります。

a.
続行 > 起動をクリックします。 Microsoft Defender for Endpoint アプリのオンボード/アクティブ化フローが開始されます。オンボーディングを完了するには、次の手順に従ってください。管理対象アプリのオンボーディング画面に自動的に戻り、その画面にはデバイスが正常であることが表示されます。
[ 続行] を選択してマネージドアプリケーションにログインします。

Web 保護を構成する

Android 上の Defender for Endpoint を使用すると、IT 管理者は Web 保護を構成できます。 Web 保護は、Microsoft Intune管理センター内で使用できます。

Web 保護は、Web の脅威からデバイスを保護し、フィッシング攻撃からユーザーを保護するのに役立ちます。フィッシング対策インジケーターとカスタムインジケーター (URL と IP アドレス) は、Web 保護の一環としてサポートされることに注意してください。 Web コンテンツフィルタリングは現在、モバイルプラットフォームではサポートされていません。

Microsoft Intune管理センターで、[アプリ>アプリ構成ポリシー] > [管理対象アプリ>追加] に移動します。
ポリシーに名前を付けます。
[パブリックアプリの選択] で、ターゲットアプリとして [Microsoft Defender for Endpoint] を選択します。
[ 設定] ページの [ 全般構成設定] で、次のキーを追加し、必要に応じて値を設定します。
- アンチフィッシング
- Vpn
Web 保護を無効にするには、アンチフィッシングと VPN の値に「0」と入力します。

Web 保護による VPN の使用のみを無効にするには、次の値を入力します。
- vpn の場合は 0
- アンチフィッシング用の 1
DefenderMAMConfigs キーを追加し、値を 1 に設定します。既定では、このキーは設定されません。この場合、システムはすべての機能構成に既定値を適用します。
このポリシーをユーザーに割り当てます。
ポリシーを確認して作成します。

ネットワーク保護の構成

Intune でネットワーク保護を構成するには、次の手順に従います。

管理センター Microsoft Intune、[アプリ>アプリ構成ポリシー] に移動します。新しいアプリ構成ポリシーを作成します。 [マネージドアプリ] をクリックします。
ポリシーを一意に識別するための名前と説明を指定します。ポリシーの対象を 「選択したアプリ」 にし、「Microsoft Defender Endpoint for Android」 を検索します。エントリをクリックし、[ 選択 ] をクリックし、[ 次へ] をクリックします。

次の表からキーと値を追加します。 Managed Apps ルートを使用して作成するすべてのポリシーに "DefenderMAMConfigs" キーが存在することを確認します。マネージドデバイスルートの場合、このキーは存在しません。完了したら、[ 次へ] をクリックします。

キー	値の種類	既定値 (1-enable、0-disable)	説明
`DefenderNetworkProtectionEnable`	整数	1	0 - 無効 1 - 有効にする DefenderNetworkProtectionEnable 設定は、DEFENDER アプリでネットワーク保護機能を有効または無効にするために IT 管理者によって使用されます。
`DefenderAllowlistedCACertificates`	文字列	なし	なし - 無効 DefenderAllowlistedCACertificates 設定は、ルート CA と自己署名証明書の信頼を確立するために IT 管理者によって使用されます。
`DefenderCertificateDetection`	整数	0	0 - 無効 1 - 監査モード 2 - 有効にするこの機能が 2 の値で有効になっている場合、Defender が無効な証明書を検出すると、エンドユーザー通知がユーザーに送信されます。アラートは SOC 管理者にも送信されます。監査モード (1) では、通知アラートは SOC 管理者に送信されますが、Defender が無効な証明書を検出すると、エンドユーザーの通知はユーザーに表示されません。管理者は、値として 0 を指定してこの検出を無効にし、値として 2 を設定することで完全な機能を有効にすることができます。
`DefenderOpenNetworkDetection`	整数	2	0 - 無効 1 - 監査モード 2 - 有効にする DefenderOpenNetworkDetection 設定は、開いているネットワーク検出を有効または無効にするために IT 管理者によって使用されます。値 1 で監査モードに切り替えた場合、通知アラートは SOC 管理者に送信されますが、Defender が開いているネットワークを検出したときにエンドユーザー通知はユーザーに表示されません。値 2 で有効になっている場合は、エンドユーザー通知が表示され、SOC 管理者へのアラートも送信されます。
`DefenderEndUserTrustFlowEnable`	整数	0	0 - 無効 1 - 有効にする DefenderEndUserTrustFlowEnable 設定は、セキュリティで保護されていないネットワークや悪意のある証明書を信頼または信頼するために、エンドユーザーのアプリ内エクスペリエンスを有効または無効にするために IT 管理者によって使用されます。
`DefenderNetworkProtectionAutoRemediation`	整数	1	0 - 無効 1 - 有効にする DefenderNetworkProtectionAutoRemediation 設定は、ユーザーがより安全な Wi-Fi アクセスポイントへの切り替えや、Defenderによって検出された疑わしい証明書の削除などの修復アクティビティを実行したときに送信される修復アラートを有効または無効にするために IT 管理者によって使用されます。
`DefenderNetworkProtectionPrivacy`	整数	1	0 - 無効 1 - 有効にする DefenderNetworkProtectionPrivacy 設定は、ネットワーク保護でプライバシーを有効または無効にするために IT 管理者によって使用されます。値 0 でプライバシーが無効になっている場合は、悪意のある Wifi または証明書のデータを共有するためにユーザーの同意が表示されます。値 1 が有効になっている状態の場合、ユーザーの同意は表示されません。アプリデータは収集されません。

ポリシーを適用するグループを含めるか除外します。ポリシーの確認と送信に進みます。

注:

Network Protection の他の構成キーは、親キー 'DefenderNetworkProtectionEnable' が有効になっている場合にのみ機能します。
ユーザーは場所のアクセス許可 (省略可能なアクセス許可) を有効にする必要があり、アプリがアクティブに使用されていない場合でも、Wi-Fi 脅威に対する保護を確保するために "常に許可する" アクセス許可を付与する必要があります。場所のアクセス許可がユーザーによって拒否された場合、Defender for Endpoint はネットワークの脅威に対する限定的な保護のみを提供でき、不正な証明書からユーザーのみを保護します。

プライバシー制御を構成する

管理者は、次の手順を使用してプライバシーを有効にし、対応する脅威のアラートレポートの一部としてドメイン名、アプリの詳細、ネットワーク情報を収集することはできません。

Microsoft Intune 管理センターで、アプリ > アプリ構成ポリシー > 追加 > 管理対象アプリ に移動します。
ポリシーに名前を付けます。
[パブリックアプリの選択] で、ターゲットアプリとして [Microsoft Defender for Endpoint] を選択します。
[設定] ページの [全般構成設定] で、 DefenderExcludeURLInReport と DefenderExcludeAppInReport をキーと値として 1 として追加します。
DefenderMAMConfigs キーを追加し、値を 1 に設定します。
このポリシーをユーザーに割り当てます。
[設定] ページの [ 全般構成設定] で、 DefenderExcludeURLInReport、 DefenderExcludeAppInReport をキーとして追加し、値を true として追加します。
DefenderMAMConfigs キーを追加し、値を 1 に設定します。
このポリシーをユーザーに割り当てます。既定では、この値は false に設定されます。
ポリシーを確認して作成します。

APK 以外のファイルスキャンを構成する

Android アプリケーションパッケージ (APK ファイル) をスキャンするだけでなく、Android 上の Endpoint のDefenderは、ドキュメント、圧縮アーカイブ、スクリプトなどの APK 以外のファイルをスキャンできます。エンドポイントのDefenderは、Android プロファイルの境界を尊重し、ユーザーの個人プロファイル内のファイルにアクセスできません。

APK 以外のファイルスキャンを有効にするには、 Managed Apps アプリ 構成ポリシーを作成します。完全な手順については、「管理対象アプリのアプリ構成ポリシーを追加する」を参照してください (Intune ドキュメントの新しいタブで開きます)。ポリシーを作成するときは、次の設定を使用します。

[基本 ] タブ: 次の設定を構成する
- ターゲットポリシー:選択したアプリ が選択されていることを確認します。
- パブリックアプリ: [パブリックアプリの選択] を選択し、[エンドポイント Android] Microsoft Defender検索して選択し、[選択] を選択します。
[設定] タブ: [全般構成設定] セクションで次の 設定を構成 します。
- [名前]: 「 EnableNonAPKFileScan」と入力します。値:「1」と入力します。
- [名前]: 「 DefenderMAMConfigs」と入力します。値:「1」と入力します。

オプション権限

Android のMicrosoft Defender for Endpointでは、オンボードフローでオプションのアクセス許可が有効になります。現在、MDE に必要なアクセス許可は、オンボーディングフローで必須となっています。この機能を使用すると、管理者は、オンボード中に必須の VPN とアクセシビリティのアクセス許可を適用することなく、MAM ポリシーを使用して Android デバイスにMDEを展開できます。エンドユーザーは、必須のアクセス許可なしでアプリをオンボードでき、後でこれらのアクセス許可を確認できます。

オプションのアクセス許可を構成する

次の手順を使用して、デバイスのオプションのアクセス許可を有効にします。

Microsoft Intune 管理センターで、アプリ > アプリ構成ポリシー > 追加 > 管理対象アプリ に移動します。
ポリシーに名前を付けます。
パブリックアプリで [Microsoft Defender for Endpoint] を選択します。
[設定] ページで、[ 構成デザイナー と DefenderOptionalVPN または DefenderOptionalAccessibility またはその両方をキーとして使用する] を選択します。
DefenderMAMConfigs キーを追加し、値を 1 に設定します。
オプションのアクセス許可を有効にするには、 値を 1 と入力し、このポリシーをユーザーに割り当てます。

キーが 1 に設定されているユーザーは、これらのアクセス許可を付与せずにアプリをオンボードできます。
[設定] ページで、[ 構成デザイナー と DefenderOptionalVPN または DefenderOptionalAccessibility またはその両方をキーと値の種類としてブール値として使用する] を選択します。
DefenderMAMConfigs キーを追加し、値を 1 に設定します。
オプションのアクセス許可を有効にするには、 値を true と入力し、このポリシーをユーザーに割り当てます。

キーが true に設定されているユーザーの場合、ユーザーはこれらのアクセス許可を付与せずにアプリをオンボードできます。
[ 次へ ] を選択し、対象のデバイス/ユーザーにこのプロファイルを割り当てます。

オンボーディング時の任意の権限に関するユーザーフロー

ユーザーはアプリをインストールして開き、オンボードプロセスを開始できます。

管理者がオプションのアクセス許可を設定している場合、ユーザーは VPN またはアクセシビリティのアクセス許可をスキップするか、両方をスキップしてオンボードを完了することを選択できます。
ユーザーがこれらのアクセス許可をスキップした場合でも、デバイスはオンボードでき、ハートビートが送信されます。
アクセス許可が無効になっているため、Web 保護はアクティブになりません。いずれかのアクセス許可が付与されている場合、部分的にアクティブになります。
後で、ユーザーはアプリ内から Web 保護を有効にすることができます。これにより、デバイスに VPN 構成がインストールされます。

注:

[オプションのアクセス許可] 設定は、[Web 保護を無効にする] 設定とは異なります。オプションのアクセス許可は、オンボード中にアクセス許可をスキップする場合にのみ役立ちますが、エンドユーザーは後で確認して有効にすることができますが、Web 保護を無効にすると、ユーザーは Web Protection なしでMicrosoft Defender for Endpoint アプリをオンボードできます。後で有効にすることはできません。

サインアウトを無効にする

Defender for Endpoint を使用すると、アプリをデプロイし、サインアウトボタンを無効にできます。サインアウトボタンを非表示にすると、ユーザーは Defender アプリからサインアウトできなくなります。サインアウトボタンを非表示にすると、エンドポイントのDefenderが実行されていないときにデバイスが改ざんされるのを防ぐことができます。

[サインアウトを無効にする] を構成するには、次の手順に従います。

Microsoft Intune管理センターで、[アプリ>アプリ構成ポリシー] > [管理対象アプリ>追加] に移動します。
ポリシーに名前を指定 します。
[パブリックアプリの選択] で、ターゲットアプリとして [Microsoft Defender for Endpoint] を選択します。
[ 設定] ページの [ 全般構成設定] で、キーとして DisableSignOut を追加し、値を 1 に設定します。
- 既定では、[サインアウトを無効にする] = 0 です。
- 管理アプリでサインアウトボタンを無効にするには、サインアウトを無効にする = 1 にする必要があります。ポリシーがデバイスにプッシュされると、サインアウトボタンは表示されません。
[ 次へ ] を選択し、対象のデバイスとユーザーにこのプロファイルを割り当てます。

デバイスのタグ付けを構成する

Android 上の Defender for Endpoint では、管理者がIntuneを使用してタグを設定できるようにすることで、オンボード中にモバイルデバイスの一括タグ付けを有効にします。管理は、構成ポリシーを使用してIntuneを介してデバイスタグを構成し、ユーザーのデバイスにプッシュできます。ユーザーが Defender をインストールしてアクティブ化すると、クライアントアプリはデバイスタグをセキュリティポータルに渡します。デバイスインベントリ内のデバイスに対してデバイスタグが表示されます。

デバイスタグを構成するには、次の手順に従います。

Microsoft Intune管理センターで、[アプリ>アプリ構成ポリシー] > [管理対象アプリ>追加] に移動します。
ポリシーに名前を指定 します。
[パブリックアプリの選択] で、ターゲットアプリとして [Microsoft Defender for Endpoint] を選択します。
[設定] ページで、[構成デザイナーを使用する] を選択し、キーと値の種類として DefenderDeviceTagを String として追加します。
- 管理キー DefenderDeviceTag を追加し、デバイスタグの値を設定することで、新しいタグを割り当てることができます。
- 管理キー DefenderDeviceTag の値を変更することで、既存のタグを編集できます。
- 管理キー DefenderDeviceTag を削除することで、既存のタグを削除できます。
[次へ] をクリックし、対象のデバイスとユーザーにこのポリシーを割り当てます。

注:

タグをIntuneと同期し、セキュリティポータルに渡すには、Defender アプリを開く必要があります。ポータルにタグが反映されるまでに最大で 18 時間かかる場合があります。

エンドユーザーのオンボーディングを無効にする

Android 上の Defender for Endpoint は、MAM モードで既定で有効になっています。登録されていないデバイスでエンドユーザーが Defender をダウンロードして設定できないようにするには、DefenderMAMConfigs キーを 0 に設定してオンボードをブロックできます。オンボードを無効にするには、次の手順に従います。

Microsoft Intune管理センターで、[アプリ>アプリ構成ポリシー>追加>管理されたアプリ] に移動します。
ポリシーに名前を付けます。
パブリックアプリで [Microsoft Defender for Endpoint] を選択します。
[設定] ページで、[ 構成デザイナーを使用する ] を選択し、 DefenderMAMConfigs キーを追加し、値を 0 に設定します。
[ 次へ ] をクリックし、対象のデバイスとユーザーにこのポリシーを割り当てます。

フィードバック

このページはお役に立ちましたか?

Last updated on 2026-07-20