この記事では、Android デバイスのアプリ保護ポリシー設定について説明します。 ここに記載されているポリシー設定は、ポータルの [設定] ウィンドウでアプリの保護ポリシーに対して構成できます。 ポリシー設定には、データ保護設定、アクセス要件、条件付き起動の 3 つのカテゴリがあります。 この記事では、 ポリシーで管理されるアプリ という用語は、アプリ保護ポリシーで構成されたアプリを指します。
重要
Android デバイスのアプリ保護ポリシーを受信するには、デバイスで Intune ポータル サイトが必要です。
データの保護
データ転送
| Setting | 使用方法 | 既定値 |
|---|---|---|
| Android バックアップ サービスへの組織データのバックアップ | このアプリが職場または学校のデータを Android バックアップ サービスにバックアップできないようにするには、[ブロック] を選択します。 このアプリが職場または学校のデータをバックアップすることを許可するには、[ 許可] を選択します。 |
許可 |
| 組織データを他のアプリに送信する | このアプリからデータを受け取ることができるアプリを指定します。
Intune が既定でデータ転送を許可できる免除されたアプリやサービスがいくつかあります。 さらに、Intune アプリをサポートしていないアプリへのデータ転送を許可する必要がある場合、独自の例外を作成できます。 詳細については、「 データ転送の除外」を参照してください。 このポリシーは、Android アプリ リンクにも適用できます。 注: Intune は現在、Android インスタント アプリ機能をサポートしていません。 Intune は、アプリとの間のデータ接続をブロックします。 詳細については、Android デベロッパー ドキュメントの「 Android インスタント アプリ 」を参照してください。 [組織データを他のアプリに送信する] が [すべてのアプリ] に構成されている場合でも、OS 共有を介してテキスト データをクリップボードに転送できます。 |
すべてのアプリ |
|
このオプションは、上記のオプションで [ポリシーで管理されているアプリ] を選択した場合に使用できます。 | |
|
このアプリで [名前を付けて保存] オプションの使用を無効にするには、[ブロック] を選択します。 "名前を付けて保存" の使用を許可する場合は、[許可] を選択します。 "ブロック" に設定した場合、"選択したサービスにユーザーがコピーを保存することを許可" の設定を構成できます。 注:
|
許可 |
|
ユーザーは、選択したサービス (OneDrive、SharePoint、フォト ライブラリ、Box、iManage、Egnyte、およびローカル ストレージ) に保存できます。 他のすべてのサービスはブロックされます。 | 選択済み 0 |
|
通常、ユーザーがアプリでハイパーリンクされた電話番号を選択すると、電話番号が事前に設定された状態でダイヤラー アプリが開き、呼び出しの準備が整います。 この設定では、ポリシー管理されたアプリから開始されたときに、この種類のコンテンツ転送を処理する方法を選択します:
|
任意の電話アプリ |
|
特定のダイヤラー アプリを選択した場合は、 アプリ パッケージ ID を指定する必要があります。 | Blank |
|
特定のダイヤラー アプリを選択した場合は、ダイヤラー アプリの名前を指定する必要があります。 | Blank |
|
ユーザーがアプリでメッセージング アプリのハイパーリンクされた電話番号を選択すると、メッセージング アプリが開き、電話番号が事前設定され、メッセージを送信する準備が整います。 この設定では、ポリシー管理されたアプリから開始されたときに、この種類のコンテンツ転送を処理する方法を選択します:
|
任意のメッセージング アプリ |
|
特定のメッセージング アプリを選択した場合、 アプリ パッケージ ID を指定する必要があります。 | Blank |
|
特定のメッセージング アプリを選択した場合、メッセージング アプリの名前を指定する必要があります。 | Blank |
| 他のアプリからデータを受信 | このアプリにデータを転送できるアプリを以下のように指定します。
Intune がデータ転送を許可できる一部の除外されたアプリやサービスがあります。 アプリとサービスの完全な一覧については 、「データ転送の除外」 を参照してください。 |
すべてのアプリ |
|
このアプリで、アカウント間でデータを共有するための "開く" オプションやその他のオプションの使用を無効にするには、[ブロック] を選択します。 "開く" の使用を許可する場合は、[許可] を選択します。 [ ブロック] に設定すると、[ ユーザーが選択したサービスからデータを開けるようにする] を構成して、組織データの場所で許可されるサービスを指定できます。 注:
|
許可 |
|
ユーザーがデータを開くことができるアプリケーション ストレージ サービスを選択します。 他のすべてのサービスはブロックされます。 [サービスなし] を選択すると、ユーザーがデータを開けなくなります。 サポートされているサービス:
|
すべて選択済み |
| 他のアプリとの間で切り取り、コピー、貼り付けを制限する | このアプリで切り取り、コピー、および貼り付け操作をいつ使用できるようにするかを指定します。 次から選択します。
|
任意のアプリ |
|
組織のデータおよびアカウントから切り取ったりコピーしたりできる文字数を指定します。 これにより、[他のアプリとの切り取り、コピー、貼り付けを制限する] 設定によってブロックされている場合に、管理されていないアプリを含む任意のアプリに対して、指定された文字数を共有できます。 既定値 = 0 注: Intune ポータル サイト バージョン 5.0.4364.0 以降が必要です。 |
0 |
| 画面キャプチャと Google アシスタント | [ ブロック ] を選択して画面キャプチャをブロックし、[ サークルして検索] をブロックし、このアプリの使用中に Google アシスタント がデバイス上の組織データにアクセスするのをブロックします。 職場または学校アカウントでこのアプリを使用している場合、[ ブロック] を選択すると、アプリ スイッチャーのプレビュー画像もぼやけます。 注: Google アシスタントは、組織データにアクセスしないシナリオでユーザーがアクセスできる場合があります。 |
許可 |
| 承認済みキーボード | [ 必須] を選択し、このポリシーに対して承認されたキーボードの一覧を指定します。 承認済みのキーボードを使用していないユーザーは、保護されたアプリを使用する前に、承認済みのキーボードをダウンロードしてインストールするように求められます。 この設定を行うには、アプリに Intune SDK for Android バージョン 6.2.0 以降が必要です。 |
必須ではありません |
|
このオプションは、前のオプションで [必須] を選択したときに使用できます。 このポリシーによって保護されたアプリで使用できるキーボードと入力方法の一覧を管理するには、[ 選択] を選択します。 一覧にキーボードを追加し、既定のオプションのいずれかを削除できます。 設定を保存するには、承認済みキーボードが少なくとも 1 つ必要です。 時間の経過とともに、Microsoft は新しいアプリ保護ポリシーのリストにキーボードを追加する場合があります。そのため、管理者は必要に応じて既存のポリシーを確認して更新する必要があります。 キーボードを追加するには、次のように指定します。
メモ: 複数のアプリ保護ポリシーを割り当てられたユーザーは、すべてのポリシーに共通する承認済みのキーボードのみを使用できます。 |
暗号化
| Setting | 使用方法 | 既定値 |
|---|---|---|
| 組織データを暗号化する | [ 必須] を選択して、このアプリで職場または学校データの暗号化を有効にします。 Intune では、wolfSSL、256 ビット AES 暗号化スキームと Android キーストア システムを使用して、アプリ データを安全に暗号化します。 データは、ファイル I/O タスク中に同期的に暗号化されます。 デバイス ストレージ上のコンテンツは常に暗号化され、Intune のアプリ保護ポリシーをサポートし、ポリシーが割り当てられているアプリのみが開くことができます。 新しいファイルは 256 ビット キーで暗号化されます。 既存の 128 ビットで暗号化されたファイルでは、256 ビット キーへの移行が試みられますが、プロセスは保証されません。 128 ビット キーで暗号化された Files は読み取り可能なままです。 暗号化方法は FIPS 140-2 検証済みです。詳細については、 wolfCrypt FIPS 140-2 および FIPS 140-3 を参照してください。 |
必須 |
|
[必須] を選択すると、すべてのデバイスで Intune アプリ レイヤー暗号化を使用して組織データの暗号化を適用します。 登録済みデバイスで Intune アプリ レイヤー暗号化による組織データの暗号化を強制しない場合には、[不要] を選択します。 | 必須 |
機能
| Setting | 使用方法 | 既定値 |
|---|---|---|
| ポリシー管理されたアプリのデータをネイティブ アプリやアドインと同期させることが可能 | ポリシーで管理されているアプリがデバイスのネイティブ アプリ (連絡先、Calendar、ウィジェット) にデータを保存できないようにし、ポリシーで管理されているアプリ内でアドインが使用されないようにするには、[ブロック] を選択します。 アプリケーションでサポートされていない場合は、ネイティブ アプリにデータを保存したり、アドインを使用したりすることは許可されます。 [許可] を選択した場合、ポリシー管理アプリでこれらの機能がサポートされ、有効になっている場合、ポリシー管理アプリはネイティブ アプリにデータを保存したり、アドインを使用したりできます。 アプリケーションは、データ同期動作を特定のネイティブ アプリにカスタマイズするための追加のコントロールを提供したり、このコントロールを尊重しなかったりする場合があります。 注: 選択的ワイプを実行してアプリから職場または学校のデータを削除すると、ポリシー管理アプリからネイティブ アプリに直接同期されたデータが削除されます。 ネイティブ アプリから別の外部ソースに同期されたデータはワイプされません。 注: 次のアプリはこの機能をサポートしています。
|
許可 |
| 組織データを出力する | アプリが職場または学校のデータを印刷できないようにするには、[ ブロック] を選択します。 この設定を 既定値の [許可] のままにすると、ユーザーはすべての組織データをエクスポートおよび印刷できます。 | 許可 |
| その他のアプリでの Web コンテンツの転送を制限する | ポリシーで管理されているアプリケーションから Web コンテンツ (http/https リンク) をどのように開くか指定します。 次から選択します。
Android アプリのリンクは、[ アプリが他のアプリにデータを転送することを許可する] ポリシー設定によって管理されます。
Intune デバイスの登録
ポリシーで管理されている Microsoft Edge |
未構成 |
|
1 つのブラウザーのアプリケーション ID を入力します。 ポリシーで管理されているアプリケーションの Web コンテンツ (http/https リンク) が、指定されたブラウザーで開きます。 Web コンテンツはターゲット ブラウザーで管理されません。 | Blank |
|
アン マネージド ブラウザー ID に関連付けられているブラウザーのアプリケーション名を入力します。 指定したブラウザーがインストールされていない場合、この名前がユーザーに表示されます。 | Blank |
| 組織のデータ通知 | 組織アカウントの OS 通知を介して共有される組織データの量を指定します。 このポリシー設定は、ローカル デバイスと、ウェアラブルやスマート スピーカーなどの接続デバイスに影響します。 アプリでは、通知動作をカスタマイズするための追加のコントロールを提供したり、すべての値を尊重しないように選択したりする場合があります。 次の中から選択します。
注: この設定には、アプリのサポートが必要です。
|
許可 |
データ転送の除外対象
Intune アプリ保護ポリシーによってデータ転送が許可されている、一部の免除アプリおよびプラットフォーム サービスがあります。 たとえば、モバイル デバイスの画面からテキストを読み上げることができるように、Android 上のすべての Intune で管理されるアプリは、Google テキスト読み上げとの間でデータを転送できる必要があります。 このリストは、セキュリティで保護された生産性向上に役立つと考えられるサービスとアプリを表しており、変更される可能性があります。
完全な除外
これらのアプリとサービスは、Intune で管理されるアプリとの間のデータ転送で完全に許可されます。
| アプリ/サービス名 | 説明 |
|---|---|
| com.android.phone | ネイティブ電話アプリ |
| com.android.vending | Google Play ストア |
| com.google.android.webview | WebView は、Outlook を含む多くのアプリに必要です。 |
| com.android.webview | これは、Outlook を含む多くのアプリに必要です。 |
| com.google.android.tts | Google テキスト読み上げ |
| com.android.providers.settings | Android システム設定 |
| com.android.settings | Android システム設定 |
| com.azure.authenticator | Azure Authenticator アプリ。これは、多くのシナリオで認証を成功させるために必要です。 |
| com.microsoft.windowsintune.companyportal | Intune ポータル サイト |
| com.android.providers.contacts | ネイティブ連絡先アプリ |
| com.samsung.android.providers.contacts | Samsung はプロバイダーに問い合わせます。 Samsung デバイスで許可されています。 |
| com.android.providers.blockedNumber | Android ブロック番号プロバイダー。 Android デバイスで許可されています。 |
条件付き除外
これらのアプリとサービスは、特定の条件下で、Intune によって管理されるアプリとの間のデータ転送にのみ許可されます。
| アプリ/サービス名 | 説明 | 除外条件 |
|---|---|---|
| com.android.chrome | Google Chrome ブラウザー | Chrome は Android 7.0+ の一部の WebView コンポーネントに使用されており、非表示になることはありません。 ただし、アプリとの間のデータ フローは常に制限されます。 |
| com.skype.raider | Skype | Skype アプリは、通話につながる特定のアクションに対してのみ許可されます。 |
| com.android.providers.media | Android メディア コンテンツ プロバイダー | メディア コンテンツ プロバイダーは、着信音の選択操作に対してのみ許可されます。 |
| com.google.android.gms;com.google.android.gsf | Google Play サービス パッケージ | これらのパッケージは、プッシュ通知などの Google Cloud Messaging アクションで使用できます。 |
| com.google.android.apps.maps | Google マップ | アドレスはナビゲーションに許可されています。 |
| com.android.documentsui | Android ドキュメント ピッカー | ファイルを開くときまたは作成するときに許可されます。 |
| com.google.android.documentsui | Android ドキュメント ピッカー (Android 10+) | ファイルを開くときまたは作成するときに許可されます。 |
詳細については、「 アプリのデータ転送ポリシーの例外」を参照してください。
アクセス要件
| Setting | 使用方法 |
|---|---|
| アクセスに PIN を使用 |
[必要] を選択すると、このアプリを使用する際に PIN が要求されます。 ユーザーは、職場または学校のコンテキストでアプリを初めて実行するときに、この PIN のセットアップを求められます。 既定値 = 必須 [アクセスに PIN を使用] セクションの下の使用可能な設定を使用して、PIN 強度を構成できます。 メモ: アプリへのアクセスが許可されているエンド ユーザーは、アプリの PIN をリセットできます。 この設定は、Android デバイスでは、場合によっては表示されない場合があります。 Android デバイスでは、使用できるショートカットは最大 4 つまでです。 最大値に達すると、エンド ユーザーはカスタマイズされたショートカットを削除 (または別の管理されたアプリ ビューからショートカットにアクセスする) して、リセットされたアプリ PIN ショートカットを表示する必要があります。 または、エンド ユーザーはショートカットを自分のホームページにピン留めすることもできます。 |
PIN の種類 |
アプリ保護ポリシーが適用されているアプリにアクセスする前に、数値またはパスコードのどちらの種類の PIN を入力する必要があるかを設定します。 数値の場合は数字だけですが、パスコードの場合は少なくとも 1 つのアルファベットまたは少なくとも 1 つの特殊文字で定義できます。 既定値 = 数値 メモ: Android 英語キーボードでは、使用可能な特殊文字や特殊記号などが使用できます。 |
|
ユーザーが 1234、1111、abcd、aaaa などの単純な PIN シーケンスを使用できるようにするには、[許可] を選択します。
[ブロック] を選択すると、単純なシーケンスは使用できなくなります。 単純なシーケンスは、3 文字のスライディング ウィンドウでチェックされます。
ブロックが構成されている場合、1235 または 1112 はエンド ユーザーによって設定された PIN として受け入れられませんが、1122 は許可されます。 既定値 = 許可 メモ: パスコードの種類の PIN が構成され、[簡易 PIN] が [許可] に設定されている場合、ユーザーは PIN に少なくとも 1 文字 または 少なくとも 1 つの特殊文字を必要とします。 パスコードの種類の PIN が構成され、シンプルな PIN が [ブロック] に設定されている場合、ユーザーは少なくとも 1 つの数字と 1 つの文字 、 および少なくとも 1 つの特殊文字を PIN に含める必要があります。 |
|
PIN シーケンスの最小桁数を指定します。 既定値 = 4 |
|
Android デバイスで認証するために生体認証を使用することをユーザーに許可するには、[ 許可] を選択します。 許可されている場合、Android 10 以降のデバイスでアプリにアクセスするために生体認証が使用されます。 |
|
この設定を使用するには、[必要] を選択し、非アクティブ タイムアウトを構成します。 既定値 = 必須 |
|
その後、パスコードまたは数値 (構成に応じて) PIN によって生体認証の使用がオーバーライドされるまでの時間を分単位で指定します。 このタイムアウト値は、'(非アクティブ状態の時間) 後にアクセス要件を再確認する' で指定された値より大きくする必要があります。 既定値 = 30 |
|
[ 必須] を選択して、ユーザーにクラス 3 生体認証を使用したサインインを要求します。 クラス 3 の生体認証の詳細については、Google のドキュメントの 「生体認証 」を参照してください。 |
|
生体認証の変更が検出されたときに PIN による生体認証の使用をオーバーライドするには、[ 必須] を選択します。
注意: |
|
[はい] を選択すると、ユーザーは設定された期間の経過後にアプリの PIN を変更する必要があります。 [はい] に設定した場合は、PIN のリセットが要求されるまでの日数を構成します。 既定値 = いいえ |
|
PIN のリセットが要求されるまでの日数を構成します。 既定値 = 90 |
|
この設定では、Intune が保持する以前の PIN の数を指定します。 新しい PIN は、Intune が管理している PIN とは異なる必要があります。 既定値 = 0 |
|
ポータル サイトが構成されている登録済みデバイスでデバイス ロックが検出されたときにアプリ PIN を無効にするには、[不要] を選択します。 既定値 = 必須。 |
| アクセスに職場または学校アカウントの資格情報を使用 | [ 必須] を選択すると、アプリへのアクセス時に PIN を入力する代わりに、ユーザーが自分の職場または学校アカウントでサインインする必要があります。 [ 必須] に設定され、PIN または生体認証のプロンプトがオンになっている場合、会社の資格情報と PIN または生体認証のプロンプトの両方が表示されます。 既定値 = 不要 |
| (非アクティブ分数) 後にアクセス要件を再確認する | 次の設定を構成します。
|
注:
同じアプリとユーザーのセットに対して [アクセス] セクションで構成された複数の Intune アプリ保護設定が Android でどのように機能するかの詳細については、「Intune MAM に関してよく寄せられる質問」と「Intune でのアプリ保護ポリシーのアクセス アクションを使用してデータを選択的にワイプする」を参照してください。
条件付き起動
条件付き起動設定を構成して、アプリの保護ポリシーのサインインのセキュリティ要件を設定します。
既定では、いくつかの設定が事前構成済みの値とアクションで提供されます。 最小 OS バージョンなど、一部の設定を削除できます。 [ 1 つ選択 ] ドロップダウンからその他の設定を選択することもできます。
アプリの条件
| Setting | 使用方法 |
|---|---|
| PIN の最大試行回数 | PIN の入力試行回数を指定します。成功せずにこの回数を超えると、構成されているアクションが実行されます。 最大限の PIN 試行回数を超えてもユーザーが PIN を正常に入力できなかった場合、ユーザーは自分のアカウントに正常にサインインし、必要に応じて多要素認証 (MFA) チャレンジを完了した後に PIN をリセットする必要があります。 このポリシー設定の形式は、正の整数をサポートします。
"アクション" に含まれている項目:
|
| [オフラインの猶予期間] | マネージド アプリがオフラインで実行できる分数。 アプリのアクセス要件を再確認するまでの時間 (分) を指定します。
"アクション" に含まれている項目:
注: オフライン猶予期間タイマーは、アプリがアクティブでオフラインを検出したときに開始されます。 |
| アプリの最小バージョン | アプリケーションの最小バージョンの値を指定します。
"アクション" に含まれている項目:
このエントリは複数回表示できます。インスタンスごとに異なるアクションがサポートされます。 このポリシー設定では、major.minor、major.minor.build、major.minor.build.revision のいずれの形式もサポートされます。 また、エンド ユーザーが基幹業務 (LOB) アプリの更新バージョンを入手できる 場所 を構成することもできます。 エンド ユーザーには、 最小アプリ バージョンの条件 付き起動ダイアログでこれが表示されます。これにより、エンド ユーザーには LOB アプリの最小バージョンに更新するように求められます。 Android では、この機能はポータル サイトを使用します。 エンド ユーザーが LOB アプリを更新する必要がある場所を構成するには、キー com.microsoft.intune.myappstore を含むマネージド アプリ構成ポリシーをアプリに送信する必要があります。 送信される値は、エンド ユーザーがアプリをダウンロードする場所を定義します。 アプリがポータル サイト経由で展開される場合、値は CompanyPortal である必要があります。 他のストアの場合は、完全な URL を入力する必要があります。 |
| 無効なアカウント | この設定に設定する値はありません。
"アクション" に含まれている項目:
|
| 非稼働時間 | この設定に設定する値はありません。
"アクション" に含まれている項目:
次のアプリでは、ポータル サイト v5.0.5849.0 以降でこの機能がサポートされています。
|
デバイスの状態
| Setting | 使用方法 |
|---|---|
| 脱獄またはルート化されたデバイス | デバイスへのアクセスをブロックするか、ジェイルブレイク/ルート化されたデバイスのデバイス データをワイプするかを指定します。
"アクション" に含まれている項目:
|
| OS の最小バージョン | アプリを使用できる最小限の Android オペレーティング システムを指定します。 指定した 最小 OS バージョン より前の OS バージョンがアクションをトリガーします。
"アクション" に含まれている項目:
このポリシー設定形式では、major と major.minor がサポートされています。 たとえば、Android 16 などのメジャー Android OS リリースでは、"16.0" を使用することをおすすめします。Android 16 の CY25Q4 (Android 16 の場合は四半期ごとのプラットフォーム リリース 2 (QPR2) とも呼ばれる) などのマイナー リリースの場合は、「16.1」を使用します。 |
| OS の最大バージョン | アプリを使用できる最大の Android オペレーティング システムを指定します。 指定した 最大 OS バージョン を超える OS バージョンにより、アクションがトリガーされます。
"アクション" に含まれている項目:
このポリシー設定形式では、major と major.minor がサポートされています。 たとえば、Android 16 などのメジャー Android OS リリースでは、"16.0" を使用することをおすすめします。Android 16 の CY25Q4 (Android 16 の場合は四半期ごとのプラットフォーム リリース 2 (QPR2) とも呼ばれる) などのマイナー リリースの場合は、「16.1」を使用します。 |
| 最小パッチ バージョン | デバイスに Google からリリースされた最低限の Android セキュリティ パッチをインストールする必要があります。
|
| デバイスの製造元 | 製造元のセミコロン区切りのリストを指定します。 これらの値では、大文字と小文字は区別されません。
"アクション" に含まれている項目:
|
| 整合性判定のプレイ | アプリ保護ポリシーは、Google Play 整合性 API の一部をサポートしています。 特にこの設定では、エンド ユーザー デバイスに対する Google の Play 整合性チェックを構成して、それらのデバイスの整合性を検証します。 [ 基本的な整合性 ] または [基本的な整合性とデバイス整合性] のいずれかを指定します。 基本的な整合性 は、デバイスの全般的な整合性を示します。 ルート化されたデバイス、エミュレーター、仮想デバイス、改ざんの兆候があるデバイスは基本的な整合性のチェックで不合格になります。 基本的な整合性 & 認定デバイスは、デバイスと Google のサービスとの互換性を示します。 このチェックに合格できるのは、Google によって認定された未改造のデバイスのみです。 条件付き起動の必要に応じて [整合性判定の再生] を選択した場合は、強力な整合性チェックを評価の種類として使用するように指定できます。 評価タイプとして強力な整合性チェックが存在することは、デバイスの整合性が高いことを示します。 MAM ポリシーは、強力な整合性チェックをサポートしていないデバイスがこの設定の対象になっている場合にブロックします。 強力な整合性チェックにより、ソフトウェアのみのソリューションを常に検出できるとは限らない新しいタイプのルート管理ツールや方法に対応して、より堅牢なルート検出が可能になります。 APP 内では、ハードウェア構成証明を有効にするには、プレイの整合性評定の評価の種類を [プレイの整合性判定] を構成したら [強力な整合性チェック] に設定し、[デバイスの整合性チェック] を構成すると、[必須の SafetyNet 評価の種類] を[強力な整合性チェック] に設定します。 ハードウェアによる構成証明では、Android 8.1 以降がインストールされたデバイスに付属するハードウェア ベースのコンポーネントを使用します。 以前のバージョンの Android から Android 8.1 にアップグレードされたデバイスには、ハードウェアによる構成証明に必要なハードウェアベースのコンポーネントがない可能性があります。 この設定は Android 8.1 と共に出荷されるデバイス以降では広くサポートされているはずですが、Microsoft ではこのポリシー設定を広範囲で有効にする前に、デバイスを個別にテストすることを強くお勧めします。 重要:この評価の種類をサポートしていないデバイスは、デバイスの整合性チェック アクションに基づいてブロックまたはワイプされます。 この機能を使用する組織は、ユーザーがサポートされているデバイスを使用していることを確認する必要があります。 Google の推奨デバイスの詳細については、「 Android Enterprise の推奨要件」を参照してください。
"アクション" に含まれている項目:
|
| アプリに対する脅威スキャンの必須 | アプリ保護ポリシーは、Google Play プロテクトの一部の API をサポートしています。 特にこの設定により、Google の Verify Apps スキャンがエンド ユーザー デバイスに対して有効になります。 構成されている場合、エンド ユーザーは Android デバイスで Google のアプリのスキャンを有効にするまでアクセスからブロックされます。
"アクション" に含まれている項目:
|
| 必要な SafetyNet 評価の種類 | ハードウェアによる構成証明は、既存の SafetyNet 構成証明サービス チェックを強化します。 SafetyNet デバイスの構成証明を設定した後、値をハードウェア バックアップ キーに設定できます。 |
| デバイス ロックの必須 | この設定は、Android デバイスにパスワードの最小要件を満たすデバイス PIN があるかどうかを決定します。 デバイス ロックがパスワードの最小要件を満たしていない場合、アプリ保護ポリシーがアクションを実行できます。
値 は次のとおりです。
この複雑さの値は、Android 12+ を対象としています。 Android 11 以前で動作しているデバイスの場合、複雑さの値を低、中、または高に設定すると、既定で低 複雑さの予期される動作になります。 詳細については、Google の開発者向けドキュメント getPasswordComplexity、 PASSWORD_COMPLEXITY_LOW、 PASSWORD_COMPLEXITY_MEDIUM、 PASSWORD_COMPLEXITY_HIGH を参照してください。
"アクション" に含まれている項目:
|
| 最小ポータル サイト バージョン |
最小ポータル サイト バージョンを使用すると、エンド ユーザー デバイスに適用されるポータル サイトの特定の最小定義バージョンを指定できます。 この条件付き起動設定では、各値が満たされない場合に可能なアクションとして、 アクセスのブロック、 データのワイプ、 および警告の 値を設定できます。 この値の可能な形式は、パターン [Major] に従います。[Minor]、[Major].[Minor]。[Build]、または [Major].[Minor]。[Build].[改訂]。 メモ:5.0.5421.0 より前のバージョンの Android ポータル サイトのサポートは、2025 年 10 月 1 日に終了しました。 一部のエンド ユーザーは、アプリをその場で強制的に更新することを好まない場合があるため、この設定を構成するときには [警告] オプションが理想的かもしれません。 Google Play ストアは、アプリの更新のためにデルタ バイトのみを送信するという良い仕事をしていますが、それでも、更新時にユーザーがデータを使用している場合、ユーザーが使用したくない大量のデータになる可能性があります。 更新を強制して更新されたアプリをダウンロードすると、更新時に予期しないデータ料金が発生する可能性があります。 詳細については、「 Android ポリシー設定」を参照してください。 |
| ポータル サイト バージョンの最大経過期間 (日数) | Android デバイスのポータル サイト (CP) バージョンの経過時間として最大日数を設定できます。 この設定により、エンド ユーザーが CP リリースの特定の範囲内 (日数) 内にいることが保証されます。 値は 0 から 365 日の間である必要があります。 デバイスの設定が満たされない場合、この設定のアクションがトリガーされます。 アクションには、[ アクセスのブロック]、[ データのワイプ]、または [警告] が含まれます。 関連情報については、「 Android ポリシー設定」を参照してください。 メモ:ポータル サイト ビルドの経過時間は、エンド ユーザー デバイスの Google Play によって決定されます。 |
| Samsung Knox デバイスの構成証明 | Samsung Knox デバイスの構成証明チェックが必要かどうかを指定します。 Samsung によって検証された変更されていないデバイスのみが、このチェックに合格できます。 サポートされているデバイスの一覧については、 samsungknox.com を参照してください。 この設定を使用することで、Microsoft Intune は、ポータル サイトから Intune サービスへの通信が正常なデバイスから送信されたことも確認します。 "アクション" に含まれている項目:
メモ: [警告]、[アクセスをブロック]、[データのワイプ] アクションを選択する場合は、次の点に注意してください。
|
| 許容される最大デバイス脅威レベル | アプリ保護ポリシーでは、Intune-MTD コネクタを利用できます。 このアプリの使用に対して許容される最大脅威レベルを指定します。 脅威は、エンド ユーザー デバイスで選択された Mobile Threat Defense (MTD) ベンダー アプリによって決定されます。 "セキュリティ保護"、"低"、"中"、"高" のいずれかを指定します。 "セキュリティ保護" は、デバイスに対する脅威は不要で、構成可能な最も制限の厳しい値であるのに対し、"高" では基本的に Intune と MTD の間のアクティブな接続が必要です。
"アクション" に含まれている項目:
|
| プライマリ MTD サービス | 複数の Intune-MTD コネクタを構成した場合は、エンド ユーザー デバイスで使用するプライマリ MTD ベンダー アプリを指定します。
値 は次のとおりです。
この設定を使用するには、"最大許容デバイス脅威レベル" 設定を構成する必要があります。 この設定の 操作 はありません。 |