Microsoft Intune での Android アプリ保護ポリシーの設定

この記事では、Android デバイスのアプリ保護ポリシー設定について説明します。 ここに記載されているポリシー設定は、ポータルの [設定] ウィンドウでアプリの保護ポリシーに対して構成できます。 ポリシー設定には、データ保護設定、アクセス要件、条件付き起動の 3 つのカテゴリがあります。 この記事では、 ポリシーで管理されるアプリ という用語は、アプリ保護ポリシーで構成されたアプリを指します。

重要

Android デバイスのアプリ保護ポリシーを受信するには、デバイスで Intune ポータル サイトが必要です。

データの保護

データ転送

Setting 使用方法 既定値
Android バックアップ サービスへの組織データのバックアップ このアプリが職場または学校のデータを Android バックアップ サービスにバックアップできないようにするには、[ブロック] を選択します。

このアプリが職場または学校のデータをバックアップすることを許可するには、[ 許可] を選択します。
許可
組織データを他のアプリに送信する このアプリからデータを受け取ることができるアプリを指定します。
  • ポリシーで管理されているアプリ: 他のポリシーで管理されているアプリへの転送のみを許可します。
  • すべてのアプリ: 任意のアプリへの転送を許可します。
  • [なし]: 他のポリシーで管理されたアプリを含む、すべてのアプリへのデータ転送を許可しません。

Intune が既定でデータ転送を許可できる免除されたアプリやサービスがいくつかあります。 さらに、Intune アプリをサポートしていないアプリへのデータ転送を許可する必要がある場合、独自の例外を作成できます。 詳細については、「 データ転送の除外」を参照してください。

このポリシーは、Android アプリ リンクにも適用できます。

注:

Intune は現在、Android インスタント アプリ機能をサポートしていません。 Intune は、アプリとの間のデータ接続をブロックします。 詳細については、Android デベロッパー ドキュメントの「 Android インスタント アプリ 」を参照してください。

[組織データを他のアプリに送信する] が [すべてのアプリ] に構成されている場合でも、OS 共有を介してテキスト データをクリップボードに転送できます。

すべてのアプリ
    除外するアプリを選択します
このオプションは、上記のオプションで [ポリシーで管理されているアプリ] を選択した場合に使用できます。
    組織データのコピーを保存
このアプリで [名前を付けて保存] オプションの使用を無効にするには、[ブロック] を選択します。 "名前を付けて保存" の使用を許可する場合は、[許可] を選択します。 "ブロック" に設定した場合、"選択したサービスにユーザーがコピーを保存することを許可" の設定を構成できます。

注:
  • この設定は、Microsoft Excel、OneNote、PowerPoint、Word、および Microsoft Edge でサポートされています。 また、Microsoft 以外のアプリや LOB アプリでサポートされている場合もあります。
  • この設定は、[ 組織データを他のアプリに送信 する] 設定が [ポリシーで管理されたアプリ] に設定されている場合にのみ構成できます。
  • [ 組織データを他のアプリに送信 する] 設定が [すべてのアプリ] に設定されている場合、この設定は "許可" になります。
  • この設定は "ブロック" であり、[ 組織データを他のアプリに送信 する] 設定が [なし] に設定されている場合、許可されたサービスの場所はありません。
  • この設定では、[ Encrypt org data ] が [必須] に設定されている場合、ファイルを暗号化されたものとして保存します。
許可
      選択したサービスにユーザーがコピーを保存することを許可
ユーザーは、選択したサービス (OneDrive、SharePoint、フォト ライブラリ、Box、iManage、Egnyte、およびローカル ストレージ) に保存できます。 他のすべてのサービスはブロックされます。 選択済み 0
    電気通信データの転送先
通常、ユーザーがアプリでハイパーリンクされた電話番号を選択すると、電話番号が事前に設定された状態でダイヤラー アプリが開き、呼び出しの準備が整います。 この設定では、ポリシー管理されたアプリから開始されたときに、この種類のコンテンツ転送を処理する方法を選択します:
  • なし、アプリ間でこのデータを転送しないでください。電話番号が検出されたときに、通信データを転送しないでください。
  • 特定の電話アプリ: 電話番号が検出されたとき、連絡を開始することを特定の電話アプリに許可します。
  • 任意のポリシー管理ダイヤラー アプリ: 電話番号が検出されたときに、ポリシーで管理されるダイヤラー アプリが連絡を開始できるようにします。
  • 任意の電話アプリ: 電話番号が検出されたとき、連絡開始に使用されることを任意の電話アプリに許可します。
任意の電話アプリ
      ダイヤラー アプリのパッケージ ID
特定のダイヤラー アプリを選択した場合は、 アプリ パッケージ ID を指定する必要があります。 Blank
      ダイヤラー アプリ名
特定のダイヤラー アプリを選択した場合は、ダイヤラー アプリの名前を指定する必要があります。 Blank
    メッセージング データの転送先
ユーザーがアプリでメッセージング アプリのハイパーリンクされた電話番号を選択すると、メッセージング アプリが開き、電話番号が事前設定され、メッセージを送信する準備が整います。 この設定では、ポリシー管理されたアプリから開始されたときに、この種類のコンテンツ転送を処理する方法を選択します:
  • なし、アプリ間でこのデータを転送しないでください。電話番号が検出されたときに、通信データを転送しないでください。
  • 特定のメッセージング アプリ: 電話番号が検出されたときに、特定のメッセージング アプリを使用して連絡を開始できるようにします。
  • ポリシーで管理されるメッセージング アプリ: 電話番号が検出されたときに、ポリシーで管理されるメッセージング アプリを使用して連絡を開始できるようにします。
  • 任意のメッセージング アプリ: 電話番号が検出されたときに、任意のメッセージング アプリを使用して連絡を開始できるようにします。
任意のメッセージング アプリ
      メッセージング アプリのパッケージ ID
特定のメッセージング アプリを選択した場合、 アプリ パッケージ ID を指定する必要があります。 Blank
      メッセージング アプリ名
特定のメッセージング アプリを選択した場合、メッセージング アプリの名前を指定する必要があります。 Blank
他のアプリからデータを受信 このアプリにデータを転送できるアプリを以下のように指定します。
  • ポリシーで管理されているアプリ: 他のポリシーで管理されているアプリからの転送のみを許可します。
  • すべてのアプリ: 任意のアプリからのデータ転送を許可します。
  • なし: 他のポリシー管理アプリを含め、いかなるアプリからのデータ転送も許可しません。

Intune がデータ転送を許可できる一部の除外されたアプリやサービスがあります。 アプリとサービスの完全な一覧については 、「データ転送の除外」 を参照してください。

すべてのアプリ
    データを開いて組織ドキュメントに読み込む
このアプリで、アカウント間でデータを共有するための "開く" オプションやその他のオプションの使用を無効にするには、[ブロック] を選択します。 "開く" の使用を許可する場合は、[許可] を選択します。

[ ブロック] に設定すると、[ ユーザーが選択したサービスからデータを開けるようにする] を構成して、組織データの場所で許可されるサービスを指定できます。

注:
  • この設定を構成できるのは、[他のアプリからデータを受信][ポリシー マネージド アプリ] に設定されている場合のみです。
  • [ 他のアプリからデータを受信する] 設定が [すべてのアプリ] に設定されている場合、この設定は "許可" になります。
  • この設定は "ブロック" であり、[ 他のアプリからデータを受信する] 設定が [なし] に設定されている場合、許可されたサービスの場所はありません。
  • この設定は、次のアプリでサポートされています:
    • OneDrive 6.14.1 以降。
    • Outlook for Android 4.2039.2 以降。
    • Android 1416/1.0.0.2021173701 以降の Teams。


許可
      選択したサービスからデータを開くことをユーザーに許可する
ユーザーがデータを開くことができるアプリケーション ストレージ サービスを選択します。 他のすべてのサービスはブロックされます。 [サービスなし] を選択すると、ユーザーがデータを開けなくなります。

サポートされているサービス:
  • OneDrive
  • SharePoint Online
  • カメラ
  • フォト ライブラリ
メモ: カメラには、写真やフォト ギャラリーへのアクセスは含まれていません。 Intune 内の [ユーザーが選択したサービスからデータを開けるようにする] 設定でフォト ライブラリ (Android の写真選択ツールを含む) を選択すると、マネージド アカウントがデバイスのローカル ストレージからマネージド アプリへの画像/ビデオの受信を許可できるようにすることができます。
すべて選択済み
他のアプリとの間で切り取り、コピー、貼り付けを制限する このアプリで切り取り、コピー、および貼り付け操作をいつ使用できるようにするかを指定します。 次から選択します。
  • ブロック: このアプリと他のアプリの間での切り取り、コピー、貼り付けの操作を許可しません。
  • ポリシーで管理されているアプリ: このアプリと他のポリシーで管理されているアプリ間で、切り取り、コピー、および貼り付け操作を許可します。
  • 貼り付けを使用する、ポリシーで管理されているアプリ: このアプリと他のポリシーで管理されているアプリ間で切り取りまたはコピーを許可します。 任意のアプリからこのアプリへのデータの貼り付けを許可します。
  • すべてのアプリ: このアプリに対する切り取り、コピー、貼り付けに制限はありません。
:
  • Microsoft 以外のキーボードを使用している場合、コピー操作中にキーボードのクリップボード プレビューに "Your organization's data can't be pasted here" というメッセージが表示されることがあります。 これは、キーボード アプリが Intune と統合されていないために、エンコードされたクリップボード テキストの暗号化を解除できない場合に発生します。 ユーザーは、organization によって許可されている場合、マネージド アプリ内でテキストの貼り付けアクションを使用して、期待どおりにデータをコピーして貼り付けることができます。
  • 一部の Microsoft 以外のキーボードには、アプリに直接テキストを挿入できる独自のクリップボードまたはテキスト提案機能が用意されています。 この場合、アプリは標準のユーザー入力としてテキストを受け取り、これらのキーボードによる挿入には貼り付けの制限は適用されません。
任意のアプリ
    あらゆるアプリの切り取りとコピーの文字制限
組織のデータおよびアカウントから切り取ったりコピーしたりできる文字数を指定します。 これにより、[他のアプリとの切り取り、コピー、貼り付けを制限する] 設定によってブロックされている場合に、管理されていないアプリを含む任意のアプリに対して、指定された文字数を共有できます。

既定値 = 0

: Intune ポータル サイト バージョン 5.0.4364.0 以降が必要です。

0
画面キャプチャと Google アシスタント [ ブロック ] を選択して画面キャプチャをブロックし、[ サークルして検索] をブロックし、このアプリの使用中に Google アシスタント がデバイス上の組織データにアクセスするのをブロックします。 職場または学校アカウントでこのアプリを使用している場合、[ ブロック] を選択すると、アプリ スイッチャーのプレビュー画像もぼやけます。

: Google アシスタントは、組織データにアクセスしないシナリオでユーザーがアクセスできる場合があります。

許可
承認済みキーボード [ 必須] を選択し、このポリシーに対して承認されたキーボードの一覧を指定します。

承認済みのキーボードを使用していないユーザーは、保護されたアプリを使用する前に、承認済みのキーボードをダウンロードしてインストールするように求められます。 この設定を行うには、アプリに Intune SDK for Android バージョン 6.2.0 以降が必要です。

必須ではありません
    承認するキーボードを選択する
このオプションは、前のオプションで [必須] を選択したときに使用できます。 このポリシーによって保護されたアプリで使用できるキーボードと入力方法の一覧を管理するには、[ 選択] を選択します。 一覧にキーボードを追加し、既定のオプションのいずれかを削除できます。 設定を保存するには、承認済みキーボードが少なくとも 1 つ必要です。 時間の経過とともに、Microsoft は新しいアプリ保護ポリシーのリストにキーボードを追加する場合があります。そのため、管理者は必要に応じて既存のポリシーを確認して更新する必要があります。

キーボードを追加するには、次のように指定します。

  • 名前: キーボードを識別し、ユーザーに表示されるフレンドリ名。
  • パッケージ ID: Google Play ストア内のアプリのパッケージ ID。 たとえば、Play ストア内のアプリの URL が https://play.google.com/store/details?id=com.contosokeyboard.android.prod の場合、パッケージ ID は com.contosokeyboard.android.prod になります。 このパッケージ ID は、Google Play からキーボードをダウンロードするための簡単なリンクとしてユーザーに表示されます。

メモ: 複数のアプリ保護ポリシーを割り当てられたユーザーは、すべてのポリシーに共通する承認済みのキーボードのみを使用できます。

暗号化

Setting 使用方法 既定値
組織データを暗号化する [ 必須] を選択して、このアプリで職場または学校データの暗号化を有効にします。 Intune では、wolfSSL、256 ビット AES 暗号化スキームと Android キーストア システムを使用して、アプリ データを安全に暗号化します。 データは、ファイル I/O タスク中に同期的に暗号化されます。 デバイス ストレージ上のコンテンツは常に暗号化され、Intune のアプリ保護ポリシーをサポートし、ポリシーが割り当てられているアプリのみが開くことができます。 新しいファイルは 256 ビット キーで暗号化されます。 既存の 128 ビットで暗号化されたファイルでは、256 ビット キーへの移行が試みられますが、プロセスは保証されません。 128 ビット キーで暗号化された Files は読み取り可能なままです。

暗号化方法は FIPS 140-2 検証済みです。詳細については、 wolfCrypt FIPS 140-2 および FIPS 140-3 を参照してください。
必須
    登録済みデバイス上の組織データを暗号化する
[必須] を選択すると、すべてのデバイスで Intune アプリ レイヤー暗号化を使用して組織データの暗号化を適用します。 登録済みデバイスで Intune アプリ レイヤー暗号化による組織データの暗号化を強制しない場合には、[不要] を選択します。 必須

機能

Setting 使用方法 既定値
ポリシー管理されたアプリのデータをネイティブ アプリやアドインと同期させることが可能 ポリシーで管理されているアプリがデバイスのネイティブ アプリ (連絡先、Calendar、ウィジェット) にデータを保存できないようにし、ポリシーで管理されているアプリ内でアドインが使用されないようにするには、[ブロック] を選択します。 アプリケーションでサポートされていない場合は、ネイティブ アプリにデータを保存したり、アドインを使用したりすることは許可されます。

[許可] を選択した場合、ポリシー管理アプリでこれらの機能がサポートされ、有効になっている場合、ポリシー管理アプリはネイティブ アプリにデータを保存したり、アドインを使用したりできます。

アプリケーションは、データ同期動作を特定のネイティブ アプリにカスタマイズするための追加のコントロールを提供したり、このコントロールを尊重しなかったりする場合があります。

: 選択的ワイプを実行してアプリから職場または学校のデータを削除すると、ポリシー管理アプリからネイティブ アプリに直接同期されたデータが削除されます。 ネイティブ アプリから別の外部ソースに同期されたデータはワイプされません。

: 次のアプリはこの機能をサポートしています。
許可
組織データを出力する アプリが職場または学校のデータを印刷できないようにするには、[ ブロック] を選択します。 この設定を 既定値の [許可] のままにすると、ユーザーはすべての組織データをエクスポートおよび印刷できます。 許可
その他のアプリでの Web コンテンツの転送を制限する ポリシーで管理されているアプリケーションから Web コンテンツ (http/https リンク) をどのように開くか指定します。 次から選択します。
  • 任意のアプリ: 任意のアプリで Web リンクを許可します。
  • Microsoft Edge: Web コンテンツが Microsoft Edge でのみ開くことを許可します。 このブラウザーは、ポリシーで管理されたブラウザーです。
  • アンマネージド ブラウザー: [アンマネージド ブラウザー プロトコル] 設定で定義されたアンマネージド ブラウザーのみで Web コンテンツを開くことを許可します。 Web コンテンツはターゲット ブラウザーで管理されません。
    : Intune ポータル サイト バージョン 5.0.4415.0 以降が必要です。

  • Android アプリのリンクは、[ アプリが他のアプリにデータを転送することを許可する] ポリシー設定によって管理されます。

    Intune デバイスの登録
    デバイスの管理に Intune を使用している場合は、「Managed Browser のポリシーを使用したインターネット アクセスを Microsoft Intune で管理する」を参照してください。

    ポリシーで管理されている Microsoft Edge
    モバイル デバイス (iOS/iPadOS および Android) 向けの Microsoft Edge ブラウザーで、Intune アプリ保護ポリシーがサポートされます。 Microsoft Edge ブラウザー アプリケーションで企業の Microsoft Entra アカウントを使用してサインインするユーザーは、Intune によって保護されます。 Microsoft Edge ブラウザーは APP SDK を統合し、次の防止を除くすべてのデータ保護ポリシーをサポートします。

    • 名前を付けて保存: Microsoft Edge ブラウザーでは、ユーザーはクラウド ストレージ プロバイダー (OneDrive など) へのアプリ内直接接続を追加できません。
    • 連絡先の同期: Microsoft Edge ブラウザーは、ネイティブの連絡先リストには保存しません。
    注:APP SDKは、ターゲットアプリがブラウザであるかどうかを判断できません。Android デバイスでは、http/https インテントをサポートする他のマネージド ブラウザー アプリが許可されます。
未構成
    アンマネージド ブラウザー ID
1 つのブラウザーのアプリケーション ID を入力します。 ポリシーで管理されているアプリケーションの Web コンテンツ (http/https リンク) が、指定されたブラウザーで開きます。 Web コンテンツはターゲット ブラウザーで管理されません。 Blank
    アンマネージド ブラウザー名
アン マネージド ブラウザー ID に関連付けられているブラウザーのアプリケーション名を入力します。 指定したブラウザーがインストールされていない場合、この名前がユーザーに表示されます。 Blank
組織のデータ通知 組織アカウントの OS 通知を介して共有される組織データの量を指定します。 このポリシー設定は、ローカル デバイスと、ウェアラブルやスマート スピーカーなどの接続デバイスに影響します。 アプリでは、通知動作をカスタマイズするための追加のコントロールを提供したり、すべての値を尊重しないように選択したりする場合があります。 次の中から選択します。
  • ブロック: 通知を共有しません。
    • アプリケーションでサポートされていない場合、通知は許可されます。
  • 組織データをブロックする: 通知で組織データを共有しません。 例: "新しいメールがあります" など。「会議があるんですね」
    • アプリケーションでサポートされていない場合、通知はブロックされます。
  • 許可: 通知で組織データを共有します

: この設定には、アプリのサポートが必要です。

  • Outlook for Android 4.0.95 以降
  • Android 1416/1.0.0.2020092202 以降の Teams。
許可

データ転送の除外対象

Intune アプリ保護ポリシーによってデータ転送が許可されている、一部の免除アプリおよびプラットフォーム サービスがあります。 たとえば、モバイル デバイスの画面からテキストを読み上げることができるように、Android 上のすべての Intune で管理されるアプリは、Google テキスト読み上げとの間でデータを転送できる必要があります。 このリストは、セキュリティで保護された生産性向上に役立つと考えられるサービスとアプリを表しており、変更される可能性があります。

完全な除外

これらのアプリとサービスは、Intune で管理されるアプリとの間のデータ転送で完全に許可されます。

アプリ/サービス名 説明
com.android.phone ネイティブ電話アプリ
com.android.vending Google Play ストア
com.google.android.webview WebView は、Outlook を含む多くのアプリに必要です。
com.android.webview これは、Outlook を含む多くのアプリに必要です。
com.google.android.tts Google テキスト読み上げ
com.android.providers.settings Android システム設定
com.android.settings Android システム設定
com.azure.authenticator Azure Authenticator アプリ。これは、多くのシナリオで認証を成功させるために必要です。
com.microsoft.windowsintune.companyportal Intune ポータル サイト
com.android.providers.contacts ネイティブ連絡先アプリ
com.samsung.android.providers.contacts Samsung はプロバイダーに問い合わせます。 Samsung デバイスで許可されています。
com.android.providers.blockedNumber Android ブロック番号プロバイダー。 Android デバイスで許可されています。

条件付き除外

これらのアプリとサービスは、特定の条件下で、Intune によって管理されるアプリとの間のデータ転送にのみ許可されます。

アプリ/サービス名 説明 除外条件
com.android.chrome Google Chrome ブラウザー Chrome は Android 7.0+ の一部の WebView コンポーネントに使用されており、非表示になることはありません。 ただし、アプリとの間のデータ フローは常に制限されます。
com.skype.raider Skype Skype アプリは、通話につながる特定のアクションに対してのみ許可されます。
com.android.providers.media Android メディア コンテンツ プロバイダー メディア コンテンツ プロバイダーは、着信音の選択操作に対してのみ許可されます。
com.google.android.gms;com.google.android.gsf Google Play サービス パッケージ これらのパッケージは、プッシュ通知などの Google Cloud Messaging アクションで使用できます。
com.google.android.apps.maps Google マップ アドレスはナビゲーションに許可されています。
com.android.documentsui Android ドキュメント ピッカー ファイルを開くときまたは作成するときに許可されます。
com.google.android.documentsui Android ドキュメント ピッカー (Android 10+) ファイルを開くときまたは作成するときに許可されます。

詳細については、「 アプリのデータ転送ポリシーの例外」を参照してください。

アクセス要件

Setting 使用方法
アクセスに PIN を使用 [必要] を選択すると、このアプリを使用する際に PIN が要求されます。 ユーザーは、職場または学校のコンテキストでアプリを初めて実行するときに、この PIN のセットアップを求められます。

既定値 = 必須

[アクセスに PIN を使用] セクションの下の使用可能な設定を使用して、PIN 強度を構成できます。

メモ: アプリへのアクセスが許可されているエンド ユーザーは、アプリの PIN をリセットできます。 この設定は、Android デバイスでは、場合によっては表示されない場合があります。 Android デバイスでは、使用できるショートカットは最大 4 つまでです。 最大値に達すると、エンド ユーザーはカスタマイズされたショートカットを削除 (または別の管理されたアプリ ビューからショートカットにアクセスする) して、リセットされたアプリ PIN ショートカットを表示する必要があります。 または、エンド ユーザーはショートカットを自分のホームページにピン留めすることもできます。

    PIN の種類
アプリ保護ポリシーが適用されているアプリにアクセスする前に、数値またはパスコードのどちらの種類の PIN を入力する必要があるかを設定します。 数値の場合は数字だけですが、パスコードの場合は少なくとも 1 つのアルファベットまたは少なくとも 1 つの特殊文字で定義できます。

既定値 = 数値

メモ: Android 英語キーボードでは、使用可能な特殊文字や特殊記号などが使用できます。
    簡易暗証番号 (PIN)
ユーザーが 12341111abcdaaaa などの単純な PIN シーケンスを使用できるようにするには、[許可] を選択します。 [ブロック] を選択すると、単純なシーケンスは使用できなくなります。 単純なシーケンスは、3 文字のスライディング ウィンドウでチェックされます。 ブロックが構成されている場合、1235 または 1112 はエンド ユーザーによって設定された PIN として受け入れられませんが、1122 は許可されます。

既定値 = 許可

メモ: パスコードの種類の PIN が構成され、[簡易 PIN] が [許可] に設定されている場合、ユーザーは PIN に少なくとも 1 文字 または 少なくとも 1 つの特殊文字を必要とします。 パスコードの種類の PIN が構成され、シンプルな PIN が [ブロック] に設定されている場合、ユーザーは少なくとも 1 つの数字と 1 つの文字 および少なくとも 1 つの特殊文字を PIN に含める必要があります。
    PIN の最小桁数を選択する
PIN シーケンスの最小桁数を指定します。

既定値 = 4
    アクセス用の PIN の代わりに生体認証
Android デバイスで認証するために生体認証を使用することをユーザーに許可するには、[ 許可] を選択します。 許可されている場合、Android 10 以降のデバイスでアプリにアクセスするために生体認証が使用されます。
    タイムアウト後に PIN を使用して生体認証をオーバーライドする
この設定を使用するには、[必要] を選択し、非アクティブ タイムアウトを構成します。

既定値 = 必須
      タイムアウト (非アクティブ状態の分)
その後、パスコードまたは数値 (構成に応じて) PIN によって生体認証の使用がオーバーライドされるまでの時間を分単位で指定します。 このタイムアウト値は、'(非アクティブ状態の時間) 後にアクセス要件を再確認する' で指定された値より大きくする必要があります。

既定値 = 30
    クラス 3 生体認証 (Android 9.0+)
[ 必須] を選択して、ユーザーにクラス 3 生体認証を使用したサインインを要求します。 クラス 3 の生体認証の詳細については、Google のドキュメントの 「生体認証 」を参照してください。
    生体認証の更新後に PIN を使用して生体認証を上書きする
生体認証の変更が検出されたときに PIN による生体認証の使用をオーバーライドするには、[ 必須] を選択します。

注意:
この設定は、生体認証を使用してアプリにアクセスした後にのみ有効になります。 Android デバイスの製造元によっては、暗号化操作ですべての形式の生体認証がサポートされているわけではありません。 現在、Android ドキュメントで定義されているクラス 3 生体認証の要件を満たしているデバイス上のあらゆる生体認証 (指紋、虹彩、顔など) に対して、暗号化操作がサポートされています。 BiometricManager.Authenticators インターフェイスのBIOMETRIC_STRONG定数と BiometricPrompt クラスのauthenticateメソッドを参照してください。 デバイス固有の制限事項については、デバイスの製造元に問い合わせる必要があります。

    PIN をリセットするまでの日数
[はい] を選択すると、ユーザーは設定された期間の経過後にアプリの PIN を変更する必要があります。

[はい] に設定した場合は、PIN のリセットが要求されるまでの日数を構成します。

既定値 = いいえ
      日数
PIN のリセットが要求されるまでの日数を構成します。

既定値 = 90
    維持する以前の PIN 値の数を選択する
この設定では、Intune が保持する以前の PIN の数を指定します。 新しい PIN は、Intune が管理している PIN とは異なる必要があります。

既定値 = 0
    デバイスの PIN が設定されている場合のアプリ PIN
ポータル サイトが構成されている登録済みデバイスでデバイス ロックが検出されたときにアプリ PIN を無効にするには、[不要] を選択します。

既定値 = 必須。
アクセスに職場または学校アカウントの資格情報を使用 [ 必須] を選択すると、アプリへのアクセス時に PIN を入力する代わりに、ユーザーが自分の職場または学校アカウントでサインインする必要があります。 [ 必須] に設定され、PIN または生体認証のプロンプトがオンになっている場合、会社の資格情報と PIN または生体認証のプロンプトの両方が表示されます。

既定値 = 不要
(非アクティブ分数) 後にアクセス要件を再確認する 次の設定を構成します。
  • タイムアウト: この設定は、(ポリシーで以前に定義した) アクセス要件が再チェックされるまでの分数です。 たとえば、管理者が PIN を有効にしてポリシーでルート化されたデバイスをブロックし、ユーザーが Intune で管理されるアプリを開き、PIN を入力する必要があり、ルート化されていないデバイスでアプリを使用している必要があります。 この設定を使用すると、ユーザーは、構成された値と同じ時間、PIN を入力したり、Intune マネージド アプリで別のルート検出チェックを受けたりする必要はありません。

    このポリシー設定の形式は、正の整数をサポートします。

    既定値 = 30 分

    メモ:Android では、PIN はすべての Intune で管理されるアプリと共有されます。 PIN タイマーは、アプリがデバイスのフォアグラウンドから離れるとリセットされます。 ユーザーは、この設定で定義されているタイムアウト中に PIN を共有する Intune マネージド アプリに PIN を入力する必要はありません。

注:

同じアプリとユーザーのセットに対して [アクセス] セクションで構成された複数の Intune アプリ保護設定が Android でどのように機能するかの詳細については、「Intune MAM に関してよく寄せられる質問」と「Intune でのアプリ保護ポリシーのアクセス アクションを使用してデータを選択的にワイプする」を参照してください。

条件付き起動

条件付き起動設定を構成して、アプリの保護ポリシーのサインインのセキュリティ要件を設定します。

既定では、いくつかの設定が事前構成済みの値とアクションで提供されます。 最小 OS バージョンなど、一部の設定を削除できます。 [ 1 つ選択 ] ドロップダウンからその他の設定を選択することもできます。

アプリの条件

Setting 使用方法
PIN の最大試行回数 PIN の入力試行回数を指定します。成功せずにこの回数を超えると、構成されているアクションが実行されます。 最大限の PIN 試行回数を超えてもユーザーが PIN を正常に入力できなかった場合、ユーザーは自分のアカウントに正常にサインインし、必要に応じて多要素認証 (MFA) チャレンジを完了した後に PIN をリセットする必要があります。 このポリシー設定の形式は、正の整数をサポートします。

"アクション" に含まれている項目:

  • [PIN のリセット] - ユーザーは自分の PIN をリセットする必要があります。
  • [データのワイプ] - アプリケーションに関連付けられているユーザー アカウントがデバイスからワイプされます。
既定値 = 5
[オフラインの猶予期間] マネージド アプリがオフラインで実行できる分数。 アプリのアクセス要件を再確認するまでの時間 (分) を指定します。

"アクション" に含まれている項目:

  • アクセスのブロック (分) - マネージド アプリがオフラインで実行できる分数。 アプリのアクセス要件を再確認するまでの時間 (分) を指定します。 この期間が終了した後も、アプリを実行し続けるには、アプリで Microsoft Entra ID に対するユーザー認証が必要になります。

    このポリシー設定の形式は、正の整数をサポートします。

    既定値 = 1440 分 (24 時間)

    メモ: アクセスをブロックするオフライン猶予期間タイマーを既定値未満に構成すると、ポリシーが更新されるにつれてユーザーの中断の頻度が高くなる可能性があります。 30 分未満の値を選択することはお勧めしません。アプリケーションの起動または再開のたびにユーザーが中断する可能性があるためです。
  • データのワイプ (日数) - オフラインで実行した日数 (管理者が定義) すると、アプリはユーザーにネットワークへの接続と再認証を要求します。 ユーザーが認証に成功した場合、ユーザーは引き続きデータにアクセスでき、オフライン間隔はリセットされます。 ユーザーが認証に失敗した場合、アプリはユーザーのアカウントとデータの選択的なワイプを実行します。 詳細については、「Intune で管理されるアプリから企業データのみをワイプする方法」を参照してください。 このポリシー設定の形式は、正の整数をサポートします。

    既定値 = 90 日
このエントリは複数回表示できます。インスタンスごとに異なるアクションがサポートされます。

: オフライン猶予期間タイマーは、アプリがアクティブでオフラインを検出したときに開始されます。

アプリの最小バージョン アプリケーションの最小バージョンの値を指定します。

"アクション" に含まれている項目:

  • [警告] - デバイス上のアプリ バージョンが要件を満たさない場合、通知が表示されます。 この通知は閉じることができます。
  • [アクセスのブロック] - デバイスのアプリ バージョンが要件を満たさない場合、アクセスがブロックされます。
  • [データのワイプ] - アプリケーションに関連付けられているユーザー アカウントがデバイスからワイプされます。
多くの場合、アプリには個別のバージョン管理スキームがあるため、1 つのアプリを対象とした、1 つのアプリの最小バージョンでポリシー (Outlook バージョン ポリシーなど) を作成します。

このエントリは複数回表示できます。インスタンスごとに異なるアクションがサポートされます。

このポリシー設定では、major.minor、major.minor.build、major.minor.build.revision のいずれの形式もサポートされます。

また、エンド ユーザーが基幹業務 (LOB) アプリの更新バージョンを入手できる 場所 を構成することもできます。 エンド ユーザーには、 最小アプリ バージョンの条件 付き起動ダイアログでこれが表示されます。これにより、エンド ユーザーには LOB アプリの最小バージョンに更新するように求められます。 Android では、この機能はポータル サイトを使用します。 エンド ユーザーが LOB アプリを更新する必要がある場所を構成するには、キー com.microsoft.intune.myappstore を含むマネージド アプリ構成ポリシーをアプリに送信する必要があります。 送信される値は、エンド ユーザーがアプリをダウンロードする場所を定義します。 アプリがポータル サイト経由で展開される場合、値は CompanyPortal である必要があります。 他のストアの場合は、完全な URL を入力する必要があります。
無効なアカウント この設定に設定する値はありません。

"アクション" に含まれている項目:

  • アクセスのブロック - ユーザーのアカウントが無効になっているため、ユーザーのアクセスがブロックされます。
  • [データのワイプ] - アプリケーションに関連付けられているユーザー アカウントがデバイスからワイプされます。
非稼働時間 この設定に設定する値はありません。

"アクション" に含まれている項目:

  • アクセスのブロック - アプリケーションに関連付けられているユーザー アカウントが非稼働時間であるため、ユーザーはアクセスからブロックされます。
  • 警告 - アプリケーションに関連付けられているユーザー アカウントが非稼働時間の場合、ユーザーに通知が表示されます。 通知は閉じることができます。
: この設定は、テナントが Working Time API と統合されている場合にのみ構成する必要があります。 この設定を Working Time API と統合する方法の詳細については、「 現場担当者がシフト外のときに Microsoft Teams へのアクセスを制限する」を参照してください。 Working Time API と統合せずにこの設定を構成すると、アプリケーションに関連付けられている管理対象アカウントの稼働時間ステータスが見つからないため、アカウントがブロックされる可能性があります。

次のアプリでは、ポータル サイト v5.0.5849.0 以降でこの機能がサポートされています。

  • Android 用 Teams v1416/1.0.0.2023226005 (2023226050) 以降
  • Android 用 Microsoft Edge v125.0.2535.96 以降

デバイスの状態

Setting 使用方法
脱獄またはルート化されたデバイス デバイスへのアクセスをブロックするか、ジェイルブレイク/ルート化されたデバイスのデバイス データをワイプするかを指定します。 "アクション" に含まれている項目:
  • [アクセスのブロック] - このアプリが脱獄またはルート化されたデバイスで実行されないようにします。 ユーザーは引き続きこのアプリを個人的なタスクに使用できますが、このアプリの職場または学校のデータにアクセスするには別のデバイスを使用する必要があります。
  • [データのワイプ] - アプリケーションに関連付けられているユーザー アカウントがデバイスからワイプされます。
OS の最小バージョン アプリを使用できる最小限の Android オペレーティング システムを指定します。 指定した 最小 OS バージョン より前の OS バージョンがアクションをトリガーします。 "アクション" に含まれている項目:
  • 警告 - デバイス上の Android バージョンが要件を満たしていない場合、ユーザーに通知が表示されます。 この通知は閉じることができます。
  • アクセスのブロック - デバイス上の Android バージョンがこの要件を満たしていない場合、ユーザーはアクセスからブロックされます。
  • [データのワイプ] - アプリケーションに関連付けられているユーザー アカウントがデバイスからワイプされます。

このポリシー設定形式では、major と major.minor がサポートされています。 たとえば、Android 16 などのメジャー Android OS リリースでは、"16.0" を使用することをおすすめします。Android 16 の CY25Q4 (Android 16 の場合は四半期ごとのプラットフォーム リリース 2 (QPR2) とも呼ばれる) などのマイナー リリースの場合は、「16.1」を使用します。

OS の最大バージョン アプリを使用できる最大の Android オペレーティング システムを指定します。 指定した 最大 OS バージョン を超える OS バージョンにより、アクションがトリガーされます。 "アクション" に含まれている項目:
  • 警告 - デバイス上の Android バージョンが要件を満たしていない場合、ユーザーに通知が表示されます。 この通知は閉じることができます。
  • アクセスのブロック - デバイス上の Android バージョンがこの要件を満たしていない場合、ユーザーはアクセスからブロックされます。
  • [データのワイプ] - アプリケーションに関連付けられているユーザー アカウントがデバイスからワイプされます。

このポリシー設定形式では、major と major.minor がサポートされています。 たとえば、Android 16 などのメジャー Android OS リリースでは、"16.0" を使用することをおすすめします。Android 16 の CY25Q4 (Android 16 の場合は四半期ごとのプラットフォーム リリース 2 (QPR2) とも呼ばれる) などのマイナー リリースの場合は、「16.1」を使用します。

最小パッチ バージョン デバイスに Google からリリースされた最低限の Android セキュリティ パッチをインストールする必要があります。
  • 警告 - デバイス上の Android バージョンが要件を満たしていない場合、ユーザーに通知が表示されます。 この通知は閉じることができます。
  • アクセスのブロック - デバイス上の Android バージョンがこの要件を満たしていない場合、ユーザーはアクセスからブロックされます。
  • [データのワイプ] - アプリケーションに関連付けられているユーザー アカウントがデバイスからワイプされます。
このポリシー設定では、 YYYY-MM-DD の日付形式がサポートされます。
デバイスの製造元 製造元のセミコロン区切りのリストを指定します。 これらの値では、大文字と小文字は区別されません。 "アクション" に含まれている項目:
  • 指定を許可 (指定外をブロック) - 指定した製造元に一致するデバイスのみがアプリを使用できます。 他のすべてのデバイスはブロックされます。
  • [指定されたものを許可します (未指定のものはワイプ)] - アプリケーションに関連付けられているユーザー アカウントがデバイスからワイプされます。
この設定の使用方法について詳しくは、条件付き起動アクションに関する記事をご覧ください。
整合性判定のプレイ アプリ保護ポリシーは、Google Play 整合性 API の一部をサポートしています。 特にこの設定では、エンド ユーザー デバイスに対する Google の Play 整合性チェックを構成して、それらのデバイスの整合性を検証します。 [ 基本的な整合性 ] または [基本的な整合性とデバイス整合性] のいずれかを指定します。

基本的な整合性 は、デバイスの全般的な整合性を示します。 ルート化されたデバイス、エミュレーター、仮想デバイス、改ざんの兆候があるデバイスは基本的な整合性のチェックで不合格になります。 基本的な整合性 & 認定デバイスは、デバイスと Google のサービスとの互換性を示します。 このチェックに合格できるのは、Google によって認定された未改造のデバイスのみです。

条件付き起動の必要に応じて [整合性判定の再生] を選択した場合は、強力な整合性チェックを評価の種類として使用するように指定できます。 評価タイプとして強力な整合性チェックが存在することは、デバイスの整合性が高いことを示します。 MAM ポリシーは、強力な整合性チェックをサポートしていないデバイスがこの設定の対象になっている場合にブロックします。 強力な整合性チェックにより、ソフトウェアのみのソリューションを常に検出できるとは限らない新しいタイプのルート管理ツールや方法に対応して、より堅牢なルート検出が可能になります。 APP 内では、ハードウェア構成証明を有効にするには、プレイの整合性評定の評価の種類を [プレイの整合性判定] を構成したら [強力な整合性チェック] に設定し、[デバイスの整合性チェック] を構成すると、[必須の SafetyNet 評価の種類] を[強力な整合性チェック] に設定します。 ハードウェアによる構成証明では、Android 8.1 以降がインストールされたデバイスに付属するハードウェア ベースのコンポーネントを使用します。 以前のバージョンの Android から Android 8.1 にアップグレードされたデバイスには、ハードウェアによる構成証明に必要なハードウェアベースのコンポーネントがない可能性があります。 この設定は Android 8.1 と共に出荷されるデバイス以降では広くサポートされているはずですが、Microsoft ではこのポリシー設定を広範囲で有効にする前に、デバイスを個別にテストすることを強くお勧めします。

重要:この評価の種類をサポートしていないデバイスは、デバイスの整合性チェック アクションに基づいてブロックまたはワイプされます。 この機能を使用する組織は、ユーザーがサポートされているデバイスを使用していることを確認する必要があります。 Google の推奨デバイスの詳細については、「 Android Enterprise の推奨要件」を参照してください。

"アクション" に含まれている項目:

  • 警告 - デバイスが構成された値に基づく Google のデバイス整合性チェックを満たしていない場合、ユーザーに通知が表示されます。 この通知は閉じることができます。
  • アクセスのブロック - デバイスが構成された値に基づく Google のデバイス整合性チェックを満たしていない場合、ユーザーはアクセスからブロックされます。
  • [データのワイプ] - アプリケーションに関連付けられているユーザー アカウントがデバイスからワイプされます。
この設定に関連するよく寄せられる質問については、「 MAM とアプリの保護についてよく寄せられる質問」を参照してください。
アプリに対する脅威スキャンの必須 アプリ保護ポリシーは、Google Play プロテクトの一部の API をサポートしています。 特にこの設定により、Google の Verify Apps スキャンがエンド ユーザー デバイスに対して有効になります。 構成されている場合、エンド ユーザーは Android デバイスで Google のアプリのスキャンを有効にするまでアクセスからブロックされます。 "アクション" に含まれている項目:
  • 警告 - デバイスで Google の [アプリ検証] スキャンがオンになっていない場合、ユーザーに通知が表示されます。 この通知は閉じることができます。
  • アクセスのブロック - デバイスで Google のアプリ検証スキャンがオンになっていない場合、ユーザーはアクセスからブロックされます。
必要な SafetyNet 評価の種類 ハードウェアによる構成証明は、既存の SafetyNet 構成証明サービス チェックを強化します。 SafetyNet デバイスの構成証明を設定した後、値をハードウェア バックアップ キーに設定できます。
デバイス ロックの必須 この設定は、Android デバイスにパスワードの最小要件を満たすデバイス PIN があるかどうかを決定します。 デバイス ロックがパスワードの最小要件を満たしていない場合、アプリ保護ポリシーがアクションを実行できます。

は次のとおりです。

  • 複雑さが低い
  • 中程度の複雑さ
  • 高い複雑性

この複雑さの値は、Android 12+ を対象としています。 Android 11 以前で動作しているデバイスの場合、複雑さの値を低、中、または高に設定すると、既定で低 複雑さの予期される動作になります。 詳細については、Google の開発者向けドキュメント getPasswordComplexityPASSWORD_COMPLEXITY_LOWPASSWORD_COMPLEXITY_MEDIUMPASSWORD_COMPLEXITY_HIGH を参照してください。

"アクション" に含まれている項目:

  • 警告 - デバイス ロックが最小パスワード要件を満たしていない場合、ユーザーに通知が表示されます。 通知は閉じることができます。
  • アクセスをブロック - デバイス ロックがパスワードの最小要件を満たしていない場合、ユーザーはアクセスからブロックされます。
  • データのワイプ - デバイス ロックが最小パスワード要件を満たしていない場合、アプリケーションに関連付けられているユーザー アカウントがデバイスからワイプされます。
最小ポータル サイト バージョン 最小ポータル サイト バージョンを使用すると、エンド ユーザー デバイスに適用されるポータル サイトの特定の最小定義バージョンを指定できます。 この条件付き起動設定では、各値が満たされない場合に可能なアクションとして、 アクセスのブロックデータのワイプおよび警告の 値を設定できます。 この値の可能な形式は、パターン [Major] に従います。[Minor]、[Major].[Minor]。[Build]、または [Major].[Minor]。[Build].[改訂]。

メモ:5.0.5421.0 より前のバージョンの Android ポータル サイトのサポートは、2025 年 10 月 1 日に終了しました。

一部のエンド ユーザーは、アプリをその場で強制的に更新することを好まない場合があるため、この設定を構成するときには [警告] オプションが理想的かもしれません。 Google Play ストアは、アプリの更新のためにデルタ バイトのみを送信するという良い仕事をしていますが、それでも、更新時にユーザーがデータを使用している場合、ユーザーが使用したくない大量のデータになる可能性があります。 更新を強制して更新されたアプリをダウンロードすると、更新時に予期しないデータ料金が発生する可能性があります。 詳細については、「 Android ポリシー設定」を参照してください。

ポータル サイト バージョンの最大経過期間 (日数) Android デバイスのポータル サイト (CP) バージョンの経過時間として最大日数を設定できます。 この設定により、エンド ユーザーが CP リリースの特定の範囲内 (日数) 内にいることが保証されます。 値は 0 から 365 日の間である必要があります。 デバイスの設定が満たされない場合、この設定のアクションがトリガーされます。 アクションには、[ アクセスのブロック]、[ データのワイプ]、または [警告] が含まれます。 関連情報については、「 Android ポリシー設定」を参照してください。 メモ:ポータル サイト ビルドの経過時間は、エンド ユーザー デバイスの Google Play によって決定されます。
Samsung Knox デバイスの構成証明 Samsung Knox デバイスの構成証明チェックが必要かどうかを指定します。 Samsung によって検証された変更されていないデバイスのみが、このチェックに合格できます。 サポートされているデバイスの一覧については、 samsungknox.com を参照してください。

この設定を使用することで、Microsoft Intune は、ポータル サイトから Intune サービスへの通信が正常なデバイスから送信されたことも確認します。

"アクション" に含まれている項目:
  • 警告 - デバイスが Samsung Knox デバイスの構成証明チェックを満たしていない場合、ユーザーに通知が表示されます。 この通知は、サポートされている Samsung デバイスで閉じることができます。
  • アクセスのブロック - デバイスが Samsung の Knox デバイス構成証明チェックを満たしていない場合、ユーザー アカウントはアクセスからブロックされます。
  • データをワイプ - デバイスが Samsung Knox デバイスの構成証明チェックを満たしていない場合、アプリケーションに関連付けられているユーザー アカウントがデバイスからワイプされます。
  • サポートされているデバイスでのアクセスをブロック - One UI 7.0 以降で Android 15 を実行している Samsung デバイスが Samsung の Knox デバイス構成証明チェックを満たしていない場合、ユーザー アカウントはアクセスからブロックされます。 古い OS または他の製造元のデバイスで実行されている Samsung デバイスは、この選択の影響を受けません。

メモ: [警告]、[アクセスをブロック]、[データのワイプ] アクションを選択する場合は、次の点に注意してください。

  • これらの設定は、Samsung やその他のメーカーを含む、すべての対象デバイスに適用されます。
  • Samsung 以外のデバイスでは、ユーザーは Knox のサービス利用規約に同意できず、ブロックされます。 「マネージド アプリ」割り当てフィルターを使用して、サポートされている Samsung デバイスのみをターゲットにします。 割り当てフィルターの詳細については、「Microsoft Intune でアプリ、ポリシー、プロファイルを割り当てるときにフィルターを使用する」を参照してください。
  • One UI 7.0 以前のバージョンを実行している Samsung デバイスでは、デバイスの構成証明チェックを実行する前に、ユーザーが Samsung Knox の条件に同意する必要があります。 受け入れられない場合は、指定されたアクションが実行されます。

許容される最大デバイス脅威レベル アプリ保護ポリシーでは、Intune-MTD コネクタを利用できます。 このアプリの使用に対して許容される最大脅威レベルを指定します。 脅威は、エンド ユーザー デバイスで選択された Mobile Threat Defense (MTD) ベンダー アプリによって決定されます。 "セキュリティ保護"、""、""、"" のいずれかを指定します。 "セキュリティ保護" は、デバイスに対する脅威は不要で、構成可能な最も制限の厳しい値であるのに対し、"" では基本的に Intune と MTD の間のアクティブな接続が必要です。

"アクション" に含まれている項目:

  • アクセスのブロック - エンド ユーザー デバイスで選択した Mobile Threat Defense (MTD) ベンダー アプリによって決定された脅威レベルがこの要件を満たしていない場合、ユーザーはアクセスからブロックされます。
  • [データのワイプ] - アプリケーションに関連付けられているユーザー アカウントがデバイスからワイプされます。
この設定の使用方法の詳細については、「登録されていないデバイスに対して Intune で Mobile Threat Defense コネクタを有効にする」を参照してください。
プライマリ MTD サービス 複数の Intune-MTD コネクタを構成した場合は、エンド ユーザー デバイスで使用するプライマリ MTD ベンダー アプリを指定します。

は次のとおりです。

  • Microsoft Defender for Endpoint - MTD コネクタが構成されている場合は、Microsoft Defender for Endpoint がデバイスの脅威レベル情報を提供するように指定します。
  • Mobile Threat Defense (Microsoft 以外) - MTD コネクタが構成されている場合は、Microsoft 以外の MTD がデバイスの脅威レベル情報を提供するように指定します。

この設定を使用するには、"最大許容デバイス脅威レベル" 設定を構成する必要があります。

この設定の 操作 はありません。