Android 用 Intune アプリ SDK - 統合の計画

Android 用 Microsoft Intune アプリ SDK を使用すると、Intune アプリ保護ポリシー (MAM ポリシーとも呼ばれます) をネイティブ Java/Kotlin Android アプリに組み込むことができます。 Intune マネージド アプリケーションは、Intune アプリ SDK と統合されたアプリケーションです。 Intune 管理者は、Intune がアプリをアクティブに管理する場合、Intune で管理されるアプリにアプリ保護ポリシーを簡単に展開できます。

ステージ 1: 統合を計画する

このガイドは、既存の Android アプリ内に Microsoft Intune のアプリ保護ポリシーのサポートを追加したいと考えている Android 開発者を対象としています。

ステージ目標

  • Android で使用できるアプリ保護ポリシー設定と、これらのポリシーがアプリケーション内でどのように機能するかについて説明します。
  • SDK 統合プロセス中の重要な意思決定ポイントを理解し、アプリの統合を計画します。
  • SDK を統合するアプリケーションの要件を理解します。
  • テスト Intune テナントを作成し、Android アプリの保護ポリシーを構成します。

MAM について

Intune アプリ SDK を Android アプリケーションに統合する前に、少し時間を取って Microsoft Intune のモバイル アプリケーション管理ソリューションについて理解してください。

  • Microsoft Intune アプリ管理では、さまざまなプラットフォームでの MAM 機能の概要と、Microsoft Intune 管理センターでこれらの機能を見つける場所について説明します。
  • Intune アプリ SDK の概要では、1 つ深耕し、SDK の現在の機能について説明します。
  • Android アプリ保護ポリシーの設定 では、Android の各設定について詳しく説明します。 アプリは、SDK を統合することでこれらの設定をサポートします。 SDK 統合プロセス中に、検証用に独自のテスト テナントでこれらの設定を構成することもできます。

注:

一部の Android アプリ保護ポリシー設定では、サポートする特定のコードが必要です。 詳細については、「 ステージ 7: アプリ参加機能」 を参照してください。

SDK 統合に関する重要な決定事項

Microsoft ID プラットフォームにアプリケーションを登録する必要がありますか?

はい。Intune SDK と統合されているすべてのアプリは、Microsoft ID プラットフォームに登録する必要があります。 「クイック スタート: Microsoft ID プラットフォームにアプリを登録する - Microsoft ID プラットフォーム」の手順に従ってください。

アプリケーションのソース コードにアクセスできますか?

アプリケーションのソース コードにアクセスできず、コンパイル済みアプリケーションに .apk または .aab 形式でしかアクセスできない場合は、SDK をアプリケーションに統合できません。 ただし、アプリケーションは引き続き Intune アプリ保護ポリシーと互換性がある場合があります。 詳細については、「Android 用 App Wrapping Tool」を参照してください。

アプリケーションで Microsoft 認証ライブラリ (MSAL) を統合する必要があるか

アプリケーションで MSAL を統合する必要があるかどうかを判断するには、「 Microsoft 認証ライブラリ (MSAL) の概要 」を参照してください。 ほとんどのアプリケーションは、Intune SDK を統合する前に MSAL を統合する必要があります。

アプリは、 次のすべてに該当する場合にのみ、MSAL の統合をスキップできます。

  • アプリケーションに対話型のログインおよびログアウトのエンド ユーザー エクスペリエンスがないか、または必要ありません。
  • アプリケーションは、同時にログインしている複数のアカウントをサポートしていません。
  • アプリケーションで Intune 以外のアカウントをサポートする必要はありません。
  • アプリケーションは、条件付きアクセスによって保護されたリソースへのアクセスを許可しません。

アプリが上記の条件をすべて満たし、MSAL を統合していない場合、アンマネージド使用のオプションはありませんが、アプリ保護ポリシーによる保護は可能です。 詳細については 、「既定の登録」 を参照してください。

MSAL を統合する手順とアプリケーション内の ID シナリオに関する追加の詳細については、「 ステージ 2: MSAL の前提条件 」を参照してください。

アプリケーションが単一 ID ですか、それとも複数 ID ですか?

Intune アプリの保護ポリシーがサポートされていない場合、アプリケーションはユーザー認証とアカウントをどのように処理しますか。

  • 現在、アプリケーションでは 1 つのアカウントしかログインできませんか? アプリケーションは、別のアカウントにログインを許可する前に、ログインしたアカウントに明示的にログアウトを強制し、以前のアカウントのデータを削除しますか? その場合、アプリケーションは 単一 ID です。

  • アプリケーションでは、別のアカウントが既にログインしている場合でも、現在 2 つ目のアカウントでのログインが許可されていますか? アプリケーションで複数のアカウントのデータが共有画面に表示されますか? アプリケーションに複数のアカウントのデータが保存されていますか? アプリケーションでは、ユーザーはログインしている異なるアカウントを切り替えられますか? その場合、アプリケーションは マルチ ID であり、「 ステージ 5: マルチ ID」に従う必要があります。 このセクションは、アプリに必須です。

アプリケーションがマルチ ID の場合でも、この統合ガイドに従ってください。 最初に単一 ID として統合してテストすると、適切な統合を確保し、企業データが保護されなくなるバグを防ぐのに役立ちます。

アプリケーションに App Configuration 設定はありますか、または必要ですか?

Android では、Android Enterprise 管理モードで展開されたアプリケーションに適用される アプリケーション固有の管理構成 がサポートされています。 管理者は、Microsoft Intune 管理センターで、管理対象 Android Enterprise デバイスのこれらのアプリケーション構成ポリシーを構成できます。

Intune では、デバイス管理モードに関係なく、SDK 統合アプリケーションに適用されるアプリケーション構成もサポートされます。 管理者は、Microsoft Intune 管理センターでマネージド アプリのこれらのアプリケーション構成ポリシーを構成できます。

Intune アプリ SDK は、両方の種類のアプリケーション構成をサポートし、両方のチャネルから構成にアクセスするための 1 つの API を提供します。 アプリケーションがこれらの種類のアプリケーション構成のいずれかを持っているか、サポートする場合は、ステージ 6: App Configuration に従う必要があります。

アプリケーションで、データの入力と出力に対してきめ細かな保護を定義する必要があるか。

アプリで、ユーザーがクラウド サービスやデバイスの場所にデータを保存したり、クラウド サービスやデバイスの場所からデータを開いたりできる場合は、拡張データ転送ポリシーをサポートするために変更を行う必要があります。 「ステージ 7: アプリ参加機能」でアプリとデバイスまたはクラウド ストレージの場所の間でのデータ転送を制限するためのポリシーを参照してください。

アプリケーションには、ユーザー固有の情報を含む通知が表示されますか。

複数の ID アプリでは、通知ポリシーを適切に遵守するためにコードを変更する必要があります。 単一 ID アプリでは、この通知ポリシーによってアプリの通知が 100% ブロックされないように、コードを変更したい場合があります。 ステージ 7: アプリ参加機能の通知内のコンテンツを制限するためのポリシーを参照してください。

アプリケーションは Android のバックアップと復元の機能をサポートしていますか?

Android は、ユーザーが新しいデバイスにアップグレードするとき、またはアプリを再インストールするときに、データと個人用設定を保持するための バックアップおよび復元 機能をサポートしています。

Intune では、復元によって企業データが漏洩しないように、SDK 統合アプリケーションのバックアップと復元機能もサポートされています。

アプリでこの機能がサポートされている場合は、復元中に企業データを保護するためにコードを変更する必要があります。 「ステージ 7: アプリ参加機能」のバックアップ データを保護するためのポリシーを参照してください。

アプリケーションに、条件付きアクセスで保護する必要があるリソースが含まれていますか?

条件付きアクセス (CA) は、Microsoft Entra リソースへのアクセスを制御するために使用できる Microsoft Entra ID 機能です。 Intune 管理者は、Intune によって管理されているデバイスまたはアプリからのみリソース アクセスを許可する CA 規則を定義できます。

Intune では、デバイス ベースの CA とアプリ ベースの CA (アプリ保護 CA とも呼ばれます) の 2 種類の CA がサポートされています。 デバイス ベースの CA は、デバイス全体が Intune によって管理されるまで、保護されたリソースへのアクセスをブロックします。 アプリ ベースの CA は、特定のアプリが Intune アプリ保護ポリシーによって管理されるまで、保護されたリソースへのアクセスをブロックします。

アプリが Microsoft Entra アクセス トークンを取得し、CA で保護できるリソースにアクセスする場合は、ステージ 7: アプリ参加機能のサポート アプリ保護 CA に従う必要があります。

アプリケーションには、Intune App SDK によって示される UI 全体で保持する必要がある明確なテーマがありますか?

既定では、Intune アプリ SDK には、既定のテーマに従って色付けされたポリシー適用 UI コンポーネントが表示されます。

既定のテーマをオーバーライドする機能は外観のオプションです。 「ステージ 7: アプリ参加機能」のカスタム テーマの提供を参照してください。

要件

ポータル サイト アプリ

Android 用 Intune アプリ SDK は、デバイス上のポータル サイト アプリの存在に依存して、アプリの保護ポリシーを有効にします。 ポータル ポータル サイトは、Intune サービスからアプリ保護ポリシーを取得します。 SDK 統合アプリが初期化されると、ポータル サイトからそのポリシーを適用するためのポリシーとコードが読み込まれます。

注:

ポータル ポータル サイト アプリがデバイス上にない場合、SDK 統合アプリは、Intune アプリ保護ポリシーをサポートしていない通常のアプリと同じように動作します。 ポータル ポータル サイト アプリがデバイス上にある場合でも、エンド ユーザーがアプリ保護ポリシーの対象でない場合、SDK 統合アプリは通常と同じように動作します。

ユーザーは、アプリ保護ポリシーを機能させるために、ポータル サイト アプリにサインインしたり、起動したりする必要はありません。

Android のバージョン

注:

アプリが Google Play の要件と互換性があることを確認します。

SDK は、Android API 28 (Android 9.0) から Android API 36 (Android 16) を完全にサポートしています。 Android API 36(Android 16)をターゲットとするには、Intune App SDK v12.0.0 以降を使用する必要があります。

API 26 から 27 (Android 8.0 - 8.1) は限定的にサポートされています。 ポータル サイト アプリは、Android API 26 (Android 8.0) 以下ではサポートされていません。 アプリ保護ポリシーは、Android API 28 (Android 9.0) 以下ではサポートされていません。

アプリが API 28 (Android 9.0) より前の API レベルにminSdkVersionを宣言している場合、Intune App SDK は、アプリ保護ポリシーの対象ではないユーザーのアプリの使用をブロックしません。

テレメトリ

Android 用 Intune アプリ SDK は、アプリからのデータ収集を制御しません。 ポータル ポータル サイト アプリケーションは、既定でシステム生成のデータをログに記録します。 このデータは Microsoft Intune に送信されます。 Microsoft ポリシーに従って、Intune は個人データを収集しません。

ヒント

エンド ユーザーがこのデータを送信しない場合は、ポータル サイト アプリの [設定] でテレメトリをオフにする必要があります。 詳細については、「 Microsoft の使用状況データ収集をオフにする」を参照してください。

テスト用の Android アプリ保護ポリシーの作成

デモ テナントのセットアップ

会社にテナントをまだ作成していない場合は、事前に生成されたデータの有無にかかわらず、デモ テナントを作成できます。 Microsoft CDX にアクセスするには、 Microsoft パートナー として登録する必要があります。 新しいアカウントを作成するには:

  1. Microsoft CDX テナント作成サイトに移動し、Microsoft 365 Enterprise テナントを作成します。
  2. モバイル デバイス管理 (MDM) を有効にするように Intune を設定します。
  3. ユーザーを作成します。
  4. グループを作成します。
  5. テストに応じてライセンスを割り当てます。

アプリ保護ポリシーの構成

Microsoft Intune 管理センターでアプリ保護ポリシーを作成して割り当てます。 アプリ保護ポリシーを作成するだけでなく、Intune でアプリ構成ポリシーを作成して割り当てることができます。

独自のアプリケーション内でアプリ保護ポリシー設定をテストする前に、これらの設定が他の SDK 統合アプリケーション内でどのように動作するかを理解しておくと役立ちます。

ヒント

アプリが Microsoft Intune 管理センターに表示されていない場合は、[その他のアプリ] オプションを選択し、テキスト ボックスにパッケージ名を指定することで、ポリシーを使用して対象にすることができます。 統合を正常にテストするには、アプリ保護ポリシーを使用してアプリをターゲットにし、ポリシーをユーザーにデプロイする必要があります。 ポリシーがターゲットに設定されて展開されている場合でも、アプリは SDK が正常に統合されるまでポリシーを適切に適用しません。

終了条件

  • Android アプリケーション内でさまざまなアプリ保護ポリシー設定がどのように動作するかを理解していますか?
  • アプリを確認し、MSAL、条件付きアクセス、マルチ ID、App Configuration、およびすべての追加 SDK 機能を中心にアプリの統合を計画しましたか?
  • テスト テナント内で Android アプリ保護ポリシーを作成しましたか?

よくあるご質問 (FAQ)

Android のアプリケーション保護ポリシーにポータル サイト アプリが必要なのはなぜですか?

Android ポータル ポータル サイトは、デバイス上のすべての MAM 対応アプリケーションに代わって、Intune サービスからアプリ保護ポリシーを取得して永続化します。 MAM 対応アプリケーションが初期化されると、ポリシーの詳細と、それらのポリシー設定を適用するコードが ポータル サイト からインポートされます。 ポータル サイトには、エンド ユーザーに表示される認証プロンプトの数を減らすためのコードも含まれています。 最後に、ポータル サイトは、Intune サービスを改善するためにシステム データを収集します。詳細については、「テレメトリ」を参照してください。

注:

アプリ保護ポリシーのこのポータル サイト機能は Android のみに適用されます。

サポートされていないデバイスを使用しているユーザーにアプリ保護ポリシーが対象になっている場合はどうなりますか?

Intune アプリ保護ポリシーでサポートされていない Android デバイスでのエンド ユーザー エクスペリエンスは、デバイスの Android OS バージョンによって異なります。

Android OS のバージョン Google Play の動作 MAM アプリの動作
Android 8.0 未満 ポータル ポータル サイト アプリは Google Play からダウンロードできません。 既にポータル ポータル サイトがインストールされているデバイスは、新しいバージョンのポータル サイトに更新できません。 MAM 機能が普遍的にブロックされることはありません。 ただし、SDK 統合アプリには新しいバージョンの SDK が付属しているため、MAM を対象とするユーザーはポータル サイトを更新できないため、これらのアプリへのアクセスがブロックされます。 MAM ポリシーの対象となっており、以前にアプリにログインしたことがあるユーザーがそのようなアプリを起動すると、ポータル サイトをアップグレードするように求められます。 ユーザーは、アプリケーションから MAM を対象とするアカウントを削除することで、この動作を軽減できます。 ユーザーがポータル サイトをアンインストールすると、そのアカウントはアプリから自動的に削除されますが、MAM を対象とするアカウントでログインし直すことはできません。
Android 8.x ポータル ポータル サイト アプリは、Google Play からダウンロードできるようになります。 既にポータル ポータル サイトがインストールされているデバイスは、新しいバージョンのポータル サイトに更新できます。 MAM 機能はアクティブにブロックされません。 ただし、Android 8.x はサポートされておらず、MAM 機能が期待どおりに動作しない場合があります。

アプリ ラッピング ツールとは

Android アプリ開発者は、複数の方法で Intune 機能をアプリケーションに統合できます。 このガイドで説明する SDK に加えて、開発者は Android 用 App Wrapping Tool を使用することもできます。 SDK とアプリ ラッピング ツールの詳細な比較については、「 アプリ保護ポリシーのための基幹業務アプリの準備 」を参照してください。

次の手順

上記のすべての 終了基準 を完了したら、「 ステージ 2: MSAL の前提条件」に進みます。

  • Last updated on