Android 用 Microsoft Intune アプリ SDK を使用すると、Intune アプリ保護ポリシー (MAM ポリシーとも呼ばれます) をネイティブ Java/Kotlin Android アプリに組み込むことができます。 Intune マネージド アプリケーションは、Intune アプリ SDK と統合されたアプリケーションです。 Intune 管理者は、Intune がアプリをアクティブに管理する場合、Intune で管理されるアプリにアプリ保護ポリシーを簡単に展開できます。
注:
このガイドは、いくつかの異なる段階に分かれています。 まず、「 ステージ 1: 統合を計画する」を確認することから始めます。
ステージ 2: MSAL の前提条件
ステージ目標
- Microsoft Entra ID にアプリケーションを登録します。
- MSAL を Android アプリケーションに統合します。
- 保護されたリソースへのアクセスを許可するトークンをアプリケーションが取得できることを確認します。
背景
Microsoft 認証ライブラリ (MSAL) は、Microsoft Entra ID と Microsoft アカウントをサポートすることで、アプリケーションで Microsoft Cloud を使用できるようにします。
MSAL は Intune 固有のものではありません。 Intune は Microsoft Entra ID に依存しています。すべての Intune ユーザー アカウントは Microsoft Entra アカウントです。 その結果、Intune アプリ SDK を統合する Android アプリケーションの大部分は、前提条件として MSAL を統合する必要があります。
SDK ガイドのこのステージでは、Intune に関連する MSAL 統合プロセスの概要について説明します。リンクされている MSAL ガイド全体に従ってください。
Intune アプリ SDK の統合プロセスを簡略化するために、Android アプリ開発者は、Intune アプリ SDK をダウンロードする前に MSAL を完全に統合してテストすることを強くお勧めします。Intune アプリ SDK 統合プロセスでは、MSAL トークン取得に関するコードを変更する必要があります。 アプリの元のトークン取得の実装が期待どおりに動作することをすでに確認している場合は、Intune 固有のトークン取得の変更を簡単にテストできます。
Microsoft Entra ID の詳細については、「Microsoft Entra ID とは」を参照してください。
MSAL の詳細については、 MSAL Wiki と MSAL ライブラリの一覧を参照してください。
Microsoft Entra ID にアプリケーションを登録する
MSAL を Android アプリケーションに統合する前に、すべてのアプリを Microsoft ID プラットフォームに登録する必要があります。 「クイック スタート: Microsoft ID プラットフォームにアプリを登録する - Microsoft ID プラットフォーム」の手順に従います。 これにより、アプリケーションの クライアント ID が生成されます。
次に、指示に従って、アプリに Intune モバイル アプリ管理サービスへのアクセス権を付与します。
Microsoft 認証ライブラリ (MSAL) を構成する
まず、 GitHub の MSAL リポジトリにある MSAL 統合ガイドライン (特に MSAL を使用するセクション) を参照してください。
このガイドでは、次の方法について説明します。
- MSAL を依存関係として Android アプリケーションに追加します。
- MSAL 構成ファイルを作成します。
- アプリケーションの
AndroidManifest.xmlを構成します。 - トークンを取得するコードを追加します。
ブローカー認証
シングル サインオン (SSO) では、ユーザーは資格情報を 1 回だけ入力でき、その資格情報はアプリケーション間で自動的に機能します。 MSAL を使用すると、アプリのスイート全体で SSO を有効にすることができます。ブローカー アプリケーション (Microsoft Authenticator または Microsoft Intune ポータル サイト) を使用すると、デバイス全体に SSO を拡張できます。 条件付きアクセスにはブローカー認証も必要です。 ブローカー認証の詳細については、「 MSAL を使用して Android でアプリ間 SSO を有効にする 」を参照してください。
このガイドでは、上記のリンクの手順に従って、アプリケーション内でブローカー認証を有効にすることを前提としています。特に 、「ブローカーのリダイレクト URI を生成 し、構成に ブローカーを使用するように MSAL を構成する 」と「テスト用の ブローカー統合を検証します 」。
アプリケーションでブローカー認証を有効にしていない場合は、Intune 固有の MSAL 構成に特に注意してください。
Intune 固有の MSAL 環境の構成
既定では、Intune は Microsoft Entra パブリック環境からトークンを要求します。 アプリケーションにソブリン クラウドなどの既定以外の環境が必要な場合は、アプリケーションの AndroidManifest.xmlに次の設定を追加する必要があります。
設定すると、入力した Microsoft Entra 機関がアプリケーションのトークンを発行します。
これにより、Intune の認証ポリシーが適切に適用されます。
<meta-data
android:name="com.microsoft.intune.mam.aad.Authority"
android:value="https://AAD authority/" />
注意
ほとんどのアプリでは、Authority パラメーターを設定しないでください。 また、MSAL を統合しないアプリケーションは、このプロパティをマニフェストに含 めてはなりません 。
Intune 固有ではない MSAL 構成オプションの詳細については、「Android Microsoft 認証ライブラリ構成ファイル」を参照してください。
ソブリン クラウドの詳細については、「 国内クラウド環境での MSAL の使用」を参照してください。
終了条件
- MSAL をアプリケーションに統合しましたか?
- リダイレクト URI を生成して MSAL 構成ファイルで設定することで、ブローカー認証を有効にしましたか?
-
AndroidManifest.xmlでIntune固有の MSAL 設定を構成しましたか? - ブローカー認証をテストし、仕事用アカウントが Android のアカウント マネージャーに追加されたことを確認し、他の Microsoft 365 アプリとの SSO をテストしましたか?
- 条件付きアクセスを実装した場合、デバイスベースの CA とアプリベースの CA の両方をテストして、CA の実装を検証しましたか?
よくあるご質問 (FAQ)
ADAL はどうですか?
Microsoft の以前の認証ライブラリである Azure Active Directory 認証ライブラリ (ADAL) は非推奨になりました。
アプリケーションに ADAL が既に統合されている場合は、「 Microsoft 認証ライブラリ (MSAL) を使用するようにアプリケーションを更新する」を参照してください。 アプリを ADAL から MSAL に移行するには、「 Android ADAL から MSAL への移行 」と「 ADAL と MSAL の違い」を参照してください。
Intune App SDK を統合する前に、ADAL から MSAL に移行することをお勧めします。
次の手順
上記のすべての終了基準を完了したら、「ステージ 3: MAM はじめに」に進みます。