職場または学校のデータにアクセスするためのモバイル デバイス戦略を実装する組織が増えるにつれて、データ漏洩から保護することが最も重要になります。 データ漏洩から保護するための Intune のモバイル アプリケーション管理ソリューションは、アプリ保護ポリシーです。 これらのポリシーは、デバイスが登録されているかどうかに関係なく、organization のデータが安全に保たれるか、マネージド アプリに含まれていることを保証するルールです。 詳細については、「アプリ保護ポリシーの概要」を参照してください。
アプリ保護ポリシーを構成すると、さまざまな設定とオプションの数によって、組織は特定のニーズに合わせて保護を調整できます。 この柔軟性により、完全なシナリオを実装するために必要なポリシー設定の順列は明確でない場合があります。 組織がクライアント エンドポイントのセキュリティ強化の取り組みに優先順位を付けられるのを支援するために、Microsoft は Windows のセキュリティ構成に新しい分類法を導入し、Intune はモバイル アプリ管理用のアプリ保護ポリシーのデータ保護フレームワークに同様の分類法を活用しています。
アプリ保護ポリシーのデータ保護構成フレームワークは、次の 3 つの異なる構成シナリオで構成されています。
レベル 1 エンタープライズ基本データ保護 – Microsoft では、この構成をエンタープライズ デバイスの最小データ保護構成として推奨します。
レベル 2 エンタープライズ拡張データ保護 – Microsoft では、ユーザーが機密情報にアクセスするデバイスにこの構成を推奨します。 この構成は、職場または学校のデータにアクセスするほとんどのモバイル ユーザーに適用できます。 一部の制御は、ユーザー エクスペリエンスに影響を与える可能性があります。
レベル 3 エンタープライズの高度なデータ保護 – Microsoft では、より大規模またはより高度なセキュリティ チームを持つ organization によって実行されるデバイス、または固有のリスクが高い特定のユーザーまたはグループ (許可されていない開示が組織に重大な重大な損失をもたらす機密性の高いデータを扱うユーザー) organizationにこの構成を推奨します。 資金が豊富で洗練された敵の標的になる可能性が高いorganizationは、この構成を目指す必要があります。
アプリ保護ポリシーのデータ保護フレームワークの展開方法
新しいソフトウェア、機能、または設定の展開と同様に、Microsoft ではアプリ保護ポリシーのデータ保護フレームワークを展開する前に検証をテストするためのリング手法に投資することをお勧めします。 展開リングの定義は一般に 1 回限りのイベント (または少なくとも頻度は低い) ですが、IT 管理者はこれらのグループを再検討して、順序が正しいことを確認する必要があります。
Microsoft では、アプリ保護ポリシーのデータ保護フレームワークに対して、次の展開リング アプローチを推奨します。
| 展開リング | Tenant | 評価チーム | 出力 | タイムライン |
|---|---|---|---|---|
| 品質保証 | 実稼働前テナント | モバイル機能所有者、セキュリティ、リスク評価、プライバシー、UX | 機能シナリオの検証、ドラフト ドキュメント | 0 - 30 日 |
| Preview | 運用テナント | モバイル機能所有者、UX | エンド ユーザー シナリオの検証、ユーザー向けドキュメント | 7 - 14 日、品質保証後 |
| 生産 | 運用テナント | モバイル機能所有者、IT ヘルプ デスク | 該当なし | 7 日から数週間、プレビュー後 |
上の表が示すように、ポリシー設定の影響を理解するため、アプリ保護ポリシーに対するすべての変更は、最初に実稼働前環境で実行する必要があります。 テストが完了したら、変更を運用環境に移行し、運用環境ユーザーのサブセット (概しては IT 部門およびその他の該当するグループ) に適用できます。 そして最後に、他のモバイル ユーザー コミュニティへのロールアウトを完了できます。 運用環境へのロールアウトは、変更に関する影響の規模によっては、より長い時間がかかる場合があります。 ユーザーにへの影響がない場合は、変更を迅速にロールアウトする必要がありますが、変更の結果、ユーザーに影響がある場合は、変更をユーザー集団に通知する必要があるため、ロールアウトを遅らせる必要がある場合があります。
アプリ保護ポリシーの変更をテストするときは、 配信のタイミングに注意してください。 特定のユーザーのアプリ保護ポリシーの配布状態を監視できます。 詳細については、「 アプリ保護ポリシーを監視する方法」を参照してください。
各アプリの個々のアプリ保護ポリシー設定は、Microsoft Edge と URL about:Intunehelp を使用して、デバイスで検証できます。 詳細については、「 クライアント アプリ保護ログの確認 」と「 iOS および Android 用 Microsoft Edge を使用してマネージド アプリ ログにアクセスする」を参照してください。
アプリ保護ポリシーのデータ保護フレームワークの設定
次のアプリ保護ポリシー設定を該当するアプリに対して有効にし、すべてのモバイル ユーザーに割り当てる必要があります。 各ポリシー設定の詳細については、「 iOS アプリ保護ポリシー設定 」および 「Android アプリ保護ポリシー設定」を参照してください。
Microsoft では、使用シナリオを確認して分類し、そのレベルの規範的なガイダンスを使用してユーザーを構成することをお勧めします。 他のフレームワークと同様に、データ保護は脅威環境、リスク選好度、およびユーザビリティへの影響を評価する必要があるため、対応するレベルの設定を organization のニーズに基づいて調整する必要がある場合があります。
管理者は、Intune の PowerShell スクリプトを使用してサンプル Intune アプリ保護ポリシー構成フレームワーク JSON テンプレートをインポートすることで、テストおよび運用環境で使用するためにリング展開方法に以下の構成レベルを組み込むことができます。
注:
MAM for Windows を使用する場合は、「Windows のアプリ保護ポリシー設定」を参照してください。
条件付きアクセス ポリシー
アプリ保護ポリシーをサポートするアプリのみが職場または学校のアカウント データにアクセスできるようにするには、Microsoft Entra 条件付きアクセス ポリシーが必要です。 これらのポリシーについては、「条件付きアクセス: 承認済みのクライアント アプリまたはアプリ保護ポリシーを要求する」で説明されています。
「条件付きアクセスで モバイル デバイスで承認済みのクライアント アプリまたはアプリ保護ポリシーが必要: 特定のポリシーを実装する手順については 、承認されたクライアント アプリまたはアプリ保護ポリシーが必要」 を参照してください。 最後に、「 レガシ認証をブロックする」 の手順を実装して、レガシ認証対応の iOS および Android アプリをブロックします。
注:
これらのポリシーは、許可制御の [承認済みクライアント アプリが必要] および [アプリの保護が必要] ポリシーを利用します。
アプリ保護ポリシーに含めるアプリ
アプリ保護ポリシーごとに、Core Microsoft Apps グループが対象となります。これには次のアプリが含まれます。
- Microsoft Edge
- Excel
- Office
- OneDrive
- OneNote
- Outlook
- PowerPoint
- SharePoint
- Teams
- To Do
- Word
ポリシーには、ビジネス ニーズに基づく他の Microsoft アプリ、organization 内で使用されている Intune SDK を統合した追加のサード パーティのパブリック アプリ、および Intune SDK を統合した (またはラップされている) 基幹業務アプリを含める必要があります。
レベル 1 エンタープライズ基本データ保護
レベル 1 は、エンタープライズ モバイル デバイスの最小データ保護構成です。 この構成により、職場または学校のデータにアクセスするための PIN を要求し、職場または学校のアカウント データを暗号化し、学校または職場データを選択的にワイプする機能を提供することにより、基本的な Exchange Online デバイス アクセス ポリシーの必要性が置き換えられます。 ただし、Exchange Online のデバイス アクセス ポリシーとは異なり、以下のアプリ保護ポリシー設定はポリシーで選択されているすべてのアプリに適用されるため、モバイル メッセージングのシナリオを超えてデータ アクセスが確実に保護されます。
レベル 1 のポリシーは、ユーザーへの影響を最小限に抑えながら、妥当なデータ アクセス レベルを適用し、Microsoft Intune 内でアプリ保護ポリシーを作成するときに既定のデータ保護とアクセス要件の設定をミラーします。
データの保護
| Setting | 設定の説明 | 値 | プラットフォーム |
|---|---|---|---|
| データ転送 | 組織のデータをバックアップする | 許可 | iOS/iPadOS、Android |
| データ転送 | 組織データを他のアプリに送信する | すべてのアプリ | iOS/iPadOS、Android |
| データ転送 | 組織データを次の宛先に送信する | すべての宛先 | Windows |
| データ転送 | 他のアプリからデータを受信 | すべてのアプリ | iOS/iPadOS、Android |
| データ転送 | データを受信する元 | すべてのソース | Windows |
| データ転送 | アプリ間での切り取り、コピー、貼り付けを制限する | 任意のアプリ | iOS/iPadOS、Android |
| データ転送 | の切り取り、コピー、貼り付けを許可 | 任意の宛先と任意のソース | Windows |
| データ転送 | サード パーティ製キーボード | 許可 | iOS/iPadOS |
| データ転送 | 承認済みキーボード | 必須ではありません | Android |
| データ転送 | 画面キャプチャと Google アシスタント | 許可 | Android |
| 暗号化 | 組織データを暗号化する | 必須 | iOS/iPadOS、Android |
| 暗号化 | 登録済みデバイス上の組織データを暗号化する | 必須 | Android |
| 機能 | 同期アプリとネイティブの連絡先アプリ | 許可 | iOS/iPadOS、Android |
| 機能 | 組織データの印刷 | 許可 | iOS/iPadOS、Android、Windows |
| 機能 | その他のアプリでの Web コンテンツの転送を制限する | 任意のアプリ | iOS/iPadOS、Android |
| 機能 | 組織のデータ通知 | 許可 | iOS/iPadOS、Android |
アクセス要件
| Setting | 値 | プラットフォーム | 備考 |
|---|---|---|---|
| アクセスに PIN を使用 | 必須 | iOS/iPadOS、Android | |
| PIN の種類 | 数値 | iOS/iPadOS、Android | |
| 単純な PIN | 許可 | iOS/iPadOS、Android | |
| PIN の最小桁数を選択する | 4 | iOS/iPadOS、Android | |
| アクセス用の PIN の代わりに Touch ID (iOS 8+/iPadOS) | 許可 | iOS/iPadOS | |
| タイムアウト後に PIN を使用して生体認証をオーバーライドする | 必須 | iOS/iPadOS、Android | |
| タイムアウト (アクティビティの分) | 1440 | iOS/iPadOS、Android | |
| アクセス用の PIN の代わりに顔 ID (iOS 11+/iPadOS) | 許可 | iOS/iPadOS | |
| アクセス用の PIN の代わりに生体認証 | 許可 | iOS/iPadOS、Android | |
| PIN をリセットするまでの日数 | 不要 | iOS/iPadOS、Android | |
| 維持する以前の PIN 値の数を選択する | 0 | Android | |
| デバイスの PIN が設定されている場合のアプリ PIN | 必須 | iOS/iPadOS、Android | デバイスが Intune に登録されている場合、管理者は、デバイス コンプライアンス ポリシーを介して強力なデバイス PIN を強制している場合は、これを "不要" に設定することを検討できます。 |
| アクセスに職場または学校アカウントの資格情報を使用 | 必須ではありません | iOS/iPadOS、Android | |
| (非アクティブ分数) 後にアクセス要件を再確認する | 30 | iOS/iPadOS、Android |
条件付き起動
| Setting | 設定の説明 | 値/アクション | プラットフォーム | 備考 |
|---|---|---|---|---|
| アプリの条件 | PIN の最大試行回数 | 5 / PIN のリセット | iOS/iPadOS、Android | |
| アプリの条件 | [オフラインの猶予期間] | 10080 / アクセスのブロック (分) | iOS/iPadOS、Android、Windows | |
| アプリの条件 | [オフラインの猶予期間] | 90 / データのワイプ (日) | iOS/iPadOS、Android、Windows | |
| デバイスの状態 | 脱獄またはルート化されたデバイス | 該当なし / アクセスをブロック | iOS/iPadOS、Android | |
| デバイスの状態 | [SafetyNet デバイスの構成証明] | 基本的な整合性と認定済みデバイス / アクセスのブロック | Android | この設定では、エンド ユーザー デバイスの Google Play のデバイス整合性チェックを構成します。 基本的な整合性では、デバイスの整合性が検証されます。 ルート化されたデバイス、エミュレーター、仮想デバイス、改ざんの兆候があるデバイスは基本的な整合性のチェックで不合格になります。 基本的な整合性と認定デバイスでは、デバイスの Google のサービスとの互換性が検証されます。 Google に認められた、改造されていないデバイスのみがこのチェックに合格します。 |
| デバイスの状態 | アプリに対する脅威スキャンの必須 | 該当なし / アクセスをブロック | Android | この設定によって、エンド ユーザー デバイス用に Google のアプリの検証スキャンが確実に有効になります。 構成されている場合、エンドユーザーは Android デバイスで Google のアプリのスキャンを有効にするまでアクセスからブロックされます。 |
| デバイスの状態 | 許容される最大デバイス脅威レベル | 低/アクセスをブロック | Windows | |
| デバイスの状態 | デバイス ロックの必須 | 低/警告 | Android | この設定により、Android デバイスに最小パスワード要件を満たすデバイス パスワードが設定されていることが保証されます。 |
注:
Windows の条件付き起動設定には 、正常性チェックというラベルが付けられています。
レベル 2 エンタープライズ拡張データ保護
レベル 2 は、ユーザーがより機密性の高い情報にアクセスするデバイスの標準として推奨されるデータ保護構成です。 これらのデバイスは、今日の企業では自然な対象です。 これらの推奨事項は、高度なスキルを持つセキュリティ担当者の大規模なスタッフを前提としていないため、ほとんどの企業組織がアクセスできるはずです。 この構成は、レベル 1 の構成を拡張したものです。 データ転送シナリオが制限され、最小オペレーティング システム バージョンが必要です。
重要
レベル 2 で適用されるポリシー設定には、レベル 1 に推奨されるすべてのポリシー設定が含まれます。 ただし、レベル 2 では、レベル 1 よりも多くの制御と高度な構成を実装するために追加または変更された設定のみが一覧表示されます。 これらの設定は、ユーザーまたはアプリケーションに対する影響が若干高くなる可能性があります。 モバイル デバイス上の機密情報にアクセスするユーザーが直面するリスクに合わせたレベルのデータ保護が適用されます。
データの保護
| Setting | 設定の説明 | 値 | プラットフォーム | 備考 |
|---|---|---|---|---|
| データ転送 | 組織のデータをバックアップする | ブロック | iOS/iPadOS、Android | |
| データ転送 | 組織データを他のアプリに送信する | ポリシーで管理されているアプリ | iOS/iPadOS、Android | iOS/iPadOS では、管理者はこの値を "ポリシーで管理されたアプリ"、"OS 共有を使用したポリシー管理アプリ"、または "Open-In/Share フィルターを使用したポリシーで管理されたアプリ" に構成できます。 OS 共有を使用するポリシー管理アプリは、デバイスが Intune にも登録されている場合に使用できます。 この設定により、他のポリシーで管理されているアプリへのデータ転送や、Intune によって管理されている他のアプリへのファイル転送が可能になります。 Open-In/Share フィルター処理を使用するポリシー管理アプリでは、OS の Open-In/Share ダイアログをフィルター処理して、ポリシーで管理されているアプリのみを表示します。 詳細については、「 iOS アプリ保護ポリシーの設定」を参照してください。 |
| データ転送 | 送信またはデータの送信先 | 宛先なし | Windows | |
| データ転送 | データを受信する元 | ソースなし | Windows | |
| データ転送 | 除外するアプリを選択します | デフォルト / skype;app-settings;calshow;itms;itmss;itms-apps;itms-appss;itms-services; | iOS/iPadOS | |
| データ転送 | 組織データのコピーを保存 | ブロック | iOS/iPadOS、Android | |
| データ転送 | ユーザーが選択したサービスにコピーを保存することを許可する | OneDrive for Business、SharePoint、フォト ライブラリ | iOS/iPadOS、Android | |
| データ転送 | 電話通信データの転送先 | 任意の電話アプリ | iOS/iPadOS、Android | |
| データ転送 | アプリ間での切り取り、コピー、貼り付けを制限する | 貼り付けを使用したポリシー管理アプリ | iOS/iPadOS、Android | |
| データ転送 | の切り取り、コピー、貼り付けを許可 | 宛先またはソースがありません | Windows | |
| データ転送 | 画面キャプチャと Google アシスタント | ブロック | Android | |
| 機能 | その他のアプリでの Web コンテンツの転送を制限する | Microsoft Edge | iOS/iPadOS、Android | |
| 機能 | 組織のデータ通知 | 組織データをブロックする | iOS/iPadOS、Android | この設定をサポートするアプリの一覧については、「 iOS アプリ保護ポリシー設定 」と「 Android アプリ保護ポリシー設定」を参照してください。 |
条件付き起動
| Setting | 設定の説明 | 値/アクション | プラットフォーム | 備考 |
|---|---|---|---|---|
| アプリの条件 | 無効なアカウント | 該当なし / アクセスをブロック | iOS/iPadOS、Android、Windows | |
| アプリの条件 | [オフラインの猶予期間] | 30 / データのワイプ (日) | iOS/iPadOS、Android、Windows | |
| デバイスの状態 | OS の最小バージョン |
形式: Major.Minor.Build 例: 14.8 / アクセスのブロック |
iOS/iPadOS | Microsoft アプリに対してサポートされている iOS のバージョンと一致するように、最小の iOS メジャー バージョンを構成することをお勧めします。 Microsoft アプリは N-1 アプローチをサポートしています。N は現在の iOS メジャー リリース バージョンです。 マイナー バージョンとビルド バージョンの値については、各セキュリティ更新プログラムでデバイスが最新の状態になるようにすることをお勧めします。 Apple の最新の推奨事項については、 Apple のセキュリティ更新プログラム を参照してください |
| デバイスの状態 | OS の最小バージョン |
形式: メジャー.マイナー 例: 9.0 / アクセスのブロック |
Android | Microsoft では、Microsoft アプリでサポートされる Android のバージョンと一致するように、Android の最小のメジャー バージョンを構成することを推奨しています。 OEM と Android Enterprise Recommended の要件に準拠しているデバイスでは、現在出荷されているリリースと 1 つ後のアップグレードをサポートしている必要があります。 現在、Android では、ナレッジ ワーカーに対して Android 9.0 以降が推奨されています。 Android の最新の推奨事項については、Android Enterprise の推奨要件 を参照してください |
| デバイスの状態 | OS の最小バージョン |
形式: ビルド 例: 10.0.26200.6899 / アクセスのブロック |
Windows | Microsoft アプリでサポートされている Windows のバージョンと一致するように最小の Windows ビルドを構成することをお勧めします。 現在、Microsoft は次のビルドを推奨しています。
|
| デバイスの状態 | 最小パッチ バージョン |
形式: YYYY-MM-DD 例: 2020-01-01 / アクセスのブロック |
Android | Android デバイスでは、毎月のセキュリティ パッチを受け取ることができますが、そのリリースは OEM や通信事業者に依存します。 組織では、この設定を実装する前に、展開されている Android デバイスで確実にセキュリティ更新プログラムを受け取れるようにする必要があります。 最新のパッチ リリースについては、 Android セキュリティ情報 を参照してください。 |
| デバイスの状態 | [Required SafetyNet evaluation type]\(必須の SafetyNet の評価の種類\) | ハードウェアを利用するキー | Android | ハードウェアによる構成証明は、新しいハードウェアによる評価の種類を適用することで、Google の既存の Play 整合性サービス チェックを強化します。 ソフトウェアのみのソリューションでは確実に識別できない新しいルート化ツールや技術に対処するために、より強力なルート検出を提供します。 その名前が示すように、ハードウェアによる構成証明では、Android 8.1 以降がインストールされたデバイスに同梱されているハードウェアベースのコンポーネントを使用します。 以前のバージョンの Android から Android 8.1 にアップグレードされたデバイスには、ハードウェアによる構成証明に必要なハードウェアベースのコンポーネントがない可能性があります。 この設定は Android 8.1 と共に出荷されるデバイス以降では広くサポートされているはずですが、Microsoft ではこのポリシー設定を広範囲で有効にする前に、デバイスを個別にテストすることを強くお勧めします。 |
| デバイスの状態 | デバイス ロックの必須 | 中/ブロック アクセス | Android | この設定により、Android デバイスに最小パスワード要件を満たすデバイス パスワードが設定されていることが保証されます。 |
| デバイスの状態 | Samsung Knox デバイスの構成証明 | アクセスをブロックする | Android | Microsoft では、デバイスが Samsung の Knox ハードウェアベースのデバイス正常性検証を満たしていない場合にユーザー アカウントがアクセスからブロックされるように、 Samsung Knox デバイスの構成証明 設定を [ アクセスをブロック ] に構成することをお勧めします。 この設定は、Intune サービスに対するすべての Intune MAM クライアント応答が正常なデバイスから送信されたことを確認します。 この設定は、対象となるすべてのデバイスに適用されます。 この設定を Samsung デバイスにのみ適用するには、[マネージド アプリ] 割り当てフィルターを使用できます。 割り当てフィルターの詳細については、「Microsoft Intune でアプリ、ポリシー、プロファイルを割り当てるときにフィルターを使用する」を参照してください。 |
注:
Windows の条件付き起動設定には 、正常性チェックというラベルが付けられています。
レベル 3 のエンタープライズの高度なデータ保護
レベル 3 は、大規模で洗練されたセキュリティ組織を持つ組織、または敵対者によって一意に標的にされる特定のユーザーやグループに標準として推奨されるデータ保護構成です。 このような組織は通常、資金が豊富で洗練された敵対者の標的となるため、前述の追加の制約と制御に値します。 この構成は、追加のデータ転送シナリオを制限し、PIN 構成の複雑さを増し、モバイルの脅威検出を追加することにより、レベル 2 の構成を拡張します。
重要
レベル 3 で適用されるポリシー設定には、レベル 2 で推奨されるすべてのポリシー設定が含まれますが、以下の設定のうち、レベル 2 よりも多くの制御と高度な構成を実装するために追加または変更された設定のみを示します。 これらのポリシー設定は、ユーザーまたはアプリケーションに重大な影響を与える可能性があり、対象の組織が直面するリスクに見合ったレベルのセキュリティが適用されます。
データの保護
| Setting | 設定の説明 | 値 | プラットフォーム | 備考 |
|---|---|---|---|---|
| データ転送 | 電話通信データの転送先 | 任意のポリシーで管理されるダイヤラー アプリ | Android | 管理者は、 特定のダイヤラー アプリ を選択し、[ダイ ヤラー アプリ パッケージ ID ] と [ダイヤラー アプリ名] の値を指定することで、アプリ保護ポリシーをサポートしていないダイヤラー アプリを使用するようにこの設定を構成することもできます。 |
| データ転送 | 電話通信データの転送先 | 特定のダイヤラー アプリ | iOS/iPadOS | |
| データ転送 | 電話アプリ URL スキーム | replace_with_dialer_app_url_scheme | iOS/iPadOS | iOS/iPadOS では、この値は、使用するカスタム ダイヤラー アプリの URL スキームに置き換える必要があります。 URL スキームが不明な場合は、アプリ開発者に詳細をお問い合わせください。 URL スキームの詳細については、「 アプリのカスタム URL スキームの定義」を参照してください。 |
| データ転送 | 他のアプリからデータを受信 | ポリシーで管理されているアプリ | iOS/iPadOS、Android | |
| データ転送 | データを開いて組織ドキュメントに読み込む | ブロック | iOS/iPadOS、Android | |
| データ転送 | 選択したサービスからデータを開くことをユーザーに許可する | OneDrive for Business、SharePoint、カメラ、フォト ライブラリ | iOS/iPadOS、Android | 関連情報については、「 Android のアプリ保護ポリシーの設定 」と「 iOS のアプリ保護ポリシーの設定」を参照してください。 |
| データ転送 | サード パーティ製キーボード | ブロック | iOS/iPadOS | iOS/iPadOS では、これにより、すべてのサード パーティ製キーボードがアプリ内で機能しなくなります。 |
| データ転送 | 承認済みキーボード | 必須 | Android | |
| データ転送 | 承認するキーボードを選択する | キーボードの追加/削除 | Android | Android では、展開済みの Android デバイスに基づいてキーボードを使用するために選択する必要があります。 |
| 機能 | 組織データの印刷 | ブロック | iOS/iPadOS、Android、Windows |
アクセス要件
| Setting | 値 | プラットフォーム |
|---|---|---|
| 単純な PIN | ブロック | iOS/iPadOS、Android |
| PIN の最小桁数を選択する | 6 | iOS/iPadOS、Android |
| PIN をリセットするまでの日数 | はい | iOS/iPadOS、Android |
| 日数 | 365 | iOS/iPadOS、Android |
| クラス 3 生体認証 (Android 9.0+) | 必須 | Android |
| 生体認証の更新後に PIN を使用して生体認証を上書きする | 必須 | Android |
条件付き起動
| Setting | 設定の説明 | 値/アクション | プラットフォーム | 備考 |
|---|---|---|---|---|
| デバイスの状態 | デバイス ロックの必須 | 高/ブロック アクセス | Android | この設定により、Android デバイスに最小パスワード要件を満たすデバイス パスワードが設定されていることが保証されます。 |
| デバイスの状態 | 許容される最大デバイス脅威レベル | セキュリティで保護されたか、アクセスをブロックする | Windows | |
| デバイスの状態 | 脱獄またはルート化されたデバイス | N/A / データのワイプ | iOS/iPadOS、Android | |
| デバイスの状態 | 最大許容脅威レベル | セキュリティで保護されたか、アクセスをブロックする | iOS/iPadOS、Android | 登録されていないデバイスは、Mobile Threat Defense を使用して脅威の検査を行うことができます。 詳細については、 登録されていないデバイスの Mobile Threat Defense を参照してください。 デバイスが登録されている場合は、この設定をスキップして、登録済みデバイスに Mobile Threat Defense を展開することができます。 詳細については、登録デバイスのモバイル脅威防御に関するページをご覧ください。 |
| デバイスの状態 | OS の最大バージョン |
形式: メジャー.マイナー 例: 11.0 / アクセスのブロック |
Android | Microsoft では、オペレーティング システムのベータ版またはサポートされていないバージョンが使用されないように、Android のメジャー バージョンを最大限に構成することをお勧めします。 Android の最新の推奨事項については、Android Enterprise の推奨要件 を参照してください |
| デバイスの状態 | OS の最大バージョン |
形式: Major.Minor.Build 例: 15.0 / アクセスのブロック |
iOS/iPadOS | オペレーティング システムのベータ版またはサポートされていないバージョンが使用されないように、最大の iOS/iPadOS メジャー バージョンを構成することをお勧めします。 Apple の最新の推奨事項については、 Apple のセキュリティ更新プログラム を参照してください |
| デバイスの状態 | OS の最大バージョン |
形式: メジャー.マイナー 例: 22631。 / アクセスをブロックする |
Windows | Microsoft では、オペレーティング システムのベータ版またはサポートされていないバージョンが使用されないように、Windows のメジャー バージョンの最大値を構成することをお勧めします。 |
| デバイスの状態 | Samsung Knox デバイスの構成証明 | [データのワイプ] | Android | Microsoft では、デバイスが Samsung の Knox ハードウェアベースのデバイス正常性検証を満たしていない場合に組織データが削除されるように、 Samsung Knox デバイスの構成証明 設定をデータを ワイプ するように構成することをお勧めします。 この設定は、Intune サービスに対するすべての Intune MAM クライアント応答が正常なデバイスから送信されたことを確認します。 この設定は、対象となるすべてのデバイスに適用されます。 この設定を Samsung デバイスにのみ適用するには、[マネージド アプリ] 割り当てフィルターを使用できます。 割り当てフィルターの詳細については、「Microsoft Intune でアプリ、ポリシー、プロファイルを割り当てるときにフィルターを使用する」を参照してください。 |
次の手順
管理者は、Intune の PowerShell スクリプトを使用してサンプル Intune アプリ保護ポリシー構成フレームワーク JSON テンプレートをインポートすることで、テストおよび運用環境で使用するためにリング展開方法論に上記の構成レベルを組み込むことができます。