Microsoft Intune アプリ保護ポリシーの統合

Omnissa Workspace ONE UEM と Microsoft Intune® アプリ保護ポリシーの統合により、2 つのコンソールで Microsoft Intune アプリ保護ポリシーのデータ漏洩防止 (DLP) ポリシーの管理が削除されます。

Omnissa Workspace ONE UEM で、Microsoft Intune アプリ保護の DLP アプリケーション ポリシーを構成することが可能になります。2 つのシステムが統合されると、Omnissa Workspace ONE UEM Console で DLP アプリケーション ポリシーが管理されるので、これにより最新の状態を維持することが可能になります。

ほとんどの Microsoft Intune アプリ保護ポリシーは、Android プラットフォームおよび iOS プラットフォームで使用できます。

Workspace ONE UEM コンソールで管理して同期化を維持

2 つのシステムが統合されると、Workspace ONE UEM Console で DLP アプリケーション ポリシーが管理されるので、これにより最新の状態を維持することが可能になります。Workspace ONE UEM では、その他の統合において行われた変更は適用されません。DLP アプリケーションポリシーまたはセキュリティ グループ割り当てが同期されない場合があります。

Android および iOS でのユーザー エクスペリエンス

iOS プラットフォームと Android プラットフォームでは、Intune との統合完了後、アプリに初めてアクセスしたときのユーザー エクスペリエンスが若干異なります。

iOS でのエクスペリエンス

デバイス ユーザーが iOS デバイスの Microsoft Office 365 アプリケーションに対して認証を行い、プロファイルが正常にプッシュされると、ポップアップ表示にて、組織によりアプリケーションが管理されていることを確認することができます。構成において追加の手順はありません。

Android でのエクスペリエンス

Android および Android Enterprise デバイスを管理するには、Intune Company Portal アプリケーションをインストールする必要があります。このアプリケーションは、Workspace ONE Intelligent Hub が Workspace ONE UEM アプリケーションのブローカとして機能するのと同じように、Intune アプリ SDK のブローカとして機能します。

iOS および Android での一般的なエクスペリエンス

いずれのプラットフォームでも、デバイスにて Intune を MDM 認証に設定する必要があります。この設定は、[Azure テナント] > [すべてのリソース] > [Intune] のデバイスで構成することができます。[はじめに] の通知から [Intune MDM 認証] を有効にします。

Azure でアクションを実行して Microsoft Intune を統合

統合の場合、ユーザー アカウントを作成し、リストにある Microsoft ライセンスをユーザーに割り当てます。

Workspace ONE UEM Console のディレクトリ サービスにおいて Azure AD 統合がない環境では、AirWatch by Omnissa アプリを Azure に追加する必要があります。詳細については、「Workspace ONE UEM と Azure Active Directory との統合」にアクセスしてください。

重要：Workspace ONE UEM 以外の MDM プロバイダで OOBE (Out of The Box Enrollment) がすでにセットアップされている場合、Azure に AirWatch by Omnissa を追加し、その他の設定については入力や編集をしないでください。構成を入力または編集すると、既存の登録プロセスが中断されるおそれがあります。

• Azure でサービス アカウント（ユーザー）を作成し、ユーザーに適切なロールを割り当てます。

  **注：**これらは一般的な手順です。Azure の構成に関する最新情報については、Microsoft のドキュメントを参照してください。

  1. ブラウザに portal.azure.com と入力して、Azure ポータルに移動します。

  2. ユーザーを作成するか、ユーザーをオンプレミスの Active Directory と同期します。

  3. このサービス アカウントで、多要素認証 (MFA) が中断することなく認証できることを確認します。

     組織で条件付きアクセスを使用している場合は、このサービス アカウント、またはそれを含むセキュリティ グループを次のポリシーの例外として追加します。

     • 管理者用の多要素認証
     • すべてのユーザー用の多要素認証

     If your organization uses legacy MFA settings, deactivate MFA only for this service account.

  4. Assign this user the listed roles.

     • Intune 管理者
     • アプリケーション管理者
     • ディレクトリ閲覧者
     • ディレクトリ ライター

• Azure AD でユーザーを作成した場合、portal.azure.com からこのアカウントで Azure にログインします。パスワードが有効で、更新の必要がないことを確認します。

• Azure の Microsoft Enterprise Mobility + Security E3 または E5 ライセンスのいずれかをユーザーに割り当てる必要があります。

Intune 設定を構成

Workspace ONE UEM Console にて、データ漏洩防止 (DLP) アプリケーション ポリシーを構成し、Microsoft Intune® アプリ保護のアプリケーションとデータに適用させます。システムが通信できるように、最初に [認証] タブを構成します。その後、統合用に構成し、ユーザー アカウントを作成し、リストにある Microsoft ライセンスをユーザーに割り当てます。次に、DLP 設定を構成し、グループに割り当てます。

Workspace ONE UEM は、アプリケーションにポリシーを直接強制するものではありません。Microsoft SDK は、ポリシーを制御して適用させます。

**注：**この警告は、オペレーティング システムのバージョンとアプリのバージョンに応じて変わります。Android パッチ バージョンの場合、ユーザーへの通知は警告メッセージのみになります。尚、警告アラートによって、エンド ユーザーのアプリケーションの使用が停止されることはありません。

前提条件

DLP アプリケーションポリシーを構成して Intune アプリケーションに適用させるには、Intune でアプリケーションポリシーを構成する権限が必要です。

手順

1. [グループと設定] > [すべての設定] > [アプリ] > [Microsoft Intune® アプリ保護ポリシー] の順に進みます。

   

2. [認証] タブを選択し、Azure 管理者のユーザー名とパスワードを入力します。

   管理者は、Office 365 DLP アプリケーションポリシーを使用することで、Microsoft Graph API で Office 365 アプリとデータを保護できます。Office 365 DLP ポリシーを構成するには、テナントを Workspace ONE UEM に接続するための管理者認証情報が必要です。

   設定	説明
   ユーザー名	テナントを Workspace ONE UEM に構成する際に使用するユーザー名を入力します。
   パスワード	テナントを Workspace ONE UEM に構成する際に使用するパスワードを入力します。

   Workspace ONE UEM は、これらの認証情報で DLP アプリケーション ポリシーを検索し、Microsoft セキュリティ グループに割り当てます。

3. [データ漏洩防止] タブを選択し、推奨の Microsoft Intune アプリ保護ポリシーの DLP アプリケーションポリシーを構成します。管理 Microsoft Intune アプリ保護ポリシーのアプリケーションとデータにおける DLP アプリケーションポリシーを構成します。

   データ再配置の設定	説明
   バックアップ禁止	ユーザーは、管理アプリケーションのデータをバックアップできなくなります。
   アプリから別のアプリへのデータ転送を許可	すべて - ユーザーは、管理対象アプリケーションから任意のアプリケーションへのデータ送信ができるようになります。 制限付き - ユーザーは、管理対象アプリケーションから他の管理対象アプリケーションへのデータ送信ができるようになります。 なし - ユーザーは、管理対象アプリケーションからどのアプリケーションにもデータ転送ができなくなります。
   別のアプリからアプリへのデータ受信を許可	すべて - ユーザーは、アプリケーションから管理対象アプリケーションへのデータ受信ができるようになります。 制限付き - ユーザーは、他の管理対象アプリケーションから管理対象アプリケーションへのデータ受信ができるようになります。 なし - ユーザーは、どのアプリケーションからも管理対象アプリケーションへのデータ受信ができなくなります。
   [名前を付けて保存] を禁止	ユーザーは、管理 Microsoft Intuneアプリ保護ポリシーのアプリケーション データを別のストレージ システムや領域に保存できなくなります。
   別のアプリで切り取り、コピー、貼り付けを制限	任意のアプリ - ユーザーは、管理対象アプリケーションと任意のアプリケーション間でデータの切り取り、コピー、貼り付けができるようになります。 ブロック - ユーザーは、管理対象アプリケーションとすべてのアプリケーション間でデータの切り取り、コピー、貼り付けができなくなります。 ポリシー管理アプリ - ユーザーは、管理対象 Microsoft Intune アプリ保護ポリシー アプリケーション間でデータの切り取り、コピー、貼り付けができるようになります。 貼り付けを使用する、ポリシーで管理されているアプリ - ユーザーは、管理対象アプリケーションのデータを切り取りまたはコピーし、他の管理対象アプリケーションに貼り付けることができるようになります。 またユーザーは、任意のアプリケーションのデータを切り取りまたはコピーし、管理対象アプリケーションに貼り付けることもできるようになります。
   管理ブラウザでの Web コンテンツの表示を制限	管理アプリケーションのリンクを管理ブラウザで強制的に開くようにします。
   アプリ データを暗号化	デバイスが選択された状態になると、管理アプリケーションに関連するデータが暗号化されます。システムにより、外部ストレージ ドライブや SIM カードなどの任意の場所に保存されたデータは暗号化されます。
   コンテンツの同期を無効化	管理アプリケーションでは、連絡先をネイティブのアドレス帳に保存できなくなります。
   印刷の無効化	ユーザーは、管理アプリケーションに関連付けられたデータを印刷できなくなります。
   使用できるデータ ストレージの場所	管理者は、ユーザーが管理アプリケーションのデータを保存できる場所を制御することができます。

   アクセス設定	説明
   アクセスには暗証番号が必要	管理アプリケーションにアクセスするには、ユーザーは暗証番号を入力する必要があります。 ユーザーは初回アクセス時に暗証番号を作成します。
   暗証番号がリセットされるまでの試行回数	システムにより暗証番号がリセットされるまで、ユーザーが試行できる回数を設定します。
   シンプルな暗証番号を許可	ユーザーは、反復文字を用いた4桁の暗証番号を作成することができます。
   暗証番号の長さ	暗証番号用に設定が必要な文字の文字数を設定します。
   暗証番号に使用できる文字	暗証番号用に設定が必要な文字を設定します。
   暗証番号の代わりに指紋の使用を許可	ユーザーは、暗証番号ではなく指紋で管理アプリケーションにアクセスすることができます。
   アクセスに企業認証情報を要求	ユーザーは、企業認証情報で管理アプリケーションにアクセスすることができます。
   ジェイルブレイク状態またはルート化されたデバイスで、管理アプリの実行をブロック	ユーザーは、侵害状態のデバイスの管理アプリケーションにアクセスできなくなります。
   アクセス要件の再検証までの時間（分）	アクセス セッションが下記のいずれかの時間間隔に達した際に、アクセス用暗証番号、指紋、または認証情報を検証するようシステムを設定します。 タイムアウト - 管理対象アプリケーションのアクセス セッションがアイドル状態になっている時間（分）。 オフライン猶予期間 - 管理対象アプリケーションを使用するデバイスがオフラインになっている時間（分）。
   データがワイプされるまでのオフライン日数	デバイスが一定の日数の間オフラインになった場合、管理アプリケーション データをデバイスから削除するようシステムを設定します。

   Android の設定	説明
   スクリーン キャプチャと Android Assistant をブロックする	[はい] を選択すると、Office アプリの使用時にスクリーン キャプチャと Android Assistant アプリによるスキャンが使用できなくなります。
   オペレーティング システムの最小バージョンが必要です	アプリケーションへのセキュアなアクセスに必要な、Android OS の必要最小バージョン番号を入力します。
   オペレーティング システムの最小バージョンが必要です (警告アラートのみ)	アプリケーションへのセキュアなアクセスに必要な、Android OS の最小バージョン番号を入力します。
   アプリの最小バージョンが必要です	アプリケーションへのセキュアなアクセスに必要な、アプリの必要最小バージョン番号を入力します。
   アプリの最小バージョンが必要です (警告アラートのみ)	アプリケーションへのセキュアなアクセスに必要な、アプリの最小バージョン番号を入力します。
   Android パッチの最小バージョンが必要です	アプリケーションへのセキュアなアクセスを確保できる、最も古い必須 Android セキュリティ パッチレベルを入力します。
   Android パッチの最小バージョンが必要です (警告アラートのみ)	アプリケーションへのセキュアなアクセスを確保できる、最も古い Android セキュリティ パッチレベルを入力します。

4. [割り当てられるグループ] タブを選択し、DLP アプリケーション ポリシーを Microsoft セキュリティ グループに割り当てます。セキュリティ グループは、Azure で予め構成しておきます。

   設定	説明
   すべてのセキュリティ グループ	セキュリティ グループの名前を入力し、DLP アプリ ポリシーに割り当てます。入力後、システムで表示されるリストから選択します。 [グループを追加] を選択し、DLP アプリ ポリシーをセキュリティ グループに割り当てます。
   O365 ポリシーに割り当てられたセキュリティ グループ	DLP アプリ ポリシーに割り当てられたセキュリティ グループを一覧表示します。 [グループを削除] を選択し、セキュリティ グループから割り当てを削除します。

削除および変更されたポリシーの警告メッセージ

Microsoft Intuneアプリ保護ポリシーのロード後、Workspace ONE UEM Console にて Azure ポータルの Intune における削除と変更の確認をします。管理ポリシーが、展開されたポリシーと同期されなくなる可能性があります。削除や変更の可能性について管理者に警告するために、Workspace ONE UEM Console によりシナリオに基づいて警告メッセージが表示されます。

• Policy was deleted on the Microsoft Intune Portal. Click Delete Settings to delete the policy settings from UEM.

  Intune で展開されている iOS ポリシーと Android ポリシーのいずれかまたは両方が削除されると、Workspace ONE UEM Console によりこのメッセージが表示されます。[設定の削除] を選択すると、両方のポリシーの設定が Workspace ONE UEM Console から削除されます。尚、Azure 側では変更は一切発生しません。[コンソール] ページは自動的に更新されません。

  ユーザーは、新しい iOS および Android ポリシーをエラーなしで Azure に展開することができます。

  注：Azure で iOS または Android のいずれかのポリシーのみが削除される場合は、もう一方のポリシーが Azure で存続します。過去の設定を保持しないことをユーザーが選択した場合、他のポリシーは手動で削除する必要があります。

• Policy were updated on the Microsoft Intune portal and are out of sync with Workspace ONE UEM. Click Sync Settings to update this policy in UEM.

  Azure ポータルの Intune において iOS と Android の両ポリシーが変更され、両ポリシーとも設定が同じである場合、Workspace ONE UEM Console によりこのメッセージが表示されます。[同期設定] を選択すると、Workspace ONE UEM の両ポリシーの設定が更新され、Azure で取得するポリシーと一致させることができます。[コンソール] ページは自動的に更新されません。

  注：このシナリオでは、iOS SDK 設定や Android Assistant 設定など、iOS や Android に対する固有の設定は除外されます。

• "Receive data between other apps" policy is different for Android policy and iOS policies in Azure Portal. This setting needs to be the same for Workspace ONE UEM to sync the Android and iOS policies. Contact IT administrator to resolve the issue.

  "Receive data between other apps" and "Send org data to other apps" policies are different for Android and iOS in the Azure portal. These settings need to be the same for Workspace ONE UEM to sync the Android and iOS policies. Contact IT administrator to resolve the issue.

  "Prevent Backups", "Receive data between other apps", and "Send org data to other apps" policies are different for Android policy and iOS policies in the Azure portal. These settings need to be the same for Workspace ONE UEM to sync the Android and iOS policies. Contact the IT administrator to resolve the issue.

  Azure ポータルの Intune において両ポリシーが変更され、両ポリシーの設定が一致しない場合、Workspace ONE UEM Console により、これらのメッセージが表示されます。メッセージには、Azure での両ポリシー間における設定の相違内容が表示されます。また、Workspace ONE UEM Console で使用されるポリシー名ではなく、Azure で一覧表示されているポリシー名が表示されます。

  Workspace ONE UEM Console の [同期設定] のメニュー項目を使用する前に、メッセージにて一覧表示されている相違内容を解決します。

  **注：**このシナリオでは、iOS SDK 設定や Android Assistant 設定など、iOS や Android に対する固有の設定は除外されます。

[設定の削除] のメニュー項目と [同期設定] のメニュー項目により、Azure ポータルでの Intune の設定は変更されません。