AMAPI を使用した Android 用プロファイルの構成

Android 管理 API を使用して管理されている Android デバイスでは、次のプロファイル ペイロードを使用できます。Workspace ONE UEM Console には、各設定でサポートされている管理モードと OS の最小バージョンが表示されます。

ネットワーク スライシング

企業所有の Android デバイスでネットワーク スライシング設定を管理できます。Android 13 以降でのみサポートされます。デバイスで使用可能なネットワーク スライスについては、キャリアにお問い合わせください。

警告：ネットワーク スライシング設定の構成に誤りがあると、アプリケーションがデバイスのモバイル ネットワークへの接続を失う可能性があります。

Work プロファイル内のすべてのアプリで使用される、デフォルトのネットワーク スライスを選択できます。アプリケーション ポリシーで特定のネットワークを割り当てた場合、管理対象アプリはこの設定を無視します。特定のアプリケーションのネットワーク スライシングのみを構成する場合は、これを NONE に設定します。

また、アプリケーションが Workspace ONE UEM でネットワーク スライスを使用するように構成されている場合の、アプリケーションの動作を構成することもできます。

たとえば、デフォルトのネットワーク スライスを ENTERPRISE に設定する場合は、次のように構成します。

• 管理対象ブラウザ アプリケーションのアプリケーション ポリシーで、[ネットワーク スライス] を ENTERPRISE3 に設定します。
• ENTERPRISE の場合：
  • デバイス ネットワークへのフォールバックが許可されます
  • アプリが別のネットワーク スライスを選択することが許可されます
• ENTERPRISE3 の場合：
  • デバイス ネットワークへのフォールバックは許可されません
  • アプリが別のネットワーク スライスを選択することが許可されません

次に：

• 管理対象ブラウザ アプリケーションの場合：

  • Android は、スライス ENTERPRISE3 を介して、管理対象ブラウザ アプリケーションからのネットワーク要求をルーティングします。
  • ENTERPRISE3 が使用できない場合、ブラウザ アプリケーションはデフォルトのモバイル ネットワーク接続（ネットワーク スライスなし、NONE）にフォール バックしません。デバイスが Wi-Fi に接続されるか、ENTERPRISE3 が利用可能になるまで、ブラウザはネットワーク要求を行うことができません。
  • ブラウザ アプリケーションは、他のネットワーク スライスを使用できません。たとえば、アプリケーション開発者が、特定のサイトに接続するときにスライス ENTERPRISE5 を使用するように、ブラウザ アプリケーションをプログラムしている場合、Android はこの問題を回避します。

• Work プロファイル内の他のすべてのアプリケーション（管理対象および管理対象外）：

  • Android は ENTERPRISE を介してネットワーク要求をルーティングします
  • ENTERPRISE が使用できない場合、アプリケーションはデフォルトのモバイル ネットワーク接続（ネットワーク スライスなし、NONE）にフォール バックしません。アプリケーションのネットワーク要求は、特定のネットワーク スライスを介してルーティングされません。
  • アプリケーションは、他のネットワーク スライスを介してネットワーク要求を行うことが許可されます。

Display Settings

このプロファイルを使用して、企業所有の Android デバイスで画面のタイムアウトと明るさを管理します。Android 15 以降でのみサポートされます。

高度なセキュリティ オーバーライド

高度なセキュリティ オーバーライド ペイロードを使用すると、Android の機密性の高い機能を制御できます。たとえば、 高度なセキュリティ オーバーライド ペイロードを使用して、ユーザーが開発者設定を有効にできないように制限できます。逆に、ユーザーが Play Verify アプリを無効にすることもできます。

常時 VPN に接続

このペイロードを使用して、任意の VPN アプリケーションで Always-On VPN を有効にします。Android は、このアプリケーションの VPN サービスを自動的に開始し、常に実行し続けます。

アプリケーション資格情報アクセス

通常、Android アプリケーションは、Android キーストアに保存されているユーザー証明書 (プライベート キーとも呼ばれる) にサイレント アクセスできません。アプリケーションは通常、Android キーストアで使用する必要のあるユーザー証明書を選択するようにユーザーに求める必要があります。リストからユーザー証明書を選択すると、ユーザーはユーザー証明書にアクセスするアプリケーションに同意します。

このペイロードを使用して、アプリケーションが次のいずれかの方法でユーザー証明書にサイレント アクセスできるようにします。

• URL パターンが指定されていない場合、アプリケーションは Keychain.getPrivateKey を使用してユーザー証明書をサイレントに取得できます。これは Android 11 以降でのみサポートされます。このオプションを使用するアプリケーションは、証明書のサブジェクト名を事前に把握しておく必要があります。Workspace ONE UEM は、証明書を Android キーストアに追加するときに、証明書のサブジェクト名を証明書のエイリアスまたはフレンドリ名として設定します。通常、管理者は、証明書エイリアスをアプリケーション構成の一部として送信することで、事前にアプリケーションに渡します。
• URL パターンが指定されている場合、アプリケーションがこの URL パターンに一致する URL に対して Keychain.choosePrivateKeyAlias を呼び出すと、アプリケーションに証明書へのアクセス権が自動的に付与されます。これは、すべての OS バージョンでサポートされます。

資格情報

証明書を Android デバイスにプロビジョニングすることで、次の多くのユースケースを満たすことができます。

• デバイスが WPA2 エンタープライズおよび WPA3 エンタープライズ ネットワークに接続できるようにします。
• アプリケーションが証明書ベースの認証を実行できるようにします。
• アプリケーションがサードパーティおよび内部の認証局を信頼できるようにします。
• S/MIME を使用したセキュアな E メール通信。

デバイスは、Workspace ONE UEM がプライベート キーを使用して証明書をインストールする前にデバイス PIN コードを構成する必要があります。

カスタムメッセージ

このペイロードを使用して、管理対象 Android デバイスのエラー メッセージ、ロック画面メッセージ、およびサポート情報をカスタマイズします。

パスコード

管理者がパスコード ポリシーを設定した場合、エンドユーザーはパスコードを入力する必要があります。パスコードは、デバイス上の機密データを守るための最初の防御層です。

Work プロファイル パスコード ポリシーの要件は業務アプリにのみ適用されますが、デバイス パスコード ポリシーの要件はデバイスのロック解除にのみ適用されます。Work プロファイルを使用するデバイスの成果は、有効になっているポリシーによって異なります。

• Work パスコード ポリシーのみ：ユーザーは、ポリシー要件を満たす業務アプリに対してのみ、個別のパスコードを作成するように求められます。ただし、既存のデバイス パスコードがすでに Work パスコード ポリシーの複雑度要件を満たしており、Work パスコード ポリシーで [ワン ロックを許可] が有効になっている場合、ユーザーは別のパスコードを設定するように求められないことがあります。代わりに、現在のデバイス パスコードを使用して、個人アプリと業務アプリのロックを解除します。
• デバイス パスコード ポリシーのみ：ポリシー要件を満たすには、デバイス パスコードが必要です。現在のデバイス パスコードがポリシー要件を満たしていない場合、ユーザーは新しいパスコードを設定するように求められます。
• Work パスコード ポリシーとデバイス パスコード ポリシーに適用：この結果は、Work パスコード ポリシーのみを設定する場合と似ています。ただし、デバイス パスコード ポリシーの要件を満たすデバイス全体のパスコードを設定する必要もあります。

アクセス権限

デバイス管理モードに応じて、デバイスまたは Work プロファイル上のすべてのアプリケーションの既定の権限動作を設定します。また、特定の権限に対するデフォルトの権限動作に例外を設定することもできます。Work プロファイル モードで加入したデバイスの場合、このペイロードは業務アプリのみの権限を制御します。

このペイロードはランタイム権限 (危険な権限とも呼ばれる) にのみ適用されます。たとえば、デバイスのカメラまたは位置情報へのアクセスが含まれます。デフォルトでは、アプリケーションがユーザーにランタイム権限の付与を求める必要があります。ユーザーは、これらの権限要求を許可または拒否することを選択できます。デフォルトの動作を許可または拒否に設定すると、管理者はユーザーの操作を回避し、アプリごとの権限要求の結果を決定します。

Workspace ONE は、管理対象アプリケーションに対して、Usage Access や Draw Over Apps などの特権を付与できません。権限のタイプの詳細については、(Android 開発者 Web サイト)[https://developer.android.com/guide/topics/permissions/overview] を参照してください。

Work プロファイル モードで加入している Android 12 以降のデバイスの場合、Workspace ONE UEM は、カメラなどのセンサーを含むランタイム権限と、デバイスの位置情報へのアクセス権をサイレントに付与できません。

制限

デバイス機能、ネットワーク、他のデバイス、アプリケーションへの接続などに関連する制限を適用します。デバイスに複数の制限事項プロファイルがインストールされている場合、Workspace ONE UEM は、インストールされているプロファイルのセットから各設定の中で最も制限の厳しい値を選択します。

Tunnel

このプロファイル ペイロードを使用して、Android Workspace ONE Tunnel アプリケーションを構成します。Tunnel で Always-On VPN を有効にするには、Always-On VPN プロファイル ペイロードを使用します。この場合は、Tunnel ペイロードと Always-On VPN ペイロードの両方を同じプロファイルに設定することをお勧めします。

Wi-Fi

Wi-Fi プロファイルを構成することにより、デバイスから社内ネットワークに接続できます。非公開/暗号化/保護されている場合でも接続できます。

Wi-Fi アクセスが便利な場面としては、独自のワイヤレス ネットワークを構築している他のオフィスにエンドユーザーが出張する場合や、オフィス内で適切なワイヤレス ネットワークに接続するようデバイスを自動構成する場合などが考えられます。

ユーザーがすでにデバイスを Wi-Fi ネットワークに手動で接続している場合、Workspace ONE UEM で Wi-Fi 構成を変更することはできません。

システム更新

このプロファイルを使用して、Workspace ONE UEM に加入した企業所有の Android デバイスで Android デバイス更新を管理します。

年間システム更新の凍結期間の検討事項

次のガイドラインに従って、凍結期間中に更新を適用する方法を検討します。

• デバイスは、保留中の OTA 更新に関する通知を受信しません。
• デバイスは、OS に OTA 更新をインストールしません。
• デバイス ユーザーは、OTA 更新を手動で確認できません。

エンタープライズ工場出荷状態へリセットの保護

工場出荷状態リセットの保護 (FRP) は、未承認の工場出荷状態リセット後にデバイスにアクセスできないようにする Android セキュリティ機能です。エンタープライズ工場出荷状態リセット保護プロファイルをプッシュすることで、デバイスへのアクセスを回復するために使用できる Google アカウントを指定できます。FRP は、デバイスがワイプされるか、工場出荷状態にリセットされたときにトリガされます。ただし、Workspace ONE UEM を介して管理者がデバイスをワイプする場合を除きます。

たとえば、ユーザーが Android 設定アプリケーションからデバイスをリセットした場合、許可リストに登録されている Google アカウントのいずれかを使用してデバイスへのアクセスを回復する必要があります。

個人の使用制限 (COPE)

これらの制限は、企業所有の個人利用 (COPE) モードで加入したデバイスの個人に適用されます。