カスタム DPC 用 Android プロファイル

Android カスタム DPC デバイスでは、次のプロファイル ペイロードを使用できます。

パスコード ペイロード

管理者がパスコード ポリシーを設定した場合、エンドユーザーはパスコードを入力する必要があります。パスコードは、デバイス上の機密データを守るための最初の防御層です。

Work パスコード ポリシーは、Work アプリにのみ適用され、ユーザーは Work プロファイルで加入されたデバイスをロック解除するたびに、複雑なパスワードを入力する必要がなくなります。Work アプリケーションにより、企業アプリのデータが保護されるため、エンド ユーザーは任意の方法で個人アプリやデータにアクセスすることができます。Work 管理対象デバイスの場合、このパスコード ポリシーがデバイスに適用されます。Work パスコードは、Android 7.0 (Nougat) 以降の Work プロファイル加入済みデバイスに使用可能です。

デバイス パスコード ポリシーはデバイス全体に適用されます（Work プロファイルまたは Work 管理対象として加入されています）。このパスコードは、デバイスのロックが解除されるたびに入力する必要があり、Work パスコードとは別に適用できます。

デフォルトでは、新しいプロファイルを作成するときに、Work パスコードのみがオンになります（デバイス パスコードはアクティブ化されていません）。管理者は、デバイス パスコードを手動でオンにする必要があります。

**注：**パスコード プロファイルがデバイスに存在しても、ユーザーがパスコードを設定していない場合、デバイスが順守状態になるまで、アプリやプロファイルはデバイスにプッシュされません。

パスコード ポリシーが確立されると、パスコードが最も近い有効期限に達するか、パスコードの変更が必要になったときに、UEM Console からユーザーに対して、パスコード設定の更新を求める永続的な通知が出されます。ユーザーは、プロファイルで必要なパスコードを設定するまで、Intelligent Hub を使用できません。Samsung 製デバイスでは、パスコード ポリシーの要件を満たすパスコードを設定するまで、ユーザーはロック画面のセットアップ ウィザードにロックされます。Work 管理対象デバイスの場合、ユーザーはデバイスを使用できません。Work プロファイルおよび COPE デバイスの場合、ユーザーは Work アプリケーションにアクセスできません。

パスコードの複雑度

Work パスコードまたはデバイス パスコードを設定する場合は、追加設定を構成する前にパスコードの複雑度を決定します。まず、パスコードの複雑度の最小要件をどの程度きめ細かくするかを決定するには、パスコードの複雑度制御を基本または 高度な設定に設定します。

基本を選択すると、複雑度を低、中、または 高として設定できます。低の場合、ユーザーは任意のタイプのスクリーン ロックを設定できます。中の複雑度の場合、ユーザーは自分のデバイスに複雑な暗証番号またはパスコードを設定する必要があります。最小長さ制限はありません。高を選択した場合、ユーザーは次のいずれかを設定する必要があります。

• 8 文字以上の複雑な暗証番号
• 6 文字以上のパスワード

高度を選択した場合は、プロファイル設定に記載されているパスコードのコンテンツとパスコードの最小長の設定を行う必要があります。

[パスコード] プロファイルに使用可能な設定の概要は以下のとおりです。

パスコードのコンテンツ テキスト ボックスで 「複雑」 を選択した場合、次の設定が適用されます。

次の設定は、Samsung デバイスでパスコードを設定する場合に適用されます。

これらの設定が表示されるのは、[全般] プロファイルで [OEM 設定] が選択され、[OEM の選択] ドロップダウンで [Samsung] が選択されている場合です。

ロック画面オーバーレイを構成する (Android)

パスコード プロファイルの ロック画面オーバーレイ オプションを使用することにより、画面ロック画像上に情報をオーバーレイ表示できます。これにより、エンドユーザー、またはロックされているデバイスを見つけてくれた人に情報を伝達できます。ロック画面オーバーレイは、パスコード プロファイルの一部です。

ロック画面オーバーレイは Android のネイティブ機能で、複数の OEM において利用可能です。

Android プロファイルの [ロック画面オーバーレイ] 設定は、[OEM 設定] フィールドが オンにする に切り替えられ、[OEM の選択] フィールドで [Samsung] が選択された場合にのみ表示されます。[全般] プロファイルの [OEM 設定] フィールドは、Android プロファイルにのみ適用され、Android (Legacy) 構成には適用されません。

[画像オーバーレイ] を選択した場合、必要に応じて次の設定を構成します:

企業情報 を選択した場合、必要に応じて次の設定を構成します。

Chrome ブラウザ設定

Chrome ブラウザ設定プロファイルを使用すると、Work Chrome アプリの設定を管理するのに役立ちます。

Chrome は、Google の Web ブラウザです。Chrome には、検索、オムニボックス (1 つのボックスで検索と移動が可能 )、自動入力、保存済みパスワードなど数多くの機能があるほか、Google アカウントにサインインしてすべてのデバイス間で最近使用したタブおよび検索に即座にアクセスする機能もあります。Work Chrome アプリは、Chrome の個人バージョンと同じ機能があります。このプロファイルを構成しても、ユーザーの個人用 Chrome アプリには影響しません。このプロファイルを個別 VPN や資格情報 + Wi-Fi ペイロードと組み合わせてプッシュすることで、エンドユーザーは認証されて社内サイトやシステムにログインできるようになります。これにより、ユーザーが業務で Work Chrome アプリを必ず使用するようにします。

Chrome ブラウザ設定マトリックス (Android)

Chrome ブラウザ設定プロファイルを使用すると、Work Chrome アプリの設定を管理するのに役立ちます。このプロファイルを構成しても、ユーザーの個人用 Chrome アプリには影響しません。このプロファイルを個別 VPN や資格情報や Wi-Fi ペイロードと組み合わせてプッシュすることで、エンドユーザーは認証されて社内サイトやシステムにログインできるようになります。

このマトリックスでは、Chrome ブラウザのプロファイルで使用可能な設定について説明します。

制限

UEM console の制限事項プロファイルは、Android デバイスのネイティブ機能をロックダウンします。使用可能な制限事項と動作は、デバイス加入によって異なります。

制限事項 プロファイルには、選択した制限が Work プロファイルと Work 管理対象デバイスのいずれかまたはその両方に適用されるかどうかを示すタグが表示されます。ただし、Work プロファイル デバイスの場合、影響を受けるのは Android バッジ アプリのみです。たとえば、Work プロファイルの制限を構成するときに、Work カメラへのアクセスを無効にできます。これは、Android バッジ カメラのみに影響があり、ユーザーの個人用カメラには影響がありません。

Work Chrome、Google Play、Google 設定、連絡先、カメラなど、既定で Work プロファイルに含まれているシステム アプリは多数ありますが、制限事項プロファイルを使用して非表示にでき、ユーザーの個人用カメラには影響しません。

管理対象外の Google アカウントを使用した場合の制限事項

例として、個人メールを確認できるように、管理対象外または個人の Google アカウントをユーザーが追加できるようにする場合でも、個人アカウントによるデバイスへのアプリのインストールは制限できます。Workspace ONE UEM console では、ユーザーが Google Play で使用できるアカウントのリストを設定できます。

制限事項ペイロードを Android デバイスに展開してセキュリティを強化します。制限事項ペイロードのデバイスでは、エンドユーザーのデバイス機能へのアクセスを無効にし、デバイスの改ざんを防ぐことができます。

制限 プロファイルを選択し、以下を構成します。

Android 固有の制限事項

このマトリックスは、利用可能な制限プロファイルの構成についてデバイス所有形態タイプごとに概要をまとめたものです。

Android 11 以降の COPE デバイスでサポートされていない制限事項

Android 11 以降の COPE デバイスは、デバイスの個人側の制限プロファイルの多くのポリシーをサポートしなくなりました。次のリストは、サポートされていないポリシーを示します。

Exchange Active Sync

Workspace ONE UEM は、Android デバイスでメール クライアントを使用して内部の E メール、カレンダー、および連絡先にセキュアに接続することを保証するために Exchange ActiveSync (EAS) プロファイルを使用します。たとえば、Work プロファイルの構成済み EAS メール設定は、Workspace ONE UEM Catalog からダウンロードされた、バッジ付きアイコンの E メール アプリには影響しますが、ユーザーの個人用 E メール アプリには影響しません。

各ユーザーにメール アドレスとユーザー名が存在する状態であれば、Exchange ActiveSync プロファイルを作成できます。

**注：**Exchange ActiveSync プロファイルは、Work プロファイルと Work 管理対象デバイス モードのタイプに対して適用されます。

Exchange ActiveSync プロファイルを選択し、次の設定を構成します。

パブリック アプリ自動更新

パブリック アプリ自動更新プロファイルを使用すると、パブリック Android アプリケーションの自動更新とメンテナンス時間枠のスケジュールを構成できます。

パブリック アプリ自動更新プロファイルは、Google API を使用してプロファイル データをデバイスに直接送信します。

パブリック アプリ自動更新プロファイルを構成するには、次の手順を実行します。

**注：**プロファイルにパブリック アプリ更新のペイロードが含まれている場合、その他のペイロードを入れることはできません。

ペイロードの一覧から [パブリック アプリ自動更新] を選択し、更新設定を構成します。

• 公開アプリの自動更新ポリシー：Google Play で自動更新が許可されている場合に指定します。[Allow user to configure]、[Always auto update]、[Update on Wi-Fi only]、または [Never auto upate] を選択します。

既定では [Allow user to configure] が選択されています。

• [開始時間]：フォアグラウンドのアプリケーションを毎日自動更新するローカル時間を構成します。00:30～23:30 の時間を選択します。

注：****[更新を Wi-Fi のみに制限] または [常に自動更新] が選択されている場合にのみ適用されます。

• [終了時間]：フォアグラウンドのアプリケーションを毎日自動更新するローカル時間を構成します。30 分～24 時間の間で時間を選択します。

注：[更新を Wi-Fi のみに制限] または [常に自動更新] が選択されている場合にのみ適用されます。

アプリケーションは設定時間に基づき、指定した開始時間と終了時間の間にのみ自動更新します。たとえば、キオスクの使用を中断しないように、営業時間外にのみ更新するようにキオスク デバイスを設定します。

重要：Android デバイスは、個人プロファイルと Work プロファイルの両方にアプリがインストールされている場合でも、アプリの単一バージョンを維持します。これは、Workspace ONE UEM で Work プロファイルまたは企業所有の個人利用 (COPE) モードで加入したデバイスの場合、Google Play を介してアプリの自動更新を常に防止できるとは限らないことを意味します。アプリケーションの自動更新に関するポリシーは、デバイスの個人プロファイルまたは個人使用には影響しません。アプリケーションが個人プロファイルにインストールされている場合、個人プロファイルの Play ストアでアプリケーションが自動的に更新されることがあります。

資格情報と SCEP プロファイル

セキュリティ レベルを上げ、企業アセットをより強固に保護するには、電子証明書の導入が効果的です。そのためには、まず認証局を指定し、次に、Exchange ActiveSync (EAS) ペイロード、Wi-Fi ペイロード、または VPN ペイロードに加えて 資格情報または SCEP プロファイルを構成する必要があります。

資格情報と SCEP プロファイルを構成することにより、ユーザー認証用の社内証明書を管理対象デバイスに展開できます。各ペイロードには、資格情報ペイロードまたは SCEP ペイロードで定義された認証局を関連付けるための設定項目があります。Work プロファイルまたは企業所有の個人利用 (COPE) モードで加入した Android デバイスでは、Workspace ONE UEM は証明書を Work プロファイル キーストアにインストールします。

デバイスには、Workspace ONE UEM が秘密キーを使用して ID 証明書をインストールする前にデバイス PIN コードを構成する必要があります。

資格情報ペイロードと SCEP ペイロードの違いは何ですか?

さまざまなプロトコルの詳細については、「認証局の統合」を参照してください。

資格情報または SCEP プロファイルを選択し、[追加] を選択します。

ドロップダウン メニューを使用して、資格情報ソース に アップロード または 定義済み認証局 のいずれかを選択します。ここで選択するソースにより、表示されるプロファイル オプションが変わります。アップロード を選択した場合、認証情報名 を入力し、新しい証明書をアップロードする必要があります。定義済み認証局 を選択する場合は、定義済みの認証局 と テンプレート を選択する必要があります。

アプリケーションによる証明書へのサイレント アクセスを許可

資格情報ソース として 定義済み認証局 を選択すると、この認証局によって発行されたクライアント証明書にサイレント アクセスできるアプリケーションを指定することもできます。このオプションは、アプリケーションへのサイレント アクセスの許可 と呼ばれます。有効にすると、Workspace ONE UEM console で以前に追加した Android パブリック アプリと内部アプリを選択できます。

通常、Android アプリケーションは、Android キーストアのクライアント証明書にアクセスする前に、エンド ユーザーからの承認を必要とします。この承認を要求するには、エンド ユーザーにクライアント証明書のリストから選択するように求めるダイアログを表示します。証明書を選択することで、エンド ユーザーはアプリケーションのアクセスを許可します。

**[アプリケーションへのサイレント アクセスの許可]**を使用すると、資格情報/SCEP プロファイルでアプリケーションが証明書にアクセスすることを管理上許可できます。これにより、アプリケーションは Android キーストアから証明書をサイレントに取得できます。これは、次のいずれかの条件を満たすためにアクセス権を付与したアプリケーションの場合にのみ機能します。

• アプリケーションは証明書のエイリアスを事前に認識しています。たとえば、アプリケーションがアプリケーション構成をサポートしている場合は、Workspace ONE UEM を介して証明書のエイリアスまたはフレンドリ名をアプリケーションに指定できます。定義済み認証局によって発行されたクライアント証明書の場合、証明書エイリアスは、資格情報/SCEP プロファイルで選択された証明書テンプレートの主題に相当します。
• アプリケーションは、ACTION_KEY_ACCESS_CHANGED ブロードキャストをリッスンします。Workspace ONE UEM がアプリケーションに証明書へのサイレント アクセスを許可すると、Intelligent Hub はこのブロードキャストを Android デバイスに出力します。アプリケーションがブロードキャストをリッスンする場合は、証明書がアクセス可能になったことを検知できます。

カスタム XML を使用した証明書の管理

証明書は、Workspace ONE Intelligent Hub for Android を通じて、および UEM Console でカスタム XML を使用して管理できます。パッケージ名を指定すると、Android デバイス上の証明書を管理できます。カスタム設定を通じてパッケージ名を追加できます。

このパッケージをプッシュするには、次の手順を実行します。

1. [グループと設定] > [すべての設定] > [アプリ] > [設定とポリシー] > [設定] > [カスタム設定] の順に進みます。

2. カスタム XML を適宜構成します。

   設定	説明
   カスタム設定	次のカスタム XML：{ "AuthorizedCertInstaller" : "packagename" } を貼付け、プレースホルダのパッケージ名をアプリの実際のパッケージ名（通常は com.company.appname の形式）に置き換えます。

3. カスタム XML を保存します。

カスタム メッセージ

カスタム メッセージ プロファイルを使用して、重要な情報をユーザーに伝達する必要があるときにデバイスのホーム画面に表示するメッセージを構成できます。

カスタム メッセージ プロファイルでは、ロック画面メッセージ、ブロックされている設定をユーザーが実行しようとしたときに表示するメッセージ、またはデバイス ユーザー設定で表示するメッセージを設定できます。

[カスタム メッセージ] プロファイルを選択し、以下のメッセージ設定を構成します。

アプリケーション制御

アプリケーション制御プロファイルを使用すると、承認されたアプリケーションを制御し、重要なアプリをアンインストールできないようにすることができます。ユーザーが該当するアプリケーションをインストールまたはアンインストールする際に、順守エンジンは警告を送信し管理処理を行いますが、アプリケーション制御はこのような変更をブロックします。

Warning: Enabling/ disabling critical system apps results in devices becoming unusable.

アプリケーション制御プロファイルがなくても、組織は管理対象デバイスにインストール可能なアプリケーションをある程度制御できます。デフォルトでは、管理者が Workspace ONE UEM Console を介してデバイスに割り当てたパブリック アプリケーションのみ、管理対象の Play ストア アプリ カタログで使用できます。Work プロファイルおよび企業所有の個人利用 (COPE) デバイスでは、これは Work プロファイルの Play ストア カタログのみ適用します。

管理者は、管理対象デバイスにさらにアプリケーション制限を適用できます。

Work アプリケーションの制限

Android デバイスの管理対象アプリケーションの場合、管理者は次の表の制限を適用できます。

上記の表の制限は、以下に適用されます。

• Work プロファイルまたは COPE (Android 11 以降) デバイス：制限は、Work プロファイル内のアプリケーションにのみ適用されます。
• Work 管理対象デバイス：Work アプリケーションと個人用アプリケーションが分離されないため、デバイス全体に制限が適用されます。
• COPE (Android 10 以前) デバイス：Work 管理対象 チェックボックスが有効になっている場合、デバイスの個人用アプリケーションに制限が適用されます。Work プロファイル チェックボックスが有効になっている場合、Work プロファイルに制限が適用されます。

Android 11 以降の COPE デバイスでの個人用アプリケーションの制限

COPE モードで加入し、Android 11 以降を実行しているデバイスの場合、管理者は個別に 個人向け Play ストア制限 の設定を行い、デバイスの個人側で使用できるアプリケーションを制限します。

アプリケーション グループとアプリケーション制御プロファイル

Workspace ONE UEM は、Workspace ONE UEM Console で作成したアプリケーション グループで定義されたアプリケーションにアプリケーション制御設定を適用します。アプリケーション グループは、アプリケーション グループが割り当てられている場合にのみデバイスに適用されます。つまり、アプリケーション制御プロファイルの設定を有効にするには、アプリケーション グループとアプリケーション制御プロファイルの両方をデバイスに割り当てる必要があります。

たとえば、Work アプリケーションのアンインストールを防止するには、両方をデバイスに割り当てる必要があります。

• アプリケーションを含む 必須 タイプのアプリケーション グループ
• 必須アプリのアンインストールを防ぐ アプリケーション制御プロファイル

これらがデバイスに割り当てられる順序も重要です。アプリケーション グループ内のアプリケーションに対する変更は、一致するアプリケーション制御プロファイルがデバイスに次にインストールされるまで、デバイスに適用されません。上記の例では、別のアプリケーションのアンインストールを防止するために、アプリケーションを最初にアプリケーション グループに追加する必要があります。次に、アプリケーション制御プロファイルをデバイスに再インストールする必要があります。

最後に、同じタイプの複数のアプリケーション グループをデバイスに割り当てることができます。この例では、異なるアプリケーションを含む 必須 タイプの 2 つのアプリケーション グループが同じデバイスに割り当てられている場合、必須アプリのアンインストールを防ぐ設定は、そのデバイス上の両方のアプリケーション グループで定義されているアプリケーションに適用されます。

アプリケーション グループの詳細については、Mobile Application Management のドキュメントを参照してください。

プロキシ設定

プロキシ設定を構成した場合、すべての HTTP および HTTPS ネットワーク トラフィックが必ずプロキシを経由します。これにより、すべての個人データおよび企業データがプロキシ設定プロファイルに基づいてフィルタリングされるため、データ セキュリティが確保されます。

次のようにプロキシ設定を構成します。

システム更新

このプロファイルを使用して、デバイスが Workspace ONE UEM に加入した場合に Android デバイスのアップデートを処理する方法を管理します。

システム更新 プロファイルを選択します。

自動更新 フィールドのドロップダウン メニューを使用して、更新ポリシーを選択します。

Wi-Fi

Wi-Fi プロファイルを構成することにより、デバイスから社内ネットワークに接続できます。非公開/暗号化/保護されている場合でも接続できます。

Wi-Fi アクセスが便利な場面としては、独自のワイヤレス ネットワークを構築している他のオフィスにエンドユーザーが出張する場合や、オフィス内で適切なワイヤレス ネットワークに接続するようデバイスを自動構成する場合などが考えられます。

Android 6.0 以降を搭載しているデバイスに Wi-Fi プロファイルをプッシュする際は、デバイスが Wi-Fi ネットワークに接続するようユーザーによりすでに手動でセットアップされている場合、Workspace ONE UEM は Wi-Fi 構成を変更することはできません。たとえば、デバイス上で Wi-Fi パスワードがすでに変更されており、かつ最新のプロファイルを加入済みデバイスにプッシュした場合、ユーザーは、新しいパスワードを使用してデバイスを手動更新しなければならないことがあります。

プロファイルを構成するには、次の手順を実行します。

Wi-Fi の設定を次のとおりに構成します。

WiFi ローミング

Wi-Fi ローミング プロファイルを使用すると、同じワイヤレス ネットワーク上のアクセス ポイント間で Android デバイスがどのように移行するかを制御できます。これらの設定は、接続品質、パフォーマンス、およびバッテリ使用量のバランスを取るのに役立ちます。

注：Wi-Fi ローミング設定を適用するために、Android Wi-Fi ペイロードで Wi-Fi ネットワークを構成する必要はありません。Wi-Fi ローミング ペイロードは個別に機能し、デバイスが接続するすべてのネットワークのローミング動作を管理できます。SSID をテキスト値として指定するだけで済みます。これにより、ネットワーク自体が Workspace ONE UEM を介してプロビジョニングされていない場合でも、ローミング制御を適用できます。

SSID ごとに、次のいずれかのローミング動作を割り当てることができます。

• 既定 デバイスは、Android の組み込みのローミング ロジックに従います。システムが信号強度が十分に低下していると判断すると、アクセス ポイントを切り替えます。

• アグレッシブ デバイスは、使用可能な最も強力なアクセス ポイントへの接続を維持する優先順位を付けます。これにより、アクセス ポイントのカバレッジが密な環境での接続の安定性が向上しますが、バッテリ消費量が増加する可能性があります。

• ローミングなし デバイスは現在のアクセス ポイントに接続されたままになり、自動的にローミングされません。これは、アクセス ポイントの移行によってドロップ、認証ループ、またはアプリケーションが不安定になるネットワークで役立ちます。

ローミング動作を構成するには、SSID を追加し、ドロップダウン メニューから希望するオプションを選択して、プロファイルを保存します。これらの設定は、完全に管理された COPE Android 15 以降のデバイスに適用されます。

VPN

バーチャル プライベート ネットワーク (VPN) を構築した場合、安全で暗号化されたトンネルを使用して、デバイスから社内リソース (例：E メール、ファイル、コンテンツ) にアクセスすることができます。VPN プロファイルをオンにすると、各デバイスはオンサイト ネットワーク経由で接続されているように機能します。

接続タイプと認証方法によっては、参照値を使用してユーザー名情報を自動入力し、ログイン プロセスを効率化できます。

**注：**VPN プロファイルは、Work プロファイルと Work 管理対象デバイス モードの両方のタイプに対して適用されます。

VPN 設定を構成します。次の表では、VPN クライアントごとに構成可能なすべての設定を記載しています。

アプリベース VPN 規則の構成

選択したアプリケーションは社内 VPN 経由で接続を強制することができます。VPN プロバイダでこの機能がサポートされている必要があり、また、管理アプリケーションとしてアプリを公開する必要があります。

**注：**アプリベース VPN を使用する場合、Wi-Fi プロキシ自動構成はサポートされません。

1. リストで VPN ペイロードを選択します。

2. [接続タイプ] フィールドから、VPN ベンダーを選択します。

3. VPN プロファイルを構成します。

4. アプリベース VPN 規則 を選択して、VPN プロファイルを目的のアプリケーションに関連付ける機能をオンにします。Workspace ONE Tunnel クライアントの場合、この選択はデフォルトでオンになっています。このチェックボックスをオンにすると、[アプリケーションの割り当て] ページの [アプリ トンネル] プロファイル ドロップダウンで、このプロファイルを選択できるようになります。

5. 保存して公開 を選択します。

   アプリベース VPN 規則が既存の VPN プロファイルの更新としてオンになっている場合は、以前に VPN 接続を使用していたデバイス/アプリケーションが影響を受けます。以前にすべてのアプリのトラフィックをルーティングしていた VPN 接続は切断され、VPN は、更新されたプロファイルに関連付けられているアプリケーションにのみが適用されます。

アプリベース VPN プロファイルを使用するようパブリック アプリを構成するには、資料「Android 用のアプリケーション管理」の「Android 用パブリック アプリケーションの追加」を参照してください。

アクセス権限

Workspace ONE UEM Console によって、管理者は、アプリケーションで使用しているすべての権限のリストを表示し、アプリケーションのランタイム時に既定の操作を設定できるようになります。権限プロファイルは、Work 管理対象デバイスと Work プロファイル モードを使用する Android 6.0 以降のデバイスで使用できます。

Android アプリごとにランタイム権限ポリシーを設定できます。個々のアプリ レベルでアプリを構成するときに、最新の権限を取得します。

**注：**アプリで使用されるすべての権限は、例外リストからアプリを選択すると表示されます。ただし、Workspace ONE UEM Console からの権限ポリシーは Google が危険と判断した権限にのみ適用されます。危険な権限は、ユーザーの個人情報を含むデータ、またはユーザーが保存したデータに影響を及ぼす可能性があるデータをアプリが要求する領域も対象とします。詳細については、Android 開発者の Web サイトを参照してください。

次を含む権限設定を構成します。

特別なユースケースを持つ 2 つの権限があります。

• 位置情報 - Android 12 以降では、デバイスが Work プロファイル モードまたは COPE モードで加入している場合、UEM は位置情報を含むアプリケーション センサー関連の権限を付与できません。「Getting Ready for Android」のドキュメントを参照してください。

• すべてのファイル アクセス（AKA 対象範囲別ストレージ）- Android 11 以降では、この特別/制限付き権限がない限り、アプリケーションは共有デバイス ストレージ内のファイルにアクセスできなくなります。UEM はこのタイプの権限をアプリに付与できません。詳細については、「 Scoped Storage on Android 11 」を参照してください。

ロック タスク モード

ロック タスク モードでは、アプリをフォアグラウンドに固定できるため、キオスク モードなどの単一の用途での使用を可能にします。アプリはロック タスク モードをサポートしている必要があり、[アプリとブック] 設定を使用して追加され、ホワイトリスト アプリに表示されます。アプリ開発者は、アプリの開発中にロック タスク設定を構成します。ロック タスク プロファイル設定では、権限と設定を構成できます。

**注：**サポートされているアプリケーションの詳細については、Workspace ONE UEM Console でロック タスク モード プロファイル内のリンクを参照してください。このリンクから該当する Google Developer サイトに移動します。

ロック タスク モード設定を構成するには、次を実行します。

ロック タスク モードのベスト プラクティス

ロック タスク モードのポリシーを使用して、ある目的のために最適なエクスペリエンスとメンテナンスができるようにこれらのポリシーと制限事項を適用することを検討してください。キオスクのデバイスのロック モード プロファイルと、エンド ユーザーがデバイスに関連付けられていないデジタル サイネージ ユース ケースを展開している場合は、これらの推奨事項が役立ちます。

「制限事項」 プロファイルを作成し、プロファイル内で次を構成します。

• デバイス機能 の下で、次のオプションを無効にします。

  • ステータス バーを許可 - デバイスがロック タスク モードにロックされるときに効果があります。
  • キーガードを許可 - デバイスがロックされなくなります。パスコードがデバイスに存在する場合、この設定は無視されます。

• デバイス機能 の下にある次のオプションをオンにします。

  • AC 充電ケーブルが接続されているときは画面を常にオンにする
  • USB 充電ケーブルが接続されているときは画面を常にオンにする
  • ワイヤレス充電を行っているときは画面を常にオンにする これらのオプションは、デバイスの画面が相互作用のために常にオンになっているようにします。

システム更新ポリシー プロファイルを展開して、デバイスが手動での介入を最小限に抑えて最新の修正を受け取れるようにします。

Android デバイスの日付/時刻

日付/時刻の同期設定を構成して、確実にデバイスがさまざまな地域で常に正しい時刻になるようにします。Android 9.0 以降のデバイスでサポートされます。

｢日付と時刻｣ で設定を構成します。

Samsung デバイスの日付/時刻

日付/時刻の同期設定を構成して、確実にデバイスがさまざまな地域で常に正しい時刻になるようにします。

このプロファイルは、[OEM 設定] がオンになっていて、[全般] プロファイル設定で [OEM の選択] フィールドが [Samsung] に設定されている場合に使用できます。

注：****[日付と時刻] プロファイルは、[OEM 設定] フィールドを [オンにする] に切り替えた場合にのみ表示されます

Samsung デバイスの日付/時刻設定を次のように構成します。

Workspace ONE Launcher

Workspace ONE Launcher は、個々のユースケースの Android デバイスをロックダウンし、管理対象 Android デバイスの外観と動作をカスタマイズできるアプリケーション ランチャーです。Workspace ONE Launcher アプリケーションは、デバイス インターフェイスを、ビジネス ニーズに合うようにカスタム調整されたデバイス インターフェイスに置き換えます。

Android 6.0 Marshmallow および以降のデバイスを、企業所有の特定業務専用 (COSU) モードで構成できます。COSU モードにすると、内部およびパブリック アプリケーションがサポートされるホワイトリスト設定によって、キオスク モードなどのある目的のためにデバイスを構成できるようになります。シングル アプリ モード、マルチ アプリ モード、およびテンプレート モードでは、COSU モードがサポートされています。COSU モードでの Workspace ONE Launcher プロファイルの展開の詳細については、Workspace ONE Launcher の資料を参照してください。

Workspace ONE Launcher を構成するためのより包括的なガイドについては、「Workspace ONE Launcher Publication」を参照してください。

ファイアウォール

管理者は ファイアウォール ペイロードを使用して Android デバイスのファイアウォール ルールを構成することができます。各ファイアウォール ルール タイプに対して、複数のルールを追加できます。

このプロファイルは、[OEM 設定] がオンになっていて、[全般] プロファイル設定で [OEM の選択] フィールドが [Samsung] に設定されている場合に使用できます。

**注：**ファイアウォール ペイロードは、SAFE 2.0 以降のデバイスにのみ適用されます。

1. [リソース] > [プロファイルとベースライン] > [プロファイル] > [追加] > [プロファイルを追加] > [Android] の順に進みます。

   [ファイアウォール] プロファイルは、[OEM 設定] フィールドがオンになり、[Samsung] が [OEM の選択] フィールドから選択された場合にのみ、[Android] プロファイルに対して表示されます。[全般] プロファイルの [OEM 設定] フィールドは、Android プロファイルにのみ適用され、Android (Legacy) 構成には適用されません。

2. プロファイルを展開するデバイスを選択します。

3. プロファイルの 全般 を構成します。

   [全般] 設定は、プロファイルの展開方法と展開対象となるユーザーを指定するためのものです。

4. ファイアウォール プロファイルを選択します。

5. 目的のルールの下にある 追加 ボタンを選択し、設定を構成します。

   設定	説明
   許可ルール	このオプションを有効にした場合、デバイスは特定のネットワークの場所で送受信を行うことができます。
   拒否ルール	このオプションを有効にした場合、デバイスは特定のネットワークの場所で送受信を行うことができません。
   経路変更ルール	このオプションを有効にした場合、トラフィックは特定のネットワークの場所から代替ネットワークにリダイレクトされます。許可されたウェブサイトを別の URL にリダイレクトする場合は、リダイレクト先の URL もすべて許可ルール セクションに追加し、アクセスできるようにしてください。
   リダイレクト例外ルール	このオプションを有効にした場合、トラフィックはリダイレクトされません。

6. 保存して公開 を選択します。

Samsung アクセス ポイント名 (APN)

注：Samsung は、新しい OS バージョンでこの機能をサポートするために使用される KNOX API を廃止しました。代わりに、アクセス ポイント名 (APN) ペイロードを使用することをお勧めします。

アクセス ポイント名 (APN) の設定を構成することにより、デバイス全体のキャリア設定を統一することや、構成ミスを修正することができます。

1. [リソース] > [プロファイルとベースライン] > [プロファイル] > [追加] > [プロファイルを追加] > [Android] の順に進みます。

2. プロファイルをデバイスに展開するには、デバイス を選択します。

3. プロファイルの 全般 設定を構成します。APN プロファイルは、[OEM 設定] フィールドが [オンにする] に切り替えられ、[OEM の選択] フィールドで [Samsung] が選択された場合にのみ表示されます。

   [全般] プロファイル設定は、プロファイルの展開方法と展開対象となるユーザーを指定するためのものです。

4. [APN] ペイロードを選択します。

5. 次を含む、[APN] を構成します。

   設定	説明
   表示名	わかりやすいアクセス名を入力します。
   アクセス ポイント名 (APN)	キャリアから提示された APN を入力します（例：come.moto.cellular）。
   アクセス ポイント タイプ	この APN 構成を使用する必要のあるデータ通信タイプを指定します。
   モバイル国コード (MCC)	3 桁の国コードを入力します。この値に基づいて、デバイスがここで入力したキャリアと異なるキャリア上でローミングしているかどうかが検査されます。モバイル国番号は、モバイル ネットワーク コード (MNC) と組み合わせて使用されます。これにより、GSM (GSM-R を含む)、UMTS、LTE の各モバイル ネットワークを使用しているモバイル ネットワーク事業者 (キャリア) を一意に識別できます。
   モバイル ネットワーク コード (MNC)	3 桁のネットワーク コードを入力します。この値に基づいて、デバイスがここで入力したキャリアと異なるキャリア上でローミングしているかどうかが検査されます。モバイル ネットワーク コードは、モバイル国番号 (MCC) と組み合わせて使用されます。これにより、GSM (GSM-R を含む)、UMTS、LTE の各モバイル ネットワークを使用しているモバイル ネットワーク事業者 (キャリア) を一意に識別できます。
   MMS サーバ (MMSC)	サーバのアドレスを入力します。
   MMS プロキシ サーバ	MMS のポート番号を入力します。
   MMS プロキシサーバ ポート	プロキシ サーバのターゲット ポートを入力します。
   サーバ	接続に使用するサーバのホスト名または IP アドレスを入力します。
   プロキシサーバ	プロキシ サーバの詳細情報を入力します。
   プロキシサーバポート	すべてのトラフィックに対して使用するプロキシ サーバ ポートを入力します。
   アクセス ポイント ユーザー名	アクセス ポイントに接続する際に使用するユーザー名を入力します。
   アクセス ポイント パスワード	アクセス ポイントで認証を受けるパスワードを入力します。
   認証タイプ	認証プロトコルを選択します。
   優先 APN として設定する	このオプションをオンにすると、すべてのエンド ユーザー デバイスに同じ APN 設定が適用されます。また、デバイスまたはキャリアによる変更を防止できます。

6. 保存して公開 を選択します。

アクセス ポイント名 (APN)

管理対象 Android デバイスのモバイル ネットワーク用にアクセス ポイント名を構成します。Work 管理対象モードで加入した Android 9.0 以降のデバイスでサポートされます。

**注：**このペイロードは、Samsung アクセス ポイント名プロファイル ペイロードの代わりに使用する必要があります。Samsung は、OEM 固有の APN 構成のサポートに使用される KNOX API を廃止しました。

エンタープライズ工場出荷状態へリセットの保護

工場出荷状態へリセットの保護 (FRP) は、未承認の工場出荷状態リセット後にデバイスを使用できないようにする Android セキュリティ手法です。オンにすると、保護されたデバイスは、出荷時状態にリセットした後、以前に設定した Google アカウントと同じアカウントを使用してログインするまで使用することはできません。

[エンタープライズ工場出荷状態へリセットの保護] プロファイルでは、Google ユーザー ID を生成し、工場出荷状態へのリセットの後に Google アカウントをオーバーライドして、デバイスを別のユーザーに割り当てることができます。この Google ユーザー ID を取得するには、People:get にアクセスします。

デバイスの設定とアクションに基づくその他の考慮事項については、「Android デバイス管理」を参照してください。

Android デバイスの [工場出荷状態へリセットの保護] プロファイル用に Google ユーザー ID を生成する

この Google ユーザー ID を使用すると、元の Google アカウントがなくてもデバイスをリセットできます。プロファイルを構成するには、People:get API を使用して、Google ユーザー ID を取得します。開始する前に、People:get の Web サイトから Google ユーザー ID を取得する必要があります。

1. People:get にアクセスします。

2. Try this API ウィンドウで、次の設定を構成します。

   設定	説明
   resourceName	people/me と入力します。
   personFields	metadata,emailAddresses と入力します。
   requestMask.includefield	このフィールドは空白のままにします。
   資格情報	Google OAuth 2.0 フィールドと API Key フィールドの両方をオンにします。

3. Execute を選択します。

4. プロンプトが表示された場合は、Google アカウントにサインインします。これは、FRP がオンであるときにデバイスをロック解除するために使用するアカウントです。

5. Allow を選択して、権限を付与します。

6. application/json タブの id フィールドにある 21 桁の数字を見つけます。

7. Workspace ONE UEM console に戻って、[エンタープライズ工場出荷状態へリセットの保護] プロファイルを構成します。

Android 用の [エンタープライズ工場出荷状態へリセットの保護] プロファイルを構成する

Google ユーザー ID を [エンタープライズ工場出荷状態へリセットの保護] プロファイルに入力します。

1. [リソース] > [プロファイルとベースライン] > [プロファイル] > [追加] > [プロファイルを追加] > [Android] の順に進みます。

2. 必要に応じて、プロファイルの 全般 を 設定します。

3. [エンタープライズ工場出荷状態へリセットの保護] ペイロードを選択します。

4. 貴社のアプリケーション展開に必要な制御レベルに応じて以下の項目を構成します。

   設定	説明
   Google ユーザー ID	Google から取得した Google ユーザー ID を入力します（People:get）。

5. 保存して公開 を選択します。

Zebra MX

Zebra MX プロファイルによって、Android デバイスの Zebra MX サービス アプリで提供される追加機能を利用できるようになります。Zebra MX Servic アプリは、Google Play と My Workspace ONE からプッシュし、Workspace ONE UEM Console でこのプロファイルとともに内部アプリとして配布できます。

1. [リソース] > [プロファイルとベースライン] > [プロファイル] > [追加] > [プロファイルを追加] > [Android] の順に進みます。

2. 必要に応じて、プロファイルの 全般 を 設定します。**[OEM 設定]フィールドをオンにし、[OEM を選択]**フィールドから Zebra を選択して、Zebra MX プロファイルをオンにします。

3. Zebra MX プロファイル設定を構成するには、次を実行します。

   設定	説明
   Fusion 設定を含める	このオプションをオンにすると、Fusion オプションを拡張し、Motorola デバイス用 Fusion アダプタと組み合わせて使用することができます。
   Fusion 802.11d を設定する	Fusion 802.11d を使用して Fusion 802.11d 設定を設定します。
   802.11d をオンにする	このオプションをオンにすると、802.11d ワイヤレス規格を利用して、他の規制ドメイン内で操作を行うことができます。
   国別コードを設定する	このオプションをオンにすると、802.11d 規格で使用する国別コードを設定することができます。
   周波数帯を設定する	このオプションをオンにすると、2.4 GHz、5 GHz、またはその両方の周波数帯を選択できます。また、適切なチャネル マスクも選択できます。
   機内モードを許可	オンにすると、機内モードの設定画面へのアクセスを許可します。
   疑似ロケーションを許可	疑似ロケーションをオンまたは無効にします（｢設定｣ > ｢開発者オプション｣）。
   バックグラウンド データを許可	バックグラウンド データをオンまたは無効にします。
   スリープ中は Wi-Fi を常にオンにする	常にオン － デバイスがスリープ モードに移行しても、Wi-Fi は有効化されたままです。プラグ接続時のみ － デバイスが充電中の場合のみ、デバイスがスリープ モードに移行しても、Wi-Fi は有効化されたままです。オンにしない － デバイスがスリープ モードに移行すると、Wi-Fi は無効になります。
   ローミング中のデータ使用	オンにすると、ローミング中にデータ接続を許可します。
   Wi-Fi を強制的にオンにする	ユーザーがオフにできないように Wi-Fi を強制的にオンにします。
   Bluetooth を許可	オンにすると、Bluetooth の使用を許可します。
   クリップボードを許可	オンにすると、コピー/貼り付けが許可されます。
   ネットワーク監視通知を許可	オンにすると、ネットワーク監視警告通知が許可されます。この通知は通常、証明書をインストールした後に表示されます。
   日付/時刻設定をオンにする	オンにして日付/時刻の設定を行います
   	日付の表示形式：月、日、および年を表示する順序を決定します。
   	時刻の表示形式：12 または 24 時間を選択します。
   	日付と時刻：デバイス上で日付と時刻の設定をどのデータ ソースから取得するかを指定します。
   	自動 – デバイスのネイティブ設定に基づいて日付と時刻が設定されます。
   	サーバ上の時間 – Workspace ONE UEM console のサーバ時刻に基づいて、日付/時刻が設定されます。
   	時間帯を設定 – タイムゾーンを指定します。
   	HTTP URL – Workspace ONE UEM Intelligent Hub は URL に到達し、HTTP ヘッダーからタイムスタンプを取得します。その後、その時刻をデバイスに適用します。リダイレクトするサイトは処理しません
   	URL – 日付と時刻情報を配信している Web アドレスを入力します。http:// を含める必要があります。例：http://www.google.com / HTTPS はサポートされていません。
   	周期的な同期をオンにする – オンにすると、デバイス上で日付と時刻が数日間隔で定期的に同期します。
   	時間帯を設定 – タイムゾーンを指定します。
   	SNTP サーバ - NTP 設定がデバイスに直接適用されます。
   	URL - NTP/SNTP サーバの Web アドレスを入力します。例：time.nist.gov
   	周期的な同期をオンにする – オンにすると、デバイス上で日付と時刻が数日間隔で定期的に同期します。
   サウンド設定をオンにする	サウンド設定をオンにして、デバイスのオーディオ設定を構成します。 - 音楽、動画、ゲーム、その他のメディア：デバイス上で固定したいボリューム レベルにスライダを設定します。
   	着信音と通知：デバイス上で固定したいボリューム レベルにスライダを設定します。
   	通話：デバイス上で固定したいボリューム レベルにスライダを設定します。
   	デフォルト通知を有効にする：デバイスでデフォルト通知の音が鳴ることを許可します。
   	ダイアル パッド タッチトーンを有効にする：デバイスでダイアル パッド タッチ トーンの音が鳴ることを許可します。
   	タッチトーンを有効にする：デバイスでタッチ トーンの音が鳴ることを許可します。
   	スクリーン ロック サウンドを有効にする：デバイスでロックされたときに音が鳴ることを許可します。
   	タッチ操作時にバイブレートをオンにする：バイブレート設定をアクティブ化することを許可します。
   ディスプレイ設定をオンにする	オンにしてディスプレイの設定を行います： - ディスプレイの明るさ：デバイス上で固定したい明るさにスライダを設定します。
   	画面の自動回転をオンにする：デバイスの向きをロックするには、このオプションを使用します。
   	スリープ設定：画面がスリープ モードになるまでの無操作時間を指定します。

4. 保存して公開 を選択します。

カスタム設定

Workspace ONE UEM console がネイティブ ペイロードで現在サポートしていない Android の新機能がリリースされた場合は、カスタム設定ペイロードを使用します。カスタム設定ペイロードと XML コードを使用して、特定の設定を手動でオンまたは無効にします。

1. [リソース] > [プロファイルとベースライン] > [プロファイル] > [追加] > [プロファイルを追加] > [Android] の順に進みます。

2. プロファイルの 全般 設定を構成します。

3. 該当するペイロード (例: 制限事項、パスコード) を構成します。

   "test" 組織グループに保存されている、お客様のプロファイルのコピーを使用できます。これにより、ユーザーへの影響を回避しつつ、保存して公開する準備を行うことができます。

4. プロファイルを公開せずに 保存 します。

5. プロファイル リスト表示で、カスタマイズしたいプロファイルの行に対するラジオ ボタンを選択します。

6. 上端の XML ボタンを選択し、プロファイル XML を表示します。

7. 以前に構成したプロファイル ペイロードの場合は、 および タグで囲まれた XML コードのセクションをコピーします（これらのタグを含む）。プロファイルに複数のペイロードがある場合は、XML コードをコピーするペイロードの タグを特定します。たとえば、パスコード プロファイルには、com.airwatch.android.androidwork.apppasswordpolicy という「type」値を持つ タグが付けられます。

8. このセクションをコピーし、XML 表示を閉じます。プロファイルを開きます。

9. カスタム設定 ペイロードを開き、構成 をクリックします。コピーした XML をテキスト ボックスにペーストします。貼り付けた XML コードには、 ～ という完全なコード ブロックが含まれています。

   • デバイスにプッシュされたカスタム設定プロファイル ペイロードごとに一意の UUID が使用されていることを確認する必要があります。
   • 同じ UUID を持つ 2 つのカスタム設定ペイロードが同じデバイスにプッシュされると、最後にプッシュされたプロファイルによって最初のプロファイルが上書きされます。
   • 「uuid」値で複数の文字を選択し、ペイロードごとに UUID が一意になるように変更します。
   • UUID 内の各文字 (ハイフンを除く) は、数字 (0 ~ 9) または文字 (a ~ f) の値を持つ 16 進数の値です。
   • この XML には、各カスタム XML に記載されているコードの完全なブロックが含まれている必要があります。
   • 管理者は、必要に応じて、各設定を に構成する必要があります。
   • 証明書が必要な場合は、プロファイル内で証明書ペイロードを構成し、[カスタム設定] ペイロードでそのペイロード UUID を参照してください。

10. 構成済みの元のペイロードを削除するため、ベース ペイロード セクションを選択し、｢-｣ ボタンをクリックします。新機能に対するカスタム XML コードを追加することにより、プロファイルの機能を強化できます。

    • Launcher プロファイルのカスタム設定を適用する場合は、プロファイル タイプに適した特性タイプを使用していることを確認してください。

      • Android プロファイルの場合、特性タイプは「com.airwatch.android.androidwork.launcher」になります。
      • Android (Legacy) プロファイルの場合、特性タイプは「com.airwatch.android.kiosk.settings」になります。

    Any device not upgraded to the latest version ignores the enhancements you create. Since the code is now custom, you should test the profile devices with older versions to verify expected behavior.

11. 保存して公開 を選択します。

Android デバイス用カスタム XML

Android 11 で、サードパーティのカスタム属性を使用しているお客様は、カスタム設定プロファイルを使用して、カスタム属性ファイルを保存するための別の場所を指定する必要があります。また、お客様のアプリでも、この同じフォルダの場所をターゲットにする必要があります。そのために、アプリの変更が必要になる場合があります。

カスタム XML の例（値はお客様の設定によって異なる場合があります）：

<characteristic type="com.android.agent.miscellaneousSettingsGroup" uuid="2c787565-1c4a-4eaa-8cd4-3bca39b8e98b">
<parm name="attributes_file_path" value="/storage/emulated/0/Documents/Attributes"/></characteristic>

加入時に Workspace ONE Access 認証でサードパーティの Cookie を有効にする

一部のシナリオでは、ユーザーが Workspace ONE Access で認証を行うために、Intelligent Hub はサードパーティ Cookie のサポートを必要とします。サードパーティの Cookie が必要で、調整されていない場合、Intelligent Hubで「cookies not supported」エラーが発生することがあります。

このカスタム設定ペイロードを使用して、デバイスの加入完了後にサードパーティの Cookie をオンにします。これは、すでに Workspace ONE UEM に加入しており、管理対象アプリケーションへのログインや共有デバイスのチェックアウトなど、ユーザー認証にサードパーティの Cookie が必要なデバイスに適用されます。

<characteristic type="CustomSettingsV2" uuid="4146fda2-22dd-4b5b-8502-0aafe72167cc">
	<parm name="packageid" value="com.airwatch.androidagent" />
	<parm name="CustomSettings" value="{&quot;enable3rdPartyCookiesInVIDM&quot;:true}" />
</characteristic>

Workspace ONE UEM へのデバイス加入時にサードパーティの Cookie が必要な場合、このペイロードは適用されません。代わりに、「Android 加入の追加フラグ」ドキュメントの説明に従って、同等の加入フラグを構成します。

画面のタイムアウトと明るさを設定

企業所有の Android デバイスで画面のタイムアウトと明るさを設定できます。これは、Work 管理対象モード (任意の OS バージョン) および企業所有の個人利用モード (Android 15 以降) で加入した Android デバイスでサポートされます。

画面のタイムアウトを変更するには、以下のテンプレートを使用します。画面のタイムアウトを秒単位の値に設定します。

注：デバイス ロック タイムアウト範囲の値が低い Android パスコード プロファイルが同じデバイスにインストールされている場合、画面のタイムアウトは無視されます。

<characteristic type="com.airwatch.android.androidwork.display.settings" uuid="f278eb76-cc9b-4e32-9aca-fad1556399b1"> 
<parm name="ScreenTimeout" value="300000" type="integer" /> 
</characteristic>

画面の明るさを変更するには、以下のテンプレートを使用します。明るさモードを 0 に設定すると、周辺光で変化しない固定された明るさを設定できます。明るさモードを 1 に設定すると優先される画面の明るさ値が設定されますが、Android は周辺光に基づいて画面の明るさを調整できます。明るさ値を 1 ~ 255 に設定します。

<characteristic type="com.airwatch.android.androidwork.display.settings" uuid="f278eb76-cc9b-4e32-9aca-fad1556399b2"> 
<parm name="BrightnessMode" value="1" type="integer" /> 
<parm name="BrightnessValue" value="100" type="integer" /> 
</characteristic> 

画面の明るさとタイムアウトの両方を設定するには、同じペイロードに 3 つのキーと値のペアをすべて追加します。

<characteristic type="com.airwatch.android.androidwork.display.settings" uuid="f278eb76-cc9b-4e32-9aca-fad1556399b5"> 
<parm name="BrightnessMode" value="1" type="integer" /> 
<parm name="BrightnessValue" value="100" type="integer" /> 
<parm name="ScreenTimeout" value="300000" type="integer" /> 
</characteristic> 

ヘッドレス アプリレポート

デフォルトでは、起動可能なユーザー インターフェイスまたはアプリ アイコンのないアプリケーションの事前定義されたリストのみが、Workspace ONE UEM Console に報告されます。起動可能なユーザー インターフェイスまたはアプリ アイコンのない他のアプリケーションは報告されません。この問題が発生すると、インストール状態を確認できず、これらのアプリのプロファイルがデバイスにプッシュされません。

アプリケーションの事前定義されたリストは、こちらで定義されます。アプリに起動可能なユーザー インターフェイスがない場合でも、このカスタム XML プロファイル ペイロードを使用して、コンソールにレポートされるパッケージ ID を追加できます。実装後：

• プロファイルで指定されたパッケージ ID は、インストール後に報告されます。コンソールに「インストール済み」と表示されます。
• フィードバック チャネル データは、(アプリでサポートされている場合)コンソールで表示することもできます。

以下のカスタム XML プロファイルを使用して、Hub がコンソールにレポートするアプリを指定します。

<characteristic type="com.android.agent.miscellaneousSettingsGroup" uuid="2c787987-1c4a-4eaa-8cd4-3acb39b8f97b"> <parm name="headlessapps" value="com.example1.com, com.example2.com, com.example3.com"/></characteristic> 

Bluetooth を強制的にオンにする

管理対象 Android デバイスでは、管理上 Bluetooth をオンにできます。これは、Work 管理対象モードまたは企業所有の個人利用 (COPE) モードで設定されたデバイスに対して機能します。このプロファイルを適用すると、Workspace ONE UEM は自動的に Bluetooth をオンにします。誰かがオフにしようとすると、Intelligent Hub for Android はすぐに再度有効にします。

<characteristic uuid="ff861aae-2b3b-4e43-a8ac-fcefdd541c4b" type="com.airwatch.android.androidwork.restrictions">
	<parm name="forceBluetoothOn" value="true" />
</characteristic>

注： この機能は、Workspace ONE Intelligent Hub 25.08+ for Android 以降でサポートされています。

ブートローダーからの工場出荷状態リセットを無効にする (Samsung)

Android 制限事項プロファイルの [工場出荷状態リセットを許可] 設定を使用すると、ユーザーが Android 設定アプリから工場出荷状態リセットを実行できないようにできます。ただし、ブートローダーからデバイスをリセットすることで、ユーザーは引き続きこれをバイパスできます。Samsung デバイスでユーザーがブートローダーから工場出荷状態リセットを実行できないようにするには、以下のカスタム設定を実装します。これは、企業所有の Samsungデバイスでのみサポートされます。Samsung API は Android 12 で廃止され、新しい OS バージョンの Samsung デバイスでは使用できない場合があります。

注：この機能は、2026 年 1 月以降に新しいバージョンの Workspace ONE Intelligent Hub から削除される予定です。

<characteristic type="com.airwatch.android.androidwork.samsung.restrictions" uuid="80edc0ae-abed-4efa-89e5-fdc1834f5ca0">
              <parm name="allowFactoryReset" value="false" />
</characteristic>

個人用アプリに業務通知の読み取りを許可する

カスタム DPC を使用して管理されているデバイスでは、Android は、READ_NOTIFICATIONS 権限を持つ個人プロファイル内の任意のアプリケーションが、Work プロファイル内のアプリケーションの通知を読み取ることを許可します。Workspace ONE Intelligent Hub 24.10 for Android 以降では、個人プロファイル内の非システム アプリケーションによる業務通知へのアクセスを禁止できます。そのためには、制限事項プロファイルをデバイスにインストールする必要があります。非システムの個人用アプリケーションが業務通知を読み取ることを明示的に許可するには、次のカスタム設定プロファイルをプッシュしてこれを有効にする必要があります。

特定の非システム個人用アプリケーションが業務通知を読み取ることを許可するには、以下の XML をコピーします。allowedCrossProfileNotificationPackageIds の場合は、アプリケーション パッケージ ID のカンマ区切りのリストを設定します。

<characteristic uuid="ff861aae-2b3b-4e43-a8ac-fcefdd541c4b" type="com.airwatch.android.androidwork.restrictions" target="1">
	<parm name="allowCrossProfileNotificationPackage" value="SetIndividualPackages" />
	<parm name="allowedCrossProfileNotificationPackageIds" value="com.example.a, com.example.b" />
</characteristic>

すべての個人用アプリケーションが業務通知を読み取ることを許可するには、以下の XML をコピーします。

<characteristic uuid="ff861aae-2b3b-4e43-a8ac-fcefdd541c4b" type="com.airwatch.android.androidwork.restrictions" target="1">
	<parm name="allowCrossProfileNotificationPackage" value="All" />
</characteristic>

アプリケーション用のアプリケーション構成をプッシュする

Android カスタム設定プロファイルを介して、アプリケーション構成のキーと値のペアをプッシュできます。これを行うには、以下のテンプレートに沿って以下を指定します。

• アプリケーション パッケージ ID
• アプリケーション構成のキーと値の各ペアについて、キー名、値、値のデータ タイプ

    <characteristic uuid="a0a4acc3-9de1-493b-b611-eb824ffed00f" type="com.airwatch.android.androidwork.app:packageID" target="1">
    <parm name="key1" value="string" type="string" />
    <parm name="key2" value="1" type="integer" />
    <parm name="key3" value="False" type="boolean" />
        </characteristic>

例

<characteristic uuid="a0a4acc3-9de1-493b-b611-eb824ffed00f" type="com.airwatch.android.androidwork.app:com.airwatch.testapp" target="1">
    <parm name="server_hostname" value="test.com" type="string" />
    <parm name="connection_timeout" value="60" type="integer" />
    <parm name="feature_flag" value="True" type="boolean" />
</characteristic>

注：アプリケーション構成は、Android アプリケーションを割り当てる際に追加できます。詳細については、「アプリケーションへの割り当てと除外の追加」を参照してください。

Always-On VPN 用の VPN アプリケーションを許可リストに追加する

Always-On VPN 用の VPN クライアントを許可リストに追加するには、このテンプレートを使用して、アプリケーション パッケージ ID を指定し、カスタム設定プロファイル ペイロードをプッシュします。

<characteristic uuid="a0a4acc3-9de1-493b-b611-eb824ffed00f" type="com.airwatch.android.androidwork.app:packageID" target="1">
    <parm name="EnableAlwaysOnVPN" value="True" type="boolean" />
</characteristic>

注：アプリケーション構成をプッシュしながら、アプリケーション用の Always-On VPN をオンにするには、このキーと値のペアを、アプリケーション構成のキーと値のペアと組み合わせて、単一のカスタム設定ペイロードとして展開します。

工場出荷状態リセット保護を無効にする

組織は、このカスタム設定ペイロードを使用して、企業所有デバイスの工場出荷状態リセット保護を無効にすることができます。このプロファイルでは、エンド ユーザーが個人の Google アカウントをデバイスに追加し、そのデバイスがブートローダーから工場出荷状態にリセットされた場合、工場出荷状態リセット保護は有効になりません。このようなデバイスをセットアップして再加入するために、組織は個人の Google アカウントで認証する必要はありません。

注：これは、次のすべての条件を満たすデバイスでサポートされます。

• Work 管理対象モードまたは企業所有の個人利用モードのいずれかで加入している
• Android 11 以降
• Workspace ONE Intelligent Hub 24.09 以降
• カスタム DPC を使用して管理されている

有効にするには、次の XML を使用します。

<characteristic type="com.airwatch.android.androidwork.app:com.google.android.gms" uuid="352d91a3-c4de-4821-b01d-f450ca474ba5">
  <parm name="disableFactoryResetProtectionAdmin" type="boolean" value="true"/>
</characteristic>

Android Intelligent Hub でのログ共有を無効にする

通常、ユーザーは Android デバイスの Workspace ONE Intelligent Hub からサポート メニューを介してログを送信できます。これにより、E メール、Bluetooth、その他のファイル共有方法などのアプリを使用してログを共有できます。ただし、組織は特定の設定を適用することで、この機能をオフにできます。このオプションを無効にしても、ユーザーがログを Workspace ONE UEM にアップロードすることで、管理者がそれを表示できます。

有効にするには、次の XML を使用します。

<characteristic type="com.android.agent.miscellaneousSettingsGroup" uuid="351d91a3-c4de-4821-b09d-f450cd474ba5">
	<parm name="enableShareLogs" type="boolean" value="false"/>
</characteristic>

Android 固有のプロファイルの機能

この章で示す機能マトリックスは、主要な OS 固有機能の概要です。Android 用デバイス管理に利用できる特に重要な機能を挙げています。