implementing-mobile-application-management

モバイルアプリケーション管理の実装

使用するタイミング

次のような場合にこのスキルを使用します:

• 完全なデバイス管理（MDM）を導入せずに、エンタープライズ向けのモバイルアプリ保護を展開する場合
• 個人のプライバシーを尊重しつつ企業データを保護する BYOD ポリシーを実装する場合
• iOS および Android 向けに Microsoft Intune アプリ保護ポリシーを構成する場合
• 管理対象のモバイルアプリケーションにデータ損失防止（DLP）の制御を適用する場合

次の場合は使用しないでください: 完全なデバイス管理（MDM）がすでに導入されており、必要な制御を十分に提供している場合。MDM がすでに必要な制御を提供している場合、MAM は複雑さを増すだけです。

前提条件

• Microsoft Intune または同等の MAM プラットフォーム（VMware Workspace ONE、MobileIron）
• ID と条件付きアクセスポリシーのための Azure AD
• 対象アプリケーションに統合された Intune App SDK（または Intune App Wrapping Tool）
• テストデバイス（Android 10 以降および iOS 15 以降）
• 条件付きアクセス用の Azure AD Premium P1 または P2 ライセンス

ワークフロー

ステップ 1: アプリ保護ポリシーの要件を定義する

データの機密性を分類し、保護レベルを定義します:

レベル	データの種類	制御
レベル 1 - 基本	一般的な企業メール	PIN の要求、スクリーンショットのブロック
レベル 2 - 強化	財務データ、人事記録	アプリデータの暗号化、切り取り/コピー/貼り付けの制限
レベル 3 - 高	PII、医療、法務	選択的ワイプ、オフラインアクセスの制限、DLP

ステップ 2: Intune アプリ保護ポリシーを構成する

Android アプリ保護ポリシー:

{
    "displayName": "Corporate App Protection - Tier 2",
    "platform": "android",
    "dataProtectionSettings": {
        "allowedDataStorageLocations": ["oneDriveForBusiness", "sharePoint"],
        "blockDataTransferToOtherApps": "managedApps",
        "blockDataTransferFromOtherApps": "managedApps",
        "saveAsBlocked": true,
        "clipboardSharingLevel": "managedAppsWithPasteIn",
        "screenCaptureBlocked": true,
        "encryptAppData": true,
        "backupBlocked": true
    },
    "accessSettings": {
        "pinRequired": true,
        "minimumPinLength": 6,
        "biometricEnabled": true,
        "offlineGracePeriod": 720,
        "offlineWipeInterval": 90
    },
    "conditionalLaunchSettings": {
        "maxOsVersion": "15.0",
        "minOsVersion": "12.0",
        "jailbreakBlocked": true,
        "maxPinRetries": 5
    }
}

ステップ 3: アプリ構成ポリシーを実装する

エンドポイントの自動セットアップのために、管理対象アプリの構成を展開します:

{
    "displayName": "Email App Configuration",
    "targetedManagedApps": ["com.microsoft.outlooklite"],
    "settings": [
        {"key": "com.microsoft.outlook.EmailProfile.AccountType", "value": "ModernAuth"},
        {"key": "com.microsoft.outlook.EmailProfile.ServerName", "value": "outlook.office365.com"},
        {"key": "com.microsoft.outlook.EmailProfile.AllowedDomains", "value": "corporate.com"}
    ]
}

ステップ 4: 条件付きアクセス統合を展開する

Azure AD > Conditional Access > New Policy:
- Users: All users with corporate apps
- Cloud apps: Office 365, custom LOB apps
- Conditions: All platforms
- Grant: Require app protection policy
- Session: App enforced restrictions

ステップ 5: MAM の制御をテストして検証する

両方のプラットフォームで、各ポリシーの制御をテストします:

# Verify data transfer restrictions
1. Open managed app (Outlook)
2. Copy text from email body
3. Attempt paste in unmanaged app (Notes) -- should be blocked
4. Attempt paste in managed app (Teams) -- should work

# Verify selective wipe
1. Enroll test device with MAM
2. Access corporate data in managed apps
3. Trigger selective wipe from Intune portal
4. Verify corporate data removed, personal data intact

# Verify offline grace period
1. Access managed app while connected
2. Disconnect from network
3. After grace period expires, verify app access blocked

ステップ 6: 監視と対応

MAM の監視ダッシュボードを構成します:

• アプリ保護ポリシーの割り当てステータス
• コンプライアンス非準拠のデバイス/ユーザーのレポート
• 選択的ワイプの実行ログ
• ジェイルブレイク/ルート化の検出アラート
• PIN の入力失敗の追跡

主要な概念

用語	定義
MAM	Mobile Application Management。完全なデバイス登録を必要とせず、アプリ単位でポリシーを適用する管理方式
アプリ保護ポリシー	アプリレベルでデータ保護（暗号化、DLP、アクセス制御）を強制するルールのセット
選択的ワイプ	個人データを残したまま、管理対象アプリから企業データのみを削除すること
アプリのラッピング	ソースコードを変更せずに、ビルド後のアプリへ MAM SDK のポリシーを適用するプロセス
コンテナ化	企業アプリのデータを、個人用アプリとは分離された暗号化コンテナ内に隔離すること

ツールとシステム

• Microsoft Intune: アプリ保護ポリシーを備えたクラウドベースの MAM/MDM プラットフォーム
• Intune App SDK: カスタム iOS/Android アプリに MAM の制御を統合するための SDK
• Intune App Wrapping Tool: コードを変更せずに MAM ポリシーを適用する、コンパイル後のツール
• VMware Workspace ONE: アプリのコンテナ化機能を備えた代替 MAM プラットフォーム
• Azure AD 条件付きアクセス: MAM への登録をアクセス条件として強制するポリシーエンジン

よくある落とし穴

• SDK のバージョン不一致: Intune App SDK のバージョンはポリシーのバージョンと一致している必要があります。古い SDK バージョンでは、新しいポリシーが警告なく適用されない場合があります。
• iOS の管理対象ペーストボード: iOS は管理対象ペーストボードを通じて貼り付け制限を適用します。これには、アプリが Intune SDK 統合によってオプトインしている必要があります。
• アプリのラッピングの制限: ラップされたアプリは、一部のプラットフォームではプッシュ通知など特定の機能を使用できません。すべての機能を利用するには、SDK 統合が推奨されます。
• ユーザー体験の摩擦: 過度に厳格なポリシーは、ユーザーの不満やシャドー IT を招きます。レベル 1 から始め、データの機密性に応じて段階的に強化してください。