intune-app-protection

Microsoft Intune - アプリ保護ポリシー（MAM）

Intune の**アプリ保護ポリシー（APP / MAM）**は、デバイスの登録有無にかかわらず、アプリケーション層でアプリ内の組織データを保護します。管理対象アプリ内で企業データを隔離し、個人コンテンツには触れずに組織データのみを選択的にワイプできるため、BYOD を安全に利用できます。

使用する場面

モバイルデバイス上の Microsoft 365 と Intune SDK 対応アプリのデータを保護します。特に、管理対象外のデバイスや個人所有のデバイス（登録なしの MAM、MAM-WE）に適しています。デバイス全体の登録が望ましくない場合や、現実的でない場合にこのスキルを使用してください。

デバイス全体の管理（intune-device-mgmt）やディスク暗号化（bitlocker-design）には、このスキルを使用しないでください。

保護モデルを選択する

シナリオ	モデル	備考
BYOD - 登録なし	登録なしの MAM（MAM-WE）	個人所有デバイスの既定値
会社所有、管理対象	管理対象デバイスでの APP	MDM の上に重ねて適用
会社所有と BYOD の混在	両方	同じ APP を異なる展開対象に適用
現場向け／共有デバイス	アプリ保護 + 共有デバイスモード	ユーザーごとのデータを隔離
厳格な規制対象データ	APP + 条件付きアクセスのアプリフィルター	CA による適用制御

**目安：**ユーザーには個人データとデバイスをそのまま保持させ、会社には会社のデータを保持させたい場合は、MAM-WE を使用します。CA による適用制御のない APP は任意ですが、CA で「アプリ保護ポリシーを要求する」を設定した APP は強制されます。

アプローチ

1. モデルと対象ユーザーを選択する — BYOD には MAM-WE、会社所有デバイスには管理対象デバイスでの APP を使用します。どちらもデバイスではなく、ユーザーとグループを対象にします。プラットフォームごとに、iOS/iPadOS と Android を選択します。 確認：APP の割り当てに正しいユーザーグループが表示され、状態レポートで対象ユーザーにポリシーが配信されていることを確認します。

2. データ保護の設定 — 管理対象アプリ間での切り取り／コピー／貼り付けを制限し、個人用の保存先への「名前を付けて保存」を防止し、iCloud／Google Drive へのバックアップを制限します。また、アプリ内の保存データを暗号化するよう要求します。 確認：個人所有デバイスでテストし、Outlook から個人用のメモへの貼り付けがブロックされることを確認します。

3. アクセス要件 — 管理対象アプリを開くときに、アプリのPIN（最低 6 桁）または生体認証を要求します。オフライン猶予期間（通常 12～48 時間）を設定し、脱獄／ルート化されたデバイスをブロックして、最低 OS バージョンを指定します。

4. 選択的ワイプ — 「企業データのみをワイプ」を使用して、個人データはそのまま残しながら、アプリから組織データを削除します。BYOD の利用終了時に重要です。 確認：個人所有デバイスでワイプを試験し、Outlook／OneDrive の企業データが削除され、写真や個人用アプリには影響がないことを確認します。

5. 適用制御のために条件付きアクセスと組み合わせる — APP だけではサインインを制御できません。対象のクラウドアプリ（Exchange Online、SharePoint、Teams）に対し、許可コントロールでアプリ保護ポリシーを要求するCA ポリシーを作成します。これにより適用が強制されます。 確認：保護されていないアプリから Exchange にアクセスする場合、CA What If でブロックされることを確認します。

6. アプリ構成 — APP とアプリ構成ポリシーを組み合わせ、管理対象アプリの設定（Outlook の署名、許可するアカウントの種類）を構成します。

ガードレール

• MAM-WE は、サポート対象アプリ内のデータのみを保護します。 Intune-SDK／ 承認済みアプリの一覧に対象アプリが含まれていることを確認してください。サポート対象外のアプリは保護されません。
• 展開前にユーザー体験（PIN、制限事項）を伝え、混乱を軽減します。 BYOD を利用するユーザーは、新たに PIN の入力を求められることに驚くと、アプリをアンインストールします。
• 適用には条件付きアクセスを組み合わせてください。APP だけではサインインを制御できません。 CA がないと、ユーザーは管理対象外の Outlook を使い、APP を回避できます。
• オフライン猶予期間の設定はトレードオフです。 短すぎると、飛行機での移動中にユーザーがロックアウトされます。長すぎると、紛失したデバイスに古いデータが残り続けます。一般的には 24～48 時間です。
• 選択的ワイプはキューに登録されます。 ユーザーが次にオンラインでアプリを開いたときにワイプが開始されます。即時ではありません。リスクの高い退職者には、並行してセッションを取り消してください。
• アプリ構成なしで APP を実行しないでください。 BYOD の Outlook は既定で個人用アカウントを許可しており、APP ではこれを防げません。構成ポリシーで会社アカウントのみを許可してください。

よくあるアンチパターン

• 「APP を展開すれば、データが保護される」 - CA による適用がないと、ユーザーは管理対象外の Outlook にサインインし、APP を完全に回避できます。
• 「脱獄済みデバイスをブロックするが、事前に伝えない」 - ルート化されたデバイスを使う初回利用者から、問い合わせが殺到します。適用前に伝えてください。
• 「オフライン猶予期間を設けない」 - 電波状況の悪い日に、大量のロックアウトが発生します。
• 「iOS と Android に同じポリシーを適用する」 - プラットフォーム固有の設定（例：iOS の管理対象アプリ間でのデータ共有、Android の仕事用プロファイルとの連携）には、プラットフォームごとの調整が必要です。
• BYOD で「ワイプ＝デバイスのワイプ」 - 個人データも消去され、法的リスクが生じます。BYOD では選択的ワイプのみを使用してください。
• 「アプリ構成ポリシーを省略する」 - Outlook で個人用アカウントを使うと、APP の対象範囲外にデータが漏えいします。

プロンプトの例

• Create an Intune app protection policy for BYOD without enrollment (MAM-WE).
• Restrict copy/paste and enable selective wipe in mobile apps for iOS and Android.
• Set up Conditional Access "Require app protection policy" for Exchange Online and SharePoint.
• Configure Outlook app configuration policy alongside APP.
• Plan offline grace period and PIN requirements for our mobile workforce.
• Wipe corporate data from a departing contractor's personal phone without touching personal data.

Microsoft Learn

• APP の概要：https://learn.microsoft.com/mem/intune/apps/app-protection-policy
• APP の設定 - iOS：https://learn.microsoft.com/mem/intune/apps/app-protection-policy-settings-ios
• APP の設定 - Android：https://learn.microsoft.com/mem/intune/apps/app-protection-policy-settings-android
• 登録なしの MAM：https://learn.microsoft.com/mem/intune/apps/app-protection-policies
• サポート対象アプリ：https://learn.microsoft.com/mem/intune/apps/apps-supported-intune-apps
• CA - アプリ保護ポリシーを要求：https://learn.microsoft.com/entra/identity/conditional-access/concept-conditional-access-grant
• 選択的ワイプ：https://learn.microsoft.com/mem/intune/apps/apps-selective-wipe