Microsoft Intune のアプリ構成ポリシー

[アーティクル]
12/12/2023

アプリ構成ポリシーは、アプリを実行する前にエンドユーザーに割り当てられたポリシーに構成設定を割り当てることで、アプリのセットアップの問題を解消するのに役立ちます。設定は、アプリがエンドユーザーデバイスで構成され、エンドユーザーがアクションを実行する必要がない場合に自動的に提供されます。構成設定は、各プラットフォームに固有です。

アプリ構成ポリシーを作成して使用して、iOS/iPadOS アプリと Android アプリの両方の構成設定を提供できます。これらの構成設定を使用すると、アプリの構成と管理を使用してアプリをカスタマイズできます。構成ポリシー設定は、通常、アプリが初めて実行されるときに、アプリがこれらの設定をチェックするときに使用されます。

たとえば、アプリ構成設定では、次のいずれかの詳細を指定する必要がある場合があります。

カスタムポート番号
言語の設定
セキュリティの設定
会社のロゴなどのブランド設定

エンドユーザーが代わりにこれらの設定を入力すると、誤ってこれを行う可能性があります。アプリ構成ポリシーは、企業全体で一貫性を提供し、エンドユーザーが独自に設定を構成しようとするヘルプデスクの呼び出しを減らすのに役立ちます。アプリ構成ポリシーを使用すると、新しいアプリの導入を簡単かつ迅速に行うことができます。

使用可能な構成パラメーターと構成パラメーターの実装は、アプリケーションの開発者によって決定されます。アプリケーションベンダーのドキュメントを確認して、使用可能な構成と、構成がアプリケーションの動作にどのような影響を与えるかを確認する必要があります。一部のアプリケーションでは、使用可能な構成設定が Intune によって設定されます。

注:

マネージド Google Play ストアでは、構成をサポートするアプリは次のようにマークされます。

構成済みのアプリのスクリーンショット

Android デバイスの登録の種類としてマネージドデバイスを使用している場合は、 Google Play ストアではなく、マネージド Google Play ストアからのアプリのみが表示されます。

アプリ構成ポリシーは、含める割り当てと除外の割り当てを組み合わせて使用して、エンドユーザーとデバイスのグループに割り当てることができます。アプリ構成ポリシーを追加または更新するプロセスの一環として、アプリ構成ポリシーの割り当てを設定できます。ポリシーの割り当てを設定するときに、ポリシーが適用されるエンドユーザーのグループを含めるか除外するかを選択できます。 1 つ以上のグループを追加する場合は、追加する特定のグループを選択するか、組み込みグループを選択できます。組み込みグループには、[すべてのユーザー]、[すべてのデバイス]、および [すべてのユーザー + すべてのデバイス] が含まれます。

また、フィルターを使用して、管理対象の iOS デバイスと Android デバイスのアプリ構成ポリシーをデプロイするときに、割り当てスコープを絞り込むこともできます。最初に、iOS と Android で使用可能なプロパティのいずれかを使用してフィルターを作成する必要があります。次に、管理センター Microsoft Intuneで、[アプリ>] [アプリの構成ポリシー] [管理対象デバイスの追加>] の順に選択して、マネージドアプリ構成ポリシー>を割り当て、割り当てページに移動できます。グループを選択した後、フィルターを選択し、 含める または除外モードで使用することを決定することで、ポリシーの適用性を調整できます。

アプリ構成ポリシーワークロードは、テナント用に作成されたアプリ構成ポリシーの一覧を提供します。この一覧には、名前、プラットフォーム、更新、登録の種類、スコープタグなどの詳細が表示されます。特定のアプリ構成ポリシーの詳細については、ポリシーを選択します。 [ポリシーの概要 ] ウィンドウには、デバイスに基づくポリシーの状態やユーザーに基づくポリシーの状態、ポリシーが割り当てられているかどうかなど、特定の詳細が表示されます。

アプリの構成をサポートするアプリ

アプリの構成は、登録済みデバイスのモバイルデバイス管理 (MDM) OS チャネル (iOS の場合はマネージド App Configuration チャネル、Android の場合は Enterprise チャネルの Android) またはモバイルアプリケーション管理 (MAM) チャネルを介して配信できます。

Intune は、次のようなさまざまなアプリ構成ポリシーチャネルを表します。

管理対象デバイス - デバイスは、統合エンドポイント管理プロバイダーとしてIntuneによって管理されます。アプリは、iOS/iPadOS 上の管理プロファイルにピン留めするか、Android デバイス上の Managed Google Play を介してデプロイする必要があります。さらに、アプリは目的のアプリ構成をサポートします。
マネージドアプリ - Intune App SDK を統合しているか、Intune ラッピングツールを使用してラップされ、App Protection ポリシー (APP) をサポートするアプリ。この構成では、デバイスの登録状態も、アプリがデバイスに配信される方法も重要ではありません。アプリは、目的のアプリ構成をサポートします。

デバイスの登録のタイプ

アプリでは、ユーザー設定に関してアプリ構成ポリシーの設定が異なる場合があります。たとえば、Outlook for iOS と Android では、[フォーカス受信トレイ] アプリの構成設定はユーザー設定を尊重し、ユーザーが管理者の意図をオーバーライドできるようにします。その他の設定では、ユーザーが管理者の意図に基づいて設定を変更できるかどうかを制御できます。

注:

これらのデバイスは引き続きサポートされるため、この要件は Microsoft Teams Android デバイスには適用されません。

Intune アプリ保護ポリシーと、Managed apps アプリ構成ポリシーを介して配信されるアプリ構成の場合、Intune には Android 9.0 以降が必要です。

管理対象デバイス

[デバイス登録の種類] として [マネージドデバイス] を選択すると、特に登録済みデバイスにIntuneによって展開されたアプリが参照されるため、登録プロバイダーとしてIntuneによって管理されます。

登録済みデバイスでIntuneを介して展開されるアプリのアプリ構成をサポートするには、OS で定義されているアプリ構成の使用をサポートするようにアプリを記述する必要があります。 MDM OS チャネルを介した配信をサポートするアプリ構成キーの詳細については、アプリベンダーに問い合わせてください。 MDM OS チャネルを使用する場合、通常、アプリ構成の配信には次の 4 つのシナリオがあります。

職場または学校アカウントのみを許可する
アカウント設定の構成設定
一般的なアプリ構成設定
S/MIME 構成設定

管理されているアプリ

[デバイス登録の種類] として [マネージドアプリ] を選択すると、特に、登録の状態に関係なく、デバイスで Intune App Protection ポリシーで構成されたアプリが示されます。

MAM チャネルを使用してアプリの構成をサポートするには、アプリを Intune App SDK と統合する必要があります。基幹業務アプリは、Intune App SDK を統合するか、Intune App Wrapping Tool を使用できます。 Intune App SDK とIntune App Wrapping Toolの比較については、「アプリ保護ポリシーの基幹業務アプリを準備する」を参照してください。

MAM チャネルを介したアプリ構成の配信では、デバイスを登録する必要も、統合エンドポイント管理ソリューションを介してアプリを管理または配信する必要はありません。 MAM チャネルを使用したアプリ構成の配信には、次の 3 つのシナリオがあります。

一般的なアプリ構成設定
S/MIME 構成設定
App Protection ポリシーによって提供される機能を拡張する高度な APP データ保護設定

注:

Intuneマネージドアプリは、Intune App Protection ポリシーと組み合わせてデプロイされると、Intune App Configuration ポリシーの状態に対して 30 分の間隔でチェックされます。 Intune App Protection Policy がユーザーに割り当てられていない場合、Intune App Configuration ポリシーのチェックイン間隔は 720 分に設定されます。

MAM チャネルを使用してアプリの構成をサポートするアプリの詳細については、「保護されている Microsoft Intune アプリ」を参照してください。

Android Enterprise セキュリティ構成フレームワークのアプリ構成ポリシー

Android Enterprise アプリ構成ポリシーの場合は、アプリ構成プロファイルを作成する前にデバイス登録の種類を選択できます。登録の種類に基づく証明書プロファイルを考慮できます。

登録の種類は、次のいずれかになります。

すべてのプロファイルの種類: 新しいプロファイルが作成され、デバイス登録 の種類に [すべてのプロファイルの種類 ] が選択されている場合、証明書プロファイルをアプリ構成ポリシーに関連付けることはできません。このオプションでは、ユーザー名とパスワードの認証がサポートされます。証明書ベースの認証を使用する場合は、このオプションを使用しないでください。
フルマネージド、専用、および Corporate-Owned 作業プロファイルのみ: 新しいプロファイルが作成され、フルマネージド、専用、Corporate-Owned 仕事用プロファイルのみが選択されている場合は、[デバイス>管理]> で作成されたフルマネージド、専用、および Corporate-Owned 作業プロファイル証明書ポリシーを使用できます。このオプションでは、証明書ベースの認証、ユーザー名とパスワードの認証がサポートされます。 フルマネージド は、Android Enterprise フルマネージドデバイス (COBO) に関連します。 Dedicated は、Android Enterprise 専用デバイス (COSU) に関連します。 企業所有の仕事用プロファイルは 、Android Enterprise 企業所有の仕事用プロファイル (COPE) に関連します。
個人所有の仕事用プロファイルのみ: 新しいプロファイルが作成され、[個人所有の仕事用プロファイルのみ] が選択されている場合は、[デバイス>>の管理][デバイスの構成] で作成された仕事用プロファイル証明書ポリシーを使用できます。このオプションでは、証明書ベースの認証、ユーザー名とパスワードの認証がサポートされます。

注:

ユーザーが関与しない Android Enterprise 専用デバイスの仕事用プロファイルに Gmail または Nine 構成プロファイルを展開した場合、Intuneはユーザーを解決できないため、失敗します。

重要

この機能のリリース前に作成された既存のポリシー (2020 年 4 月のリリース - 2004) で、ポリシーに関連付けられている証明書プロファイルがない場合、既定では、デバイス登録の 種類のすべてのプロファイルの種類 が使用されます。また、証明書プロファイルが関連付けられているこの機能のリリース前に作成された既存のポリシーは、既定で [仕事用プロファイルのみ] になります。

既存のポリシーでは、新しい証明書の修復や発行は行われません。

適用されたアプリ構成ポリシーを検証する

アプリ構成ポリシーは、次の 3 つの方法を使用して検証できます。

デバイス上でアプリ構成ポリシーを目に見えて確認します。対象のアプリが、アプリ構成ポリシーに適用されている動作を示していることを確認します。
診断ログを使用して確認します (下の「診断ログ」セクションを参照してください)。
Microsoft Intune管理センターで確認します。 Microsoft Intune管理センターで、[アプリ>] [すべてのアプリ>]を選択し、関連するアプリを選択します*。次に、[監視] セクションで、[デバイスのインストール状態: デバイスのインストール状態レポート] を選択すると、構成ポリシーの対象となっているすべてのデバイスの最新のチェックインが監視されます。

さらに、Microsoft Intune管理センターで、[デバイス>] [すべてのデバイス>] の順に選択し、デバイス>アプリの構成を選択します。アプリ構成** ウィンドウには、割り当てられたすべてのポリシーとその状態が表示されます。

診断ログ

アンマネージドデバイスでの iOS/iPadOS 構成

iOS/iPadOS 構成は、マネージドアプリ構成ポリシーを使用して展開された設定のIntune診断ログを使用して検証できます。次の手順に加えて、Microsoft Edge を使用してマネージドアプリログにアクセスできます。詳細については、「 Microsoft Edge for iOS と Android を使用してマネージドアプリログにアクセスする」を参照してください。

デバイスにまだインストールされていない場合は、App Storeから Microsoft Edge をダウンロードしてインストールします。詳細については [Microsoft Intune に保護されているアプリ] を参照してください。
Microsoft Edge を起動し、アドレスボックスに「about:intunehelp」と入力します。
[ 開始] をクリックします。
[ ログの共有] をクリックします。
任意のメールアプリを使用して自分にログを送信し、PC で表示できるようにします。
テキストファイルビューアーで IntuneMAMDiagnostics.txt を確認します。

ApplicationConfiguration を検索します。結果は次のようになります。

    {
        (
            {
                Name = "com.microsoft.intune.mam.managedbrowser.BlockListURLs";
                Value = "https://www.aol.com";
            },
            {
                Name = "com.microsoft.intune.mam.managedbrowser.bookmarks";
                Value = "Outlook Web|https://outlook.office.com||Bing|https://www.bing.com";
            }
        );
    },
    {
        ApplicationConfiguration =             
        (
            {
            Name = IntuneMAMUPN;
            Value = "CMARScrubbedM:13c45c42712a47a1739577e5c92b5bc86c3b44fd9a27aeec3f32857f69ddef79cbb988a92f8241af6df8b3ced7d5ce06e2d23c33639ddc2ca8ad8d9947385f8a";
            },
            {
            Name = "com.microsoft.outlook.Mail.BlockExternalImagesEnabled";
            Value = true;
            }
        );
    }

アプリケーション構成の詳細は、テナント用に構成されたアプリケーション構成ポリシーと一致する必要があります。

対象アプリの構成

管理対象デバイスでの iOS/iPadOS 構成

管理対象アプリ構成の管理対象デバイスのIntune診断ログを使用して、iOS/iPadOS 構成を検証できます。

デバイスにまだインストールされていない場合は、App Storeから Microsoft Edge をダウンロードしてインストールします。詳細については [Microsoft Intune に保護されているアプリ] を参照してください。
Microsoft Edge を起動し、アドレスボックスに「about:intunehelp」と入力します。
[ 開始] をクリックします。
[ ログの共有] をクリックします。
任意のメールアプリを使用して自分にログを送信し、PC で表示できるようにします。
テキストファイルビューアーで IntuneMAMDiagnostics.txt を確認します。
AppConfig を検索します。結果は、テナント用に構成されたアプリケーション構成ポリシーと一致する必要があります。

管理対象デバイスでの Android 構成

管理対象アプリ構成の管理対象デバイスのIntune診断ログを使用して、Android の構成を検証できます。

Android デバイスからログを収集するには、ユーザーまたはエンドユーザーが USB 接続 (またはデバイスで同等のエクスプローラー) を介してデバイスからログをダウンロードする必要があります。それらのステップは次のとおりです。

USB ケーブルを使用して Android デバイスをコンピューターに接続します。
コンピューターで、デバイスの名前を持つディレクトリを探します。そのディレクトリでを見つけます Android Device\Phone\Android\data\com.microsoft.windowsintune.companyportal。
フォルダーで、[ com.microsoft.windowsintune.companyportal ファイル] フォルダーを開き、を開きます OMADMLog_0。
を検索 AppConfigHelper して、アプリ構成に関連するメッセージを検索します。結果は、次のデータブロックのようになります。

2019-06-17T20:09:29.1970000 INFO AppConfigHelper 10888 02256 Returning app config JSON [{"ApplicationConfiguration":[{"Name":"com.microsoft.intune.mam.managedbrowser.BlockListURLs","Value":"https:\/\/www.aol.com"},{"Name":"com.microsoft.intune.mam.managedbrowser.bookmarks","Value":"Outlook Web|https:\/\/outlook.office.com||Bing|https:\/\/www.bing.com"},{"Name":"com.microsoft.intune.mam.managedbrowser.homepage","Value":"https:\/\/www.arstechnica.com"}]},{"ApplicationConfiguration":[{"Name":"IntuneMAMUPN","Value":"AdeleV@M365x935807.OnMicrosoft.com"},{"Name":"com.microsoft.outlook.Mail.NotificationsEnabled","Value":"false"},{"Name":"com.microsoft.outlook.Mail.NotificationsEnabled.UserChangeAllowed","Value":"false"}]}] for user User-875363642

アプリ構成のGraph APIサポート

Graph APIを使用して、アプリ構成タスクを実行できます。詳細については、「Graph API参照 MAM ターゲット構成」を参照してください。Intuneと Graph の詳細については、「Microsoft Graph でのIntuneの操作」を参照してください。

トラブルシューティング

ログを使用した構成パラメーターの表示

ログに、適用中であることが確認されているが、動作していないように見える構成パラメーターが表示される場合、アプリ開発者による構成の実装に問題がある可能性があります。最初にそのアプリ開発者に連絡したり、サポート情報を確認したりすると、Microsoft によるサポートコールが保存される場合があります。構成がアプリ内でどのように処理されるかに関する問題である場合は、そのアプリの今後の更新バージョンで対処する必要があります。