Android 用 Intune App SDK - アプリ参加機能

Microsoft Intune App SDK for Android を使用すると、Intune アプリ保護ポリシー ( APP または MAM ポリシーとも呼ばれます) をネイティブの Java/Kotlin Android アプリに組み込むことができます。 Intune で管理されるアプリケーションは、Intune App SDK と統合されたアプリケーションです。 Intune 管理者は、Intune がアプリをアクティブに管理するときに、Intune で管理されるアプリにアプリ保護ポリシーを簡単に展開できます。

ステージ 7: アプリ参加機能

ステージの目標

• Intune App SDK によって提供されるさまざまなアプリ参加機能について説明します。
• アプリとユーザーに関連するアプリ参加機能を統合します。
• これらの機能の統合をテストします。

"アプリ参加機能" とは

この SDK 統合プロセスは、開発者が記述する必要があるアプリ固有のコードの量を最小限に抑えようとします。 SDK 統合の前の段階を正常に完了することで、アプリは、ファイルの暗号化、コピー/貼り付けの制限、スクリーンショットのブロック、データ転送の制限など、アプリ保護ポリシー設定の大部分を適用できるようになりました。

ただし、アプリ固有のコードを適切に適用する必要がある設定がいくつかあります。これらは、アプリ参加機能と呼ばれます。 通常、SDK には、アプリケーションのコードやエンド ユーザーシナリオに関する十分なコンテキストがないため、これらの設定を自動的に適用するため、開発者は SDK API を適切に呼び出します。

アプリ参加機能は必ずしも省略可能ではありません。 アプリの既存の機能によっては、これらの機能が必要になる場合があります。 詳細については、「 SDK 統合に関する重要な決定事項 」を参照してください。

このガイドの前の段階では、いくつかのアプリ参加機能について既に説明しています。

• 「ステージ 5: マルチ ID」で説明されているマルチ ID。
• 「ステージ 6: アプリの構成」で説明されているアプリ構成。

このガイドの残りの部分では、アプリ参加機能の残りのセットについて説明します。

• ローカルストレージまたはクラウドストレージからファイルを保存/開くポリシーを適用します。
• 通知のコンテンツを制限するポリシーを適用します。
• バックアップ データを保護するポリシーを適用します。
• 画面キャプチャを制限するポリシーを適用します (アプリにカスタム画面キャプチャ コードがある場合)。
• App Protection CA をサポートします。
• SDK からの通知に登録します。
• カスタム アプリケーションのテーマを適用します。
• Intune からの信頼された証明書を使用して、オンプレミス エンドポイントへの信頼のチェーンを確保します。

アプリ参加機能の基本

AppPolicy インターフェイスには、特定のアクションが許可されているかどうかをアプリに通知する多くのメソッドが含まれています。

ほとんどのアプリ参加機能には次が含まれます。

• アクションが許可されているかどうかを確認するために、アプリのコード内の適切な場所を特定します。
• AppPolicy メソッドを呼び出して、現在構成されているポリシーに基づいてアクションが許可されているかどうかを確認します。
• 結果に応じて、アクションの完了を許可するか、アクションがブロックされたときにアプリの動作を変更します。

AppPolicy インスタンスを取得するには、getPolicyやgetPolicyForIdentity(final String identity)などの MAMPolicyManager メソッドのいずれかを使用します。

AppPolicy の情報メソッド

AppPolicyのすべてのメソッドがアプリ参加機能に関連付けられているわけではありません。 一部のメソッドは情報に基づくものであり、ポリシーが SDK によって自動的に適用されている場合でも、ポリシーが現在構成されているアプリ データを提供します。 これらのメソッドは、特定のポリシーが構成されたときにカスタム ユーザー エクスペリエンスを表示する機会をアプリに提供するために存在します。

例: スクリーンショットがブロックされているかどうかを判断する

アプリにスクリーンショットを取得できるコントロールがある場合は、アプリ保護ポリシーでスクリーンショットがブロックされているかどうかをそのコントロールを無効または非表示にすることができます。

アプリは、 MAMPolicyManager.getPolicy(currentActivity).getIsScreenCaptureAllowed()を呼び出すことによってこれを確認できます。

アプリとデバイスまたはクラウドストレージの場所間のデータ転送を制限するためのポリシー

多くのアプリでは、エンド ユーザーがローカル ファイル ストレージまたはクラウド ストレージ サービスにデータを保存したり、ローカル ファイル ストレージ サービスからデータを開いたりすることができます。 Intune App SDK を使用すると、IT 管理者は、アプリがデータを保存してデータを開く場所を制限することで、データのイングレスやデータ漏洩から保護できます。

デバイスまたはクラウド ストレージへの保存

getIsSaveToLocationAllowed API を使用すると、構成されたポリシーに基づいて、特定の ID に対して特定の場所への保存が許可されているかどうかをアプリで認識できます。

MAMPolicyManager.getPolicy(currentActivity).getIsSaveToLocationAllowed(
SaveLocation service, String username);

アプリで getIsSaveToLocationAllowed チェックを実装する必要があるかどうかを判断するには、次の表を確認して、アプリがデータエグレスをサポートしているかどうかを判断します。

アプリの操作に必要なプライベート アプリ ストレージに配置されたファイル、または表示のために一時的にダウンロードされたファイルは常に許可されます。 getIsSaveToLocationAllowedを確認する必要はありません。 SaveLocation.LOCALを確認する

1. プライベート アプリ ストレージの外部に保存されたファイル。
2. アプリ操作に必要ないプライベート アプリ ストレージにダウンロードされたファイル (たとえば、ユーザーが意図的にデバイスにダウンロードすることを選択した場合など)。

ローカルまたはクラウドのストレージの場所からデータを開く

getIsOpenFromLocationAllowed API を使用すると、構成されたポリシーに基づいて、特定の場所からのオープンが特定の ID に対して許可されているかどうかをアプリで認識できます。

MAMPolicyManager.getPolicy(currentActivity).getIsOpenFromLocationAllowed(
OpenLocation location, String username);

アプリが getIsOpenFromLocationAllowed チェックを実装する必要があるかどうかを判断するには、次の表を確認して、アプリがデータイングレスをサポートしているかどうかを判断します。

[ブロックされた共有] ダイアログ

SDK には、MAM ポリシーによってデータ転送アクションがブロックされたことをユーザーに通知するダイアログが用意されています。

isSaveToAllowedForLocationまたはisOpenFromAllowedForLocation API 呼び出しの結果、保存/開くアクションがブロックされるたびに、ダイアログをユーザーに表示する必要があります。 ダイアログには汎用メッセージが表示され、無視されると呼び出し元の Activity に戻ります。

ダイアログを表示するには、次のコードを追加します。

MAMUIHelper.showSharingBlockedDialog(currentActivity)

ファイル共有を許可する

パブリック ストレージの場所への保存が許可されていない場合でも、アプリはユーザーが ファイルをアプリプライベート ストレージ にダウンロードし、システム選択ツールで開くことによってファイルを表示できるようにする必要があります。

通知内のコンテンツを制限するためのポリシー

単一 ID アプリの場合、Intune App SDK の既定の動作では、App Protection Policy が通知を制限すると 、すべての 通知がブロックされます。

SDK の既定の動作は制限されています。 SDK では、通知から管理されたコンテンツのみを削除することを目的とした "組織データのブロック" 値を自動的に適用することはできません。 マルチ ID アプリの場合、SDK では、マネージド コンテンツを含む通知を特定できません。

アプリに通知が表示され、マルチ ID または "組織データのブロック" 値を適用する場合は、通知を表示する前に、通知に関連付けられているアカウントの通知制限ポリシーを確認する必要があります。

ポリシーが適用されているかどうかを判断するには、次の呼び出しを行います。

NotificationRestriction notificationRestriction =
    MAMPolicyManager.getPolicyForIdentity(notificationIdentity).getNotificationRestriction();

返される NotificationRestriction 列挙型には、次の値があります。

アプリが getNotificationRestrictionを適切に呼び出さない場合、MAM SDK は 、シングル ID アプリに対してのみ通知を自動的に制限するように最善の努力をします。

この場合、 BLOCK_ORG_DATA は BLOCKED と同じように扱われ、通知はまったく表示されません。

きめ細かい制御を行う場合は、 getNotificationRestriction の値を確認し、アプリ通知を適切に変更します。

バックアップ データを保護するためのポリシー

Intune App SDK では、Android の組み込みのバックアップと復元機能へのデータアップロードをブロックできます。 Android でのバックアップと復元の詳細については、「 Android API ガイド 」と「Android S/ 12 で導入された変更: バックアップと復元への変更」を参照してください。

アプリの自動バックアップ

Android M 以降、Android では、アプリのターゲット API に関係なく、Google Drive for Apps への 自動完全バックアップ の提供が開始されました。

Intune では、データ保護を確実に適用するための特定の Intune 統合ガイダンスを使用して、XML でカスタム ルールを定義する機能など、Android から利用できるすべての自動バックアップ機能を利用できます。

アプリのマニフェストでのバックアップ動作の構成

既定では、バックアップの有効化と無効化に関するページで説明されているように、android:allowBackupは true に設定されています。

アプリで完全バックアップと復元機能が必要ない場合は、 android:allowBackup を false に設定 します。 この場合、これ以上のアクションは必要なく、"企業" データはアプリ内に残ります。

アプリで完全バックアップと復元機能が必要な場合は、 android:allowBackup を true に設定し、次の追加手順を実行します。

1. アプリで独自のカスタム BackupAgentを使用しない場合は、既定の MAMBackupAgent を使用して、Intune ポリシーに準拠した自動完全バックアップを許可します。 アプリ マニフェストに次を配置します。

   <application
   ...
     android:fullBackupOnly="true"
     android:backupAgent="com.microsoft.intune.mam.client.app.backup.MAMDefaultBackupAgent"
     ...>
     </application>
   

2. [省略可能]オプションのカスタム BackupAgentを実装した場合は、MAMBackupAgent または MAMBackupAgentHelper を必ず使用する必要があります。 次のセクションを参照してください。 手順 1 で説明されている Intune の MAMDefaultBackupAgent の使用に切り替えることを検討してください。これは、Android M 以降で簡単にバックアップできます。

3. アプリで受け取るフル バックアップの種類 (フィルターなし、フィルター処理、またはなし) を決定する場合は、属性 android:fullBackupContent を true、false、またはアプリ内の XML リソースに設定する必要があります。

4. 次に、android:fullBackupContentの値を com.microsoft.intune.mam.FullBackupContent メタデータ タグにコピーし、API 31 で追加された新しい XML 構成形式をサポートするアプリの値を com.microsoft.intune.mam.DataExtractionRules メタデータ タグにコピーする必要があります。

   • 例 1: アプリで完全バックアップを除外せずに作成する場合は、属性とメタデータ タグを true に設定する必要があります。

     <application
       ...
       android:fullBackupContent="true"
       ...>
     </application>
     ...
     <meta-data android:name="com.microsoft.intune.mam.FullBackupContent" android:value="true" />
     <meta-data android:name="com.microsoft.intune.mam.DataExtractionRules" android:value="true" />
     

   • 例 2: アプリでカスタム BackupAgent を使用し、Intune ポリシーに準拠した完全な自動バックアップをオプトアウトする場合は、属性とメタデータ タグを false に設定する必要があります。

     <application
       ...
       android:fullBackupContent="false"
       ...>
     </application>
     ...
     <meta-data android:name="com.microsoft.intune.mam.FullBackupContent" android:value="false" />
     <meta-data android:name="com.microsoft.intune.mam.DataExtractionRules" android:value="false" />
     

   • 例 3: XML ファイルで定義されているカスタム 規則に従ってアプリに完全バックアップを作成する場合は、属性とメタデータ タグを同じ XML リソースに設定します。

     <application
       ...
       android:fullBackupContent="@xml/my_full_backup_content_scheme"
       android:dataExtractionRules="@xml/my_data_extraction_rules_scheme"
       ...>
     </application>
     ...
     <meta-data android:name="com.microsoft.intune.mam.FullBackupContent" android:resource="@xml/my_full_backup_content_scheme" />
     <meta-data android:name="com.microsoft.intune.mam.DataExtractionRules" android:resource="@xml/my_data_extraction_rules_scheme" />
     

キー/値のバックアップ

[キー/値のバックアップ] オプションは、すべての API 8 以降で使用でき、アプリ データを Android Backup Service にアップロードします。 アプリあたりのデータ量は 5 MB に制限されています。 キー/値バックアップを使用する場合は、 BackupAgentHelper または BackupAgent を使用する必要があります。

BackupAgentHelper

BackupAgentHelper は、ネイティブ Android 機能と Intune MAM 統合 BackupAgentHelper の両方で BackupAgent よりも実装が簡単で、開発者はファイル全体と共有設定を FileBackupHelper と SharedPreferencesBackupHelper (それぞれ) に登録し、作成時に BackupAgentHelper に追加できます。 Intune MAM で BackupAgentHelper を使用するには、次の手順に従います。

1. BackupAgentHelperでマルチ ID バックアップを利用するには、Android ガイドに従って BackupAgentHelper を拡張します。

2. クラスで、BackupAgentHelper、FileBackupHelper、SharedPreferencesBackupHelper と同等の MAM を拡張します。

これらのガイドラインに従うと、マルチ ID のバックアップと復元が成功します。

BackupAgent

BackupAgent を使用すると、バックアップされるデータをより明確にすることができます。 開発者は実装に対してかなり責任を負うため、Intune からの適切なデータ保護を確保するためにさらに多くの手順が必要です。 ほとんどの作業が開発者にプッシュされるため、Intune の統合は少し複雑になります。

MAM を統合する:

1. Key/Value Backup の Android ガイドと特に BackupAgent の拡張を慎重に読み、BackupAgent の実装が Android ガイドラインに従っていることを確認してください。

2. クラスで MAMBackupAgent を拡張します。

マルチ ID バックアップ:

1. バックアップを開始する前に、バックアップする予定のファイルまたはデータ バッファーが、実際に IT 管理者によってマルチ ID シナリオでの バックアップが許可されていることを 確認します。 MAMFileProtectionManager と MAMDataProtectionManager のisBackupAllowedを使用して、これを判断します。 ファイルまたはデータ バッファーのバックアップが許可されていない場合は、バックアップに含めてはいけません。

2. バックアップ中のある時点で、手順 1 でチェックインしたファイルの ID をバックアップする場合は、データを抽出する予定のファイルで backupMAMFileIdentity(BackupDataOutput data, File … files) を呼び出す必要があります。 これにより、新しいバックアップ エンティティが自動的に作成され、 BackupDataOutput に書き込まれます。 これらのエンティティは、復元時に自動的に使用されます。

複数 ID の復元: データ バックアップ ガイドでは、アプリケーションのデータを復元するための一般的なアルゴリズムを指定し、「 BackupAgent の拡張 」セクションのコード サンプルを提供します。 マルチ ID の復元を正常に行うには、このコード サンプルで提供されている一般的な構造に従い、次に特に注意する必要があります。

1. バックアップ エンティティを通過するには、 while(data.readNextHeader())* ループを使用する必要があります。

2. data.getKey()がonBackupで記述したキーと一致しない場合は、data.skipEntityData()を呼び出す必要があります。 この手順を実行しないと、復元が成功しない可能性があります。

3. 自動的に書き込むエンティティが失われるので、 while(data.readNextHeader())* コンストラクトでバックアップ エンティティを使用しているときには、戻らないようにします。

• ここで data は、復元時にアプリに渡される MAMBackupDataInput のローカル変数名です。

カスタム画面キャプチャの制限

Android の Window レベルの FLAG_SECURE 制限をバイパスするカスタム画面キャプチャ機能がアプリに含まれている場合は、機能へのフル アクセスを許可する前に画面キャプチャ ポリシーを確認する必要があります。 たとえば、アプリでカスタム レンダリング エンジンを使用して現在のビューを PNG ファイルにレンダリングする場合は、最初に AppPolicy.getIsScreenCaptureAllowed()確認する必要があります。

App Protection CA のサポート

アプリ保護 CA (条件付きアクセス) は、アプリベースの CA とも呼ばれ、アプリケーションが Intune App Protection ポリシーによって管理されるまでリソースへのアクセスを制限します。 Microsoft Entra ID では、CA で保護されたリソースにアクセスするためのトークンを付与する前に、アプリを APP によって登録および管理するように要求することで、これを適用します。

MSAL に準拠していない処理

アカウントのトークンを取得する場合、MSAL ライブラリは、アプリ保護ポリシー管理に準拠していないかどうかを示す MsalIntuneAppProtectionPolicyRequiredException を返すかスローすることがあります。 コンプライアンスの修復に使用するために、例外から追加のパラメーターを抽出できます ( 「MAMComplianceManager」を参照してください)。 修復が成功すると、アプリは MSAL を介してトークンの取得を再試行できます。

MAMComplianceManager

MAMComplianceManager インターフェイスは、ポリシーが必要なエラーが MSAL から受信されたときに使用されます。 アプリを準拠状態にするために呼び出す必要がある [remediateCompliance] メソッドが含まれています。 MAMComplianceManagerへの参照は次のように取得できます。

MAMComplianceManager mgr = MAMComponents.get(MAMComplianceManager.class);

// make use of mgr

返される MAMComplianceManager インスタンスは、 nullされないことが保証されます。

package com.microsoft.intune.mam.policy;

public interface MAMComplianceManager {
    void remediateCompliance(String upn, String aadId, String tenantId, String authority, boolean showUX);
}

remediateCompliance() メソッドは、Microsoft Entra ID が要求されたトークンを付与するための条件を満たすためにアプリを管理下に置こうとするために呼び出されます。 最初の 4 つのパラメーターは、MSAL AuthenticationCallback.onError() メソッドで受け取った例外から抽出できます (以下のコード サンプルを参照)。 最後のパラメーターはブール値であり、コンプライアンスの試行中に UX を表示するかどうかを制御します。

remediateCompliance では、この操作中にアプリがカスタマイズされた UX を表示する必要がないように、単純なブロック進行状況ダイアログが表示されます。 このダイアログは、コンプライアンス修復の進行中にのみ表示されます。最終的な結果は表示されません。 アプリは、コンプライアンス修復の試行の成功または失敗を処理するために、 COMPLIANCE_STATUS 通知の受信者を登録できます。 詳細については、「 コンプライアンスの状態通知 」を参照してください。

remediateCompliance() は、コンプライアンスの確立の一環として MAM 登録を開始する可能性があります。 登録通知の通知レシーバーが登録されている場合、アプリは登録通知を受け取ることがあります。 アプリの登録済み MAMServiceAuthenticationCallback には、登録のトークンを取得するために acquireToken() メソッドが呼び出されます。 acquireToken() は、アプリが独自のトークンを取得する前に呼び出されるため、トークンの取得が成功した後にアプリが実行するブックキーピングまたはアカウント作成タスクがまだ実行されていない可能性があります。 この場合、コールバックはトークンを取得できる必要があります。

acquireToken()からトークンを返できない場合、コンプライアンス修復の試行は失敗します。

要求されたリソースの有効なトークンを使用して後で updateToken を呼び出した場合、コンプライアンスの修復は、指定されたトークンを使用して直ちに再試行されます。

AuthenticationCallback.onError() メソッドでポリシーが必要なエラーを受け取り、MAMComplianceManager を呼び出してエラーを処理するサンプルを次に示します。

public void onError(@Nullable MsalException exc) {
    if (exc instanceof MsalIntuneAppProtectionPolicyRequiredException) {

        final MsalIntuneAppProtectionPolicyRequiredException policyRequiredException =
            (MsalIntuneAppProtectionPolicyRequiredException) ex;

        final String upn = policyRequiredException.getAccountUpn();
        final String aadId = policyRequiredException.getAccountUserId();
        final String tenantId = policyRequiredException.getTenantId();
        final String authority = policyRequiredException.getAuthorityURL();

        MAMComplianceManager complianceManager = MAMComponents.get(MAMComplianceManager.class);
        complianceManager.remediateCompliance(upn, aadId, tenantId, authority, showUX);
    }
}

コンプライアンスの状態通知

アプリが COMPLIANCE_STATUSの種類の通知に登録すると、コンプライアンス修復試行の最終的な状態をアプリに通知するために MAMComplianceNotification が送信されます。 登録の詳細については、「 SDK からの通知の 登録」を参照してください。

public interface MAMComplianceNotification extends MAMUserNotification {
    MAMCAComplianceStatus getComplianceStatus();
    String getComplianceErrorTitle();
    String getComplianceErrorMessage();
}

getComplianceStatus() メソッドは、[MAMCAComplianceStatus] 列挙型の値としてコンプライアンス修復試行の結果を返します。

コンプライアンスの状態が MAMCAComplianceStatus.COMPLIANTされている場合、アプリは元のトークンの取得 (独自のリソース) を再開する必要があります。

コンプライアンス修復の試行が失敗した場合、 getComplianceErrorTitle() メソッドと getComplianceErrorMessage() メソッドは、選択した場合にアプリがエンド ユーザーに表示できるローカライズされた文字列を返します。 ほとんどのエラー ケースはアプリによって修復されないため、一般的なケースでは、アカウントの作成またはログインに失敗し、ユーザーが後でやり直すことを許可することをお勧めします。

エラーが永続的な場合は、ポータル サイト ログが原因の特定に役立つ場合があります。 エンド ユーザーはログを送信できます。 詳細については、「 アップロードと電子メール ログ」を参照してください。

MAMNotificationReceiver インターフェイスを実装するために匿名クラスを使用してレシーバーを登録する例を次に示します。

final MAMNotificationReceiverRegistry notificationRegistry = MAMComponents.get(MAMNotificationReceiverRegistry.class);
// create a receiver
final MAMNotificationReceiver receiver = new MAMNotificationReceiver() {
    public boolean onReceive(MAMNotification notification) {
        if (notification.getType() == MAMNotificationType.COMPLIANCE_STATUS) {
            MAMComplianceNotification complianceNotification = (MAMComplianceNotification) notification;
            
            // take appropriate action based on complianceNotification.getComplianceStatus()
            
            // unregister this receiver if no longer needed
            notificationRegistry.unregisterReceiver(this, MAMNotificationType.COMPLIANCE_STATUS);
        }
        return true;
    }
};
// register the receiver
notificationRegistry.registerReceiver(receiver, MAMNotificationType.COMPLIANCE_STATUS);

App Protection CA のサポートの宣言

アプリがアプリ CA の修復を処理する準備ができたら、アプリがアプリ CA の準備ができていることを Microsoft ID に伝えることができます。 MSAL アプリケーションでこれを行うには、"protapp" のクライアント機能を使用してパブリック クライアントを構築します

{
      "client_id" : "[YOUR_CLIENT_ID]",
      "authorization_user_agent" : "DEFAULT",
      "redirect_uri" : "[YOUR_REDIRECT_URI]",
      "multiple_clouds_supported":true,
      "broker_redirect_uri_registered": true,
      "account_mode": "MULTIPLE",
      "client_capabilities": "protapp",
      "authorities" : [
        {
          "type": "AAD",
          "audience": {
            "type": "AzureADandPersonalMicrosoftAccount"
          }
        }
      ]
    }

上記を完了したら、以下の App Protection CA の検証 に進みます。

実装に関する注意事項

AcquireTokenSilentParameters acquireTokenSilentParameters =
        builder.withScopes(Arrays.asList(scopes))
               .forceRefresh(false)
               .build();

acquireTokenSilentAsync(acquireTokenSilentParameters);

SDK からの通知に登録する

Intune App SDK ガイドでは、次のような SDK からの通知にアプリを登録する必要がある場合があるいくつかのシナリオについて既に説明しています。

• WRONG_USERを処理するマルチ ID アプリ (「マネージド ID とアンマネージド ID」を参照)
• MANAGEMENT_REMOVEDを処理するマルチ ID アプリ (「データ バッファー保護」を参照)。
• WIPE_USER_DATAまたはWIPE_USER_AUXILIARY_DATAを処理するマルチ ID アプリ (「選択的ワイプ」を参照)。
• アプリ構成処理を実装するアプリ REFRESH_APP_CONFIG ( 「SDK からのアプリ構成の取得」を参照)。

このセクションでは、SDK が送信できるあらゆる種類の通知、アプリケーションでリッスンするタイミングと理由、および通知レシーバーを実装する方法について説明します。

通知の種類

すべての SDK 通知は、1 つの関数を持つ MAMNotification インターフェイスを実装 getType()、 MAMNotificationType 列挙型を返します。

ほとんどの通知は MAMUserNotificationsであり、1 つの ID に固有の情報を提供します。これは、 getUserIdentity() 関数を介して取得できます。

MAMEnrollmentNotification と MAMComplianceNotification は、さらに MAMUserNotificationを拡張します。この結果には、ユーザー/デバイスを MAM サービスに登録しようとした結果と、App Protection CA のコンプライアンスを修復しようとした結果がそれぞれ含まれます。

(*)ワイプは、次のようなさまざまな理由で発生する可能性があります。

• unregisterAccountForMAM というアプリ。
• IT 管理者がリモート ワイプを開始しました。
• 管理者が必要とする条件付きアクセス ポリシーが満たされませんでした。

MANAGEMENT_REMOVED

MANAGEMENT_REMOVED通知は、以前にポリシーで管理されたアカウントが管理されようとしていることをアプリに通知します。 アカウントが管理されなくなると、アプリは、そのアカウントの暗号化されたファイルを読み取ったり、 MAMDataProtectionManagerで暗号化されたアカウントのデータを読み取ったり、暗号化されたクリップボードと対話したり、マネージド アプリ エコシステムに参加したりできなくなります。

これには、ユーザー データのワイプやユーザーのサインアウトは必要ありません (ワイプが必要な場合は、 WIPE_USER_DATA 通知が送信されます)。 多くのアプリではこの通知を処理する必要がない場合がありますが、 MAMDataProtectionManager を使用するアプリはこれを処理する必要があります。 詳細については、「 データ バッファー保護 」を参照してください。

SDK がアプリの MANAGEMENT_REMOVED レシーバーを呼び出すと、次のようになります。

• SDK は、アプリに属する以前に暗号化されたファイル (ただし、保護されていないデータ バッファー) を既に暗号化解除しています。 アプリに直接属していない sdcard 上のパブリックな場所にあるファイル (ドキュメントやダウンロード フォルダーなど) は暗号化解除されません。

• レシーバー メソッドによって作成された新しいファイルまたは保護されたデータ バッファー (またはレシーバーの起動後に実行されているその他のコード) は暗号化されません。

• アプリは引き続き暗号化キーにアクセスできるため、データ バッファーの暗号化解除などの操作は成功します。

アプリのレシーバーが戻ると、暗号化キーにアクセスできなくなります。

MAMNotificationReceiver の実装

SDK からの通知に登録するには、アプリで MAMNotificationReceiver を作成し、MAMNotificationReceiverRegistry に登録 する必要があります。

受信側を登録するには、 registerReceiver をレシーバーに呼び出し、 Application.onCreate メソッドで目的の通知の種類を呼び出します。

@Override
public void onCreate() {
  super.onCreate();
  MAMComponents.get(MAMNotificationReceiverRegistry.class)
    .registerReceiver(
      new ToastNotificationReceiver(),
      MAMNotificationType.WIPE_USER_DATA);
}

アプリの MAMNotificationReceiver 実装には、 onReceive(MAMNotification notification) メソッドを含める必要があります。 このメソッドは、受信した通知ごとに個別に呼び出され、 booleanを返す必要があります。 通常、アプリケーションで通知に応答できない限り、このメソッドは常に trueを返す必要があります。

他の種類の Android レシーバーと同様に、アプリケーションには通知を処理する柔軟性があります。

• 個別の通知の種類に対して 個別の MAMNotificationReceiver 実装を作成できます (以下で説明します)。 この場合は、各実装と各通知の種類を個別に登録してください。
• 複数の異なる通知の種類に応答するためのロジックを含む 1 つの MAMNotificationReceiver 実装を使用できます。 この場合、応答できる通知の種類ごとに登録する必要があります。
• それぞれ同じ通知の種類に応答する複数の MAMNotificationReceiver 実装を作成できます。 この場合、両方とも同じ通知の種類に登録する必要があります。

カスタム テーマ

カスタム テーマは、Intune App SDK に提供できます。このカスタム テーマは、すべての SDK 画面とダイアログに適用されます。 テーマが指定されていない場合は、既定の SDK テーマが使用されます。

カスタム テーマの提供

テーマを指定するには、 Application.onMAMCreate メソッドに次のコード行を追加する必要があります。

MAMThemeManager.setAppTheme(R.style.AppTheme);

上記の例では、 R.style.AppTheme を SDK に適用するスタイル テーマに置き換える必要があります。

信頼されたルート証明書の管理

アプリケーションで、内部 Web サイトとアプリケーションへの安全なアクセスを提供するために、オンプレミスまたはプライベート証明機関によって発行された SSL/TLS 証明書が必要な場合、Intune App SDK は、 API クラス MAMTrustedRootCertsManager と MAMCertTrustWebViewClient を使用した証明書信頼管理のサポートを追加しました。

信頼されたルート証明書管理では、次のサポートが提供されます。

• SSLContext
• SSLSocketFactory
• TrustManager
• WebView

要件

• 信頼されたルート証明書管理には、Microsoft Tunnel for Mobile Application Management ライセンスが必要です。 詳細については、「 Microsoft Tunnel with Mobile Application Management」を参照してください。
• Intune アプリ構成ポリシーを構成して、信頼されたルート証明書を Android 上の基幹業務アプリと Edge に配信します。 「Microsoft Intune に登録していない Android デバイスで Microsoft Tunnel VPN を使用する」を参照してください。

Intune からの信頼されたルート証明書を使用したトラスト アンカーの確立

信頼されたルート証明書管理を使用すると、アプリで Intune からの信頼されたルート証明書をデバイスからの証明書と組み合わせて使用できます。

デバイスの信頼されたルート証明書ストアに、オンプレミス リソースへのセキュリティで保護された接続を確立するために必要な信頼されたルート証明書が含まれていない場合、API クラス MAMTrustedRootCertsManager と MAMCertTrustWebViewClient は、アプリ構成ポリシーを介して配信される Intune 信頼されたルート証明書をフォールバック オプションとして使用します。 これにより、アプリはデバイス証明書と Intune 証明書の両方を使用して、セキュリティで保護された接続と信頼されたソースとの通信を確認できます。

ネットワーク セキュリティ設定を強化するために、アプリはネットワーク セキュリティ構成 XML ファイルを使用できます。 信頼されたルート証明書管理は、アプリのネットワーク セキュリティ構成 XML に次のいずれかの機能があるかどうかを確認することで、この追加のセキュリティを尊重します。

• 自己署名証明書などの追加の CA を含むカスタム信頼アンカー。
• 信頼された CA を制限するためのドメイン固有の規則。
• 特定のドメインの証明書のピン セット。

信頼が確認されているドメインに該当する場合、信頼されたルート証明書管理は、このドメインのカスタム信頼チェックをスキップし、プラットフォームの既定の信頼マネージャーのみがチェックを実行できるようにします。

MAMTrustedRootCertsManager クラス

このクラスには、次の API が用意されています。

• createSSLContext(String identity, String protocol): 指定した ID と指定した SSL/TLS プロトコルに対して信頼されたルート証明書を使用する SSLContext オブジェクトを作成します。 このクラスから返された SSLContext オブジェクトは、デバイスと MAM サービスから結合された信頼されたルート証明書を使用する X509TrustManager オブジェクトで既に正しく初期化されています。
• createSSLSocketFactory(String identity, String protocol): 指定した ID と指定した SSL/TLS プロトコルに対して信頼されたルート証明書を使用する SSLSocketFactory オブジェクトを作成します。 返された SSLSocketFactory オブジェクトは、このクラスの同じ SSLContext オブジェクトから参照されます。
• createX509TrustManagers(String identity): デバイスからの信頼されたルート証明書と、指定した ID の MAM サービスを組み合わせて使用する X509TrustManager オブジェクトの配列を作成します。

このクラスの使用例を次に示します。

HttpsUrlConnection の使用例

// Create an SSL socket factory using supplying the optional parameters identity and protocol
SSLSocketFactory sslSocketFactory = MAMTrustedRootCertsManager.createSSLSocketFactory(identity, "TLSv1.3");

// Create a URL object for the desired endpoint
URL url = new URL("https://example.com");

// Open a connection using the URL object
HttpsURLConnection httpsURLConnection = (HttpsURLConnection) url.openConnection();

// Set the SSL socket factory for the connection
httpsURLConnection.setSSLSocketFactory(sslSocketFactory);

// Perform any other configuration or operations on the connection as needed
...

OkHttpClient の使用例

// Get the TrustManager instances for an identity from the SDK
TrustManager[] trustManagers = MAMTrustedRootCertsManager.createX509TrustManagers(identity);

// Get SSLContext from the platform
SSLContext sslContext = SSLContext.getInstance("TLSv1.3");

// Initialize the SSLContext with the trust managers from the Intune App SDK
sslContext.init(null, trustManagers, null);  

// Create an OkHttpClient.Builder object
OkHttpClient.Builder builder = new OkHttpClient.Builder();

// Set the SSLSocketFactory and the trust managers from the SDK
builder.sslSocketFactory(sslContext.socketFactory, trustManagers[0] as X509TrustManager).build();

// Build an OkHttpClient object from the builder
OkHttpClient okHttpClient = builder.build();

// Create a Request object for the desired endpoint
Request request = new Request.Builder().url("https://example.com").build();

// Execute the request using the OkHttpClient object and get a Response object
Response response = okHttpClient.newCall(request).execute();

// Perform any other operations on the response as needed
...

MAMCertTrustWebViewClient クラス

このクラスは、WebViewの SSL エラー android.net.http.SslError.SSL_UNTRUSTEDを処理する方法を提供する Android クラス android.webkit.WebViewClientのカスタム実装を提供します。 このエラーの処理では、クラスは Intune で構成され、MAM サービスから受信した信頼されたルート証明書を使用して、 WebViewで SSL エラーを生成したターゲット URL からホストの信頼性を確認します。 カスタム実装で SSL エラーが処理されない場合は、スーパークラスから継承された既定の動作が呼び出されます。 このクラスを使用する場合は、そのクラスのインスタンスを作成し、 WebView.setWebViewClient(WebViewClient) を呼び出して WebView インスタンスに登録する必要があります。

このクラスの使用例を次に示します。

WebView の使用例

// Get the MAM implementation of WebViewClient from the Intune App SDK
MAMCertTrustWebViewClient mamCertTrustWebViewClient = new MAMCertTrustWebViewClient();

// Set the MAM WebViewClient from the SDK as the current handler on the instance of WebView
webView.setWebViewClient(mamCertTrustWebViewClient);

// Perform any other operations on WebView
...

終了条件

テストを容易にするために、 ポリシーを変更して迅速にテスト する方法に関するページを参照してください。

制限への保存と制限からのオープンの検証

アプリとデバイスまたはクラウドストレージの場所間のデータ転送を制限するためのポリシーを実装していない場合はスキップします。

アプリがクラウド サービスまたはローカル データにデータを保存し、クラウド サービスまたはローカル データからデータを開くことができるすべてのシナリオで、自分を参照します。

わかりやすくするために、これらのテストでは、アプリ内の 1 つの場所から OneDrive for Business のデータを保存して開くサポートのみがアプリに含まれていると想定されます。 ただし、すべての組み合わせを検証する必要があります。アプリでデータの保存が許可されているすべての場所に対してサポートされているすべての保存場所と、アプリでデータを開く場所に対してサポートされているすべての開いている場所を検証する必要があります。

これらのテストでは、アプリと Intune ポータル サイトをインストールします。テストを開始する前に、マネージド アカウントでログインします。 追加：

• マネージド アカウントのポリシーを次のように設定します。
  • "組織データを他のアプリに送信する" を "ポリシー管理アプリ" に送信します。
  • "他のアプリからデータを受信する" から "ポリシー管理アプリ" に。

通知の制限の検証

通知内のコンテンツを制限するためのポリシーを実装していない場合はスキップします。

App Protection Policy に関する限り、アプリケーションで次の 3 種類の通知が発生する可能性があります。

1. アカウント データを含まない通知。
2. マネージド アカウントに属するデータを含む通知。
3. アンマネージド アカウントに属するデータを含む通知。

アプリケーションが単一 ID の場合、唯一のアカウントが管理されていない場合は保護が適用されないので、最初の 2 つだけが関連します。

通知の制限は、異なるポリシー値が構成された 3 種類の通知をすべてトリガーすることで検証できます。

これらのテストでは、アプリと Intune ポータル サイトをインストールします。テストを開始する前に、マネージド アカウントでログインします。 アプリがマルチ ID の場合は、アンマネージド アカウントを使用してアプリにもログインします。

データのバックアップと復元の検証

バックアップ データを保護するためのポリシーを実装していない場合はスキップします。

アプリがバックアップ用に構成したコンテンツ (ファイルやキーと値のペア) について理解し直してください。 予期されるコンテンツ のみが 復元の一部であることを検証する必要があります。 復元に余分なコンテンツが含まれると、データ リークが発生する可能性があります。

これらのテストでは、アプリと Intune ポータル サイトをインストールします。テストを開始する前に、マネージド アカウントでログインします。 アプリがマルチ ID の場合は、アンマネージド アカウントを使用してアプリにもログインします。

バックアップをテストするには、Android の公式の指示に従ってください。 これらの手順は、自動バックアップとキー/値のバックアップでは異なるため、密接に従ってください。

ポリシーに対するカスタム画面キャプチャの検証

カスタム画面キャプチャの制限を実装していない場合はスキップします。

アプリケーションに Android の Window レベルの FLAG_SECUREをバイパスする機能がある場合は、この機能がアプリ保護ポリシーの画面キャプチャ制限によってブロックされていることを検証します。

これらのテストでは、アプリと Intune ポータル サイトをインストールします。テストを開始する前に、マネージド アカウントでログインします。

App Protection CA の検証

サポート アプリ保護 CA を実装していない場合はスキップします。

アプリ保護ポリシーを作成してアプリとテスト アカウントに割り当てる一般的な検証手順に加えて、アプリ保護条件付きアクセス ポリシーを作成してテスト アカウントに割り当てる必要もあります。 詳細については、「 Intune でアプリベースの条件付きアクセス ポリシーを設定する 」を参照してください。

テスト手順:

1. このテストを開始する前に、Microsoft Authenticator と Intune ポータル サイトをアンインストールします。
2. アプリをインストールします。
3. アプリ保護ポリシーとアプリ ベースの CA ポリシーの両方を対象とするテスト アカウントでアプリにログインします。
4. ポータル サイトのインストールを求めるメッセージがアプリに表示されていることを確認します。
5. もう一度ログインします。
6. デバイスの登録を求めるメッセージが表示されていることを確認します。 プロンプトに従います。 ここで登録を求めるメッセージが表示されない場合は、テスト デバイスが他の SDK 対応アプリ、ポータル サイト、Authenticator を最初にアンインストールしたことを確認します。 それでもプロンプトが表示されない場合は、上記の実装手順を見直してください。
7. 登録後にすべてのアプリ データにアクセスできることを確認します。

通知レシーバーの検証

SDK からの通知の登録を実装していない場合はスキップします。

検証手順は、アプリが登録した通知の種類によって異なります。 すべての種類の通知に対してログ記録を追加して、受信者が適切に呼び出されていることを確認します。

MAM_ENROLLMENT_RESULT は、アプリ保護ポリシーを対象とするアカウントを使用してアプリケーションに最初にログインするだけでトリガーできます。

REFRESH_APP_CONFIG REFRESH_POLICYは、テスト アカウントを対象とするそれぞれのアプリ構成ポリシーとアプリ保護ポリシーを更新し、SDK が更新されたポリシーを受け取るのを待機することでトリガーできます。

MANAGEMENT_REMOVED、 WIPE_USER_DATA、 WIPE_USER_AUXILIARY_DATA、 WIPE_COMPLETED 通知はすべて、Microsoft Intune から 選択的ワイプを発行 することでトリガーできます。

カスタム テーマの検証

カスタム テーマを実装していない場合はスキップします。

カスタム テーマのサポートは、SDK のダイアログで色を調べることで検証できます。 確認する最も簡単なダイアログは、MAM PIN 画面です。

前提 条件：

• マネージド アカウントのポリシーを次のように設定します。
  • "アクセスの PIN" を "必須" に設定します。
• アプリと Intune ポータル サイトをインストールします。

テスト手順:

1. アプリケーションを起動し、テスト アカウントでログインします。
2. MAM PIN 画面が表示され、SDK に指定したカスタム テーマに基づいてテーマが設定されていることを確認します。

次の手順

このガイドに従い、上記のすべての終了条件を完了した場合は、アプリが Intune App SDK と完全に統合され、アプリ保護ポリシーを適用できるようになりました。 前のアプリ参加セクション ( ステージ 5: マルチ ID と ステージ 6: アプリの構成) のいずれかをスキップし、アプリでこれらの機能をサポートする必要があるかどうかわからない場合は、 SDK 統合に関する重要な決定事項に関するページを参照してください。

アプリ保護は、アプリのコア シナリオになりました。 アプリの開発を続ける場合は、このガイドと 付録 を引き続き参照してください。