仕事用プロファイルを持つ個人所有デバイスに Android Management API を使用する

Microsoft Intuneは、個人所有の仕事用プロファイル管理を Google の Android Management API に移行しています。 この変更により、Intuneが Android 個人所有の仕事用プロファイル デバイスにポリシーを配信する方法が最新化され、Web ベースの登録フローが導入されます。

この記事では、Android Management API とは何か、Intune環境に与える影響、および準備に必要な操作について説明します。

Android Management API とは

Android Management API は、Android Enterprise デバイス管理用の Google 推奨 API です。 Android Management API では、Android デバイス ポリシー アプリを使用してデバイスにポリシーを適用し、Intune ポータル サイト アプリのようなカスタム デバイス ポリシー コントローラー (DPC) の必要性を置き換えます。

Intune Android 個人所有の仕事用プロファイル管理のサポートを最初にリリースしたとき、ポータル サイト アプリに組み込まれているカスタム DPC 実装を使用しました。 それ以来、Google は Android Management API をリリースし、すべての Android Enterprise 管理に推奨されるようになりました。 Google では、カスタム DPC 機能が積極的に非推奨になっています。

Intuneでは、3 つの企業 Android Enterprise 管理方法に Android Management API が既に使用されています。

• 仕事用プロファイルを持つ企業所有のデバイス
• フル マネージド デバイス
• 専用デバイス

個人所有の仕事用プロファイルは、Android Management API に移行する最後の管理方法です。

Android Management API への移行の利点

Android Management API への移行には、IT 管理者に次の利点があります。

• 機能の配信の高速化: 新しい Android Enterprise 管理機能は、カスタム DPC 実装用に個別の開発を必要とするのではなく、すべての Android Enterprise 管理方法で同時にリリースされます。
• 一貫性のある動作: すべての Android Enterprise 管理メソッドは、同じ基になる API を使用するため、予測可能で均一な動作になります。
• 更新されたユーザー アプリ: Microsoft Intune アプリは、ポータル サイト アプリを、デバイス管理、診断、IT 連絡先のプライマリ ユーザー向けアプリとして置き換えます。 これは、企業の Android Enterprise デバイスが既に動作する方法と一致します。

前提条件

新しいデバイスに Web ベースの登録を使用する

Android Management API への移行により、iOS 用の Web ベースのデバイス登録と同様に、個人所有の仕事用プロファイル デバイスに対する新しい Web ベースの登録フローも可能になります。

Web ベースの登録を有効にする

Web ベースの登録を有効にすると、テナント レベルで、個人が所有するすべての新しい仕事用プロファイル登録に適用されます。 ユーザーは、アプリのインストールを必要とせず、Web ページから登録を開始できます。 条件付きアクセスで企業リソースにアクセスする前に登録が必要な場合は、指定した URL を使用するか、生産性アプリを使用して登録ページにアクセスできます。

Web ベースの登録を有効にする前に、

• 運用環境で有効にする前に、テスト テナントでテストします。
• 登録エクスペリエンスを確認し、内部ヘルプデスクドキュメントを更新します。

Web ベースの登録を有効にするには:

1. Microsoft Intune管理センターで、[デバイス] に移動します。

2. [ Android ] タブを選択します。

3. [ デバイス オンボード] を 展開し、[登録] を選択 します。

4. [ 登録プロファイル] で、[ 個人所有のデバイスと仕事用プロファイル] を選択します。

5. [Android 個人所有の仕事用プロファイル管理に登録するすべてのユーザーに Web 登録を使用する] を選択します。

6. [ OK] を 選択して変更を保存します。 この変更を元に戻すことはできません。

既存のデバイスのデバイス構成プロファイルを作成する

Intuneに既に登録されているデバイスの場合は、Android Management API デバイス構成ポリシーを使用して、これらのデバイスを Android Management API に移行します。 Android Management API に移行した後は、前の管理方法にロールバックできません。

移行する前に

• 環境を準備します。 Android Management API では動作しない機能や、動作が変更された可能性のあるその他の機能があります。

• 小さく始めます。 完全なフリートを移行する前に、エクスペリエンスを検証するために、より小さなデバイス セットを移行します。

• ユーザーに通知します。 デバイスを移行する前に、ユーザーにメールを送信するか、カスタム通知を構成して、今後の変更について説明します。

• 進行状況を監視します。 Android Management API 上の個人用デバイスレポートを使用して、次の状態のデバイスを追跡します。

  • AMAPI: Android Management API 上のデバイス。
  • 移動対象ではない: Android Management API への移行を対象としていないデバイス。
  • [保留中の移動]: 移動と保留中の完了を対象とするデバイス。
  • エラー: 移動を試み、エラーが発生したデバイス。

デバイス構成プロファイルの作成

1. Microsoft Intune 管理センターにサインインします。

2. [デバイス]>[デバイスの管理]>[構成]>[作成]>[新しいポリシー] の順に選択します。

3. 次のプロパティを入力します。

   • [プラットフォーム]: [Android エンタープライズ] を選択します。
   • プロファイルの種類: [テンプレート>Android Management API に移動する] を選択します。

4. [作成] を選択します。

5. [Basics]\(基本\) で次のプロパティを入力します。

   • 名前: ポリシーのわかりやすい名前を入力します。 後で簡単に識別できるよう、ポリシーに名前を付けます。 たとえば、適切なポリシー名は Android: Android Management API に移動することです。
   • [説明]: ポリシーの説明を入力します。 この設定は省略可能ですが、推奨されます。

6. [次へ] を選択します。

7. [ 構成設定] で、[ 次へ] を選択します。

   このテンプレートには、構成するための設定がありません。 構成は、デバイスがポリシーを受け取ったときにIntuneによって実行されます。

8. [ 割り当て] で、プロファイルを受信するデバイス グループを選択します。 プロファイルの割り当ての詳細については、「 ユーザー プロファイルとデバイス プロファイルの割り当て」を参照してください。

   [次へ] を選択します。

9. [確認と作成] で、設定を確認します。 [作成] を選択すると、変更内容が保存され、プロファイルが割り当てられます。 また、ポリシーがプロファイル リストに表示されます。

ポリシーを割り当てると、デバイスは Android Management API への移行を開始します。 このポリシーの割り当てを解除または削除した場合、既に移動したデバイスは Android Management API を使用し続けます。 ポリシーを受け取っていないターゲット デバイスは、Android Management API に移動されません。

移行中のデバイスの動作

デバイスが Android Management API に移行する場合:

• 登録解除は行われません。 ユーザーは、移行を通じて企業リソースにアクセスし続けます。
• Microsoft Intune アプリはサイレント インストールされ、プライマリ ユーザー アプリになります。 これは、デバイス管理タスクのポータル サイトを置き換えます。
• Android デバイス ポリシー アプリは非表示状態でインストールされ、Android Management API ポリシーが適用されます。
• Wi-Fi アクセスが影響を受ける可能性があります。 ユーザー名/パスワード認証を使用して企業 Wi-Fi に接続されているデバイスは、ユーザーが再度サインインするまで Wi-Fi アクセスできなくなります。 証明書ベースの Wi-Fi 認証を使用するデバイスは影響を受けません。

登録または移行後にインストールされたアプリ

Intuneは、Android Management API によって管理されているデバイスに次のアプリを自動的にインストールします。

環境を準備する

Android Management API への移行の前にこれらのアクションを実行して、スムーズな移行を確実にします。

カスタム構成ポリシーを置き換える

Intune個人所有の仕事用プロファイル デバイスのカスタム構成ポリシーのサポートは終了しました。 カスタム ポリシーは Android Management API では機能しません。 すべてのカスタム ポリシーを同等の組み込みポリシーに置き換えます。

置換設定のヘルプについては、「 カスタム ポリシーを組み込みの設定に置き換える」を参照してください。 設定カタログで設定を使用できる場合は、 設定カタログ ポリシーを作成します。 設定カタログで設定を使用できない場合は、 デバイス制限テンプレートを使用します。

証明書ベースの Wi-Fi 認証に切り替える

Wi-Fi ポリシーでユーザー名/パスワード認証が使用されている場合は、証明書ベースの認証に切り替えます。 Android Management API 上のデバイスは、ユーザーが手動でサインインするまで、移行中に Wi-Fi アクセスを失います。

生体認証の構成を評価する

Android Management API では、ユーザーが生体認証 (顔、指紋、虹彩) またはトラスト エージェントを使用して デバイス レベルでデバイスのロックを解除できないようにするポリシーはサポートされていません。 仕事用プロファイル レベルで生体認証をブロックするポリシーは引き続きサポートされています。

現在、デバイス レベルで生体認証をブロックしている場合は、作業リソースの保護を継続するために、その制限を仕事用プロファイル レベルに移動することを検討してください。

登録の制限を確認する

登録制限 (Android Enterprise (仕事用プロファイル) の個人所有デバイス設定は、Android Management API によって管理されるデバイスには適用されません。 この設定は、すべてのデバイスが Android Management API 上にある場合、Intune管理センターから削除されます。

現在 [ 個人所有] を [ブロック] に設定している場合は、別の方法を計画します。

• 代わりに、会社所有の仕事用プロファイルなどの会社の管理方法を使用します。
• 特定のユーザー グループのみを許可するように登録制限を構成します。

サポートされている Android バージョンにデバイスを更新する

デバイスでサポートされている Android バージョンが実行されていることを確認します。 Android Management API を使用して登録を有効にすると、任意の Android OS バージョンを実行しているデバイスを登録できます。 サポートされているすべてのバージョンの一覧については、「 サポートされているプラットフォーム」を参照してください。

Android Management API に移行するには、デバイスで Android 9 以降が実行されている必要があります。

最適なエクスペリエンスを得るために、デバイスの利用可能な最新の Android バージョンに更新するようユーザーに勧めます。

注意すべき変更

Android Management API によって管理されるデバイスでは、カスタム DPC 実装と比較して、一部の動作が変更されます。

関連コンテンツ

ロールアウトのタイムラインと適用の変更に関する最新の更新プログラムについては、「Android 個人所有の仕事用プロファイルの新しいポリシーの実装と Web 登録」を参照してください。

• Android Enterprise 仕事用プロファイル管理の概要
• Android Enterprise 個人所有の仕事用プロファイル デバイスの登録を設定する
• Android Enterprise デバイスの職場参加をやり直す