狠狠撸

EMS 勉強会 produced by すかんく
テーマ：Android 管理の色々！！
2021/10/22
@sukankEMS

本日の予定 | Today's schedule
時間(予定) タイトル詳細
19:00～19:10 自己绍介?各説明事项説明事项?諸注意に関して、ご協力お願いします。
19:10～19:50 本编
1. Android 管理の概要
2. 推奨构成
おまけ
?エミュレータで Work Profile 登録~操作ハンズオン
3. まとめ?アンケート
19:50～20:00 QA?締めお手柔らかにお願いします。
20:00~
適宜解散
少し雑談します
トークデッキみたいなやつ
? 就活中なので自己アピールしてみる
? 副業単価で無知晒した件
? 資料作成時間について

自己绍介 | About me
Name
? 大須賀謙太 | Kenta Osuka (26)
Career
? 2018/3 ：HAL 東京専門学校先端ロボット開発学科卒
? 2018/4~2021/8 ：SB Technology 入社 EMS を中心とした SI に従事
? 2021/9~ ：無職
Activity
? Japan EMS Users Group 共同主催者
? Microsoft MVP for Enterprise Mobility 2020-2022
Comment
? Bio : いつまでの半人前なエンジニア。就活してます。
? Like (work) : ビバ標準化。
? Like (Private) : 釣り、ポーカー、サッカー、ボードゲーム。

説明事项 | Description
開催ポリシー
? 発表は個人の意見です、所属組織とは…無職でした。
? 発表資料は狠狠撸Share で公開します。アーカイブは未定です。
? イベントや発表に関する感想は Twitter ハッシュタグ #jpemsug で投稿！
? 当チャンネルのフォローにご協力お願いします。お願いします何でも ry
※ フォローが増えると、チェンネル機能が解放します。
※ 配信アーカイブ期限が 15 日 → 60 日に延長、アンケート機能の解放等
発表内容に関する QA やご指摘に関して
? 当チャンネルのチャット欄 or Twitter ハッシュタグ #jpemsug まで投稿をお願いします。
? 発表中の質問?ご指摘は QA パートにて投稿をお願いします。
? その場での回答が難しい場合、持ち帰りの上で Twitter 上での回答とさせていただきます。
当イベントに関する直接のお問い合わせは以下まで
? Twitter DM ：@sukankEMS
? Mailto ：kosuka@trialsuka.com
※上記ご確認いただき、用法?容量を守ってご参加ください！

Android
社内でどう扱っていますか？

BYOD として業務利用を許可？
社用端末として配布？

リモートワークの普及に乗っかって、
BYOD が加速したように思います。

当然ですが、Android ユーザーもいます。

Android の組織的管理を知る

前提知識 | Prerequisite knowledge
Android OS には、組織へ接続するデバイスに向けた法人用機能が標準的に組み込まれています。
これを Android Enterprise と呼び、様々なユースケースに合わせた組織的なデバイス管理を可能としています。
柔軟なデバイス設定 BYOD, COBO, COPE, Kiosk といった様々なユースケース?シナリオをサポートします。
仕事用プロファイルを
利用したデータ分割
仕事用プロファイルを使用して、仕事用のアプリやデータを個人での使用と区別して保護します。
※ BYOD や COPE の導入に最適
組み込みの多層セキュリティ
Google Play プロテクトを使用します。OS 標準機能により、
?パスワードの最小要件の設定
?デバイスのリモートロック
?紛失や盗難時のワイプ
等が行えます。
業務アプリの配信
Managed Google Play を経由して、
業務利用のアプリをプッシュ／プル配信することが可能です。

管理形態 | Management Type
名称 Work Profile Dedicated Fully manage
Corporate-owned
with work Profile
シナリオ
BYOD
?個人端末で組織データへアクセスする
Kiosk
?サイネージ、受付機等の専用機器
COBO
?企業端末で、私的利用を禁止
COPE
?企業端末で、私的利用を許可
バージョン 5.0 ‘Lollipop’ 以降 6.0 ‘Marshmallow’ 以降 6.0 ‘Marshmallow’ 以降 8.0 ‘Oreo’ 以降
イメージ図
※コントロールの
話で合って、パー
ティションを指さ
ない
個人端末に企業領域を作成
領域間での機能を制限
企業管理の領域のみ
単作業向け機能制限
企業管理の仕事領域
ワーカー向け機能制限
企業端末に個人領域を作成
領域間での機能を制限
個人
個人
企業
企業企業企業
国内シナリオのほとんどはこれ！
※もしくは without MDM

[Work Profile のここが難しい]
① 構成プロファイルと、アプリ保護の両方でデータ共有等の制限が可能な点。
② 条件付きアクセスまで考え出すと、デザインパターンが多岐に渡り大変。
個人
企業
構成プロファイル？
アプリ保護ポリシー？
どっちで制御が正しいの？
個人領域アプリ → 企業領域アクセス
をブロックしたい！
管理形態 | Management Type

推奨构成 | Recommended configuration
[登録制限] ※紫色が既定値から変更した箇所
① 現行サポート下限 Android 8.0 以降のデバイスのみ登録可能な条件としていること。
② Android 12.0 以降では [個人所有] をブロックした状態での Work Profile 登録が不可になることから、許可に設定。
? ?

[構成プロファイル] ※紫色が既定値から変更した箇所
①アプリ構成ポリシーによって、アプリ毎の動作を指定可能です。
②ブロックした場合 Google アカウントも追加不可になるため、Google Workspace 利用ユーザーは注意。
③ロック解除＋仕事用プロファイルで 2 回解除が必要になるのは、利便性を損ねるため非推奨。
?
?
?

[構成プロファイル] ※確認画面
明示的に設定したのはこれだけ。他は OS バージョンごとの既定動作が反映されます。

[コンプライアンスポリシー] ※紫色が既定値から変更した箇所
①MDfE を展開している場合、この設定の有効化を検討してください。
※実際の管理画面ではこれ以降も設定が続きますが、特別な要件が無い限り設定は不要になります。
?

[アプリ保護ポリシー] ※紫色が既定値から変更した箇所
データ保護フレームワーク Lv.1 の準拠。
? エンドユーザーへの影響を避けつつ最低限のセキュリティレベルを確保出来るのは嬉しい。
? リソース不足で手が回らない、という状況であればスキップしても構わない。
アプリ保護ポリシーを使用するデータ保護フレームワーク
https://docs.microsoft.com/ja-jp/mem/intune/apps/app-protection-framework
[条件付きアクセス]
Work Profile だったら Intune 登録 & コンプライアンスポリシー準拠への準拠。
大切なこと
? エンドユーザーボイスを集めましょう。（注：ユーザーの声に従う、ではない）
将来的に実施して欲しいこと
? 構成プロファイルは、CIS Benchmark に沿って設定内容を検討。
? アプリ保護ポリシーは、データ保護フレームワークの上位レベルを検討。

[おまけ]
エミュレータで
Work Profile 登録~操作
ハンズオン

Work Profile のジレンマ
前提として、Android 機は複数のメーカーが提供しているので、
Enterprise 化する際の動作だったり、登録後の UI/UX が機種ごとに大きく異なる。
BYOD という性質上、多様な機種で Intune へ登録されることになるため、
これら全て機種を対象とした手順書提供や事前検証には無理がある。
※全ての機種を揃えること自体がまず不可能
であれば、動作確認は簡易なもので済ませてユーザーサポートに力を注ぐ方が良い。
※と思うのですが、どうでしょうか？
Android Studio エミュレータを使えば、実機不要でサクッと動作確認が出来て便利！
ということで、
Android Studio インストール～登録手順
までをstep by step で記載します
環境メモ：Windows 10, Core i-7, メモリ 16 GB

①Android Enterprise の MEM 接続

ハンズオン参加（動作確認）が目的の場合は、必ず検証用テナントで実施してください。
1. MEM 管理画面を開き、[デバイス] – [デバイスの登録] – [Android 登録] – [マネージド Google Play] をクリック。
2. アクセス許可の同意にチェックを入れ、[Google を起動して今すぐ接続します] をクリック。

3. [ログイン] をクリックし、任意の Google アカウント（今回は検証用アカウントの作成を推奨）でログイン。

4. [スタートガイド] をクリックし、ページ案内に従って進む。
※最短：[スタートガイド] – [任意の組織名を入力 / 次へ] – [規約に同意チェック / 確認] – [登録を完了]

5. 管理画面に戻り、マネージド Google Play のセットアップが完了したことを確認。
6. 次に、「②Android Studio のインストール」へ進みます。

②Android Studio のインストール

1. 公式からインストールパッケージをダウンロード
記載時点のファイル名：android-studio-2020.3.1.25-windows.exe）
URL：https://developer.android.com/studio?hl=ja

2. ダウンロードファイルを実行して、インストール完了まで進める。
※Android Virtual Device がエミュレータなので、チェックを外さないようにしましょう。

3. Android Studio を起動。
すると設定のインポート有無を聞かれるので、[Do not import settings] を選択。
4. 次にデータシェアリングについて聞かれるので、お好きな方を選択。

5. セットアップウィザードが立ち上がるので、 [Next Next Next Finish] で進める。
※お好きにカスタマイズどうぞ。
6. 次に、「③エミュレータの作成」へ進みます。

③エミュレータの作成

1. Welcome画面で、[More Actions] > [AVD Manager] をクリック。

2. AVD が起動するので、[+ Create Virtual Device...] をクリック。

3. [Select Hardware] から、対象となるハードウェアを選択して [Next] をクリック。
※[Play Store] が利用可能なハードウェアを選択すること。

4. [System Image] から、任意の [Release Name] – [Download] をクリック。

5. [License Agreement] に同意し、[Next] をクリック。

6. ダウンロードしたシステムイメージを選択し、[Next] をクリック。

7. [Install Haxm] をクリック。
※ほとんどの方が [Haxm] のインストールを求められると思うので寄り道。
※レコメンドされない場合は、手順 9. までスキップ。

8. 任意のメモリ上限を設定し、[Next] をクリック。
実行時、エラーが表示された場合はエラー内容を確認して各自対処をお願いします。
例１）仮想化設定が有効化されていない。
→ログファイルが吐き出されている（パスも記載されている）のでチェック。
例２）HAXM パッケージが見つからない。
→Step 1.に戻って [SDK Manager] – [SDK Tools] – [Intel x86 Emulator Accelerator(HAXM Installer)] にチェックを入れてインストール。

9. 任意の [AVD Name] を入力して、[Finish] をクリック。

10.作成したエミュレータを確認できます。
11.事前準備は以上となります、お疲れさまでした。

④登録作業
（画面:Google Pixel 4）

④登録作業 (画面:Google Pixel 4)
【前提条件】
? 作業①～③が完了していること。
? MEM 登録可能なユーザーを保有していること。
? Android の [登録] 及び [個人所有] をブロックしていないこと。
1. [AVD Manager] から、作成したエミュレータを起動します。

2. エミュレータが起動したら、[Google Play] アプリをクリック。
3. Google アカウントでログインする。 ※一般の Google アカウント。
4. 途中出てくるデバイスの追加は [skip] でも良い。
5. ログインが完了したら、[Intune Company Portal] をインストールする。

6. [Intune Company Portal] を起動し、職場用アカウントで [SIGN IN] を行う。
7. サインインが完了したら、セットアップが開始されるので [BEGIN] – [CONTINUE] の順でクリック。
8. Work Profile の作成画面で、[Accept & continue] をクリック。

9. Work Profile の作成画面で、[Next] をクリック。
10.Intune 登録画面に戻されるので、[CONTINUE] – [DONE] の順でクリック。
11.登録が完了した旨が伝えられ、プロファイルが [Personal / Work] で分かれていることが確認できる。

国内シナリオのほとんどは
Work Profile か without MDM
Enterprise 化は UI/UX に大きな変化を与えるため
エンドユーザーへの配慮も欠かさずに
機種ごとに動作異なるので、全カバーは無理
簡易テストを済ませ、展開後のユーザーサポートに力を注ごう
テストには実機要らずの Android Studio が便利
推奨設定も活かして効率よく対応しよう

発表は以上です QA に入ります。

参考 | Reference
Android Enterprise の概要
https://www.android.com/intl/ja_jp/enterprise/management/
Android Enterprise 登録種別毎の機能差
https://docs.microsoft.com/en-us/troubleshoot/mem/intune/configure-android-enterprise-devices-intune
managed Google Play アカウントに Intune アカウントを接続する
https://docs.microsoft.com/ja-jp/mem/intune/enrollment/connect-intune-android-enterprise
Android Enterprise の個人所有の仕事用プロファイルデバイスの登録を設定する
https://docs.microsoft.com/ja-jp/mem/intune/enrollment/android-work-profile-enroll
Intune を使用して機能を許可または制限するように Android エンタープライズデバイスを設定する
https://docs.microsoft.com/ja-jp/mem/intune/configuration/device-restrictions-android-for-work#personally-owned-devices-with-a-work-profile
Intune での Android Enterprise 用のデバイスコンプライアンス設定
https://docs.microsoft.com/ja-jp/mem/intune/protect/compliance-policy-create-android-for-work#personally-owned-work-profile
アプリ保護ポリシーを使用するデータ保護フレームワーク
https://docs.microsoft.com/ja-jp/mem/intune/apps/app-protection-framework
条件付きアクセス
https://docs.microsoft.com/en-us/azure/active-directory/conditional-access/concept-conditional-access-conditions

説明が不足していた
スライド等あればチャットでお知らせください。
チャンネルフォローお願いします！！何でも ry
ハンズオンは初の試みでしたが、如何でしたでしょうか？
感想等は是非 #jpemsug まで！

（自分が）コミュニティ内の活動でカバーしていきたい範囲
今後の目標
Ex）ハンズオンとか？
今回の範囲
Ex) 座学, ブログ
知る機会の提供試す機会の提供使えるぞの自身
ちょっと寄り道...

支援 | Support
＼無職へのご支援に感謝します！！／
? 明日の晩飯を豪華にしてくれる方 ―――――――――――?
? 生活環境を豊かにしてくれる方――――――――――――?
配信ページ下部にも URL 載せてます！（PC 視聴向け）

Fin.
当イベントに関する直接のお問い合わせは以下まで
? Twitter DM ：@sukankEMS
? Mailto ：kosuka@trialsuka.com

小休憩の后、雑谈パート行きます

トークデッキ
? 就活中なので自己アピールしてみる
? 副業単価で無知晒した件
? 資料作成時間について
その他色々、キリの良い時間まで

狠狠撸

贰惭厂勉强会冲発表资料冲础苍诲谤辞颈诲管理の色々

Recommended

More Related Content

What's hot (20)

Similar to 贰惭厂勉强会冲発表资料冲础苍诲谤辞颈诲管理の色々 (20)

贰惭厂勉强会冲発表资料冲础苍诲谤辞颈诲管理の色々