365皆さんこんにちは。「会社の中で、特定のデバイスからのみ社内のアプリケーションへアクセスを許可したい場合、どのような方法で実現しますか?」という質問を受けた場合、人によって様々な回答が出てくると思いますが、いずれにしても、ぱっと回答を出せると思います。「特定のデバイスからのみクラウドのアプリへのアクセスを許可したい場合、どのような方法で実現しますか?」と言われたら、いかがですか?少し考えてしまうと思います。Directoryドメインの外にあるリソースへのアクセス制御をどうやって実現するか?というのがあります。次の一手シリーズの中でも実現方法のひとつを紹介しています。次の一手シリーズより。資料は上記サイトよりダウンロード可能です。ActiveSyncの接続を許可するという接続制限の方法などもあります。Intune評価ガイドに書いてありますので、そちらを参考にしてください。使ってみたいと思います。Intuneで提供する接続制御機能(条件付きアクセス機能)の簡易版という位置づけのようです。実際に設定をしながら、その特徴を確認してみます。MDMの有効化Office365でMDM機能を有効化します。2015年5月現在では、プレビュー?の機能として提供しているので、Office365からプレビューの機能を利用できるように設定し、MDMの機能を有効化します。設定はOffice365管理センターの[サービス設定]-[更新]から先行リリースを有効にします。すると、Office365管理センターの画面に[モバイルデバイス]という項目が表示されてMDM機能の初期設定を始められます。APN証明書の実装APN証明書とはAppleから発行されるモバイルデバイス管理のために必要な証明書で、iOSデバイスをMDMで管理するのであれば、最初に実装する必要があります。設定は[モバイルデバイス]画面の[設定]から登録します。登録自体はウィザードに沿って進めていけば完了です。Intuneテナントの管理でも紹介しているので参考してください。)また、APN証明書は1年間有効なので、期限切れにならないように定期的に同じ手順を繰り返して証明書を再登録してください。続いてモバイルデバイスの接続条件をポリシーとして設定します。Center画面のプラスボタンをクリックして、ポリシー作成を始めます。(なぜか、ここから英語)ポリシーの作成画面は以下のとおりです。この画面では、パスワードポリシーの設定を定義しています。ActiveSyncにはないですね。複雑なパスワードを強制するように構成してみました)こちらはパスワード以外のデバイス設定。クラウドバックアップのブロックや、アプリストアへのアクセス制限などがあります。この画面では、ポリシーの適用対象を指定しています。対象の指定はOffice365のグループです。グループのメンバーとなるユーザーがサインインしたときにポリシーに基づくアクセス制御が行われます。Center画面に作成したポリシーが表示されます。条件を満たしていないデバイスの場合、接続が制限されていることを示すメールだけが受信できる状態になります。受信したメールには、メールを受信できるようにするためのガイダンスが示されており、そのガイダンスに従って、モバイルデバイスをOffice365に登録します。最初に行うことはデバイスの登録です。[1.デバイスを登録]のリンクをクリックすると、デバイス登録画面に移行します。インストールされている場合は、Intuneポータルアプリへ、それぞれ画面推移します。(ちなみにアプリはiOS用とAndroid用があります)Intuneポータルアプリでサインインを済ませると、プロファイルをインストールするメッセージが表示されるので、画面の指示に従い、プロファイルのインストールを行います。インストールが完了すると、アプリまたはブラウザー画面から登録されたデバイスの情報が確認できます。(LSというのは私のiPhoneのデバイス名です。デフォルトだと●●のiPhoneって表示される名前ですね)プロファイルのインストールが完了したら、続いてメールのリンクから[2.このデバイスが準拠しているかどうかを確認するにはここを確認します]をクリックし、ポリシーへの対応状況を確認します。ポリシーへの対応状況の確認は、リンクをクリックして行う方法のほか、Intuneポータルアプリを起動し、デバイス名をクリックして確認することもできます。([同期]をクリックすると準拠状況を確認します)準拠していることが確認できたら、メールのリンクから[3.メールをアクティブにするにはここをクリックします]をクリックします。ActiveSync経由でのメールボックスへのアクセスができるようになります。この方法によってOffice365のMDMによるポリシー準拠のチェックをクリアしたデバイスはOffice365管理センターの画面に[モバイルデバイス]項目に表示されます。万が一、不適切なデバイスが登録された場合には管理者は画面でチェックすることができますし、また、デバイスを紛失したということであれば、ワイプ機能を利用してデバイス内のデータを消去することも可能です。それから、Office365のMDM機能はIntuneのMDM機能の簡易版なので、Intuneと組み合わせて利用ことはできません。ActiveSyncが元々持っていたポリシー機能よりも多くのチェック項目で準拠状況をチェックすることができるというメリットがあります。ポリシー設定に準拠していない場合、準拠していないという報告を行うだけで、ポリシー設定に合わせてモバイルデバイスの設定を自動的に変更してくれるような機能は備わっていません。Intuneとの組み合わせによって実現するので、Office365のMDMを使うか、Intuneを使うか、の選択を行うときのひとつの基準になるのは自動修復を望むか、どうか?というところになりそうです。非アクティブなIntuneデバイスの削除について皆さんこんにちは。先日、お客さんとのお話の中でIntuneに登録されたデバイスが勝手に消えていく、というお話を伺いました。