このページでは、Android Enterprise の機能の一覧を示します。
500 台を超えるデバイスを管理する場合、EMM ソリューションを商用化するには、少なくとも 1 つのソリューション セットのすべての標準機能（）をサポートしている必要があります。標準機能の検証に合格した EMM ソリューションは、標準管理セットを提供しているとして、Android のエンタープライズ ソリューション ディレクトリに掲載されます。
ソリューション セットごとに、追加の高度な機能が利用できます。これらの機能は、各ソリューション セットのページに個人所有デバイスの仕事用プロファイル、会社所有デバイスの仕事用プロファイル、フルマネージド デバイス、専用デバイスとして示されます。高度な機能の検証に合格した EMM ソリューションは、高度な管理セットを提供しているとして、Android のEnterprise ソリューション ディレクトリに掲載されます。
キー
| 標準機能 | 上級者向け機能 | オプション機能 | 該当なし |
1. デバイスのプロビジョニング
1.1. DPC ファーストの仕事用プロファイルのプロビジョニング
Google Play から EMM の DPC をダウンロードした後、仕事用プロファイルをプロビジョニングできます。
1.1.1. ユーザーがデバイスの個人用側に DPC をインストールできるように、EMM の DPC は Google Play で一般公開されている必要があります。
1.1.2. インストールが完了すると、DPC は仕事用プロファイルのプロビジョニング プロセスをユーザーに案内する必要があります。
1.1.3. プロビジョニングが完了すると、デバイスの個人側に管理機能は残りません。
- プロビジョニング中に設定したポリシーはすべて削除する必要があります。
- アプリの権限を取り消す必要があります。
- EMM の DPC は、少なくともデバイスの個人用側でオフにする必要があります。
1.2. DPC ID によるデバイスのプロビジョニング
IT 管理者は、Play EMM API デベロッパー ドキュメントで定義されている実装ガイドラインに従って、DPC ID（「afw#」）を使用して完全管理対象デバイスまたは専用デバイスをプロビジョニングできます。
1.2.1. EMM の DPC は、Google Play で一般公開する必要があります。DPC は、デバイス設定ウィザードで DPC 固有の識別子を入力してインストールできる必要があります。
1.2.2. インストールが完了すると、EMM の DPC は、完全管理対象デバイスまたは専用デバイスのプロビジョニング プロセスをユーザーに案内する必要があります。
1.3. NFC デバイスのプロビジョニング
IT 管理者は、Play EMM API デベロッパー向けドキュメントで定義されている実装ガイドラインに従って、NFC タグを使用して新しいデバイスまたは出荷時の設定にリセットしたデバイスをプロビジョニングできます。
1.3.1. EMM は、888 バイト以上のメモリを備えた NFC フォーラム Type 2 タグを使用する必要があります。 プロビジョニングでは、プロビジョニング エクストラを使用して、サーバー ID や登録 ID など、機密性の高いものではない登録情報をデバイスに渡す必要があります。登録情報には、パスワードや証明書などの機密情報は含めないでください。
1.3.2. EMM の DPC がデバイス所有者として設定されると、DPC はすぐに開き、デバイスが完全にプロビジョニングされるまで画面にロックされます。1.3.3. NFC ビーム（NFC バンプ）のサポート終了に伴い、Android 10 以降では NFC タグの使用をおすすめします。
1.4. QR コードによるデバイスのプロビジョニング
IT 管理者は、 Play EMM API デベロッパー向けドキュメントで定義されている実装ガイドラインに沿って、EMM のコンソールによって生成された QR コードを、新しいデバイスまたは初期状態にリセットしたデバイスを使用してスキャンし、デバイスをプロビジョニングできます。
1.4.1. QR コードは、プロビジョニング エクストラを使用して、サーバー ID や登録 ID などの機密性の低い登録情報をデバイスに渡す必要があります。登録の詳細には、パスワードや証明書などの機密情報を含めることはできません。
1.4.2. EMM の DPC がデバイスをセットアップしたら、DPC はすぐに開き、デバイスが完全にプロビジョニングされるまで画面にロックする必要があります。
1.5. ゼロタッチ登録
IT 管理者は、正規の販売パートナーから購入したデバイスを事前に設定し、EMM コンソールを使用して管理できます。
1.5.1. IT 管理者は、ゼロタッチ登録: IT 管理者向けで説明されているゼロタッチ登録方法を使用して、会社所有デバイスをプロビジョニングできます。
1.5.2. デバイスを初めてオンにすると、IT 管理者が定義した設定に自動的に強制されます。
1.6. 高度なゼロタッチ プロビジョニング
IT 管理者は、ゼロタッチ登録を使用して DPC 登録の詳細をデプロイすることで、デバイス登録プロセスの大部分を自動化できます。EMM の DPC は、EMM が提供する構成オプションに応じて、特定のアカウントまたはドメインへの登録の制限をサポートしています。
1.6.1. IT 管理者は、ゼロタッチ登録: IT 管理者向けで説明されているゼロタッチ登録方法を使用して、会社所有デバイスをプロビジョニングできます。
1.6.2. EMM の DPC がデバイスをセットアップしたら、EMM の DPC はすぐに開き、デバイスが完全にプロビジョニングされるまで画面にロックする必要があります。
- この要件は、ゼロタッチ登録の登録情報を使用してサイレント プロビジョニングを完了するデバイス（専用デバイスのデプロイなど）には適用されません。
1.6.3. EMM の DPC は、登録の詳細を使用して、DPC が呼び出されたら未承認のユーザーがアクティベーションを続行できないようにする必要があります。少なくとも、特定の企業のユーザーにのみ有効化をロックダウンする必要があります。
1.6.4. IT 管理者が登録の詳細情報を使用して、EMM の DPC で、一意のユーザーまたはデバイス情報（ユーザー名/パスワード、アクティベーション トークンなど）以外の登録情報（サーバー ID、登録 ID など）を事前入力できるようにする必要があります。これにより、ユーザーはデバイスを有効にするときに情報を入力する必要がなくなります。
- EMM は、ゼロタッチ登録の構成にパスワードや証明書などの機密情報を含めてはなりません。
1.7. Google アカウントの仕事用プロファイルのプロビジョニング
管理対象の Google ドメインを使用している企業の場合、デバイスのセットアップ時またはすでに有効化されているデバイスで会社の Workspace の認証情報を入力した後、ユーザーは仕事用プロファイルを設定して仕事用プロファイルを設定できます。どちらの場合も、企業の Workspace ID は仕事用プロファイルに移行されます。
1.7.1. Google アカウントのプロビジョニング方法では、定義された実装ガイドラインに従って仕事用プロファイルがプロビジョニングされます。
1.8. Google アカウントのデバイスのプロビジョニング
Workspace を使用している企業では、デバイスの初回セットアップ時に企業の Workspace の認証情報を入力した後、この機能により、EMM の DPC をインストールする手順が表示されます。インストールが完了すると、DPC によって会社所有デバイスのセットアップが完了します。
1.8.1. Google アカウントのプロビジョニングでは、定義された実装ガイドラインに沿って会社所有デバイスをプロビジョニングします。
1.8.2. EMM がデバイスを企業アセットとして明確に識別できない限り、プロビジョニング プロセス中にプロンプトなしでデバイスをプロビジョニングすることはできません。このプロンプトでは、チェックボックスのオン / オフの切り替えや、デフォルト以外のメニューの選択など、デフォルト以外のアクションを実行する必要があります。EMM がデバイスを企業アセットとして識別できるようにすることをおすすめします。そうすれば、プロンプトは不要になります。
1.9. 直接ゼロタッチ設定
IT 管理者は、EMM のコンソールを使用して、ゼロタッチ iframe を使用してゼロタッチ デバイスを設定できます。
1.10. 会社所有デバイス上の仕事用プロファイル
EMM は、仕事用プロファイルが設定された会社所有デバイスを登録できます。
1.10.1. 意図的に空白。
1.10.2. IT 管理者は、会社所有デバイスの仕事用プロファイルのコンプライアンス アクションを設定できます。
1.10.3. IT 管理者は、仕事用プロファイルまたはデバイス全体でカメラを無効にできます。
1.10.4. IT 管理者は、仕事用プロファイルまたはデバイス全体でスクリーン キャプチャを無効にできます。
1.10.5. IT 管理者は、個人用プロファイルにインストールできるアプリとインストールできないアプリの許可リストまたはブロックリストを設定できます。
1.10.6. IT 管理者は、仕事用プロファイルを削除するか、デバイス全体をワイプすることで、会社所有デバイスの管理を放棄できます。
1.11. 専用デバイスのプロビジョニング
意図的に空白。
2. デバイスのセキュリティ
2.1. デバイスのセキュリティに関する課題
IT 管理者は、管理対象デバイスに事前定義された 3 つの複雑さレベルからデバイスのセキュリティ チャレンジ（PIN/パターン/パスワード）を設定して適用できます。
2.1.1. ポリシーで、デバイスのセキュリティ チャレンジを管理する設定（仕事用プロファイルの parentProfilePasswordRequirements、完全管理対象デバイスと専用デバイスの passwordRequirements）を適用する必要があります。
2.1.2. パスワードの複雑さは、以下の複雑さにマッピングする必要があります。
- PASSWORD_COMPLEXITY_LOW - 反復（4444）または連続（1234、4321、2468）する文字列を含むパターンまたは PIN。
- PASSWORD_COMPLEXITY_MEDIUM - 反復（例: 4444）または連続（例: 1234、4321、2468）する文字列を含まない PIN、または長さが 4 文字以上の英字または英数字のパスワード
- PASSWORD_COMPLEXITY_HIGH - 反復（例: 4444）または連続（例: 1234、4321、2468）する文字列を含まず、最小文字数が 8 文字の PIN、または最小文字数が 6 文字の英字または英数字のパスワード
2.2. 仕事用のセキュリティに関する課題
IT 管理者は、仕事用プロファイル内のアプリとデータに対して、デバイスのセキュリティ チャレンジ（2.1）とは別に、異なる要件を持つセキュリティ チャレンジを設定、適用できます。
2.2.1. ポリシーで仕事用プロファイルのセキュリティ チャレンジを適用する必要があります。デフォルトでは、IT 管理者はスコープが指定されていない場合のみ、仕事用プロファイルの制限を設定する必要があります。IT 管理者はスコープを指定することでこのデバイス全体に設定できます（要件 2.1 を参照）。
2.1.2. パスワードの複雑さは、以下の複雑さと対応付けてください。
- PASSWORD_COMPLEXITY_LOW - 反復（4444）または連続（1234、4321、2468）する文字列を含むパターンまたは PIN。
- PASSWORD_COMPLEXITY_MEDIUM - 繰り返し（4444）または順序付き（1234、4321、2468）のシーケンスのない PIN、アルファベットまたは英数字のパスワード（4 文字以上）
- PASSWORD_COMPLEXITY_HIGH - 反復（例: 4444）または連続（例: 1234、4321、2468）する文字列を含まず、最小文字数が 8 文字の PIN、または最小文字数が 6 文字の英字または英数字のパスワード
2.3. 高度なパスコード管理
2.3.1. 意図的に空白。
2.3.2. 意図的に空白になっています。
2.3.3. デバイスで利用可能なロック画面ごとに、次のパスワードのライフサイクル設定を設定できます。
- 意図的に空白
- 意図的に空白
- ワイプ時のパスワードの入力失敗回数の上限: デバイスから企業データがワイプされるまでに、ユーザーが間違ったパスワードを入力できる回数を指定します。IT 管理者がこの機能を無効にできる必要があります。
2.4. スマートロックの管理
IT 管理者は、Android の Smart Lock 機能の信頼エージェントがデバイスのロック解除に使用できるよう管理できます。IT 管理者は、信頼できる Bluetooth デバイス、顔認証、音声認識などの特定のロック解除方法を無効にできます。また、必要に応じて機能を完全に無効にすることもできます。
2.4.1. IT 管理者は、デバイスで利用可能なロック画面ごとに、Smart Lock 信頼エージェントを個別に無効にできます。
2.4.2. IT 管理者は、デバイスで利用可能なロック画面ごとに、Bluetooth、NFC、場所、顔、身につけるデバイス、音声のSmart Lock 信頼エージェントを個別に許可して設定できます。
- IT 管理者は、使用可能な信頼エージェントの構成パラメータを変更できます。
2.5. ワイプとロック
IT 管理者は EMM のコンソールを使用して、管理対象デバイスから仕事用データをリモートでロックしてワイプできます。
2.5.1. EMM の DPC がデバイスをロックする必要があります。
2.5.2. EMM の DPC はデバイスをワイプする必要があります。
2.6. コンプライアンスの適用
デバイスがセキュリティ ポリシーに準拠していない場合、仕事用データは自動的に制限されます。
2.6.1. デバイスに適用されるセキュリティ ポリシーには、少なくともパスワード ポリシーを含める必要があります。
2.7. デフォルトのセキュリティ ポリシー
EMM は、IT 管理者が EMM のコンソールで設定やカスタマイズを行うことなく、デバイスに指定されたセキュリティ ポリシーをデフォルトで適用する必要があります。EMM では、IT 管理者がこれらのセキュリティ機能のデフォルト状態を変更できないようにすることをおすすめします（必須ではありません）。
2.7.1. EMM の DPC は、仕事用プロファイルを設定した Android 8.0 以降のデバイスの個人用側にインストールされたアプリなど、提供元不明のアプリのインストールをブロックする必要があります。
2.7.2. EMM の DPC は、デバッグ機能をブロックする必要があります。
2.8. 専用デバイスのセキュリティ ポリシー
専用デバイスはロックダウンされ、他の操作を許可するエスケープはありません。
2.8.1. EMM の DPC により、セーフモードでの起動をデフォルトでオフにする必要があります。
2.8.2. プロビジョニング中の初回起動時に EMM の DPC を開き、すぐに画面にロックして、デバイスを他の方法で操作できないようにする必要があります。
2.8.3. 定義済み実装ガイドラインに沿って、許可されたアプリが起動時に画面にロックされるように、EMM の DPC をデフォルト ランチャーとして設定する必要があります。
2.9. Play Integrity サポート
EMM は Play Integrity API を使用して、デバイスが有効な Android デバイスであることを確認します。
2.9.1. EMM の DPC はプロビジョニング中に Play Integrity API を実装します。デフォルトでは、返されたデバイスの整合性が MEETS_STRONG_INTEGRITY の場合にのみ、企業データを含むデバイスのプロビジョニングが完了します。
2.9.2. EMM の DPC は、デバイスが EMM のサーバーにチェックインするたびに Play Integrity チェックを再度実行します。これは IT 管理者が設定できます。EMM サーバーは、デバイス上の企業ポリシーを更新する前に、完全性チェック レスポンス内の APK 情報とレスポンス自体を検証します。
2.9.3. IT 管理者は、Play Integrity チェックの結果に基づいて、プロビジョニングのブロック、企業データのワイプ、登録の許可など、さまざまなポリシー レスポンスを設定できます。
- EMM サービスは、各完全性チェックの結果に対してこのポリシー レスポンスを適用します。
2.9.4. 初期の Play Integrity チェックが失敗した場合、または強固な完全性に準拠しない結果が返された場合、EMM の DPC が ensureWorkingEnvironment をまだ呼び出していない場合は、プロビジョニングが完了する前に呼び出してチェックを繰り返す必要があります。
2.10. アプリの確認の適用
IT 管理者は、デバイスで [アプリの確認] をオンにできます。アプリの確認では、Android デバイスにインストールされているアプリをインストール前とインストール後にスキャンし、有害なソフトウェアがないか確認します。これにより、悪意のあるアプリが企業データを侵害できないようにします。
2.10.1. EMM の DPC は、デフォルトで [アプリの確認] を有効にする必要があります。
2.11. ダイレクト ブートのサポート
Android 7.0 以降のデバイスでは、電源を入れたばかりのデバイスのロックを解除するまでアプリを実行できません。ダイレクト ブートのサポートにより、デバイスがロック解除されていなくても EMM の DPC が常にアクティブになり、ポリシーを適用できるようになります。
2.11.1. EMM の DPC は、DPC の認証情報暗号化ストレージが復号される前に、デバイス暗号化ストレージを活用して重要な管理機能を実行します。ダイレクト ブート中に使用できる管理機能には、次のものが含まれます（ただしこれらに限定されません）。
- エンタープライズ ワイプ: 必要に応じて出荷時の設定にリセットされた保護データをワイプする機能など。
2.11.2. EMM の DPC は、デバイスの暗号化ストレージ内の企業データを公開してはなりません。
2.11.3. EMM は、トークンを設定して有効にし、仕事用プロファイルのロック画面に [パスワードをお忘れの場合] ボタンをオンにできます。このボタンは、IT 管理者に仕事用プロファイルのパスワードを安全にリセットするようリクエストするために使用します。
2.12. ハードウェア セキュリティ管理
IT 管理者は、会社所有デバイスのハードウェア要素をロックダウンして、データ損失を防ぐことができます。
2.12.1. IT 管理者は、デバイスに物理的な外部メディアをマウントできないようにユーザーをブロックできます。
2.12.2. IT 管理者は、ユーザーが NFC ビームを使用してデバイスからデータを共有できないようにブロックできます。NFC ビーム機能は Android 10 以降ではサポートされなくなったため、このサブ機能はオプションです。
2.12.3. IT 管理者は、ユーザーがデバイスから USB 経由でファイルを転送できないようにブロックできます。
2.13. エンタープライズ セキュリティ ロギング
IT 管理者は、デバイスから使用状況データを収集して、悪意のある動作や危険な動作がないか解析し、プログラムによって評価できます。ログに記録されるアクティビティには、Android Debug Bridge（adb）のアクティビティ、アプリの起動、画面のロック解除などがあります。
2.13.1. IT 管理者は特定のデバイスのセキュリティ ロギングを有効にできます。EMM の DPC は、セキュリティ ログと再起動前のセキュリティ ログの両方を自動的に取得できる必要があります。
2.13.2. IT 管理者は、EMM のコンソールで、特定のデバイスと設定可能な期間のエンタープライズ セキュリティ ログを確認できます。
2.13.3. IT 管理者は、EMM のコンソールから企業のセキュリティ ログをエクスポートできます。
3. アカウントとアプリの管理
3.1. エンタープライズ バインディング
IT 管理者は EMM を組織にバインドして、EMM が managed Google Play を使用してデバイスにアプリを配布できるようにします。
3.1.1. 管理対象の Google ドメインがすでにある管理者は、ドメインを EMM にバインドできます。
3.1.2. EMM のコンソールで、エンタープライズごとに一意の ESA をサイレント プロビジョニングして設定する必要があります。
3.1.3. Play EMM API を使用してエンタープライズの登録を解除します。
3.1.4. EMM コンソールでは、Android の登録フローで仕事用メールアドレスを入力するよう管理者に案内し、Gmail アカウントの使用を推奨しません。
3.1.5. EMM は、Android の登録フローで管理者のメールアドレスを事前に入力します。
3.2. managed Google Play アカウントのプロビジョニング
EMM は、managed Google Play アカウントと呼ばれるエンタープライズ ユーザー アカウントをサイレント プロビジョニングできます。これらのアカウントは管理対象ユーザーを識別し、ユーザーごとの一意のアプリ配信ルールを許可します。
3.2.1. EMM の DPC は、定義された実装ガイドラインに従って、管理対象の Google Play アカウントをサイレント プロビジョニングして有効にできます。その際:
userAccountタイプの管理対象の Google Play アカウントがデバイスに追加されます。userAccountタイプの managed Google Play アカウントは、EMM のコンソールで実際のユーザーと 1 対 1 でマッピングされている必要があります。
3.3. managed Google Play デバイスのアカウントのプロビジョニング
EMM では managed Google Play デバイス アカウントの作成とプロビジョニングが可能です。デバイス アカウントは、管理対象の Google Play ストアからアプリをサイレント インストールできます。また、単一のユーザーに関連付けられません。代わりに、デバイス アカウントを使用して 1 台のデバイスを識別し、専用デバイスのシナリオでデバイスごとのアプリ配信ルールをサポートします。
3.3.1. EMM の DPC は、定義された実装ガイドラインに従って、管理対象の Google Play アカウントをサイレント プロビジョニングして有効にできます。これを行うには、deviceAccount タイプの管理対象の Google Play アカウントをデバイスに追加する必要があります。
3.4. レガシー デバイスの managed Google Play アカウントのプロビジョニング
EMM は、managed Google Play アカウントと呼ばれる企業ユーザー アカウントを通知なくプロビジョニングできます。これらのアカウントは、管理対象ユーザーを識別し、ユーザーごとの一意のアプリ配信ルールを許可します。
3.4.1. EMM の DPC は、定義された実装ガイドラインに従って、管理対象の Google Play アカウントをサイレント プロビジョニングして有効にできます。その際:
userAccountタイプの管理対象の Google Play アカウントがデバイスに追加されます。userAccountタイプの managed Google Play アカウントは、EMM のコンソールで実際のユーザーと 1 対 1 でマッピングされている必要があります。
3.5. アプリの自動配布
IT 管理者は、ユーザーの操作なしで仕事用アプリをユーザーのデバイスにサイレントで配布できます。
3.5.1. EMM コンソールで Play EMM API を使用して、IT 管理者が管理対象デバイスに仕事用アプリをインストールできるようにする必要があります。
3.5.2. EMM コンソールで Play EMM API を使用して、IT 管理者が管理対象デバイス上の業務アプリを更新できるようにする必要があります。
3.5.3. EMM コンソールで IT 管理者が管理対象デバイス上のアプリをアンインストールできるようにするには、Play EMM API を使用する必要があります。
3.6. 管理対象の構成管理
IT 管理者は、管理対象設定または管理対象設定をサポートするアプリを表示し、サイレント設定できます。
3.6.1. EMM のコンソールで、任意の Play アプリの管理対象の構成設定を取得して表示できる必要があります。
- EMM は
Products.getAppRestrictionsSchemaを呼び出してアプリの管理対象設定スキーマを取得することや、EMM コンソールに管理対象設定フレームを埋め込むことができます。
3.6.2. EMM のコンソールでは、IT 管理者が Play EMM API を使用して、任意の Play アプリに任意の構成タイプ（Android フレームワークで定義されているもの）を設定できる必要があります。
3.6.3. EMM のコンソールで IT 管理者がワイルドカード（$username$ や %emailAddress% など）を設定できるようにする必要があります。これにより、Gmail などのアプリの 1 つの設定を複数のユーザーに適用できます。管理対象構成の iframe は、この要件を自動的にサポートします。
3.7. アプリ カタログの管理
IT 管理者は、managed Google Play（play.google.com/work）から、企業で承認されたアプリのリストをインポートできます。
3.7.1. EMM のコンソールには、配布が承認されたアプリのリストが表示されます。たとえば、次のようなアプリです。
- managed Google Play で購入したアプリ
- IT 管理者に公開される非公開アプリ
- プログラムで承認されたアプリ
3.8. プログラムによるアプリの承認
EMM のコンソールは、managed Google Play iframe を使用して、Google Play のアプリの検出と承認の機能をサポートします。IT 管理者は、EMM のコンソールを離れることなく、アプリの検索、アプリの承認、新しいアプリ権限の承認を行うことができます。
3.8.1. IT 管理者は、managed Google Play iframe を使用して EMM のコンソール内でアプリを検索し、承認できます。
3.9. 店舗レイアウトの基本的な管理
managed Google Play ストア アプリを使用すると、デバイスで仕事用アプリをインストール、更新できます。デフォルトでは基本的なストアのレイアウトが表示され、企業で承認されたアプリが一覧表示されます。EMM はポリシーに従って、ユーザーごとにアプリをフィルタします。
3.9.1. IT 管理者は [ユーザーが利用できるプロダクトセットを管理する]/android/work/play/emm-api/samples#grant_a_user_access_to_apps）で、managed Google Play ストアの [ストアのホーム] セクションからアプリの表示とインストールを許可できます。
3.10. ストアの高度なレイアウト構成
IT 管理者は、デバイス上の managed Google Play ストア アプリに表示されるストアのレイアウトをカスタマイズできます。
3.10.1. IT 管理者は EMM のコンソールで次の操作を行い、managed Google Play ストアのレイアウトをカスタマイズできます。
- 最大 100 個の店舗レイアウト ページを作成できます。ページには、ローカライズされたページ名を任意の数指定できます。
- ページごとに最大 30 個のクラスタを作成できます。クラスタには、ローカライズされたクラスタ名を任意の数設定できます。
- 各クラスタに最大 100 個のアプリを割り当てます。
- 各ページに最大 10 個のクイックリンクを追加できます。
- クラスタ内のアプリとページ内のクラスタの並べ替え順序を指定します。
3.11. アプリのライセンス管理
IT 管理者は、managed Google Play で購入したアプリ ライセンスを EMM のコンソールから表示、管理できます。
3.11.1. エンタープライズ向けに承認された有料アプリの場合、EMM のコンソールに以下が表示される必要があります。
- 購入したライセンス数。
- 使用されているライセンス数と、そのライセンスを使用しているユーザー。
- 配布できるライセンス数。
3.11.2. IT 管理者は、アプリをユーザーのデバイスに強制的にインストールすることなく、ライセンスをユーザーに自動的に割り当てることができます。
3.11.3. IT 管理者は、ユーザーからアプリのライセンスの割り当てを解除できます。
3.12. Google がホストする限定公開アプリの管理
IT 管理者は、Google Play Console ではなく EMM コンソールから Google がホストする限定公開アプリを更新できます。
3.12.1. IT 管理者は、次のコマンドを使用して、企業に限定公開で公開されているアプリの新しいバージョンをアップロードできます。
3.13. 自己ホスト型限定公開アプリの管理
IT 管理者は、自己ホスト型限定公開アプリを設定して公開できます。Google がホストする限定公開アプリとは異なり、Google Play は APK をホストしません。代わりに、EMM は、IT 管理者が APK をホストできるようにし、自己ホスト型アプリは managed Google Play によって承認された場合にのみインストールできるようにすることで、自己ホスト型アプリを保護します。
IT 管理者は、限定公開アプリのサポートで詳細を確認できます。
3.13.1. EMM のコンソールには、IT 管理者がアプリ APK をホストできるように、次の両方のオプションを提供する必要があります。
- EMM のサーバーで APK をホストします。サーバーはオンプレミスまたはクラウドベースにできます。
- IT 管理者の裁量で、EMM のサーバーの外部で APK をホストします。IT 管理者は、APK がホストされている場所を EMM コンソールで指定する必要があります。
3.13.2. EMM のコンソールでは、提供された APK を使用して適切な APK 定義ファイルを生成し、IT 管理者に公開プロセスを案内する必要があります。
3.13.3. IT 管理者はセルフホストの限定公開アプリを更新できます。また、EMM のコンソールでは、Google Play Developer Publishing API を使用して更新された APK 定義ファイルをサイレント パブリッシュできます。
3.13.4. EMM のサーバーは、リクエストの Cookie 内に有効な JWT が含まれるセルフホスト APK のダウンロード リクエストのみを処理します。これは、限定公開アプリの公開鍵によって検証されます。
- このプロセスを容易にするには、EMM のサーバーから、自己ホスト型アプリのライセンス公開鍵を Google Play Console からダウンロードし、この鍵を EMM コンソールにアップロードするよう IT 管理者に伝える必要があります。
3.14. EMM プル通知
EMM プル通知では、新しい権限や管理対象構成を含むアプリの更新などの過去のイベントを特定するために Play に定期的にクエリを実行するのではなく、そのようなイベントをリアルタイムで事前に EMM に通知します。これにより、EMM は自動化されたアクションを実行し、これらのイベントに基づいてカスタムの管理通知を提供できます。
3.14.1. EMM は、Google Play の EMM 通知を使用して通知セットを pull する必要があります。
3.14.2. EMM は、次の通知イベントを IT 管理者に自動的に通知する必要があります（自動メールなど）。
newPermissionEvent: ユーザーのデバイスにアプリをサイレント インストールまたは更新するには、IT 管理者が新しいアプリの権限を承認する必要があります。appRestrictionsSchemaChangeEvent: 意図した効率を維持するために、IT 管理者がアプリの管理対象構成を更新する必要がある場合があります。appUpdateEvent: コア ワークフローのパフォーマンスがアプリのアップデートの影響を受けていないことを検証したい IT 管理者に役立つ可能性があります。productAvailabilityChangeEvent: アプリのインストールやアプリのアップデートに影響する可能性があります。installFailureEvent: Play がデバイスにアプリをサイレント インストールすることができず、デバイス設定にインストールの妨げとなっている何かがある可能性があります。EMM は、この通知を受け取った直後にサイレント インストールを再度試行しないでください。Play 独自の再試行ロジックはすでに失敗しているためです。
3.14.3. EMM は、次の通知イベントに基づいて適切なアクションを自動的に実行します。
newDeviceEvent: デバイスのプロビジョニング中、EMM はnewDeviceEventを待ってから、新しいデバイスに対して Play EMM API の呼び出しを続行する必要があります（サイレント アプリのインストールや管理対象構成の設定など）。productApprovalEvent:productApprovalEventの通知を受け取ったら、アクティブな IT 管理セッションがある場合、または各 IT 管理セッションの開始時に承認済みアプリのリストが自動的に再読み込みされない場合、EMM は EMM コンソールにインポートされた承認済みアプリのリストを自動的に更新してデバイスに配布する必要があります。
3.15. API の使用要件
EMM は Google の API を大規模に実装し、本番環境で IT 管理者がアプリを管理する能力に悪影響を及ぼす可能性のあるトラフィック パターンを回避します。
3.15.1. EMM は Play EMM API の使用上限を遵守する必要があります。これらのガイドラインを超える動作を修正しない場合、Google の裁量により API の使用が停止されることがあります。
3.15.2. EMM は、特定のまたは類似した時間にエンタープライズ トラフィックを統合するのではなく、異なるエンタープライズからのトラフィックを 1 日を通じて分散する必要があります。登録された各デバイスのスケジュール設定されたバッチ オペレーションなど、このトラフィック パターンに適した動作は、Google の裁量により API の使用が停止される可能性があります。
3.15.3. EMM は、実際のエンタープライズ データを取得または管理しようとせず、一貫して不完全なリクエストや意図的に不正なリクエストを送信してはなりません。このトラフィック パターンに該当する場合は、Google の裁量により、API の使用が一時停止される可能性があります。
3.16. 高度な管理対象設定の管理
3.16.1. EMM のコンソールは、以下を使用して、Play アプリの管理対象設定（最大 4 レベルにネスト）を取得して表示できなければなりません。
- managed Google Play iframe
- カスタム UI を作成します。
3.16.2. IT 管理者が設定した場合、EMM のコンソールで、アプリのフィードバック チャンネルから返されたフィードバックを取得して表示できる必要があります。
- EMM のコンソールで、IT 管理者が特定のフィードバック項目を、その項目の元となったデバイスとアプリに関連付けられる必要があります。
- EMM のコンソールで、IT 管理者が特定のメッセージ タイプ（エラー メッセージなど）のアラートやレポートを定期購入できるようにする必要があります。
3.16.3. EMM のコンソールから送信される値は、デフォルト値であるか、管理者が手動で設定した値のみにする必要があります。
- 管理対象設定の iframe、または
- カスタム UI。
3.17. ウェブアプリの管理
IT 管理者は EMM コンソールでウェブアプリを作成して配布できます。
3.17.1. IT 管理者は、EMM のコンソールを使用して、次の方法でウェブアプリへのショートカットを配布できます。
3.18. managed Google Play アカウントのライフサイクル管理
EMM は、IT 管理者に代わって managed Google Play アカウントを作成、更新、削除できます。
3.18.1. EMM は、Play EMM API デベロッパー向けドキュメントで定義されている実装ガイドラインに従って、managed Google Play アカウントのライフサイクルを管理できます。
3.18.2. EMM は、ユーザーの操作なしで managed Google Play アカウントの再認証を行うことができます。
3.19. アプリケーション トラックの管理
3.19.1. IT 管理者は、特定のアプリに対してデベロッパーが設定したトラック ID のリストを取得できます。
3.19.2. IT 管理者は、アプリケーションの特定の開発トラックを使用するようにデバイスを設定できます。
3.20. 高度なアプリケーション更新管理
3.20.1. IT 管理者は、アプリが優先度の高いアプリの更新を使用して、更新の準備ができたときに更新できるようにすることができます。
3.20.2. IT 管理者は、アプリのアプリのアップデートを 90 日間延期することを許可できます。
3.21. プロビジョニング方法の管理
EMM は、プロビジョニング設定を生成し、エンドユーザーに配布する準備が整った形式（QR コード、ゼロタッチ設定、Google Play ストアの URL など）で IT 管理者に提示できます。
4. デバイス管理
4.1. ランタイム権限ポリシーの管理
IT 管理者は、仕事用アプリによる実行時の権限リクエストに対するデフォルトのレスポンスを通知なく設定できます。
4.1.1. IT 管理者は、組織のデフォルトのランタイム権限ポリシーを設定するときに、次のオプションから選択できる必要があります。
- プロンプト（ユーザーが選択可能）
- allow
- 拒否
EMM は EMM の DPC を使用して、これらの設定を適用する必要があります。
4.2. ランタイム権限付与の状態の管理
デフォルトの実行時の権限ポリシーを設定したら（4.1 に進む）、IT 管理者は、API 23 以降で構築された任意の仕事用アプリの特定の権限に対する応答をサイレントで設定できます。
4.2.1. IT 管理者は、API 23 以降で構築された仕事用アプリでリクエストされる権限の付与状態（デフォルト、付与、拒否）を設定できる必要があります。EMM は、EMM の DPC を使用してこれらの設定を適用する必要があります。
4.3. Wi-Fi 構成管理
IT 管理者は、次のような管理対象デバイスに企業の Wi-Fi 構成をサイレント プロビジョニングできます。
4.3.1. SSID（EMM の DPC を使用）
4.3.2. パスワード（EMM の DPC を使用）。
4.4. Wi-Fi セキュリティ管理
IT 管理者は、次の高度なセキュリティ機能を含むエンタープライズ Wi-Fi 構成を管理対象デバイスにプロビジョニングできます。
4.4.1. EMM の DPC を使用して、ユーザーの ID を検証します。
4.4.2. EMM の DPC を使用するクライアント認可用の証明書。
4.4.3. EMM の DPC を使用する CA 証明書。
4.5. Wi-Fi の高度な管理
IT 管理者は、管理対象デバイスの Wi-Fi 設定をロックダウンして、ユーザーが設定を作成したり、企業の設定を変更したりできないようにできます。
4.5.1. IT 管理者は、次のいずれかの構成で企業の Wi-Fi 構成をロックダウンできます。
- ユーザーは、EMM によってプロビジョニングされた Wi-Fi 設定を変更することはできませんが、ユーザーが構成できる独自のネットワーク（個人ネットワークなど）を追加、変更することはできます。
- ユーザーはデバイス上の Wi-Fi ネットワークの追加や変更ができず、Wi-Fi 接続は EMM によってプロビジョニングされたネットワークのみに制限されます。
4.6. アカウント管理
IT 管理者は、未承認の企業アカウントが SaaS ストレージや生産性向上アプリなどのサービス、メールなどの企業データを操作できないように保護できます。この機能がない場合、一般ユーザー向けアカウントもサポートする企業アプリに個人アカウントを追加して、企業データをその個人アカウントと共有できます。
4.6.1. IT 管理者は、アカウントの追加や変更を禁止できます。
- デバイスにこのポリシーを適用する場合、EMM はプロビジョニングが完了する前にこの制限を設定する必要があります。これは、ポリシーが施行される前にアカウントを追加してこのポリシーを回避できないようにするためです。
4.7. Workspace アカウントの管理
IT 管理者は、未承認の Google アカウントが企業データを操作できないようにすることが可能です。この機能がない場合、個人の Google アカウントを企業向け Google アプリ（Google ドキュメントや Google ドライブなど）に追加して、企業データを個人アカウントと共有できます。
4.7.1. IT 管理者は、アカウント管理のロックダウンが設定された後、プロビジョニング中に有効にする Google アカウントを指定できます。
4.7.2. EMM の DPC は、Google アカウントを有効にするよう求めるプロンプトを表示する必要があります。また、追加するアカウントを指定することで、特定のアカウントのみが有効にされるようにする必要があります。
- Android 7.0 より前のデバイスでは、DPC は アカウント管理の制限を一時的にオフにしてからユーザーにメッセージを表示する必要があります。
4.8. 証明書の管理
IT 管理者は、ID 証明書と認証局をデバイスにデプロイして、企業リソースへのアクセスを許可できます。
4.8.1. IT 管理者は、PKI によって生成されたユーザー ID 証明書をユーザーごとにインストールできます。EMM のコンソールは、少なくとも 1 つの PKI と統合し、そのインフラストラクチャから生成された証明書を配布する必要があります。
4.8.2. IT 管理者は、管理対象キーストアに証明書認証局をインストールできます。
4.9. 高度な証明書管理
IT 管理者は、特定の管理対象アプリが使用する証明書をサイレントで選択できます。また、この機能により、IT 管理者はアクティブなデバイスから CA と ID 証明書を削除できます。この機能により、ユーザーは管理対象キーストアに保存されている認証情報を変更できなくなります。
4.9.1. デバイスに配布するアプリの場合、IT 管理者は、実行時にアプリに通知なくアクセス権が付与される証明書を指定できます。
- 証明書の選択は、すべてのユーザーに適用される単一の構成を許可できるほど汎用性が高い必要があります。各ユーザーにはユーザー固有の ID 証明書が付与されている場合があります。
4.9.2. IT 管理者は、管理対象キーストアから証明書を削除できます。
4.9.3. IT 管理者は、通知なく CA 証明書をアンインストールするか、システム以外のすべての CA 証明書をアンインストールできます。
4.9.4. IT 管理者は、ユーザーがマネージド キーストアに認証情報を構成できないようにすることが可能です。
4.9.5. IT 管理者は、仕事用アプリの証明書を事前に付与できます。
4.10. 委任された証明書管理
IT 管理者は、サードパーティの証明書管理アプリをデバイスに配布し、管理対象キーストアに証明書をインストールする特権アクセスをそのアプリに付与できます。
4.10.1. IT 管理者は、DPC によって証明書管理アプリを委任として設定する証明書管理パッケージを指定します。
- コンソールでは、既知の証明書管理パッケージをオプションで提案することもできますが、IT 管理者がインストール可能なアプリのリストから、該当するユーザーが選択できるようにする必要があります。
4.11. 高度な VPN 管理
IT 管理者は常時接続 VPN を指定して、指定した管理対象アプリのデータが常に設定済みの VPN を通過するようにできます。
4.11.1. IT 管理者は、常時接続 VPN として設定する任意の VPN パッケージを指定できます。
- EMM のコンソールでは、常時接続 VPN をサポートする既知の VPN パッケージが提案される場合がありますが、常時接続の構成で使用できる VPN を任意のリストに制限することはできません。
4.11.2. IT 管理者は、管理対象設定を使用してアプリの VPN 設定を指定できます。
4.12. IME の管理
IT 管理者は、デバイスに設定できる入力方法（IME）を管理できます。IME は仕事用プロファイルと個人用プロファイルの両方で共有されるため、IME の使用をブロックすると、個人での使用もブロックされます。ただし、IT 管理者は仕事用プロファイルでシステムの IME をブロックすることはできません（詳しくは、高度な IME 管理をご覧ください）。
4.12.1. IT 管理者は、任意の長さの IME 許可リストを設定できます（システム以外の IME をブロックする空のリストを含む）。このリストには任意の IME パッケージを含めることができます。
- EMM のコンソールは、許可リストに含める既知の IME または推奨 IME をオプションで提案できます。ただし、IT 管理者が、該当するユーザーがインストール可能なアプリのリストから選択できるようにする必要があります。
4.12.2. EMM は、仕事用プロファイルが設定されたデバイスではシステム IME が管理から除外されることを IT 管理者に通知する必要があります。
4.13. 高度な IME 管理
IT 管理者は、デバイスに設定できる入力方法（IME）を管理できます。高度な IME 管理では、システム IME の使用を IT 管理者が管理できるようにすることで、基本機能を拡張します。システム IME は通常、デバイス メーカーや携帯通信会社によって提供されます。
4.13.1. IT 管理者は、任意の長さの IME 許可リストを設定できます（空のリストは除きます。空のリストはシステム IME を含むすべての IME をブロックします）。これには任意の IME パッケージを含めることができます。
- EMM のコンソールでは、許可リストに登録する既知または推奨の IME が提案される場合がありますが、IT 管理者が該当するユーザーに対してインストール可能なアプリのリストから選択できるようにする必要があります。
4.13.2. EMM では、IT 管理者が空の許可リストを設定できないようにする必要があります。この設定を使用すると、システム IME を含むすべての IME がデバイスで設定できなくなります。
4.13.3. EMM では、IME の許可リストにシステムの IME が含まれていない場合、許可リストがデバイスに適用される前に、サードパーティの IME がサイレント インストールされるようにする必要があります。
4.14. ユーザー補助サービスの管理
IT 管理者は、ユーザーのデバイスで許可できるユーザー補助サービスを管理できます。ユーザー補助サービスは、障がいのあるユーザーやデバイスを一時的に完全に操作できないユーザーにとって有用なツールですが、企業ポリシーに違反する方法で企業データとやり取りすることもあります。IT 管理者はこの機能を使用して、システム以外のユーザー補助サービスを無効にできます。
4.14.1. IT 管理者は、任意の長さのユーザー補助サービスの許可リスト（システム以外のユーザー補助サービスをブロックする空のリストを含む）を設定できます。これには、任意のユーザー補助サービス パッケージを含めることができます。仕事用プロファイルに適用すると、個人用プロファイルと仕事用プロファイルの両方に影響します。
- コンソールでは、許可リストに登録する既知または推奨のユーザー補助サービスを提案できますが、IT 管理者が該当するユーザーに対してインストール可能なアプリのリストから選択できるようにする必要があります。
4.15. 現在地の共有の管理
IT 管理者は、ユーザーが仕事用プロファイルのアプリと位置情報を共有できないようにすることができます。それ以外の場合、仕事用プロファイルのロケーションは [設定] で構成できます。
4.15.1. IT 管理者は、仕事用プロファイル内で位置情報サービスを無効にできます。
4.16. 現在地の共有の詳細な管理
IT 管理者は、管理対象デバイスに特定の現在地の共有設定を適用できます。 この機能により、企業アプリが常に高精度の位置情報にアクセスできるようになります。この機能により、位置情報の設定をバッテリー節約モードに制限することで、余分なバッテリーを消費しないようにすることもできます。
4.16.1. IT 管理者は、デバイスの位置情報サービスを次の各モードに設定できます。
- 高精度] をタップします。
- センサーのみ（GPS など）。ネットワーク提供の位置情報は含まれません。
- バッテリー節約。アップデートの頻度を制限します。
- オフ。
4.17. 出荷時設定へのリセット保護機能の管理
IT 管理者は、不正なユーザーがデバイスを出荷時の設定にリセットできないようにすることで、会社所有デバイスを盗難から保護できます。デバイスが IT 部門に返却される際に、出荷時設定へのリセット保護機能によって運用が複雑になる場合は、IT 管理者は出荷時設定へのリセット保護機能を完全に無効にすることもできます。
4.17.1. IT 管理者は、ユーザーが [設定] からデバイスを出荷時の設定にリセットできないようにすることができます。
4.17.2. IT 管理者は、出荷時の設定にリセットした後、デバイスのプロビジョニングを許可された企業のロック解除アカウントを指定できます。
- このアカウントは、個人に関連付けることも、企業全体で使用してデバイスのロックを解除することもできます。
4.17.3. IT 管理者は、指定したデバイスの出荷時設定へのリセット保護機能を無効にできます。
4.17.4. IT 管理者は、リモートでデバイスのワイプを開始できます。このワイプでは、必要に応じてリセット保護データをワイプし、リセットされたデバイスの出荷時設定へのリセット保護機能を削除できます。
4.18. アプリの詳細設定
IT 管理者は、ユーザーによる管理対象アプリのアンインストールや変更（アプリの強制終了やアプリのデータ キャッシュの消去など）を [設定] から防止できます。
4.18.1. IT 管理者は、任意の管理対象アプリ、またはすべての管理対象アプリのアンインストールをブロックできます。
4.18.2. IT 管理者は、設定からユーザーがアプリデータを変更できないようにできます。
4.19. スクリーン キャプチャの管理
IT 管理者は、管理対象アプリの使用中にユーザーがスクリーンショットを撮れないようにできます。この設定には、画面共有アプリや、システムのスクリーンショット機能を使用している類似のアプリ（Google アシスタントなど）のブロックが含まれます。
4.19.1. IT 管理者は、ユーザーによるスクリーンショットのキャプチャを禁止できます。
4.20. カメラを無効にする
IT 管理者は、管理対象アプリによるデバイスのカメラの使用を無効にできます。
4.20.1. IT 管理者は、管理対象アプリによるデバイスのカメラの使用を無効にできます。
4.21. ネットワーク統計情報の収集
IT 管理者は、デバイスの仕事用プロファイルからネットワーク使用状況の統計情報をクエリできます。収集された統計情報には、設定の [データ使用量] セクションでユーザーと共有されている使用状況データが反映されます。収集された統計情報は、仕事用プロファイル内のアプリの使用に適用されます。
4.21.1. IT 管理者は、特定のデバイスと設定可能な期間について仕事用プロファイルのネットワーク統計情報の概要をクエリし、EMM のコンソールで詳細を表示できます。
4.21.2. IT 管理者は、特定のデバイスと設定可能な期間の仕事用プロファイルのネットワーク使用状況の統計情報でアプリの概要をクエリし、EMM のコンソールで UID 別に整理された詳細情報を表示できます。
4.21.3. IT 管理者は、特定のデバイスと設定可能な期間の仕事用プロファイルのネットワーク使用履歴データをクエリし、EMM のコンソールで UID 別に整理されたこれらの詳細を表示できます。
4.22. 高度なネットワーク統計情報の収集
IT 管理者は、管理対象デバイス全体のネットワーク使用状況の統計情報をクエリできます。収集された統計情報には、[設定] の [データの使用] セクションでユーザーと共有されている使用データが反映されます。収集される統計情報は、デバイス上のアプリの使用に適用されます。
4.22.1. IT 管理者は、特定のデバイスと構成可能な時間枠について、デバイス全体のネットワーク統計情報の概要をクエリし、EMM のコンソールにその詳細を表示できます。
4.22.2. IT 管理者は、特定のデバイスと設定可能な期間のアプリのネットワーク使用統計情報の概要をクエリし、EMM のコンソールで UID 別に整理された詳細情報を表示できます。
4.22.3. IT 管理者は、特定のデバイスと構成可能な期間のネットワーク使用履歴データをクエリし、EMM のコンソールで UID 別に整理されたこれらの詳細情報を表示できます。
4.23. デバイスの再起動
IT 管理者は管理対象デバイスをリモートで再起動できます。
4.23.1. IT 管理者は、管理対象デバイスをリモートで再起動できます。
4.24. システム無線の管理
IT 管理者は、システム ネットワーク ラジオと関連する使用ポリシーをきめ細かく管理できます。
4.24.1. IT 管理者は、サービス プロバイダから送信される緊急速報メール（AMBER アラートなど）を無効にできます。
4.24.2. IT 管理者は、ユーザーが [設定] でモバイル ネットワーク設定を変更できないようにすることができます。
4.24.3. IT 管理者は、ユーザーが [設定] でネットワーク設定をリセットできないように設定できます。
4.24.4. IT 管理者は、ローミング中のモバイルデータを許可または禁止できます。
4.24.5. IT 管理者は、緊急通報を除き、デバイスで発信できるかどうかを設定できます。
4.24.6. IT 管理者は、デバイスでテキスト メッセージを送受信できるかどうかを設定できます。
4.24.7. IT 管理者は、テザリングによってユーザーがデバイスをポータブル ホットスポットとして使用できないように設定できます。
4.24.8. IT 管理者は、Wi-Fi のタイムアウトを設定して、デフォルト、電源に接続しているときのみ、または無効にできます。
4.24.9. IT 管理者は、ユーザーが既存の Bluetooth 接続を設定または変更できないようにすることができます。
4.25. システム音声の管理
IT 管理者は、デバイスのミュート、ユーザーによる音量設定の変更の防止、デバイスのマイクのマウントの解除の防止など、デバイスの音声機能をサイレントで管理できます。
4.25.1. IT 管理者は、管理対象デバイスをサイレントでミュートできます。
4.25.2. IT 管理者は、ユーザーがデバイスの音量設定を変更できないようにすることができます。
4.25.3. IT 管理者は、ユーザーがデバイスのマイクをミュート解除できないように設定できます。
4.26. システム クロックの管理
IT 管理者は、デバイスの時計とタイムゾーンの設定を管理し、ユーザーによるデバイスの自動設定の変更を防止できます。
4.26.1. IT 管理者は、システムの自動時刻を適用して、ユーザーがデバイスの日時を設定できないようにすることができます。
4.26.2. IT 管理者は、自動時刻と自動タイムゾーンの両方を通知なくオンまたはオフにできます。
4.27. 専用デバイスの高度な機能
IT 管理者は、よりきめ細かな専用デバイス機能を管理して、さまざまなキオスクのユースケースをサポートできます。
4.27.1. IT 管理者は、デバイスのキーガードを無効にできます。
4.27.2. IT 管理者は、デバイスのステータスバーをオフにして、通知とクイック設定をブロックできます。
4.27.3. IT 管理者は、デバイスを電源に接続している間、デバイスの画面をオンのままにできます。
4.27.4. IT 管理者は、次のシステム UI が表示されないようにできます。
- トースト
- アプリのオーバーレイ。
4.27.5. IT 管理者は、アプリのシステム推奨事項で、初回起動時にユーザー チュートリアルやその他の導入ヒントをスキップできるようにできます。
4.28. 委任されたスコープ管理
IT 管理者は、個々のパッケージに追加の権限を委任できます。
4.28.1. IT 管理者は次のスコープを管理できます。
- 証明書のインストールと管理
- 意図的に空白
- ネットワーク ログ
- セキュリティ ロギング（個人所有デバイス上の仕事用プロファイルではサポートされていません）
4.29. 登録に固有の ID のサポート
Android 12 以降、仕事用プロファイルはハードウェア固有の識別子にアクセスできなくなります。IT 管理者は、出荷時の設定にリセットしても保持される登録固有の ID を使用して、仕事用プロファイルが設定されたデバイスのライフサイクルを追跡できます。
4.29.1. IT 管理者は登録固有の ID を設定して取得できます。
4.29.2. この登録固有の ID は初期状態にリセットしても保持される
5. デバイスのユーザビリティ
5.1. マネージド プロビジョニングのカスタマイズ
IT 管理者は、デフォルトの設定フロー UX を変更して、企業固有の機能を含めることができます。必要に応じて、IT 管理者はプロビジョニング中に EMM 提供のブランディングを表示できます。
5.1.1. IT 管理者は、企業の色、企業のロゴ、企業の利用規約とその他の免責条項などの企業固有の詳細を指定して、プロビジョニング プロセスをカスタマイズできます。
5.1.2. IT 管理者は、EMM の色、EMM のロゴ、EMM の利用規約とその他の免責条項などの詳細を含む、構成不可の EMM 固有のカスタマイズをデプロイできます。
5.1.3 [primaryColor] は、Android 10 以降のエンタープライズ リソースで非推奨になりました。
- EMM 固有のカスタマイズを使用しない場合でも、EMM では、プロビジョニング利用規約とその他の免責条項をシステム プロビジョニング免責条項バンドルに含める必要があります。
- EMM は、構成不可の EMM 固有のカスタマイズをすべてのデプロイのデフォルトとして設定できますが、IT 管理者が独自のカスタマイズを設定できるようにする必要があります。
5.2. エンタープライズ向けのカスタマイズ
IT 管理者は、企業ブランドを使って仕事用プロファイルのさまざまな要素をカスタマイズできます。 たとえば、IT 管理者は仕事用プロファイルのユーザー アイコンを会社のロゴに設定できます。もう一つの例は、課題の背景色を設定することです。
5.2.1. IT 管理者は、ワーク チャレンジの背景色として使用する組織の色を設定できます。
5.2.2. IT 管理者は、仕事用プロファイルの表示名を設定できます。
5.2.3. IT 管理者は仕事用プロファイルのユーザー アイコンを設定できます。
5.2.4. IT 管理者は、ユーザーが仕事用プロファイルのユーザー アイコンを変更できないようにすることができます。
5.3. エンタープライズ向けの高度なカスタマイズ
IT 管理者は、管理対象デバイスを企業ブランドでカスタマイズできます。たとえば、IT 管理者は、メインのユーザー アイコンを企業のロゴに設定したり、デバイスの壁紙を設定したりできます。
5.3.1. IT 管理者は、管理対象デバイスの表示名を設定できます。
5.3.2. IT 管理者は管理対象デバイスのユーザー アイコンを設定できます。
5.3.3. IT 管理者は、ユーザーがデバイスのユーザー アイコンを変更できないようにすることができます。
5.3.4. IT 管理者はデバイスの壁紙を設定できます。
5.3.5. IT 管理者は、ユーザーがデバイスの壁紙を変更できないようにすることができます。
5.4. ロック画面のメッセージ
IT 管理者は、デバイスのロック画面に常に表示されるカスタム メッセージを設定できます。このメッセージは、デバイスのロック解除を必要としません。
5.4.1. IT 管理者はロック画面のカスタム メッセージを設定できます。
5.5. ポリシーの透明性管理
IT 管理者は、ユーザーがデバイスの管理対象設定を変更するときや、EMM が提供する汎用サポート メッセージをデプロイするときに表示されるヘルプテキストをカスタマイズできます。短いサポート メッセージと長いサポート メッセージの両方をカスタマイズできます。これらのメッセージは、IT 管理者がすでにアンインストールをブロックしている管理対象アプリのアンインストールを試行した場合などに表示されます。
5.5.1. IT 管理者は、短いサポート メッセージと長いサポート メッセージの両方をカスタマイズします。
5.5.2. IT 管理者は、構成不可の EMM 固有の短いサポート メッセージと長いサポート メッセージをデプロイできます。
- EMM では、構成不可の EMM 固有のサポート メッセージをすべてのデプロイでデフォルトとして設定できますが、IT 管理者が独自のメッセージを設定できるようにする必要があります。
5.6. クロス プロファイル連絡先管理
IT 管理者は、仕事用プロファイルから削除できる連絡先データを管理できます。テレフォニー アプリとメッセージ（SMS）アプリはどちらも個人用プロファイルで実行する必要があります。また、仕事用の連絡先を効率的に利用するために、仕事用プロファイルの連絡先データにアクセスする必要があります。ただし、管理者は仕事用データを保護するためにこれらの機能を無効にできます。
5.6.1. IT 管理者は、システムの連絡先プロバイダを使用する個人用アプリのクロス プロファイル連絡先検索を無効にできます。
5.6.2. IT 管理者は、システムの連絡先プロバイダを使用する個人用電話アプリのクロス プロファイル発信者番号の検索を無効にできます。
5.6.3. IT 管理者は、システム連絡先プロバイダを使用する Bluetooth デバイスとの Bluetooth の連絡先共有を無効にできます（車やヘッドセットでのハンズフリー通話など）。
5.7. クロス プロフィールのデータ管理
IT 管理者は、仕事用プロファイルのデフォルトのセキュリティ機能を超えて、仕事用プロファイルから外部に送信できるデータを管理できます。この機能を使用すると、IT 管理者は特定の種類のクロスプロファイル データ共有を許可して、重要なユースケースでのユーザビリティを向上させることができます。IT 管理者は、ロックダウンを強化して企業データをさらに保護することもできます。
5.7.1. IT 管理者は、クロス プロファイル インテント フィルタを構成して、個人用アプリが仕事用プロファイルのインテントを解決できるようにします（共有インテントやウェブリンクなど）。
- コンソールでは、構成に既知または推奨されるインテント フィルタが提案される場合がありますが、インテント フィルタを任意のリストに制限することはできません。
5.7.2. IT 管理者は、ホーム画面にウィジェットを表示できる管理対象アプリを許可できます。
- IT 管理者が EMM のコンソールで、該当するユーザーがインストールできるアプリのリストから選択できるようにする必要があります。
5.7.3. IT 管理者は、仕事用プロファイルと個人用プロファイル間のコピー/貼り付けの使用をブロックできます。
5.7.4. IT 管理者は、ユーザーが NFC ビームを使用して仕事用プロファイルのデータを共有できないようにブロックできます。
5.7.5. IT 管理者は、個人用アプリが仕事用プロファイルからウェブリンクを開くことを許可できます。
5.8. システム アップデート ポリシー
IT 管理者は、デバイスの無線（OTA）システム アップデートを設定して適用できます。
5.8.1. EMM のコンソールでは、IT 管理者が次の OTA 設定を設定できます。
- 自動: デバイスは、OTA アップデートが利用可能になるとインストールします。
- 延期: IT 管理者は OTA アップデートを最大 30 日間延期できる必要があります。このポリシーは、セキュリティ アップデート（毎月のセキュリティ パッチなど）には影響しません。
- 時間枠あり: IT 管理者は、毎日のメンテナンスの時間枠内に OTA アップデートをスケジュール設定できる必要があります。
5.8.2. EMM の DPC により OTA 構成がデバイスに適用されます。
5.9. ロックタスク モードの管理
IT 管理者は、アプリまたはアプリセットを画面にロックし、ユーザーがアプリを終了できないようにできます。
5.9.1. EMM のコンソールを使用すると、IT 管理者は任意のアプリセットをサイレントでインストールし、デバイスにロックできます。EMM の DPC は、専用デバイス モードを許可します。
5.10. 優先アクティビティの永続的な管理
IT 管理者は、特定のインテント フィルタに一致するインテントのデフォルト インテント ハンドラとしてアプリを設定できます。たとえば、IT 管理者は、ウェブリンクを自動的に開くブラウザアプリや、ホームボタンをタップしたときに使用するランチャー アプリを選択できます。
5.10.1. IT 管理者は、任意のインテント フィルタのデフォルトのインテント ハンドラとして任意のパッケージを設定できます。
- EMM のコンソールでは、既知のインテントまたは推奨インテントがオプションで提案されます。ただし、インテントを任意のリストに制限することはできません。
- IT 管理者が EMM のコンソールで、該当するユーザーがインストールできるアプリのリストから選択できるようにする必要があります。
5.11. キーガード機能の管理
- 信頼エージェント
- 指紋認証によるロック解除
- 削除されていない通知
5.11.2. EMM の DPC は、仕事用プロファイルで次のキーガード機能をオフにできます。
- 信頼エージェント
- 指紋認証によるロック解除
5.12. 高度なキーガード機能の管理
5.13. リモートデバッグ
IT 管理者は、追加の手順を必要とせずにデバイスからデバッグ リソースを取得できます。
5.13.1. IT 管理者は、リモートでバグレポートをリクエストしたり、EMM のコンソールからバグレポートを表示したり、EMM のコンソールからバグレポートをダウンロードしたりできます。
5.14. MAC アドレスの取得
EMM は、デバイスの MAC アドレスをサイレントで取得できます。MAC アドレスは、企業インフラストラクチャの他の部分のデバイスを識別するために使用できます（ネットワーク アクセス制御用のデバイスを識別する場合など）。
5.14.1. EMM はデバイスの MAC アドレスを通知なく取得し、EMM のコンソールでそれをデバイスに関連付けることができます。
5.15. ロックタスク モードの高度な管理
デバイスを専用デバイスとして設定すると、IT 管理者は EMM のコンソールを使用して次のタスクを実行できます。
5.15.1. EMM の DPC を使用して、1 つのアプリを通知なしでデバイスにロックできるようにします。
5.15.2. EMM の DPC を使用して、以下のシステム UI 機能のオンとオフを切り替えます。
- ホームボタン
- 概要
- グローバルな操作
- 通知
- システム情報 / ステータスバー
- キーガード（ロック画面）
5.15.3. EMM の DPC を使用して、システムエラー ダイアログをオフにします。
5.16. 高度なシステム アップデート ポリシー
IT 管理者は、指定された凍結期間、デバイスのシステム アップデートをブロックできます。
5.16.1. EMM の DPC は、指定されたフリーズ期間に無線（OTA）システム アップデートをデバイスに適用できます。
5.17. 仕事用プロファイルのポリシーの透明性の管理
IT 管理者は、デバイスから仕事用プロファイルを削除する際にユーザーに表示されるメッセージをカスタマイズできます。
5.17.1. IT 管理者は、仕事用プロファイルがワイプされたときに表示するカスタム テキストを指定できます。
5.18. 接続済みアプリのサポート
IT 管理者は、仕事用プロファイルの境界を越えて通信できるパッケージのリストを設定できます。
5.19. 手動システム アップデート
IT 管理者はパスを指定して手動でシステム アップデートをインストールできます。
6. Device Admin のサポート終了
6.1. Device Admin のサポート終了
EMM は、2023 年第 1 四半期末までに、GMS デバイスのデバイス管理のカスタマー サポートを終了する計画を 2022 年末までに投稿する必要があります。
7. API の使用
7.1. 新しいバインディング用の標準の Policy Controller
デフォルトでは、新しいバインディングでは Android Device Policy を使用してデバイスを管理する必要があります。EMM には、[詳細] などの見出しの設定領域で、カスタム DPC を使用してデバイスを管理するオプションが用意されている場合があります。新規のお客様は、オンボーディング ワークフローや設定ワークフローのいずれにおいても、テクノロジー スタック間の任意の選択にさらされるべきではありません。
7.2. 新しいデバイス用の標準ポリシー コントローラ
デフォルトでは、既存のバインディングと新しいバインディングの両方で、すべての新規デバイス登録で Android Device Policy を使用してデバイスを管理する必要があります。