このページでは、Android Enterprise の全機能の一覧を示します。
500 台を超えるデバイスを管理する予定がある場合、EMM ソリューションが商用利用にするには、少なくとも 1 つのソリューション セットの標準機能（）をすべてサポートする必要があります。標準機能検証に合格した EMM ソリューションは、標準管理セットとして、Android のエンタープライズ ソリューション ディレクトリに掲載されます。
各ソリューション セットでは、高度な機能のセットを利用できます。これらの機能は、各ソリューション セットのページ（仕事用プロファイル、フルマネージド デバイス、専用デバイス）に示されています。高度な機能の検証に合格した EMM ソリューションは、高度な管理セットとして、Android のエンタープライズ ソリューション ディレクトリに掲載されます。
注: Android Management API の使用には、利用規定が適用されます。
キー
| の標準機能 | オプション機能 | 該当なし |
1. デバイスのプロビジョニング
1.1. DPC ファーストの仕事用プロファイルのプロビジョニング
Google Play から EMM の DPC をダウンロードした後に、仕事用プロファイルをプロビジョニングできます。
1.1.1. ユーザーがデバイスの個人側に DPC をインストールできるように、EMM の DPC を Google Play で公開する必要があります。
1.1.2. インストール後、DPC は仕事用プロファイルのプロビジョニング プロセスをユーザーに案内する必要があります。
1.1.3. プロビジョニングの完了後は、デバイスの個人側に管理プレゼンスは残されません。
- プロビジョニング中に適用されたポリシーはすべて削除する必要があります。
- アプリの権限を取り消す必要があります。
- 少なくとも、EMM の DPC はデバイスの個人用側でオフにする必要があります。
1.2. DPC 識別子によるデバイスのプロビジョニング
IT 管理者は、Play EMM API デベロッパー向けドキュメントで定義されている実装ガイドラインに従って、DPC 識別子（「afw#」）を使用して、完全管理対象デバイスまたは専用デバイスをプロビジョニングできます。
1.2.1. EMM の DPC は Google Play で一般公開されている必要があります。DPC は、デバイス設定ウィザードで DPC 固有の識別子を入力してインストール可能である必要があります。
1.2.2. インストール後、EMM の DPC は、完全管理対象デバイスまたは専用デバイスのプロビジョニング プロセスをユーザーに案内する必要があります。
1.3. NFC デバイスのプロビジョニング
IT 管理者は NFC タグを使用して、Play EMM API デベロッパー向けドキュメントで定義されている実装ガイドラインに沿って、新しいデバイスや初期状態にリセットしたデバイスをプロビジョニングできます。
1.3.1. EMM には、888 バイト以上のメモリを搭載した NFC フォーラム タイプ 2 タグを使用する必要があります。プロビジョニングでは、プロビジョニング エクストラを使用して、サーバー ID や登録 ID などの機密性の低い登録情報をデバイスに渡す必要があります。登録の詳細には、パスワードや証明書などの機密情報を含めないでください。
1.3.2. EMM の DPC が自身をデバイス所有者として設定したら、DPC をすぐに開いて画面に固定し、デバイスが完全にプロビジョニングされるようにする必要があります。
1.3.3. NFC ビーム（NFC バンプ）のサポート終了に伴い、Android 10 以降では NFC タグを使用することをおすすめします。
1.4. QR コードによるデバイスのプロビジョニング
IT 管理者は、 Play EMM API デベロッパー向けドキュメントで定義されている実装ガイドラインに従って、新しいデバイスまたは出荷時の設定にリセットしたデバイスを使用して、EMM のコンソールで生成された QR コードをスキャンしてデバイスをプロビジョニングできます。
1.4.1. QR コードは、プロビジョニング エクストラを使用して、サーバー ID や登録 ID などの機密でない登録情報をデバイスに渡す必要があります。登録の詳細には、パスワードや証明書などの機密情報を含めないでください。
1.4.2. EMM の DPC がデバイスをセットアップした後、DPC をすぐに開いて画面に対してロックし、デバイスが完全にプロビジョニングされるようにする必要があります。
1.5. ゼロタッチ登録
IT 管理者は、正規販売パートナーから購入したデバイスを事前に構成し、EMM コンソールを使用して管理できます。
1.5.1. IT 管理者は、IT 管理者向けゼロタッチ登録で説明されているゼロタッチ登録を使用して、会社所有デバイスをプロビジョニングできます。
1.5.2. デバイスを初めてオンにすると、IT 管理者が定義した設定が自動的に適用されます。
1.6. 高度なゼロタッチ プロビジョニング
IT 管理者は、ゼロタッチ登録を使用して DPC 登録の詳細をデプロイすることで、デバイス登録プロセスの大部分を自動化できます。EMM の DPC は、EMM が提供する構成オプションに従って、登録を特定のアカウントまたはドメインに制限できます。
1.6.1. IT 管理者は、IT 管理者向けゼロタッチ登録で概説されているゼロタッチ登録を使用して、会社所有デバイスをプロビジョニングできます。
1.6.2. EMM の DPC がデバイスをセットアップした後、EMM の DPC をすぐに開き、デバイスが完全にプロビジョニングされるまで画面に対してロックする必要があります。
- ゼロタッチ登録の詳細を使用してサイレントで完全にプロビジョニングするデバイス（専用デバイスのデプロイなど）では、この要件は適用されません。
1.6.3. EMM の DPC は、登録情報を使用して、DPC の呼び出し後に権限のないユーザーが有効化を進めることができないようにする必要があります。少なくとも、有効化を特定の企業のユーザーに限定する必要があります。
1.6.4. EMM の DPC では、IT 管理者が一意のユーザー情報またはデバイス情報（ユーザー名/パスワード、アクティベーション トークンなど）のほかに、登録情報（サーバー ID、登録 ID など）を事前入力できるようにする必要があります。これにより、ユーザーはデバイスを有効化する際に情報を入力する必要がなくなります。
- EMM のゼロタッチ登録の構成に、パスワードや証明書などの機密情報を含めることはできません。
1.7. Google アカウントの仕事用プロファイルのプロビジョニング
Workspace を使用している企業の場合、この機能を使用すると、デバイスのセットアップ時、またはすでに有効になっているデバイスで、会社の Workspace 認証情報を入力した後、仕事用プロファイルをセットアップできます。どちらの場合も、企業の Workspace ID は仕事用プロファイルに移行されます。
1.7.1. Google アカウントのプロビジョニング方法では、所定の実装ガイドラインに沿って、仕事用プロファイルをプロビジョニングします。
1.8 Google アカウント デバイスのプロビジョニング
Workspace を使用している企業の場合、ユーザーはデバイスの最初のセットアップ時に会社の Workspace 認証情報を入力した後、この機能を使用して EMM の DPC をインストールできます。インストールが完了すると、DPC は会社所有デバイスのセットアップを完了します。
1.8.1. Google アカウントのプロビジョニング方法では、所定の実装ガイドラインに沿って会社所有のデバイスをプロビジョニングします。
1.8.2. EMM がデバイスを企業資産として明確に識別できない限り、プロビジョニング プロセス中にプロンプトが表示されずにデバイスをプロビジョニングすることはできません。このプロンプトでは、チェックボックスをオンにする、デフォルト以外のメニュー項目を選択するなど、デフォルト以外のアクションを行う必要があります。EMM はデバイスを会社の資産として識別できるため、メッセージを表示する必要がないことが推奨されます。
1.9. 直接ゼロタッチ設定
IT 管理者は、EMM のコンソールでゼロタッチ iframe を使用したゼロタッチ デバイスを設定できます。
1.10 会社所有デバイス上の仕事用プロファイル
EMM では、仕事用プロファイルが設定された会社所有デバイスを登録できます。
1.10.1 IT 管理者は、QR コードまたはゼロタッチ登録を使用して、会社所有デバイスの仕事用プロファイルとしてデバイスをプロビジョニングできます。
1.10.2 IT 管理者は、会社所有デバイスの仕事用プロファイルに対してコンプライアンス アクションを設定できます。
1.10.3 IT 管理者は、仕事用プロファイルまたはデバイス全体でカメラを無効にできます。
1.10.4 IT 管理者は、仕事用プロファイルまたはデバイス全体のいずれかでスクリーン キャプチャを無効にできます。
1.10.5 IT 管理者は、個人用プロファイルにインストールできるアプリケーションまたはインストールできないアプリケーションの許可リストまたはブロックリストを設定できます。
1.10.6 IT 管理者は、仕事用プロファイルを削除するか、デバイス全体をワイプすることで、会社所有デバイスの管理を放棄できます。
2. デバイスのセキュリティ
2.1. デバイスのセキュリティ確認
IT 管理者は、事前定義された 3 つの複雑さレベルの中から、管理対象デバイスにデバイスのセキュリティ チャレンジ（PIN/パターン/パスワード）を設定し、適用できます。
2.1.1. ポリシーにより、デバイスのセキュリティ チャレンジ（仕事用プロファイルの parentProfilePasswordRequirements、完全管理対象デバイスと専用デバイスの passwordRequirements）を管理する設定を適用する必要があります。
2.1.2. パスワードの複雑さは、次のパスワードの複雑さに対応している必要があります。
- PASSWORD_COMPLEXITY_LOW - 繰り返し（4444）または順序付けされた（1234、4321、2468）シーケンスを含むパターンまたは固定。
- PASSWORD_COMPLEXITY_MEDIUM - 4 文字以上の繰り返し（4444）または順序付き（1234、4321、2468）のシーケンス、英字、または英数字のパスワードを使用しない PIN
- PASSWORD_COMPLEXITY_HIGH - 繰り返し（4444）または順序付き（1234、4321、2468）のシーケンスを使用しない PIN、または 8 文字以上のパスワード、または 6 文字以上の英字または英数字のパスワード
2.2 働き方のセキュリティの課題
IT 管理者は、仕事用プロファイルのアプリとデータに対して、デバイスのセキュリティ チャレンジ（2.1）とは別の要件を持つセキュリティ チャレンジを設定して適用できます。
2.2.1. ポリシーによって、仕事用プロファイルのセキュリティ チャレンジを適用する必要があります。 デフォルトでは、スコープが指定されていない場合、IT 管理者は仕事用プロファイルにのみ制限を設定する必要があります。IT 管理者は、スコープを指定することでこのデバイス全体を設定できます（要件 2.1 を参照）
2.1.2. パスワードの複雑さは、次のパスワードの複雑さに対応している必要があります。
- PASSWORD_COMPLEXITY_LOW - 繰り返し（4444）または順序付けされた（1234、4321、2468）シーケンスを含むパターンまたは固定。
- PASSWORD_COMPLEXITY_MEDIUM - 4 文字以上の繰り返し（4444）または順序付き（1234、4321、2468）のシーケンス、英字、または英数字のパスワードを使用しない PIN
- PASSWORD_COMPLEXITY_HIGH - 繰り返し（4444）または順序付き（1234、4321、2468）のシーケンスを使用しない PIN、または 8 文字以上のパスワード、または 6 文字以上の英字または英数字のパスワード
2.3. 高度なパスコード管理
2.3.1. [意図的に空白]
2.3.2. [意図的に空白]
2.3.3. デバイスで使用できるロック画面ごとに、次のパスワード ライフサイクルを設定できます。
- [意図的に空白]
- [意図的に空白]
- ワイプに失敗したパスワードの最大数: 企業データがデバイスからワイプされるまでにユーザーが誤ったパスワードを入力できる回数を指定します。IT 管理者はこの機能をオフにできる必要があります。
2.3.4. （Android 8.0 以降）強力な認証が必要タイムアウト: IT 管理者が設定したタイムアウト期間の後、強力な認証パスコード（PIN やパスワードなど）の入力が必要になります。タイムアウト時間が経過すると、安全な認証パスコードでデバイスのロックが解除されるまで、安全性の低い認証方法（指紋認証、顔認証など）はオフになります。
2.4. Smart Lock の管理
IT 管理者は、Android の Smart Lock 機能でデバイスのロック解除を許可する信頼エージェントを管理できます。IT 管理者は、信頼できる Bluetooth デバイス、顔認証、音声認識などの特定のロック解除方法を無効にしたり、必要に応じてこの機能を完全にオフにしたりできます。
2.4.1. IT 管理者は、デバイスで使用可能なロック画面ごとに個別に Smart Lock 信頼エージェントを無効にできます。
2.4.2. IT 管理者は、デバイスで利用可能なロック画面ごとに、Bluetooth、NFC、場所、顔、持ち運び、音声の信頼エージェントに対して、Smart Lock 信頼エージェントを選択的に許可して設定できます。
- IT 管理者は、使用可能な信頼エージェントの構成パラメータを変更できます。
2.5. ワイプとロック
IT 管理者は、EMM のコンソールを使用して、管理対象デバイスから仕事用データをリモートでロックおよびワイプできます。
2.5.1. EMM の DPC がデバイスをロックする必要があります。
2.5.2. EMM の DPC でデバイスをワイプする必要があります。
2.6. コンプライアンスの適用
デバイスがセキュリティ ポリシーに準拠していない場合、仕事用データは自動的に制限されます。
2.6.1. デバイスに適用されるセキュリティ ポリシーには、少なくともパスワード ポリシーを含める必要があります。
2.7. デフォルトのセキュリティ ポリシー
EMM は、指定されたセキュリティ ポリシーをデフォルトでデバイスに適用する必要があります。IT 管理者が EMM のコンソールで設定やカスタマイズを行う必要はありません。EMM では、IT 管理者がこれらのセキュリティ機能のデフォルト状態を変更できないようにすることをおすすめします（必須ではありません）。
2.7.1. EMM の DPC は、仕事用プロファイルが設定された Android 8.0 以降のデバイスの個人用側にインストールされたアプリなど、不明な提供元からのアプリのインストールをブロックする必要があります。
2.7.2. EMM の DPC でデバッグ機能をブロックする必要があります。
2.8. 専用デバイスのセキュリティ ポリシー
専用デバイスは、他の操作を可能にするためにエスケープなしでロックダウンされます。
2.8.1. EMM の DPC で、セーフモードでの起動がデフォルトでオフになっている必要があります。
2.8.2. EMM の DPC は、プロビジョニング中に最初の起動時にすぐに開いて画面に対してロックし、他の方法でデバイスを操作できないようにする必要があります。
2.8.3. 定められた実装ガイドラインに沿って、許可されたアプリが起動時に画面にロックされるようにするには、EMM の DPC をデフォルトのランチャーとして設定する必要があります。
2.9. Play Integrity のサポート
EMM は Play Integrity API を使用して、デバイスが有効な Android デバイスであることを確認します。
2.9.1. EMM の DPC は、プロビジョニング中に Play Integrity API を実装します。デフォルトでは、返されたデバイスの完全性が MEETS_STRONG_INTEGRITY の場合にのみ、企業データでのデバイスのプロビジョニングを完了します。
2.9.2. EMM の DPC は、デバイスが EMM のサーバーにチェックインするたびに別の Play Integrity チェックを実行します。これは IT 管理者が構成できます。EMM サーバーは、デバイス上の企業ポリシーを更新する前に、完全性チェック レスポンス内の APK 情報とレスポンス自体を検証します。
2.9.3. IT 管理者は、プロビジョニングのブロック、企業データのワイプ、登録の続行など、Play の完全性チェックの結果に応じてさまざまなポリシー レスポンスを設定できます。
- EMM サービスは、各完全性チェックの結果に対してこのポリシー レスポンスを適用します。
2.10. アプリの確認の適用
IT 管理者は、デバイスでアプリの確認を有効にできます。「アプリの確認」は、Android デバイスにインストールされているアプリに対して、インストール前とインストール後の有害なソフトウェアがないかスキャンし、悪意のあるアプリが企業データを侵害できないようにします。
2.10.1. EMM の DPC で、アプリの確認をデフォルトでオンにする必要があります。
2.11. ダイレクト ブートのサポート
Android 7.0 以降のデバイスでは、デバイスのロックが解除されるまで電源を入れたばかりのデバイスでは、アプリを実行できません。ダイレクト ブートのサポートにより、デバイスがロック解除されていない場合でも、EMM の DPC は常にアクティブになり、ポリシーを適用できます。
2.11.1. EMM の DPC は、デバイス暗号化ストレージを利用して、DPC の認証情報暗号化ストレージが復号される前に重要な管理機能を実行します。ダイレクト ブートで使用できる管理機能には次のものが含まれます（ただし、これらに限定されません）。
- 企業のワイプ。必要に応じて出荷時設定へのリセットの保護データのワイプも可能です。
2.11.2. EMM の DPC は、デバイス暗号化ストレージ内の企業データを公開してはなりません。
2.11.3. EMM で [トークンを設定して有効化] し、仕事用プロファイルのロック画面で [パスワードをお忘れの場合] ボタンをオンにできます。このボタンは、仕事用プロファイルのパスワードを安全にリセットするよう IT 管理者にリクエストするために使用されます。
2.12. ハードウェア セキュリティ管理
IT 管理者は、会社所有デバイスのハードウェア要素をロックダウンして、データ損失を防止できます。
2.12.1. IT 管理者は、ユーザーがデバイスに物理的な外部メディアをマウントできないようにブロックできます。
2.12.2. IT 管理者は、ユーザーが NFC ビームを使用してデバイスからデータを共有しないようにブロックできます。Android 10 以降では NFC ビーム機能がサポートされなくなったため、このサブ機能は省略可能です。
2.12.3. IT 管理者は、ユーザーがデバイスから USB 経由でファイルを転送できないようにブロックできます。
2.13. エンタープライズ セキュリティ ロギング
IT 管理者は、悪意のある動作やリスクのある動作について解析してプログラムで評価できるデバイスから使用状況データを収集できます。ログに記録されるアクティビティには、Android Debug Bridge（adb）アクティビティ、アプリ起動、画面のロック解除などがあります。
2.13.1. IT 管理者は特定のデバイスのセキュリティ ロギングを有効にすることができ、EMM の DPC はセキュリティ ログと再起動前のセキュリティ ログの両方を自動的に取得できる必要があります。
2.13.2. IT 管理者は EMM のコンソールで、特定のデバイスと構成可能な期間に関するエンタープライズ セキュリティ ログを確認できます。
2.13.3. IT 管理者は EMM のコンソールから企業のセキュリティ ログをエクスポートできます。
3. アカウントとアプリの管理
3.1. managed Google Play アカウントの企業の登録
IT 管理者は、managed Google Play アカウント エンタープライズを作成できます。これは、managed Google Play からデバイスにアプリを配信できるようにするエンティティです。次の登録ステージを EMM のコンソールに統合する必要があります。
3.1.1. Play EMM API を使用して、managed Google Play アカウント エンタープライズを登録する。
3.1.2. EMM のコンソールでは、企業ごとにサイレント モードでプロビジョニングを行い、固有の ESA を設定する必要があります。
3.1.3. Play EMM API を使用して、managed Google Play アカウント エンタープライズの登録を解除します。
3.2. managed Google Play アカウントのプロビジョニング
EMM では、managed Google Play アカウントと呼ばれる企業ユーザー アカウントをサイレント プロビジョニングできます。これらのアカウントは管理対象ユーザーを識別し、ユーザーごとの一意のアプリ配布ルールを許可します。
3.2.1. EMM の DPC は、定められた実装ガイドラインに沿って、managed Google Play アカウントをサイレント プロビジョニングして有効化できます。手順は次のとおりです。
userAccountタイプの managed Google Play アカウントがデバイスに追加されます。userAccountタイプの managed Google Play アカウントは、EMM のコンソールで実際のユーザーと 1 対 1 のマッピングである必要があります。
3.3. managed Google Play デバイス アカウントのプロビジョニング
EMM では、managed Google Play デバイス アカウントを作成してプロビジョニングできます。 デバイス アカウントは managed Google Play ストアからのアプリのサイレント インストールをサポートしており、単一のユーザーに関連付けられていません。代わりに、デバイス アカウントを使用して単一のデバイスを識別し、専用のデバイス シナリオでデバイスごとのアプリ配布ルールをサポートします。
3.3.1. EMM の DPC は、定められた実装ガイドラインに沿って、managed Google Play アカウントをサイレント プロビジョニングして有効化できます。これを行うには、deviceAccount タイプの managed Google Play アカウントをデバイスに追加する必要があります。
3.4. 以前のデバイス向けの managed Google Play アカウントのプロビジョニング
EMM では、managed Google Play アカウントと呼ばれる企業ユーザー アカウントをサイレント プロビジョニングできます。これらのアカウントは管理対象ユーザーを識別し、ユーザーごとの一意のアプリ配布ルールを許可します。
3.4.1. EMM の DPC は、定められた実装ガイドラインに沿って、managed Google Play アカウントをサイレント プロビジョニングして有効化できます。手順は次のとおりです。
userAccountタイプの managed Google Play アカウントがデバイスに追加されます。userAccountタイプの managed Google Play アカウントは、EMM のコンソールで実際のユーザーと 1 対 1 のマッピングである必要があります。
3.5. アプリのサイレント配信
IT 管理者は、ユーザーによる操作なしで、ユーザーのデバイスに仕事用アプリをサイレントで配布できます。
3.5.1. IT 管理者が管理対象デバイスに仕事用アプリをインストールできるようにするには、EMM コンソールで Play EMM API を使用する必要があります。
3.5.2. IT 管理者が管理対象デバイス上の仕事用アプリを更新できるように、EMM コンソールで Play EMM API を使用する必要があります。
3.5.3. IT 管理者が管理対象デバイス上のアプリをアンインストールできるようにするには、EMM コンソールで Play EMM API を使用する必要があります。
3.6. マネージド構成管理
IT 管理者は、管理対象設定をサポートするアプリの管理対象設定を表示して、通知なしで設定できます。
3.6.1. EMM のコンソールは、Play アプリの管理対象の設定を取得して表示できなければなりません。
- EMM は、
Products.getAppRestrictionsSchemaを呼び出してアプリの管理対象設定スキーマを取得することも、EMM コンソールに管理対象設定 iframe を埋め込むこともできます。
3.6.2. IT 管理者は EMM のコンソールで、Play EMM API を使用する Play アプリの任意の構成タイプ（Android フレームワークで定義）を設定できるようにする必要があります。
3.6.3. IT 管理者は EMM のコンソールでワイルドカード（$username$ や %emailAddress% など）を設定できるようにし、Gmail などのアプリの 1 つの設定を複数のユーザーに適用できるようにする必要があります。管理対象構成の iframe では、この要件が自動的にサポートされます。
3.7. アプリカタログの管理
IT 管理者は、自社で承認されているアプリのリストを managed Google Play（play.google.com/work）からインポートできます。
3.7.1. EMM のコンソールには、配信が承認されたアプリのリストが次のように表示されます。
- managed Google Play で購入したアプリ
- IT 管理者に表示される限定公開アプリ
- プログラムによって承認されたアプリ
3.8. プログラムによるアプリの承認
EMM のコンソールは、managed Google Play iframe を使用して、Google Play のアプリの検出と承認の機能をサポートしています。IT 管理者は、EMM のコンソールを離れることなく、アプリの検索、アプリの承認、新しいアプリの権限の承認を行うことができます。
3.8.1. IT 管理者は、managed Google Play iframe を使用して EMM のコンソール内でアプリを検索し、承認できます。
3.9. 基本的な店舗レイアウト管理
managed Google Play ストア アプリは、デバイスで仕事用アプリをインストール、更新するために使用できます。デフォルトでは、基本的なストア レイアウトが表示され、企業で承認されたアプリが一覧表示されます。EMM は、ポリシーに沿ってユーザーごとにこのレイアウトをフィルタリングします。
3.9.1. IT 管理者は、ユーザーが利用可能なプロダクト セットを管理して、[ストアホーム] セクションで managed Google Play ストアのアプリケーションの表示とインストールを許可できます。
3.10. 店舗の詳細なレイアウト設定
IT 管理者は、デバイス上の managed Google Play ストア アプリに表示されるストア レイアウトをカスタマイズできます。
3.10.1. IT 管理者は、EMM のコンソールで次の操作を行って、managed Google Play ストアのレイアウトをカスタマイズできます。
- 最大 100 件の店舗レイアウト ページを作成できます。ページには、ローカライズされたページ名を任意の数だけ含めることができます。
- ページごとに最大 30 個のクラスタを作成します。クラスタには、任意の数のローカライズされたクラスタ名を設定できます。
- 各クラスタに最大 100 個のアプリを割り当てます。
- 各ページに最大 10 個のクイックリンクを追加できます。
- クラスタ内のアプリとページ内のクラスタ内のアプリの並べ替え順を指定します。
3.11. アプリのライセンス管理
IT 管理者は、managed Google Play で購入したアプリのライセンスを EMM のコンソールに表示して管理できます。
3.11.1. 企業で承認されている有料アプリの場合、EMM のコンソールに次の内容を表示する必要があります。
- 購入したライセンス数。
- 消費したライセンス数と、ライセンスを消費したユーザー。
- 配布可能なライセンス数。
3.11.2. IT 管理者は、ユーザーのデバイスにアプリを強制的にインストールすることなく、ユーザーにライセンスを割り当てることができます。
3.11.3. IT 管理者はユーザーからアプリのライセンスの割り当てを解除できます。
3.12. Google がホストする限定公開アプリの管理
IT 管理者は、Google Play Console ではなく、EMM コンソールから Google がホストする限定公開アプリを更新できます。
3.12.1. IT 管理者は、企業に限定公開されているアプリの新しいバージョンを、以下を使用してアップロードできます。
3.13. 自己ホスト型限定公開アプリの管理
IT 管理者は、自己ホスト型の限定公開アプリを設定して公開できます。Google がホストする限定公開アプリとは異なり、Google Play は APK をホストしません。代わりに EMM は、IT 管理者が APK を自分でホストするのに役立ちます。また、managed Google Play で承認された場合にのみインストールできるようにすることで、自己ホスト型アプリを保護できます。
IT 管理者は、限定公開アプリのサポートで詳細を確認できます。
3.13.1. IT 管理者がアプリ APK をホストするには、EMM のコンソールで次の両方のオプションを提供する必要があります。
- EMM のサーバーで APK をホストします。サーバーはオンプレミスでもクラウドベースでもかまいません。
- IT 管理者の裁量で、EMM のサーバー外で APK をホストします。IT 管理者は、APK がホストされている場所を EMM コンソールで指定する必要があります。
3.13.2. EMM のコンソールは、提供された APK を使用して適切な APK 定義ファイルを生成し、IT 管理者は公開プロセスをガイドする必要があります。
3.13.3. IT 管理者は、自己ホスト型限定公開アプリを更新できます。また、EMM のコンソールで、Google Play Developer Publishing API を使用して、更新された APK 定義ファイルを自動的に公開できます。
3.13.4. EMM のサーバーは、限定公開アプリの公開鍵によって検証された、リクエストの Cookie 内に有効な JWT が含まれる自己ホスト型 APK のダウンロード リクエストのみを処理します。
- このプロセスを容易にするために、IT 管理者は EMM のサーバーから、自己ホスト型アプリのライセンス公開鍵を Google Play Console からダウンロードし、EMM コンソールにアップロードするよう指示する必要があります。
3.14. EMM pull 通知
EMM の pull 通知は、新しい権限や管理対象設定を含むアプリのアップデートなどの過去のイベントを定期的に Play に照会するのではなく、EMM にリアルタイムで事前に通知します。これにより、EMM は自動アクションを実行し、これらのイベントに基づいてカスタム管理通知を提供できます。
3.14.1. EMM は Play の EMM 通知を使用して通知セットを pull する必要があります。
3.14.2. EMM は、次の通知イベントを IT 管理者（自動メールなど）に自動的に通知する必要があります。
newPermissionEvent: IT 管理者が新しいアプリの権限を承認しないと、ユーザーのデバイスにアプリをサイレント インストールまたは更新できます。appRestrictionsSchemaChangeEvent: 意図した機能を維持するために、IT 管理者がアプリの管理対象設定を更新する必要が生じる場合があります。appUpdateEvent: IT 管理者が、コア ワークフロー機能がアプリのアップデートの影響を受けないことを検証できます。productAvailabilityChangeEvent: アプリのインストールやアプリのアップデートの取得に影響を与える可能性があります。installFailureEvent: Play はデバイスにアプリをサイレント インストールすることができません。これは、デバイス設定が原因でインストールの妨げになっている可能性があることを示します。Play 独自の再試行ロジックがすでに失敗しているため、EMM はこの通知を受信した後すぐにサイレント インストールを再試行しないでください。
3.14.3. EMM は、次の通知イベントに基づいて、適切なアクションを自動的に実行します。
newDeviceEvent: デバイスのプロビジョニング中、EMM はnewDeviceEventを待ってから、新しいデバイスに対して後続の Play EMM API 呼び出し（アプリのサイレント インストールや管理対象設定の設定など）を行う必要があります。productApprovalEvent: 有効な IT 管理セッションがある場合、または各 IT 管理セッションの開始時に承認済みアプリのリストが自動的に再読み込みされない場合、EMM はproductApprovalEvent通知の受信時に、EMM コンソールにインポートされた承認済みアプリのリストを自動的に更新してデバイスに配布する必要があります。
3.15. API の使用要件
EMM は Google の API を大規模に実装し、IT 管理者による本番環境でのアプリの管理に悪影響を与える可能性のあるトラフィック パターンを回避します。
3.15.1. EMM は、Play EMM API の使用制限に従う必要があります。これらのガイドラインを超える動作を修正しない場合、Google の裁量により API の使用が停止されることがあります。
3.15.2. EMM は、特定の時間や同様の時間に企業トラフィックを統合するのではなく、さまざまな企業からのトラフィックを一日中分散する必要があります。登録された各デバイスにスケジュールされた一括オペレーションなど、このトラフィック パターンに一致する動作については、Google の裁量により API の使用が停止される場合があります。
3.15.3. EMM では、実際の企業データの取得や管理を試みない、一貫性、不完全、または意図的に誤ったリクエストを行ってはなりません。このトラフィック パターンに一致する動作を行った場合、Google の裁量により API の使用が停止されることがあります。
3.16. 高度なマネージド構成管理
3.16.1. EMM のコンソールでは、以下を使用して Play アプリの管理対象設定（最大 4 つのレベルでネスト）を取得し、表示できなければなりません。
- managed Google Play iframe
- 作成できます。
3.16.2. IT 管理者がセットアップした場合、EMM のコンソールは、アプリのフィードバック チャネルによって返されたフィードバックを取得して表示できなければなりません。
- IT 管理者は EMM のコンソールで、特定のフィードバック項目を、そのフィードバックの送信元のデバイスとアプリに関連付ける必要があります。
- IT 管理者は EMM のコンソールで、特定のメッセージ タイプ（エラー メッセージなど）のアラートまたはレポートをサブスクライブできるようにする必要があります。
3.16.3. EMM のコンソールで送信できるのは、デフォルト値であるか、管理者が手動で設定した値のみです。
- 管理対象設定 iframe
- カスタム UI。
3.17. ウェブアプリの管理
IT 管理者は、EMM コンソールでウェブアプリを作成して配布できます。
3.17.1. IT 管理者は EMM のコンソールで、以下を使用してウェブアプリへのショートカットを配布できます。
3.18. managed Google Play アカウントのライフサイクル管理
IT 管理者に代わって EMM が managed Google Play アカウントを作成、更新、削除できます。
3.18.1. EMM は、Play EMM API のデベロッパー向けドキュメントで定義されている実装ガイドラインに従って、managed Google Play アカウントのライフサイクルを管理できます。
3.18.2. EMM は、ユーザーの操作なしで managed Google Play アカウントを再認証できます。
3.19. アプリケーション トラック管理
3.19.1. IT 管理者は、デベロッパーが特定のアプリに対して設定したトラック ID のリストを取得できます。
3.19.2. IT 管理者は、アプリケーションに特定の開発トラックを使用するようにデバイスを設定できます。
3.20. 高度なアプリケーション更新管理
3.20.1. IT 管理者は、優先度の高いアプリのアップデートを使用して、アップデートの準備ができたタイミングで更新することをアプリに許可できます。
3.20.2. IT 管理者は、アプリのアプリのアップデートを 90 日間延期することを許可できます。
3.21. プロビジョニング方法の管理
EMM はプロビジョニング構成を生成し、エンドユーザーに配布できるフォーム（QR コード、ゼロタッチ構成、Play ストアの URL など）で IT 管理者に提示できます。
4. デバイス管理
4.1. ランタイム権限ポリシーの管理
IT 管理者は、仕事用アプリによる実行時の権限リクエストに対するデフォルトのレスポンスを通知なしで設定できます。
4.1.1. IT 管理者は、組織のデフォルトのランタイム権限ポリシーを設定するときに、次のオプションを選択できるようにする必要があります。
- プロンプト（ユーザーが選択可能）
- allow
- 拒否
EMM は EMM の DPC を使用してこれらの設定を適用する必要があります。
4.2. ランタイム権限付与状態管理
デフォルトの実行時の権限ポリシー（4.1 に移動）を設定したら、IT 管理者は、API 23 以降で構築されたすべての仕事用アプリから、特定の権限に対するレスポンスをサイレントに設定できます。
4.2.1. IT 管理者は、API 23 以降で構築された仕事用アプリからリクエストされる権限の付与状態（デフォルト、付与、拒否）を設定できる必要があります。EMM は、EMM の DPC を使用してこれらの設定を適用する必要があります。
4.3. Wi-Fi 構成管理
IT 管理者は、管理対象デバイスで次のようなエンタープライズ Wi-Fi 構成をサイレント プロビジョニングできます。
4.3.1. SSID（EMM の DPC 経由）。
4.3.2. パスワード（EMM の DPC 経由）。
4.4. Wi-Fi セキュリティ管理
IT 管理者は、次の高度なセキュリティ機能を含むエンタープライズ Wi-Fi 構成を管理対象デバイスでプロビジョニングできます。
4.4.1. ID（EMM の DPC を使用）。
4.4.2. EMM の DPC を介した、クライアントの承認用証明書。
4.4.3. CA 証明書（EMM の DPC 経由）。
4.5. 高度な Wi-Fi 管理
IT 管理者は、管理対象デバイスの Wi-Fi 構成をロックダウンして、ユーザーが構成を作成または企業構成を変更できないようにします。
4.5.1. IT 管理者は、次のいずれかの構成で企業の Wi-Fi 構成をロックダウンできます。
- ユーザーは、EMM によってプロビジョニングされた Wi-Fi 構成を変更することはできませんが、ユーザーが構成できる独自のネットワーク（個人ネットワークなど）を追加、変更できます。
- ユーザーはデバイス上の Wi-Fi ネットワークを追加または変更することはできず、Wi-Fi 接続は EMM によってプロビジョニングされたネットワークのみに制限されます。
4.6. アカウント管理
IT 管理者は、未承認の企業アカウントが SaaS ストレージや生産性向上アプリなどのサービス、メールなどの企業データを操作できないようにします。この機能を使用しない場合は、一般ユーザー向けアカウントもサポートしている企業アプリに個人アカウントを追加して、企業データを個人アカウントと共有できます。
4.6.1. IT 管理者は、アカウントの追加や変更を禁止できます。
- このポリシーをデバイスに適用する場合、プロビジョニングが完了する前に EMM でこの制限を設定する必要があります。これにより、ポリシーの施行前にアカウントを追加してこのポリシーを回避できないようにします。
4.7. Workspace アカウント管理
IT 管理者は、未承認の Google アカウントが企業データを操作できないようにします。この機能がなければ、個人の Google アカウントを企業の Google アプリ（Google ドキュメントや Google ドライブなど）に追加し、企業データを個人アカウントと共有できます。
4.7.1. IT 管理者は、アカウント管理のロックダウンが行われた後、プロビジョニング中に有効にする Google アカウントを指定できます。
4.7.2. EMM の DPC は、Google アカウントの有効化を求めるプロンプトを表示し、追加するアカウントを指定することで、特定のアカウントのみを有効化できるようにする必要があります。
- Android 7.0 より前のデバイスでは、DPC は ユーザーにメッセージを表示する前にアカウント管理の制限を一時的にオフにする必要があります。
4.8. 証明書の管理
IT 管理者が ID 証明書と認証局をデバイスにデプロイして、企業リソースへのアクセスを許可できるようにします。
4.8.1. IT 管理者は、PKI によって生成されたユーザー ID 証明書をユーザーごとにインストールできます。EMM のコンソールは、少なくとも 1 つの PKI と統合し、そのインフラストラクチャから生成された証明書を配布する必要があります。
4.8.2. IT 管理者は、マネージド キーストアに認証局をインストールできます。
4.9. 高度な証明書管理
IT 管理者は、特定のマネージド アプリで使用する証明書を自動的に選択できるようになります。また、この機能により IT 管理者はアクティブなデバイスから CA と ID 証明書を削除できます。この機能により、マネージド キーストアに保存されている認証情報をユーザーが変更できなくなります。
4.9.1. IT 管理者は、デバイスに配布されるすべてのアプリに対して、実行時にアプリに通知なくアクセス権を付与する証明書を指定できます。
- 証明書の選択は、すべてのユーザーに適用される単一の構成を許可する汎用的なものである必要があります。各ユーザーには、ユーザー固有の ID 証明書を使用できます。
4.9.2. IT 管理者は、マネージド キーストアからサイレントで証明書を削除できます。
4.9.3. IT 管理者は、通知なしで CA 証明書またはシステム以外のすべての CA 証明書をアンインストールできます。
4.9.4. IT 管理者は、ユーザーがマネージド キーストアで認証情報を構成できないようにします。
4.9.5. IT 管理者は仕事用アプリの証明書を事前に付与できます。
4.10. 委任された証明書管理
IT 管理者は、サードパーティの証明書管理アプリをデバイスに配布し、マネージド キーストアに証明書をインストールするための特権アクセス権をそのアプリに付与できます。
4.10.1. IT 管理者は、証明書管理パッケージを DPC によって委任された証明書管理アプリとして設定するように指定します。
- コンソールでは、必要に応じて既知の証明書管理パッケージが提案されますが、IT 管理者が該当するユーザーのインストール可能なアプリのリストから選択できるようにする必要があります。
4.11. 高度な VPN 管理
IT 管理者は常時接続 VPN を指定して、指定した管理対象アプリのデータが常に設定されたバーチャル プライベート ネットワーク（VPN）を経由するようにできます。
4.11.1. IT 管理者は、任意の VPN パッケージを指定して常時接続 VPN に設定できます。
- EMM のコンソールでは、常時接続 VPN をサポートする既知の VPN パッケージをオプションで提案できますが、常時接続構成で使用可能な VPN を任意のリストに制限することはできません。
4.11.2. IT 管理者は、管理対象構成を使用してアプリの VPN 設定を指定できます。
4.12. IME の管理
IT 管理者は、デバイスにどの入力方法（IME）を設定できるかを管理できます。IME は仕事用プロファイルと個人用プロファイルの両方で共有されるため、IME の使用をブロックすると、個人用の IME も許可されなくなります。ただし、IT 管理者は仕事用プロファイルのシステム IME をブロックできません（詳しくは、高度な IME 管理をご覧ください）。
4.12.1. IT 管理者は、任意の長さの IME 許可リスト（システム以外の IME をブロックする空のリストを含む）を設定できます。これには、任意の IME パッケージを含めることができます。
- EMM のコンソールでは、許可リストに含める既知の IME または推奨される IME がオプションとして提案される場合がありますが、IT 管理者が該当するユーザーがインストール可能なアプリのリストから選択できるようにする必要があります。
4.12.2. EMM は、仕事用プロファイルが設定されたデバイスの管理からシステム IME が除外されることを IT 管理者に知らせる必要があります。
4.13. 高度な IME 管理
IT 管理者は、デバイスにどの入力方法（IME）を設定できるかを管理できます。高度な IME 管理は、システム IME の使用も管理できるようにすることで、基本機能を拡張します。システム IME は通常、デバイスのメーカーや携帯通信会社から提供されます。
4.13.1. IT 管理者は、任意の長さの IME 許可リストを設定できます（システム IME を含むすべての IME をブロックする空のリストは除きます）。これには任意の IME パッケージを含めることができます。
- EMM のコンソールでは、許可リストに含める既知の IME または推奨される IME がオプションとして提案される場合がありますが、IT 管理者が該当するユーザーがインストール可能なアプリのリストから選択できるようにする必要があります。
4.13.2. EMM では、IT 管理者が空の許可リストを設定できないようにする必要があります。この設定により、システム IME を含むすべての IME がデバイスでセットアップできなくなります。
4.13.3. EMM は、IME 許可リストにシステム IME が含まれていない場合、許可リストがデバイスに適用される前にサードパーティの IME がサイレント インストールされるようにする必要があります。
4.14. ユーザー補助サービスの管理
IT 管理者は、ユーザーのデバイスで許可するユーザー補助サービスを管理できます。ユーザー補助サービスは、障がいのあるユーザーや、一時的にデバイスを十分に操作できないユーザーにとって便利なツールですが、企業ポリシーに準拠しない方法で企業データを操作することがあります。IT 管理者はこの機能を使用して、システム以外のユーザー補助サービスを無効にできます。
4.14.1. IT 管理者は、任意の長さのユーザー補助サービスの許可リストを設定できます（システム以外のユーザー補助サービスをブロックする空のリストも含みます）。この許可リストには任意のユーザー補助サービス パッケージを含めることができます。仕事用プロファイルに適用した場合、個人用プロファイルと仕事用プロファイルの両方に影響します。
- コンソールでは必要に応じて、許可リストに含める既知のまたは推奨のユーザー補助サービスを提案できますが、IT 管理者は該当するユーザーがインストール可能なアプリのリストから選択できるようにする必要があります。
4.15. 現在地の共有の管理
4.16. 現在地の共有の詳細設定
- 高精度] をタップします。
- センサーのみ（GPS など）。ただし、ネットワークが提供する位置情報は含まれません。
- バッテリー節約。アップデートの頻度が制限されます。
- オフ。
4.17. 出荷時設定へのリセット保護の管理
IT 管理者は、権限のないユーザーがデバイスを初期状態にリセットできないようにすることで、会社所有のデバイスを盗難から保護できます。出荷時設定へのリセット保護機能によってデバイスを IT に返却する際に運用が複雑になる場合、IT 管理者は、出荷時設定へのリセット保護機能を完全にオフにすることもできます。
4.17.1. IT 管理者は、[設定] から、ユーザーがデバイスを出荷時の設定にリセットできないように設定できます。
4.17.2. IT 管理者は、出荷時設定へのリセット後に、デバイスのプロビジョニングが許可された企業のロック解除アカウントを指定できます。
- このアカウントを個人に関連付けることも、企業全体でデバイスのロックを解除することもできます。
4.17.3. IT 管理者は、特定のデバイスに対して出荷時設定へのリセット保護機能を無効にできます。
4.17.4. IT 管理者は、リモート デバイスのワイプを開始して、必要に応じてリセット保護データをワイプし、リセットされたデバイスの出荷時設定へのリセット保護を解除できます。
4.18. 高度なアプリ コントロール
IT 管理者は、アプリの強制終了やアプリのデータ キャッシュの消去など、ユーザーが設定から管理対象アプリをアンインストールまたは変更するのを防止できます。
4.18.1. IT 管理者は、任意の管理対象アプリ、またはすべての管理対象アプリのアンインストールをブロックできます。
4.18.2. IT 管理者は、ユーザーが設定からアプリケーション データを変更できないようにします。
4.19. スクリーン キャプチャの管理
IT 管理者は、管理対象アプリの使用時にユーザーがスクリーンショットを撮影できないようにブロックできます。この設定には、システムのスクリーンショット機能を利用する画面共有アプリや、同様のアプリ（Google アシスタントなど）のブロックが含まれます。
4.19.1. IT 管理者は、ユーザーによるスクリーンショットの撮影を禁止できます。
4.20. カメラを無効にする
IT 管理者は、管理対象アプリによるデバイスのカメラの使用を無効にできます。
4.20.1. IT 管理者は、管理対象アプリによるデバイスのカメラの使用を無効にすることができます。
4.21. ネットワーク統計情報の収集
IT 管理者は、デバイスの仕事用プロファイルからネットワーク使用統計情報をクエリできます。収集された統計情報には、設定の [データ使用量] セクションでユーザーと共有される使用状況データが反映されます。収集された統計情報は、仕事用プロファイル内のアプリの使用状況に適用されます。
4.21.1. IT 管理者は、特定のデバイスと構成可能な時間枠について、仕事用プロファイルのネットワーク統計情報の概要をクエリして、EMM のコンソールで詳細を表示できます。
4.21.2. IT 管理者は、特定のデバイスと構成可能な時間枠について、仕事用プロファイルのネットワーク使用状況の統計情報の概要をクエリして、EMM のコンソールで UID ごとに整理された詳細を表示できます。
4.21.3. IT 管理者は、特定のデバイスと構成可能な時間枠について、仕事用プロファイルのネットワーク使用履歴データをクエリして、EMM のコンソールで UID 別に整理された詳細を表示できます。
4.22. 高度なネットワーク統計情報の収集
IT 管理者は、管理対象デバイス全体のネットワーク使用統計情報をクエリできます。収集された統計情報には、設定の [データの使用] セクションでユーザーと共有している使用状況データが反映されます。収集された統計情報は、デバイス上でのアプリの使用に適用されます。
4.22.1. IT 管理者は、特定のデバイスと構成可能な時間枠について、デバイス全体のネットワーク統計情報の概要をクエリして、EMM のコンソールで詳細を表示できます。
4.22.2. IT 管理者は、特定のデバイスと構成可能な時間枠について、アプリのネットワーク使用統計情報の概要をクエリして、EMM のコンソールで UID ごとに整理して詳細を表示できます。
4.22.3. IT 管理者は、特定のデバイスと構成可能な時間枠について、ネットワーク使用状況の履歴データをクエリして、EMM のコンソールで UID 別に整理された詳細を表示できます。
4.23. デバイスの再起動
IT 管理者は管理対象デバイスをリモートで再起動できます。
4.23.1. IT 管理者は、管理対象デバイスをリモートで再起動できます。
4.24. システム無線管理
IT 管理者は、システム ネットワークの無線通信と関連する使用ポリシーをきめ細かく管理できます。
4.24.1. IT 管理者は、サービス プロバイダから送信される緊急速報メール（アンバー アラートなど）を無効にすることができます。
4.24.2. IT 管理者は、ユーザーが [設定] でモバイル ネットワーク設定を変更できないようにすることができます。
4.24.3. IT 管理者は、ユーザーが [設定] でネットワーク設定をリセットできないようにすることができます。
4.24.4. IT 管理者は、ローミング中のモバイルデータを許可または禁止できます。
4.24.5. IT 管理者は、緊急通報を除くデバイスで通話の発信を許可するかどうかを設定できます。
4.24.6. IT 管理者は、デバイスでテキスト メッセージを送受信できるかどうかを設定できます。
4.24.7. IT 管理者は、ユーザーがテザリングによってデバイスをポータブル アクセス ポイントとして使用されないようにできます。
4.24.8. IT 管理者は、Wi-Fi タイムアウトをデフォルト（電源に接続されている場合のみ、しない）に設定できます。
4.24.9. IT 管理者は、ユーザーが既存の Bluetooth 接続を設定または変更できないようにすることができます。
4.25. システム オーディオの管理
IT 管理者は、デバイスの音声機能をサイレントに管理できます。たとえば、デバイスのミュート、ユーザーによる音量設定の変更の防止、ユーザーによるデバイスのマイクのミュート解除の禁止などを行えます。
4.25.1. IT 管理者は、管理対象デバイスをサイレントでミュートできます。
4.25.2. IT 管理者は、ユーザーがデバイスの音量設定を変更できないようにすることが可能です。
4.25.3. IT 管理者は、ユーザーがデバイスのマイクのミュートを解除できないように設定できます。
4.26. システム クロックの管理
IT 管理者は、デバイスの時計とタイムゾーンの設定を管理し、ユーザーによるデバイスの自動設定の変更を禁止できます。
4.26.1. IT 管理者はシステムの自動時刻を適用して、ユーザーがデバイスの日付と時刻を設定できないようにすることが可能です。
4.26.2. IT 管理者は、自動時刻と自動タイムゾーンを自動的にオフにすることも、オンにすることもできます。
4.27. 専用デバイスの高度な機能
IT 管理者は、キオスクのさまざまなユースケースに対応するために、専用デバイス機能をきめ細かく管理できます。
4.27.1. IT 管理者はデバイスのキーガードを無効にすることができます。
4.27.2. IT 管理者はデバイスのステータスバーをオフにして、通知とクイック設定をブロックできます。
4.27.3. IT 管理者は、デバイスを電源に接続している間、デバイスの画面をオンのままにすることができます。
4.27.4. IT 管理者は、次のシステム UI が表示されないようにできます。
- トースト
- アプリ オーバーレイ。
4.27.5. IT 管理者は、アプリのシステム推奨で、初回起動時にユーザー チュートリアルやその他の入門用のヒントをスキップすることを許可できます。
4.28. 委任されたスコープ管理
IT 管理者は、個々のパッケージに特別な権限を委任できます。
4.28.1. IT 管理者は次のスコープを管理できます。
4.29. 登録固有の ID のサポート
Android 12 以降、仕事用プロファイルはハードウェア固有の識別子にアクセスできなくなります。IT 管理者は、出荷時設定へのリセット後も保持される登録固有の ID を使用して、仕事用プロファイルが設定されたデバイスのライフサイクルを追跡できます
4.29.1. IT 管理者は登録固有の ID を設定、obtainできる
4.29.2. この登録固有の ID は、出荷時の設定にリセットしても保持される必要があります
5. デバイスのユーザビリティ
5.1. 管理対象プロビジョニングのカスタマイズ
IT 管理者は、デフォルトのセットアップ フローの UX を変更して、企業固有の機能を含めることができます。必要に応じて、IT 管理者はプロビジョニング時に EMM 提供のブランディングを表示できます。
5.1.1. IT 管理者は、エンタープライズ カラー、エンタープライズ ロゴ、エンタープライズの利用規約とその他の免責条項を指定して、プロビジョニング プロセスをカスタマイズできます。
5.1.2. IT 管理者は、EMM の色、EMM ロゴ、EMM 利用規約とその他の免責条項の詳細を含む、構成不可能な EMM 固有のカスタマイズをデプロイできます。
5.1.3 Android 10 以降のエンタープライズ リソースにおける [primaryColor] のサポートは終了しました。
- EMM 固有のカスタマイズを使用しない場合でも、EMM のプロビジョニング フローに関するプロビジョニングの利用規約とその他の免責条項をシステム プロビジョニングの免責条項のバンドルに含める必要があります。
- EMM はすべてのデプロイのデフォルトとして、構成不可の EMM 固有のカスタマイズを設定できますが、IT 管理者が独自のカスタマイズを設定できるようにする必要があります。
5.2. 企業向けのカスタマイズ
IT 管理者は、仕事用プロファイルの要素をコーポレート ブランディングでカスタマイズできます。 たとえば、IT 管理者は仕事用プロファイルのユーザー アイコンを会社のロゴに設定できます。もう 1 つの例は、ワーク チャレンジの背景色の設定です。
5.2.1. IT 管理者は組織の色を設定して、仕事用のチャレンジの背景色として使用できます。
5.2.2. IT 管理者は仕事用プロファイルの表示名を設定できます。
5.2.3. IT 管理者は仕事用プロファイルのユーザー アイコンを設定できます。
5.2.4. IT 管理者は、ユーザーが仕事用プロファイルのユーザー アイコンを変更できないようにすることができます。
5.3. 企業向けの高度なカスタマイズ
IT 管理者は、管理対象デバイスをコーポレート ブランディングでカスタマイズできます。たとえば、IT 管理者はメインユーザーのアイコンを会社のロゴに設定したり、デバイスの壁紙を設定したりできます。
5.3.1. IT 管理者は管理対象デバイスの表示名を設定できます。
5.3.2. IT 管理者は管理対象デバイスのユーザー アイコンを設定できます。
5.3.3. IT 管理者は、ユーザーがデバイスのユーザー アイコンを変更できないようにできます。
5.3.4. IT 管理者はデバイスの壁紙を設定できます。
5.3.5. IT 管理者は、ユーザーがデバイスの壁紙を変更できないようにできます。
5.4. ロック画面メッセージ
IT 管理者は、デバイスのロック画面に常に表示され、デバイスのロック解除を表示する必要がないカスタム メッセージを設定できます。
5.4.1. IT 管理者はカスタムのロック画面メッセージを設定できます。
5.5. ポリシーの透明性管理
IT 管理者は、ユーザーがデバイスで管理対象設定を変更するときや、EMM から提供される汎用サポート メッセージをデプロイするときに、ユーザーに提供されるヘルプテキストをカスタマイズできます。短いサポート メッセージと長いサポート メッセージの両方をカスタマイズできます。これらのメッセージは、IT 管理者がすでにアンインストールをブロックしている管理対象アプリをアンインストールしようとした場合などに表示されます。
5.5.1. IT 管理者は短いと長いサポート メッセージの両方をカスタマイズできます。
5.5.2. IT 管理者は、構成不可の EMM 固有の短いおよび長いサポート メッセージをデプロイできます。
- EMM はすべてのデプロイのデフォルトとして、設定不可の EMM 固有のサポート メッセージを設定できますが、IT 管理者が独自のメッセージを設定できるようにする必要があります。
5.6. クロス プロファイル連絡先管理
IT 管理者は、仕事用プロファイルから外すことができる連絡先データを管理できます。電話アプリとメッセージ（SMS）アプリはいずれも個人用プロファイルで実行され、仕事用の連絡先の機能を提供するために仕事用プロファイルの連絡先データにアクセスする必要がありますが、管理者は仕事用データを保護するためにこれらの機能を無効にできます。
5.6.1. IT 管理者は、システム連絡先プロバイダを使用する個人用アプリに対して、クロス プロファイル連絡先検索を無効にできます。
5.6.2. IT 管理者は、システム連絡先プロバイダを使用する個人用電話アプリに対して、クロス プロファイル発信者番号検索を無効にすることができます。
5.6.3. IT 管理者は、システム連絡先プロバイダを使用する Bluetooth デバイスとの Bluetooth 連絡先の共有を無効にすることができます（自動車やヘッドセットでのハンズフリー通話など）。
5.7. クロス プロファイル データ管理
IT 管理者に、仕事用プロファイルのデフォルトのセキュリティ機能のほかに、仕事用プロファイルから離れてもよいデータを管理できます。IT 管理者はこの機能を使用して、特定の種類のクロス プロファイル データ共有を許可し、主要なユースケースでのユーザビリティを向上させることができます。IT 管理者は、ロックダウンを増やして企業データをさらに保護することもできます。
5.7.1. IT 管理者は、クロス プロファイル インテント フィルタを構成して、個人用アプリが仕事用プロファイルのインテント（共有インテントやウェブリンクなど）から解決できるようにできます。
- コンソールでは、必要に応じて既知のインテント フィルタや推奨のインテント フィルタを構成用に提案できますが、インテント フィルタを任意のリストに制限することはできません。
5.7.2. IT 管理者は、ホーム画面にウィジェットを表示できる管理対象アプリを許可できます。
- IT 管理者は、EMM のコンソールで、該当するユーザーにインストールできるアプリのリストからアプリを選択できるようにする必要があります。
5.7.3. IT 管理者は、仕事用プロファイルと個人用プロファイル間でのコピーと貼り付けの使用をブロックできます。
5.7.4. IT 管理者は、ユーザーが NFC ビームを使用して仕事用プロファイルのデータを共有できないようにブロックできます。
5.7.5. IT 管理者は、個人用アプリが仕事用プロファイルからウェブリンクを開くことを許可できます。
5.8. システム アップデート ポリシー
IT 管理者は、デバイスの無線（OTA）システム アップデートを設定して適用できます。
5.8.1. IT 管理者は EMM のコンソールを使用して次の OTA 構成を設定できます。
- 自動: デバイスは OTA アップデートが利用可能になると受信します。
- 延期: IT 管理者は OTA アップデートを最大 30 日間延期できる必要があります。このポリシーはセキュリティ アップデート（毎月のセキュリティ パッチなど）には影響しません。
- 時間枠制: IT 管理者は、毎日のメンテナンスの時間枠内に OTA アップデートをスケジュールできる必要があります。
5.8.2. EMM の DPC は OTA 構成をデバイスに適用します。
5.9. ロックタスク モードの管理
IT 管理者は、1 つまたは複数のアプリを画面にロックし、ユーザーがアプリを終了できないようにすることが可能です。
5.9.1. IT 管理者は EMM のコンソールを使用して、任意のアプリセットに対してサイレント モードでインストールとデバイスへのロックを許可できます。EMM の DPC では、専用デバイスモードを使用できます。
5.10. 永続的な優先アクティビティ管理
IT 管理者は、特定のインテント フィルタに一致するインテントのデフォルト インテント ハンドラとして、アプリを設定できます。たとえば、ウェブリンクを自動的に開くブラウザアプリを選択したり、ホームボタンのタップ時にどのランチャー アプリを使用するかを IT 管理者が選択できます。
5.10.1. IT 管理者は、任意のインテント フィルタのデフォルト インテント ハンドラとして任意のパッケージを設定できます。
- EMM のコンソールでは、構成用の既知のインテントや推奨インテントを任意に提案できますが、インテントを任意のリストに制限することはできません。
- IT 管理者は EMM のコンソールで、該当するユーザーにインストールできるアプリのリストから選択できるようにする必要があります。
5.11. キーガード機能の管理
- 信頼エージェント
- 指紋認証によるロック解除
- 未編集の通知
5.11.2. EMM の DPC は、仕事用プロファイルの次のキーガード機能をオフにできます。
- 信頼エージェント
- 指紋認証によるロック解除
5.12. 高度なキーガード機能の管理
5.13. リモートデバッグ
IT 管理者は、特別な手順を踏むことなく、デバイスからデバッグ リソースを取得できます。
5.13.1. IT 管理者は、バグレポートをリモートでリクエストし、EMM のコンソールからバグレポートを表示できます。また、EMM のコンソールからバグレポートをダウンロードすることもできます。
5.14. MAC アドレスの取得
EMM はデバイスの MAC アドレスをサイレントでフェッチできます。MAC アドレスは、企業インフラストラクチャの他の部分にあるデバイスを識別するために使用できます（ネットワーク アクセス制御のためのデバイスを識別する場合など）。
5.14.1. EMM はデバイスの MAC アドレスを暗黙的に取得し、EMM のコンソールでデバイスに関連付けることができます。
5.15. ロックタスク モードの高度な管理
デバイスが専用デバイスとして設定されている場合、IT 管理者は EMM のコンソールを使用して次のタスクを実行できます。
5.15.1. EMM の DPC を介して、1 つのアプリをデバイスにロックすることを通知なしで許可します。
5.15.2. EMM の DPC で、以下のシステム UI 機能をオンまたはオフにします。
- ホームボタン
- 概要
- グローバルな操作
- 通知
- システム情報 / ステータスバー
- キーガード（ロック画面）
5.15.3. EMM の DPC でシステムエラー ダイアログをオフにします。
5.16. 高度なシステム アップデート ポリシー
IT 管理者は、指定した凍結期間中、デバイスのシステム アップデートをブロックできます。
5.16.1. EMM の DPC は、指定した凍結期間中、無線（OTA）システム アップデートをデバイスに適用できます。
5.17. 仕事用プロファイル ポリシーの透明性管理
IT 管理者は、デバイスから仕事用プロファイルを削除する際にユーザーに表示されるメッセージをカスタマイズできます。
5.17.1. IT 管理者は、仕事用プロファイルがワイプされたときに表示するカスタム テキストを指定できます。
5.18. 接続されているアプリのサポート
IT 管理者は、仕事用プロファイルの境界を超えて通信できるパッケージのリストを設定できます。
5.19. 手動システム アップデート
IT 管理者はファイルパスを指定して、手動でシステム アップデートをインストールできます。
6. デバイス管理のサポート終了
6. デバイス管理のサポート終了
EMM は 2022 年末までに計画を掲載し、2023 年第 1 四半期末までに GMS デバイスでのデバイス管理のカスタマー サポートを終了する必要があります。