Windows 端末向け MobiConnect Active Directory 併 時のガイドライン 2016 年 3 10 インヴェンティット株式会社 "Don't worry about what anybody else is going to do... The best way to predict the future is to invent it." 本資料には関係者外秘内容が含まれております 本資料のお取扱いには 分ご注意ください 本資料は複写厳禁とさせていただきます
2 はじめに 本資料は Windows 8.1 Windows 10 版 MobiConnect エージェントアプリケーション ( 以下 エージェントアプリ ) を Active Directory にてドメイン参加した端末上で利 する際の注意事項をまとめた資料となります 本資料内に記載された情報は 弊社において動作確認を なった結果をもとにまとめた内容となるため ユーザー様の環境下において 本資料に記載された動作や結果と異なる場合があります また 本資料の内容について マイクロソフト社にその内容の妥当性について確証を得たものではありません 本資料は エージェントアプリと Active Directory を併 するにあたり 予め注意点や想定される挙動をご理解いただき ユーザー様における導 ならびに運 をよりスムーズに実施していただくことを 的としております また 本資料はドメイン参加が可能 (Active Directory の利 が可能 ) で 且つ Open MDM 式の利 が可能な Windows 8.1 Pro 以上の OS を対象としています 2
3 前提条件 本資料の前提条件は以下になります 前提条件 対象端末は Active Directory によるドメイン参加が可能であり 且つ Open MDM 式の 登録が可能な Windows 8.1 Pro 以上の OS を搭載した端末となります 本資料における動作確認は 端末がドメイン参加しており Active Directory ユーザーが 端末に設定されている状態で 且つ Active Directory によるポリシーが 切適 されていない 状態において実施しております *1 *1:Active Directory のポリシーを提供した状態でのご利 につきましては 適 されたいポリシーを設定した上で ユーザー様 にて 本導 前に予め動作に問題ないかご確認をお願いします 3
4 端末に設定できるアカウントについて Windows 8.1 および Windows 10 端末に設定できるアカウントは主に以下の 3 種類となります アカウントの種類 Microsoftアカウント ローカルアカウント ADアカウント 説明 Microsoft 社が提供するさまざまなサービスが利 可能なアカウント Windows ストアアプリを利 する場合には必要です また 複数の端末で同じ Microsoft アカウントを利 すると お気に り等 個 設定がオンラインで同期され どの端末からでも同じ設定を利 することが可能 端末毎に設定する必要があります ローカルアカウントで作成した個 設定は同期されないため 他の端末を利 する場合は 新たに個 設定が必要となります Active Directory に登録されているアカウントになります ドメイン参加した端末から AD アカウントを利 して端末にサインインします Active Directory で適 可能な設定やポリシーを端末に登録されているアカウントに対して適 可能です 4
5 MobiConnect Open MDM 式登録について MobiConnect の Open MDM に登録を う場合は いずれかのアカウントにて OpenMDM の登録を ってください Open MDM をアカウント毎に登録することはできません すでに登録されている場合は 他のアカウントで登録操作を うことはできません Open MDMの登録 アカウント種別 Windows 8.1 Windows 10 ローカルアカウント MSアカウント ADアカウント AD アカウント (MS アカウント関連付け状態 ) -*1! 注意! Windows8.1 端末では AD アカウント を設定した場合 AD アカウント内で Open MDM に登録をすることはできません Open MDM に登録を う場合は AD アカウントとは別に 他のアカウントを作成し 端末の登録を ってください また 登録の解除は OS ごとに異なり Windows10 端末では登録を ったアカウントでのみ登録を解除することが可能です Winodws8.1 端末では 管理者権限を有するアカウントであれば 登録を解除することが可能です *1: 未検証となります 5
6 MobiConnect Open MDM 式の機能について AD アカウント を設定した状態で利 可能な Open MDM 式の機能を以下に記します ただし Windows 8.1 端末では 仕様により Open MDM の登録を ったアカウントでのみ利 可能です Windows 10 端末では 登録を ったったアカウント以外でも機能を実 することが可能です 6 実 可否 Open MDM 式の機能 Windows 8.1 Windows 10 リモートロック N/A*2 端末情報取得 ローカルセキュリティポリシー *1 N/A*2 遠隔初期化! 注意! Windows 8.1 端末では ADアカウント内にてOpen MDMの登録を うことはできません Open MDMの登録を う場合は 他のアカウントを作成し登録を ってください また Winodws 8.1 端末では Open MDMの登録をしたアカウントをご利 中の状態でのみ機能を実 することが可能です ( ロック画 状態では機能は実 されません ) *1: パスワードポリシーの設定機能になります *2: 対応の機能となります
7 MobiConnect エージェント 式登録について AD アカウント を設定した状態でも MobiConnect エージェント 式の登録操作は 管理者権限を有する AD アカウントを含む どのアカウントにおいても可能です ただし 管理者権限を有さない標準ユーザーの場合は エージェントアプリをインストールすることができないため 登録操作を実施することはできません エージェント 式の登録 アカウント種別 Windows 8.1 Windows 10 ローカルアカウント *1 MSアカウント *1 ADアカウント *1 AD アカウント *1 (MS アカウント関連付け状態 ) - *2 *1: 管理者権限を有している必要があります 管理者権限がないとエージェントアプリをインストールすることは できません *2: 未検証となります 7
8 MobiConnect エージェント 式の機能について (1) AD アカウント を設定した状態で利 可能なエージェント 式の機能を以下に記します エージェント 式は 登録後は全てのアカウントにおいて機能を実 することが可能です ただし アカウントにより利 できない機能や機種固有の問題により実 できない場合もあります ので ご注意ください 機能 リモートロック リモートアンロック アカウント種別 Windows 8.1 実 可否 Windows 10 ローカルアカウント MS アカウント AD アカウント *1 *1 AD アカウント (MS アカウント関連付け状態 ) *1 ローカルアカウント MS アカウント AD アカウント *2 *2 AD アカウント (MS アカウント関連付け状態 ) *2 - -*3 8 *1: 実 は可能ですが AD ユーザーの場合 リモートロックをかけてもサインインすることが可能です リモートロックを実 しても変化はありません *2: 実 は可能ですが AD ユーザーの場合 リモートロックをかけてもサインインすることが可能なため リモートアンロックを実 しても 変化はありません *3: 未検証となります
9 MobiConnect エージェント 式の機能について (2) 機能 遠隔初期化 *3 個別データ削除 端末情報取得 アカウント種別 Windows 8.1 実 可否 Windows 10 ローカルアカウント MS アカウント AD アカウント AD アカウント (MS アカウント関連付け状態 ) ローカルアカウント MS アカウント AD アカウント AD アカウント (MS アカウント関連付け状態 ) ローカルアカウント MS アカウント AD アカウント AD アカウント (MS アカウント関連付け状態 ) - - -*4 *3:Windows 8 RT ならびに Windows 8 with Being は BitLocker が利 できないため 遠隔初期化機能は 対応です *4: 未検証となります 9
10 MobiConnect エージェント 式の機能について (3) 機能 アカウント種別 Windows 8.1 実 可否 Windows 10 ローカルアカウント ファイルダウンロード MS アカウント AD アカウント AD アカウント (MS アカウント関連付け状態 ) - ローカルアカウント ファイルアップロード MS アカウント AD アカウント AD アカウント (MS アカウント関連付け状態 ) -*5 *5: 未検証となります 10
11 MobiConnect エージェント 式の機能について (4) 機能 アカウント種別 Windows 8.1 実 可否 Windows 10 ローカルアカウント N/A*7 デバイス利 制限 *6 (USB メモリ制限 ) MS アカウント N/A*7 AD アカウント N/A*7 AD アカウント (MS アカウント関連付け状態 ) N/A*7 11 *6: デバイス利 制限は機種依存が強く 現状 ほとんどの機種で提供できていないため 提供機種を増やせるように 対応 法の変更も含め 検討中となります また Windows 10 端末では 現状デバイス利 制限に対応している機種はございません *7: 対応の機能となります
12 AD アカウントにおけるセキュリティについて (1) AD アカウント利 時における MobiConnect のセキュリティ機能に関するガイドラインは以下になります 1 リモートロックについて リモートロックを実 しても AD アカウントに関しては AD アカウントのパスワードを することで 通常通りに端末にサインイン ( ログイン ) することが可能です このため AD アカウントに対しては Active Directory 側にて該当する AD アカウントを無効化し 端末にサインインできなくする運 が必要となります また AD アカウントを無効化しても ネットワーク接続が有効でない オフライン時には キャッシュされたログオン機能 を使うことで サインインが可能となってしまいます キャッシュされたログオン機能 は回数を設定することが可能ですので 紛失時の対策として AD アカウントの無効化と キャッシュされたログイン機能 をうまく併 する形での対策をおすすめします 2 遠隔初期化 ( リモートワイプ ) について 遠隔初期化機能は AD アカウントを利 されている場合も問題なく実 が可能です 従いまして AD アカウントご利 時も紛失時の対策として有効な機能となります 12
13 AD アカウントにおけるセキュリティについて (2) 3 個別データ削除について AD アカウント利 時も個別データ削除につきましては 利 可能です 遠隔初期化に代わる紛失時の対策として AD アカウントの無効化と併せて利 することで有効な対策となります 13
14 14