モバイルアプリ向けの Intune アプリ保護
AI-School の iPhone および Android アプリは、Microsoft Intune（MAM）によるアプリ保護をサポートしています。組織では App Protection Policy によって、従業員がアプリ内のデータで何をできるかを制御できます。たとえば、管理対象外のアプリへのコピーをブロックしたり、PIN コードを要求したりできます。従業員は Microsoft でサインイン を使ってアプリにログインします。その際、アプリは Intune に登録されます。
連携には、AI-School は Microsoft Entra アプリ HandiHow AI-apps - Intune を使用します。Entra 管理者が組織全体に対して一度だけ同意します。
必要なもの
- 全体管理者 または 特権ロール管理者 の役割を持つ Entra アカウント。この役割で Intune の権限に同意できます。
- 従業員がアプリを使用するための App Protection Policy を持つ Microsoft Intune。
- 従業員が Microsoft でサインインする AI-School 環境。
1. 連携ページから同意する
- コンピューターの通常のブラウザーで Intune アプリ保護の連携 を開きます。
- 組織のドメインまたは Directory（tenant）ID を入力します。たとえば
school.nlです。 - Microsoft で同意する を選び、管理者アカウントでサインインします。
- アプリ（HandiHow AI-apps - Intune、発行元 HandiHow）と権限を確認し、Accept を選びます。
- Microsoft により連携ページへ戻ります。そこで 同意済み と表示されるか、エラーコード付きのメッセージが表示されます。
アプリは 2 つの委任された権限を要求します。これらはサインインした従業員の代理としてのみ機能します。
| 権限 | 用途 |
|---|---|
User.Read (Microsoft Graph) | サインインし、従業員のプロフィールを読み取る。 |
DeviceManagementManagedApps.ReadWrite (Microsoft Mobile Application Management) | 従業員のアプリ保護ポリシーを取得し、アプリを Intune に登録する。 |
adminconsent?client_id=… だけの単独リンクは使用しないでください。Microsoft は Accept の後、モバイルアプリしか開けないアドレスへ送ります。そのため画面は読み込みのままになり、確認は表示されません。連携ページは Microsoft に正しい戻り先アドレスを渡します。
2. Entra で同意を確認する
Microsoft Entra 管理センターで Enterprise applications → HandiHow AI-apps - Intune → Permissions を開きます。Admin consent の下に両方の権限が表示されている必要があります。アプリが enterprise applications の一覧にあるだけでは、同意が完了したことにはなりません。
3. App Protection Policy にアプリを追加する
Intune 管理センターで、該当する従業員向けの App Protection Policy にアプリを追加します。アプリの種類では Custom apps を選び、次を使用します。
| Platform | パッケージ名または bundle ID |
|---|---|
| Android | info.aischool |
| iOS | info.aischool.mobiel |
4. Intune アプリ保護を有効にする
手順 1〜3 が完了したことをお知らせください。こちらで AI-School 環境の Intune アプリ保護 を有効にします。これ以降、従業員は Microsoft ブローカー（Company Portal または Authenticator）を使ってアプリにサインインし、アプリは Intune に登録されます。
その後、ポリシーのある従業員でテストしてください。アプリにサインインし、Intune のプロンプトを完了し、たとえば「管理対象外のアプリへのコピーがブロックされる」などのポリシーが機能するか確認します。
トラブルシューティング
| 表示される内容 | 対応 |
|---|---|
Microsoft の画面が Accept の後に読み込み続ける (login.microsoftonline.com/common/reprocess)。 | 戻り先アドレスなしの単独リンクを使った可能性があります。手順 2 のように同意を確認してください。表示されない場合は、連携ページ からやり直してください。 |
AADSTS900561: The endpoint only accepts POST requests | 読み込み中に Microsoft のページを更新しました。このエラーは同意自体を示すものではありません。手順 2 を確認し、必要なら連携ページからやり直してください。 |
連携ページで access_denied または consent_required | 同意がキャンセルされたか、アカウントに必要な管理者ロールがありません。変更はされていません。適切なロールを持つアカウントで再試行してください。 |
AADSTS50011（redirect URI が一致しない） | エラーコードを添えて当社にご連絡ください。 |
| アプリへのサインイン時に Microsoft が従業員に管理者の承認を求める（Need admin approval）。 | 組織で手順 1 の同意が不足しています。連携ページから改めて実施してください。 |
解決しない場合は、Microsoft または連携ページに表示されるエラーコード、エラーメッセージ、Correlation ID、および時刻をお送りください。