Skip to main content
この Library Item は Android デバイスで利用できます
制限は、デバイスの機能、アプリ、システム動作へのユーザーのアクセスを制限します。Android Restrictions Library Item を使用すると、Blueprint を通じて会社所有の Work Profile Android デバイスにこれらの制限を適用できます。強制には Android Management API が使用されます。Apple デバイスについては、Apple Restrictions Library Item を構成するを参照してください。

​
Android Restrictions Library Item を追加する

この Library Item を Iru Endpoint Library に追加するには、Library の概要の記事に記載されている手順に従ってください。
1

Library に移動する

Iru Endpoint Library に移動します。
2

Library Item を追加する

右上の Library Item を追加 を選択します。
3

Android Restrictions を選択する

Android Restrictions を選択し、右下の Add and configure を選択します。
4

制限を構成する

Android Restrictions の設定を構成します。
5

構成を保存する

保存 を選択します。

​
Android Restrictions リファレンス

これらのコントロールは、Iru が Android Management API から公開しているものを反映しています。ポリシーに合ったものを選択してください。
連絡先の検索や着信など、個人用アプリが Work Profile の連絡先にアクセスする方法を指定します。
  • 許可:ブロックする特定のアプリを指定しない限り、個人用アプリは仕事用の連絡先を使用できます。
  • 拒否:許可する特定のアプリを指定しない限り、個人用アプリは仕事用の連絡先を使用できません。
  • Allow for system apps only:システムアプリは仕事用の連絡先を使用できます。それ以外に使用できるアプリのリストを管理します。
Add exception を選択します。ピッカーで、埋め込みビューの Search the Play Store を使用する(アプリごとに 選択 を選択し、必要に応じて繰り返す)か、Add package name タブを開いて App name と Package name(例:Google Chrome と com.android.chrome)を入力し、行ごとに 追加 を選択してから 完了 を選択します。制限の + Add app を選択して、テーブルに別の行を追加することもできます。テーブルの上の行は、許可 が選択されている場合は Except deny for、拒否 が選択されている場合は Except allow for、Allow for system apps only が選択されている場合は and になります。各行には App name と Package name が表示されます。
一方のプロファイルのデータを、もう一方のプロファイルのアプリと共有する方法を指定します。これは、Android の共有シートに表示されるような、アプリインテントを介した単純なデータ共有にのみ適用されます。プロファイル間のコピー&ペーストは別のコントロールです。クリップボードには Disallow cross profile copy & paste を使用します。
  • 許可:アプリは Work Profile と個人用プロファイルの間でデータを共有できます。
  • 拒否:アプリはプロファイル間でデータを共有できません。
  • Deny work to personal:アプリは Work Profile から個人用プロファイルにデータを共有できません。
Work Profile と個人用プロファイルの間でテキストをコピー&ペーストできるかどうかを制御します。
  • オフ:テキストはプロファイル間で双方向にコピー&ペーストできます。
  • オン:個人用プロファイルからコピーしたテキストは Work Profile に貼り付けることができず、Work Profile からコピーしたテキストは個人用プロファイルに貼り付けることができません。
テーブルで有効にしたプロファイルまたはデバイスのスコープで、カメラへのアクセスを無効にします。
選択したスコープでスクリーンキャプチャを制限します。Work profile と Personal profile のチェックボックスを使用します。有効な組み合わせは次の 3 つのみです。
プライベートスペースの作成をブロックします。この制限が適用されると、既存のプライベートスペースが削除される場合があります。
有効にすると、Work Profile を一時停止したままにできる期間を Max days で設定します。Work Profile が一時停止している間、デバイスはコマンドやポリシーの更新を延期する場合があります。
Work Profile のアプリケーションがデバイスのホーム画面にウィジェットを追加できるかどうかを指定します。なお、これは仕事用アプリのショートカットをデバイスのホーム画面に追加することは防止しません。
Work Profile のアプリがアプリ機能を公開できるかどうか、および個人用プロファイルのアプリがそれらの機能を呼び出せるかどうかを制御します。Work profile と Personal profile のチェックボックスを使用します。有効な組み合わせは次の 3 つのみです。
選択したスコープで、提供元不明のアプリのインストールをブロックします。Work profile と Personal profile のチェックボックスを使用します。有効な組み合わせは次の 3 つのみです。
通常はデバイススコープで適用されます。
Work Profile に適用されます。仕事用アプリのランタイム権限リクエストに対するデフォルトの応答を選択します。
  • Prompt:各権限リクエストを許可するか拒否するかをエンドユーザーに確認します。
  • Grant:権限リクエストを自動的に許可します。
  • 拒否:権限リクエストを自動的に拒否します。
Work Profile での資格情報マネージャアプリ(パスワードマネージャおよびパスキープロバイダ)のデフォルトを設定します。Android 14 以降が必要です。
  • Block all(デフォルト):特定のアプリを許可しない限り、Work Profile では資格情報マネージャを利用できません。これは Android Management API のデフォルトと一致します。
  • Allow system app credential managers:プリインストールされている OEM のデフォルトの資格情報マネージャ(Google パスワードマネージャや Samsung Pass など)を利用できます。サードパーティの資格情報マネージャは、個別に許可しない限りブロックされたままです。
特定のサードパーティの資格情報マネージャを許可するには、そのアプリの Google Play アプリ Library Item を開き、オプション セクションで Allow as credential manager チェックボックスを選択します。この設定は、デフォルトが Block all の場合でも適用されます。
Allow as credential manager が選択された Google Play アプリ Library Item の Options
Work Profile のある会社所有のデバイスで管理対象 Google アカウントを必須にするには、Require sign-in with managed Google Account チェックボックスを選択します。アカウントは、Android Enterprise 統合で使用されている管理対象 Google ドメインに属している必要があります。個人の Google アカウントや別のドメインのアカウントは要件を満たしません。Require で、次のいずれかを選択します。
  • Any managed Google Account:エンドユーザーは、そのドメインの任意の管理対象 Google アカウントでサインインできます。
  • A specific managed Google Account:エンドユーザーは 1 つのアカウントでサインインする必要があります。メールアドレスを入力するか、$ を入力して $EMAIL などのグローバル変数を使用します。メールアドレスは小文字で入力してください。保存するには、値がメールアドレスまたはグローバル変数である必要があります。
エンドユーザーは、登録時に sign in with work account をスキップすることもできます。この要件は、Library Item がデバイスに到達したときに適用されます。デバイスに要件を満たすアカウントがない場合、デバイスはエンドユーザーにサインインして匿名の Managed Google Play アカウントを置き換えるよう求めます。A specific managed Google Account で $EMAIL を使用する場合、デバイスには、メールアドレスが管理対象 Google アカウントであるユーザーが割り当てられている必要があります。$EMAIL が空の場合、そのデバイスで要件を満たすアカウントはありません。この要件によって、デバイス上の既存のアカウントが削除されることはありません。エンドユーザーがサインインした後に必須アカウントを変更した場合、既存のアカウントはそのまま残ります。If the device is not compliant with this requirement で、日数のしきい値を設定します。これらのアクションは常に適用されます。エスカレーションなしで管理対象 Google アカウントを必須にすることはできません。
  • 非準拠になってから指定した日数後に Block the entire device または Block the work profile を実行します。0 から 29 を入力します。0 を指定するとただちにブロックします。
  • 非準拠になってから指定した日数後に Erase the entire device を実行します。1 から 30 を入力します。この値はブロックよりも後である必要があります。
エンドユーザーが要件を満たすアカウントでサインインすると、ブロックは解除されます。
構成オプションは、Android のバージョンとハードウェアによって異なります。Iru Web アプリには、各 Library Item で設定できる内容が表示されます。

​
考慮事項

Work Profile とデバイス全体

一部の制限はデバイス全体に適用され、その他の制限は Work Profile または個人用プロファイルにのみ適用されます。Iru は各コントロールの横にスコープを表示します。

スコープのチェックボックスの組み合わせ

Disallow screen capture と Disallow apps from unknown sources では、両方オフ、Work profile のみ、または両方のプロファイルを使用します。Personal profile のみは無効です。

Android Developer Mode

管理対象の Android デバイスでは、Developer Mode はデフォルトで無効になっています。許可するには、この Library Item で Disallow Android Developer Mode の選択を解除します。

管理対象 Google アカウントでのサインインを必須にする

会社所有の Work Profile のみ。アカウントは、Android Enterprise 統合の管理対象 Google ドメインに属している必要があります。エンドユーザーは登録時にサインインをスキップできます。コンプライアンスアクションは常に適用されます。ブロックと消去の日数しきい値を設定してください。

資格情報マネージャ

Android 14 以降かつ Work Profile のみ。Block all は API のデフォルトと一致します。サードパーティのプロバイダを許可するには、その Google Play アプリ Library Item で Allow as credential manager を使用します。

Android Management API の制限

利用できるのは、Android Management API が公開しているコントロールのみです。Apple と Android のポリシーは、プラットフォーム間で常に 1 対 1 で対応するとは限りません。

テストの推奨事項

広く展開する前に、代表的なデバイスと Android バージョンでテストしてください。OEM によって、同じポリシーの解釈がわずかに異なる場合があります。

​
デバイスに展開する

Android Restrictions Library Item を Blueprint に割り当て、保存 を選択して Android デバイスに展開します。