Android enterpriseで実現できる端末管理の世界

Copyright © 2019 i³ Systems, Inc. All Rights Reserved.01
2019/02/08 DroidKaigi 2019
株式会社アイキューブドシステムズ
製品開発運用本部
堤大輔
Android Enterpriseで実現できる端末管理の世界

•堤大輔（つつみだいすけ）
•株式会社アイキューブドシステムズ
•所在地：福岡県福岡市
•所属：製品開発運用本部製品開発部/製品戦略チーム
•Androidアプリ開発
•MDM Agent アプリの開発
•企業向けビジネスアプリの開発
•Xamarin開発
•Xamarin iOSの開発
•コミュニティー：Japan Android Group / JXUG
•特技：ダンス、卓球
自己紹介

■本日のアジェンダ
• 端末管理の基礎知識
• Android Enterpriseとは？
• デバイスのプロビジョニング方式
• 会社所有デバイスの個人利用を許可する場合の管理
• ここまで出来る！DevicePolicyManagerで制御可能な機能について
• 端末管理の今後
アジェンダ

様々な制御が出来る端末管理のために用意されたAPI！
Androidエンジニアなら必ず興味を持っていただけるはずです！
皆様も端末管理の世界に足を踏み入れ、その魅力を感じていただ
ければと思います。

端末管理の基礎知識
MDM
？？

企業が所有している端末や
従業員個人が所有している
端末を管理者が一元的に管
理するための仕組み
MDM
（Mobile Device Management）

企業のIT管理者は管理コンソールを介して従業員の
デバイスの管理を行う。
配布したデバイスや個人が所有しているデバイスに
対してデバイス利用のルールや制限をかける。

どのようにルールや制限をかけて
管理するのか？

参考：
https://developer.android.com/reference/android/app/admin/DevicePolicyManager

■DevicePolicyManagerの歴史

Android 2.2からDevice
Administration APIを提供

■Device Administration API
• 企業が従業員のデバイスを詳細に管理したい場合に利用することを想定した、システムレベ
ルで制御可能なデバイス管理機能。
• MDMアプリにDeviceAdmin権限を付与する事でDevicePolicyManagerクラスのAPIを利用す
る事が可能となる
• 権限の付与にはユーザーの同意が必要
• DeviceAdmin権限を持つアプリはアンインストールが抑止される
• デバイスの初期化/画面ロック/パスワードリセット/カメラ制限/キーガードの制限..etcが可能

■管理権限の付与
参考：https://developer.android.com/guide/topics/admin/device-admin

実装方法

■Device Administration API
• Manifestでの宣言
• xmlファイルの定義
• DeviceAdminReceiver継承クラスの実装

■Manifest

■DeviceAdminReceiver

■Manifest

■xmlファイル

■xmlファイル
実装は簡単だが、
やれる事は限られている

DeviceAdmin権限で利用できる
APIだけでは企業が従業員に配布
したデバイスを管理する為の機能
として不足している

■ これらの機能を実現させるにはMDM自ら何らかの制御を実装する必要がある
• 許可されたアプリケーションだけ起動可能にする
• 特定のWifiのみ接続を許可する
• Bluetoothの利用を許さない
• 証明書のインストール
• 紛失時などにデバイスの利用を制限する
• アプリの配信を行う

■ 問題点
• 実装自体簡単なので、この機能を利用したマルウェアアプリが出回るなど、しば
しば悪用される事がある
• Androidのセキュリティが強化されてきており、最新OSが発表される度に、自力
で制御できなくなる機能が増えてきている
• Android 7以降、DeviceAdmin権限を持つアプリでも容易にアンインストール可
能になった

■ 問題点
• 実装自体簡単なので、この機能を利用したマルウェアアプリが出回るなど、しば
しば悪用される事がある
• Androidのセキュリティが強化されてきており、最新OSが発表される度に、自力
で制御できなくなる機能が増えてきている
• Android 7以降、DeviceAdmin権限を持つアプリでも容易にアンインストール可
能になった
Device Adminでは管理
できない方向にシフト

そこでAndroid Enterprise

Android Enterpriseとは？
Android端末管理の高度化・標準化を実現するための
企業向けモバイルプラットフォーム

デバイスの管理
Google Playの管
理
セキュリティの強
化
Google認定プロ
グラム

Google Playの管
理
化
Google認定プロ
グラム

■デバイスの管理
※ EMM（Enterprise Mobility Management）
スマホ、タブレット、PCを含む端末を管理する企業向け製品の総称。Androidデバイス管理の説明において、概ねこの名称で統一されている。
App Management
EMM console
Google Play EMM API
IT admin
Android Management API
Original Profile / Command
Device Management
Custom
DevicePolicy
Controller
Google
DevicePolicy
Controller
DPC
Google
DPC
※ DPC（Device Policy Controller）
端末を管理するためのアプリケーション。MDMアプリ。

Android 5.0からDevicePolicyManagerの機
能してサポートされた
DeviceOwner・ProfileOwnerの権限を使用
し MDM アプリ自ら制御する

Android 5.0からDevicePolicyManagerの機
能してサポートされた
DeviceOwner・ProfileOwnerの権限を使用
し MDM アプリ自ら制御する
基本的に開発者なら誰
でも利用できる機能

Device Owner Profile Owner Device Owner
Profile Owner
SNS GAME
■ 多様な管理方式
Fully Managed Device Work Profile Dedicated Device Work profiles on fully managed Devices

Device Owner
■ Fully Managed Device
DeviceOwner権限を付与
企業が従業員に配布した端末を完全に管理
する

Profile Owner
■ WorkProfile
ProfileOwner権限を付与
BYOD向け(Bring Your Own Device：従業員所有デバイスを業務でも利
用する事)デバイス内のデータを個人用と仕事用に分けて管理

■ Dedicated Device
DeviceOwner権限を付与
特定のアプリを固定化し、専用端末として
管理する

Device Owner
■ Work profiles on fully managed Devices
Profile Owner
DeviceOwnerとProfileOwner権限両方を付与
企業が従業員に配布したデバイスを管理した上で、あ
る程度の個人利用も許可する場合に利用
SNS GAME

Google Playの管
理
化
Google認定プロ
グラム

■Google Playの管理
https://play.google.com/work/apps/details?id=com.clomo.android.mdm&hl=ja
仕事用のGoogle Playに管理アカウントでログインし、アプリの承認/非承認を行う

App Management
EMM console
Google Play EMM API
IT admin
Device Management
Custom
DevicePolicy
Controller
Google
DevicePolicy
Controller
DPC
Google
DPC
アプリの公開、サイレントインストール等が可能

App Management
EMM console
Google Play EMM API
IT admin
Device Management
Custom
DevicePolicy
Controller
Google
DevicePolicy
Controller
DPC
Google
DPC
アプリの公開、サイレントインストール等が可能
Googleがプログラムの参加を承認したEMMソリ
ューションプロバイダのみ利用可能！
Java, Python, .NetおよびRubyで利用可能なREST API

Google Playの管
理
化
Google認定プロ
グラム

DeviceOwner権限で利用可能な
APIの機能は強力！

◉デバイス全体／個人領域（Device Owner）
・デバイスセキュリティチャレンジ、パスワードポリシー、パスワード試行回数超過時のデバイス制御
・ポリシー違反時のデバイス制御（アプリケーション非表示）
・実行時パーミッションポリシー
・ストレージ暗号化ポリシー
・ハードウェア制限（SD/Bluetooth/テザリング/USB）
・カメラ制限
・ファクトリーリセット制限
・デバッグモード／提供不明元アプリ設定の制限
・セーフブート制限
・root化検知
・Wi-Fi 利用制限
・データローミング設定制御／モバイルネットワーク設定制御
・ネットワーク設定リセット制限
・SMS送信制御
・アカウント追加削除制限
・ユーザー追加削除制御
・デバイス管理権限の解除制限
・Google Play プロテクトの有効化

Google Playの管
理
化
Google認定プロ
グラム

Google によってバリデーションされた、企業向けの
厳しい要件を満たす、Android 搭載端末、サービスを
企業に自信を持って選択、配布、管理してもらう為
のプログラム
■Android Enterprise Recommended

■グローバル9社のうちの1社

デバイスのプロビジョニング

■プロビジョニングの流れ
初期化済みデバイスに
DPCをインストール
DPCにDeviceOwnerの
権限を付与
仕事用のアカウントを
デバイスに登録
EMM Consoleにデバイス情
報を登録し管理下へ入れる

■Device Ownerの権限を付与する方法と前提条件
• デバイスが初期化状態であること
• デバイスの初期セットップ中にDPCをインストールさせる事
• デバイスの初期セットアップ中にDeviceOwner権限を得る為のアクションを実行する事

■Device Owner権限を得る
■権限付与の完了通知

■プロビジョニングの方式
参考：https://www.android.com/intl/ja_jp/enterprise/management/

■ゼロタッチ
ゼロタッチ用オンラインプラットフォームに購
入した企業所有の端末情報を事前に登録してお
くことで、端末起動後に自動でDPCがインスト
ールされる
Android 8.0からサポート
参考：https://www.android.com/intl/ja_jp/enterprise/management/

会社所有端末の個人利用を許可する場合の管理

■ Work profiles on fully managed Devices（COMPモード）
• DeviceOwnerとProfileOwner、2つの権限を付与させる
• 会社所有端末の個人利用を許容する場合に最適
• Android 8以降で利用可能な方式
• 個人用/仕事用、両領域にDPCが存在する
• 管理サーバーとのやり取りをどちらの領域のDPCがどのように制御するか、ア
ーキテクチャの検討が必要となる
会社所有端末の個人利用を許可

■ DO側のインスタンスとPO側のインスタンスがそれぞれ EMM Serverとのやり取りを行う方法
Device Owner Profile Owner
EMM Server
Primary
Profile
managed
Profile
Primary
Profile managed
Profile
Ad
mi
n
DPC DPC

• DeviceOwner側、ProfileOwner側でそれぞれサーバーとの通信を行い、独立して
制御を行う
• それぞれの領域においてDPCの制御が作用するため、DO側とPO側で画面制御な
どが競合しないように考慮した実装が必要となる
■ DO側のインスタンスとPO側のインスタンスがそれぞれ EMM Serverとのやり取りを行う方法

■ DO側のインスタンス(MDM Agent)を経由して、EMM Server やPO側のインスタンスのコントロールを行う方法
Device Owner Profile Owner
EMM Server
Primary
Profile
managed
Profile
Primary
Profile managed
Profile
Ad
mi
n
DPCは
非表示
DPC DPC

• DeviceOwner側で表示しているDPCで通知を受け、ProfileOwner側のMDMに対
して通知する
• サーバーからコマンドを実行され、PO側の制限がかけられた場合、BindService
を用いてDO→PO（別プロセス）へ通知を行いPO側で制御を行う
• これらの制御はあくまで１つのアプリケーション内で全て実装する。すなわち、
MDMがDO側、PO側に存在する事を想定し、それぞれにおいて処理を制御し分
ける必要があり、かなり複雑！
■ DO側のインスタンス(MDM Agent)を経由して、EMM Server やPO側のインスタンスのコントロールを行う方法

ここまで出来る！DevicePolicyManager
で制御可能な機能について

DevicePolicyManagerで制御可能な機能
・指定したパッケージを非表示にする
・ユーザー制限をかける
・Wifiの設定変更抑止、端末初期化を抑止など
・他アプリに対してアプリの制限設定を行うことができる
・Settingsのグローバル設定、セキュア設定などを変更することができる
・デフォルトアプリとして強制的に指定する事が可能
・ホームアプリ/電話アプリなど
・DeviceOwnerの権限を他のアプリに委譲する
・利用可能なAPIは限られるが、アプリ非表示などの制限が行える。
・特定の画面をロック状態にする
・特定のアプリのみ起動させ専用端末化する事が可能
・Android9からは画面をロックした上でキーの制御も出来る
その他色々

指定したパッケージを非表示にする

■setApplicationHidden
パッケージを非表示にする。
データ、パッケージファイルは残る。
システムアプリに対しても有効。

パッケージを非表示にする。
データ、パッケージファイルは残る。
システムアプリに対しても有効。
ここで疑問

？
ホームアプリや設定アプリを非表示にすると、、、
DevicePolicyManager
# setApplicationHidden

端末の文鎮化！

ユーザー制限をかけ
る

■addUserRestriction
addUserRestrictionにキーを設定する事で
様々なユーザー制御が可能。

■addUserRestrictionで制御可能な機能（抜粋）

制限中の設定が別の操作で変更されてしまう場合
？
DevicePolicyManager
# addUserRestrictionで
設定値Aを制限
設定値 Aに間接的に影響を与える設定を
ユーザーが変更する

場合によっては文鎮化！

要するに、、、

システムアプリ側がDeviceOwner
で制限される事を考慮できていな
い場合が多々ある

アプリの制限設定

■setApplicationRestrictions
予めビジネスアプリ側で定められた定義に
従って設定値を送り込む

ビジネスアプリ DPC
DevicePolicyManager
# getApplicationRestrictions
DevicePolicyManager
# setApplicationRestrictions
予めアプリ内で制限したい機能
のキーや型を定義しておく。
setApplicationRestrictionsで設
定された値を
RestrictionsManagerクラスか
ら取得し、自ら制限処理を実行
する
定義されている値を取得し、設
定値を送り込む事で制限をかけ
てもらう

■setApplicationRestrictions（ビジネスアプリ側の実装）
Manifest xml

例えば、ブラウザアプリなどで、指定したドメイン以外は制
限する…。プリントの制限をする…など。

端末管理の今後
Android9よりDeviceAdmin非推奨！！
Android10から利用できなくなる！！
これによりAndroid Enterpriseへのシフト
が加速する！

■まとめ
• Device Administration APIはできる制限が限られたレガシーな機能
• Android Enterpriseは様々なデバイスの管理が可能
• DeviceOwner権限で使用できるAPIは強力でデバイスに対して様々な制限がかけられる
• DeviceOwner権限で使用できるAPIを利用する場合はシステムへの影響を十分に考慮した実
装が必要
• 端末管理はAndroid Enterpriseに完全にシフトしていく
まとめ

硬派
エンタープライズAndroid
エンジニア募集中
4月から中洲から川を挟んで向かいの
アイキューブドシステムズ

ご静聴ありがとうございました

Android enterpriseで実現できる端末管理の世界

More Related Content

What's hot

Similar to Android enterpriseで実現できる端末管理の世界

Android enterpriseで実現できる端末管理の世界

Editor's Notes