日本マイクロソフト品川本社で2015年11月28日に開催されたドットネットラボで使用したOffice364MDMの導入と簡単な使い方を解説した資料です。

1. ここまで使えるOffice365MDM機
能
亀川 周作

2. 謝辞・おことわり
• 本内容を作成するにあたり、日本マイクロソフト Microsoft Intune担当チーム、その他サポー
トチームの皆様に多大なご協力を頂きました。
この場をお借りしてお礼を申し上げます。
• また本内容は、実体験を基にしたネタであり、筆者本人の業務には「もしかすると」何ら関係の
ない場合もあります。このため内容に偏りがあるところもありますが、ご容赦ください。
.NETラボ201511

3. 自己紹介
• 職業
• 元社内SE
• どこにでも転がっていそうな”元”隙間エンジニア
• 趣味
• お気楽な自分のためだけのプログラミング・アプリケーション開発
• 気ままな写真撮影
• ごく稀に創作料理
.NETラボ201511

4. 本日のターゲット
• Office365を利用している(検討中)企業のひとり情シス
• Office365を利用している(検討中)企業で予算の都合でMDMが導入できそうにないシステム
管理者
• Office365を利用している(検討中)の企業でBYODを試してみたいシステム管理者
• Office365を利用していて、様々なOSのデバイスを沢山持っていて、管理するのが面倒に
なっている方
.NETラボ201511

5. そもそもMDMってナニよ
• MDMとは
• Mobile Device Management (System)
日本語では携帯端末管理とも言われる。
スマートフォンと言われるAndroid/iOS/Windows端末など、パソコ
ンと同様な汎用性を持つことからパソコンと同様に、情報セキュリティ
の観点から管理を行う必要性が増してきたため、それを実現するソフ
トウェア製品をさす。(一部Wikipedia調べ)
最近ではパソコンもまとめて管理するようになってきています。
.NETラボ201511 ※要は情報・端末を両方管理しちゃおうっていう仕組みの略語ですね

6. 利用イメージ
.NETラボ201511
Mail/File/DB…
場所を選ばずO365/App内へ保
存されたDataへアクセス
ローカルへ保存不可
O365内へ保存された
Dataへアクセス
ローカルへ保存可
Windows iOS Android Windows Mobile
O365の中でポリシーを作成し、各データへのアクセスレベルを「ある程度」コ
ントロールする事が可能。必要に応じてサードパーティ製サービス等で補完

7. 本日の内容で必要なもの
• Office365サービス(以降O365と略)
• サービス内容によってはMDM機能に対応していないものもあります。
現在契約しているO365のサービスがこの機能に対応しているのか分からない場合は、Microsoft
Office365のサポートへ問い合わせると調べて頂けます。
• O365の管理者アカウント
• 管理する作業なので、当たり前と言っちゃ当たり前ですが。
• Apple ID (iOS端末を管理する場合)
• 普通に自分のiOS端末で利用しているApple IDでも問題ない。(個人User)
• 企業で利用する場合、担当者が後退しても継続利用が可能な管理者アカウント
• 企業内でインハウスアプリ(社内にのみ配布するアプリケーション)を活用する予定がある場合は、通常の
Apple IDではなく、開発者ライセンス契約(Apple Developer Enterprise Program)のアカウントの方
が必要になるので注意(インハウスアプリの配布にはIntuneの導入が必要)
.NETラボ201511

8. 本日の流れ
• Office365管理センターでのモバイル管理機能の有効化
• MDMを利用するためのドメイン設定
• iOSデバイス用APNs証明書の発行・設定
• モバイル管理(サービス)を適用したいアクセス権グループの作成
• デバイスセキュリティポリシーの作成(プロファイルの作成)
• iOSデバイスへMicrosoft Office関連Appの導入
• Office関連Appのログイン/MDM適用
• MDM機能を適用/実施した場合のデモ
.NETラボ201511

9. MDM(モバイル管理)機能の有効化
• モバイル管理が有効化されているか確認する
• Office365管理センター画面の左ペインに「モバイル管理」という項目が表
示されていれば設定さえすれば利用可能です。
(現在はほとんど利用可能状態になっているはずです)
• モバイル管理が表示されていない場合
• サービス設定 -> 更新 -> 新機能と更新プログラム
ここで「先行リリース」を選択して有効化されるのをしばらく待つ
• 1〜2日しても「モバイル管理」が表示されない場合はサポートセンターへ尋
ねてみた方が良いかもしれません。
O365の契約プランが古い場合など、MDM機能に対応していない場合が
あります。.NETラボ201511
O365画面
ココで管理

10. 利用ドメインの設定
• MDM機能の中でO365を利用する場合、特に別のド
メインを利用する必要がない場合は、ここでドメインの
設定を実施する必要はありません。
ただし、MDM用のドメインを別に設定したい場合は
「MDM用ドメインの構成」を実施する必要があるので
注意してください。
.NETラボ201511
そのまま0365ドメインが利用可能な場合
は、Greenのチェックマークになっている。
！マークの場合は設定がおかしいか独自
ドメインの設定が必要なので注意。
O365画面

11. APNs証明書の発行・設定 (CSRファイルの作成)
• iOSデバイス用APN証明書の構成
• 右側の「セットアップ」を選択
• 証明書署名要求のダウンロードでCSR(証明証要
求)ファイルをダウンロードします。
(ファイル名例：AppleCertRequest.csr)
このあとここでダウンロードしたCSRファイルはすぐ
に使用するので、どこに保存したのか忘れないよう
にしてください。
.NETラボ201511
O365画面
ここからiOSデバイ
ス用APNs証明書を
セットアップします

12. APNs証明書の発行・設定 (APCPへのログイン)
.NETラボ201511
O365画面
• O365画面の左下にAPCPへのリンクが表示されて
いるので、選択します。
APCPでの作業が終わった後、O365に戻って続
けて作業を実施するので、ログアウトしないでくださ
い。
• APCP(Apple Push Certificates Portal)へApple
IDでログインします。(Link)
企業で利用する場合のApple IDは、管理者が変
わっても継続して利用可能なApple ID(メールアド
レス)である方が運用上の問題が減ります。

13. APNs証明書の発行・設定 (APCPでの作業1)
• ログインしてGet Started画面が表示されたら
「Create a Certificate」ボタンをクリックします。
• 利用条件等の同意を求められた場合は承諾
する
• 次に画面左下の「ファイルの選択」ボタンを押
下しファイルをアップロードします。
.NETラボ201511
APCP画面
※APCPとは：無料で利用出来るApple社の提供する証明書発行サイト

14. APNs証明書の発行・設定 (APCPでの作業2)
• 証明書が生成されるのでここで
「Download」ボタンを押下し、証明
書ファイル
(ファイル名： MDM_ Microsoft
Corporation_Certificate.pem)を
ダウンロードします。
• このあとこの証明書ファイルをO365
側ですぐに使用するので、どこに保存
したか忘れないようにしてください。
• ダウンロードが完了したら、APCPで
の作業は終了です。
.NETラボ201511
APCP画面

15. APNs証明書の発行・設定 (証明書ファイルのアップロード)
.NETラボ201511
• APCPで発行したAPNs証
明書ファイルをO365へ
アップロードします。
O365画面

16. APNs証明書の発行・設定 (APNs設定の完了)
• 正常にAPNs証明書ファイル
(pemファイル)のアップロードが
完了すると、完了ボタンが表示さ
れます。
ここで「完了」ボタンを押下して下
さい。
.NETラボ201511
O365画面

17. セキュリティポリシーの作成 (セットアップの開始)
• 注意点/前提条件
• デバイスセキュリティポリシーを作成後、適用する
際に必要となるグループは「セキュリティグルー
プ」にひとつ以上のグループが必要になります。
このため、セキュリティグループにグループを作成
していない場合は、あらかじめ作成しておいた方
がスムーズに作業が進みます。
• セキュリティグループ内にMDMを設定したいアカ
ウントを含めておくことも忘れないように。
.NETラボ201511
デバイスセキュリティ
ポリシーの管理をセッ
トアップします
O365画面

18. セキュリティポリシーの作成 (ポリシーの追加)
• 「コンプライアンスセンター」の左ペ
イン「デバイス管理」を選択すると、
画面下にポリシーのリスト画面が
表示されます。
ここで「＋」を選択します。
.NETラボ201511
ポリシーを作成する場合
は「＋」を選択します。
O365画面

19. セキュリティポリシーの作成 (ポリシー名の決定)
• セキュリティポリシーはグループ毎に複数作成するこ
とが考えられます。
このため、後でわかりやすくなるように注意しましょう。
説明文についても後で分かりやすいように記載してお
いた方が良いです。
特にポリシー毎にドキュメントを残すような余裕がない
場合は管理者自身のドキュメントとなる場合もあるた
め、手を抜かずに記載しておきましょう。
.NETラボ201511 必要事項を入力したら
「次へ」を選択します。
O365画面

20. セキュリティポリシーの作成 (ポリシー内容の作成)
• 通常、iOS端末のセキュリティポリシーは
OS X(通称Mac)で作成する場合が一般的
ですが、企業内にMacがない場合でも、
O365で簡単なポリシーを作成することが
可能です。
• 管理するグループの事情に合わせてポリ
シーを作成して下さい。
.NETラボ201511
O365画面

21. セキュリティポリシーの作成 (内容の確認と適用)
• ポリシー作成後、保存前に再度内容が表示されます。
ここで作成したポリシー名/説明/設定内容をよく確認
し、間違いがなければ「保存」ボタンを押下します。
.NETラボ201511
ポリシー名
記載した
説明文
設定したセキュリ
ティポリシーの内
容がリスト化され
てここに表示され
ますので、間違い
がないか確認しま
す。
O365画面

22. セキュリティポリシーの展開 (セキュリティグループへの適用1)
• 作成したポリシイーをすぐ
に適用したい場合は、こ
こで「はい」ボタンを選択
します。
• 次に、ポリシーを適用した
いセキュリティグループを
選択します。
.NETラボ201511
O365画面

23. セキュリティポリシーの展開 (セキュリティグループへの適用2)
• 既に作成してあるセキュリティグループ
の名称を検索して追加します。
• セキュリティグループがどんなものなの
かがわからない方は、Windows
Serverの基礎的な部分を少しおさらい
する必要があります。
.NETラボ201511
ここにグループ名称を入力して検索する。
検索能力はあまり高くないようなので、ある
程度正確に入力する必要があるようです。
ここに登録されれば適用可能になります。
最後に「OK」ボタンを押下すれば完了。
O365画面

24. iOS端末への設定
• 前提条件
• iOS端末へのMicrosoft Office 関連Appはインストール済み
• iOS端末で利用可能なO365アカウントがあること
.NETラボ201511
※ここではiOSに関する細かい説明は理解していることを前提としています。
iOS端末のアカウントに関する内容、iTunes/App Store等を理解できていない方は、まずそ
ちらを理解しましょう。

25. OneDriveのアカウント設定 1
• OneDrive for BusinessとOneDriveについて
• OneDriveがマルチアカウント対応になり、無料アカウ
ント/O365アカウントのどちらもOneDriveだけで利用
可能となりました。
このため、OneDrive for Businessをインストールす
る必要はありません。
• OneDriveを起動し、O365アカウントを追加します。
.NETラボ201511
iOS画面

26. OneDriveのアカウント設定 2
• 既に無料アカウントを設定し
ている場合は「OneDrove
for Businessを設定」を選択
します。
• 次に、O365のアカウントとパ
スワードを入力し「サインイ
ン」ボタンを押下します。
.NETラボ201511
iOS画面

27. OneDriveのアカウント設定 3
• O365側でMDMを設定し
ている場合、デバイスの登
録を求めてきます。
• 画面のアナウンスに沿って
「登録」を進めていきます。
• Intune Company Portal
の認証画面が表示された
場合O365のアカウント情
報で認証して下さい。
.NETラボ201511
iOS画面

28. OneDriveのアカウント設定 4
• デバイスの登録画面が表
示されたら画面右上の
「登録」をタップします。
• 自動的にSafariが表示さ
れ、そこでデバイス登録
の画面が表示されます。
.NETラボ201511
登録をタップ
iOS画面

29. iOSへのMDMプロファイルインストール 1
• ここから画面が切り替わり、O365
で設定したMDMプロファイルのイ
ンストール画面になります。
• パスコード入力を求めてきた場合
は、iOSデバイスのロック解除パス
コードを入力して下さい。
• そのまま画面の指示に従ってイン
ストール作業を進めていきます。
.NETラボ201511
iOS画面

30. iOSへのMDMプロファイルインストール 2
• プロファイルをインストールする際
に、リモート管理を信頼するか確
認してくるので「信頼」をタップしま
す。
• O365側のMDM設定が正常に完
了していない場合は、この前後で
インストールを失敗しますので、そ
の際はO365側の設定内容を見
直してみましょう。
.NETラボ201511 正常に設定が完了すると
デバイスが表示されて利
用可能になります。
iOS画面

31. MDMの正体 (プロファイルの確認方法 1)
• インストールされたMDMのプロ
ファイルは次の手順で確認するこ
とが可能です。
• ホーム画面で「設定」をタップ
• 「一般」をタップ
• 「プロファイルとデバイス管理」を
タップ
.NETラボ201511
iOS画面

32. MDMの正体 (プロファイルの確認方法 2)
• プロファイルとデバイス管理
の画面には、MDM用だけで
なく、その端末にインストー
ルされた他のプロファイルも
あります。
• 例：Softbank一括設定
その他、企業や各家庭の
Wi-Fi設定プロファイルなど
.NETラボ201511
他のプロファイル
MDMのプロファイル
削除する場合はここ
をタップします。
iOS画面

33. O365のおもなモバイル管理機能
• デバイスの状態確認
• 管理下に置かれているか否か
• デバイスの機種
• プラットフォーム
• OSバージョン
• ワイプ
• フルワイプ(本体全てのデータ消去)
• 選択的ワイプ(Office App内のデータのみ消去)
.NETラボ201511

34. O365による端末/データのワイプ 1
• O365にログインします。
• O365管理センターの左ペ
インで「モバイル管理」を選
択します。
• MDM側からリモート操作を
実施したい端末を選択しま
す。
• リモート操作(ワイプ)を選択
します。
.NETラボ201511
O365画面

35. O365による端末/データのワイプ 2
• リモート操作実施の警告ウィ
ンドウが表示されるので、間
違いなければ「はい」ボタン
を押下します。
• ワイプの指示が端末側へ届
くとO365にアクセスしたタイ
ミングでワイプが実行されて
App内のO365領域へのア
クセスができなくなります。
(適用されるまでの時間は電
波状況によります。)
.NETラボ201511
O365画面

36. DEMO
.NETラボ201511

37. 機能は限定的だが結構使える
• 個人的な感想
• MDMの予算までとれない場合でも、O365だけでセキュリティ面の向上を図れそう。
• 選択的ワイプを使用することで、退職した社員のファイルを遠隔でアクセス不可にできる。
• 簡易的なBYODへの可能性が広がる
• User個人の端末内データをイジることなく企業内ファイルのみワイプが可能だから逆にBYOD
へ適用させやすいと思われる。
• 端末利用者の電話帳と企業活動で必要な電話帳を分けることが可能。
• 企業活動で必要な連絡先情報はO365内に閉じ込めることができる。
• 企業で貸与した端末を社員が自由に使用出来る範囲が広がりそう。
• 時々勝手にログアウトしてしまうので、少し動きが不安定？
.NETラボ201511

38. 今回参考にさせていただいたサイト
• Japan Microsoft Intune Support Team (日本マイクロソフト Microsoft Intune担当チー
ムのブログ)
• Office365のモバイルデバイス管理機能のご紹介 第1回
http://blogs.technet.com/b/jpintune/archive/2015/06/25/office-365-1.aspx
• Always on the clock(株式会社ソフィアネットワーク国井傑さんのblog)
• Office365によるモバイルデバイス管理(MDM)
http://azuread.net/2015/06/08/office-365によるモバイルデバイス管理mdm/
• Wikipedia
• Mobile Device Management
https://ja.wikipedia.org/wiki/Mobile_Device_Management
.NETラボ201511

39. EOF
.NETラボ201511