VMware AirWatch の MEM 機能の紹介資料です。

1. Workspace ONE テクニカルガイド
AirWatch MEM 機能について V1.3

2. 改訂履歴
2
日付 バージョン 変更点 担当者
2016/6/21 1.0 初版作成 Shinji Sagawa
2016/9/9 1.1 細部の修正 Shinji Sagawa
2017/3/28 1.2 細部の修正 Shinji Sagawa
2017/10/2 1.3 細部の修正 Tomonori Takaki

3. MEM (Mobile E-mail Management)とは
Eメールアプリの種類と
設定の配布
Eメールアプリの
セキュリティ
Eメールの
アクセスコントロール

4. Eメールアプリの種類と
設定の配布

5. メールクライアントの種類
ネイティブ Eメールクライアント
• OS標準搭載のメールクライアント
• 直感的なネイティブユーザエクスペリエンス
• コアのセキュリティと DLP 機能
• 追加コストなし、サードパーティ製アプリ不要
AirWatch Inbox
• AirWatch 提供のメールクライアント
• ActiveSyncプロトコルに対応
• iOS 7.0+、Android 4.0+、Win 8.1/RT+
• メール本文のコピーアンドペーストをはじめと
したアプリレベルでのDLP機能
• コンテナ化したアプリが企業メールを隔離
• 直感的なネイティブ同様のエクスペリエンス
VMware Boxer
• AirWatch Inbox の後継
• ActiveSyncプロトコルに対応
• AppConfig対応アプリ
• 直感的なネイティブ同様のエクスペリエンス
• メール本文のコピーアンドペーストをはじめと
したアプリレベルでのDLP機能

6. Eメール設定の配布
プロファイル
Exchange ActiveSyncペイロード
プロファイル
Eメールペイロード

7. Eメール設定の配布 – VMware Boxer
AppConfig対応アプリの VMware Boxerは[Eメール設定]より設定を行う
Eメールの設定はプロファイルは使用しない

8. Eメールアプリのセキュリティ

9. VMware Boxer セキュリティ機能
個人アカウント
ユーザーによる個人アカウントの追加の制御
コピー/貼り付け
本文のコピー/ペーストの制御
ハイパーリンク
メール本文のすべてのハイパーリンクを
AirWatchブラウザで開くように制限 共有
メールの添付ファイルの扱いの制御
プレビューのみ：他のアプリではオープンできない
ホワイトリスト：指定したアプリのみオープンできる
制限なし：すべてのアプリでオープンできる

10. VMware Boxer セキュリティ機能
- ハイパーリンク
メール本文のURLはAirWatch Browserで開くことを強制する
AirWatch Browserが
インストールされていない場合は
インストールを求める

11. VMware Boxer セキュリティ機能
- コピー/ペースト
コピー/貼り付けを禁止している時にその操作を行うと
禁止されている旨のメッセージが表示される
アカウントの追加をしようとすると、
管理者により禁止されている旨のメッセージが表示される

12. AirWatch ユースケース(MAM,MEM)
– セキュリティと利便性を実現するメールアプリの社内導入
メール本文も
コピーできない
添付ファイルをタップすると
Content Lockerのみで開く
ことができる
URL をタップすると必ず
VMware Browserが開く
アプリレベルでDLP制
御ができないものへは
業務データを渡さない
利便性や操作性
と
セキュリティが
ともに向上
課題：
セキュリティと利便性を両立できるメールアプ
リが必要
・ネイティブメールではセキュリティが不安
・セキュリティ重視では操作性に懸念
・両立できるアプリを探している
解決策：VMware Boxerの利用
・メール本文のコピー/貼り付けを禁止
・ネイティブメール相当の操作性
・添付ファイルのオープンイン先の限定
利便性と操作性の両立を実現
・アプリ間の密接な連携
・操作性に優れたアプリ
・業務に必要なセキュアなアプリが豊富
・アプリごとにきめ細かなDLP機能の制御が可能

13. Eメールの
アクセスコントロール

14. Eメールのアクセスコントロール
• AirWatch では VMware Boxer, Inboxといったアプリ単位で DLP 機能を実装
• さらに一歩踏み込んだ制御でセキュリティを確保するために必要なのがアクセスコントロール
– 例）会社支給のデバイスからのみ Eメールの利用を許可する
– ネイティブメールからのメール受信を禁止する
– 侵害状態のデバイスからのメール受信を禁止する
MDM, MAMだけでもある程度のセキュリティは確保できるが
もう一箇所チェックポイントを設けることで
さらに一歩踏み込んだセキュリティを確保できる
AirWatch ではその踏み込んだセキュリティ対策実現のために
二つの手法を用意している

15. Eメールのアクセスコントロール
SEG
(Secure Email Gateway)プロキシモデル
直接統合
AirWatch で設定した制御を
メールサーバーへ送り設定
デバイスの状態をSEGでチェック
デバイスの状態チェックを
メールサーバーで実施

16. メールサーバーの種類と管理機能
主な機能
プロキシ PowerShell Google
Microsoft
Exchange
2010/2013
2016
Lotus
Traveler
Novell
GroupWise
Microsoft
Exchange
2010/2013
2016
Office 365
Google Apps
for Work
SSL セキュリティを強制 ✓ ✓ ✓ ✓ ✓ ✓
ワイヤレスでの Eメール構成 ✓ ✓ ✓ ✓ ✓ ✓
管理外デバイスによる Eメー
ルアクセスをブロック
✓ ✓ ✓ ✓ ✓ ✓
既存の管理外デバイスを検出 ✓ ✓ ✓ ✓ ✓ 該当なし
カスタマイズできる Eメール
アクセス順守ポリシ
✓ ✓ ✓ ✓ ✓ ✓
証明書統合と失効 ✓ ☐ ☐ ✓ ✓ 該当なし

17. 順守ポリシー
行える制御は
Eメール/順守ポリシー
で用意されている
画面右は PowerShell統合の場合の
順守ポリシー画面
これは「管理デバイスの順守」を
有効化する場合の例

18. SEG連携とPowerShell連携との順守ポリシーの差異
PowerShell
連携で実現
SEG連携で実現

19. AirWatch ユースケース(MEM)
–O365の利用とEメールのセキュリティの両立
AirWatchで順守ポリシーを設
定すると、必要な設定がO365
へPowerShellで送られる
• ネイティブメール禁止
• VMware Boxerは許可
• 会社支給のデバイスの
み許可
VMware Boxerは
メールが受信できる
ネイティブメールは
メール受信できない
会社支給デバイス
個人所有デバイス
個人所有デバイスは
そもそも禁止
課題：
O365のメールを使用したいが個人所有のデバ
イスからは利用させたくない
・どのデバイスからでもメールが受信できて
しまう
・ネイティブメールの利用は禁止したい
・追加コスト無しでセキュリティを向上したい
・オンプレのサーバーの運用はしたくない
解決策：AirWatchとO365の連携で実現
・AirWatchとO365をPowerShellで連携
・オンプレミスにサーバー不要
・アクセスコントロールポリシーの設定が可能
クラウド完結で、メールの利用とデバイス、アプリ
に基づいたアクセスコントロールを実現
・追加サーバ不要でセキュリティを確保できる構成のサポート
・様々な順守ポリシーの提供
・SaaSアーキテクチャのため導入が容易
オンプレへのサーバー投資なしで
よりセキュアなメール環境を実現