このページでは、Android Enterprise のすべての機能の一覧を示します。
500 台を超えるデバイスを管理する場合は、EMM ソリューションを商用利用可能にする前に、少なくとも 1 つのソリューション セットのすべての標準機能（）をサポートする必要があります。標準管理セットを提供するソリューションを Android の Enterprise ソリューション ディレクトリに掲載することを希望する EMM デベロッパーは、標準機能の検証に合格し、Android Enterprise パートナー プログラムのメンバーになる必要があります。
各ソリューション セットには、追加の高度な機能が用意されています。これらの機能は、各ソリューション セットのページに記載されています。個人所有デバイス上の仕事用プロファイル、会社所有デバイス上の仕事用プロファイル、完全管理対象デバイス、専用デバイス。AE パートナー プログラムのメンバーである EMM デベロッパーが、高度な機能の検証に合格したソリューションを提供している場合、Android のエンタープライズ ソリューション ディレクトリに、高度な管理セットを提供していることが記載されます。
キー
| 標準機能 | の高度な機能 | オプション機能 | 該当なし |
1. デバイスのプロビジョニング
1.1. DPC ファーストの仕事用プロファイルのプロビジョニング
Google Play から EMM の DPC をダウンロードした後、仕事用プロファイルをプロビジョニングできます。
1.1.1. EMM の DPC は、ユーザーがデバイスの個人用領域に DPC をインストールできるように、Google Play で一般公開されている必要があります。
1.1.2. インストールが完了したら、DPC は仕事用プロファイルのプロビジョニング プロセスをユーザーに案内する必要があります。
1.1.3. プロビジョニングが完了すると、デバイスの個人用領域に管理機能が残ることはありません。
- プロビジョニング中に適用されたポリシーはすべて削除する必要があります。
- アプリの権限を取り消す必要があります。
- EMM の DPC は、少なくともデバイスの個人用側でオフにする必要があります。
1.2. DPC ID によるデバイスのプロビジョニング
IT 管理者は、Play EMM API デベロッパー ドキュメントで定義されている実装ガイドラインに従って、DPC 識別子（「afw#」）を使用してフルマネージド デバイスまたは専用デバイスをプロビジョニングできます。
1.2.1. EMM の DPC は Google Play で一般公開されている必要があります。DPC は、DPC 固有の識別子を入力することで、デバイス設定ウィザードからインストール可能でなければなりません。
1.2.2. インストールが完了したら、EMM の DPC は、フルマネージド デバイスまたは専用デバイスのプロビジョニング プロセスをユーザーに案内する必要があります。
1.3. NFC によるデバイスのプロビジョニング
IT 管理者は、Play EMM API デベロッパー ドキュメントで定義されている実装ガイドラインに従って、NFC タグを使用して新しいデバイスまたは出荷時の設定にリセットされたデバイスをプロビジョニングできます。
1.3.1. EMM は、888 バイト以上のメモリを備えた NFC フォーラム タイプ 2 タグを使用する必要があります。 プロビジョニングでは、プロビジョニング エクストラを使用して、サーバー ID や登録 ID などの機密性のない登録の詳細をデバイスに渡す必要があります。登録の詳細には、パスワードや証明書などの機密情報を含めないでください。
1.3.2. EMM の DPC が自身をデバイス所有者として設定した後、DPC はすぐに開き、デバイスが完全にプロビジョニングされるまで画面にロックされる必要があります。1.3.3. NFC ビーム（NFC バンプとも呼ばれます）のサポートが終了したため、Android 10 以降では NFC タグを使用することをおすすめします。
1.4. QR コードによるデバイスのプロビジョニング
IT 管理者は、 Play EMM API デベロッパー ドキュメントで定義されている実装ガイドラインに従って、EMM のコンソールで生成された QR コードを新規デバイスまたは出荷時の設定にリセットしたデバイスでスキャンして、デバイスをプロビジョニングできます。
1.4.1. QR コードでは、プロビジョニング エクストラを使用して、サーバー ID や登録 ID などの機密性の低い登録の詳細をデバイスに渡す必要があります。登録の詳細には、パスワードや証明書などの機密情報を含めないでください。
1.4.2. EMM の DPC がデバイスをセットアップした後、DPC はすぐに開き、デバイスが完全にプロビジョニングされるまで画面にロックされる必要があります。
1.5. ゼロタッチ登録
この要件は要件 1.6 に置き換えられました。
1.6. ゼロタッチ プロビジョニング
IT 管理者は、ゼロタッチ登録を使用して DPC 登録の詳細をデプロイすることで、デバイス登録プロセスの多くを自動化できます。EMM の DPC は、EMM が提供する構成オプションに従って、特定の口座またはドメインへの登録を制限することをサポートしています。
1.6.1. IT 管理者は、ゼロタッチ登録: IT 管理者向けに記載されているゼロタッチ登録方法を使用して、会社所有のデバイスをプロビジョニングできます。
1.6.2. EMM の DPC がデバイスをセットアップした後、EMM の DPC はすぐに開き、デバイスが完全にプロビジョニングされるまで画面にロックされる必要があります。
- ゼロタッチ登録の詳細を使用して、サイレントに完全にプロビジョニングされるデバイス（専用デバイスのデプロイなど）の場合、この要件は免除されます。
1.6.3. EMM の DPC は、登録の詳細を使用して、DPC が呼び出された後に、承認されていないユーザーがアクティベーションを続行できないようにする必要があります。少なくとも、有効化は特定の企業のユーザーに限定する必要があります。
1.6.4. EMM の DPC は、登録の詳細を使用して、IT 管理者が一意のユーザー情報やデバイス情報（ユーザー名/パスワード、アクティベーション トークンなど）とは別に、登録の詳細（サーバー ID、登録 ID など）を事前入力できるようにする必要があります。これにより、ユーザーはデバイスをアクティベーションする際に詳細を入力する必要がなくなります。
- EMM は、ゼロタッチ登録の設定にパスワードや証明書などの機密情報を含めてはなりません。
1.7. Google アカウントによる仕事用プロファイルのプロビジョニング
この要件は削除され、要件 3.23 に置き換えられました。
1.8. Google アカウントによるデバイスのプロビジョニング
この要件は削除され、要件 3.23 に置き換えられました。
1.9. ゼロタッチの直接設定
IT 管理者は、EMM のコンソールでゼロタッチ iframe を使用してゼロタッチ デバイスを設定できます。
1.10. 会社所有デバイス上の仕事用プロファイル
EMM は、仕事用プロファイルが設定された会社所有デバイスを登録できます。
1.10.1. 意図的に空白にしています。
1.10.2. IT 管理者は、会社所有デバイスの仕事用プロファイルに対してコンプライアンス アクションを設定できます。
1.10.3. IT 管理者は、仕事用プロファイルまたはデバイス全体でカメラを無効にできます。
1.10.4. IT 管理者は、仕事用プロファイルまたはデバイス全体でスクリーン キャプチャを無効にできます。
1.10.5. IT 管理者は、個人用プロファイルにインストールできないアプリのブロックリストを設定できます。
1.10.6. IT 管理者は、仕事用プロファイルを削除するか、デバイス全体をワイプすることで、会社所有デバイスの管理を放棄できます。
1.11. 専用デバイスのプロビジョニング
IT 管理者は、Google アカウントでの認証をユーザーに求めることなく、専用デバイスを登録できます。
2. デバイスのセキュリティ
2.1. デバイスのセキュリティ チャレンジ
IT 管理者は、管理対象デバイスで、3 つの複雑さレベルの事前定義された選択肢からデバイス セキュリティ チャレンジ（PIN、パターン、パスワード）を設定して適用できます。
2.1.1. ポリシーは、デバイスのセキュリティ チャレンジを管理する設定（仕事用プロファイルの parentProfilePasswordRequirements、フルマネージド デバイスと専用デバイスの passwordRequirements）を適用しなければなりません。
2.1.2. パスワードの複雑さは、次のパスワードの複雑さにマッピングする必要があります。
- PASSWORD_COMPLEXITY_LOW - 繰り返しの数字（4444）または連続する数字、規則的な並びの数字（1234、4321、2468）のパターンまたは PIN。
- PASSWORD_COMPLEXITY_MEDIUM - 繰り返しの数字（4444）または連続する数字、規則的な並びの数字（1234、4321、2468）を含まない PIN、または 4 文字以上の英字または英数字のパスワード
- PASSWORD_COMPLEXITY_HIGH - 繰り返しの数字（4444）または連続する数字、規則的な並びの数字（1234、4321、2468）を含まない 8 桁以上の PIN、または 6 文字以上の英字または英数字のパスワード。
2.1.3. 会社所有デバイスでは、以前の設定として追加のパスワード制限を適用することもできます。
2.2. 仕事用プロファイルのセキュリティ チャレンジ
IT 管理者は、仕事用プロファイル内のアプリとデータに対して、デバイスのセキュリティ チャレンジ（2.1.）とは別の、異なる要件を持つセキュリティ チャレンジを設定して適用できます。
2.2.1. ポリシーで、仕事用プロファイルのセキュリティ チャレンジを適用する必要があります。デフォルトでは、IT 管理者は仕事用プロファイルにのみ制限を設定する必要があります。スコープが指定されていない場合、IT 管理者はスコープを指定することで、デバイス全体に制限を設定できます（要件 2.1 を参照）。
2.1.2. パスワードの複雑さは、次のパスワードの複雑さにマッピングする必要があります。
- PASSWORD_COMPLEXITY_LOW - 繰り返しの数字（4444）または連続する数字、規則的な並びの数字（1234、4321、2468）のパターンまたは PIN。
- PASSWORD_COMPLEXITY_MEDIUM - 繰り返しの数字（4444）または連続する数字、規則的な並びの数字（1234、4321、2468）を含まない PIN、または 4 文字以上の英字または英数字のパスワード
- PASSWORD_COMPLEXITY_HIGH - 繰り返しの数字（4444）または連続する数字、規則的な並びの数字（1234、4321、2468）を含まない 8 桁以上の PIN、または 6 文字以上の英字または英数字のパスワード
2.3. 高度なパスコード管理
2.3.1. 意図的に空白にしています。
2.3.2. 意図的に空白にしています。
2.3.3. デバイスで使用可能なロック画面ごとに、次のパスワード ライフサイクル設定を設定できます。
- 意図的に空白
- 意図的に空白
- ワイプまでのパスワード入力失敗回数の上限: デバイスから企業データがワイプされるまでに、ユーザーがパスワードの入力を試行できる回数を指定します。IT 管理者はこの機能をオフにできなければなりません。
2.4. Smart Lock の管理
IT 管理者は、Android の Smart Lock 機能でデバイスのロック解除を許可する信頼エージェントを管理できます。IT 管理者は、信頼できる Bluetooth デバイス、顔認識、音声認識などの特定のロック解除方法をオフにしたり、必要に応じてこの機能を完全にオフにしたりできます。
2.4.1. IT 管理者は、デバイスで使用可能なロック画面ごとに、Smart Lock の信頼エージェントを個別に無効にできます。
2.4.2. IT 管理者は、デバイスで使用可能なロック画面ごとに、Smart Lock の信頼エージェントを選択的に許可して設定できます。信頼エージェントには、Bluetooth、NFC、場所、顔、持ち運び検知、音声があります。
- IT 管理者は、利用可能な信頼エージェントの構成パラメータを変更できます。
2.5. ワイプとロック
IT 管理者は、EMM のコンソールを使用して、管理対象デバイスの仕事用データをリモートロック、ワイプできます。
2.5.1. EMM の DPC はデバイスをロックする必要があります。
2.5.2. EMM の DPC はデバイスをワイプする必要があります。
2.6. コンプライアンスの適用
デバイスがセキュリティ ポリシーに準拠していない場合、仕事用データは自動的に制限されます。
2.6.1. デバイスに適用されるセキュリティ ポリシーには、少なくともパスワード ポリシーが含まれている必要があります。
2.7. デフォルトのセキュリティ ポリシー
EMM は、IT 管理者が EMM のコンソールで設定をセットアップまたはカスタマイズしなくても、指定されたセキュリティ ポリシーをデフォルトでデバイスに適用する必要があります。EMM は、IT 管理者がこれらのセキュリティ機能のデフォルトの状態を変更できないようにすることが推奨されます（必須ではありません）。
2.7.1. EMM の DPC は、提供元不明のアプリのインストールをブロックする必要があります。これには、仕事用プロファイルが設定された Android 8.0 以降のデバイスの個人用プロファイルにインストール済みのアプリも含まれます。
2.7.2. EMM の DPC は、デバッグ機能をブロックする必要があります。
2.8. 専用デバイスのセキュリティ ポリシー
専用デバイスはロックダウンされ、他の操作を行うための解除はできません。
2.8.1. EMM の DPC は、デフォルトでセーフモードでの起動をオフにする必要があります。
2.8.2. EMM の DPC は、プロビジョニング中の最初の起動時にすぐに開いて画面にロックし、他の方法でデバイスを操作できないようにする必要があります。
2.8.3. 定義済みの実装ガイドラインに従って、許可されたアプリが起動時に画面にロックされるように、EMM の DPC をデフォルトのランチャーとして設定する必要があります。
2.9. Play Integrity のサポート
EMM は、Play Integrity API を使用して、デバイスが有効な Android デバイスであることを確認します。
2.9.1. EMM の DPC は、プロビジョニング中に Play Integrity API を実装します。
2.9.2. EMM の DPC は、デバイスが EMM のサーバーにチェックインするたびに、別の Play Integrity チェックを実行します。これは IT 管理者が構成できます。EMM サーバーは、デバイスの企業ポリシーを更新する前に、完全性チェック レスポンスの APK 情報とレスポンス自体を検証します。
2.9.3. IT 管理者は、Play Integrity チェックの結果に基づいて、プロビジョニングのブロック、企業データのワイプ、登録の続行など、さまざまなポリシー対応を設定できます。
- EMM サービスは、各完全性チェックの結果に対してこのポリシー レスポンスを適用します。
2.9.4. 最初の Play Integrity チェックが失敗した場合、または強力な完全性を満たさない結果が返された場合、EMM の DPC がまだ ensureWorkingEnvironment を呼び出していなければ、プロビジョニングが完了する前に呼び出してチェックを繰り返す必要があります。
2.10. アプリの確認の適用
IT 管理者は、デバイスでアプリの確認を有効にできます。アプリの確認機能は、Android デバイスにインストールされたアプリをインストール前後にスキャンして有害なソフトウェアを検出します。これにより、悪意のあるアプリが企業データを侵害するのを防ぐことができます。
2.10.1. EMM の DPC は、デフォルトで「アプリの確認」を有効にする必要があります。
2.11. ダイレクト ブートのサポート
Android 7.0 以降を搭載したデバイスでは、電源を入れた直後、デバイスのロックを初めて解除するまでアプリを実行できません。ダイレクト ブートのサポートにより、デバイスがロック解除されていない場合でも、EMM の DPC が常にアクティブになり、ポリシーを適用できます。
2.11.1. EMM の DPC は、デバイス暗号化ストレージを利用して、DPC の認証情報暗号化ストレージが復号される前に重要な管理機能を実行します。ダイレクト ブート中に利用可能な管理機能には、以下が含まれなければなりません（ただし、これらに限定されません）。
- エンタープライズ ワイプ。必要に応じて出荷時設定へのリセット保護データをワイプする機能も含まれます。
2.11.2. EMM の DPC は、デバイスの暗号化されたストレージ内の企業データを公開してはなりません。
2.11.3. EMM は、トークンを設定して有効化することで、仕事用プロファイルのロック画面に [パスワードを忘れた場合] ボタンを表示できます。このボタンは、IT 管理者に仕事用プロファイルのパスワードを安全にリセットするようリクエストするために使用されます。
2.12. ハードウェアのセキュリティ管理
IT 管理者は、会社所有デバイスのハードウェア要素をロックダウンして、データ損失防止を徹底できます。
2.12.1. IT 管理者は、ユーザーがデバイスに物理的な外部メディアをマウントできないようにブロックできます。
2.12.2. IT 管理者は、ユーザーが NFC ビームを使用してデバイスからデータを共有できないようにブロックできます。Android 10 以降では NFC ビーム機能がサポートされなくなったため、このサブ機能はオプションです。
2.12.3. IT 管理者は、ユーザーがデバイスから USB 経由でファイルを転送できないようにブロックできます。
2.13. エンタープライズ セキュリティ ロギング
IT 管理者は、デバイスから使用状況データを収集し、悪意のある動作やリスクのある動作を解析してプログラムで評価できます。記録されるアクティビティには、Android Debug Bridge（adb）アクティビティ、アプリの起動、画面のロック解除などがあります。
2.13.1. IT 管理者は、特定のデバイスに対してセキュリティ ロギングを有効にできます。EMM の DPC は、セキュリティ ログと再起動前のセキュリティ ログの両方を自動的に取得できる必要があります。
2.13.2. IT 管理者は、EMM のコンソールで、特定のデバイスと構成可能な期間のエンタープライズ セキュリティ ログを確認できます。
2.13.3. IT 管理者は、EMM のコンソールからエンタープライズ セキュリティ ログをエクスポートできます。
3. アカウントとアプリの管理
3.1. エンタープライズ バインディング
IT 管理者は EMM を組織にバインドして、EMM が managed Google Play を使用してアプリをデバイスに配布できるようにします。
3.1.1. 既存の管理対象の Google ドメインを持つ管理者は、ドメインを EMM にバインドできます。
3.1.2. EMM のコンソールは、エンタープライズごとに一意の ESA をサイレントにプロビジョニングして設定する必要があります。
3.1.3. Play EMM API を使用して企業の登録を解除します。
3.1.4. EMM コンソールは、Android の登録フローで仕事用メールアドレスを入力するよう管理者に指示し、Gmail アカウントの使用を推奨しません。
3.1.5. EMM は、Android の登録フローで管理者のメールアドレスを事前入力します。
3.2. managed Google Play アカウントのプロビジョニング
EMM は、managed Google Play アカウントと呼ばれる企業のユーザー アカウントを自動プロビジョニングできます。このアカウントは管理対象ユーザーを識別し、ユーザーごとに一意の App Distribution ルールを適用できます。
3.2.1. EMM の DPC は、定義された実装ガイドラインに従って、managed Google Play アカウントを自動的にプロビジョニングして有効にできます。その際、次の点に注意してください。
userAccountタイプの managed Google Play アカウントがデバイスに追加されます。userAccountタイプの managed Google Play アカウントは、EMM のコンソールの実際のユーザーと 1 対 1 でマッピングする必要があります。
3.3. managed Google Play デバイス アカウントのプロビジョニング
EMM は、managed Google Play デバイス アカウントを作成してプロビジョニングできます。デバイス アカウントは、managed Google Play ストアからのアプリのサイレント インストールをサポートしており、単一のユーザーに関連付けられていません。代わりに、デバイス アカウントを使用して単一のデバイスを識別し、専用デバイスのシナリオでデバイスごとのアプリ配布ルールをサポートします。
3.3.1. EMM の DPC は、定義された実装ガイドラインに従って、managed Google Play アカウントを自動的にプロビジョニングして有効にできます。その際、deviceAccount タイプの managed Google Play アカウントをデバイスに追加する必要があります。
3.4. 以前のデバイスでの managed Google Play アカウントのプロビジョニング
EMM は、managed Google Play アカウントと呼ばれる企業ユーザー アカウントを自動プロビジョニングできます。このアカウントは管理対象ユーザーを識別し、ユーザーごとに一意の App Distribution ルールを適用できます。
3.4.1. EMM の DPC は、定義された実装ガイドラインに従って、managed Google Play アカウントを自動的にプロビジョニングして有効にできます。その際、次の点に注意してください。
userAccountタイプの managed Google Play アカウントがデバイスに追加されます。userAccountタイプの managed Google Play アカウントは、EMM のコンソールの実際のユーザーと 1 対 1 でマッピングする必要があります。
3.5. アプリのサイレント配信
IT 管理者は、ユーザーの操作なしで、ユーザーのデバイスに仕事用アプリを自動配布できます。
3.5.1. EMM コンソールは、Play EMM API を使用して、IT 管理者が管理対象デバイスに仕事用アプリをインストールできるようにする必要があります。
3.5.2. EMM コンソールは、IT 管理者が管理対象デバイスの仕事用アプリを更新できるように、Play EMM API を使用する必要があります。
3.5.3. EMM コンソールは、Play EMM API を使用して、IT 管理者が管理対象デバイス上のアプリをアンインストールできるようにする必要があります。
3.6. 管理対象アプリの構成管理
IT 管理者は、管理対象設定、または管理対象設定をサポートするアプリを表示し、サイレント設定できます。
3.6.1. EMM のコンソールは、任意の Play アプリの管理対象設定を取得して表示できる必要があります。
- EMM は、
Products.getAppRestrictionsSchemaを呼び出してアプリの管理対象設定スキーマを取得するか、EMM コンソールに管理対象設定フレームを埋め込むことができます。
3.6.2. EMM のコンソールでは、IT 管理者が Play EMM API を使用して、任意の Play アプリに任意の構成タイプ（Android フレームワークで定義されているもの）を設定できるようにする必要があります。
3.6.3. EMM のコンソールでは、IT 管理者がワイルドカード（$username$ や %emailAddress% など）を設定できるようにする必要があります。これにより、Gmail などのアプリの単一の設定を複数のユーザーに適用できます。管理対象設定 iframe は、この要件を自動的にサポートします。
3.7. アプリカタログの管理
IT 管理者は、managed Google Play（play.google.com/work）から、企業向けに承認されたアプリのリストをインポートできます。
3.7.1. EMM のコンソールには、配布が承認されたアプリのリストが表示されます。これには、次のものが含まれます。
- managed Google Play で購入したアプリ
- IT 管理者に表示される限定公開アプリ
- プログラムで承認されたアプリ
3.8. プログラムによるアプリの承認
EMM のコンソールは、managed Google Play iframe を使用して、Google Play のアプリの検索と承認の機能をサポートします。IT 管理者は、EMM のコンソールから離れることなく、アプリの検索、アプリの承認、新しいアプリの権限の承認を行うことができます。
3.8.1. IT 管理者は、managed Google Play iframe を使用して、EMM のコンソール内でアプリを検索し、承認できます。
3.9. 基本的なストア レイアウト管理
managed Google Play ストア アプリをデバイスで使用して、仕事用アプリをインストール、更新できます。基本的なストア レイアウトはデフォルトで表示され、企業向けに承認されたアプリが一覧表示されます。EMM は、ポリシーに従ってユーザーごとにフィルタします。
3.9.1. IT 管理者は、[ユーザーが利用できるプロダクト セットを管理]/android/work/play/emm-api/samples#grant_a_user_access_to_apps)して、managed Google Play ストアの [ストアのホーム] セクションでアプリケーションの表示とインストールを許可できます。
3.10. 高度なストア レイアウト構成
IT 管理者は、デバイスの managed Google Play ストアアプリに表示されるストア レイアウトをカスタマイズできます。
3.10.1. IT 管理者は、EMM のコンソールで次の操作を行い、managed Google Play ストアのレイアウトをカスタマイズできます。
- ストア レイアウト ページは 100 ページまで作成できます。ページには、ローカライズされたページ名を任意の数だけ指定できます。
- ページごとに最大 30 個のクラスタを作成します。クラスタには、ローカライズされたクラスタ名を任意の数だけ指定できます。
- 各クラスタに最大 100 個のアプリを割り当てます。
- 各ページに最大 10 個のクイックリンクを追加できます。
- クラスタ内のアプリとページ内のクラスタの並べ替え順を指定します。
3.11. アプリのライセンス管理
この機能は非推奨になりました。
3.12. Google ホスト型の限定公開アプリの管理
IT 管理者は、Google Play Console ではなく EMM コンソールを使用して、Google がホストする限定公開アプリを更新できます。
3.12.1. IT 管理者は、次の方法で、企業に限定公開されているアプリの新しいバージョンをアップロードできます。
3.13. 自己ホスト型の限定公開アプリの管理
この機能は非推奨になりました。
3.14. EMM pull 通知
EMM プル通知は、新しい権限や管理対象の設定を含むアプリのアップデートなど、過去のイベントを特定するために Play に定期的にクエリを実行するのではなく、そのようなイベントをリアルタイムで EMM にプロアクティブに通知します。これにより、EMM は自動化されたアクションを実行し、これらのイベントに基づいてカスタムの管理通知を提供できます。
3.14.1. EMM は、Google Play の EMM 通知を使用して、通知セットを pull する必要があります。
3.14.2. EMM は、次の通知イベントについて、IT 管理者に自動的に通知（自動メールなど）する必要があります。
newPermissionEvent: IT 管理者が新しいアプリの権限を承認してから、ユーザーのデバイスにアプリを自動インストールまたは更新する必要があります。appRestrictionsSchemaChangeEvent: 意図した効率を維持するために、IT 管理者がアプリの管理対象設定を更新する必要がある場合があります。appUpdateEvent: アプリ アップデートによってコア ワークフローのパフォーマンスが影響を受けないことを検証したい IT 管理者にとって、関心のある項目となる可能性があります。productAvailabilityChangeEvent: アプリのインストールやアプリ アップデートに影響する可能性があります。installFailureEvent: Google Play がデバイスにアプリを自動インストールできない。デバイスの設定に、インストールを妨げている要因がある可能性がある。EMM は、この通知を受け取った直後に自動インストールを再試行しないでください。Google Play 独自の再試行ロジックがすでに失敗しているためです。
3.14.3. EMM は、次の通知イベントに基づいて適切なアクションを自動的に実行します。
newDeviceEvent: デバイスのプロビジョニング中、EMM は、新しいデバイスに対して後続の Play EMM API 呼び出し（サイレント アプリのインストールや管理対象設定など）を行う前に、newDeviceEventを待機する必要があります。productApprovalEvent:productApprovalEvent通知を受け取った EMM は、アクティブな IT 管理者セッションがある場合、または各 IT 管理者セッションの開始時に承認済みアプリのリストが自動的に再読み込みされない場合、デバイスに配布するために EMM コンソールにインポートされた承認済みアプリのリストを自動的に更新する必要があります。
3.15. API の使用要件
EMM は Google の API を大規模に実装し、本番環境でアプリを管理する IT 管理者の能力に悪影響を及ぼす可能性のあるトラフィック パターンを回避します。
3.15.1. EMM は Play EMM API の使用量上限を遵守する必要があります。これらのガイドラインに違反する行為を是正しない場合、Google の裁量により API の使用が停止されることがあります。
3.15.2. EMM は、特定の時間または同様の時間に企業トラフィックを統合するのではなく、1 日を通してさまざまな企業からのトラフィックを分散する必要があります。登録された各デバイスのスケジュール設定されたバッチ オペレーションなど、このトラフィック パターンに適合する動作は、Google の裁量により API の使用が停止される可能性があります。
3.15.3. EMM は、実際の企業データの取得や管理を試みない、一貫性のない、不完全な、または意図的に不正確なリクエストを行うべきではありません。このトラフィック パターンに該当する動作は、Google の裁量により API の使用が停止される可能性があります。
3.16. 高度な管理対象アプリの構成管理
3.16.1. EMM のコンソールは、以下を使用して、任意の Play アプリの管理対象設定（最大 4 レベルまでネスト）を取得して表示できる必要があります。
- managed Google Play iframe
- カスタム UI。
3.16.2. EMM のコンソールは、IT 管理者が設定したアプリのフィードバック チャネルから返されたフィードバックを取得して表示できなければなりません。
- EMM のコンソールでは、IT 管理者が特定のフィードバック項目を、そのフィードバックの送信元であるデバイスやアプリに関連付けられるようにする必要があります。
- EMM のコンソールでは、IT 管理者が特定のメッセージ タイプ（エラー メッセージなど）のアラートやレポートに登録できるようにする必要があります。
3.16.3. EMM のコンソールは、デフォルト値を持つ値、または管理者が手動で設定した値のみを、以下を使用して送信する必要があります。
- 管理対象設定 iframe
- カスタム UI。
3.17. ウェブアプリの管理
IT 管理者は、EMM コンソールでウェブアプリを作成して配布できます。
3.17.1. IT 管理者は、EMM のコンソールを使用して、次の方法でウェブアプリへのショートカットを配布できます。
3.18. managed Google Play アカウントのライフサイクル管理
EMM は、IT 管理者に代わって managed Google Play アカウントの作成、更新、削除を行うことができます。
3.18.1. EMM は、Play EMM API デベロッパー ドキュメントで定義されている実装ガイドラインに沿って、managed Google Play アカウントのライフサイクルを管理できます。
3.18.2. EMM は、ユーザーの操作なしで managed Google Play アカウントを再認証できます。
3.19. アプリトラックの管理
3.19.1. IT 管理者は、デベロッパーが特定のアプリに設定したトラック ID のリストを取得できます。
3.19.2. IT 管理者は、アプリの特定の開発トラックを使用するようにデバイスを設定できます。
3.20. 高度なアプリケーション更新管理
3.20.1. IT 管理者は、アプリが優先度高のアプリ アップデートを使用して、アップデートの準備ができたときにアップデートされるように設定できます。
3.20.2. IT 管理者は、アプリのアプリ アップデートを 90 日間延期することを許可できます。
3.21. プロビジョニング方法の管理
EMM は、プロビジョニング構成を生成し、エンドユーザーに配布できる形式（QR コード、ゼロタッチ構成、Google Play ストアの URL など）で IT 管理者に提示できます。
3.22. エンタープライズ バインディングをアップグレードする
IT 管理者は、エンタープライズ バインディング タイプを管理対象の Google ドメイン エンタープライズにアップグレードして、組織が登録済みデバイスで Google アカウントのサービスと機能にアクセスできるようにすることができます。
3.22.1. EMM コンソールでは、IT 管理者が必要な API を使用して、既存の managed Google Play アカウント エンタープライズから Managed Google Domains エンタープライズへのアップグレードをトリガーできます。
3.22.2. EMM は、Pub/Sub を使用して IT 管理者が開始したアップグレード イベント（EMM コンソールの外部で発生したイベントを含む）に関する通知を受け取り、これらの変更を反映するように UI を更新する必要があります。
3.23. 管理対象の Google アカウントのプロビジョニング
EMM は、管理対象の Google アカウントと呼ばれる企業のユーザー アカウントを使用してデバイスをプロビジョニングできます。 これらのアカウントは、管理対象ユーザーを識別し、App Distribution ルールを許可し、Google サービスへのアクセスを許可します。IT 管理者は、登録中または登録後に管理対象の Google アカウント認証を必須とするポリシーを設定することもできます。
3.23.1. EMM の DPC は、定義された実装ガイドラインに従って、管理対象の Google アカウントをプロビジョニングできます。
その際、次の点に注意してください。
- 管理対象の Google アカウントがデバイスに追加されている。
- 管理対象の Google アカウントは、EMM のコンソールで実際のユーザーと 1 対 1 でマッピングされている必要があります。
3.23.2. IT 管理者は、このポリシーを使用して、登録のために管理対象の Google アカウントにログインするオプションをユーザーに提供できます。
3.23.3. IT 管理者は、このポリシーを使用して、登録を完了するためにユーザーが管理対象の Google アカウントにログインする必要があるかどうかを制御できます。
3.23.4. IT 管理者は、必要に応じて、特定のデバイスの特定のアカウント ID（メールアドレス）にアップグレード フローを制限できます。
3.24. managed Google Play アカウントのアップグレード
IT 管理者は、ユーザー アカウントの種類を管理対象の Google アカウントにアップグレードして、登録済みデバイスで Google アカウントのサービスや機能にアクセスできるようにすることができます。
3.24.1. IT 管理者は、デバイス上の既存の managed Google Play アカウントを管理対象の Google アカウントにアップグレードできます。
3.24.2. IT 管理者は、必要に応じて、特定のデバイスの特定のアカウント ID（メールアドレス）にアップグレード フローを制限できます。
3.25. アプリのロール
カスタム DPC はこの機能をサポートしていません。
3.26. デバイスのデータ移行と復元
IT 管理者は、管理対象の Google アカウントがインストールされ、Google 復元アプリがデバイスにインストールされている完全管理対象デバイスに対して、デバイスデータの移行と復元を有効にできます。これは、フルマネージド デバイス向けのプラットフォーム サービスです。COPE と BYOD の両方を含む仕事用プロファイルは、この機能ではサポートされていません。
3.26.1. EMM コンソールでは、IT 管理者が setBackupServiceEnabled を有効にすることで、バックアップ サービスを有効にできます。この機能は、フルマネージド デバイスではデフォルトで無効になっています。
4. デバイス管理
4.1. 実行時の権限ポリシーの管理
IT 管理者は、仕事用アプリからの実行時の権限リクエストに対するデフォルトの応答を、ユーザーに通知することなく設定できます。
4.1.1. IT 管理者は、組織のデフォルトの実行時の権限ポリシーを設定する際に、次のオプションから選択できる必要があります。
- プロンプト（ユーザーが選択可能）
- allow
- 拒否
EMM は、EMM の DPC を使用してこれらの設定を適用する必要があります。
4.2. 実行時の権限の付与状態の管理
デフォルトの実行時権限ポリシーを設定した後（4.1. を参照）、IT 管理者は、API 23 以降で構築された仕事用アプリからの特定の権限に対する応答を、ユーザーに通知することなく設定できます。
4.2.1. IT 管理者は、API 23 以降で構築された仕事用アプリからリクエストされた権限のリクエストの付与状態（デフォルト、付与、拒否）を設定できなければなりません。EMM は、EMM の DPC を使用してこれらの設定を適用する必要があります。
4.3. Wi-Fi 構成管理
IT 管理者は、管理対象デバイスにエンタープライズ Wi-Fi 構成をサイレント プロビジョニングできます。たとえば、次のような構成です。
4.3.1. SSID。EMM の DPC を使用します。
4.3.2. パスワード（EMM の DPC を使用）。
4.4. Wi-Fi セキュリティ管理
IT 管理者は、管理対象デバイスに、以下の高度なセキュリティ機能を含むエンタープライズ Wi-Fi 構成をプロビジョニングできます。
4.4.1. EMM の DPC を使用した ID。
4.4.2. EMM の DPC を使用したクライアント認証用の証明書。
4.4.3. EMM の DPC を使用した CA 証明書。
4.5. 高度な Wi-Fi 管理
IT 管理者は、管理対象デバイスの Wi-Fi 設定をロックダウンして、ユーザーが設定を作成したり、企業の設定を変更したりできないようにすることができます。
4.5.1. IT 管理者は、次のいずれかの構成で企業 Wi-Fi 構成をロックダウンできます。
- ユーザーは、EMM によってプロビジョニングされた Wi-Fi 設定を変更することはできませんが、ユーザーが設定可能な独自のネットワーク（個人用ネットワークなど）を追加、変更することはできます。
- ユーザーはデバイスで Wi-Fi ネットワークを追加または変更できず、Wi-Fi 接続は EMM によってプロビジョニングされたネットワークに限定されます。
4.6. アカウント管理
IT 管理者は、SaaS ストレージや生産性向上アプリ、メールなどのサービスで、承認されていない企業アカウントが企業データにアクセスできないことを確認できます。この機能がないと、一般ユーザー向けアカウントもサポートする企業向けアプリに個人アカウントを追加して、それらの個人アカウントと企業データを共有できるようになります。
4.6.1. IT 管理者は、アカウントの追加や変更を禁止できます。
- デバイスにこのポリシーを適用する場合、EMM はプロビジョニングが完了する前にこの制限を設定する必要があります。これにより、ポリシーが適用される前にアカウントを追加してこのポリシーを回避できないようにします。
4.7. Workspace アカウントの管理
この機能は非推奨になりました。 交換の要件については、3.23 をご覧ください。
4.8. 証明書の管理
IT 管理者が ID 証明書と認証局をデバイスにデプロイして、企業リソースにアクセスできるようにします。
4.8.1. IT 管理者は、PKI によって生成されたユーザー ID 証明書をインストールできます。EMM のコンソールは、少なくとも 1 つの PKI と統合し、そのインフラストラクチャから生成された証明書を配布する必要があります。
4.8.2. IT 管理者は、管理対象キーストアに認証局をインストールできます。
4.9. 高度な証明書管理
IT 管理者が、特定の管理対象アプリで使用する証明書をサイレントに選択できるようにします。この機能により、IT 管理者はアクティブなデバイスから CA と ID 証明書を削除することもできます。この機能により、ユーザーは管理対象キーストアに保存されている認証情報を変更できなくなります。
4.9.1. IT 管理者は、デバイスに配布されるアプリに対して、実行時にサイレントにアクセスが許可される証明書を指定できます。
- 証明書の選択は、すべてのユーザーに適用される単一の構成を可能にするために、十分に汎用的である必要があります。各ユーザーは、ユーザー固有の ID 証明書を持つことができます。
4.9.2. IT 管理者は、管理対象キーストアから証明書をサイレント削除できます。
4.9.3. IT 管理者は、CA 証明書またはすべての非システム CA 証明書をサイレント アンインストールできます。
4.9.4. IT 管理者は、ユーザーが管理対象キーストアで認証情報を構成できないようにすることができます。
4.9.5. IT 管理者は、仕事用アプリの証明書を事前に付与できます。
4.10. 委任された証明書管理
IT 管理者は、サードパーティの証明書管理アプリをデバイスに配布して、管理対象キーストアに証明書をインストールする特権アクセスをアプリに付与できます。
4.10.1. IT 管理者は、DPC によって委任された証明書管理アプリとして設定する証明書管理パッケージを指定します。
- コンソールは、既知の証明書管理パッケージをオプションで提案できますが、IT 管理者が該当するユーザーに対してインストール可能なアプリのリストから選択できるようにする必要があります。
4.11. 高度な VPN 管理
IT 管理者が常時接続 VPN を指定して、指定した管理対象アプリからのデータが常に設定済みの VPN を通過することを確認できるようにします。
4.11.1. IT 管理者は、常時接続 VPN として設定する任意の VPN パッケージを指定できます。
- EMM のコンソールでは、常時接続 VPN をサポートする既知の VPN パッケージを必要に応じて提案できますが、常時接続構成で使用できる VPN を任意のリストに制限することはできません。
4.11.2. IT 管理者は、管理対象設定を使用してアプリの VPN 設定を指定できます。
4.12. IME の管理
IT 管理者は、デバイスに設定できる入力方法（IME）を管理できます。IME は仕事用プロファイルと個人用プロファイルの両方で共有されるため、IME の使用をブロックすると、個人用プロファイルでも IME を使用できなくなります。ただし、IT 管理者は仕事用プロファイルでシステム IME をブロックすることはできません（詳しくは、高度な IME 管理をご覧ください）。
4.12.1. IT 管理者は、任意の長さの IME 許可リスト（システム以外の IME をブロックする空のリストを含む）を設定できます。このリストには、任意の IME パッケージを含めることができます。
- EMM のコンソールでは、許可リストに含める既知の IME や推奨 IME を提案することもできますが、IT 管理者が該当するユーザーに対してインストール可能なアプリのリストから選択できるようにする必要があります。
4.12.2. EMM は、仕事用プロファイルが設定されたデバイスではシステム IME が管理対象から除外されることを IT 管理者に通知する必要があります。
4.13. 高度な IME 管理
IT 管理者は、デバイスに設定できる入力方法（IME）を管理できます。高度な IME 管理では、IT 管理者がシステム IME の使用も管理できるようにすることで、基本機能を拡張します。システム IME は通常、デバイスのメーカーまたは携帯通信会社によって提供されます。
4.13.1. IT 管理者は、任意の長さの IME 許可リストを設定できます（空のリストは除きます。空のリストは、システム IME を含むすべての IME をブロックします）。このリストには、任意の IME パッケージを含めることができます。
- EMM のコンソールでは、許可リストに含める既知の IME や推奨 IME を提案することもできますが、IT 管理者が該当するユーザーに対してインストール可能なアプリのリストから選択できるようにする必要があります。
4.13.2. EMM は、IT 管理者が空の許可リストを設定できないようにする必要があります。この設定を行うと、システム IME を含むすべての IME がデバイスに設定できなくなるためです。
4.13.3. EMM は、IME 許可リストにシステム IME が含まれていない場合、デバイスに許可リストが適用される前にサードパーティ IME が自動インストールされることを確認する必要があります。
4.14. ユーザー補助サービスの管理
IT 管理者は、ユーザーのデバイスで許可できるユーザー補助サービスを管理できます。ユーザー補助サービスは、障がいのあるユーザーや、一時的にデバイスを十分に操作できないユーザーにとって強力なツールですが、企業ポリシーに準拠しない方法で企業データを操作する可能性があります。この機能により、IT 管理者はシステム以外のユーザー補助サービスをオフにできます。
4.14.1. IT 管理者は、任意の長さのユーザー補助サービスの許可リストを設定できます（空のリストも可能。この場合、システム以外のユーザー補助サービスがブロックされます）。このリストには、任意のユーザー補助サービス パッケージを含めることができます。仕事用プロファイルに適用すると、個人用プロファイルと仕事用プロファイルの両方に影響します。
- コンソールは、許可リストに含める既知または推奨のユーザー補助サービスを必要に応じて提案できますが、IT 管理者が該当するユーザーに対してインストール可能なアプリのリストから選択できるようにする必要があります。
4.15. 現在地の共有の管理
IT 管理者は、ユーザーが仕事用プロファイルのアプリと位置情報を共有できないようにすることができます。それ以外の場合、仕事用プロファイルの位置情報の設定は [設定] で構成できます。
4.15.1. IT 管理者は、仕事用プロファイル内で位置情報サービスを無効にできます。
4.16. 高度な現在地共有の管理
IT 管理者は、管理対象デバイスに特定の現在地の共有設定を適用できます。 この機能により、企業アプリは常に高精度の位置情報にアクセスできます。この機能では、位置情報の設定をバッテリー節約モードに制限することで、バッテリーの余分な消費を防ぐこともできます。
4.16.1. IT 管理者は、デバイスの位置情報サービスを設定して、次の各モードに設定できます。
- 高精度] をタップします。
- センサー（GPS など）のみ。ネットワークから提供される位置情報は含まれません。
- バッテリー節約。更新の頻度が制限されます。
- オフ。
4.17. 出荷時設定へのリセット保護機能の管理
IT 管理者は、権限のないユーザーがデバイスを出荷時の設定にリセットできないようにすることで、会社所有デバイスを盗難から保護できます。デバイスが IT 部門に返却されたときに、出荷時設定へのリセット保護機能によって運用が複雑になる場合は、IT 管理者が出荷時設定へのリセット保護機能を完全に無効にすることもできます。
4.17.1. IT 管理者は、ユーザーが [設定] からデバイスを出荷時の設定にリセットできないようにすることができます。
4.17.2. IT 管理者は、初期状態にリセットした後にデバイスのプロビジョニングを許可する企業ロック解除アカウントを指定できます。
- このアカウントは、個人に関連付けることも、企業全体で使用してデバイスのロックを解除することもできます。
4.17.3. IT 管理者は、指定したデバイスの出荷時設定へのリセット保護機能を無効にできます。
4.17.4. IT 管理者は、リモート デバイスワイプを開始できます。このワイプでは、必要に応じてリセット保護データをワイプし、リセットされたデバイスの出荷時設定へのリセット保護機能を削除できます。
4.18. 高度なアプリ制御
IT 管理者は、ユーザーが [設定] で管理対象アプリをアンインストールしたり、変更したりできないようにすることができます。たとえば、アプリを強制終了したり、アプリのデータ キャッシュを消去したりできないようにすることができます。
4.18.1. IT 管理者は、任意の管理対象アプリまたはすべての管理対象アプリのアンインストールをブロックできます。
4.18.2. IT 管理者は、ユーザーが [設定] からアプリデータを変更できないようにすることができます。
4.19. スクリーン キャプチャの管理
IT 管理者は、管理対象アプリの使用中にユーザーがスクリーンショットを撮れないようにブロックできます。この設定には、画面共有アプリや、システムのスクリーンショット機能を使用する同様のアプリ（Google アシスタントなど）のブロックが含まれます。
4.19.1. IT 管理者は、ユーザーがスクリーンショットを撮影できないようにすることができます。
4.20. カメラを無効にする
IT 管理者は、管理対象アプリによるデバイスのカメラの使用を無効にできます。
4.20.1. IT 管理者は、管理対象アプリによるデバイスのカメラの使用を無効にすることができます。
4.21. ネットワーク統計情報の収集
IT 管理者は、デバイスの仕事用プロファイルからネットワーク使用統計情報をクエリできます。収集される統計情報は、設定の [データ使用量] セクションでユーザーと共有される使用状況データを反映しています。収集された統計情報は、仕事用プロファイル内のアプリの使用状況に適用されます。
4.21.1. IT 管理者は、特定のデバイスと構成可能な期間について、仕事用プロファイルのネットワーク統計情報の概要をクエリし、EMM のコンソールで詳細を確認できます。
4.21.2. IT 管理者は、特定のデバイスと構成可能な期間について、仕事用プロファイルのネットワーク使用状況の統計情報でアプリの概要をクエリし、EMM のコンソールで UID 別に整理された詳細情報を表示できます。
4.21.3. IT 管理者は、特定のデバイスと構成可能な期間について、仕事用プロファイルのネットワーク使用状況の履歴データをクエリし、EMM のコンソールで UID 別に整理された詳細情報を確認できます。
4.22. 高度なネットワーク統計情報の収集
IT 管理者は、管理対象デバイス全体のネットワーク使用統計情報をクエリできます。収集された統計情報は、[設定] の [データ使用量] セクションでユーザーと共有される使用状況データを反映しています。収集された統計情報は、デバイス上のアプリの使用に適用されます。
4.22.1. IT 管理者は、特定のデバイスと構成可能な期間について、デバイス全体のネットワーク統計情報の概要をクエリし、EMM のコンソールで詳細を確認できます。
4.22.2. IT 管理者は、特定のデバイスと構成可能な期間について、アプリのネットワーク使用状況の統計情報の概要をクエリし、EMM のコンソールで UID 別に整理された詳細情報を確認できます。
4.22.3. IT 管理者は、特定のデバイスと構成可能な期間についてネットワーク使用量の過去のデータをクエリし、EMM のコンソールで UID 別に整理された詳細を表示できます。
4.23. デバイスを再起動
IT 管理者は、管理対象デバイスをリモートで再起動できます。
4.23.1. IT 管理者は、管理対象デバイスをリモートで再起動できます。
4.24. システム無線通信管理
IT 管理者が、システム ネットワーク無線と関連する使用ポリシーをきめ細かく管理できるようにします。
4.24.1. IT 管理者は、サービス提供者から送信される緊急速報メールを無効にできます（アンバー アラートなど）。
4.24.2. IT 管理者は、ユーザーが [設定] でモバイル ネットワークの設定を変更できないようにすることができます。
4.24.3. IT 管理者は、ユーザーが [設定] でネットワーク設定をリセットできないようにすることができます。
4.24.4. IT 管理者は、ローミング中のモバイルデータの使用を許可または禁止できます。
4.24.5. IT 管理者は、デバイスから発信できるかどうかを設定できます（緊急通報を除く）。
4.24.6. IT 管理者は、デバイスでテキスト メッセージを送受信できるかどうかを設定できます。
4.24.7. IT 管理者は、ユーザーがテザリングによってデバイスをポータブル ホットスポットとして使用できないようにすることができます。
4.24.8. IT 管理者は、Wi-Fi タイムアウトを設定して、デフォルト、電源に接続しているときのみ、タイムアウトしないのいずれかに設定できます。
4.24.9. IT 管理者は、ユーザーが既存の Bluetooth 接続を設定または変更できないようにすることができます。
4.25. システム音声管理
IT 管理者は、デバイスのミュート、ユーザーによる音量設定の変更の防止、ユーザーによるデバイスのマイクのミュート解除の防止など、デバイスのオーディオ機能をサイレントに管理できます。
4.25.1. IT 管理者は、管理対象デバイスをミュートできます。
4.25.2. IT 管理者は、ユーザーがデバイスの音量設定を変更できないようにすることができます。
4.25.3. IT 管理者は、ユーザーがデバイスのマイクのミュートを解除できないようにすることができます。
4.26. システム クロック管理
IT 管理者は、デバイスの時計とタイムゾーンの設定を管理し、ユーザーがデバイスの自動設定を変更できないようにすることができます。
4.26.1. IT 管理者は、システムの自動時刻を適用して、ユーザーがデバイスの日時を設定できないようにすることができます。
4.26.2. IT 管理者は、自動時刻と自動タイムゾーンの両方をサイレントでオンまたはオフにできます。
4.27. 高度な専用デバイスの機能
IT 管理者が専用デバイスの機能をより細かく管理して、さまざまなキオスクのユースケースをサポートできるようにします。
4.27.1. IT 管理者はデバイスのキーガードを無効にできます。
4.27.2. IT 管理者は、デバイスのステータスバーをオフにして、通知とクイック設定をブロックできます。
4.27.3. IT 管理者は、デバイスが電源に接続されている間、デバイスの画面をオンのままにするよう強制できます。
4.27.4. IT 管理者は、次のシステム UI が表示されないようにすることができます。
- トースト
- アプリケーション オーバーレイ。
4.27.5. IT 管理者は、アプリのシステム推奨事項を許可して、最初の起動時にユーザー チュートリアルやその他の導入ヒントをスキップできます。
4.28. スコープの代理管理
IT 管理者は、個々のパッケージに追加の権限を委任できます。
4.28.1. IT 管理者は、次のスコープを管理できます。
- 証明書のインストールと管理
- 意図的に空白
- ネットワーク ログ
- セキュリティ ロギング（個人所有デバイスの仕事用プロファイルではサポートされていません）
4.29. 登録固有の ID のサポート
Android 12 以降、仕事用プロファイルはハードウェア固有の識別子にアクセスできなくなります。IT 管理者は、登録固有の ID を使用して、仕事用プロファイルが設定されたデバイスのライフサイクルを追跡できます。この ID は、出荷時の設定にリセットしても保持されます。
4.29.1. IT 管理者は、登録固有の ID を設定および取得できます。
4.29.2. この登録固有の ID は、出荷時の設定にリセットしても保持される必要があります。
4.30. 認証情報マネージャーのポリシー
IT 管理者は、ポリシーを使用して、許可またはブロックする認証情報マネージャー アプリケーションを管理できます。
4.30.1 IT 管理者は、必要に応じて、デバイス上（または仕事用プロファイル内）のすべての認証情報マネージャーをブロックできます。
4.30.2 意図的に空欄。
4.30.3 IT 管理者は、認証情報マネージャー機能の提供を許可するパッケージ名のリストを指定できます。
4.31. 基本的な eSIM 管理
IT 管理者が eSIM プロファイルを使用してデバイスをプロビジョニングし、デバイス上でそのライフサイクルを管理できるようにします。
4.31.1 IT 管理者は、eSIM プロファイルをデバイスにサイレントにプロビジョニングできる。
4.31.2 IT 管理者は、管理対象の eSIM をデバイスから削除できる。
4.31.3 IT 管理者は、ユーザーが [設定] でモバイル ネットワーク設定を変更できないようにすることができます（mobileNetworksConfigDisabled を参照）。
4.31.4 IT 管理者がデバイスまたは仕事用プロファイルのリモートワイプを実行する際、管理対象の eSIM もデバイスから削除するオプションがあります。デフォルトでは、管理対象 eSIM は個人所有デバイスの仕事用プロファイルから削除されますが、会社所有デバイスには保持されます。
4.31.5（任意）IT 管理者は、EMM コンソール UI（または同等の方法）を使用してデバイスの EID（Embedded Identity Document）識別子を取得し、これらの値をエクスポートできる。
5. デバイスのユーザビリティ
5.1. 管理対象プロビジョニングのカスタマイズ
IT 管理者は、デフォルトのセットアップ フローの UX を変更して、企業固有の機能を追加できます。必要に応じて、IT 管理者はプロビジョニング中に EMM が提供するブランディングを表示できます。
5.1.1. IT 管理者は、企業の色、企業のロゴ、企業の利用規約、その他の免責事項など、企業固有の詳細を指定して、プロビジョニング プロセスをカスタマイズできます。
5.1.2. IT 管理者は、EMM の色、EMM のロゴ、EMM の利用規約やその他の免責事項など、EMM 固有のカスタマイズをデプロイできます。このカスタマイズは設定できません。
5.1.3 [primaryColor] は、Android 10 以降のエンタープライズ リソースでは非推奨になりました。
- EMM は、EMM 固有のカスタマイズを使用しない場合でも、プロビジョニング フローのプロビジョニング利用規約とその他の免責事項をシステム プロビジョニング免責事項バンドルに含める必要があります。
- EMM は、構成不可能な EMM 固有のカスタマイズをすべてのデプロイのデフォルトとして設定できますが、IT 管理者が独自のカスタマイズを設定できるようにする必要があります。
5.2. 企業向けカスタマイズ
IT 管理者は、企業ブランドを使って仕事用プロファイルの一部をカスタマイズできます。 たとえば、IT 管理者は仕事用プロファイルのユーザー アイコンを会社のロゴに設定できます。別の例として、仕事用チャレンジの背景色の設定があります。
5.2.1. IT 管理者は、仕事用チャレンジの背景色として使用される組織の色を設定できます。
5.2.2. IT 管理者は、仕事用プロファイルの表示名を設定できます。
5.2.3. IT 管理者は、仕事用プロファイルのユーザー アイコンを設定できます。
5.2.4. IT 管理者は、ユーザーが仕事用プロファイルのユーザー アイコンを変更できないようにすることができます。
5.3. 高度な企業向けカスタマイズ
IT 管理者は、管理対象デバイスを企業ブランディングでカスタマイズできます。たとえば、IT 管理者は、メインユーザーのアイコンを企業ロゴに設定したり、デバイスの壁紙を設定したりできます。
5.3.1. IT 管理者は、管理対象デバイスの表示名を設定できます。
5.3.2. IT 管理者は、管理対象デバイスのユーザー アイコンを設定できます。
5.3.3. IT 管理者は、ユーザーがデバイスのユーザー アイコンを変更できないようにすることができます。
5.3.4. IT 管理者はデバイスの壁紙を設定できます。
5.3.5. IT 管理者は、ユーザーがデバイスの壁紙を変更できないようにすることができます。
5.4. ロック画面のメッセージ
IT 管理者は、デバイスのロック画面に常に表示されるカスタム メッセージを設定できます。このメッセージは、デバイスのロックを解除しなくても表示されます。
5.4.1. IT 管理者は、カスタムのロック画面メッセージを設定できます。
5.5. ポリシーの透明性の管理
IT 管理者は、ユーザーがデバイスで管理対象の設定を変更したときに表示されるヘルプテキストをカスタマイズしたり、EMM が提供する一般的なサポート メッセージをデプロイしたりできます。短いサポート メッセージと長いサポート メッセージの両方をカスタマイズできます。これらのメッセージは、IT 管理者がアンインストールをすでにブロックしている管理対象アプリをアンインストールしようとした場合などに表示されます。
5.5.1. IT 管理者は、短いサポート メッセージと長いサポート メッセージの両方をカスタマイズします。
5.5.2. IT 管理者は、EMM 固有の短いサポート メッセージと長いサポート メッセージをデプロイできます。これらのメッセージは設定できません。
- EMM は、EMM 固有の構成不可能なサポート メッセージをすべてのデプロイのデフォルトとして設定できますが、IT 管理者が独自のメッセージを設定できるようにする必要があります。
5.6. クロス プロファイル連絡先管理
IT 管理者は、仕事用プロファイルから共有できる連絡先データを管理できます。電話アプリとメッセージ（SMS）アプリはどちらも個人用プロファイルで実行する必要があり、仕事用の連絡先を効率的に管理するには、仕事用プロファイルの連絡先データにアクセスする必要があります。ただし、管理者は仕事用データを保護するために、これらの機能を無効にすることもできます。
5.6.1. IT 管理者は、システム連絡先プロバイダを使用する個人用アプリのクロス プロファイル連絡先検索を無効にすることができます。
5.6.2. IT 管理者は、システム連絡先プロバイダを使用する個人用電話アプリのクロス プロファイル発信者番号検索を無効にできます。
5.6.3. IT 管理者は、システムの連絡先プロバイダを使用する Bluetooth デバイスとの Bluetooth 連絡先共有を無効にできます。たとえば、車載ハンズフリー通話やヘッドセットなどです。
5.7. クロス プロファイル データ管理
仕事用プロファイルのデフォルトのセキュリティ機能に加えて、仕事用プロファイルから持ち出し可能なデータを IT 管理者が管理できるようにします。この機能を使用すると、IT 管理者は特定の種類のクロス プロファイル データ共有を許可して、主要なユースケースでのユーザビリティを向上させることができます。IT 管理者は、さらにロックダウンを強化して企業データを保護することもできます。
5.7.1. IT 管理者は、クロスプロファイル インテント フィルタを構成して、個人用アプリが仕事用プロファイルからのインテントを解決（インテントやウェブリンクの共有など）できるようにすることができます。
- コンソールでは、構成用に既知のインテント フィルタや推奨されるインテント フィルタを提案できますが、インテント フィルタを任意のリストに制限することはできません。
5.7.2. IT 管理者は、ホーム画面にウィジェットを表示できる管理対象アプリを許可できます。
- EMM のコンソールでは、該当するユーザーにインストール可能なアプリのリストから IT 管理者が選択できるようにする必要があります。
5.7.3. IT 管理者は、仕事用プロファイルと個人用プロファイルの間でのコピー/貼り付けの使用をブロックできます。
5.7.4. IT 管理者は、ユーザーが NFC ビームを使用して仕事用プロファイルからデータを共有できないようにブロックできます。
5.7.5. IT 管理者は、個人用アプリが仕事用プロファイルからウェブリンクを開くことを許可できます。
5.8. システム アップデート ポリシー
IT 管理者は、デバイスの無線（OTA）システム アップデートを設定して適用できます。
5.8.1. EMM のコンソールを使用すると、IT 管理者は次の OTA 構成を設定できます。
- 自動: デバイスは、OTA アップデートが利用可能になるとインストールします。
- 延期: IT 管理者は OTA アップデートを最大 30 日間延期できなければなりません。このポリシーは、セキュリティ アップデート（毎月のセキュリティ パッチなど）には影響しません。
- 時間枠指定: IT 管理者は、毎日のメンテナンスの時間枠内で OTA アップデートをスケジュールできる必要があります。
5.8.2. EMM の DPC が、デバイスに OTA 構成を適用します。
5.9. ロックタスク モードの管理
IT 管理者は、アプリまたはアプリのセットを画面にロックし、ユーザーがアプリを終了できないようにすることができます。
5.9.1. EMM のコンソールを使用すると、IT 管理者は任意のアプリセットをデバイスにインストールしてロックすることをサイレントに許可できます。EMM の DPC が専用デバイスモードに対応している。
5.10. 優先アクティビティの永続的な管理
IT 管理者は、特定のインテント フィルタに一致するインテントのデフォルトのインテント ハンドラとしてアプリを設定できます。たとえば、IT 管理者は、ウェブリンクを自動的に開くブラウザアプリや、ホームボタンをタップしたときに使用されるランチャー アプリを選択できます。
5.10.1. IT 管理者は、任意のインテント フィルタのデフォルトのインテント ハンドラとして任意のパッケージを設定できます。
- EMM のコンソールでは、既知のインテントや推奨されるインテントを構成用に提案できますが、インテントを任意のリストに制限することはできません。
- EMM のコンソールでは、IT 管理者が、該当するユーザーにインストール可能なアプリのリストから選択できるようにする必要があります。
5.11. キーガード機能の管理
IT 管理者は、デバイスのキーガード（ロック画面）と仕事用プロファイルのキーガード（ロック画面）をロック解除する前にユーザーが利用できる機能を管理できます。
5.11.1. EMM の DPC は、次のデバイス キーガード機能をオフにできます。
- 信頼エージェント
- 指紋認証によるロック解除
- 編集されていない通知
5.11.2. EMM の DPC は、仕事用プロファイルで次のキーガード機能をオフにできます。
- 信頼エージェント
- 指紋認証
5.12. 高度なキーガード機能の管理
IT 管理者は、会社所有デバイスの高度なデバイス キーガード（ロック画面）機能を管理できます。
5.12.1. IT 管理者は、次のデバイス キーガード機能を無効にできます。
5.13. リモートデバッグ
IT 管理者は、追加の手順を必要とせずに、デバイスからデバッグ リソースを取得できます。
5.13.1. IT 管理者は、リモートでバグレポートをリクエストし、EMM のコンソールからバグレポートを表示してダウンロードできます。
5.14. MAC アドレスの取得
EMM は、デバイスの MAC アドレスをサイレントに取得できます。MAC アドレスは、エンタープライズ インフラストラクチャの他の部分でデバイスを識別するために使用できます（ネットワーク アクセス制御のためにデバイスを識別する場合など）。
5.14.1. EMM は、デバイスの MAC アドレスをサイレントに取得し、EMM のコンソールでデバイスに関連付けることができます。
5.15. 高度なロックタスク モードの管理
デバイスが専用デバイスとしてセットアップされている場合、IT 管理者は EMM のコンソールを使用して次のタスクを実行できます。
5.15.1. EMM の DPC を使用して、1 つのアプリをデバイスにロックすることをサイレントに許可する。
5.15.2. EMM の DPC を使用して、次のシステム UI 機能をオンまたはオフにします。
- ホームボタン
- 概要
- グローバルな操作
- 通知
- システム情報 / ステータスバー
- キーガード（ロック画面）
5.15.3. EMM の DPC を使用して、システムエラー ダイアログをオフにします。
5.16. 高度なシステム アップデート ポリシー
IT 管理者は、指定した凍結期間中、デバイスのシステム アップデートをブロックできます。
5.16.1. EMM の DPC は、指定された凍結期間にデバイスに無線（OTA）システム アップデートを適用できます。
5.17. 仕事用プロファイルに関するポリシーの透明性の管理
IT 管理者は、デバイスから仕事用プロファイルを削除する際にユーザーに表示されるメッセージをカスタマイズできます。
5.17.1. IT 管理者は、仕事用プロファイルがワイプされたときに表示するカスタム テキストを指定できます。
5.18. 接続済みアプリのサポート
IT 管理者は、仕事用プロファイルの境界を越えて通信できるパッケージのリストを設定できます。
5.19. 手動システム アップデート
IT 管理者は、パスを指定してシステム アップデートを手動でインストールできます。
6. Device Admin のサポートを終了
このセクションは削除されました。
7. API の使用
7.1. 新しいバインディングの標準ポリシー コントローラ
デフォルトでは、新しいバインディングには Android デバイス ポリシーを使用してデバイスを管理する必要があります。EMM では、[詳細設定] などの見出しの下にある設定エリアで、カスタム DPC を使用してデバイスを管理するオプションを提供できます。新規顧客は、オンボーディングまたは設定ワークフロー中に、技術スタックを任意に選択することはできません。
7.2. 新しいデバイスの標準ポリシー コントローラ
デフォルトでは、既存のバインディングと新しいバインディングの両方で、すべての新しいデバイス登録に Android Device Policy を使用してデバイスを管理する必要があります。EMM では、[詳細設定] などの見出しの下の設定領域で、カスタム DPC を使用してデバイスを管理するオプションが提供される場合があります。