KNOXプロファイル | MobiControl v13 Manual

Android端末を含む MobiControlの設定は次の順序で行いますが、ここでは、下記の5番目、端末グループまたは端末の構成プロファイルの作成を実行します。

MobiControlサーバのプロパティと証明書等設定
端末グループの作成
企業や団体の組織にそって、階層的に端末グループを作成
(組織名の入力が主な作業)
managed Google Playアカウントの作成(Android Enterpriseの場合)
G. Suiteアカウントの作成とGoogleとのバインド(Android Enterpriseの場合)
端末グループまたは端末の構成プロファイル作成
(無線LANやセキュリティ対策など)
端末登録ルールの作成と登録IDの発行
下位階層グループ別の登録IDを端末ユーザに連絡します。
端末エージェントのインストールと登録
端末グループの詳細設定
登録ルール以外のルールの設定
業務用アプリの配布のためには特にアプリカタログ・ルール
パッケージのプロファイルへの積込
コンテンツのライブラリへのアップロード
業務に必要なファイルを端末に配付するために、サーバにアップロードしておきます。

端末の設定分野には「構成プロファイル」と「詳細設定」と「ルール」があります。詳しくは、構成プロファイルとルールと詳細設定を参照ください。

構成プロファイルのメニュー画面には、複数の設定項目が表示されます。
この設定項目を選ぶと各々のダイアログがポップアップするのでこれに対し設定作業を行います。
一つまたは複数の設定項目を設定して、一つの構成プロファイルを作成します。
そして、それを適用する端末グループまたはAD(Active Directory)のグループに割り当てをします。
その端末グループに属する端末の挙動は、割り当てられた構成プロファイルに従います。

上辺のタブバーの中から、Androidタブを選びます。更に、下辺のタブの「プロファイル」を選択します。

A. 構成プロファイルに名前をつける

(図1)

下辺の「プロファイル」タブを選択すると、画面は(図1)のようになります。
構成プロファイルを作成するには、「追加」ボタンを押します。

「追加」ボタンを押すと、(図2)のポップアップが現われます。

(図2)

名前欄に、構成プロファイルの名前を入力します。構成プロファイル内の構成や利用対象の組織名などを類推しやすい名前をつけるのがよいでしょう。
説明欄に、構成プロファイル内の構成や利用対象がより分かり易い記述を書き込みます。
構成プロファイルを更新した場合は、その履歴も記入しておくとよいでしょう。

B. Android設定モードに「Samsung KNOX」を選択

(図2)の赤矢印をドロップダウンすると、(図3)のようなメニューが現われます。

(図3)

(図3)で、「Samsung KNOX」を選択します。
Android設定モードの選択が終わると、「構成」タブを選択します。(図4)が現われます。

(図4)

C. 構成プロファイル・メニュー

(図4)で「追加」タブを選択すると、(図5)が現われます。
これが、構成プロファイル・メニューです。

(図5)
Samsung KNOXの構成プロファイルメニュー

(図5)で設定したい項目をクリックすると、各々の設定ダイアログがポップアップします。一つの構成プロファイルに、複数の設定項目を積み込むことができます。

D. 構成プロファイルの編集または削除

構成プロファイルの設定が終わると、(図4)は、(図6)の例のように遷移します。設定した構成の項目を選択(背景色が変わる)してから、アクションをプルダウンすると、(図6)のようにアクション項目が表示されます。実行したいアクションを選択します。「削除」は選んでいる設定項目のみを削除。「全てを削除」は、当該プロファイルの全ての設定項目を削除します。

(図6)

E. 構成プロファイルの端末グループへの割り当て

構成プロファイルの適用対象となる端末グループまたは端末を指定します。

割り当て方法 - その1

(図6)の画面の下辺にある「保存して割り当て」をクリックすると、(図7)のポップアップが現われます。ここで、対象となる端末グループまたは端末を選択します。選択をするとチェックマークがつきます。選択が終わると、下辺の「割り当て」ボタンを押します。これで、端末グループまたは端末の割り当てが完了します。

(図7)

割り当て方法 - その2

(図2)では、作成済みの構成プロファイルのリストが表示されています。これらの構成プロファイルには1台以上の端末が既に割り当てられています。更に割り当てる端末グループまたは端末を追加できます。
また、どの端末にも割り当ててない構成プロファイルもありえます。その構成プロファイルは、ステータスが「ドラフト」と表示されています。
（図2)の中の一つの構成プロファイルにマウスを当てて、背景色をブルーにしてから、「アクション」タブをプルダウンします。
「アクション」タブをプルダウンすると、(図8)のようなプルダウンメニューが現われます。

(図8)

このメニューの中の「プロファイルの割り当て」を選択すると(図7)が現われます。
(図7)に、チェックを付けて端末グループまたは端末を追加したり、チェックを外して端末グループまたは端末を対象から外すことをします。選択が終わると、下辺の「割り当て」ボタンを押します。これで、端末グループまたは端末の割り当てが完了します。

端末がMobiControlサーバに接続している場合は、「割り当て」を実施すると構成プロファイルは、すぐに対象端末に送られます。接続してない場合は、次のイベントのどれかで接続します。

端末の接続時間帯の開始時刻になったとき
コンソール管理者が、「設定を今すぐ更新する。オンラインにする。」の作業をしたとき

但し、下記の場合は例外です。

端末が電源オフになっている場合、または、ネットワークに接続していない場合
(図15)のインストールオプションで、後刻に送るように指定した場合

(図8)の項目	説明
プロファイルの編集	作成済の構成プロファイルの設定値を変えたり、設定項目を追加するときに、選択します
プロファイルを無効にする	割り当て済の端末グループに、新規に登録されてくる端末への割り当てを停止します。既に割り当てられた端末では、この構成プロファイルは、今後も有効に機能しつづけます。
プロファイルの失効	適用済の全ての端末で、構成プロファイルが機能停止します。但し、構成プロファイルが削除されるわけではありません。その後、インストールを再試行すれば、再度、構成プロファイルは有効になります。
プロファイルのインストールを再試行	プロファイルを失効させた後に、実施します。再インストールに成功すれば、再度、構成プロファイルは有効になります。

F. 構成プロファイルのActive Directoryのグループへの割り当て

AD(Active Directory)では、端末ユーザが所属するグループを規定しています。構成プロファイルの割当対象をADのグループのメンバーが持つ端末にすることもできます。 (図7)上辺の「LDAP対象」タブを選択すると、画面は(図9)のように遷移します。

(図9)

予め、LDAPプロファイルを作成しておきます。(図9)では、「東日本地区」という名前の LDAPプロファイルに含まれるADのグループ群の幾つかに、「情報漏洩対策」という名前の構成プロファイルを割り当てようとしている例です。
割り当て対象となるADのグループ名を、(図9)に列記します。グループ名の正確な文字列を知っておく必要はありません。(図9)の赤矢印部分に、文字列の最初の2文字を入力すると、その文字列で始まるグループ名を表示してくれます。一つの構成プロファイルに複数のADのグループに割り当てることができます。その場合は、そのグループ名を2行目以降に列記します。

(図10)
ADのグループに構成プロファイルを割り当てた例

逆に、当該構成プロファイルを割り当てたくないADのグループがあるかもしれません。例えば、端末をUSBポート経由でPCからデータを抜き取ることを不可能にする構成プロファイルを、ADの本社全体グループに割り当てたとします。しかし、「情報システム部」に対応するADのグループには、例外として割り当てないことがあります。その場合は、情報システム部に対応するADのグループを入力して、(図10)の下辺の「Excluded」をクリックします。

割り当てが終わると、下辺の「割り当て」ボタンを押します。これで、端末グループまたは端末の割り当てが完了します。

G. 割り当て除外フィルタの設定

構成プロファイルは、端末グループまたはADのグループに割り当てますが、そのグループ内の特定の端末には、適用したくないことがあります。例えば、「端末証明書」のインストールを義務づける構成プロファイルを、あるグループに割り当てたとします。しかし、そのグループの中の端末であっても、「端末証明書」のインストールを免除しておきたい端末がありえます。
端末のOSバージョンがある基準値以上でないと、機能しない構成プロファイルもありえます。その場合、基準値未満のOSバージョンには構成プロファイルを割り当てない場合もあります。

(図7)または(図9)の上辺の「フィルター条件」のタブを選択すると、(図11)に画面遷移します。

(図11)

(図11)で「追加」ボタンを押すと、(図12)のように、「端末ののプロパティ」などのドロップダウンメニューが現れます。

(図12)

「端末のプロパティ」、「監視データ」または「カスタム属性」のどれでも、複数のフィルター条件を設定できます。 (図11)の赤矢印部分で、「全て」または「どれでも」の選択ができます。

「全て」
複数の条件があれば、その全ての条件に適合した場合にのみ、除外します。
「どれでも」
複数の条件のうち、一つだけでも適合したときに、除外します。

端末のプロパティ

(図12)で「端末のプロパティ」を選択すると、(図13)のように端末のプロパティの種類が列記されます。

(図13)

(図13)で除外したい端末のプロパティを選ぶと、その右に、「しきい値」を入力する覧が現れるので、適切な値を入力します。

監視データ

(図12)での「監視データ」は、

端末のアプリが作成/更新するINIファイルの特定のパラメータの値
端末内のXMLファイルの特定の要素ノードの値

を指します。詳しくは、監視データの定義を参照ください。(図12)で「監視データ」を選択した場合は、ここで、その「しきい値」を設定します。特定の監視データの値が、しきい値以上であったり以下であった場合に、構成プロファイルの割り当てをしないようにできます。

カスタム属性

(図12)で、「カスタム属性」は「端末の付属情報」のことです。これはMobiControl管理者の任意で設定できる情報項目です。例えば、

端末ユーザの役職名
端末の購入日
端末の資産台帳での資産番号
その他

などです。これらの情報項目の値に基づいて、構成プロファイルを適用しないようにできます。

MDMとの互換性

(図12)での「MDMとの互換性」は、端末のMDM機能レベルを指します。

MobiControlを含むMDMに対応する端末機能のAPIは、メーカーによって異なります。同じメーカーでも過去に出荷した端末のAPI群と現在出荷中端末のAPI群が異なることもあります。

このMDM機能レベルによって、構成プロファイルを割り当てない場合があります。「MDMとの互換性」を選択すると、その説明欄には、(図14)のように端末のMDM機能レベルがプルダウン列記されます。

(図14)

H. 構成プロファイルまたはパッケージのインストール・オプション

(図7)、(図9)または(図11)の上辺の「オプション」を選択すると、(図15)に画面遷移します。

(図15)

(図15)の設定項目		説明
インストール方法		「自動」か「セルフサービス」を選択します。「自動」を選択した場合、下辺の「割り当て」ボタンを押すと、構成プロファイルおよびパッケージはすぐに端末に送られ、インストールされます。「セルフサービス」を選択すると、端末ユーザは、インストールする時を選択できるようになります。
通信回線の限定		構成プロファイルおよびパッケージを端末に配布するときの通信回線を限定します。例えば、「ローミング中の携帯回線」のチェックをオフにしておくと、ローミング中は送られません。帰国後に送られます。
最小のバッテリレベル		構成プロファイルおよびパッケージを端末に送るときの、端末のバッテリーレベルを1から100%で指定します。デフォルトは0になっています。0のときは、バッテリレベルをチェックせずに、配布を試行します。
パッケージ・オプション		パッケージのインストールに関してのオプション設定をします。
	デバイスでサポートされている時にパッケージを持続的に保存	パッケージを端末の「不揮発性メモリ」に保存しておきます。端末を初期化した後、自ら再インストールできます。
	すべてのアップデートスケジュールでパッケージを再インストール	端末がMobiControlサーバにアクセスして更新するスケジュールのたびに、パッケージを再インストールする。
	プロファイルの失効または削除でパッケージコンテンツをアンインストール	(図8)で、プロファイルの失効または削除を実施すると、パッケージおよびパッケージのコンテンツをアンインストールします。
スケジュールされたアクション		割り当て日時、無効日時、失効日時を予め設定しておきます。
	割り当て日	「自動」を選択すると、構成プロファイルとパッケージはすぐに端末に送られ、インストールされますが、このオプションを選択すると、今すぐでなく、後日に割り当てます。その日時を指定します。
	次のアップデートスケジュールにずらす	今すぐでなく、次の更新スケジュールの時に割り当てます。
	パッケージ	「自動」を選択すると、パッケージはすぐに端末に送られ、インストールされますが、このオプションを選択すると、今すぐでなく、後日に割り当てます。その日時を指定します。
	無効日	新規に登録されてくる端末への割り当てを停止する日時を指定します。その日時までに割り当てられた端末では、この構成プロファイルはその後も有効に機能しつづけます。
	失効日	既に割り当てた端末も含めて、構成プロファイルの機能が停止する日時を指定します。但し、構成プロファイルが削除されるわけではありません。その後、再インストールすれば再度、構成プロファイルは有効になります。