IntuneでKeePassiumを展開する方法
このガイドは、Microsoft Intuneで管理された企業環境でKeePassiumを管理する必要があるIT管理者向けです。
KeePassiumはIntuneに対応しています。互換性のレベルはアプリのエディションによって異なります:
- KeePassium と KeePassium Pro は、エンドユーザー向けの個人用アプリとして設計されています。Intune経由で展開できますが、アプリ保護ポリシーは適用できません。そのため、個人領域のアプリとしてのみ動作します。
- KeePassium for Intune は、Intune SDKを組み込んで開発された専用アプリです。ポリシーで管理される業務用アプリとして展開でき、アプリ保護ポリシーとアプリ構成ポリシーを適用します。
このガイドの以降の内容は、KeePassium for Intuneに関するものです。簡潔にするため、以下では単にKeePassiumと呼びます。
対応ポリシー
アプリ保護ポリシー(APP)の設定は、アプリに組み込まれたIntune SDKによって適用されます。ポリシー設定のほとんどは、アプリ側が関知することなく適用されます。Microsoftによると、コアAPP設定はすべての管理対象アプリに適用されます。一方、高度なAPP設定はデバイスの登録状態に依存します。
KeePassiumは、条件付きアクセスの「アプリの保護ポリシーが必要」許可制御にも対応しています。
さらに、アプリ構成ポリシーを作成して管理対象アプリのパラメータ(AppConfig)を制御できます。
⚠️ 自動入力は利用不可
KeePassium for Intuneにはパスワード自動入力機能がありません。Intune SDKがこの機能に対応していないためです。
インストール
KeePassium for Intuneは、App Storeで無料アプリとして公開されています。Microsoftのガイドに従って追加できます: iOSストアアプリをMicrosoft Intuneに追加する
構成
アプリを追加したら、アプリ構成ポリシーを作成します:
- Intune管理センターで、アプリ --> アプリ構成ポリシー を開きます
- 追加 をクリックし、必要なコンテキストを選択します。このガイドでは マネージド アプリ を選択します。
- ポリシーに名前を付け、ターゲット を 選択したアプリ に設定します
- パブリック アプリの選択 をクリックし、「KeePassium for Intune」を探してクリックし、選択 をクリックします。
- 設定 タブに到達するまで 次へ をクリックします
- 2つの構成パラメータを作成します:
license— お客様のビジネスライセンスキー。取得についてはお問い合わせください。supportEmail— アプリからのすべてのサポート依頼の宛先となるメールアドレス。社内のサポート窓口を設定することで、外部サポートに届く診断データを管理できます。
- 必要に応じて、その他の管理対象構成パラメータを追加できます。
- 次へ をクリックし、構成ポリシーを適切なグループに割り当てます。
- 次へ をクリックしてポリシーを確認し、作成 をクリックしてアプリ構成を完了します。
デバイスでのセットアップ
- 初回起動時、KeePassium for Intuneはユーザーに職場アカウントでのサインインを求めます。これはIntune SDKが必要とするものであり、KeePassiumの機能とは関係ありません。
- Intuneがユーザーを識別して関連するポリシーを取得すると、アプリはポリシーが適用された状態で再起動します。
- それ以外の点では、アプリは標準版のKeePassiumと同様に動作し、すべての機能が利用できます(ポリシーによる制限が設定されている場合はそれに従います)。
アクセス許可
KeePassium for Intuneには2つのアクセス許可が必要です:
User.Read— ユーザーがアプリにサインインできるようにし、Intuneが関連するポリシーを適用できるようにします。DeviceManagementManagedApps.ReadWrite— Intune Mobile Application Managementにおいて、アプリが自身に関するユーザーデータを読み書きできるようにします。これは Intune SDKが必要とするものです。
これらのアクセス許可はテナント全体に付与できます。
OneDrive API
OneDriveとの同期には、ユーザーが自身のデータベースおよび共有データベースにアクセスできるよう、追加のアクセス許可が必要です。詳細: OneDriveで同期する方法
トラブルシューティング
KeePassiumはあなたの組織の企業アカウントを見つけられませんでした
これは、KeePassiumが管理対象構成パラメータの中に有効なビジネスライセンスを見つけられなかったことを意味します。アプリ構成の手順に従っていること、およびライセンスキーが有効であることを確認してください。
アプリ保護ポリシーがクライアントデバイスに適用されない
ポリシーが正しいグループを対象としていることを確認してください。また、Intuneでのポリシー配信には数時間かかる場合があることにご注意ください: アプリ保護ポリシーの配信タイミングについて
アカウントにはIntuneのライセンスが付与されているが、MAMポリシーの対象になっていない
このエラーはIntuneライブラリから発生するものです。同ライブラリのイシュートラッカーによると、最も可能性の高い原因は次のとおりです:
- アプリに対してアプリ保護ポリシーが構成されている必要があります。正しいコンテキスト(デバイス/ユーザー)で作成されていることを確認してください。
- 一部の環境では、アプリ構成ポリシーに以下の定義済みキーを含める必要があります:
キー 値 IntuneMAMUPN{{userprincipalname}}IntuneMAMOID{{userid}}IntuneMAMDeviceID{{deviceID}}
管理者の承認が必要
これは、KeePassiumにサインインしたユーザーに、アプリが組織のデータにアクセスすることへの同意を行う権限がない場合に発生することがあります。
解決策は、管理者アカウントから同意を付与することです。KeePassium for Intuneに対してテナント全体の管理者同意を付与するためのURLは次のとおりです:
https://login.microsoftonline.com/organizations/adminconsent?client_id=292a80b3-139a-4165-a20d-b2d2e764e538このURLをブラウザに貼り付け、管理者アカウントでログインし、要求されているアクセス許可を確認して 承諾 をクリックします。
複数のテナントを管理している場合は、Microsoftの記事の説明に従ってURLを調整する必要がある場合があります。