個人デバイスと会社デバイス向けにBoxモバイルアプリのポリシーを分ける

Boxをモバイルデバイスから利用する際、
**「同じユーザーだけど個人デバイス(BYOD)からアクセスした場合はプレビューだけ、会社デバイスからは編集もできる」**
といった制御をMicrosoft IntuneのMAM (アプリ保護ポリシー)と組み合わせて実現する設定例を紹介します。

# Boxモバイルアプリの種類
Boxのモバイルアプリは大きく分けて2種類あります。

* 標準のモバイルアプリ(以下、”標準アプリ”)
* Box for EMM

Box for EMMをMicrosoft IntuneなどのMDM/EMMソリューションから配信することで、**「アクセス元のデバイス制限 (例：会社デバイスからのみBoxにアクセスさせる)」** や、**「アクセス先のBoxテナント制限 (例：個人用Boxアカウントにモバイルアプリから接続させない)」** することが可能となります。標準アプリはBYODなど個人デバイスに、Box for EMMはMDM/EMMで管理された会社デバイスにインストールされて利用されます。Box for EMMについては以下ドキュメントをご参照ください。
[Box for EMMの概要とFAQ](https://support.box.com/hc/ja/articles/360043694974-Box-for-EMM%E3%81%AE%E6%A6%82%E8%A6%81%E3%81%A8FAQ)

# Intune MAM対応
標準アプリとBox for EMMはどちらもIntune MAMのサポート対象アプリとなっています。つまり、Intuneのアプリ保護ポリシーによって、「Boxモバイルアプリで扱うファイルの他アプリケーションへの受け渡し、コピー」などをIntune側で制御することが可能です。
[保護されている Microsoft Intune アプリ](https://support.box.com/hc/ja/articles/360043694974-Box-for-EMM%E3%81%AE%E6%A6%82%E8%A6%81%E3%81%A8FAQ)

# Box管理コンソールの設定

- 管理コンソールのEnterprise設定-モバイル-Boxモバイルアプリのユーザー権限を設定します。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/391979/ecc31abf-1f55-ee08-17f1-0098f1574ee4.png)
- 「デバイスにファイルを保存する」を有効化します。この設定を無効化した場合、Boxモバイルアプリ(標準アプリ、Box for EMM両方)からアクセスした場合に端末にファイルがダウンロードされず、編集が出来ません。
:::note warn
Boxモバイルアプリは単体では編集機能を持たないため、ファイルを端末にダウンロードしてOfficeモバイルアプリなど外部アプリケーションでファイルを開く必要があります。
:::

- 「コンテンツを外部アプリケーションで開く」を有効化します。
- 「Intuneモバイルアプリケーション管理(Intune MAM)を有効化する」を有効化します。
    - この設定が有効化されたテナントの管理対象ユーザーとしてBoxモバイルアプリからログインすると、MicrosoftアカウントでのApplication Loginが求められるようになり、Intune MAMが適用されます。**BYOD想定の標準アプリでIntune MAMを適用するために必要な設定(Intune MAM without Enrollment)** となります。

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/391979/2aba7012-b719-5924-abf3-2205016c66ac.png)

- その他の項目は要件に合わせて設定します。ポイントは、**Box管理コンソールでは”標準アプリ”と”Box for EMM”で共通の制御になるため、「会社デバイスでは編集可能する」という緩めの要件に合わせて設定し、Intune MAM側でアプリ毎の制御をかける**点です。

# Intune MAMの設定

- Box for EMM向けのアプリ保護ポリシーを設定します
    - デバイスの種類: マネージド
    - パブリックアプリ: Box for EMM, Microsoft Officeなど
    <img src="https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/391979/cd2298c7-866c-956a-6bc9-c603f9a9d127.png" width=70%>

    - 「データ保護」で他のアプリにデータ送信できる設定とする
    <img src="https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/391979/196e188d-9c6f-7f41-c1f2-97a552378a9b.png" width=70%>

    - (参考) [アプリ保護ポリシーを作成して割り当てる方法](https://learn.microsoft.com/ja-jp/mem/intune/apps/app-protection-policies)

- 標準アプリ向けのアプリ保護ポリシーを設定します
    - デバイスの種類: アンマネージド
    - パブリックアプリ: “Box-Cloud Content Management”のみを指定
    <img src="https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/391979/aa9c563e-919d-b1ae-edc8-2c10d078f58d.png" width=70%>

    - 「データ保護」で他のアプリにデータ送信できない設定とする
 <img src="https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/391979/26db513e-2900-ef05-f771-7cb90023edc0.png" width=70%>

# 実際の動作
## 会社デバイスのiPadからBox for EMMを利用
- "Box for EMM"をタップして起動
<img src="https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/391979/f6a96ef9-578c-0687-fc34-12615577af54.png" width=50%>

- 対象のファイルをプレビューし、画面下部の矢印ボタンから編集用のモバイルアプリを選択
<img src="https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/391979/19b5994e-f106-d383-f6fe-16acb1e00fcf.png" width=50%>

- 外部アプリケーション(例: Microsoft Office)が起動し、ファイルを渡して編集
<img src="https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/391979/b7f0b33b-af5c-4b9d-258b-fd6dd53189b4.png" width=50%>


## 個人デバイスのiPhoneから標準アプリを利用
- 標準アプリをタップして起動
<img src="https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/391979/e2263186-1067-e5eb-8c94-416f5123f061.png" width=30%>

- 対象のファイルをプレビューし、画面下部の矢印ボタンをタップ
<img src="https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/391979/72a3c934-892b-4166-9b7d-208e5eaa8263.png" width=30%>

- 外部アプリケーションが表示されない
<img src="https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/391979/abbbf245-22ff-6178-7ab7-320aaf5ef187.png" width=30%>

:::note warn
上記環境ではBox管理コンソールからアプリケーションの個別管理で”Office for iOS”を無効化しています。Office for iOSにてOpen-in(他アプリで開く)を行った場合はIntune MAM対象外のデータとして取り扱われます。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/391979/43e49d4f-20a3-b15b-2789-ac8b69cd4ce0.png)
:::

# まとめ
「会社管理のタブレットデバイスでBox上のファイルを編集したい。個人デバイスも使いたい声が現場から上がっているけどデータの取り扱いは注意したい」といった要望はよくあるかと思います。Boxはモバイルアプリ向けの制御機能を提供していますが、Microsoft Intuneと組み合わせてBYOD向け、会社端末向けに個別にポリシーを設定することでより柔軟な制御が可能となります。モバイルデバイスの活用を通して、より幅広い業務でBoxを使い倒していきましょう！