Intune アプリ保護ポリシー (Windows) の注意点＝ハマる！

# はじめに
Intune のアプリ保護ポリシーは 主に iOS や Android を管理するためのものという認識がありますが、Windows にもあります。
アプリ保護ポリシーは、iOS や Android 上の Teams / Outlook などから、プライベート領域へのコピペを禁止したりできます。

しかし、その経験だけで、マニュアルも見ずに、Windows デバイスで アプリ保護ポリシーを試そうとすると、色々とハマるので、その注意点を紹介していきたいと思います。

:::note alert
私が記事を書いた時点では、MAM 登録ができない問題なども発生しており、結果的に うまく構成ができませんでした。
その際の注意点を中心に この記事を記載しています。
:::

:::note info
同じような事象に見舞われてしまった人が、この記事を見て 無駄な時間を費やさない事に貢献できれば幸いです。
:::

（2024年4月21日：追記）
アンマネージドな MAM 登録 を成功させるための手順について、以下の記事を公開しました。この記事を参考に MAM 登録を実施していただくことで、トラブルを未然に防げると思います。

https://qiita.com/carol0226/items/b051951fd89f865dd76e

（2024年3月20日：追記）
弊社の @Shokolate さんが 以下の記事で アプリ保護ポリシーを構成した記事を書かれています。こちら とても参考になるので、ぜひ参照ください。

https://qiita.com/shokolate/items/6af8e6b49c87bd3ef3d5

https://qiita.com/shokolate/items/7ae4adfb4c16e5b8a0b2

# アプリ保護ポリシー の 正常動作時の画面イメージ
0. Microsoft Entra Registared が実施された デバイス＆ユーザー で、Edge を起動します。
　<br>
0. Edge の一番左上の箇所をクリックして、プロファイル画面を開き、ユーザーを選んだあと「サインインしてデータを同期」を押します。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/b30c830f-123d-28fb-3f85-9d46f5de54a6.png)
　<br>
0. 左上のアイコンに「職場」という文字が追加されます。そこを押して開くと「管理アカウント」になっていることも確認できます。このブラウザセッションでは、アプリ保護ポリシーが適用されます。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/86b9c568-36fb-60fa-822b-73e215701950.png)
　<br>
0. このセッションで、ブラウザ上のテキストを選択して、コピーします。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/18857c64-8d64-299d-5092-55c128d4d9c2.png)
　<br>
0. 以下のように コピーがブロックされます。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/2288076b-1c5a-ae7b-ea16-491147fd7763.png)
　<br>
0. 同様に Office 365 (Web版) を開いて、Word 上で 下図のように テキストをコピーしても同様です。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/1d4b458c-7849-491d-a90a-b5ef125108c1.png)
　<br>
0. 以下のように コピーがブロックされます。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/2288076b-1c5a-ae7b-ea16-491147fd7763.png)

:::note info
上記のような形で、企業内のドキュメントを開いて、情報をコピーしようとしても、ブロックされるため プライベート領域に持ち出せないようになります。
:::

# Windows アプリ保護ポリシー の注意点
## 注意点①：アプリは Edge しか選択できない
これは、以下の通り UI を見れば分かるのですが、選択肢に Edge しか無いです。
そのため、iPhone / Android のように ここで対象のアプリを選んで 保護ポリシーを書くという事ができません。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/167d8be3-6102-878b-a222-ca7ed58aa923.png)

:::note warn
その他のアプリは、Windows 情報保護 (WIP) ポリシーを使う仕組みになっています。
ですが、WIP にも落とし穴があります。
詳細は "注意点 ⑥" で説明していますが、WIP は なんと サポートが終了します。
:::

## 注意点②：MDM デバイス には適用されない
注意点① で Edge しか選択できないことは説明しましたが、さらに MDM デバイスには アプリ保護ポリシーが適用されません。
MDM 登録されていない、アンマネージドデバイス の場合にだけ、アプリ保護ポリシーが適用できます。

この思想は、MDM デバイスであれば、デバイス全体が安全な領域だと判断されるためだと思います。
アンマネージドデバイスの場合は、プライベートな OS なので、アプリ保護された Edge からプライベートな領域へのコピペや印刷に、ブロックを掛ける意味が出てきます。

:::note alert
私は、これに気付かず、MDM 登録された Windows デバイスに Edge のアプリ保護ポリシーを適用して、検証結果が期待通りに再現されずに 無駄な時間を費やしました。この観点も、知らずにやっているとハマる点です。
:::

以下の公開情報に、MDM デバイスが アプリ保護ポリシーの対象外である事の説明が記載されています。

**公開情報**

https://learn.microsoft.com/ja-jp/mem/intune/apps/app-protection-policy-settings-windows

**（抜粋）**

:::note warn
Windows 上の Intune MAM では、アンマネージド デバイスがサポートされています。
デバイスが既に管理されている場合、Intune MAM 登録はブロックされ、APP 設定は適用されません。 MAM 登録後にデバイスが管理されると、APP 設定は適用されなくなります。
:::

## 注意点③：条件付きアクセスで アプリ保護ポリシーを強制する必要がある
アンマネージド デバイスに アプリ保護ポリシーを適用するだけでは 十分ではないかもしれません。

この場合、Edge のアプリで、職場プロファイル を使った場合だけ、ポリシーの設定が有効になっています。
しかし、個人のプロファイルを使った場合や、Edge 以外のブラウザには ポリシーが適用されていません。

いくら Edge に保護をかけたとしても、**ゆるゆるな抜け道** が存在していることになります。

そのため、条件付きアクセスで **アプリ保護ポリシーを必須とする** と組み合わせて利用することで、アプリ保護ポリシー の本来のセキュリティ的な価値がでてきます。

以下の公開情報を参照して、条件付きアクセス を構成することで対策できます。

**公開情報**

https://learn.microsoft.com/ja-jp/entra/identity/conditional-access/how-to-app-protection-policy-windows

**Chrome からのアクセス時には Edge へ誘導される**
（これが想定通りの動作です）
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/a2cb66fa-75a7-7b56-24cc-43ab3e47f2ac.png)

:::note alert
条件付きアクセスを使わないと、セキュリティ的に片手落ちになることは明白なのですが、この条件付きアクセス を使うようにすると、以降の流れに陥って、ハマります。
:::

**Edge で 個人プロファイルの際には、職場プロファイル への切り替え へ誘導される**
（これも想定通りの動作です）
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/ac1ead33-54d7-1bd5-29a8-5297b9fab020.png)

**Edge 上に職場プロファイルが無い場合、「サインインしてデータを同期」を押すと、プロファイルが作られます**
（これも想定通りの動作です）
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/d61da6fc-8131-5e28-c2c6-fa196020f0bd.png)

**プロファイルが作られる際に、MAM 登録 のアクションが行われるハズだが・・・**
以下のウィンドウが出た場合には、MAM 登録にはなりません。Microsoft Entra Registared されるだけです。

（このウィンドウではダメ）
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/11ec2a78-4210-996f-9f64-56fde3846205.png)

:::note alert
結果的に、Microsoft Entra Registared は成功しますが、MAM 登録は行われていません。Edge の職場プロファイルは作成されており、一見問題が無いようにみえるのですが、（注意点⑤）の事象の引き金になってしまいます。
:::

:::note info
**（2024/4/16追記）**
正解は、以下の赤枠のように **組織がデバイスを管理できるようにする** のメッセージが出ている必要があります。しかも、チェックボックス を **OFF** にして **OK** を押す必要があります。この場合にだけ、MAM 登録 が成立します。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/a8a1d075-9d2a-05f9-bb6f-8903b23b1d6c.png)
:::

（2024/4/21 追記）
上記の MAM 登録時の ウィンドウ表示と **組織がデバイスを管理できるようにする** の意味については、以下の記事で説明しています。

https://qiita.com/carol0226/items/b051951fd89f865dd76e

## 注意点④：MAM 登録 が行えない ~~（障害？）~~ 解決！
注意点④ と 注意点⑤ が同時に存在することで、最悪の事態を招いています。
一番のハマりどころです。

~~現在、なぜ MAM 登録できないのか？ については、サポートに問い合わせて調べてもらっています。原因が判明すれば、情報を共有させていただきます。~~
~~おそらく、この問題が解消すれば アプリ保護ポリシー は使えるようにはなると 私は 考えています。~~

(2024/4/21 追記) この問題が解消し、想定通りに アプリ保護ポリシーが動作しました。

MAM 登録 できない問題の解決にあたって、@shokolate さんから情報をいただきました。
MAM 登録 を成功させるには、WIP ユーザースコープを "なし" にする必要があります。

:::note alert
以下の公開情報は、2024/4/21 時点 の記載では、WIP ユーザースコープの説明は記載されておらず、MAM ユーザースコープについての説明になっています。
ここに書かれている説明を鵜呑みにして、MAM 登録 をしようとすると、WIP ユーザースコープの設定と混同してしまうため注意が必要です。

**公開情報：自動登録管理者のタスク**
https://learn.microsoft.com/ja-jp/mem/intune/fundamentals/deployment-guide-enrollment-windows#automatic-enrollment-administrator-tasks

**（2024/4/21 時点の画面)**
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/836be2b9-ef37-39c5-d76e-774fb10ac138.png)
:::

:::note warn
（関連情報）
MAM の登録方法を詳しく調べてみると、以前 MAM ユーザースコープ だった箇所が Windows 情報保護(WIP) ユーザースコープ に置き換わった様子です。
2024年1月に変更された・・・との 噂 もあったのですが、確認してみると 確かに 差異があるようです。

これって、項目名が改名されただけなら良いのですが、動作仕様まで変わってしまったとなると、やっかいな問題です。

**私が 2023年12月に取得していたキャプチャ**
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/27ca521f-7836-57fc-9f5d-f829f38642ef.png)

**私が 2024年1月に取得したキャプチャ**
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/7bab31a5-ddb4-b0f5-2510-6b2480b3956d.png)
:::

過去のルールで　MAM に登録させるためには（MAM ユーザースコープ）に ユーザーが所属するグループを割り当てた状態で、Microsoft Entra Registered すれば良かったのですが、この設定欄が WIP スコープに変わっています。
WIP ユーザースコープに含まれたユーザーは、WIP 登録が実行されてしまい、その結果 以下のエラーが出てしまいます。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/348d3c9d-aac7-611b-5e59-dc44b0607780.png)

どうやら、世界中で MAM 登録時に 失敗する・・・というエラーが出ている様子

https://learn.microsoft.com/en-us/answers/questions/1488480/error-code-80180006?page=1#answers

## 注意点⑤："条件付きアクセス（アプリ保護ポリシーが必要）" で無限ループが発生する
以下の公開情報で、既知の不具合として説明されていますが、ちょっと分かりづらいです。
**公開情報：トラブルシューティング**
https://learn.microsoft.com/ja-jp/entra/identity/conditional-access/how-to-app-protection-policy-windows#existing-account

MAM に登録されていないと、Edge の 条件付きアクセス（アプリ保護ポリシーが必要）の条件を満たせずに、再度 Edge プロファイルの切り替えが求められてしまい、この処理が無限ループになります。

そのため、Microsoft Entra Registered のみを行ったユーザーは、注意が必要です。

**Edge でプロファイルが切り替わっているにも関わらず、職場アカウントでのサインインが求められてしまう（無限ループ）の状態**
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/a708012b-d605-b452-e538-930cba68ff5d.png)

## 注意点⑥：Windows 情報保護 (WIP) はサービス終了
今までは、Edge 以外のアプリを保護するためには、Windows 情報保護 (WIP) が提供されてきました。

WIP で保護されたアプリには、以下のように ブリーフケース（赤下線）のアイコンが表示されて、ここから ローカル側には コピペをブロックする・・という機能です。

**(RDP の例)**
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/9d53c7b8-ca2f-49e7-8db2-6e450ea3e494.png)

**(Teams の例)**
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/e75e9a1b-8cb1-a979-ec0f-1f46875e7757.png)

**(保護された ペイント アプリで保存したファイル の例)**
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/11ab3150-11fa-ff6a-c59e-878773986a41.png)

しかし、以下の公開情報に記載されている通り、なんと WIP はオワコンのようなのです。

**（公開情報）**

https://learn.microsoft.com/ja-jp/mem/intune/apps/windows-information-protection-policy-create

**（抜粋）**
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/efa3b9ac-64b3-9077-cc71-f4f149f3684c.png)

**Windows Information Protection のサポート終了ガイダンス**
以下で、詳細に説明されています。
今後は、Microsoft Purview データ損失防止（DLP）を使ってください・・・とのことです。

https://techcommunity.microsoft.com/t5/intune-customer-success/support-tip-end-of-support-guidance-for-windows-information/ba-p/3580091

**上記の英語の記事を Bing Copilot 君に 要約してもらった結果**

:::note info
Windows Information Protection (WIP) のサポート終了に関するガイダンスを要約します。
WIP は、Windows 上で従業員のエクスペリエンスを妨げることなく、誤ってデータが漏洩するのを防ぐためにリリースされたものでした。
しかし、多くのユーザーから異種プラットフォームで機能するデータ保護ソリューションのニーズが表明され、MicrosoftはMicrosoft Purview Data Loss Prevention (DLP) を構築しました。
これは、Microsoft Purview Information Protection と深く統合されており、組織が使用する SaaS アプリやサービスと同じ感度の高いデータ保護コントロールをエンドポイントに拡張できるようにサポートします。
WIP を使用している場合は、Microsoft Purview DLP と Information Protection を活用して、クロスプラットフォームおよびクロスクラウドのニーズに対する最も堅牢なデータ保護を実現することをお勧めします。
WIP のサポートは、2022年のカレンダー年末までに登録なしのシナリオ に対しても終了します。詳細はこちらをご覧ください。
:::

**Microsoft Purview データ損失防止（DLP）**
参考までに 後継機能 Microsoft Purview データ損失防止（DLP）へのリンクです。
いずれ 検証してみます！

https://learn.microsoft.com/ja-jp/purview/dlp-learn-about-dlp

# さいごに
以上の状況から、Intune で Windows の アプリ保護ポリシーの採用は、ちょっと考えた方が良い・・・というネタでした。

# この記事を執筆したあとでしたが、とても参考になる記事をみつけたので、共有いたします。
Azure AD Registared されるシチュエーションについて、詳しく検証された結果になっています。

https://qiita.com/Shinya-Yamaguchi/items/997a00ab6009b716078d