Microsoft Entra ID：アンマネージドな MAM 登録 のやり方

# はじめに
2024年2月頃に、以下の記事を投稿していました。

https://qiita.com/carol0226/items/6a9a7e9788d87d4596c2

この時点で、Windows で MAM 登録 が出来ない問題に遭遇していましたが、その問題を解決できましたので、そのノウハウを踏まえて、**アンマネージドな MAM 登録 のやり方** を紹介したいと思います。

実は、私が アンマネージドな MAM 登録 でハマっていた際に、MDM スコープと WIP スコープ のあり方について、@shokolate さんに情報をいただいた結果、トラブルを解消でき、本記事完成に至る事ができました。とても感謝しています。

@shokolate さんは、Intune を中心に より難度が高く、より詳しい記事を多く執筆されていますので、そちらの記事も ぜひ参照いただくと宜しいかと思います。

:::note info
**関連する公開情報**（2024 年 9 月 5 日 追記）
関連する公開情報を追記しました。
**展開ガイド: Microsoft Intune の登録されていないデバイスのモバイル アプリケーション管理 (MAM)**
https://learn.microsoft.com/ja-jp/mem/intune/fundamentals/deployment-guide-enrollment-mamwe?wt.mc_id=mvp_407731
:::

# MAM 登録の２つの構成
以下の公開情報で紹介されている通り、MAM には、2 通りの構成があります。
① Intune MDM + MAM と、② アンマネージドな MAM です。

**モバイルアプリケーション管理 (MAM) の基本**
https://learn.microsoft.com/ja-jp/mem/intune/apps/app-management#mobile-application-management-mam-basics?wt.mc_id=mvp_407731

## ① Intune MDM + MAM を実施するには
この構成を行う場合は、デバイスを Intune に MDM 登録すれば OK です。
以下の記事を参考にしてください。

https://qiita.com/carol0226/items/e75b04f2a6a99fa6bcf7

## ② アンマネージドな MAM
アンマネージドな MAM とは、デバイスが Intune に管理されれていない状態の MAM を指しています。
本記事では、アンマネージドな MAM を構成するための手順を紹介していますので、次章 以降を参照してください。

# アンマネージドな MAM 登録の目的
Windows での アプリ保護ポリシー を利用する場合に必要な構成です。
企業が デバイスを Intune 管理していない（アンマネージドな状態）場合は、デバイスが 個人所有 の扱いになります。

アプリ保護ポリシーは、個人所有のデバイスから、企業の情報資産（Microsoft 365 等）へアクセスした場合に、その情報が アプリを介して 個人所有のデバイスへ 複製・印刷 などを行えないように制御することができます。

:::note warn
2024年4月 の時点では、アプリ保護ポリシーは Edge しか対応していません。
:::
:::note info
条件付きアクセスを構成して、Office 365 へのアクセスを Edge & アプリ保護ポリシー のみに絞り、その他の方法でのアクセスをブロックすることで、個人所有デバイスから 企業の情報資産 (Office365等) へ安全にアクセスを許可できるようになります。

Edge 以外の **アプリ** からのアクセスをブロックする必要もある点、ご注意ください。
Word / Excel / PowerPoint / Outlook /Teams の **アプリ** を、非準拠デバイスからはブロックすることで、結果的に 個人所有デバイスから 企業の情報資産へのアクセスは、アプリ保護ポリシー が適用された Edge 経由のみ でアクセスさせることが可能になります。
:::

# アンマネージドな MAM 登録 を成立させるための 3 つのポイント
アンマネージドな MAM 登録 を成功させるには、適切な環境を準備して 正しい手順を実行する必要があります。
1. デバイスの状態
2. テナントの設定
3. MAM 登録時の手順

## 1. デバイスの状態
以下の両方の条件を満たす必要があります。
- デバイスが Intune 登録 されて **いない** こと。
- ユーザーが Microsoft Entra Registared されて **いない** こと。

デバイスが 既に 自社 テナントに Intue 登録 されていた場合は、MAM 登録 を実施すると、 "Intune MDM + MAM" の状態になってしまいます。

:::note warn
もし、デバイスが Intune 登録されていたり、ユーザーが Microsoft Entra Registared されている場合は、登録を削除してください。
:::

## 2. テナントの設定
テナントで **モビリティ (MDM および WIP)** の設定が以下となっていることが推奨です。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/f0475bb6-cb5f-b303-dc98-7bc45905e237.png)
これ以外の構成でも、条件次第では OK となりますが、条件がややこしいため、次章以降の説明を参照してください。

## 3. MAM 登録時の手順
MAM 登録 の詳細な手順は、@shokolate さんの記事を参考にしてみてください。

https://qiita.com/shokolate/items/6af8e6b49c87bd3ef3d5

この章では、MAM 登録の際に 見落としがちな **チェックボックス** の罠について説明します。

**チェックボックスの罠とは？**
MAM 登録を行う際に、環境によって 以下の画面が表示されますが、**③ の場合** だけが アンマネージドな MAM 登録 になります。

つまり、チェックボックスが **表示** されていて、**OFF** を選択した場合が条件です。

チェックボックスが 非表示 だったり、チェック ON で登録した場合は、別の意味になってしまうため、その場合は 登録を解除したうえで、再登録が必要です。 
|№| ① | ② | ③ |
|:-:|:-:|:-:|:-:|
|結果| ✖| ✖ | ◎<br>アンマネージドな<br>MAM 登録 成功 |
|画像|![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/d81ae034-0143-8921-eb73-1536a056a8c1.png)|![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/4f7a6045-0f6b-de11-3145-c048b395535d.png)|![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/4a25adfd-e746-2a1f-ca4f-0b2fb53ba127.png)|
|説明|チェックボックスが **出ない** |チェックボックスが **ON**|チェックボックスが **OFF**|
|登録状態①|Microsoft Entra Registared|Microsoft Entra Registared|Microsoft Entra Registared|
|登録状態②|未登録|Intune MDM + MAM 登録|アンマネージドな<br>MAM 登録|

:::note info
**凡例**
登録状態① = Microsoft Entra Registared の登録状態
登録状態② = MAM の登録状態
:::

:::note warn
基本的に、本章で挙げた 3 つのポイントを 踏まえて MAM 登録を実施すれば、大きな問題には遭遇しないと思います。
次章では 例外の事象に見舞われた際の対処策をお知らせします。
:::

**Support Blog：すべてのアプリにサインインしたままにする**

https://jpazureid.github.io/blog/azure-active-directory/WorkPlaceJoin/

**参考：ヴァル パスクチさんの記事**

https://qiita.com/valpasucucci43/items/5bc9c093ce9212d9f3ed

# トラブル時の対処策
## 1. MAM 登録時に チェックボックスが出ない
以下のように MDM ユーザースコープが **なし** になっている場合は、チェックボックスが出ません。

**一部** になっている場合は、選択されているグループに ユーザーが含まれていないと、チェックボックスが出ません。

そのため、MAM 登録させたいユーザーは、必ず MDM ユーザースコープに含まれている必要があります。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/2c0568a6-f1c0-f437-d4ef-3304a5cc37bf.png)

## 2. チェックボックスが出なかった状態で Registared してしまった場合
これをやってしまった場合、MAM 登録 はされていません。

見た目にはわからないのですが、この状態で アプリ保護ポリシーを利用しようとすると、職場プロファイルへの切替の際に 無限ループ の事象に見舞われます。

**対処策 ①**

0. MDM ユーザースコープ に、以下のように 目的のユーザーが含まれるようにしてください。
　① MDM ユーザースコープを **すべて** にする
　② MDM ユーザースコープを **一部** にして、割当グループにユーザーが含まれた状態にする
　<br>
0. Edge に作られた 職場プロファイル を 削除します。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/c1e38119-c9cd-3a69-4470-f30a1145844a.png)
　<br>
0. 一旦、端末側から Registrard 状態を **解除** して、テナント側のデバイスの一覧から **削除** された状態にします。万が一 テナント側に情報が残っていたら、手動で削除します。
　<br>
0. 10 分程度待ってから、再登録 を試みてください。
※10 分待つ理由ですが、テナント側で完全に解除されるまでタイムラグがある様子です。おそらく、内部的に反映が完了するまで待たないと、再登録時に 適切な状態になっておらず、さらなる問題になります（次章で説明）

:::note warn
過去に チェックボックス無しの "Microsoft Entra Registared" の状態になったユーザーは、あとから MDM スコープに加えても、MAM 登録には変化しません。

必ず、"Microsoft Entra Registared" の状態 を完全にクリアにしてから、MDM スコープに含まれる状態で 再度 MAM 登録 を実施する必要があります。
:::

## 3. WIP ユーザースコープ に ユーザーが含まれていて 登録エラー
以下のように WIP ユーザースコープが **一部** または **すべて** になっている場合は、注意が必要です。

MDM よりも WIP が優先される仕組みのため、WIP ユーザースコープに含まれているユーザーは、MDM/MAM 登録ではなく WIP の登録が行われます。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/0821c555-bf11-ffcb-957a-eb2a25d42ba2.png)
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/d65a17fd-6282-c767-0ca5-3573c8fd1a09.png)

しかも、上記の注意書きに書かれているように、新たに WIP の作成はサポートされていないため、以下のエラー (0x80180006) が出てしまいます。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/076c2ba0-516c-49da-00d2-886a9659a0ec.png)


以前から WIP を運用中のテナントの場合は、WIP 登録が成功するかもしれませんが、それは MAM 登録 ではありません。MAM 登録を行いたいユーザーは WIP スコープから除外されるように構成してください。

## 4. 10 分待たずに、解除 & 再登録 してしまった場合
これをやってしまうと、MAM 登録 の正しい手順を踏んだとしても、アプリ保護ポリシーの利用時に、以下のエラーが表示されて、ブロックされます。

私も、知識不足の頃に、これをやってしまっていました。
MDM / WIP のユーザースコープをよく理解しないまま、勘で MAM 登録 を試行錯誤してしまうと、おおむね この状態になってしまっています。

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/2a03a99b-52d0-20f8-ed9f-f50ff70d78e2.png)

これが、一番ハマりどころです。

この状態になった ユーザープロファイル上では、他の テナントユーザー が 正しい手順で MAM 登録を実施しても、アプリ保護ポリシーの利用時には 皆 このエラーが出てしまい、復帰できなくなります。

まるで テナント内に、デバイスの情報が 変なゴミとなって残ってしまっているのではないかって感じです。この状態から 回復させる方法を 以下で紹介します。

なお、以下に紹介する 対処策② は、私が経験上 偶然 発見した回避策ですので、公式な方法として案内されている方法ではない点、ご承知おきください。

**対処策 ②**

0. 前章で説明した **対処策 ①** を 各 テナントユーザー に対して実施する。
　<br>
0. 問題が出た Windows の ユーザープロファイル とは 別の ローカルユーザー管理者 で PC にサインインします。
　<br>
0. システムのプロパティを開き、「詳細設定」タブから、ユーザープロファイル欄の「設定」ボタンを押します。

:::note info
**システムのプロパティの開き方**
1) スタート － 設定（歯車マーク）
2) 「Windows の設定」画面で「システム」を選択
3) 左ペインから、詳細情報 (Win10)、バージョン情報 (Win11) を選択
4) 関連設定の欄にある、「システムの詳細設定」を選択する
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/646ca22c-200a-bf0e-d637-36260f830153.png)
5) 詳細設定タブで ユーザープロファイル 欄の「設定」ボタンを押します。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/d876906e-d1bd-7b79-b775-7722c5090c80.png)
:::

4．ユーザープロファイルの一覧から、問題が出た ユーザープロファイル を 選択して、削除 ボタンを押します。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/84bce351-0695-298d-4bd1-03e940f8ba8d.png)

5．プロファイルが削除されたら、PC を再起動します。

6．元々の PC の ユーザーでサインインします。初回サインインの状態になります。

7．サインインが完了してから、アンマネージドな MAM 登録 の手順を実施する。

このアクションで登録を行うと、エラーの対処ができているため、アンマネージドな MAM 登録 は成功すると思います。
その結果、アプリ保護ポリシー を正しく利用できるようになります。


# ご参考
あとから見つけた記事ですが、参考になるかと思い 追記いたしました。

https://jpazureid.github.io/blog/azure-active-directory/WorkPlaceJoin2/

https://jpazureid.github.io/blog/azure-active-directory/WorkPlaceJoin/

https://qiita.com/Shinya-Yamaguchi/items/997a00ab6009b716078d