はじめに

2024年2月頃に、以下の記事を投稿していました。

この時点で、Windows で MAM 登録が出来ない問題に遭遇していましたが、その問題を解決できましたので、そのノウハウを踏まえて、アンマネージドな MAM 登録のやり方 を紹介したいと思います。

実は、私がアンマネージドな MAM 登録でハマっていた際に、MDM スコープと WIP スコープのあり方について、@shokolate さんに情報をいただいた結果、トラブルを解消でき、本記事完成に至る事ができました。とても感謝しています。

@shokolate さんは、Intune を中心により難度が高く、より詳しい記事を多く執筆されていますので、そちらの記事もぜひ参照いただくと宜しいかと思います。

関連する公開情報（2024 年 9 月 5 日追記）
関連する公開情報を追記しました。
展開ガイド: Microsoft Intune の登録されていないデバイスのモバイルアプリケーション管理 (MAM)
https://learn.microsoft.com/ja-jp/mem/intune/fundamentals/deployment-guide-enrollment-mamwe?wt.mc_id=mvp_407731

MAM 登録の２つの構成

以下の公開情報で紹介されている通り、MAM には、2 通りの構成があります。
① Intune MDM + MAM と、② アンマネージドな MAM です。

モバイルアプリケーション管理 (MAM) の基本
https://learn.microsoft.com/ja-jp/mem/intune/apps/app-management#mobile-application-management-mam-basics?wt.mc_id=mvp_407731

① Intune MDM + MAM を実施するには

この構成を行う場合は、デバイスを Intune に MDM 登録すれば OK です。
以下の記事を参考にしてください。

② アンマネージドな MAM

アンマネージドな MAM とは、デバイスが Intune に管理されれていない状態の MAM を指しています。
本記事では、アンマネージドな MAM を構成するための手順を紹介していますので、次章以降を参照してください。

アンマネージドな MAM 登録の目的

Windows でのアプリ保護ポリシーを利用する場合に必要な構成です。
企業がデバイスを Intune 管理していない（アンマネージドな状態）場合は、デバイスが個人所有の扱いになります。

アプリ保護ポリシーは、個人所有のデバイスから、企業の情報資産（Microsoft 365 等）へアクセスした場合に、その情報がアプリを介して個人所有のデバイスへ複製・印刷などを行えないように制御することができます。

2024年4月の時点では、アプリ保護ポリシーは Edge しか対応していません。

条件付きアクセスを構成して、Office 365 へのアクセスを Edge & アプリ保護ポリシーのみに絞り、その他の方法でのアクセスをブロックすることで、個人所有デバイスから企業の情報資産 (Office365等) へ安全にアクセスを許可できるようになります。

Edge 以外の アプリ からのアクセスをブロックする必要もある点、ご注意ください。
Word / Excel / PowerPoint / Outlook /Teams の アプリ を、非準拠デバイスからはブロックすることで、結果的に個人所有デバイスから企業の情報資産へのアクセスは、アプリ保護ポリシーが適用された Edge 経由のみでアクセスさせることが可能になります。

アンマネージドな MAM 登録を成立させるための 3 つのポイント

アンマネージドな MAM 登録を成功させるには、適切な環境を準備して正しい手順を実行する必要があります。

デバイスの状態
テナントの設定
MAM 登録時の手順

1. デバイスの状態

以下の両方の条件を満たす必要があります。

デバイスが Intune 登録されて いない こと。
ユーザーが Microsoft Entra Registared されて いない こと。

デバイスが既に自社テナントに Intue 登録されていた場合は、MAM 登録を実施すると、 "Intune MDM + MAM" の状態になってしまいます。

もし、デバイスが Intune 登録されていたり、ユーザーが Microsoft Entra Registared されている場合は、登録を削除してください。

2. テナントの設定

テナントで モビリティ (MDM および WIP) の設定が以下となっていることが推奨です。

これ以外の構成でも、条件次第では OK となりますが、条件がややこしいため、次章以降の説明を参照してください。

3. MAM 登録時の手順

MAM 登録の詳細な手順は、@shokolate さんの記事を参考にしてみてください。

この章では、MAM 登録の際に見落としがちな チェックボックス の罠について説明します。

チェックボックスの罠とは？
MAM 登録を行う際に、環境によって以下の画面が表示されますが、③ の場合 だけがアンマネージドな MAM 登録になります。

つまり、チェックボックスが表示されていて、OFF を選択した場合が条件です。

チェックボックスが非表示だったり、チェック ON で登録した場合は、別の意味になってしまうため、その場合は登録を解除したうえで、再登録が必要です。

№	①	②	③
結果	✖	✖	◎ アンマネージドな MAM 登録成功
画像
説明	チェックボックスが出ない	チェックボックスが ON	チェックボックスが OFF
登録状態①	Microsoft Entra Registared	Microsoft Entra Registared	Microsoft Entra Registared
登録状態②	未登録	Intune MDM + MAM 登録	アンマネージドな MAM 登録

凡例
登録状態① = Microsoft Entra Registared の登録状態
登録状態② = MAM の登録状態

基本的に、本章で挙げた 3 つのポイントを踏まえて MAM 登録を実施すれば、大きな問題には遭遇しないと思います。
次章では例外の事象に見舞われた際の対処策をお知らせします。

Support Blog：すべてのアプリにサインインしたままにする

参考：ヴァルパスクチさんの記事

トラブル時の対処策

1. MAM 登録時にチェックボックスが出ない

以下のように MDM ユーザースコープがなしになっている場合は、チェックボックスが出ません。

一部になっている場合は、選択されているグループにユーザーが含まれていないと、チェックボックスが出ません。

そのため、MAM 登録させたいユーザーは、必ず MDM ユーザースコープに含まれている必要があります。

2. チェックボックスが出なかった状態で Registared してしまった場合

これをやってしまった場合、MAM 登録はされていません。

見た目にはわからないのですが、この状態でアプリ保護ポリシーを利用しようとすると、職場プロファイルへの切替の際に無限ループの事象に見舞われます。

対処策 ①

MDM ユーザースコープに、以下のように目的のユーザーが含まれるようにしてください。
　① MDM ユーザースコープを すべて にする
　② MDM ユーザースコープを一部にして、割当グループにユーザーが含まれた状態にする
　
Edge に作られた職場プロファイルを削除します。

　
一旦、端末側から Registrard 状態を解除して、テナント側のデバイスの一覧から削除された状態にします。万が一テナント側に情報が残っていたら、手動で削除します。
　
10 分程度待ってから、再登録を試みてください。
※10 分待つ理由ですが、テナント側で完全に解除されるまでタイムラグがある様子です。おそらく、内部的に反映が完了するまで待たないと、再登録時に適切な状態になっておらず、さらなる問題になります（次章で説明）

過去にチェックボックス無しの "Microsoft Entra Registared" の状態になったユーザーは、あとから MDM スコープに加えても、MAM 登録には変化しません。

必ず、"Microsoft Entra Registared" の状態を完全にクリアにしてから、MDM スコープに含まれる状態で再度 MAM 登録を実施する必要があります。

3. WIP ユーザースコープにユーザーが含まれていて登録エラー

以下のように WIP ユーザースコープが一部または すべて になっている場合は、注意が必要です。

MDM よりも WIP が優先される仕組みのため、WIP ユーザースコープに含まれているユーザーは、MDM/MAM 登録ではなく WIP の登録が行われます。

しかも、上記の注意書きに書かれているように、新たに WIP の作成はサポートされていないため、以下のエラー (0x80180006) が出てしまいます。

以前から WIP を運用中のテナントの場合は、WIP 登録が成功するかもしれませんが、それは MAM 登録ではありません。MAM 登録を行いたいユーザーは WIP スコープから除外されるように構成してください。

4. 10 分待たずに、解除 & 再登録してしまった場合

これをやってしまうと、MAM 登録の正しい手順を踏んだとしても、アプリ保護ポリシーの利用時に、以下のエラーが表示されて、ブロックされます。

私も、知識不足の頃に、これをやってしまっていました。
MDM / WIP のユーザースコープをよく理解しないまま、勘で MAM 登録を試行錯誤してしまうと、おおむねこの状態になってしまっています。

これが、一番ハマりどころです。

この状態になったユーザープロファイル上では、他のテナントユーザーが正しい手順で MAM 登録を実施しても、アプリ保護ポリシーの利用時には皆このエラーが出てしまい、復帰できなくなります。

まるでテナント内に、デバイスの情報が変なゴミとなって残ってしまっているのではないかって感じです。この状態から回復させる方法を以下で紹介します。

なお、以下に紹介する対処策② は、私が経験上偶然発見した回避策ですので、公式な方法として案内されている方法ではない点、ご承知おきください。

対処策 ②

前章で説明した 対処策 ① を各テナントユーザーに対して実施する。
　
問題が出た Windows のユーザープロファイルとは別のローカルユーザー管理者で PC にサインインします。
　
システムのプロパティを開き、「詳細設定」タブから、ユーザープロファイル欄の「設定」ボタンを押します。

システムのプロパティの開き方

スタート－設定（歯車マーク）
「Windows の設定」画面で「システム」を選択
左ペインから、詳細情報 (Win10)、バージョン情報 (Win11) を選択
関連設定の欄にある、「システムの詳細設定」を選択する
詳細設定タブでユーザープロファイル欄の「設定」ボタンを押します。

4．ユーザープロファイルの一覧から、問題が出たユーザープロファイルを選択して、削除ボタンを押します。

5．プロファイルが削除されたら、PC を再起動します。

6．元々の PC のユーザーでサインインします。初回サインインの状態になります。

7．サインインが完了してから、アンマネージドな MAM 登録の手順を実施する。

このアクションで登録を行うと、エラーの対処ができているため、アンマネージドな MAM 登録は成功すると思います。
その結果、アプリ保護ポリシーを正しく利用できるようになります。