Boxをモバイルデバイスから利用する際、
「同じユーザーだけど個人デバイス(BYOD)からアクセスした場合はプレビューだけ、会社デバイスからは編集もできる」
といった制御をMicrosoft IntuneのMAM (アプリ保護ポリシー)と組み合わせて実現する設定例を紹介します。
Boxモバイルアプリの種類
Boxのモバイルアプリは大きく分けて2種類あります。
- 標準のモバイルアプリ(以下、”標準アプリ”)
- Box for EMM
Box for EMMをMicrosoft IntuneなどのMDM/EMMソリューションから配信することで、「アクセス元のデバイス制限 (例：会社デバイスからのみBoxにアクセスさせる)」 や、「アクセス先のBoxテナント制限 (例：個人用Boxアカウントにモバイルアプリから接続させない)」 することが可能となります。標準アプリはBYODなど個人デバイスに、Box for EMMはMDM/EMMで管理された会社デバイスにインストールされて利用されます。Box for EMMについては以下ドキュメントをご参照ください。
Box for EMMの概要とFAQ
Intune MAM対応
標準アプリとBox for EMMはどちらもIntune MAMのサポート対象アプリとなっています。つまり、Intuneのアプリ保護ポリシーによって、「Boxモバイルアプリで扱うファイルの他アプリケーションへの受け渡し、コピー」などをIntune側で制御することが可能です。
保護されている Microsoft Intune アプリ
Box管理コンソールの設定
- 管理コンソールのEnterprise設定-モバイル-Boxモバイルアプリのユーザー権限を設定します。
- 「デバイスにファイルを保存する」を有効化します。この設定を無効化した場合、Boxモバイルアプリ(標準アプリ、Box for EMM両方)からアクセスした場合に端末にファイルがダウンロードされず、編集が出来ません。
Boxモバイルアプリは単体では編集機能を持たないため、ファイルを端末にダウンロードしてOfficeモバイルアプリなど外部アプリケーションでファイルを開く必要があります。
- 「コンテンツを外部アプリケーションで開く」を有効化します。
- 「Intuneモバイルアプリケーション管理(Intune MAM)を有効化する」を有効化します。
- この設定が有効化されたテナントの管理対象ユーザーとしてBoxモバイルアプリからログインすると、MicrosoftアカウントでのApplication Loginが求められるようになり、Intune MAMが適用されます。BYOD想定の標準アプリでIntune MAMを適用するために必要な設定(Intune MAM without Enrollment) となります。
- その他の項目は要件に合わせて設定します。ポイントは、Box管理コンソールでは”標準アプリ”と”Box for EMM”で共通の制御になるため、「会社デバイスでは編集可能する」という緩めの要件に合わせて設定し、Intune MAM側でアプリ毎の制御をかける点です。
Intune MAMの設定
-
Box for EMM向けのアプリ保護ポリシーを設定します
- デバイスの種類: マネージド
- パブリックアプリ: Box for EMM, Microsoft Officeなど
- 「データ保護」で他のアプリにデータ送信できる設定とする
-
標準アプリ向けのアプリ保護ポリシーを設定します
- デバイスの種類: アンマネージド
- パブリックアプリ: “Box-Cloud Content Management”のみを指定
- 「データ保護」で他のアプリにデータ送信できない設定とする
実際の動作
会社デバイスのiPadからBox for EMMを利用
- "Box for EMM"をタップして起動
- 対象のファイルをプレビューし、画面下部の矢印ボタンから編集用のモバイルアプリを選択
- 外部アプリケーション(例: Microsoft Office)が起動し、ファイルを渡して編集
個人デバイスのiPhoneから標準アプリを利用
- 標準アプリをタップして起動
- 対象のファイルをプレビューし、画面下部の矢印ボタンをタップ
- 外部アプリケーションが表示されない
上記環境ではBox管理コンソールからアプリケーションの個別管理で”Office for iOS”を無効化しています。Office for iOSにてOpen-in(他アプリで開く)を行った場合はIntune MAM対象外のデータとして取り扱われます。
まとめ
「会社管理のタブレットデバイスでBox上のファイルを編集したい。個人デバイスも使いたい声が現場から上がっているけどデータの取り扱いは注意したい」といった要望はよくあるかと思います。Boxはモバイルアプリ向けの制御機能を提供していますが、Microsoft Intuneと組み合わせてBYOD向け、会社端末向けに個別にポリシーを設定することでより柔軟な制御が可能となります。モバイルデバイスの活用を通して、より幅広い業務でBoxを使い倒していきましょう！