2026.10.29 セキュリティ

MDMとMAMの違い：私物端末でMAMを選ぶ条件と併用時のポリシー設計

MDMは端末そのものを、MAMは業務アプリとその中のデータを管理します。この記事では、MDMとMAMの違いを管理できる範囲・ワイプの効き方・利用者の負担で比べたうえで、登録なしのMAMで管理者ができること・できないこと、条件付きアクセスで保護されたアプリだけに接続を絞る設計を、Microsoft Intuneの公式ドキュメントに沿って整理する内容です。iPhoneのユーザ登録やAndroidの仕事用プロファイルという中間の方式にも触れ、私物端末（BYOD）でMAMを選ぶ条件と、会社支給端末と併用するときのポリシーの分け方まで情シス担当者の判断軸で示します。

まとめ：私物端末はMAMを基本にし、端末の設定まで要る業務だけMDMを使う

MDMとMAMは、どちらが上位というものではありません。両者の違いは、管理する対象の単位です。MDMは端末を登録して設定・ロック・全消去まで握る方式で、会社支給端末に向きます。MAMは端末を登録せず、PIN・コピー制限・保存先の制限・業務データだけの消去をアプリ単位でかける方式で、私物端末に向きます。

私物端末の業務利用が「メール・チャット・ファイル閲覧」に収まるなら、MAMと条件付きアクセスの組み合わせで足ります。社内Wi-FiやVPNの設定配布、証明書による端末認証、業務アプリの強制インストールが要るなら、MAMでは届きません。その業務は会社支給端末とMDMに寄せるか、iPhoneのユーザ登録やAndroidの仕事用プロファイルという中間の方式を検討します。両方が混在する組織では、同じ利用者に「管理端末向けの緩いMAM」と「未登録端末向けの厳しいMAM」を分けて割り当てるのが基本形です。

MDMとMAMの違いを管理対象とワイプの範囲と利用者の負担で比べる

MDMの定義や、EMM・UEMを含めた4つの概念の発展の流れはMDMの仕組みとEMM・UEMとの違いを整理した記事で扱っています。ここではMDMとMAMの2つに絞り、運用で差が出る点だけを比べます。

端末単位のMDMとアプリ単位のMAMで管理者が触れられる範囲の差

MDMでは端末を管理サーバーに登録し、パスコードの強制、カメラやAirDropの禁止、Wi-Fi設定の配布、アプリの配布といった端末全体の設定を管理者が決めます。MAMでは端末の設定には触れず、業務アプリの中にある「企業データ」にだけ規則をかけます。

比較項目	MDM	MAM
管理する単位	端末全体	業務アプリとその中のデータ
端末の登録	必要	不要（登録端末でも併用可）
消去できる範囲	端末全体または会社データ	アプリ内の業務データのみ
Wi-Fi・VPN・証明書の配布	できる	できない
向く端末	会社支給	私物（BYOD）

表の通り、MAMは「できることが少ない代わりに、利用者の端末に踏み込まない」方式です。Intuneのアプリ保護ポリシーは、どのMDMにも依存せずに使え、管理の中心は端末ではなくユーザーIDになると説明されています。

紛失や退職のときに効くワイプの範囲で比べる完全消去と選択的ワイプ

差が最もはっきり出るのはワイプです。Intuneには3種類のワイプがあります。端末を工場出荷時の状態に戻す完全なワイプ、MDM登録端末から会社データだけを消すMDMの選択的ワイプ、アプリから業務データだけを消すMAMの選択的ワイプです。前の2つはMDMに登録した端末でしか実行できません。

私物端末で退職者の業務データを消す場面では、MAMの選択的ワイプが現実的な手段になります。MAMの選択的ワイプは、利用者がアプリを使用中なら30分ごとに要求が確認され、アプリの初回起動と職場アカウントでのサインイン時にも確認される仕様です。端末の電源が入っていないと消えないので、退職日の前にワイプを発行し、最終出社日にアプリを開いてもらう段取りにしておくと確実です。

MAMで守れるのはSDKに対応したアプリだけという適用範囲の前提

MAMの規則はどのアプリにもかけられるわけではありません。対象になるのは、Intune App SDKを組み込んだアプリか、Intune App Wrapping Toolでラップしたアプリです。Outlook、Teams、OneDrive、Word、Excel、Edgeなどのマイクロソフト製アプリと、公開されている保護対象アプリの一覧に載ったアプリが該当します。

業務で使うチャットや経費精算アプリが一覧に無い場合、そのアプリの業務データはMAMでは守れません。導入前に、私物端末で使わせたい業務アプリを全部書き出し、保護対象かどうかを1本ずつ確かめてください。一覧に無いアプリが主力なら、MAMだけで私物端末を許可する設計は成り立ちません。

MAMの仕組みと登録なしMAMで管理者がかけられるアプリ保護ポリシー

Intuneでは、端末を登録しないMAMを「登録なしMAM（MAM-WE）」と呼びます。利用者から見ればBYODの運用そのものです。ここでは管理者が実際に設定する内容と、その限界を確認します。

アプリ保護ポリシーで設定するPIN・コピー制限・保存先・暗号化の4項目

アプリ保護ポリシーで最初に決めるのは次の4項目です。

アクセス時のPINまたは生体認証（業務データを開くときに要求）
切り取り・コピー・貼り付けの制限（業務アプリから個人アプリへの貼り付けを禁止）
組織データのコピーの保存先（OneDriveやSharePointに限定）
アプリデータの暗号化（企業データとしてマークされた分だけを暗号化）

どこまで厳しくするかは、マイクロソフトのデータ保護フレームワークが目安になります。レベル1はPIN・暗号化・選択的ワイプの最小構成、レベル2はデータ漏えい防止と最小OSバージョンの要件を加えた構成で、業務データに触れる大半のモバイル利用者が対象です。レベル3は機密情報を扱う人向けで、PIN要件の強化と脅威検知の連携まで含みます。全員をレベル2で始め、役員と経理・人事の担当者だけレベル3に上げる割り当て方が、問い合わせを増やさずに済みます。

登録なしMAMではアプリ配布と証明書とWi-FiやVPNの設定を配れない

登録なしMAMには明確な制約があります。公式の説明では、MDMに登録されていないBYOD端末では、アプリは端末に配布されず利用者がストアから入手すること、証明書プロファイルを配れないこと、会社のWi-FiとVPNの設定を配れないことが挙げられています。

この3点は、業務の要件と照らすと判断材料になります。社内システムにVPN経由でしか入れない会社、証明書による端末認証で社内Wi-Fiにつないでいる会社では、私物端末をMAMだけで業務に組み込めません。もう1つの落とし穴はAndroidです。Androidでアプリ保護ポリシーを受け取るには、端末の登録は不要でも、Intuneのポータルサイトアプリのインストールが必須です。利用者向けの案内に「ポータルサイトを入れても端末は登録されない」と明記しないと、登録と誤解されて拒否されます。

条件付きアクセスと組み合わせて保護されたアプリだけに接続を絞る手順

アプリ保護ポリシーだけでは、利用者が標準のメールアプリやブラウザーから業務データに入る道が残ります。この抜け道をふさぐのがMicrosoft Entra IDの条件付きアクセスです。公式の手順では、iOSとAndroidを対象に、許可の条件として「承認済みクライアントアプリを要求する」と「アプリ保護ポリシーを要求する」を選び、いずれか1つを満たせば許可する設定にします。

対象をすべてのユーザーにし、緊急アクセス用の管理者アカウントを除外する
デバイスプラットフォームの条件でAndroidとiOSを選ぶ
許可の条件で上の2つを選び、選択したコントロールのいずれかを必須にする
レポート専用モードで作成し、サインインログで影響を確かめてからオンにする

前提として、iOSとAndroidの端末はMicrosoft Entra IDへの登録を先に済ませることが必要です。公式ドキュメントは、未知のプラットフォームや対象外のプラットフォームからのアクセスを遮断するポリシーも併せて入れるよう勧めています。これを入れない場合は、端末の種類を偽った接続が条件をすり抜けるおそれがあるためです。私物端末からの接続を許す設計そのものの考え方は、BYODの管理範囲と費用負担を整理した記事を先に読むと、規程とのつながりが見えます。

MDMとMAMを補う中間方式、iPhoneのユーザ登録とAndroid仕事用プロファイル

「私物端末にMDMは重すぎるが、MAMでは足りない」場面のために、AppleとGoogleはそれぞれ中間の方式を用意しています。どちらも端末の一部だけをMDMで管理する考え方です。

iPhoneやiPadのアカウント駆動型ユーザ登録で管理できる範囲と限界

Appleのアカウント駆動型ユーザ登録はBYOD向けに設計された登録方式です。利用者は管理対象Apple Accountでサインインし、組織が管理するのは組織のアカウント、設定、MDMで配った情報に限られます。利用者の個人アカウントは管理できません。端末は利用者の持ち物なので、かけられる設定と制限も会社支給端末より限定されます。

MAMとの違いは、MDMの仕組みを使う点です。業務用のアプリや設定をMDMから配れるため、MAMの対象外アプリを使わせたい場合の受け皿になります。一方で、管理対象Apple Accountの準備と、ユーザ登録に対応したMDM製品が必要です。私物iPhoneでユーザ登録を選んだときにMDMからできること・できないことはMDMでiPhone・iPadを管理する方法で比べています。製品がユーザ登録に対応しているかは、MDMツールを登録方式とID基盤連携で比べる記事の比較軸で確かめられます。

Androidの仕事用プロファイルで仕事用アプリと個人データを分ける方式

Androidでは、仕事用プロファイルが同じ役割を持ちます。Android 5以降の端末で、仕事用のアプリとデータを個人用と分けて保持し、仕事用アプリにはブリーフケースのアイコンが付きます。組織は仕事用のアプリとデータを管理しますが、個人用のアプリ、データ、使用状況は組織に公開されません。

Android 11以降では、仕事用プロファイルのアプリは個人用プロファイルのSMSとMMSにアクセスできません。私物端末の場合、利用者は仕事用プロファイルを自分で削除でき、削除するとプロファイル内のデータがすべて消えます。退職時の消去を利用者の操作に任せられる反面、在職中に削除されると業務が止まるので、削除した場合の扱いを規程に書いておく必要があります。

登録なしMAMとユーザ登録・仕事用プロファイルと完全管理の3方式の比較

私物端末に使える方式を並べると、管理の深さと利用者の抵抗感が比例します。

比較項目	登録なしMAM	ユーザ登録・仕事用プロファイル	完全管理MDM
端末の所有者	利用者	利用者	会社
管理する範囲	業務アプリ内のデータ	業務用の領域	端末全体
業務アプリの配布	できない	業務領域へ配布できる	できる
個人データの扱い	触れない	組織に公開されない	会社の管理下
準備の負担	小さい	中程度	大きい

迷ったら、まず登録なしMAMで足りるかを検討し、足りない要件が出たときだけ中間の方式に上げる順番で考えます。最初から中間の方式を選ぶと、MDM製品の契約と管理対象アカウントの準備が先に発生し、私物端末の利用開始がその分だけ遅れます。

私物端末でMAMを選ぶ条件と、MDMを併用するべき場面を分ける判断

ここまでの仕様を踏まえ、どの条件ならMAMを選び、どこからMDMに切り替えるかを言い切ります。

私物端末をMAMだけで業務に使わせてよい4つの条件と確認の順番

次の4条件をすべて満たすなら、私物端末はMAMと条件付きアクセスで運用して構いません。

私物端末で使う業務アプリが、すべてIntuneの保護対象アプリに含まれる
VPNや証明書なしで、クラウドのサービスだけで業務が完結する
利用者がMicrosoft Entraアカウントを持ち、Intuneのライセンスを割り当てられる
紛失時に端末そのものを消す必要がなく、業務データの消去で足りる

確認は1から順に行います。1で外れるアプリが多いと、残りを満たしても成り立ちません。3のライセンスは契約中のプランにIntuneが含まれているかを、管理センターで確かめてください。4条件のどれかで外れたら、その業務は会社支給端末とMDMで行う前提で考えます。

MAMでは足りず会社支給端末とMDMに切り替えるべき業務と端末

MAMを選ばない場面ははっきりしています。店舗や倉庫で共有するハンディ端末、顧客情報を端末に保存する営業用タブレット、社内システムにVPNで入る保守担当のスマートフォンは、会社支給にしてMDMで管理します。ルート化やジェイルブレイクを疑う端末をアプリ保護ポリシーで弾くことはできても、端末の状態を継続的に直すことはできないからです。

もう1つの見送り条件は、私物端末の利用者が数名しかいない組織です。条件付きアクセスとアプリ保護ポリシーの設計、利用者向けの手順書、問い合わせ対応の手間は人数に比例して減りません。5名程度なら、私物端末の業務利用を禁止して会社支給端末を配るほうが、総額でも運用でも軽く済みます。MDMの導入工程そのものはMDM導入を端末棚卸しから段階展開まで6工程で整理した記事にまとめています。

会社支給と私物が混在する組織でMDMとMAMを併用するポリシーの分け方

多くの組織では、会社支給のスマートフォンと私物のタブレットを1人が両方使います。Intuneでは、端末の管理状態を指定せずにMAMポリシーを割り当てると、私物端末とIntune管理端末の両方が同じポリシーの適用対象です。これを避けるには、アプリ保護ポリシーを作るときに「すべてのアプリの種類を対象にする」を「いいえ」にし、管理状態で分けます。

実務での分け方は、Intune管理端末には制限の緩いポリシー、MDMに登録されていない端末には厳しいポリシーという組み合わせです。会社支給端末ではOneDriveへの保存先制限だけをかけ、私物端末ではそれに加えて個人アプリへの貼り付け禁止とPINの再確認間隔の短縮をかける、といった差をつけます。同じ利用者でも端末によって規則が変わるので、利用者向けの案内は端末の種類ごとに分けて書いてください。

自社開発の業務アプリをMAMで守るときに詰まるSDKとサインインの前提

市販のアプリが保護対象に無い場合、自社開発の業務アプリをMAMに対応させる選択肢があります。ただし条件は厳しめです。Intune App SDKのサポート対象はネイティブのAndroid、iOS（Objective-C、Swift）、.NET、MAUIで、React NativeやNativeScriptで作ったアプリについてマイクロソフトはガイダンスやプラグインを提供していません。さらに利用者がMicrosoft Entraアカウントでアプリにサインインする作りが前提で、Intune App SDKは認証ライブラリのMSALを通じて利用者のIDをMAMサービスに登録します。

独自のID・パスワードでログインする既存アプリは、MAMに載せる前に認証部分をEntra ID連携へ作り替える工程が必要です。社内アプリのサインインをEntra IDに寄せる改修や、条件付きアクセスと整合する認証設計は、認証基盤・ID管理システムの開発として相談いただけます。認証を作り替えずにMAMだけ後付けしようとすると、PINや選択的ワイプが効かないアプリが残り、私物端末からの情報持ち出しの穴になります。その穴から業務データが個人のクラウドへ流れる経路は、シャドーITの例と公的資料に沿った対策で扱っている問題と同じです。

よくある質問

MDMとMAMを比べる段階でよく出る質問に、公式ドキュメントの仕様をもとに答えます。

MAMだけで私物スマホを紛失したときに対処できますか？

業務データの消去はできますが、端末のロックや所在の確認はできません。MAMの選択的ワイプは、管理センターから発行すると、アプリの使用中なら30分ごとの確認時、またはアプリの起動とサインイン時に業務データを消します。端末全体の消去や紛失モードはMDMの機能です。紛失時は、利用者のアカウントのサインインを止める操作と選択的ワイプの発行を、届け出を受けた当日に行う手順にしておくと被害を抑えられます。

MAMを入れると会社に個人の写真やLINEの内容を見られますか？

見られません。アプリ保護ポリシーは業務アカウントでサインインした業務アプリの中の「企業データ」にだけ適用され、個人アカウントで使うときや個人アプリには適用されません。Word などの複数のアカウントを扱えるアプリでも、個人のOneDriveに保存した文書は対象外です。Androidで必要なポータルサイトアプリも、入れただけでは端末は管理されません。利用者への説明では、管理されるのが業務アカウントのデータだけであることを具体的なアプリ名で示すと同意を得やすくなります。

MAMを使うにはどのライセンスとアカウントが必要ですか？

Intuneのアプリ保護ポリシーの場合、利用者ごとにMicrosoft Entraアカウントがあり、そのアカウントにIntuneのライセンスが割り当てられていることが前提です。さらに、ポリシーの対象となるセキュリティグループに所属し、Entraアカウントでアプリにサインインしている必要があります。Word、Excel、PowerPointを保護対象にする場合は、Microsoft 365 Apps for businessまたはenterpriseのライセンスも要ります。契約中のプランに含まれているかを、先に管理センターで確認してください。

他社のMDMを使っている端末にIntuneのMAMを併用できますか？

他社MDMで管理している端末でも併用は可能です。公式ドキュメントでは、アプリ保護ポリシーの適用先として、Intuneに登録した端末、マイクロソフト以外のMDMに登録した端末、どのMDMにも登録していない端末の3種類が挙げられています。ただし、マイクロソフト以外のMAM製品やセキュアコンテナー製品と同時に使うことは避けるよう明記されています。他社MDMで端末を管理し、メールとファイルだけIntuneのMAMで守る構成は成り立ちますが、MAMを2重にかける構成は取らないでください。

MAMのPINは端末のロック解除のパスコードと何が違いますか？

MAMのPINは業務データを開くときだけに求められるアプリ側のPINで、端末のパスコードとは別物です。iOSでは同じ発行元のアプリ間で1つのPINを共有し、Androidではすべての保護対象アプリで1つのPINを共有します。再入力を求める間隔は管理者が分単位で決められ、Androidでは端末の再起動がタイマーのリセット条件です。入力の失敗回数の上限を超えると、アプリ内の企業データを消すよう設定できます。