Android MDMで業務端末を管理する方法：完全管理・仕事用プロファイル・専用端末の選び方

Android端末をMDMに登録するとき、最初に決めるのは製品ではなく管理形態です。会社が配るスマホを端末ごと管理する「完全管理」、私物端末の業務領域だけを分けて管理する「仕事用プロファイル」、受付や倉庫で1つのアプリだけを動かす「専用端末」のどれで登録するかによって、管理者が触れる範囲も登録の手順も変わります。この記事では、Googleの公式ドキュメントに沿って3つの管理形態の違い、ゼロタッチ・QRコード・NFCなど登録方式のAndroidバージョン条件、キオスクモードの設定例、managed Google Playを使った業務アプリの配り方を整理した解説です。最後に、セキュリティ更新の期間から業務用Android端末を選ぶ基準と、導入でつまずく失敗例を示します。

まとめ：Android MDMは所有区分で管理形態を決め、登録方式と端末の更新期間を先に固める

会社支給のAndroidは完全管理で登録し、私的利用を認めるなら会社所有の仕事用プロファイルにします。私物端末は仕事用プロファイルだけを作り、管理者が個人の領域に触れない形にとどめます。受付タブレットやハンディ端末は専用端末にして、キオスクモードで業務アプリに固定してください。

会社所有の形態は初期化した端末にしか設定できません。台数が多いなら、販売パートナー経由で購入してゼロタッチ登録を使うのが確実です。

業務アプリはAPKファイルを配らず、managed Google Playの限定公開アプリで配ります。端末はセキュリティ更新の提供期間が利用予定年数より長い機種から選び、デバイス管理者方式しか持たない古いMDMは更新の時点で入れ替えます。

Android MDMの仕組みと、Android Enterpriseで決まる管理者の権限

MDMそのものの定義や、EMM・UEMとの違いはMDMの仕組みを整理した記事で扱っています。ここではAndroidに固有の仕組みに絞ります。

Android Enterpriseと旧管理方式：Android 10の機能制限

現在のAndroid MDMは、Googleが定めるAndroid Enterpriseの枠組みに沿って動く仕組みです。端末には「DPC（Device Policy Controller）」と呼ばれる管理アプリが入り、MDMサーバーから受け取ったポリシーを端末に適用します。Googleが提供するAndroid Management APIを使うMDM製品では、Android Device PolicyというアプリがこのDPCを担当します。

注意したいのは、Android Enterprise以前の「デバイス管理者（Device Admin）」方式です。Googleのサポート終了の案内によると、企業向けのデバイス管理者方式はAndroid 9で非推奨となりました。Android 10では、API レベル 29 を対象とするアプリがカメラの無効化やパスワードの期限・品質のポリシーを呼び出すと、エラー（SecurityException）になります。紛失時のロックとデータ消去は残っていますが、業務端末の制御には使えません。会社所有の端末をこの方式からAndroid Enterpriseへ移すには、出荷時設定へのリセットが必要です。

デバイス所有者とプロファイル所有者で変わる管理範囲と見えない個人情報

DPCの立場は2種類あります。Googleの用語集では、完全管理と専用端末に入るDPCを「デバイス所有者」、仕事用プロファイルに入るDPCを「プロファイル所有者」と呼び分けています。

プロファイル所有者の権限は狭く設計されています。AOSPの仕事用プロファイルの説明では、プロファイル所有者は仕事用プロファイルの外でデバイス管理者権限を持たず、例外はロック画面と暗号化の設定だけです。個人所有の端末では、Android 12以降、MDMはIMEIやシリアル番号を取得できず、代わりに組織ごとの登録IDが渡されます。私物端末の利用者に「会社に何が見えるのか」を説明するときは、この仕様をそのまま根拠にできます。

完全管理・仕事用プロファイル・専用端末の3形態を所有区分と業務で比べる

3つの管理形態は、端末の所有者と使い方の組み合わせで選びます。Googleの登録ガイドの記載を基に、違いを1つの表にまとめました。

実務でまず決めるのは、会社支給の端末で私用を認めるかどうかです。認めないなら完全管理、認めるなら会社所有の仕事用プロファイルになります。

会社支給のスマホは完全管理、私用を認めるなら会社所有の仕事用プロファイル

完全管理は、用語集で「仕事専用の会社所有デバイス」を対象にした形態と定義されています。アプリのインストール制限、Wi-FiやVPNの設定配布、端末全体の初期化まで、管理者の操作が端末全体に及びます。

会社支給でも私用のアプリを入れてよい運用なら、会社所有の仕事用プロファイルを選びます。以前は「仕事用プロファイルが設定された完全管理対象デバイス」という形態がありましたが、Android 11で非推奨になりました。現在の形態では、大半のアプリ・データ・ポリシーが仕事用プロファイルにだけ適用され、個人用プロファイルは非公開のままです。管理者は端末全体のポリシーと、個人用プロファイルに対する制限を設定できます。端末の所有権は会社に残し、中身の詮索はしない運用に向いています。

私物のAndroidは仕事用プロファイルで業務アプリとデータだけを分けて管理

従業員の私物端末を業務に使う場合は、個人所有の仕事用プロファイルにします。端末の初期化は不要で、使用中の端末に仕事用プロファイルを追加する方式です。Googleの利用者向けヘルプは、組織は仕事用のアプリとデータを管理し、個人用のアプリ、データ、使用状況は組織に公開されないと説明しています。仕事用アプリにはブリーフケースのアイコンが付くため、利用者が両者を取り違えにくいのも利点です。

端末ごと消去する運用は、この形態では取れません。紛失時に端末全体を初期化したい業務なら会社支給に切り替えます。私物端末をアプリ単位の保護で済ませる選択肢はMDMとMAMの違いを扱った記事、私物利用の社内規程はBYODの管理範囲を整理した記事で確認できます。

受付タブレットや倉庫のハンディは専用端末にしてキオスクモードで固定

専用端末は、用語集で「チェックイン キオスクやデジタル サイネージなど、特定の目的のために限られたアプリにロックダウンされた」会社所有端末と定義されています。旧称はCOSU（会社所有の単一用途）です。

Android Management APIでは、ポリシーのJSONでアプリの installType を KIOSK にすると、端末の起動時にそのアプリが全画面で立ち上がり、利用者はアプリを終了できなくなります。専用デバイスのポリシー例に沿った最小の記述は次のとおりです。

"applications": [
  {
    "packageName": "com.example.reception",
    "installType": "KIOSK",
    "defaultPermissionPolicy": "GRANT"
  }
]

KIOSKに指定できるアプリは1つだけです。検品アプリと社内チャットのように複数のアプリを使わせたいなら、kioskCustomLauncherEnabled を true にしてキオスク用のランチャーを有効にします。以前の statusBarDisabled や lockTaskAllowed は非推奨なので、古い設定例を流用しないでください。

管理形態ごとに使える登録方式とゼロタッチ・QRコード・NFCのAndroid条件

登録の手順は、管理形態と端末のAndroidバージョンで使えるものが決まります。登録ガイドに書かれた会社所有端末向けの方式は次の5つです。

導入作業全体の順序やパイロット運用の進め方は、MDM導入の6工程を解説した記事にまとめています。

ゼロタッチ登録は販売パートナー経由で購入した端末だけが対象になる

ゼロタッチ登録は、端末の電源を入れてネットワークにつなぐだけでMDMに登録される方式です。前提は購入経路で、Googleのゼロタッチ登録の機能概要では、販売パートナーが購入された端末を顧客に割り当て、顧客アカウントも販売パートナーが作成するとしています。家電量販店や通販で個人向けに買った端末は、後からゼロタッチの対象にできません。

端末を手放すときの手順も決めておきます。公式の説明では、割り当てを解除した端末は出荷時設定へのリセット後に管理対象外になります。リース返却や中古売却の前に、販売パートナーへ割り当て解除を依頼する工程を台帳に入れてください。

使用中の端末を完全管理へ移すときに避けられない初期化と作業時間

QRコードもDPC識別子も、新品か初期化済みの端末が前提です。いま社員が使っている端末を完全管理にするなら、データのバックアップ、初期化、登録、業務アプリへの再ログインが1台ずつ発生します。

50台を情シス1人で切り替えるなら、1台30分としても延べ25時間です。業務を止めずに進めるには、部署単位で日程を決めて回収する方法と、端末の入れ替え時期に合わせてゼロタッチ対応の新端末へ置き換える方法があります。残りの利用期間が1年を切っている端末は初期化せず、入れ替えを待つほうが手戻りは少なく済みます。

業務アプリ配信：managed Google Playの限定公開とAPK配布の管理差

Androidの業務アプリは、APKファイルをメールや社内サーバーで配っても動きます。ただしその方法では、更新の強制も、退職時のアプリ削除もMDMから管理できません。MDM配下の端末には、managed Google Playを通して配ります。

自社開発の業務アプリを限定公開アプリで配るときの公開経路と反映時間

自社のためだけに作ったアプリは、managed Google Playの「限定公開アプリ」として公開します。Googleの配布のヘルプによると、公開された限定公開アプリは同じ組織に関連付けられたMDMからの配信が自動的に承認され、MDMの管理画面から端末へリモートでインストールできます。配布先は最大1,000の組織までです。

反映の時間は経路で変わります。Custom App Publishing APIの説明では、Play Consoleからの公開は2時間以上かかるのに対し、このAPIで公開したアプリは約5分でmanaged Google Playに表示されます。ただし、APIで公開したアプリは永続的に非公開で、後から一般公開には切り替えられません。障害修正を当日中に届けたい業務アプリでは、この反映時間の差がそのまま運用の差になります。

業務アプリの設計から限定公開での配信、MDMでの割り当てまでをまとめて任せたい場合は、一創のAndroidアプリ開発で相談を受け付けています。開発の流れやiOSとの違いはAndroidアプリ開発の解説記事が参考になります。

業務用Android端末の選定：更新期間とEnterprise Recommended

業務用Android端末の選定では、セキュリティ更新の提供期間とEnterprise Recommendedの認定要件を確認します。Androidはメーカーと機種ごとにOSとセキュリティ更新の提供期間が違います。MDMでどれだけ細かくポリシーを書いても、更新が止まった端末の脆弱性は塞げません。

セキュリティ更新の提供期間を利用予定年数より長い機種から選ぶ基準

選定で最初に見るのは、メーカーが公表している更新の提供期間です。例えばGoogleのPixelの更新ポリシーでは、Pixel 8以降のOSとセキュリティの更新は、米国のGoogle Storeでの販売開始日から7年間です。発売から2年後に買えば、残りは5年になります。4年使う計画なら、購入時点で残り期間が4年以上ある機種に絞ってください。

機種を絞る手がかりとして、Googleは業務向けの認定制度「Android Enterprise Recommended」を設けています。認定の要件では、ナレッジワーカー向け端末に一定のメモリと32GBのストレージ、出荷時のOSから少なくとも1回のメジャーアップデート、セキュリティ更新に関する情報の公開などを求めています。耐衝撃型の端末にはIP54以上の防塵防水とQRコード・ゼロタッチによる一括登録への対応が条件です。認定機種から選べば、登録方式や更新の条件を機種ごとに調べる手間が減ります。

個人向けの購入経路とデバイス管理者方式の古いMDMで起きる失敗例

失敗の1つ目は購入経路です。台数をそろえるために通販で個人向けモデルを買い集めると、ゼロタッチ登録の対象にならず、1台ずつQRコードで登録することになります。20台を超える導入なら、法人向けの販売パートナーを決め、ゼロタッチの顧客アカウントを作ってもらう段取りを購入より先に組んでください。

2つ目は、デバイス管理者方式のまま動いている古いMDMです。端末をAndroid 10以降の機種に入れ替えた途端、カメラ禁止やパスワード期限のポリシーが効かなくなります。Android Enterpriseの完全管理と仕事用プロファイルに対応しているかは、MDMツールの比較軸を整理した記事の観点で確かめてください。ライセンス費用の見積もりは台数別の費用相場の記事で試算できます。

よくある質問

Android MDMの導入を検討している情シス担当者や、端末を渡される利用者から寄せられやすい質問に答えます。

仕事用プロファイルを入れた私物のAndroidで、会社に写真や通話履歴は見られますか？

見られません。個人所有の端末に仕事用プロファイルを作った場合、MDMが管理するのは仕事用プロファイルの中のアプリとデータで、個人用のアプリ、データ、使用状況は組織に公開されないとGoogleは説明しています。Android 11以降では、仕事用プロファイルのアプリから個人用プロファイルのSMSやMMSにもアクセスできません。例外としてロック画面と暗号化の設定は端末全体に効くため、画面ロックの桁数などは会社のポリシーに従う必要があります。

私物のAndroidをMDMに登録すると初期化されますか？

個人所有の仕事用プロファイルなら初期化は不要です。「設定」アプリのGoogleの項目から仕事用プロファイルを設定するか、管理者から届いたリンクやQRコードを使って、使用中の端末にプロファイルを追加します。初期化が必要になるのは、完全管理・専用端末・会社所有の仕事用プロファイルのように、会社所有の形態で登録する場合です。私物端末にこれらの形態は使いません。

Google WorkspaceのモバイルデバイスやIntuneでもAndroidを管理できますか？

管理できます。Microsoft IntuneやGoogle Workspaceを含め、主要なMDM製品はAndroid Enterpriseの仕組みを使ってAndroidを管理しています。製品ごとに差が出るのは、対応する管理形態と登録方式、キオスクモードの細かさ、iPhoneやWindowsをまとめて管理できるかどうかです。完全管理・仕事用プロファイル・専用端末の3形態とゼロタッチ登録に対応しているかを、候補の製品で必ず確かめてください。

APKファイルを直接インストールする配り方はやめるべきですか？

MDMで管理する端末では、やめることを勧めます。APKを直接入れると、提供元不明のアプリのインストールを端末で許可する必要があり、その設定自体が不正なアプリを入れる経路になります。更新の強制や退職時の削除もMDMから操作できません。自社開発のアプリはmanaged Google Playの限定公開アプリとして公開すれば、MDMから配信と削除を管理でき、業務アプリの開発を外部に頼む場合も同じ経路で配れます。

AndroidとiPhoneは同じMDMでまとめて管理できますか？

多くのMDM製品で、同じ管理画面から両方を管理できます。ただし登録の仕組みは別物です。Androidはゼロタッチ登録とAndroid Enterprise、iPhoneはApple Businessと自動デバイス登録というように、事前の準備が別々に要る点に注意してください。私物端末の扱いも、Androidは仕事用プロファイル、iPhoneはユーザ登録と方式が分かれます。iPhone側の設計はMDMでiPhone・iPadを管理する方法で解説しています。

関連記事

• MDMとは？モバイルデバイス管理の仕組みとEMM/UEMの違い・選び方【情シス向け】：MDMの定義と管理できる範囲、EMM・UEMとの違いを解説しています。
• MDM導入の手順と失敗例：端末棚卸しから段階展開まで情シスが進める6工程：管理形態を決めた後の導入作業を6工程で整理しています。
• MDMとMAMの違い：私物端末でMAMを選ぶ条件と併用時のポリシー設計：私物のAndroidをアプリ単位で守る方式を比べています。
• MDMでiPhone・iPadを管理する方法：監視モードの制限と登録方式・業務アプリ配信：Apple端末の登録方式と業務アプリの配り方をまとめています。
• Androidアプリ開発とは？できること・開発の流れ・iOSとの違いと外注の進め方：MDMで配る業務アプリを開発する流れを扱っています。