MDM

読み：えむでぃーえむ　／　英語表記：Mobile Device Management

• セキュリティ
• 性能・監視・運用

MDMは、スマートフォンやタブレットなどを組織の管理対象として登録し、遠隔から設定の配布や状態の確認を行う仕組みである。端末に適用するポリシーを通じて利用条件を統一し、導入から紛失時の対処や利用終了までを管理する。

イマシルちゃんの解説

会社でスマホを何百台も使うと、一台ずつ同じ設定をするのは大変だよね。
MDMは、登録した端末へ必要な設定をまとめて届ける管理の仕組みだよ。
たとえば画面ロックの条件や社内Wi-Fiの設定を配り、決めた状態になっているかも確かめられるんだ。
端末をなくしたときにロックやデータの削除を指示できる場合もあるよ。
ただし操作できる範囲は端末の種類や登録方法によって違い、私物の端末では仕事用の部分を分けて管理することもあるの。
端末を配って終わりにせず、使い始めから使い終わりまで状態を把握しやすくするために役立つんだ。

より深い解説

組織の端末管理を支える仕組み

MDMはMobile Device Managementの略であり、モバイルデバイス管理とも呼ばれる。管理サービスと端末のOSが提供する管理機能などを組み合わせ、組織が決めた設定を配布し、端末の状態を把握する。対応するOSではPCも管理対象になるため、名称にMobileがあることだけでスマートフォン専用と判断してはならない。

管理できる範囲は、OS、バージョン、機器の所有者、登録方式、製品の実装によって異なる。アプリケーションを導入しただけでOSのすべての設定を変更できるようになるわけではない。組織に許された管理権限の中で動作する。Appleによるデバイス管理の説明

端末を台帳へ載せるだけでなく、配布した設定が適用されたか、利用終了時に業務データが残っていないかまで追跡することが目的である。マルウェアの検知やネットワークの通信遮断は別の機能であり、必要に応じて端末保護製品や認証基盤と連携する。NIST SP 800-124 Rev. 2

登録から利用終了までの流れ

管理対象に端末を登録し、組織との管理関係を確立する手続きをエンロールメントという。利用者が手続きする方式と、組織が購入した端末を初期設定時から自動的に管理へ組み込む方式などがある。登録方式は、後から行える操作の範囲にも関係する。

1. 所有形態と用途を決め、利用者・端末の識別情報や必要な管理用の認証情報を用いて登録する。
2. 部署や用途に応じて、ネットワーク設定、アプリケーション、保護の設定を割り当てる。
3. 適用結果やOSの状態を収集し、条件を満たさない端末に更新や設定修正を促す。
4. 紛失、返却、退職、廃棄などに合わせてデータの消去や管理解除を行い、認証情報と台帳を整理する。

Appleの環境では、設定をまとめて端末へ配布する単位の一つとして構成プロファイルがある。Androidの管理APIでは、登録トークンと登録方法から所有形態や管理モードが決まる。どの製品でも同じファイルを配れば管理できるわけではなく、各OSの登録・設定配布の仕組みを使い分ける。Appleの登録方式、Androidの登録手順

設定の配布と状態の確認

代表的な管理項目には次のようなものがある。利用可能な操作や強制力はOSと管理方式に依存する。

設定を送信したことと、端末が受信して適用したことは別である。端末が電源を切っている場合や設定同士が競合する場合もある。管理画面では「割当て済み」「適用済み」「エラー」などの状態を区別し、必要な条件に合っているかを評価する。この条件への適合を準拠、またはコンプライアンスという。Microsoft Intuneの状態評価の説明

例えば「OSの最低バージョンを満たすこと」という判定基準を定めても、それだけでOS更新が実行されるとは限らない。更新の設定と、条件に合うかを評価する設定を分けて考える必要がある。

所有形態に応じた管理範囲

従業員の私物端末を業務へ持ち込む利用形態をBYODという。会社所有の端末と同じ権限で管理すればよいとは限らず、私的なデータの保護と業務データの保護を両立させる設計が必要になる。

Androidでは、私物端末に仕事用のアプリケーションとデータを分離するワークプロファイルを設ける方式がある。管理の多くは仕事用の領域に適用され、個人用の領域とは区別される。会社所有の端末では全体を管理する方式や、仕事用・個人用の併用を認める方式などを選べる。Androidの所有形態と管理モード

Appleのユーザ登録（User Enrollment）も、私物端末で業務用の管理対象と個人用のデータを分けるための登録方式である。組織所有の端末を自動登録し、より広い制御を行う方式とは管理範囲が異なる。同じ製品に登録されていても、閲覧できる情報や実行できるコマンドは一律ではない。Appleの登録方式と管理範囲

導入時には、管理者が見られる情報、制限できる機能、利用終了時に消すデータの範囲を明示する。MDMという名称だけから、私的な写真やメッセージを管理者がすべて閲覧できると判断することも、私的な情報を一切収集しないと判断することもできない。

アプリケーション管理や統合管理との関係

アプリケーションを対象にする方式はMobile Application Managementの略である。例えばMicrosoft Intuneには、端末自体を登録せずに対応アプリの業務データを保護する運用がある。ただし、任意のアプリを無条件に制御できるわけではなく、SDKの組込みなど所定の対応が必要になる。Microsoftによるアプリ保護の説明

Unified Endpoint Managementは、さまざまなOSや端末の管理をまとめる考え方・製品群である。MDMの機能を含むことがあり、両者が排他的な選択肢というわけではない。製品名の分類だけで選ぶのではなく、必要な機器、登録方式、アプリ保護、運用操作を管理できるかで比較する。Microsoftによる統合管理の説明

利用条件の判定と業務サービスへのアクセス

管理対象に登録された端末でも、更新が止まっていたり必要な暗号化が無効だったりする場合がある。登録済みであることと、現在の利用条件を満たすことは同じではない。条件を満たしていないときに、通知するだけか、猶予を設けるか、業務サービスへのアクセスを制限するかを決める。

端末の適合状態などを認証基盤へ渡し、接続の許可に反映する仕組みの例が条件付きアクセスである。Microsoft IntuneとMicrosoft Entraの連携では、端末の状態を業務資源へのアクセス制御に使える。ただし、管理サービスを導入しただけで自動的にすべての業務サービスが保護されるわけではない。評価する条件と、それを利用するアクセス制御を設定する必要がある。Microsoftの連携方法

長期間通信していない端末は、管理画面に残る状態が古い可能性もある。判定結果の有効期間や再確認の条件を含めて設計し、設定を直した利用者がどのように利用を再開できるかも用意する。

紛失・退役時の消去を使い分ける

離れた端末へデータ消去を指示する操作をリモートワイプという。端末全体を初期化する操作と、管理された業務データだけを削除する操作を区別しなければならない。業務用の部分を対象にする操作は選択的ワイプなどと呼ばれる。

例えばAndroid Management APIでは、同じWIPEコマンドでも会社所有の端末は初期化され、私物端末では仕事用の領域が削除される。これは同APIの所有形態と管理モードに基づく動作であり、すべてのOSや製品で同じ名称・範囲になるわけではない。消去前に実際の対象を確認する必要がある。Androidの消去と管理解除

管理された領域の削除で、管理外へ書き出されたファイルやクラウド上の複製まで消えるとは限らない。また、管理画面から端末の登録情報を削除したことと、実機のデータ消去が完了したことも別である。端末がオフラインなら指示が届かず、消去を保証できない場合がある。

紛失時には、消去要求の実行結果を追跡しながら、業務アカウントの利用制限や証明書の失効なども検討する。端末にあるデータを守る対策と、その端末から業務サービスへ再び入れないようにする対策は役割が異なる。事前の暗号化と画面ロックも、指示が届くまでの保護として重要である。

管理の通信経路と認証情報を維持する

端末を制御するには、管理サービスへ接続できる通信経路が必要である。Appleの環境では、管理サービスと端末が通知サービスのAPNsにも到達できる必要がある。Web閲覧ができるだけで管理用の通信がすべて通っているとは限らず、ファイアウォールやプロキシなどの許可条件を確認する。Appleのネットワーク要件

管理用やWi-Fi認証用の証明書には有効期限がある。更新に失敗すると、管理に必要なネットワークへ入れなくなり、その修正設定も受け取れなくなることがある。登録時の接続方法、証明書の更新手順、有線接続や別回線などの復旧方法をあらかじめ用意する。

設定が届かない端末では、最後に管理サービスと通信できた時点を表す最終チェックイン、指示の処理状態、証明書の期限、通知サービスへの到達性を確認する。古い状態表示だけを見て、設定が現在も有効であると判断しない。

例えば、特定拠点の端末だけ設定が更新されないなら、その拠点のプロキシや通信許可を疑う。一台だけで発生するなら、端末の登録状態や認証情報、ネットワーク接続を調べる。全社一斉に発生するなら、管理サービスや共通の証明書などに調査範囲を広げる。このように影響範囲から切り分けると、不要な再登録や初期化を避けやすい。

MDMの管理者は多数の端末へ設定変更や消去を行える。管理者の多要素認証、役割に応じた権限、操作記録、少数端末での事前確認を組み合わせる必要がある。展開後の監視と、利用終了時の消去結果・アクセス権の整理まで含めて、端末管理を完了させる。NISTの端末ライフサイクル管理指針

この用語が出てくる記事

• EAP-TLS
• 検疫ネットワーク