Microsoft Intune を使用した Qlik Analytics モバイル アプリの保護と構成

Qlik Analytics モバイル アプリを使用すると、現場チームはモバイル デバイスで Qlik Cloud アナリティクスに安全にアクセスできるようになります。Microsoft Intune と Microsoft Entra ID を使用して、アクセスを制御し、企業データを保護し、ユーザーが Qlik Cloud テナントに接続するために必要な設定を提供できます。

このトピックでは、Android および iOS デバイス上で Qlik Analytics モバイル アプリを管理および保護するために、Intune のアプリ保護ポリシー、アプリ構成ポリシー、および Qlik Cloud のアクセス制御を構成する方法について説明します。

Microsoft Entra ID での Qlik Analytics モバイル アプリ向け Microsoft Intune の設定

このセクションでは、Entra ID および Intune で Qlik Analytics モバイル アプリを登録および管理するための主要なステップについて説明します。組織の要件に従って、Entra ID と Intune を構成します。アプリケーション登録の詳細な手順については、「Microsoft Intune のドキュメント」を参照してください。

Microsoft Entra ID への Qlik Analytics アプリの登録

Microsoft Intune と連携して Qlik Analytics モバイル アプリを使用するには、Microsoft Entra ID への登録が必要です。

次の手順を実行します。

1. Entra ID で、 [アプリの登録] に移動し、 [新規登録] を選択します。

2. グローバルに登録されたアプリケーションを統合するため、 [エンタープライズ アプリケーション] へのリンクを選択します。

3. アプリケーション ID 53dfc2c0-8711-4bb3-a48f-b384ff663ab9 を検索します。これは Qlik のグローバル アプリ登録です。

4. 必要に応じて、Intune 管理者は以下のリンクにサインインしてアクセスすることで、登録を開始できます。

   https://login.microsoftonline.com/common/adminconsent?client_id=53dfc2c0-8711-4bb3-a48f-b384ff663ab9

5. Qlik Analytics モバイル アプリが追加され、 [エンタープライズ アプリケーション] に表示されたら、次の手順を実行します。

   • アプリにアクセスできるユーザーを制限する場合は、ユーザーとグループを割り当てます。

   • [権限] で、ドメインの管理者同意を付与します。

条件付きアクセス ポリシーのガイダンス

Qlik Analytics モバイル アプリは、アプリケーション ID 53dfc2c0-8711-4bb3-a48f-b384ff663ab9 を使用して Microsoft Entra ID にグローバルに登録されています。この登録は、テナントにクラウド アプリケーションとして表示されます。[すべてのクラウド アプリ] にスコープ指定された条件付きアクセス ポリシーは、このアプリ登録に適用されます。

条件付きアクセスと認証フロー

[Intune 使用時に許可] の認証フローには、2 つのサインイン手順が含まれます。

1. アプリ認証 (MSAL サインイン)

   Qlik Analytics モバイル アプリは、MSAL を使用して Entra でユーザーを認証します。この手順において、Intune MAM ポリシーの評価が実行されます。

2. ブラウザーベースの Qlik Cloud サインイン

   アプリはデバイス上の外部ブラウザーを起動し、Qlik Cloud の認証を完了させます。Intune フローの場合、Microsoft Edge の使用が必須となります。

この 2 番目のステップでは、Entra は Qlik Analytics モバイル アプリではなくブラウザーをクライアント アプリケーションとして評価し、アプリ登録に対する条件付きアクセス ポリシーを適用します。このステップで使用するブラウザーが、アプリ登録に適用されたグラント制御をサポートしている必要があります。

条件付きアクセスのスコープに関する考慮事項

Qlik Analytics アプリ登録がテナントでクラウド アプリケーションとして表示されるため、 [すべてのクラウド アプリ] を対象とする条件付きアクセス ポリシーもブラウザーのサインイン ステップに適用されます。

ポリシーが許可制御として [アプリ保護ポリシーを要求] を使用する場合、Qlik のサインイン ステップで使用されるブラウザーはこの要件を個別に満たす必要があります。これを実現するには、Microsoft Edge に Intune アプリ保護ポリシーがユーザー向けに展開されている必要があります。Edge がアプリ保護ポリシーの対象でない場合、ブラウザーのサインイン ステップがブロックされる可能性があります。

展開前

Qlik Analytics モバイル アプリを Intune MAM 適用で展開する前に、既存の条件付きアクセス ポリシーが Qlik サインイン ステップで使用されるブラウザーにどのように適用されるかを Microsoft Entra または Intune 管理者に確認してください。

Qlik は、Entra 条件付きアクセス ポリシーの構成や、より広範な Intune 展開構成に関するガイダンスを提供していません。詳細なガイダンスについては、Microsoft ドキュメントの「条件付きアクセスと Intune について」を参照してください。

Qlik Cloud での MAM を使用したモバイル アクセス構成

Intune (MAM) の強制は、Qlik Cloud 管理アクティビティ センターでユーザーとグループに割り当てられたモバイル アクセス権限によって制御されます。これは Qlik 側の主要な設定手順であり、Intune および Entra の設定とあわせて実施する必要があります。

モバイル アクセス権限

モバイル アクセス権限は、管理 アクティビティ センター > [ユーザーを管理] > [権限] で設定します。

ユーザー デフォルトまたはカスタム ロールの権限設定を開き、機能とアクション を展開して、モバイル > ネイティブ モバイル アプリ を見つけます。

権限の設定の詳細については、「Qlik Analytics モバイル アプリへのアクセス設定」を参照してください。

Intune 管理テナントにおける権限割り当てのガイダンス

Intune アプリ保護を使用するテナントでは、デバイス管理の状態にかかわらず、モバイル アクセスを必要とするすべてのユーザーとグループに [Intune 使用時に許可] を割り当てます。

Intune で管理されているユーザーに [許可] では不十分な理由

モバイル アクセス権限はデバイスではなく、ユーザーに適用されます。企業の MDM 管理下のデバイスでユーザーに [許可] が付与されている場合、そのユーザーは個人の非管理デバイスからログインした場合にも同じアクセス権を持つことになります。

その個人デバイスには MDM 登録も Intune ブローカーも存在しません。ユーザーのアクセス権限が [許可] に設定されている場合、Qlik Analytics モバイル アプリは Intune への登録が不要で、アプリ保護ポリシーが適用されることなくアクセスが許可されます。ユーザーは、組織の Intune ポリシーを回避して、保護されていない未管理デバイスからテナントにアクセスできてしまいます。

Intune 管理テナントにおける推奨割り当てパターン

社内の Intune 以外のテナントや特定のサービスアカウントなど、Intune アプリ保護が不要なテナントまたはグループにのみ、 [許可] を使用してください。

ID プロバイダーの互換性

Intune MAM の適用には、Qlik Cloud テナントの ID プロバイダー (IdP) として Microsoft Entra ID が必要です。次の表は、ID プロバイダーの構成ごとのモバイル アプリ対応状況をまとめたものです。

重要な考慮事項

アプリ保護ポリシーは、どのアプリが互いにデータを共有できるかを制御します。

• ユーザーが Qlik Analytics モバイル アプリから診断メールを送信する必要がある場合、ポリシーはアプリ間のデータ転送を許可する必要があります。

• Qlik Analytics モバイル アプリは、サインインを完了するためにデバイス ブラウザーへのアクセスを必要とします。アプリ保護ポリシーでこのアクセスが許可されている必要があります。

• 確認すべき主要な Intune アプリ ポリシー設定は次のとおりです。

  • データ保護 > 組織データを他のアプリに送信

  • データ保護 > 除外するアプリを選択 (com.qlik.qsm)

  • 機能 > 他のアプリとの Web コンテンツ転送を制限 - この設定で URL を Microsoft Edge で開くように設定されている場合、Qlik Cloud のサインインページが Edge で開かれます。その後、Edge が Microsoft 認証を実行してからページが表示されます。条件付きアクセス ポリシーが [すべてのクラウド アプリ] または IdP アプリ登録に許可コントロールを適用する場合、この時点で Edge に対して評価されます。評価ポイントにおけるさまざまな許可コントロールの影響については、「条件付きアクセス ポリシーのガイダンス」を参照してください。

{
  "policyName": "<policy name>",
  "Accounts": [
    {
      "name": "<tenant name>",
      "url": "<tenant URL>"
    },
    {
      "name": "<tenant name>",
      "url": "<tenant URL>"
    }
  ]
}

{
  "policyName": "<policy name>",
  "Accounts": [
    {
      "name": "<tenant name>",
      "url": "<tenant URL>"
    },
    {
      "name": "<tenant name>",
      "url": "<tenant URL>"
    }
  ]
}

{
  "policyName": "<policy name>",
  "Accounts": [
    {
      "name": "<tenant name>",
      "url": "<tenant URL>"
    },
    {
      "name": "<tenant name>",
      "url": "<tenant URL>"
    }
  ]
}