Microsoft Azure and Intune による Qlik Sense Client-Managed モバイル の展開

Qlik Sense Client-Managed モバイル アプリは、Microsoft Azure and Intune を使って展開できます。Qlik Sense Client-Managed モバイル の Single Sign On (SSO) および Intune の管理を有効にするには、Microsoft Azure ポータルでいくつかの設定変更を行う必要があります。

開始する前に:

• プライマリ ドメイン (Active Directory) と Azure Portal (Azure Active Directory) を複製するように Azure AD Connect が構成されている必要があります。
• Azure AD Application Proxy Connector がインストールされ、構成されている必要があります。

Microsoft Azure and Intune を使ってアプリを展開するには、次の手順を実行します。

• Qlik Sense Enterprise on Windows 仮想プロキシを設定する
• Active Directory で Kerberos に制限される委任を設定する
• Qlik Sense Enterprise on Windows 仮想プロキシの Azure エンタープライズ アプリケーションを追加する
• Qlik Sense Client-Managed モバイル の Azure アプリ登録を追加する
• Qlik Sense Client-Managed モバイル アプリをIntune 会社ポータルに追加する
• Qlik Sense Client-Managed モバイル アプリ保護ポリシーを定義する
• Qlik Sense Client-Managed モバイル 設定ポリシーを定義する
• Qlik Sense Client-Managed モバイル アプリを展開する

Qlik Sense Enterprise 仮想プロキシを設定する

1. ブラウザーに QMC アドレスを入力して、Qlik Sense Enterprise on Windows サーバーの Qlik 管理コンソール (QMC) を開きます。
   QMC の既定のアドレスは、https://<QPS サーバー名>/qmcです.
2. [プロキシ] > [セントラル プロキシ] の順に移動します。
3. Kerberos 認証を有効にします。
4. QMC ホーム ページから、[仮想プロキシ] に移動します。
5. [新しい仮想プロキシを作成する] をクリックします。
6. 次の情報を入力します。
   • ID
   • 認証
   • 負荷分散
   • [ホスト許可リスト] のセクション
   情報メモ使用されるプレフィックスをメモしてください。後ほど、Azure Portal の設定で使用します (https://sense_server_fqdn/prefix)。
   情報メモWindows 認証パターンは Mozilla に設定する必要があります。
7. [保存] をクリックします。

Active Directory で Kerberos に制限される委任を設定する

1. プライマリ ドメインの Active Directory へのアクセス権を持つサーバーにログインします。
2. 管理者として Windows Power Shell を開きます。
3. 次のコマンドを使用して、インストール済み Qlik Sense Enterprise on Windows の Service Principal Name (SPN) を作成します。 
   setspn.exe -U -S HTTP/sense_server_fqdn domain\sense_server_service_account
4. [Active Directory ユーザーとコンピューター] を開きます。
5. Azure AD App Proxy をホストするコンピューターを見つけ、マシンのプロパティを変更します。
6. [委任] タブに移動し、 [指定されたサービスへの委任でのみこのコンピューターを信頼する] を選択します。
7. [どの認証プロトコルでも使用する] を選択し、作成された SPN を追加します。
8. ADSI を開き、Azure AD アプリのプロキシ ホストが Qlik Sense サーバーに委任するように設定されていることを確認します。

Qlik Sense Enterprise on Windows 仮想プロキシの Azure エンタープライズ アプリケーションを追加する

1. Azure ポータルにログインし、[Azure Active Directory サービス] を選択します。
2. [アプリケーション プロキシ] を選択し、アクティブなアプリケーション プロキシが少なくとも 1 つはあることを確認します。
3. [エンタープライズ アプリケーション] を選択します。
4. [新しいアプリケーション] をクリックします。
5. [オンプレミスのアプリケーション] を選択します。
6. 新しいアプリケーションの名前を入力します。
7. Qlik Sense Enterprise on Windows がインストールされているサーバーの URL を入力します。
   情報メモURL パスには、QSE 仮想プロキシのプレフィックスを含めてください。
   例: https://sense_server_fqdn/prefix
8. [外部 URL] を設定します。
   情報メモこの設定は、後ほど Microsoft Intune のアプリ登録で使用します。たとえば、https://sensekcd-qlikemmnet.msappproxy.net/prefix などです。
   注: URL は、プレフィックス (sensekcd-)、テナント名、msappproxy.net、QSE 仮想プロキシのプレフィックスで構成されます。
9. アプリケーションでは、事前認証手段として必ず Azure Active Directory が使用されるようにします。
10. トラフィックをアプリケーション プロキシの方向に向けるため、必ず有効な [コネクタ グループ] が選択されるようにします。
11. [エンタープライズ アプリケーション] の [Single sign-on properties] (シングル サインオンのプロパティ) を選択します。
12. [モード] の [統合 Windows 認証] を選択します。
13. 前の手順で作成した SPN を入力します。
14. [委任されたログイン ID] の [オンプレミス ユーザー プリンシパル名] を選択します。
15. [保存] をクリックします。
16. 追加したエンタープライズ アプリケーションを選択し、[プロパティ] をクリックします。
17. [ユーザーの割り当てが必要] を [はい] に設定し、[保存] をクリックします。

Qlik Sense Client-Managed モバイル の Azure アプリ登録を追加する

1. Azure ポータルにログインし、[Azure Active Directory サービス] を選択します。
2. [Apps Registrations] (アプリ登録) を選択します。
3. [新しいアプリケーションの登録] をクリックします。
4. [名前] を入力します。
5. [リダイレクト URI] タイプのパブリック クライアント/ネイティブを qliksense-intune://com.qlik.qliksense.mobile の URI を使用して入力します。

6. [登録] をクリックして続行します。

7. アプリ登録の [アプリケーション ID] をメモしてください。

8. 左側のパネルで [認証] をクリックします。

9. [プラットフォームを追加] をクリックして Android プラットフォームを追加します。

   [パッケージ名] com.qlik.qliksense.mobile を入力します。

   署名のハッシュ 17PV4mdIRAc/3SeFXILsSWg1aDU= を入力します。

   [構成] をクリックしてから、[完了] をクリックします。

10. 次の委任権限を追加および付与します。
    

• Microsoft Mobile Application Management – ユーザーの app 管理データの読み取りと書き込み。

  この権限は、API の自分の組織ユーザー タブにあります。

• 上記で定義した Web アプリ / API - <Web アプリ / API 名> へのアクセス
• Microsoft Graph - ディレクトリ データの読み取り
• Windows Azure Active Directory - サインインおよびユーザー プロファイルの読み取り

Qlik Sense Client-Managed モバイル アプリをIntune 会社ポータルに追加する

1. Microsoft Endpoint Manager Admin Center にログインします。
2. [アプリ] を選択します。
3. [すべての App] を選択します。
4. [追加] をクリックします。
5. Android の場合は [Android Store App] (Android ストア アプリ) で、または iOS の場合は [iOS Store App] (iOS ストア アプリ) で [アプリの種類] を選択します。

6. [選択]、[App Store を検索] の順にクリックします。

   [Qlik Sense Client-Managed モバイル] を検索して選択します。

7. [次へ] をクリックして割り当てを確認または変更し、適切なユーザーとデバイスが app に割り当てられるようにします。
8. [次へ] をクリックしてから、[作成] をクリックします。

Qlik Sense Client-Managed モバイル アプリ保護ポリシーを定義する

1. Microsoft Endpoint Manager Admin Center にログインします。
2. [アプリ] を選択します。
3. [App protection policies] (アプリ保護ポリシー) を選択します。
4. [ポリシーを作成] をクリックし、[iOS/iPadOS] または [Android] を選択します。
5. [名前] と [説明] を入力します。
6. [次へ] をクリックします。
7. [target to all app types] (すべてのアプリの種類をターゲットにする) に、値を「Yes」(はい) と入力します。

8. 上記で定義したように Android または iOS 用 Qlik Sense Client-Managed モバイル の公開 app を追加し、[次へ] をクリックします。

9. [Select Required Apps] (必要なアプリを選択する) をクリックし、上の手順で追加した Android または iOS アプリの Qlik Sense Client-Managed モバイル を選択します。
10. 該当する場合は、データ保護、アクセス要件、および条件付き起動値を構成します。
11. [作成] をクリックします。
12. Qlik Sense Client-Managed モバイル からのデータ転送を制限するように保護ポリシーが構成されている場合は、制限を [ポリシー管理対象 app] に設定して Qlik Sense Client-Managed モバイル が診断メールを送信できるようにする必要があります。
情報メモ Android の場合は、ブラウザーを使用してヘルプを表示し、PDF ビューアーを使用して Qlik Sense Client-Managed モバイル [利用規約] ドキュメントを表示します。
情報メモ iOS 保護ポリシーの場合は、Qlik Sense Client-Managed モバイル が診断メールを送信できるようにするために類似の設定が必要です。ヘルプおよび使用条件は、iOS Qlik Sense Client-Managed モバイル アプリ自体に表示されます。

Qlik Sense Client-Managed モバイル 設定ポリシーを定義する

1. Microsoft Endpoint Manager Admin Center にログインします。
2. [アプリ] を選択します。
3. [App configuration policies] (アプリ構成ポリシー) を選択します。
4. [追加] をクリックします。
5. 登録タイプとして、Android の場合は [管理対象アプリ] を、iOS の場合は [管理されたデバイス] を選択します。
6. [名前] と [説明] を入力します。

7. [会社ポータル] に以前追加した Qlik Sense Client-Managed モバイル app の公開 app を追加します。[次へ] をクリックします。

8. [一般構成の設定]で、[mdm] の名前を入力し、値には JSON ドキュメントを入力します。

   { "Accounts" : [ {
     "name":"Your server name",
     "url":"<external URL>",
     "config": { 
       "AADAppId" : "<the Application Id noted above>"
       } } ] }

9. [次へ] をクリックし、適切なユーザーまたはユーザー グループを割り当てます。

10. [次へ] をクリックしてから、[作成] をクリックします。

11. アプリ構成が、Android の場合は「管理対象アプリ」が、iOS の場合は「管理対象デバイス」が、登録タイプとして割り当てられて表示されることを確認します。

Android デバイスに Qlik Sense Client-Managed モバイル アプリを展開する

1. Intune が登録されている Android デバイスで、Company Portal を開いて Qlik Sense Client-Managed モバイル をインストールします。
2. Qlik Sense Client-Managed モバイル を起動します。
3. アプリが管理対象にであることを指定するよう求められます。求められない場合は、アプリ保護ポリシーで構成問題が発生している可能性があります。
4. Qlik Sense Client-Managed モバイル サーバー リストで Qlik Sense Client-Managed モバイル 展開を確認してください。確認できない場合は、構成問題かユーザー割り当て問題が発生している可能性があります。
5. Qlik Sense Client-Managed モバイル 展開へのログインに続いて、Azure SSO ログイン フローに従って操作します。

iOS デバイスに Qlik Sense Client-Managed モバイル アプリを展開する

1. Intune が登録されている iOS デバイスで、Company Portal を開いて Qlik Sense Client-Managed モバイル をインストールします。
   Intune にダイアログが表示され、Qlik Sense Client-Managed モバイル を管理するよう求められます。
2. [はい] または [管理] をクリックします。
3. Qlik Sense Client-Managed モバイル を起動します。
   上の手順で定義した Qlik Sense Client-Managed モバイル サーバーが表示されます。確認できない場合は、構成問題かユーザー割り当て問題が発生している可能性があります。
4. サーバー名をクリックし、必要に応じて SSO を使用してログインします。
5. Intune のダイアログが表示され、アプリ データが管理されていることが示されます。[OK] をクリックします。Qlik Sense Client-Managed モバイル が終了します。
6. Qlik Sense Client-Managed モバイル 展開へのログインに続いて、Azure SSO ログイン フローに従って操作します。