Windows Information Protection デバイスポリシー

• 不適切なデータ共有をブロックする。
• 不適切なデータ共有について警告し、ユーザーがポリシーを上書きできるようにする。
• 不適切なデータ共有をログに記録し、許可しながら、WIP をサイレントで実行する。

Windows 10 および Windows 11 の設定

• Desktop App (Windows 10 または Windows 11 デスクトップ)、Store App (Windows 10 または Windows 11 タブレット): XenMobile には、上記のサンプルに示すように、いくつかの一般的なアプリが含まれています。必要に応じて、これらのアプリを編集または削除できます。
  他のアプリを追加するには、 または テーブルで をクリックし、アプリ情報を提供します。
  Allowed アプリは企業データを読み取り、作成、更新できます。Denied アプリは企業データにアクセスできません。Exempt アプリは企業データを読み取ることができますが、データを作成または変更することはできません。
  • AppLocker XML: Microsoft は、WIP との互換性の問題が知られている Microsoft アプリのリストを提供しています。WIP からこれらのアプリを除外するには、Browse をクリックしてリストをアップロードします。XenMobile は、アップロードされた AppLocker XML と、構成されたデスクトップアプリおよびストアアプリをデバイスに送信されるポリシーに結合します。詳細については、「Windows Information Protection の推奨ブロックリスト」を参照してください。
  • 適用レベル: Windows Information Protection でデータ共有を保護および管理する方法を指定するオプションを選択します。既定値は Off です。
    • 0-Off: WIP はオフになり、データを保護または監査しません。
    • 1-Silent: WIP はサイレントで実行され、不適切なデータ共有をログに記録し、何もブロックしません。ログは Reporting CSP を介してアクセスできます。
    • 2-Override: WIP は、安全でない可能性のあるデータ共有についてユーザーに警告します。ユーザーは警告を上書きしてデータを共有できます。このモードでは、ユーザーによる上書きを含むアクションが監査ログに記録されます。
    • 3-Block: WIP は、ユーザーが安全でない可能性のあるデータ共有を完了するのを防ぎます。
  • 保護されたドメイン名: 企業がユーザーIDに使用するドメイン。この管理されたIDドメインのリストは、プライマリドメインとともに、管理対象企業のIDを構成します。リストの最初のドメインは、Windows UIで使用される主要な企業IDです。リスト項目を区切るには「|」を使用します。例: domain1.com | domain2.com
  • データ回復証明書: 参照をクリックし、暗号化されたファイルのデータ回復に使用する回復証明書を選択します。この証明書は、暗号化ファイルシステム (EFS) のデータ回復エージェント (DRA) 証明書と同じですが、グループポリシーではなく MDM を介して配信されます。回復証明書が利用できない場合は、作成します。詳細については、このセクションの「データ回復証明書を作成する」を参照してください。
  • ネットワークドメイン名: 企業の境界を構成するドメインのリスト。WIP は、このリスト内の完全修飾ドメインへのすべてのトラフィックを保護します。この設定は、IP範囲設定と合わせて、プライベートネットワーク上のネットワークエンドポイントが企業のものか個人用かを検出します。リスト項目を区切るにはコンマを使用します。例: corp.example.com,region.example.com
  • IP範囲: 企業ネットワーク内のコンピューターを定義する企業 IPv4 および IPv6 範囲のリスト。WIP は、これらの場所を企業データ共有の安全な宛先と見なします。リスト項目を区切るにはコンマを使用します。例:
    10.0.0.0-10.255.255.255,2001:4898::-2001:4898:7fff:ffff:ffff:ffff:ffff:ffff
  • IP範囲リストは信頼できる: Windows による IP 範囲の自動検出を防ぐには、この設定を On に変更します。既定値は Off です。
  • プロキシサーバー: 企業が企業リソースに使用できるプロキシサーバーのリスト。ネットワークでプロキシを使用する場合、この設定が必要です。プロキシサーバーがない場合、クライアントがプロキシの背後にあるときに企業リソースが利用できない可能性があります。たとえば、ホテルやレストランの特定の Wi-Fi ホットスポットからリソースが利用できない場合があります。リスト項目を区切るにはコンマを使用します。例:
    proxy.example.com:80;157.54.11.118:443
  • 内部プロキシサーバー: デバイスがクラウド リソースにアクセスするために経由するプロキシ サーバーのリスト。このサーバー タイプを使用すると、接続しているクラウド リソースが企業リソースであることが示されます。WIP で保護されていないトラフィックに使用される プロキシ サーバー 設定のサーバーは、このリストに含めないでください。リスト項目を区切るにはコンマを使用します。例:
    example.internalproxy1.com;10.147.80.50
  • クラウド リソース: WIP によって保護されているクラウド リソースのリスト。各クラウド リソースについて、オプションでプロキシ サーバーリストにプロキシ サーバーを指定して、このクラウド リソースのトラフィックをルーティングすることもできます。プロキシ サーバーを介してルーティングされるすべてのトラフィックは、エンタープライズ トラフィックとして扱われます。リスト項目を区切るにはコンマを使用します。例:
    domain1.com:InternalProxy.domain1.com,domain2.com:InternalProxy.domain2.com
  • 登録解除時に WIP 証明書を失効させる: Windows Information Protection から登録解除されたときに、ユーザーデバイスからローカル暗号化キーを失効させるかどうかを指定します。暗号化キーが失効すると、ユーザーは暗号化された企業データにアクセスできなくなります。オフの場合、キーは失効せず、ユーザーは登録解除後も保護されたファイルにアクセスできます。既定値はオンです。
  • オーバーレイ アイコンを表示: エクスプローラーの企業ファイルおよびスタートメニューのエンタープライズ専用アプリタイルに、Windows Information Protection アイコンのオーバーレイを含めるかどうかを指定します。既定値はオフです。

データ回復証明書を作成する

1. XenMobile コンソールが実行されているマシンで、コマンドプロンプトを開き、証明書を作成するフォルダー（Windows\\System32 以外）に移動します。
2. 次のコマンドを実行します。
   cipher /r:ESFDRA
3. プロンプトが表示されたら、秘密キーファイルを保護するためのパスワードを入力します。
   cipher コマンドにより、.cer ファイルと .pfx ファイルが作成されます。
4. XenMobile コンソールで、**［設定］>［証明書］**の順に移動し、Windows 10 および Windows 11 タブレットに適用される .cer ファイルをインポートします。

ユーザーエクスペリエンス