MDMとは何ですか？

モバイルデバイス管理（MDM）とは、モバイル端末やデスクトップ端末を中央コンソールに登録し、設定やセキュリティポリシーを適用するとともに、デバイスのコンプライアンス状況（暗号化の状態、OSのバージョン、脱獄やルート化の検出など）を報告するソフトウェアです。これにより、他のシステムは、デバイスに企業リソースへのアクセス権を付与する前に、そのデバイスが要件を満たしているかどうかを確認することができます。

主なポイント

• MDMはデバイスを登録し、設定およびコンプライアンスポリシーを適用します。
• コンプライアンスの状態は、ネットワークへのアクセス時にデバイスの状態チェックに反映されます。
• Microsoft Intune と Ivanti Neurons は、一般的な MDM/UEM プラットフォームです。
• 属性には、暗号化の状態、デバイスの所有権、脅威の状態などが含まれます。
• Versa ゲートウェイは、MDMデータにクエリを実行して、ゼロトラストのアクセス決定を適用します。

このページの内容： その重要性 ・ 仕組み ・ 種類 ・ MDMとVersa · よくある質問

MDMはなぜ重要なのでしょうか？

リモートワークやハイブリッドワークの普及により、企業のデータは、IT部門が配布したり完全に管理したりしていないエンドポイント――会社のノートPC、個人の携帯電話、自宅のネットワークや公衆Wi-Fiから接続されるBYODタブレットなど――に置かれることになります。デバイスの状態を確認する手段がなければ、セキュリティチームは、接続するエンドポイントが社内アプリケーションにアクセスする前に、パッチが適用され、暗号化され、既知の脅威にさらされていないかどうかを判断することができません。

MDMが重要なのは、デバイスの状態を「見過ごされがちな盲点」から「確認可能な事実」へと変えるからです。エンドポイントを登録し、OSのバージョン、暗号化、ファイアウォール、脅威の状況といったポリシーに基づいて評価することで、MDMプラットフォームは他のシステムが利用可能なコンプライアンス判定結果を生成します。この判定結果こそが、デバイスを考慮したゼロトラストアクセスを可能にするものです。つまり、アクセス許可の決定には、有効な認証情報だけでなく、デバイス自体が適切に管理され、コンプライアンスを満たしていることが求められるのです。

MDMとは何ですか？

Microsoft Intune などの MDM プラットフォームは、管理プロファイル、証明書、または Company Portal アプリを通じてデバイスを登録し、登録後は設定のプッシュ配信、ハードウェアおよびソフトウェア属性の照会、リモートコマンドの発行を行うことができます。登録が完了すると、プラットフォームはコンプライアンス ポリシー（例：「ファイアウォールを有効にする必要がある」）に基づいてデバイスを評価し、「準拠」、「非準拠」、または「不明／未評価」というステータスを割り当てます。

他のシステムでは、デバイスチェックを独自に再実装するのではなく、APIを通じてそのコンプライアンス状態を読み取ります。Microsoft Intune は、テナント ID、クライアント ID、およびクライアントシークレットによる認証を経た Microsoft Graph API を通じて、デバイスのレコード（登録ステータス、コンプライアンス状態、所有権、暗号化ステータス、脱獄／ルート化の検出結果など）を提供します。利用システムは、デバイスの識別子を使用して Graph API にクエリを送信し、アクセス許可の判断に活用するための現在のポスチャ情報を取得します。

MDMの種類

MDMは、その範囲によって区別されるエンドポイント管理の幅広いカテゴリーの一つに位置づけられます。MDMは、狭義にはデバイスレベルの登録、構成プロファイル、およびデータ消去やロックなどのリモート操作を扱います。エンタープライズ・モビリティ・マネジメント（EMM）は、MDMにアプリケーションおよびコンテンツ管理の機能を追加したものです。ユニファイド・エンドポイント・マネジメント（UEM）は最も広範な層であり、1つのコンソールでモバイル、デスクトップ、場合によってはIoTエンドポイントをまとめて管理し、MDM/EMMと従来のクライアント管理を統合したものです。Microsoft IntuneやIvanti Neuronsは現在、UEMプラットフォームとして販売されていますが、「MDM」という略称が依然として一般的に使われています。

導入方法も、デバイスの所有形態によって異なります。企業所有のデバイスは通常、完全に管理され、厳格なルールが適用されますが、BYOD（個人所有デバイスの業務利用）の登録では、デバイス全体を制御することなくコンプライアンスを確認するための、より軽量なプロファイル（多くの場合、ワークコンテナや証明書のみ）が適用されます。Versaのデバイスフィンガープリントデータでは、これを「企業所有」または「個人所有」というデバイス所有形態として追跡しています。

MDM &Versa

Versa 独自のMDMシステムを構築していません。その代わりに、「Versa Secure Access」は、外部のMDM/UEMプラットフォーム（Microsoft IntuneおよびIvanti Neurons）と連携し、デバイスの状態に基づくアクセス判断を強化します。Versa のゲートウェイまたはポータル上のMDMプロファイルには、Intune Graph APIへのクエリ実行に必要なテナントID、クライアントID、およびクライアントシークレットが保存されています。

デバイスが「Versa 」SASE クライアントを介して登録されると、Secure Access Portal（およびその後、各トンネル上のゲートウェイ）は、リンクされたMDMプロファイルに対してクエリを実行し、そのデバイスが登録済みかつコンプライアンス要件を満たしていることを確認します。その後、ポリシーに基づき、管理対象かつコンプライアンス要件を満たしたデバイスであることが確認されて初めて、アクセスが許可されます。MDM 統合ガイドでは、Entra アプリの登録からコンプライアンス ポリシーに至るまで、Microsoft Intune の設定手順を詳しく解説しています。このデータはデバイスのフィンガープリント機能にも活用されます。コンプライアンス状態、所有権、暗号化ステータスといった情報が、クライアントおよびゲートウェイのテレメトリデータと組み合わされ、ポスチャーに基づくアクセス決定に活用されます。

よくある質問

MDMとUEMの違いは何ですか？

MDMは、モバイル端末やデスクトップ端末の登録および設定を狭義に扱うものです。UEM（Unified Endpoint Management）は、より広範なカテゴリーであり、1つのコンソールでモバイル、デスクトップ、IoTのエンドポイントをまとめて管理するものです。Microsoft Intuneのようなプラットフォームは現在、UEMとして販売されていますが、MDMは依然として一般的な略称として使われています。

Versa は独自のMDMプラットフォームを提供していますか？

No.Versa Secure Accessは、独自のデバイス管理システムを搭載するのではなく、主にMicrosoft IntuneやIvanti Neuronsといった外部のMDM/UEMプラットフォームと連携します。Versa のゲートウェイおよびポータルは、Microsoft GraphなどのAPIを通じてこれらのプラットフォームにクエリを送信し、アクセス判断に必要なデバイスのコンプライアンスデータを取得します。

MDMはどのようなコンプライアンス状態を報告しますか？

ほとんどのMDMプラットフォームでは、「準拠」、「非準拠」、あるいは「不明／評価なし」といった限られたコンプライアンス状態のみが報告されます。Versaのセキュアアクセスポリシーは、この状態や、デバイスの所有権、暗号化状況などの属性を直接読み取り、接続するすべてのデバイスへのアクセスを制御します。

接続後にデバイスが仕様を満たさなくなった場合はどうなりますか？

Versa 初期登録時だけでなく、デバイスのコンプライアンス状態を継続的に再評価します。デバイスがトンネルを確立するたびに、ゲートウェイは新たなMDMクエリを発行します。コンプライアンス状態が「非準拠」に変化した場合、ゲートウェイのポリシーにより、次のセッションを待つことなく、アクセスを制限または拒否することができます。

BYOD端末にはMDMが必要ですか？

MDMはBYODにも適用されますが、通常、企業所有のデバイスに比べて管理の範囲は狭く、デバイス全体の制御ではなく、多くの場合、ワークコンテナ、証明書、またはアプリレベルのポリシーに限定されます。Versaのデバイスフィンガープリントデータは、所有者を「企業所有」または「個人所有」として区別するため、それに応じてポリシーを異なるものに設定することができます。

MDMに関する詳細

さらに詳しく知りたい場合は、私たちが信頼している情報源を以下にご紹介します。

関連用語

MDMについて調べているなら、次はこれらをチェックしてみる価値があります。