企業向けの Androidデバイスと Android Enterprise

企業向けの Androidデバイスと Android Enterprise

　まもなく 9月11日に Apple のイベントと共に新しいモバイルデバイスと新しい iOS 、新しい macOS とコンピュータや、ウェアラブルデバイスが発表されるわけですが、ちょっと待ち遠しい Apple のイベントまでの間に、Androidデバイスと Android Enterprise について書いてみたいと思います。

　これを書いている筆者には、長らく Android デバイスに対して自身でもちゃんと分かっていなかったイメージ先行の思い込みがありました。Samsun Galaxy S10+ (Android 9) を利用し、 Android Enterprise のテストをしてみたので、デバイスの使用感含めてここでレポートしたいと思います。今すぐにでも iPhone 止めて Galaxy に個人のスマフォも移行したいくらい便利。というような事も含めて書いていこうと思います。

エンタープライズ市場における Android端末のイメージ

　2015年頃には iOS を超えて Android が法人市場を席巻すると言われておりましたが、全くそんなことはなく、法人市場で見かけるスマートフォンは Android を売りたいキャリアさんの営業以外ではほぼ iPhone か、そうじゃない場合はまだガラケーというのが主流のままでした。
　iPhone は値段相応のこともあって、耐久性に優れ、初期不良も少なく、元々の堅牢な設計を積み重ねてきたこともあり、法人市場はほぼ独占状態となりました。Android か iOS かという議論は、用途や誰が持つかによって大きく変わり、例えば店舗でずっとムービーを流してるだけのタブレットなのであれば、むしろ Android の方が便利ですし、ピッキング専用端末やバーコードリーダーを付けた業務端末なんかであっても Android の方が構築しやすいかもしれません。しかし Android にはハードウェアベンダーが星の数ほどもあり、安かろう悪かろうなデバイスも数多くあるだけではなく、肝心の Android のインプリメントはそのハードウェアベンダーに一存のため、フラグメント化というどうしようもない問題を生んだ結果 Android ってイマイチだよね、という悪いイメージを定着させてしまいました。
　フラグメント化の問題は OS に関する責任分解点を不明確にし、同じ Android バージョンでも機能の格差を生み、バージョンアップできるデバイスとできないデバイスが大量に市場に投下された結果、セキュリティ問題１つにしても解決するのはほぼ不可能という状況を生み出しました。更に Android アプリは様々な場所から、様々なバージョン、時には改造版すらダウンロード可能で、アプリの審査もされることがないこと、Android アプリが登録されるマーケットにはAndroid がユーザに気付かれずに常駐したまま動き続けられる点等が悪用され、マルウエアの巣窟みたいなイメージも綺麗に定着してしまったのです。
　2019年半期を過ぎた段階で、iOS 12 のインストール率は 89% に対し、Android は Android 4.4 (KitKat) 辺りでまだ 7% 程度、そこから段階的に Android 9 まで個別に見てみてもほぼ均一に 10% 台をキープしているというインストール状況。これは Google さんのせいというよりも、ハードウェアベンダーの怠慢のせいが見て取れます。

Samsung Galaxy S10 - Android デバイス

　こんな状況ではありますが、当社は Android 端末が今後、法人市場で増えていくだろうと予想しています。実質的にフラグメント化の問題はいつまでもつきまといますから、デバイスの選定は気をつけなければならないポイントです。これは垂直統合のiPhoneにはない選択です。
　今回は Samsung Galaxy S10 Plus を使って、Android Enterprise の検証をしてみたので、デバイスの使用感を含めてレポートしていきたいと思います。
　Samsung Galaxy S10 ですが、本当に素晴らしいデバイスの一言に尽きます。iPhone で感じていた使いづらさやモヤモヤ感が一掃されているデバイスで、とても使いやすくて直ぐにでも乗り換えたいというのが正直な感想でした。デバイスを使い出した時のワクワク感は iPhone から消えて久しいですが、Galaxy S10 は2週間使っている今でもワクワク感は増すばかりです。

• Galaxy のセキュリティ

　Android 検証用として Galaxy を選択した理由ですが、セキュリティについては、Samsun KNOX という独自のハードウェアと密接に関連付いたセキュリティ技術を持っており、リアルタイムでのカーネル・チェック、暗号化専用のチップ、オフィシャルなROMかどうかをチェックする機構など、セキュリティレベルは国防レベルを謳っています。それ以外でも KNOX Mobile Enrollment (KME) という　Apple DEP と同じバルク・エンロールメントを可能とするサービスも有しており、大規模なエンタープライズ・ユースにも耐えられる独自プログラムがあります。KNOX Workplace という独自のコンテナ化技術も Android 初期からあり（現在では Android Enterprise でのワークプロファイル[=仕事用プロファイル]に集約されつつありますが）、早い段階からコンシューマのみでなく、エンタープライズも視野に入れた取り組みをしていた本気度がそこここに窺えます。

• スペック

　Galaxy は6.1インチのディスプレイ、 解像度は WQHD+ 3040x1440 、iPhone XS Max は5.8インチディスプレイ、解像度は 2436x1125 となっています。Galaxy には画面モードに「鮮やか」「ナチュラル」の2択があり、「鮮やか」がデフォルトですが、発色がかなり綺麗に感じます。
　Galaxy のコネクタは USB-C とイヤホンジャックを備え、iPhone はLightning端子のみとなっています。
　搭載メモリは OS が違うためあまりその差に説得力はありませんが、Galaxy S10 は 8G（または12G）、大して iPhone XS は 4G となっています。

映画の再生比較（上：iPhone XS Max , 下：Galaxy S10+ どちらも画面輝度は最大）

• 操作感

　筆者は iPhone XS Max と Galaxy S10 Plus を使っているので、サイズ的にはほぼ同一。縦のサイズと厚みもほぼ同じ。横幅が Galaxy の方が 3mm ちょっと短くて手が小さい人には手に持ったフィット感は Galaxy の方が若干良いです。
　画面の両端がカーブしたディスプレイを採用しており、エッジと呼ばれる部分を使ったインターフェースを採用しているのが独特です。 エッジを使ったインターフェースの中で、２つのアプリを上下に並べて起動する機能があるのはとても便利です。
　持ち方によっては意図せずスクロールしたり、片手で操作していると指を伸ばしたアイコンを触る前にエッジに触れていて意図せぬ動作をしたりという、インターフェース上の問題も少し感じました。ただ、iPhone XS Max にしても、Galaxy S10+ にしても、このサイズを片手で操作というのがそもそも無理があります。両手使いの場合なら、圧倒的に Galaxy に軍配が上がります。
　１つ気をつけたいのは、Android の場合日本語入力は標準ではサポートされず、Play ストアからダウンロードが必要です。私は ATOK Passport ユーザなので、それを使いましたが、ここらへんはiPhoneとは違う戸惑うポイントになるかもしれません。

• デバイスの認証
  

　デバイスの認証はディスプレイ内蔵型の指紋センサーと顔認証の両方に対応しています。優先順位付けが可能で、指紋を試して、その後顔認証というような使い方も可能です。ワークプロファイルの保護にも生体認証は利用可能ですが、ワークプロファイル用に指紋は再度登録が必要となります。ディスプレイ埋め込み型の指紋センサーですが、iPhone の指紋センサーのように指を置いただけで認証してくれるものではなく、3Dタッチのようにグッと押し込んで認証します。登録時などは結構戸惑いますが使い出すとこれも普段使いで不便を感じることは全くありません。

• Samsung Flow
  

　Galaxy と Bluetooth 対応のPCであれば撮影した写真の転送などは可能ですが、デスクトップPCなどともっと情報の共有を簡単にしたいという場合に利用できる Samsung Flow というアプリがあります。PC にインストールすると、Galaxy 側の Flow アプリケーションとチャット感覚で情報の共有が行えます。写真だけではなくクリップボードや通知なども共有できます。iPhoneの Hand off に近い機能と言えます。もう1つ面白い機能としては、Windows Hello と連携できて、Galaxy デバイスの指紋認証で Windows にログインできることです。これはかなり便利です。Windows Hello が設定できることが条件なので会社PC等では難しいかもしれませんが自宅や個人のPCではメチャクチャ便利です。

• Galaxy Smart Switch
  

　iPhone でも最近は近接デバイス構成に加えて有線でのデータ移行をサポートするようになりました。Galaxy には Smart Swtch Mobile というツールが準備されており、アクティベーション時からWi-Fi転送、ダイレクト接続転送、SDカード転送、更に iPhoneからの移行であれば iCloud からの転送もサポートされます。App、連絡先、音楽、画像、カレンダー、テキストメッセージ、端末設定などがサポートされます。

Samsung DeX 動作画面

• Samsung DeX

　まもなく iOS 13 がリリースされます。iPad の OS は iPadOS という iPhone とは異なる独自OSになりマウスとの接続が可能になって喜んでいる人も多いのですが、Galaxy は普通にマウスもキーボードも Bluetooth 接続できます。ただそれぞれの入力機器が「普通じゃなく」使えてしまうのが Samsung Dex です。Samsung DeX は Galaxy を HDMI などでモニターなどに接続した際に利用できるデバイスオーナー専用のデスクトップ画面です。ここに仕事用のアプリやブラウザのアイコンなどを並べておくと、まるでPCを使っている感覚で Galaxy の操作が行えてしまいます。Gmail 、ブラウザ、Office アプリなど、本当にGalaxyを操作していることを忘れます。一部未対応のアプリもありますが、普段使いのアプリでデスクトップで使いたいものはほぼ使えます。そしてデスクトップで操作している間の、Galaxy 本体はそのまま普通のスマートフォンとして利用できてしまいます。この写真は Samsun DeX でパワポやブラウザや Gmail をモニターに表示しているものですが、この写真は HDMI 接続された Galaxy 本体で撮影をしています。

Android Enterprise のワークプロファイル

Android エンタープライズの３つのモード

　Android Enterprise を理解するには、ワークプロファイルを使ってみるのが最も近道でしょう。仕事用プロファイルとも呼ばれますが、Android Enterprise での重要なコンテナ化された領域の概念です。ワークプロファイルは完全に分離されたセキュアコンテナです。領域の中は暗号化が施され、ワークプロファイル内のアプリを使うためには生体認証やパスワードが求められます。
　当社が販売している MobileIron では、Android Enterprise の３つのモードをフルサポートしています。

• Work Profile

　　個人のデバイスの中に仕事用の領域を作成するモードです。MDMから管理ができるのはあくまでもワークプロファイルの中のみで、個人的に利用しているデバイス内のアプリ一覧や通話履歴の閲覧、一条の検索やロック、ワイプなどのリモート操作も行えません。重要なのはワークプロファイルであり、セキュアなコンテナ化された領域の中に、企業のセキュリティポリシーの設定、アプリの配信、ネットワーク構成など行うことができます。

• Fully managed device

　　完全な会社所有のデバイスで、完全な業務利用のデバイスとして構成します。全ての領域がワークプロファイルだけで構成されるイメージです。

• Work Profile on Fully managed device

　　ワークプロファイルは、完全な会社所有デバイスのデバイスにも追加することができます。そしてそのワークプロファイル領域にデバイスオーナーを与えることで、会社では管理できない私的な領域をユーザに与えることができるようになります。

個人領域（MobileIron 側からは管理できないデバイスオーナー領域）

ワークプロファイル領域（MobileIron から管理可能な領域で暗号化されている）

Android のデスクトップ（仕事用アイコンと個人用アイコンが混在）

個人領域とワークプロファイル領域を完全に分離する

　個人領域には Play ストアからダウンロードしたアプリが並んでいます。このアプリは自分で自由に使うことができますし、この中のデータは自由にSNSやメールで送信もできますし、クラウドに接続したりもできます。
　ワークプロファイル領域にも、似たようにアプリが並んでいますが、これらは全て MobileIron から配布されたアプリであり、「業務」タブ内にある Play ストアはMDMから配布が許可されたアプリのみがリストされます。ワークプロファイル領域のアプリを起動しようとすると、ロック解除後の最初は生体認証またはパスワードが求められます。
　個人領域のアプリと、ワークプロファイル領域のアプリはプロセス間通信もできなければ、データ交換も行えません。クリップボードも完全に分断されています。そのため、企業アプリで閲覧しているテキストをコピーして、個人アプリにペーストすることもできません。メールアプリ内のアカウントも全て MobileIron から設定が行えます。またワークプロファイル領域の Chrome ブラウザに関する細かなパラメータ（キャッシュを残さない、クッキーの許可ポリシー、ブックマーク等）も全て MobileIron から設定ができるようになっています。
　カメラも個人用とワークプロファイル用と分かれています。個人用で撮影した写真は個人領域のギャラリーへ保存され、ワークプロファイル領域のカメラで撮影した写真は、ワークプロファイル内のギャラリーへ保存され、その写真を受け渡しできるアプリは、ワークプロファイル内のアプリに限定されます。
　画面キャプチャのポリシーなども個人領域のアプリ起動中は許可され、ワークプロファイル領域のアプリ起動中は禁止されるなどのデバイスオーナーとワークプロファイルのポリシーを分けることができます。

Android Enterprise のキオスクモード

　Android のインターフェースにはナビゲーションバーや、戻るアイコン、ホームアイコン、設定アイコンなどが並びます。これらは Android 9 では iPhone X シリーズと同じようにジャスチャーにすることができますが、これらは店舗や工場などの業務用デバイスとしては不要なものです。
　iOS ではシングル App モードというアプリを強制的に１つ起動してその画面に固定する機能がありますが、Android ではさらにそれを進化させたキオスクモードがあります。キオスクモードは、企業用のブランディングを施した業務用スクリーンに業務用アプリだけを配置し、ユーザインターフェースもナビゲーションなどを消して、設定アイコンも限られた項目だけにしてしまう業務端末モードとも呼べる機能が搭載されます。

Android にはセキュリティソフトが必須だという誤解

　iOS が最も安全なモバイルOSだという誤解、Android は最も危険なモバイルOSという誤解。今やモバイルOSに安眠の日はきません。悪意のある攻撃者が狙うのは今やモバイルデバイスであり、iOS であってもWebサイトにアクセスしただけで脱獄され Root 権限を乗っ取られてしまうという時代です。現在の Android には Play プロテクションというアプリ・スキャナがビルトインされています。アプリについても、現在は iOS と同じように Google Play ストアで公開される前に厳しいセキュリティ・テストを受けます。Google では、Google Play のすべてのアプリデベロッパーが審査され、ポリシーに違反したデベロッパーは利用停止になります。
　デバイスの安全を守るためには、iOS も Android でも等しく、以下のルールを守ることが大切です。

• 危険なルートからアプリをインストールしない
• 危険なSSIDを利用した通信を行わない
• 安全なパスワードを設定し可能な限り二要素認証や認証アプリケーションを利用する
• メール、SNS、SMS 、Webサイトなど、見知らぬ安全性が確認できないリンクを踏まない
• 現在のアプリは全て審査されており、マイク、スピーカー、カメラ、写真フォルダ、位置情報、連絡先、通話履歴、ストレージなどプライバシー情報へのアクセスはユーザへの許可を求めるようガイドラインがしっかりしてきています。もし、何の変哲もない単機能アプリである筈のアプリが、マイクや、カメラへのアクセスを要求してきた場合は、それを疑うことを忘れないでください。

　たった、これらを守るだけでも100のアンチウィルスやアンチマルウェアをインストールするよりも効果があります。それでも貴方のデバイスは、危険かもしれないWi-Fiに接続してしまったり、中間者攻撃によって侵害されている可能性もあります。そんな心配がある場合には、MobileIron Threat Defense が効果があります。デバイスへの攻撃、ネットワーク攻撃、マルウェアなどの攻撃に晒された時に、MTD はそれらの通信を検知した瞬間に遮断をしてくれます。

もっと MobileIron について知りたい場合は

　MobileIron は iOS , iPadOS , macOS , tvOS , Android , Wndows10 が管理できるマルチプラットホーム、エンドポイント管理システムです。MobileIron はデバイスを管理するだけではなく、全てのデバイスから安全なネットワークアクセスを App にラッピングする事で安全なアプリの通信経路の提供も同時に行えます。また、MobileIron Access では、デバイスからクラウドサービスへの安全なアクセスを提供することもできます。
もっと詳しく MobileIron についてお知りになりたい方は mi@sbi.co.jp まですぐにご連絡ください！