ユーザーグループ

一連のユーザーをユーザーグループにまとめることができます。ユーザーグループは、組織グループと同様、プロファイルとアプリケーションを割り当てる際のフィルタのような機能を果たします。Workspace ONE UEM で環境を構成する際には、ユーザーグループを、組織におけるセキュリティグループとビジネス役割区分に添った形で作成する必要があります。

プロファイル、順守ポリシー、コンテンツ、およびアプリケーションを、ユーザーグループに属するユーザーとデバイスに割り当てることができます。既存のディレクトリサービスグループを Workspace ONE UEM に追加することも、すべて手作業でユーザーグループを作成することもできます。

あるいは、ユーザーグループの代わりに、事前構成されたネットワーク IP アドレス範囲やカスタム属性に基づいてデバイスを割り当てることでコンテンツを管理することもできます。

ユーザーグループリスト表示

[ユーザーグループリスト表示] ページには、ユーザーグループの閲覧/融合/削除、不明ユーザーの追加、ユーザーグループの同期など、ユーザーグループの一般的なメンテナンスや維持にとって便利なツールがあります。

この画面から、最も重要な基準に基づいてユーザーグループのリストを素早くカスタマイズすることができます。新しいユーザーグループを個別にまたは一括で追加することもできます。

アカウント > ユーザーグループ > リスト表示 と進みます。

操作	説明
フィルタ	以下のフィルタを使用し、必要なユーザーグループのみ表示します。 * ユーザーグループタイプ * 同期状態 * 融合状態
追加
ユーザーグループを追加します。	ディレクトリベースのユーザーグループまたはカスタムユーザーグループのいずれかを 1 つ追加します。
バッチインポート	新しいデバイスプロファイルを CSV ファイルを使用して一括インポートします。一意の名前および説明を入力して、一度に複数のユーザーグループを整理できます。
カラムの並べ替えとサイズ変更	｢リスト表示｣の中で並べ替えができるカラムは、｢グループ名｣、｢最終同期日｣、｢ユーザー｣および｢融合状態｣です。幅を変更できるカラムは、「グループ名」と「最終同期日」です。
詳細表示	｢詳細表示｣でユーザーグループ基本情報を表示するには、グループ名カラムのリンクを選択します。ユーザーグループ基本情報の内容は、グループ名、グループタイプ、外部タイプ、マネージャ、およびユーザー数です。[詳細表示] の [グループ化] タブで [すべての設定] > [デバイスとユーザー] > [全般] > [加入] の順に進むと、グループマッピング設定へのリンクが表示されます。
エクスポート ()	フィルタ適用なしまたはフィルタ適用済みの [リスト表示] 全体の CSV（コンマ区切り値）ファイルを保存します。このファイルは MS Excel で表示して分析できます。

ユーザーグループリスト表示 のユーザーの左側には、選択チェックボックスと編集アイコンがあります。編集アイコン ( [編集] アイコンは、灰色の鉛筆の形をしています。 ) を選択し、ユーザーグループに基本的な変更を加えることができます。ユーザーグループに対して一括アクションを実行するには、1 つ以上のグループを選択します。選択したユーザーグループに対するアクションボタンが表示されます。

ユーザーグループのその他のアクション

必要な数のチェックボックスを選択し、必要なユーザーグループをすべて選択できます。そうすることにより利用可能なアクションボタンが変わります。それらのアクションは、複数のユーザーとそれぞれのデバイスに適用されます。

操作	説明
同期	最近追加されたユーザーグループのユーザーを一時テーブルにコピーし、自動的に行われるようスケジュールされた Workspace ONE UEM および Workspace ONE Express による Active Directory 同期が実行される前に手動で同期します。注：ユーザー属性の同期プロセスは、重複するユーザーが検出されても続行されます。このような同期失敗が発生すると、トラブルシューティング用に、DuplicateUserSyncFailure と呼ばれるコンソールイベントログにエントリが作成されます。このコンソールイベントログエントリと他のコンソールイベントログエントリを確認するには、[モニタ] > [レポートおよび分析] > [イベント] > [コンソールイベント] の順に進みます。
ユーザーを表示する	ユーザーグループメンバー画面が表示されます。この画面で、選択したユーザーグループ内のすべてのメンバーのユーザー名を確認できます。
その他のアクション
閲覧と融合	一時的なユーザーグループに最近追加されたユーザーの追加または削除と閲覧を行います。このテーブルに表示されるユーザーグループユーザーは、Workspace ONE UEM および Workspace ONE Express での自動ユーザーグループ同期を待機します。
不明ユーザーを追加	一時的なユーザーグループの表を Active Directory の表と組み合わせ、ユーザーグループに新しいユーザーを正式に追加します。
削除	ユーザーグループを削除します。

ユーザーをユーザーグループに追加する

必要に応じて、ユーザーグループにユーザーを追加できます。スケジュール設定された自動起動するユーザーグループの Active Directory 同期を待機しない場合は、ユーザーグループを手動で同期できます。

以下の手順に従って 1 つ以上のユーザーグループに新しいユーザーを追加します。

このスクリーンショットは、ユーザーをユーザーグループに追加するために使用するユーザーリスト表示を示しています。

アカウント > ユーザー > リスト表示 と進みます。
左側のボックスにチェックを入れてユーザーを 1 人以上選択します。
その他のアクション ボタンを選択し、ユーザーグループに追加 を選択します。選択したユーザーをカスタムユーザーグループに追加 画面が表示されます。
ユーザーを [既存のユーザーグループ] に追加するか、あるいは [新しいユーザーグループ] を作成できます。
[グループ名] を選択します。
[保存] を選択します。
アカウント > ユーザーグループ > リスト表示 と進みます。
1. Active Directory (AD) の同期 (自動化およびスケジュールされたプロセス) により、保留中のユーザーグループのユーザーを一時テーブルにコピーします。次に、これらのユーザーグループのユーザーを確認、追加、または削除します。
2. Active Directory との自動同期処理が実行されるまで待てない場合、手動で同期させることができます。手動同期を実行するには、ユーザーを追加したユーザーグループを選択し、同期ボタンを選択します。
  
  注：ユーザー属性の同期プロセスは、重複するユーザーが検出されても続行されます。このような同期失敗が発生すると、トラブルシューティング用に、DuplicateUserSyncFailure と呼ばれるコンソールイベントログにエントリが作成されます。このコンソールイベントログエントリと他のコンソールイベントログエントリを確認するには、[モニタ] > [レポートおよび分析] > [イベント] > [コンソールイベント] の順に進みます。
オプションで、[さらに] > [閲覧して融合] の順に選択し、保留中のユーザーグループのユーザーの確認、追加、削除といったメンテナンス作業を行うこともできます。
保留中のユーザーグループユーザーの一時テーブルを Active Directory ユーザーグループユーザーと結合するには、さらに > 不明ユーザーを追加 を選択します。

ディレクトリ統合なしにユーザーグループを追加する（カスタム）

貴社の既存の Active Directory 構造に含まれないユーザーグループを作成することもできます。管理者は、この機能を用いて特別なユーザーグループをいつでも作成することができます。機能およびコンテンツへのアクセスを特別に設計して、展開に応じてユーザーグループをカスタマイズします。これは、必要なユーザーグループの種類に応じて推奨される場合があります。

たとえば、特殊なアプリ、デバイスプロファイル、順守ポリシーを要する特別なプロジェクト向けに一時的なユーザーグループを作成したりすることができます。

ユーザーグループを一括で追加する方法については、バッチインポート機能の「ユーザーグループのバッチインポート」というタイトルのセクションを参照してください。

カスタムユーザーグループを追加できるのはカスタマーレベルの組織グループのみですのでご注意ください。

このスクリーンショットは、ディレクトリ統合なしでユーザーグループを追加するために使用するユーザーグループリスト表示、追加を示しています。

アカウント > ユーザーグループ > リスト表示 と進み、追加、ユーザーグループの追加 の順に選択します。
ユーザーグループ タイプ オプションを カスタム に変更します。
Workspace ONE UEM Console でユーザーグループを識別できるように [グループ名] と [説明] を入力します。
ユーザーグループを管理する組織グループが正しく選択されていることを確認し、保存をクリックします。
ユーザーをこのユーザーグループに追加するには、アカウント > ユーザー > リスト表示 と進みます。

複数のユーザーを追加するには、リスト内の各 ユーザー名 の左端にあるチェックボックスをオンにします。次に、カラム見出しの上にある [管理] ボタンを選択し、[ユーザーグループに追加] を選択します。

ディレクトリ統合を行ってユーザーグループを追加する

Active Directory 統合なしにカスタムユーザーグループを設定する代わりに、貴社の既存の Active Directory 構造を利用したユーザー統合を行うことができます。この方法には多くのメリットがあります。

既存のディレクトリサービスユーザーグループを Workspace ONE UEM ユーザーグループとしてインポートすることで、以下のようなタスクを実行できます。

ユーザー管理 – 既存のディレクトリサービスグループ (セキュリティグループや配布リストなど) を参照し、Workspace ONE UEM のユーザー管理を既存のシステムと合わせます。
プロファイルとポリシー – Workspace ONE UEM 展開全体のプロファイル、アプリケーションやポリシーをユーザーグループに割り当てます。
統合された更新 – グループメンバーシップの変更に基づき、ユーザーグループ割り当てを自動的に更新します。
管理権限 – 承認された管理者にのみ、ポリシーの変更と特定のユーザーグループへのプロファイルの割り当てを許可するよう、管理権限を設定します。
加入 – ユーザーが既存の資格情報を使用して加入できるようにし、自動的に組織グループを割り当てます。

管理者は、デバイスとユーザー管理のベースとなるメインのルート場所として、既存の組織グループを 1 つ指定する必要があります。また、ディレクトリサービスはこのルート組織グループレベルで有効にする必要があります。

貴社の既存のディレクトリサービスグループを Workspace ONE UEM に追加することができます。この操作で、各ディレクトリサービスアカウントに対するユーザーアカウントを即時に作成することはできませんが、Workspace ONE UEM はそれらのアカウントをユーザーグループとして認識します。このグループを加入制限の一つの方法として使用することができます。

ディレクトリユーザーグループを一括で追加する方法については、バッチインポート機能の「ユーザーグループのバッチインポート」というタイトルのセクションを参照してください。

ディレクトリ統合を行ってユーザーグループを作成することは、より系統だったデバイス管理を行ううえでメリットがあります。デバイス加入に加え、それ以降の更新、管理、ユーザー管理にいたるまで、貴社の既存のディレクトリサービス構造と足並みを揃えて行うことができます。

開始する前に次を実行します。ユーザーグループ タイプ が ディレクトリ であることを確認します。

このスクリーンショットは、ディレクトリ統合でユーザーグループを追加するために使用するユーザーグループリスト表示、追加を示しています。

アカウント > ユーザーグループ > リスト表示 と進み、追加、ユーザーグループの追加 の順に選択します。

設定	説明
タイプ	ユーザーグループのタイプを選択します。 * ディレクトリ – 貴社の既存の Active Directory 構造に沿ってユーザーグループを作成します。 * カスタム – 貴社の既存の Active Directory 構造とは関係なくユーザーグループを作成します。このユーザーグループタイプでは、ベーシックユーザーとディレクトリユーザーが機能とコンテンツを利用して、貴社の環境に従ってユーザーグループをカスタマイズすることができます。カスタムユーザーグループを追加できるのはカスタマーレベルの組織グループのみですのでご注意ください。
外部タイプ	追加するグループの外部タイプを選択します。 * グループ – 貴社のユーザーグループのベースとなるグループオブジェクトクラスを参照します。このクラスをカスタマイズするには、[グループと設定] > [すべての設定] > [システム] > [エンタープライズ統合] > [ディレクトリサービス] > [グループ] の順に進みます。 * 組織ユニット – 貴社のユーザーグループのベースとなる組織ユニットオブジェクトクラスを参照します。このクラスをカスタマイズするには、[グループと設定] > [すべての設定] > [システム] > [エンタープライズ統合] > [ディレクトリサービス] > [グループ] の順に進みます。 * カスタムクエリ – カスタムクエリを実行し、返されたユーザーを含むユーザーグループを作成することもできます。この外部タイプを選択すると、テキスト検索の代わりに、｢カスタムクエリ｣セクションが表示されます。
テキスト検索	貴社のディレクトリ内のユーザーの名前を特定するには、検索条件を入力し、検索を選択して検索します。入力した語句がディレクトリグループの名前に含まれている場合、そのグループ名のリストが表示されます。外部タイプとしてカスタムクエリを選択した場合、このフィールドは使用できません。
ディレクトリ名	貴社のディレクトリサービスサーバのアドレスが表示されます。この欄は読み取りのみです。
ドメインとグループベース DN	この情報は、[ディレクトリサービス] 画面（[グループと設定] > [システム] > [エンタープライズ統合] > [ディレクトリサービス]）で入力したディレクトリサービスサーバ情報に基づいて自動的に入力されます。グループベース DN の横にある DN を取得 (+) を選択します。識別名のリストが表示されます。このリストで識別名を選択できます。
カスタムオブジェクトクラス	クエリを実行するオブジェクトクラスを特定します。既定のオブジェクトクラスは｢person｣ですが、カスタムオブジェクトクラスを提供することで貴社のユーザーを特定する精度を上げることができます。この欄は、外部タイプとしてカスタムクエリを選択した場合のみに表示されます。
グループ名	テキスト検索結果リストからグループ名を選択します。｢識別名｣欄の値を変えると、選択されるグループ名も自動で変わります。このオプションは、テキスト検索設定を使った検索が正常に行われた後にのみ使用できます。
識別名	作成しているグループの完全な識別名が表示されます。この欄は読み取りのみです。この欄は、外部タイプとしてグループまたは組織ユニットを選択した場合のみ表示されます。
カスタムベース DN	ベース識別名を特定します。これはクエリの開始点としての役割を果たします。既定のベース識別名は「AirWatch」および「sso」です。ただし、別の開始点からクエリを実行したい場合は、カスタムベース識別名を指定できます。この欄は、外部タイプとしてカスタムクエリを選択した場合のみに表示されます。
組織グループ割り当て	この欄はオプションです。これにより、作成しているユーザーグループを特定の組織グループ (OG) に割り当てることができます。 * この欄は、外部タイプとしてグループまたは組織ユニットを選択した場合のみ表示されます。 * 「カスタマー」タイプの OG を選択する必要があります。カスタマータイプ以外の OG へのユーザーグループの割り当ては許可されていません。
ユーザーグループ設定	[既定の設定を適用] と [このユーザーグループに対して、カスタム設定を使用する] のいずれかを選択します。設定の追加説明については、この表の [カスタム設定] 行を参照してください。グループを作成した後、権限設定からこれらを構成することができます。この欄は、外部タイプとしてグループまたは組織ユニットを選択した場合のみ表示されます。
カスタムクエリ - クエリ	この欄は、クエリをテストボタンを選択したときと、続行ボタンを選択したときに、現在読み込んでいるクエリを表示します。カスタムロジック欄またはカスタムオブジェクトクラス欄の変更はここに反映されます。
カスタムロジック	ユーザー名や管理者名などのカスタムクエリロジックはここに追加します。例：“cn=jsmith”。識別名の大部分を含めることも、わずかな部分しか含めないこともできます。クエリをテストボタンにより、クエリのシンタックスが正しいかを続行ボタンをクリックする前に確認することができます。
カスタム設定 - 管理権限	作成するユーザーグループを管理する権限を、すべての管理者に許可することも管理権限をブロックすることもできます。
既定役割	ドロップダウンメニューからユーザーグループの既定の役割を選択します。
既定の加入ポリシー	ドロップダウンメニューから既定の加入ポリシーを選択します。
ディレクトリと自動同期	このオプションでディレクトリ同期が有効になり、ディレクトリサーバからユーザーメンバーシップを検出し、一時テーブルに保管します。[自動融合] チェックボックスがオフになっている場合、管理者はコンソールに対する変更内容を承認します。定期同期時にユーザーグループが自動同期されないようにするには、この設定のアクティベーションの解除を行う必要があります。
変更を自動融合する	管理者の承認なしにデータベースの変更を自動で適用するようにするにはこのオプションを有効に設定します。
許可された最大の変更数	自動によるユーザーグループ同期の変更数にしきい値を設定する場合はこの欄を使用します。この数を超えると、変更を適用する前に承認が必要になります。変更回数がこのしきい値を超えた場合、管理者による承認が必要になります。また、その旨の通知が送信されます。この欄は変更を自動融合するが有効になっている場合のみに表示されます。
グループメンバーを自動で追加	ユーザーをユーザーグループに自動追加するには、この設定を有効にします。定期同期時にユーザーグループが自動同期されないようにするには、この設定のアクティベーションの解除を行う必要があります。
不明なユーザーを追加するときにユーザーに Eメールを送信する	ユーザーグループに不明なユーザーが追加されている場合に、ユーザーに E メールを送信できるようにします。不明ユーザーを追加するということは、一時ユーザーグループテーブルと Active Directory テーブルを結合することを意味します。
メッセージテンプレート	この欄は不明なユーザーを追加するときにユーザーに Eメールを送信するが有効になっている場合のみに表示されます。不明ユーザーをユーザーグループに追加する際に Eメール通知に使用するメッセージテンプレートを選択します。 Active Directory ユーザーを Workspace ONE UEM コンソールに新規追加する場合、メッセージテンプレートを使用できるかどうかは、[グループと設定] > [すべての設定] > [デバイスとユーザー] > [全般] > [加入] で [認証] を選択し、[デバイス加入モード] オプションで選択して構成した加入モードに応じて決まります。新規加入がデバイス加入モードとして選択されている場合、ユーザーアクティブ化 E メールテンプレートをメッセージテンプレートドロップダウンで使用できます。この E メールメッセージは、新しい Active Directory ユーザーの登録を有効にします。登録済みデバイスのみがデバイス加入モードとして選択されている場合、デバイスアクティベーション E メールテンプレートをメッセージテンプレートドロップダウンで使用できます。この E メールメッセージは、新しい Active Directory ユーザーがデバイスを登録できるようにします。登録トークンを要求するが有効になっている場合は、このメッセージに組み込まれたトークンでデバイスを登録できます。

識別名の詳細は、Microsoft TechNet (https://technet.microsoft.com/) で｢Object Naming｣と題された記事を参照してください。

[保存] を選択します。

ユーザーグループ権限の編集

貴社のどのユーザーが特定グループの変更権限をもつのかを再検討するためには、ユーザーグループ権限を調整します。たとえば、貴社組織に会社役員のユーザーグループがある場合、それよりも低いレベルの管理者にそのグループの管理者権限を与えることは適切ではないかもしれません。

権限画面を使用し、誰に特定ユーザーグループの管理権限を与え、誰にプロファイル/順守ポリシー/アプリケーションをユーザーグループに割り当てる権限を与えるのかを制御します。

このスクリーンショットは、ユーザーグループの権限を変更できる [ユーザーグループの編集] 画面を示しています。

アカウント > ユーザーグループ > リスト表示 と進みます。
既存のユーザーグループの行の編集アイコンを選択します。
権限タブを選択し、追加をクリックします。
アクセス権限を定義する対象の 組織グループ を選択します。ユーザーグループのルート組織グループ (OG) 階層内にある組織グループを選択する必要があります。選択する OG はまた、「カスタマー」タイプに属する必要があります。詳細については、組織グループの「組織グループタイプの機能とカスタマイズ」というタイトルのセクションを参照してください。
有効にしたい アクセス権限 のボックスにチェックを入れます。
- グループを管理 (編集/削除) – ユーザーグループの編集と削除ができるようになります。
- グループ内のユーザー管理と加入の許可 – ユーザーグループ内のユーザーを管理することや、組織グループへのデバイスの加入を許可することができます。この設定を有効にするには、｢グループを管理 (編集/削除)｣も有効になっている必要があります。[グループを管理（編集/削除）] がアクティベーション解除済みの場合は、この設定もアクティベーション解除済みになります。
- グループを割り当てに使用 – セキュリティポリシーおよびエンタープライズリソースをデバイスに割り当てるのにグループを使用することができます。この設定を変更するには、[グループを管理（編集/削除）] がアクティベーション解除済みである必要があります。｢グループを管理 (編集/削除)｣が有効になっている場合、この設定はロックされ、編集できません。
  - この設定は、ユーザーグループがメイン OG によって管理され、サブ OG の 1 つからグループを割り当てたい場合はアクティベーション解除済みになります。
アクセス権限の 適用範囲 を選択します。これは、このユーザーグループを管理または使用できる管理者を決定します。次のオプションのいずれか 1 つのみを有効にできます。
- 管理者のみ – メイン組織グループの管理者にのみ権限が適用されます。
- この組織グループとその下のサブグループのすべての管理者 – 権限がメイン組織グループの管理者およびその下位のすべてのサブ組織グループのすべての管理者に適用されます。

ユーザー詳細情報にアクセスする

ユーザーとユーザーグループが設定された後は、ユーザー詳細、関連デバイス、インタラクションに関するすべてのユーザー情報を閲覧することができます。

ユーザー名が表示されている、Workspace ONE UEM コンソール内の任意の画面で、ユーザー情報を閲覧できます。次に例を示します。

このスクリーンショットは、ユーザーの詳細を確認するために使用するユーザーグループの詳細表示を示しています。

｢ユーザーグループのメンバー｣ (アカウント > ユーザーグループ > 詳細表示 > さらに > ユーザーを表示)
- 詳細表示に進むには、リストでユーザーグループ名を選択します。
｢ユーザーリスト表示｣ (アカウント > ユーザー > リスト表示)
｢管理者リスト表示｣ (アカウント > 管理者 > リスト表示)

以下のようなユーザー詳細情報が 1 つの画面に表示されます。

すべての関連ユーザーグループ
過去においてそのユーザーに関連付けられたすべてのデバイスと、すべての加入デバイスへのリンク
デバイス共有環境でそのユーザーがこれまでにチェックアウトしたすべてのデバイスリストと、チェックイン/チェックアウト全履歴へのリンク
特定デバイスと特定ユーザーに関するすべてのイベントログ
割り当て済み/承諾済み/承諾を拒否された利用規約一覧

個人情報を暗号化する

必要に応じて、個人を特定できる情報 (氏名、Eメールアドレス、電話番号等) を暗号化することができます。

このスクリーンショットは、暗号化を有効にするために使用するデータセキュリティシステム設定を示しています。

暗号化を構成したいグローバルレベルまたはカスタマーレベルの組織グループから グループと設定 > すべての設定 > システム > セキュリティ > データセキュリティ と進んでください。
ユーザー情報暗号化 を有効に設定し、暗号化したいユーザーデータ欄を選択します。この操作により検索、並べ替え、フィルタ機能のアクティベーションの解除が行われます。
保存をクリックしてユーザーデータを暗号化します。暗号化されたデータにデータベースからアクセスすることはできません。この操作を行うことで、Workspace ONE UEM コンソールの検索、並べ替え、フィルタ等いくつかの機能が制限されます。

ユーザー グループ

ユーザー グループ リスト表示

ユーザー グループのその他のアクション

ユーザーをユーザー グループに追加する

ディレクトリ統合なしにユーザー グループを追加する（カスタム）

ディレクトリ統合を行ってユーザー グループを追加する

ユーザー グループ権限の編集