E メールアクセスコントロールの適用

E メール順守ポリシー

E メールの展開後、アクセスコントロールを追加することでモバイルメールの保護を強化することができます。アクセスコントロール機能は、セキュアで順守状態にあるデバイスのみに貴社のメールインフラへのアクセスを許可します。アクセスコントロールは、E メール順守ポリシーを使用して適用します。

E メール順守ポリシーを使用すると、非順守状態のデバイス、暗号化されていないデバイス、非アクティブなデバイス、または管理外のデバイスに対する E メールアクセスを制限することによって、セキュリティを強化できます。これらのポリシーを使用することで、必要かつ承認済みのデバイスのみに E メールアクセスを提供できるようになります。E メールポリシーでは、デバイスモデルおよび OS に基づいて E メールアクセスを制限することもできます。

これらのポリシーは、全般 E メールポリシー、管理デバイスポリシー、E メールセキュリティポリシーに分類されます。各カテゴリに該当するさまざまなポリシーおよびそれらのポリシーが適用される展開を、次の表に示します。

次の表に、サポートされている E メール遵守ポリシーを示します。

表 1. サポートされている E メール遵守ポリシー
	SEG（Exchange、HCL Traveler、G Suite）	PowerShell (Exchange)
[全体の Eメールポリシ]
同期設定	Y	N
管理デバイス	Y	Y
メールクライアント	Y	Y
ユーザー	Y	Y
EAS デバイスタイプ	Y	Y
管理デバイスポリシー
非アクティブ	Y	Y
侵害状態デバイス	Y	Y
暗号化	Y	Y
モデル	Y	Y
オペレーティングシステム	Y	Y
ActiveSync プロファイルを必須にする	Y	Y
E メールセキュリティポリシー
E メールセキュリティ分類	Y	N
添付ファイル（管理デバイス）	Y	N
添付ファイル（管理外デバイス）	Y	N
ハイパーリンク	Y	N

E メール順守ポリシーのアクティブ化

Workspace ONE UEM Console で利用可能な E メール順守ポリシーは、全般 E メールポリシー、管理デバイスポリシー、および E メールセキュリティポリシーです。これらの E メール順守ポリシーをアクティブ化するか、デバイスを許可または禁止するようにこれらの E メールポリシーのルールを編集することができます。

[E メール] > [順守ポリシー] の順に進みます。

ポリシーのルールを編集するには、[アクション] カラムの下にあるポリシー編集アイコンを使用します。

注： [全般 E メールポリシー] を選択すると、E メールにアクセスするすべてのデバイスにポリシーを適用します。ユーザーグループを選択すると、そのグループに属するすべてのユーザーにポリシーが適用されます。


E メールポリシー	説明
同期設定	そのデバイスで特定の EAS フォルダの同期を禁止します。 Workspace ONE UEM は他の順守ポリシーとは無関係に、選択したフォルダとデバイスの同期をブロックしますのでご注意ください。このポリシーが効力を発揮するためには、EAS プロファイルをデバイスに再発行する必要があります (そうすることでデバイスが Eメールサーバと強制的に再同期されます)。
管理デバイス	E メールアクセスを管理デバイスのみに制限します。
メールクライアント	E メールアクセスを特定のメールクライアントのみに制限します。 [カスタム] や [検出済み] などのクライアントタイプに基づいて、メールクライアントを許可または禁止することができます。メールクライアント、またはメールクライアントドロップダウン欄に表示されない新たに検出されたメールクライアントに既定アクションを設定することもできます。カスタムクライアントタイプでは、ワイルドカード (*) の使用とオートコンプリート機能がサポートされます。
ユーザー	E メールアクセスを特定のユーザーのみに制限します。カスタム、検出済み、Workspace ONE UEM ユーザーアカウント、およびユーザーグループなど、ユーザータイプに基づいてユーザーを許可/ブロックできます。｢ユーザー名｣または｢グループ｣ドロップダウンメニューに表示されない E メールのユーザー名に対する既定のアクションを設定することもできます。カスタムユーザータイプでは、ワイルドカード (*) の使用とオートコンプリート機能がサポートされます。
EAS デバイスタイプ	エンドユーザーデバイスから報告される EAS デバイスタイプ属性に基づいて、デバイスを許可リストまたは拒否リストに登録します。カスタムや検出済みなどのクライアントタイプに基づいてデバイスを許可またはブロックすることができます。｢デバイスタイプ｣ドロップダウンメニューに表示されない EAS デバイスタイプに対する既定のアクションを設定することもできます。カスタムクライアントタイプでは、ワイルドカード (*) の使用とオートコンプリート機能がサポートされます。

[管理デバイスポリシー] を選択すると、E メールにアクセスする管理デバイスにポリシーを適用します。


E メールポリシー	説明
非アクティブ	アクティブでない管理デバイスの E メールアクセスを禁止します。デバイスが非アクティブ（つまり、VMware AirWatch にチェックインしていない）とみなされてから、Workspace ONE UEM によって E メールアクセスが遮断されるまでの経過日数を指定できます。入力できる最小値は 1、最大値は 32767 です。
侵害状態デバイス	侵害状態のデバイスの E メールアクセスを禁止します。このポリシーは AirWatch に侵害状態を報告していないデバイスの E メールアクセスはブロックしませんのでご注意ください。
暗号化	暗号化されていないデバイスの E メールアクセスを禁止します。このポリシーは、VMware AirWatch にデータ保護状態を報告したデバイスのみに適用されます。
モデル	デバイスのプラットフォームおよびモデルに応じて E メールアクセスを制限します。
オペレーティングシステム	指定するプラットフォームの特定の OS のみに E メールアクセスを制限します。
ActiveSync プロファイルを必須にする	Exchange ActiveSync プロファイルを使用して管理されているデバイスのみに E メールアクセスを制限します。ActiveSync プロファイルではなくアプリケーション構成を使用して構成された E メールクライアントの場合は、アプリケーション構成を管理対象 E メールクライアントに送信することで、その E メールクライアントが遵守ポリシーに準拠していることが保証されます。

[E メールセキュリティポリシー] を選択すると、添付ファイルとハイパーリンクにポリシーを適用します。このポリシーは SEG 展開のみに適用されます。詳細については、「E メールアクセスコントロールの適用」セクションを参照してください。


E メールポリシー	説明
E メールセキュリティ分類	E メールのタグの有無に応じて SEG が行う措置のポリシーを定義します。事前定義されたタグを使用することも、カスタムオプションでタグを作成することもできます。分類に基づいて、E メールクライアントの E メールを許可またはブロックすることができます。
添付ファイル（管理デバイス）	選択したファイルタイプの E メール添付ファイルを暗号化します。これらの添付ファイルはデバイス上でセキュアに保たれ、VMware AirWatch Content Locker 内でのみ閲覧できます。現在、この機能は VMware AirWatch Content Locker アプリケーションがインストールされた管理対象 iOS および Android デバイスのみで利用できます。それ以外の管理デバイスには、暗号化添付ファイルを許可する、添付ファイルをブロックする、暗号化されていない添付ファイルを許可する、のいずれかを選択できます。
添付ファイル（管理外デバイス）	管理外デバイスに対しては、添付ファイルを暗号化して禁止するか、暗号化されていない添付ファイルを許可することができます。暗号化された Eメール添付ファイルは管理外デバイスでは閲覧できません。これは E メールの安全性を維持するための機能です。暗号化されたファイルを添付した E メールを管理外デバイスから転送した場合、受信者は、そのファイルを PC またはその他のモバイルデバイス上で閲覧することができます。
ハイパーリンク	デバイスのユーザーが、E メールに含まれるハイパーリンクをデバイスの VMware Browser で直接開封できるようにします。Secure Email Gateway は、ハイパーリンクを動的に編集し、VMware Browser で開くようにします。以下のような編集タイプがあります。すべて - すべてのハイパーリンクを VMware Browser で開く場合に選択します。除外する - 指定したドメインを、デバイスユーザーが VMware Browser で開けないようにする場合に選択します。除外するドメインを [これらのドメイン以外のすべてのハイパーリンクを編集する] 欄に入力します。.csv ファイルからドメイン名を一括アップロードすることもできます。含む - 指定したドメインのハイパーリンクを、デバイスユーザーに VMware Browser で開かせる場合に選択します。許可するドメインを [これらのドメインのみハイパーリンクを編集する] 欄に入力します。.csv ファイルからドメイン名を一括アップロードすることもできます。

順守ルールを作成し、[保存] します
[アクティブ] カラムの下の灰色の丸を選択して、順守ポリシーをアクティブ化します。キーコードの記載された画面が表示されます。
対応する欄にキーコードを入力し、[続行] をクリックします。

[結果]：ポリシーがアクティブ化され、[アクティブ] カラムの下の色付きの丸が緑色になります。

E メールコンテンツ、添付ファイル、およびハイパーリンクの保護

Workspace ONE UEM Web、および Workspace ONE UEM Content を使用して E メールを保護します。

Workspace ONE UEM では、管理デバイスと管理外デバイスの両方について、データ漏洩の可能性があるモバイル E メールの添付ファイルを保護、制御することができます。Workspace ONE UEM は、デバイスのユーザーが、E メールに含まれるハイパーリンクをデバイスの Workspace ONE Web で直接開くことができるようにします。Secure Email Gateway は、ハイパーリンクを動的に編集し、Workspace ONE Web で開くようにします。

E メールの添付ファイルの保護を続行する前に、次のアプリケーションをインストールする必要があります。

Secure Email Gateway (SEG)
VMware Content Locker（iOS および Android）
Microsoft Exchange 2010/2013/2016/2019、HCL Notes、Novell GroupWise、Gmail のサポート

E メールセキュリティ分類を有効にする

Secure Email Gateway がアクションを実行する UEM Console Workspace ONE UEM Console のセキュリティ分類を選択します。

定義済みのセキュリティ分類のリストから選択することも、独自のカスタム分類を作成することもできます。

[E メール] > [順守ポリシー] > [Eメールセキュリティポリシー] の順に進みます。
[E メールセキュリティ分類] 順守ポリシーに対応する [アクティブ] カラムの下にある灰色の丸を選択します。キーコードの記載された画面が表示されます。
対応する欄にキーコードを入力し、[続行] をクリックします。ポリシーがアクティブ化され、[アクティブ] カラムの下の色付きの丸が緑色になります。
[アクション] カラムの下にある [編集] オプションを選択します。
[追加] を選択し、[タイプ] ドロップダウンメニューからタグのタイプを選択します。
事前定義とカスタムのいずれかを選択できます。選択元：
- タグのタイプとして事前定義を選択する場合は、[セキュリティ分類] ドロップダウンメニューから利用できるタグのリストを取得します。
- タグのタイプとしてカスタムを選択する場合は、[セキュリティ分類] フィールドに独自のカスタムタグを入力します。
タグの [説明] を入力して [次へ] を選択します。
タグでマークされている/されていない E メールに対して SEG が取るアクションを構成します。[次へ] を選択します。
E メールクライアントで E メールを許可するかブロックするかを選択します。
[概要] を確認して、[保存] をクリックします。

E メール添付ファイル保護を有効にする

Workspace ONE UEM を使用して E メール添付ファイルを保護します。

E メール添付ファイルにはさまざまなファイルタイプがあります。Secure Email Gateway による E メール添付ファイルの暗号化を必須にするファイルタイプを、UEM Console で選択することができます。これらの暗号化された添付ファイルは、モバイルデバイス上でセキュアな状態に保たれ、VMware AirWatch Content Locker アプリケーションを使用して表示することができます。

管理対象 iOS および Android デバイスでは、よりきめ細かい設定が利用できます。他の管理デバイスおよび管理外デバイスに対しては、サードパーティ製アプリで開くことを防止することにより、添付ファイルを一括でセキュアにすることができます。

[E メール] > [順守ポリシー] > [Eメールセキュリティポリシー] の順に進みます。
[添付ファイル（管理デバイス）] または [添付ファイル（管理外デバイス）] の順守ポリシーに対応する [アクティブ] カラムの下にある灰色の丸を選択します。
[結果]：キーコードの記載された画面が表示されます。
対応する欄にキーコードを入力し、[続行] をクリックします。
[結果]：ポリシーがアクティブ化され、[アクティブ] カラムの下の色付きの丸が緑色になります。
[アクション] カラムの下にある [編集] オプションを選択します。
それぞれのファイルカテゴリに対して、[暗号化した添付を許可]、[暗号化されていない添付を禁止]、または[暗号化されていない添付を許可] のいずれかを選択します（iOS および Android の管理対象デバイスのみ）。
添付ファイルを Content Locker に保存するには、[Content Locker で添付ファイルの保存を許可] にチェックを入れます。
[結果]：添付ファイルは暗号化されたままで、Content Locker ポリシーが適用されます。
ここで説明していない [その他のファイル] があれば、それに対するポリシーを選択します。
[その他のファイル] で構成するアクションから除外するファイルの拡張子を、[除外リスト] に入力することができます。
受信者に添付ファイルがブロックされていることを通知する、[ブロックした添付ファイルに対するカスタマイズメッセージ]を入力します。
[保存] を選択して設定を保存します。
管理デバイスの添付ファイルセキュリティポリシー画面

ハイパーリンク保護を有効にする

ハイパーリンク E メールセキュリティポリシーを使用して、Workspace ONE Web で直接開けるように E メール内のハイパーリンクを変更することができます。

[E メール] > [順守ポリシー] > [Eメールセキュリティポリシー] の順に進みます。
[ハイパーリンク] 順守ポリシーに対応する [アクティブ] カラムの下にある灰色の丸を選択します。
[結果]：キーコードの記載された画面が表示されます。
対応する欄にキーコードを入力し、[続行] をクリックします。
[結果]：ポリシーがアクティブ化され、[アクティブ] カラムの下の色付きの丸が緑色になります。
[アクション] カラムの下にある [編集] オプションを選択します。
ハイパーリンク変換を無視するプラットフォームを選択します。
[編集タイプ] を以下から選択します。
[選択元]：
- [すべて] - すべてのハイパーリンクを Workspace ONE Web で開く場合に選択します。
- [含む] - 指定したドメインのハイパーリンクを、デバイスユーザーに Workspace ONE Web で開かせる場合に選択します。許可するドメインを [これらのドメインのみハイパーリンクを編集する] 欄に入力します。CSV ファイルからドメイン名を一括アップロードすることもできます。
- [除外する] - 指定したドメインをデバイスユーザーが Workspace ONE Web で開けないようにする場合に選択します。除外するドメインを [これらのドメイン以外のすべてのハイパーリンクを編集する] テキストボックスに入力します。CSV ファイルからドメイン名を一括アップロードすることもできます。
[保存] を選択して設定を保存します。