IBM における工場出荷時設定へのリセット保護の回避 MaaS360

「工場出荷時設定へのリセット保護（FRP）」ポリシーを設定し、工場出荷時設定へのリセット後にどの Google アカウントがAndroidデバイスのロックを解除できるかを制御することで、 IBM® （ MaaS360® ）におけるデバイスの安全な再生および再配備を実現します。

出荷時の設定へのリセット保護とは何ですか?

出荷時の設定へのリセット保護 (FRP) は、ユーザーの許可なしにデバイスが出荷時の設定にリセットされた場合にデバイスの使用を防止する、Android デバイス上のセキュリティー機能です。 リセット後、FRP は、そのデバイスに以前設定された Google アカウントを使用してサインインすることを Android デバイス・ユーザーに求めます。 これは、デバイスが紛失または盗難に遭った場合、許可されていない人物が出荷時の設定にリセットしても、そのデバイスをアンロックして使用することができないことを意味します。
デバイスのロック
注: FRP を有効にするには、ユーザーは、デバイスを消去する前に、デバイス上に Google アカウントをセットアップする必要があります。 ユーザーがデバイス設定を使用してデバイスをリセットすると、FRP は自動的に無効になります。

FRP をバイパスする必要があるのはなぜですか?

ユーザーが Google アカウント資格情報を忘れた場合、または元のデバイス・ユーザーが組織内に存在しなくなった場合、管理者は Google アカウント検証をバイパスせずにデバイスを再認証することはできません。 管理者は、 MaaS360 の「工場出荷時設定へのリセット保護（FRP）」ポリシーを使用して、信頼できない工場出荷時設定へのリセットが行われたデバイスのロックを解除できるアカウントを設定できます。

MaaS360 での出荷時の設定へのリセット保護の構成

FRPを設定する手順に従ってください。
  1. IBM （ MaaS360 ）ポータルのホーム画面から、 「セキュリティ 」＞「 ポリシー」 に移動します。
  2. Android Enterprise 設定 > セキュリティに移動します。
  3. 以下の手順のいずれかを実行してください：
    • FRPを無効にするには、 「工場出荷時設定へのリセット保護を有効にする」 というポリシー設定をオフにしてください。 無効にすると、すべてのユーザーが、以前に追加された Google アカウントに照らして検証することなく、紛失または盗難にあったデバイスをリセットし、そのデバイスの使用を開始できます。
    • FRP を有効にするには、「出荷時の設定へのリセット保護を有効にする」ポリシー設定を選択し、「オーバーライドが許可されたアカウント」で Google ユーザー ID のコンマ区切りリストを指定します。 管理者はこのオプションを使用して、出荷時の設定へのリセット後に Google アカウントの検証をオーバーライドする権限を付与するアカウントを制御できます。 従業員がデバイスを組織に返却した際、管理者は他の従業員に引き渡す前に、デバイスの設定を再構成することができます。

「出荷時の設定へのリセット保護」ポリシーを構成するための Google ユーザー ID の取得

Google ユーザー ID は、ご使用の Google アカウントの固有の 21 桁の ID です。 これらの ID は、リセット後に元の Google アカウントを使用せずにデバイスをアンロックするために使用されます。
注: Google ID を Google ユーザー名または E メール・アドレスと混同しないでください。

Google アカウントの Google ユーザー ID を取得するには、以下の手順に従います。

  1. Google developers の People API ページ (https://developers.google.com/people/api/rest/v1/people/get) にアクセスします。 Google People API のホームページが表示されます。
  2. 「Try this API 」ウィンドウで、以下の詳細情報を指定します。
    • resourceName - people/me
    • personalFields – metadata
  3. 「実行」をクリックします。
  4. Google アカウントにログインしてください。 これは、FRP が有効になっている場合に、出荷時の設定へのリセット後にデバイスをアンロックするために使用する Google アカウントです。 「Google APIs Explorer wants to access your Google Account」画面が表示されます。
  5. 「許可」をクリックします。 200 という数値の緑色のヘッダーが表示されます。
  6. ID フィールドで、21 桁のユーザー ID を見つけます。
    Google 開発者のユーザー API

デバイスのワイプ・アクションの実行時に FRP を無効にする

管理者は、MaaS360 ポータルからデバイスのワイプ・アクションを実行するときに、個々のデバイスで FRP を無効にすることができます。 FRP が無効になっている場合、ユーザーはデバイスのワイプ後に、Google アカウントの検証を行わずにデバイスのロックを解除し、デバイスの使用を開始できます。
FRP デバイス・ワイプの無効化