Android 2.2ではデバイス管理APIが追加

　多くのコンシューマー向け端末と同様、Androidスマートフォンも登場当初は企業向けの機能を備えていなかった。2010年半ばに発表されたAndroid 2.2（コードネーム：Froyo）では、米Microsoftの同期技術「Microsoft Exchange ActiveSync」を使ってリモートワイプを実行するための基本的なデバイス管理APIが追加された。ただし、こうした初期の管理機能はまだ限られたものでしかなかった。

　例えば、グループウェア「Microsoft Exchange Server」のメールボックスポリシーを使えば、IT部門はPINまたはパスワードを要求し、そうした要件を満たす端末のみメールボックスへのアクセスを許可できる。Android 2.2で追加された管理API「Android Device Administration API」により、IT部門はAndroidアプリケーションを使って端末をロックし、パスワードの変更を促せるようになった。だが、Android端末はメーカーやモデルによってそれぞれ有効なActiveSync機能やAPIの属性が異なるため、Android 2.2の搭載端末でこうした管理機能を利用できても、その他のAndroid端末には依然、企業向け機能が欠けているというのが実情だった。

Android 3.0ではタブレット向けの管理機能も

　Android 3.0（コードネーム：Honeycomb）では、Device Administration APIの管理機能が大幅に強化。IT部門がより詳細なパスワードポリシーを実施するための機能も追加された。さらに重要なことに、新しいAPIでは、IT部門が従業員に保存データの暗号化を義務付けることができるようになった。

　だがこの新しいAPIが適用できるのは、ハードウェアでこうした新機能をサポートする「Samsung GALAXY Tab 10.1」や「Motorola XOOM」といったタブレット端末だけだった。スマートフォン向けのFroyoやAndroid 2.3（コードネーム：Gingerbread）では、複雑なパスワードや暗号化はサポートされなかった。

Android 4.0で一貫性が実現

　「GALAXY NEXUS」など、Android OSの最新版であるAndroid 4.0（コードネーム：Ice Cream Sandwich）を搭載するスマートフォンは、複雑なパスワードやハードウェア暗号化などの管理機能をサポートするだけでなく、顔認識やカメラの無効化などの機能をAPIで制御することができる。さらにActiveSync 14をサポートし、メールボックスへのアクセスを端末のメーカーやモデル、証明書で制御可能だ。また仮想プライベートネットワーク（VPN）を必要とする企業は、IPsecとL2TPを使ったネイティブクライアントソフトウェアとサードパーティー製VPNクライアントソフトウェアを選択して利用することができる。

　Ice Cream Sandwichを搭載するスマートフォン投入の動きはこれまでのところ緩やかだが、専門家によれば、2012年後半にはそのペースが加速する見通しだ。2012年の年末には、今ほど分裂しておらず、管理やセキュリティを設定しやすいAndroid端末が出そろっているはずだ。ただし、エンタープライズフレンドリーかどうかについては、端末ごとにばらつきがありそうだ。例えば、韓国Samsung Electronicsや米Motorola Mobilityなどのメーカーは独自のAPIを追加し、IT部門がより細かな制御を実施できるようにしている。

Androidの管理機能を最大限に活用する

　iOSのネイティブなモバイル端末管理（MDM）機能とは異なり、AndroidスマートフォンやAndroidタブレットの場合、管理APIを使うためにはアプリケーションをインストールする必要がある（iOSのMDM機能については「AppleのiOS標準MDMでできること、できないこと」を参照）。企業はAndroid管理アプリケーションを独自に開発するか、アプリケーションストアの「Google Play」（旧Android Market）からダウンロードすることができる。インストールの際、エンドユーザーはMDMエージェントに管理権限を付与するよう促される。

　IT部門はAndroidの管理ツールや管理サービスを使って以下のことができる。

• AndroidスマートフォンやAndroidタブレットに対するユーザーのアクセス管理（通常、認証されたユーザーかどうかや端末のメーカー／モデル、OSのバージョン、定義されたポリシーをサポートできるかどうかなどに基づいて制御する）
• APIで定義されたポリシーの適用とデバイス制限の実施（端末のカメラの無効化、顔認識によるロック解除の禁止など）
• ネイティブなVPNやWi-Fi接続の設定（セキュリティ設定やユーザーのパスワード／証明書に基づく企業内無線LANの追加など）
• 端末ステータスやOSのバージョン、モデル、ID、ハードウェア能力、インストールされているアプリなど、さまざまな属性の監視
• パスワードのリセットや端末のロック、端末の発見、データワイプ（リセットして工場出荷時の状態に戻す）、MDMの削除アクションなどの要求

　Androidの管理エージェントには、アプリケーション管理に加えてアプリケーションのブラックリスティングやホワイトリスティング、root化された端末の検知をサポートするタイプもある。さらには、古い端末とのセキュリティ機能のギャップを埋める役割を果たすタイプもある。

端末ごとの違いに対処する

　Ice Cream Sandwichではそれ以前のバージョンのAndroidと比べて大きな改善が施されているが、それでもまだ企業のニーズを全て満たせるわけではない。とりわけ、Android端末にはApple製端末のような統一性は見込めない。メーカーが他社との差異化を図ろうとするのは当然であり、それがAndroidの分裂につながるのは不可避だからだ。Androidの企業への訴求力を強める方法の1つには、独占的管理がある。つまり、容認できる端末とできない端末を明確にするために、IT部門が端末のメーカーとモデルをポリシーで指定するという方法だ。

　Android端末は目下、マルウェア急増の問題に直面している。これは主に、Google Playで不正アプリケーションの検査が徹底されていないせいだ（新しいアプリケーションスキャンプログラム「Google Bouncer」は、Google Playでの取り締まり強化を目指している）。このリスクに対処するには、ホワイトリスト／ブラックリストによる制御を利用したり、マルウェアやroot化された端末のスキャンを定期的に実行するといった方法がある。IT部門はMDMを使ってリスクの高いアプリケーションを排除することはできないが、企業によるアクセスを禁止したり、コンプライアンス非順守端末の登録を解除するのにMDMが利用できる。

　最後になるが、Ice Cream Sandwich搭載端末を容認できるかどうかは一概には判断できない。例えば、端末によってはリモートワイプを実行しても実際にはデータが全て消去されない場合もある。特にリムーバブルストレージについてはそうだ。Ice Cream Sandwichでは管理機能が強化されてはいるが、それでもまだ企業はAndroidのMDMを使って実行できることとできないことを、端末ごとに自社のニーズやポリシー、慣行に照らしながら検討する必要があるだろう。