モバイルデバイス管理（MDM）とは

モバイルデバイス管理では、ユーザ所有のデバイスと組織支給のデバイスの両方を安全にワイヤレスで構成できます。MDMでは、ソフトウェアとデバイス設定のアップデート、組織ポリシーへの準拠の監視、デバイスのリモートワイプやリモートロックなどもできます。ユーザが所有するデバイスは、ユーザ自身がMDMに登録できます。組織が所有するデバイスは、Apple School ManagerまたはApple Business Managerを使って自動的にMDMに登録できます。

登録プロファイルとは

登録プロファイルとは、各デバイスに指定されているMDMソリューションにデバイスを登録するMDMペイロードが含まれている構成プロファイルのことです。これにより、MDMソリューションがデバイスにコマンドや構成プロファイルを送信したり、デバイスに特定の情報を照会したりできるようになります。ユーザが登録プロファイルを削除すると、その登録プロファイルに基づくすべての構成プロファイル、設定、管理対象Appが一緒に削除されます。1台のデバイスに一度にインストールできる登録プロファイルは、1つのみです。

MDM の仕組み

登録プロファイルがデバイスまたはユーザによって承認されると、ペイロードを含んだ構成プロファイルがデバイスに配布されます。その後、Apple School ManagerまたはApple Business Managerで購入したAppとブックをワイヤレスで配付、管理、構成できます。Appのインストールは、Appのタイプ、Appの割り当て方法、およびデバイスが監視対象かどうかによって、ユーザが自分で行うことも、自動で行うこともできます。

これからMDMをお使いになる場合は、理解しておいていただきたいコンセプトがいくつかあります。MDMにおける登録と構成プロファイル、監視対象、ペイロードの使用方法について以下に説明します。

構成プロファイルとは

構成プロファイルは、Appleデバイスに設定と認証情報を読み込むペイロードで構成された（末尾が.mobileconfigの）XMLファイルです。構成プロファイルにより、設定、アカウント、制限、および資格情報の構成が自動化されます。これらのファイルは、MDMソリューションまたはApple Configurator 2で作成することも、手動で作成することもできます。

構成プロファイルは暗号化および署名できるため、それらの使用を特定のAppleデバイスに制限できます。ユーザ名とパスワードがない人は設定を変更できません。構成プロファイルをデバイスにロックされているとしてマークすることもできます。

MDMソリューションがサポートしている場合は、メール添付ファイルとして、独自のWebページ上のリンク、またはMDMソリューションの内蔵ユーザポータル経由で構成プロファイルを配付できます。ユーザがメールの添付ファイルを開いたり、Webブラウザでプロファイルをダウンロードしたりすると、プロファイルのインストール開始を求められます。

構成プロファイルを適用できるチャネル

構成プロファイルは、以下の2つの方法で適用できます:

• デバイスやデバイスグループに送信できるプロファイル

  iPhone、iPad、およびApple TVでは、2人以上のユーザを認識することができないので、iOS、iPadOS、およびtvOSのペイロードと設定から作成される構成プロファイルは、常にデバイスプロファイルになります。iPadOSプロファイルは（教育環境では）デバイスプロファイルですが、共有iPad用に構成されたiPadデバイスではデバイスまたはユーザに基づくプロファイルをサポートすることができます。

• ユーザやユーザグループに送信できるプロファイル

  Macコンピュータでは複数のユーザを持つことが許可されるため、macOSプロファイル用のペイロードおよび設定はデバイスまたはユーザに基づいて作成できます。

監視対象とは

一般に、監視対象とは、組織がデバイスを所有し、デバイスの構成や制限を詳細に制御できることを示します。

以下のデバイスは、デバイスのシリアル番号がApple School ManagerまたはApple Business Managerに表示され、自動デバイス登録を使用してデバイスがMDMソリューションに登録されると、自動的に監視対象になります:

• iOS 13以降を搭載したiPhoneおよびiPod touch

• iPadOS 13.1以降を搭載したiPad

• tvOS 13以降を搭載したApple TV

• macOS 10.14.4以降を搭載したMacコンピュータ

Apple Configurator 2を使ってiOS、iPadOS、およびtvOSデバイスを監視対象にすることができます。そのためには、デバイスを物理的に所有している必要があります。iOSおよびiPadOSデバイスはApple Configurator 2を実行しているMacに接続されている必要があり、Apple TVデバイスは同じWi-Fiに接続されていてMacの近くにある必要があります。このプロセスでは、デバイスが消去され、すべてのデータが失われます。詳しくは、「Apple Configurator 2ユーザガイド」の「iPhone、iPad、またはApple TVを手動で準備する」を参照してください。

割り当てられたMDMソリューションに登録されていて、Apple School ManagerまたはApple Business Managerにシリアル番号が表示されるMacコンピュータについては、profilesコマンドラインツールで以下のコマンドを使って監視をリセットできます: profiles renew -type enrollment、またはprofiles -N。初期構成中にMacがインターネットに接続されていない場合は、2時間ごとにMacに利用可能なデバイス登録設定があることが通知され、オプションでこの通知をクリックしてMDMへの登録プロセスを開始することができます。MDMへの登録には管理者ユーザ名とパスワードが必要です。

デバイスを自動的に監視対象にする方法については、登録タイプの「自動デバイス登録」を参照してください。

ペイロードとは

ペイロードを構成して、Appleデバイスの特定の設定を管理できます。例えば、複数のペイロードを使って、複雑なパスコードを要求する、ExchangeアカウントにすべてのExchangeサーバ情報を入力する、デバイスにVPN構成を追加することなどができます。ペイロードにはそれぞれ独自の設定を割り当てますが、すべてのペイロードで以下のことが定義されます:

• サポートするオペレーティングシステム

• 作用するチャネル

• Appleデバイスが監視対象であることを要求するかどうか

• 排他的か、または同じタイプのほかのペイロードと組み合わせることができるか

• 重複を許可するかどうか

構成されたペイロードは、構成プロファイルに保存されます。

ペイロード全一覧を参照してください。お使いのデバイスでサポートされているMDMペイロードについては、MDMベンダーの資料を参照してください。

制限とは

制限は、管理者が有効にしたり、場合によっては無効にしたりすることで、MDMソリューションに登録されているiPhone、iPad、Mac、またはApple TVの特定のApp、サービス、機能をユーザが利用できないようにすることができます。制限は、構成プロファイルに含まれている制限ペイロードでデバイスに送信されます。iPhoneの一部の制限は、ペアリングされたApple Watchにミラーリングされる場合があります。

構成プロファイルと共有iPad

共有iPadを使用すると、次の項目をインストールできます:

• デバイスおよびデバイスグループのプロファイル（MDMソリューションを使用）

• ユーザおよびユーザグループのプロファイル（MDMソリューションを使用）

共有iPadの概要を参照してください。

プロファイル削除

プロファイルの削除方法は、どのようにインストールされたかによって異なります。以下のシーケンスはプロファイルの削除方法を示しています:

1.デバイスのすべてのデータをワイプすると、すべてのプロファイルを削除できます。

2.Apple School ManagerまたはApple Business Managerを使ってデバイスをMDMに登録した場合は、ユーザが登録プロファイルを削除できるかどうか、またはMDMサーバによってのみ削除できるようにするかどうかを、管理者が選択できます。

3.プロファイルがMDMソリューションによってインストールされている場合は、その特定のMDMソリューションによって、または登録構成プロファイルを削除してMDMへのユーザの登録を解除することで削除できます。

4.Apple Configurator 2を使って監視対象デバイスにプロファイルがインストールされている場合は、Apple Configurator 2のその監視インスタンスでプロファイルを削除できます。

5.手動で、またはApple Configurator 2を使って監視対象デバイスにプロファイルがインストールされていて、そのプロファイルに削除用パスワードペイロードがある場合は、プロファイルを削除するためにユーザが削除用パスワードを入力する必要があります。

6.その他のプロファイルはすべてユーザが削除できます。

構成プロファイルによってインストールされたアカウントは、プロファイルを削除することで削除できます。Microsoft Exchange ActiveSyncアカウント（構成プロファイルを使ってインストールされたものを含む）は、Microsoft Exchange Serverでアカウントのみのリモート・ワイプ・コマンドを実行することで削除できます。

Open Directoryでのペイロード操作

macOSペイロードは、Open Directory設定の使用時には以下のように異なる動作をすることがあります:

• 管理対象のデバイスが適用されたユーザプロファイルは、Open Directory に保存されたユーザ設定よりも優先されます。

• Open Directory に保存されたユーザ設定は、管理対象のデバイスが適用されたデバイスプロファイルよりも優先されます。

• 管理対象のデバイスが適用されたデバイスプロファイルは、Open Directory に保存されたコンピュータ設定よりも優先されます。

• 手動でインストールされたユーザプロファイルおよびデバイスプロファイルは、Open Directory に保存された、または管理対象のデバイスが適用されたユーザまたはデバイス設定よりも優先度が低くなります。

サポートされているAppleデバイス

以下のAppleデバイスには、MDMをサポートするフレームワークが組み込まれています:

• iPhoneおよびiPod touch（iOS 5以降を搭載）

• iPad（iOS 5以降またはiPadOS 13.1以降を搭載）

• OS X 10.7以降を搭載したMacコンピュータ

• Apple TV（tvOS 9以降を搭載）