Microsoft社が提供するクラウドベースのデバイス管理サービス「Microsoft Intune」における、私有iOSデバイスの管理方法の例を紹介します。
これにより、セキュリティルールに準拠しない私有iOSデバイスに組織のアプリを使用させないといった制約や、アプリの導入・アプリ内の挙動(組織アプリ外へのデータ持ち出し禁止等)を制御することができます。
- 操作環境：
- OS：Windows 11
- Webブラウザー：Edge
- 使用プラン：Microsoft 365 Business Premium(試用版)
- 管理デバイス環境：iOS16.7.10(iPhone) ※iPadも適用可
- Intune管理C アプリ保護ポリシー作成
- ユーザー操作 私有iOSデバイス 業務利用の初期設定
- Entra管理C 私有iOSデバイスグループ登録
- ユーザー操作 私有iOSデバイス 組織アプリ導入、動作確認
- 2025/08/05更新:Apple MDMプッシュ証明書更新(参考)
- おわりに
Intune管理C アプリ保護ポリシー作成
Webブラウザーより、Microsoft Intune管理センターにアクセスし、左メニューの[アプリ]を選択し、サブメニューの[ポリシー>アプリ保護ポリシー]を選択し、[ポリシーの作成>iOS/iPadOS]を選択します。
[基本]画面でポリシーの名前を適宜入力し、[次へ]を選択します。
[アプリ]画面でポリシーの対象に[すべてのアプリ]を選択し、[次へ]を選択します。
前の記事の冒頭の要件に従い、[データ保護]画面で必要な項目を設定し、[次へ]を選択します。
- データ転送>他のアプリに組織データを送信：ポリシーマネージドアプリ
- データ転送>組織データのコピーを保存：ブロック
- データ転送>選択したサービスにユーザーがコピーを保存することを許可：OneDrive for Business、SharePoint
- データ転送>他のアプリとの間で切り取り、コピー、貼り付けを制限する：貼り付けを使用する、ポリシーマネージドアプリ
- 暗号化>組織データを暗号化：必要
[アクセス要件]画面では、PIN認証を不要に変更し、[次へ]を選択します。
[条件付き起動]画面はこの例では特に変更せず、[次へ]を選択します。
[割り当て]画面で[グループを追加]を選択し、組織内メンバとシステム管理者のグループを選択し、[次へ]を選択します。
設定内容を確認し、問題なければ[作成]を選択します。
ユーザー操作 私有iOSデバイス 業務利用の初期設定
ここからは私有iOSデバイス使用者(この例ではUser Aaa)による、業務利用のための初期設定を進めます。
[App Store]アプリを起動し、検索欄に[intune]と入力し、[Intune ポータルサイト]が表示されたら、ダウンロードアイコンを選択します。
ダウンロードが完了したら、[開く]を選択します。
アプリが起動したら、[サインイン]を選択します。
デバイス使用者の組織のアカウント名を入力し、[次へ]を入力します。
パスワードを入力し、[サインイン]を選択します。
設定途中で通知に関する確認メッセージが表示されたら、[許可]を選択します。
設定ウィザードが表示されたら、[開始]を選択します。
プライバシーの確認画面が表示されたら、[続行]を選択します。
設定ウィザードが表示されたら、[続行]を選択します。
プロファイルのダウンロードに関する確認メッセージが表示されたら、[許可]を選択します。
ダウンロードが完了したら、[閉じる]を選択します。
ホーム画面を開いて[設定]アプリを選択します。ここからダウンロードしたプロファイルをインストールします。
[一般]を選択します。
画面の下の方にある、[VPNとデバイス管理]を選択します。
[Management Profile]を選択します(これが図表8-4でダウンロードしたプロファイルです)。
[インストール]を選択します。
パスコード入力を求められたら、パスコードを入力します。
[インストール]を選択します。
[インストール]を選択します。
[信頼]を選択します。
[完了]を選択します。
これでプロファイルのインストールが完了しました。
ポータルサイトに戻り(戻れない場合は、ホーム画面に追加された[ポータル]という青いアイコンを選択)、[続行]を選択します。
設定ウィザードが表示されたら、[続行]を選択します。
[このデバイスには、コンプライアンスポリシーが割り当てられていません]と表示されました。
コンプライアンスポリシーを割り当てるには、Microsoft Intune管理センターかMicrosoft Entra管理センターで、私有iOSのデバイスグループに登録する必要があります(システム管理者作業)。その後、コンプライアンスポリシーのチェックで準拠済になれば組織のアプリを使用できるようになります。怪しいデバイスを組織のアプリに接続させないためにこのようにしています。
プロファイルのインストールが完了し、ポータルアプリに再度アクセスした時に、導入必須アプリ(この例ではMS365)のインストールを求められることがあります。コンプライアンスポリシーのチェックが未実施でも、[インストール]を進めて問題ありません。
Entra管理C 私有iOSデバイスグループ登録
Webブラウザーより、Microsoft Entra管理センターにアクセスし、左メニューの[デバイス>すべてのデバイス]を選択します。前の工程で初期設定した私有iOSデバイスが非準拠の状態で表示される筈です。このデバイス名を覚えておきます。
左メニューの[グループ>すべてのグループ]を選択し、前の記事の工程2で作成した私有iOSデバイスグループを選択します。
サブメニューの[管理>メンバー]を選択し、[メンバーの追加]を選択します。
[デバイス]タブを選択し、図表9-1のデバイス一覧画面で確認した私有iOSデバイスを選択します。
私有iOSのデバイスグループ登録が完了しました。
15分位経ってから、再びデバイス一覧画面にアクセスすると、コンプライアンスポリシーのチェックで問題がなければ、私有iOSデバイスの状態が非準拠から準拠済に変わっている筈です。
ユーザー操作 私有iOSデバイス 組織アプリ導入、動作確認
再び私有iOSデバイス使用者(この例ではUser Aaa)による作業に戻ります。
ホーム画面に追加された[ポータル]アプリを選択します。なお、導入必須としたMS365はインストール済になっています。
下メニューの[アプリ]を選択し、[おすすめアプリ]の[すべて表示]を選択します。
[Microsoft Outlook]を選択します。
[インストール]を選択します。
確認メッセージが表示されたら、[インストール]を選択します。
処理が完了するまで待ち、[インストール済]と表示されたら、ホーム画面に戻ります。
ホーム画面に追加された[Outlook]を選択します。
Outlookが起動したら、[アカウントの追加]を選択します。
組織のアカウントが検出されますので、これにチェックをつけ、[アカウントの追加]を選択します。
別のアカウントの追加について尋ねられたら、[後で]を選択します。
通知の確認については、[いいえ]を選択します(どちらでも構いません)。
アプリの初回アクセス時は、確認メッセージやナビゲーターが色々出て少々煩わしいですが、適宜選択して先に進めます。
アプリの初期設定が完了したら、使用できる状態になります。
他に必要なアプリがあれば、同じ要領で導入します。
アプリ保護ポリシーで組織アプリ外へのデータ共有を規制する設定を行いました。参考まで、その挙動をMS365アプリを使って紹介します。
MS365アプリ上でWord文書を作成し、Word文書の三点マークから[共有]を選択します。
さらに三点マークを選択し、[その他]のアプリを選択します。
アプリが表示されますが、ファイルをローカルにコピーできる[ブック]アプリ等は表示されません。
[メモ]アプリに共有した場合の挙動を確認してみます。
[保存]ボタンが表示され、一見メモアプリにファイルを保存できてしまいそうです。
ホーム画面から[メモ]アプリを起動して確認してみます。
[メモ]アプリに共有したファイルはWebリンクのようです。
これを選択すると、MS365アプリが起動し、ファイルを開くような挙動になりました。
ローカルへのファイルコピーはできず、組織アプリで編集・閲覧する形になっています。
2025/08/05更新:Apple MDMプッシュ証明書更新(参考)
前の記事の工程3で導入したApple MDMプッシュ証明書は、有効期限が最長1年であり、毎年更新作業が必要となります。その手順を紹介します。
更新期限の一カ月前に、前回使用したAppleIDの登録メールアドレス宛に更新通知メールが届きます。
メール中のリンクをクリックして、Appleの証明書ページにアクセスします。
AppleIDの登録メールアドレスとパスワードを入力し、サインインします。
2ファクタ認証を求められた場合は、画面の指示に従い、確認コードで認証します。
Appleプッシュ証明書ポータル画面が表示されたら、期限の迫っている証明書の行で[Renew]を選択します。
Webブラウザーの別タブで、Microsoft Intune管理センターにアクセスし、左メニューの[デバイス]を選択し、サブメニューの[プラットフォーム別>iOS/iPadOS]を選択します。
サブメニューの[デバイスのオンボーディング>登録]を選択し、[Apple MDM プッシュ証明書]を選択します。
[CSRのダウンロード]を選択し、csrファイルをダウンロードします。
Appleの画面に戻ります。
[ファイルの選択]を押し、図表11-6でダウンロードしたcsrファイルを選択し、[Upload]を選択します。
Appleの画面で証明書の更新に成功したら、[Download]を選択し、pemファイルをダウンロードします。
Microsoft Intuneの画面に戻ります。
項番4では、AppleIDで使用しているEmailアドレスを入力します。
項番5では、ファイル選択アイコンを選択し、図表11-8でダウンロードしたpemファイルを選択します。
[アップロード]を選択します。
画面右上に証明書が正常に作成された旨のメッセージが表示されたら、画面を再度開き直し、証明書の有効期限が一年後に更新されていることを確認します。
おわりに
私有デバイスの業務利用におけるユーザーの操作面に関して、Androidは個人用/仕事用のプロファイルという形で境界が明確でしたが、iOSの方は見た目上そうではありませんでした。しかし、各種ポリシーやアプリの展開に関しては、ほぼ同じ内容を設定でき、セキュリティ面に大きな差はないと考えます。
私有Androidデバイスもそうでしたが、ユーザー側の初期設定の手順が多く、特にユーザーに不安を抱かせるほど確認メッセージが表示されます。組織内に展開する際は、この記事のような画面付きの手順書を作成・共有しておくことを推奨します。
当ブログ内の連載記事
当ブログ内の関連記事
