アカウント駆動型の Apple ユーザー登録を設定する

個人用デバイスのアカウント駆動型 Apple ユーザー登録を設定する Microsoft Intune に登録します。アカウント駆動型ユーザー登録では、ポータルサイトを使用したユーザー登録よりも高速で使いやすい登録エクスペリエンスが提供されます。デバイスユーザーは、設定アプリで自分の職場アカウントにサインインすることで、登録を開始します。ユーザーがデバイス管理を承認すると、登録ポリシーがサイレントインストールされ、Intune ポリシーが適用されます。 Intune では、Just-In-Time (JIT) 登録と認証に Microsoft Authenticator アプリを使用して、ユーザーが登録中およびワークアプリにアクセスするときにサインインしなければならない回数を減らします。

この記事では、Microsoft Intune でアカウント駆動型の Apple ユーザー登録を設定する方法について説明します。次の手順を実行します。

JIT 登録を設定します。
登録ポリシーを作成します。
登録に向けて従業員と学生を準備します。

前提条件

デバイスプラットフォームの要件

この登録方法は、次のプラットフォームをサポートします。

iOS/iPadOS 15 以降

iOS/iPadOS 14.9 以前を実行しているデバイスユーザーにアカウント駆動型ユーザー登録プロファイルを割り当てると、Microsoft Intune はポータルサイトへのユーザー登録を介して自動的に登録します。

テナント構成の要件

モバイルデバイス管理 (MDM) 機関を設定する

Apple MDM プッシュ証明書を取得する

デバイスユーザーの管理対象 Apple ID を作成する (Apple サポート Web サイトが開きます)

また、Apple が Intune サービスにアクセスして登録情報を取得できるように、サービス検出を設定する必要もあります。この前提条件を完了するには、従業員がサインインするのと同じドメインに HTTP well-known リソースファイルを設定して公開します。 Apple は、contoso.com の代わりに organization のドメインを使用して、"https://contoso.com/.well-known/com.apple.remotemanagement"への HTTP GET 要求を介してファイルを取得します。 HTTP GET 要求を処理できるドメインにファイルを発行します。

注:

well-known リソースファイルが正しく機能するためには、.json などのファイル拡張子なしで保存する必要があります。

コンテンツタイプを application/json に設定して、JSON 形式でファイルを作成します。コピーしてファイルに貼り付けることができる、次の JSON サンプルを提供します。環境に合ったものを使用してください。ベース URL の YourAADTenantID 変数を、organization の Microsoft Entra テナント ID に置き換えます。

Microsoft Intune 環境:

{"Servers":[{"Version":"mdm-byod", "BaseURL":"https://manage.microsoft.com/EnrollmentServer/PostReportDeviceInfoForUEV2?aadTenantId=YourAADTenantID"}]}

米国政府機関環境向けの Microsoft Intune:

{"Servers":[{"Version":"mdm-byod", "BaseURL":"https://manage.microsoft.us/EnrollmentServer/PostReportDeviceInfoForUEV2?aadTenantId=YourAADTenantID"}]}

中国の環境で 21 Vianet が運用している Microsoft Intune:

{"Servers":[{"Version":"mdm-byod", "BaseURL":"https://manage.microsoft.cn/EnrollmentServer/PostReportDeviceInfoForUEV2?aadTenantId=YourAADTenantID"}]}

JSON サンプルの残りの部分には、次のような必要なすべての情報が入力されます。

バージョン: サーバーのバージョンは mdm-byod です。
BaseURL: この URL は、Intune サービスが存在する場所です。

ヒント

サービス・ディスカバリーの技術要件について詳しくは、Apple デベロッパー・ドキュメントの「単純な認証ユーザー登録フローの実装」を参照してください。

サービス検出が正しく構成されていない場合、ユーザーに次のエラーメッセージが表示されます。

タイトル: サインインに失敗しました
説明: Apple ID は、このデバイスで期待されるサービスをサポートしていません。サインインするには管理者にお問い合わせください。

この問題を解決するには、Web サーバーがコンテンツタイプを application/json に設定したサービス探索ファイルをホストしていることを確認します。これは、次のコマンドを実行することで検証できます。

   curl -I "https://contoso.com/.well-known/com.apple.remotemanagement"

   curl -I "https://contoso.com/.well-known/com.apple.remotemanagement?user-identifier=firstname.surname@contoso.com&model-family=iPhone"

これらのコマンドはどちらも Content-Type: application/json を返すはずです。

ベストプラクティス

デバイスユーザーの登録エクスペリエンスを向上させるために、追加の構成をお勧めします。このセクションでは、各推奨事項の詳細について説明します。

Web アプリポータルサイトデプロイする

ユーザーがデバイスの状態、デバイス操作、コンプライアンス情報にすばやくアクセスできるように、Intune ポータルサイト Web サイトの Web アプリバージョンを展開します。この Web アプリはホーム画面に表示され、ポータルサイト Web サイトへのリンクとして機能します。 Web アプリがなくても、デバイスユーザーはポータルサイト Web サイトにアクセスできますが、ブラウザーを開いて検索フィールドにアドレスを入力する必要があります。 Web アプリを追加する方法の詳細については、「Microsoft Intune に Web アプリを追加する」を参照してください。

フェデレーション認証を有効にする

Apple ユーザー登録では、管理対象の Apple ID を作成して、登録ユーザーに提供する必要があります。 Apple Business と Microsoft Entra ID のリンクで構成されるフェデレーション認証を有効にする場合は、各ユーザーに一意の Apple ID を作成して提供する必要はありません。代わりに、デバイスユーザーは、職場アカウントに使用するのと同じ資格情報を使用してアプリにサインインできます。詳しくは、「Apple Business ユーザガイド」の「 Apple Business によるフェデレーション認証の概要」を参照してください。

手順 1: Just In Time 登録を設定し、Microsoft Authenticator を割り当てる

Just-In-Time 登録を構成し、Microsoft Authenticator を必須アプリとして割り当てます。手順については、「Intune での JIT 登録の設定」を参照してください。終わったらこの記事に戻り、次の手順に進むことができます。

手順 2: 登録プロファイルを作成する

アカウントドリブンユーザー登録を使用して登録するデバイスの登録プロファイルを作成します。登録プロファイルは、デバイスユーザーの登録エクスペリエンスをトリガーし、設定アプリから登録を開始できるようにします。

Microsoft Intune 管理センターで、[デバイス>登録] に移動します。
[ アップル ] タブを選択します。
[ 登録オプション] で、[ 登録の種類] を選択します。
[プロファイルの作成]>[iOS/iPadOS] の順に選択します。
[ 基本] ページで、管理センターの他のプロファイルと区別できるようにプロファイルの名前と説明を入力します。デバイスユーザーには、これらの詳細は表示されません。
[次へ] を選択します。
[ 設定 ] ページの [登録の種類] で、デバイスを登録する方法を選択します。登録方法を選択するか、ユーザーが独自に選択できるようにします。ユーザーの選択によって、Microsoft Intune が実行する登録プロセスが決まります。また、Microsoft Intune のデバイス所有権属性にも反映されます。ユーザーのエクスペリエンスと登録時に画面に表示される内容の詳細については、「職場または学校での個人用 iOS デバイスのセットアップ」を参照してください。

次のようなオプションがあります:
- アカウント駆動型ユーザー登録: 登録を開始する割り当て済みユーザーは、アカウント駆動型ユーザー登録を介して登録されます。
- ユーザーの選択に基づいて決定: 登録を開始する割り当てられたユーザーは、デバイスの登録方法を選択できます。オプション:
  - このデバイスを所有しています。 この選択により、その他の設定が表示されます。ユーザーには、デバイス全体をセキュリティで保護するか、仕事関連のアプリとデータのみをセキュリティで保護するかを選択できます。
  - (会社) がこのデバイスを所有しています: デバイスは、Apple デバイス登録を介して登録されます。この登録方法の詳細については、Apple サポート Web サイトの「デバイスの登録と MDM」を参照してください。
[次へ] を選択します。
[ 割り当て] ページで、プロファイルをすべてのユーザーに割り当てるか、特定のグループを選択します。ユーザー登録にはユーザー ID が必要なため、ユーザー登録シナリオではデバイスグループはサポートされていません。
[次へ] を選択します。
[ レビュー + 作成 ] ページで、選択内容を確認し、[ 作成 ] を選択してプロファイルの作成を完了します。

手順 3: 登録に向けた従業員の準備

個人用デバイスでデバイス登録を開始するには、デバイスの所有者が設定アプリにアクセスし、職場または学校アカウントでサインインする必要があります。ユーザーが自分の職場または学校アカウントを使用してアプリにサインインしようとすると、アプリから登録要件が通知され、その作業の進め方が示されます。

このセクションでは、デバイスユーザーの登録手順について説明します。この情報を organization's のデバイスオンボーディングドキュメントで、またはトラブルシューティングとサポートに使用することをお勧めします。

デバイスで設定アプリを開きます。
[全般] を選択します。
[VPN & デバイス管理] を選択します。
職場や学校のアカウント、または organization から提供された Apple ID でサインインします。
[ iCloud にサインイン] を選択します。
画面に表示されるユーザー名のパスワードを入力します。 [続行] を選択します。
[ リモート管理を許可する] を選択します。
デバイスが構成され、管理プロファイルがインストールされるまで数分待ちます。
デバイスが作業に使用できる状態であることを確認するには、[VPN & デバイス管理] に移動します。職場アカウントが [マネージドアカウント] の下に表示されていることを確認します。
Microsoft Authenticator は、ワークアプリにアクセスするために必要です。 Authenticator がデバイスにインストールされるまで、登録後数分待ちます。 Authenticator を使用せずに仕事用アプリにサインインしようとすると、エラーメッセージが表示されます。
ワークアプリのインストールの承認を求めるプロンプトがさらに表示される場合があります。 [ インストール] を選択してインストールを承認します。

プロファイルの優先順位

Intune は、登録プロファイルを優先順に適用します。適用される順序を変更するには:

[登録の種類] に戻ると、プロファイルが表示されます。
リスト内のプロファイルをドラッグアンドドロップして、優先順位を変更します。

ユーザーに複数のプロファイルが割り当てられているために競合が発生した場合は、Intune はより高い優先順位のプロファイルを適用します。

管理からのデバイスの削除

デバイス上の作業データを管理するために作成されたボリュームキーと暗号化キーは、デバイスが Intune から登録解除されると消去されます。

次の手順

Microsoft Intune でサポートされている Apple ユーザー登録機能と管理アクションの概要については、「Microsoft Intune での Apple ユーザー登録の概要」を参照してください。
Apple ユーザ登録について詳しくは、Apple サポート Web サイトの「ユーザ登録と MDM」を参照してください。
トラブルシューティングについては、「Microsoft Intune での iOS/iPadOS デバイス登録エラーのトラブルシューティング」を参照してください。
Intune デバイス構成プロファイルでサポートされている設定については、次を参照してください。

フィードバック

このページはお役に立ちましたか?

Last updated on 2026-08-19