iOS/iPadOS に適用
共有デバイス モードのデバイスの自動デバイス登録を設定します。 共有デバイス モードは、現場担当者が 1 つのデバイスを 1 日を通して安全に共有し、必要に応じてサインインおよびサインアウトできるようにする Microsoft Entra ID の機能です。 このエクスペリエンスでは、 Microsoft Enterprise SSO プラグイン を利用して、セッション中に従業員がサインインする必要がある回数を制限します。
Apple Business または Apple School Manager を通じて購入した企業所有のデバイスは、自動デバイス登録を使用して Intune に登録できます。 Microsoft Intune では、共有デバイス モードのデバイスのゼロタッチ プロビジョニングがサポートされています。つまり、現場担当者からの最小限の操作でデバイスを Intune にセットアップして登録できます。
この記事では、次の操作を行います。
- Apple 登録ポリシーを作成する
- 自動グループ化用の動的な Microsoft Entra グループを作成する
- 高速プロビジョニング用の割り当てフィルターを作成する
- シングル サインオン (SSO) アプリ拡張機能のデバイス構成ポリシーを作成する
- Microsoft Authenticator アプリを割り当てる (VPP バージョン)
前提条件
- Apple 自動デバイス登録のすべての前提条件を完了します。
- 自動デバイス登録のベスト プラクティスと推奨事項については 、始める前に お読みください。
手順 1: Apple 登録ポリシーを作成する
共有デバイス モードで登録するデバイスの Apple 自動デバイス登録ポリシーを Microsoft Intune で作成します。 次の構成を含めます。
- ユーザー アフィニティ: Microsoft Entra ID 共有モードで登録する
- ロックされた登録: はい
- デバイス名テンプレートを適用する: はい (省略可能)
- デバイス名テンプレート (オプション): {{DEVICETYPE}}-{{SERIAL}}
- すべて切り替え る (オプション): 非表示
省略可能ですが、推奨される形式のデバイス名テンプレートを適用することをお勧めします。 セットアップ アシスタントの画面のすべてまたは一部を非表示にして、プロビジョニングとユーザーのオンボードを高速化することもできます。 登録ポリシーの残りの構成が完了したら、それをデバイスに割り当てます。
注:
既存の登録ポリシーのユーザー アフィニティ設定を変更することはできません。 この設定を変更する必要がある場合は、新しい Apple 登録ポリシーを作成する必要があります。
登録ポリシーを作成する方法の詳細については、「 Apple 登録ポリシーを作成する」を参照してください。
手順 2: 動的な Microsoft Entra グループを作成する
enrollmentProfileName プロパティを使用して動的なMicrosoft Entraグループを作成し、特定の登録ポリシーで登録するデバイスを自動的にグループ化します。 この場合は、共有デバイスモードで、手順 1 で作成したポリシーを使用して登録しているデバイスをグループ化します。 動的グループを作成するときは、次の構成を含めます。
- [グループの種類]: セキュリティ
- [メンバーシップの種類]: 動的デバイス
- 次のルールを使用して動的クエリを追加します。
プロパティ: enrollmentProfileName
演算子: 等しい
値: 共有デバイス モードのデバイス用に作成した登録ポリシーの名前を入力します。
Microsoft Entra ID で共有デバイスの動的グループを作成する方法の詳細については、「グループ メンバーシップ ルールの作成」を参照してください。
手順 3: 割り当てフィルターを作成する
割り当てフィルターを作成して、登録ポリシーに割り当てられているデバイスをすばやくターゲットにします。 次のパラメーターでルールを追加します。
プロパティ: enrollmentProfileName
演算子: 等しい
値: 共有デバイス モードのデバイス用に作成した登録ポリシーの名前を入力します。
割り当てフィルター ルールを作成する方法の詳細については、「 フィルターの作成」を参照してください。
手順 4: デバイス構成ポリシーを作成する
共有デバイス モードのシングル サインオン (SSO) アプリ拡張機能ポリシーを構成します。 デバイス構成ポリシーを作成し、次の構成を含めます。
- プロファイルの種類: テンプレート
- テンプレート名: デバイス機能
- [ シングル サインオン アプリ拡張機能] を展開し、以下を構成します。
- SSO アプリ拡張機能の種類: Microsoft Entra ID
- 共有デバイス モードを有効にする: はい
- キー: device_registration
- 型: 文字列
- 値: {{DEVICEREGISTRATION}}
ポリシーの残りの部分は、organization のニーズに合わせて構成できます。 ポリシーの構成が完了したら、[ すべてのデバイス ] に割り当ててから、 手順 3 で作成した割り当てフィルターを追加します。
SSO アプリ拡張機能ポリシーの作成の詳細については、以下を参照してください。
手順 5: Microsoft Authenticator アプリを割り当てる
ターゲット デバイスに Microsoft Authenticator アプリを割り当てます。 必要に応じてアプリをすべてのデバイスに割り当てます。 次に、 手順 3 で作成した割り当てフィルターを追加します。 Apple のボリューム購入プログラムを通じて Microsoft Authenticator アプリを購入している必要があります。
一括購入済みアプリの割り当ての詳細については、「 一括購入済みアプリの割り当て」を参照してください。
手順 6: デバイスを配布する
ユーザー アフィニティなしで登録されている共有デバイスでは、現場担当者からの最小限のユーザー操作が必要です。 デバイスを受け取ったら、現場担当者は Microsoft Authenticator アプリを開いて、デバイスが共有デバイス モードであることを確認する必要があります。
通常、ユーザーは自分自身を登録することを好みません。また、ポータル サイト アプリに慣れていない可能性があります。 入力する情報などについて、必ずガイダンスを提供してください。 ユーザーとのコミュニケーションに関するガイダンスについては、「計画ガイド: 手順 5 - ロールアウト 計画を作成する」を参照してください。