Apple Business と Microsoft Intune を使用して、Apple Business を通じて調達した iOS/iPadOS デバイスのデバイス登録を簡略化および自動化します。 このチュートリアルで設定する自動デバイス登録では、登録ポリシーを無線でデバイスに展開することで、ユーザーが初めてデバイスの電源を入れたときにセキュリティで保護された自動登録が可能になります。
このチュートリアルでは、次の方法について学ぶことができます。
- Apple デバイス登録トークンを取得する
- マネージド デバイスを Intune と同期する
- 登録ポリシーを作成する
- 登録ポリシーをデバイスに割り当てる
このチュートリアルの完了時には、登録用にデバイスを配布する準備が整います。
前提条件
- モバイル デバイス管理 (MDM) 機関を設定します。
- Apple MDM プッシュ証明書を取得します。
- Apple Business から購入した新しいデバイスまたはワイプ済みのデバイスを用意します。
- Apple Business のデバイス管理設定で購入情報を追加します。
Intune サブスクリプションがない場合は、無料試用版アカウントにサインアップします。
手順 1: MDM サーバーを追加する
Apple Business で Microsoft Intune の MDM サーバー プロファイルを作成します。 この手順でダウンロードしたトークンは、後の手順で Microsoft Intune と Apple Business 間の接続を有効にします。
Microsoft Intune 管理センターにサインインします。
[デバイス] に移動します。
[ デバイスのオンボード] を展開し、[ 登録] を選択します。
[Apple モバイル] を選択します。
[ 登録プログラム トークン] を選択します。
[作成] を選択します。
[Microsoft にユーザーとデバイスの情報を Apple に送信するアクセス許可を付与すること に同意 します] を選択します。
[ 公開キーをダウンロードする ] を選択して、サーバーの公開キー証明書 (.pem ファイル) をローカル ドライブにダウンロードします。
[ Apple Business 経由でトークンを作成する] を選択し、会社の Apple ID を使用して Apple Business にサインインします。
重要
Apple Business を使用している間は、Microsoft Intune でブラウザーのタブを閉じないでください。 後で戻ります。
TestMDMServer という名前の MDM サーバーを追加し、そのサーバー トークンを Apple Business にダウンロードします。 詳細と手順については、 サードパーティのMDMサーバーにリンクする(Apple Businessユーザガイドを開く)を参照してください。 サーバー トークンを P7M ファイル (.p7m) としてローカルに保存します。 次に、「 手順 2: デバイスを割り当てる」に進みます。
手順 2: デバイスを割り当てる
Apple Business を使用している間に、新しい MDM サーバー (TestMDMServer または指定した名前) にデバイスを割り当てます。 詳細と手順については、 Apple Business(Apple Businessユーザガイドを開く)でデバイスを割り当て、再割り当て、または割り当て解除するを参照してください。 デバイスの割り当てが完了したら、「 手順 3: MDM サーバー トークンをアップロードする」に進みます。
手順 3: MDM サーバー トークンをアップロードする
Microsoft Intune 管理センターに戻り、MDM サーバー トークンを Intune にアップロードします。 トークンをアップロードすると、Microsoft Intune は TestMDMServer に割り当てられた iOS/iPadOS デバイスを同期して登録できます。
- Apple ID の場合は、トークンの作成に使用した Apple ID を入力します。
- Apple トークンの場合は、先ほど保存したサーバー トークンをアップロードします。 ファイルは P7M 形式にする必要があります。
- [次へ] を選択します。
- 必要に応じて、登録トークンにスコープ タグを適用して、他の管理者がアクセスしたり、変更を加えたりできないようにします。 スコープ タグの詳細については、「分散 IT にロールベースのアクセス制御 (RBAC) とスコープのタグを使用する」を参照してください。
- [次へ] を選択します。
- [レビュー + 作成] で [作成] を選択して、Microsoft Intune と Apple Business のリンクを完了します。
Microsoft Intune は Apple Business と自動的に同期します。 デバイスが管理センターに表示されるまでに最大 12 時間かかる場合があります。 これらのデバイスが同期されるまで待つことも、手動で同期を開始することもできます。自分で同期を開始するには、管理センターの一覧からトークンを選択し、[ デバイス>同期] を選択します。
手順 4: Apple 登録ポリシーを作成する
企業所有の iOS/iPadOS デバイスの登録ポリシーを作成します。 デバイス登録ポリシーは、登録時にデバイスのグループに適用される設定を定義します。
管理センターでトークンを選択し、[ 登録ポリシー] を選択します。
ポリシーの作成>iOS/iPadOS を選択します。
[基本] ページで、[名前] に「TestPolicy」と入力し、[説明] に「iOS/iPadOS デバイス用 テスト ADE」と入力します。 ユーザーには、これらの詳細は表示されません。
[次へ] を選択します。
[デバイス グループ] タブで、必要に応じて、登録時間のグループ化に使用する Microsoft Entra セキュリティ グループを選択します。 グループはこの登録ポリシーに直接マップされ、ポリシーの作成後に編集できます。
静的な Microsoft Entra セキュリティ グループのみを選択できます。 この設定を構成するには、カスタム RBAC ロール (登録プログラムの下) で登録時デバイス メンバーシップの割り当てアクセス許可が必要です。
登録時のグループ化の仕組みの詳細については、「Microsoft Intune での登録時のグループ化」を参照してください。
[次へ] を選択します。
[ 構成設定 ] タブで、 ユーザー アフィニティを使用してデバイスを登録するかどうかを決定します。 ユーザー アフィニティは、特定のユーザー向けのデバイス用に設計されています。 ユーザーが、アプリのインストールなどのサービスにポータル サイトを使用する場合、[ユーザー アフィニティとともに登録する] を選択します。 ユーザーがポータル サイトを必要としない場合、または多くのユーザーに対してデバイスをプロビジョニングする場合は、[ユーザー アフィニティなしで登録する] を選択します。
- ユーザー アフィニティを使用して登録することを選択した場合は、[ユーザーが認証する必要がある場所を選択する] オプションが表示されます。 ポータル サイト または Apple セットアップ アシスタント (レガシ)、または先進認証を使用したセットアップ アシスタントのどちらで認証するかを決定します。 認証方法の詳細については、「Intune での自動デバイス登録の認証方法」を参照してください。
ユーザー アフィニティを使用して登録し、ポータル サイトで認証することを選択した場合、[VPP によるポータル サイトのインストール] オプションが表示されます。 VPP トークンを使用してポータル サイトをインストールする場合、ユーザーは登録時に、App Store からポータル サイトをダウンロードするために、Apple ID とパスワードを入力する必要がありません。 [VPP によるポータル サイトのインストール] の下の [使用するトークン] を選択し、使用可能なポータル サイトの無料ライセンスがある VPP トークンを選択します。 ポータル サイトのデプロイに VPP を使用しない場合、[VPP を使用しない] を選択します。
- ユーザー アフィニティを使用して登録を行い、ポータル サイトで認証を行い、VPP を使用してポータル サイトをインストールすることを選択した場合、認証までポータル サイトを単一アプリケーション モードで実行するかどうかを決定します。 この設定を使用すると、ユーザーが企業登録を完了するまで他のアプリにアクセスできないようにすることができます。 登録が完了するまで、ユーザーにこのフローを限定したい場合、[Run ポータル サイト in Single App Mode until authentication]\(認証されるまでシングル アプリ モードでポータル サイトを実行する\) の下で [はい] を選択します。
ユーザーが企業のデバイスからデバイス管理を削除できないようにするには、[ロックされた登録] で [はい] を選択します。
既定では、Apple はデバイス タイプ ( iPad など) を使用してデバイスに名前を付けます。 別の名前テンプレートを使用する場合は、[デバイス名のテンプレートを適用する] で [はい] を選択します。 デバイスに付ける名前を入力します。ここで、{{シリアル}} と {{デバイスの種類}} の文字列は、各デバイスのシリアル番号とデバイスの種類に置き換えます。 または、[デバイス名のテンプレートを適用する] の下で [いいえ] を選択します。
[設定アシスタント] で、[部門名] に「チュートリアル部門」と入力します。 この文字列は、デバイスのアクティブ化中にユーザーが [About configuration]\(構成について\) をタップすると表示される内容です。
[部門電話] に電話番号を入力します。 この番号は、アクティブ化中にユーザーが [ヘルプが必要ですか] ボタンをタップすると表示されます。
デバイスのアクティベーション中に、さまざまな画面の 表示 と 非表示を切り替え ることができます。 登録を最もスムーズに行うには、すべての画面を [非表示] に設定します。
[次へ]を選択します。
ポリシー設定を確認します。 ポリシーを保存するには、[作成] を選択します
手順 5: iOS/iPadOS デバイスに登録ポリシーを割り当てる
デバイスに登録するには、デバイスに登録する前に、自動デバイス登録ポリシーをデバイスに割り当てる必要があります。 これらのデバイスは Apple から Intune に同期され、Apple Business または Apple School Manager の適切な MDM サーバー トークンに割り当てる必要があります。
- 管理センターで、 登録プログラム トークンに戻ります。 一覧からトークンを選択します。
- [ デバイス] を選択し、割り当てるデバイスを選択します。
- [ ポリシーの割り当て] を選択します。 次に、デバイスのポリシーを選択します。
- [割り当て] を選択します。
注:
テナントの登録制限内にあるデバイスの種類の制限に、iOS/iPadOS プラットフォームをブロックする既定の [すべてのユーザー] ポリシーが設定されていないことを確認します。 この設定により、自動登録が失敗し、ユーザーの構成証明に関係なくデバイスが 無効なプロファイルとして表示されます。 会社が管理するデバイスによる登録のみを許可するには、個人所有のデバイスだけをブロックします。この場合、会社のデバイスの登録が許可されます。 Microsoft では、企業デバイスを、デバイス登録プログラムを介して登録されたデバイス、または管理センターの [企業のデバイス識別子] に手動で入力したデバイスとして定義しています。
手順 6: ユーザーにデバイスを配布する
Apple と Intune 間の管理と同期を設定し、ADE デバイスを登録できるようにポリシーを割り当てました。 ユーザーにデバイスを配布できるようになりました。 ユーザー アフィニティがあるデバイスでは、各ユーザーに Intune ライセンスを割り当てる必要があります。
関連する構成
MDMサーバーへのデバイスの割り当てと登録ポリシーの作成に加えて、オプションでApple Business (またはApple School Manager)のAppleアクセス管理設定を使用して、organization所有のデバイス上のAppleアカウントのサービスアクセスを構成することができます。 Microsoft Intune は、登録後にこれらの設定を適用します。 詳細については、「 Apple アカウントのサービス アクセスを構成する」を参照してください。