ポリシー - Apple

Appleポリシー

Appleポリシーは、Cerberus EnterpriseがMDMを介してAppleデバイスに適用する管理設定を定義します。これらの設定は、ダッシュボードのAppleポリシーエディターで構成します。

開始する前に

Appleデバイス管理では、Apple Management (APNs)を構成する必要があります。必要に応じて、Apple Managementの設定 (APNs)ページをお読みください。

Appleポリシーエディターを開く

ダッシュボードでポリシーを開き、新しいAppleポリシーを作成をクリックします。既存のAppleポリシーを編集するには、ポリシーテーブルの行をクリックします。

エディターのレイアウト

Appleポリシーエディターは、展開可能なセクションのセットとして構成されています。ページの上部では、常に次の項目を編集できます：

ポリシーセクション

以下のセクションは、Apple ポリシー エディターで現在利用可能なパネルに対応しています。保存済みのポリシーを開くと、設定が変更されているセクションはすでに開いており、それ以外は閉じたままです:

Appleポリシーエディターの多くのオプションには、要件とサポートされているOSバージョンを説明するツールチップがあります。

保存、削除、関連付けられたデバイス

ポリシーを保存を使用して変更を適用します。保留中の編集がない場合、またはライセンスが期限切れの場合は、ボタンは無効になります。

既存のポリシーを編集する場合、ページにはポリシーを削除アクションも表示されます。エディターの下部には関連付けられたデバイスリストが表示され、現在ポリシーを使用しているデバイスの数を確認できます。

次のページ

アプリとプロファイル

このセクションでは、Appleデバイス向けの管理対象アプリケーションとアカウントペイロードを構成する方法について説明します。

アプリ管理

アプリ管理パネルには、アプリ関連の一般的な制限と管理対象アプリの一覧の両方が含まれます。

一般的なアプリの制限

管理対象アプリ

アプリケーションを追加を使用して、ポリシーにアプリを追加します。各管理対象アプリはカードとして表示されます。カードを展開して設定を編集し、削除アクションでアプリを削除できます。

アプリ選択リストには、各アプリの利用可能なライセンス数と合計ライセンス数が表示されます。無料アプリは無制限と表示されます。Appleは無料アプリに無制限のライセンスを付与します。アプリは1つのポリシーに1回だけ追加できます。すでにポリシーにあるアプリと同じApp Store IDまたはバンドルIDを持つアプリは拒否され、同じアプリを2回リストしたポリシーも保存時に拒否されます。

アプリ選択リストには、Apple Businessライブラリのアプリが表示されます。アプリを追加するには、Apple BusinessでApps & Services → Apps & Books → App Storeを開き、アプリを検索してViewをクリックします。無料アプリの場合は、Addをクリックし、All current and future（またはApps and Booksトークンの組織単位）をOrganizational Unitsで選択し、AddをクリックしてからReviewをクリックして確認します。有料アプリの場合は、その価格をクリックし、License TypeとしてManaged Licensesを選択し（引換コードはCerberus Enterpriseでは使用できません）、Apps and BooksトークンのOrganizational Unitを選択し、Licensesの数（注文ごとに最大1,000）を入力してから、Reviewをクリックして購入します。購入前にSettings → Payments & Billing → Apps & Services → Payment Methodsで支払い方法を設定しておく必要があります。その後、アプリがアプリ選択リストに表示されます。

個人デバイスのアプリ（ユーザー登録）

ユーザー登録で登録された個人のiPhoneおよびiPadにはシリアル番号がないため、デバイスでサインインしているManaged Apple Accountのユーザーライセンスを使用して、ポリシーのApp Storeアプリを受け取ります。CerberusはアカウントをApps and Booksに登録し、無料アプリを含めてライセンスを自動的に割り当てます。Managed Apple AccountとApps and Booksトークンは、同じApple Business組織に属している必要があります。有料アプリはアカウントごとに1つのライセンスを使用し、そのアカウントのすべての個人デバイスで共有されます。

詳細については、Appleアカウント駆動型登録を参照してください。

管理対象構成

管理対象構成は、アプリのベンダーが文書化した方法で、アプリに設定（サーバーアドレスやアカウント名など）を提供します。ポリシーでアプリを開き、管理対象構成を追加をクリックします。これはiOSまたはiPadOS 18.4以降のiPhoneおよびiPad、およびmacOS 27以降のMacに送信されます。Apple Vision Proにはまだ送信されません。アプリは管理対象構成をサポートしている必要があります。読み取らないアプリは無視します。アプリパネルには、アプリ名の横にキーの数が表示されます。

アプリのオプション

ポリシーの各アプリ（App Storeアプリとカスタムアプリ）には、これらのオプションがあります。デバイスのデフォルトは、選択をデバイスに任せます。オプションをサポートしていないデバイスには適用されませんが、アプリは引き続きインストールされます。

Mac App Storeのアプリ

アプリ選択リストには、各アプリのプラットフォーム（iPhone/iPad、Mac、Apple TV、Vision）が表示されます。Mac専用のアプリはMacアイコンが表示されます。Mac専用のアプリは、追加するとMacに適用されます。Mac版のないApp StoreアプリはMacに送信されません。ポリシーでは適用先の下に"このアプリにはMac版がないため、Macには送信されません"と表示されます。MacはApp Store IDでApp Storeアプリを取得するため、MacでバンドルIDが異なるアプリも正しくインストールされます。

Cerberus Enterpriseアプリ

Cerberus は Cerberus Enterprise アプリを iOS または iPadOS 18.4 以降 のすべての iPhone と iPad に、ポリシーの有無にかかわらずインストールします。このアプリはデバイスの位置情報を共有し、通知とライブ トラッキング要求を受信します。必須 としてインストールされ、Apps and Books のデバイス ライセンス (個人デバイスではユーザー ライセンス) が使用されるため、ユーザーは削除できません。

カスタムアプリ

カスタムアプリは、App Storeを介さずに配布する独自のiPhoneおよびiPadアプリ（.ipaファイル）です。Xcodeで、Enterprise配布用（Apple Developer Enterprise Program：すべてのデバイスにインストールされます）またはAd Hoc配布用（プロビジョニングプロファイルに登録されたデバイスにのみインストールされます）にアプリを書き出します。App Storeビルドはアップロードできません。

カスタムアプリを追加をクリックして、組織のカスタムアプリを開きます。アプリをアップロードで.ipaファイル（最大2 GB）を追加します。アプリを選択してポリシーに追加をクリックします。一覧には、バージョン、署名の種類、Ad Hocアプリのプロファイル内のデバイス数、プロビジョニングプロファイルの有効期限が表示されます。

Mac パッケージ

カスタムアプリでは、Macインストーラパッケージ(.pkg ファイル)も受け付けます。パッケージは productbuild でビルドした配布用パッケージ(pkgbuild のみで作成したコンポーネントパッケージは拒否されます)であり、Developer ID Installer 証明書で署名されている必要があります。notarytool と stapler による公証とチケットのステープルを推奨します。署名されていないパッケージ、署名後に変更されたパッケージ、他の証明書で署名されたパッケージは拒否されます。

.pkg ファイルをアプリをアップロードでアップロードし、ポリシーに追加します。ポリシーのMacパッケージの下に表示されます。iPhone と iPad では無視されます。

macOS 26 以降のMac(監視対象。手動で登録したMacを含みますが、ユーザー登録は含みません)は、パッケージを宣言として受け取ります。Macが自らダウンロード、インストール、再試行、更新を行い、状態を報告します。古いMac、および管理対象アプリとしてインストールされたパッケージは、どの macOS バージョンでもMDM コマンドで受け取ります。macOS 26 にアップグレードされたMacは自動的に宣言へ移行します。各パッケージを一度は再インストールする場合があります。同じパッケージを含む別のポリシーへMacが移動した場合も同様です。

アカウント

アカウントパネルでは、管理対象デバイスに適用するアカウントを設定できます。アカウントの変更に関する制限の切り替えも含まれます。

制限

アカウントを追加

Google アカウントを追加またはメールアカウントを追加を使用して、アカウントのペイロードをポリシーに追加します。各アカウントは、設定フィールドを持つカードとして表示されます。

ユーザーからのアカウント認証情報

Google とメールのアカウントカードには、どちらもユーザーからのアカウント認証情報の切り替えがあります。有効にすると、システムはユーザーごとにアカウント認証情報を適用します。無効にすると、ポリシーでアカウントの ID を入力します。

Google アカウントのフィールド

メールアカウントのフィールド

メールアカウントには、ID フィールドと受信/送信サーバーの設定が含まれます。ホスト名は必須です。

受信サーバー

送信サーバー

S/MIME オプション

メールアカウントでは、S/MIME の暗号化と署名の動作も設定できます。

暗号化

署名

アカウントと制限のオプションには、ダッシュボードに前提条件と対応 OS バージョンを説明するツールチップがあります。

キオスクとホーム画面

Apple ポリシーエディタのキオスクとホーム画面セクションでは、デバイスを 1 つのアプリに固定し、開けるアプリを選択し、ホーム画面を整理し、Web サイトのアイコンを追加します。各設定は構成プロファイルとしてデバイスにインストールされます。

Apple は、これらの設定のほとんどを監視対象の iPhone と iPad（Automated Device Enrollment で登録された、または Apple Configurator で準備されたデバイス）にのみ適用します。それ以外のデバイスには適用されません。Web クリップは監視対象外の iPhone と iPad でも機能します。Mac にはこれらの設定は適用されません。

アプリの選択

アプリはバンドル ID で識別されます。アプリ名を入力すると、Apple の組み込みアプリとポリシーのアプリから選択できます。任意のバンドル ID(たとえば com.example.app)を入力することもできます。

シングルアプリモード

デバイスは選択したアプリのみを実行します。ユーザーはホーム画面に戻ったり、他のアプリを開いたりできません。先にポリシーでアプリをインストールしてください。設定をオフにするかアプリを削除すると、デバイスはシングルアプリモードを終了します。

許可およびブロックするアプリ

一部のアプリのみを許可 を使用すると、リストにないすべてのアプリ (ポリシーのアプリを含む) がデバイスから消えます。設定と、iPhone の場合は電話は常に残ります。

ホーム画面のレイアウト

ホーム画面の Dock とページを整理します。アプリ、アプリのフォルダ、ポリシーの Web クリップを追加し、追加先で配置を選びます。アイコンをドラッグして、Dock とページの間で移動できます。フォルダをクリックすると、名前とアプリを変更できます。

ユーザーはアイコンを移動したり、ホーム画面からアプリを削除したりできません。レイアウトにないアプリは、定義したページの後のページに移動します。iPhone では Dock に 4 つのアイコンが表示されます。ユーザーは、設定のストレージ画面で必須でないアプリを引き続き削除できます。これを防ぐには、アプリ管理で アプリの削除を許可 をオフにします。

Web クリップ

Web クリップは、Web サイトを開くホーム画面のアイコンです。ラベルと URL、および必要に応じて画像(PNG または JPEG、正方形に切り抜き)を設定します。

通知設定

一部のアプリの通知をデバイスで表示する方法を選択します。通知を許可するかどうか、表示場所(ロック画面、通知センター、CarPlay)、バッジ、サウンド、緊急アラート、バナースタイル、グループ化、プレビューなどです。ユーザーはこれらの設定を変更できません。

ロック画面メッセージ

ロック画面の下部に表示されるメッセージ(たとえばデバイスが見つかった場合の連絡先)と資産タグです。どちらにも変数 $EMAIL$、$USERNAME$、$FULLNAME$、$SERIAL$、$UDID$ を含めることができます。デバイスに対応する値がない変数は空のままになります。

パスコード

パスコード設定セクションでは、デバイスのパスコード要件と関連するセキュリティルール（最小長や複雑さなど）を制御します。Mac（macOS 13 以降、User Enrollment を除く）では、ルールはユーザーのログインパスワードに適用されます。

オプション

Apple ポリシーエディタでは、パスコードのオプションは切り替えと数値フィールドを組み合わせて構成します。多くのフィールドには、対応する OS バージョンと監視要件を示すツールチップがあります。

パスコードの切り替え

数値フィールド

制限

制限セクションでは、管理対象の Apple デバイスで許可する OS 機能を制御します。Apple ポリシーエディタでは、これらのオプションは複数の切り替えを持つグループ化されたパネルとして表示されます。

アプリ管理パネルとネットワークパネルのトグルは、Apple ポリシーのアプリとプロファイルページとネットワークページで説明されています。

多くの制限は特定の OS バージョンでのみサポートされ、監視対象デバイスが必要な場合があります。正式な要件は、ダッシュボードのツールチップを参照してください。

ユーザー登録デバイス(仕事用アカウントでサインインして登録した個人デバイス)では、Apple が許可していない制限は送信されません。ポリシーの制限が 1 つも適用されない場合、これらのデバイスには制限プロファイルが送信されません。ポリシーエディタには、ユーザー登録デバイスに適用されない制限の数が表示されます。

セキュリティ

マルチメディア

モバイル通信

携帯回線の APN

携帯回線の APNは、通信事業者が指定したアクセスポイント名(APN)を設定します(たとえばプライベートまたはビジネス用のモバイルネットワーク)。アクセスポイント名と、通信事業者が求める場合は認証(PAP または CHAP)、ユーザー名($EMAIL$ などの変数を使用可)、パスワード、IP バージョン(ローミング時も含む)、プロキシサーバーとそのポート、XLAT464 を設定します。APN を接続は、通信事業者がネットワークへの接続用に別の APN を提供している場合にのみオンにします。

APN が誤っていると、デバイスで携帯データ通信が使えなくなります。先に通信事業者の SIM を入れたテスト用デバイスで設定を試してください。

システムとユーザー インターフェイス

Apple のアプリとサービス

Siri と Apple Intelligence

iCloud

アカウント（制限）

アカウントパネルには、制限と（任意の）アカウント設定の両方が含まれます。制限のトグルは、ユーザーがシステムアカウントを変更できるかどうかを制御します。

ネットワーク

Apple ポリシーエディタのネットワークセクションでは、デバイスの Wi-Fi ネットワークと VPN を構成し、証明書をインストールし、AirDrop や Bluetooth などの接続機能を制限します。各 Wi-Fi ネットワーク、VPN、証明書はそれぞれ独自の構成プロファイルとしてインストールされ、デバイスの設定 > 一般 > VPN とデバイス管理（Mac：システム設定 > 一般 > デバイス管理、または macOS 13 および 14 ではプライバシーとセキュリティ > プロファイル）と、デバイスページのプロファイル、証明書、セキュリティパネルで確認できます。

証明書は証明書ページから取得します。先にそこでインポートしてください。ポリシーは証明書を参照するだけなので、証明書がポリシーにコピーされることはありません。

制限

Wi-Fi ネットワーク

Wi-Fi ネットワークを追加をクリックし、次を入力します:

エンタープライズネットワーク (802.1X)

ユーザーが共有パスワードではなく、自身の認証情報または証明書で認証する場合は、エンタープライズ (802.1X)をオンにします。

VPN

VPN を追加をクリックして、iOS、iPadOS、macOS に組み込まれている IKEv2 または Cisco IPSec VPN を構成します(VPN アプリは不要です)。

接続

常時接続またはオンデマンド VPN は、先にテスト用デバイスでテストしてください。サーバーに到達できない場合、デバイスが接続できなくなる可能性があります。

グローバルプロキシ、暗号化 DNS、Web コンテンツフィルタ

これらの設定はデバイスのすべてのトラフィックに適用されます。各切り替えでオンにします。

プロキシまたは DNS サーバーが誤っていると、デバイスが接続できなくなる可能性があります。先にテスト用デバイスで設定を試してください。

証明書

証明書を追加をクリックして証明書を単独でインストールします。Safari とアプリが信頼する必要がある認証局、またはアプリが使用する ID です。Wi-Fi ネットワークや VPN の証明書は、ここで追加する必要はありません。

証明書のオプション

古い RC2 暗号化で保護されたクライアント証明書(.p12)は、Apple デバイスにインストールできません。インポートする前に、3DES または AES 暗号化で再度書き出してください。

セキュリティ

パスワードや秘密鍵を含むプロファイルは、作成対象のデバイスにのみ送信されます。デバイスは管理証明書で要求に署名する必要があります。パスワードと証明書はログに記録されません。

ソフトウェアアップデート

Apple Policy Editorのソフトウェアアップデートセクションは、デバイスを最新の状態に保ちます。期限までに特定のOSバージョンを要求し、デバイスがアップデートをダウンロードしてインストールする方法を制御できます。

必須のOSアップデート

必須アップデートを追加をクリックして、OSバージョンを要求します。デバイスはアップデートをダウンロードし、ユーザーに期限を通知し、ユーザーがそれまでに実行していない場合は期限にインストールします。そのバージョン以降をすでに実行しているデバイスは無視します。iOSおよびiPadOS 17またはmacOS 14が必要です。

デバイスは、アップデートの進行状況（ダウンロード、インストール、失敗）をデバイスページのデバイスステータスパネルで報告します。

ソフトウェアアップデート設定

iPhoneおよびiPadのソフトウェアアップデート設定またはMacのソフトウェアアップデート設定をオンにすると、それらのデバイスのアップデートを制御できます。トグルがオフの場合、デバイスは独自の設定を維持します。iOSおよびiPadOS 18またはmacOS 15が必要です。古いデバイスはこれらの設定を無視します。

デバイスページからアップデートをインストールする

デバイスのデバイスステータスパネルには、利用可能なアップデートが一覧表示されます。アップデートを確認を使用してデバイスに一覧を要求し、インストールを使用して今すぐインストールするか、ダウンロードしてユーザーにインストールさせます。これは監視対象のiPhoneとiPad、およびMacで機能します。AppleはiOS、iPadOS、macOS 27でこれらのコマンドを削除します。これらのバージョンではポリシーの必須アップデートを使用してください。

macOS

Apple ポリシーエディタのmacOSセクションでは、Macのセキュリティ、プライバシー、ログイン設定を管理します。FileVault、ファイアウォール、Gatekeeper、スクリーンセーバーとロック、外部ストレージとネットワークストレージ、画面共有、プライバシー権限、ログイン項目、および読み込みを許可するシステム拡張機能とカーネル拡張機能です。システムサービスの構成ファイルとバックグラウンドタスクもインストールします。ポリシーの他のデバイスにはこれらの設定は適用されません。設定を管理するにはオンにします。オフの間は、ユーザー自身の選択が維持されます。

ほとんどの設定は構成プロファイルとしてMacにインストールされ、「システム設定 > 一般 > デバイス管理」に表示されます。FileVault、プライバシー権限、ログイン項目、拡張機能の設定には、ユーザー承認済み MDM が必要です。登録 URL または QR コードで登録されたMacでは、ユーザーが「システム設定」で登録プロファイルを承認します。デバイスページのユーザー承認済み MDMフィールドに表示されます。ユーザーが後で承認すると、Macはこれらの設定を自動的に受け取ります。

FileVault

FileVault はMacのディスクを暗号化します。この設定をオンにすると、ユーザーはパスワードで FileVault をオンにするよう求められ、Macは個人用リカバリーキーを、組織だけに属するキーで暗号化して Cerberus Enterprise に送信します。キーはデバイスページのFileVaultフィールドで表示および変更できます(デバイスコマンドを参照)。この設定には macOS 13 以降とユーザー承認済み MDM が必要です。ユーザー承認済み MDM がない場合、Macは FileVault をオンにするよう求められませんが、ユーザーがオンにするとキーは保存されます。

設定を受け取った時点ですでに暗号化されていたMacは、現在のキーを保持し、Cerberus Enterprise はそのキーを受け取りません。キーは、ユーザーが FileVault をオフにして再度オンにした後にのみ保存されます("FileVault のオフを禁止"がオフの場合)。設定をオフにした場合やMacを管理から削除した場合でも FileVault はオフにならず、保存されたキーは引き続き機能します。サーバーがリカバリーキーを保存するように構成されていない場合、この設定は保存できません。

ファイアウォール

Gatekeeper

Gatekeeper はアプリを開く前に確認します。Macで App Store のアプリのみを開くか、識別された開発者のアプリも開くかを選択します。Gatekeeper がオフの場合、署名されていないアプリや破損したアプリも含め、すべてのアプリを開けます。macOS 15 以降では、ブロックされたマルウェアを Apple に送信するかどうかをユーザーに確認するかも選択できます。

スクリーンセーバーとロック

一定時間操作がない後にスクリーンセーバーを開始し、スクリーンセーバーの開始時またはディスプレイのスリープ時に、すぐにまたは遅延後にパスワードを要求します。管理対象外のままにした設定は、ユーザー自身の選択が維持されます。

外部ストレージとネットワークストレージ

Macの外部ストレージ(USB ドライブ、SD カード、外付けディスク)とネットワークストレージ(ファイル共有)を許可、読み取り専用、またはブロックします。macOS 15 以降が必要です。

画面共有

画面共有でこれらのMacに接続するユーザーの制限: Macとの間のファイルコピー、高パフォーマンス接続、仮想ディスプレイの数です。画面共有をオンにするかは、ユーザー自身の選択に委ねられます。macOS 14 以降が必要です。

プライバシー権限

ユーザーが通常「システム設定 > プライバシーとセキュリティ」で許可するアクセスを、アプリに付与または拒否します。たとえば、バックアップアプリにフルディスクアクセスを許可したり、アプリにカメラへのアクセスを拒否したりします。権限ごとに次を選択します:

ログイン項目とバックグラウンド項目

ルールに一致するログイン項目とバックグラウンド項目は管理されます。確認なしで実行され、ユーザーは「システム設定 > 一般 > ログイン項目」でオフにできません。ルールは、アプリの開発者チーム ID、バンドル ID、または launchd デーモンやエージェントのラベル(先頭部分でも可)に一致します。macOS 13 以降が必要です。

システム拡張機能

システム拡張機能は、アプリが macOS を拡張するための最新の方法です。ネットワークフィルタや VPN、エンドポイントセキュリティエージェント、ドライバなどがあります。この設定をオンにすると、リストされた開発者チームのシステム拡張機能が、ユーザーに確認せずに読み込まれます。macOS 10.15 以降とユーザー承認済み MDM が必要です。

macOS 11.3 以降では、この設定を削除すると、許可していたシステム拡張機能(たとえばセキュリティエージェントやネットワークフィルタ)がオフになります。これは、設定をオフにしたとき、ポリシーを削除したとき、およびMacがこの設定のないポリシーに移動したときに発生します。エディタは設定をオフにする前に確認を求めます。

カーネル拡張機能(レガシー)

カーネル拡張機能は、macOS を拡張するための古い非推奨の方法です。ベンダーが提供している場合はシステム拡張機能を優先してください。リストされたチームのカーネル拡張機能(チームのすべての拡張機能、またはリストされたバンドル ID のみ)は、再起動後にユーザーに確認せずに読み込まれます。macOS 10.13.2 以降とユーザー承認済み MDM が必要です。

Apple silicon のMacでは、プロファイルだけでは不十分です。誰かがMacを recoveryOS で起動し、「起動セキュリティユーティリティ」で「低いセキュリティ」を選択し、識別された開発者のカーネル拡張機能のユーザー管理を許可する必要があります。また、承認のために Cerberus Enterprise に委託された Bootstrap Token が必要な場合があります(デバイスページの Bootstrap Token フィールドを参照)。

Mac ファイル

サービス構成ファイルとバックグラウンドタスクは、組織のMac ファイルにアップロードしたファイルを使用します。zip アーカイブとプロパティリスト(.plist)で、最大 20 MB です。macOS セクションのMac ファイルボタン、または設定のファイルを選択から、アップロード、使用箇所の確認、削除ができます。ポリシーで使用中のファイルは削除できません。ファイルを変更するには、新しいバージョンをアップロードしてポリシーで選択します。Macはそれを再度ダウンロードします。

サービス構成ファイル

zip アーカイブからシステムサービスの構成ファイルをインストールします。組み込みのサービスは、SSH サーバー(sshd)、sudo、PAM、印刷(CUPS)、Apache Web サーバー、bash、zsh、スマートカードログイン、認証です。com.example.service のような逆 DNS 識別子を持つ独自のサービスも使用できます。macOS の管理対象構成ファイルライブラリでファイルを検索します。各サービスには 1 つの設定を指定できます。macOS 14 以降が必要です。

組み込みサービスはアーカイブ内のファイルのみを使用し、独自のファイル(たとえば sshd の /etc/ssh)は無視します。構成全体をアーカイブに含め、ディスクのルートから始まるフォルダに配置してください(たとえば etc/ssh/sshd_config)。ファイルはMac上では読み取り専用で、設定とともに削除されます。最初に 1 台のMacでアーカイブをテストしてください。sudo や PAM の構成が誤っていると、ユーザーがサインインできなくなったり、管理者権限を使用できなくなったりします。

バックグラウンドタスク

launchd によって開始され、バックグラウンドで実行されるプログラムとスクリプトです。ユーザーはオフにできず、設定とともに削除されます。macOS 15 以降が必要です。タスクごとに次を選択します:

タスクには、プログラムまたは少なくとも 1 つのプロパティリストが必要です。ファイルが変更されると、Macはタスクを再起動します。

位置情報とジオフェンス

Apple ポリシーエディタの位置情報とジオフェンスセクションでは、敷地や倉庫などのエリアを定義します。Cerberus Enterprise アプリをインストールした iPhone と iPad は、これらのエリアへの入場または退場を報告し、イベントルールでそれに対応できます。メールを送信する、デバイスをロックまたは無効化する、または再び有効化するなどです。Mac はジオフェンスを使用しません。

ジオフェンスのフィールド

ジオフェンスを追加を使用して新しいエントリを作成します。ポリシーには最大10 個のジオフェンスを含めることができ、名前はポリシー内で一意である必要があります。各ジオフェンスには次のフィールドがあります:

各ジオフェンスにはマッププレビューがあります。保存済みジオフェンスの中心と半径はロックされています。変更するには、マップのロックボタンを使用します。その他のボタンは、マップをエリアまたは現在地に中央表示します。

ポリシーを保存すると、Cerberus Enterprise はポリシーの iPhone と iPad に新しいジオフェンスを取得するよう要求します。通常は数分かかりますが、iOS が遅延させる場合があります(低電力モードやネットワーク接続がない場合など)。アプリが最新のジオフェンスをまだ適用していない場合、デバイスページに表示されます。

要件

ジオフェンスは、Cerberus Enterprise アプリをインストールした iPhone と iPad で動作します。Macは無視します。デバイス上では次の条件が必要です:

個人デバイスでの位置情報とジオフェンス(セクションの上部)は、既定ではオフです。オフの間、Cerberus は個人デバイス(ユーザー登録)の位置情報を収集せず、そのジオフェンスイベントは生成されず、デバイスページに「位置情報を検索」やライブ追跡は表示されません。オンにすると、ポリシーの個人デバイスは会社のデバイスと同様に位置情報とジオフェンスイベントを共有します。ただし、ユーザーが Cerberus Enterprise アプリの位置情報を許可している場合に限ります。アプリは iOS が確認する前に、その旨をユーザーに説明します。ユーザーへの通知と、従業員の位置情報に関する地域の規則の遵守は、組織の責任です。個人デバイスではロストモードと MDM の位置情報リクエストは利用できません(Apple が許可していません)。

低電力モードでもジオフェンスは動作し続けますが、iOS はエリアからの退出をより遅く、より不正確な位置情報で報告します。また、ポリシー変更後に新しいジオフェンスを取得するのが数時間遅れる場合があります。アプリが再び実行されるまで(たとえば次に境界を越えたときや、ユーザーが開いたとき)です。

イベントの到達方法

iOS はアプリのためにエリアを監視し、デバイスが境界を越えるとアプリを起動します(アプリが開いていない場合も同様)。イベントは境界通過の数分後に届くことがあり、小さいエリアや短時間の滞在は見逃される場合があります。iOS では、デバイスが境界を一定距離越えて、しばらくそこにとどまる必要があります。

アプリが実行できない場合(たとえば再起動後、デバイスのロック解除前)、サーバーもアプリが送信する位置情報から後で通過を検出します。通過がアプリとサーバーのどちらで検出されても、イベントルールは 1 回だけトリガーされます。

アプリが数時間サーバーに接続していない場合、サーバーは iOS にアプリの起動を要求し、ジオフェンスを再確認させます。iOS はこの要求を保証するものではありません。

デバイスページ

デバイスページの位置情報マップパネルのジオフェンスタブに、デバイスの出入りが表示されます。ポリシーに有効なジオフェンスがある場合、ステータス行に、デバイスでジオフェンスが機能しているか、機能しない理由が表示されます。アプリがサーバーに接続していないか更新が必要、位置情報アクセスが常にではない、正確な位置情報またはバックグラウンド App 更新がオフ、アプリが最後に設定を報告したときに低電力モードがオンだった、またはアプリが最新のジオフェンスをまだ適用していない、などです。

ジオフェンスの遷移と位置情報は90日間保持され、それより古いデータは毎晩自動的に削除されます。登録済みの各デバイスの最新の位置は常に保持されるため、マップに表示され続けます。

制限事項

ジオフェンスイベントに対応するには、デバイスがジオフェンスに入ったまたはデバイスがジオフェンスから出たのイベントルールを作成します。詳細はイベントルールをご覧ください。

アカウント

Appleポリシーエディターのアカウントセクションでは、メール、Exchange、Google、カレンダー、連絡先、ディレクトリのアカウントをiPhone、iPad、Macに追加します。アカウントを追加をクリックし、種類を選択します。このセクションには、アカウントの変更を許可制限（監視対象デバイス）も含まれます。

Mac（macOS 13以降）では、アカウントは管理に登録されたユーザー（通常はMacを登録したユーザー）のセッションに、そのユーザーがログインしているときにインストールされます。デバイスページでは、これらのユーザーがMacユーザーの下に、アカウントの状態とともに一覧表示されます。デバイスユーザーからメールアドレスを取得するアカウントは、Cerberus EnterpriseでMacに割り当てられたユーザーを使用します。

共通設定

アカウントの種類

S/MIME

メールおよびExchangeアカウントは、S/MIME（iOS 17以降）でメッセージに署名および暗号化できます。それぞれについて、証明書を選択します：証明書ページのいずれか、デバイスユーザーの証明書、またはSCEPサーバーから要求した証明書。ユーザーがオフにできるようにしたり、別の証明書を選択できるようにしたり、暗号化についてメッセージごとに切り替えを表示したりできます。

セキュリティ

パスワードと証明書は、デバイスに送信される設定には含まれません。各デバイスは、管理証明書でリクエストに署名して、Cerberus Enterpriseから独自の認証情報をダウンロードします。これらはログには記録されません。

コンプライアンスルール

Apple ポリシーエディタのコンプライアンスルールセクションでは、ポリシーのデバイスに対する要件を設定します。ルールに違反したデバイスは直ちに非準拠になります。デバイスページのデバイスが非準拠である理由に理由が表示され、デバイスリストでは非準拠として表示されます。ポリシーの設定をデバイスに適用できない場合も、そのデバイスは非準拠になります。

ルール

ルールは、デバイスがステータスを送信したとき、ポリシーが保存されたとき、および 1 時間ごとにチェックされます。ステータスが不明なデバイス(たとえば FileVault をまだ報告していないMac)は、ルールに違反しません。

デバイスのブロック

まだ非準拠の場合にデバイスをブロックをオンにし、何日後にブロックするかを設定します(0 は即時ブロック)。監視対象の iPhone と iPad は、設定したメッセージとともにロストモードになります。その他のデバイスは一度ロックされます。Macは再起動し、PIN の入力を求められます。PIN はコマンド履歴のコマンド詳細に表示されます。

通知を受け取ったり、別の方法で対応したりするには、デバイスが非準拠になったのイベントルールを作成します。理由も取得できます。