ポリシー - Apple Appleポリシー Appleポリシーは、Cerberus EnterpriseがMDMを介してAppleデバイスに適用する管理設定を定義します。これらの設定は、ダッシュボードのAppleポリシーエディターで構成します。 開始する前に Appleデバイス管理では、Apple Management (APNs)を構成する必要があります。必要に応じて、Apple Managementの設定 (APNs)ページをお読みください。 Appleポリシーエディターを開く ダッシュボードでポリシーを開き、新しいAppleポリシーを作成をクリックします。既存のAppleポリシーを編集するには、ポリシーテーブルの行をクリックします。 エディターのレイアウト Appleポリシーエディターは、展開可能なセクションのセットとして構成されています。ページの上部では、常に次の項目を編集できます： 名前（必須） ID（読み取り専用） 説明（任意） ポリシーセクション 以下のセクションは、Apple ポリシー エディターで現在利用可能なパネルに対応しています。保存済みのポリシーを開くと、設定が変更されているセクションはすでに開いており、それ以外は閉じたままです: アプリ管理：アプリ関連の制限、管理対象アプリ、Cerberus Enterpriseアプリの設定を構成します。 キオスクとホーム画面：シングルAppモード、許可およびブロックされたアプリ、ホーム画面レイアウト、Webクリップ、通知設定、ロック画面メッセージ。 セキュリティ：自動ロック解除や生体認証によるロック解除などの機能を制御します。 パスコード設定：パスコードの要件と関連ルールを構成します。 マルチメディア：カメラと関連機能を許可/禁止します。 セルラー: セルラー関連の設定 (アプリのセルラー データ設定、eSIM、プランの変更) とセルラー APN を制御します。 ネットワーク: Wi-Fi ネットワーク (エンタープライズ 802.1X を含む)、VPN、証明書、グローバル プロキシ、暗号化 DNS と Web コンテンツ フィルター、および AirDrop や Bluetooth などの接続制限。 システムとユーザー インターフェイス: Handoff、デバイス名、スクリーン セーバーなどのシステム機能を制限します。 ソフトウェアアップデート：期限までにOSバージョンを要求し、アップデートのダウンロードとインストール方法を制御します。 macOS：ファイアウォール、Gatekeeper、スクリーンセーバーとロック、外部ストレージとネットワークストレージ、画面共有、プライバシー権限、Macのログイン項目。 Apple のアプリとサービス: iMessage、Game Center、Find My などの Apple のアプリとサービスを制限します。 Siri と Apple Intelligence: Siri、ディクテーション、Apple Intelligence の機能を制限します。 iCloud：特定のiCloudサービス（バックアップ、キーチェーン同期、プライベートリレーなど）を許可または禁止します。 位置情報とジオフェンス: Cerberus Enterprise アプリをインストールした iPhone と iPad が出入りしたときに報告するエリア (イベント ルール用)。 アカウント：アカウントの変更を制限し、メール、Exchange、Google、カレンダー、連絡先、ディレクトリアカウントを構成します。 コンプライアンスルール：デバイスを非準拠にする要件（パスコード、最小OSバージョン、監視、FileVault）と、任意のブロック。 Appleポリシーエディターの多くのオプションには、要件とサポートされているOSバージョンを説明するツールチップがあります。 保存、削除、関連付けられたデバイス ポリシーを保存を使用して変更を適用します。保留中の編集がない場合、またはライセンスが期限切れの場合は、ボタンは無効になります。 既存のポリシーを編集する場合、ページにはポリシーを削除アクションも表示されます。エディターの下部には関連付けられたデバイスリストが表示され、現在ポリシーを使用しているデバイスの数を確認できます。 次のページ アプリとプロファイル：インストールするアプリと構成プロファイルを構成します。 キオスクとホーム画面：シングルAppモード、許可されたアプリ、ホーム画面レイアウト、Webクリップ。 パスコード：パスコードの要件と関連するセキュリティオプションを構成します。 制限：許可する機能とOSレベルの制限を定義します。 ネットワーク: Wi-Fi ネットワーク、VPN、証明書、接続制限。 ソフトウェアアップデート：必須のOSアップデートとソフトウェアアップデート設定。 macOS：ファイアウォール、Gatekeeper、画面ロック、ストレージ、プライバシー権限、Macのログイン項目。 位置情報とジオフェンス: iPhone と iPad が出入りを報告するエリアと、動作に必要なもの。 アカウント：メール、Exchange、Google、カレンダー、連絡先、ディレクトリアカウント。 コンプライアンスルール：デバイスの要件と、非準拠デバイスのブロック。 アプリとプロファイル このセクションでは、Appleデバイス向けの管理対象アプリケーションとアカウントペイロードを構成する方法について説明します。 アプリ管理 アプリ管理パネルには、アプリ関連の一般的な制限と管理対象アプリの一覧の両方が含まれます。 一般的なアプリの制限 Appクリップを許可 アプリのインストールを許可 アプリの削除を許可 アプリの自動ダウンロードを許可 アプリの非表示を許可 アプリのロックを許可 アプリ内課金を許可 デフォルト ブラウザの変更を許可 エンタープライズ アプリの信頼を許可 管理対象アプリ アプリケーションを追加を使用して、ポリシーにアプリを追加します。各管理対象アプリはカードとして表示されます。カードを展開して設定を編集し、削除アクションでアプリを削除できます。 App Store ID：管理対象アプリのApp Store識別子。 バンドルID：アプリのバンドル識別子。 インストール動作：アプリをインストールしたままにする必要があるか、ユーザーがインストール／削除できるかを制御します。 割り当て：Cerberusがデバイスごとに選択するライセンスの種類。会社のデバイスではデバイスライセンス、個人のiPhoneおよびiPad（ユーザー登録）ではManaged Apple Accountのユーザーライセンス。このフィールドは変更できません。 VPPライセンス：App Storeを通じたインストールに使用されるVPPライセンスの種類。 アプリ選択リストには、各アプリの利用可能なライセンス数と合計ライセンス数が表示されます。無料アプリは無制限と表示されます。Appleは無料アプリに無制限のライセンスを付与します。アプリは1つのポリシーに1回だけ追加できます。すでにポリシーにあるアプリと同じApp Store IDまたはバンドルIDを持つアプリは拒否され、同じアプリを2回リストしたポリシーも保存時に拒否されます。 アプリ選択リストには、Apple Businessライブラリのアプリが表示されます。アプリを追加するには、Apple BusinessでApps & Services → Apps & Books → App Storeを開き、アプリを検索してViewをクリックします。無料アプリの場合は、Addをクリックし、All current and future（またはApps and Booksトークンの組織単位）をOrganizational Unitsで選択し、AddをクリックしてからReviewをクリックして確認します。有料アプリの場合は、その価格をクリックし、License TypeとしてManaged Licensesを選択し（引換コードはCerberus Enterpriseでは使用できません）、Apps and BooksトークンのOrganizational Unitを選択し、Licensesの数（注文ごとに最大1,000）を入力してから、Reviewをクリックして購入します。購入前にSettings → Payments & Billing → Apps & Services → Payment Methodsで支払い方法を設定しておく必要があります。その後、アプリがアプリ選択リストに表示されます。 個人デバイスのアプリ（ユーザー登録） ユーザー登録で登録された個人のiPhoneおよびiPadにはシリアル番号がないため、デバイスでサインインしているManaged Apple Accountのユーザーライセンスを使用して、ポリシーのApp Storeアプリを受け取ります。CerberusはアカウントをApps and Booksに登録し、無料アプリを含めてライセンスを自動的に割り当てます。Managed Apple AccountとApps and Booksトークンは、同じApple Business組織に属している必要があります。有料アプリはアカウントごとに1つのライセンスを使用し、そのアカウントのすべての個人デバイスで共有されます。 ユーザーライセンスを待機中：アプリは、Appleがライセンスを確認した後にのみデバイスに送信されます。通常は数分以内です。デバイスのアプリケーションパネルに理由が表示されます。 ユーザーライセンスに失敗しました：Appleがライセンスを割り当てられませんでした。たとえば、有料アプリに残りのライセンスがない場合です。Apple Businessでライセンスを追加してから再リクエストを使用してください。Cerberusも毎日自動的に再試行します。 インストールプロンプト：iOSは各アプリをインストールする前にユーザーに確認します。ユーザーがキャンセルすると、アプリはユーザーによるインストールの承認待ちと表示されます。再リクエストでプロンプトが再度表示されます。 解放：ポリシーからアプリを削除するか、アカウントの最後の個人デバイスの登録を解除すると、同じアカウントの別の登録済みデバイスがまだ必要としていない限り、アプリが削除され、ライセンスが解放されます。 詳細については、Appleアカウント駆動型登録を参照してください。 管理対象構成 管理対象構成は、アプリのベンダーが文書化した方法で、アプリに設定（サーバーアドレスやアカウント名など）を提供します。ポリシーでアプリを開き、管理対象構成を追加をクリックします。これはiOSまたはiPadOS 18.4以降のiPhoneおよびiPad、およびmacOS 27以降のMacに送信されます。Apple Vision Proにはまだ送信されません。アプリは管理対象構成をサポートしている必要があります。読み取らないアプリは無視します。アプリパネルには、アプリ名の横にキーの数が表示されます。 キー：各行にはキー、種類、値があります。種類は、テキスト、整数、小数、ブール値、日付、テキストリスト、整数リストです。キーは大文字と小文字を区別し、一意である必要があります。キーを追加で行を追加し、構成を削除ですべてのキーを削除します。 変数：テキストおよびテキストリストの値には、$EMAIL$、$USERNAME$、$FULLNAME$、$SERIAL$、$UDID$を含めることができ、各デバイスとそのユーザーの値に置き換えられます。値のない変数（たとえば、ユーザーのいないデバイスの$EMAIL$）は空のままになり、システムログにその旨が記録されます。ユーザーの詳細が変更されると、デバイスは新しい値を取得します。Google Directoryから同期されたユーザーの場合、値は次回のポリシーまたはデバイスの変更時に更新されます。 構成をインポート：アプリのベンダーがMDM向けに公開しているファイルを開くか貼り付けてから、読み取りをクリックします。AppConfigスペックファイル（specfile.xml）には、アプリがサポートするすべてのキーと、その説明、種類、デフォルト値、許可される値が一覧表示されます。インポートするキーを選択し（デフォルト値のあるキーはすでに選択されています）、インポート後に残りを入力します。スペックファイルが別のアプリ用の場合は警告が表示されます。プロパティリスト（プロパティリスト全体、またはのみ）はそのままインポートされます。次に、現在のキーを置き換えるか追加するかを選択します。ネストされた辞書、データ値、混在した種類や不明な種類のリストはサポートされておらず、スキップされたものとして一覧表示されます。Appleはアプリの構成キーを公開していないため、ベンダーのドキュメントにファイルがない場合はベンダーに問い合わせてください。plistとしてコピーは、変数が置き換えられる前の、デバイスが受け取る状態の構成をコピーします。 制限：アプリごとに最大200キー、キーは最大255文字、テキスト値は最大4,096文字、リストは最大200項目で各項目最大1,024文字、日付は1970年から9999年まで、アプリごとに合計64 KBまでです。 パスワードには使用しないでください：構成はそれが構築されたデバイスにのみ送信され、ログにはキー名と種類のみが表示されますが、ダッシュボードの管理者は値を読み取ることができ、デバイスが構成をダウンロードするアドレスは値によって変わるため、推測しやすい値（ブール値や小さな数値）はそこから推測される可能性があります。管理対象構成にはパスワードやその他の機密情報を入れないでください。 ステータス：デバイスがアプリの構成を受け入れなかったことを報告すると、デバイスのアプリケーションパネルのアプリの横に構成が受け入れられませんでしたが表示されます。これによってデバイスが非準拠になることはありません。デバイスがダウンロードできない構成は、非準拠になります。 アプリのオプション ポリシーの各アプリ（App Storeアプリとカスタムアプリ）には、これらのオプションがあります。デバイスのデフォルトは、選択をデバイスに任せます。オプションをサポートしていないデバイスには適用されませんが、アプリは引き続きインストールされます。 自動更新：App Store設定、常にまたはなし。iOS、iPadOS、macOS、visionOS 26以降。カスタムアプリでは、App Store設定は「なし」と同じように動作します。 モバイルデータ通信でのダウンロード：自動インストールと更新のためのApp Store設定、常にまたはなし。iOSまたはiPadOS 26以降の監視対象のiPhoneおよびiPadのみ。 アプリデータをバックアップ：アプリデータをデバイスのバックアップに含めるかどうか。Macでは利用できません。 ユーザーがアプリを非表示にできるとユーザーがアプリをロックできる：iOSおよびiPadOS 18.1以降、監視対象デバイスで適用されます。ロックを許可しない場合は、非表示もできなくなります。アプリの非表示を許可とアプリのロックを許可の制限は、すべてのアプリに適用されます。 お客様のPINが必要なTap to Pay取引後にデバイスをロック：iPhoneのみ。 関連ドメイン：アプリが関連付けられているドメイン（ユニバーサルリンクやパスワードの自動入力など）で、最大50個です。applinks:、ワイルドカード、?mode=を付けずに、www.example.comのようなプレーンなホスト名を入力してください。Macでは利用できません。 ドメインを直接検証：デバイスは、Appleのサーバーを介さずに、ドメインのサイトアソシエーションファイルを直接確認します。インターネットから到達できない内部ドメインにのみ有効にしてください。 削除：必須としてインストールされたアプリは、ユーザーが削除できません。 Mac App Storeのアプリ アプリ選択リストには、各アプリのプラットフォーム（iPhone/iPad、Mac、Apple TV、Vision）が表示されます。Mac専用のアプリはMacアイコンが表示されます。Mac専用のアプリは、追加するとMacに適用されます。Mac版のないApp StoreアプリはMacに送信されません。ポリシーでは適用先の下に"このアプリにはMac版がないため、Macには送信されません"と表示されます。MacはApp Store IDでApp Storeアプリを取得するため、MacでバンドルIDが異なるアプリも正しくインストールされます。 Cerberus Enterpriseアプリ Cerberus は Cerberus Enterprise アプリを iOS または iPadOS 18.4 以降 のすべての iPhone と iPad に、ポリシーの有無にかかわらずインストールします。このアプリはデバイスの位置情報を共有し、通知とライブ トラッキング要求を受信します。必須 としてインストールされ、Apps and Books のデバイス ライセンス (個人デバイスではユーザー ライセンス) が使用されるため、ユーザーは削除できません。 初回セットアップ：無料アプリをライブラリに1回追加します。Apple BusinessでApps & Services → Apps & Books → App Storeを開き、「Cerberus Enterprise」を検索してViewをクリックし、Addを選択してAll current and futureをOrganizational Unitsで選び、AddをクリックしてからReviewをクリックして確認します。アプリにManageが表示される場合は、すでにライブラリにあります。アプリを開き、組織単位がAll current and future unitsであることを確認してください。それまでは、ダッシュボードにバナーが表示され、デバイスではアプリが未インストールとして表示されます。アカウント設定を参照してください。 ポリシーには追加できません：このアプリはポリシーに追加できません。アプリ選択リストでは無効になり、カスタムアプリ（同じバンドルID）としても拒否されます。すでにこのアプリを一覧に含むポリシーは、開いたときにエントリが削除されます。保存してポリシーを確定してください。 インストールされないデバイス: iOS または iPadOS が 18.4 より古いデバイス。Shared iPad へのインストールはサポートされていますが、アプリの機能はそこで検証されていません。 個人デバイス: User Enrollment で登録された iPhone と iPad にも、インストール プロンプトと Managed Apple Account のユーザー ライセンスを使用してアプリがインストールされます。組織からのメッセージを受信し、ポリシーで 個人デバイスの位置情報とジオフェンス が有効になっており、ユーザーが許可しない限り位置情報にはアクセスしません。 インストールされたまま保持：Apps and Booksトークンが期限切れになるか、アプリがライブラリから削除されると、アプリはデバイスに残り、デバイスページにはApps and Booksに対応が必要であると表示されます。24時間後にまだライブラリにアプリがない場合にのみ削除されます。 カスタムアプリ カスタムアプリは、App Storeを介さずに配布する独自のiPhoneおよびiPadアプリ（.ipaファイル）です。Xcodeで、Enterprise配布用（Apple Developer Enterprise Program：すべてのデバイスにインストールされます）またはAd Hoc配布用（プロビジョニングプロファイルに登録されたデバイスにのみインストールされます）にアプリを書き出します。App Storeビルドはアップロードできません。 カスタムアプリを追加をクリックして、組織のカスタムアプリを開きます。アプリをアップロードで.ipaファイル（最大2 GB）を追加します。アプリを選択してポリシーに追加をクリックします。一覧には、バージョン、署名の種類、Ad Hocアプリのプロファイル内のデバイス数、プロビジョニングプロファイルの有効期限が表示されます。 新しいバージョン：同じバンドルIDのアプリをアップロードします。以前のバージョンが置き換えられ、そのアプリを使用するポリシーのデバイスがアプリを更新します。 要件：iOS 17.2以降のiPhoneおよびiPad。アプリをインストールできないデバイスには配信されません。iPhone上のiPad専用アプリ、アプリが必要とするバージョンより古いiOS、Ad Hocアプリのプロファイルにないデバイス、有効期限が切れたプロビジョニングプロファイルなどが該当します。 有効期限：プロビジョニングプロファイルの有効期限が切れると、アプリは開かなくなります。有効期限日より前に、新しいプロファイルで署名したバージョンをアップロードしてください。 予約済みのバンドルID：Cerberus EnterpriseアプリのバンドルID（com.lsdroid.Cerberus.Enterprise）を持つカスタムアプリは、Cerberusがそのアプリ自体をインストールするため、ポリシーに追加できません。 削除: まずアプリをポリシーから削除してください。その後、デバイスからアプリが削除されます。 Mac パッケージ カスタムアプリでは、Macインストーラパッケージ(.pkg ファイル)も受け付けます。パッケージは productbuild でビルドした配布用パッケージ(pkgbuild のみで作成したコンポーネントパッケージは拒否されます)であり、Developer ID Installer 証明書で署名されている必要があります。notarytool と stapler による公証とチケットのステープルを推奨します。署名されていないパッケージ、署名後に変更されたパッケージ、他の証明書で署名されたパッケージは拒否されます。 .pkg ファイルをアプリをアップロードでアップロードし、ポリシーに追加します。ポリシーのMacパッケージの下に表示されます。iPhone と iPad では無視されます。 macOS 26 以降のMac(監視対象。手動で登録したMacを含みますが、ユーザー登録は含みません)は、パッケージを宣言として受け取ります。Macが自らダウンロード、インストール、再試行、更新を行い、状態を報告します。古いMac、および管理対象アプリとしてインストールされたパッケージは、どの macOS バージョンでもMDM コマンドで受け取ります。macOS 26 にアップグレードされたMacは自動的に宣言へ移行します。各パッケージを一度は再インストールする場合があります。同じパッケージを含む別のポリシーへMacが移動した場合も同様です。 新しいバージョン: 同じパッケージ ID を持つパッケージをアップロードします。以前のバージョンが置き換えられ、そのパッケージを使用するポリシーのMacに新しいバージョンがインストールされます。 スキップされたMac: パッケージが許可するより古い macOS のMac、および Apple silicon 専用にビルドされたパッケージに対する Intel Mac です。デバイスページではパッケージが「スキップ」と理由付きで表示されます。以前にインストールされたバージョンはMacに残ります。 インストール: 必須(既定)はMacにパッケージをインストールします。任意はパッケージをインストールせずにMacで利用可能にします。macOS 26 では、任意のパッケージは「システム設定」や App Store でユーザーに表示されません(macOS 26.3 で確認済み)。そのため、Mac上のアプリまたはスクリプトでインストールする必要があります。任意を選ぶのは、そのような手段がある場合だけにしてください。これは macOS 26 以降のMacに適用されます。古いMacは常にパッケージをインストールします。この選択肢は、管理対象アプリとしてインストールされたパッケージには使用できません。 パッケージがポリシーから外れたときにパッケージのファイルを削除(macOS 27 以降): パッケージがポリシーから削除されると、macOS 27 以降のMacはインストールされたファイルを削除します。既定ではオフです。古いMacではファイルは残ります。管理対象アプリとしてインストールされたパッケージには使用できません。 管理対象アプリとしてインストール: ポリシーのパッケージでこれをオンにすると、そのアプリが管理対象アプリとしてインストールされます(macOS 11 以降、ユーザー登録では不可)。macOS はインストールの失敗を報告し、MDM がアプリを削除できるようになります。アプリは「アプリケーション」フォルダに直接インストールされ、Developer ID Application 証明書で署名され、公証されている必要があります。macOS 11 から 13 では、パッケージにはそのアプリのみを含める必要があります(他のファイルやスクリプトは不可)。カスタムアプリでは、対象となるパッケージがわかります。Macでこのオプションを適用できない場合、パッケージは通常どおりインストールされ、デバイスページに理由が表示されます。 管理対象アプリの削除オプション: パッケージがポリシーから削除されたときにアプリを削除(既定でオン)と、Macが管理から外れたときにアプリを削除です。アプリを削除するとそのデータも削除されます。ユーザーが同じアプリをすでにインストールしていた場合、そのコピーが管理対象になり、これも削除されます。 削除: MDM コマンドではパッケージをアンインストールできません。管理対象アプリとしてインストールされたパッケージの場合、ポリシーから削除するとアプリが削除されます(オプションがオンの場合)。その他のファイルとパッケージのレシートは残ります。パッケージのファイルを削除がオンのパッケージは、macOS 27 以降のMacから削除されます。その他のパッケージ: ポリシーから削除しても新しいインストールが止まるだけで、ファイルはMacに残ります。スキップされたMac(たとえば、より新しい macOS を必要とする新しいバージョンの後)は、パッケージがポリシーにある間はアプリを保持します。その後ポリシーからパッケージを削除すると、アプリも削除されます。Mac上の残ったファイルを(たとえばパッケージ独自のアンインストーラで)削除し、パッケージのレシートを忘れるには sudo pkgutil --forget を実行します。 デバイス上の状態: Macの「アプリケーション」パネルには、ポリシーの各パッケージが、待機中、承認済み(Macがコマンドを承認)、ダウンロード済み、インストール済み(アプリを含むパッケージのみ、Mac上でアプリが見つかった場合)、または失敗(エラー付き)として表示されます。macOS はコマンドで送信したパッケージのインストールを報告しないため、アプリを含まないパッケージではダウンロード済みが最後の状態です。管理対象アプリとしてインストールされたパッケージは、macOS がアプリをインストールできなかった、またはMacから削除されたと報告した場合にも失敗になります。再インストールを実行すると、パッケージがMacに再度送信されます。 宣言ありの状態: 宣言として配信されるパッケージには、宣言チップと、Macが報告する状態が表示されます: 待機中、利用可能(ユーザーがインストールしていない任意のパッケージ)、ユーザーの操作待ち、ダウンロード中、インストール中、インストール済み、または失敗(理由付き。たとえばダウンロードやインストールの失敗、Macが宣言を拒否した場合など)。ポリシーとともに削除されたファイルチップは、ポリシーから外れたときに macOS 27 のMacがファイルを削除するパッケージを示します。再インストールは失敗後にのみ表示され、Macに再試行を求めます。Macが宣言を拒否した場合は表示されません。 アカウント アカウントパネルでは、管理対象デバイスに適用するアカウントを設定できます。アカウントの変更に関する制限の切り替えも含まれます。 制限 アカウントの変更を許可: 無効にすると、ユーザーは Apple Account やインターネットアカウントなどのアカウントを変更できません。 アカウントを追加 Google アカウントを追加またはメールアカウントを追加を使用して、アカウントのペイロードをポリシーに追加します。各アカウントは、設定フィールドを持つカードとして表示されます。 ユーザーからのアカウント認証情報 Google とメールのアカウントカードには、どちらもユーザーからのアカウント認証情報の切り替えがあります。有効にすると、システムはユーザーごとにアカウント認証情報を適用します。無効にすると、ポリシーでアカウントの ID を入力します。 Google アカウントのフィールド 表示名: アカウントについてユーザーに表示される名前。 Google メールアドレス: ユーザーのメールアドレス。 氏名: ユーザーの氏名。 メールアカウントのフィールド メールアカウントには、ID フィールドと受信/送信サーバーの設定が含まれます。ホスト名は必須です。 表示名: メールアカウントについてユーザーに表示される名前。 メールアドレス: ユーザーのメールアドレス。 氏名: ユーザーの氏名。 受信サーバー サーバータイプ: メールプロトコル(たとえば IMAP または POP)。 認証方法: サーバーの認証方法。 IMAP パスプレフィックス: サーバータイプが IMAP の場合にのみ表示されます。 ホスト名: 必須。 ポート: サーバーポート(1～65535)。 送信サーバー 認証方法 ホスト名: 必須。 ポート: サーバーポート(1～65535)。 S/MIME オプション メールアカウントでは、S/MIME の暗号化と署名の動作も設定できます。 暗号化 S/MIME 暗号化 ID をユーザーが上書き可能 メッセージごとの切り替えを有効化 ユーザーが上書き可能 署名 S/MIME 署名 ID をユーザーが上書き可能 ユーザーが上書き可能 アカウントと制限のオプションには、ダッシュボードに前提条件と対応 OS バージョンを説明するツールチップがあります。 キオスクとホーム画面 Apple ポリシーエディタのキオスクとホーム画面セクションでは、デバイスを 1 つのアプリに固定し、開けるアプリを選択し、ホーム画面を整理し、Web サイトのアイコンを追加します。各設定は構成プロファイルとしてデバイスにインストールされます。 Apple は、これらの設定のほとんどを監視対象の iPhone と iPad（Automated Device Enrollment で登録された、または Apple Configurator で準備されたデバイス）にのみ適用します。それ以外のデバイスには適用されません。Web クリップは監視対象外の iPhone と iPad でも機能します。Mac にはこれらの設定は適用されません。 アプリの選択 アプリはバンドル ID で識別されます。アプリ名を入力すると、Apple の組み込みアプリとポリシーのアプリから選択できます。任意のバンドル ID(たとえば com.example.app)を入力することもできます。 シングルアプリモード デバイスは選択したアプリのみを実行します。ユーザーはホーム画面に戻ったり、他のアプリを開いたりできません。先にポリシーでアプリをインストールしてください。設定をオフにするかアプリを削除すると、デバイスはシングルアプリモードを終了します。 オプション: タッチスクリーン、回転、音量ボタン、着信音/サイレントスイッチ、サイドボタン、または自動ロックを無効にし、VoiceOver やズームなどのアクセシビリティ機能をオンにします。 ユーザーがオンにできるアクセシビリティ機能: サイドボタンを 3 回押すことでユーザーがオンにできる機能。 許可およびブロックするアプリ ブロックするアプリ: デバイスはこれらのアプリを非表示にし、開きません。 com.apple.webapp はすべての Web クリップをブロックします。設定と、iPhone の場合は電話はブロックできません。 一部のアプリのみを許可: デバイスはこれらのアプリのみを表示します。すべてのアプリを許可するには、リストを空のままにします。ポリシーのアプリはポリシーでインストールされたアプリを追加します。 com.apple.webapp はすべての Web クリップを許可します。 シングルアプリモードを開始できるアプリ: 必要に応じて(たとえば試験中に)デバイスを自身にロックできるアプリ。 一部のアプリのみを許可 を使用すると、リストにないすべてのアプリ (ポリシーのアプリを含む) がデバイスから消えます。設定と、iPhone の場合は電話は常に残ります。 ホーム画面のレイアウト ホーム画面の Dock とページを整理します。アプリ、アプリのフォルダ、ポリシーの Web クリップを追加し、追加先で配置を選びます。アイコンをドラッグして、Dock とページの間で移動できます。フォルダをクリックすると、名前とアプリを変更できます。 ユーザーはアイコンを移動したり、ホーム画面からアプリを削除したりできません。レイアウトにないアプリは、定義したページの後のページに移動します。iPhone では Dock に 4 つのアイコンが表示されます。ユーザーは、設定のストレージ画面で必須でないアプリを引き続き削除できます。これを防ぐには、アプリ管理で アプリの削除を許可 をオフにします。 Web クリップ Web クリップは、Web サイトを開くホーム画面のアイコンです。ラベルと URL、および必要に応じて画像(PNG または JPEG、正方形に切り抜き)を設定します。 ユーザーによる削除を許可: デバイスにアイコンを残すにはオフにします。 全画面: Web サイトが Web アプリとして開き、Safari のアドレスバーは表示されません。他の Web サイトでも全画面を維持をオンにすると、他の Web サイトへのリンクも Web アプリで開きます。 このアプリで開く: Safari の代わりに URL を開くアプリ。 通知設定 一部のアプリの通知をデバイスで表示する方法を選択します。通知を許可するかどうか、表示場所(ロック画面、通知センター、CarPlay)、バッジ、サウンド、緊急アラート、バナースタイル、グループ化、プレビューなどです。ユーザーはこれらの設定を変更できません。 ロック画面メッセージ ロック画面の下部に表示されるメッセージ(たとえばデバイスが見つかった場合の連絡先)と資産タグです。どちらにも変数 $EMAIL$、$USERNAME$、$FULLNAME$、$SERIAL$、$UDID$ を含めることができます。デバイスに対応する値がない変数は空のままになります。 パスコード パスコード設定セクションでは、デバイスのパスコード要件と関連するセキュリティルール（最小長や複雑さなど）を制御します。Mac（macOS 13 以降、User Enrollment を除く）では、ルールはユーザーのログインパスワードに適用されます。 オプション Apple ポリシーエディタでは、パスコードのオプションは切り替えと数値フィールドを組み合わせて構成します。多くのフィールドには、対応する OS バージョンと監視要件を示すツールチップがあります。 パスコードの切り替え 次回認証時に変更: 次回ユーザーが認証するときにパスコードのリセットを強制します。 英数字のパスコードを要求: 少なくとも 1 つの英字と 1 つの数字を要求します。 複雑なパスコードを要求: 「複雑な」パスコード (繰り返しや連続したパターンがなく、少なくとも 1 つの英数字以外の文字を含む) を要求します。 パスコードを要求: 追加の長さ/品質要件なしでパスコードを要求します。注: 他のパスコード キーを設定すると、暗黙的にパスコードが要求されます。 数値フィールド 失敗試行のリセット (分): 失敗試行カウンターがリセットされるまでの分 (最大失敗試行回数が必要)。 最大失敗回数：iPhone または iPad が消去されるまで、または Mac がロックされるまでに許可される失敗回数（範囲：2～11）。 最大猶予期間 (分): パスコードを要求せずにデバイスのロックを解除できる時間 (0 = なし)。 最大非アクティブ時間 (分): デバイスがロックされるまでのアイドル時間 (範囲: 0～15)。 パスコードの最大有効期間 (日): 強制変更までのパスコードの最大有効期間 (範囲: 0～730)。 最小複雑文字数: 「複雑な」文字の最小数 (範囲: 0～4)。 最小長: パスコードの最小長 (範囲: 0～16)。 パスコード再利用制限: 古いパスコードの再利用を防ぐパスコード履歴の長さ (範囲: 1～50)。 制限 制限セクションでは、管理対象の Apple デバイスで許可する OS 機能を制御します。Apple ポリシーエディタでは、これらのオプションは複数の切り替えを持つグループ化されたパネルとして表示されます。 アプリ管理パネルとネットワークパネルのトグルは、Apple ポリシーのアプリとプロファイルページとネットワークページで説明されています。 多くの制限は特定の OS バージョンでのみサポートされ、監視対象デバイスが必要な場合があります。正式な要件は、ダッシュボードのツールチップを参照してください。 ユーザー登録デバイス(仕事用アカウントでサインインして登録した個人デバイス)では、Apple が許可していない制限は送信されません。ポリシーの制限が 1 つも適用されない場合、これらのデバイスには制限プロファイルが送信されません。ポリシーエディタには、ユーザー登録デバイスに適用されない制限の数が表示されます。 セキュリティ 自動ロック解除を許可 ロック解除に指紋を許可 指紋の変更を許可 コンテンツと設定の消去を許可 制限の有効化を許可 ユーザーによるプロファイルのインストールを許可 ホストとのペアリングを許可 診断の送信を許可 診断送信の変更を許可 Apple のパーソナライズ広告を許可 リモート管理の変更を許可 マルチメディア カメラを許可 ファイル共有の変更を許可 ファイルのUSBドライブアクセスを許可 通話の録音を許可 AirPrintを許可 AirPrintの認証情報の保存を許可 AirPrintのiBeacon検出を許可 モバイル通信 アプリのモバイルデータ通信の変更を許可 モバイル通信プランの変更を許可 eSIMの変更を許可 eSIMの送信転送を許可 デバイスを消去しても eSIM を保持 ローミング中のバックグラウンド フェッチを許可 携帯回線の APN 携帯回線の APNは、通信事業者が指定したアクセスポイント名(APN)を設定します(たとえばプライベートまたはビジネス用のモバイルネットワーク)。アクセスポイント名と、通信事業者が求める場合は認証(PAP または CHAP)、ユーザー名($EMAIL$ などの変数を使用可)、パスワード、IP バージョン(ローミング時も含む)、プロキシサーバーとそのポート、XLAT464 を設定します。APN を接続は、通信事業者がネットワークへの接続用に別の APN を提供している場合にのみオンにします。 iPhone とセルラー対応 iPad にのみ適用され、監視対象でなくても適用されます。ユーザー登録で登録されたデバイス(個人デバイス)には適用されません。 携帯データ通信に使用する SIM にのみ適用されます。別の方法で APN プロファイルがすでにインストールされているデバイスには、インストールされません。 パスワードは他のネットワークパスワードと同様に保護されます。プロファイルは作成対象のデバイスにのみ送信され、パスワードはログに記録されません。 APN が誤っていると、デバイスで携帯データ通信が使えなくなります。先に通信事業者の SIM を入れたテスト用デバイスで設定を試してください。 システムとユーザー インターフェイス Handoff を許可 自動修正を許可 自動調光を許可 自動スクリーン セーバーを許可 QuickPath キーボードを許可 定義の検索を許可 デバイス名の変更を許可 デバイスのスリープを許可 iPhone ミラーリングを許可 Mac で iPhone ウィジェットを許可 キーボード ショートカットを許可 Apple のアプリとサービス iMessage を許可 Game Center を許可 Game Center の友だち追加を許可 Find My デバイスを許可 Find My の友だちを許可 Find My の友だちの変更を許可 Book Store を許可 Book Store のアダルト コンテンツを許可 エンタープライズ ブックのバックアップを許可 エンタープライズ ブックのメタデータ同期を許可 iTunes Store を許可 成人向けコンテンツを許可 Siri と Apple Intelligence Siri を許可 Siri のユーザー生成コンテンツを許可 ロック中も Siri を許可 ディクテーションを許可 外部インテリジェンス統合を許可 外部インテリジェンスへのサインインを許可 Genmoji を許可 Image Playground を許可 Image Wand を許可 iCloud iCloud アドレスブックを許可 iCloud バックアップを許可 iCloud ブックマークを許可 iCloud カレンダーを許可 iCloud デスクトップと書類を許可 iCloud 書類の同期を許可 iCloud Freeform を許可 iCloud キーチェーンの同期を許可 iCloud メールを許可 iCloudメモを許可 iCloud写真ライブラリを許可 iCloudプライベートリレーを許可 iCloudリマインダーを許可 アカウント（制限） アカウントパネルには、制限と（任意の）アカウント設定の両方が含まれます。制限のトグルは、ユーザーがシステムアカウントを変更できるかどうかを制御します。 アカウントの変更を許可 ネットワーク Apple ポリシーエディタのネットワークセクションでは、デバイスの Wi-Fi ネットワークと VPN を構成し、証明書をインストールし、AirDrop や Bluetooth などの接続機能を制限します。各 Wi-Fi ネットワーク、VPN、証明書はそれぞれ独自の構成プロファイルとしてインストールされ、デバイスの設定 > 一般 > VPN とデバイス管理（Mac：システム設定 > 一般 > デバイス管理、または macOS 13 および 14 ではプライバシーとセキュリティ > プロファイル）と、デバイスページのプロファイル、証明書、セキュリティパネルで確認できます。 証明書は証明書ページから取得します。先にそこでインポートしてください。ポリシーは証明書を参照するだけなので、証明書がポリシーにコピーされることはありません。 制限 AirDropを許可 AirPlayの受信リクエストを許可 Bluetoothの変更を許可 Bluetooth共有の変更を許可 ファイルのネットワークドライブアクセスを許可 インターネット共有の変更を許可 コンテンツ キャッシュを許可 iTunes ファイル共有を許可 Wi-Fi ネットワーク Wi-Fi ネットワークを追加をクリックし、次を入力します: ネットワーク名 (SSID): ネットワークの名前で、最大 32 文字です。 セキュリティ: なし(オープンネットワーク)、WEP、WPA または WPA2、WPA2 または WPA3、WPA3 のみ、または任意。 パスワード: パーソナルネットワークのパスワード。 自動的に接続と非表示ネットワーク(名前をブロードキャストしないネットワーク用)。 プロキシ: なし、手動(サーバーとポート)、または自動(PAC ファイルの URL。空にすると WPAD でネットワーク上の設定を検索します)。 プロファイル名(任意)と適用先で、ネットワークを一部のデバイスの種類に限定します。 エンタープライズネットワーク (802.1X) ユーザーが共有パスワードではなく、自身の認証情報または証明書で認証する場合は、エンタープライズ (802.1X)をオンにします。 認証: PEAP、TTLS(内部認証あり。たとえば MSCHAPv2)、または TLS(証明書のみ)。 デバイスユーザーの認証情報: 各デバイスは、ユーザーページで設定されたそのユーザーの EAP ID、匿名 ID、パスワードを使用します。ユーザーのないデバイスには、このネットワークは適用されません。 ID、匿名 ID、パスワード: すべてのデバイスで共通です。ID には変数 $EMAIL$、$USERNAME$、$FULLNAME$、$SERIAL$、$UDID$ を含めることができます。パスワードを空にすると、ユーザーがデバイスで入力します。 ID 証明書: デバイスが提示するクライアント証明書です(TLS では必須)。以下の証明書オプションを参照してください。 信頼された証明書: RADIUS サーバーの証明書を発行した CA 証明書です。ネットワークとともにインストールされます。 信頼されたサーバー名: デバイスが受け入れる RADIUS サーバー証明書の名前です(たとえば radius.example.com や *.example.com)。 VPN VPN を追加をクリックして、iOS、iPadOS、macOS に組み込まれている IKEv2 または Cisco IPSec VPN を構成します(VPN アプリは不要です)。 種類とサーバー。IKEv2 の場合はさらにリモート ID(サーバーの ID。空の場合はサーバーアドレス)とローカル IDも指定します。ローカル ID には変数 $EMAIL$、$USERNAME$、$FULLNAME$、$SERIAL$、$UDID$ を含めることができます。 デバイスの認証: 証明書(証明書ページのもの、デバイスユーザーの証明書、または SCEP サーバーから要求したもの)、共有シークレット(IPSec の場合は任意のグループ名付き)、またはユーザー名とパスワードのみを確認する IKEv2 サーバーの場合はなし。 信頼された証明書: VPN サーバーの CA 証明書で、VPN とともにインストールされます。IKEv2 では、期待されるサーバー証明書の発行者と名前も設定できます。 ユーザー名とパスワード: ユーザーはユーザー名(変数使用可)とパスワード(IKEv2 では EAP、IPSec では XAuth)でも認証します。パスワードを空にすると、ユーザーがデバイスで入力します。 VPN 名(設定に表示されます)と適用先。 接続 ユーザーが設定で接続: VPN がインストールされ、ユーザーが必要に応じてオンにします。 オンデマンド: デバイスが自動的に VPN に接続します。信頼された Wi-Fi を除くを指定すると、リストした Wi-Fi ネットワーク(たとえばオフィスのネットワーク)では VPN が使用されません。 常時接続(IKEv2、監視対象の iPhone と iPad のみ): 携帯回線と Wi-Fi のすべてのトラフィックが VPN を経由し、ユーザーはオフにできません。他のデバイスにはこの VPN は適用されません。VPN でユーザー名を使用する場合、パスワードをポリシーで設定する必要があります。 アプリごとの VPN: 一部のアプリのみが VPN を使用します。アプリ管理セクションでアプリごとに VPN を選択し(アプリのVPNフィールド、Mac では使用できません)、必要に応じて VPN を使用する Safari ドメインをリストします。 常時接続またはオンデマンド VPN は、先にテスト用デバイスでテストしてください。サーバーに到達できない場合、デバイスが接続できなくなる可能性があります。 グローバルプロキシ、暗号化 DNS、Web コンテンツフィルタ これらの設定はデバイスのすべてのトラフィックに適用されます。各切り替えでオンにします。 グローバル HTTP プロキシ(監視対象の iPhone と iPad、Mac): すべての HTTP トラフィックが、すべてのネットワークでプロキシを経由します。サーバーとポート(任意のユーザー名とパスワード付き)、または自動構成(PAC ファイルの URL。空にするとネットワーク上で検索)を設定します。Wi-Fi ログインページを許可をオンにすると、ユーザーはプロキシを使わずに公共 Wi-Fi ネットワークにサインインできます。 暗号化 DNS: デバイスは DNS over HTTPS(サーバー URL)または DNS over TLS(サーバー名)で、お使いの DNS サーバーを使用して名前を解決します。必要に応じて一部のドメインのみに限定できます。監視対象デバイスでは、ユーザーがオフにできないようにできます。 Web コンテンツフィルタ(監視対象の iPhone と iPad): iOS に組み込まれたフィルタで、常に許可または常にブロックする Web サイトのリストを使用してアダルトサイトを制限するか、Web サイトのリストのみを許可します。許可したサイトは Safari にブックマークとして表示されます。 プロキシまたは DNS サーバーが誤っていると、デバイスが接続できなくなる可能性があります。先にテスト用デバイスで設定を試してください。 証明書 証明書を追加をクリックして証明書を単独でインストールします。Safari とアプリが信頼する必要がある認証局、またはアプリが使用する ID です。Wi-Fi ネットワークや VPN の証明書は、ここで追加する必要はありません。 証明書のオプション 証明書ページの証明書: すべてのデバイスで同じ証明書です。証明書を選択をクリックして選択します。 デバイスユーザーの証明書: 各デバイスは、そのユーザーにリンクされたクライアント証明書を受け取ります。ユーザーに証明書がないデバイスには適用されません。ユーザーに別の証明書をリンクすると、デバイスが更新されます。 SCEP サーバーから要求: 各デバイスが SCEP サーバー(たとえば Microsoft NDES)から独自の証明書を要求するため、秘密鍵がデバイスから出ることはありません。サーバー URL、サーバーが必要とする場合はチャレンジ、サブジェクト(たとえば CN=$EMAIL$)、代替名、キーサイズ、キー用途を設定します。 古い RC2 暗号化で保護されたクライアント証明書(.p12)は、Apple デバイスにインストールできません。インポートする前に、3DES または AES 暗号化で再度書き出してください。 セキュリティ パスワードや秘密鍵を含むプロファイルは、作成対象のデバイスにのみ送信されます。デバイスは管理証明書で要求に署名する必要があります。パスワードと証明書はログに記録されません。 ソフトウェアアップデート Apple Policy Editorのソフトウェアアップデートセクションは、デバイスを最新の状態に保ちます。期限までに特定のOSバージョンを要求し、デバイスがアップデートをダウンロードしてインストールする方法を制御できます。 必須のOSアップデート 必須アップデートを追加をクリックして、OSバージョンを要求します。デバイスはアップデートをダウンロードし、ユーザーに期限を通知し、ユーザーがそれまでに実行していない場合は期限にインストールします。そのバージョン以降をすでに実行しているデバイスは無視します。iOSおよびiPadOS 17またはmacOS 14が必要です。 適用先（必須）：iPhoneとiPad、またはMac。各OSには独自のバージョン番号があるため、それぞれに1つの必須アップデートを追加してください。 OSバージョン：インストールするバージョン（例：18.5、15.4.1）。 ビルド（任意）：特定のビルド（例：ベータ、バックグラウンドセキュリティ改善）。 インストール期限：各デバイスの現地時間での期限です。過去の日付を指定すると、デバイスはできるだけ早くアップデートをインストールします。 詳細URL（任意）：ユーザーに表示される、アップデートに関するWebページ。 デバイスは、アップデートの進行状況（ダウンロード、インストール、失敗）をデバイスページのデバイスステータスパネルで報告します。 ソフトウェアアップデート設定 iPhoneおよびiPadのソフトウェアアップデート設定またはMacのソフトウェアアップデート設定をオンにすると、それらのデバイスのアップデートを制御できます。トグルがオフの場合、デバイスは独自の設定を維持します。iOSおよびiPadOS 18またはmacOS 15が必要です。古いデバイスはこれらの設定を無視します。 アップデートを延期：新しいアップデートは、指定した日数（1〜90）が経過した後にのみユーザーに表示されます。Macでは、メジャーアップデート、マイナーアップデート、その他のシステムアップデートに異なる期間を設定できます。 ユーザーに表示するアップデート（iPhoneおよびiPad）：複数のアップデートが利用可能な場合、すべてを表示するか、最も古いマイナーアップデートのみ、または最新のもののみを表示します。 標準ユーザーがアップデートをインストールできる（Mac）：管理者権限のないユーザーがmacOSアップデートをインストールできます。 必須アップデートについてユーザーに通知：必須アップデートとその期限に関する通知を表示します。 自動ダウンロード、自動インストール、自動セキュリティアップデート：ユーザーに決定させる（Appleのデフォルト）、または常にオンまたは常にオフにします。 バックグラウンドセキュリティ改善：Appleの迅速なセキュリティ修正をユーザーに提供し、ユーザーがそれらを削除できるかどうかを選択します。 ベータプログラム：ユーザーがAppleのベータプログラムに参加できるようにするか、デバイスをプログラムから削除してブロックします（iPhoneおよびiPadでは、監視対象デバイスのみ）。 デバイスページからアップデートをインストールする デバイスのデバイスステータスパネルには、利用可能なアップデートが一覧表示されます。アップデートを確認を使用してデバイスに一覧を要求し、インストールを使用して今すぐインストールするか、ダウンロードしてユーザーにインストールさせます。これは監視対象のiPhoneとiPad、およびMacで機能します。AppleはiOS、iPadOS、macOS 27でこれらのコマンドを削除します。これらのバージョンではポリシーの必須アップデートを使用してください。 macOS Apple ポリシーエディタのmacOSセクションでは、Macのセキュリティ、プライバシー、ログイン設定を管理します。FileVault、ファイアウォール、Gatekeeper、スクリーンセーバーとロック、外部ストレージとネットワークストレージ、画面共有、プライバシー権限、ログイン項目、および読み込みを許可するシステム拡張機能とカーネル拡張機能です。システムサービスの構成ファイルとバックグラウンドタスクもインストールします。ポリシーの他のデバイスにはこれらの設定は適用されません。設定を管理するにはオンにします。オフの間は、ユーザー自身の選択が維持されます。 ほとんどの設定は構成プロファイルとしてMacにインストールされ、「システム設定 > 一般 > デバイス管理」に表示されます。FileVault、プライバシー権限、ログイン項目、拡張機能の設定には、ユーザー承認済み MDM が必要です。登録 URL または QR コードで登録されたMacでは、ユーザーが「システム設定」で登録プロファイルを承認します。デバイスページのユーザー承認済み MDMフィールドに表示されます。ユーザーが後で承認すると、Macはこれらの設定を自動的に受け取ります。 FileVault FileVault はMacのディスクを暗号化します。この設定をオンにすると、ユーザーはパスワードで FileVault をオンにするよう求められ、Macは個人用リカバリーキーを、組織だけに属するキーで暗号化して Cerberus Enterprise に送信します。キーはデバイスページのFileVaultフィールドで表示および変更できます(デバイスコマンドを参照)。この設定には macOS 13 以降とユーザー承認済み MDM が必要です。ユーザー承認済み MDM がない場合、Macは FileVault をオンにするよう求められませんが、ユーザーがオンにするとキーは保存されます。 ログイン時に必須: 次回のログイン時、一定回数スキップした後(ユーザーはログインとログアウトのたびに再度求められます)、またはユーザーがログアウトしたときのみ。 ログアウト時に確認しない: ユーザーはログイン時にのみ確認されます。"ログアウト時のみ確認"とは併用できません。 リカバリーキーをユーザーに表示: 既定ではオフのため、管理者だけがデバイスページからキーを確認できます。 FileVault のオフを禁止: 既定でオン。 スタンバイ時にキーをメモリから削除: Macがスタンバイから復帰したときに、ユーザーは再度パスワードを入力します。 キーの保管場所: ログインウィンドウでユーザーに表示されるテキスト(たとえばMacを復元するための連絡先)。既定値は"Cerberus Enterprise"です。 設定を受け取った時点ですでに暗号化されていたMacは、現在のキーを保持し、Cerberus Enterprise はそのキーを受け取りません。キーは、ユーザーが FileVault をオフにして再度オンにした後にのみ保存されます("FileVault のオフを禁止"がオフの場合)。設定をオフにした場合やMacを管理から削除した場合でも FileVault はオフにならず、保存されたキーは引き続き機能します。サーバーがリカバリーキーを保存するように構成されていない場合、この設定は保存できません。 ファイアウォール ファイアウォールをオン: オフの場合、ファイアウォールはオフのままで、ユーザーはオンにできません。 すべての着信接続をブロック: 基本的なネットワークサービス(DHCP、Bonjour、IPSec)のみが接続を受け付けられます。 ステルスモード: Macは ping 要求や閉じたポートへの接続に応答しません。 内蔵ソフトウェアを許可とダウンロードした署名済みアプリを許可により、ユーザーに確認せずに接続を受け付けられます(macOS 12.3 以降)。 特定のアプリのルール: バンドル ID でアプリの着信接続を許可またはブロックします。 Gatekeeper Gatekeeper はアプリを開く前に確認します。Macで App Store のアプリのみを開くか、識別された開発者のアプリも開くかを選択します。Gatekeeper がオフの場合、署名されていないアプリや破損したアプリも含め、すべてのアプリを開けます。macOS 15 以降では、ブロックされたマルウェアを Apple に送信するかどうかをユーザーに確認するかも選択できます。 スクリーンセーバーとロック 一定時間操作がない後にスクリーンセーバーを開始し、スクリーンセーバーの開始時またはディスプレイのスリープ時に、すぐにまたは遅延後にパスワードを要求します。管理対象外のままにした設定は、ユーザー自身の選択が維持されます。 外部ストレージとネットワークストレージ Macの外部ストレージ(USB ドライブ、SD カード、外付けディスク)とネットワークストレージ(ファイル共有)を許可、読み取り専用、またはブロックします。macOS 15 以降が必要です。 画面共有 画面共有でこれらのMacに接続するユーザーの制限: Macとの間のファイルコピー、高パフォーマンス接続、仮想ディスプレイの数です。画面共有をオンにするかは、ユーザー自身の選択に委ねられます。macOS 14 以降が必要です。 プライバシー権限 ユーザーが通常「システム設定 > プライバシーとセキュリティ」で許可するアクセスを、アプリに付与または拒否します。たとえば、バックアップアプリにフルディスクアクセスを許可したり、アプリにカメラへのアクセスを拒否したりします。権限ごとに次を選択します: 権限: フルディスクアクセス、アクセシビリティ、オートメーション、フォルダ、連絡先、カレンダー、写真、カメラ、マイク、画面収録、その他の「プライバシーとセキュリティ」の項目。 アクセス: 許可または拒否します。カメラ、マイク、画面収録、入力監視はプロファイルで許可できず、拒否のみ可能です。画面収録と入力監視では、管理者権限なしでもユーザーが許可できるようにできます。 アプリ: アプリのバンドル ID、またはプログラム(たとえばコマンドラインツール)のパス。 コード要件: 署名によってアプリを識別します。ターミナルで codesign -dr - /Applications/Example.app を実行して取得し、 designated => の後のテキストをコピーします。 オートメーションでは、制御対象のアプリ(たとえば Finder)とそのコード要件も必要です。 ログイン項目とバックグラウンド項目 ルールに一致するログイン項目とバックグラウンド項目は管理されます。確認なしで実行され、ユーザーは「システム設定 > 一般 > ログイン項目」でオフにできません。ルールは、アプリの開発者チーム ID、バンドル ID、または launchd デーモンやエージェントのラベル(先頭部分でも可)に一致します。macOS 13 以降が必要です。 システム拡張機能 システム拡張機能は、アプリが macOS を拡張するための最新の方法です。ネットワークフィルタや VPN、エンドポイントセキュリティエージェント、ドライバなどがあります。この設定をオンにすると、リストされた開発者チームのシステム拡張機能が、ユーザーに確認せずに読み込まれます。macOS 10.15 以降とユーザー承認済み MDM が必要です。 チーム ID: 開発者の 10 文字のチーム ID です(たとえばアプリの"Signed by"の詳細、または codesign -dv で確認できます)。各チームは 1 回だけ指定できます。 許可: チームのすべての拡張機能、またはリストされたバンドル ID の拡張機能のみ。 種類: チームをドライバ、ネットワーク拡張機能、エンドポイントセキュリティ拡張機能に制限します。何も選択しない場合、すべての種類が許可されます。 削除(リストされた拡張機能のみ): アプリが管理者なしで拡張機能を削除できる(macOS 12 以降)、システム整合性保護がオンの間は拡張機能をオフまたは削除できない、または「システム設定」と Finder で削除できない(macOS 15 以降)のいずれかです。古い macOS のMacでは、削除オプションなしで拡張機能を引き続き許可します。 ユーザーが他のシステム拡張機能を承認できる: 既定でオン。オフの場合、プロファイルで許可された拡張機能のみが読み込まれます。Mac上のいずれかのプロファイルでオフにすると、オフになります。 macOS 11.3 以降では、この設定を削除すると、許可していたシステム拡張機能(たとえばセキュリティエージェントやネットワークフィルタ)がオフになります。これは、設定をオフにしたとき、ポリシーを削除したとき、およびMacがこの設定のないポリシーに移動したときに発生します。エディタは設定をオフにする前に確認を求めます。 カーネル拡張機能(レガシー) カーネル拡張機能は、macOS を拡張するための古い非推奨の方法です。ベンダーが提供している場合はシステム拡張機能を優先してください。リストされたチームのカーネル拡張機能(チームのすべての拡張機能、またはリストされたバンドル ID のみ)は、再起動後にユーザーに確認せずに読み込まれます。macOS 10.13.2 以降とユーザー承認済み MDM が必要です。 ユーザーが他のカーネル拡張機能を承認できる: 既定でオフのため、リストされたチームのみがカーネル拡張機能を読み込めます。 標準ユーザーも承認可能: ユーザー承認がオンの場合、管理者権限のないユーザーも承認できます(macOS 11 以降)。 Apple silicon のMacでは、プロファイルだけでは不十分です。誰かがMacを recoveryOS で起動し、「起動セキュリティユーティリティ」で「低いセキュリティ」を選択し、識別された開発者のカーネル拡張機能のユーザー管理を許可する必要があります。また、承認のために Cerberus Enterprise に委託された Bootstrap Token が必要な場合があります(デバイスページの Bootstrap Token フィールドを参照)。 Mac ファイル サービス構成ファイルとバックグラウンドタスクは、組織のMac ファイルにアップロードしたファイルを使用します。zip アーカイブとプロパティリスト(.plist)で、最大 20 MB です。macOS セクションのMac ファイルボタン、または設定のファイルを選択から、アップロード、使用箇所の確認、削除ができます。ポリシーで使用中のファイルは削除できません。ファイルを変更するには、新しいバージョンをアップロードしてポリシーで選択します。Macはそれを再度ダウンロードします。 サービス構成ファイル zip アーカイブからシステムサービスの構成ファイルをインストールします。組み込みのサービスは、SSH サーバー(sshd)、sudo、PAM、印刷(CUPS)、Apache Web サーバー、bash、zsh、スマートカードログイン、認証です。 com.example.service のような逆 DNS 識別子を持つ独自のサービスも使用できます。macOS の管理対象構成ファイルライブラリでファイルを検索します。各サービスには 1 つの設定を指定できます。macOS 14 以降が必要です。 組み込みサービスはアーカイブ内のファイルのみを使用し、独自のファイル(たとえば sshd の /etc/ssh)は無視します。構成全体をアーカイブに含め、ディスクのルートから始まるフォルダに配置してください(たとえば etc/ssh/sshd_config)。ファイルはMac上では読み取り専用で、設定とともに削除されます。最初に 1 台のMacでアーカイブをテストしてください。sudo や PAM の構成が誤っていると、ユーザーがサインインできなくなったり、管理者権限を使用できなくなったりします。 バックグラウンドタスク launchd によって開始され、バックグラウンドで実行されるプログラムとスクリプトです。ユーザーはオフにできず、設定とともに削除されます。macOS 15 以降が必要です。タスクごとに次を選択します: タスク識別子: com.example.task のような逆 DNS 識別子で、タスクごとに異なります。 プログラムとスクリプト(任意): Macが /var/db/ManagedConfigurationFiles/BackgroundTaskServices/Services/ の後にタスク識別子を付けた場所に展開する zip アーカイブです。ファイルの実行権限を保持し、プロパティリストを含めないでください。 launchd プロパティリスト: プログラムを開始するジョブで、デーモン(システム全体、root として)またはエージェント(各ユーザーセッション内)として読み込まれます。プログラムは上記のフォルダ内のパスで指定します。 タスクには、プログラムまたは少なくとも 1 つのプロパティリストが必要です。ファイルが変更されると、Macはタスクを再起動します。 位置情報とジオフェンス Apple ポリシーエディタの位置情報とジオフェンスセクションでは、敷地や倉庫などのエリアを定義します。Cerberus Enterprise アプリをインストールした iPhone と iPad は、これらのエリアへの入場または退場を報告し、イベントルールでそれに対応できます。メールを送信する、デバイスをロックまたは無効化する、または再び有効化するなどです。Mac はジオフェンスを使用しません。 ジオフェンスのフィールド ジオフェンスを追加を使用して新しいエントリを作成します。ポリシーには最大10 個のジオフェンスを含めることができ、名前はポリシー内で一意である必要があります。各ジオフェンスには次のフィールドがあります: 名前: 必須で、一意である必要があります。 緯度と経度: エリアの中心です。マップをクリックして設定することもできます。 半径 (m): 必須で、200 から 10000 メートルの範囲です。 説明: 管理者向けの任意のメモ。 入場を報告と退場を報告: 生成するイベントを選択します。少なくとも 1 つはオンのままにする必要があります。 有効: ジオフェンスを削除せずに有効または無効にします。 各ジオフェンスにはマッププレビューがあります。保存済みジオフェンスの中心と半径はロックされています。変更するには、マップのロックボタンを使用します。その他のボタンは、マップをエリアまたは現在地に中央表示します。 ポリシーを保存すると、Cerberus Enterprise はポリシーの iPhone と iPad に新しいジオフェンスを取得するよう要求します。通常は数分かかりますが、iOS が遅延させる場合があります(低電力モードやネットワーク接続がない場合など)。アプリが最新のジオフェンスをまだ適用していない場合、デバイスページに表示されます。 要件 ジオフェンスは、Cerberus Enterprise アプリをインストールした iPhone と iPad で動作します。Macは無視します。デバイス上では次の条件が必要です: Cerberus Enterprise アプリがインストールされており(Cerberus がインストールします)、ユーザーが少なくとも一度起動している; アプリの位置情報アクセスが常にに設定されている; アプリで正確な位置情報がオンになっている; バックグラウンド App 更新がオンになっている。 個人デバイスでの位置情報とジオフェンス(セクションの上部)は、既定ではオフです。オフの間、Cerberus は個人デバイス(ユーザー登録)の位置情報を収集せず、そのジオフェンスイベントは生成されず、デバイスページに「位置情報を検索」やライブ追跡は表示されません。オンにすると、ポリシーの個人デバイスは会社のデバイスと同様に位置情報とジオフェンスイベントを共有します。ただし、ユーザーが Cerberus Enterprise アプリの位置情報を許可している場合に限ります。アプリは iOS が確認する前に、その旨をユーザーに説明します。ユーザーへの通知と、従業員の位置情報に関する地域の規則の遵守は、組織の責任です。個人デバイスではロストモードと MDM の位置情報リクエストは利用できません(Apple が許可していません)。 低電力モードでもジオフェンスは動作し続けますが、iOS はエリアからの退出をより遅く、より不正確な位置情報で報告します。また、ポリシー変更後に新しいジオフェンスを取得するのが数時間遅れる場合があります。アプリが再び実行されるまで(たとえば次に境界を越えたときや、ユーザーが開いたとき)です。 イベントの到達方法 iOS はアプリのためにエリアを監視し、デバイスが境界を越えるとアプリを起動します(アプリが開いていない場合も同様)。イベントは境界通過の数分後に届くことがあり、小さいエリアや短時間の滞在は見逃される場合があります。iOS では、デバイスが境界を一定距離越えて、しばらくそこにとどまる必要があります。 アプリが実行できない場合(たとえば再起動後、デバイスのロック解除前)、サーバーもアプリが送信する位置情報から後で通過を検出します。通過がアプリとサーバーのどちらで検出されても、イベントルールは 1 回だけトリガーされます。 アプリが数時間サーバーに接続していない場合、サーバーは iOS にアプリの起動を要求し、ジオフェンスを再確認させます。iOS はこの要求を保証するものではありません。 デバイスページ デバイスページの位置情報マップパネルのジオフェンスタブに、デバイスの出入りが表示されます。ポリシーに有効なジオフェンスがある場合、ステータス行に、デバイスでジオフェンスが機能しているか、機能しない理由が表示されます。アプリがサーバーに接続していないか更新が必要、位置情報アクセスが常にではない、正確な位置情報またはバックグラウンド App 更新がオフ、アプリが最後に設定を報告したときに低電力モードがオンだった、またはアプリが最新のジオフェンスをまだ適用していない、などです。 ジオフェンスの遷移と位置情報は90日間保持され、それより古いデータは毎晩自動的に削除されます。登録済みの各デバイスの最新の位置は常に保持されるため、マップに表示され続けます。 制限事項 ポリシーをコピーしてもジオフェンスはコピーされません。コピー先で再度追加してください。 iPhone と iPad のジオフェンスイベントはベストエフォートです。iOS がアプリを実行できるタイミングを決定します。 ジオフェンスイベントに対応するには、デバイスがジオフェンスに入ったまたはデバイスがジオフェンスから出たのイベントルールを作成します。詳細はイベントルールをご覧ください。 アカウント Appleポリシーエディターのアカウントセクションでは、メール、Exchange、Google、カレンダー、連絡先、ディレクトリのアカウントをiPhone、iPad、Macに追加します。アカウントを追加をクリックし、種類を選択します。このセクションには、アカウントの変更を許可制限（監視対象デバイス）も含まれます。 Mac（macOS 13以降）では、アカウントは管理に登録されたユーザー（通常はMacを登録したユーザー）のセッションに、そのユーザーがログインしているときにインストールされます。デバイスページでは、これらのユーザーがMacユーザーの下に、アカウントの状態とともに一覧表示されます。デバイスユーザーからメールアドレスを取得するアカウントは、Cerberus EnterpriseでMacに割り当てられたユーザーを使用します。 共通設定 デバイスユーザーの名前とメール（メール、Exchange、Google）：各デバイスは、ユーザーページで設定されたそのユーザーの名前とメールアドレスを使用します（Googleの場合、ユーザーのGoogleアカウント）。ユーザーのいないデバイス、またはユーザーにメールアドレスがないデバイスには、アカウントは配信されません。それ以外の場合は、固定のメールアドレスと氏名を設定します。 アカウント名（任意）：設定およびアプリ内でのアカウントの名前。 ユーザー名とパスワード（任意）：ユーザー名には変数$EMAIL$、$USERNAME$、$FULLNAME$、$SERIAL$、$UDID$を含めることができます。パスワードを空にすると、ユーザーがデバイスで入力できます。両方を空にすると、ユーザーが両方を入力できます。 適用先：アカウントを特定のデバイスの種類に限定します。 アカウントの種類 メールアカウント：IMAPまたはPOPの受信サーバーと送信サーバー、およびそれぞれのポートと認証。送信サーバーは、受信サーバーと同じユーザー名とパスワードを使用できます。 Exchangeアカウント（Exchange ActiveSync）：サーバー。空欄にすると、メールアドレスから検索します。サービス（メール、連絡先、カレンダー、リマインダー、メモ）と、ユーザーがそれらを変更できるかどうかを選択します。最新の認証（OAuth）では、ユーザーはIDプロバイダー（Microsoft 365など）のページでサインインします。認証証明書（iOS 17以降）は、証明書でデバイスを認証します。 Googleアカウント：ユーザーは指定されたメールアドレスでGoogleアカウントにサインインします。 カレンダーアカウント（CalDAV）と連絡先アカウント（CardDAV）：サーバー、ポート、パス。 ディレクトリ（LDAP）：サーバーとポート、および連絡先の検索に使用する検索（検索ベース、スコープ、説明）。 購読カレンダー：カレンダーのURL（https、http、webcal）。 S/MIME メールおよびExchangeアカウントは、S/MIME（iOS 17以降）でメッセージに署名および暗号化できます。それぞれについて、証明書を選択します：証明書ページのいずれか、デバイスユーザーの証明書、またはSCEPサーバーから要求した証明書。ユーザーがオフにできるようにしたり、別の証明書を選択できるようにしたり、暗号化についてメッセージごとに切り替えを表示したりできます。 セキュリティ パスワードと証明書は、デバイスに送信される設定には含まれません。各デバイスは、管理証明書でリクエストに署名して、Cerberus Enterpriseから独自の認証情報をダウンロードします。これらはログには記録されません。 コンプライアンスルール Apple ポリシーエディタのコンプライアンスルールセクションでは、ポリシーのデバイスに対する要件を設定します。ルールに違反したデバイスは直ちに非準拠になります。デバイスページのデバイスが非準拠である理由に理由が表示され、デバイスリストでは非準拠として表示されます。ポリシーの設定をデバイスに適用できない場合も、そのデバイスは非準拠になります。 ルール パスコード: デバイスにパスコードがあり、ポリシーのパスコード設定を満たしていること。 最小 OS バージョン: iPhone と iPad 用、または Mac 用です。デバイスを更新するには、ソフトウェアアップデートで必須のアップデートを追加します。 監視対象デバイス: 登録プロファイルまたはユーザー登録で登録されたデバイスは監視対象ではありません。 FileVault オン(Mac): Macのディスクが FileVault で暗号化されていること。他のデバイスには影響しません。 ルールは、デバイスがステータスを送信したとき、ポリシーが保存されたとき、および 1 時間ごとにチェックされます。ステータスが不明なデバイス(たとえば FileVault をまだ報告していないMac)は、ルールに違反しません。 デバイスのブロック まだ非準拠の場合にデバイスをブロックをオンにし、何日後にブロックするかを設定します(0 は即時ブロック)。監視対象の iPhone と iPad は、設定したメッセージとともにロストモードになります。その他のデバイスは一度ロックされます。Macは再起動し、PIN の入力を求められます。PIN はコマンド履歴のコマンド詳細に表示されます。 ブロック解除: デバイスが再び準拠すると、ロストモードが自動的にオフになります。 ロストモードを手動でオフにする: デバイスが再び準拠し、再びルールに違反するまで、デバイスはブロックされません。ユーザーにデバイスを修正させる場合に使用します。 通知を受け取ったり、別の方法で対応したりするには、デバイスが非準拠になったのイベントルールを作成します。理由も取得できます。