デバイスのプロビジョニング - Apple

Appleプロビジョニングの概要

Cerberus Enterprise は、iPhone、iPad、Mac の登録と管理をサポートしています。Apple のプロビジョニングには APNs 証明書が必要で、さまざまな登録方法を使用して実行できます。

前提条件：Apple Management（APNs）を構成する

Appleデバイスを登録する前に、Apple Managementの設定（APNs）を完了してください。

登録方法を選択する

手動登録（登録プロファイル）

Automated Device Enrollment（ADE）

アカウント駆動型登録（仕事用アカウントでサインイン）

User Enrollmentで登録された個人所有のiPhoneとiPadでは、ポリシーのApp Storeアプリが、Cerberusが自動的に割り当てるManaged Apple Accountのユーザーライセンスでインストールされます。ユーザーには各アプリのインストールを求めるメッセージが表示されます。Managed Apple AccountとApps and Booksトークンは、同じApple Business組織に属している必要があります。個人所有デバイスのアプリをお読みください。

iPhoneとiPadのCerberus Enterpriseアプリ

登録後、Cerberus はCerberus Enterpriseアプリを、iOS または iPadOS 18.4 以降の iPhone と iPad に、ポリシーの有無にかかわらずインストールします。このアプリはデバイスの位置情報を共有し、通知とライブ追跡リクエストを受信します。個人用デバイス（User Enrollment）では、ポリシーで個人用デバイスの位置情報とジオフェンスがオンになっていて、ユーザーが許可した場合にのみ、メッセージを受信し、位置情報を共有します。1 回だけの手順が必要です。無料のアプリを Apple Business ライブラリに追加してください（Apps & Books → App Storeで「Cerberus Enterprise」を検索し、現在および将来のすべての組織単位に対して追加）。監視対象デバイスではサイレントにインストールされます。それ以外のデバイスでは、ユーザーにインストールを求めます。ユーザーが App Store からすでにインストールしている場合、デバイスは組織にアプリの管理を許可するよう求め、アプリはデータと権限を保持します。ユーザーが拒否した場合は、デバイスページの再試行を使用します。ユーザーはアプリを削除できず、Apps and Books トークンが期限切れになってもインストールされたままです。Mac にはアプリはインストールされません。

デバイスの構成や購入プロセスに応じて、手動登録とADEを並行して使用できます。

Apple の手動登録（登録プロファイル）

Cerberus Enterprise は、QR コード、登録 URL、または登録プロファイルファイルを使用した Apple デバイスの手動登録をサポートしています。

手動登録は、Apple Management（APNs）が構成されている場合に利用できます。APNs のセットアップがまだ完了していない場合は、Apple Management のセットアップ（APNs）を参照してください。

登録トークン

登録トークンには独自の登録 URL と QR コードがあり、それを使用して登録するデバイスに次の設定を割り当てます。

トークンを作成するには、ダッシュボードの登録セクションを開き、Apple の手動登録（登録プロファイル）タブを選択して新しい登録トークンをクリックします。名前と設定を指定してトークンを作成をクリックします。トークンページには、登録 URL、QR コード、登録プロファイルをダウンロードボタンが表示されます。

トークンのテーブルには、各トークンのステータス（有効、期限切れ、使用済み）、有効期限、許可された数に対する登録数、および最終使用（そのトークンで最後にデバイスが登録された日時）が表示されます。次にポリシー、ユーザー（ホバーするとメールが表示されます）、所有権、作成日（ホバーするとトークンを作成したユーザーが表示されます）が続きます。新しいトークンが最初に表示され、任意の列で並べ替えられます。最終使用で並べ替えると、誰も使用していない有効なトークンを見つけられ、削除するとその登録 URL が機能しなくなります。トークンの保存後に削除されたポリシーまたはユーザーは、警告アイコン付きの削除されたポリシーまたは削除されたユーザーとして表示されます。トークンを編集して別のものを選択してください。

トークンへの変更は次回の登録に適用されます。すでに登録されているデバイスは、現在のポリシーとユーザーを維持します。トークンが削除された場合、期限切れになった場合、または許可された登録数に達した場合、その登録 URL は機能しなくなります。

トークンなしの登録

同じタブのトークンなしの登録パネルには、組織の登録 URL があります。これを使用して登録されたデバイスにはポリシーもユーザーも設定されません。デバイスページから割り当ててください。

デバイスのポリシーとユーザーは登録方法によって異なります。登録トークンを使用した場合はトークンのポリシーとユーザー、Automated Device Enrollment の場合は ADE プロファイルのポリシー（デバイスページで割り当てられたユーザーは維持）、トークンなしの登録 URL、QR コード、またはプロファイルの場合はポリシーもユーザーもなし（デバイスに ADE プロファイルがある場合でも）です。再登録したデバイスは、以前の登録のポリシーとユーザーを維持しません。デバイスページに表示されるのは、新しい登録で割り当てられた場合のみです。Return to Serviceで消去されたデバイスのみ、現在のポリシーとユーザーで再登録されます。

登録 URL とプロファイルを取得する

iPhone または iPad を登録する方法

iOS/iPadOS 15.0 以降

まず、次のいずれかの方法を使用して、デバイスに登録プロファイルをダウンロードします：

方法1：QRコード

デバイスでカメラアプリを開き、登録URLの横に表示されるQRコードにかざしてから、表示されるリンクをタップします。Safariが登録URLを開き、構成プロファイルのダウンロードを許可するか確認するので、許可をタップします。

方法2：登録URL

登録URLをユーザーに送信し（たとえばメール送信アクションを使用）、デバイスのSafariで開いてから、構成プロファイルをダウンロードするために許可をタップします。

方法3：登録プロファイルのファイル

登録プロファイルのファイル（enroll.mobileconfig）をダウンロードし、たとえばメールの添付ファイルやAirDropでデバイスに送信してから、デバイスで開きます。

次に、デバイスで登録を完了します：

  1. デバイスで設定 → ダウンロード済みのプロファイル → インストールを開き、画面の指示に従います。
  2. 登録後、設定 → 一般 → VPN & デバイス管理（またはプロファイル & デバイス管理）で状態を確認できます。

登録後、iOSまたはiPadOS 18.4以降を搭載したiPhoneとiPadにはCerberus Enterpriseアプリが配信されます。手動で登録された（監視されていない）デバイスでは、ユーザーにアプリのインストールを求めるメッセージ、またはApp Storeからすでにインストールされている場合は組織による管理を許可するよう求めるメッセージが表示されます。ユーザーが拒否した場合は、デバイスページの再試行を使用します。アプリは一度Apple Businessライブラリに追加されている必要があります（アカウント設定を参照）。

iPhone と iPad では、ダウンロードしたプロファイルが 8 分以内にインストールされない場合、デバイスによって削除されます。その場合は、もう一度ダウンロードしてください。

Mac を登録する方法

macOS 13.0+

QR コードは iPhone と iPad でのみ機能します。次のいずれかの方法で、Mac に登録プロファイルをダウンロードしてください：

方法 1：Enrollment URL

Enrollment URL をユーザーに送信し（例：メール送信アクションを使用）、Mac のSafariで開いてから、求められた場合はダウンロードを許可します。プロファイルが自動的に開かない場合は、ダウンロードしたenroll.mobileconfigファイルを開きます。

方法 2：登録プロファイルファイル

登録プロファイルファイル（enroll.mobileconfig）をダウンロードし、メールの添付ファイルや AirDrop などで Mac に送信してから、Mac で開きます。

プロファイルを開いても、ダウンロード済みプロファイルに追加されるだけです。その後、Mac のメインユーザーとしてログインし、Mac で登録を完了します：

  1. システム設定 → 一般 → デバイス管理（macOS 13 および 14：プライバシーとセキュリティ → プロファイル）を開きます。ダウンロード済みセクションで登録プロファイルをダブルクリックし、登録（またはインストール）をクリックして、指示に従います。求められた場合は、Mac の管理者の名前とパスワードを入力します。
  2. 登録後、登録プロファイルが同じ場所に表示されます。ターミナルで、profiles status -type enrollmentを実行すると、MDM enrollment: Yes (User Approved)と表示されます。

手動で登録した Mac は監視対象となり、プロファイルをインストールしたユーザーがデバイスページのMac ユーザーパネルに表示されます。Mac には Cerberus Enterprise アプリはインストールされません。プロファイルがダウンロード済みセクションにない場合は、もう一度ダウンロードしてください。

Cerberus Enterpriseダッシュボードから取得した登録プロファイルのみをインストールしてください。

Apple Automated Device Enrollment（ADE）

Automated Device Enrollment（ADE）は Apple Business（旧 Apple Business Manager）と連携し、会社所有の iPhone、iPad、Mac を初めて電源を入れたとき（または工場出荷状態にリセットした後）に自動的に登録します。

ADE を使用するには、先に Apple Management（APNs）を構成する必要があります。必要な場合は、Apple Management のセットアップ（APNs）を参照してください。

デバイスを自動登録する方法

  1. Apple Business アカウントにデバイスを追加し、Cerberus Enterprise デバイス管理サービスに割り当てます。Apple Business でDevices → Inventoryを開き、デバイスを選択してAssign Device Managementをクリックするか、Devices → Management Services → Default Device Assignmentで新しいデバイスを自動的に割り当てます。Manage device suppliersおよびAdd devices using Apple Configuratorを参照してください。
  2. Apple Business アカウントに新しいデバイスを追加した後、Cerberus Enterprise の デバイス セクションから Apple Business から同期 アクションを使用して同期します。同期されたデバイスは、登録されて初めてライセンスを使用します。
  3. ダッシュボードで登録 → Apple Automated Device Enrollment（ADE） → 新しい ADE プロファイルから ADE プロファイルを作成します。
  4. デバイスの詳細ページでADE プロファイルフィールドを使用して、デバイスに ADE プロファイルを割り当てます。

登録後、iOS または iPadOS 18.4 以降の iPhone と iPad にはCerberus Enterpriseアプリがインストールされます。ADE で登録されたデバイスは監視対象であるため、ユーザーに確認せずにアプリがインストールされます。セットアップはアプリのインストールを待ちません。アプリは一度 Apple Business ライブラリに登録されている必要があります（アカウント設定を参照）。Mac にはアプリはインストールされません。

ADE プロファイルの設定（概要）

ADE プロファイルは、デバイスの登録方法とセットアップアシスタントの動作を制御します。Cerberus Enterprise では、ADE プロファイルに名前、オプションの初期ポリシー、登録オプション、スキップするセットアップアシスタントのペイン、サポート連絡先、信頼された証明書が含まれます。

プロファイル名

プロファイルの人間が読める名前（例：デフォルトの ADE プロファイル）。

ポリシー

Automated Device Enrollment（セットアップアシスタント）で登録するときにデバイスに適用されるポリシー。登録 URL または QR コードで登録されたプロファイルのデバイスには、代わりに登録トークンのポリシーが適用されます。トークンがない場合はポリシーは適用されません。ポリシーのみを変更した場合、プロファイルはそのまま維持されます。

登録オプション

セットアップアシスタント

ADE プロファイルの一覧

一覧には、各プロファイルの名前、ポリシー、デバイス、および Apple がプロファイルに付与する識別子である Id が表示されます。名前の後の鍵アイコンは、管理ユーザーが解除できない必須プロファイルを示します。ポリシーなしまたはポリシー削除済みは、そのプロファイルで登録されたデバイスに初期ポリシーが適用されないことを警告します。

デバイス列には、プロファイルの登録済みデバイスと、その横に待機中のデバイス（Apple Business でプロファイルに割り当てられているが、まだ登録されていないデバイス）が表示されます。削除されたデバイスはカウントされません。

プロファイルの変更

Apple は ADE プロファイルの変更を許可していません。プロファイルを変更すると（ポリシーのみの変更を除く）、Cerberus Enterprise は同じ名前で新しいプロファイルを定義し、古いプロファイルのデバイスに割り当てます。古いプロファイルは、それを使用するデバイスがなくなると一覧に表示されなくなります。すでにセットアップアシスタントを完了したデバイスは、次回消去されたときに新しいプロファイルを使用します。

登録済みか待機中かを問わず、どのデバイスも使用していないプロファイルは、ADE プロファイルの一覧から削除できます。Apple はプロファイルの削除を許可していないため、そのプロファイルは使用されないまま Apple Business に残ります。

デバイスに ADE プロファイルが割り当てられると、自動登録の準備が整います。

Apple のアカウント主導の登録

アカウント主導の登録では、ユーザーはデバイス設定で仕事用アカウント（Managed Apple Account、例：name@company.com）でサインインして、iPhone、iPad、Mac を登録します。ダウンロードするプロファイルも QR コードも不要です。Cerberus Enterprise がユーザーを検出し、ポリシーを適用し、所有権を自動的に設定します。

2つのモード

iPhone および iPad と Mac では、別々にモードを選択します。たとえば、個人の iPhone には User Enrollment、Mac には Device Enrollment を選択できます。デバイスの所有権は、後からデバイスページで変更できます。

アカウント主導の登録は、Apple Management（APNs）が構成されている場合に利用できます。APNs のセットアップがまだ完了していない場合は、Apple Management のセットアップ（APNs）を参照してください。

Apple Business をセットアップする

ユーザーは、Apple Business で作成された Managed Apple Account でサインインします。開始する前に：

  1. Apple Business で、組織のドメインにドメインを確認（例：company.com）します。
  2. ユーザーのManaged Apple Account を作成するか、Apple Business を Google Workspace または Microsoft Entra ID に接続します。これにより、各ユーザーのアカウントは仕事用メールアドレスになり、そのパスワードでサインインします。
  3. User Enrollment の場合は、アクセス管理設定で Managed Apple Account が個人デバイスでサインインできることを確認してください。監視対象デバイスでのみサインインできる場合、User Enrollment は失敗します。
  4. 以下のApple Businessオプションの場合のみ：Devices → Management Services → Default Device Assignment（Edit）を開き、iPhone、iPad、Mac 用の Cerberus Enterprise デバイス管理サービスを選択します。

デバイスが Managed Apple Account で登録されている間は、Cerberus Enterprise デバイス管理サービスとそのトークンを Apple Business に保持してください。削除すると、デバイスでアカウントが機能しなくなる可能性があります。

Cerberus Enterprise をセットアップする

ダッシュボードの登録セクションを開き、Apple アカウントのサインインタブを選択します。上部のチェックリストに、まだ不足している項目が表示されます。設定を変更できるのは管理者のみです。

デバイスで入力されたアカウントは、まずユーザーのManaged Apple Accountフィールドと照合され、次にメールアドレスと照合されます。コードは常にユーザーのメールアドレスに送信されます。ユーザーに設定された Managed Apple Account は、そのドメインが Cerberus で確認されていなくても登録できます。たとえば、Apple Business の予約ドメインorg.appleid.comのアカウントです。Apple Business のサービス検出を使用する場合、ユーザーは常に Managed Apple Account を入力します。

ドメインを確認する

設定を保存すると、ドメインの確認セクションに各ドメインの TXT レコードが表示されます。それをドメインの DNS に追加し、確認をクリックします。DNS の変更が反映されるまでに時間がかかる場合があります。確認済みのドメインは確認済みのままです。後でレコードを削除できます。確認されていないドメインのユーザーは登録できません。

サービス検出：デバイスが Cerberus Enterprise を検出する方法

ユーザーがサインインすると、デバイスはアカウントのドメイン（例：https://company.com）に、どのサーバーが管理しているかを問い合わせます。次の3つのオプションのうち少なくとも1つを設定してください。タブのサービス検出セクションには、組織の検出 URL と、各オプションでコピーする正確なテキストが表示されます。

オプション 1：Apple Business（推奨）

Apple Business に登録をクリックします。Cerberus Enterprise は検出 URL を Apple Business 組織に保存し、ドメインに何も公開する必要はありません。Apple Business で確認をクリックすると、Apple Business が現在保持している URL が表示され、Apple Business から削除をクリックすると削除されます。

Apple Business は組織ごとに1つの検出 URL を保持します。登録すると、組織のすべての Managed Apple Account がこの Cerberus Enterprise 組織に送信されます。同じ Apple Business 組織を使用する2つの Cerberus Enterprise 組織から登録しないでください。

オプション 2：Web サイトからのリダイレクト

各ドメインの Web サーバーで、/.well-known/com.apple.remotemanagementを組織の検出 URL にリダイレクトし、クエリ文字列を保持します（ユーザーが入力したアカウントが含まれています）。これは、アカウント主導の登録をサポートするすべての OS バージョンで機能し、iPhone と Mac で異なるモードを使用できます。タブから Apache または nginx 用のテキストをコピーしてください。組織のキーを含めると、次のようになります。

Apache（.htaccess または仮想ホスト）：

RewriteEngine On
RewriteRule ^\.well-known/com\.apple\.remotemanagement$ https://enterprise.cerberusapp.com/account-enroll/YOUR-KEY/discovery [R=302,L,QSA]

nginx：

location = /.well-known/com.apple.remotemanagement {
    return 302 https://enterprise.cerberusapp.com/account-enroll/YOUR-KEY/discovery$is_args$args;
}

他の Web サーバーまたはサービス（IIS、Cloudflare、ホスティングコントロールパネルなど）では、同じパスから検出 URL へのリダイレクトルール（302）を、クエリ文字列を保持または転送するオプション付きで作成します。

オプション 3：Web サイト上の静的ファイル

リダイレクトを追加できない場合は、https://company.com/.well-known/com.apple.remotemanagement（ファイル拡張子なし）にファイルを公開し、Content-Type: application/jsonで配信します。その内容はタブからコピーしてください。静的ファイルではデバイスごとにモードを選択できません。iPhone、iPad、Mac で同じモードを使用します。User Enrollment の場合は次のようになります。 

{"Servers":[{"Version":"mdm-byod","BaseURL":"https://enterprise.cerberusapp.com/account-enroll/YOUR-KEY/byod"}]}

Device Enrollment の場合は次のとおりです。

{"Servers":[{"Version":"mdm-adde","BaseURL":"https://enterprise.cerberusapp.com/account-enroll/YOUR-KEY/adde"}]}

ファイルのモードは、タブでデバイスファミリーに設定されたモードと同じである必要があります。そうでない場合、登録は拒否されます。

構成を確認

構成を確認で、ドメインとデバイス（iPhone または Mac）を選択し、確認をクリックします。Cerberus Enterprise は、デバイスが問い合わせる内容をドメインに問い合わせ、応答、各リダイレクト、判定を表示します。ドメインが Cerberus Enterprise を指している場合は、オプション 2 または 3 が機能します。エラー応答（「見つかりません」など）はオプション 1 で問題ありません。Web ページまたは別の場所を指すファイルは、デバイスを停止させます。また、リダイレクトがクエリ文字列を削除した場合や、ファイルがapplication/jsonとして配信されていない場合にも警告が表示されます。

登録キー

検出 URL と登録 URL には、組織のキーが含まれています。URL が誤って公開された場合は、キーを再生成をクリックしてください。古い URL はすぐに機能しなくなるため、Web サイトのリダイレクトと静的ファイルを更新してください。オプション 1 を使用している場合、Cerberus Enterprise は新しい URL を自動的に Apple Business に登録します。

ユーザーが登録する方法

  1. iPhone と iPad：設定 → 一般 → VPN とデバイス管理 → 職場または学校のアカウントでサインイン。Mac：システム設定 → 一般 → デバイス管理 → サインイン（macOS 14：プライバシーとセキュリティ → プロファイル → サインイン）。
  2. Managed Apple Account、または Cerberus のユーザーの仕事用メールアドレス（例：name@company.com）を入力します。ユーザーの Managed Apple Account が入力したものと異なる場合、デバイスはそのアカウントでのサインインを求めます。
  3. Cerberus Enterprise のページが開きます。コードを送信をタップし、メールで受け取った6桁のコードを入力します。コードは10分後に期限切れになります。5回間違えると、ユーザーはページを閉じて再度サインインする必要があります。
  4. Managed Apple Account のパスワード（または Apple Business が Google Workspace や Microsoft Entra ID に接続されている場合は会社のサインインページ）でサインインし、デバイス管理を許可します。

登録できないアカウント（ドメインが確認されていない、ユーザーが自動作成されない設定で一致するユーザーがいない、同じメールアドレスのユーザーが複数いる）には、「このアカウントは登録用に設定されていません。IT 管理者に問い合わせてください」と表示されます。イベントはダッシュボードのシステムログに記録されます。

登録後

登録直後、ポリシーの一部のプロファイル (証明書、Wi-Fi ネットワーク、Web クリップ) が不明なエラーで失敗として報告され、デバイスがしばらく コンプライアンス違反 と表示されることがあります。デバイスは自動的に再試行し、しばらくすると何も操作しなくてもインストールされます。このため、ポリシーを再度保存したり、デバイスを再登録したりしないでください。

個人デバイス上のアプリ

User Enrollment で登録された iPhone および iPad にはシリアル番号がないため、Apps and Books はデバイスライセンスを付与できません。Cerberus Enterprise は、ポリシーの App Store アプリに代わりにユーザーライセンスを付与します。ライセンスは、デバイスでサインインしている Managed Apple Account に付与されます。ポリシーに変更はありません。同じポリシーが会社のデバイスと個人のデバイスに使用され、Cerberus がデバイスごとにライセンスの種類を選択します。

Apple がライセンスを割り当てられない場合（たとえば、有料アプリに残りのライセンスがない場合）、アプリには Apple のメッセージとともにユーザーライセンスに失敗しましたが表示されます。Apple Business でライセンスを追加してから、デバイスページで再リクエストを使用してください。Cerberus も毎日のチェックで自動的に再試行します。アプリリストの上の行には、Managed Apple Account とその Apps and Books ユーザーのステータスが表示されます。同じステータスはユーザーのページにも表示されます。

ユーザーライセンスは iPhone と iPad でのみ使用されます。User Enrollment で登録された Mac では、ポリシーの App Store アプリはインストールされません。Books と個人用 Apple Account はサポートされていません。