デバイスのプロビジョニング - Apple

Appleプロビジョニングの概要
Cerberus Enterprise は、iPhone、iPad、Mac の登録と管理をサポートしています。Apple のプロビジョニングには APNs 証明書が必要で、さまざまな登録方法を使用して実行できます。 
前提条件：Apple Management（APNs）を構成する
 Appleデバイスを登録する前に、Apple Managementの設定（APNs）を完了してください。 
登録方法を選択する
手動登録（登録プロファイル）
 この方法では、登録URLと、デバイスにインストールする構成プロファイル（mobileconfig）が提供されます。Appleの手動登録をお読みください。 
Automated Device Enrollment（ADE）
 この方法はApple Businessと連携して、会社所有デバイスの登録を自動化します。Apple Automated Device Enrollment（ADE）をお読みください。 
アカウント駆動型登録（仕事用アカウントでサインイン）
 ユーザーは、デバイスの設定でManaged Apple Accountを使ってサインインすることで、iPhone、iPad、またはMacを登録します。個人所有デバイスにはUser Enrollment、Apple Businessにない会社所有デバイスにはDevice Enrollmentを使用します。Appleのアカウント駆動型登録をお読みください。 
 User Enrollmentで登録された個人所有のiPhoneとiPadでは、ポリシーのApp Storeアプリが、Cerberusが自動的に割り当てるManaged Apple Accountのユーザーライセンスでインストールされます。ユーザーには各アプリのインストールを求めるメッセージが表示されます。Managed Apple AccountとApps and Booksトークンは、同じApple Business組織に属している必要があります。個人所有デバイスのアプリをお読みください。 
iPhoneとiPadのCerberus Enterpriseアプリ
 登録後、Cerberus はCerberus Enterpriseアプリを、iOS または iPadOS 18.4 以降の iPhone と iPad に、ポリシーの有無にかかわらずインストールします。このアプリはデバイスの位置情報を共有し、通知とライブ追跡リクエストを受信します。個人用デバイス（User Enrollment）では、ポリシーで個人用デバイスの位置情報とジオフェンスがオンになっていて、ユーザーが許可した場合にのみ、メッセージを受信し、位置情報を共有します。1 回だけの手順が必要です。無料のアプリを Apple Business ライブラリに追加してください（Apps & Books → App Storeで「Cerberus Enterprise」を検索し、現在および将来のすべての組織単位に対して追加）。監視対象デバイスではサイレントにインストールされます。それ以外のデバイスでは、ユーザーにインストールを求めます。ユーザーが App Store からすでにインストールしている場合、デバイスは組織にアプリの管理を許可するよう求め、アプリはデータと権限を保持します。ユーザーが拒否した場合は、デバイスページの再試行を使用します。ユーザーはアプリを削除できず、Apps and Books トークンが期限切れになってもインストールされたままです。Mac にはアプリはインストールされません。 
 デバイスの構成や購入プロセスに応じて、手動登録とADEを並行して使用できます。

Apple の手動登録（登録プロファイル）
Cerberus Enterprise は、QR コード、登録 URL、または登録プロファイルファイルを使用した Apple デバイスの手動登録をサポートしています。 
 手動登録は、Apple Management（APNs）が構成されている場合に利用できます。APNs のセットアップがまだ完了していない場合は、Apple Management のセットアップ（APNs）を参照してください。 
 ユーザーは、デバイス設定で仕事用アカウントにサインインすることにより、プロファイルなしで iPhone、iPad、Mac を登録することもできます。Apple のアカウント主導の登録を参照してください。 
登録トークン
 登録トークンには独自の登録 URL と QR コードがあり、それを使用して登録するデバイスに次の設定を割り当てます。 
ポリシー：デバイスが登録されるとすぐに適用されます。
ユーザー：デバイスに割り当てられます。トークンにユーザーがない場合、デバイスにはユーザーがありません。
所有権：会社所有または個人所有。設定されていない場合、監視対象デバイスは会社所有に、それ以外は個人所有に設定されます。手動で登録した iPhone と iPad は監視対象ではありません。Mac は監視対象であるため、会社所有に設定されます。 
有効期限：この日を過ぎると登録 URL は機能しなくなります。以前にダウンロードしたプロファイルは引き続きインストールできます。 
許可される登録数：トークンで登録できるデバイスの数。制限なしにする場合は空のままにします。
 トークンを作成するには、ダッシュボードの登録セクションを開き、Apple の手動登録（登録プロファイル）タブを選択して新しい登録トークンをクリックします。名前と設定を指定してトークンを作成をクリックします。トークンページには、登録 URL、QR コード、登録プロファイルをダウンロードボタンが表示されます。 
 トークンのテーブルには、各トークンのステータス（有効、期限切れ、使用済み）、有効期限、許可された数に対する登録数、および最終使用（そのトークンで最後にデバイスが登録された日時）が表示されます。次にポリシー、ユーザー（ホバーするとメールが表示されます）、所有権、作成日（ホバーするとトークンを作成したユーザーが表示されます）が続きます。新しいトークンが最初に表示され、任意の列で並べ替えられます。最終使用で並べ替えると、誰も使用していない有効なトークンを見つけられ、削除するとその登録 URL が機能しなくなります。トークンの保存後に削除されたポリシーまたはユーザーは、警告アイコン付きの削除されたポリシーまたは削除されたユーザーとして表示されます。トークンを編集して別のものを選択してください。 
 トークンへの変更は次回の登録に適用されます。すでに登録されているデバイスは、現在のポリシーとユーザーを維持します。トークンが削除された場合、期限切れになった場合、または許可された登録数に達した場合、その登録 URL は機能しなくなります。 
トークンなしの登録
 同じタブのトークンなしの登録パネルには、組織の登録 URL があります。これを使用して登録されたデバイスにはポリシーもユーザーも設定されません。デバイスページから割り当ててください。 
 デバイスのポリシーとユーザーは登録方法によって異なります。登録トークンを使用した場合はトークンのポリシーとユーザー、Automated Device Enrollment の場合は ADE プロファイルのポリシー（デバイスページで割り当てられたユーザーは維持）、トークンなしの登録 URL、QR コード、またはプロファイルの場合はポリシーもユーザーもなし（デバイスに ADE プロファイルがある場合でも）です。再登録したデバイスは、以前の登録のポリシーとユーザーを維持しません。デバイスページに表示されるのは、新しい登録で割り当てられた場合のみです。Return to Serviceで消去されたデバイスのみ、現在のポリシーとユーザーで再登録されます。 
登録 URL とプロファイルを取得する
 登録セクションのApple の手動登録（登録プロファイル）タブでトークンを開くか、トークンなしの登録を展開します。 
登録 URLをコピーするか、メール送信アクションを使用します。
iPhone または iPad のカメラで、Enrollment URL の横に表示されるQR コードをスキャンします。デバイス上で同じ Enrollment URL が開きます。Mac では、Enrollment URL またはプロファイルファイルを使用します。
登録プロファイル（mobileconfig ファイル）をダウンロードします。
iPhone または iPad を登録する方法
 iOS/iPadOS 15.0 以降 
 まず、次のいずれかの方法を使用して、デバイスに登録プロファイルをダウンロードします： 
方法1：QRコード
 デバイスでカメラアプリを開き、登録URLの横に表示されるQRコードにかざしてから、表示されるリンクをタップします。Safariが登録URLを開き、構成プロファイルのダウンロードを許可するか確認するので、許可をタップします。 
方法2：登録URL
 登録URLをユーザーに送信し（たとえばメール送信アクションを使用）、デバイスのSafariで開いてから、構成プロファイルをダウンロードするために許可をタップします。 
方法3：登録プロファイルのファイル
 登録プロファイルのファイル（enroll.mobileconfig）をダウンロードし、たとえばメールの添付ファイルやAirDropでデバイスに送信してから、デバイスで開きます。 
 次に、デバイスで登録を完了します： 
 デバイスで設定 → ダウンロード済みのプロファイル → インストールを開き、画面の指示に従います。 
 登録後、設定 → 一般 → VPN & デバイス管理（またはプロファイル & デバイス管理）で状態を確認できます。 
 登録後、iOSまたはiPadOS 18.4以降を搭載したiPhoneとiPadにはCerberus Enterpriseアプリが配信されます。手動で登録された（監視されていない）デバイスでは、ユーザーにアプリのインストールを求めるメッセージ、またはApp Storeからすでにインストールされている場合は組織による管理を許可するよう求めるメッセージが表示されます。ユーザーが拒否した場合は、デバイスページの再試行を使用します。アプリは一度Apple Businessライブラリに追加されている必要があります（アカウント設定を参照）。 
 iPhone と iPad では、ダウンロードしたプロファイルが 8 分以内にインストールされない場合、デバイスによって削除されます。その場合は、もう一度ダウンロードしてください。 
Mac を登録する方法
 macOS 13.0+ 
 QR コードは iPhone と iPad でのみ機能します。次のいずれかの方法で、Mac に登録プロファイルをダウンロードしてください： 
方法 1：Enrollment URL
 Enrollment URL をユーザーに送信し（例：メール送信アクションを使用）、Mac のSafariで開いてから、求められた場合はダウンロードを許可します。プロファイルが自動的に開かない場合は、ダウンロードしたenroll.mobileconfigファイルを開きます。 
方法 2：登録プロファイルファイル
 登録プロファイルファイル（enroll.mobileconfig）をダウンロードし、メールの添付ファイルや AirDrop などで Mac に送信してから、Mac で開きます。 
 プロファイルを開いても、ダウンロード済みプロファイルに追加されるだけです。その後、Mac のメインユーザーとしてログインし、Mac で登録を完了します： 
 システム設定 → 一般 → デバイス管理（macOS 13 および 14：プライバシーとセキュリティ → プロファイル）を開きます。ダウンロード済みセクションで登録プロファイルをダブルクリックし、登録（またはインストール）をクリックして、指示に従います。求められた場合は、Mac の管理者の名前とパスワードを入力します。 
 登録後、登録プロファイルが同じ場所に表示されます。ターミナルで、
profiles status -type enrollmentを実行すると、MDM enrollment: Yes (User Approved)と表示されます。 
 手動で登録した Mac は監視対象となり、プロファイルをインストールしたユーザーがデバイスページのMac ユーザーパネルに表示されます。Mac には Cerberus Enterprise アプリはインストールされません。プロファイルがダウンロード済みセクションにない場合は、もう一度ダウンロードしてください。 
 Cerberus Enterpriseダッシュボードから取得した登録プロファイルのみをインストールしてください。

Apple Automated Device Enrollment（ADE）
Automated Device Enrollment（ADE）は Apple Business（旧 Apple Business Manager）と連携し、会社所有の iPhone、iPad、Mac を初めて電源を入れたとき（または工場出荷状態にリセットした後）に自動的に登録します。 
 ADE を使用するには、先に Apple Management（APNs）を構成する必要があります。必要な場合は、Apple Management のセットアップ（APNs）を参照してください。 
デバイスを自動登録する方法
 Apple Business アカウントにデバイスを追加し、Cerberus Enterprise デバイス管理サービスに割り当てます。Apple Business でDevices → Inventoryを開き、デバイスを選択してAssign Device Managementをクリックするか、Devices → Management Services → Default Device Assignmentで新しいデバイスを自動的に割り当てます。Manage device suppliersおよびAdd devices using Apple Configuratorを参照してください。 
 Apple Business アカウントに新しいデバイスを追加した後、Cerberus Enterprise の デバイス セクションから Apple Business から同期 アクションを使用して同期します。同期されたデバイスは、登録されて初めてライセンスを使用します。 
 ダッシュボードで登録 → Apple Automated Device Enrollment（ADE） → 新しい ADE プロファイルから ADE プロファイルを作成します。 
 デバイスの詳細ページでADE プロファイルフィールドを使用して、デバイスに ADE プロファイルを割り当てます。 
 登録後、iOS または iPadOS 18.4 以降の iPhone と iPad にはCerberus Enterpriseアプリがインストールされます。ADE で登録されたデバイスは監視対象であるため、ユーザーに確認せずにアプリがインストールされます。セットアップはアプリのインストールを待ちません。アプリは一度 Apple Business ライブラリに登録されている必要があります（アカウント設定を参照）。Mac にはアプリはインストールされません。 
ADE プロファイルの設定（概要）
 ADE プロファイルは、デバイスの登録方法とセットアップアシスタントの動作を制御します。Cerberus Enterprise では、ADE プロファイルに名前、オプションの初期ポリシー、登録オプション、スキップするセットアップアシスタントのペイン、サポート連絡先、信頼された証明書が含まれます。 
プロファイル名
プロファイルの人間が読める名前（例：デフォルトの ADE プロファイル）。
ポリシー
 Automated Device Enrollment（セットアップアシスタント）で登録するときにデバイスに適用されるポリシー。登録 URL または QR コードで登録されたプロファイルのデバイスには、代わりに登録トークンのポリシーが適用されます。トークンがない場合はポリシーは適用されません。ポリシーのみを変更した場合、プロファイルはそのまま維持されます。 
登録オプション
MDM を削除可能：MDM ペイロードをデバイスから削除できるかどうかを制御します。
ペアリングを許可：ペアリングを許可するかどうかを制御します（Apple により iOS 13 で非推奨）。
セットアップの自動進行：セットアップアシスタントの画面を自動的に進めます（macOS 11 以降の Mac と Apple TV）。
デバイスの構成完了を待機：セットアップアシスタントは、ADE プロファイルのポリシーが適用されるまで待機するため、ユーザーはアプリと設定が適用された状態で開始できます。その後、Cerberus Enterprise は登録から最大4分後にデバイスの続行を許可します。
必須：セットアップ中にプロファイルの適用をスキップできないようにします。
マルチユーザー（Shared iPad）：デバイスを Shared iPad 用に構成します。
監視対象：デバイスの監視を要求します。
セットアップアシスタント
部署、サポート電話番号、サポートメール（任意）：プロファイルとともに Apple に送信されます。デバイスに表示されない場合があります。
スキップするペイン：セットアップアシスタントは選択したペインを表示しません（例：Apple Account、Siri、スクリーンタイム）。各デバイスにはそのシステムのペインのみが表示されます（FileVault や iCloud の書類とデスクトップなど、Mac にのみ存在するものもあります）。すべてスキップとすべて表示で、すべてのペインを選択または解除できます。
Apple TV：セットアップ自動進行を使用する Apple TV の言語と地域。
信頼された証明書：サーバーがデバイスで信頼されていない証明書（プライベート CA の証明書など）を使用している場合にのみ必要です。先に証明書ページで証明書をインポートしてください。
ADE プロファイルの一覧
 一覧には、各プロファイルの名前、ポリシー、デバイス、および Apple がプロファイルに付与する識別子である Id が表示されます。名前の後の鍵アイコンは、管理ユーザーが解除できない必須プロファイルを示します。ポリシーなしまたはポリシー削除済みは、そのプロファイルで登録されたデバイスに初期ポリシーが適用されないことを警告します。 
 デバイス列には、プロファイルの登録済みデバイスと、その横に待機中のデバイス（Apple Business でプロファイルに割り当てられているが、まだ登録されていないデバイス）が表示されます。削除されたデバイスはカウントされません。 
プロファイルの変更
 Apple は ADE プロファイルの変更を許可していません。プロファイルを変更すると（ポリシーのみの変更を除く）、Cerberus Enterprise は同じ名前で新しいプロファイルを定義し、古いプロファイルのデバイスに割り当てます。古いプロファイルは、それを使用するデバイスがなくなると一覧に表示されなくなります。すでにセットアップアシスタントを完了したデバイスは、次回消去されたときに新しいプロファイルを使用します。 
 登録済みか待機中かを問わず、どのデバイスも使用していないプロファイルは、ADE プロファイルの一覧から削除できます。Apple はプロファイルの削除を許可していないため、そのプロファイルは使用されないまま Apple Business に残ります。 
 デバイスに ADE プロファイルが割り当てられると、自動登録の準備が整います。

Apple のアカウント主導の登録
アカウント主導の登録では、ユーザーはデバイス設定で仕事用アカウント（Managed Apple Account、例：name@company.com）でサインインして、iPhone、iPad、Mac を登録します。ダウンロードするプロファイルも QR コードも不要です。Cerberus Enterprise がユーザーを検出し、ポリシーを適用し、所有権を自動的に設定します。 
2つのモード
User Enrollment（個人デバイス）：デバイス内の別エリアで、仕事用のアプリ、アカウント、データのみが管理されます。Cerberus は個人データを表示したり、デバイスを消去したり、位置を特定したり、シリアル番号を読み取ったりすることはできません。デバイスは個人所有として設定されます。iOS および iPadOS 15 以降、または macOS 14 以降が必要です。 
Device Enrollment（Apple Business に登録されていない会社のデバイス）：手動登録と同様に、デバイス全体が管理されます。この方法で登録された Mac は監視対象になりますが、iPhone または iPad は監視対象になりません。デバイスは会社所有として設定されます。iOS および iPadOS 17.1 以降、または macOS 14.1 以降が必要です。 
 iPhone および iPad と Mac では、別々にモードを選択します。たとえば、個人の iPhone には User Enrollment、Mac には Device Enrollment を選択できます。デバイスの所有権は、後からデバイスページで変更できます。 
 アカウント主導の登録は、Apple Management（APNs）が構成されている場合に利用できます。APNs のセットアップがまだ完了していない場合は、Apple Management のセットアップ（APNs）を参照してください。 
Apple Business をセットアップする
 ユーザーは、Apple Business で作成された Managed Apple Account でサインインします。開始する前に： 
Apple Business で、組織のドメインにドメインを確認（例：company.com）します。 
ユーザーのManaged Apple Account を作成するか、Apple Business を Google Workspace または Microsoft Entra ID に接続します。これにより、各ユーザーのアカウントは仕事用メールアドレスになり、そのパスワードでサインインします。 
 User Enrollment の場合は、アクセス管理設定で Managed Apple Account が個人デバイスでサインインできることを確認してください。監視対象デバイスでのみサインインできる場合、User Enrollment は失敗します。 
 以下のApple Businessオプションの場合のみ：Devices → Management Services → Default Device Assignment（Edit）を開き、iPhone、iPad、Mac 用の Cerberus Enterprise デバイス管理サービスを選択します。 
 デバイスが Managed Apple Account で登録されている間は、Cerberus Enterprise デバイス管理サービスとそのトークンを Apple Business に保持してください。削除すると、デバイスでアカウントが機能しなくなる可能性があります。 
Cerberus Enterprise をセットアップする
 ダッシュボードの登録セクションを開き、Apple アカウントのサインインタブを選択します。上部のチェックリストに、まだ不足している項目が表示されます。設定を変更できるのは管理者のみです。 
仕事用アカウントでのサインインによる登録を許可する：組織全体でアカウント主導の登録をオンまたはオフにします。
ドメイン：ユーザーのアカウントのドメイン（例：company.com）で、最大20個まで。登録できるのはこれらのドメインのアカウントのみで、ドメインが確認された後に限ります（下記参照）。 
iPhone および iPadとMac：各デバイスファミリーに対してオフ、User Enrollment、または Device Enrollment。 
各モードのポリシー：デバイスが登録されるとすぐに適用されます。ポリシーがない場合、デバイスはポリシーなしで登録されます。変更されたポリシーは次回の登録に適用されます。 
ユーザー：既存のユーザーのみ（Cerberus Enterprise のユーザーのメールアドレスが、デバイスで入力されたアカウントと一致する必要があります）、またはドメインのアカウントにユーザーがいない場合はユーザーを作成する。 
 デバイスで入力されたアカウントは、まずユーザーのManaged Apple Accountフィールドと照合され、次にメールアドレスと照合されます。コードは常にユーザーのメールアドレスに送信されます。ユーザーに設定された Managed Apple Account は、そのドメインが Cerberus で確認されていなくても登録できます。たとえば、Apple Business の予約ドメインorg.appleid.comのアカウントです。Apple Business のサービス検出を使用する場合、ユーザーは常に Managed Apple Account を入力します。 
ドメインを確認する
 設定を保存すると、ドメインの確認セクションに各ドメインの TXT レコードが表示されます。それをドメインの DNS に追加し、確認をクリックします。DNS の変更が反映されるまでに時間がかかる場合があります。確認済みのドメインは確認済みのままです。後でレコードを削除できます。確認されていないドメインのユーザーは登録できません。 
サービス検出：デバイスが Cerberus Enterprise を検出する方法
 ユーザーがサインインすると、デバイスはアカウントのドメイン（例：https://company.com）に、どのサーバーが管理しているかを問い合わせます。次の3つのオプションのうち少なくとも1つを設定してください。タブのサービス検出セクションには、組織の検出 URL と、各オプションでコピーする正確なテキストが表示されます。 
オプション 1：Apple Business（推奨）
 Apple Business に登録をクリックします。Cerberus Enterprise は検出 URL を Apple Business 組織に保存し、ドメインに何も公開する必要はありません。Apple Business で確認をクリックすると、Apple Business が現在保持している URL が表示され、Apple Business から削除をクリックすると削除されます。 
iOS および iPadOS 18.2 以降、または macOS 15.2 以降が必要です。古いデバイスではオプション 2 または 3 が必要です。
Cerberus Enterprise で Apple Business が接続されていること（Automated Device Enrollment サービス トークン）、および上記のデフォルトのデバイス割り当てが必要です。
 デバイスは、ドメインが応答しない場合にのみ Apple Business に問い合わせます。アドレスhttps://company.com/.well-known/com.apple.remotemanagementは存在してはなりません（「見つかりません」などのエラー）。Web サイトが Web ページで応答すると、デバイスはそこで停止します。構成を確認を使用して、応答内容を確認してください。 
 Apple Business は組織ごとに1つの検出 URL を保持します。登録すると、組織のすべての Managed Apple Account がこの Cerberus Enterprise 組織に送信されます。同じ Apple Business 組織を使用する2つの Cerberus Enterprise 組織から登録しないでください。 
オプション 2：Web サイトからのリダイレクト
 各ドメインの Web サーバーで、/.well-known/com.apple.remotemanagementを組織の検出 URL にリダイレクトし、クエリ文字列を保持します（ユーザーが入力したアカウントが含まれています）。これは、アカウント主導の登録をサポートするすべての OS バージョンで機能し、iPhone と Mac で異なるモードを使用できます。タブから Apache または nginx 用のテキストをコピーしてください。組織のキーを含めると、次のようになります。 
Apache（.htaccess または仮想ホスト）：
RewriteEngine On
RewriteRule ^\.well-known/com\.apple\.remotemanagement$ https://enterprise.cerberusapp.com/account-enroll/YOUR-KEY/discovery [R=302,L,QSA]
nginx：
location = /.well-known/com.apple.remotemanagement {
    return 302 https://enterprise.cerberusapp.com/account-enroll/YOUR-KEY/discovery$is_args$args;
}
 他の Web サーバーまたはサービス（IIS、Cloudflare、ホスティングコントロールパネルなど）では、同じパスから検出 URL へのリダイレクトルール（302）を、クエリ文字列を保持または転送するオプション付きで作成します。 
オプション 3：Web サイト上の静的ファイル
 リダイレクトを追加できない場合は、https://company.com/.well-known/com.apple.remotemanagement（ファイル拡張子なし）にファイルを公開し、Content-Type: application/jsonで配信します。その内容はタブからコピーしてください。静的ファイルではデバイスごとにモードを選択できません。iPhone、iPad、Mac で同じモードを使用します。User Enrollment の場合は次のようになります。 
{"Servers":[{"Version":"mdm-byod","BaseURL":"https://enterprise.cerberusapp.com/account-enroll/YOUR-KEY/byod"}]}
Device Enrollment の場合は次のとおりです。
{"Servers":[{"Version":"mdm-adde","BaseURL":"https://enterprise.cerberusapp.com/account-enroll/YOUR-KEY/adde"}]}
 ファイルのモードは、タブでデバイスファミリーに設定されたモードと同じである必要があります。そうでない場合、登録は拒否されます。 
構成を確認
 構成を確認で、ドメインとデバイス（iPhone または Mac）を選択し、確認をクリックします。Cerberus Enterprise は、デバイスが問い合わせる内容をドメインに問い合わせ、応答、各リダイレクト、判定を表示します。ドメインが Cerberus Enterprise を指している場合は、オプション 2 または 3 が機能します。エラー応答（「見つかりません」など）はオプション 1 で問題ありません。Web ページまたは別の場所を指すファイルは、デバイスを停止させます。また、リダイレクトがクエリ文字列を削除した場合や、ファイルがapplication/jsonとして配信されていない場合にも警告が表示されます。 
登録キー
 検出 URL と登録 URL には、組織のキーが含まれています。URL が誤って公開された場合は、キーを再生成をクリックしてください。古い URL はすぐに機能しなくなるため、Web サイトのリダイレクトと静的ファイルを更新してください。オプション 1 を使用している場合、Cerberus Enterprise は新しい URL を自動的に Apple Business に登録します。 
ユーザーが登録する方法
 iPhone と iPad：設定 → 一般 → VPN とデバイス管理 → 職場または学校のアカウントでサインイン。Mac：システム設定 → 一般 → デバイス管理 → サインイン（macOS 14：プライバシーとセキュリティ → プロファイル → サインイン）。 
Managed Apple Account、または Cerberus のユーザーの仕事用メールアドレス（例：name@company.com）を入力します。ユーザーの Managed Apple Account が入力したものと異なる場合、デバイスはそのアカウントでのサインインを求めます。
 Cerberus Enterprise のページが開きます。コードを送信をタップし、メールで受け取った6桁のコードを入力します。コードは10分後に期限切れになります。5回間違えると、ユーザーはページを閉じて再度サインインする必要があります。 
 Managed Apple Account のパスワード（または Apple Business が Google Workspace や Microsoft Entra ID に接続されている場合は会社のサインインページ）でサインインし、デバイス管理を許可します。 
 登録できないアカウント（ドメインが確認されていない、ユーザーが自動作成されない設定で一致するユーザーがいない、同じメールアドレスのユーザーが複数いる）には、「このアカウントは登録用に設定されていません。IT 管理者に問い合わせてください」と表示されます。イベントはダッシュボードのシステムログに記録されます。 
登録後
 デバイスページには、登録に使用したManaged Apple Accountと登録タイプ（User Enrollment またはアカウント主導の Device Enrollment）が表示されます。デバイスリストでは、User Enrollment デバイスに「User Enrollment」と表示されます。 
 User Enrollment デバイスでは、Apple が許可しないコマンドやポリシー設定（消去、位置情報、紛失モード、OS アップデート、多くの制限）は提供されず、送信されません。ポリシーの App Store アプリは、デバイスライセンスではなくユーザーライセンスを使用します（下記の個人デバイス上のアプリを参照）。 
 User Enrollment デバイスでは、Web クリップはホーム画面に表示されますが、設定 → 一般 → VPNとデバイス管理には表示されません。 
 これらのデバイスの MDM 証明書は自動的に更新されず、Return to Serviceは利用できません。MDM 証明書が期限切れになる前（登録から1年後。デバイスページを参照）に、ユーザーにデバイスの再登録を依頼してください。 
 管理を離れるには、ユーザーが設定の同じ場所で仕事用アカウントからサインアウトするか、Cerberus Enterprise からデバイスを登録解除します。User Enrollment では仕事用のアプリ、アカウント、データのみが削除され、個人データは残ります。再登録したデバイスは新しいデバイスとして表示されます。 
 登録直後、ポリシーの一部のプロファイル (証明書、Wi-Fi ネットワーク、Web クリップ) が不明なエラーで失敗として報告され、デバイスがしばらく コンプライアンス違反 と表示されることがあります。デバイスは自動的に再試行し、しばらくすると何も操作しなくてもインストールされます。このため、ポリシーを再度保存したり、デバイスを再登録したりしないでください。 
個人デバイス上のアプリ
 User Enrollment で登録された iPhone および iPad にはシリアル番号がないため、Apps and Books はデバイスライセンスを付与できません。Cerberus Enterprise は、ポリシーの App Store アプリに代わりにユーザーライセンスを付与します。ライセンスは、デバイスでサインインしている Managed Apple Account に付与されます。ポリシーに変更はありません。同じポリシーが会社のデバイスと個人のデバイスに使用され、Cerberus がデバイスごとにライセンスの種類を選択します。 
自動：最初の登録時に、Cerberus は Managed Apple Account を Apps and Books に登録し、ポリシーの各 App Store アプリのライセンスを Apple に要求します。無料アプリにもライセンスが必要です。Apple は無料アプリに無制限のライセンスを付与します。有料アプリは Managed Apple Account ごとに1つのライセンスを使用し、そのアカウントのすべての個人デバイスで共有されます。 
同じ組織：Managed Apple Account と Cerberus Enterprise の Apps and Books トークンは同じ Apple Business 組織に属している必要があり、アプリはトークンの場所のライブラリに存在する必要があります。 
ライセンス優先：アプリは、Apple がライセンスを確認した後にのみデバイスに送信されます。通常は数分以内です。それまでは、デバイスのアプリケーションパネルにユーザーライセンスを待機していますと理由が表示されます。 
インストール プロンプト: 個人デバイスは監督されないため、iOS は各アプリをインストールする前にユーザーに確認します。これには、Cerberus がこれらのデバイスにもインストールする Cerberus Enterprise アプリが含まれます (インストール または キャンセル)。Apple Account へのサインインは不要です。ユーザーがキャンセルした場合、アプリには ユーザーによるインストールの承認を待機中 と表示されます。デバイス ページで 再要求 を使用して、プロンプトを再度表示してください。必須 としてインストールされたアプリは、ユーザーが削除できません。 
登録前にインストールされたアプリ：Apple は、User Enrollment で登録されたデバイスにユーザーが個人的にインストールしたアプリを組織が引き継ぐことを許可していません。登録前にユーザーに自分のコピーを削除してもらうか、削除してからデバイスページで再リクエストを使用してください。その後、組織が管理対象のコピーをインストールします。 
管理を離れる場合：デバイスの登録が解除されると、iOS は管理対象アプリとそのデータを削除します。ライセンスは、同じ Managed Apple Account の他の登録済みデバイスがそれを必要としなくなったときに解放されます。たとえば、アプリがポリシーから削除された場合や、最後のデバイスが登録解除された場合です。不要になったライセンスは、毎日のチェックで1日以内に解放されます。 
 Apple がライセンスを割り当てられない場合（たとえば、有料アプリに残りのライセンスがない場合）、アプリには Apple のメッセージとともにユーザーライセンスに失敗しましたが表示されます。Apple Business でライセンスを追加してから、デバイスページで再リクエストを使用してください。Cerberus も毎日のチェックで自動的に再試行します。アプリリストの上の行には、Managed Apple Account とその Apps and Books ユーザーのステータスが表示されます。同じステータスはユーザーのページにも表示されます。 
 ユーザーライセンスは iPhone と iPad でのみ使用されます。User Enrollment で登録された Mac では、ポリシーの App Store アプリはインストールされません。Books と個人用 Apple Account はサポートされていません。