ユーザーマニュアル

• はじめに
• セットアップ
• Android Management のセットアップ
• Apple Management のセットアップ（APNs）
• デバイスプロビジョニングの概要
• デバイスのプロビジョニング - Android
• サポートされているデバイス
• 登録トークン
• 個人所有デバイス
• 仕事と個人利用向けの会社所有デバイス
• 仕事専用の会社所有デバイス
• Zero-touch
• Authenticate Using Google Enrollment
• デバイスのプロビジョニング - Apple
• Appleプロビジョニングの概要
• Apple の手動登録（登録プロファイル）
• Apple Automated Device Enrollment（ADE）
• Apple のアカウント主導の登録
• ポリシーの概要
• ポリシー - Android
• 概要
• アプリ管理
• キオスクモード
• セキュリティ
• マルチメディア
• モバイル通信
• ネットワーク
• システム
• 位置情報とジオフェンス
• ユーザー管理
• 個人利用
• プロファイル間ポリシー
• ステータスレポート
• その他
• コンプライアンス ルール
• ポリシー - Apple
• Appleポリシー
• アプリとプロファイル
• キオスクとホーム画面
• パスコード
• 制限
• ネットワーク
• ソフトウェアアップデート
• macOS
• 位置情報とジオフェンス
• アカウント
• コンプライアンスルール
• デバイスの状態
• デバイスの概要
• 位置マップ
• SIM 管理
• コマンド
• ダッシュボードの位置マップ
• プライベートアプリ
• 証明書管理
• イベントルール
• デバイス
• デバイス
• ユーザー
• ユーザー
• ユーザーエディタ
• アカウント
• 設定
• マルチテナンシー
• マルチテナンシーの概要
• 管理対象エンタープライズ
• エンタープライズの切り替え
• サブアカウント
• インサイト

はじめに

Cerberus Enterpriseは、AndroidおよびAppleデバイスの保護と管理を支援するために設計された包括的なEMMソリューションです。BYODおよび会社所有デバイスを効果的に管理するための適切な機能を備え、クリーンで使いやすいダッシュボードで数分ですぐに始められます。

Cerberus Enterpriseを効果的に使用するには、システムの仕組みに関するいくつかの主要な概念を理解する必要があります。

このシステムは、AndroidとAppleの両方のデバイス管理をサポートしています：

Androidでは、Cerberus EnterpriseはGoogleの公式Android Management APIを使用し、Android Device Policyアプリ（ADP）を通じてデバイスを管理します。ほとんどの設定はADPによって直接適用されます。一部のオプション機能では、ADPだけでは実現できない機能を拡張するCerberus Enterpriseコンパニオンアプリも必要になる場合があります。

Apple デバイス（iPhone、iPad、Mac）では、Cerberus Enterprise は Apple MDM（Mobile Device Management）を通じてデバイスを管理します。Apple の管理には APNs 証明書が必要で、自動登録とアプリのライセンス管理のために Apple Business と任意で連携できます。iOS または iPadOS 18.4 以降の iPhone と iPad では、Cerberus は Cerberus Enterprise コンパニオンアプリもインストールし、このアプリがデバイスの位置情報を共有して通知を受信します。

各デバイスは登録でき、登録トークンまたは登録プロファイル（Appleの手動登録）を使用します。登録方法は、デバイスに適用するルールを含むポリシーに関連付けられます。

IT管理者は、登録後にデバイスに関連付けられたポリシーを変更できます。ただし、各デバイスは一度に1つのポリシーにのみ関連付けることができます。

登録（プロビジョニング）プロセス中に、必要な管理コンポーネントが自動的にインストールおよび構成されます。Androidでは、通常、Android Device Policyアプリ（および構成によってはCerberus Enterpriseコンパニオンアプリ）が含まれます。Appleデバイスでは、デバイスの登録後にMDMを通じて管理が適用され、iPhoneおよびiPadにはCerberus Enterpriseコンパニオンアプリがインストールされます（これにはApple Businessライブラリ内の無料アプリとApps and Booksトークンが必要です）。その結果、対応するポリシーがデバイスに自動的に適用され、関連するすべてのルールがプラットフォーム管理システムによって適用されます。

1つのポリシーを多数のデバイスに適用できます。その場合、ポリシーを変更すると、関連付けられたすべてのデバイスに変更が反映されます。

 

セットアップ

Android Management のセットアップ

Cerberus Enterprise で Android デバイスを管理するには、まず組織を Google Android Enterprise に接続する必要があります。

セットアッププロセスは通常数分かかり、仕事用メールアドレス（例：name@enterprise.com）または代替として個人の Google メールアドレスが必要です。

セットアップ中に起こること

• Google Android Enterprise にリダイレクトされます。
• 仕事用メールアドレス（または個人の Google メールアドレス）でサインインします。
• Google が組織の Android Management アカウントを作成します。
• セットアップを完了するために Cerberus Enterprise にリダイレクトされます。

重要な情報

個人の Gmail アカウントではなく、仕事用メールアドレスでサインアップすることをお勧めします。メールアドレスがすでに Google Admin アカウントに関連付けられている場合、その既存のアカウントが再利用され、Cerberus Enterprise に割り当てられます。そうでない場合は、新しい無料の Google Admin アカウントが作成されます。Google Admin アカウントでは、すべての機能セットを利用できます。たとえば、Google Admin ドメインで管理されているアカウントを使用した Google 認証でデバイスを登録できます。

仕事用メールアドレスをお持ちでない場合

個人の Google メールアドレス（Gmail アカウントなど）でサインアップすることもできます。この場合、Google は Cerberus Enterprise に割り当てられた無料の管理対象 Google Play アカウントを作成します。

次のステップ

セットアップを完了したら、登録トークンを作成し、デバイスに適したプロビジョニング方法を選択します。

Apple Management のセットアップ（APNs）

Apple デバイスを管理するには、Cerberus Enterprise に Apple Push Notification service（APNs）証明書が必要です。

組織に関連付けられた Apple ID を使用してください。APNs 証明書は1年間有効で、デバイスの管理を継続するには毎年更新する必要があります。

ステップ 1：CSR ファイルをダウンロードする

ダッシュボードで Apple Management のセットアップを開始し、Cerberus Enterprise によって生成された Vendor-Signed Certificate Signing Request（CSR）ファイルをダウンロードします。

ステップ 2：Apple ポータルでプッシュ証明書を作成する

• Apple ID で Apple Push Certificates Portal にサインインします。
• 「証明書を作成」をクリックします。
• ステップ 1 の CSR ファイルをアップロードします。
• 作成されたプッシュ証明書をダウンロードします。

ポータルリンク：https://identity.apple.com/

ステップ 3：プッシュ証明書をアップロードする

Apple からダウンロードしたプッシュ証明書を Cerberus Enterprise にアップロードして、セットアップを完了します。

APNs 証明書が期限切れになると、証明書が更新されるまで Apple デバイス管理が機能しなくなります。

有効期限の30日前から、ダッシュボードに更新方法アクションを含むバナーが表示されます。Apple Push Certificates Portal で、常に同じ Apple ID を使用して既存の証明書を更新してください。新しい証明書はトピックが異なるため、すでに登録されているデバイスは再登録が必要になります。

次のステップ

APNs を構成したら、Apple デバイスの登録に進むことができます。Apple プロビジョニングの概要に進んでください。

デバイスプロビジョニングの概要

Cerberus Enterpriseは、AndroidとAppleの両方のプラットフォームのデバイス管理をサポートします。登録する必要があるデバイスに応じて、どちらのプラットフォームも個別に構成できます。

1. ダッシュボードでプラットフォームのセットアップを完了する

デバイスを登録する前に、Cerberus Enterpriseダッシュボードでプラットフォームのセットアップを完了してください。アカウントがまだ構成されていない場合、ダッシュボードが必要な手順を案内します。

Androidのセットアップ（Google Android Enterprise）

Androidのセットアップ手順の詳細については、Android Managementの設定をお読みください。

• ダッシュボードのサインアップフローに移動し、Android Managementをセットアップを選択します。
• Googleにリダイレクトされ、仕事用アカウントでサインインしてAndroid Enterpriseを承認します。
• 承認後、Cerberus Enterpriseにリダイレクトされ、セットアップを完了します。

Appleのセットアップ（APNsプッシュ証明書）

Appleのセットアップ手順の詳細については、Apple Managementの設定（APNs）をお読みください。

• ダッシュボードのサインアップフローに移動し、Apple Managementをセットアップを選択します。
• Cerberus EnterpriseからCSRファイルをダウンロードします。
• Apple Push Certificates PortalでAPNs証明書を作成し、生成された証明書をダウンロードします。
• ダウンロードした証明書をCerberus Enterpriseにアップロードし直して、Appleデバイス管理を有効にします。

2. デバイスを登録する

プラットフォームのセットアップを完了したら、デバイスの所有形態とOSに合った登録方法を選択します。

Android登録

Androidでは、登録は登録トークンによって実行されます。デバイスが個人所有か会社所有かに応じて、適切な方法を選択します。

• 個人所有（BYOD / ワークプロファイル）：このガイドに従ってください。
• 会社所有（仕事と個人利用 / ワークプロファイル）：このガイドに従ってください。
• 会社所有（仕事専用 / 完全管理または専用）：このガイドに従ってください。
• Zero-touch：このガイドに従ってください。

Apple登録

Appleの場合は、上記のAPNsのセットアップを完了してから、Appleプロビジョニングガイド（Appleプロビジョニングの概要）に従ってください。

デバイスのプロビジョニング - Android

サポートされているデバイス

一般に、Google Play開発者サービスを備えたAndroid 6以降を実行するデバイスは、Cerberus Enterpriseと互換性があります。

より良いユーザーエクスペリエンスのために、Android Enterprise Recommendedの要件を満たすデバイスの使用をお勧めします。

一部の機能は特定のAndroidバージョンに限定されているか、OSバージョンによって動作が異なる場合があります。特定の機能の詳細については、ドキュメントのポリシーセクションを参照してください。

Cerberus Enterpriseは、会社所有デバイスと個人所有デバイスの両方、および2つの管理モード（デバイス所有者とプロファイル所有者）をサポートします。

個人所有デバイスは、ワークプロファイルを通じて管理できます。これにより、従業員の仕事用データとアプリを個人用データとアプリから分離し、セキュリティとプライバシーの両方を向上させるBYODソリューションが可能になります。このオプションは、従業員がすでに所有しているデバイスを、仕事用として組織に登録する場合に適しています。

会社所有デバイスもワークプロファイルを通じて管理できますが、デバイスをより厳密に制御できる完全管理オプションを選択することもできます。ワークプロファイルを備えた会社所有デバイスは、従業員に仕事用の会社デバイスを提供しつつ、個人利用も許可する場合に適しています。完全管理デバイスは、仕事専用で使用する必要があるデバイスや、キオスクなどの専用デバイス（COSU、企業所有の単一用途）に適しています。

デバイスのプロビジョニングの詳細については、デバイスプロビジョニングの概要ページを参照してください。

登録トークン

Cerberus Enterpriseは登録トークンを使用してAndroidデバイスの登録（プロビジョニング）プロセスを開始します。選択したトークンによって、登録済みデバイスに適用される初期ポリシーが決まり、許可されるプロビジョニングモードが左右されます。

Android登録トークンのタブは、Android Managementの設定を完了した後にのみ使用できます。

登録トークンの場所

ダッシュボードで登録トークンを開きます。アカウントの構成に応じて、ページには複数のタブ（Androidトークン、Googleサインイン登録、Appleの手動登録、Apple Automated Device Enrollment）が表示される場合があります。

Androidエンタープライズが管理対象Googleドメイン（Google Workspace）によってサポートされている場合、ダッシュボードにはAuthenticate Using Google Enrollmentタブも表示されます。有効化と使用方法の詳細については、Authenticate Using Google Enrollmentを参照してください。

登録トークンのリスト（Android）

Androidトークンのタブには、すべてのトークンのテーブルが表示されます。行をクリックすると、トークンの詳細ページが開きます。

列

• ステータス：有効（デバイスはこのトークンで登録できます）、期限切れ（有効期限が過ぎています）、または使用済み（すでに使用された 1 回限りのトークン）です。
• ポリシー：トークンに割り当てられたポリシー（ツールチップにポリシー ID が表示されます）。削除されたポリシーは、トークンの作成後にポリシーが削除されたことを意味します。
• ユーザー：このトークンで登録されるデバイスに事前に割り当てられたオプションのユーザー。削除されたユーザーは、トークンの作成後にユーザーが削除されたことを意味します。
• 登録数：このトークンで登録されたデバイスの数。1 回限りのトークンではn / 1と表示されます。
• 個人利用: 許可 / 不許可 / 専用デバイス。
• 作成日：トークンが作成された日時。テーブルには新しいトークンが最初に表示されます。
• 有効期限: 有効期限の日時、またはなし。
• 登録コード：トークンのコード。QR コードを使わずにデバイスを登録するときに入力するものです。

アクション

• 各行には削除アクション（登録トークンを削除）があります。ライセンスが期限切れの場合、削除は無効になります。
• テーブルは複数行の選択をサポートしています。選択モードを有効にして複数のトークンを選択し、選択したトークンを削除で削除できます。
• 更新アクションを使用してリストを再読み込みします。テーブルはページ分割されています（1ページあたり10/25/50項目）。

新しい登録トークンを作成する

Androidトークンのタブで新しい登録トークンをクリックすると、トークン作成ページが開きます。ライセンスが期限切れの場合、作成ボタンは無効になります。

トークンのオプション

1. ポリシー

必須。このトークンを使用して登録されたすべてのデバイスに自動的に適用されるポリシーです。Androidポリシーのいずれかを選択します。まだポリシーがない場合は、先に作成してください。

2. ユーザー

任意。設定すると、新しく登録されたデバイスがこのユーザーに自動的に関連付けられます。

3. 個人利用

この登録トークンでプロビジョニングされたデバイスで個人利用を許可するかどうかを制御します：

• 許可: 個人所有デバイス（ワークプロファイル）および仕事と個人利用向けの会社所有デバイスに適しています。
• 不許可: 仕事専用の会社所有デバイス（完全管理）に適しています。
• 専用デバイス: キオスク/専用デバイスに適しています（デバイスは単一のユーザーに関連付けられません）。

4. 許可される使用回数

トークンを複数回使用できるか（複数回）、1回のみ使用できるか（1回のみ）を選択します。

5. 有効期限

有効期限の単位（分、時間、日、またはなし）を選択します。「なし」以外の場合は、有効期限の値を入力します。許可される範囲は選択した単位によって異なり、最大10,000日まで設定できます。

6. Google認証

デバイス登録時にユーザーがGoogleアカウントで認証する必要があるかどうかを制御します：

• 未指定: エンタープライズレベルのGoogle認証設定を使用して、登録時にユーザーがGoogleで認証する必要があるかどうかが決まります。
• 任意: ユーザーは登録時のGoogle認証をスキップできます。
• 必須: ユーザーは登録を続行するためにGoogleアカウントで認証する必要があります。

必須を選択すると、オプションの必須アカウントのメールアドレスフィールドが表示されます。設定した場合、ユーザーは登録時にその特定のGoogleアカウントで認証する必要があります。

プロビジョニングオプション（QRコードのみ）

これらの追加オプションはQRコードに埋め込まれ、QRコードをスキャンして登録する完全管理デバイスのプロビジョニング中に適用されます。ワークプロファイルや、登録URLまたはトークンを使用して登録されたデバイスには適用されません。

Wi‑Fi構成

これを使用すると、プロビジョニング中にデバイスをWi‑Fiに自動接続させ、管理アプリをダウンロードして初期化できるようにします。使用可能なフィールドには、SSID、非表示SSID、セキュリティ、および（必要な場合は）パスフレーズがあります。

HTTPプロキシ（プロキシ）を構成することもでき、モードに応じてホスト/ポート、PAC URI、プロキシバイパスホストを設定できます。

その他のオプション

追加オプションには、ロケール、タイムゾーン、暗号化をスキップがあります。

登録トークンの詳細

トークンを開くと、詳細ページにトークンの構成と使用状況が表示されます：

• ステータス、有効期限、使用状況、個人利用、許可される使用回数、および（設定されている場合）Google認証とオプションの必須アカウントのメールアドレス。
• トークン: 登録トークンの生の値（コピー可能）。
• 登録URL: Google Android Enterpriseの登録URL（コピー可能で、メールで送信できます）。
• QRコード: ページの右側に表示され、完全管理デバイスの登録に使用されます。

プロビジョニングの手順については、Android登録ガイド（個人所有デバイス、仕事と個人利用向けの会社所有デバイス、仕事専用の会社所有デバイス、Zero-touch）に従ってください。

個人所有デバイス

登録トークンのリンク

Androidバージョン

6.0+

「設定」からワークプロファイルを追加

Androidバージョン

6.0+

Android Device Policyをダウンロード

Androidバージョン

6.0+

個人所有のiPhoneとiPad

個人の iPhone と iPad (および Mac) は Apple の User Enrollment で登録されます。ユーザーはデバイス設定で Managed Apple Account にサインインし、仕事用のアプリ、アカウント、データのみが管理されます。iPhone と iPad では、ポリシーの App Store アプリと Cerberus Enterprise アプリが、そのアカウントのユーザー ライセンスでインストールされます。個人デバイスの位置情報は、ポリシーで 個人デバイスの位置情報とジオフェンス が有効になっており、ユーザーが許可した場合にのみ収集されます。Apple アカウント駆動型登録 を参照してください。

仕事と個人利用向けの会社所有デバイス

• ほとんどのアプリ、データ、その他の管理ポリシーはワークプロファイルにのみ適用されます。
• 従業員の個人プロファイルはプライベートなままです。ただし、企業はデバイス全体に適用される特定のポリシーや個人利用ポリシーを適用できます。
• 企業はブロックスコープを使用して、デバイス全体またはワークプロファイルのみにコンプライアンスアクションを適用できます。
• デバイスの登録解除とデバイスコマンドは、デバイス全体に適用されます。

QRコード方式

Androidバージョン

8.0+

仕事専用の会社所有デバイス

QRコード方式

Androidバージョン

7.0+

DPC識別子方式

Androidバージョン

5.1+

Zero-touch

IT管理者は、IT管理者向けのZero-touch登録で説明されているZero-touch登録方式を使用して、会社所有デバイスをプロビジョニングできます。デバイスの電源を初めて入れると、デバイスはIT管理者が定義した設定に自動的に強制されます。

IT管理者は、認定リセラーから購入したデバイスを事前に構成し、Cerberus Enterpriseダッシュボードを使用して管理できます。Zero-touchアカウントをリンクするには、ダッシュボードのZero-touchセクションに移動し、指示に従ってください。

Androidバージョン	ワークプロファイル	完全管理デバイス	専用デバイス
8.0+ (Pixel 7.1+)	✓	✓	✓

Authenticate Using Google Enrollment

Authenticate Using Google Enrollment（Google Authentication for Enrollmentとも呼ばれます）を使用すると、ユーザーはAndroidデバイスの登録時にGoogle Workspaceアカウントで認証できます。

この機能は、管理対象Googleドメイン（Google Workspace）によってサポートされるAndroidエンタープライズでのみ使用できます。

場所

ダッシュボードで登録トークンを開き、Authenticate Using Google Enrollmentタブを選択します。このタブは、Android Managementが構成され、お使いのエンタープライズでGoogle Workspace連携が利用可能な場合にのみ表示されます。

Google認証を有効化（または無効化）する

Google認証はGoogle Admin コンソールから有効化します。設定を変更したら、Cerberus Enterpriseに戻り、ステータスを更新を使用して現在の構成を再読み込みします。

1. 管理者アカウントでGoogle Admin コンソールにログインします。
2. デバイスを開きます。
3. モバイルとエンドポイント → 設定 → サードパーティ統合に移動します。
4. Cerberus EnterpriseのAndroid EMM統合を見つけて開きます。
5. EMMプロバイダーを管理をクリックします。
6. Authenticate Using Googleを切り替えて、登録時のGoogle認証を有効または無効にします。
7. 保存をクリックします。
8. Cerberus Enterpriseダッシュボードに戻り、Authenticate Using Google Enrollmentタブのステータスを更新をクリックします。

Google認証の登録トークン

Google認証が有効になると、ダッシュボードに、この登録モードで使用される専用の登録トークンが表示されます。ページにはQRコード、登録トークンの値、および登録URL（コピー可能で、メールで送信できます）が表示される場合があります。

主なオプション

• 個人利用を許可: トークンが仕事と個人利用向け（ワークプロファイルのシナリオ）または仕事専用（完全管理/専用のシナリオ）のデバイスを登録できるかどうかを制御します。
• フォールバックの既定ポリシー: 登録するユーザーに特定のGoogle認証の既定ポリシーが割り当てられていない場合に適用されるポリシーです。

ポリシーとの相互作用

ポリシー設定仕事用アカウントのセットアップ認証（workAccountSetupConfig.authenticationType）は、仕事用アカウントのセットアップ時にユーザーが認証する方法を制御しますが、Google Admin Consoleの設定Authenticate Using Googleと登録トークンの種類によって、認証が引き続き要求される場合があります。

すでに登録済みのデバイスでは、このポリシーは、デバイスが管理対象Google Playアカウントによって管理されている場合（つまり、Authenticate Using Google Enrollmentなしで登録された場合）にのみ適用されます。

一部のアクション（たとえばトークンオプションの変更）は、ライセンスが期限切れの場合に無効になることがあります。

デバイスを登録する

登録時に、ユーザーはGoogle Workspaceアカウントでの認証を求められます。登録が成功すると、デバイスは認証されたユーザーに関連付けられます。

ワークプロファイル（個人所有デバイス）

• 登録URLをユーザーと共有します。ユーザーがAndroidデバイスでそれを開くと、ワークプロファイルのセットアップとGoogle認証の手順が案内されます。
• または、ユーザーはAndroidの設定から開始してワークプロファイルのセットアップフローを選択し、プロンプトが表示されたらQRコードをスキャンするか登録トークンを入力することもできます。

会社所有デバイス

• QRコード方式: 新しいデバイスまたは工場出荷状態にリセットしたデバイスで、QRコードのプロンプトが表示されるまで同じ場所を複数回タップし、ダッシュボードに表示されるQRコードをスキャンします。
• DPC識別子方式（QRスキャンが利用できない場合）：セットアップウィザードに従い、Wi‑Fiに接続してから、サインインを求められたらafw#setupを入力し、QRコードをスキャンするか登録トークンを入力して続行します。プロンプトが表示されたら、Google Workspaceアカウントで認証します。

Androidの一般的なプロビジョニング手順（ワークプロファイルと完全管理の違い）については、このマニュアルの標準的なAndroid登録ページを参照してください。

デバイスのプロビジョニング - Apple

Appleプロビジョニングの概要

Cerberus Enterprise は、iPhone、iPad、Mac の登録と管理をサポートしています。Apple のプロビジョニングには APNs 証明書が必要で、さまざまな登録方法を使用して実行できます。

前提条件：Apple Management（APNs）を構成する

Appleデバイスを登録する前に、Apple Managementの設定（APNs）を完了してください。

登録方法を選択する

手動登録（登録プロファイル）

この方法では、登録URLと、デバイスにインストールする構成プロファイル（mobileconfig）が提供されます。Appleの手動登録をお読みください。

Automated Device Enrollment（ADE）

この方法はApple Businessと連携して、会社所有デバイスの登録を自動化します。Apple Automated Device Enrollment（ADE）をお読みください。

アカウント駆動型登録（仕事用アカウントでサインイン）

ユーザーは、デバイスの設定でManaged Apple Accountを使ってサインインすることで、iPhone、iPad、またはMacを登録します。個人所有デバイスにはUser Enrollment、Apple Businessにない会社所有デバイスにはDevice Enrollmentを使用します。Appleのアカウント駆動型登録をお読みください。

User Enrollmentで登録された個人所有のiPhoneとiPadでは、ポリシーのApp Storeアプリが、Cerberusが自動的に割り当てるManaged Apple Accountのユーザーライセンスでインストールされます。ユーザーには各アプリのインストールを求めるメッセージが表示されます。Managed Apple AccountとApps and Booksトークンは、同じApple Business組織に属している必要があります。個人所有デバイスのアプリをお読みください。

iPhoneとiPadのCerberus Enterpriseアプリ

登録後、Cerberus はCerberus Enterpriseアプリを、iOS または iPadOS 18.4 以降の iPhone と iPad に、ポリシーの有無にかかわらずインストールします。このアプリはデバイスの位置情報を共有し、通知とライブ追跡リクエストを受信します。個人用デバイス（User Enrollment）では、ポリシーで個人用デバイスの位置情報とジオフェンスがオンになっていて、ユーザーが許可した場合にのみ、メッセージを受信し、位置情報を共有します。1 回だけの手順が必要です。無料のアプリを Apple Business ライブラリに追加してください（Apps & Books → App Storeで「Cerberus Enterprise」を検索し、現在および将来のすべての組織単位に対して追加）。監視対象デバイスではサイレントにインストールされます。それ以外のデバイスでは、ユーザーにインストールを求めます。ユーザーが App Store からすでにインストールしている場合、デバイスは組織にアプリの管理を許可するよう求め、アプリはデータと権限を保持します。ユーザーが拒否した場合は、デバイスページの再試行を使用します。ユーザーはアプリを削除できず、Apps and Books トークンが期限切れになってもインストールされたままです。Mac にはアプリはインストールされません。

デバイスの構成や購入プロセスに応じて、手動登録とADEを並行して使用できます。

Apple の手動登録（登録プロファイル）

Cerberus Enterprise は、QR コード、登録 URL、または登録プロファイルファイルを使用した Apple デバイスの手動登録をサポートしています。

手動登録は、Apple Management（APNs）が構成されている場合に利用できます。APNs のセットアップがまだ完了していない場合は、Apple Management のセットアップ（APNs）を参照してください。

ユーザーは、デバイス設定で仕事用アカウントにサインインすることにより、プロファイルなしで iPhone、iPad、Mac を登録することもできます。Apple のアカウント主導の登録を参照してください。

登録トークン

登録トークンには独自の登録 URL と QR コードがあり、それを使用して登録するデバイスに次の設定を割り当てます。

• ポリシー：デバイスが登録されるとすぐに適用されます。
• ユーザー：デバイスに割り当てられます。トークンにユーザーがない場合、デバイスにはユーザーがありません。
• 所有権：会社所有または個人所有。設定されていない場合、監視対象デバイスは会社所有に、それ以外は個人所有に設定されます。手動で登録した iPhone と iPad は監視対象ではありません。Mac は監視対象であるため、会社所有に設定されます。
• 有効期限：この日を過ぎると登録 URL は機能しなくなります。以前にダウンロードしたプロファイルは引き続きインストールできます。
• 許可される登録数：トークンで登録できるデバイスの数。制限なしにする場合は空のままにします。

トークンを作成するには、ダッシュボードの登録セクションを開き、Apple の手動登録（登録プロファイル）タブを選択して新しい登録トークンをクリックします。名前と設定を指定してトークンを作成をクリックします。トークンページには、登録 URL、QR コード、登録プロファイルをダウンロードボタンが表示されます。

トークンのテーブルには、各トークンのステータス（有効、期限切れ、使用済み）、有効期限、許可された数に対する登録数、および最終使用（そのトークンで最後にデバイスが登録された日時）が表示されます。次にポリシー、ユーザー（ホバーするとメールが表示されます）、所有権、作成日（ホバーするとトークンを作成したユーザーが表示されます）が続きます。新しいトークンが最初に表示され、任意の列で並べ替えられます。最終使用で並べ替えると、誰も使用していない有効なトークンを見つけられ、削除するとその登録 URL が機能しなくなります。トークンの保存後に削除されたポリシーまたはユーザーは、警告アイコン付きの削除されたポリシーまたは削除されたユーザーとして表示されます。トークンを編集して別のものを選択してください。

トークンへの変更は次回の登録に適用されます。すでに登録されているデバイスは、現在のポリシーとユーザーを維持します。トークンが削除された場合、期限切れになった場合、または許可された登録数に達した場合、その登録 URL は機能しなくなります。

トークンなしの登録

同じタブのトークンなしの登録パネルには、組織の登録 URL があります。これを使用して登録されたデバイスにはポリシーもユーザーも設定されません。デバイスページから割り当ててください。

デバイスのポリシーとユーザーは登録方法によって異なります。登録トークンを使用した場合はトークンのポリシーとユーザー、Automated Device Enrollment の場合は ADE プロファイルのポリシー（デバイスページで割り当てられたユーザーは維持）、トークンなしの登録 URL、QR コード、またはプロファイルの場合はポリシーもユーザーもなし（デバイスに ADE プロファイルがある場合でも）です。再登録したデバイスは、以前の登録のポリシーとユーザーを維持しません。デバイスページに表示されるのは、新しい登録で割り当てられた場合のみです。Return to Serviceで消去されたデバイスのみ、現在のポリシーとユーザーで再登録されます。

登録 URL とプロファイルを取得する

• 登録セクションのApple の手動登録（登録プロファイル）タブでトークンを開くか、トークンなしの登録を展開します。
• 登録 URLをコピーするか、メール送信アクションを使用します。
• iPhone または iPad のカメラで、Enrollment URL の横に表示されるQR コードをスキャンします。デバイス上で同じ Enrollment URL が開きます。Mac では、Enrollment URL またはプロファイルファイルを使用します。
• 登録プロファイル（mobileconfig ファイル）をダウンロードします。

iPhone または iPad を登録する方法

iOS/iPadOS 15.0 以降

まず、次のいずれかの方法を使用して、デバイスに登録プロファイルをダウンロードします：

方法1：QRコード

デバイスでカメラアプリを開き、登録URLの横に表示されるQRコードにかざしてから、表示されるリンクをタップします。Safariが登録URLを開き、構成プロファイルのダウンロードを許可するか確認するので、許可をタップします。

方法2：登録URL

登録URLをユーザーに送信し（たとえばメール送信アクションを使用）、デバイスのSafariで開いてから、構成プロファイルをダウンロードするために許可をタップします。

方法3：登録プロファイルのファイル

登録プロファイルのファイル（enroll.mobileconfig）をダウンロードし、たとえばメールの添付ファイルやAirDropでデバイスに送信してから、デバイスで開きます。

次に、デバイスで登録を完了します：

1. デバイスで設定 → ダウンロード済みのプロファイル → インストールを開き、画面の指示に従います。
2. 登録後、設定 → 一般 → VPN & デバイス管理（またはプロファイル & デバイス管理）で状態を確認できます。

登録後、iOSまたはiPadOS 18.4以降を搭載したiPhoneとiPadにはCerberus Enterpriseアプリが配信されます。手動で登録された（監視されていない）デバイスでは、ユーザーにアプリのインストールを求めるメッセージ、またはApp Storeからすでにインストールされている場合は組織による管理を許可するよう求めるメッセージが表示されます。ユーザーが拒否した場合は、デバイスページの再試行を使用します。アプリは一度Apple Businessライブラリに追加されている必要があります（アカウント設定を参照）。

iPhone と iPad では、ダウンロードしたプロファイルが 8 分以内にインストールされない場合、デバイスによって削除されます。その場合は、もう一度ダウンロードしてください。

Mac を登録する方法

macOS 13.0+

QR コードは iPhone と iPad でのみ機能します。次のいずれかの方法で、Mac に登録プロファイルをダウンロードしてください：

方法 1：Enrollment URL

Enrollment URL をユーザーに送信し（例：メール送信アクションを使用）、Mac のSafariで開いてから、求められた場合はダウンロードを許可します。プロファイルが自動的に開かない場合は、ダウンロードしたenroll.mobileconfigファイルを開きます。

方法 2：登録プロファイルファイル

登録プロファイルファイル（enroll.mobileconfig）をダウンロードし、メールの添付ファイルや AirDrop などで Mac に送信してから、Mac で開きます。

プロファイルを開いても、ダウンロード済みプロファイルに追加されるだけです。その後、Mac のメインユーザーとしてログインし、Mac で登録を完了します：

1. システム設定 → 一般 → デバイス管理（macOS 13 および 14：プライバシーとセキュリティ → プロファイル）を開きます。ダウンロード済みセクションで登録プロファイルをダブルクリックし、登録（またはインストール）をクリックして、指示に従います。求められた場合は、Mac の管理者の名前とパスワードを入力します。
2. 登録後、登録プロファイルが同じ場所に表示されます。ターミナルで、profiles status -type enrollmentを実行すると、MDM enrollment: Yes (User Approved)と表示されます。

手動で登録した Mac は監視対象となり、プロファイルをインストールしたユーザーがデバイスページのMac ユーザーパネルに表示されます。Mac には Cerberus Enterprise アプリはインストールされません。プロファイルがダウンロード済みセクションにない場合は、もう一度ダウンロードしてください。

Cerberus Enterpriseダッシュボードから取得した登録プロファイルのみをインストールしてください。

Apple Automated Device Enrollment（ADE）

Automated Device Enrollment（ADE）は Apple Business（旧 Apple Business Manager）と連携し、会社所有の iPhone、iPad、Mac を初めて電源を入れたとき（または工場出荷状態にリセットした後）に自動的に登録します。

ADE を使用するには、先に Apple Management（APNs）を構成する必要があります。必要な場合は、Apple Management のセットアップ（APNs）を参照してください。

デバイスを自動登録する方法

1. Apple Business アカウントにデバイスを追加し、Cerberus Enterprise デバイス管理サービスに割り当てます。Apple Business でDevices → Inventoryを開き、デバイスを選択してAssign Device Managementをクリックするか、Devices → Management Services → Default Device Assignmentで新しいデバイスを自動的に割り当てます。Manage device suppliersおよびAdd devices using Apple Configuratorを参照してください。
2. Apple Business アカウントに新しいデバイスを追加した後、Cerberus Enterprise の デバイス セクションから Apple Business から同期 アクションを使用して同期します。同期されたデバイスは、登録されて初めてライセンスを使用します。
3. ダッシュボードで登録 → Apple Automated Device Enrollment（ADE） → 新しい ADE プロファイルから ADE プロファイルを作成します。
4. デバイスの詳細ページでADE プロファイルフィールドを使用して、デバイスに ADE プロファイルを割り当てます。

登録後、iOS または iPadOS 18.4 以降の iPhone と iPad にはCerberus Enterpriseアプリがインストールされます。ADE で登録されたデバイスは監視対象であるため、ユーザーに確認せずにアプリがインストールされます。セットアップはアプリのインストールを待ちません。アプリは一度 Apple Business ライブラリに登録されている必要があります（アカウント設定を参照）。Mac にはアプリはインストールされません。

ADE プロファイルの設定（概要）

ADE プロファイルは、デバイスの登録方法とセットアップアシスタントの動作を制御します。Cerberus Enterprise では、ADE プロファイルに名前、オプションの初期ポリシー、登録オプション、スキップするセットアップアシスタントのペイン、サポート連絡先、信頼された証明書が含まれます。

プロファイル名

プロファイルの人間が読める名前（例：デフォルトの ADE プロファイル）。

ポリシー

Automated Device Enrollment（セットアップアシスタント）で登録するときにデバイスに適用されるポリシー。登録 URL または QR コードで登録されたプロファイルのデバイスには、代わりに登録トークンのポリシーが適用されます。トークンがない場合はポリシーは適用されません。ポリシーのみを変更した場合、プロファイルはそのまま維持されます。

登録オプション

• MDM を削除可能：MDM ペイロードをデバイスから削除できるかどうかを制御します。
• ペアリングを許可：ペアリングを許可するかどうかを制御します（Apple により iOS 13 で非推奨）。
• セットアップの自動進行：セットアップアシスタントの画面を自動的に進めます（macOS 11 以降の Mac と Apple TV）。
• デバイスの構成完了を待機：セットアップアシスタントは、ADE プロファイルのポリシーが適用されるまで待機するため、ユーザーはアプリと設定が適用された状態で開始できます。その後、Cerberus Enterprise は登録から最大4分後にデバイスの続行を許可します。
• 必須：セットアップ中にプロファイルの適用をスキップできないようにします。
• マルチユーザー（Shared iPad）：デバイスを Shared iPad 用に構成します。
• 監視対象：デバイスの監視を要求します。

セットアップアシスタント

• 部署、サポート電話番号、サポートメール（任意）：プロファイルとともに Apple に送信されます。デバイスに表示されない場合があります。
• スキップするペイン：セットアップアシスタントは選択したペインを表示しません（例：Apple Account、Siri、スクリーンタイム）。各デバイスにはそのシステムのペインのみが表示されます（FileVault や iCloud の書類とデスクトップなど、Mac にのみ存在するものもあります）。すべてスキップとすべて表示で、すべてのペインを選択または解除できます。
• Apple TV：セットアップ自動進行を使用する Apple TV の言語と地域。
• 信頼された証明書：サーバーがデバイスで信頼されていない証明書（プライベート CA の証明書など）を使用している場合にのみ必要です。先に証明書ページで証明書をインポートしてください。

ADE プロファイルの一覧

一覧には、各プロファイルの名前、ポリシー、デバイス、および Apple がプロファイルに付与する識別子である Id が表示されます。名前の後の鍵アイコンは、管理ユーザーが解除できない必須プロファイルを示します。ポリシーなしまたはポリシー削除済みは、そのプロファイルで登録されたデバイスに初期ポリシーが適用されないことを警告します。

デバイス列には、プロファイルの登録済みデバイスと、その横に待機中のデバイス（Apple Business でプロファイルに割り当てられているが、まだ登録されていないデバイス）が表示されます。削除されたデバイスはカウントされません。

プロファイルの変更

Apple は ADE プロファイルの変更を許可していません。プロファイルを変更すると（ポリシーのみの変更を除く）、Cerberus Enterprise は同じ名前で新しいプロファイルを定義し、古いプロファイルのデバイスに割り当てます。古いプロファイルは、それを使用するデバイスがなくなると一覧に表示されなくなります。すでにセットアップアシスタントを完了したデバイスは、次回消去されたときに新しいプロファイルを使用します。

登録済みか待機中かを問わず、どのデバイスも使用していないプロファイルは、ADE プロファイルの一覧から削除できます。Apple はプロファイルの削除を許可していないため、そのプロファイルは使用されないまま Apple Business に残ります。

デバイスに ADE プロファイルが割り当てられると、自動登録の準備が整います。

Apple のアカウント主導の登録

アカウント主導の登録では、ユーザーはデバイス設定で仕事用アカウント（Managed Apple Account、例：name@company.com）でサインインして、iPhone、iPad、Mac を登録します。ダウンロードするプロファイルも QR コードも不要です。Cerberus Enterprise がユーザーを検出し、ポリシーを適用し、所有権を自動的に設定します。

2つのモード

• User Enrollment（個人デバイス）：デバイス内の別エリアで、仕事用のアプリ、アカウント、データのみが管理されます。Cerberus は個人データを表示したり、デバイスを消去したり、位置を特定したり、シリアル番号を読み取ったりすることはできません。デバイスは個人所有として設定されます。iOS および iPadOS 15 以降、または macOS 14 以降が必要です。
• Device Enrollment（Apple Business に登録されていない会社のデバイス）：手動登録と同様に、デバイス全体が管理されます。この方法で登録された Mac は監視対象になりますが、iPhone または iPad は監視対象になりません。デバイスは会社所有として設定されます。iOS および iPadOS 17.1 以降、または macOS 14.1 以降が必要です。

iPhone および iPad と Mac では、別々にモードを選択します。たとえば、個人の iPhone には User Enrollment、Mac には Device Enrollment を選択できます。デバイスの所有権は、後からデバイスページで変更できます。

アカウント主導の登録は、Apple Management（APNs）が構成されている場合に利用できます。APNs のセットアップがまだ完了していない場合は、Apple Management のセットアップ（APNs）を参照してください。

Apple Business をセットアップする

ユーザーは、Apple Business で作成された Managed Apple Account でサインインします。開始する前に：

1. Apple Business で、組織のドメインにドメインを確認（例：company.com）します。
2. ユーザーのManaged Apple Account を作成するか、Apple Business を Google Workspace または Microsoft Entra ID に接続します。これにより、各ユーザーのアカウントは仕事用メールアドレスになり、そのパスワードでサインインします。
3. User Enrollment の場合は、アクセス管理設定で Managed Apple Account が個人デバイスでサインインできることを確認してください。監視対象デバイスでのみサインインできる場合、User Enrollment は失敗します。
4. 以下のApple Businessオプションの場合のみ：Devices → Management Services → Default Device Assignment（Edit）を開き、iPhone、iPad、Mac 用の Cerberus Enterprise デバイス管理サービスを選択します。

デバイスが Managed Apple Account で登録されている間は、Cerberus Enterprise デバイス管理サービスとそのトークンを Apple Business に保持してください。削除すると、デバイスでアカウントが機能しなくなる可能性があります。

Cerberus Enterprise をセットアップする

ダッシュボードの登録セクションを開き、Apple アカウントのサインインタブを選択します。上部のチェックリストに、まだ不足している項目が表示されます。設定を変更できるのは管理者のみです。

• 仕事用アカウントでのサインインによる登録を許可する：組織全体でアカウント主導の登録をオンまたはオフにします。
• ドメイン：ユーザーのアカウントのドメイン（例：company.com）で、最大20個まで。登録できるのはこれらのドメインのアカウントのみで、ドメインが確認された後に限ります（下記参照）。
• iPhone および iPadとMac：各デバイスファミリーに対してオフ、User Enrollment、または Device Enrollment。
• 各モードのポリシー：デバイスが登録されるとすぐに適用されます。ポリシーがない場合、デバイスはポリシーなしで登録されます。変更されたポリシーは次回の登録に適用されます。
• ユーザー：既存のユーザーのみ（Cerberus Enterprise のユーザーのメールアドレスが、デバイスで入力されたアカウントと一致する必要があります）、またはドメインのアカウントにユーザーがいない場合はユーザーを作成する。

デバイスで入力されたアカウントは、まずユーザーのManaged Apple Accountフィールドと照合され、次にメールアドレスと照合されます。コードは常にユーザーのメールアドレスに送信されます。ユーザーに設定された Managed Apple Account は、そのドメインが Cerberus で確認されていなくても登録できます。たとえば、Apple Business の予約ドメインorg.appleid.comのアカウントです。Apple Business のサービス検出を使用する場合、ユーザーは常に Managed Apple Account を入力します。

ドメインを確認する

設定を保存すると、ドメインの確認セクションに各ドメインの TXT レコードが表示されます。それをドメインの DNS に追加し、確認をクリックします。DNS の変更が反映されるまでに時間がかかる場合があります。確認済みのドメインは確認済みのままです。後でレコードを削除できます。確認されていないドメインのユーザーは登録できません。

サービス検出：デバイスが Cerberus Enterprise を検出する方法

ユーザーがサインインすると、デバイスはアカウントのドメイン（例：https://company.com）に、どのサーバーが管理しているかを問い合わせます。次の3つのオプションのうち少なくとも1つを設定してください。タブのサービス検出セクションには、組織の検出 URL と、各オプションでコピーする正確なテキストが表示されます。

オプション 1：Apple Business（推奨）

Apple Business に登録をクリックします。Cerberus Enterprise は検出 URL を Apple Business 組織に保存し、ドメインに何も公開する必要はありません。Apple Business で確認をクリックすると、Apple Business が現在保持している URL が表示され、Apple Business から削除をクリックすると削除されます。

• iOS および iPadOS 18.2 以降、または macOS 15.2 以降が必要です。古いデバイスではオプション 2 または 3 が必要です。
• Cerberus Enterprise で Apple Business が接続されていること（Automated Device Enrollment サービス トークン）、および上記のデフォルトのデバイス割り当てが必要です。
• デバイスは、ドメインが応答しない場合にのみ Apple Business に問い合わせます。アドレスhttps://company.com/.well-known/com.apple.remotemanagementは存在してはなりません（「見つかりません」などのエラー）。Web サイトが Web ページで応答すると、デバイスはそこで停止します。構成を確認を使用して、応答内容を確認してください。

Apple Business は組織ごとに1つの検出 URL を保持します。登録すると、組織のすべての Managed Apple Account がこの Cerberus Enterprise 組織に送信されます。同じ Apple Business 組織を使用する2つの Cerberus Enterprise 組織から登録しないでください。

オプション 2：Web サイトからのリダイレクト

各ドメインの Web サーバーで、/.well-known/com.apple.remotemanagementを組織の検出 URL にリダイレクトし、クエリ文字列を保持します（ユーザーが入力したアカウントが含まれています）。これは、アカウント主導の登録をサポートするすべての OS バージョンで機能し、iPhone と Mac で異なるモードを使用できます。タブから Apache または nginx 用のテキストをコピーしてください。組織のキーを含めると、次のようになります。

Apache（.htaccess または仮想ホスト）：

RewriteEngine On
RewriteRule ^\.well-known/com\.apple\.remotemanagement$ https://enterprise.cerberusapp.com/account-enroll/YOUR-KEY/discovery [R=302,L,QSA]

nginx：

location = /.well-known/com.apple.remotemanagement {
    return 302 https://enterprise.cerberusapp.com/account-enroll/YOUR-KEY/discovery$is_args$args;
}

他の Web サーバーまたはサービス（IIS、Cloudflare、ホスティングコントロールパネルなど）では、同じパスから検出 URL へのリダイレクトルール（302）を、クエリ文字列を保持または転送するオプション付きで作成します。

オプション 3：Web サイト上の静的ファイル

リダイレクトを追加できない場合は、https://company.com/.well-known/com.apple.remotemanagement（ファイル拡張子なし）にファイルを公開し、Content-Type: application/jsonで配信します。その内容はタブからコピーしてください。静的ファイルではデバイスごとにモードを選択できません。iPhone、iPad、Mac で同じモードを使用します。User Enrollment の場合は次のようになります。

{"Servers":[{"Version":"mdm-byod","BaseURL":"https://enterprise.cerberusapp.com/account-enroll/YOUR-KEY/byod"}]}

Device Enrollment の場合は次のとおりです。

{"Servers":[{"Version":"mdm-adde","BaseURL":"https://enterprise.cerberusapp.com/account-enroll/YOUR-KEY/adde"}]}

ファイルのモードは、タブでデバイスファミリーに設定されたモードと同じである必要があります。そうでない場合、登録は拒否されます。

構成を確認

構成を確認で、ドメインとデバイス（iPhone または Mac）を選択し、確認をクリックします。Cerberus Enterprise は、デバイスが問い合わせる内容をドメインに問い合わせ、応答、各リダイレクト、判定を表示します。ドメインが Cerberus Enterprise を指している場合は、オプション 2 または 3 が機能します。エラー応答（「見つかりません」など）はオプション 1 で問題ありません。Web ページまたは別の場所を指すファイルは、デバイスを停止させます。また、リダイレクトがクエリ文字列を削除した場合や、ファイルがapplication/jsonとして配信されていない場合にも警告が表示されます。

登録キー

検出 URL と登録 URL には、組織のキーが含まれています。URL が誤って公開された場合は、キーを再生成をクリックしてください。古い URL はすぐに機能しなくなるため、Web サイトのリダイレクトと静的ファイルを更新してください。オプション 1 を使用している場合、Cerberus Enterprise は新しい URL を自動的に Apple Business に登録します。

ユーザーが登録する方法

1. iPhone と iPad：設定 → 一般 → VPN とデバイス管理 → 職場または学校のアカウントでサインイン。Mac：システム設定 → 一般 → デバイス管理 → サインイン（macOS 14：プライバシーとセキュリティ → プロファイル → サインイン）。
2. Managed Apple Account、または Cerberus のユーザーの仕事用メールアドレス（例：name@company.com）を入力します。ユーザーの Managed Apple Account が入力したものと異なる場合、デバイスはそのアカウントでのサインインを求めます。
3. Cerberus Enterprise のページが開きます。コードを送信をタップし、メールで受け取った6桁のコードを入力します。コードは10分後に期限切れになります。5回間違えると、ユーザーはページを閉じて再度サインインする必要があります。
4. Managed Apple Account のパスワード（または Apple Business が Google Workspace や Microsoft Entra ID に接続されている場合は会社のサインインページ）でサインインし、デバイス管理を許可します。

登録できないアカウント（ドメインが確認されていない、ユーザーが自動作成されない設定で一致するユーザーがいない、同じメールアドレスのユーザーが複数いる）には、「このアカウントは登録用に設定されていません。IT 管理者に問い合わせてください」と表示されます。イベントはダッシュボードのシステムログに記録されます。

登録後

• デバイスページには、登録に使用したManaged Apple Accountと登録タイプ（User Enrollment またはアカウント主導の Device Enrollment）が表示されます。デバイスリストでは、User Enrollment デバイスに「User Enrollment」と表示されます。
• User Enrollment デバイスでは、Apple が許可しないコマンドやポリシー設定（消去、位置情報、紛失モード、OS アップデート、多くの制限）は提供されず、送信されません。ポリシーの App Store アプリは、デバイスライセンスではなくユーザーライセンスを使用します（下記の個人デバイス上のアプリを参照）。
• User Enrollment デバイスでは、Web クリップはホーム画面に表示されますが、設定 → 一般 → VPNとデバイス管理には表示されません。
• これらのデバイスの MDM 証明書は自動的に更新されず、Return to Serviceは利用できません。MDM 証明書が期限切れになる前（登録から1年後。デバイスページを参照）に、ユーザーにデバイスの再登録を依頼してください。
• 管理を離れるには、ユーザーが設定の同じ場所で仕事用アカウントからサインアウトするか、Cerberus Enterprise からデバイスを登録解除します。User Enrollment では仕事用のアプリ、アカウント、データのみが削除され、個人データは残ります。再登録したデバイスは新しいデバイスとして表示されます。

登録直後、ポリシーの一部のプロファイル (証明書、Wi-Fi ネットワーク、Web クリップ) が不明なエラーで失敗として報告され、デバイスがしばらく コンプライアンス違反 と表示されることがあります。デバイスは自動的に再試行し、しばらくすると何も操作しなくてもインストールされます。このため、ポリシーを再度保存したり、デバイスを再登録したりしないでください。

個人デバイス上のアプリ

User Enrollment で登録された iPhone および iPad にはシリアル番号がないため、Apps and Books はデバイスライセンスを付与できません。Cerberus Enterprise は、ポリシーの App Store アプリに代わりにユーザーライセンスを付与します。ライセンスは、デバイスでサインインしている Managed Apple Account に付与されます。ポリシーに変更はありません。同じポリシーが会社のデバイスと個人のデバイスに使用され、Cerberus がデバイスごとにライセンスの種類を選択します。

• 自動：最初の登録時に、Cerberus は Managed Apple Account を Apps and Books に登録し、ポリシーの各 App Store アプリのライセンスを Apple に要求します。無料アプリにもライセンスが必要です。Apple は無料アプリに無制限のライセンスを付与します。有料アプリは Managed Apple Account ごとに1つのライセンスを使用し、そのアカウントのすべての個人デバイスで共有されます。
• 同じ組織：Managed Apple Account と Cerberus Enterprise の Apps and Books トークンは同じ Apple Business 組織に属している必要があり、アプリはトークンの場所のライブラリに存在する必要があります。
• ライセンス優先：アプリは、Apple がライセンスを確認した後にのみデバイスに送信されます。通常は数分以内です。それまでは、デバイスのアプリケーションパネルにユーザーライセンスを待機していますと理由が表示されます。
• インストール プロンプト: 個人デバイスは監督されないため、iOS は各アプリをインストールする前にユーザーに確認します。これには、Cerberus がこれらのデバイスにもインストールする Cerberus Enterprise アプリが含まれます (インストール または キャンセル)。Apple Account へのサインインは不要です。ユーザーがキャンセルした場合、アプリには ユーザーによるインストールの承認を待機中 と表示されます。デバイス ページで 再要求 を使用して、プロンプトを再度表示してください。必須 としてインストールされたアプリは、ユーザーが削除できません。
• 登録前にインストールされたアプリ：Apple は、User Enrollment で登録されたデバイスにユーザーが個人的にインストールしたアプリを組織が引き継ぐことを許可していません。登録前にユーザーに自分のコピーを削除してもらうか、削除してからデバイスページで再リクエストを使用してください。その後、組織が管理対象のコピーをインストールします。
• 管理を離れる場合：デバイスの登録が解除されると、iOS は管理対象アプリとそのデータを削除します。ライセンスは、同じ Managed Apple Account の他の登録済みデバイスがそれを必要としなくなったときに解放されます。たとえば、アプリがポリシーから削除された場合や、最後のデバイスが登録解除された場合です。不要になったライセンスは、毎日のチェックで1日以内に解放されます。

Apple がライセンスを割り当てられない場合（たとえば、有料アプリに残りのライセンスがない場合）、アプリには Apple のメッセージとともにユーザーライセンスに失敗しましたが表示されます。Apple Business でライセンスを追加してから、デバイスページで再リクエストを使用してください。Cerberus も毎日のチェックで自動的に再試行します。アプリリストの上の行には、Managed Apple Account とその Apps and Books ユーザーのステータスが表示されます。同じステータスはユーザーのページにも表示されます。

ユーザーライセンスは iPhone と iPad でのみ使用されます。User Enrollment で登録された Mac では、ポリシーの App Store アプリはインストールされません。Books と個人用 Apple Account はサポートされていません。

ポリシーの概要

ダッシュボードのポリシーセクション（ダッシュボード → ポリシー）には、アカウント内のすべてのポリシーが一覧表示され、作成、コピー、編集、削除ができます。

ポリシー一覧

ポリシーはテーブルに表示されます。行をクリックすると、対応するポリシーエディターが開きます。

列

• 名前：ポリシー名。
• プラットフォーム：ポリシーのプラットフォーム（Android または Apple）。Android Management と Apple Management の両方が構成されている場合にのみ表示されます。
• デバイス：現在ポリシーに割り当てられている登録済みデバイスの数。登録解除されたデバイスはカウントされません。
• 説明：ポリシーの説明。長い説明は 2 行で切り捨てられます。全文を読むにはカーソルを合わせてください。
• 最終更新：管理者が最後にポリシーを作成、保存、またはコピーした日時。この列が導入されてから保存されていないポリシーでは空です。
• ID：内部ポリシー識別子。

デフォルトでは、最も最近変更されたポリシーが最初に表示されます。最終更新列が導入されてから一度も保存されていないポリシーは、その後に名前順で続きます。列ヘッダーをクリックすると、その列で並べ替えられます。

フィルターと検索

• Android ManagementとApple Managementの両方が構成されている場合、リストをすべて、Android、Appleでフィルターできます。
• 検索を有効にして、ポリシー名または説明で検索できます。

更新とページネーション

• 更新アクションを使用してリストを再読み込みします。
• テーブルはページ分割されています（1ページあたり10/25/50項目）。

新しいポリシーを作成

ポリシーページの下部で、新しいポリシーを作成できます。アカウントで構成されているプラットフォームに応じて、次のアクションのいずれかまたは両方が表示される場合があります：

• 新しいAndroidポリシーを作成
• 新しいAppleポリシーを作成

ライセンスが期限切れの場合、ポリシーの作成（およびその他の書き込みアクション）は無効になります。

ポリシーのコピーと削除

各ポリシー行には、ポリシーをコピーとポリシーを削除を含むアクションメニューがあります。

ポリシー削除時の警告

ポリシーを削除するとき、ポリシーの使用状況に応じて、ダッシュボードに追加の警告が表示される場合があります。

• ポリシーが登録済みデバイスに割り当てられている場合、ポリシーを削除すると関連するデバイスの登録が解除され、アプリとデータが消去されます。
• ポリシーが登録トークンに割り当てられている場合、それらのトークンでは登録を完了できなくなる可能性があります。
• ポリシーがGoogle Authentication登録のデフォルト（グローバルまたは一部のユーザー）に設定されている場合、ポリシーを削除すると登録が失敗する可能性があります。

複数のポリシーを削除

ポリシー一覧は、一括削除のための複数行選択をサポートしています。複数選択モードでは、複数のポリシーを選択して1回の操作で削除できます。

一括削除は、選択したすべてのポリシーが同じプラットフォーム（すべてAndroidまたはすべてApple）に属している場合にのみ有効になります。

次へ：ポリシー設定を編集

ポリシー一覧がエントリポイントです。ポリシー設定を構成するには、適切なエディターのドキュメントを参照してください：ポリシー → Androidおよびポリシー → Apple。

登録トークンによって参照されるポリシーは、デバイスの登録時に自動的に適用されます。

ポリシー - Android

概要

Android ポリシーはシステムの中核となるエンティティです。管理対象デバイスに適用および実施されるルールを定義します。

ダッシュボードのポリシーセクションから、ポリシーを参照したり新しいポリシーを作成したりできます。Android ポリシーを開くには、テーブル内のポリシー行をクリックします。システムがポリシーエディターページを開きます。

ポリシーは登録トークンに関連付けることができ、プロビジョニングプロセス中にデバイスへ自動的に適用されます。プロビジョニング後にデバイスに割り当てられたポリシーを変更することもできます。

各デバイスは一度に 1 つのポリシーにのみ関連付けることができます。

多くのポリシーオプションは、特定のデバイスタイプ (フルマネージド、専用、仕事用プロファイル) および Android バージョンにのみ適用されます。サポートされていない設定は、デバイスによって無視されるか、非準拠として報告される場合があります。

ポリシーエディターのレイアウト

ポリシーエディターは、一連の展開可能なセクションとして構成されています。ページの上部では、常に次の項目を編集できます：

• 名前 (必須)
• ID (読み取り専用)
• 説明 (オプション)

以下のセクションは、ポリシー エディターのパネル (アプリ管理、セキュリティ、ネットワーク、システム、個人利用、プロファイル間ポリシーなど) に対応しています。保存済みのポリシーを開くと、設定が変更されているセクションはすでに開いており、それ以外は閉じたままです。各パネルの詳細については、このマニュアルの章のページを参照してください。

保存、削除、および関連付けられたデバイス

ポリシーを保存を使用して変更を適用します。保留中の編集がない場合、またはライセンスが期限切れの場合は、ボタンは無効になります。

既存のポリシーを開いた場合 (ID がある場合)、ページにはポリシーを削除アクションと下部に関連付けられたデバイスリストが表示され、現在そのポリシーを使用しているデバイスの数を確認できます。

アプリ管理

このセクションでは、アプリの可用性、インストール、アップデート、権限管理に関連するポリシーを設定できます。

Managed Google Playアカウントは、デバイスのプロビジョニング時に自動的に作成されます。

 

1. Playストアモード

このモードは、Playストアでユーザーが利用できるアプリと、ポリシーからアプリを削除したときのデバイス上の動作を制御します。

ホワイトリスト（デフォルト）：ポリシーにあるアプリのみが利用可能で、ポリシーにないアプリはデバイスから自動的にアンインストールされます。Playストアには利用可能なアプリのみが表示されます。

ブラックリスト：すべてのアプリが利用可能で、デバイスに置くべきでないアプリはアプリケーションポリシーで明示的にブロックとしてマークする必要があります。Playストアには、ブロックされたアプリを除くすべてのアプリが表示されます。

 

2. 信頼できないアプリのポリシー

デバイスで適用される、信頼できないアプリ（不明なソースのアプリ）のポリシー。このオプションは、ユーザーがPlayストア外からアプリをインストールできるかどうか（サイドローディング）を決定するAndroidのシステム設定を制御します。

禁止（デフォルト）：デバイス全体で信頼できないアプリのインストールを禁止します。

個人プロファイルのみ：ワークプロファイルがあるデバイスでは、デバイスの個人プロファイル内でのみ信頼できないアプリのインストールを許可します。

許可：デバイス全体で信頼できないアプリのインストールを許可します。

 

3. Google Play Protect

Google Play Protectのアプリ検証が適用されるかどうか。

適用（デフォルト）：アプリ検証を強制的に有効にします。

ユーザーの選択：アプリ検証を有効にするかどうかをユーザーが選択できるようにします。

 

4. デフォルトの権限ポリシー

アプリへの実行時権限リクエストを許可するためのポリシー。

プロンプト（デフォルト）：権限の付与をユーザーに求めます。

付与：権限を自動的に付与します。

拒否：権限を自動的に拒否します。

 

5. アプリ関数

完全管理デバイス上またはワークプロファイル内のアプリがアプリ関数を公開できるかどうかを制御します。Android 16以降が必要です。

許可（デフォルト）：完全管理デバイス上またはワークプロファイル内のアプリはアプリ関数を公開できます。

禁止：完全管理デバイス上またはワークプロファイル内のアプリはアプリ関数を公開できません。

 

6. アプリのインストールを無効化

ユーザーによるアプリのインストールが無効になっているかどうか。

 

7. アプリのアンインストールを無効化

ユーザーによるアプリのアンインストールが無効になっているかどうか。

 

8. 権限ポリシー

すべてのアプリに対する明示的な権限またはグループの付与、拒否。これらの値はデフォルトの権限ポリシー設定を上書きします。

権限ポリシーを追加を使用してエントリを作成し、削除アクションで削除します。

各エントリには次が含まれます：

Androidの権限/グループ：Androidの権限またはグループ（必須）。例：android.permission.READ_CALENDARまたはandroid.permission_group.CALENDAR。

ポリシー：付与 / 拒否 / プロンプト（デフォルトの権限ポリシーと同じポリシーオプションを使用します）。

 

9. アプリケーション

ポリシーに含める必要があるアプリケーションの一覧。一覧の内容の動作は、Playストアモードに設定された値によって異なります。

Playストアモードがホワイトリストに設定されている場合、ポリシーにあるアプリのみが利用可能で、ポリシーにないアプリはデバイスから自動的にアンインストールされます。

Playストアモードがブラックリストに設定されている場合、すべてのアプリが利用可能で、デバイスに置くべきでないアプリはアプリケーションポリシーで明示的にブロックとしてマークする必要があります。

新しいアプリを追加するには、アプリケーションを追加ボタン（またはアプリケーションを追加アイコン）をクリックし、Managed Google Playからを選択して、Playストアからアプリを選び、アプリカードの選択ボタンをクリックします。

Google Playで公開されていないがデバイスにすでに存在するアプリ（システムアプリやメーカー製アプリなど）を追加するには、アプリケーションを追加をクリックし、パッケージ名で追加（プリインストール済みアプリ）を選択し、アプリのパッケージ名（例：com.example.app）を入力して追加をクリックします。アプリは強制インストールのインストールタイプで追加されます。キオスクのカスタムランチャーにアプリを表示するには、インストールタイプをプリインストールまたは強制インストールにする必要があります。利用可能の場合、アプリは表示されません。

Managed Google Playで利用できないアプリは、アプリケーション一覧でAndroidアイコンが付きます。Google Playからインストールできないため、デバイスにすでに存在している必要があります。アプリがないデバイスにはインストールできません。

お住まいの国でPlayストアに公開されているすべてのアプリがデフォルトで選択可能です。独自のプライベートアプリまたはWebアプリを選択するには、まずシステムにアップロードする必要があります。詳細については、プライベートアプリページをお読みください。

各アプリは、カード内に視覚的にまとめられた独自の設定で構成できます：

9.1. インストールタイプ

アプリに対して実行するインストールの種類。

利用可能：アプリをインストールできます。

プリインストール：アプリは自動的にインストールされ、ユーザーが削除できます。

強制インストール：アプリは自動的にインストールされ、ユーザーは削除できません。

ブロック：アプリはブロックされ、インストールできません。以前のポリシーでインストールされていた場合、アンインストールされます。

セットアップに必要：アプリは自動的にインストールされ、ユーザーは削除できません。インストールが完了するまでセットアップは完了しません。

キオスク：アプリはキオスクモードで自動的にインストールされます。優先ホームインテントとして設定され、ロックタスクモードのホワイトリストに登録されます。アプリがインストールされるまでデバイスのセットアップは完了しません。インストール後、ユーザーはアプリを削除できません。このインストールタイプは、ポリシーごとに1つのアプリにのみ設定できます。これがポリシーに存在する場合、ステータスバーは自動的に無効になります。詳細については、専用のキオスクモードページをお読みください。

9.2. インストールの制約

アプリのインストールに対する一連の制約を定義します。複数の制約が選択されている場合、アプリをインストールするにはすべての制約を満たす必要があります。

このオプションは、インストールタイプがプリインストールまたは強制インストールの場合にのみ表示されます。

従量制でないネットワーク：デバイスが従量制でないネットワーク（例：Wi‑Fi）に接続されている場合にのみ、アプリをインストールします。

充電中：デバイスが充電中の場合にのみ、アプリをインストールします。

アイドル：デバイスがアイドル状態の場合にのみ、アプリをインストールします。

9.3. 自動更新モード

アプリの自動更新モードを制御します。

デフォルト：アプリは、ユーザーへの影響を最小限に抑えるために低い優先度で自動的に更新されます。アプリは、次のすべての制約が満たされたときに更新されます。（1）デバイスがアクティブに使用されていない、（2）デバイスが従量制でないネットワークに接続されている、（3）デバイスが充電中である。デバイスは、開発者による公開後24時間以内に新しい更新の通知を受け、その後、上記の制約が次に満たされたときにアプリが更新されます。

延期：アプリは、古くなってから最大90日間は自動更新されません。アプリが古くなってから90日後、利用可能な最新バージョンが低い優先度で自動的にインストールされます（デフォルトの自動更新モードを参照）。アプリが更新された後は、再び古くなってから90日が経過するまで自動更新されません。ユーザーはいつでもPlayストアから手動でアプリを更新できます。

高優先度：アプリはできるだけ早く更新されます。制約は適用されません。デバイスは、新しい更新が利用可能になるとすぐに通知されます。

9.4. 最小バージョンコード

デバイスで実行されるアプリの最小バージョン。設定すると、デバイスはアプリを少なくともこのバージョン コードに更新しようとします。アプリが最新でない場合、デバイスには 非準拠の詳細 が含まれ、非準拠の理由 は APP_NOT_UPDATED に設定されます。アプリは、この値以上のバージョン コードで Google Play に公開されている必要があります。ポリシーごとに最大 20 個のアプリで最小バージョン コードを指定できます。

9.5. 委任されたスコープ

Android Device Policyからアプリに委任されるスコープ。他のアプリに特別なAndroid権限の選択を付与できます：

証明書のインストール：証明書のインストールと管理へのアクセスを許可します。

管理対象構成：管理対象構成の管理へのアクセスを許可します。

アンインストールのブロック：アンインストールのブロックへのアクセスを許可します。

権限：権限ポリシーと権限の付与状態へのアクセスを許可します。

パッケージアクセス：パッケージアクセス状態へのアクセスを許可します。

システムアプリ：システムアプリを有効にするためのアクセスを許可します。

9.6. 優先ネットワーク

このアプリに使用する優先ネットワークサービス。設定すると、アプリは利用可能なときに指定されたエンタープライズネットワークスライスを接続に使用します。これは、モバイル通信パネルの5Gネットワークスライス構成セクションで構成されたネットワークスライスと一致する必要があります。

9.7. デフォルトの権限ポリシー

アプリによって要求されるすべての権限に対するデフォルトポリシー。指定した場合、これはすべてのアプリに適用されるポリシーレベルのデフォルトの権限ポリシーを上書きします。すべてのアプリに適用される権限ポリシーは上書きしません。

プロンプト（デフォルト）：権限の付与をユーザーに求めます。

付与：権限を自動的に付与します。

拒否：権限を自動的に拒否します。

9.8. ワークプロファイルと個人用アプリの接続

デバイスのワークプロファイルと個人プロファイル間で、アプリが自身と通信できるかどうかを制御します（ユーザーの同意が必要、Android 11以降）。

禁止（デフォルト）：アプリがプロファイル間で通信するのを防ぎます。

許可：ユーザーの同意を得た後、アプリがプロファイル間で通信できるようにします。

9.9. Always On VPNロックダウンの除外

VPNが接続されておらず、ロックダウンが有効な場合に、アプリのネットワーク接続を許可するかどうかを指定します。Android 10以降を実行しているデバイスでのみサポートされます。

適用（デフォルト）：アプリはAlways On VPNロックダウン設定に従います。

除外：アプリはAlways On VPNロックダウン設定の対象外です。

9.10. ワークプロファイルのウィジェット

ワークプロファイルにインストールされたアプリがホーム画面にウィジェットを追加できるかどうかを指定します。

許可：アプリケーションはホーム画面にウィジェットを追加できます。

禁止：アプリケーションはホーム画面にウィジェットを追加できません。

9.11. ユーザー制御設定

特定のアプリでユーザー制御を許可するかどうかを指定します。ユーザー制御には、強制停止やアプリデータの消去などのユーザーアクションが含まれます（Android 11以降）。アプリでextensionConfigが有効になっている場合、この設定に関係なくユーザー制御は禁止されます。キオスクアプリでは、許可を使用してユーザー制御を許可できます。

未指定：アプリのデフォルト動作を使用して、ユーザー制御を許可するか禁止するかを決定します。

許可：アプリでユーザー制御が許可されます。

禁止：アプリでユーザー制御が禁止されます。

9.12. 無効

アプリが無効になっているかどうか。無効になっても、アプリデータは保持されます。

9.13. 認証情報プロバイダーを許可

Android 14以降でアプリが認証情報プロバイダーとして動作できるかどうか。

9.14. 管理対象構成

アプリの管理対象設定を構成するには、管理対象構成を有効にするボタンをクリックします。アプリに管理対象構成がすでに設定されている場合は、管理対象構成ボタンで構成を変更するか、構成を削除ボタンで削除できます。

管理対象構成オプションは、この機能をサポートするアプリでのみ使用できます。

9.15. 権限ポリシー

アプリに対する明示的な権限の付与または拒否。これらの値は、すべてのアプリに適用されるデフォルトの権限ポリシーと権限ポリシーを上書きします。

権限ポリシーを追加を使用して、アプリカードに1つ以上の権限ルールを追加し、削除アクションで削除します。

9.16. トラックID

デバイスがアクセスできるアプリのクローズドテストトラックIDの一覧。複数のトラックIDが選択されている場合、デバイスはアクセス可能なすべてのトラックの中で最新バージョンを受け取ります。トラックIDが選択されていない場合、デバイスはアプリの製品版トラックにのみアクセスできます。

トラックIDオプションは、組織で利用可能なトラックIDが少なくとも1つあるアプリでのみ使用できます。特定のアプリのクローズドテストトラックに組織を追加する方法の詳細については、こちらをお読みください。

 

10. デフォルトのアプリケーション設定

サポートされている種類のデフォルトアプリを設定します。少なくとも1つの種類にデフォルトアプリが設定されている場合、そのプロファイルでユーザーはデフォルトアプリを変更できなくなります。

デフォルトのアプリケーションの種類ごとに許可されるデフォルトアプリケーション設定は1つのみです。デフォルトアプリケーションの一覧に重複を含めることはできません。

10.1. デフォルトのアプリケーションの種類

構成するアプリカテゴリを選択します（例：ブラウザー、電話、SMS、ウォレット、アシスタント）。可用性はAndroidのバージョンと管理モードによって異なります。

10.2. デフォルトアプリケーションのスコープ

デフォルトアプリを適用する場所（完全管理、ワークプロファイル、個人プロファイル）を選択します。選択した種類でサポートされているスコープのみを選択できます。

選択したスコープのいずれもデバイスの管理モードに該当しない場合、デバイスは非コンプライアンスの詳細を報告します。

10.3. デフォルトアプリケーション

選択した種類のデフォルトとして設定できるアプリの一覧。最初にインストールされた対象のアプリがデフォルトに設定されます。

スコープに完全管理またはワークプロファイルが含まれる場合、各アプリはアプリケーション一覧にも存在し、インストールタイプがブロックに設定されていない必要があります。

 

11. 秘密キーの選択

秘密キールールを選択に一致するルールがない場合に、ユーザーがデバイスで秘密キーエイリアスを選択するためのUIを表示できるようにします。

Android Pより前のデバイスでは、これを設定するとエンタープライズキーが脆弱になる可能性があります。

 

12. 秘密キールールを選択

アプリの秘密キーへのアクセスを制御します。ルールは、Android Device Policyが指定されたアプリに付与する秘密キー（ある場合）を決定します。アクセスは、アプリがKeyChain.choosePrivateKeyAlias（またはそのオーバーロード）を呼び出して特定のURLの秘密キーエイリアスを要求したとき、またはURL固有でないルール（つまり、urlPatternが設定されていない、空の文字列、または.*に設定されている場合）ではAndroid 11以降で直接付与され、アプリは最初にKeyChain.choosePrivateKeyAliasを呼び出さずにKeyChain.getPrivateKeyを呼び出すことができます。アプリがKeyChain.choosePrivateKeyAliasを呼び出したときに複数のchoosePrivateKeyRulesが一致する場合、最後に一致したルールが返すキーエイリアスを定義します。

秘密キールールを追加を使用してエントリを作成し、削除アクションで削除します。

12.1. 秘密キーエイリアス

使用する秘密キーのエイリアス。

12.2. URLパターン

リクエストのURLと照合するURLパターン。未設定または空の場合、すべてのURLに一致します。これはjava.util.regex.Patternの正規表現構文を使用します。

12.3. パッケージ名

このルールが適用されるパッケージ名。各アプリの署名証明書のハッシュは、Playから提供されたハッシュと照合されます。パッケージ名が指定されていない場合、エイリアスはKeyChain.choosePrivateKeyAliasまたはそのオーバーロードを呼び出すすべてのアプリに提供されます（ただし、Android 11以降でもKeyChain.choosePrivateKeyAliasを呼び出さない場合は提供されません）。ここで指定されたパッケージと同じAndroid UIDを持つアプリは、KeyChain.choosePrivateKeyAliasを呼び出すとアクセスできます。

パッケージ名を追加を使用してエントリを追加し、削除アクションで削除します。

 

アプリを削除するには、アプリカードの下部にあるゴミ箱アイコンをクリックします。

 

 

キオスクモード

キオスクモードでは、デバイスの機能を単一のアプリまたは複数のアプリに制限できます。単一アプリとマルチアプリのキオスクモードのどちらを選ぶかは、ビジネス目標によって異なります。

単一アプリのキオスクモードでは、デバイスは単一のアプリケーション用に構成され、エンドユーザーはデバイス上の他のアプリにアクセスできません。またアプリを終了することもできないため、その特定のアプリ専用のデバイスになります。このモードを有効にするには、アプリ管理セクションでアプリを指定し、インストールタイプをキオスクに設定します。

マルチアプリのキオスクモードでは、デバイスは複数のアプリケーションへのアクセスを許可されます。エンドユーザーはカスタムランチャーを介して複数のアプリ間を移動できます。このモードを有効にするには、キオスクカスタムランチャーオプションをオンにします。

キオスクモードが有効な場合、エンドユーザーがシステム設定やステータスバーなどの特定のシステム機能にアクセスできるかどうかも構成できます。

 

キオスクカスタムランチャー

キオスクカスタムランチャーが有効かどうか。これにより、ホーム画面が、アプリ管理設定を介してインストールされたアプリにデバイスをロックダウンするランチャーに置き換わります。アプリは1ページにアルファベット順で表示されます。

 

電源ボタンの動作

キオスクモードのデバイスで、ユーザーが電源ボタンを押し続けた（長押しした）ときの動作を設定します。

使用可能（デフォルト）：キオスクモードのデバイスでユーザーが電源ボタンを長押しすると、電源メニュー（例：電源オフ、再起動）が表示されます。

ブロック：キオスクモードのデバイスでユーザーが電源ボタンを長押ししても、電源メニュー（例：電源オフ、再起動）は表示されません。注：これにより、ユーザーがデバイスの電源を切れなくなる可能性があります。

 

システムエラーの警告

キオスクモードで、クラッシュしたアプリや応答しないアプリのシステムエラーダイアログをブロックするかどうかを指定します。ブロックすると、ユーザーがUIで「アプリを閉じる」オプションを選択した場合と同様に、システムはアプリを強制停止します。

ブロック（デフォルト）：クラッシュやアプリが応答しない（ANR）などのすべてのシステムエラーダイアログがブロックされます。ブロックすると、ユーザーがUIからアプリを閉じた場合と同様に、システムはアプリを強制停止します。

有効：クラッシュやアプリが応答しない（ANR）などのすべてのシステムエラーダイアログが表示されます。

システムナビゲーション

キオスクモードで有効にするナビゲーション機能（例：ホーム、概要ボタン）を指定します。

無効（デフォルト）：ホームボタンと概要ボタンにはアクセスできません。

ホームのみ：ホームボタンのみが有効になります。

有効：ホームボタンと概要ボタンが有効になります。

 

ステータスバー

キオスクモードでシステム情報と通知を無効にするかどうかを指定します。

無効（デフォルト）：キオスクモードではシステム情報と通知が無効になります。

システムのみ：ステータスバーにはシステム情報のみが表示されます。

有効：キオスクモードでは、システム情報と通知がステータスバーに表示されます。注：このポリシーを有効にするには、kioskCustomization.systemNavigationを使用してデバイスのホームボタンを有効にする必要があります。

 

デバイス設定

キオスクモードで設定アプリを許可するかどうかを指定します。

許可（デフォルト）：キオスクモードで設定アプリへのアクセスが許可されます。

ブロック：キオスクモードでは設定アプリへのアクセスは許可されません。

セキュリティ

このセクションでは、セキュリティ関連のポリシーを設定できます。

 

セキュリティリスクアクション

デバイスがステータスレポートで SecurityRisk を報告したときの動作を選択します。

 

サポートされている SecurityRisk の種類：

不明な OS：Play Integrity API が、デバイスが不明な OS で実行されていることを検出します (basicIntegrity チェックは成功しますが、ctsProfileMatch は失敗します)。

侵害された OS：Play Integrity API が、デバイスが侵害された OS で実行されていることを検出します (basicIntegrity チェックが失敗します)。

ハードウェアによる評価に失敗：デバイスの整合性フィールドに MEETS_STRONG_INTEGRITY ラベルが表示されない場合、Play Integrity API が、デバイスにシステム整合性の強力な保証がないことを検出します。

 

利用可能なアクション：

企業データをワイプ (デフォルト)：登録を解除して仕事データをワイプします (フルマネージドの場合はデバイス全体、プロファイル所有の場合は仕事用プロファイルのみ)。

アクションなし：デバイスを登録したままにし、自動的な操作は行いません。

 

企業データをワイプを選択すると、ワイプオプションも設定できます：

工場出荷時リセット保護を保持：デバイスをワイプするときに Factory Reset Protection (FRP) データを保持します。

外部ストレージをワイプ：ワイプを実行するときに、デバイスの外部ストレージ (SD カードなど) も追加でワイプします。

eSIM をワイプ：会社所有デバイスの場合、デバイスがワイプされるときにデバイスからすべての eSIM が削除されます。個人所有デバイスの場合、デバイス上の管理対象 eSIM (ADD_ESIM コマンドで追加された eSIM) が削除され、個人所有の eSIM は削除されません。

 

1. ロックまでの最大時間

デバイスがロックされるまでのユーザーアクティビティの最大時間 (秒) です。値が 0 の場合は制限がないことを意味します。

 

2. 充電中はオンのまま

デバイスがオンのままになるバッテリー接続モードです。この設定を使用する場合、デバイスがオンのままロックされないように、ロックまでの最大時間をクリアすることをお勧めします。

AC 充電器：電源は AC 充電器です。

USB ポート：電源は USB ポートです。

ワイヤレス充電器：電源はワイヤレスです。

 

3. キーガード無効

true の場合、プライマリおよび/またはセカンダリディスプレイのロック画面を無効にします。このポリシーは専用デバイス管理モードでのみサポートされます。

 

4. パスワード要件

パスワード要件ポリシー。

パスワード要件を設定を使用して、1 つ以上のパスワード要件ブロックを追加します。すべてクリアを使用して、設定済みのすべてのパスワード要件を削除します。

パスワード要件では、自動スコープ (単一の要件) または個別のデバイス/仕事用プロファイルスコープを使用できます。複雑さベースの要件は、同じスコープの品質ベースの要件と組み合わせる必要があります。

4.1. スコープ

パスワード要件を適用するスコープです。

自動：スコープは指定されていません。パスワード要件は、仕事用プロファイルデバイスでは仕事用プロファイルに、フルマネージドデバイスまたは専用デバイスではデバイス全体に適用されます。

デバイス：パスワード要件はデバイスにのみ適用されます。

仕事用プロファイル：パスワード要件は仕事用プロファイルにのみ適用されます。

4.2. パスワード履歴の長さ

パスワード履歴の長さです。このフィールドを設定すると、ユーザーは履歴内のいずれかのパスワードと同じ新しいパスワードを入力できなくなります。値が 0 の場合は制限がないことを意味します。

4.3. ワイプまでの最大パスワード失敗回数

デバイスがワイプされるまでに入力できる、誤ったデバイスロック解除パスワードの回数です。値が 0 の場合は制限がないことを意味します。

4.4. パスワード有効期限 (日)

この設定では、指定した日数が経過すると、ユーザーは定期的にパスワードを更新する必要があります。

4.5. パスワードによるロック解除を要求

デバイスまたは仕事用プロファイルを強力な認証方法 (パスワード、PIN、パターン) でロック解除した後、他の認証方法 (指紋、信頼エージェント、顔など) でロック解除できる時間の長さです。指定した期間が経過すると、デバイスまたは仕事用プロファイルのロックを解除できるのは強力な認証方法のみになります。

デバイスのデフォルト：タイムアウト期間はデバイスのデフォルトに設定されます。

毎日：タイムアウト期間は 24 時間に設定されます。

4.6. パスワード品質

必要なパスワード品質です。

複雑さ: 高：高パスワード複雑さバンドを次のように定義します。Android 12 以降: 繰り返し (4444) や順序 (1234、4321、2468) のシーケンスがない PIN、長さ 8 以上、英字は長さ 6 以上、英数字は長さ 6 以上。

複雑さ: 中：中パスワード複雑さバンドを次のように定義します。繰り返し (4444) や順序 (1234、4321、2468) のシーケンスがない PIN、長さ 4 以上、英字は長さ 4 以上、英数字は長さ 4 以上。

複雑さ: 低：低パスワード複雑さバンドを次のように定義します。パターン、繰り返し (4444) や順序 (1234、4321、2468) のシーケンスがある PIN。

なし：パスワード要件はありません。

弱：デバイスは少なくとも低セキュリティの生体認証技術で保護されている必要があります。これには、3 桁の PIN とほぼ同等の個人の身元を認識できる技術が含まれます (誤検出は 1,000 分の 1 未満)。

任意：パスワードは必須ですが、パスワードの内容に制限はありません。

数値：パスワードには数値文字を含める必要があります。

数値 (複雑)：パスワードには、繰り返し (4444) や順序 (1234、4321、2468) のシーケンスがない数値文字を含める必要があります。

英字：パスワードには英字 (または記号) 文字を含める必要があります。

英数字：パスワードには数値文字と英字 (または記号) 文字の両方を含める必要があります。

複雑：パスワードは、passwordMinimumLength、passwordMinimumLetters、passwordMinimumSymbols などで指定された最小要件を満たす必要があります。たとえば、passwordMinimumSymbols が 2 の場合、パスワードには少なくとも 2 つの記号を含める必要があります。

4.7. 最小長

許可される最小のパスワード長です。値が 0 の場合は制限がないことを意味します。

4.8. 最小英字数

パスワードに必要な最小英字数です。

4.9. 最小小文字数

パスワードに必要な最小小文字数です。

4.10. 最小大文字数

パスワードに必要な最小大文字数です。

4.11. 最小非英字文字数

パスワードに必要な最小非英字文字数 (数値または記号) です。

4.12. 最小数値桁数

パスワードに必要な最小数値桁数です。

4.13. 最小記号数

パスワードに必要な最小記号数です。

4.14. 統合ロック

仕事用プロファイルを備えた Android 9 以降のデバイスで、デバイスと仕事用プロファイルに統合ロックを許可するかどうかを制御します。他のデバイスには影響しません。

統合ロックを許可：デバイスと仕事用プロファイルに共通のロックが許可されます。

個別の仕事用ロックを要求：仕事用プロファイルに個別のロックが必要です。

 

5. 工場出荷時リセット無効

設定からの工場出荷時リセットが無効かどうか。フルマネージドデバイスにのみ適用されます。

 

6. 工場出荷時リセット保護

工場出荷時リセット保護のためのデバイス管理者のメールアドレスです。デバイスが不正な工場出荷時リセットを受けた場合、これらの管理者の 1 人が Google アカウントのメールアドレスとパスワードでログインしてデバイスのロックを解除する必要があります。管理者が指定されていない場合、デバイスは工場出荷時リセット保護を提供しません。フルマネージドデバイスにのみ適用されます。

管理者のメールアドレス：工場出荷時リセット保護を有効にするを使用して管理者の設定を開始します。次に管理者のメールアドレスを追加を使用してアドレスを追加し、削除アクションで削除します。

 

7. キーガード機能

無効にできるキーガード (ロック画面) 機能。

7.1. すべて無効化

現在および将来のすべてのキーガードカスタマイズを無効にします。

7.2. カメラを無効化

セキュアなキーガード画面 (PIN など) でカメラを無効にします。

7.3. 通知を無効化

セキュアなキーガード画面でのすべての通知の表示を無効にします。

7.4. 未編集の通知を無効化

セキュアなキーガード画面で未編集の通知を無効にします。

7.5. 信頼エージェントの状態を無視

セキュアなキーガード画面で信頼エージェントの状態を無視します。

7.6. 指紋を無効化

セキュアなキーガード画面で指紋センサーを無効にします。

7.7. 通知へのテキスト入力を無効化

セキュアなキーガード画面で通知へのテキスト入力を無効にします。

7.8. 顔認証を無効化

セキュアなキーガード画面で顔認証を無効にします。

7.9. 虹彩認証を無効化

セキュアなキーガード画面で虹彩認証を無効にします。

7.10. すべての生体認証を無効化

セキュアなキーガード画面ですべての生体認証を無効にします。

7.11. すべてのショートカットを無効化

Android 14 以降のセキュアなキーガード画面ですべてのショートカットを無効にします。

マルチメディア

このセクションでは、カメラ/マイクの動作、USBデータアクセス、印刷、ディスプレイ関連の制限を構成できます。

 

1. カメラアクセス

カメラの使用と、ユーザーがカメラアクセスの切り替えにアクセスできるかどうか（Android 12以降）を制御します。一般に、カメラを無効にすると、完全管理デバイスではデバイス全体に適用され、仕事用プロファイルデバイスでは仕事用プロファイル内にのみ適用されます。

ユーザーの選択（デフォルト）：デフォルトのデバイス動作です。カメラは利用可能で、（Android 12以降）ユーザーはカメラアクセスを切り替えられます。

無効：すべてのカメラが無効になります（完全管理：デバイス全体、仕事用プロファイル：仕事用プロファイルのアプリのみ）。管理対象スコープでは、カメラアクセスの切り替えは効果がありません。

強制：カメラは利用可能です。Android 12以降を実行する完全管理デバイスでは、ユーザーはカメラアクセスを切り替えられません。その他のデバイス/バージョンでは、ユーザーの選択と同様に動作します。

 

2. マイクアクセス

完全管理デバイスでは、マイクの使用と、ユーザーがマイクアクセスの切り替えにアクセスできるかどうか（Android 12以降）を制御します。この設定は、完全管理されていないデバイスには効果がありません。

ユーザーの選択（デフォルト）：デフォルトの動作です。マイクは利用可能で、（Android 12以降）ユーザーはマイクアクセスを切り替えられます。

無効：マイクが無効になります（デバイス全体）。マイクアクセスの切り替えは効果がありません。

強制：マイクは利用可能です。Android 12以降では、ユーザーはマイクアクセスを切り替えられません。Android 11以前では、ユーザーの選択と同様に動作します。

 

3. USBデータアクセス

USB経由で転送できるファイルやデータを制御します。会社所有デバイスでのみサポートされます。

ファイル転送を許可しない（デフォルト）：ファイル転送は許可されませんが、他のUSBデータ接続（例：マウス/キーボード）は許可されます。

データ転送を許可しない：すべての種類のUSBデータ転送が禁止されます（USB HAL 1.3以降を備えたAndroid 12以降）。サポートされていない場合、デバイスは「ファイル転送を許可しない」にフォールバックします。

データ転送を許可：すべての種類のUSBデータ転送が許可されます。

 

4. 印刷

印刷を許可するかどうかを制御します（Android 9以降）。

許可（デフォルト）：印刷が許可されます。

許可しない：印刷は許可されません（Android 9以降）。

 

5. 画面の明るさ設定

画面の明るさモードと（オプションで）明るさの値を制御します。

画面の明るさモード：

ユーザーの選択（デフォルト）：ユーザーは画面の明るさを構成できます。

自動：明るさは自動になり、ユーザーは変更できません。明るさの値は設定できますが、自動調整の一部として使用されます（完全管理のAndroid 9以降、会社所有のAndroid 15以降の仕事用プロファイル）。

固定：明るさは構成した値に設定され、ユーザーは変更できません。明るさの値は必須です（完全管理のAndroid 9以降、会社所有のAndroid 15以降の仕事用プロファイル）。

画面の明るさ：

1～255の値（1 = 最低、255 = 最高）。値が0の場合は、明るさの値が設定されていないことを意味します。

 

6. 画面のタイムアウト設定

ユーザーが画面のタイムアウトを構成できるかどうか、また強制する場合はタイムアウト値を制御します。

画面のタイムアウトモードフィールドでは、ユーザー制御と強制の動作を切り替えます。

ユーザーの選択（デフォルト）：ユーザーは画面のタイムアウトを構成できます。

強制：画面のタイムアウトは構成した値に設定され、ユーザーは変更できません（完全管理のAndroid 9以降、会社所有のAndroid 15以降の仕事用プロファイル）。

画面のタイムアウト：

タイムアウト時間（秒）。値は0より大きい必要があります。ロックまでの最大時間より大きい場合、システムが値を制限し、非準拠として報告する可能性があります。

 

7. 画面キャプチャの無効化

画面キャプチャが無効かどうか。

 

8. 音量調整の無効化

マスター音量の調整が無効かどうか。

 

9. 物理メディアのマウントの無効化

物理的な外部メディアのマウントが無効かどうか。

モバイル通信

このセクションでは、モバイル通信に関連するポリシーを構成できます。

 

1. 機内モード

機内モードをユーザーが切り替えられるかどうかを制御します。

ユーザーの選択（デフォルト）：ユーザーは機内モードをオンまたはオフに切り替えることができます。

無効：機内モードは無効です。ユーザーは機内モードをオンに切り替えることはできません。Android 9以降でサポートされています。

 

2. モバイル通信2G

モバイル通信2G設定をユーザーが切り替えられるかどうかを制御します。

ユーザーの選択（デフォルト）：ユーザーはモバイル通信2Gをオンまたはオフに切り替えることができます。

無効：モバイル通信2Gは無効です。ユーザーは設定からモバイル通信2Gをオンに切り替えることはできません。Android 14以降でサポートされています。

 

3. APNsの上書き

APNsの上書きを有効にするか無効にするかを制御します。有効にすると、構成された上書きAPNsのみが使用され、デバイス上の他のすべてのAPNsは無視されます。

無効（デフォルト）：設定済みのすべてのAPN設定はデバイスに保存されますが、無効になっており効果はありません。デバイス上の他のAPNはすべて引き続き使用されます。

有効：上書き用APNのみが使用され、他のAPNはすべて無視されます。この設定は、Android 10以上の完全管理デバイスでのみ構成できます。

 

4. APN設定

1つ以上のAPNエントリを構成します。APNを追加でエントリを作成し、APNを削除で削除します。

各APNには必須フィールドがあります：

APNタイプ：このAPNのトラフィックタイプを1つ以上選択します（利用可能かどうかは管理モードとAndroidのバージョンによって異なります）。

APN名：通信事業者が提供するAPN識別子です。

表示名：UIに表示されるわかりやすい名前です。

 

任意のAPNフィールド：

認証タイプ、ユーザー名、パスワード：通信事業者の認証を構成します（必要な場合）。

プロトコルとローミングプロトコル：IPプロトコルの構成です。

ネットワークタイプ：APNが使用できるセルラー技術を制限します（例：LTE/5G NR）。

プロキシアドレスとプロキシポート：データトラフィック用のHTTPプロキシです（該当する場合）。

MMSプロキシアドレス、MMSプロキシポート、MMSC（MMSセンターURI）：MMS関連の設定です。

数値オペレーターID（MCC+MNC）とキャリアID：通信事業者を識別するフィールドです。

Always On設定：このAPNによってアクティブ化されるPDUセッションを常時オンにするかどうか。Android 15以上でサポートされます。

MVNOタイプ：モバイル仮想ネットワーク事業者の識別子タイプです。

MTU IPv4とMTU IPv6：IPv4/IPv6ルートの最大転送単位です。Android 13以上でサポートされます。

 

5. セルブロードキャスト設定の無効化

セルブロードキャストの構成が無効かどうか。

 

6. モバイルネットワーク設定の無効化

モバイルネットワークの構成が無効かどうか。

 

7. ローミングデータの無効化

ローミングデータサービスが無効かどうか。

 

8. 発信の無効化

発信が無効かどうか。

 

9. SMSの無効化

SMSメッセージの送受信が無効かどうか。

 

10. 5Gネットワークスライシングの構成

エンタープライズ5Gネットワークスライシングを有効にするには、優先ネットワークサービスの設定を構成します。最大5つのエンタープライズスライスを設定し、アプリケーションを特定のネットワークに割り当てて、トラフィックルーティングを最適化できます。

10.1. デフォルトの優先ネットワーク

アプリケーションリストにないアプリケーション、またはアプリの優先ネットワークが設定されていない場合に使用する、デフォルトの優先ネットワークIDです。指定したネットワークIDの構成が必要です（優先ネットワークなしに設定されている場合を除く）。

注：com.google.android.apps.work.clouddpcやcom.google.android.gmsなどの重要なアプリは、このデフォルト設定から除外されます。

 

10.2. ネットワークサービス構成

ネットワーク構成を追加を使用してスライス構成を作成します。最大5つの構成を追加できます。各構成には次のものがあります：

優先ネットワークID（自動割り当て）：ネットワークIDは自動的に割り当てられ、変更できません。

デフォルト接続へのフォールバック：デバイス全体のデフォルトネットワークへのフォールバックを許可するかどうか。許可しない場合、5Gスライスが利用できないときアプリはインターネットにアクセスできません。

一致しないネットワーク：この構成の対象となるアプリが、優先サービス以外のネットワークを使用できるかどうか。許可しないに設定する場合、デフォルト接続へのフォールバックも許可しないにする必要があります。Android 14以上が必要です。

ネットワーク

このセクションでは、ネットワーク関連のポリシーを構成できます。

WiFi構成を介して、システムがWi‑Fi構成をプロビジョニングおよび管理できます。Wi‑Fiの構成に設定された値に応じて、ユーザーはネットワークの追加/変更を制限されたり、まったく制御できなかったりする場合があります。

 

デバイスの無線状態

1. Wi‑Fiの状態

Wi‑Fiの現在の状態と、ユーザーがその状態を変更できるかどうかを制御します。

ユーザーの選択（デフォルト）：ユーザーはWi‑Fiを有効/無効にできます。

有効：Wi‑Fiはオンで、ユーザーはオフにできません（Android 13以降）。

無効：Wi‑Fiはオフで、ユーザーはオンにできません（Android 13以降）。

 

2. 最小Wi‑Fiセキュリティレベル

デバイスが接続できるWi‑Fiネットワークの最小要件セキュリティレベルです。Android 13以降の完全管理デバイスと会社所有デバイスの仕事用プロファイルでサポートされます。

オープンネットワーク（デフォルト）：デバイスはすべての種類のWi‑Fiネットワークに接続できます。

パーソナルネットワーク：オープンなWi‑Fiネットワークを許可せず、少なくともパーソナルセキュリティ（例：WPA2‑PSK）を要求します。

エンタープライズネットワーク：エンタープライズEAPネットワークを要求し、このセキュリティレベル未満のWi‑Fiネットワークを許可しません。

192ビットエンタープライズネットワーク：192ビットのエンタープライズネットワークを要求します。最も厳しいオプションです。

 

3. 超広帯域（UWB）の状態

超広帯域設定の状態と、ユーザーがオン/オフを切り替えられるかどうかを制御します。

ユーザーの選択（デフォルト）：ユーザーはUWBのオン/オフを切り替えられます。

無効：UWBは無効で、ユーザーは設定から切り替えられません（Android 14以降）。

 

デバイス接続管理

4. Bluetooth共有

Bluetooth共有を許可するかどうかを制御します。

許可：Bluetooth共有が許可されます（完全管理デバイスのデフォルト、Android 8以降）。

許可しない：Bluetooth共有は許可されません（仕事用プロファイルのデフォルト、Android 8以降）。

 

5. Wi‑Fiの構成

Wi‑Fi構成の権限を制御します。選択したオプションに応じて、ユーザーはWi‑Fiネットワークの構成を完全に制御できるか、制限付きで制御できるか、まったく制御できません。

Wi‑Fiの構成を許可（デフォルト）：ユーザーはWi‑Fiを構成できます。

Wi‑Fi構成の追加を許可しない：新しいWi‑Fi構成の追加は許可されません。ユーザーは構成済みのネットワークを切り替えられます（Android 13以降、完全管理および会社所有の仕事用プロファイル）。

Wi‑Fiの構成を許可しない：Wi‑Fiネットワークの構成を許可しません。完全管理デバイスでは、ユーザーが構成したネットワークが削除され、WiFi構成を介して構成されたネットワークのみが保持されます。会社所有の仕事用プロファイルでは、既存のネットワークは影響を受けませんが、ユーザーはWi‑Fiネットワークを追加/削除/変更できません。

Wi‑Fiの構成が無効になっていて、デバイスが起動時に接続できない場合、システムはネットワークエスケープハッチを表示して、ユーザーが一時的に接続してポリシーを更新できるようにすることがあります。

 

6. Wi‑Fi Direct設定

Wi‑Fi Direct設定の構成と使用を制御します。Android 13以降を実行する会社所有デバイスでサポートされます。

許可（デフォルト）：ユーザーはWi‑Fi Directを使用できます。

許可しない：ユーザーはWi‑Fi Directを使用できません。

 

7. テザリング設定

テザリング設定を制御します。設定された値に応じて、ユーザーはさまざまな形式のテザリングを部分的または完全に使用できなくなります。

すべてのテザリングを許可（デフォルト）：すべての形式のテザリングの構成と使用を許可します。

Wi‑Fiテザリングを許可しない：ユーザーがWi‑Fiテザリングを使用することを許可しません（会社所有のAndroid 13以降）。

すべてのテザリングを許可しない：すべての形式のテザリングを許可しません（完全管理および会社所有の仕事用プロファイル）。

 

8. Wi‑Fi SSIDポリシー

デバイスが接続できるWi‑Fi SSIDの制限です（デバイスで構成できるネットワークには影響しません）。Android 13以降を実行する会社所有デバイスでサポートされます。

SSID拒否リスト（デフォルト）：SSIDがリストに含まれているWi‑Fiネットワークには接続できませんが、他のネットワークには接続できます。

SSID許可リスト：デバイスはリストに含まれるSSIDにのみ接続できます。SSIDリストを空にすることはできません。

SSIDを追加を使用してエントリを追加します。選択したポリシーの種類に応じて、リストは許可または拒否するSSIDとして解釈されます。

ポリシーエディターのUIでは、SSIDリストは許可リストの場合は許可されたWi‑Fi SSID、拒否リストの場合は拒否されたWi‑Fi SSIDというラベルになります。

 

9. Wi‑Fiローミング設定

SSIDごとにWi‑Fiローミングモードを構成します。エントリを作成するには、Wi‑Fiローミング設定を追加を使用します。

各エントリには次が含まれます：

SSID：ローミング設定を適用するSSIDです（必須）。

Wi‑Fiローミングモード：デフォルト / 無効 / アグレッシブ。無効とアグレッシブにはAndroid 15以降が必要で、完全管理デバイスと会社所有デバイスの仕事用プロファイルでのみサポートされます。

 

ネットワークの制限

10. Bluetoothの無効化

Bluetoothが無効かどうか。Bluetooth設定の無効化はユーザーが回避できるため、この設定を優先してください。

 

11. Bluetooth連絡先共有の無効化

Bluetooth連絡先共有が無効かどうか。

 

12. Bluetooth設定の無効化

Bluetoothの構成が無効かどうか。

 

13. ネットワークリセットの無効化

ネットワーク設定のリセットが無効かどうか。

 

14. 送信ビームの無効化

NFCを使用してアプリからデータをビーム送信することが無効かどうか。

 

VPN

15. Always On VPNアプリ

Always On VPNのパッケージ名を指定して、指定した管理対象アプリのデータが常に構成済みのVPNを経由するようにします。

注：この機能を使用するには、Always Onとアプリ別VPNの両方の機能をサポートするVPNクライアントを展開する必要があります。

 

16. VPNロックダウン

VPNが接続されていないときのネットワーク接続を許可しません。

 

17. VPN設定の無効化

VPNの構成が無効かどうか。

 

プロキシとネットワークサービス

18. 優先ネットワークサービス

仕事用プロファイルで優先ネットワークサービスを有効にするかどうかを制御します。たとえば、組織が通信事業者と契約して、仕事用データがエンタープライズ専用の通信事業者ネットワークサービス（例：5Gネットワーク上のエンタープライズスライス）を介して送信されるようにすることがあります。これは完全管理デバイスには影響しません。

無効：仕事用プロファイルで優先ネットワークサービスが無効になります。

有効：仕事用プロファイルで優先ネットワークサービスが有効になります。

エンタープライズネットワークスライシングを使用する場合は、5Gネットワークスライシングの構成をセルラーポリシーパネルでも構成し、アプリを優先ネットワーク設定でスライスに割り当てます。

 

19. 推奨グローバルプロキシ

ネットワークに依存しないグローバルHTTPプロキシです。通常、プロキシはWiFi構成でネットワークごとに構成する必要があります。グローバルプロキシは、一般的な内部フィルタリングなどの特殊な構成に役立つ場合があります。グローバルプロキシはあくまで推奨であり、一部のアプリは無視する場合があります。

無効

直接プロキシ

プロキシ自動設定 (PAC)

19.1. ホスト

直接プロキシのホストです。

19.2. ポート

直接プロキシのポートです。

19.3. PAC URI

プロキシの設定に使用する PAC スクリプトの URI です。

19.4. 除外ホスト

直接プロキシの場合、プロキシをバイパスするホストです。ホスト名には *.example.com などのワイルドカードを含めることができます。

除外ホストを追加を使用してエントリを追加します（直接プロキシでのみ使用可能です）。

 

Wi-Fi 設定

デバイスにシステムが適用する Wi‑Fi ネットワーク設定を定義します。Wi‑Fi 設定を追加を使用してエントリを作成し、削除アクションで削除します。

20. Wi‑Fi 設定フィールド

各設定には以下が含まれます：

設定名：必須。

SSID：必須。

自動接続：ネットワークが範囲内にあるときに自動的に接続するかどうか。

Fast Transition：クライアントがネットワークで Fast Transition (IEEE 802.11r-2008) を使用しようとするかどうか。

非表示 SSID：SSID がブロードキャストされるかどうか。

MAC ランダム化モード：ハードウェアまたは自動 (Android 13+)。

 

20.1. セキュリティ

Wi‑Fi セキュリティオプション：

WEP‑PSK：WEP (事前共有キー)。

WPA‑PSK：WPA/WPA2/WPA3-Personal (事前共有キー)。

WPA‑EAP：WPA/WPA2/WPA3-Enterprise (拡張認証プロトコル)。

WPA3 192-bit モード：WPA3 192-bit モードのみを許可する WPA‑EAP ネットワーク。

20.2. パスフレーズ (事前共有キー)

セキュリティが WEP‑PSK または WPA‑PSK の場合に表示されます。パスフレーズは必須です。

20.3. EAP メソッド (エンタープライズ)

セキュリティが WPA‑EAP または WPA3 192-bit モード の場合に表示されます。EAP の外部メソッドを 1 つ選択してください：

EAP‑TLS

EAP‑TTLS

PEAP

EAP‑SIM

EAP‑AKA

20.4. フェーズ 2 認証

トンネリング外部メソッド（EAP‑TTLS および PEAP）の場合に表示されます。

MSCHAPv2

PAP

20.5. ユーザーからの EAP 認証情報

有効にすると、システムはユーザーごとにデバイスへ EAP 認証情報を自動的に適用します。ユーザーセクションでユーザー認証情報を設定できます。

20.6. クライアント証明書

Wi‑Fi 認証に使用するクライアント証明書を EAP‑TLS に割り当てることができます。詳細については、証明書管理 ページをお読みください。

証明書がすでに割り当てられている場合は、証明書を開くで表示するか、証明書を変更で別の証明書を選択できます。

または、Android キーチェーンに保存され、Wi‑Fi 認証に許可されているクライアント証明書を参照する クライアント証明書キーペアのエイリアスを指定できます。

クライアント証明書とクライアント証明書キーペアのエイリアスの両方が設定されている場合、キーペアのエイリアスは無視されます。

20.7. ID

ユーザーの ID。トンネリング外部プロトコル（PEAP、EAP‑TTLS）では、トンネル内の認証に使用され、トンネル外の EAP ID には匿名 IDが使用されます。非トンネリング外部プロトコルでは、EAP ID に使用されます。

20.8. 匿名 ID

トンネリングプロトコルのみで、外部プロトコルに提示されるユーザーの ID を示します。

20.9. パスワード

ユーザーのパスワード。指定しない場合、デフォルトでユーザーにプロンプトが表示されます。

20.10. サーバー CA 証明書

ホストの証明書チェーンの検証に使用する CA 証明書のリストです。少なくとも 1 つの CA 証明書が一致する必要があります。詳細については、証明書管理 ページをお読みください。

サーバー CA 証明書を追加を使用してエントリを追加し、削除アクションで削除します。

20.11. ドメインサフィックスの一致

サーバードメイン名の制約のリストです。エントリは、認証サーバー証明書の代替サブジェクト名の DNS 名に対するサフィックス一致要件として使用されます。

 

システム

このセクションでは、システム関連のポリシーを設定できます。

 

1. 最小 API レベル

許可される最小の Android API レベルです。

 

2. 暗号化ポリシー

暗号化が有効かどうか。

デフォルト：この値は無視されます。つまり、暗号化は不要です。

パスワードなしで有効：暗号化は必須ですが、起動時のパスワードは不要です。

パスワードありで有効：暗号化が必須で、起動時にパスワードが必要です。

 

3. 日付と時刻の自動設定

会社所有デバイスで日付、時刻、タイムゾーンの自動設定が有効かどうか。

ユーザーの選択 (デフォルト)：日付、時刻、タイムゾーンの自動設定はユーザーの選択に委ねられます。

強制：デバイスで日付、時刻、タイムゾーンの自動設定を強制します。

 

4. 開発者設定

開発者設定 (開発者オプションとセーフブート) へのアクセスを制御します。

無効 (デフォルト): すべての開発者設定を無効にし、ユーザーがアクセスできないようにします。

許可: すべての開発者設定を許可します。ユーザーは設定にアクセスし、必要に応じて構成できます。

 

5. Common Criteria モード

Common Criteria モードを制御します。Common Criteria モードは、情報技術セキュリティ評価の Common Criteria (CC) で定義されたセキュリティ標準です。Common Criteria モードを有効にすると、デバイス上の特定のセキュリティコンポーネントが強化されます (例: Bluetooth Long Term Keys の AES-GCM 暗号化、一部のネットワーク証明書に対する追加検証、暗号化ポリシーの整合性チェック)。Common Criteria モードは、Android 11 以降を実行する会社所有のデバイスでのみサポートされます。警告: Common Criteria モードは、通常は高度に機密性の高い組織でのみ必要とされる厳格なセキュリティモデルを適用します。標準的なデバイスの使用に影響する可能性があります。必要な場合にのみ有効にしてください。

無効 (デフォルト): Common Criteria モードを無効にします。

有効: Common Criteria モードを有効にします。

 

6. Memory Tagging Extension (MTE)

デバイス上の Memory Tagging Extension (MTE) を制御します。

ユーザーの選択 (デフォルト): ユーザーはデバイスで MTE を有効または無効にできます (デバイスがサポートしている場合)。

強制: MTE が有効になり、ユーザーは変更できません (Android 14 以降。完全管理デバイスおよび会社所有デバイス上の仕事用プロファイルでサポートされます)。

無効: MTE が無効になり、ユーザーは変更できません (Android 14 以降。完全管理デバイスでのみサポートされます)。

 

7. コンテンツ保護

欺瞞的なアプリをスキャンするコンテンツ保護を有効にするかどうかを制御します。これは Android 15 以降でサポートされます。

無効 (デフォルト): コンテンツ保護は無効になり、ユーザーはこれを変更できません。

強制: コンテンツ保護が有効になり、ユーザーはこれを変更できません (Android 15 以降)。

ユーザーの選択: コンテンツ保護はポリシーで制御されません。ユーザーが選択できます (Android 15 以降)。

 

8. アシストコンテンツ

AssistContent をアシスタントアプリなどの特権アプリに送信できるかどうかを制御します (例: Circle to Search)。AssistContent にはスクリーンショットやアプリの情報 (パッケージ名など) が含まれます。これは Android 15 以降でサポートされます。

許可 (デフォルト): アシストコンテンツを特権アプリに送信できます (Android 15 以降)。

不許可: アシストコンテンツを特権アプリに送信できません (Android 15 以降)。

 

9. ウィンドウ作成の無効化

アプリのウィンドウ以外のウィンドウの作成を無効にするかどうか。このオプションは、次のシステム UI が表示されないようにします: トーストとスナックバー、電話アクティビティ (着信など) と優先電話アクティビティ (通話中など)、システムアラート、システムエラー、システムオーバーレイ。

 

10. ネットワークエスケープハッチ

ネットワークエスケープハッチを有効にするかどうか。起動時にネットワーク接続を確立できない場合、エスケープハッチはデバイスポリシーを更新するために一時的にネットワークに接続するようユーザーに促します。ポリシーを適用した後、一時的なネットワークは忘れられ、デバイスの起動が続行されます。これにより、最後のポリシーに適切なネットワークがなく、デバイスがロックタスクモードのアプリで起動した場合や、ユーザーがデバイス設定にアクセスできない場合に、ネットワークに接続できなくなることを防ぎます。

 

11. デフォルトアクティビティ

特定のインテントフィルターに一致するインテントを処理するためのデフォルトアクティビティのリスト。たとえば、この機能により、IT 管理者は、Web リンクを自動的に開くブラウザアプリや、ホームボタンをタップしたときに使用するランチャーアプリを選択できます。

デフォルトアクティビティを追加 を使用してエントリを作成します。エントリ内では、アクションを追加 と カテゴリを追加 を使用してインテントフィルターを構築します。

11.1. 受信アクティビティ

デフォルトのインテントハンドラーとなるアクティビティ。これは Android のコンポーネント名 (例: com.android.enterprise.app/.MainActivity) である必要があります。または、値はアプリのパッケージ名でもかまいません。その場合、Android Device Policy がアプリから適切なアクティビティを選択してインテントを処理します。

11.2. アクション

フィルターで一致させるインテントアクション。フィルターにアクションが含まれている場合、インテントが一致するには、そのアクションがそれらの値のいずれかである必要があります。アクションが含まれていない場合、インテントアクションは無視されます。

11.3. カテゴリ

フィルターで一致させるインテントカテゴリ。インテントには必要なカテゴリが含まれており、一致するにはそれらすべてがフィルターに含まれている必要があります。つまり、フィルターにカテゴリを追加しても、そのカテゴリがインテントで指定されていない限り、一致には影響しません。

 

12. 許可する入力方法

許可する入力方法を指定します。

すべて許可: 制限は適用されません。すべての入力方法が許可されます。

システムのみ: システムに組み込まれた入力方法のみが許可されます。

システムと提供されたもののみ: 提供された入力方法とシステムに組み込まれた入力方法のみが許可されます。

12.1. 許可する入力方法

許可する入力方法のパッケージ名。許可する入力方法 が システムと提供されたもののみ に設定されている場合にのみ適用されます。

入力方法を追加 を使用してエントリを追加し、削除アクションで削除します。

 

13. 許可するアクセシビリティサービス

許可するアクセシビリティサービスを指定します。

すべて許可: 任意のアクセシビリティサービスを使用できます。

システムのみ: システムに組み込まれたアクセシビリティサービスのみを使用できます。

システムと提供されたもののみ: 提供されたアクセシビリティサービスとシステムに組み込まれたアクセシビリティサービスのみを使用できます。

13.1. 許可するアクセシビリティサービス

許可するアクセシビリティサービス。許可するアクセシビリティサービス が システムと提供されたもののみ に設定されている場合にのみ適用されます。

アクセシビリティサービスを追加 を使用してエントリを追加し、削除アクションで削除します。

 

14. システム更新ポリシー

システム更新を管理するための構成。

デフォルト: デバイスのデフォルトの更新動作に従います。通常、ユーザーがシステム更新を承認する必要があります。

自動: 更新が利用可能になり次第、自動的にインストールします。

ウィンドウ指定: 毎日のメンテナンスウィンドウ内で自動的にインストールします。これにより、Play アプリもウィンドウ内で更新されるように構成されます。これはキオスクデバイスに強く推奨されます。なぜなら、これが Play によって前景に固定されたアプリを継続的に更新できる唯一の方法だからです。

延期: 自動インストールを最大 30 日間延期します。

 

14.1. メンテナンスウィンドウ (ウィンドウ指定の場合のみ)

システム更新ポリシー が ウィンドウ指定 に設定されている場合、from と to フィールドを使用して毎日のメンテナンスウィンドウを定義できます。

 

14.2. システム更新の凍結期間

デバイスで実行されている OS バージョンを凍結するために、無線 (OTA) システム更新が延期される毎年繰り返される期間。デバイスを無期限に凍結しないようにするには、各凍結期間を少なくとも 60 日空ける必要があります。各凍結期間は 90 日を超えてはなりません。

システム更新の凍結期間を追加 を使用してエントリを作成します。

 

15. 認証情報プロバイダーのデフォルト

Android 14 以降で、どのアプリを認証情報プロバイダーとして使用できるかを制御します。

不許可 (デフォルト): credentialProviderPolicy が指定されていないアプリは、認証情報プロバイダーとして機能できません。

システムを除き不許可: credentialProviderPolicy が指定されていないアプリは、OEM のデフォルト認証情報プロバイダーを除き、認証情報プロバイダーとして機能できません。

位置情報とジオフェンス

このパネルには、デバイスの位置情報レポート、位置情報の適用、ジオフェンス定義を制御するAndroidポリシー設定がまとめられています。Cerberus Enterpriseでデバイスの位置情報を収集する場合や、デバイスが構成済みのエリアに出入りするのを検出する場合に使用します。

位置情報のレポート

位置情報をレポート

デバイスの位置情報レポートを有効にします。この設定で収集された位置データは、ダッシュボードの位置情報マップ、デバイス概要の位置履歴、ジオフェンス処理で使用されます。

位置情報履歴とジオフェンスのイベントは90日間保持され、それより古いデータは毎晩自動的に削除されます。登録済みの各デバイスの最新の位置は常に保持されるため、マップに表示され続けます。

完全には管理されていないデバイスでは、位置データは、Cerberus Enterprise アプリに必要な位置情報の権限があるかどうか、およびデバイスで位置情報サービスが有効になっているかどうかにも依存する場合があります。

個人用Appleデバイス（User Enrollment）では、位置情報とジオフェンスはデフォルトでオフです。Appleポリシーの個人用デバイスでの位置情報とジオフェンスがオンになっている場合にのみ利用でき、さらにユーザーがCerberus Enterpriseアプリの位置情報を許可している必要があります。

位置情報モード

会社所有デバイスのデバイス位置情報設定を制御します。

• ユーザーの選択：位置情報サービスはポリシーによって制限されません。
• 強制：デバイスで位置情報サービスが有効になります。
• 無効：デバイスで位置情報サービスが無効になります。

位置情報の共有を無効化

仕事用アプリの位置情報共有を無効にします。プロファイル所有者デバイスでは仕事用プロファイルに影響します。完全管理デバイスではデバイス全体の位置情報を無効にし、デバイスの位置情報モードを上書きします。

アクティブなジオフェンスがある場合の自動動作

アクティブなジオフェンスが機能するには位置情報レポートが必要です。1つ以上のジオフェンスがアクティブな場合、Cerberus Enterpriseは関連する位置情報設定を自動的に整合させます。

• アクティブなジオフェンスが存在する間は、位置情報をレポートが強制的にオンになります。
• 位置情報モードは強制に設定されます。
• 位置情報の共有を無効化は強制的にオフになります。

1つ以上のジオフェンスがアクティブなときに位置情報をレポートを無効にしようとすると、Cerberus Enterpriseは確認ダイアログを表示します。続行すると、ポリシー内のすべてのアクティブなジオフェンスが非アクティブになります。

ジオフェンスリスト

1つのポリシーには最大10個のジオフェンスを含めることができます。ジオフェンス名はポリシー内で一意である必要があります。

新しいエントリを作成するには、ジオフェンスを追加を使用します。各ジオフェンスには次の主要フィールドがあります：

• 名前：必須で一意である必要があります。
• 緯度と経度：エリアの中心です。
• 半径（m）：必須で、200～10000メートルの範囲です。
• 説明：管理者向けの任意のメモです。
• 入場をレポートと退場をレポート：生成する遷移イベントを選択します。
• アクティブ：ジオフェンスを削除せずに有効または無効にします。

各ジオフェンスでは、入場をレポートまたは退場をレポートの少なくとも1つを有効にしておく必要があります。

以前の最小半径は100メートルでした。200メートル未満の既存のジオフェンスは引き続き機能し、ポリシーを保存するときにそのまま維持されます（移動または名前変更した場合も同様です）。半径を変更する場合は、200メートル以上にする必要があります。

地図編集ツール

各ジオフェンスカードには、エリアの地図プレビューが含まれています。ジオメトリは地図から、または数値フィールドから編集できます。

• エリア編集のロックが解除されているときに、地図をクリックしてジオフェンスの中心を移動します。
• 現在地ボタンを使用して、地図を現在のブラウザ位置に合わせます。
• 地図を再センタリングボタンを使用して、そのジオフェンスの推奨ビューポートを復元します。
• ロックボタンを使用して、ジオフェンスのジオメトリへの偶発的な変更を防ぎます。

ジオフェンスデータが表示される場所

ジオフェンスの遷移は、Androidのデバイス概要ページの位置情報パネル内にあるジオフェンスタブで確認できます。このタブでは、専用の地図上に遷移が表示され、フィルタリングツールと遷移リストも利用できます。

ユーザー管理

ユーザー追加の無効化

新しいユーザーとプロファイルの追加を無効にするかどうか。managementMode が DEVICE_OWNER のデバイスでは、このフィールドは無視され、ユーザーはユーザーの追加または削除を許可されません。

 

アカウント変更の無効化

アカウントの追加または削除を無効にするかどうか。

 

ユーザー認証情報の構成の無効化

ユーザー認証情報の構成を無効にするかどうか。

 

ユーザー削除の無効化

他のユーザーの削除を無効にするかどうか。

 

ユーザーアイコン設定の無効化

ユーザーアイコンの変更を無効にするかどうか。

 

壁紙設定の無効化

壁紙の変更を無効にするかどうか。

 

仕事用アカウント設定の認証

仕事用アカウントの設定中にユーザーが認証する方法を制御します。このオプションは、管理対象の Google ドメイン (Google Workspace) に基づく Android エンタープライズでのみ使用できます。

デバイスの設定/登録時に、このポリシーは仕事用アカウントのサインインが必要かどうかに影響しますが、Google Admin Console の設定 Google を使用して認証 と登録トークンの種類によっては、引き続き認証が必要になる場合があります。

登録済みのデバイスの場合、このポリシーは、デバイスが管理対象の Google Play アカウントによって管理されている場合 (つまり、Google 登録を使用して認証 なしで登録された場合) にのみ適用されます。

詳細とトラブルシューティングについては、Google 登録を使用して認証を参照してください。

 

ブロックされたアカウントの種類

ユーザーが管理できないアカウントの種類。このオプションは、デバイスユーザーが承認されていないアカウントを追加することを防ぎます。

ブロックされたアカウントの種類を追加 を使用して、1 つ以上のアカウントの種類を追加します。

各エントリには アカウントの種類 フィールド (必須) があります。com.google などの文字列を入力します。削除アクションを使用してエントリを削除します。

個人利用

仕事と個人利用のために会社所有デバイスをプロビジョニングする場合、仕事用プロファイル外での個人利用のためにユーザーがデバイスを操作する方法を制限するルールを指定できます。

このセクションは仕事用プロファイルを備えた会社所有デバイスにのみ適用されます。フルマネージドデバイスや個人所有デバイスには影響しません。

1. カメラ無効

カメラが無効かどうか。

 

2. 画面キャプチャ無効

画面キャプチャが無効かどうか。

 

3. 仕事オフの最大日数

仕事用プロファイルをオフにできる期間を制御します。

 

4. Bluetooth 共有

仕事用プロファイルを備えた会社所有デバイスの個人プロファイルで Bluetooth 共有を許可するかどうかを制御します。

 

5. プライベートスペース

デバイスでプライベートスペースを許可するかどうかを制御します。

 

6. Play ストアモード

このモードは、個人プロファイルの Play ストアでユーザーに許可またはブロックするアプリを制御します。

ブロックリスト (デフォルト)：すべてのアプリが利用可能で、デバイスに存在すべきでないアプリは明示的にブロック済みとしてアプリケーションセクションでマークする必要があります。

許可リスト：アプリケーションセクションでインストールタイプが利用可能に設定されている、明示的に指定されたアプリのみが、個人プロファイルにインストールできます。

 

7. アプリケーション

個人プロファイルで許可またはブロックする必要があるアプリケーションのリストです。リストの内容の動作は、Play ストアモードに設定された値によって異なります。

Play ストアから新しいアプリを追加するには、+ アイコンをクリックします。

7.1. インストールタイプ

個人プロファイルのアプリケーションに設定できるインストール動作の種類です。

ブロック済み：アプリはブロックされており、個人プロファイルにインストールできません。

利用可能：アプリは個人プロファイルにインストールできます。

 

8. ブロックされたアカウントの種類

ユーザーが管理できないアカウントの種類です。このオプションにより、デバイスユーザーは個人プロファイルに未承認のアカウントを追加できなくなります。

プロファイル間ポリシー

個人用プロファイルと仕事用プロファイルがあるデバイスにのみ適用されます。

プロファイル間のコピー/貼り付け

一方のプロファイル（個人用または仕事用）からコピーしたテキストを、もう一方のプロファイルに貼り付けられるかどうか。

許可しない（デフォルト）：仕事用プロファイルからコピーしたテキストを個人用プロファイルに貼り付けることを防ぎます。個人用プロファイルからコピーしたテキストは仕事用プロファイルに貼り付けられます。

許可：どちらかのプロファイルでコピーしたテキストを、もう一方のプロファイルに貼り付けられます。

 

プロファイル間のデータ共有

一方のプロファイル（個人用または仕事用）のデータを、もう一方のプロファイルのアプリと共有できるかどうか。具体的には、インテントを介した単純なデータ共有を制御します。連絡先検索、コピー/貼り付け、
接続された仕事用アプリと個人用アプリなど、他のプロファイル間通信チャネルの管理は個別に構成されます。

許可しない：個人用プロファイルから仕事用プロファイルへ、および仕事用プロファイルから個人用プロファイルへのデータ共有を防ぎます。

仕事用から個人用への共有を許可しない（デフォルト）：仕事用プロファイルから個人用プロファイルのアプリへデータを共有することを防ぎます。個人データは仕事用アプリと共有できます。

許可：どちらかのプロファイルのデータを、もう一方のプロファイルと共有できます。

 

仕事用プロファイルのウィジェットのデフォルト

仕事用プロファイルのウィジェットのデフォルト動作です。特定のアプリがウィジェットポリシーを定義していない場合、ここで設定したデフォルトに従います。

 

プロファイル間のアプリ機能

個人用プロファイルのアプリが仕事用プロファイルのアプリのアプリ機能を呼び出せるかどうかを制御します。これにはAndroid 16以上が必要です。

この設定は、ポリシーレベルのアプリ機能オプション（アプリ管理セクション内）に依存します。アプリ機能が許可しないに設定されている場合、APIは許可に設定されたプロファイル間のアプリ機能を拒否します。

 

個人用プロファイル内の仕事用連絡先

仕事用プロファイルに保存されている連絡先を、個人用プロファイルの連絡先検索や着信に表示できるかどうか。

許可（デフォルト）：仕事用プロファイルの連絡先を個人用プロファイルに表示できるようにします。

許可しない：個人用アプリが仕事用プロファイルの連絡先にアクセスしたり、仕事用の連絡先を検索したりすることを防ぎます。

システム以外は許可しない：OEMのデフォルトの電話、メッセージ、連絡先アプリ（Android 14+）を除き、ほとんどの個人用アプリが仕事用プロファイルの連絡先にアクセスすることを防ぎます。

個人用プロファイル内の仕事用連絡先が構成されている場合、必要に応じて除外パッケージ名エントリのリストを定義できます。選択したモードに応じて、これらの除外は個人用アプリの許可リストまたはブロックリストとして機能します。

ステータスレポート

このセクションでは、デバイスから取得するデータを設定できます。ステータスデータはデバイスステータスダッシュボードページで確認できます。

 

アプリケーションレポート

アプリレポートが有効かどうか。(インストール済みアプリについて報告される情報です。)

このオプションはシステム (コンパニオンアプリの連携) で必要であり、常に有効になっています。無効にできません。

 

削除されたアプリを含める

削除されたアプリをアプリケーションレポートに含めるかどうか。

 

デバイス設定

デバイス設定のレポートが有効かどうか。(デバイス上のセキュリティ関連のデバイス設定に関する情報です。)

 

ソフトウェア情報

ソフトウェア情報のレポートが有効かどうか。(デバイスソフトウェアに関する情報です。)

 

メモリ情報

メモリレポートが有効かどうか。(メモリとストレージの測定に関するイベントです。)

 

ネットワーク情報

ネットワーク情報のレポートが有効かどうか。(デバイスのネットワーク情報です。)

 

ディスプレイ情報

ディスプレイレポートが有効かどうか。仕事用プロファイルを備えた個人所有デバイスではレポートデータを利用できません。(デバイスのディスプレイ情報です。)

 

電源管理イベント

電源管理イベントのレポートが有効かどうか。仕事用プロファイルを備えた個人所有デバイスではレポートデータを利用できません。

 

ハードウェアステータス

ハードウェアステータスのレポートが有効かどうか。仕事用プロファイルを備えた個人所有デバイスではレポートデータを利用できません。

 

システムプロパティ

システムプロパティのレポートが有効かどうか。

 

Common Criteria モード

Common Criteria モードのレポートが有効かどうか。

その他

1. イースターエッグゲームの無効化

設定のイースターエッグゲームが無効かどうか。

 

2. 初回使用時のヒントをスキップ

初回使用時にヒントをスキップするフラグです。エンタープライズ管理者は、アプリが初回起動時にユーザーチュートリアルやその他の導入ヒントをスキップするよう、システムの推奨を有効にできます。

 

3. 短いサポートメッセージ

管理者によって機能が無効にされている設定画面で、ユーザーに表示されるメッセージです。メッセージが200文字を超える場合、切り捨てられることがあります。

 

4. 長いサポートメッセージ

デバイス管理者の設定画面でユーザーに表示されるメッセージです。

 

5. 所有者のロック画面情報

ロック画面に表示するデバイス所有者情報です。

 

6. セットアップアクション

セットアッププロセス中に実行するアクションです。登録時に、デバイスのセットアップに必要な1つ以上のアプリをユーザーに開くよう要求できます。

セットアップアクションを追加を使用してエントリを作成し、削除アクションで削除します。

6.1. アプリを起動

起動するアプリのパッケージ名

6.2. タイトル

アプリの起動が必要な理由をユーザーに説明する、ユーザー向けメッセージを提供します。

6.3. 説明

アプリの起動が必要な理由をユーザーに説明する、ユーザー向けメッセージを提供します。

 

7. エンタープライズ表示名の可視性

デバイスでエンタープライズ表示名を表示するかどうかを制御します（例：会社所有デバイスのロック画面メッセージとして）。

表示（デフォルト）：デバイスでエンタープライズ表示名が表示されます（Android 7以降の仕事用プロファイルとAndroid 8以降の完全管理デバイスでサポートされます）。

非表示：デバイスでエンタープライズ表示名が非表示になります。

コンプライアンス ルール

デバイスまたは仕事用プロファイルが以下に示すポリシー設定のいずれかに準拠していない場合、Android Device Policy はデフォルトで直ちにデバイスまたは仕事用プロファイルの使用をブロックします：

• パスワード要件
• 暗号化ポリシー
• キーガード無効
• 許可された入力方式
• 許可されたアクセシビリティサービス

デバイスまたはワーク プロファイルが 10 日経ってもコンプライアンス違反のままである場合、Android Device Policy はデバイスを工場出荷時設定にリセットするか、ワーク プロファイルを削除します。

このセクションでは、デフォルトのコンプライアンス適用ルールを上書きしたり、新しいルールを追加したりできます。

ルール

特定のポリシーをデバイスに適用できない場合の動作を定義するルールのリストです。

ルールを追加を使用して新しいルールを作成します。各ルールカードは削除アクションで削除できます。

設定名

適用する最上位のポリシーです。たとえば、アプリケーションやパスワード要件などです。

必須。値はサポートされている最上位のポリシー名と一致する必要があります。一致しない場合、フィールドは無効としてマークされます。

ブロックまでの日数

デバイスまたは仕事用プロファイルがブロックされるまでにポリシーが準拠しない日数です。即座にアクセスをブロックするには、0 に設定します。ブロックまでの日数はワイプまでの日数より短くする必要があります。会社所有のデバイスにのみ適用されます。

許容範囲: 0～300。

ブロックスコープ

ブロックアクションのスコープを指定します。会社所有のデバイスにのみ適用されます。

デフォルト (新しいルール)：仕事用プロファイル。

仕事用プロファイル：ブロックアクションは仕事用プロファイルのアプリにのみ適用されます。個人プロファイルのアプリは影響を受けません。

デバイス全体：ブロックアクションは、個人プロファイルのアプリを含むデバイス全体に適用されます。

ワイプまでの日数

デバイスまたは仕事用プロファイルがワイプされるまでにポリシーが準拠しない日数です。
ワイプまでの日数はブロックまでの日数より長くする必要があります。会社所有のデバイスにのみ適用されます。

必須。デフォルト (新しいルール)：1。

許容範囲: 1～300。

工場出荷時リセット保護を保持

デバイスで工場出荷時リセット保護データを保持するかどうか。この設定は仕事用プロファイルには適用されません。

デフォルト (新しいルール)：有効。

ポリシー - Apple

Appleポリシー

Appleポリシーは、Cerberus EnterpriseがMDMを介してAppleデバイスに適用する管理設定を定義します。これらの設定は、ダッシュボードのAppleポリシーエディターで構成します。

開始する前に

Appleデバイス管理では、Apple Management (APNs)を構成する必要があります。必要に応じて、Apple Managementの設定 (APNs)ページをお読みください。

Appleポリシーエディターを開く

ダッシュボードでポリシーを開き、新しいAppleポリシーを作成をクリックします。既存のAppleポリシーを編集するには、ポリシーテーブルの行をクリックします。

エディターのレイアウト

Appleポリシーエディターは、展開可能なセクションのセットとして構成されています。ページの上部では、常に次の項目を編集できます：

• 名前（必須）
• ID（読み取り専用）
• 説明（任意）

ポリシーセクション

以下のセクションは、Apple ポリシー エディターで現在利用可能なパネルに対応しています。保存済みのポリシーを開くと、設定が変更されているセクションはすでに開いており、それ以外は閉じたままです:

• アプリ管理：アプリ関連の制限、管理対象アプリ、Cerberus Enterpriseアプリの設定を構成します。
• キオスクとホーム画面：シングルAppモード、許可およびブロックされたアプリ、ホーム画面レイアウト、Webクリップ、通知設定、ロック画面メッセージ。
• セキュリティ：自動ロック解除や生体認証によるロック解除などの機能を制御します。
• パスコード設定：パスコードの要件と関連ルールを構成します。
• マルチメディア：カメラと関連機能を許可/禁止します。
• セルラー: セルラー関連の設定 (アプリのセルラー データ設定、eSIM、プランの変更) とセルラー APN を制御します。
• ネットワーク: Wi-Fi ネットワーク (エンタープライズ 802.1X を含む)、VPN、証明書、グローバル プロキシ、暗号化 DNS と Web コンテンツ フィルター、および AirDrop や Bluetooth などの接続制限。
• システムとユーザー インターフェイス: Handoff、デバイス名、スクリーン セーバーなどのシステム機能を制限します。
• ソフトウェアアップデート：期限までにOSバージョンを要求し、アップデートのダウンロードとインストール方法を制御します。
• macOS：ファイアウォール、Gatekeeper、スクリーンセーバーとロック、外部ストレージとネットワークストレージ、画面共有、プライバシー権限、Macのログイン項目。
• Apple のアプリとサービス: iMessage、Game Center、Find My などの Apple のアプリとサービスを制限します。
• Siri と Apple Intelligence: Siri、ディクテーション、Apple Intelligence の機能を制限します。
• iCloud：特定のiCloudサービス（バックアップ、キーチェーン同期、プライベートリレーなど）を許可または禁止します。
• 位置情報とジオフェンス: Cerberus Enterprise アプリをインストールした iPhone と iPad が出入りしたときに報告するエリア (イベント ルール用)。
• アカウント：アカウントの変更を制限し、メール、Exchange、Google、カレンダー、連絡先、ディレクトリアカウントを構成します。
• コンプライアンスルール：デバイスを非準拠にする要件（パスコード、最小OSバージョン、監視、FileVault）と、任意のブロック。

Appleポリシーエディターの多くのオプションには、要件とサポートされているOSバージョンを説明するツールチップがあります。

保存、削除、関連付けられたデバイス

ポリシーを保存を使用して変更を適用します。保留中の編集がない場合、またはライセンスが期限切れの場合は、ボタンは無効になります。

既存のポリシーを編集する場合、ページにはポリシーを削除アクションも表示されます。エディターの下部には関連付けられたデバイスリストが表示され、現在ポリシーを使用しているデバイスの数を確認できます。

次のページ

• アプリとプロファイル：インストールするアプリと構成プロファイルを構成します。
• キオスクとホーム画面：シングルAppモード、許可されたアプリ、ホーム画面レイアウト、Webクリップ。
• パスコード：パスコードの要件と関連するセキュリティオプションを構成します。
• 制限：許可する機能とOSレベルの制限を定義します。
• ネットワーク: Wi-Fi ネットワーク、VPN、証明書、接続制限。
• ソフトウェアアップデート：必須のOSアップデートとソフトウェアアップデート設定。
• macOS：ファイアウォール、Gatekeeper、画面ロック、ストレージ、プライバシー権限、Macのログイン項目。
• 位置情報とジオフェンス: iPhone と iPad が出入りを報告するエリアと、動作に必要なもの。
• アカウント：メール、Exchange、Google、カレンダー、連絡先、ディレクトリアカウント。
• コンプライアンスルール：デバイスの要件と、非準拠デバイスのブロック。

アプリとプロファイル

このセクションでは、Appleデバイス向けの管理対象アプリケーションとアカウントペイロードを構成する方法について説明します。

アプリ管理

アプリ管理パネルには、アプリ関連の一般的な制限と管理対象アプリの一覧の両方が含まれます。

一般的なアプリの制限

• Appクリップを許可
• アプリのインストールを許可
• アプリの削除を許可
• アプリの自動ダウンロードを許可
• アプリの非表示を許可
• アプリのロックを許可
• アプリ内課金を許可
• デフォルト ブラウザの変更を許可
• エンタープライズ アプリの信頼を許可

管理対象アプリ

アプリケーションを追加を使用して、ポリシーにアプリを追加します。各管理対象アプリはカードとして表示されます。カードを展開して設定を編集し、削除アクションでアプリを削除できます。

• App Store ID：管理対象アプリのApp Store識別子。
• バンドルID：アプリのバンドル識別子。
• インストール動作：アプリをインストールしたままにする必要があるか、ユーザーがインストール／削除できるかを制御します。
• 割り当て：Cerberusがデバイスごとに選択するライセンスの種類。会社のデバイスではデバイスライセンス、個人のiPhoneおよびiPad（ユーザー登録）ではManaged Apple Accountのユーザーライセンス。このフィールドは変更できません。
• VPPライセンス：App Storeを通じたインストールに使用されるVPPライセンスの種類。

アプリ選択リストには、各アプリの利用可能なライセンス数と合計ライセンス数が表示されます。無料アプリは無制限と表示されます。Appleは無料アプリに無制限のライセンスを付与します。アプリは1つのポリシーに1回だけ追加できます。すでにポリシーにあるアプリと同じApp Store IDまたはバンドルIDを持つアプリは拒否され、同じアプリを2回リストしたポリシーも保存時に拒否されます。

アプリ選択リストには、Apple Businessライブラリのアプリが表示されます。アプリを追加するには、Apple BusinessでApps & Services → Apps & Books → App Storeを開き、アプリを検索してViewをクリックします。無料アプリの場合は、Addをクリックし、All current and future（またはApps and Booksトークンの組織単位）をOrganizational Unitsで選択し、AddをクリックしてからReviewをクリックして確認します。有料アプリの場合は、その価格をクリックし、License TypeとしてManaged Licensesを選択し（引換コードはCerberus Enterpriseでは使用できません）、Apps and BooksトークンのOrganizational Unitを選択し、Licensesの数（注文ごとに最大1,000）を入力してから、Reviewをクリックして購入します。購入前にSettings → Payments & Billing → Apps & Services → Payment Methodsで支払い方法を設定しておく必要があります。その後、アプリがアプリ選択リストに表示されます。

個人デバイスのアプリ（ユーザー登録）

ユーザー登録で登録された個人のiPhoneおよびiPadにはシリアル番号がないため、デバイスでサインインしているManaged Apple Accountのユーザーライセンスを使用して、ポリシーのApp Storeアプリを受け取ります。CerberusはアカウントをApps and Booksに登録し、無料アプリを含めてライセンスを自動的に割り当てます。Managed Apple AccountとApps and Booksトークンは、同じApple Business組織に属している必要があります。有料アプリはアカウントごとに1つのライセンスを使用し、そのアカウントのすべての個人デバイスで共有されます。

• ユーザーライセンスを待機中：アプリは、Appleがライセンスを確認した後にのみデバイスに送信されます。通常は数分以内です。デバイスのアプリケーションパネルに理由が表示されます。
• ユーザーライセンスに失敗しました：Appleがライセンスを割り当てられませんでした。たとえば、有料アプリに残りのライセンスがない場合です。Apple Businessでライセンスを追加してから再リクエストを使用してください。Cerberusも毎日自動的に再試行します。
• インストールプロンプト：iOSは各アプリをインストールする前にユーザーに確認します。ユーザーがキャンセルすると、アプリはユーザーによるインストールの承認待ちと表示されます。再リクエストでプロンプトが再度表示されます。
• 解放：ポリシーからアプリを削除するか、アカウントの最後の個人デバイスの登録を解除すると、同じアカウントの別の登録済みデバイスがまだ必要としていない限り、アプリが削除され、ライセンスが解放されます。

詳細については、Appleアカウント駆動型登録を参照してください。

管理対象構成

管理対象構成は、アプリのベンダーが文書化した方法で、アプリに設定（サーバーアドレスやアカウント名など）を提供します。ポリシーでアプリを開き、管理対象構成を追加をクリックします。これはiOSまたはiPadOS 18.4以降のiPhoneおよびiPad、およびmacOS 27以降のMacに送信されます。Apple Vision Proにはまだ送信されません。アプリは管理対象構成をサポートしている必要があります。読み取らないアプリは無視します。アプリパネルには、アプリ名の横にキーの数が表示されます。

• キー：各行にはキー、種類、値があります。種類は、テキスト、整数、小数、ブール値、日付、テキストリスト、整数リストです。キーは大文字と小文字を区別し、一意である必要があります。キーを追加で行を追加し、構成を削除ですべてのキーを削除します。
• 変数：テキストおよびテキストリストの値には、$EMAIL$、$USERNAME$、$FULLNAME$、$SERIAL$、$UDID$を含めることができ、各デバイスとそのユーザーの値に置き換えられます。値のない変数（たとえば、ユーザーのいないデバイスの$EMAIL$）は空のままになり、システムログにその旨が記録されます。ユーザーの詳細が変更されると、デバイスは新しい値を取得します。Google Directoryから同期されたユーザーの場合、値は次回のポリシーまたはデバイスの変更時に更新されます。
• 構成をインポート：アプリのベンダーがMDM向けに公開しているファイルを開くか貼り付けてから、読み取りをクリックします。AppConfigスペックファイル（specfile.xml）には、アプリがサポートするすべてのキーと、その説明、種類、デフォルト値、許可される値が一覧表示されます。インポートするキーを選択し（デフォルト値のあるキーはすでに選択されています）、インポート後に残りを入力します。スペックファイルが別のアプリ用の場合は警告が表示されます。プロパティリスト（プロパティリスト全体、または<dict>のみ）はそのままインポートされます。次に、現在のキーを置き換えるか追加するかを選択します。ネストされた辞書、データ値、混在した種類や不明な種類のリストはサポートされておらず、スキップされたものとして一覧表示されます。Appleはアプリの構成キーを公開していないため、ベンダーのドキュメントにファイルがない場合はベンダーに問い合わせてください。plistとしてコピーは、変数が置き換えられる前の、デバイスが受け取る状態の構成をコピーします。
• 制限：アプリごとに最大200キー、キーは最大255文字、テキスト値は最大4,096文字、リストは最大200項目で各項目最大1,024文字、日付は1970年から9999年まで、アプリごとに合計64 KBまでです。
• パスワードには使用しないでください：構成はそれが構築されたデバイスにのみ送信され、ログにはキー名と種類のみが表示されますが、ダッシュボードの管理者は値を読み取ることができ、デバイスが構成をダウンロードするアドレスは値によって変わるため、推測しやすい値（ブール値や小さな数値）はそこから推測される可能性があります。管理対象構成にはパスワードやその他の機密情報を入れないでください。
• ステータス：デバイスがアプリの構成を受け入れなかったことを報告すると、デバイスのアプリケーションパネルのアプリの横に構成が受け入れられませんでしたが表示されます。これによってデバイスが非準拠になることはありません。デバイスがダウンロードできない構成は、非準拠になります。

アプリのオプション

ポリシーの各アプリ（App Storeアプリとカスタムアプリ）には、これらのオプションがあります。デバイスのデフォルトは、選択をデバイスに任せます。オプションをサポートしていないデバイスには適用されませんが、アプリは引き続きインストールされます。

• 自動更新：App Store設定、常にまたはなし。iOS、iPadOS、macOS、visionOS 26以降。カスタムアプリでは、App Store設定は「なし」と同じように動作します。
• モバイルデータ通信でのダウンロード：自動インストールと更新のためのApp Store設定、常にまたはなし。iOSまたはiPadOS 26以降の監視対象のiPhoneおよびiPadのみ。
• アプリデータをバックアップ：アプリデータをデバイスのバックアップに含めるかどうか。Macでは利用できません。
• ユーザーがアプリを非表示にできるとユーザーがアプリをロックできる：iOSおよびiPadOS 18.1以降、監視対象デバイスで適用されます。ロックを許可しない場合は、非表示もできなくなります。アプリの非表示を許可とアプリのロックを許可の制限は、すべてのアプリに適用されます。
• お客様のPINが必要なTap to Pay取引後にデバイスをロック：iPhoneのみ。
• 関連ドメイン：アプリが関連付けられているドメイン（ユニバーサルリンクやパスワードの自動入力など）で、最大50個です。applinks:、ワイルドカード、?mode=を付けずに、www.example.comのようなプレーンなホスト名を入力してください。Macでは利用できません。
• ドメインを直接検証：デバイスは、Appleのサーバーを介さずに、ドメインのサイトアソシエーションファイルを直接確認します。インターネットから到達できない内部ドメインにのみ有効にしてください。
• 削除：必須としてインストールされたアプリは、ユーザーが削除できません。

Mac App Storeのアプリ

アプリ選択リストには、各アプリのプラットフォーム（iPhone/iPad、Mac、Apple TV、Vision）が表示されます。Mac専用のアプリはMacアイコンが表示されます。Mac専用のアプリは、追加するとMacに適用されます。Mac版のないApp StoreアプリはMacに送信されません。ポリシーでは適用先の下に"このアプリにはMac版がないため、Macには送信されません"と表示されます。MacはApp Store IDでApp Storeアプリを取得するため、MacでバンドルIDが異なるアプリも正しくインストールされます。

Cerberus Enterpriseアプリ

Cerberus は Cerberus Enterprise アプリを iOS または iPadOS 18.4 以降 のすべての iPhone と iPad に、ポリシーの有無にかかわらずインストールします。このアプリはデバイスの位置情報を共有し、通知とライブ トラッキング要求を受信します。必須 としてインストールされ、Apps and Books のデバイス ライセンス (個人デバイスではユーザー ライセンス) が使用されるため、ユーザーは削除できません。

• 初回セットアップ：無料アプリをライブラリに1回追加します。Apple BusinessでApps & Services → Apps & Books → App Storeを開き、「Cerberus Enterprise」を検索してViewをクリックし、Addを選択してAll current and futureをOrganizational Unitsで選び、AddをクリックしてからReviewをクリックして確認します。アプリにManageが表示される場合は、すでにライブラリにあります。アプリを開き、組織単位がAll current and future unitsであることを確認してください。それまでは、ダッシュボードにバナーが表示され、デバイスではアプリが未インストールとして表示されます。アカウント設定を参照してください。
• ポリシーには追加できません：このアプリはポリシーに追加できません。アプリ選択リストでは無効になり、カスタムアプリ（同じバンドルID）としても拒否されます。すでにこのアプリを一覧に含むポリシーは、開いたときにエントリが削除されます。保存してポリシーを確定してください。
• インストールされないデバイス: iOS または iPadOS が 18.4 より古いデバイス。Shared iPad へのインストールはサポートされていますが、アプリの機能はそこで検証されていません。
• 個人デバイス: User Enrollment で登録された iPhone と iPad にも、インストール プロンプトと Managed Apple Account のユーザー ライセンスを使用してアプリがインストールされます。組織からのメッセージを受信し、ポリシーで 個人デバイスの位置情報とジオフェンス が有効になっており、ユーザーが許可しない限り位置情報にはアクセスしません。
• インストールされたまま保持：Apps and Booksトークンが期限切れになるか、アプリがライブラリから削除されると、アプリはデバイスに残り、デバイスページにはApps and Booksに対応が必要であると表示されます。24時間後にまだライブラリにアプリがない場合にのみ削除されます。

カスタムアプリ

カスタムアプリは、App Storeを介さずに配布する独自のiPhoneおよびiPadアプリ（.ipaファイル）です。Xcodeで、Enterprise配布用（Apple Developer Enterprise Program：すべてのデバイスにインストールされます）またはAd Hoc配布用（プロビジョニングプロファイルに登録されたデバイスにのみインストールされます）にアプリを書き出します。App Storeビルドはアップロードできません。

カスタムアプリを追加をクリックして、組織のカスタムアプリを開きます。アプリをアップロードで.ipaファイル（最大2 GB）を追加します。アプリを選択してポリシーに追加をクリックします。一覧には、バージョン、署名の種類、Ad Hocアプリのプロファイル内のデバイス数、プロビジョニングプロファイルの有効期限が表示されます。

• 新しいバージョン：同じバンドルIDのアプリをアップロードします。以前のバージョンが置き換えられ、そのアプリを使用するポリシーのデバイスがアプリを更新します。
• 要件：iOS 17.2以降のiPhoneおよびiPad。アプリをインストールできないデバイスには配信されません。iPhone上のiPad専用アプリ、アプリが必要とするバージョンより古いiOS、Ad Hocアプリのプロファイルにないデバイス、有効期限が切れたプロビジョニングプロファイルなどが該当します。
• 有効期限：プロビジョニングプロファイルの有効期限が切れると、アプリは開かなくなります。有効期限日より前に、新しいプロファイルで署名したバージョンをアップロードしてください。
• 予約済みのバンドルID：Cerberus EnterpriseアプリのバンドルID（com.lsdroid.Cerberus.Enterprise）を持つカスタムアプリは、Cerberusがそのアプリ自体をインストールするため、ポリシーに追加できません。
• 削除: まずアプリをポリシーから削除してください。その後、デバイスからアプリが削除されます。

Mac パッケージ

カスタムアプリでは、Macインストーラパッケージ(.pkg ファイル)も受け付けます。パッケージは productbuild でビルドした配布用パッケージ(pkgbuild のみで作成したコンポーネントパッケージは拒否されます)であり、Developer ID Installer 証明書で署名されている必要があります。notarytool と stapler による公証とチケットのステープルを推奨します。署名されていないパッケージ、署名後に変更されたパッケージ、他の証明書で署名されたパッケージは拒否されます。

.pkg ファイルをアプリをアップロードでアップロードし、ポリシーに追加します。ポリシーのMacパッケージの下に表示されます。iPhone と iPad では無視されます。

macOS 26 以降のMac(監視対象。手動で登録したMacを含みますが、ユーザー登録は含みません)は、パッケージを宣言として受け取ります。Macが自らダウンロード、インストール、再試行、更新を行い、状態を報告します。古いMac、および管理対象アプリとしてインストールされたパッケージは、どの macOS バージョンでもMDM コマンドで受け取ります。macOS 26 にアップグレードされたMacは自動的に宣言へ移行します。各パッケージを一度は再インストールする場合があります。同じパッケージを含む別のポリシーへMacが移動した場合も同様です。

• 新しいバージョン: 同じパッケージ ID を持つパッケージをアップロードします。以前のバージョンが置き換えられ、そのパッケージを使用するポリシーのMacに新しいバージョンがインストールされます。
• スキップされたMac: パッケージが許可するより古い macOS のMac、および Apple silicon 専用にビルドされたパッケージに対する Intel Mac です。デバイスページではパッケージが「スキップ」と理由付きで表示されます。以前にインストールされたバージョンはMacに残ります。
• インストール: 必須(既定)はMacにパッケージをインストールします。任意はパッケージをインストールせずにMacで利用可能にします。macOS 26 では、任意のパッケージは「システム設定」や App Store でユーザーに表示されません(macOS 26.3 で確認済み)。そのため、Mac上のアプリまたはスクリプトでインストールする必要があります。任意を選ぶのは、そのような手段がある場合だけにしてください。これは macOS 26 以降のMacに適用されます。古いMacは常にパッケージをインストールします。この選択肢は、管理対象アプリとしてインストールされたパッケージには使用できません。
• パッケージがポリシーから外れたときにパッケージのファイルを削除(macOS 27 以降): パッケージがポリシーから削除されると、macOS 27 以降のMacはインストールされたファイルを削除します。既定ではオフです。古いMacではファイルは残ります。管理対象アプリとしてインストールされたパッケージには使用できません。
• 管理対象アプリとしてインストール: ポリシーのパッケージでこれをオンにすると、そのアプリが管理対象アプリとしてインストールされます(macOS 11 以降、ユーザー登録では不可)。macOS はインストールの失敗を報告し、MDM がアプリを削除できるようになります。アプリは「アプリケーション」フォルダに直接インストールされ、Developer ID Application 証明書で署名され、公証されている必要があります。macOS 11 から 13 では、パッケージにはそのアプリのみを含める必要があります(他のファイルやスクリプトは不可)。カスタムアプリでは、対象となるパッケージがわかります。Macでこのオプションを適用できない場合、パッケージは通常どおりインストールされ、デバイスページに理由が表示されます。
• 管理対象アプリの削除オプション: パッケージがポリシーから削除されたときにアプリを削除(既定でオン)と、Macが管理から外れたときにアプリを削除です。アプリを削除するとそのデータも削除されます。ユーザーが同じアプリをすでにインストールしていた場合、そのコピーが管理対象になり、これも削除されます。
• 削除: MDM コマンドではパッケージをアンインストールできません。管理対象アプリとしてインストールされたパッケージの場合、ポリシーから削除するとアプリが削除されます(オプションがオンの場合)。その他のファイルとパッケージのレシートは残ります。パッケージのファイルを削除がオンのパッケージは、macOS 27 以降のMacから削除されます。その他のパッケージ: ポリシーから削除しても新しいインストールが止まるだけで、ファイルはMacに残ります。スキップされたMac(たとえば、より新しい macOS を必要とする新しいバージョンの後)は、パッケージがポリシーにある間はアプリを保持します。その後ポリシーからパッケージを削除すると、アプリも削除されます。Mac上の残ったファイルを(たとえばパッケージ独自のアンインストーラで)削除し、パッケージのレシートを忘れるには sudo pkgutil --forget <identifier> を実行します。
• デバイス上の状態: Macの「アプリケーション」パネルには、ポリシーの各パッケージが、待機中、承認済み(Macがコマンドを承認)、ダウンロード済み、インストール済み(アプリを含むパッケージのみ、Mac上でアプリが見つかった場合)、または失敗(エラー付き)として表示されます。macOS はコマンドで送信したパッケージのインストールを報告しないため、アプリを含まないパッケージではダウンロード済みが最後の状態です。管理対象アプリとしてインストールされたパッケージは、macOS がアプリをインストールできなかった、またはMacから削除されたと報告した場合にも失敗になります。再インストールを実行すると、パッケージがMacに再度送信されます。
• 宣言ありの状態: 宣言として配信されるパッケージには、宣言チップと、Macが報告する状態が表示されます: 待機中、利用可能(ユーザーがインストールしていない任意のパッケージ)、ユーザーの操作待ち、ダウンロード中、インストール中、インストール済み、または失敗(理由付き。たとえばダウンロードやインストールの失敗、Macが宣言を拒否した場合など)。ポリシーとともに削除されたファイルチップは、ポリシーから外れたときに macOS 27 のMacがファイルを削除するパッケージを示します。再インストールは失敗後にのみ表示され、Macに再試行を求めます。Macが宣言を拒否した場合は表示されません。

アカウント

アカウントパネルでは、管理対象デバイスに適用するアカウントを設定できます。アカウントの変更に関する制限の切り替えも含まれます。

制限

• アカウントの変更を許可: 無効にすると、ユーザーは Apple Account やインターネットアカウントなどのアカウントを変更できません。

アカウントを追加

Google アカウントを追加またはメールアカウントを追加を使用して、アカウントのペイロードをポリシーに追加します。各アカウントは、設定フィールドを持つカードとして表示されます。

ユーザーからのアカウント認証情報

Google とメールのアカウントカードには、どちらもユーザーからのアカウント認証情報の切り替えがあります。有効にすると、システムはユーザーごとにアカウント認証情報を適用します。無効にすると、ポリシーでアカウントの ID を入力します。

Google アカウントのフィールド

• 表示名: アカウントについてユーザーに表示される名前。
• Google メールアドレス: ユーザーのメールアドレス。
• 氏名: ユーザーの氏名。

メールアカウントのフィールド

メールアカウントには、ID フィールドと受信/送信サーバーの設定が含まれます。ホスト名は必須です。

• 表示名: メールアカウントについてユーザーに表示される名前。
• メールアドレス: ユーザーのメールアドレス。
• 氏名: ユーザーの氏名。

受信サーバー

• サーバータイプ: メールプロトコル(たとえば IMAP または POP)。
• 認証方法: サーバーの認証方法。
• IMAP パスプレフィックス: サーバータイプが IMAP の場合にのみ表示されます。
• ホスト名: 必須。
• ポート: サーバーポート(1～65535)。

送信サーバー

• 認証方法
• ホスト名: 必須。
• ポート: サーバーポート(1～65535)。

S/MIME オプション

メールアカウントでは、S/MIME の暗号化と署名の動作も設定できます。

暗号化

• S/MIME 暗号化
• ID をユーザーが上書き可能
• メッセージごとの切り替えを有効化
• ユーザーが上書き可能

署名

• S/MIME 署名
• ID をユーザーが上書き可能
• ユーザーが上書き可能

アカウントと制限のオプションには、ダッシュボードに前提条件と対応 OS バージョンを説明するツールチップがあります。

キオスクとホーム画面

Apple ポリシーエディタのキオスクとホーム画面セクションでは、デバイスを 1 つのアプリに固定し、開けるアプリを選択し、ホーム画面を整理し、Web サイトのアイコンを追加します。各設定は構成プロファイルとしてデバイスにインストールされます。

Apple は、これらの設定のほとんどを監視対象の iPhone と iPad（Automated Device Enrollment で登録された、または Apple Configurator で準備されたデバイス）にのみ適用します。それ以外のデバイスには適用されません。Web クリップは監視対象外の iPhone と iPad でも機能します。Mac にはこれらの設定は適用されません。

アプリの選択

アプリはバンドル ID で識別されます。アプリ名を入力すると、Apple の組み込みアプリとポリシーのアプリから選択できます。任意のバンドル ID(たとえば com.example.app)を入力することもできます。

シングルアプリモード

デバイスは選択したアプリのみを実行します。ユーザーはホーム画面に戻ったり、他のアプリを開いたりできません。先にポリシーでアプリをインストールしてください。設定をオフにするかアプリを削除すると、デバイスはシングルアプリモードを終了します。

• オプション: タッチスクリーン、回転、音量ボタン、着信音/サイレントスイッチ、サイドボタン、または自動ロックを無効にし、VoiceOver やズームなどのアクセシビリティ機能をオンにします。
• ユーザーがオンにできるアクセシビリティ機能: サイドボタンを 3 回押すことでユーザーがオンにできる機能。

許可およびブロックするアプリ

• ブロックするアプリ: デバイスはこれらのアプリを非表示にし、開きません。com.apple.webapp はすべての Web クリップをブロックします。設定と、iPhone の場合は電話はブロックできません。
• 一部のアプリのみを許可: デバイスはこれらのアプリのみを表示します。すべてのアプリを許可するには、リストを空のままにします。ポリシーのアプリはポリシーでインストールされたアプリを追加します。com.apple.webapp はすべての Web クリップを許可します。
• シングルアプリモードを開始できるアプリ: 必要に応じて(たとえば試験中に)デバイスを自身にロックできるアプリ。

一部のアプリのみを許可 を使用すると、リストにないすべてのアプリ (ポリシーのアプリを含む) がデバイスから消えます。設定と、iPhone の場合は電話は常に残ります。

ホーム画面のレイアウト

ホーム画面の Dock とページを整理します。アプリ、アプリのフォルダ、ポリシーの Web クリップを追加し、追加先で配置を選びます。アイコンをドラッグして、Dock とページの間で移動できます。フォルダをクリックすると、名前とアプリを変更できます。

ユーザーはアイコンを移動したり、ホーム画面からアプリを削除したりできません。レイアウトにないアプリは、定義したページの後のページに移動します。iPhone では Dock に 4 つのアイコンが表示されます。ユーザーは、設定のストレージ画面で必須でないアプリを引き続き削除できます。これを防ぐには、アプリ管理で アプリの削除を許可 をオフにします。

Web クリップ

Web クリップは、Web サイトを開くホーム画面のアイコンです。ラベルと URL、および必要に応じて画像(PNG または JPEG、正方形に切り抜き)を設定します。

• ユーザーによる削除を許可: デバイスにアイコンを残すにはオフにします。
• 全画面: Web サイトが Web アプリとして開き、Safari のアドレスバーは表示されません。他の Web サイトでも全画面を維持をオンにすると、他の Web サイトへのリンクも Web アプリで開きます。
• このアプリで開く: Safari の代わりに URL を開くアプリ。

通知設定

一部のアプリの通知をデバイスで表示する方法を選択します。通知を許可するかどうか、表示場所(ロック画面、通知センター、CarPlay)、バッジ、サウンド、緊急アラート、バナースタイル、グループ化、プレビューなどです。ユーザーはこれらの設定を変更できません。

ロック画面メッセージ

ロック画面の下部に表示されるメッセージ(たとえばデバイスが見つかった場合の連絡先)と資産タグです。どちらにも変数 $EMAIL$、$USERNAME$、$FULLNAME$、$SERIAL$、$UDID$ を含めることができます。デバイスに対応する値がない変数は空のままになります。

パスコード

パスコード設定セクションでは、デバイスのパスコード要件と関連するセキュリティルール（最小長や複雑さなど）を制御します。Mac（macOS 13 以降、User Enrollment を除く）では、ルールはユーザーのログインパスワードに適用されます。

オプション

Apple ポリシーエディタでは、パスコードのオプションは切り替えと数値フィールドを組み合わせて構成します。多くのフィールドには、対応する OS バージョンと監視要件を示すツールチップがあります。

パスコードの切り替え

• 次回認証時に変更: 次回ユーザーが認証するときにパスコードのリセットを強制します。
• 英数字のパスコードを要求: 少なくとも 1 つの英字と 1 つの数字を要求します。
• 複雑なパスコードを要求: 「複雑な」パスコード (繰り返しや連続したパターンがなく、少なくとも 1 つの英数字以外の文字を含む) を要求します。
• パスコードを要求: 追加の長さ/品質要件なしでパスコードを要求します。注: 他のパスコード キーを設定すると、暗黙的にパスコードが要求されます。

数値フィールド

• 失敗試行のリセット (分): 失敗試行カウンターがリセットされるまでの分 (最大失敗試行回数が必要)。
• 最大失敗回数：iPhone または iPad が消去されるまで、または Mac がロックされるまでに許可される失敗回数（範囲：2～11）。
• 最大猶予期間 (分): パスコードを要求せずにデバイスのロックを解除できる時間 (0 = なし)。
• 最大非アクティブ時間 (分): デバイスがロックされるまでのアイドル時間 (範囲: 0～15)。
• パスコードの最大有効期間 (日): 強制変更までのパスコードの最大有効期間 (範囲: 0～730)。
• 最小複雑文字数: 「複雑な」文字の最小数 (範囲: 0～4)。
• 最小長: パスコードの最小長 (範囲: 0～16)。
• パスコード再利用制限: 古いパスコードの再利用を防ぐパスコード履歴の長さ (範囲: 1～50)。

制限

制限セクションでは、管理対象の Apple デバイスで許可する OS 機能を制御します。Apple ポリシーエディタでは、これらのオプションは複数の切り替えを持つグループ化されたパネルとして表示されます。

アプリ管理パネルとネットワークパネルのトグルは、Apple ポリシーのアプリとプロファイルページとネットワークページで説明されています。

多くの制限は特定の OS バージョンでのみサポートされ、監視対象デバイスが必要な場合があります。正式な要件は、ダッシュボードのツールチップを参照してください。

ユーザー登録デバイス(仕事用アカウントでサインインして登録した個人デバイス)では、Apple が許可していない制限は送信されません。ポリシーの制限が 1 つも適用されない場合、これらのデバイスには制限プロファイルが送信されません。ポリシーエディタには、ユーザー登録デバイスに適用されない制限の数が表示されます。

セキュリティ

• 自動ロック解除を許可
• ロック解除に指紋を許可
• 指紋の変更を許可
• コンテンツと設定の消去を許可
• 制限の有効化を許可
• ユーザーによるプロファイルのインストールを許可
• ホストとのペアリングを許可
• 診断の送信を許可
• 診断送信の変更を許可
• Apple のパーソナライズ広告を許可
• リモート管理の変更を許可

マルチメディア

• カメラを許可
• ファイル共有の変更を許可
• ファイルのUSBドライブアクセスを許可
• 通話の録音を許可
• AirPrintを許可
• AirPrintの認証情報の保存を許可
• AirPrintのiBeacon検出を許可

モバイル通信

• アプリのモバイルデータ通信の変更を許可
• モバイル通信プランの変更を許可
• eSIMの変更を許可
• eSIMの送信転送を許可
• デバイスを消去しても eSIM を保持
• ローミング中のバックグラウンド フェッチを許可

携帯回線の APN

携帯回線の APNは、通信事業者が指定したアクセスポイント名(APN)を設定します(たとえばプライベートまたはビジネス用のモバイルネットワーク)。アクセスポイント名と、通信事業者が求める場合は認証(PAP または CHAP)、ユーザー名($EMAIL$ などの変数を使用可)、パスワード、IP バージョン(ローミング時も含む)、プロキシサーバーとそのポート、XLAT464 を設定します。APN を接続は、通信事業者がネットワークへの接続用に別の APN を提供している場合にのみオンにします。

• iPhone とセルラー対応 iPad にのみ適用され、監視対象でなくても適用されます。ユーザー登録で登録されたデバイス(個人デバイス)には適用されません。
• 携帯データ通信に使用する SIM にのみ適用されます。別の方法で APN プロファイルがすでにインストールされているデバイスには、インストールされません。
• パスワードは他のネットワークパスワードと同様に保護されます。プロファイルは作成対象のデバイスにのみ送信され、パスワードはログに記録されません。

APN が誤っていると、デバイスで携帯データ通信が使えなくなります。先に通信事業者の SIM を入れたテスト用デバイスで設定を試してください。

システムとユーザー インターフェイス

• Handoff を許可
• 自動修正を許可
• 自動調光を許可
• 自動スクリーン セーバーを許可
• QuickPath キーボードを許可
• 定義の検索を許可
• デバイス名の変更を許可
• デバイスのスリープを許可
• iPhone ミラーリングを許可
• Mac で iPhone ウィジェットを許可
• キーボード ショートカットを許可

Apple のアプリとサービス

• iMessage を許可
• Game Center を許可
• Game Center の友だち追加を許可
• Find My デバイスを許可
• Find My の友だちを許可
• Find My の友だちの変更を許可
• Book Store を許可
• Book Store のアダルト コンテンツを許可
• エンタープライズ ブックのバックアップを許可
• エンタープライズ ブックのメタデータ同期を許可
• iTunes Store を許可
• 成人向けコンテンツを許可

Siri と Apple Intelligence

• Siri を許可
• Siri のユーザー生成コンテンツを許可
• ロック中も Siri を許可
• ディクテーションを許可
• 外部インテリジェンス統合を許可
• 外部インテリジェンスへのサインインを許可
• Genmoji を許可
• Image Playground を許可
• Image Wand を許可

iCloud

• iCloud アドレスブックを許可
• iCloud バックアップを許可
• iCloud ブックマークを許可
• iCloud カレンダーを許可
• iCloud デスクトップと書類を許可
• iCloud 書類の同期を許可
• iCloud Freeform を許可
• iCloud キーチェーンの同期を許可
• iCloud メールを許可
• iCloudメモを許可
• iCloud写真ライブラリを許可
• iCloudプライベートリレーを許可
• iCloudリマインダーを許可

アカウント（制限）

アカウントパネルには、制限と（任意の）アカウント設定の両方が含まれます。制限のトグルは、ユーザーがシステムアカウントを変更できるかどうかを制御します。

• アカウントの変更を許可

ネットワーク

Apple ポリシーエディタのネットワークセクションでは、デバイスの Wi-Fi ネットワークと VPN を構成し、証明書をインストールし、AirDrop や Bluetooth などの接続機能を制限します。各 Wi-Fi ネットワーク、VPN、証明書はそれぞれ独自の構成プロファイルとしてインストールされ、デバイスの設定 > 一般 > VPN とデバイス管理（Mac：システム設定 > 一般 > デバイス管理、または macOS 13 および 14 ではプライバシーとセキュリティ > プロファイル）と、デバイスページのプロファイル、証明書、セキュリティパネルで確認できます。

証明書は証明書ページから取得します。先にそこでインポートしてください。ポリシーは証明書を参照するだけなので、証明書がポリシーにコピーされることはありません。

制限

• AirDropを許可
• AirPlayの受信リクエストを許可
• Bluetoothの変更を許可
• Bluetooth共有の変更を許可
• ファイルのネットワークドライブアクセスを許可
• インターネット共有の変更を許可
• コンテンツ キャッシュを許可
• iTunes ファイル共有を許可

Wi-Fi ネットワーク

Wi-Fi ネットワークを追加をクリックし、次を入力します:

• ネットワーク名 (SSID): ネットワークの名前で、最大 32 文字です。
• セキュリティ: なし(オープンネットワーク)、WEP、WPA または WPA2、WPA2 または WPA3、WPA3 のみ、または任意。
• パスワード: パーソナルネットワークのパスワード。
• 自動的に接続と非表示ネットワーク(名前をブロードキャストしないネットワーク用)。
• プロキシ: なし、手動(サーバーとポート)、または自動(PAC ファイルの URL。空にすると WPAD でネットワーク上の設定を検索します)。
• プロファイル名(任意)と適用先で、ネットワークを一部のデバイスの種類に限定します。

エンタープライズネットワーク (802.1X)

ユーザーが共有パスワードではなく、自身の認証情報または証明書で認証する場合は、エンタープライズ (802.1X)をオンにします。

• 認証: PEAP、TTLS(内部認証あり。たとえば MSCHAPv2)、または TLS(証明書のみ)。
• デバイスユーザーの認証情報: 各デバイスは、ユーザーページで設定されたそのユーザーの EAP ID、匿名 ID、パスワードを使用します。ユーザーのないデバイスには、このネットワークは適用されません。
• ID、匿名 ID、パスワード: すべてのデバイスで共通です。ID には変数 $EMAIL$、$USERNAME$、$FULLNAME$、$SERIAL$、$UDID$ を含めることができます。パスワードを空にすると、ユーザーがデバイスで入力します。
• ID 証明書: デバイスが提示するクライアント証明書です(TLS では必須)。以下の証明書オプションを参照してください。
• 信頼された証明書: RADIUS サーバーの証明書を発行した CA 証明書です。ネットワークとともにインストールされます。
• 信頼されたサーバー名: デバイスが受け入れる RADIUS サーバー証明書の名前です(たとえば radius.example.com や *.example.com)。

VPN

VPN を追加をクリックして、iOS、iPadOS、macOS に組み込まれている IKEv2 または Cisco IPSec VPN を構成します(VPN アプリは不要です)。

• 種類とサーバー。IKEv2 の場合はさらにリモート ID(サーバーの ID。空の場合はサーバーアドレス)とローカル IDも指定します。ローカル ID には変数 $EMAIL$、$USERNAME$、$FULLNAME$、$SERIAL$、$UDID$ を含めることができます。
• デバイスの認証: 証明書(証明書ページのもの、デバイスユーザーの証明書、または SCEP サーバーから要求したもの)、共有シークレット(IPSec の場合は任意のグループ名付き)、またはユーザー名とパスワードのみを確認する IKEv2 サーバーの場合はなし。
• 信頼された証明書: VPN サーバーの CA 証明書で、VPN とともにインストールされます。IKEv2 では、期待されるサーバー証明書の発行者と名前も設定できます。
• ユーザー名とパスワード: ユーザーはユーザー名(変数使用可)とパスワード(IKEv2 では EAP、IPSec では XAuth)でも認証します。パスワードを空にすると、ユーザーがデバイスで入力します。
• VPN 名(設定に表示されます)と適用先。

接続

• ユーザーが設定で接続: VPN がインストールされ、ユーザーが必要に応じてオンにします。
• オンデマンド: デバイスが自動的に VPN に接続します。信頼された Wi-Fi を除くを指定すると、リストした Wi-Fi ネットワーク(たとえばオフィスのネットワーク)では VPN が使用されません。
• 常時接続(IKEv2、監視対象の iPhone と iPad のみ): 携帯回線と Wi-Fi のすべてのトラフィックが VPN を経由し、ユーザーはオフにできません。他のデバイスにはこの VPN は適用されません。VPN でユーザー名を使用する場合、パスワードをポリシーで設定する必要があります。
• アプリごとの VPN: 一部のアプリのみが VPN を使用します。アプリ管理セクションでアプリごとに VPN を選択し(アプリのVPNフィールド、Mac では使用できません)、必要に応じて VPN を使用する Safari ドメインをリストします。

常時接続またはオンデマンド VPN は、先にテスト用デバイスでテストしてください。サーバーに到達できない場合、デバイスが接続できなくなる可能性があります。

グローバルプロキシ、暗号化 DNS、Web コンテンツフィルタ

これらの設定はデバイスのすべてのトラフィックに適用されます。各切り替えでオンにします。

• グローバル HTTP プロキシ(監視対象の iPhone と iPad、Mac): すべての HTTP トラフィックが、すべてのネットワークでプロキシを経由します。サーバーとポート(任意のユーザー名とパスワード付き)、または自動構成(PAC ファイルの URL。空にするとネットワーク上で検索)を設定します。Wi-Fi ログインページを許可をオンにすると、ユーザーはプロキシを使わずに公共 Wi-Fi ネットワークにサインインできます。
• 暗号化 DNS: デバイスは DNS over HTTPS(サーバー URL)または DNS over TLS(サーバー名)で、お使いの DNS サーバーを使用して名前を解決します。必要に応じて一部のドメインのみに限定できます。監視対象デバイスでは、ユーザーがオフにできないようにできます。
• Web コンテンツフィルタ(監視対象の iPhone と iPad): iOS に組み込まれたフィルタで、常に許可または常にブロックする Web サイトのリストを使用してアダルトサイトを制限するか、Web サイトのリストのみを許可します。許可したサイトは Safari にブックマークとして表示されます。

プロキシまたは DNS サーバーが誤っていると、デバイスが接続できなくなる可能性があります。先にテスト用デバイスで設定を試してください。

証明書

証明書を追加をクリックして証明書を単独でインストールします。Safari とアプリが信頼する必要がある認証局、またはアプリが使用する ID です。Wi-Fi ネットワークや VPN の証明書は、ここで追加する必要はありません。

証明書のオプション

• 証明書ページの証明書: すべてのデバイスで同じ証明書です。証明書を選択をクリックして選択します。
• デバイスユーザーの証明書: 各デバイスは、そのユーザーにリンクされたクライアント証明書を受け取ります。ユーザーに証明書がないデバイスには適用されません。ユーザーに別の証明書をリンクすると、デバイスが更新されます。
• SCEP サーバーから要求: 各デバイスが SCEP サーバー(たとえば Microsoft NDES)から独自の証明書を要求するため、秘密鍵がデバイスから出ることはありません。サーバー URL、サーバーが必要とする場合はチャレンジ、サブジェクト(たとえば CN=$EMAIL$)、代替名、キーサイズ、キー用途を設定します。

古い RC2 暗号化で保護されたクライアント証明書(.p12)は、Apple デバイスにインストールできません。インポートする前に、3DES または AES 暗号化で再度書き出してください。

セキュリティ

パスワードや秘密鍵を含むプロファイルは、作成対象のデバイスにのみ送信されます。デバイスは管理証明書で要求に署名する必要があります。パスワードと証明書はログに記録されません。

ソフトウェアアップデート

Apple Policy Editorのソフトウェアアップデートセクションは、デバイスを最新の状態に保ちます。期限までに特定のOSバージョンを要求し、デバイスがアップデートをダウンロードしてインストールする方法を制御できます。

必須のOSアップデート

必須アップデートを追加をクリックして、OSバージョンを要求します。デバイスはアップデートをダウンロードし、ユーザーに期限を通知し、ユーザーがそれまでに実行していない場合は期限にインストールします。そのバージョン以降をすでに実行しているデバイスは無視します。iOSおよびiPadOS 17またはmacOS 14が必要です。

• 適用先（必須）：iPhoneとiPad、またはMac。各OSには独自のバージョン番号があるため、それぞれに1つの必須アップデートを追加してください。
• OSバージョン：インストールするバージョン（例：18.5、15.4.1）。
• ビルド（任意）：特定のビルド（例：ベータ、バックグラウンドセキュリティ改善）。
• インストール期限：各デバイスの現地時間での期限です。過去の日付を指定すると、デバイスはできるだけ早くアップデートをインストールします。
• 詳細URL（任意）：ユーザーに表示される、アップデートに関するWebページ。

デバイスは、アップデートの進行状況（ダウンロード、インストール、失敗）をデバイスページのデバイスステータスパネルで報告します。

ソフトウェアアップデート設定

iPhoneおよびiPadのソフトウェアアップデート設定またはMacのソフトウェアアップデート設定をオンにすると、それらのデバイスのアップデートを制御できます。トグルがオフの場合、デバイスは独自の設定を維持します。iOSおよびiPadOS 18またはmacOS 15が必要です。古いデバイスはこれらの設定を無視します。

• アップデートを延期：新しいアップデートは、指定した日数（1〜90）が経過した後にのみユーザーに表示されます。Macでは、メジャーアップデート、マイナーアップデート、その他のシステムアップデートに異なる期間を設定できます。
• ユーザーに表示するアップデート（iPhoneおよびiPad）：複数のアップデートが利用可能な場合、すべてを表示するか、最も古いマイナーアップデートのみ、または最新のもののみを表示します。
• 標準ユーザーがアップデートをインストールできる（Mac）：管理者権限のないユーザーがmacOSアップデートをインストールできます。
• 必須アップデートについてユーザーに通知：必須アップデートとその期限に関する通知を表示します。
• 自動ダウンロード、自動インストール、自動セキュリティアップデート：ユーザーに決定させる（Appleのデフォルト）、または常にオンまたは常にオフにします。
• バックグラウンドセキュリティ改善：Appleの迅速なセキュリティ修正をユーザーに提供し、ユーザーがそれらを削除できるかどうかを選択します。
• ベータプログラム：ユーザーがAppleのベータプログラムに参加できるようにするか、デバイスをプログラムから削除してブロックします（iPhoneおよびiPadでは、監視対象デバイスのみ）。

デバイスページからアップデートをインストールする

デバイスのデバイスステータスパネルには、利用可能なアップデートが一覧表示されます。アップデートを確認を使用してデバイスに一覧を要求し、インストールを使用して今すぐインストールするか、ダウンロードしてユーザーにインストールさせます。これは監視対象のiPhoneとiPad、およびMacで機能します。AppleはiOS、iPadOS、macOS 27でこれらのコマンドを削除します。これらのバージョンではポリシーの必須アップデートを使用してください。

macOS

Apple ポリシーエディタのmacOSセクションでは、Macのセキュリティ、プライバシー、ログイン設定を管理します。FileVault、ファイアウォール、Gatekeeper、スクリーンセーバーとロック、外部ストレージとネットワークストレージ、画面共有、プライバシー権限、ログイン項目、および読み込みを許可するシステム拡張機能とカーネル拡張機能です。システムサービスの構成ファイルとバックグラウンドタスクもインストールします。ポリシーの他のデバイスにはこれらの設定は適用されません。設定を管理するにはオンにします。オフの間は、ユーザー自身の選択が維持されます。

ほとんどの設定は構成プロファイルとしてMacにインストールされ、「システム設定 > 一般 > デバイス管理」に表示されます。FileVault、プライバシー権限、ログイン項目、拡張機能の設定には、ユーザー承認済み MDM が必要です。登録 URL または QR コードで登録されたMacでは、ユーザーが「システム設定」で登録プロファイルを承認します。デバイスページのユーザー承認済み MDMフィールドに表示されます。ユーザーが後で承認すると、Macはこれらの設定を自動的に受け取ります。

FileVault

FileVault はMacのディスクを暗号化します。この設定をオンにすると、ユーザーはパスワードで FileVault をオンにするよう求められ、Macは個人用リカバリーキーを、組織だけに属するキーで暗号化して Cerberus Enterprise に送信します。キーはデバイスページのFileVaultフィールドで表示および変更できます(デバイスコマンドを参照)。この設定には macOS 13 以降とユーザー承認済み MDM が必要です。ユーザー承認済み MDM がない場合、Macは FileVault をオンにするよう求められませんが、ユーザーがオンにするとキーは保存されます。

• ログイン時に必須: 次回のログイン時、一定回数スキップした後(ユーザーはログインとログアウトのたびに再度求められます)、またはユーザーがログアウトしたときのみ。
• ログアウト時に確認しない: ユーザーはログイン時にのみ確認されます。"ログアウト時のみ確認"とは併用できません。
• リカバリーキーをユーザーに表示: 既定ではオフのため、管理者だけがデバイスページからキーを確認できます。
• FileVault のオフを禁止: 既定でオン。
• スタンバイ時にキーをメモリから削除: Macがスタンバイから復帰したときに、ユーザーは再度パスワードを入力します。
• キーの保管場所: ログインウィンドウでユーザーに表示されるテキスト(たとえばMacを復元するための連絡先)。既定値は"Cerberus Enterprise"です。

設定を受け取った時点ですでに暗号化されていたMacは、現在のキーを保持し、Cerberus Enterprise はそのキーを受け取りません。キーは、ユーザーが FileVault をオフにして再度オンにした後にのみ保存されます("FileVault のオフを禁止"がオフの場合)。設定をオフにした場合やMacを管理から削除した場合でも FileVault はオフにならず、保存されたキーは引き続き機能します。サーバーがリカバリーキーを保存するように構成されていない場合、この設定は保存できません。

ファイアウォール

• ファイアウォールをオン: オフの場合、ファイアウォールはオフのままで、ユーザーはオンにできません。
• すべての着信接続をブロック: 基本的なネットワークサービス(DHCP、Bonjour、IPSec)のみが接続を受け付けられます。
• ステルスモード: Macは ping 要求や閉じたポートへの接続に応答しません。
• 内蔵ソフトウェアを許可とダウンロードした署名済みアプリを許可により、ユーザーに確認せずに接続を受け付けられます(macOS 12.3 以降)。
• 特定のアプリのルール: バンドル ID でアプリの着信接続を許可またはブロックします。

Gatekeeper

Gatekeeper はアプリを開く前に確認します。Macで App Store のアプリのみを開くか、識別された開発者のアプリも開くかを選択します。Gatekeeper がオフの場合、署名されていないアプリや破損したアプリも含め、すべてのアプリを開けます。macOS 15 以降では、ブロックされたマルウェアを Apple に送信するかどうかをユーザーに確認するかも選択できます。

スクリーンセーバーとロック

一定時間操作がない後にスクリーンセーバーを開始し、スクリーンセーバーの開始時またはディスプレイのスリープ時に、すぐにまたは遅延後にパスワードを要求します。管理対象外のままにした設定は、ユーザー自身の選択が維持されます。

外部ストレージとネットワークストレージ

Macの外部ストレージ(USB ドライブ、SD カード、外付けディスク)とネットワークストレージ(ファイル共有)を許可、読み取り専用、またはブロックします。macOS 15 以降が必要です。

画面共有

画面共有でこれらのMacに接続するユーザーの制限: Macとの間のファイルコピー、高パフォーマンス接続、仮想ディスプレイの数です。画面共有をオンにするかは、ユーザー自身の選択に委ねられます。macOS 14 以降が必要です。

プライバシー権限

ユーザーが通常「システム設定 > プライバシーとセキュリティ」で許可するアクセスを、アプリに付与または拒否します。たとえば、バックアップアプリにフルディスクアクセスを許可したり、アプリにカメラへのアクセスを拒否したりします。権限ごとに次を選択します:

• 権限: フルディスクアクセス、アクセシビリティ、オートメーション、フォルダ、連絡先、カレンダー、写真、カメラ、マイク、画面収録、その他の「プライバシーとセキュリティ」の項目。
• アクセス: 許可または拒否します。カメラ、マイク、画面収録、入力監視はプロファイルで許可できず、拒否のみ可能です。画面収録と入力監視では、管理者権限なしでもユーザーが許可できるようにできます。
• アプリ: アプリのバンドル ID、またはプログラム(たとえばコマンドラインツール)のパス。
• コード要件: 署名によってアプリを識別します。ターミナルで codesign -dr - /Applications/Example.app を実行して取得し、designated => の後のテキストをコピーします。
• オートメーションでは、制御対象のアプリ(たとえば Finder)とそのコード要件も必要です。

ログイン項目とバックグラウンド項目

ルールに一致するログイン項目とバックグラウンド項目は管理されます。確認なしで実行され、ユーザーは「システム設定 > 一般 > ログイン項目」でオフにできません。ルールは、アプリの開発者チーム ID、バンドル ID、または launchd デーモンやエージェントのラベル(先頭部分でも可)に一致します。macOS 13 以降が必要です。

システム拡張機能

システム拡張機能は、アプリが macOS を拡張するための最新の方法です。ネットワークフィルタや VPN、エンドポイントセキュリティエージェント、ドライバなどがあります。この設定をオンにすると、リストされた開発者チームのシステム拡張機能が、ユーザーに確認せずに読み込まれます。macOS 10.15 以降とユーザー承認済み MDM が必要です。

• チーム ID: 開発者の 10 文字のチーム ID です(たとえばアプリの"Signed by"の詳細、または codesign -dv で確認できます)。各チームは 1 回だけ指定できます。
• 許可: チームのすべての拡張機能、またはリストされたバンドル ID の拡張機能のみ。
• 種類: チームをドライバ、ネットワーク拡張機能、エンドポイントセキュリティ拡張機能に制限します。何も選択しない場合、すべての種類が許可されます。
• 削除(リストされた拡張機能のみ): アプリが管理者なしで拡張機能を削除できる(macOS 12 以降)、システム整合性保護がオンの間は拡張機能をオフまたは削除できない、または「システム設定」と Finder で削除できない(macOS 15 以降)のいずれかです。古い macOS のMacでは、削除オプションなしで拡張機能を引き続き許可します。
• ユーザーが他のシステム拡張機能を承認できる: 既定でオン。オフの場合、プロファイルで許可された拡張機能のみが読み込まれます。Mac上のいずれかのプロファイルでオフにすると、オフになります。

macOS 11.3 以降では、この設定を削除すると、許可していたシステム拡張機能(たとえばセキュリティエージェントやネットワークフィルタ)がオフになります。これは、設定をオフにしたとき、ポリシーを削除したとき、およびMacがこの設定のないポリシーに移動したときに発生します。エディタは設定をオフにする前に確認を求めます。

カーネル拡張機能(レガシー)

カーネル拡張機能は、macOS を拡張するための古い非推奨の方法です。ベンダーが提供している場合はシステム拡張機能を優先してください。リストされたチームのカーネル拡張機能(チームのすべての拡張機能、またはリストされたバンドル ID のみ)は、再起動後にユーザーに確認せずに読み込まれます。macOS 10.13.2 以降とユーザー承認済み MDM が必要です。

• ユーザーが他のカーネル拡張機能を承認できる: 既定でオフのため、リストされたチームのみがカーネル拡張機能を読み込めます。
• 標準ユーザーも承認可能: ユーザー承認がオンの場合、管理者権限のないユーザーも承認できます(macOS 11 以降)。

Apple silicon のMacでは、プロファイルだけでは不十分です。誰かがMacを recoveryOS で起動し、「起動セキュリティユーティリティ」で「低いセキュリティ」を選択し、識別された開発者のカーネル拡張機能のユーザー管理を許可する必要があります。また、承認のために Cerberus Enterprise に委託された Bootstrap Token が必要な場合があります(デバイスページの Bootstrap Token フィールドを参照)。

Mac ファイル

サービス構成ファイルとバックグラウンドタスクは、組織のMac ファイルにアップロードしたファイルを使用します。zip アーカイブとプロパティリスト(.plist)で、最大 20 MB です。macOS セクションのMac ファイルボタン、または設定のファイルを選択から、アップロード、使用箇所の確認、削除ができます。ポリシーで使用中のファイルは削除できません。ファイルを変更するには、新しいバージョンをアップロードしてポリシーで選択します。Macはそれを再度ダウンロードします。

サービス構成ファイル

zip アーカイブからシステムサービスの構成ファイルをインストールします。組み込みのサービスは、SSH サーバー(sshd)、sudo、PAM、印刷(CUPS)、Apache Web サーバー、bash、zsh、スマートカードログイン、認証です。com.example.service のような逆 DNS 識別子を持つ独自のサービスも使用できます。macOS の管理対象構成ファイルライブラリでファイルを検索します。各サービスには 1 つの設定を指定できます。macOS 14 以降が必要です。

組み込みサービスはアーカイブ内のファイルのみを使用し、独自のファイル(たとえば sshd の /etc/ssh)は無視します。構成全体をアーカイブに含め、ディスクのルートから始まるフォルダに配置してください(たとえば etc/ssh/sshd_config)。ファイルはMac上では読み取り専用で、設定とともに削除されます。最初に 1 台のMacでアーカイブをテストしてください。sudo や PAM の構成が誤っていると、ユーザーがサインインできなくなったり、管理者権限を使用できなくなったりします。

バックグラウンドタスク

launchd によって開始され、バックグラウンドで実行されるプログラムとスクリプトです。ユーザーはオフにできず、設定とともに削除されます。macOS 15 以降が必要です。タスクごとに次を選択します:

• タスク識別子: com.example.task のような逆 DNS 識別子で、タスクごとに異なります。
• プログラムとスクリプト(任意): Macが /var/db/ManagedConfigurationFiles/BackgroundTaskServices/Services/ の後にタスク識別子を付けた場所に展開する zip アーカイブです。ファイルの実行権限を保持し、プロパティリストを含めないでください。
• launchd プロパティリスト: プログラムを開始するジョブで、デーモン(システム全体、root として)またはエージェント(各ユーザーセッション内)として読み込まれます。プログラムは上記のフォルダ内のパスで指定します。

タスクには、プログラムまたは少なくとも 1 つのプロパティリストが必要です。ファイルが変更されると、Macはタスクを再起動します。

位置情報とジオフェンス

Apple ポリシーエディタの位置情報とジオフェンスセクションでは、敷地や倉庫などのエリアを定義します。Cerberus Enterprise アプリをインストールした iPhone と iPad は、これらのエリアへの入場または退場を報告し、イベントルールでそれに対応できます。メールを送信する、デバイスをロックまたは無効化する、または再び有効化するなどです。Mac はジオフェンスを使用しません。

ジオフェンスのフィールド

ジオフェンスを追加を使用して新しいエントリを作成します。ポリシーには最大10 個のジオフェンスを含めることができ、名前はポリシー内で一意である必要があります。各ジオフェンスには次のフィールドがあります:

• 名前: 必須で、一意である必要があります。
• 緯度と経度: エリアの中心です。マップをクリックして設定することもできます。
• 半径 (m): 必須で、200 から 10000 メートルの範囲です。
• 説明: 管理者向けの任意のメモ。
• 入場を報告と退場を報告: 生成するイベントを選択します。少なくとも 1 つはオンのままにする必要があります。
• 有効: ジオフェンスを削除せずに有効または無効にします。

各ジオフェンスにはマッププレビューがあります。保存済みジオフェンスの中心と半径はロックされています。変更するには、マップのロックボタンを使用します。その他のボタンは、マップをエリアまたは現在地に中央表示します。

ポリシーを保存すると、Cerberus Enterprise はポリシーの iPhone と iPad に新しいジオフェンスを取得するよう要求します。通常は数分かかりますが、iOS が遅延させる場合があります(低電力モードやネットワーク接続がない場合など)。アプリが最新のジオフェンスをまだ適用していない場合、デバイスページに表示されます。

要件

ジオフェンスは、Cerberus Enterprise アプリをインストールした iPhone と iPad で動作します。Macは無視します。デバイス上では次の条件が必要です:

• Cerberus Enterprise アプリがインストールされており(Cerberus がインストールします)、ユーザーが少なくとも一度起動している;
• アプリの位置情報アクセスが常にに設定されている;
• アプリで正確な位置情報がオンになっている;
• バックグラウンド App 更新がオンになっている。

個人デバイスでの位置情報とジオフェンス(セクションの上部)は、既定ではオフです。オフの間、Cerberus は個人デバイス(ユーザー登録)の位置情報を収集せず、そのジオフェンスイベントは生成されず、デバイスページに「位置情報を検索」やライブ追跡は表示されません。オンにすると、ポリシーの個人デバイスは会社のデバイスと同様に位置情報とジオフェンスイベントを共有します。ただし、ユーザーが Cerberus Enterprise アプリの位置情報を許可している場合に限ります。アプリは iOS が確認する前に、その旨をユーザーに説明します。ユーザーへの通知と、従業員の位置情報に関する地域の規則の遵守は、組織の責任です。個人デバイスではロストモードと MDM の位置情報リクエストは利用できません(Apple が許可していません)。

低電力モードでもジオフェンスは動作し続けますが、iOS はエリアからの退出をより遅く、より不正確な位置情報で報告します。また、ポリシー変更後に新しいジオフェンスを取得するのが数時間遅れる場合があります。アプリが再び実行されるまで(たとえば次に境界を越えたときや、ユーザーが開いたとき)です。

イベントの到達方法

iOS はアプリのためにエリアを監視し、デバイスが境界を越えるとアプリを起動します(アプリが開いていない場合も同様)。イベントは境界通過の数分後に届くことがあり、小さいエリアや短時間の滞在は見逃される場合があります。iOS では、デバイスが境界を一定距離越えて、しばらくそこにとどまる必要があります。

アプリが実行できない場合(たとえば再起動後、デバイスのロック解除前)、サーバーもアプリが送信する位置情報から後で通過を検出します。通過がアプリとサーバーのどちらで検出されても、イベントルールは 1 回だけトリガーされます。

アプリが数時間サーバーに接続していない場合、サーバーは iOS にアプリの起動を要求し、ジオフェンスを再確認させます。iOS はこの要求を保証するものではありません。

デバイスページ

デバイスページの位置情報マップパネルのジオフェンスタブに、デバイスの出入りが表示されます。ポリシーに有効なジオフェンスがある場合、ステータス行に、デバイスでジオフェンスが機能しているか、機能しない理由が表示されます。アプリがサーバーに接続していないか更新が必要、位置情報アクセスが常にではない、正確な位置情報またはバックグラウンド App 更新がオフ、アプリが最後に設定を報告したときに低電力モードがオンだった、またはアプリが最新のジオフェンスをまだ適用していない、などです。

ジオフェンスの遷移と位置情報は90日間保持され、それより古いデータは毎晩自動的に削除されます。登録済みの各デバイスの最新の位置は常に保持されるため、マップに表示され続けます。

制限事項

• ポリシーをコピーしてもジオフェンスはコピーされません。コピー先で再度追加してください。
• iPhone と iPad のジオフェンスイベントはベストエフォートです。iOS がアプリを実行できるタイミングを決定します。

ジオフェンスイベントに対応するには、デバイスがジオフェンスに入ったまたはデバイスがジオフェンスから出たのイベントルールを作成します。詳細はイベントルールをご覧ください。

アカウント

Appleポリシーエディターのアカウントセクションでは、メール、Exchange、Google、カレンダー、連絡先、ディレクトリのアカウントをiPhone、iPad、Macに追加します。アカウントを追加をクリックし、種類を選択します。このセクションには、アカウントの変更を許可制限（監視対象デバイス）も含まれます。

Mac（macOS 13以降）では、アカウントは管理に登録されたユーザー（通常はMacを登録したユーザー）のセッションに、そのユーザーがログインしているときにインストールされます。デバイスページでは、これらのユーザーがMacユーザーの下に、アカウントの状態とともに一覧表示されます。デバイスユーザーからメールアドレスを取得するアカウントは、Cerberus EnterpriseでMacに割り当てられたユーザーを使用します。

共通設定

• デバイスユーザーの名前とメール（メール、Exchange、Google）：各デバイスは、ユーザーページで設定されたそのユーザーの名前とメールアドレスを使用します（Googleの場合、ユーザーのGoogleアカウント）。ユーザーのいないデバイス、またはユーザーにメールアドレスがないデバイスには、アカウントは配信されません。それ以外の場合は、固定のメールアドレスと氏名を設定します。
• アカウント名（任意）：設定およびアプリ内でのアカウントの名前。
• ユーザー名とパスワード（任意）：ユーザー名には変数$EMAIL$、$USERNAME$、$FULLNAME$、$SERIAL$、$UDID$を含めることができます。パスワードを空にすると、ユーザーがデバイスで入力できます。両方を空にすると、ユーザーが両方を入力できます。
• 適用先：アカウントを特定のデバイスの種類に限定します。

アカウントの種類

• メールアカウント：IMAPまたはPOPの受信サーバーと送信サーバー、およびそれぞれのポートと認証。送信サーバーは、受信サーバーと同じユーザー名とパスワードを使用できます。
• Exchangeアカウント（Exchange ActiveSync）：サーバー。空欄にすると、メールアドレスから検索します。サービス（メール、連絡先、カレンダー、リマインダー、メモ）と、ユーザーがそれらを変更できるかどうかを選択します。最新の認証（OAuth）では、ユーザーはIDプロバイダー（Microsoft 365など）のページでサインインします。認証証明書（iOS 17以降）は、証明書でデバイスを認証します。
• Googleアカウント：ユーザーは指定されたメールアドレスでGoogleアカウントにサインインします。
• カレンダーアカウント（CalDAV）と連絡先アカウント（CardDAV）：サーバー、ポート、パス。
• ディレクトリ（LDAP）：サーバーとポート、および連絡先の検索に使用する検索（検索ベース、スコープ、説明）。
• 購読カレンダー：カレンダーのURL（https、http、webcal）。

S/MIME

メールおよびExchangeアカウントは、S/MIME（iOS 17以降）でメッセージに署名および暗号化できます。それぞれについて、証明書を選択します：証明書ページのいずれか、デバイスユーザーの証明書、またはSCEPサーバーから要求した証明書。ユーザーがオフにできるようにしたり、別の証明書を選択できるようにしたり、暗号化についてメッセージごとに切り替えを表示したりできます。

セキュリティ

パスワードと証明書は、デバイスに送信される設定には含まれません。各デバイスは、管理証明書でリクエストに署名して、Cerberus Enterpriseから独自の認証情報をダウンロードします。これらはログには記録されません。

コンプライアンスルール

Apple ポリシーエディタのコンプライアンスルールセクションでは、ポリシーのデバイスに対する要件を設定します。ルールに違反したデバイスは直ちに非準拠になります。デバイスページのデバイスが非準拠である理由に理由が表示され、デバイスリストでは非準拠として表示されます。ポリシーの設定をデバイスに適用できない場合も、そのデバイスは非準拠になります。

ルール

• パスコード: デバイスにパスコードがあり、ポリシーのパスコード設定を満たしていること。
• 最小 OS バージョン: iPhone と iPad 用、または Mac 用です。デバイスを更新するには、ソフトウェアアップデートで必須のアップデートを追加します。
• 監視対象デバイス: 登録プロファイルまたはユーザー登録で登録されたデバイスは監視対象ではありません。
• FileVault オン(Mac): Macのディスクが FileVault で暗号化されていること。他のデバイスには影響しません。

ルールは、デバイスがステータスを送信したとき、ポリシーが保存されたとき、および 1 時間ごとにチェックされます。ステータスが不明なデバイス(たとえば FileVault をまだ報告していないMac)は、ルールに違反しません。

デバイスのブロック

まだ非準拠の場合にデバイスをブロックをオンにし、何日後にブロックするかを設定します(0 は即時ブロック)。監視対象の iPhone と iPad は、設定したメッセージとともにロストモードになります。その他のデバイスは一度ロックされます。Macは再起動し、PIN の入力を求められます。PIN はコマンド履歴のコマンド詳細に表示されます。

• ブロック解除: デバイスが再び準拠すると、ロストモードが自動的にオフになります。
• ロストモードを手動でオフにする: デバイスが再び準拠し、再びルールに違反するまで、デバイスはブロックされません。ユーザーにデバイスを修正させる場合に使用します。

通知を受け取ったり、別の方法で対応したりするには、デバイスが非準拠になったのイベントルールを作成します。理由も取得できます。

デバイスの状態

デバイスの概要

ダッシュボード → デバイスでデバイスの行をクリックして、デバイスを開きます。ページタイトルには、デバイスのモデル（利用可能な場合）と内部IDが表示されます。

履歴データと現在の登録

デバイスに複数の登録がある場合、Cerberus Enterprise は読み取り専用の履歴レコードを表示できます。その場合、ページには履歴データバナーと、現在の登録データに戻るためのボタンが表示されます。

上部のフィールド

上部のセクションには、デバイスの識別情報、割り当て、管理状態がまとめられています。一部のフィールドはプラットフォーム固有で、Android または Apple デバイスにのみ表示されます。

• IDおよびモデル：読み取り専用の識別子。
• ユーザー：現在割り当てられているユーザー（存在する場合）を表示します。ユーザーメニューからユーザーを開くまたはユーザーを変更を実行できます。ユーザーが設定されていない場合は、ユーザーを割り当てることもできます。
• 管理モードおよび所有権：UI ではツールチップ付きで表示されます。
• 状態: 現在のデバイス状態 (アイコンとツールチップの詳細付き)。紛失モードのデバイスは、Android と Apple の両方で 紛失 と表示され、ページ上部のバナーに次に行うべきことが表示されます。
• ADE プロファイル（Apple のみ）：割り当てられた Automated Device Enrollment プロファイル（存在する場合）を表示し、開いたり変更したりできます。
• ポリシー：割り当てられたポリシーを表示し、開いたり変更したり、ポリシーが設定されていない場合は割り当てたりできます。
• ポリシーのコンプライアンスステータス（ポリシーが割り当てられている場合）：デバイスがコンプライアンスに準拠しているかどうかを示します。
• ポリシーバージョン（ポリシーが割り当てられている場合）：デバイスに最新のポリシーバージョンが適用されているかどうかを示します。
• Cerberus Enterprise アプリ (iPhone と iPad のみ): Cerberus がデバイスにインストールする Cerberus Enterprise アプリの状態。利用不可 (iOS または iPadOS が 18.4 より古い、会社デバイスにシリアル番号がない、または個人デバイスに Managed Apple Account がない); 個人デバイスではまだ利用できません; デバイス情報を待機中; Managed Apple Account のユーザー ライセンスを待機中 (個人デバイスで、Apple がライセンスを確認している間); 未インストール (アプリが Apple Business ライブラリにない、または Apps and Books が設定されていない。アカウント設定 へのリンク付き); インストール済み · Apps and Books の対応が必要 (トークンが期限切れ、またはアプリがライブラリから削除された。アプリはインストールされたまま); 構成を利用できません; インストール中… (デバイスが 30 分間ステータス レポートを送信しない場合、ツールチップにデバイスがオンラインであることを確認して再起動するよう提案され、通常はインストールが再開されます); ユーザーの承認を待機中; ユーザーが拒否しました と インストールに失敗しました (どちらも 再試行 付きで、デバイスに再度要求します); インストール済み · アプリの起動を待機中 (アプリがまだ開かれていない); インストール済み · 構成が受け入れられませんでした; および、アプリが登録されると、そのバージョン、最後の通信、通知がオンかどうか。
• 登録日および最終ステータスレポート：登録と最後に報告されたステータスのタイムスタンプ。
• 登録解除日：デバイスの登録が解除されたときに表示されます。

一部のデータとパネルは、デバイスポリシーで対応するカテゴリが有効になっている場合にのみ利用できます。詳細については、ステータスレポートと位置情報とジオフェンスのページを参照してください。

パネル

デバイス ページは展開可能なセクションで構成されています。プラットフォームと状態に応じて、次のパネルのいずれかまたは複数が表示されます:

• 位置情報マップ：現在のデバイスの位置情報履歴と、Android デバイス、iPhone および iPad ではジオフェンス遷移用のジオフェンスタブを備えたタブ付きパネルです。
• SIM 管理：デバイス EID とインストール済みの SIM および eSIM。Android ではさらに eSIM コマンドとその履歴、会社所有の iPhone およびセルラー対応 iPad ではさらにデータローミング、インターネット共有、セルラープランを更新も表示されます。専用のSIM 管理ページを参照してください。
• コマンド：デバイスにコマンドを送信し、コマンド履歴を表示します（プラットフォーム固有）。
• セキュリティ体制: デバイスのセキュリティ状態とリスク。Android では Play Integrity の判定も含まれます。デバイスが報告するまでは 未指定、セキュリティ データをまだ送信していない Android デバイスでは まだ報告されていません と表示されます。
• デバイスがコンプライアンスに違反している理由: デバイスがコンプライアンスに違反している場合にのみ、赤いアラート アイコンとともに表示されます。開くと理由を確認できます。Android では違反しているポリシー設定が一覧表示され、Apple ではコンプライアンス ルールがデバイスをブロックしたかどうかも表示されます。
• デバイスステータス（Apple のみ）：OS バージョン、ソフトウェアアップデートの進行状況、パスコード、FileVault、デバイスから報告されたバッテリーとアカウント、および利用可能な OS アップデート。コマンドページを参照してください。
• アプリケーション (Android): インストールされているアプリとそのフィードバックおよびエラー レポート。
• アプリケーション（Apple のみ）：ポリシーによってインストールされたアプリ、コマンドでインストールされたアプリ、ユーザーによってインストールされたアプリと、それらのインストール状態、エラー、アクション（再試行、削除）。Mac では、ポリシーによってインストールされたパッケージも一覧表示され、その状態と再インストールが表示されます。管理対象アプリとしてインストールされたパッケージには管理対象チップが付き、パッケージが管理対象外でインストールされた日時と理由、またはダウンロードから1時間後にアプリが見つからなかった場合に注記が表示されます。iPhone および iPad では、Cerberus Enterprise アプリにCerberus によるインストールチップが付きます。このアプリはポリシーフィルターには表示されません。デバイスが管理対象構成を受け入れなかったアプリには、構成が受け入れられませんでしたチップが付きます。個人所有の iPhone および iPad（User Enrollment）では、App Store アプリのユーザーライセンスを使用する Managed Apple Account が1行で表示され、ライセンスの付与を待機しているアプリにはユーザーライセンスを待機していますまたはユーザーライセンスに失敗しましたが表示され、ユーザーがインストールプロンプトをキャンセルしたアプリにはユーザーによるインストールの承認を待機していますが表示され、再リクエストで Apple にライセンスを再度要求するか、プロンプトを再度表示します。コマンドページを参照してください。
• プロファイル、証明書、セキュリティ（Apple のみ）：デバイスから報告された構成プロファイル、証明書、セキュリティ状態。
• インベントリの変更（Apple のみ）：デバイスでインストール、削除、更新されたアプリ、プロファイル、証明書のタイムライン。種類と変更内容で検索・フィルタリングできます。コマンドページを参照してください。
• Shared iPad ユーザー と Mac ユーザー (Apple のみ): Shared iPad のユーザーと Mac のユーザー。コマンド ページを参照してください。
• ステータスレポート：デバイスから報告された追加データを、カテゴリと値のツリーとして表示します。
• 登録履歴：この同じ物理デバイスの以前の登録を一覧として表示します。

位置情報パネルのタブ

位置情報マップ パネルでは、タブを使用して位置情報履歴とジオフェンスの出入りを分けて表示します。

• 位置情報：現在のデバイスの履歴フィルター、日付範囲検索、位置情報マーカー、精度サークル、ライブ追跡コントロールを表示します。
• ジオフェンス（Android、iPhone、iPad）：専用のマップにジオフェンス遷移履歴を表示します。期間フィルター、アーカイブされたジオフェンスのオプションの切り替え、遷移のサイドリストがあります。iPhone および iPad では、デバイスでジオフェンスが機能できない場合にステータス行にも表示されます。

これらのタブの完全な動作については、位置情報マップを参照してください。

アクション

ページの下部では、プラットフォーム、デバイスの状態、ライセンスの状態に応じて、データを更新したりアクションを実行したりできます。

• データを更新：デバイスレコードを再読み込みします。
• デバイスを無効化 / デバイスを有効化（Android のみ）：サポートされている状態で使用できます。
• デバイスの登録解除：デバイスから管理を削除します。正確な動作はプラットフォームと所有権によって異なります（たとえば、Android ではワークプロファイルのワイプまたは工場出荷時リセットが行われる場合があります）。
• デバイスを削除：デバイスがすでに登録解除されており、そのレコードを削除できる場合に使用できます。

位置マップ

このページでは、デバイス概要で利用できるデバイス固有の位置ツールについて説明します。パネルには、位置履歴用の位置情報タブと、Android デバイス、iPhone、iPad ではジオフェンスの遷移用のジオフェンスタブがあります。

前提条件

Android では、デバイスの位置情報データは、デバイスポリシーで位置情報の報告が有効になっている場合にのみ表示されます。有効にするには、ポリシーを開いて位置情報とジオフェンス → 位置情報の報告をオンにします。詳細については、位置情報とジオフェンスを参照してください。

iPhone と iPad では、位置情報はユーザーが許可した後に Cerberus Enterprise アプリから取得されるか、デバイスが紛失モードのときに デバイスを特定 コマンドから取得されます。Mac やその他の Apple デバイスは位置情報を報告しません。

完全には管理されていないデバイスでは、位置データは、Cerberus Enterprise アプリに必要な位置情報の権限があるかどうか、およびデバイスで位置情報サービスが有効になっているかどうかにも依存する場合があります。

個人デバイス（User Enrollment）では、Apple ポリシーで個人デバイスの位置情報とジオフェンスがオンになっており、ユーザーが Cerberus Enterprise アプリの位置情報を許可している場合にのみ、位置情報とジオフェンスを利用できます。それ以外の場合、デバイスページに位置情報アクションやライブ追跡は表示されません。紛失モードは個人デバイスでは利用できません。

ダッシュボードから利用できるグローバルな複数デバイスのマップについては、ダッシュボードの位置マップを参照してください。

読み込み中とデータなしの状態

• 位置データの読み込み中は、パネルのマップに読み込み中のオーバーレイが表示されます。
• デバイスで利用可能な位置情報データがない場合、パネルには 利用可能な位置情報データがありません というメッセージが表示されます。Android では、割り当てられたポリシーで位置情報の報告がオフになっている場合、有効にするよう促すメッセージが追加されます。Apple では、位置情報の取得元、またはこの種類のデバイスが位置情報を報告しないことが表示されます。
• 日付フィルターが有効で一致するサンプルがない場合、パネルには選択した日付範囲に利用可能なデータがありませんと表示されます。

位置情報タブ

位置情報タブを開いて、1つのデバイスの履歴を確認します。利用可能なフィルターには、最後に確認された位置、最近の履歴範囲、カスタム日付範囲、ライブ追跡があります。

• 最新：最後に確認された位置を表示します。
• 今日、過去7日間、過去30日間：選択した期間に記録された位置を表示します。
• 検索：カスタムの日付範囲を選択できます。
• ライブ：現在のデバイスのライブ追跡を開始または停止します。

位置情報は90日間保持され、それより古いものは毎晩自動的に削除されます。登録済みの各デバイスの最新の位置は常に保持されるため、長期間報告していない場合でもデバイスはマップに表示され続けます。削除されたデバイスと過去の登録については、90日より古い位置情報はすべて削除されます。このため、検索の日付範囲を90日より前から開始することはできません。

マーカーの詳細

位置マーカーをクリックすると、次の情報を含む情報ウィンドウが開きます：

• 位置情報レコードのタイムスタンプ。
• 報告された精度（メートル単位）。
• デバイスが提供する場合に報告される速度。
• デバイスが提供する場合に報告される進行方向または方位。

精度サークル

情報ウィンドウを開いている間、マーカーの周囲に精度サークルが表示されます。円の半径は、報告された精度（メートル単位）に対応します。情報ウィンドウを閉じると、円は非表示になります。

ライブ追跡

デバイス履歴ビューでライブフィルターを選択すると、その特定のデバイスのリアルタイム追跡リクエストが開始されます。Cerberus Enterprise は、リクエストを開始する前に確認を求めます。

• ライブ追跡は最大15分間実行されます。
• ライブ追跡が有効な間、Android デバイスでは通知が表示され、iPhone および iPad では位置情報インジケーターが表示されます。
• ライブ追跡が有効な間、パネルは最新の位置情報を継続的に更新し、ライブインジケーターは表示されたままになります。
• ライブフィルターをもう一度選択すると、タイムアウトになる前にライブ追跡を停止できます。
• iPhone および iPadでは、ライブ追跡は Cerberus Enterprise アプリを通じて実行され、位置情報へのアクセスは常にに設定されています。このリクエストは通常、アプリが開いていない場合でもアプリを起動し、アプリはセッション全体にわたって位置情報を送信します。iOS はこれらのリクエストを保証しません。たとえば低電力モードやネットワーク接続がない場合、リクエストが遅延したり、配信されないことがあります。2分以内に位置情報が届かない場合、ダッシュボードはリクエストをキャンセルします。ユーザーにアプリを一度開いてから、もう一度試すよう依頼してください。

ジオフェンスタブ

Android デバイス、iPhone および iPad では、2番目のタブに、割り当てられたポリシーで定義されたジオフェンスから生成されたジオフェンス遷移が表示されます。

• マップには、現在のジオフェンスエリアと記録された遷移ポイントが表示されます。
• 右側の遷移リストでは、入場および退場イベントを確認できます。
• 使用できるフィルターは、今日、過去7日間、過去30日間、およびカスタムの日付範囲検索です。
• アーカイブを含めるでは、現在のポリシーにもう存在しない古いジオフェンス定義に関連する遷移も表示されます。
• ジオフェンスの遷移は90日間保持され、それより古いものは毎晩自動的に削除されるため、カスタム日付範囲の検索を90日より前から開始することはできません。

iPhone および iPad では、ポリシーに有効なジオフェンスがある場合、タブ上部のステータス行に、デバイスでジオフェンスが機能しているかどうかが表示されます。機能しない場合はその理由が示されます。Cerberus Enterprise アプリがサーバーに接続していないか更新が必要である、位置情報へのアクセスが常にに設定されていない、正確な位置情報またはApp のバックグラウンド更新がオフになっている、アプリが最後に設定を報告したときに低電力モードがオンになっていた（その場合、ジオフェンスイベントや変更が数時間遅れることがあります）、またはアプリが最新のジオフェンスをまだ適用していない、といった場合です。すべてが正常に機能している場合は、アプリが監視しているジオフェンスの数が表示されます。

ジオフェンス遷移の詳細

遷移を選択すると、マップ上でその詳細が開き、対応するリスト項目が強調表示されます。利用可能な場合、Cerberus Enterprise はその遷移のデバイス座標と報告された精度も表示します。

SIM 管理

デバイス ページには SIM 管理 パネルがあります。Android デバイスでは、デバイスにインストールされている SIM と eSIM プロファイルを管理し、eSIM プロファイルを追加または削除し、デバイスに送信された eSIM コマンドの履歴を表示します。会社所有の iPhone とセルラー iPad では、デバイスから報告された SIM と eSIM プランを表示し、デバイスが通信事業者によって準備された eSIM プランをダウンロードできるようにします。詳細は後述の iPhone と iPad を参照してください。

SIM 情報は、デバイスポリシーでネットワーク情報の報告が有効になっている場合、完全管理デバイスによって報告されます（このオプションは Cerberus Enterprise によって常に有効になります）。ステータスレポートページを参照してください。

デバイス EID

EID（eUICC Identifier）は、デバイスの eSIM ハードウェアを識別します。通信事業者はこれを使用して eSIM プロファイルをデバイスに紐付けるため、EID の取得は通常、eSIM プロビジョニングワークフローの最初のステップです。

• 会社所有デバイス（Android 13 以降）：EID はデバイスステータスとともに自動的に報告され、ユーザーの操作は不要です。
• 個人所有デバイス（Android 13 以降）：EID をリクエストボタンを使用します。ユーザーのデバイスに、EID の共有を求める通知が表示され、リクエストを承認または拒否できます。EID は、ユーザーが承認した場合にのみ表示されます。リクエストが保留中である間、ボタンは無効のままです。

EID リクエストを送信すると、ユーザーのデバイスに通知が表示されるため、最初に確認ダイアログが表示されます。

インストール済み SIM

インストール済み SIMテーブルには、物理 SIM や eSIM プロファイルなど、デバイスで現在認識されている SIM が一覧表示されます。個人所有デバイスでは、デバイスが SIM 情報を報告しない場合でも、eSIM を追加コマンドでインストールされた eSIM プロファイルが表示されます。

• 通信事業者：SIM に関連付けられた通信事業者名（報告された場合）。
• 電話番号：SIM に関連付けられた電話番号（報告された場合）。
• ICCID：SIM の集積回路カード識別子です。
• アクティベーション状態：eSIM がアクティブ化されているかどうか。Android 15 以降の eSIM についてのみ報告されます。
• 構成モード：eSIM が管理者によって構成されたか、ユーザーによって構成されたか。Android 15 以降の eSIM についてのみ報告されます。
• SIM の種類：デバイスがそのエントリを eSIM として報告しているかどうかを示します。

削除コマンドが進行中または実行済み（失敗していない）の eSIM には、一時的な削除中アクティベーション状態が表示されます。デバイスが更新された SIM リストを報告すると、エントリはリストから消えます。削除の進行中は、同じコマンドを二重に送信しないように、削除ボタンは使用できません。

eSIM を削除

インストール済みの eSIM の横にある削除ボタンを使用して、デバイスからそのプロファイルを削除します。コマンドが送信される前に、削除する eSIM の ICCID を確認するダイアログが表示されます。eSIM の削除は Android 15 以降でサポートされています。

eSIM を追加

eSIM を追加セクションでは、デバイスに新しい eSIM プロファイルをインストールします（Android 15 以降でサポート）。必要なものは次のとおりです。

• 有効期間：コマンドをすぐに実行できない場合に、そのコマンドが有効な期間。
• アクティベーションコード：通信事業者が提供する eSIM プロファイルのアクティベーションコード。コード全体を入力することも、SM-DP+ アドレスのみを入力して、通信事業者がすでに EID に紐付けたプロファイルをデバイスに検出させることもできます。
• アクティベーション状態：eSIM プロファイルをダウンロード後に自動でアクティブ化するか、ユーザーによる手動アクティベーションのために未アクティブのままにするか。

コマンド履歴

eSIM を追加セクションの下に、デバイスに送信された eSIM コマンド（eSIM を追加、eSIM を削除、EID をリクエスト）の履歴が表示されます。テーブルは並べ替えが可能で、ページネーションに対応しています。一部の行は展開して、コマンドのパラメーター（アクティベーションコードや ICCID など）と実行ステータスを表示できます。これには、デバイスで操作が失敗したときの eSIM エラーの詳細も含まれます。

• 作成日
• コマンド
• 有効期間
• ステータス
• エラー：コマンドの実行で報告された場合に、eSIM のエラー状態（たとえばユーザーが拒否、無効なアクティベーションコード、ICCID が見つかりません）を表示します。
• 実行日

ワイプおよび登録解除時の eSIM ワイプ

コマンドパネルからデバイスをワイプするとき、eSIM をワイプフラグで、ワイプ時に eSIM プロファイルを削除するかどうかを制御します。ワークプロファイルを持つ個人所有デバイスでは、このフラグはデフォルトで有効になっています（管理対象の eSIM は削除されますが、個人所有の eSIM は影響を受けません）。同じフラグはデバイスの登録解除確認ダイアログでも使用できます。

iPhone および iPad

このパネルは、iPhone と、セルラーデータを報告した iPad（Wi-Fi のみの iPad にはありません）について、デバイスが会社所有で User Enrollment でない場合にのみ表示されます。デバイスには、デバイス情報とともにセルラー情報が要求されます。要求のタイミングは、登録時、毎日、デバイス情報を更新を実行したとき、所有権が会社所有になったとき、およびセルラープランを更新の数分後です。

• デバイス EID：SIM とともに報告された EID で、通信事業者用にコピーするボタンがあります。デバイスが報告しない場合、ユーザーは設定 > 一般 > 情報で確認できます。
• 報告済み、データローミング、インターネット共有、モデムファームウェア：デバイスが応答したかどうかと、報告された状態。データローミングとインターネット共有は、コマンドパネルのデバイス設定で変更でき、現在の状態も表示されます。
• SIM：SIM または eSIM プランごとに1行（デュアル SIM デバイスでは2行）で、デバイスが報告したスロット、そのラベルと種類（デバイスが EID とともに報告する場合はeSIM、それ以外はSIM カード）、通信事業者（デバイスが別のネットワークでローミングしている場合はツールチップにホーム通信事業者）、電話番号、ICCID、EID、IMEI、データ通信用および通信用の SIM、ローミングが表示されます。プランのない eSIM スロットは、プランなしとしてグレー表示されます。
• このデバイスは SIM を報告していませんは、デバイスが SIM なしで応答したことを意味します。セルラー情報はまだありませんは、デバイスがまだ応答していないことを意味します。デバイス情報を更新を使用してください。

電話番号、ICCID、IMEI、EID は個人と回線を識別する情報です。これらは個人所有デバイスや User Enrollment には要求されません。デバイスが個人所有になると、情報は直ちに削除され、コマンド履歴にある以前のデバイス情報コマンドの結果では非表示になります。この情報はエクスポートされず、システムログにも書き込まれません。

セルラープランを更新

iPhone および iPad は、アクティベーションコードから eSIM をインストールできません。通信事業者は、eSIM サーバー（SM-DP+）上で eSIM プランをデバイスの EID に紐付け（予約）し、そのサーバーのアドレスを提供します。次にセルラープランを更新によって、デバイスは自身を待機しているプランをダウンロードするよう求められます。パネルのセルラープランを更新ボタンをクリックすると、コマンドパネルでコマンドが選択され、そこで通信事業者の eSIM サーバー URLを入力します。

• https:// アドレス：そのまま送信されます。http://、ユーザー名またはパスワード、あるいは # 部分を含むアドレスは受け付けられません。
• ホスト名（例：smdp.carrier.example）は、https://smdp.carrier.example として送信されます。
• LPA アクティベーションコード（LPA:1$server$code、eSIM QR コードのテキスト）：コマンドはコードを伝送できないため、サーバーのみが使用されます。プランは通信事業者によってデバイスの EID に紐付けられている必要があり、そうでない場合、デバイスはダウンロードするものを検出できません。

デバイスは、監視対象でない場合でも、ユーザーに確認せずにプランをインストールしてアクティブ化します。コマンド履歴の「成功」は、デバイスがリクエストを承認したことを意味し、プランがインストールされたことを意味するものではありません。インストールには最大3分かかる場合があり、Cerberus Enterprise は約3分後にデバイスに SIM を再度要求するため、新しいプランがパネルに表示されます。エラー 36001（デバイスがセルラーシステムに接続できませんでした）、36002（eSIM がサポートされていません）、36003（セルラーシステムがビジーです。後でもう一度お試しください）については、システムログで説明されています。一度ダウンロードしたプランは再度ダウンロードできません。インストールに失敗した場合は、通信事業者にお問い合わせください。このコマンドは、デバイスページのApple デバイスアクションメニューから複数のデバイスに対して一度に実行することもできます。

Apple が許可していないこと

• アクティベーションコードからのeSIM を追加：できません。EID に紐付けられたプランでセルラープランを更新を使用してください。
• eSIM を削除：eSIM をリモートで1つずつ削除することはできません。eSIM データプランを保持するをオフにしてデバイスを消去すると、すべての eSIM が削除されます。単一のプランを停止するには、通信事業者に非アクティブ化を依頼してください。プランはデバイスに残りますが、接続できなくなります。
• EID をリクエスト：不要です。EID は会社所有デバイスの SIM とともに取得されます。
• Macにはセルラーまたは eSIM の管理機能はありません。

コマンド

デバイス ページには、管理対象デバイスにリモート コマンドを送信するための コマンド パネルがあります。使用可能なコマンドは、プラットフォーム (Android または Apple) とデバイスの状態によって異なります。

コマンドを送信できるのは、現在登録されているデバイスのみです。登録解除されたデバイス、まだ登録されていない ADE デバイス、および過去の登録の履歴レコードでは、パネルにはコマンド履歴のみが表示されます。

デバイスが現在オンラインでない場合、コマンドはデバイスがインターネットに接続され次第配信されて実行されます。Android コマンドでは、有効期間パラメーターを設定して、未配信のコマンドが有効な期間を指定できます。

Android (AMAPI) コマンド

Android デバイスの場合、コマンドパネルには有効期間フィールド（値＋単位）とコマンドセレクターが含まれます。一部のコマンドには追加のパラメーターが必要で、コマンドを選択すると動的に表示されます。

共通パラメーター

• 有効期間：コマンドをすぐに実行できない場合に、コマンドが有効な期間。
• コマンド：デバイスに送信するアクションを選択します。

追加フィールドのないコマンド

• デバイスをロック: デバイスをロックします。
• デバイスを再起動: デバイスを再起動します。Android 7.0 以降が必要です。
• 紛失モードを無効化: デバイスを紛失モードから解除します。
• 所有権を放棄: Android 8.0 以降の会社所有デバイスからワーク プロファイルとすべてのポリシーを削除し、個人用として残します。個人プロファイルのアプリとデータは保持されます。デバイスがコマンドを確認すると、サーバーからデバイスが削除されます。この操作は元に戻せません。

追加フィールドがあるコマンド

• パスワードをリセット：新しいパスワードと新しいパスワードの確認が必要です。オプションのトグルには、今すぐロック、入力の要求、起動時に認証情報を要求しないがあります。
• アプリデータを消去：対象のパッケージ名が必要です。
• 紛失モードを有効化: 紛失モード メッセージ が必要で、オプションの連絡先フィールド (住所、組織、電話番号、メール) をサポートします。デバイスがそれを報告すると、状態は 紛失 になり、デバイス ページにバナーが表示され、紛失モードが無効になるまでこのコマンドは非表示になります。
• デバイスを消去: ワイプ理由メッセージ (個人デバイスのユーザーに表示) と、eSIM をワイプ を含むオプションのワイプ フラグをサポートします。

eSIM コマンド（eSIM を追加、eSIM を削除、EID をリクエスト）は、専用のSIM 管理パネルで利用できます。

コマンド履歴

送信コントロールの下には、ダッシュボードにコマンド履歴テーブルが表示されます。このテーブルは並べ替え可能で、ページ分割に対応しています。一部の行は展開して、追加のパラメーターや実行の詳細を表示できます。

Android の履歴の列

• 作成日
• コマンド
• 有効期間
• ステータス
• エラー
• 実行日

Apple (MDM) コマンド

Apple デバイスの場合、コマンドパネルにはコマンドセレクターが用意されています。一部のコマンドには追加の入力が必要です。Android と同様に、下にコマンド履歴テーブルが表示されます。

追加フィールドがあるコマンド

• アプリをインストール: アプリケーションの Bundle ID が必要です。
• 通知を送信: 通知メッセージ が必要です (最大 200 文字)。

iPhone と iPad では、通知を送信 とライブ トラッキングは Cerberus Enterprise アプリを通じてデバイスに届きます。これらはアプリがインストールされ、通知に登録されるまで無効です (Cerberus Enterprise アプリ フィールドを参照)。ライブ トラッキングを開始すると「ライブ トラッキング要求をデバイスに送信しました」と表示され、デバイスが最初の位置情報を送信すると追跡が始まります。iOS では、低電力モードやネットワーク接続がない場合など、要求が遅延したり配信されないことがあります。2 分以内に位置情報が届かない場合は、ユーザーにアプリを一度開くよう依頼してください。要求が失敗すると、その理由 (アプリがまだ登録されていない、サーバー通知キーがない、デバイスの通知トークンが無効になっているなど) がメッセージに表示されます。

デバイスのアクション

デバイスでサポートされているコマンドのみが一覧表示されます。一部は監視対象の iPhone または iPad が必要で、その他は Mac では利用できません。中断を伴うコマンドは確認を求めます。

• デバイスをロック: 画面をロックします。メッセージと電話番号はオプションです。Mac は再起動され、6 桁の PIN でロックされます。PIN はコマンド送信後に一度表示され、コマンドの詳細でも確認できます。iPhone では、このコマンドで紛失モードが有効にならなくても、メッセージの上に「Lost iPhone」というタイトルが表示されます。
• 紛失モードを有効化（監視対象の iPhone と iPad）：デバイスをロックし、ロック画面にメッセージ、電話番号、脚注を表示します。紛失モードがオンの間、ページにはバナーと、デバイスを特定（位置情報は位置マップに表示されます）、サウンドを再生、紛失モードを無効化のコマンドが表示されます。
• デバイスは、それを所持している人に位置情報が特定されたことを伝えます。デバイスを特定 の後、ロック画面には時刻と位置情報を受け取ったサーバーの名前、および iPhone が見つかりました と 続ける ボタンが表示されます。iOS ではこの通知が表示され、オフにすることはできません。
• パスコードを消去：iPhone または iPad のパスコードを削除します。たとえば、ユーザーが忘れた場合に使用します。ポリシーでパスコードが要求されている場合、ユーザーは新しいパスコードの設定を求められます。
• デバイス情報を更新：デバイスに情報（監視状態、OS バージョン、セキュリティ状態、MDM 証明書）とインベントリを要求します。
• デバイス設定: デバイス名、Mac のホスト名、Bluetooth、データ ローミング、Personal Hotspot、タイムゾーン、壁紙、アクティベーション ロックを許可するかどうか、および Shared iPad の場合はその設定 (後述) を変更するウィンドウを開きます。変更した設定のみが送信され、デバイスがサポートしていない設定は理由とともに無効になります。デバイスはデータ ローミングや Personal Hotspot を適用せずに確認応答することがあるため (SIM プランに Personal Hotspot がない場合など)、Cerberus Enterprise は約 30 秒後にそれらを読み戻し、変更されていない場合はシステム ログに警告を書き込みます。
• デバイスを再起動 と デバイスをシャットダウン: 確認後、デバイスをすぐに再起動または電源オフにします。
• デバイスを消去：すべてのコンテンツと設定を消去し、デバイスを管理から削除します。iPhone と iPad では、eSIM データプランを保持し、近接セットアップをスキップできます。Mac では6桁の PIN が設定されます。
• サービスへの復帰（デバイスを消去のオプション、iOS 17 以降の iPhone と iPad）：消去後、デバイスは誰も操作することなく再びセットアップされ、現在のポリシー、ユーザー、所有権で再登録されます。セットアップには、デバイスポリシーの Wi-Fi ネットワークを選択します（デバイスに Ethernet またはセルラーデータがある場合を除く）。デバイスにはまだユーザーや証明書がないため、個人ネットワーク（パスワードあり、証明書なし）のみ使用できます。アクティベーションロックはオフになっている必要があります。
• セルラープランを更新（iPhone とセルラー対応 iPad、iOS 13 以降、User Enrollment を除く）：通信事業者が提供する通信事業者の eSIM サーバー URL（https:// アドレス、ホスト名、または LPA アクティベーションコード。使用されるのはサーバーのみ）を入力すると、デバイスは通信事業者が EID にバインドした eSIM プランをダウンロードします。デバイスの EID はフィールドの下に表示され、通信事業者に送信できます。SIM 管理ページを参照してください。
• eSIM データプランを保持するをオフにすると、消去時にすべての eSIM が削除されます。ポリシー制限デバイスの消去時に eSIM を保持する（監視対象デバイス、iOS 17.2 以降）は、デバイス上で開始された消去（パスコードの失敗回数超過、すべてのコンテンツと設定の消去）に適用されます。Apple はこのコマンドへの影響を文書化していません。
• ユーザーをログアウト（Shared iPad）：現在のユーザーをログアウトし、ログイン画面に戻ります。まだ iCloud に同期されていないデータは iPad に残ります。

Shared iPad

Shared iPad は、それぞれが独自の Managed Apple Account を持つ複数のユーザー、または一時セッションを使用するゲストによって使用されます。Shared iPad を有効にする ADE プロファイルでセットアップされ（Apple Automated Device Enrollmentページを参照）、その登録タイプフィールドにはShared iPadと表示されます。

• Shared iPad のユーザー：iPad のユーザー、ログイン中のユーザー、使用しているストレージ、一部のデータがまだ iCloud に同期されていないかどうかを表示します。更新を使用して、iPad に一覧を再度要求します。ログイン中のユーザーを除き、ユーザーをデータとともに削除できます（先にログアウトしてください）。すべてのユーザーを削除には iPadOS 14 以降が必要です。データがまだ同期されていない場合、確認でデータが失われることが警告されます。
• デバイス設定：各ユーザーのストレージ、想定ユーザー数、ユーザーとゲストセッションがログアウトされる非アクティブ時間、ゲストセッションのみ、ログイン画面で提案される Managed Apple Account ドメイン、ユーザーがパスワードをオンラインで確認せずにサインインできる日数、新規ユーザーの言語と地域のセットアップをスキップするかどうか。空のフィールドは現在の値を維持します。新しい iPadOS が必要な設定は無効になります。

Mac のユーザー

Mac では、Mac のユーザーパネルに、管理に登録されているユーザー（通常は Mac を登録したユーザー）が一覧表示されます。ポリシーのアカウントは、そのセッションにインストールされます。各ユーザーについて、登録された日時、セッションの最後のレポート、アカウントの状態（最新、ユーザーを待機中（ユーザーがログインすると Mac がインストールします）、Mac から報告された理由付きの未適用、ポリシーにアカウントがない場合はアカウントなし）が表示されます。再読み込みを使用して一覧を再度読み取ります。

アクティベーションロック

アクティベーションロックフィールドには、アクティベーションロックがオンかどうかが表示されます。オンの場合、消去されたデバイスは、ユーザーの Apple Account またはデバイスのバイパスコードでのみ再セットアップできます。監視対象デバイスは、デバイス設定で許可されている場合にのみアクティベーションロックをオンにします。Cerberus Enterprise は監視対象デバイスにバイパスコードを要求して保存します。フィールドメニューのバイパスコードを表示を使用すると確認できます（管理者のみが可能で、表示はすべてシステムログに記録されます）。その後、デバイスのアクティベーションロック画面で Apple Account を空のまま、パスワードとして入力します。

リカバリロックとファームウェアパスワード（Mac）

Apple silicon を搭載した Mac ではリカバリロックフィールドが、Intel ベースの Mac ではファームウェアパスワードフィールドが表示されます。どちらも起動時に Mac を保護します。リカバリロックでは recoveryOS がパスワードを要求し、ファームウェアパスワードでは別のディスクまたはリカバリからの起動時に Mac がパスワードを要求します。フィールドには、Mac がパスワードを報告しているかどうかが表示され、ツールチップには Cerberus Enterprise が保存した日時と最後に検証した日時が表示されます。

• パスワードを設定または変更：Cerberus Enterprise は、どのキーボードレイアウトでも同じキー上にある20文字のパスワードを生成するか、管理者が入力します（アクセント記号なしの8〜64文字。他のロールは保存済みパスワードを表示できないため、生成のみ可能です）。パスワードは送信前に暗号化して保存され、Mac が確認した場合にのみ保存済みのパスワードを置き換えます。Mac に Cerberus Enterprise 以外で設定されたパスワードがすでにある場合は、現在のパスワードとして入力します。これは一度だけ使用され、保存されません。
• パスワードを検証：保存済みのパスワードが正しいかどうかを Mac に問い合わせます。結果はツールチップとシステムログに表示されます。
• パスワードを表示：保存済みのパスワードを表示できるのは管理者のみで、表示はすべてシステムログに記録されます。生成されたパスワードは4文字ずつに区切って表示されます。スペースを入れずに入力してください。
• パスワードを消去：Mac からパスワードを削除します。

Intel ベースの Mac は、ファームウェアパスワードの変更を適用するために再起動します。それまでは以前のパスワードが引き続き必要で（「パスワードを表示」に一覧表示されます）、別の変更は送信できません。また、Apple はファームウェアパスワードのコマンドを30秒に1回しか受け付けません。パスワードはコマンド履歴では非表示になります。

Mac が管理から外れると（登録解除、ユーザーによる削除、消去）、macOS はリカバリロックを自動的に削除し、Cerberus Enterprise は保存済みのリカバリロックパスワードを破棄します。Mac がリカバリロックがないと報告した場合（たとえば再登録後）も同様です。Mac を登録解除する（またはそのポリシーを削除する）場合、保存済みのファームウェアパスワードが最初に消去され、Mac が再起動してから管理から外れます。消去に失敗した場合、Mac はそのまま管理から外れ、パスワードは引き続き確認できるように保存されたままになります。ユーザーによって管理から削除された Mac、または消去された Mac はファームウェアパスワードを保持し、Cerberus Enterprise もそれを保持します。デバイスレコードを削除すると保存済みのパスワードが削除されるため、最初に確認が求められます。パスワードを書き留めてください。パスワードがない場合、Apple しか削除できません。

FileVault（Mac）

FileVault フィールドには、Mac のディスクが暗号化されているかどうかと、ツールチップに Cerberus Enterprise が個人用復旧キーを保存しているかどうかが表示されます。Mac は、ポリシーの FileVault 設定を受け取った後に FileVault がオンになると、キーを送信します（Apple ポリシーのmacOSページを参照）。

• リカバリキーを表示：キーを表示できるのは管理者のみで、表示はすべてシステムログに記録されます。Mac のログインウィンドウでユーザーのパスワードをリセットする場合、またはリカバリでディスクのロックを解除する場合に使用します。Mac が管理から外れた後も利用できますが、デバイスレコードを削除するとキーも削除されます。
• リカバリキーを変更：Mac は個人用リカバリキーを置き換え、新しいキーを暗号化して送信します。古いキーは機能しなくなります。これは、保存済みのキーを読み取れる場合にのみ可能です。Mac はそのキーでロック解除され、ユーザーのパスワードは必要ありません。保存済みのキーはコマンド履歴では非表示になり、Mac が応答すると（または応答なしで7日経過すると）サーバーから削除されます。

Bootstrap Token（Mac）

macOS 10.15 以降の Mac は、セキュアトークンを持つユーザーがログインすると、Bootstrap Tokenを管理サーバーに送信します。サーバーはそれを保持し、その Mac にのみ返します。Mac はそれを使用して新しいユーザーにセキュアトークンを付与し、Apple silicon を搭載した Mac では、管理者パスワードを要求せずにソフトウェアアップデートをインストールしたり、カーネル拡張を承認したりします。ダッシュボードでもその他の場所でも、誰もトークンを表示できません。Bootstrap Tokenフィールドにはその状態が表示されます：

• エスクロー済み：サーバーがトークンを保持しています。ツールチップには Mac が送信した日時が表示されます。
• 以前にエスクロー済み：保存されたトークンは、Mac の最新の登録または MDM 証明書の更新より前に送信されたものです。更新後はこれは想定どおりです。トークンは保持され、Mac は再度送信しません。新しい登録後は、有効でなくなっている可能性があります。Mac のターミナルで sudo profiles install -type bootstraptoken を実行してください。
• エスクローなし：Mac はまだトークンを送信していません。今すぐ送信するには、Mac の管理者がターミナルでsudo profiles install -type bootstraptokenを実行します（sudo profiles status -type bootstraptokenでエスクローされているかどうかを確認できます）。

ツールチップには、Mac が認証にトークンを許可しているかどうかも表示されます。Automated Device Enrollment でセットアップされた Mac は自動的に許可します。Apple silicon を搭載した他の Mac では、ユーザーが recoveryOS のスタートアップセキュリティユーティリティで許可できます。Intel Mac は認証にトークンを使用できません（サポート対象外）が、エスクローされたトークンは引き続き新しいユーザーにセキュアトークンを付与します。Mac がトークンを送信、削除、または要求するたびに、システムログに記録されます。

デバイスの状態と OS のアップデート

デバイスの状態パネルには、デバイスが自身について報告する内容が表示されます。OS のバージョンとビルド、ソフトウェアアップデートの進行状況（保留中のバージョン、期限、開始理由、失敗）、パスコードが設定されポリシーに準拠しているかどうか、Mac の FileVault、バッテリーの状態、デバイスに設定されているアカウントです。

利用可能なアップデートリストには、デバイスがインストールできる OS アップデートが表示され、登録時と毎週収集されます。アップデートを確認で今すぐ要求し、インストールでアップデートをすぐにインストールする（確認後にデバイスが再起動します）か、ダウンロードのみを行ってユーザーにインストールさせることができます。これは監視対象の iPhone と iPad、および Mac で、iOS、iPadOS、macOS 26 まで機能します。それ以降のバージョンや多数のデバイスの更新には、ポリシーの必須アップデートを使用してください（Apple ポリシーのソフトウェアアップデートページを参照）。

Apple silicon を搭載した Mac が管理者パスワードを要求せずにアップデートをインストールするのは、認証に Bootstrap Token を許可し、トークンがエスクローされている場合のみです（上記の Bootstrap Token を参照）。それ以外の場合、確認では、アップデートのインストール前にユーザーが管理者パスワードを入力する必要があるかもしれないと表示されます。

アプリケーションとインベントリ

アプリケーションパネルには、デバイスのすべてのアプリが1つのテーブルに一覧表示されます。ポリシーまたはコマンドでインストールされたアプリのインストール状態は、デバイスからリアルタイムで報告されます。バージョン、サイズ、ユーザーがインストールしたアプリは、登録時と毎週収集される最新のアプリ一覧から取得されます。今すぐ要求するにはデバイスに問い合わせを使用します。

• 管理: デバイス ポリシーによってインストールされたアプリは ポリシー、アプリをインストール などのコマンドでインストールされたアプリは 管理対象、ユーザーがインストールしたアプリは 未管理 です。Cerberus Enterprise アプリには Cerberus によってインストール済み チップが付いています。
• 要対応：インストールに失敗したアプリ、ユーザーによって拒否または削除されたアプリ、またはユーザーを待機しているアプリ。行を開くとエラーを確認できます。失敗したポリシーのアプリは、再試行ボタンで再度インストールできます。デバイスが検証されていないと報告した組み込みアプリと App Store アプリはカウントされません。
• アプリを削除：管理対象アプリは、データとともに削除できます。ポリシーでインストールされたアプリを削除するには、ポリシーから削除します。ポリシーは、管理対象アプリとしてインストールされた Mac パッケージがポリシーから削除された場合にも、このコマンド自体を送信します。

プロファイル、証明書、セキュリティパネルには、デバイスから報告された構成プロファイル、証明書、セキュリティ状態（パスコード、暗号化、Mac の FileVault とファイアウォール）が表示されます。

個人所有のデバイスでは、ユーザーがインストールしたアプリは収集されず、Cerberus Enterprise が管理するプロファイルと証明書のみが一覧表示されます。

インベントリの変更パネルには、デバイスから送信された2つの一覧の間で変更された内容が表示されます。インストール、削除、更新されたアプリ（新旧バージョン付き）、インストール、削除、更新されたプロファイル、追加または削除された証明書です。変更は、デバイスが新しい一覧を送信したとき（アプリとプロファイルは毎週、証明書は毎日）、またはデバイスに問い合わせを使用したときに検出されます。表示される日付は検出された日時で、変更は前の一覧とその一覧の間に発生しています。デバイスの最初の一覧、および新しい登録または所有権の変更後の最初の一覧は、開始点としてのみ記録されます。名前または識別子で検索し、種類と変更でフィルターできます。変更は365日間保持されます。

OS アップデートによって多数の Apple アプリが一度に置き換えられた場合、それらは展開可能な1行（例：「23個の Apple アプリが更新されました」）として表示されます。MDM 証明書の更新はMDM 証明書を更新済みとして表示されます。個人所有のデバイスでは、Cerberus Enterprise が管理する項目の変更のみが表示されます。

Apple の履歴の列

• 作成日
• コマンド
• ステータス: 送信済み (デバイスを待機中、接続されるとすぐに配信)、成功、応答済み (行を開いて結果を表示)、デバイスを待機中 (デバイスが現在コマンドを実行できない)、失敗 (行を開いて理由を表示)、または キャンセル済み (デバイスのコマンド キューがクリアされた場合。再登録時など)。
• 実行日

更新

コマンドパネルの更新アクションを使用して、コマンド履歴を再読み込みします。

ダッシュボードの位置マップ

ダッシュボードの位置マップでは、位置データを報告しているデバイスの最新の既知の位置をグローバルに表示できます。ダッシュボードから開いて、同じ Google マップ上で複数のデバイスを確認できます。

前提条件

デバイスがこのマップに表示されるのは、割り当てられたポリシーで位置情報の報告が有効になっている場合のみです。有効にするには、ポリシーを開いて位置情報とジオフェンス → 位置情報の報告をオンにします。詳細については、位置情報とジオフェンスを参照してください。

完全には管理されていないデバイスでは、位置データは、Cerberus Enterprise アプリに必要な位置情報の権限があるかどうか、およびデバイスで位置情報サービスが有効になっているかどうかにも依存する場合があります。

個人デバイス（User Enrollment）は、Apple ポリシーで個人デバイスの位置情報とジオフェンスがオンになっており、ユーザーが Cerberus Enterprise アプリの位置情報を許可している場合にのみ、位置情報を共有します。それ以外の場合、Cerberus はその位置情報を収集せず、ライブ追跡も利用できません。

デバイスエディターで利用できるデバイスごとの履歴とジオフェンスの遷移については、位置マップを参照してください。

位置情報履歴は90日間保持され、それより古い位置情報は毎晩自動的に削除されます。登録済みの各デバイスの最新の位置は常に保持されるため、長期間報告していないデバイスもマップに表示されます。

読み込み中とデータなしの状態

• 位置データの読み込み中は、マップに読み込み中のオーバーレイが表示されます。
• 現在位置データが利用できるデバイスがない場合、ページには位置データを利用できませんというメッセージが表示されます。

マーカーとクラスター

利用可能な位置データがある各デバイスは、マーカーとして表示されます。多くのデバイスが近接している場合、マップを読みやすくするためにマーカーが自動的にクラスター化されます。

現在ライブ追跡中のデバイスは、アニメーションのマーカーで強調表示されるため、マップ上で見つけやすくなります。

マップのコントロール

マップにデバイスの位置情報が含まれている場合、Cerberus Enterprise はマップの右上隅にアクションボタンを表示します。

• 現在地：ブラウザの位置情報を使用してマップを現在の位置に移動し、報告された精度の範囲に合わせます。
• マップを再センタリング：現在表示されているデバイスマーカーを中心にマップを再び合わせます。
• 追跡中ライブ追跡ピル：1つ以上のデバイスがライブ追跡されている場合に表示され、現在アクティブな台数を示します。
• すべてのライブ追跡を停止：ライブ追跡ピル内のアイコンボタンで、確認後、現在追跡中のすべてのデバイスのライブ追跡を停止します。

マーカーの詳細

マーカーをクリックすると、次の情報を含む情報ウィンドウが開きます：

• デバイスのモデルと内部ID。
• 最新の報告された位置のタイムスタンプ。
• 報告された精度（メートル単位）。
• 報告された速度（利用可能な場合）。
• 報告された方位またはベアリング（利用可能な場合）。

情報ウィンドウのデバイス識別子は、対応するデバイス概要ページを開くリンクです。

情報ウィンドウのアクション

各情報ウィンドウには、選択したデバイスのアクションボタンも含まれています。

• デバイスリンク：情報ウィンドウの上部にあるデバイス名と ID をクリックすると、対応するデバイス概要ページが開きます。
• ズームイン：マップを選択したデバイスに合わせて中央に表示し、報告された精度の円をその周囲にさらに近づけます。
• ライブ：そのデバイスのライブ追跡を開始します。ライブ追跡がすでにアクティブな場合、同じボタンを押すと確認後に停止します。
• ライブ追跡中：このステータス行が表示されている場合、選択したデバイスがすでにリアルタイムで追跡されていることを示します。

精度の円

マーカーを選択すると、マップは位置の周囲に精度の円を表示します。円の半径は、報告された精度と一致します。

ライブ追跡の動作

情報ウィンドウからライブ追跡を開始すると、そのデバイスにリアルタイム追跡リクエストが送信されます。セッションがアクティブな間、Cerberus Enterprise はマップを自動的に更新します。

• 各ライブ追跡セッションは最大15分間実行されます。
• ライブ追跡がアクティブな間、Android デバイスには通知が表示され、iPhone と iPad には位置情報インジケーターが表示されます。
• ライブ追跡は、選択したデバイスの情報ウィンドウから、またはマップ上のグローバルなすべてのライブ追跡を停止ボタンから停止できます。
• iPhone と iPadでは、ライブ追跡は Cerberus Enterprise アプリを通じて実行され、位置情報へのアクセスは常にに設定されています。通常、このリクエストはアプリが開いていなくてもアプリを起動し、その後アプリはセッション全体の位置情報を送信します。iOS はこれらのリクエストを保証しません。たとえば、低電力モードやネットワーク接続がない場合、リクエストを遅延させたり、配信しなかったりすることがあります。2分以内に位置情報が届かない場合、ダッシュボードはリクエストをキャンセルします。ユーザーにアプリを一度開くよう依頼してから、再度お試しください。

プライベートアプリ

ダッシュボードのこのセクションから、独自のプライベート Android アプリをアップロードしたり、デバイスに配布する Web アプリを作成したりできます。

必要な詳細は、アプリのタイトルと APK のみです。プライベートアプリは組織に対して自動的に承認され、通常 10 分以内に配布できる状態になります。1 日あたり合計 15 個のプライベートアプリをアップロードできます。Web アプリもこの合計に含まれることに注意してください。

プライベートアプリを初めて公開するときは、アプリと Google Play デベロッパー アカウントに関する Play Console からの通知を受け取るためのメールアドレスを提供する必要があります。また、管理対象 Play は組織に代わって Play デベロッパー アカウントを自動的に作成します。このアカウントの登録料を支払う必要はありません。

iframe から公開されたプライベートアプリ:

• 他のアプリと同じチェックの対象ではありません。そのため、公開アプリに変換することはできません。
• 譲渡できません。アプリの所有権を別の Play デベロッパー アカウントに譲渡することはできません。

詳細については、Managed Google Play ヘルプ をご覧ください

証明書管理

ダッシュボードには、証明書をインポート、表示、削除するための証明書セクションがあります。証明書の行をクリックすると、証明書エディターが開きます。

証明書の一覧

証明書は、並べ替え可能なページ分割されたテーブルに表示されます。一覧には、クライアント証明書と認証局 (CA) の両方が含まれます。

フィルター

ページの上部では、チップリストを使用してフィルターを有効にできます。一部のフィルターは相互に排他的です。

• すべて：すべての証明書を表示します。
• クライアント：クライアント証明書のみを表示します。
• 認証局 (CA)：CA 証明書のみを表示します。
• 検索：証明書名またはインポートしたファイル名で検索するためのテキストフィールド（ラベル名前またはファイル名）を表示します。
• ユーザーなし：どのユーザーにも関連付けられていないクライアント証明書を表示します。

テーブルの列

• 名前
• 種類
• 有効期限
• ユーザー（クライアント証明書の場合に表示）
• インポートしたファイル名
• インポート日

アクション

• 証明書を開く：行をクリックして証明書エディターを開きます。
• 証明書を削除：証明書がユーザーやポリシーに関連付けられておらず、デバイスで使用されていない場合にのみ使用できます。ライセンスが期限切れの場合も、このアクションは無効になることがあります。
• 複数行の選択：複数行の選択を有効にして、複数の証明書を一度に削除できます。削除可能な証明書のみ選択できます。
• 更新：証明書の一覧を再読み込みします。

証明書のインポート

証明書をインポートするには、証明書をインポートをクリックし、1つ以上のファイルを選択します。サポートされている形式は、インポートボタンのツールチップに表示されます。

クライアント

サポートされている形式：Base64 でエンコードされた PKCS#12（.p12 / .pfx）。

クライアント証明書は、エンタープライズネットワーク上のユーザーまたはデバイスを識別します。クライアント証明書は、特定のユーザーに関連付けることができます。

各クライアント証明書は、必要に応じて特定のユーザーに割り当てることができます。これにより、同じ Wi‑Fi EAP 設定を多数のデバイスに展開できます。これは、ポリシーのネットワーク設定セクションで、ユーザーからの EAP 認証情報オプションを使用して行うことができます。

または、ユーザーページから証明書をユーザーに割り当てることもできます。

Apple デバイスでは、証明書は Apple ポリシーのネットワークセクションからインストールされます。ここではデバイスユーザーの証明書も選択できます。Apple ポリシーのネットワークページを参照してください。

認証局 (CA)

サポートされている形式：Base64 でエンコードされた X.509（.crt / .pem / .cer / .der）。

CA 証明書は認証局を識別し、CA によって発行された証明書を信頼すべきであることをデバイスに示します。ダッシュボードは、インポートされた X.509 証明書が CA であることを検証します。

証明書エディター

証明書を開くと、エディターには主要なフィールドと読み取り専用の証明書情報パネルが表示されます。

主要なフィールド

• 名前（必須）
• ID（読み取り専用）
• 種類（読み取り専用）
• 有効期限（読み取り専用）
• インポート日（読み取り専用）
• インポートしたファイル名（読み取り専用）

ユーザーの関連付け（クライアント証明書）

クライアント証明書の場合、エディターにはユーザーフィールドが表示されます。ユーザーが割り当てられている場合、メニューからユーザーを開く、ユーザーを変更、またはユーザーの関連付けを解除できます。ユーザーが割り当てられていない場合は、ユーザーアクションボタンを使用して割り当てることができます。

証明書の削除

証明書が現在ユーザーに関連付けられているか、ポリシーで使用されている場合、削除アクションは無効になります。ライセンスが期限切れの場合も無効になることがあります。

イベントルール

イベントルールを使用すると、サポートされているデバイスイベントへの対応を自動化できます。ダッシュボード → イベントルールを開き、登録、登録解除、コンプライアンス違反、ジオフェンスイベント（Android および Apple デバイス。ジオフェンスイベントは Android デバイス、iPhone、iPad から送信されます）を監視するルールを作成して、1 つ以上のアクションを自動的にトリガーします。

イベントルールでできること

各ルールは、対象、イベント、および1つまたは2つのアクションを組み合わせます。サポートされている対象は、すべてのデバイス、特定のデバイス、およびポリシーです。

• イベント: デバイスの登録、デバイスの登録解除、デバイスの非準拠化、ジオフェンスへの進入、ジオフェンスからの退出。
• デバイスアクション: デバイスの無効化、デバイスの有効化、デバイスのロック。
• メールアクション: 管理者に通知メールを送信し、有効になっている場合は委任されたマネージャーにも送信します。

ルールには、メールアクションのみ、デバイスアクションのみ、または1つのデバイスアクションと1つのメールアクションを含めることができます。両方のアクションが構成されている場合、Cerberus Enterpriseはデバイスアクションを先に実行し、次にメールアクションを実行します。

プラットフォームと互換性のルール

使用可能なイベントとアクションは、選択した対象と、その対象に適用されるプラットフォームによって異なります。

• Androidは、登録、登録解除、非準拠、ジオフェンスイベントに対応しています。
• Appleは、登録、登録解除、非準拠、ジオフェンスイベントに対応しています。ジオフェンスイベントは、Cerberus EnterpriseアプリをインストールしたiPhoneおよびiPadから送信されます。
• デバイスを無効化は Android と Apple の両方で利用できます。監視対象の iPhone と iPad では紛失モードがオンになります。それ以外の Apple デバイスは代わりにロックされます（Mac では 6 桁の PIN で、デバイスのコマンド履歴に表示されます）。紛失モードはデバイスページからオフにします。
• デバイスを有効化は、AndroidとAppleのジオフェンスイベントでのみ提供されます。iPhoneおよびiPadではロストモードがオフになります。
• デバイスを無効化 と デバイスを有効化 は、紛失モードの Android デバイスを対象外とします。紛失モードから解除できるのは 紛失モードを無効化 コマンドのみです。ルールの他のアクションは引き続き実行され、デバイス アクションが対象外となった理由がシステム ログに記録されます。
• デバイスをロックとメールを送信は、選択したイベントが対応している場合、Android と Apple の両方で利用できます。Mac は 6 桁の PIN でロックされ、その PIN はデバイスのコマンド履歴に表示されます。
• デバイス登録解除はメールのみに対応しています。

ルール一覧

イベントルール一覧は、この機能のメイン管理ページです。ルール名、対象、イベント、アクション、プラットフォーム、有効状態、更新時刻を含む検索可能なテーブルが表示されます。

• フィルターチップを使用して、すべてのルール、有効なルール、無効なルール、テキスト検索を切り替えます。
• 更新ボタンを使用して、現在のテーブル表示を再読み込みします。
• 各行の有効スイッチを使用して、ルールを一時的に有効または無効にできます。
• 複数行選択モードを使用して、複数のルールをまとめて削除できます。
• イベントルールを作成を使用して、新しいルールのエディターを開きます。

ルールエディター

エディターは、一般、スコープ、トリガー、アクションの各セクションに分かれています。ページ下部の固定アクションバーにより、スクロール中もメインボタンが表示されたままになります。

一般

• 名前：必須、最大150文字。
• 説明：任意、最大2000文字。
• ルールを有効化：ルールを有効または無効の状態で保存します。

スコープ

スコープは、ルールが一致できるデバイスを定義します。エディターには、解決されたプラットフォームと、利用可能な場合は有効なポリシーコンテキストも表示されます。

• すべてのデバイス：エンタープライズ内のサポート対象のすべてのデバイスに一致できます。
• 特定のデバイス：選択ダイアログから管理対象デバイスを1台選択します。
• ポリシー：選択ダイアログからポリシーテンプレートを1つ選択します。

トリガー

トリガーセクションでは、選択したスコープとプラットフォームに基づいて、利用可能なイベントが自動的に絞り込まれます。

ジオフェンストリガー

ジオフェンスへの入場と退場のルールは、Android デバイス、iPhone、iPad で機能し、デバイスまたはポリシーに対するルールには有効なポリシーコンテキストが必要です。ジオフェンスの定義については、位置情報とジオフェンス（Android）と位置情報とジオフェンス（Apple）を参照してください。

• 対象がすべてのデバイスの場合、ルールは常に任意のジオフェンスに適用されます。
• 対象がデバイスまたはポリシーの場合、任意のジオフェンスまたは特定のジオフェンスを1つ選択できます。
• 特定のジオフェンスの一覧は、選択したデバイスまたはポリシーの有効なポリシーコンテキストから読み込まれます。
• iPhoneおよびiPadでジオフェンスが利用可能になる前に保存されたすべてのデバイス向けジオフェンスルールは、引き続きAndroidデバイスにのみ適用されます。Appleデバイスにも適用するには、ルールを開いて再度保存してください。

アクション

アクション セクションでは、オプションのデバイス アクションとオプションのメール通知を選択できます。サポートされていない組み合わせは UI で自動的に非表示になります。メール通知はデフォルトでオンになっており、デバイス アクションを選択した場合も同様です。デバイス アクションのみを実行する場合はオフにしてください。

• 選択したイベントとスコープで利用可能なデバイスアクションがない場合でも、メールのみのルールを保存できます。
• 選択したイベントとプラットフォームでメールが無効になっている場合、メールの切り替えは使用できません。
• アクションのないルールは無効であり、保存できません。

メール受信者

メールアクションには、常にADMINロールを持つエンタープライズユーザーが含まれます。エンタープライズがマルチテナンシーで管理されている場合は、受信者を拡張してMTマネージャーを含めることができます。

• メインマネージャーのみ：エンタープライズ管理者と主要なMTマネージャーの連絡先が含まれます。
• メインマネージャーとサブアカウントマネージャー：割り当てられたサブアカウントマネージャーも追加されます。
• プレビュー一覧には、ルールの実行時に使用される実際のメールアドレスが表示されます。
• 最終的な受信者一覧には、エンタープライズへのアクセスが許可された委任マネージャーのみが含まれます。

実行時の動作

イベントルールは、Cerberus Enterpriseがバックエンド連携からサポート対象のイベントを受信するとすぐに実行されます。無効なルールは自動的にスキップされます。

成功、スキップ、失敗した実行は、人間が読めるメッセージとともにシステム ログに記録されます。ルールまたはデバイス アクションがスキップされた場合はその理由も含まれます。

システムログでは、デバイスのステータスと位置情報のイベント、および成功またはスキップされたルールの実行が90日間保持されます。管理者の操作、サインイン、警告、エラー（失敗したルールの実行を含む）などのその他のイベントは12か月間保持されます。それより古いエントリは毎晩自動的に削除されます。

デバイス

デバイス

ダッシュボードのデバイスセクション（ダッシュボード → デバイス）には、アカウント内のすべての登録済みデバイスが一覧表示されます。このページでは、リストのフィルタリング、デバイスレコードの表示、無効化や登録解除などのデバイスアクションの実行ができます。

フィルター

ページの上部で、チップリストを使用して1つ以上のフィルターを有効にできます。選択されたチップは、現在アクティブなフィルターを表します。

フィルターは、アカウントで設定されているプラットフォームによって異なります。Apple または Android デバイスのフィルターは、そのプラットフォームが設定されている場合にのみ表示され、Android と Apple の両方のフィルターは両方が設定されている場合にのみ表示されます。

使用可能なフィルター

• すべて: すべてのデバイスを表示します。
• 登録済み: 状態 (アクティブ、紛失、無効など) に関係なく、登録済みデバイスを表示します。登録解除されたデバイスと、まだ登録されていない ADE デバイスは表示されません。ページを開くと選択されています。登録解除されたデバイスと、まだ登録されていない Apple Business から同期されたデバイスを表示するには、すべてを選択します。
• コンプライアンス違反: ポリシーに準拠していないデバイスを表示します。
• 安全でない: 安全でない状態のデバイスを表示します。
• アプリエラー: アプリがエラーフィードバックを送信したAndroidデバイス、および注意が必要な管理対象アプリ（インストール失敗、ユーザーによる拒否または削除、またはユーザーの操作待ち）があるAppleデバイスを表示します。
• 紛失: Android と Apple で紛失モードのデバイスを表示します。状態は紛失と表示されます。
• ステータス未更新: 過去72時間以内にステータスを報告していないデバイスを表示します。
• ポリシー未更新: 保留中のポリシー変更があるデバイスを表示します。
• MDM証明書の期限切れ間近: MDM証明書が期限切れになった、または14日以内に期限切れになるAppleデバイスを表示します。
• Android: Androidデバイスのみを表示します。
• Apple: Appleデバイスのみを表示します。
• iPhone、iPad、Mac: これらのAppleデバイスのみを表示します。複数選択できます。
• 会社所有: 会社所有デバイスのみを表示します。
• 個人所有: 個人所有デバイスのみを表示します。
• デバイス所有者: Androidの完全管理デバイスのみを表示します。
• プロファイル所有者: Androidのワークプロファイルデバイスのみを表示します。
• 監視対象 / 監視対象外: 監視対象のAppleデバイス、または監視対象外のAppleデバイスを表示します。
• 検索: テキスト検索フィールドを有効にします。

検索

検索フィルターを有効にすると、ID、モデル、ユーザー、シリアル、またはOSというラベルのテキストフィールドが表示されます。デバイスID、モデル、ユーザー名、シリアル番号、OSバージョンが検索されます。入力が止まると、リストが自動的に更新されます。

デバイステーブル

デバイスは、並べ替え可能なページ分割されたテーブルに表示されます。行をクリックすると、デバイスエディターが開きます。

列

• モデル: デバイスのモデル。
• ユーザー: 関連付けられたユーザー（利用可能な情報に応じて、名前、メールアドレス、またはID）。
• 状態: デバイスの状態（ツールチップに詳細が表示されます）。
• コンプライアンス: コンプライアンスステータスのインジケーター。
• セキュリティ: セキュリティ状態（ツールチップに詳細が表示されます）。Appleデバイスの場合、パスコードがない場合や、MacでFileVaultまたはセキュアブートがオフの場合はリスクあり、Macでシステム整合性保護または署名済みシステムボリュームがオフの場合は侵害されている可能性となります。デバイスページにリスクが一覧表示されます。Appleは脱獄したiPhoneとiPadをデバイス管理に報告しません。
• アプリエラー: アプリエラーのインジケーター。
• 最後のステータスレポート: 最新のステータスレポートのタイムスタンプ（利用可能な場合）。
• ポリシー: 現在割り当てられているポリシー。
• OS: オペレーティングシステムとバージョン（たとえばiOS 17.7またはAndroid 14）。並べ替えはシステム、次にバージョンの順になります。
• 所有形態: 会社所有または個人所有（ツールチップに詳細が表示されます）。
• 管理モード: 管理モード（ツールチップに詳細が表示されます）。
• ID: 内部デバイス識別子。

更新とページ分割

• 更新アクションを使用してリストを再読み込みします。
• テーブルはページ分割されています（1ページあたり10/25/50項目）。

デバイスアクション

各デバイス行では、プラットフォームとデバイスの状態に応じてアクションを実行できます。ライセンスが期限切れまたは終了している場合、一部のアクションは無効になります。

デバイスごとのアクション

• デバイスを無効化 / デバイスを有効化: サポートされている状態のAndroidデバイスで使用できます。
• デバイスの登録を解除: 管理を削除します。Androidでは、所有形態に応じてワークプロファイルを消去するか、工場出荷状態にリセットします。Appleでは、ポリシー設定を削除します。
• デバイスを削除: すでに登録解除されたデバイスで使用できます（システムからレコードを削除します）。ファームウェアパスワードがまだCerberus Enterpriseに保存されているMacは、パスワードも一緒に削除されるため、確認後にのみ削除されます。

複数行の選択

テーブルの下のアクションバーから複数行の選択を有効にできます。有効にすると、複数の行を選択し、選択したデバイスに応じて一括アクション（無効化、有効化、登録解除、または削除）を適用できます。

Appleデバイスの場合、Appleデバイスアクションメニューで、選択したすべてのデバイスのロック、再起動、シャットダウン、情報の更新、または消去を実行できます。アクションは、選択したすべてのデバイスが、そのアクションをサポートする登録済みのAppleデバイスである場合に使用できます。ロックまたは消去されたMacのPINは、コマンド送信後に一度だけ表示されます。Appleデバイスの登録を解除すると、デバイスを消去せずに登録プロファイルとポリシー設定が削除されます。

携帯プランを更新は、選択したiPhoneとiPadに対し、キャリアがEIDに紐付けたeSIMプランを、すべてのデバイスに対して1つのウィンドウで入力した単一のキャリアeSIMサーバーからダウンロードするよう要求します。他のアクションとは異なり、このアクションは対応している選択済みデバイスにのみ送信されます。Mac、User Enrollment、古いiOSのデバイス、および携帯データを一度も報告していないiPadはスキップされ、結果に一覧表示されます。SIM管理ページを参照してください。

Apple Businessの同期

Apple Management が構成され、Automated Device Enrollment トークンが存在する場合、ページに Apple Business から同期 アクションが表示され、Apple Business からデバイスをインポートできます。追加されたデバイス数がメッセージで表示されます。一部が追加された場合、まだ登録されていないデバイスは 登録済み フィルターに表示されないため、一覧は すべて フィルターに切り替わります。

デバイスを登録する

デバイスを登録を使用して登録トークンセクションを開き、新しいデバイスの登録を開始します。

ユーザー

ユーザー

ダッシュボードの ユーザー セクション (ダッシュボード → ユーザー) には、アカウントで構成されているすべてのユーザーが一覧表示されます。このページから、ユーザーの検索、ユーザーエディタを開く、新しいユーザーの作成、現在デバイスに関連付けられていないユーザーの削除を行うことができます。

検索

ページの上部には、検索 というラベルの付いた検索フィールドと、名前、ユーザー名、またはメール というプレースホルダーがあります。入力をやめると一覧が自動的に更新されます。

ユーザーテーブル

ユーザーは、並べ替え可能なページ分割されたテーブルに表示されます。行をクリックするとユーザーエディタが開きます。

列

• 名前：ユーザーの姓と名。テーブルはデフォルトで名前順に並べ替えられます。
• メール: ユーザーのメールアドレス。
• ユーザー名: ユーザー名 (多くの場合ディレクトリのユーザー名)。
• デバイス：現在ユーザーに関連付けられているデバイスの数（登録解除されたデバイスを除く）。ユーザーに割り当てられているがまだ登録されていない Apple デバイスも含まれます。
• 最終デバイスアクティビティ：ユーザーのいずれかのデバイスから送信された最新のステータスレポート。ユーザーがデバイスを持っていない場合は空です。この列で並べ替えると、非アクティブなユーザーを見つけられます。
• WiFi 証明書：ユーザーに割り当てられた Wi‑Fi 証明書の名前（アイコン付き）。ユーザーに証明書がない場合は空です。
• ID: 内部ユーザー識別子。

更新とページネーション

• 更新アクションで一覧を再読み込みします。
• テーブルはページ分割されています（1ページあたり10/25/50項目）。

ユーザーアクション

新しいユーザーを作成

新しいユーザーを作成 を使用して、ユーザー作成ダイアログを開きます。ライセンスが期限切れの場合、このアクションは無効になります。

Google Workspace から同期

アカウントで Google Workspace ディレクトリ同期が利用可能な場合、ページに Google Workspace から同期 が表示されます。同期を開始すると、リクエストの実行中に進行状況インジケーターが表示されます。

ユーザーを削除

ユーザーがどのデバイスにも関連付けられていない場合にのみ、ユーザーを削除できます (デバイス 列が 0 である必要があります)。ライセンスが期限切れまたは終了している場合、削除アクションは無効になります。

複数行の選択と一括削除

テーブルの下のアクションバーから、複数行の選択を有効にできます。このモードでは、複数のユーザーを選択して一括削除できます。

• 対象条件: デバイス = 0 のユーザーのみ削除対象として選択できます。
• すべて選択: すべて チェックボックスは、現在のページで対象となるすべての行を選択します。
• 一括削除: 行が選択されていない場合、またはライセンスが期限切れまたは終了している場合、選択したユーザーを削除 は無効になります。

Wi‑Fi 証明書と EAP

WiFi 証明書列には、現在ユーザーに割り当てられている証明書の名前が表示されます。ユーザー証明書は通常、Wi‑Fi EAP（EAP‑TLS など）の構成に使用されます。証明書の割り当てと管理については、証明書の管理を参照してください。

ユーザーエディタ

ユーザーエディタは、ユーザー行をクリックして ダッシュボード → ユーザー から利用できます。ユーザーの詳細を編集し、ユーザーごとの Wi‑Fi EAP 認証情報を構成し、ユーザーに関連付けられたデバイスを表示できます。

ユーザー詳細

上部セクションには、ユーザーの主要なフィールドが含まれています。一部のフィールドは必須で、欠落しているか無効な場合、エディタに検証エラーが表示されます。

• ID: 読み取り専用の識別子。
• 名: 必須。
• 姓: 必須。
• ユーザー名: 必須。
• メール: 必須で、有効なメールアドレスである必要があります。
• 電話番号: 任意。
• Google アカウント: 任意で、指定する場合は有効なメールアドレスである必要があります。
• Apps and Books (読み取り専用。ユーザーが個人の iPhone または iPad をユーザー登録で登録すると、Managed Apple アカウント フィールドの下に表示されます): Cerberus がユーザーの個人デバイスにアプリのライセンスを割り当てるために Managed Apple アカウント用に作成した Apps and Books ユーザーのステータス: 関連付け済み、登録済み、Apple の応答待ち、作成中、失敗、廃止。登録済みのままのユーザーは引き続きライセンスを受け取ることができます。失敗 は通常、アカウントが Apps and Books トークンと同じ Apple Business 組織にないことを意味します。

Google 認証のデフォルトポリシー

Google Workspace 環境で Google 認証が有効になっている場合、エディタに Google 認証のデフォルトポリシー が表示されることがあります。これは、このユーザーが Google 認証を使用して登録したデバイスに適用されるポリシーです。

• ポリシーを変更: ポリシー選択ダイアログを開きます。
• ポリシーを開く: ポリシーが設定されている場合、選択したポリシーをポリシーエディタで開きます。
• 新しいデフォルトポリシーを選択した後、変更を適用するにはユーザーを保存する必要があります。エディタには保存を促す通知が表示されます。

Wi‑Fi EAP 認証情報

WiFi EAP 認証情報 セクションは、割り当てられたポリシーに必要な Wi‑Fi EAP 構成が含まれている場合に、ユーザーのデバイスに自動的にインストールされるユーザーごとの認証情報を構成するために使用します。Wi‑Fi EAP 構成は、Android ポリシーの ネットワーク構成 の一部です。

クライアント証明書

ユーザーにクライアント証明書を任意で割り当てることができます。証明書が割り当てられると、クライアント証明書 フィールドに表示され、メニューからアクションを実行できます。証明書が割り当てられていない場合、フィールドには 証明書が割り当てられていません と表示され、割り当てることができます。

• 証明書を割り当て: 証明書選択ダイアログを開きます。
• 証明書を開く: 証明書エディタを開きます。
• 証明書を変更: 別のクライアント証明書を選択します。
• 証明書の関連付けを解除: ユーザーから証明書を削除します。システムは、このユーザーに関連付けられているすべてのデバイスからも証明書を削除します。

証明書のインポートと管理については、証明書の管理を参照してください。

ID、匿名 ID、パスワード

• ID: ユーザーの ID。トンネリング外部プロトコル (PEAP、EAP‑TTLS) の場合、これはトンネル内で使用されます。
• 匿名 ID: トンネリング外部プロトコルで、トンネル外に提示される ID として使用されます。指定しない場合、デフォルトは空の文字列です。
• パスワード: それを必要とする EAP 方式で使用するユーザーパスワード。指定しない場合、デバイスがユーザーにプロンプトを表示できます。表示/非表示アクションでパスワードの表示を切り替えます。

関連付けられたデバイス

関連付けられたデバイス セクションには、現在ユーザーにリンクされているデバイスの一覧が表示されます。ユーザーに 1 つ以上の関連付けられたデバイスがある場合、そのユーザーは削除できません。

保存と削除

• ユーザーを保存: フォームが有効で、保留中の変更があり、ライセンスが有効な場合にのみ有効になります。保存中は進行状況インジケーターが表示されます。
• ユーザーを削除: ユーザーがデバイスに関連付けられている場合、またはライセンスが期限切れ/終了している場合は無効になります。削除が許可されている場合、確認ダイアログが表示されます。ユーザーが登録トークンに割り当てられている場合、ダイアログには、それらのトークンで登録されたデバイスがユーザーに割り当てられなくなることが警告されます。ユーザーを削除すると、その Apps and Books ユーザーのアプリライセンスも解放され、Apple で廃止されます。

未保存の変更の警告

未保存の変更がある状態でページを離れようとすると、ダッシュボードに変更を破棄するかどうかが確認されます。

アカウント

設定

設定ページ（ダッシュボード → 設定）では、アカウントとライセンスの情報を要約し、請求の管理、プラットフォームのセットアップ（Android Management と Apple Management）、およびオプションのディレクトリ／トークン連携を行うためのアクションを提供します。

ライセンスバナー（まもなく期限切れ／期限切れ）

まもなく期限切れ、期限切れ、または終了の場合、ページの上部に目立つバナーが表示されます。サブスクリプションの状態に応じて、請求を管理アクション（Stripe カスタマーポータル）またはライセンスを購入アクションが表示されます。

ライセンスが期限切れになると、アカウントはデバイスの登録解除のみに制限されます。猶予期間を過ぎると、アカウントがキャンセルされ、デバイスが自動的に登録解除される場合があります。

Apple 証明書とトークンのバナー（まもなく期限切れ／期限切れ）

Apple Push Certificate (APNs)、Apple Business トークン（Automated Device Enrollment）、および Apps and Books トークン（旧 VPP）は毎年更新する必要があります。有効期限の30日前から、まもなく期限切れまたは期限切れの各証明書またはトークンについて、有効期限または動作を停止した機能を示すバナーがダッシュボードの上部に表示されます。更新方法アクションを実行すると、対応する更新手順を展開したこのページが開きます。

Apple デバイスの一部の MDM 証明書が 14 日以内に期限切れになり、自動更新が完了していない場合、または期限切れになっている場合にもバナーが表示されます。これらのデバイスは再登録する必要があります。デバイスを表示アクションを実行すると、MDM 証明書の期限切れフィルターを使用してデバイス一覧が開きます。

Apple Push Certificate の有効期限が切れると、Apple デバイスはコマンドやポリシーの更新を受信できなくなります。Apple Business トークンの有効期限が切れると、Automated Device Enrollment が機能しなくなります。Apps and Books トークンの有効期限が切れると、アプリを配布できなくなります。

Cerberus Enterprise アプリのバナー

Cerberus は、Apps and Books のデバイスライセンスを使用して、無料のCerberus Enterpriseアプリを iPhone と iPad（iOS および iPadOS 18.4 以降）にインストールします。アプリが Apple Business ライブラリにない場合、Apps and Books トークンが欠落または期限切れの場合、または一部の iPhone と iPad がまだアプリを待機している場合（その台数を含む）は、ダッシュボードの上部にバナーが表示されます。追加方法を実行すると、Cerberus Enterprise アプリの行で手順が表示されたこのページが開きます。設定方法（Apps and Books トークンが欠落または期限切れの場合に表示）を実行すると、Apps and Books トークンの手順が開きます。

エンタープライズ管理者アクセス

エンタープライズ管理者アクセスカードは、マルチテナンシーアカウント（例：マネージドサービスプロバイダー）によって管理されているエンタープライズにのみ表示されます。このカードでは、どの管理者アカウントがエンタープライズを操作できるかを確認し、そのアクセスを制御できます。

カードには次のものが表示されます：

• エンタープライズの所有者。所有者には常にアクセス権があり、そのアクセスを取り消すことはできません。
• マルチテナンシーアカウントの各管理者アカウント。メイン管理者またはサブアカウントとしてラベル付けされ、名前、ユーザー名、アクセス状態（許可済み、取り消し済み、または未許可）が表示されます。

アクセスの許可と取り消し

許可を使用して管理者アカウントがエンタープライズにアクセスして管理できるようにし、取り消しを使用してそのアクセスを削除します。各アクションでは確認が求められます。アクセスが取り消された管理者は、現在そのエンタープライズで作業中であっても、操作できなくなります。

• エンタープライズ管理者は、一覧に表示される任意の管理者アカウントのアクセスを許可または取り消すことができます。
• メイン管理者は、自身のアクセスが許可されている間のみ、自身のサブアカウントのアクセスを許可または取り消すことができます。自身にアクセスを許可することはできず、自身のアクセスを取り消すこともできません。

メイン管理者のアクセスを取り消すと、そのすべてのサブアカウントのアクセスも取り消されます。該当する場合、確認ダイアログにはアクセスを失うサブアカウントが一覧表示されます。

アカウント情報

アカウント情報カードには読み取り専用フィールドが表示されます：

• ユーザー名
• エンタープライズ名
• エンタープライズ ID

パスワードの変更

Google、Apple、または Microsoft でサインインしていない場合、カードにはパスワードの変更アクションも表示されます。これを実行すると、パスワード変更フローを続行するためのダイアログが開きます。

上部ツールバーのユーザーメニューから、パスワードの変更を使用していつでもパスワードを変更することもできます。これは、エンタープライズに入らずにパスワードを変更できるマルチテナンシーアカウントに便利です。

管理者がアカウントを作成した場合、またはパスワードをリセットした場合は、一時パスワードでサインインし、続行する前に新しいパスワードを選択する必要があります。

ライセンス情報

ライセンス情報カードには、現在のライセンス状態とデバイス上限が表示されます。また、営業への問い合わせ、請求の管理、またはライセンスの購入を行うためのアクションも提供します。

• ライセンス状態：有効または期限切れとして表示されます（アイコンバッジとツールチップ付き）。
• 無料トライアル：アカウントが現在トライアルモードの場合に表示されます。
• ライセンス済みデバイス: ライセンスで許可されているデバイスの最大数。もっとデバイスが必要ですか?リンクをクリックすると、サポートに連絡するメッセージが開きます。登録済みデバイスは、その状態 (アクティブ、紛失、無効など) に関係なくカウントされます。登録解除されたデバイスはカウントされず、登録するまで Apple Business から同期されたデバイスもカウントされません。上限に達すると、新しいデバイスは追加されず、その登録が削除されます。このイベントはシステム ログに記録され、アカウント管理者にメールが送信されます。Apple デバイスでは削除に約 1 分かかり、すでにカウントされているデバイスは再登録でき、Return to Service で消去されたデバイスも再登録できます。
• 次回の定期更新：自動更新される有効なサブスクリプションの場合に表示されます。それ以外の場合、カードには有効期限が表示されます。

Android Management

Android Managementカードには、エンタープライズの Android Management の状態が表示されます。Android Management がまだ設定されていない場合、カードにはAndroid Management をセットアップアクションが表示され、セットアップフローが開きます。

設定済みの状態

Android Management が設定されている場合、カードには次のものが表示されることがあります：

• 管理 ID
• バインドタイプ：エンタープライズがManaged Google Play アカウントとManaged Google ドメインのどちらを使用しているかを示します。
• Google Workspace と同期済み（ディレクトリ同期が有効な場合に表示されるバッジ）
• Google Workspace と同期（ディレクトリ同期が設定されていない場合に表示され、ページ下部の手順パネルが開きます）

Android エンタープライズのバインド

Android Management は、Managed Google Play アカウントまたはManaged Google ドメインのいずれかに関連付けることができます。バインドタイプフィールドには、現在エンタープライズに関連付けられているオプションが表示されます。

Managed Google Play アカウントは、軽量な Android Enterprise アカウントです。Cerberus Enterprise を通じて Android デバイスとアプリを管理するのに適していますが、Google Workspace や Cloud Identity の組織とは別のものです。Managed Google ドメインで利用できる中央の Google 管理エクスペリエンスは提供されません。

Managed Google ドメインは、Android Enterprise を組織の Google ID に関連付けます。IT 管理者は、Cerberus Enterprise で Android アプリとポリシーを引き続き管理しながら、Google Admin Console から Google Workspace、Cloud Identity、Gemini などの Google 製品を管理できます。これにより、Android 管理へのより合理化された統合的なアプローチが実現し、Google Workspace ベースの登録およびユーザー管理のワークフローが可能になります。

エンタープライズが Managed Google Play アカウントを使用している場合、設定カードにはManaged Google ドメインへのアップグレードと情報アクションが表示されます。アップグレードを実行すると、既存の Android エンタープライズを Managed Google ドメインに移行するための Google のガイド付きプロセスが開きます。

アップグレード中、Google は仕事用メールアドレスに関連付けられた既存の Google Admin アカウントをバインドするか、新しい無料の Google Admin アカウントを自動的に作成できます。Google のガイド付きセットアップを続行するには、name@enterprise.comのような仕事用メールアドレスを使用してください。

Apple Device Management

Apple Device Managementカードには、エンタープライズの Apple デバイス管理（MDM）の状態が表示されます。Apple 管理がまだ設定されていない場合、カードにはApple 管理をセットアップアクションが表示され、セットアップフローが開きます。

設定済みの状態

Apple 管理が設定されている場合、カードには次のものが表示されることがあります：

• Apple ID
• Apple Push Certificate の有効期限：有効期限とアイコンバッジが表示されます。証明書がまもなく期限切れまたは期限切れの場合、バッジをクリックすると更新手順が開きます。
• Apple Business トークンの有効期限：Automated Device Enrollment に使用される Apple Business トークンの有効期限が表示されます（アクションが必要な場合はクリック可能なバッジ付き）。
• Apps and Books トークン：Apple Apps and Books コンテンツトークン（旧 Volume Purchase Program (VPP)）の組織名と有効期限が表示されます（アクションが必要な場合はクリック可能なバッジ付き）。
• Cerberus Enterprise アプリ：Apps and Books トークンカードで、アプリが Apple Business ライブラリにあるかどうか（ライブラリにあり（無制限のライセンス）、ライブラリにない、または利用不可：Apps and Books トークンの有効期限が切れています）と、アプリを待機している iPhone と iPad の台数を表示します。アプリがない場合、行には追加する手順が一覧表示されます（Apple Business でApps & Services → Apps & Books → App Storeを開き、「Cerberus Enterprise」を検索して表示をクリックし、次に追加をクリックし、Organizational Unitsで現在および将来のすべてを選択し、追加をクリックして、確認で確定します）。再確認を実行するとライブラリが再度読み取られ（最大5分ごと）、アプリを待機しているデバイスがアプリを取得します。
• Apple Business：Apple Business ポータルへのリンク。Apple Business トークンが存在する場合に表示されます。
• Apple Business と同期およびApple Apps and Books と同期：トークンが欠落している場合に表示されます。

Apple 管理には APNs 証明書のセットアップが必要です。必要な場合は、Apple 管理のセットアップ（APNs）を参照してください。

環境設定とプライバシー

環境設定とプライバシーカードには、マーケティング設定のトグルと、利用規約およびプライバシーポリシーへのリンクが含まれています。変更を適用するには環境設定を保存を使用します（保存中は進行状況インジケーターが表示されます）。

フィードバックを送信

アカウントでサブスクリプションが有効になっている場合、ページにはフィードバックを送信カードが表示され、機能リクエストを行うことや外部のレビュープラットフォームへのリンクが含まれることがあります。

インラインのセットアップと更新の手順

ページの下部では、現在の状態（たとえば証明書やトークンが欠落しているか、まもなく期限切れの場合）に応じて、ダッシュボードに展開可能な手順パネルが表示されることがあります。

Apple Push Certificate (APNs) の更新

APNs 証明書がまもなく期限切れまたは期限切れの場合、ページには CSR をダウンロードし、Apple のポータルで証明書を更新し、新しい証明書を Cerberus Enterprise にアップロードする手順を示すパネルが表示されます。

証明書またはトークンがまだ有効な間は、その横のアップロードボタンで同じ手順が開きます。新しい Apple Business トークンまたは Apps and Books トークンをダウンロードしたとき（古いトークンが使えなくなるため）、または Apple Push Certificate を早めに更新するときに使用します。必ず現在の Apple Push Certificate を更新してください。Apple デバイスが登録されている間は、別の証明書は拒否されます。登録済みデバイスに到達できなくなるためです。

Apple Business と同期

Apple Business トークンが欠落、期限切れ、またはまもなく期限切れの場合、ページには Apple Business からトークンをダウンロードして Cerberus Enterprise にアップロードする手順を示すパネルが表示されます。新規接続の場合は、Cerberus Enterprise で公開鍵証明書を生成し、Apple Business でDevices → Management Servicesを開き、Device Management Servicesの下のAddをクリックし、Connect external device managementを選択してContinueをクリックします。Service Name（例：Cerberus Enterprise）を入力し、Upload Certificateで証明書をアップロードし、Nextをクリックして、Download Service TokenとDoneを実行します。トークンを更新するには、Management Servicesで Cerberus Enterprise サービスを選択し、右上の…（その他）ボタンをクリックしてDownload Tokenを選択します。

デバイスは、Apple Business で Cerberus Enterprise のサービスに割り当てられている場合にのみ、Cerberus Enterprise に登録されます。Devices → Management Services → Default Device Assignmentを開いて新しいデバイスを自動的に割り当てる（デバイスタイプごと）か、Devices → Inventoryを開いてデバイスを選択し、Assign Device Managementをクリックします。

Apple Apps and Books (VPP) と同期

Apps and Books トークンが欠落、期限切れ、またはまもなく期限切れの場合、ページには Apple Business からコンテンツトークンをダウンロードして Cerberus Enterprise にアップロードする手順を示すパネルが表示されます。Apple Business で右上の組織メニュー（組織名）→ Settings → Organizational Unitsを開き、組織単位（デフォルトの単位は組織）を選択して、Content TokenセクションのDownloadをクリックします。トークンは1年後に期限切れになるか、ダウンロードした Apple Account のパスワードが変更されると、それより早く期限切れになります。

Apps and Books セットアップの最後の手順では、無料の Cerberus Enterprise アプリを Apple Business ライブラリに追加し、Cerberus が iPhone と iPad にインストールできるようにします。

Google Workspace と同期

Google Workspace のディレクトリ同期が設定されていない場合、ページには統合について説明し、承認ボタンを提供するパネルが表示されます。また、必要な Google OAuth スコープである https://www.googleapis.com/auth/admin.directory.user.readonlyも一覧表示されます。

Android の初期セットアップについては、Android Management のセットアップを参照してください。

マルチテナンシー

マルチテナンシーの概要

マルチテナンシーセクションは、単一のログインから複数の顧客エンタープライズを管理するMSPおよびエンタープライズマネージャーアカウントで利用できます。この章では、エンタープライズスコープモデル、エンタープライズの切り替え、管理対象エンタープライズの管理、サブアカウントについて説明します。

マルチテナンシーアカウントを申請するには、enterprise@cerberusapp.comまでご連絡ください。

主要な概念

• メインマルチテナンシーアカウント：グローバルなマルチテナンシーワークスペースにアクセスできる主要なマネージャーアカウント。
• サブアカウント：メインアカウントによって作成された委任マネージャーアカウントで、エンタープライズの割り当てを選択できます。
• 選択されたエンタープライズコンテキスト：日々の運用のためにダッシュボードで現在開いているアクティブなエンタープライズ。
• 委任：エンタープライズの所有者が付与する権限で、マネージャーアカウントがそのエンタープライズに参加して管理できるようにします。

ナビゲーションモデル

エンタープライズコンテキストが選択されていない場合、サイドナビゲーションにはエンタープライズなどのマルチテナンシー領域が表示され、メインアカウントではサブアカウントも表示されます。エンタープライズに参加すると、ダッシュボードは標準の単一エンタープライズナビゲーション（ホーム、ユーザー、デバイス、登録、ポリシーなど）に切り替わります。

所有権と委任

各管理対象エンタープライズには所有者がいます。所有者はそのエンタープライズに常にアクセスできます。所有者以外のマネージャーアカウントは、委任が許可された場合にのみエンタープライズにアクセスできます。

• エンタープライズに独自の管理者ユーザーがいる場合、その管理者が所有者となり、どのマネージャーアカウントがエンタープライズにアクセスできるかを決定します。
• エンタープライズに独自の管理者ユーザーがいない場合、メインのマルチテナンシーアカウントが所有者になります。
• 顧客管理者が所有するエンタープライズでは、メインアカウントは自身のアクセスが許可されている間、自身のサブアカウントのアクセスを許可または取り消すことができますが、自身にアクセスを許可することはできません。
• エンタープライズ管理者がメインアカウントのアクセスを取り消すと、そのサブアカウントのアクセスも取り消されます。
• サブアカウントの割り当てからエンタープライズを削除すると、そのサブアカウントのエンタープライズへのアクセスも削除されます。後で再度割り当てる場合は、アクセスを再度許可する必要があります。

エンタープライズ管理者は、設定ページのエンタープライズマネージャーアクセスカードからアクセスを管理します。

所有者と委任の状態はエンタープライズカードに直接表示され、エンタープライズに参加する前にアクセススコープを明確にします。

ライセンスと請求のアクション

マルチテナンシービューには、ライセンスステータス、デバイス上限、エンタープライズの請求アクションが表示されます。エンタープライズのサブスクリプション状態と権限に応じて、カードには請求を管理またはライセンスを購入が表示されます。

マルチテナンシーアカウントで作成されたエンタープライズでは、ライセンスはマルチテナンシーユーザーによって管理されます。メインアカウントは常にライセンスを管理できますが、サブアカウントは、メインアカウントがそのサブアカウントに対してライセンスの管理を許可を有効にした場合にのみライセンスを管理できます。

この章のページ

• 管理対象エンタープライズ：検索、フィルター、カードの詳細、エンタープライズの作成。
• エンタープライズの切り替え：上部スイッチャーの動作とスコープの遷移。
• サブアカウント：委任されたオペレーター、割り当て、認証情報の管理。

管理対象エンタープライズ

エンタープライズページ（ダッシュボード → エンタープライズ）は、管理対象エンタープライズへのアクセスを制御する中心的な場所です。マルチテナンシーアカウントで表示できるすべてのエンタープライズが一覧表示され、フィルタリング、所有権／委任の確認、エンタープライズコンテキストへの参加、新しい管理対象エンタープライズの作成（メインアカウントのみ）が可能です。

検索とフィルター

• エンタープライズを検索：エンタープライズ名またはエンタープライズIDでフィルタリングします。
• 委任：すべて、委任済み、または未委任。
• ライセンスステータス：すべて、有効、まもなく期限切れ、期限切れ、または終了。

エンタープライズカード

各エンタープライズカードには、主要な管理メタデータが表示されます：

• ライセンスステータス（アイコンバッジと状況に応じたツールチップ付き）。
• ライセンス済みデバイス（エンタープライズのデバイス上限）。
• 次回の更新予定日または有効期限日（サブスクリプションの状態による）。
• 委任の状態（所有者、許可済み、または未許可）。
• 所有者の表示名とユーザー名。

最近選択したエンタープライズ

最近アクセスしたエンタープライズは最近選択した項目セクションに固定され、繰り返しのコンテキスト切り替えを迅速化します。

エンタープライズのアクション

• エンタープライズに参加：委任／所有権によってアクセスが許可されている場合、選択したエンタープライズコンテキストを開きます。
• 請求を管理：利用可能で許可されている場合、エンタープライズの請求管理を開きます。
• ライセンスを購入：請求が有効でない場合、エンタープライズの購入フローを開きます。

ライセンスを管理できるユーザー

マルチテナンシーアカウントで作成されたエンタープライズでは、ライセンス管理はマルチテナンシーユーザーによって制御されます。メインアカウントは、これらのエンタープライズの請求およびライセンスのアクションを常に管理できます。

サブアカウントが請求およびライセンスのアクションを管理できるのは、メインアカウントがライセンスの管理を許可権限をサブアカウントページで付与した場合のみです。

管理対象エンタープライズを作成

メインのマルチテナンシーアカウントは、下部のアクション領域から管理対象エンタープライズを作成を展開できます。

• エンタープライズ名は必須です。
• エンタープライズごとの管理者ユーザーを作成は所有モードを制御します。
• 有効にすると、管理者ユーザー名（メール形式）と管理者名が必須になります。
• 作成前に、確認ダイアログに操作の概要が表示され、該当する場合は、一時的な認証情報が新しい管理者ユーザーにメールで送信されることが警告されます。

新しい管理者ユーザーは、一時パスワードで初めてサインインするときに新しいパスワードを選択する必要があります。

所有モード

• エンタープライズごとの管理者が有効：新しい管理者ユーザーがエンタープライズを所有し、管理をマルチテナンシーアカウントに委任できます。
• エンタープライズごとの管理者が無効：エンタープライズはマルチテナンシーアカウントによって直接所有されます。

エンタープライズのクォータ

アカウントが設定されたエンタープライズクォータに達すると、作成がブロックされ、フォームに現在のエンタープライズ数と最大数を含むサポート連絡先メッセージが表示されます。

エンタープライズクォータに達すると、上限が引き上げられるまで追加の管理対象エンタープライズを作成できません。

エンタープライズの切り替え

上部ツールバーのエンタープライズスイッチャーを使用すると、マルチテナンシーユーザーはログアウトせずに委任されたエンタープライズ間を移動できます。少なくとも1つのエンタープライズコンテキストを選択できる場合に利用できます。

スイッチャーの動作

• トリガーには、現在のエンタープライズ名（名前がない場合はエンタープライズID）が表示されます。
• メニューには、委任された／アクセス可能なエンタープライズが一覧表示され、現在のエンタープライズが選択済みとして示されます。
• 切り替え中は、同時にスコープが変更されないように、スイッチャーのアクションが一時的に無効になります。

エンタープライズを終了

スイッチャーメニューにはエンタープライズを終了が含まれており、現在のエンタープライズコンテキストをクリアして、グローバルなマルチテナンシーワークスペースに戻ります。

コンテキストリセットのルール

エンタープライズを切り替えるか終了すると、ダッシュボードのスコープがリセットされます。エンタープライズ固有のページとデータは、新しく選択されたコンテキストで更新され、メニューの表示は現在エンタープライズが選択されているかどうかに応じて変わります。

選択したエンタープライズは、開いているすべてのブラウザタブに適用されます。1つのタブでエンタープライズを切り替えたり終了したりすると、他のタブは次の操作時にダッシュボードを再読み込みするため、表示されているものとは異なるエンタープライズで操作されることはありません。

スイッチャーは迅速な運用コンテキストの変更に使用できますが、ポリシーの更新やデバイスコマンドなどの重要な操作を実行する前に、選択したエンタープライズ名を確認してください。

サブアカウント

サブアカウントページ（ダッシュボード → サブアカウント）は、メインのマルチテナンシーアカウントで利用できます。委任されたマネージャーユーザーの作成、管理対象エンタープライズの割り当て、請求権限の制御、サブアカウントの認証情報の管理が可能です。

サブアカウント一覧

各サブアカウントカードには、IDと管理コントロールが表示されます：

• 名前とユーザー名／メール。
• 管理対象エンタープライズの複数選択割り当て。
• ライセンスの管理を許可権限の切り替え。
• パスワードをリセットおよび削除のアクション。

管理対象エンタープライズの割り当て

エンタープライズの割り当ては、管理対象エンタープライズの複数選択フィールドで編集します。変更後にセレクターを閉じると、ダッシュボードは更新を保存する前に確認を求めます。

エンタープライズを割り当てるとサブアカウントで利用可能になりますが、サブアカウントがエンタープライズに参加できるのはアクセスが許可された後です。割り当てからエンタープライズを削除すると、そのサブアカウントのエンタープライズへのアクセスも削除されます。

ライセンス管理の権限

ライセンスの管理を許可の切り替えにより、サブアカウントがエンタープライズの請求／ライセンス管理アクションにアクセスできるかどうかが制御されます。

マルチテナンシーアカウントで作成されたエンタープライズでは、メインアカウントは常にライセンス管理権限を持ちます。サブアカウントは、メインアカウントがこの切り替えを有効にした場合にのみライセンス管理権限を取得します。

パスワードのリセット

パスワードをリセットは、新しい一時パスワードを生成し、確認後にサブアカウントにメールで送信します。

一時パスワードでサインインする場合、リセット後でも新しく作成されたサブアカウントでも、ユーザーは続行する前に新しいパスワードを選択する必要があります。

サブアカウントを削除

サブアカウントを削除するには確認が必要で、そのアカウントの委任アクセスが完全に削除されます。

サブアカウントを作成

下部のアクションパネルサブアカウントを作成を使用して、新しい委任マネージャーを追加します。

• メール：必須で、メール形式として検証されます。
• 名前：必須の表示名。
• ライセンスの管理を許可：任意の初期請求権限。
• 作成前に、確認ダイアログで、指定したアドレスに一時パスワードのメールが送信されることが警告されます。

インサイト

MDMがビジネスにどのように役立つかを詳しく解説した記事を紹介します：

キオスクモードとは？Android & Appleデバイスをビジネス向けにロックダウンするガイド

キオスクモードは、標準的なスマートフォンやタブレットを目的に特化したビジネスツールに変えます。Cerberus Enterpriseは、小売POS、来客向けチェックイン、フリートナビゲーションなどのユースケースで、デバイスを1つのアプリまたは承認済みの少数のアプリにロックできるよう支援し、こうした専用デバイスのセキュリティ確保、サポート、大規模な管理を容易にします。

適切なMDMソリューションの選び方：中小企業向け7項目チェックリスト

購入プロセスの後半でMDMを選ぶ場合でも、比較を実用的に保てば簡単です。このチェックリストは、実際の導入で最も重要となることが多い7つの基準（セキュリティ、AndroidとAppleのサポート、少人数チームでの使いやすさ、拡張性、プライバシーの境界、総所有コスト、日々のサポート体制）でベンダーを評価するのに役立ちます。

安全で集中できるデジタル教室の実現：K-12学校向けMDMガイド

学校管理のデバイスは、学習に集中できる状態を保つことで最も効果を発揮します。Cerberus Enterpriseは、管理対象アプリ、キオスク形式の制限、共有・貸出デバイスの標準化された設定、損失や逸脱、授業の中断を減らすリモート復旧アクションを通じて、K-12組織が生徒のデバイスを学習に集中させられるよう支援します。

フィールド技術者を装備する：MDMが現場の効率とセキュリティを向上させる方法

フィールド技術者は、現場での作業中にスケジュール、サービス記録、技術資料、顧客履歴、ジョブの更新をモバイルデバイスに依存しています。Cerberus Enterpriseは、管理対象アプリ、標準化されたデバイスモデル、リモートサポートコマンド、位置情報を活用した可視性を通じて、こうしたデバイスを常に準備された状態に保ち、現場のセキュリティを強化しながら派遣調整を改善できます。

地図の先へ：MDMで実現するよりスマートなフリート管理とドライバーの安全

フリート運用は、ナビゲーション、派遣、メッセージング、記録、現場実行のためにモバイルデバイスに依存しています。Cerberus Enterpriseは、管理対象アプリ、キオスクおよび専用デバイスの制御、安全な通信ポリシー、リモートトラブルシューティング、位置情報を活用した監督を通じて、こうしたデバイスを承認済みのワークフローに集中させ、ダウンタイムを削減し、より安全な運転業務を支援します。

ジオフェンス、ライブトラッキング、位置情報マップがエンタープライズ運用を改善する方法

Cerberus Enterpriseの位置情報対応機能は、組織が単なるデバイスの可視化から、より実用的な運用管理へと移行するのを支援します。定期的な位置情報レポート、ライブトラッキング、ジオフェンスの遷移、インタラクティブマップは、物流、フィールドサービス、医療、小売、建設など、作業がどこで行われているか、デバイスがいつ重要エリアに出入りするかをより深く把握する必要がある分散チームを支援できます。

マルチテナンシーがMSPのMDMサービス拡大と新たな収益源の創出を支援する方法

マルチテナンシーにより、MSP、リセラー、複数企業を抱える組織は、各環境を分離したまま、単一のCerberus Enterpriseアカウントから複数のエンタープライズを管理できます。このモデルは運用上の摩擦を減らし、サービスの拡張性を高め、サブアカウントを通じた委任アクセスと明示的な顧客管理の下での管理を可能にします。また、ソフトウェアライセンスをオンボーディング、サポート、コンプライアンス、管理対象モビリティサービスと組み合わせたいプロバイダーにとって、より強力なビジネス機会を創出します。

MDMソリューションによるエンタープライズ運用性の向上

モバイルデバイス管理（MDM）は、会社のデバイスの制御を一元化し、登録、構成、保守を簡素化します。自動プロビジョニングと一括操作により、手作業のIT作業を削減し、すべてのデバイスで一貫したポリシーを確保します。暗号化、コンプライアンス監視、リモートワイプなどのセキュリティ機能が企業データを保護します。全体として、MDMはサポートコストと運用の複雑さを軽減しながら生産性を向上させます。

Android Enterprise管理における高度なセキュリティ

Android Enterpriseは、ワークプロファイルを使用して、同じデバイス上の個人コンテンツから企業アプリとデータを分離します。このコンテナ化により、IT管理者が個別に管理する暗号化された環境が作成されます。セキュリティポリシーは、個人アプリに影響を与えずに企業データの共有を制御できます。このアーキテクチャは、個人アプリが侵害された場合でもビジネスデータを保護します。

Apple iPhoneのMDMと自動登録

AppleのMDMフレームワークにより、エンタープライズ環境でiPhoneを一元管理できます。Apple Business Managerと組み合わせると、デバイスは初回アクティベーション時に自動的に登録および構成されます。管理者は企業アプリをサイレントに展開・構成し、セキュリティ設定を適用し、コンプライアンスを監視できます。この自動化により、一貫したデバイス構成が確保され、セットアップエラーが減少します。

モバイルデバイス管理を理解する

モバイルデバイス管理（MDM）は、企業システムにアクセスするモバイルデバイスを監視、保護、制御するための一元化されたプラットフォームを提供します。主な機能には、セキュリティポリシーの適用、アプリケーションの管理、紛失したデバイスのリモートロックやワイプがあります。MDMはデバイスのコンプライアンスを維持しながら企業データを保護します。あらゆる規模の組織が、増え続けるモバイルワークフォースを安全に管理できるようにします。

エンタープライズデバイスの展開モデル

組織は、BYOD、CYOD、COPE、COBO、COSUなど、複数のデバイス所有モデルを採用できます。各モデルは、コスト、ユーザーの柔軟性、セキュリティ制御のバランスが異なります。BYODはユーザーの利便性を優先し、COBOとCOSUは企業の制御とセキュリティを最大化します。適切なモデルの選択は、規制要件、ワークフォースのニーズ、IT管理能力によって異なります。

MDM vs. EMM vs. UEM

MDMは、ポリシーの適用、構成の制御、リモート管理を通じてモバイルデバイスの管理と保護に重点を置きます。EMMはこの範囲をアプリケーションとコンテンツの管理に拡張し、UEMはノートPCやデスクトップを含むすべてのエンドポイントの管理を目指します。多くの中小企業にとって、完全なEMMまたはUEMスイートは不要な複雑さを加えます。実際には、堅牢なMDM機能でモバイル管理要件のほとんどを満たせることがよくあります。

個人のスマートフォンにおけるMDMと従業員のプライバシー

最新のMDMシステムは、コンテナ化を使用して、従業員所有デバイス上の仕事と個人データを分離します。雇用主は、企業アプリやデバイスのコンプライアンス情報を含む仕事環境のみを管理および監視できます。写真、メッセージ、閲覧履歴などの個人データは、会社からアクセスできません。この技術的な分離により、従業員のプライバシーを保ちながら安全なBYODプログラムを実現できます。

MDMのROIとビジネス価値

MDMは、単なるセキュリティ費用ではなく、戦略的投資として評価すべきです。デバイス紛失の削減、ITサポートコストの低減、運用効率の向上を通じて財務的なリターンを生み出します。自動化管理は従業員の生産性を高め、ダウンタイムを削減します。さらに、セキュリティの強化により、データ侵害のリスクと財務的影響が軽減されます。

HIPAA準拠のデバイス管理

医療機関は、HIPAAのセキュリティ要件に従って電子患者データを保護する必要があります。MDMは、暗号化、認証制御、安全なデータ送信、詳細な監査ログの適用を支援します。また、医療システムにアクセスするデバイスのリモートワイプと一元化されたポリシー適用も可能にします。これらの制御により、医療環境でのモバイルワークフローを実現しながらコンプライアンスリスクを低減できます。

小売業務とセキュリティのためのMDM

小売組織は、POSシステム、在庫管理、店舗内業務にモバイルデバイスを依存しています。MDMは、これらのデバイスが安全で最新の状態に保たれ、PCI-DSSなどの標準に準拠していることを保証します。一元管理によりダウンタイムが減り、複数拠点へのデバイス展開が簡素化されます。その結果、運用効率が向上し、決済関連のセキュリティインシデントのリスクが低減します。