アプリとプロファイル

このセクションでは、Appleデバイス向けの管理対象アプリケーションとアカウントペイロードを構成する方法について説明します。

アプリ管理

アプリ管理パネルには、アプリ関連の一般的な制限と管理対象アプリの一覧の両方が含まれます。

一般的なアプリの制限

• Appクリップを許可
• アプリのインストールを許可
• アプリの削除を許可
• アプリの自動ダウンロードを許可
• アプリの非表示を許可
• アプリのロックを許可
• アプリ内課金を許可
• デフォルト ブラウザの変更を許可
• エンタープライズ アプリの信頼を許可

管理対象アプリ

アプリケーションを追加を使用して、ポリシーにアプリを追加します。各管理対象アプリはカードとして表示されます。カードを展開して設定を編集し、削除アクションでアプリを削除できます。

• App Store ID：管理対象アプリのApp Store識別子。
• バンドルID：アプリのバンドル識別子。
• インストール動作：アプリをインストールしたままにする必要があるか、ユーザーがインストール／削除できるかを制御します。
• 割り当て：Cerberusがデバイスごとに選択するライセンスの種類。会社のデバイスではデバイスライセンス、個人のiPhoneおよびiPad（ユーザー登録）ではManaged Apple Accountのユーザーライセンス。このフィールドは変更できません。
• VPPライセンス：App Storeを通じたインストールに使用されるVPPライセンスの種類。

アプリ選択リストには、各アプリの利用可能なライセンス数と合計ライセンス数が表示されます。無料アプリは無制限と表示されます。Appleは無料アプリに無制限のライセンスを付与します。アプリは1つのポリシーに1回だけ追加できます。すでにポリシーにあるアプリと同じApp Store IDまたはバンドルIDを持つアプリは拒否され、同じアプリを2回リストしたポリシーも保存時に拒否されます。

アプリ選択リストには、Apple Businessライブラリのアプリが表示されます。アプリを追加するには、Apple BusinessでApps & Services → Apps & Books → App Storeを開き、アプリを検索してViewをクリックします。無料アプリの場合は、Addをクリックし、All current and future（またはApps and Booksトークンの組織単位）をOrganizational Unitsで選択し、AddをクリックしてからReviewをクリックして確認します。有料アプリの場合は、その価格をクリックし、License TypeとしてManaged Licensesを選択し（引換コードはCerberus Enterpriseでは使用できません）、Apps and BooksトークンのOrganizational Unitを選択し、Licensesの数（注文ごとに最大1,000）を入力してから、Reviewをクリックして購入します。購入前にSettings → Payments & Billing → Apps & Services → Payment Methodsで支払い方法を設定しておく必要があります。その後、アプリがアプリ選択リストに表示されます。

個人デバイスのアプリ（ユーザー登録）

ユーザー登録で登録された個人のiPhoneおよびiPadにはシリアル番号がないため、デバイスでサインインしているManaged Apple Accountのユーザーライセンスを使用して、ポリシーのApp Storeアプリを受け取ります。CerberusはアカウントをApps and Booksに登録し、無料アプリを含めてライセンスを自動的に割り当てます。Managed Apple AccountとApps and Booksトークンは、同じApple Business組織に属している必要があります。有料アプリはアカウントごとに1つのライセンスを使用し、そのアカウントのすべての個人デバイスで共有されます。

• ユーザーライセンスを待機中：アプリは、Appleがライセンスを確認した後にのみデバイスに送信されます。通常は数分以内です。デバイスのアプリケーションパネルに理由が表示されます。
• ユーザーライセンスに失敗しました：Appleがライセンスを割り当てられませんでした。たとえば、有料アプリに残りのライセンスがない場合です。Apple Businessでライセンスを追加してから再リクエストを使用してください。Cerberusも毎日自動的に再試行します。
• インストールプロンプト：iOSは各アプリをインストールする前にユーザーに確認します。ユーザーがキャンセルすると、アプリはユーザーによるインストールの承認待ちと表示されます。再リクエストでプロンプトが再度表示されます。
• 解放：ポリシーからアプリを削除するか、アカウントの最後の個人デバイスの登録を解除すると、同じアカウントの別の登録済みデバイスがまだ必要としていない限り、アプリが削除され、ライセンスが解放されます。

詳細については、Appleアカウント駆動型登録を参照してください。

管理対象構成

管理対象構成は、アプリのベンダーが文書化した方法で、アプリに設定（サーバーアドレスやアカウント名など）を提供します。ポリシーでアプリを開き、管理対象構成を追加をクリックします。これはiOSまたはiPadOS 18.4以降のiPhoneおよびiPad、およびmacOS 27以降のMacに送信されます。Apple Vision Proにはまだ送信されません。アプリは管理対象構成をサポートしている必要があります。読み取らないアプリは無視します。アプリパネルには、アプリ名の横にキーの数が表示されます。

• キー：各行にはキー、種類、値があります。種類は、テキスト、整数、小数、ブール値、日付、テキストリスト、整数リストです。キーは大文字と小文字を区別し、一意である必要があります。キーを追加で行を追加し、構成を削除ですべてのキーを削除します。
• 変数：テキストおよびテキストリストの値には、$EMAIL$、$USERNAME$、$FULLNAME$、$SERIAL$、$UDID$を含めることができ、各デバイスとそのユーザーの値に置き換えられます。値のない変数（たとえば、ユーザーのいないデバイスの$EMAIL$）は空のままになり、システムログにその旨が記録されます。ユーザーの詳細が変更されると、デバイスは新しい値を取得します。Google Directoryから同期されたユーザーの場合、値は次回のポリシーまたはデバイスの変更時に更新されます。
• 構成をインポート：アプリのベンダーがMDM向けに公開しているファイルを開くか貼り付けてから、読み取りをクリックします。AppConfigスペックファイル（specfile.xml）には、アプリがサポートするすべてのキーと、その説明、種類、デフォルト値、許可される値が一覧表示されます。インポートするキーを選択し（デフォルト値のあるキーはすでに選択されています）、インポート後に残りを入力します。スペックファイルが別のアプリ用の場合は警告が表示されます。プロパティリスト（プロパティリスト全体、または<dict>のみ）はそのままインポートされます。次に、現在のキーを置き換えるか追加するかを選択します。ネストされた辞書、データ値、混在した種類や不明な種類のリストはサポートされておらず、スキップされたものとして一覧表示されます。Appleはアプリの構成キーを公開していないため、ベンダーのドキュメントにファイルがない場合はベンダーに問い合わせてください。plistとしてコピーは、変数が置き換えられる前の、デバイスが受け取る状態の構成をコピーします。
• 制限：アプリごとに最大200キー、キーは最大255文字、テキスト値は最大4,096文字、リストは最大200項目で各項目最大1,024文字、日付は1970年から9999年まで、アプリごとに合計64 KBまでです。
• パスワードには使用しないでください：構成はそれが構築されたデバイスにのみ送信され、ログにはキー名と種類のみが表示されますが、ダッシュボードの管理者は値を読み取ることができ、デバイスが構成をダウンロードするアドレスは値によって変わるため、推測しやすい値（ブール値や小さな数値）はそこから推測される可能性があります。管理対象構成にはパスワードやその他の機密情報を入れないでください。
• ステータス：デバイスがアプリの構成を受け入れなかったことを報告すると、デバイスのアプリケーションパネルのアプリの横に構成が受け入れられませんでしたが表示されます。これによってデバイスが非準拠になることはありません。デバイスがダウンロードできない構成は、非準拠になります。

アプリのオプション

ポリシーの各アプリ（App Storeアプリとカスタムアプリ）には、これらのオプションがあります。デバイスのデフォルトは、選択をデバイスに任せます。オプションをサポートしていないデバイスには適用されませんが、アプリは引き続きインストールされます。

• 自動更新：App Store設定、常にまたはなし。iOS、iPadOS、macOS、visionOS 26以降。カスタムアプリでは、App Store設定は「なし」と同じように動作します。
• モバイルデータ通信でのダウンロード：自動インストールと更新のためのApp Store設定、常にまたはなし。iOSまたはiPadOS 26以降の監視対象のiPhoneおよびiPadのみ。
• アプリデータをバックアップ：アプリデータをデバイスのバックアップに含めるかどうか。Macでは利用できません。
• ユーザーがアプリを非表示にできるとユーザーがアプリをロックできる：iOSおよびiPadOS 18.1以降、監視対象デバイスで適用されます。ロックを許可しない場合は、非表示もできなくなります。アプリの非表示を許可とアプリのロックを許可の制限は、すべてのアプリに適用されます。
• お客様のPINが必要なTap to Pay取引後にデバイスをロック：iPhoneのみ。
• 関連ドメイン：アプリが関連付けられているドメイン（ユニバーサルリンクやパスワードの自動入力など）で、最大50個です。applinks:、ワイルドカード、?mode=を付けずに、www.example.comのようなプレーンなホスト名を入力してください。Macでは利用できません。
• ドメインを直接検証：デバイスは、Appleのサーバーを介さずに、ドメインのサイトアソシエーションファイルを直接確認します。インターネットから到達できない内部ドメインにのみ有効にしてください。
• 削除：必須としてインストールされたアプリは、ユーザーが削除できません。

Mac App Storeのアプリ

アプリ選択リストには、各アプリのプラットフォーム（iPhone/iPad、Mac、Apple TV、Vision）が表示されます。Mac専用のアプリはMacアイコンが表示されます。Mac専用のアプリは、追加するとMacに適用されます。Mac版のないApp StoreアプリはMacに送信されません。ポリシーでは適用先の下に"このアプリにはMac版がないため、Macには送信されません"と表示されます。MacはApp Store IDでApp Storeアプリを取得するため、MacでバンドルIDが異なるアプリも正しくインストールされます。

Cerberus Enterpriseアプリ

Cerberus は Cerberus Enterprise アプリを iOS または iPadOS 18.4 以降 のすべての iPhone と iPad に、ポリシーの有無にかかわらずインストールします。このアプリはデバイスの位置情報を共有し、通知とライブ トラッキング要求を受信します。必須 としてインストールされ、Apps and Books のデバイス ライセンス (個人デバイスではユーザー ライセンス) が使用されるため、ユーザーは削除できません。

• 初回セットアップ：無料アプリをライブラリに1回追加します。Apple BusinessでApps & Services → Apps & Books → App Storeを開き、「Cerberus Enterprise」を検索してViewをクリックし、Addを選択してAll current and futureをOrganizational Unitsで選び、AddをクリックしてからReviewをクリックして確認します。アプリにManageが表示される場合は、すでにライブラリにあります。アプリを開き、組織単位がAll current and future unitsであることを確認してください。それまでは、ダッシュボードにバナーが表示され、デバイスではアプリが未インストールとして表示されます。アカウント設定を参照してください。
• ポリシーには追加できません：このアプリはポリシーに追加できません。アプリ選択リストでは無効になり、カスタムアプリ（同じバンドルID）としても拒否されます。すでにこのアプリを一覧に含むポリシーは、開いたときにエントリが削除されます。保存してポリシーを確定してください。
• インストールされないデバイス: iOS または iPadOS が 18.4 より古いデバイス。Shared iPad へのインストールはサポートされていますが、アプリの機能はそこで検証されていません。
• 個人デバイス: User Enrollment で登録された iPhone と iPad にも、インストール プロンプトと Managed Apple Account のユーザー ライセンスを使用してアプリがインストールされます。組織からのメッセージを受信し、ポリシーで 個人デバイスの位置情報とジオフェンス が有効になっており、ユーザーが許可しない限り位置情報にはアクセスしません。
• インストールされたまま保持：Apps and Booksトークンが期限切れになるか、アプリがライブラリから削除されると、アプリはデバイスに残り、デバイスページにはApps and Booksに対応が必要であると表示されます。24時間後にまだライブラリにアプリがない場合にのみ削除されます。

カスタムアプリ

カスタムアプリは、App Storeを介さずに配布する独自のiPhoneおよびiPadアプリ（.ipaファイル）です。Xcodeで、Enterprise配布用（Apple Developer Enterprise Program：すべてのデバイスにインストールされます）またはAd Hoc配布用（プロビジョニングプロファイルに登録されたデバイスにのみインストールされます）にアプリを書き出します。App Storeビルドはアップロードできません。

カスタムアプリを追加をクリックして、組織のカスタムアプリを開きます。アプリをアップロードで.ipaファイル（最大2 GB）を追加します。アプリを選択してポリシーに追加をクリックします。一覧には、バージョン、署名の種類、Ad Hocアプリのプロファイル内のデバイス数、プロビジョニングプロファイルの有効期限が表示されます。

• 新しいバージョン：同じバンドルIDのアプリをアップロードします。以前のバージョンが置き換えられ、そのアプリを使用するポリシーのデバイスがアプリを更新します。
• 要件：iOS 17.2以降のiPhoneおよびiPad。アプリをインストールできないデバイスには配信されません。iPhone上のiPad専用アプリ、アプリが必要とするバージョンより古いiOS、Ad Hocアプリのプロファイルにないデバイス、有効期限が切れたプロビジョニングプロファイルなどが該当します。
• 有効期限：プロビジョニングプロファイルの有効期限が切れると、アプリは開かなくなります。有効期限日より前に、新しいプロファイルで署名したバージョンをアップロードしてください。
• 予約済みのバンドルID：Cerberus EnterpriseアプリのバンドルID（com.lsdroid.Cerberus.Enterprise）を持つカスタムアプリは、Cerberusがそのアプリ自体をインストールするため、ポリシーに追加できません。
• 削除: まずアプリをポリシーから削除してください。その後、デバイスからアプリが削除されます。

Mac パッケージ

カスタムアプリでは、Macインストーラパッケージ(.pkg ファイル)も受け付けます。パッケージは productbuild でビルドした配布用パッケージ(pkgbuild のみで作成したコンポーネントパッケージは拒否されます)であり、Developer ID Installer 証明書で署名されている必要があります。notarytool と stapler による公証とチケットのステープルを推奨します。署名されていないパッケージ、署名後に変更されたパッケージ、他の証明書で署名されたパッケージは拒否されます。

.pkg ファイルをアプリをアップロードでアップロードし、ポリシーに追加します。ポリシーのMacパッケージの下に表示されます。iPhone と iPad では無視されます。

macOS 26 以降のMac(監視対象。手動で登録したMacを含みますが、ユーザー登録は含みません)は、パッケージを宣言として受け取ります。Macが自らダウンロード、インストール、再試行、更新を行い、状態を報告します。古いMac、および管理対象アプリとしてインストールされたパッケージは、どの macOS バージョンでもMDM コマンドで受け取ります。macOS 26 にアップグレードされたMacは自動的に宣言へ移行します。各パッケージを一度は再インストールする場合があります。同じパッケージを含む別のポリシーへMacが移動した場合も同様です。

• 新しいバージョン: 同じパッケージ ID を持つパッケージをアップロードします。以前のバージョンが置き換えられ、そのパッケージを使用するポリシーのMacに新しいバージョンがインストールされます。
• スキップされたMac: パッケージが許可するより古い macOS のMac、および Apple silicon 専用にビルドされたパッケージに対する Intel Mac です。デバイスページではパッケージが「スキップ」と理由付きで表示されます。以前にインストールされたバージョンはMacに残ります。
• インストール: 必須(既定)はMacにパッケージをインストールします。任意はパッケージをインストールせずにMacで利用可能にします。macOS 26 では、任意のパッケージは「システム設定」や App Store でユーザーに表示されません(macOS 26.3 で確認済み)。そのため、Mac上のアプリまたはスクリプトでインストールする必要があります。任意を選ぶのは、そのような手段がある場合だけにしてください。これは macOS 26 以降のMacに適用されます。古いMacは常にパッケージをインストールします。この選択肢は、管理対象アプリとしてインストールされたパッケージには使用できません。
• パッケージがポリシーから外れたときにパッケージのファイルを削除(macOS 27 以降): パッケージがポリシーから削除されると、macOS 27 以降のMacはインストールされたファイルを削除します。既定ではオフです。古いMacではファイルは残ります。管理対象アプリとしてインストールされたパッケージには使用できません。
• 管理対象アプリとしてインストール: ポリシーのパッケージでこれをオンにすると、そのアプリが管理対象アプリとしてインストールされます(macOS 11 以降、ユーザー登録では不可)。macOS はインストールの失敗を報告し、MDM がアプリを削除できるようになります。アプリは「アプリケーション」フォルダに直接インストールされ、Developer ID Application 証明書で署名され、公証されている必要があります。macOS 11 から 13 では、パッケージにはそのアプリのみを含める必要があります(他のファイルやスクリプトは不可)。カスタムアプリでは、対象となるパッケージがわかります。Macでこのオプションを適用できない場合、パッケージは通常どおりインストールされ、デバイスページに理由が表示されます。
• 管理対象アプリの削除オプション: パッケージがポリシーから削除されたときにアプリを削除(既定でオン)と、Macが管理から外れたときにアプリを削除です。アプリを削除するとそのデータも削除されます。ユーザーが同じアプリをすでにインストールしていた場合、そのコピーが管理対象になり、これも削除されます。
• 削除: MDM コマンドではパッケージをアンインストールできません。管理対象アプリとしてインストールされたパッケージの場合、ポリシーから削除するとアプリが削除されます(オプションがオンの場合)。その他のファイルとパッケージのレシートは残ります。パッケージのファイルを削除がオンのパッケージは、macOS 27 以降のMacから削除されます。その他のパッケージ: ポリシーから削除しても新しいインストールが止まるだけで、ファイルはMacに残ります。スキップされたMac(たとえば、より新しい macOS を必要とする新しいバージョンの後)は、パッケージがポリシーにある間はアプリを保持します。その後ポリシーからパッケージを削除すると、アプリも削除されます。Mac上の残ったファイルを(たとえばパッケージ独自のアンインストーラで)削除し、パッケージのレシートを忘れるには sudo pkgutil --forget <identifier> を実行します。
• デバイス上の状態: Macの「アプリケーション」パネルには、ポリシーの各パッケージが、待機中、承認済み(Macがコマンドを承認)、ダウンロード済み、インストール済み(アプリを含むパッケージのみ、Mac上でアプリが見つかった場合)、または失敗(エラー付き)として表示されます。macOS はコマンドで送信したパッケージのインストールを報告しないため、アプリを含まないパッケージではダウンロード済みが最後の状態です。管理対象アプリとしてインストールされたパッケージは、macOS がアプリをインストールできなかった、またはMacから削除されたと報告した場合にも失敗になります。再インストールを実行すると、パッケージがMacに再度送信されます。
• 宣言ありの状態: 宣言として配信されるパッケージには、宣言チップと、Macが報告する状態が表示されます: 待機中、利用可能(ユーザーがインストールしていない任意のパッケージ)、ユーザーの操作待ち、ダウンロード中、インストール中、インストール済み、または失敗(理由付き。たとえばダウンロードやインストールの失敗、Macが宣言を拒否した場合など)。ポリシーとともに削除されたファイルチップは、ポリシーから外れたときに macOS 27 のMacがファイルを削除するパッケージを示します。再インストールは失敗後にのみ表示され、Macに再試行を求めます。Macが宣言を拒否した場合は表示されません。

アカウント

アカウントパネルでは、管理対象デバイスに適用するアカウントを設定できます。アカウントの変更に関する制限の切り替えも含まれます。

制限

• アカウントの変更を許可: 無効にすると、ユーザーは Apple Account やインターネットアカウントなどのアカウントを変更できません。

アカウントを追加

Google アカウントを追加またはメールアカウントを追加を使用して、アカウントのペイロードをポリシーに追加します。各アカウントは、設定フィールドを持つカードとして表示されます。

ユーザーからのアカウント認証情報

Google とメールのアカウントカードには、どちらもユーザーからのアカウント認証情報の切り替えがあります。有効にすると、システムはユーザーごとにアカウント認証情報を適用します。無効にすると、ポリシーでアカウントの ID を入力します。

Google アカウントのフィールド

• 表示名: アカウントについてユーザーに表示される名前。
• Google メールアドレス: ユーザーのメールアドレス。
• 氏名: ユーザーの氏名。

メールアカウントのフィールド

メールアカウントには、ID フィールドと受信/送信サーバーの設定が含まれます。ホスト名は必須です。

• 表示名: メールアカウントについてユーザーに表示される名前。
• メールアドレス: ユーザーのメールアドレス。
• 氏名: ユーザーの氏名。

受信サーバー

• サーバータイプ: メールプロトコル(たとえば IMAP または POP)。
• 認証方法: サーバーの認証方法。
• IMAP パスプレフィックス: サーバータイプが IMAP の場合にのみ表示されます。
• ホスト名: 必須。
• ポート: サーバーポート(1～65535)。

送信サーバー

• 認証方法
• ホスト名: 必須。
• ポート: サーバーポート(1～65535)。

S/MIME オプション

メールアカウントでは、S/MIME の暗号化と署名の動作も設定できます。

暗号化

• S/MIME 暗号化
• ID をユーザーが上書き可能
• メッセージごとの切り替えを有効化
• ユーザーが上書き可能

署名

• S/MIME 署名
• ID をユーザーが上書き可能
• ユーザーが上書き可能

アカウントと制限のオプションには、ダッシュボードに前提条件と対応 OS バージョンを説明するツールチップがあります。