Apple のアカウント主導の登録

アカウント主導の登録では、ユーザーはデバイス設定で仕事用アカウント（Managed Apple Account、例：name@company.com）でサインインして、iPhone、iPad、Mac を登録します。ダウンロードするプロファイルも QR コードも不要です。Cerberus Enterprise がユーザーを検出し、ポリシーを適用し、所有権を自動的に設定します。

2つのモード

User Enrollment（個人デバイス）：デバイス内の別エリアで、仕事用のアプリ、アカウント、データのみが管理されます。Cerberus は個人データを表示したり、デバイスを消去したり、位置を特定したり、シリアル番号を読み取ったりすることはできません。デバイスは個人所有として設定されます。iOS および iPadOS 15 以降、または macOS 14 以降が必要です。
Device Enrollment（Apple Business に登録されていない会社のデバイス）：手動登録と同様に、デバイス全体が管理されます。この方法で登録された Mac は監視対象になりますが、iPhone または iPad は監視対象になりません。デバイスは会社所有として設定されます。iOS および iPadOS 17.1 以降、または macOS 14.1 以降が必要です。

iPhone および iPad と Mac では、別々にモードを選択します。たとえば、個人の iPhone には User Enrollment、Mac には Device Enrollment を選択できます。デバイスの所有権は、後からデバイスページで変更できます。

アカウント主導の登録は、Apple Management（APNs）が構成されている場合に利用できます。APNs のセットアップがまだ完了していない場合は、Apple Management のセットアップ（APNs）を参照してください。

Apple Business をセットアップする

ユーザーは、Apple Business で作成された Managed Apple Account でサインインします。開始する前に：

Apple Business で、組織のドメインにドメインを確認（例：company.com）します。
ユーザーのManaged Apple Account を作成するか、Apple Business を Google Workspace または Microsoft Entra ID に接続します。これにより、各ユーザーのアカウントは仕事用メールアドレスになり、そのパスワードでサインインします。
User Enrollment の場合は、アクセス管理設定で Managed Apple Account が個人デバイスでサインインできることを確認してください。監視対象デバイスでのみサインインできる場合、User Enrollment は失敗します。
以下のApple Businessオプションの場合のみ：Devices → Management Services → Default Device Assignment（Edit）を開き、iPhone、iPad、Mac 用の Cerberus Enterprise デバイス管理サービスを選択します。

デバイスが Managed Apple Account で登録されている間は、Cerberus Enterprise デバイス管理サービスとそのトークンを Apple Business に保持してください。削除すると、デバイスでアカウントが機能しなくなる可能性があります。

Cerberus Enterprise をセットアップする

ダッシュボードの登録セクションを開き、Apple アカウントのサインインタブを選択します。上部のチェックリストに、まだ不足している項目が表示されます。設定を変更できるのは管理者のみです。

仕事用アカウントでのサインインによる登録を許可する：組織全体でアカウント主導の登録をオンまたはオフにします。
ドメイン：ユーザーのアカウントのドメイン（例：company.com）で、最大20個まで。登録できるのはこれらのドメインのアカウントのみで、ドメインが確認された後に限ります（下記参照）。
iPhone および iPadとMac：各デバイスファミリーに対してオフ、User Enrollment、または Device Enrollment。
各モードのポリシー：デバイスが登録されるとすぐに適用されます。ポリシーがない場合、デバイスはポリシーなしで登録されます。変更されたポリシーは次回の登録に適用されます。
ユーザー：既存のユーザーのみ（Cerberus Enterprise のユーザーのメールアドレスが、デバイスで入力されたアカウントと一致する必要があります）、またはドメインのアカウントにユーザーがいない場合はユーザーを作成する。

デバイスで入力されたアカウントは、まずユーザーのManaged Apple Accountフィールドと照合され、次にメールアドレスと照合されます。コードは常にユーザーのメールアドレスに送信されます。ユーザーに設定された Managed Apple Account は、そのドメインが Cerberus で確認されていなくても登録できます。たとえば、Apple Business の予約ドメインorg.appleid.comのアカウントです。Apple Business のサービス検出を使用する場合、ユーザーは常に Managed Apple Account を入力します。

ドメインを確認する

設定を保存すると、ドメインの確認セクションに各ドメインの TXT レコードが表示されます。それをドメインの DNS に追加し、確認をクリックします。DNS の変更が反映されるまでに時間がかかる場合があります。確認済みのドメインは確認済みのままです。後でレコードを削除できます。確認されていないドメインのユーザーは登録できません。

サービス検出：デバイスが Cerberus Enterprise を検出する方法

ユーザーがサインインすると、デバイスはアカウントのドメイン（例：https://company.com）に、どのサーバーが管理しているかを問い合わせます。次の3つのオプションのうち少なくとも1つを設定してください。タブのサービス検出セクションには、組織の検出 URL と、各オプションでコピーする正確なテキストが表示されます。

オプション 1：Apple Business（推奨）

Apple Business に登録をクリックします。Cerberus Enterprise は検出 URL を Apple Business 組織に保存し、ドメインに何も公開する必要はありません。Apple Business で確認をクリックすると、Apple Business が現在保持している URL が表示され、Apple Business から削除をクリックすると削除されます。

iOS および iPadOS 18.2 以降、または macOS 15.2 以降が必要です。古いデバイスではオプション 2 または 3 が必要です。
Cerberus Enterprise で Apple Business が接続されていること（Automated Device Enrollment サービストークン）、および上記のデフォルトのデバイス割り当てが必要です。
デバイスは、ドメインが応答しない場合にのみ Apple Business に問い合わせます。アドレスhttps://company.com/.well-known/com.apple.remotemanagementは存在してはなりません（「見つかりません」などのエラー）。Web サイトが Web ページで応答すると、デバイスはそこで停止します。構成を確認を使用して、応答内容を確認してください。

Apple Business は組織ごとに1つの検出 URL を保持します。登録すると、組織のすべての Managed Apple Account がこの Cerberus Enterprise 組織に送信されます。同じ Apple Business 組織を使用する2つの Cerberus Enterprise 組織から登録しないでください。

オプション 2：Web サイトからのリダイレクト

各ドメインの Web サーバーで、/.well-known/com.apple.remotemanagementを組織の検出 URL にリダイレクトし、クエリ文字列を保持します（ユーザーが入力したアカウントが含まれています）。これは、アカウント主導の登録をサポートするすべての OS バージョンで機能し、iPhone と Mac で異なるモードを使用できます。タブから Apache または nginx 用のテキストをコピーしてください。組織のキーを含めると、次のようになります。

Apache（.htaccess または仮想ホスト）：

RewriteEngine On
RewriteRule ^\.well-known/com\.apple\.remotemanagement$ https://enterprise.cerberusapp.com/account-enroll/YOUR-KEY/discovery [R=302,L,QSA]

nginx：

location = /.well-known/com.apple.remotemanagement {
    return 302 https://enterprise.cerberusapp.com/account-enroll/YOUR-KEY/discovery$is_args$args;
}

他の Web サーバーまたはサービス（IIS、Cloudflare、ホスティングコントロールパネルなど）では、同じパスから検出 URL へのリダイレクトルール（302）を、クエリ文字列を保持または転送するオプション付きで作成します。

オプション 3：Web サイト上の静的ファイル

リダイレクトを追加できない場合は、https://company.com/.well-known/com.apple.remotemanagement（ファイル拡張子なし）にファイルを公開し、Content-Type: application/jsonで配信します。その内容はタブからコピーしてください。静的ファイルではデバイスごとにモードを選択できません。iPhone、iPad、Mac で同じモードを使用します。User Enrollment の場合は次のようになります。

{"Servers":[{"Version":"mdm-byod","BaseURL":"https://enterprise.cerberusapp.com/account-enroll/YOUR-KEY/byod"}]}

Device Enrollment の場合は次のとおりです。

{"Servers":[{"Version":"mdm-adde","BaseURL":"https://enterprise.cerberusapp.com/account-enroll/YOUR-KEY/adde"}]}

ファイルのモードは、タブでデバイスファミリーに設定されたモードと同じである必要があります。そうでない場合、登録は拒否されます。

構成を確認

構成を確認で、ドメインとデバイス（iPhone または Mac）を選択し、確認をクリックします。Cerberus Enterprise は、デバイスが問い合わせる内容をドメインに問い合わせ、応答、各リダイレクト、判定を表示します。ドメインが Cerberus Enterprise を指している場合は、オプション 2 または 3 が機能します。エラー応答（「見つかりません」など）はオプション 1 で問題ありません。Web ページまたは別の場所を指すファイルは、デバイスを停止させます。また、リダイレクトがクエリ文字列を削除した場合や、ファイルがapplication/jsonとして配信されていない場合にも警告が表示されます。

登録キー

検出 URL と登録 URL には、組織のキーが含まれています。URL が誤って公開された場合は、キーを再生成をクリックしてください。古い URL はすぐに機能しなくなるため、Web サイトのリダイレクトと静的ファイルを更新してください。オプション 1 を使用している場合、Cerberus Enterprise は新しい URL を自動的に Apple Business に登録します。

ユーザーが登録する方法

iPhone および iPad：設定 → 一般 → VPNとデバイス管理 → 職場または学校アカウントにサインインを開きます。Mac：システム設定 → 一般 → デバイス管理 → サインイン。
Managed Apple Account、または Cerberus のユーザーの仕事用メールアドレス（例：name@company.com）を入力します。ユーザーの Managed Apple Account が入力したものと異なる場合、デバイスはそのアカウントでのサインインを求めます。
Cerberus Enterprise のページが開きます。コードを送信をタップし、メールで受け取った6桁のコードを入力します。コードは10分後に期限切れになります。5回間違えると、ユーザーはページを閉じて再度サインインする必要があります。
Managed Apple Account のパスワード（または Apple Business が Google Workspace や Microsoft Entra ID に接続されている場合は会社のサインインページ）でサインインし、デバイス管理を許可します。

登録できないアカウント（ドメインが確認されていない、ユーザーが自動作成されない設定で一致するユーザーがいない、同じメールアドレスのユーザーが複数いる）には、「このアカウントは登録用に設定されていません。IT 管理者に問い合わせてください」と表示されます。イベントはダッシュボードのシステムログに記録されます。

登録後

デバイスページには、登録に使用したManaged Apple Accountと登録タイプ（User Enrollment またはアカウント主導の Device Enrollment）が表示されます。デバイスリストでは、User Enrollment デバイスに「User Enrollment」と表示されます。
User Enrollment デバイスでは、Apple が許可しないコマンドやポリシー設定（消去、位置情報、紛失モード、OS アップデート、多くの制限）は提供されず、送信されません。ポリシーの App Store アプリは、デバイスライセンスではなくユーザーライセンスを使用します（下記の個人デバイス上のアプリを参照）。
User Enrollment デバイスでは、Web クリップはホーム画面に表示されますが、設定 → 一般 → VPNとデバイス管理には表示されません。
これらのデバイスの MDM 証明書は自動的に更新されず、Return to Serviceは利用できません。MDM 証明書が期限切れになる前（登録から1年後。デバイスページを参照）に、ユーザーにデバイスの再登録を依頼してください。
管理を離れるには、ユーザーが設定の同じ場所で仕事用アカウントからサインアウトするか、Cerberus Enterprise からデバイスを登録解除します。User Enrollment では仕事用のアプリ、アカウント、データのみが削除され、個人データは残ります。再登録したデバイスは新しいデバイスとして表示されます。

登録直後、ポリシーの一部のプロファイル (証明書、Wi-Fi ネットワーク、Web クリップ) が不明なエラーで失敗として報告され、デバイスがしばらく コンプライアンス違反 と表示されることがあります。デバイスは自動的に再試行し、しばらくすると何も操作しなくてもインストールされます。このため、ポリシーを再度保存したり、デバイスを再登録したりしないでください。

個人デバイス上のアプリ

User Enrollment で登録された iPhone および iPad にはシリアル番号がないため、Apps and Books はデバイスライセンスを付与できません。Cerberus Enterprise は、ポリシーの App Store アプリに代わりにユーザーライセンスを付与します。ライセンスは、デバイスでサインインしている Managed Apple Account に付与されます。ポリシーに変更はありません。同じポリシーが会社のデバイスと個人のデバイスに使用され、Cerberus がデバイスごとにライセンスの種類を選択します。

自動：最初の登録時に、Cerberus は Managed Apple Account を Apps and Books に登録し、ポリシーの各 App Store アプリのライセンスを Apple に要求します。無料アプリにもライセンスが必要です。Apple は無料アプリに無制限のライセンスを付与します。有料アプリは Managed Apple Account ごとに1つのライセンスを使用し、そのアカウントのすべての個人デバイスで共有されます。
同じ組織：Managed Apple Account と Cerberus Enterprise の Apps and Books トークンは同じ Apple Business 組織に属している必要があり、アプリはトークンの場所のライブラリに存在する必要があります。
ライセンス優先：アプリは、Apple がライセンスを確認した後にのみデバイスに送信されます。通常は数分以内です。それまでは、デバイスのアプリケーションパネルにユーザーライセンスを待機していますと理由が表示されます。
インストールプロンプト: 個人デバイスは監督されないため、iOS は各アプリをインストールする前にユーザーに確認します。これには、Cerberus がこれらのデバイスにもインストールする Cerberus Enterprise アプリが含まれます (インストール または キャンセル)。Apple Account へのサインインは不要です。ユーザーがキャンセルした場合、アプリには ユーザーによるインストールの承認を待機中 と表示されます。デバイスページで 再要求 を使用して、プロンプトを再度表示してください。必須としてインストールされたアプリは、ユーザーが削除できません。
登録前にインストールされたアプリ：Apple は、User Enrollment で登録されたデバイスにユーザーが個人的にインストールしたアプリを組織が引き継ぐことを許可していません。登録前にユーザーに自分のコピーを削除してもらうか、削除してからデバイスページで再リクエストを使用してください。その後、組織が管理対象のコピーをインストールします。
管理を離れる場合：デバイスの登録が解除されると、iOS は管理対象アプリとそのデータを削除します。ライセンスは、同じ Managed Apple Account の他の登録済みデバイスがそれを必要としなくなったときに解放されます。たとえば、アプリがポリシーから削除された場合や、最後のデバイスが登録解除された場合です。不要になったライセンスは、毎日のチェックで1日以内に解放されます。

Apple がライセンスを割り当てられない場合（たとえば、有料アプリに残りのライセンスがない場合）、アプリには Apple のメッセージとともにユーザーライセンスに失敗しましたが表示されます。Apple Business でライセンスを追加してから、デバイスページで再リクエストを使用してください。Cerberus も毎日のチェックで自動的に再試行します。アプリリストの上の行には、Managed Apple Account とその Apps and Books ユーザーのステータスが表示されます。同じステータスはユーザーのページにも表示されます。

ユーザーライセンスは iPhone および iPad でのみ使用されます。User Enrollment で登録された Mac、ブック、個人の Apple Account はサポートされていません。