コマンド
デバイス ページには、管理対象デバイスにリモート コマンドを送信するための コマンド パネルがあります。使用可能なコマンドは、プラットフォーム (Android または Apple) とデバイスの状態によって異なります。
コマンドを送信できるのは、現在登録されているデバイスのみです。登録解除されたデバイス、まだ登録されていない ADE デバイス、および過去の登録の履歴レコードでは、パネルにはコマンド履歴のみが表示されます。
デバイスが現在オンラインでない場合、コマンドはデバイスがインターネットに接続され次第配信されて実行されます。Android コマンドでは、有効期間パラメーターを設定して、未配信のコマンドが有効な期間を指定できます。
Android (AMAPI) コマンド
Android デバイスの場合、コマンドパネルには有効期間フィールド（値＋単位）とコマンドセレクターが含まれます。一部のコマンドには追加のパラメーターが必要で、コマンドを選択すると動的に表示されます。
共通パラメーター
- 有効期間：コマンドをすぐに実行できない場合に、コマンドが有効な期間。
- コマンド：デバイスに送信するアクションを選択します。
追加フィールドのないコマンド
- デバイスをロック: デバイスをロックします。
- デバイスを再起動: デバイスを再起動します。Android 7.0 以降が必要です。
- 紛失モードを無効化: デバイスを紛失モードから解除します。
- 所有権を放棄: Android 8.0 以降の会社所有デバイスからワーク プロファイルとすべてのポリシーを削除し、個人用として残します。個人プロファイルのアプリとデータは保持されます。デバイスがコマンドを確認すると、サーバーからデバイスが削除されます。この操作は元に戻せません。
追加フィールドがあるコマンド
- パスワードをリセット：新しいパスワードと新しいパスワードの確認が必要です。オプションのトグルには、今すぐロック、入力の要求、起動時に認証情報を要求しないがあります。
- アプリデータを消去：対象のパッケージ名が必要です。
- 紛失モードを有効化: 紛失モード メッセージ が必要で、オプションの連絡先フィールド (住所、組織、電話番号、メール) をサポートします。デバイスがそれを報告すると、状態は 紛失 になり、デバイス ページにバナーが表示され、紛失モードが無効になるまでこのコマンドは非表示になります。
- デバイスを消去: ワイプ理由メッセージ (個人デバイスのユーザーに表示) と、eSIM をワイプ を含むオプションのワイプ フラグをサポートします。
eSIM コマンド（eSIM を追加、eSIM を削除、EID をリクエスト）は、専用のSIM 管理パネルで利用できます。
コマンド履歴
送信コントロールの下には、ダッシュボードにコマンド履歴テーブルが表示されます。このテーブルは並べ替え可能で、ページ分割に対応しています。一部の行は展開して、追加のパラメーターや実行の詳細を表示できます。
Android の履歴の列
- 作成日
- コマンド
- 有効期間
- ステータス
- エラー
- 実行日
Apple (MDM) コマンド
Apple デバイスの場合、コマンドパネルにはコマンドセレクターが用意されています。一部のコマンドには追加の入力が必要です。Android と同様に、下にコマンド履歴テーブルが表示されます。
追加フィールドがあるコマンド
- アプリをインストール: アプリケーションの Bundle ID が必要です。
- 通知を送信: 通知メッセージ が必要です (最大 200 文字)。
iPhone と iPad では、通知を送信 とライブ トラッキングは Cerberus Enterprise アプリを通じてデバイスに届きます。これらはアプリがインストールされ、通知に登録されるまで無効です (Cerberus Enterprise アプリ フィールドを参照)。ライブ トラッキングを開始すると「ライブ トラッキング要求をデバイスに送信しました」と表示され、デバイスが最初の位置情報を送信すると追跡が始まります。iOS では、低電力モードやネットワーク接続がない場合など、要求が遅延したり配信されないことがあります。2 分以内に位置情報が届かない場合は、ユーザーにアプリを一度開くよう依頼してください。要求が失敗すると、その理由 (アプリがまだ登録されていない、サーバー通知キーがない、デバイスの通知トークンが無効になっているなど) がメッセージに表示されます。
デバイスのアクション
デバイスでサポートされているコマンドのみが一覧表示されます。一部は監視対象の iPhone または iPad が必要で、その他は Mac では利用できません。中断を伴うコマンドは確認を求めます。
- デバイスをロック: 画面をロックします。メッセージと電話番号はオプションです。Mac は再起動され、6 桁の PIN でロックされます。PIN はコマンド送信後に一度表示され、コマンドの詳細でも確認できます。iPhone では、このコマンドで紛失モードが有効にならなくても、メッセージの上に「Lost iPhone」というタイトルが表示されます。
- 紛失モードを有効化（監視対象の iPhone と iPad）：デバイスをロックし、ロック画面にメッセージ、電話番号、脚注を表示します。紛失モードがオンの間、ページにはバナーと、デバイスを特定（位置情報は位置マップに表示されます）、サウンドを再生、紛失モードを無効化のコマンドが表示されます。
- デバイスは、それを所持している人に位置情報が特定されたことを伝えます。デバイスを特定 の後、ロック画面には時刻と位置情報を受け取ったサーバーの名前、および iPhone が見つかりました と 続ける ボタンが表示されます。iOS ではこの通知が表示され、オフにすることはできません。
- パスコードを消去：iPhone または iPad のパスコードを削除します。たとえば、ユーザーが忘れた場合に使用します。ポリシーでパスコードが要求されている場合、ユーザーは新しいパスコードの設定を求められます。
- デバイス情報を更新：デバイスに情報（監視状態、OS バージョン、セキュリティ状態、MDM 証明書）とインベントリを要求します。
- デバイス設定: デバイス名、Mac のホスト名、Bluetooth、データ ローミング、Personal Hotspot、タイムゾーン、壁紙、アクティベーション ロックを許可するかどうか、および Shared iPad の場合はその設定 (後述) を変更するウィンドウを開きます。変更した設定のみが送信され、デバイスがサポートしていない設定は理由とともに無効になります。デバイスはデータ ローミングや Personal Hotspot を適用せずに確認応答することがあるため (SIM プランに Personal Hotspot がない場合など)、Cerberus Enterprise は約 30 秒後にそれらを読み戻し、変更されていない場合はシステム ログに警告を書き込みます。
- デバイスを再起動 と デバイスをシャットダウン: 確認後、デバイスをすぐに再起動または電源オフにします。
- デバイスを消去：すべてのコンテンツと設定を消去し、デバイスを管理から削除します。iPhone と iPad では、eSIM データプランを保持し、近接セットアップをスキップできます。Mac では6桁の PIN が設定されます。
- サービスへの復帰（デバイスを消去のオプション、iOS 17 以降の iPhone と iPad）：消去後、デバイスは誰も操作することなく再びセットアップされ、現在のポリシー、ユーザー、所有権で再登録されます。セットアップには、デバイスポリシーの Wi-Fi ネットワークを選択します（デバイスに Ethernet またはセルラーデータがある場合を除く）。デバイスにはまだユーザーや証明書がないため、個人ネットワーク（パスワードあり、証明書なし）のみ使用できます。アクティベーションロックはオフになっている必要があります。
- セルラープランを更新（iPhone とセルラー対応 iPad、iOS 13 以降、User Enrollment を除く）：通信事業者が提供する通信事業者の eSIM サーバー URL（https:// アドレス、ホスト名、または LPA アクティベーションコード。使用されるのはサーバーのみ）を入力すると、デバイスは通信事業者が EID にバインドした eSIM プランをダウンロードします。デバイスの EID はフィールドの下に表示され、通信事業者に送信できます。SIM 管理ページを参照してください。
- eSIM データプランを保持するをオフにすると、消去時にすべての eSIM が削除されます。ポリシー制限デバイスの消去時に eSIM を保持する（監視対象デバイス、iOS 17.2 以降）は、デバイス上で開始された消去（パスコードの失敗回数超過、すべてのコンテンツと設定の消去）に適用されます。Apple はこのコマンドへの影響を文書化していません。
- ユーザーをログアウト（Shared iPad）：現在のユーザーをログアウトし、ログイン画面に戻ります。まだ iCloud に同期されていないデータは iPad に残ります。
Shared iPad
Mac のユーザー
Mac では、Mac のユーザーパネルに、管理に登録されているユーザー（通常は Mac を登録したユーザー）が一覧表示されます。ポリシーのアカウントは、そのセッションにインストールされます。各ユーザーについて、登録された日時、セッションの最後のレポート、アカウントの状態（最新、ユーザーを待機中（ユーザーがログインすると Mac がインストールします）、Mac から報告された理由付きの未適用、ポリシーにアカウントがない場合はアカウントなし）が表示されます。再読み込みを使用して一覧を再度読み取ります。
アクティベーションロック
アクティベーションロックフィールドには、アクティベーションロックがオンかどうかが表示されます。オンの場合、消去されたデバイスは、ユーザーの Apple Account またはデバイスのバイパスコードでのみ再セットアップできます。監視対象デバイスは、デバイス設定で許可されている場合にのみアクティベーションロックをオンにします。Cerberus Enterprise は監視対象デバイスにバイパスコードを要求して保存します。フィールドメニューのバイパスコードを表示を使用すると確認できます（管理者のみが可能で、表示はすべてシステムログに記録されます）。その後、デバイスのアクティベーションロック画面で Apple Account を空のまま、パスワードとして入力します。
リカバリロックとファームウェアパスワード（Mac）
Apple silicon を搭載した Mac ではリカバリロックフィールドが、Intel ベースの Mac ではファームウェアパスワードフィールドが表示されます。どちらも起動時に Mac を保護します。リカバリロックでは recoveryOS がパスワードを要求し、ファームウェアパスワードでは別のディスクまたはリカバリからの起動時に Mac がパスワードを要求します。フィールドには、Mac がパスワードを報告しているかどうかが表示され、ツールチップには Cerberus Enterprise が保存した日時と最後に検証した日時が表示されます。
- パスワードを設定または変更：Cerberus Enterprise は、どのキーボードレイアウトでも同じキー上にある20文字のパスワードを生成するか、管理者が入力します（アクセント記号なしの8〜64文字。他のロールは保存済みパスワードを表示できないため、生成のみ可能です）。パスワードは送信前に暗号化して保存され、Mac が確認した場合にのみ保存済みのパスワードを置き換えます。Mac に Cerberus Enterprise 以外で設定されたパスワードがすでにある場合は、現在のパスワードとして入力します。これは一度だけ使用され、保存されません。
- パスワードを検証：保存済みのパスワードが正しいかどうかを Mac に問い合わせます。結果はツールチップとシステムログに表示されます。
- パスワードを表示：保存済みのパスワードを表示できるのは管理者のみで、表示はすべてシステムログに記録されます。生成されたパスワードは4文字ずつに区切って表示されます。スペースを入れずに入力してください。
- パスワードを消去：Mac からパスワードを削除します。
Intel ベースの Mac は、ファームウェアパスワードの変更を適用するために再起動します。それまでは以前のパスワードが引き続き必要で（「パスワードを表示」に一覧表示されます）、別の変更は送信できません。また、Apple はファームウェアパスワードのコマンドを30秒に1回しか受け付けません。パスワードはコマンド履歴では非表示になります。
Mac が管理から外れると（登録解除、ユーザーによる削除、消去）、macOS はリカバリロックを自動的に削除し、Cerberus Enterprise は保存済みのリカバリロックパスワードを破棄します。Mac がリカバリロックがないと報告した場合（たとえば再登録後）も同様です。Mac を登録解除する（またはそのポリシーを削除する）場合、保存済みのファームウェアパスワードが最初に消去され、Mac が再起動してから管理から外れます。消去に失敗した場合、Mac はそのまま管理から外れ、パスワードは引き続き確認できるように保存されたままになります。ユーザーによって管理から削除された Mac、または消去された Mac はファームウェアパスワードを保持し、Cerberus Enterprise もそれを保持します。デバイスレコードを削除すると保存済みのパスワードが削除されるため、最初に確認が求められます。パスワードを書き留めてください。パスワードがない場合、Apple しか削除できません。
FileVault（Mac）
FileVault フィールドには、Mac のディスクが暗号化されているかどうかと、ツールチップに Cerberus Enterprise が個人用復旧キーを保存しているかどうかが表示されます。Mac は、ポリシーの FileVault 設定を受け取った後に FileVault がオンになると、キーを送信します（Apple ポリシーのmacOSページを参照）。
- リカバリキーを表示：キーを表示できるのは管理者のみで、表示はすべてシステムログに記録されます。Mac のログインウィンドウでユーザーのパスワードをリセットする場合、またはリカバリでディスクのロックを解除する場合に使用します。Mac が管理から外れた後も利用できますが、デバイスレコードを削除するとキーも削除されます。
- リカバリキーを変更：Mac は個人用リカバリキーを置き換え、新しいキーを暗号化して送信します。古いキーは機能しなくなります。これは、保存済みのキーを読み取れる場合にのみ可能です。Mac はそのキーでロック解除され、ユーザーのパスワードは必要ありません。保存済みのキーはコマンド履歴では非表示になり、Mac が応答すると（または応答なしで7日経過すると）サーバーから削除されます。
Bootstrap Token（Mac）
macOS 10.15 以降の Mac は、セキュアトークンを持つユーザーがログインすると、Bootstrap Tokenを管理サーバーに送信します。サーバーはそれを保持し、その Mac にのみ返します。Mac はそれを使用して新しいユーザーにセキュアトークンを付与し、Apple silicon を搭載した Mac では、管理者パスワードを要求せずにソフトウェアアップデートをインストールしたり、カーネル拡張を承認したりします。ダッシュボードでもその他の場所でも、誰もトークンを表示できません。Bootstrap Tokenフィールドにはその状態が表示されます：
- エスクロー済み：サーバーがトークンを保持しています。ツールチップには Mac が送信した日時が表示されます。
- 以前にエスクロー済み：保存されたトークンは、Mac の最新の登録または MDM 証明書の更新より前に送信されたものです。更新後はこれは想定どおりです。トークンは保持され、Mac は再度送信しません。新しい登録後は、有効でなくなっている可能性があります。Mac のターミナルで
sudo profiles install -type bootstraptokenを実行してください。 - エスクローなし：Mac はまだトークンを送信していません。今すぐ送信するには、Mac の管理者がターミナルで
sudo profiles install -type bootstraptokenを実行します（sudo profiles status -type bootstraptokenでエスクローされているかどうかを確認できます）。
ツールチップには、Mac が認証にトークンを許可しているかどうかも表示されます。Automated Device Enrollment でセットアップされた Mac は自動的に許可します。Apple silicon を搭載した他の Mac では、ユーザーが recoveryOS のスタートアップセキュリティユーティリティで許可できます。Intel Mac は認証にトークンを使用できません（サポート対象外）が、エスクローされたトークンは引き続き新しいユーザーにセキュアトークンを付与します。Mac がトークンを送信、削除、または要求するたびに、システムログに記録されます。
デバイスの状態と OS のアップデート
デバイスの状態パネルには、デバイスが自身について報告する内容が表示されます。OS のバージョンとビルド、ソフトウェアアップデートの進行状況（保留中のバージョン、期限、開始理由、失敗）、パスコードが設定されポリシーに準拠しているかどうか、Mac の FileVault、バッテリーの状態、デバイスに設定されているアカウントです。
利用可能なアップデートリストには、デバイスがインストールできる OS アップデートが表示され、登録時と毎週収集されます。アップデートを確認で今すぐ要求し、インストールでアップデートをすぐにインストールする（確認後にデバイスが再起動します）か、ダウンロードのみを行ってユーザーにインストールさせることができます。これは監視対象の iPhone と iPad、および Mac で、iOS、iPadOS、macOS 26 まで機能します。それ以降のバージョンや多数のデバイスの更新には、ポリシーの必須アップデートを使用してください（Apple ポリシーのソフトウェアアップデートページを参照）。
Apple silicon を搭載した Mac が管理者パスワードを要求せずにアップデートをインストールするのは、認証に Bootstrap Token を許可し、トークンがエスクローされている場合のみです（上記の Bootstrap Token を参照）。それ以外の場合、確認では、アップデートのインストール前にユーザーが管理者パスワードを入力する必要があるかもしれないと表示されます。
アプリケーションとインベントリ
アプリケーションパネルには、デバイスのすべてのアプリが1つのテーブルに一覧表示されます。ポリシーまたはコマンドでインストールされたアプリのインストール状態は、デバイスからリアルタイムで報告されます。バージョン、サイズ、ユーザーがインストールしたアプリは、登録時と毎週収集される最新のアプリ一覧から取得されます。今すぐ要求するにはデバイスに問い合わせを使用します。
- 管理: デバイス ポリシーによってインストールされたアプリは ポリシー、アプリをインストール などのコマンドでインストールされたアプリは 管理対象、ユーザーがインストールしたアプリは 未管理 です。Cerberus Enterprise アプリには Cerberus によってインストール済み チップが付いています。
- 要対応：インストールに失敗したアプリ、ユーザーによって拒否または削除されたアプリ、またはユーザーを待機しているアプリ。行を開くとエラーを確認できます。失敗したポリシーのアプリは、再試行ボタンで再度インストールできます。デバイスが検証されていないと報告した組み込みアプリと App Store アプリはカウントされません。
- アプリを削除：管理対象アプリは、データとともに削除できます。ポリシーでインストールされたアプリを削除するには、ポリシーから削除します。ポリシーは、管理対象アプリとしてインストールされた Mac パッケージがポリシーから削除された場合にも、このコマンド自体を送信します。
プロファイル、証明書、セキュリティパネルには、デバイスから報告された構成プロファイル、証明書、セキュリティ状態（パスコード、暗号化、Mac の FileVault とファイアウォール）が表示されます。
個人所有のデバイスでは、ユーザーがインストールしたアプリは収集されず、Cerberus Enterprise が管理するプロファイルと証明書のみが一覧表示されます。
インベントリの変更パネルには、デバイスから送信された2つの一覧の間で変更された内容が表示されます。インストール、削除、更新されたアプリ（新旧バージョン付き）、インストール、削除、更新されたプロファイル、追加または削除された証明書です。変更は、デバイスが新しい一覧を送信したとき（アプリとプロファイルは毎週、証明書は毎日）、またはデバイスに問い合わせを使用したときに検出されます。表示される日付は検出された日時で、変更は前の一覧とその一覧の間に発生しています。デバイスの最初の一覧、および新しい登録または所有権の変更後の最初の一覧は、開始点としてのみ記録されます。名前または識別子で検索し、種類と変更でフィルターできます。変更は365日間保持されます。
OS アップデートによって多数の Apple アプリが一度に置き換えられた場合、それらは展開可能な1行（例：「23個の Apple アプリが更新されました」）として表示されます。MDM 証明書の更新はMDM 証明書を更新済みとして表示されます。個人所有のデバイスでは、Cerberus Enterprise が管理する項目の変更のみが表示されます。
Apple の履歴の列
- 作成日
- コマンド
- ステータス: 送信済み (デバイスを待機中、接続されるとすぐに配信)、成功、応答済み (行を開いて結果を表示)、デバイスを待機中 (デバイスが現在コマンドを実行できない)、失敗 (行を開いて理由を表示)、または キャンセル済み (デバイスのコマンド キューがクリアされた場合。再登録時など)。
- 実行日
更新
コマンドパネルの更新アクションを使用して、コマンド履歴を再読み込みします。