Apple Business運用設計｜セキュリティ基準を高める構成を考えてみた

2026年4月14日、Appleがこれまでバラバラに提供していたApple Business Manager（ABM）、Apple Business Essentials（ABE）、Apple Business Connectの3サービスが統合され、「Apple Business」として生まれ変わった。

しかも、これまで有料だったMDM機能（旧ABE相当）が無料化された。Apple Business単体でデバイス管理が完結する時代が来たことになる。

ある会社でちょうどAppleデバイスのセキュリティ構成を見直すタイミングだったので、「セキュリティチェックシートで問われる項目をApple Businessの構成でどこまでカバーできるか」を整理してみた。その設計過程を共有したい。

▼そもそもApple Businessとは何か

Apple Businessは、Appleが企業向けに提供するオールインワンのプラットフォームだ。

従来のABMユーザーにとっては「ADE（自動デバイス登録）でデバイスをJamfやIntuneに流し込む窓口」という印象が強かったと思う。3ヶ月に1回ログインしてデバイスを流すだけの、ほぼ無人運営の管理画面——くらいの認識だったのが、2026年4月の統合で大きく変わった。

特にブループリントの概念が強力で、「ユーザーデバイス用」「サービスデバイス用（会議室・キオスク向け）」「カスタム」の3種類のテンプレートが用意されている。Wi-Fi設定、パスワードポリシー、ソフトウェアアップデート強制、アプリ配布がブループリント1枚で完結する。

▼構成カタログで設定できる項目一覧

Apple Businessの構成カタログでは、以下の項目をGUIから設定できる。実際に触ってみて整理した一覧がこちら。

こうして並べると、セキュリティの基本的な構成はApple Business単体でかなりカバーできることがわかる。

アプリ/パッケージ配布

構成カタログとは別に、Apple Businessにはアプリとパッケージの配布機能もある。

App Storeアプリについては、予め「アプリとブックス」で購入したアプリをブループリント経由で配布できる。ただし、Mac向けのApp Storeアプリは選択肢が少ないため、Macアプリの配布にはパッケージ配布を使うのが現実的だ。

macOSパッケージ配布では、App Store外の.pkgファイルをURL＋SHA-256を指定して登録し、ブループリント経由で管理対象Macに配信できる。実務的にはGitHub Releases等でアプリのpkgをリリースし、Apple Businessに登録して配布する流れになる。

▼セキュリティチェックシート対応の構成設計

ここからが本題。大手企業のセキュリティチェックシートで問われやすい項目に対して、Apple Businessの構成でどう対応するかを設計した。

自社のセキュリティ方針と照らし合わせつつ、優先度「高」の項目から構成を固めていった。

▼構成設計で迷った・議論になったポイント

構成案を作る中で、いくつか「ここは要議論」となったポイントがある。同じような設計をする人の参考になれば。

iCloudの制御をどこまで厳しくするか

iCloudは業務データの流出経路として最もリスクが高い項目の一つだ。ただし、全部無効にすると利便性が著しく落ちる。

結論として、以下のように切り分けた。

パスワードポリシーの文字数

セキュリティチェックシートでは「8文字以上」が一般的な基準だが、今回は12文字以上に設定した。

理由はシンプルで、8文字ではブルートフォース攻撃に対する耐性が低すぎるからだ。特にMacのログインパスワードはFileVaultの復号鍵にも紐づくため、ここのポリシーを甘くするとディスク暗号化の意味が半減する。

Firewallの「すべての着信接続をブロック」を強制するか

結論として「強制しない」にした。

これを有効にするとAirPlayやAirDrop、Bonjourなどの内部通信も含めて全てブロックされてしまう。会議室でのAirPlay利用など、業務に支障が出るケースが想定された。SentinelOne（EDR）を導入済みだったので、ファイアウォールはあくまで補完的な位置づけとした。

構成カタログのUI上に副作用が表示される設計になっていて、ここはAppleらしい親切さを感じた。

FileVaultの復旧キー管理

Apple Businessの仕様上、FileVaultの復旧キーを管理画面から直接確認できない（ダウンロード＋手動復号が必要）。

これは正直不便だった。Jamf Proであれば復旧キーをインベントリから確認できるので、ここはJamf Proとの併用が現実的な判断ポイントになる。今回は秘密鍵をKeeperで別途管理する運用にした。

▼Jamf Proとの使い分け

Apple Businessの組み込みMDMがここまで充実すると、「Jamf Proは不要になるのか？」という疑問が出てくる。

結論から言うと、規模と要件次第だ。

個人的な所感としては、50名以下のスタートアップでAppleデバイスのみの環境であれば、Apple Business単体で十分に運用できる。

逆に、100名を超えてきたり、セキュリティ監査が厳しくなってきた段階ではJamf Proへの移行を検討する、という段階的なアプローチが現実的だ。Apple Business単体の組み込みMDMでまず固めて、成長に合わせてJamf Proに移行する——コスト的にもスキル的にも、この順序が一番無理がない。

▼まとめ

• ▶ Apple Businessの登場により、無料でAppleデバイスのセキュリティ構成管理がここまでできるようになった
• ▶ セキュリティチェックシートで問われる主要項目（FW、ディスク暗号化、パスワードポリシー、OSアップデート強制、データ持ち出し制御）はApple Businessの構成カタログでほぼカバーできる
• ▶ 一方で、復旧キー管理の不便さ、カスタムスクリプト・動的グルーピングの不在など、エンタープライズ向けの要件には限界がある
• ▶ 「まずはApple Businessで始めて、成長に合わせてJamf Proに移行する」が、スタートアップ期の情シスにとっては最もコスパの良い選択肢