【検証実録】Apple Businessの7つのハマりポイントと対処法【2026年6月】

Apple Business（旧Apple Business Manager）を使ったMac管理を実際に設計・検証していく中で、公式ドキュメントには一行も書かれていない落とし穴に何度もぶつかった。

「無料でMDM機能が使えるならまずこれで」と考える会社は多い。実際それは正しい。ただ、リニューアル直後ということもあって、手を動かして初めてわかる挙動が想像以上に多い。中には数週間原因がわからず張りついたものもある。

この記事では、自分が検証・導入を通じて踏み抜いた7つの落とし穴を、症状・原因・対処・教訓のセットで正直に書く。同じ道を歩む情シスの時間を、ここで節約してもらえたら嬉しい。

▼1. 管理者にブループリントを割り当てると、Apple Configuratorにログインできなくなる

発見までに数週間かかった、一番痛いハマりポイントだ。

症状

Apple Configurator（Mac版・iPhone版いずれも）にManaged Apple Accountでサインインしようとすると、こんなエラーが出る。

Apple Business上ではデバイス登録マネージャの役割は付与済み。別テナントでは同じ条件のアカウントでログインできるのに、特定のテナントだけダメ、という状態だった。

原因

管理者のManaged Apple Accountに、社員向けのブループリントが割り当てられていた。ブループリントに含まれる構成（パスワードポリシーやiCloud制限など）が管理者アカウントにも適用され、Apple Configuratorへのログインがブロックされていた。

対処

Apple Businessのブループリント設定で、管理者アカウントを割り当て対象から除外するだけで解決した。

▼2. ドメインキャプチャは「狙い撃ち」できない

症状

ドメインキャプチャの検証を少人数でやりたかったのだが、「アカウントの転送を開始」を押すと、そのドメインで個人Apple IDを持っている全員に、Appleから一斉に通知が飛ぶ。

自分が検証していた環境では、管理対象外のApple Accountが41件見つかった。これをテスト用に1アカウントだけ試す、ということはできない。完全に全員一括だ。

対処

検証フェーズと導入フェーズを明確に分けた。

• ▶ 検証フェーズ：会社ドメインでApple IDを持っていない数名を対象に、Managed Apple Accountを新規発行して構成やアプリ配布の動作確認を実施
• ▶ 導入フェーズ：検証完了後にドメインキャプチャを実行し、全員を対象に展開

▼3. ドメインキャプチャ後にサインアウトできなくなる（詰みループ）

症状

ドメインキャプチャを実行した後、旧個人Apple IDでサインインしていた端末をデバイス管理に登録しようとすると、こんなエラーが出た。

指示どおりサインアウトしても、再ログインするとManaged Apple Account扱いになる。旧アカウントとしてはもうログインできないので、サインアウトが完了しているか確認する手段がなくなる。appleid.apple.com のデバイス一覧からRemoveしても、エラーに表示されるデバイスが消えなかった。

対処

ユーザー側で解消する手段がなく、Appleサポートにエスカレーションした。Apple側のバックエンドでの対応が必要になるケースがある。

▼4. Managed Apple Accountで先にiCloudにサインインすると、デバイス管理に登録できない

症状

Managed Apple Accountを発行してユーザーに案内したところ、一部のユーザーがデバイス管理に登録する前にiCloudやApp Storeにサインインしてしまった。その状態でデバイス管理に進むと、こうなる。

対処

以下の手順で解消した。

1. App Store、iCloud、ミュージック、TV、ブックから個別にサインアウト
2. appleid.apple.com にログインし、デバイス一覧から全端末をRemove
3. 全端末を再起動
4. デバイス管理から再度登録を試行

ただし、サインアウトの反映にタイムラグがある場合や、オフラインの端末が残っている場合は即時解消しないことがある。

▼5. FileVaultのエスクローがオフ表示になる（Apple Businessの表示バグ）

症状

3台のMacにブループリントを適用した後、Apple Businessの在庫画面でFileVaultの状態を確認したら、1台だけこういう表示になっていた。

• ▶ FileVault ✅ オン（ディスク暗号化自体は有効）
• ▶ FileVault ❌ オフ（復旧キーのエスクローが無効）

ブループリントでFileVaultを強制しているのに、エスクローがオフと表示されていた。

原因

Appleサポートに問い合わせたところ、これはApple Businessリニューアル後から発生している表示上のバグだと判明した。実際にはFileVaultは正常に有効で、エスクローも機能しているとのことだった。

▼6. 構成カタログの選択肢が、MDM仕様書と違う

症状

ソフトウェアアップデートの遅延設定について、Appleの公式ドキュメント（Apple Platform Deployment）には「1〜90日の遅延が設定可能」と書いてある。しかしApple Businessの構成カタログでは、選択肢が 1日・7日・14日・28日の4択 しかない。

原因

Apple Businessの構成カタログはGUIベースで、カスタムXMLプロファイルの投入ができない。だからMDM仕様としてはサポートされている値でも、Apple BusinessのGUIでは限定された選択肢しか出てこない。

JamfProやIruなどの外部MDMなら、同じ設定を最大90日まで自由に設定できる。

▼7. ブループリント適用前にFileVaultを手動有効化していると、エスクローが繋がらない

症状

ブループリントを適用する前に、ユーザーが手動でFileVaultを有効化していたMacでは、ブループリント適用後も復旧キーがApple Businessにエスクローされなかった。

在庫画面でFileVaultのステータスを見ると、暗号化自体はオンなのにエスクローがオフと表示される。これは5番の表示バグとは別で、実際にエスクローされていないケースだ。

原因

手動で有効化したときに生成された復旧キーは、Apple Businessにアップロードした暗号化証明書で暗号化されていない。だからブループリントを後から適用しても、既存の復旧キーは自動的にはエスクローされない。

対処

復旧キーのローテーションが必要だ。ターミナルから以下のコマンドで復旧キーを再生成できる。

再生成後、新しい復旧キーがApple Businessの暗号化証明書で暗号化され、エスクローが有効になる。

▼現時点での結論：7つのハマりを一枚にまとめる

▼まとめ

Apple Businessは無料で使えるMDM機能として確かに強力だ。ただリニューアル直後ということもあって、表示バグや不安定な挙動がまだ残っている。導入前に最低限これだけは押さえておきたい。

• ▶ 管理者アカウントは社員向けブループリントの対象から外す
• ▶ ドメインキャプチャは一括操作。事前周知と段階的な展開が必須
• ▶ Managed Apple Accountの案内時は、デバイス管理登録前にiCloudにサインインしないよう明記する
• ▶ Apple Businessの構成カタログは、MDM仕様の全機能をカバーしているわけではない
• ▶ 困ったらAppleサポートに問い合わせる。表示バグや既知の問題が結構ある

情シス1人で全部やろうとするとかなり消耗するが、ハマりポイントを先に知っておくだけで相当な時間の節約になる。要件によっては、最初から外部MDMを併用する設計のほうが結果的に早い、という判断もありだ。