社用 iPhone が約30台。MDM には入っていない。紛失したら遠隔ロックもできない。アプリの追加は総務に申請してもらう運用で、なんとか回している。
ある30名規模の会社で、この状態から iPhone の管理を始めた。当初の計画は「まず Apple Business Manager（ABM）に登録し、端末の管理は後から Intune で」だった。ところが ABM の管理画面に入ると、Apple Business に内蔵された端末管理の機能があった。これを使えば、iPhone のために Intune を足さなくて済む見込みだ。1台目を登録したところまでの実録を書く。まだ途中なので、確認できていないことは確認できていないと書く。
この記事でわかること
- ▶ Intune を足さず、Apple Business の内蔵の端末管理を選んだ理由
- ▶ ブループリントで何を配れるか
- ▶ 管理対象の Apple アカウントでできなくなること
- ▶ 1台目の登録で詰まったところ
▼背景：iPhone の管理を、何で始めるか
この会社は Microsoft 365 Business Premium を契約していて、PC は Intune で管理している。だから「iPhone も Intune で」が自然な流れに見える。最初に決めた方針はこうだった。
- ▶ iPhone のマスターは ABM、PC は Intune
- ▶ 二段階で進める：まず ABM に登録し、Intune の Apple 端末管理は後回し
- ▶ 一斉初期化はしない：返却・新規購入・譲渡のタイミングで初期化して、順次登録する（全台そろうまで約半年）
ABM の登録は難航した。過去に誰かが作った組織がすでにあり、その管理アカウントが誰のものかわからなかった。管理アカウントを特定してパスワードをリセットし、既存の組織を復旧してドメインの確認まで通すのに、数週間かかった。新しく組織を作り直す案もあったが、既存の組織を復旧できたので不要になった。
▼内蔵の端末管理を使うと決めた
復旧した管理画面には、端末管理（MDM）サーバーとして「Apple Business」が用意されていた。外部の MDM を契約しなくても、Apple Business の中で設定やアプリを配り、遠隔ロックや消去ができる。
そこで方針を変えた。iPhone は Apple Business の内蔵の端末管理で管理する。PC は今までどおり Intune。iPhone のために Intune の Apple 端末管理を構築する必要は、なくなる見込みだ。
判断の理由は2つある。1つは、やりたいことが内蔵の機能で足りること。この会社が iPhone に求めているのは、紛失時のロック・消去、パスコードの強制、アプリの統制で、高度な条件付きアクセスまでは要らない。もう1つは、仕組みを増やさないことだ。Intune 側に Apple の証明書やトークンを連携すると、毎年の更新作業が増える。管理する場所が少ないほど、引き継ぎやすい。
▼ブループリントで配るもの
内蔵の端末管理では、設定やアプリを「ブループリント」という単位でまとめて配る。最初に社員用のブループリントを1つ作り、iOS 向けに次の設定を入れた。
| 設定 | 狙い |
|---|---|
| パスワードと画面ロック | パスコードの強制。今の運用ルールを設定に置き換える |
| iCloud | 会社のデータが個人のクラウドに流れないようにする |
| ロック画面 | ロック画面に出る情報を絞る |
| ソフトウェアアップデート | OS の更新を放置させない |
| Wi-Fi | 社内の Wi-Fi を配る |
アプリの一覧には、最初から Intune のポータルアプリが入っていた。Intune を使わないなら不要なので、見直し対象にしている。各設定の細かい中身と割り当て先は、まだ見直しの途中だ。
▼管理対象の Apple アカウントでできなくなること
社員には、会社が発行する「管理対象の Apple アカウント」を使ってもらう。ここで、事前に社員へ伝えておくべきことがあった。
周知しておくこと
- ▶ App Store から自分でアプリを入れられない（無料のアプリも不可）。アプリはブループリントで配る
- ▶ 「探す」が使えない。紛失時は管理側から遠隔ロック・消去する
今は「アプリの追加は総務に申請」で回しているので、アプリを自分で入れられないこと自体は運用と合っている。むしろ、申請が来たらブループリントにアプリを足す、という形で仕組みに置き換えられる。
▼1台目の登録で詰まったところ
1台目は、新入社員に渡す iPhone にした。設定アプリの「一般 → VPN とデバイス管理」から「勤務先のアカウントにサインイン」で登録しようとしたところ、「ご利用の Apple Account は、このデバイスで利用可能なサービスに対応していません」と出て止まった。
原因は、管理対象の Apple アカウントに、確認コードを受け取る電話番号が登録されていなかったことだと判断している。電話番号を登録してやり直したら、登録と設定まで完了した。初回のサインインでは一時的な電話番号とパスワードを使ったので、本人に渡す前に差し替える。
登録方式で、効く制限が変わる
iPhone の登録方式には、購入時に組織に紐付く「自動デバイス登録」と、利用者が設定アプリからサインインする「アカウント駆動の登録」がある。アカウント駆動の登録だと iPhone は監視対象（Supervised）にならず、App Store の制限など一部の制御が効かない。1台目が最終的にどちらの方式で登録されたかは、まだ記録できていない。2台目からは方式を決めてそろえる。
▼次にやること
- ▶ 組織の管理者を2名以上にする（1人だと、またアカウントがわからなくなる）
- ▶ ブループリントの中身と割り当て先を見直す
- ▶ 登録方式を決めて、返却・購入・譲渡のタイミングで順次登録する
- ▶ 決裁者に、方針の変更（Intune を使わない）と理由を説明する
▼まとめ
- ▶ iPhone の要件がロック・消去・パスコード・アプリ統制なら、Apple Business の内蔵の端末管理で足りる見込み
- ▶ 管理する場所を増やさない方が、更新作業も引き継ぎも楽になる
- ▶ 管理対象の Apple アカウントは、App Store も「探す」も使えない。事前に周知する
- ▶ 登録前に、確認コード用の電話番号を登録しておく
- ▶ 登録方式で監視対象になるかが変わる。方式は最初に決める
📅 30分無料相談、受け付けています
「社用 iPhone を管理したいが、何で管理するのがいいかわからない」——そういった段階からお気軽にどうぞ。Apple Business の登録から、端末管理の方式選びまで対応しています。
📅 30分無料相談を予約する →