WWDC Quick Look 💓 By SwiftGGTeam
中文 EN 日本語
What's new in managing Apple devices

What's new in managing Apple devices

WWDC 2020Device ManagementMDMBusiness & Education
元の動画を見る

ハイライト

2020 年に、Apple は自動デバイス登録、Mac 監視管理、管理対象アプリ、ブートストラップ トークン、ビジネス向け共有 iPad、アカウントごとの VPN、暗号化 DNS、タイムゾーンの設定などの機能を MDM プロセスに統合し、組織が Mac、iPhone、iPad をリモートで展開、更新、保護できるようにしました。

主要内容

リモートワークが突然拡大した後、IT 管理者は非常に特殊な問題に直面しました。Mac を従業員の自宅に送付する必要があり、iPhone と iPad をさまざまな地域に配布する必要があり、デバイスの電源を入れた後は自動的に組織管理に入る必要があり、システム アップデートはテスト期間を終了する必要がありました。各デバイスを手動で構成すると、配信が遅くなり、セキュリティ ポリシーがタイムリーに発行されないギャップが生じます。

(00:37) Apple はまず Mac に焦点を当てています。 macOS Big Sur では、デバイスの自動登録がより完全になります。ユーザーは言語を選択して Wi-Fi に接続するだけで、組織が所有するデバイスが自動的に MDM に登録されます。登録のカスタマイズには、ブランド、同意テキスト、最新の認証を含めることができ、ID プロバイダーからの資格情報をユーザー名に事前入力できます。

(02:44) 導入プロセスも、コンピューター室でのバッチ操作に近くなりました。自動デバイス登録のオートアドバンスにより、Mac は電源とイーサネットに接続するだけでセットアップ アシスタントをスキップし、ログイン画面にアクセスできます。 Mac Pro には Lights Out Management も搭載されており、管理者は MDM 経由で同じサブネット内で Mac Pro をリモートで起動、シャットダウン、または再起動できます。

(04:31) デバイスが組織に導入されると、管理機能も Mac に追加されます。ユーザーが承認した MDM 登録 Mac は監視対象デバイスとみなされ、管理者はアクティベーション ロックの制御、ブートストラップ トークンの使用、ローカル ユーザーのクエリと削除、プロファイルの置換または削除、監視対象制限のインストール、およびソフトウェア アップデートのスケジュールを設定できます。

(13:31) iOS および iPadOS のアップデートには、展開、共有デバイス、ホストされるアプリ、データ フロー制御、およびネットワーク セキュリティが含まれます。 Apple Configurator は、Apple School Manager および Apple Business Manager のアプリと書籍の場所をサポートします。共有 iPad はエンタープライズ シナリオにも拡張されます。一時セッションを使用すると、ユーザーはアカウントなしで共有 iPad を一時的に使用し、ログアウト後にセッション データを削除できます。

詳細

1. Mac のゼロタッチ導入とリモート電源制御

(00:58) 自動デバイス登録の目標は、「箱から出して電源を入れる」ことです。ユーザーが言語を選択して Wi-Fi に接続すると、組織所有のデバイスが自動的に MDM に登録されます。登録中に、登録のカスタマイズによってブランドと同意テキストが表示され、Microsoft Azure Active Directory、Okta、Ping などの ID プロバイダーに接続し、フルネームとショートネームが事前に入力されます。

キーポイント:

  • 自動デバイス登録により、最初の起動時にデバイスが MDM に入ることができるため、IT 部門がデバイスを取得して 1 つずつ処理する必要がありません。
  • 登録のカスタマイズ セットアップ プロセスに認証を組み込むことで、組織はローカル アカウントを作成する前にユーザー ID を確認できます。
  • 組織の必要に応じて、セットアップ アシスタントの手順を非表示にしたり保持したりできます。プレゼンテーションにリストされている例には、Siri、Touch ID、FileVault、Analytics、および場所が含まれます。

(02:44) 自動デバイス登録の自動進行により、Apple TV での一括セットアップ エクスペリエンスが Mac にもたらされます。デバイスに必要なのは電源とイーサネットのみで、ネットワークは DHCP をサポートしているため、セットアップ アシスタントをスキップしてログイン画面にすぐにアクセスできます。ディスクが暗号化されている場合でも、ユーザーはパスワードを入力する必要があります。

キーポイント:

  • このプロセスでは、Apple Business Manager または Apple School Manager を通じてデバイスを管理する必要があります。 ●コンピュータ室、教室、研究室などの有線ネットワーク環境に最適です。管理者は、デバイスをバッチでログイン状態に到達させることができます。
  • 暗号化されたディスクはパスワード要件を保持しており、導入速度は FileVault 保護をバイパスしません。

(03:18) 新しい Mac Pro の Lights Out 管理。管理者はまず Mac をローカル ネットワーク内のコントローラとして登録し、次に Mac Pro を LOM コントローラに登録して接続します。 MDM サーバーがコマンドを送信した後、コントローラーは起動、シャットダウン、または再起動のコマンドを Mac Pro に配布します。

キーポイント:

  • Lights Out Management には macOS Big Sur、Mac Pro、およびコントローラーが同じサブネット上にある必要があります。
  • デバイスには Lights Out Management ペイロードがインストールされている必要があります。
  • MDM ベンダーは、リモート電源操作を管理インターフェイスに統合するために、新しい Mac コマンドをサポートする必要があります。

2. Mac 管理機能が MDM に追加されました

(04:31) これまで、ユーザー承認の MDM には、Mac を自動的にデバイス登録する完全な機能がありませんでした。 macOS Big Sur ではこれが変更されます。ユーザーが承認した MDM に登録されているすべての Mac は監視対象とみなされます。管理者は、組織所有のデバイスに近いコントロール プレーンを取得します。

キーポイント:

  • 管理者はアクティベーション ロックを制御し、ブートストラップ トークンを利用できます。
  • MDM コマンドは、ローカル ユーザーのクエリとリストを実行し、必要に応じてユーザーを削除できます。
  • 管理者は、プロファイルの置換または削除、監視付き制限のインストール、およびソフトウェア更新のスケジュールを設定できます。

(05:24) マネージド ソフトウェア アップデートは、エクスペリエンスを iOS および iPadOS から Mac まで拡張し、より完全なエクスペリエンスを実現します。新しい MDM コマンドにより、クライアント Mac にソフトウェア アップデートの受け入れと再起動を強制することができます。 macOS のメジャー リリースと OS 以外のアップデートは最大 90 日間遅れる可能性があります。ソフトウェア更新カタログは削除され、無視フラグはメジャー アップデート専用に予約されています。

キーポイント:

  • 90 日の遅延により、組織には認定期間が残り、昇進前のテスト グループでの検証に適しています。
  • 長期間更新されていない端末を解決するために、強制的に更新を受け入れて再起動します。
  • カタログの削除と無視フラグの絞り込みはセキュリティ面の調整であり、MDM 製品は古いプロセスを更新する必要があります。

(05:48) マネージド アプリも Mac に登場します。管理者は MDM コマンドを使用してアプリを削除できます。また、デバイスが登録されていないときにアプリを削除することもできます。管理対象アプリの構成とフィードバックは iOS および iPadOS と同じようにサポートされます。認定されたアンマネージド アプリは、MDM を通じてマネージド アプリに変換できます。

キーポイント:

  • Mac アプリ管理は iOS ホスティング モデルに近づき始めており、アンインストール、構成、フィードバックはすべて MDM によって処理されます。
  • デバイスの登録解除時に管理対象アプリを削除すると、組織データのリサイクルに役立ちます。
  • この講演では、ユーザーが登録したデバイスにインストールされている管理対象アプリの変換はサポートされていないことが明確に述べられています。

(06:18) コンテンツ キャッシュには 2 つの管理関連の更新が含まれます。 macOS は、同じネットワーク上の Mac がより速く回復できるように、完全な 6GB リカバリ イメージをキャッシュします。新しい Content Caching Information MDM コマンドは、登録ステータス、キャッシュ圧力、提供されたバイト数、その他の指標を返すことができます。

キーポイント:

  • リカバリ イメージ キャッシュにより、外部ネットワークからのダウンロードが削減され、多数の Mac が同時に復元または更新されるネットワークに適しています。
  • MDM は、キャッシュ サービスが有効かどうか、適切に動作しているかどうか、クライアントのダウンロード速度の向上に役立つかどうかをリモートで判断できます。
  • Apple は、このコマンドはアクティビティ モニターのリアルタイム代替ではないため、開発者に頻繁にポーリングしないように注意を促しています。

3. Mac セキュリティ プロセスの変更

(08:03) ブートストラップ トークンは、MDM サーバーによって提供される予約された暗号化キーです。 macOS ではこれを使用して管理者アカウントを作成できるため、管理者パスワード認証が不要になります。また、ユーザーが安全なトークンを取得し、FileVault を使用して Mac を起動するのにも役立ちます。

キーポイント:

  • ブートストラップ トークンは、モバイル アカウントでのログイン プロセスがよりスムーズになるため、オンライン アカウントを使用する組織に役立ちます。
  • 実装すると、管理者は承認されたソフトウェア アップデートとカーネル拡張機能を利用できるようになります。
  • この機能は、Apple T2 セキュリティ チップを搭載した新しい Mac をサポートします。

(09:34) ダウンロードしたプロファイルは Mac に取り込まれます。ユーザーが電子メールまたは Web ページからプロファイルをダウンロードした後、システムはそれを直接インストールせず、システム環境設定のプロファイル ペインに配置します。ユーザーはプレビューし、クリックしてインストールし、確認してパスワードを入力する必要があります。

キーポイント:

  • ダウンロードしたプロファイルはシステム環境設定に 8 分間残り、その後パネルから削除されます。
  • macOS Big Sur では、コマンド ライン インストール プロファイルはダウンロードされたプロファイルとみなされ、インストールは引き続き [プロファイル] ペインで手動で完了する必要があります。
  • コマンド プロファイル ライン ツールのその他の機能は、引き続き以前と同様に動作します。

(10:53) networksetup ツールの権限も強化されました。標準ユーザーは、ネットワーク設定の読み取り、Wi-Fi のオン/オフ、アクセス ポイントの切り替えのみが可能です。システムレベルの設定を変更する場合、システムは「管理者パスワードが必要」設定を尊重します。管理者は引き続き sudo を介して管理操作を実行できます。

キーポイント:

  • 標準ユーザーは、管理者と同じコマンド ライン ネットワーク変更機能を持たなくなりました。
  • エンタープライズ スクリプトが標準ユーザーに依存してネットワーク構成を変更する場合は、再設計する必要があります。
  • 権限の境界は、グラフィカル インターフェイスのセキュリティ設定と一致しています。

(11:50) デバイスの自動登録は、シリアル番号に基づいてデバイスを識別します。 Appleは、製品ライン全体で完全にランダムな10桁のシリアル番号の使用を開始すると発表した。 MDM ベンダーは、現在の製品シリアル番号形式と新しい 10 桁のランダム形式の両方を処理する必要があります。

キーポイント:

  • 古い 12 桁のシリアル番号には、製造場所や製造時期などの識別可能な情報が含まれています。
  • 新しい形式により、シリアル番号が悪用されるリスクが軽減されます。
  • デバイス識別ロジックは、シリアル番号が常に古い長さまたは古い構造であると想定できません。

4. iOS および iPadOS の共有デバイス、データ フロー、ネットワーク セキュリティ

(13:31) Apple Configurator は、Apple School Manager および Apple Business Manager によって提供されるアプリと書籍の場所をサポートします。管理者はアカウント メニューで場所を選択できます。キャンパスや組織の場所が異なれば、アプリや書籍のコレクションも異なります。 cfgutil の拡張性も向上し、より多くのデバイスを復元できるようになりました。

キーポイント:

  • 場所により、同じ組織が場所ごとに異なるコンテンツを配布できます。
  • この機能は、学校、企業ストア、地域チームがアプリと書籍をそれぞれ管理するのに適しています。
  • USB バッチ リカバリおよび構成のための cfgutil の拡張性が向上しました。

(14:31) iOS 14 の自動デバイス登録では、「はじめに」ペインと「更新完了」ペインのスキップ キーが追加されます。セットアップ アシスタント ペイロードも iOS に導入され、管理者は同じスキップ キーを指定して、将来のアップグレードでそれらを有効にすることができます。

キーポイント:

  • 管理者は、初期セットアップ中にまだ知られていない新しいアップグレード パネルをスキップできます。
  • アップグレード中に設定パネルをスキップできるのは、Apple School Manager または Apple Business Manager に登録されているデバイスに限定されなくなりました。
  • このペイロードは、すべての監視対象デバイスで利用できます。

(15:27) 共有 iPad は学校のシナリオから企業まで拡張されます。従業員は管理された Apple ID を使用して共有 iPad にログインできます。 Microsoft Azure Active Directory を使用している組織は、フェデレーション認証を使用できます。共有 iPad は、新しいシングル サインオン拡張機能もサポートします。

キーポイント:

・共有iPad for Businessは、飲食店などのサービス業に適した共有デバイスです。

  • 管理者は、各ユーザーのストレージ容量に基づいて、キャッシュされたユーザーの数を動的に決定できます。
  • MDM は、共有 iPad 上のすべてのユーザーを一度に削除し、推定される常駐ユーザーとクォータ サイズを照会できます。

(16:51) 一時セッションを使用すると、ユーザーはアカウントなしで共有 iPad に一時的にログインできます。ユーザーがログアウトすると、このセッションで作成されたデータは削除されます。

キーポイント:

  • 一時セッションにより、共有デバイスの使用のしきい値が低くなります。
  • ログアウト後にデータが消去されるため、フロントデスク、訪問者、一時的なタスクデバイスに適しています。
  • 組織は、短期使用のたびに管理対象 Apple ID をプロビジョニングする必要はありません。

(17:28) 管理対象アプリを削除できないため、管理者は重要なアプリのみをロックダウンできます。ユーザーは引き続きアプリの並べ替え、新しいアプリのインストール、自分がインストールしたアプリの削除を行うことができますが、削除不可としてマークされているホストされているアプリを削除したりオフロードしたりすることはできません。

キーポイント:

  • 以前は、重要なアプリの削除を防ぐために、ホーム画面全体をロックするのが一般的でした。
  • 新機能により、ユーザーはミッションクリティカルなアプリを保護しながら、日常の整理のためのスペースを確保できます。
  • 制限付きアプリを削除またはオフロードすると、操作がブロックされ、リマインダーが表示されます。

(18:29) ショートカットはマネージド オープン インをサポートします。ショートカットがアクションをトリガーするときに、ポリシーでデータのフローが許可されていない場合、ショートカットは実行をすぐに停止します。通知設定ペイロードには、プレビュー タイプ キーも追加されます。このキーは、通知プレビューをいつ表示するかを制御するために使用されます (表示しない、常に、またはデバイスのロックが解除された後のみ)。

キーポイント:

  • マネージド オープン インは、マネージド データがアンマネージド アプリやサービスに流入すること、またはその逆を防止します。
  • プレビュー タイプは監視対象デバイスでのみ有効です。
  • どちらの機能も、組織のデータ保護をユーザーの日常的な運用パスまで拡張します。

(19:50) Set Timezone MDM コマンドは、クロスリージョンのリモート デバイス用です。管理者は、位置情報サービスに依存せずに、各デバイスのタイムゾーンを選択できます。プレゼンテーションでは、タイムゾーンエラーが認証の問題を引き起こす可能性があることについて特に言及しました。

キーポイント:

  • リモート ワーカーが複数の国にまたがっている場合、デバイスはデフォルトで MDM サーバーのタイム ゾーンに設定されるべきではありません。
  • Set Timezone コマンドを使用すると、MDM が端末の時間環境を直接変更できるようになります。
  • 測位サービスに依存せず、ユーザーが測位をオフにしたり、デバイスに安定した測位情報がないシナリオに適しています。

(20:57) iOS のアカウントごとの VPN では、連絡先、カレンダー、メール ドメインに代替 VPN を指定できます。開発者は、ドメイン ペイロード内のキーを置き換えるだけで済みます。暗号化された DNS 設定により、組織は VPN を構成せずに MDM を通じて安全な DNS を管理できます。

キーポイント:

  • アカウントごとの VPN は、アプリ トラフィックからアカウント ドメインまで VPN の選択を絞り込みます。
  • 暗号化された DNS は DNS サーバーへの接続を保護します。
  • どちらもリモート ネットワーク環境でのデータ送信のセキュリティを確保します。

(22:22) iOS 14 デバイスは、Wi-Fi ネットワークに参加するときにランダムな MAC アドレスを使用します。企業ネットワークがキャプティブ ポータルまたはフィルタリング ルールに依存している場合、デバイス ID の変更により異常が発生する可能性があります。ユーザーは設定でこの機能をオフにすることができ、管理者は Wi-Fi ペイロードを通じてこの機能を無効にすることができます。

キーポイント:

  • ランダム MAC アドレスはプライバシーを向上させますが、ハードウェア アドレスでデバイスを識別する企業ネットワークに影響を与えます。
  • デバイスが参加に失敗した場合、実際の MAC アドレスにフォールバックします。
  • Wi-Fi ペイロードは、管理されたネットワークへの互換性のあるエントリ ポイントを残します。

重要ポイント

  • やるべきこと: MDM 製品の Mac Big Sur 導入準備状況チェックを 1 ページで実行します。 実行する価値がある理由: 自動デバイス登録、登録のカスタマイズ、自動アドバンス、およびライトアウト管理はすべて、最初にネットワーク、ID、およびペイロードの条件が整っている必要があります。 開始方法: デバイスが Apple Business Manager または Apple School Manager からのものであるかどうかを確認し、DHCP、イーサネット、アイデンティティ プロバイダーの構成、LOM ペイロード、および同じサブネット条件を確認して、満足していない項目を管理者に表示します。

  • やるべきこと: 管理対象ソフトウェア更新の段階的リリース パネルを作成します。 価値がある理由: macOS メジャー リリースと非 OS アップデートは最大 90 日間遅延する可能性があり、MDM コマンドでアップデートをスケジュールし、強制的に再起動することもできます。 開始方法: テスト グループ、パイロット グループ、およびフル グループごとに遅延戦略を記録し、各グループのスキャン ステータス、インストール ステータス、再起動計画を表示して、遅延ウィンドウに長時間留まることを回避します。

  • 対処方法: 共有 iPad にストア モードまたはフロントエンド モードを追加します。 実行する価値がある理由: ビジネス向け iPad の共有、一時セッション、動的キャッシュされたユーザー、およびすべてのユーザーの一括削除は、短期的なデバイスのローテーションに適しています。 開始方法: 管理対象 Apple ID を使用して従業員の固定ログインをサポートし、一時セッションを使用して一時的なタスクをサポートし、シフトの引き継ぎ中にユーザーのクリーンアップとクォータのクエリをトリガーします。

  • 何をすべきか: リモート従業員のネットワーク セキュリティ ポリシー テンプレートを作成します。 実行する価値がある理由: アカウントごとの VPN、暗号化された DNS、プレビュー タイプ、タイムゾーンの設定、および Wi-Fi ペイロードはすべて、分散オフィスのセキュリティの詳細を示しています。 開始方法: メール、連絡先、カレンダーのドメインごとにアカウントごとの VPN を構成し、暗号化された DNS 設定をプッシュし、国またはチームごとにタイムゾーンの設定コマンドを発行し、エンタープライズ Wi-Fi のランダム MAC アドレスを無効にするかどうかを決定します。

  • やるべきこと: Mac 管理スクリプト移行チェックリストを作成します。 実行する価値がある理由: macOS Big Sur では、プロファイルのコマンドラインのインストールとネットワークセットアップの権限が変更されました。古い展開スクリプトでは、手動によるユーザー確認または管理者権限が必要な場合があります。 開始方法: プロファイルのインストールおよび networksetup 変更コマンドの既存のスクリプトをスキャンし、プロファイルのインストールを MDM または明示的なユーザー確認プロセスに変更し、ネットワーク変更を管理者が許可したパスに移動します。

関連セッション

コメント

GitHub Issues · utterances