What's new in managing Apple devices

ハイライト

macOS 14、iOS 17、iPadOS 17 ではデバイス管理が大幅に強化されました。自動デバイス登録（ADE）で Setup Assistant 中に FileVault と最低 OS バージョンを必須化できるようになり、Platform SSO はログインウィンドウでのローカルアカウント作成、SmartCard 認証、グループ権限マッピングに対応。iOS/iPadOS には消去済みデバイスを自動再登録する Return to Service フローが追加されました。

主要内容

企業の IT 管理者が常に直面する課題は、デバイスがユーザーに届く前にセキュリティとコンプライアンスの設定を完了させることです。これまで Mac の自動デバイス登録（ADE）は初期設定を簡素化できましたが、FileVault 暗号化や OS バージョンチェックなどの重要なセキュリティ手順は登録完了後にしか実行できず、「セキュリティの空白期間」が生じていました。

macOS 14 でこの状況が変わります。MDM は Setup Assistant の段階で FileVault の有効化を要求できるようになり、IT 管理者は回復キーをユーザーに表示するか、MDM サーバーにエスクローするかを選択できます。同時に最低 OS バージョンも設定でき、要件を満たさないデバイスは自動的にシステムアップデートへ誘導され、完了後に登録フローが再開されます。

もう一つの長年の課題はネットワークです。以前は Mac が初期設定時にオフラインだと ADE 登録がスキップされ、後から通知で登録を促すだけでした。多くのユーザーが通知を無視し、デバイスが長期間未管理のままになることがありました。macOS 14 ではフルスクリーンの Setup Assistant が表示され、「今すぐ続行」か「最大 8 時間後まで延期」の二択が提示されます。

認証面では、macOS Ventura で導入された Platform SSO により、企業ユーザーは IdP で一度認証するだけで全ての企業サービスにアクセスできます。今年はさらに拡張され、ログインウィンドウで企業資格情報からローカルアカウントを直接作成できるようになりました。SmartCard はログインとスクリーンセーバー解除に使え、IdP のユーザーグループはローカル権限（標準ユーザー、管理者、カスタムグループ）に直接マッピングできます。

iOS と iPadOS にも重要な更新があります。Return to Service により、消去されたデバイスは再アクティベーション時に MDM へ自動再登録され、手動介入は不要です。デバイス回収、転売前リセット、紛失後の復旧などに有効です。

詳細

macOS ADE の強化

（03:22）macOS 14 では MDM が Setup Assistant 中に FileVault を要求できます：

IT 管理者は Setup Assistant で FileVault 回復キーを表示するかどうかを設定できる
回復キーを MDM サーバーにエスクローし、ユーザーには表示しない選択も可能
ユーザーの初回ログイン前に完了するため、セキュリティの空白期間がなくなる

（04:13）最低 OS バージョン要件：

MDM は登録プロファイル送信時に最低 OS バージョンを指定できる
デバイスがプロファイルを要求した際にバージョンが不足していると、MDM は JSON 403 レスポンスを返す
システムが自動的にアップデートを案内し、再起動後に Setup Assistant が続行される
プロセス全体が自動化され、IT 管理者の手動介入は不要

（04:45）オフライン時の処理改善：

以前：オフライン時は ADE をスキップし、後から通知で案内
現在：オンラインになるとフルスクリーンの Setup Assistant が起動
ユーザーは「続行」で即時登録、または「後で」で最大 8 時間延期を選択
いつでもシステム設定から手動で登録を完了できる

Platform SSO の拡張

（06:40）macOS 14 の Platform SSO に追加された機能：

ログインウィンドウでのローカルアカウント作成：

初回起動時、ログインウィンドウで企業資格情報（Azure AD、Okta など）で認証
システムが対応するローカルアカウントを自動作成
Shared Device Key と Bootstrap Token の設定が必要

SmartCard 認証：

ログインウィンドウ認証に SmartCard を使用可能
スクリーンセーバー解除にも使用可能
高セキュリティ要件のある企業環境に適している

グループ権限マッピング：

IdP のユーザーグループをローカル macOS 権限に直接マッピング
標準ユーザー、管理者、カスタムローカルグループへのマッピングに対応
IdP 側の権限変更は Mac に自動同期される

ネットワーク認可：

非ローカルユーザー（Platform SSO でログインしたユーザーなど）を認可プロンプトで使用可能
一時的なゲストや共有デバイス向け
注意：SecureToken を伴う操作にはローカルユーザーが必要

iOS/iPadOS Return to Service

（14:30）Return to Service は消去後の再登録問題を解決します：

消去後、アクティベーションフロー中に元の MDM へ自動再登録
手動介入や QR コードの再スキャンは不要
デバイス回収、転売前リセット、紛失後の復旧などに適用
ADE 設定でこのオプションを有効化する必要がある

Apple Configurator の自動化

（18:00）Apple Configurator に自動化機能が追加：

Shortcuts アプリで自動化フローを作成可能
デバイス設定、アプリインストール、監督状態の設定などを一括実行
手動操作を減らし、大規模展開の効率を向上

重要ポイント

企業デバイス自助登録ポータルを構築する
- ADE の強化と Platform SSO を活用し、従業員が自助でデバイス初期化を完了できる Web ポータルを作る
- 価値：IT チケットを削減。従業員は新デバイス受け取り後、IT に連絡せず自動設定を完了できる
- 始め方：MDM で ADE と Platform SSO を設定し、起動フローの社内ドキュメントを作成
MDM コンプライアンス状態ダッシュボードを作る
- 宣言型デバイス管理（DDM）のリアルタイム状態レポートで可視化ダッシュボードを構築
- 価値：IT 管理者が FileVault 未設定、OS バージョン古い、未登録などのデバイスをリアルタイムで把握できる
- 始め方：MDM の DDM ステータスエンドポイントに接続し、SwiftUI や Web 技術でダッシュボード UI を構築
デバイス回収自動化ツールを開発する
- Return to Service と Apple Configurator Shortcuts 自動化で回収パイプラインを構築
- 価値：企業は毎年大量のデバイスを廃棄・回収するが、手動処理は非効率でミスが起きやすい
- 始め方：Apple Configurator の Shortcuts 連携で一括消去し、Return to Service 設定を正しく行う