WWDC Quick Look 💓 By SwiftGGTeam
中文 EN 日本語
Do more with Managed Apple IDs

Do more with Managed Apple IDs

BusinessDevice ManagementEnterprise
元の動画を見る

ハイライト

管理対象 Apple ID は、iOS 17、iPadOS 17、macOS 14 で iCloud キーチェーン、ウォレット、継続性のサポートを追加し、アカウント主導のデバイス登録とアクセス管理ポリシーを導入し、カスタム ID プロバイダーの統合を開始します。

主要内容

企業の IT 管理者は、組織のデータを安全に保ちながら、従業員に適切な生産性ツールを提供するという 2 つのことのバランスを常に保っています。今年の管理対象 Apple ID のアップデートにより、この多肢選択式の質問が少し簡単になりました。

マネージド Apple ID は、ビジネス/学校向けに設計された Apple ID のタイプです。組織は、Apple Business Manager または Apple School Manager を通じてこれらのアカウントを作成および管理します。従業員が管理対象 Apple ID を使用して自分のデバイスにログインすると、データは組織に属するため、個人の Apple ID を公開する必要はありません。

その他の iCloud 機能

(01:50) 今年、管理対象 Apple ID により、これまで個人アカウントに限定されていたいくつかの機能がロック解除されます。

  • iCloud キーチェーン: デバイス間でのパスワードとパスキーの同期、アプリや Web サイトへの Face ID / Touch ID ログイン
  • メッセージ、株式、ニュース、Siri: データはデバイス間で同期されます
  • 財布: クレジット カード、運転免許証、バスの定期券、鍵、アクセス カード
  • 継続性: ハンドオフ、サイドカー、インスタント ホットスポット、ユニバーサル クリップボード、継続性カメラ

従業員が設定で管理対象 Apple ID にログインすると、iCloud 設定で利用可能なすべてのサービスを確認できるようになります。

Account-driven Device Enrollment

(04:03) 以前は、デバイスを登録するには 2 つの方法がありました。

  • ユーザー登録 (BYOD): 従業員は個人用デバイスで仕事用アカウントにログインし、仕事用データと個人データは暗号化されて分離されます。
  • デバイスの登録: 組織はデバイスを所有し、インストール構成記述ファイルを通じて、より高い管理権限を使用してデバイスを登録します。

デバイスの登録の問題は、プロセスが煩雑で、説明ファイルを手動でダウンロードしてインストールする必要があることです。今年の新しい アカウント主導型のデバイス登録 により、ログイン エクスペリエンスが統一されます。

  1. ユーザーが設定で「職場または学校のアカウントにサインイン」をクリックします。
  2. 管理対象 Apple ID を使用してサインインします。
  3. システムにリモート管理の指示が表示されます。
  4. 登録を完了すると、管理対象 Apple ID と個人用 Apple ID が共存します

データは分離されたままですが、組織はほぼ完全なデバイス登録管理機能 (パスワード ポリシー、リモート ワイプ、ロックされたデバイスなど) を利用できるようになります。 macOS に登録すると、デバイスは監視対象になります。

MDM 開発者は、次の 2 つの構成を変更するだけで済みます。

  • 既知のエンドポイントのバージョンmdm-byodに変更しますmdm-adde- 登録プロファイルの EnrollmentModeBYODに変更しますADDE

Access Management

(10:59) 組織は、管理対象 Apple ID のサインイン ポリシーを制御できるようになりました。

  • 任意のデバイス: どのデバイスでもログインできます
  • 管理対象デバイスのみ: 管理対象デバイスのみ
  • 監視対象デバイスのみ: 監視対象デバイスのみ、最高のセキュリティ レベル

また、メッセージと FaceTime (組織内の連絡先のみ、または完全に無効化)、開発者ツールへのアクセス (Xcode、Apple Developer Web サイト)、および個別の iCloud サービスを個別に制御することもできます。

(12:51) MDM は新しい実装する必要がありますGetTokenこれらのポリシーをサポートするためのチェックイン リクエスト。デバイスは、ログイン時に MDM から JWT トークンを要求し、デバイスの管理ステータスが組織のポリシーに準拠していることを確認します。

カスタム ID プロバイダー

(16:52) 以前のフェデレーション認証は、Microsoft Azure AD と Google Workspace のみをサポートしていました。カスタム ID プロバイダーのサポートが今年オープンされ、標準に準拠した IdP を統合できるようになりました。

次の 3 つの標準をサポートする必要があります。

  • OpenID Connect: フェデレーション認証
  • SCIM: ディレクトリ同期
  • OpenID 共有シグナル フレームワーク: アカウント セキュリティ イベント (パスワード変更など)

Okta は、今年後半にサポートされる ID プロバイダーになることを発表しました。

詳細

Sign in with Apple at Work and School

(07:01) 管理対象 Apple ID を使用して、「Apple でサインイン」をサポートするサードパーティ アプリにサインインできるようになりました。仕事用アプリには職場アカウントを使用し、個人用アプリには個人アカウントを使用します。アプリが Web ビュー認証を使用する場合は、「別の Apple ID を使用する」をクリックして管理対象 Apple ID を入力します。

macOS での登録プロセス

(07:39) macOS Sonoma では、[システム設定] > [プライバシーとセキュリティ] > [プロファイル] に新しい「職場または学校アカウント」ログイン ポータルが追加されました。このプロセスは iOS/iPadOS と一貫しており、設定に従ってユーザー登録またはデバイス登録を返します。

GetToken 実装の詳細

(14:53) GetToken によって要求された MessageType は次のとおりです。GetToken、TokenServiceType は次のように設定されます。com.apple.maid。応答は、次のクレームを含む JWT です。

  • 発行者：MDMサーバーのUUID
  • 発行日: トークン生成のタイムスタンプ
  • Jwt 識別子: ランダムな UUID、1 回限りの使用を保証
  • サービスタイプ:com.apple.maid

JWT は、MDM サーバー証明書の秘密キーを使用して署名されます。デバイスがトークンを検証した後、デバイスの管理ステータスが組織のログイン ポリシーに準拠しているかどうかを確認します。

重要ポイント

  • やるべきこと: B2B アプリに「職場および学校で Apple でサインイン」サポートを追加します。

  • 価値がある理由: ビジネス ユーザーは管理対象 Apple ID を使用することが増えています。このログイン方法をサポートすると、アプリがより多くの企業に採用されるようになります

  • 開始方法: 既存の「Apple でサインイン」の実装を確認し、Web ビューの認証フローが「別の Apple ID の使用」をサポートしていることを確認します。

  • 内容: ユーザー登録環境でのアプリの動作をテストします。

  • 実行する価値がある理由: BYOD シナリオでは、仕事データと個人データがデバイス上で分離されます。特定のシステム レベルのデータ (フォト アルバムや連絡先など) に依存するアプリは、隔離された環境では動作が異なる場合があります。

  • 開始方法: [設定] > [一般] > [VPN とデバイス管理] > [職場または学校のアカウントにサインイン] でテスト デバイスにユーザー登録を作成し、アプリの機能を確認します。

  • やるべきこと: MDM 開発者の場合は、できるだけ早くアカウント主導のデバイス登録をサポートしてください。

  • 実行する価値がある理由: 構成の変更は小規模 (2 つのフィールド) ですが、企業ユーザーの登録エクスペリエンスが大幅に向上します。ユーザーは説明ファイルを手動でインストールする必要がなくなりました

  • 開始方法: 既知のエンドポイント リターンを変更するmdm-adde、登録プロファイル EnrollmentMode を次のようにします。ADDE

  • やるべきこと: アプリの機能に対するアクセス管理の影響を評価する

  • 価値がある理由: 組織によっては、特定の iCloud サービス (iCloud Drive、リマインダーなど) を無効にする場合があります。アプリがこれらのサービスに依存している場合は、無効な状態で正常に機能を低下させる必要があります。

  • 開始方法: コード内のすべての iCloud サービス呼び出しを確認し、可用性チェックを追加し、利用できない場合はローカルの代替手段を提供します。

関連セッション

コメント

GitHub Issues · utterances