What’s new in device management

ハイライト

Apple Vision Pro が Automated Device Enrollment によるゼロタッチ展開に正式対応。Apple Business Manager に Activation Lock のリモート解除が追加。ソフトウェア更新管理は分散していた MDM コマンドを統一設定宣言に置き換え。

主要内容

Apple のデバイス管理エコシステムは今年、一連の重要な更新を迎えました。核心は 2 つの課題：新デバイスの展開を容易にすること、ロックされたデバイスの回収を容易にすること。

第 1 の課題は Apple Vision Pro のエンタープライズ展開から。ヘッドセット購入後、管理者は手動で電源投入、Setup Assistant 完了、MDM 手動登録が必要で、iPhone/Mac のゼロタッチ展開体験と乖離していました。visionOS 2.0 がこれを解決— Automated Device Enrollment が Vision Pro をサポート。開封後 Setup Assistant で MDM 登録を自動完了、物理的操作不要。

第 2 の課題は Activation Lock によるデバイス回収の難しさ。擦除・ロック後、Activation Lock は不正使用を防ぎますが、意図せずロックが残り再設定できないことがあります。以前は IT チームが Apple Support に連絡するか、ユーザーに手動解除を依頼するしかありませんでした。Apple Business Manager は Activation Lock のリモート解除をサポート— 組織設定のロックもユーザー個人のロック（MDM 登録前に個人 Apple Account で有効化したロックを含む）もワンクリックで解除可能。

身份管理では、Managed Apple Account のドメインキャプチャフローが簡素化。組織は Identity Provider 接続なしで自社ドメインの Apple Account をキャプチャ可能。ユーザーは既存アカウントを Managed Apple Account に直接変換でき、改名を強制されません。

プラットフォーム管理では、ソフトウェア更新管理に統一設定宣言が導入。以前分散していた legacy MDM コマンドと profile を置き換え。新宣言は Beta 更新管理、通知動作制御をサポートし、可視性も強化。Safari 拡張機能も MDM で統一管理可能。IT が利用可能な拡張機能、デフォルト有効/無効、ドメインアクセスを定義できます。

詳細

Apple Vision Pro デバイス管理

visionOS 2.0 で Apple Vision Pro が Automated Device Enrollment エコシステムに組み込まれました（01:47）。組織が Vision Pro を購入し Apple Customer Number を関連付けると、デバイスが Apple Business Manager に表示。Device Assignment API に Vision Pro の値型が追加。

visionOS 管理モデルは iPhone/iPad と高度に一致。3 つの登録方式をサポート：

Device Enrollment：Managed Apple Account で Settings > VPN & Device Management から手動登録
User Enrollment：Managed Apple Account を使用。BYOD シナリオ向け
Automated Device Enrollment（visionOS 2.0 新規）：ゼロタッチ展開。Setup Assistant で自動登録、監督モード有効

visionOS 2.0 は管理能力を大幅拡張。大部分の MDM payload と設定をサポート：

Passcode policy、Domains、Web Content Filter などの payload
DeviceConfigured、DeviceLock、Settings サブコマンド
Managed Open-In 制限、アカウント変更制限、allowCamera 制限

Vision Pro はカメラ中心デバイスのため、allowCamera 制限を再設計— スクリーンショット時はアクティブウィンドウのみキャプチャ、背景は除去（15:04）。

Activation Lock リモート管理

Apple Business Manager と Apple School Manager が Activation Lock のリモート解除をサポート（03:58）：

対応デバイス：iPhone、iPad、Mac、Apple Watch、Vision Pro
前提条件：デバイスが組織に所属
対応シナリオ：組織設定のロックとユーザー個人のロックの両方を解除可能

Mac では、MDM 登録前に個人 Apple Account で Activation Lock を有効化した場合でも、組織がリモート解除可能（04:25）。

ソフトウェア更新管理統一宣言

iOS/iPadOS 18 と macOS 15 に新しい Software Update Settings 設定宣言（07:28）。すべての legacy MDM ソフトウェア更新管理コマンド、profile、制限を置き換え。新宣言は：

通知動作の変更。強制時間の 1 時間前のみ通知
Beta 更新管理。Public Beta と AppleSeed for IT をサポート

Beta 更新管理フロー（08:49）：

Apple Business Manager または Apple School Manager 管理者が beta.apple.com/it で AppleSeed for IT に登録
システムが組織とシード期間用の一意 token を生成
MDM が OS beta enrollment tokens エンドポイントで利用可能プログラムを発見（OAuth 認証必要）
MDM が program token を取得しデバイス登録に使用

Beta 更新設定例（09:37）：

{
  "BetaUpdates": {
    "betaPrograms": ["public-seed", "it-seed"],
    "publicBeta": "enabled",
    "notificationTime": "3600"
  }
}

キーポイント:

betaPrograms 配列が利用可能な Beta プログラムタイプを指定
publicBeta が公開 Beta の有効/無効を制御
notificationTime が強制前の通知時間を秒単位で設定

Automated Device Enrollment 中、MDM は HTTP 403 レスポンスで特定 Beta バージョンを強制可能。レスポンスボディに RequireBetaProgram 辞書（10:05）。

Safari 拡張機能管理

Safari 拡張機能を iOS、iPadOS、macOS で MDM 統一管理可能（11:07）。新設定は：

許可拡張機能リストを定義。ユーザーがオン/オフ可能
拡張機能を常時オン/常時オフに制御
ドメインとサブドメインごとに拡張機能の Web サイトアクセスを設定
すべての機能が Safari プライベートブラウジングに適用

Mac 管理強化

サービス profile インストールが実行ファイルをサポート（15:40）。IT 管理ツールとスクリプトを改ざん防止位置にインストール。zip archive 形式で配信。Launchd profile も background task services 設定でインストール可能。

外部ストレージ管理に新しいディスク管理設定（16:19）。IT 管理者は：

外部/ネットワークストレージを許可または禁止
マウントを読み取り専用ボリュームに制限

この設定は廃止予定の media management payload を置き換え。将来バージョンで削除予定。

Platform SSO が IdP 認証の適用範囲を拡大（16:48）：

IdP 認証で FileVault のロック解除が可能
ログインポリシーで FileVault、ログインウィンドウ、ロック画面全体で IdP 認証を要求可能
HPKE などより強力なセキュリティオプションを追加

Platform SSO 設定例（17:27）：

{
  "PlatformSSO": {
    "Extension": {
      "BundleIdentifier": "com.example.sso_extension",
      "TeamIdentifier": "EXAMPLE123"
    },
    "ExtensionType": "loginwindow-sso",
    "LoginWindow": {
      "Enable": true,
      "Mode": "allow"
    },
    "FileVault": {
      "Enable": true,
      "Policy": "attempt-authentication"
    },
    "UnlockPolicy": "require-authentication",
    "AllowOfflineGracePeriod": true,
    "OfflineGracePeriod": 72,
    "AllowTouchIDOrWatchForUnlock": true
  }
}

キーポイント:

FileVault.Policy を “attempt-authentication” に設定すると IdP 認証を優先。サーバー不可時はローカル認証情報にフォールバック
UnlockPolicy を “require-authentication” にするとロック画面解除がより厳格
AllowOfflineGracePeriod と OfflineGracePeriod がオフライン猶予期間を制御
AllowTouchIDOrWatchForUnlock で生体認証と Apple Watch が IdP 認証の代替に

iPhone と iPad 管理強化

蜂窝ネットワーク関連の新制限 2 つ（18:42）：

forcePreserveESIMOnErase：擦除時に eSIM 削除を防止
allowESIMOutgoingTransfers：eSIM の新デバイスへの転送を制御

ユーザーは QR コード長押しまたはリンクタップで eSIM を自己設定可能（19:04）。

iOS/iPadOS 18 は最大 5 つの Private Cellular Network payload をサポート。最大 5 つのプライベート 5G または LTE ネットワークを設定（19:29）。network slicing と per-app VPN を同時設定すると、管理 app トラフィックは指定 5G ネットワークスライスにルーティングされ、VPN の利点も維持。

app のロックと非表示機能を組織が管理可能（20:05）：

監督デバイスですべての app ロック・非表示を制限
管理 app に対する app 単位の制御
app を非表示にするとロックもされるため、ロック制限は非表示も制限

教育ツール強化

Easy Student Sign-In と Classroom の Unmanaged Nearby Classes 機能を Apple School Manager の Access Management で設定可能（22:18）。

Schoolwork 3.0 に新しい評価・採点ワークフロー（22:42）：

教師がスキャンまたはドキュメントインポートで評価を送信。Pages、Numbers、Keynote、Google Suite ドキュメント、PDF をサポート
教師がドキュメントを採点し、問題ごとに生徒のパフォーマンスを分析

Assessment Mode にマルチ app モードサポート（23:20）。メモ、スプレッドシート、支援 app、コーディング app、iPad の新しい電卓 app を含む。電卓 app は Assessment Mode と MDM 設定をサポート。関数電卓モードや Math Notes を無効化可能（23:53）。

重要ポイント

Apple Vision Pro をゼロタッチ展開フローに組み込む：なぜ— Vision Pro は単価が高く、手動展開は非効率でエラーが起きやすい。始め方— Apple Business Manager で Vision Pro を組織に関連付け、visionOS 2.0 の Automated Device Enrollment を設定、Setup Assistant で Remote Management を有効化。
Activation Lock が残った遊休デバイスを整理：なぜ— ロックされたデバイスは再設定不可で、エンタープライズ資産を占有。始め方— Apple Business Manager にサインイン、デバイスリストでロックされたデバイスを選択、「Turn Off Activation Lock」メニューでリモート解除。Apple Support やユーザー操作不要。
統一ソフトウェア更新宣言で Beta テストを管理：なぜ— 新宣言は最初の Beta バージョンから段階的テストと展開を実施可能。始め方— AppleSeed for IT に組織を登録、token を取得、新しい Software Update Settings 宣言で Beta 辞書を設定、延期オプションと組み合わせて段階展開。