WWDC Quick Look 💓 By SwiftGGTeam
中文 EN 日本語
What’s new in Apple device management and identity

What’s new in Apple device management and identity

ビジネスと教育
元の動画を見る

Highlight

Apple Business Manager と Apple School Manager で初めて API が公開され、device management migration、Vision Pro の Return to Service、Setup Assistant への Platform SSO 組み込み、iPhone や Apple Watch をかざすだけで Mac にログインできる Tap to Login が追加されました。

主要内容

過去 10 年、IT 管理者がまとまった台数の Apple デバイスをある MDM サーバーから別の MDM サーバーへ移そうとした場合、選択肢はほぼ 2 つしかありませんでした。すべて手作業で移行するか、デバイスを丸ごとワイプして再セットアップするかです。学校の統廃合、オンプレ MDM からクラウドへの切り替え、ベンダーの変更など、いずれも大規模なダウンタイムを覚悟して臨むことになります。Apple Business Manager や Apple School Manager のデバイス一覧もブラウザでしか閲覧できず、IT チームが棚卸しを自動化したければ Web スクレイピングするしかありませんでした。これではフリート規模の拡大にとても追いつきません。

WWDC25 のこの Session では、これら 2 つの痛点を一気に解消します。新機能の device management migration を使えば、IT 管理者は ABM/ASM 上で iPhone、iPad、Mac を新しい MDM サーバーへ直接再割り当てし、期限を設定できます。期限前にユーザーへ通知が届き、期限を過ぎるとシステムが自動で migration フローを起動し、新しい MDM が Activation Lock を引き継ぎ、bootstrap token 経由で FileVault のキーをローテーションします。さらに Apple は ABM/ASM に対して初めて REST API を提供し、デバイス一覧の照会、MDM サービスへの割り当て、バルク処理のステータス取得などのエンドポイントをカバーしました。これに Vision Pro の Return to Service、Setup Assistant に組み込まれた Platform SSO、医師や看護師が職員カードをかざすだけで Mac にログインできる Tap to Login が組み合わさることで、すべては「分単位の手作業を秒単位の自動化に押し込める」というひとつのゴールに向かっています。

詳細

Session は Apple サービス、デバイス管理、アプリ管理、ID 連携の 4 つのパートで構成されています (01:00)。

Apple サービス：Managed Apple Account と ABM/ASM API

01:30 からは Managed Apple Account の話題です。今年から管理者は、自社ドメイン配下のすべての personal Apple Account の一覧をダウンロードしてユーザーにアカウント更新を促せるようになりました。アカウントを更新すると、新しい app notarization サービスを利用できます。Access Management もさらに拡張され、組織所有のデバイスへの personal Apple Account のサインインを Setup Assistant とシステム設定の両方でブロックできるようになり、これは MDM に依存しません (02:23)。

デバイス一覧には Activation Lock のステータス、ストレージ容量、IMEI/EID、release を実行したユーザーと日時が新たに加わり、年内には iPhone/iPad の Bluetooth/Wi-Fi MAC アドレスや AppleCare のカバレッジ情報も追加される予定です (03:13)。そして最大のトピックが、03:48 で発表された ABM/ASM API です。Administrator または Site Manager が API アカウントを作成し、Private API Key を生成・ダウンロードすれば、デバイスの照会、MDM サービスへの割り当て、バルク処理のステータス取得といった初期エンドポイント群を呼び出せます。実際のリクエストはこのような形になります。

GET /v1/orgDevices?filter[serialNumber]=F2LXXXXXXXXX HTTP/1.1
Host: api-business.apple.com
Authorization: Bearer <signed-jwt-from-private-api-key>
Accept: application/json

ポイント:

  • GET /v1/orgDevices は ABM/ASM Services API のデバイス一覧エンドポイントで、シリアル番号、モデル、アクティビティのステータスでフィルタリングでき、これまで Web 画面でしか見られなかったデバイス一覧の代替になります。
  • Host: api-business.apple.com は Apple Business Manager 用です。Apple School Manager では対応する api-school.apple.com ドメインを利用します。
  • Authorization ヘッダには Private API Key で署名した短命の JWT を載せます。Private API Key は Administrator か Site Manager が ABM/ASM の Web 画面で生成・ダウンロードする必要があり、再表示はされません。
  • 関連する POST /v1/mdmServerTokens、POST /v1/orgDevices/assign などのエンドポイントを使うと、デバイスをまとめて指定の MDM サーバーへ割り当てたり、GET /v1/orgDeviceActivities/{id} でバルク処理のステータスを追跡したりできます。

Vision Pro も Apple Configurator for iPhone に対応しました。Vision Pro が Setup Assistant の状態にあるときに iPhone を近づけると、ペアリングコードが表示され、それを入力するだけで組織に追加できます (05:00)。あわせて visionOS でも Setup Assistant のペインスキップが利用できるようになりました。Account-driven enrollment には service discovery URL のフォールバックも追加されています。デバイスがドメイン上の well-known endpoint を見つけられない場合、自動的に ABM/ASM へ問い合わせ、MDM サーバー側で設定したデフォルトの割り当てが適用されます (05:55)。

06:38 では device management migration が紹介されています。ABM/ASM 上でデバイスを新しい MDM へ再割り当てし、移行の締め切りを設定できます。期限までに対応されない場合、システムが自動で migration を実行し、新 MDM が Activation Lock を引き継ぎ、bootstrap token 経由で FileVault のキーをローテーションします。Apple は新旧の構成をできる限り揃えること、そして await device configured を使って enrollment フローから抜ける前にすべてのアプリの再インストールを完了させることを推奨しています。

デバイス管理：宣言型の拡張、Safari、Apple Intelligence、Return to Service

08:17 からはソフトウェアアップデートの話題です。declarative device management のソフトウェアアップデートは今年から visionOS と tvOS にも拡張され、同時に従来の MDM ベースのソフトウェアアップデート管理は deprecated とされ、将来的に削除予定であることが明言されました。

Safari の管理にも新しい declaration が登場しました。ブックマークの宣言、デフォルトのホームページの設定が可能になり、これまで restrictions payload に散在していた Safari 設定もまとめて declarative device management 側へ移行されました (08:59)。Apple Intelligence の writing tools、notification summaries、image playground といった制限項目も visionOS に揃えられています (09:25)。

このパートの目玉は Return to Service です (09:47)。iPhone と iPad では reset 時にマネージド app を保持できるようになりました。ユーザーデータは従来どおりワイプされる一方で、アプリ自体は端末に残り、次回の起動時にダウンロードし直す必要がありません。利用方法は、cloud configuration に新しいキーをセットしたうえで await device configured と組み合わせ、awaiting configuration の状態で保持したいアプリをインストールしておくというものです。デバイスをリリースした瞬間にシステムがスナップショットを取得し、次回のリセット後は InstallApplication コマンドや ManagedApp declaration を通じてそれらのアプリを引き取ります。

iPhone/iPad の Return to Service cloud configuration は概ね次のような構造になります。

{
  "ReturnToService": {
    "Enabled": true,
    "MDMServerURL": "https://mdm.example.com/checkin",
    "WiFiProfileData": "<base64-encoded-mobileconfig>",
    "PreserveApps": true,
    "AwaitDeviceConfigured": true
  }
}

ポイント:

  • ReturnToService.Enabled を true にすると、リセット後に元の MDM へ自動で再 enrollment されるフローが有効になり、管理者の手作業を介する必要がなくなります。
  • MDMServerURL と WiFiProfileData により、起動直後にネットワークへ接続し、目的の MDM サーバーへ復帰できます。
  • PreserveApps: true が今回追加された “app preservation” のスイッチです。ユーザーデータは通常どおりワイプされますが、インストール済みのマネージド app はデバイスに残ります。
  • AwaitDeviceConfigured: true はデバイスを awaiting configuration の状態で保留させ、MDM が InstallApplication または ManagedApp declaration で保持対象のアプリを引き継いでから DeviceConfigured でデバイスをリリースする、という流れを実現します。リリースの瞬間にシステムが現在インストールされているアプリのスナップショットを取り、これが次回リセット後の復元ターゲットになります。

Vision Pro も正式に Return to Service に対応しました (10:51)。コントロールセンターには「Reset for Next User」というオプションが新設され、押下すると 10 秒の猶予が設けられてユーザーがデバイスを外す時間を確保できます。ロック画面では Digital Crown を押すだけでもリセットを起動できます。

そのほか細かなアップデートとして、iPad のバッテリーヘルス情報、デフォルトのメッセージ/電話アプリの設定、SIM ごとに Messaging と FaceTime を制限する機能、AirPods や Beats の一時的な許可、ネットワークリレー profile の FQDN 対応、新しい Network Extension URL Filtering API などが挙げられています (11:42)。

アプリ管理：app 単位のアップデート制御、macOS の宣言型ディストリビューション対応

12:18 からはアプリ管理のパートです。iOS と iPadOS の managed app configuration は、app ごとにアップデートの挙動を指定できるようになりました。自動アップデートの強制や無効化、アプリを特定のバージョンに固定、セルラーダウンロードの制限が可能で、status channel を通じてインストールの進捗とバージョン情報をリアルタイムにレポートします。iOS 18.4 と iPadOS 18.4 では managed apps が正式に beta から外れ、visionOS 2.4 で required apps のサポートが追加されました。

macOS Tahoe 以降、App Store アプリ、custom app、package のいずれも declarative device management でデプロイできるようになりました (13:28)。required または optional のフラグを付けられ、ステータスは status channel から戻ります。ManagedAppDistribution framework は今年後半に Mac でもサポートされる予定で、MDM ベンダーがセルフサービス型のアプリストアを構築できるようになります。

最小構成の com.apple.configuration.managed-app declaration の例を示します。

{
  "Type": "com.apple.configuration.managed-app",
  "Identifier": "com.example.config.workapp",
  "Payload": {
    "AppStoreID": "1234567890",
    "Assignment": { "Type": "Required" },
    "UpdateBehavior": "EnforceAutomatic",
    "VersionPin": "5.2.0",
    "CellularDownloadsAllowed": false,
    "Configuration": {
      "apiBaseURL": "https://api.example.com",
      "tenantID": "acme-prod"
    }
  }
}

ポイント:

  • Type: com.apple.configuration.managed-app は declarative device management における「マネージド app」の declaration を表します。macOS Tahoe からは Mac もこのファミリーをサポートし、App Store app、custom app、package を網羅します。
  • Assignment.Type: Required を指定すると、enrollment 後にデバイスへ自動インストールされます。Optional に変えると MDM のセルフサービスストアに登録され、ユーザーが任意で選択する形になります。
  • UpdateBehavior と VersionPin の組み合わせが「app 単位のアップデート制御」を担います。自動アップデートを強制することも、特定のバージョンにアプリを固定することもでき、まず狭い範囲で検証してから段階的に展開する運用が可能です。
  • CellularDownloadsAllowed: false でセルラーダウンロードを抑制すれば、容量の大きなアップデートが従業員の通信量を食い潰すのを防げます。インストールの進捗と最終バージョンは declarative な status channel 経由で MDM サーバーへ返されます。
  • Configuration 辞書は従来から存在する managed app configuration です。app は UserDefaults または新しい ManagedApp framework を介してこの値を読み取ります。

iOS 18.4、iPadOS 18.4、visionOS 2.4 では新しい ManagedApp framework が導入されました (13:52)。これは組織から app へ設定値、パスワード、証明書、ID を安全に配布する仕組みです。Session で挙げられている代表的なユースケースには、app 体験のカスタマイズ、API access token の安全な取得、独自の信頼証明書の追加、ハードウェアバインドされたキーへのアクセスによるデバイス状態の強い証明などがあります。詳細は Session 203 を参照してください。

ID 連携：Setup Assistant に組み込まれた Platform SSO、Authenticated Guest Mode、Tap to Login

14:50 からは ID の話題です。これまで Platform SSO の登録は、Mac 上でローカルアカウントの設定を済ませた後でしか実行できませんでした。今年から Platform SSO は Setup Assistant に直接組み込まれ、Automated Device Enrollment 中に Platform SSO のペインが表示されます。先へ進むには IdP で認証を完了する必要があり、サインインに成功すると SSO が認証付きの MDM enrollment を実施します。IdP と Managed Apple Account がフェデレーションされていれば、同時に Managed Apple Account にもサインインされます。ローカルアカウントが作成され、パスワードは IdP と同期されるか、Secure Enclave-backed key を使う形になります。アカウントの画像も IdP から同期可能です。

16:08 では Authenticated Guest Mode が紹介されました。共有デバイス向けに設計された機能で、ユーザーは Mac のログインウィンドウから直接クラウド ID（パスワードまたは SmartCard）でサインインします（ネットワーク接続が必要です）。サインイン後は SSO により各 app やサイトへシームレスに渡せ、サインアウト時にはセッション中のすべてのユーザーデータがワイプされます。Platform SSO と Auto Advance を組み合わせれば、新しいデバイスの起動後にサイレントで Platform SSO 登録と MDM enrollment が完了し、そのままログインウィンドウに留まる、というフローが実現します。

17:15 は本セッション最大の見どころ、Tap to Login です。社員証や学生証をすでに Apple Wallet に格納している組織であれば、ユーザーが iPhone や Apple Watch を外付けの NFC リーダーにかざすだけで、Authenticated Guest Mode を有効化した Mac にログインできるようになります。クレデンシャルは Access Key の形で iPhone app から Wallet pass に書き込まれ、Secure Enclave に保管されてハードウェアで暗号化され、抽出や改ざんに耐性を持ちます。Express Mode により、デバイスのウェイクやロック解除も不要です。すでに社員証や学生証の発行を手がけている SwiftConnect などの開発者がこの Access Key の発行に対応しつつあります。

重要ポイント

  • やること：ABM/ASM でドメインをロックし、段階的にアカウント取り込みとフェデレーション認証を進める。

    • 価値：personal Apple Account による会社所有デバイスへのサインインを止めることは、Managed Apple Account の価値を実装に落とし込むための前提条件です。これがないと、その後の app notarization や Apple Intelligence の制限を全社員に適用するのが難しくなります。
    • はじめ方：ABM/ASM で Lock Domain を設定し、ドメイン内の personal Apple Account 一覧をダウンロードしてユーザーに是正を促します。次に Access Management を有効化し、組織のデバイスへの personal Apple Account のサインインをブロックします。最後に IdP と接続してフェデレーションを完成させます。

  • やること：ワイプ前提の MDM 切り替えを device management migration に置き換える。

    • 価値：Activation Lock も FileVault key も新 MDM が bootstrap token 経由で自動的に引き継げるため、エンドユーザーへの影響はほとんどなく、これまでで最もクリーンな移行経路になります。
    • はじめ方：新旧 MDM の declarative configuration をできる限り揃えます。migration の締め切りを設定し、新 MDM 側で await device configured を有効にして、すべてのアプリの再インストールが完了してから enrollment フローを抜けるようにします。

  • やること：小売、病院、学校などで共有運用される iPhone/iPad/Vision Pro に Return to Service を導入し、マネージド app を保持する。

    • 価値：ネットワーク帯域が限られる現場でも、リセットのたびに数 GB の業務 app を再ダウンロードする必要がなくなり、次のユーザーの待ち時間が分単位から秒単位に短縮されます。
    • はじめ方：cloud configuration に新しいキーをセットしたうえで await device configured を有効化し、awaiting configuration の段階で InstallApplication または ManagedApp declaration を使って保持対象のアプリをインストールします。最後にデバイスをリリースし、その瞬間にシステムにスナップショットを取らせます。

  • やること：Mac のキッティングを Platform SSO と Auto Advance による自動化に作り変える。

    • 価値：Setup Assistant の段階で Platform SSO と MDM enrollment を済ませられるため、新入社員は端末を起動してそのままサインインできます。「ローカルアカウントを先に作って、後から SSO 登録」という二段階の作業を IT が回す必要がなくなります。
    • はじめ方：MDM で Platform SSO 登録を有効にし、Auto Advance と組み合わせます。IdP と Managed Apple Account をフェデレーションし、SSO 経由で同時に Managed Apple Account にもサインインさせます。共有デバイスには Authenticated Guest Mode を構成します。

  • やること：app に ManagedApp framework を組み込み、IT 向けに安全な構成のエントリポイントを公開する。

    • 価値：MDM から API token、独自の信頼証明書、ハードウェアバインドのキーを安全に配布できるようになります。これは従来の managed app configuration では難しかった領域で、エンタープライズ顧客の獲得に直結します。
    • はじめ方：iOS 18.4 / iPadOS 18.4 / visionOS 2.4 SDK で ManagedApp framework を取り込み、IT が配布すべき設定値、パスワード、証明書、ID を定義します。API の形は Session 203 で確認してください。

関連 Session

コメント

GitHub Issues · utterances