Activation Lock

​

Activation Lock とは

Activation Lock は Apple のセキュリティ機能で、Apple デバイスを紛失したり盗難にあったりした場合に、不正な使用を防ぐのに役立ちます。Find My の一部であり、所有者以外がデバイスを使用したり販売したりすることを困難にすることで、盗難を抑止します。

​

Activation Lock の仕組み

Activation Lock は、ユーザーがデバイスで Find My を設定すると自動的に有効になります。次のように動作します。 会社所有のデバイスの場合、Iru Endpoint を使用して Activation Lock を管理できます。登録時にバイパスコードを生成しておくと、Apple Account とパスワードなしでデバイスのロックを解除できるため、デバイスを新しいユーザーに再割り当てする場合に便利です。また、Apple Business または Apple School Manager に登録されているデバイスの場合、そのポータルで Device Manager のロールを持つ管理者が Activation Lock をリモートで無効にできます。

​

ユーザーベースの Activation Lock

ユーザーベースの Activation Lock は、デバイスのユーザーが個人の Apple Account にサインインして Find My を有効にすると有効になります。この機能は iCloud Activation Lock とも呼ばれます。

​

ユーザーベースの Activation Lock を防止する方法

デフォルトでは、監視対象デバイスではユーザーベースの Activation Lock は許可されません。iOS、iPadOS、visionOS、または macOS デバイスが Automated Device Enrollment を通じて Iru Endpoint に登録されると、Activation Lock Allowed While Supervised の MDM オプションが false に設定されます。ただし、ユーザーベースの Activation Lock を許可する場合は、デバイスを登録する前に Automated Device Enrollment の構成を変更できます。

​

Mac コンピュータに関する特別な考慮事項

すでにセットアップされ、Iru Endpoint に登録されている Mac コンピュータについては、考慮すべき点がいくつかあります。

• 登録前の Activation Lock： ユーザーが登録前にユーザーベースの Activation Lock を有効にしていた場合、それは有効なままになります。
• バイパスコードの生成： Mac が以前に MDM によって監視されていなかった場合、Iru Endpoint はバイパスコードを生成して取得します。ただし、このコードでは既存のユーザーベースの Activation Lock をさかのぼって無効にすることはできません。バイパスコードを有効にするには、ユーザーが Find My をオフにしてから再度オンにする必要があります。
• 別の MDM からの移行： Mac を別の MDM から Iru Endpoint に移行する場合、既存の Activation Lock のバイパスコードの有効期限が切れている可能性があり、Iru Endpoint はそれを取得できません。バイパスコードは、デバイスが監視対象になってから 30 日以内にのみ取得できます。そのため、移行前に以前の MDM からこれらのコードを取得しておくことをお勧めします。

​

ユーザーベースの Activation Lock のバイパスコード

ユーザーベースの Activation Lock を許可していて、それを解除する必要がある場合（たとえば、デバイスを再割り当てする場合）は、まず Iru Endpoint のデバイスレコードからバイパスコードを取得します。次に、そのコードをデバイスに入力します。入力する場所はプラットフォームによって異なります。iPhone、iPad、Apple Vision Pro では設定アシスタント、iPhone と iPad では Finder、Mac では macOS 復元です。 バイパスコードは、監視対象の iOS、iPadOS、visionOS、macOS デバイス（T2 または Apple シリコンを搭載した Mac コンピュータ）で利用できます。Activation Lock のステータスのフィールドは、デバイスレコードの 詳細 タブにも表示されます。デバイスレコードの詳細を参照してください。バイパスコードを表示するには、Activation Lock のシークレットを読み取ることができるロール（例：Secrets Auditor）が必要です。チームメンバーのロールの権限を参照してください。

バイパスコードを取得する

設定アシスタント

iPhone、iPad、または Apple Vision Pro で、設定アシスタント中（例：消去後）に Activation Lock の画面が表示された場合は、Apple Account のフィールドを空白のままにし、パスワードのフィールドにユーザーベースのバイパスコードを入力します。

Finder

iPhone または iPad の場合は、ケーブルでデバイスを Mac に接続します。Finder で Activation Lock の資格情報の入力を求められたら、Apple Account のフィールドを空白のままにし、パスワードのフィールドにユーザーベースのバイパスコードを入力します。

macOS 復元

Activation Lock の画面が表示されている Mac で、メニューバーの Recovery Assistant を開き、Activate with MDM Key… を選択します。プロンプトが表示されたら、ユーザーベースのバイパスコードを入力します。

​

デバイスベースの Activation Lock

デバイスベースの Activation Lock は、MDM ソリューションが Apple の Device Assignment Service API に API リクエストを送信することで有効になります。この機能は MDM ベースまたは組織ベースの Activation Lock と呼ばれることもあり、現在は iOS、iPadOS、visionOS デバイスでのみサポートされています。

​

デバイスベースの Activation Lock を有効にする方法

デバイスベースの Activation Lock を有効にするには、デバイスを登録する前に Automated Device Enrollment の構成を変更する必要があります。Automated Device Enrollment の構成内の iPhone、iPad、Vision の各セクションで、この設定を個別に有効にしてください。

​

デバイスベースの Activation Lock のバイパスコード

デバイスベースの Activation Lock を有効にしていて、それを解除する必要がある場合は、バイパスコードを取得するで説明したのと同じ デバイスアクションメニュー の手順でデバイスレコードからデバイスベースのバイパスコードを取得し、上記の設定アシスタントまたは Finder の方法でそのコードをデバイスに入力します。 Automated Device Enrollment のトークンを作成した Apple Business または Apple School Manager のユーザーの Managed Apple Account でサインインして、Activation Lock を解除することもできます。代わりにこれらのポータルから Activation Lock をオフにする方法については、Apple Business または Apple School Manager を使用して Activation Lock を削除するを参照してください。

​

Apple Business または Apple School Manager を使用して Activation Lock を削除する

Apple Business または Apple School Manager では、組織が所有するデバイスの Activation Lock を無効にできます。デバイスは同じポータルに登録されている必要がありますが、MDM サーバに関連付けられている必要はありません。手順については、次の Apple サポート記事を参照してください。

• Apple Business で Activation Lock をオフにする
• Apple School Manager で Activation Lock をオフにする

Activation Lock のバイパスコードを利用できず、Apple Business または Apple School Manager を使用しても Activation Lock を削除できない場合は、AppleCare Enterprise Support に問い合わせてサポートを受けることができます。

​

関連記事