Appleデバイスの監視

デバイスの監視(supervision)は、Appleデバイス管理における重要な概念であり、Iru Endpointを通じて利用可能な制限と管理機能を決定します。監視について理解することで、組織のセキュリティ要件に適した登録方法を選択できます。

​

デバイスの監視とは

デバイスの監視は、iOS、iPadOS、macOSデバイスに強化された管理機能を提供するAppleのセキュリティ機能です。Appleのドキュメントによると、監視により、監視対象外のデバイスでは利用できない追加の制限と管理機能が有効になります。

​

デバイスの監視の仕組み

デバイスの監視は、特定の登録方法を通じてAppleデバイスと組織の間に信頼関係を確立することで機能します。デバイスが監視対象になると、Appleは追加の管理権限を付与し、Iru Endpointがより制限的なポリシーを適用し、より多くのデバイス機能を制御できるようになります。 監視のプロセスはデバイスの登録時に行われ、デバイスを再登録しない限り後から変更することはできません。これにより、強化されたセキュリティと制御機能を提供する恒久的な管理関係が作成されます。

​

デバイスが監視対象になる方法

デバイスは、以下の特定の登録方法によって監視対象になります。

​

Automated Device Enrollment(ADE)

Apple BusinessまたはApple School Managerを通じて登録された企業所有デバイスは、初期セットアッププロセス中に自動的に監視対象になります。これにより、利用可能な最高レベルの管理制御が提供されます。設定の詳細については、Automated Device Enrollmentを設定するを参照してください。

​

Apple Configurator

Mac上のApple Configuratorを使用してデバイスを手動で監視対象にすることができます。これにはデバイスの物理的な接続が必要です。この方法は通常、監視が必要だがADEを通じて登録されなかった企業所有デバイスに使用されます。

​

手動登録(監視対象外)

登録ポータルを通じて登録されたBring Your Own Device(BYOD)デバイスは監視対象外のままです。このユーザー主導の登録プロセスは、デバイスの所有権を尊重しながら必須の管理機能を提供します。BYODの設定については、Apple BYODの管理を参照してください。

​

監視がIru Endpointの管理に与える影響

​

監視対象デバイスの機能

デバイスが監視対象になると、Iru Endpointは追加の制限と管理機能を適用できます。

​

強化されたセキュリティ制限

• アプリのインストール制御 - ユーザーがApp Storeからアプリをインストールできないようにします
• アプリの削除防止 - ユーザーはインストール済みのアプリケーションを削除できません
• 構成プロファイルの保護 - ユーザーは管理プロファイルを手動でインストールまたは削除できません
• デバイスのリセット防止 - ユーザーはすべてのコンテンツと設定を消去できません
• Find Myの制限 - ユーザーはFind Myの設定を変更できません

​

高度な管理機能

• シングルアプリモード - デバイスを単一のアプリケーションにロックします
• キオスクモード - 特定のユースケース向けにデバイスの機能を制限します
• 高度なネットワーク制御 - よりきめ細かなWi-Fiおよびネットワーク管理
• 強化されたペアレンタルコントロール - 教育環境向けの追加の制限
• システムアプリの管理 - Apple標準のアプリケーションを削除または非表示にします

​

企業向け制御機能

• アカウント変更の防止 - ユーザーはアカウント設定を変更できません
• モバイルデータ通信のアプリ設定 - モバイルデータ通信を使用できるアプリを制御します
• AirDropの制限 - デバイス間のファイル共有を防止します
• Game Centerの削除 - 企業デバイスでゲーム機能を非表示にします

​

監視対象外デバイスの制限事項

手動登録で登録されたBYODデバイスの管理機能は限定的です。

​

利用可能な管理

• 基本的なセキュリティポリシー - パスコード要件、FileVault暗号化
• ネットワーク設定 - Wi-FiおよびVPNプロファイル
• 証明書の展開 - デバイスID証明書
• アプリの配布 - 企業アプリのインストール
• システム環境設定 - 基本的なシステム設定

​

利用できない制限

• App Storeへのアクセス - ユーザーは引き続きApp Storeからアプリをインストールできます
• アプリの削除 - ユーザーは企業アプリケーションを削除できます
• プロファイルの管理 - ユーザーはMDMプロファイルを削除できます
• デバイスのリセット - ユーザーはデバイスを消去してリセットできます
• 高度な制限 - 監視専用の多くの機能は利用できません

​

適切な登録方法の選択

​

Automated Device Enrollmentを使用する場合

最高レベルのセキュリティ制御が必要な企業所有デバイスを展開する場合は、ADEを選択します。この方法は、キオスク展開、シングルアプリのシナリオ、厳格な制御が必要な教育環境、広範な管理機能が必要な共有デバイスに適しています。

​

手動登録を使用する場合

手動登録は、従業員のプライバシーが重要なBYODプログラムに最適です。基本的なセキュリティ要件で十分な場合、ユーザーの柔軟性が重視される場合、またはADE設定の複雑さなしに迅速な展開が必要な場合にこの方法を使用します。

​

Iru EndpointのLibrary Itemsと監視

​

すべてのデバイスで利用可能なLibrary Items

Iru Endpointは、監視対象デバイスと監視対象外デバイスの両方で以下のLibrary Itemsをサポートしています。パスワードと生体認証の要件のためのPasscode、Macディスク暗号化のためのFileVault、ネットワーク設定のためのWi-Fi、安全なネットワークアクセスのためのVPN、デバイスIDと認証のためのCertificates、企業アプリケーション展開のためのCustom Appsです。

​

監視が必要なLibrary Items

一部のLibrary Itemsは、Appleのセキュリティ制限により監視対象デバイスでのみ動作します。これには、シングルアプリケーションモードのためのApp Lock、App Storeおよびシステムアプリ制御のためのAdvanced Restrictions、強化されたコンテンツフィルタリングのためのParental Controls、高度なシステム変更のためのSystem Extensions、低レベルのシステムアクセスのためのKernel Extensionsが含まれます。

​

監視のベストプラクティス

​

監視に関する問題のトラブルシューティング

​

まとめ

デバイスの監視はAppleデバイス管理の基本的な側面であり、Iru Endpointがデバイス上で制御できる内容に直接影響します。監視対象デバイスと監視対象外デバイスの違いを理解することで、セキュリティ要件に適した登録方法を選択し、管理機能について適切な期待値を設定し、互換性のあるLibrary ItemsでBlueprintsを構成し、デバイス管理についてユーザーと効果的にコミュニケーションを取ることができます。 最大限のセキュリティと制御を実現するには、企業所有デバイスでAutomated Device Enrollmentを使用します。BYODプログラムでは、手動登録により、ユーザーのプライバシーとデバイスの所有権を尊重しながら必須のセキュリティを提供できます。

​

関連記事