macOSの登録

macOSをMDMの管理下に置きます。iOSやAndroidと違い、Agentとの併用が前提になる点が特徴です。

AgentとMDMの役割分担

macOSでは、2つの仕組みを組み合わせて管理します。

仕組み	担う役割
Agent	監視、インベントリー収集、スクリプト実行、リモート操作、バックアップ
MDM	権限の事前承認、構成プロファイルの配布、OSレベルの制限

Agentだけでも基本的な管理はできます。しかしmacOSでは、Agentが動作するために利用者が手動で権限を付与する必要があります。

MDMを併用すると、この権限を事前に承認できます。利用者の操作なしに、Agentが完全に動作する状態でセットアップできます。

【運用のポイント】 台数が10台を超えるなら、MDMの併用を強く推奨します。利用者一人ひとりにフルディスクアクセスと画面収録の権限付与を依頼する運用は、台数に比例して負担が増えます。しかも付与漏れがあると、その端末だけ機能が動きません。

事前準備

iOSと共通の準備が必要です。

準備	内容
プッシュ通知証明書	iOSと共通のものを使う
Apple Business Manager	自動デバイス登録を使う場合

iOSで既に設定している場合、追加の準備は不要です。

登録の方法

方法	対象
自動デバイス登録	Apple Business Managerに紐づいた新規デバイス
手動登録	既に使用中のデバイス

自動デバイス登録なら、初期設定の時点で管理下に入ります。Agentの導入と権限の承認も、あわせて自動化できます。

手動登録では、利用者が構成プロファイルをインストールします。

構成プロファイルの適用

MDMから配布する設定を、構成プロファイルと呼びます。macOSで配布する主なものは次の通りです。

プロファイル	目的
権限の事前承認	Agentのフルディスクアクセスなどを承認する
セキュリティー設定	パスワードの要件、画面ロックの時間
ネットワーク設定	無線LAN、VPNの設定
制限	特定機能の無効化

最も重要なのが1番目です。これがあることで、利用者の操作なしにAgentが完全に動作します。

Agent導入との順序

推奨する順序は次の通りです。

1. MDMに登録する
2. 権限承認のプロファイルを適用する
3. Agentを導入する
4. 動作を確認する

この順序なら、Agentの導入時点で権限が承認済みになります。逆順にすると、Agent導入後に権限付与が必要になり、手間が増えます。

Agentの導入手順はmacOS Agentの導入を参照してください。

登録後の確認

確認項目	確認方法
MDMに登録されている	デバイス一覧
Agentが導入されている	デバイス一覧
権限が承認されている	Software Inventoryが取得できているか
リモート接続ができる	実際に接続して画面が表示されるか

3番目と4番目で権限の状態が分かります。Software Inventoryが空ならフルディスクアクセス、リモート接続で画面が映らないなら画面収録が不足しています。

登録の解除

状況	対応
端末を返却	MDM登録を解除し、Agentを削除し、初期化する
端末を再配布	初期化して再度セットアップする

解除の順序に注意してください。先に初期化するとMDMの解除記録が残らず、管理コンソールに情報が残り続けます。

【注意】 MDM登録を解除すると、配布した構成プロファイルも削除されます。権限の承認も失われるため、Agentを残したまま解除するとAgentの機能が制限されます。解除する際は、Agentもあわせて削除してください。