macOS に適用
この記事では、Microsoft Intune で macOS 自動デバイス登録 (ADE) の登録ポリシーを作成する方法について説明します。 ADE と前提条件の設定の概要については、「 macOS 用の Apple 自動デバイス登録の概要」を参照してください。
注:
この記事の手順は、Apple Business と Apple School Manager のどちらを使用している場合でも同じです。 簡潔にするために、説明が必要な場合を除き、この記事の手順全体で Apple Business のみを参照します。
前提条件
デバイス プラットフォームの要件
Apple Business または Apple School Manager を通じて購入した、新しい macOS デバイスまたはワイプされた macOS デバイス。
テナント構成の要件
- Apple Business ポータルまたは Apple School Manager ポータルへのアクセス。
- アクティブな Apple トークン (.p7m ファイル)。 手順については、「 macOS ADE トークンのセットアップ」を参照してください。
- Intune の Apple MDM プッシュ証明書。
ヒント
自動デバイス登録では、デバイス ユーザーが削除できないデバイス構成が適用されます。 登録前にすべてのデバイスをワイプして、Out-of-Box の状態に戻します。
ユーザー アフィニティ付きの ADE と先進認証を備えたセットアップ アシスタントを使用して macOS デバイスを登録する場合、ユーザーは Microsoft Entra 資格情報を使用してポータル サイト アプリにサインインし、Microsoft Entra ID でのデバイスの登録を完了する必要があります。 macOS デバイスにポータル サイト アプリを追加するには、「macOS アプリ用のポータル サイトの追加」を参照してください。
セットアップ アシスタント中に Microsoft Entra ID シングル サインオン (SSO) を使用できるようにするには、デバイスを登録する前にプラットフォーム SSO ポリシーを作成します。 プラットフォーム SSO ポリシーは、自動デバイス登録 (ADE) 中に macOS デバイスを登録するために展開され、デバイスのセットアップ中にユーザーが organization 資格情報を使用してサインインできるようにします。 この構成により、ユーザーは登録後に Microsoft Entra で保護されたアプリとリソースに自動的にアクセスできます。 詳細については、「 macOS の自動デバイス登録時にプラットフォーム SSO を構成する」を参照してください。
登録ポリシーを作成する
管理センターで自動デバイス登録ポリシーを作成します。 このポリシーは、organization の Mac デバイスの登録エクスペリエンスを定義し、登録デバイスに登録ポリシーと設定を適用します。 ポリシーは、割り当てられたデバイスに無線で展開されます。
この手順の最後に、このポリシーを Microsoft Entra デバイス グループに割り当てることができます。
重要
この記事には、自動デバイス登録に含まれるデバイスの更新されたポリシー作成エクスペリエンス (登録プログラム トークン>登録ポリシー) が反映されています。 古いエクスペリエンス (登録プログラム トークン>プロファイル) は異なり、最終的に廃止されます。 古いエクスペリエンスでは新機能を利用できないため、必ず 登録ポリシーで新しいポリシーを作成してください。 詳細については、「 新しい iOS/iPadOS、visionOS、tvOS、macOS ADE 登録ポリシーのエクスペリエンス」を参照してください。
Microsoft Intune 管理センターの [デバイス] に移動します。
[ デバイスのオンボード] を展開し、[ 登録] を選択します。
macOS タブを選択します。
[ 一括登録方法] で、[ 登録プログラム トークン] を選択します。
登録プログラム トークンを選択します。
[登録ポリシー]>[ポリシーの作成]>macOS を選択します。
重要
デバイスをアクティブにする前に、デバイスに登録ポリシーを割り当てる必要があります。 デバイスが Apple Business または Apple School Manager から同期されてから電源がオンになったときに、自動デバイス登録を通じて正しく登録できるように、できるだけ早く既定の登録ポリシーを設定することをお勧めします。 Apple から同期したデバイスに登録ポリシーが割り当てられておらず、誰かがそれをオンにしてセットアップした場合、登録は失敗します。
[ 基本] にポリシーの名前と説明を入力して、他の登録ポリシーと区別できるようにします。 これらの詳細は、デバイス ユーザーには表示されません。
ヒント
名前フィールドを使用して、Microsoft Entra ID で動的グループを作成し、デバイスを登録ポリシーに自動的に割り当てることができます。 ポリシー名を使用して enrollmentProfileName パラメーターを定義します。 詳細については、「Microsoft Entra 動的グループ」を参照してください。
[次へ] を選択します。
[デバイス グループ] タブで、必要に応じて、登録時間のグループ化に使用する Microsoft Entra セキュリティ グループを選択します。 グループはこの登録ポリシーに直接マップされ、ポリシーの作成後に編集できます。
静的な Microsoft Entra セキュリティ グループのみを選択できます。 この設定を構成するには、カスタム RBAC ロール (登録プログラムの下) で登録時デバイス メンバーシップの割り当てアクセス許可が必要です。
登録時のグループ化の仕組みの詳細については、「Microsoft Intune での登録時のグループ化」を参照してください。
[次へ] を選択します。
[ 構成設定 ] タブで、 ユーザー アフィニティを構成します。 ユーザー アフィニティ によって、割り当てられたユーザーがいるかどうかによって、デバイスが登録されるかどうかが決まります。 次のようなオプションがあります:
- ユーザー アフィニティを使用しない登録: 1 人のユーザーに関連付けられていないデバイスを登録します。 共有デバイスおよびローカル ユーザー データにアクセスする必要がないデバイスの場合は、このオプションを選択します。 ポータル サイト アプリは、これらの種類のデバイスでは機能しません。 ユーザー アフィニティを使用しない登録は、 ユーザーレス登録とも呼ばれます。
重要
セットアップ アシスタント中に PSSO 登録を有効にするプラットフォーム SSO (PSSO) 構成プロファイルを、ユーザーレスの自動デバイス登録 (ADE) デバイスにターゲットにしないでください。 これを行うと、予期しない登録動作が発生し、デバイスが期待されるアフィニティを失う可能性があります。 「登録時のプラットフォーム SSO の構成」を参照してください
ユーザー アフィニティを使用して登録する: 割り当てられたユーザーに関連付けられているデバイスを登録します。 ユーザーに属する作業デバイスや、アプリをインストールするためにユーザーにポータル サイト アプリを要求する場合は、このオプションを選択します。 このオプションでは多要素認証 (MFA) を使用できます。 ユーザー アフィニティを使用した登録は、 ユーザーへの登録とも呼ばれます。
オプション 2 では、追加の構成が必要です。 ユーザーは、登録前に自分自身を認証して ID を確認する必要があります。 次のいずれかの認証方法を選択します。
先進認証を使用したセットアップ アシスタント (推奨): この方法では、ユーザーがリソースにアクセスする前に、すべてのセットアップ アシスタント画面を完了し、Microsoft Entra 資格情報を使用してポータル サイト アプリにサインインする必要があります。 ポータル サイトにサインインすると、デバイスは次のことを行います。
- Microsoft Entra ID で登録します。
- Microsoft Entra ID のユーザーのデバイス レコードに追加されます。
- デバイスのコンプライアンスを評価できます。
- 条件付きアクセスによって保護されたリソースにアクセスします。
ユーザーがポータル サイトにサインインして登録を完了しないと、条件付きアクセス保護を使用してマネージド アプリを開こうとすると、毎回ポータル サイト アプリにリダイレクトされます。
macOS 10.15 以降を実行しているデバイスでは、この方法を使用できます。 古い macOS デバイスでは、従来のセットアップ アシスタントの使用にフォールバックします。 Mac ユーザーにポータル サイト アプリを入手する方法の詳細については、「macOS 用ポータル サイト アプリの追加」を参照してください。
重要
ユーザー デバイス アフィニティのある ADE (自動デバイス登録) シナリオでは、Apple デバイスに 先進認証と共にセットアップ アシスタント を使用することをお勧めします。 レガシ認証の使用は引き続き可能ですが、その使用はお勧めしません。
- セットアップ アシスタント (レガシ) (推奨されなくなりました): Apple 製品の典型的な、すぐに使用できるエクスペリエンスをユーザーに体験してもらいたい場合は、従来のセットアップ アシスタントを使用します。 この方法では、デバイスが Intune 管理に登録するときに、標準の事前構成済み設定がインストールされます。 Active Directory フェデレーション サービスを使用しており、セットアップ アシスタントを使用して認証する場合は、WS-Trust 1.3 ユーザー名/混合エンドポイントが必要です。 ADFS エンドポイントの取得の詳細については、 Get-ADfsEndpoint を参照してください。
[最終構成を待機 ] では、セットアップ アシスタントの最後にロックされたエクスペリエンスを有効にして、最も重要なデバイス構成ポリシーがデバイスに確実にインストールされていることを確認できます。 この設定は、セットアップ アシスタントでの Apple の自動デバイス登録エクスペリエンス中に 1 回適用されます。 デバイス ユーザーが Mac を再登録しない限り、この問題は再び発生しません。
次のようなオプションがあります:
はい: ホーム画面が読み込まれる直前に、セットアップ アシスタントが一時停止し、デバイスをIntune チェックできます。 エンド ユーザー エクスペリエンスは、ユーザーが最終的な構成を待つ間ロックされます。 このオプションは、新しい登録ポリシーの既定の構成です。
いいえ: ポリシーのインストール状態に関係なく、セットアップ アシスタントの終了時にデバイスがホーム画面に解放されます。 デバイス ユーザーは、すべてのポリシーがインストールされる前に、ホーム画面にアクセスしたり、デバイス設定を変更したりできる場合があります。 このオプションは、既存の登録ポリシーの既定の構成です。
ユーザーが [待機中の最終構成] 画面に保持される時間はさまざまで、デバイスに割り当てているポリシーとアプリの合計数によって異なります。 ユーザーは、待機中にセットアップ アシスタントでデバイス構成ポリシーのダウンロードを確認できます。 割り当てられているポリシーとアプリが多いほど、待ち時間が長くなります。 セットアップ アシスタントと Intune では、セットアップのこの部分では、最小または最大の時間制限は適用されません。 製品の検証中に、テストしたほとんどのデバイスはリリースされ、15 分以内にホーム画面にアクセスすることができました。 この機能を有効にし、デバイスのプロビジョニングを手助けするために Microsoft パートナーまたは Microsoft 以外のサービスと協力している場合は、プロビジョニング時間が長くなる可能性について伝えてください。
ロックされたエクスペリエンスは、macOS 10.11 以降を実行している Mac でサポートされています。 これは、次のシナリオ用に設定された新規または既存の登録ポリシーを対象とする Mac で動作します。
- 先進認証を使用したセットアップ アシスタントによる登録
- セットアップ アシスタントを使用した登録 (レガシ)
- ユーザー デバイス アフィニティを使用しない登録
ロックされた登録を適用して、ユーザーが Intune からデバイスの登録を解除できないようにすることができます。 [ はい ] を選択すると、システム環境設定とターミナルで、ユーザーが管理ポリシーを削除できるようにする Mac 設定を無効にします。 デバイスの登録後は、デバイスをワイプしない限り、この設定を変更することはできません。
必要に応じて、[ アカウント設定] で、対象の Mac のローカル管理者アカウントとユーザー アカウントを構成します。
サポートされている macOS デバイスが、ローカル管理者を構成する自動デバイス登録 (ADE) ポリシーを介して Intune に登録すると、デバイスは Microsoft ローカル管理者パスワード ソリューション (LAPS) を使用した macOS ローカル アカウント構成のために使用されます。 この機能を使用すると、新しく登録されたデバイスは、強力で暗号化されたランダム化された管理者パスワード (15 桁の英数字) を持つ一意のローカル管理者アカウントを受け取ります。このパスワードも Intune によって保存および暗号化されます。 登録後、Intune では、既定で 6 か月ごとに LAPS で管理される管理者パスワードのローテーションが自動的に行われ、十分なアクセス許可を持つ Intune 管理者による管理者パスワードの検索と手動ローテーションがサポートされます。
この機能の構成と管理の詳細については、「 LAPS を使用した macOS アカウント構成のセットアップ」を参照してください。
次のローカル ユーザー アカウントの設定は、macOS 12 以降を実行しているデバイスでサポートされています。 プライマリ アカウントを構成するときは、このアカウントが 管理者 アカウントになることに注意してください。 少なくとも 1 つの管理者アカウントを持つことは、Mac のセットアップ要件です。 このポリシーを使用してローカル管理者パスワードも構成している場合は、「LAPS を使用した macOS アカウント構成のセットアップ」の記事の「ローカル管理者アカウント」を参照し、ここに戻ってください。
次のようなオプションがあります:
ローカル ユーザー アカウントを作成する: 対象の Mac のローカル ユーザー アカウント設定を構成するには、[ はい ] を選択します。 すべてのアカウント設定構成をスキップするには、[ 未構成] を選択します。
アカウント情報の事前入力: 既定の構成 (未 構成) では、デバイス ユーザーがセットアップ アシスタントでアカウントのユーザー名とフル ネームを入力する必要があります。 代わりにアカウント情報を事前に入力するには、[ はい] を選択します。 次に、プライマリ アカウント名と氏名を入力します。
ローカル ユーザー アカウントのユーザー名:
- {{serialNumber}} - たとえば、F4KN99ZUG5V2
- {{partialupn}} - 例えば、ジョン
- {{managedDeviceName}} - 例: F2AL10ZUG4W2_14_4/15/2025_12:45PM
- {{OnPremisesSamAccountName}} - たとえば、contoso\John
ローカル ユーザー アカウントのフル ネーム:
- {{username}} - 例えば、 John@contoso.com
- {{serialNumber}} - たとえば、F4KN99ZUG5V2
- {{OnPremisesSamAccountName}} - たとえば、contoso\John
編集を制限する: 既定の構成は [はい ] に設定されているため、デバイス ユーザーは自分用に設定されたアカウント名とフル ネームを編集できません。 デバイス ユーザーがアカウント名とフル ネームを編集できるようにするには、[未 構成] を選択します。 セットアップ アシスタント (レガシ) のみを使用して macOS 10.15 以降を実行しているデバイスを登録している場合、次のエンド ユーザー エクスペリエンスが期待できます。
- はい: セットアップ アシスタントのアカウント作成画面は表示されません。 代わりに、他の設定構成に基づいてローカル ユーザー アカウントが自動的に作成され、Microsoft Entra 認証画面からパスワードが自動的に入力されます。 デバイス ユーザーはこれらのフィールドを編集できません。
- 未構成: ローカル ユーザー アカウント画面は、セットアップ アシスタントのエンド ユーザーに表示され、構成されたアカウント値と、Microsoft Entra 認証画面からのパスワードが入力されます。 デバイス ユーザーは、セットアップ アシスタントでこれらのフィールドを編集できます。
アカウント設定が意図したとおりに機能するには、登録ポリシーに次の構成が含まれている必要があります。
- ユーザー アフィニティ: [ユーザー アフィニティを使用して登録する] を選択します。
- 認証方法: 先進認証を使用するセットアップ アシスタント またはセットアップ アシスタント (レガシ) を選択します。
- Await final configuration: [Yes] を選択します。
ローカル アカウントは、作成時に await final 構成機能に依存します。 その結果、ローカル管理者またはユーザー アカウント設定を構成する場合、この設定は常に有効になります。 await final 構成設定には触れなくても、バックグラウンドで常に有効になり、登録ポリシーに適用されます。
[ セットアップ アシスタント] で、セットアップ アシスタントのエクスペリエンスを構成します。
- サポートのために誰に連絡すればよいかをユーザーが知ることができるように、部署の情報を入力します。
- 部署名: この名前は、デバイス ユーザーがアクティブ化中に [ 構成について ] を選択すると表示されます。
- [Department Phone]: この電話番号は、デバイス ユーザーがアクティブ化中に [ ヘルプが必要 ] を選択すると表示されます。
- デバイスのセットアップ中に表示または非表示にするセットアップ アシスタントの画面を選択します。 すべての画面の説明については、 セットアップ アシスタントの画面リファレンス ( 本記事内) を参照してください。 次のようなオプションがあります:
- 非表示: デバイスのセットアップ中に画面はユーザーに表示されません。 デバイスのセットアップ後、ユーザーはデバイス設定に移動して機能を設定できます。
- 表示: デバイスのセットアップ中に画面がユーザーに表示されます。 ユーザーは、すぐに操作を行う必要のない画面をスキップできます。 デバイスのセットアップ後、ユーザーはデバイス設定に移動して機能を設定できます。
- サポートのために誰に連絡すればよいかをユーザーが知ることができるように、部署の情報を入力します。
[次へ] を選択します。
変更の概要を確認し、[ 作成 ] を選択してポリシーの作成を完了します。
セットアップ アシスタント画面リファレンス
次の表では、Mac の自動デバイス登録時に表示されるセットアップ アシスタントの画面について説明します。 これらの画面は、登録時にサポートされているデバイスで表示または非表示を切り替えることができます。 各セットアップ アシスタント画面がユーザー エクスペリエンスに与える影響の詳細については、次の Apple リソースを参照してください。
| [セットアップ アシスタント] 画面 | 表示された場合の動作 |
|---|---|
| 位置情報サービス | ユーザーがデバイスで位置情報サービスを有効にできる位置情報サービスのセットアップ ウィンドウを表示します。 macOS 10.11 以降の場合。 |
| 復元 | アプリとデータのセットアップ ウィンドウを表示します。 この画面で、デバイスを設定するユーザは iCloud バックアップからデータを復元または転送できます。 macOS 10.9-15.3 の場合。 macOS 15.4 以降では、この画面を非表示にすることはできず、MDM で設定が制御されるため、別のデバイスからデータを転送できないというアラートが登録後にユーザーに表示されます。 |
| Apple ID | Apple ID セットアップ ウィンドウを表示します。Apple ID でサインインして iCloud を使用するためのオプションをユーザーに提供します。 macOS 10.9 以降の場合。 |
| 使用条件 | Apple の [利用規約] ウィンドウを表示し、ユーザーに利用規約の同意を要求します。 macOS 10.9 以降の場合。 |
| Touch ID と Face ID | [生体認証セットアップ] ウィンドウを表示します。これにより、ユーザーが自分のデバイスで指紋または顔識別を設定することができます。 macOS 10.12.4 以降の場合。 |
| Apple Pay | [Apple Pay セットアップ] ウィンドウを表示します。このウィンドウでは、ユーザーが自分のデバイスで Apple Pay を設定することができます。 macOS 10.12.4 以降の場合。 |
| Siri | Siri セットアップ ウィンドウをユーザーに表示します。 macOS 10.12 以降の場合。 |
| 診断データ | ユーザーが診断データを Apple に送信することを選択できる診断ウィンドウを表示します。 macOS 10.9 以降の場合。 |
| 画面トーン | 表示トーンのセットアップ ウィンドウを表示します。 この画面には、トゥルー トーンの表示をオンにするオプションが用意されています。 macOS 10.13.6 以降の場合。 |
| FileVault | FileVault 2 の暗号化画面をユーザーに表示します。 macOS 10.10 以降の場合。 |
| iCloud 診断 | iCloud 分析画面をユーザーに表示します。 macOS 10.12.4 以降の場合。 |
| 登録 | 登録画面をユーザーに表示します。 macOS 10.9 以降の場合。 |
| iCloud ストレージ | iCloud ドキュメントとデスクトップ画面をユーザーに表示します。 macOS 10.13.4 以降の場合。 |
| 外観モード | ユーザーが外観モードを選択できる外観ウィンドウを表示します。 macOS 10.14 以降の場合。 |
| スクリーン タイム | macOS の [スクリーンタイム] セットアップ ウィンドウを表示します。この機能は、ユーザーが使用時間、アプリと Web サイトのアクティビティに関する分析情報を取得するために有効にできます。 macOS 10.15 以降の場合。 |
| プライバシー | [プライバシーの設定] ウィンドウをユーザーに表示します。 macOS 10.13.4 以降の場合。 |
| アクセシビリティ | アクセシビリティのセットアップ画面をユーザーに表示します。 この画面が非表示の場合、ユーザーは macOS の Voice Over 機能を使用できません。 Voice Over は、次のようなデバイスでサポートされます。 - macOS 11 を実行している。 - イーサネットを使用してインターネットに接続されている。 - Apple School Manager または Apple Business にシリアル番号があること。 |
| Apple Watch による自動ロック解除 | macOS の [Apple Watch でロックを解除] ウィンドウを表示します。ここで、ユーザーは Mac のロックを解除するように Apple Watch を構成できます。 macOS 12.0 以降の場合。 |
| Terms of Address | [住所の用語] ウィンドウを表示します。これにより、ユーザーはシステム全体での呼びかけ方法 (女性、男性、ニュートラル) を選択できます。 この Apple 機能は、一部の言語で利用できます。 詳しくは、 Macで言語 & 地域設定を変更する(Apple Webサイトを開く)を参照してください。 macOS 13.0 以降の場合。 |
| 壁紙 | デバイスのソフトウェア アップグレードが完了した後の macOS Sonoma の壁紙セットアップ ウィンドウを示しています。 この画面を非表示にすると、既定の macOS Sonoma の壁紙が表示されます。 macOS 14.1 以降の場合。 |
| ロックダウン モード | Apple ID を設定したユーザーにロックダウン モードの設定ウィンドウを表示します。 macOS 14.0 以降の場合。 |
| インテリジェンス | ユーザーが Apple Intelligence 機能を構成できる [Apple Intelligence セットアップ] ウィンドウを表示します。 macOS 15.0 以降の場合。 |
| App Store | Apple App Store ウィンドウを表示します。 macOS 11.1 以降の場合。 |
| ソフトウェアの更新 | 必須ソフトウェア更新プログラムの画面を表示します。 macOS 15.4 以降の場合。 |
| 追加のプライバシー設定 | 追加のプライバシー設定ウィンドウを表示します。 macOS 26.0 以降の場合。 |
| OS ショーケース | OS ショーケース ウィンドウを表示します。 macOS 26.1 以降の場合。 |
| 更新が完了しました | ソフトウェア更新プログラムの [完了] ウィンドウを表示します。 macOS 26.1 以降の場合。 |
| 概要 | [作業の開始] ウィンドウを表示します。 macOS 15.0 以降の場合。 |
デバイスへの登録ポリシーの割り当て
macOS デバイスに登録ポリシーを割り当てます。
- 登録 プログラム トークン に戻り、トークンを選択します。
- [デバイス] を選択します。
- 一覧からデバイスを選択し、[ ポリシーの割り当て] を選択します。
- 割り当てるポリシーを選択し、[ 割り当て] を選択します。
必要に応じて、既定の登録ポリシーを選択できます。 既定のポリシーは、トークンに関連付けられているすべての登録デバイスに展開されます。
- 登録 プログラム トークン に戻り、トークンを選択します。
- [ 既定のポリシーの設定] を選択します。
- ポリシーを選択し、[ 保存] を選択します。
次の手順
- デバイスの同期、ユーザーへのデバイスの配布、トークンの管理については、「 macOS ADE デバイスとトークンの管理」を参照してください。
- 登録プログラム トークンを更新または削除するには、「 macOS ADE トークンの設定」を参照してください。
- Microsoft Intune のリモート デバイス アクションを使用して、登録済みの Mac をリモート管理します。