Apple Business Manager または Apple School Manager で Mac を自動的に登録する

[アーティクル]
02/26/2024

Apple Business Manager や Apple School Manager などの Apple 登録プログラムを通じて購入した新規またはワイプされた Mac 用に、Intuneで自動デバイス登録を設定します。この方法では、デバイスを構成する必要はありません。 Intune自動的に Apple と同期し、登録プログラムアカウントからデバイス情報を取得し、構成済みの登録プロファイルを Mac にオンプレミスでデプロイします。準備されたデバイスは、従業員または学生に直接出荷できます。セットアップアシスタントとデバイス登録は、他のユーザーが Mac をオンにすると開始されます。

この記事では、会社所有の Mac 用の自動デバイス登録プロファイルを設定する方法について説明します。

注:

この記事の手順は、Apple Business Manager と Apple School Manager のどちらを使用している場合でも同じです。簡潔にするために、説明が必要な場合を除き、この記事の手順全体を通じてのみ Apple Business Manager を参照してください。

制限事項

Apple Business Manager と Apple School Manager を使用した自動デバイス登録は、デバイス登録マネージャーアカウントではサポートされていません。

前提条件

Apple School Manager または Apple Business Manager へのアクセスが必要です。 Apple を通じて購入したデバイスのデバイスシリアル番号または注文番号の一覧も必要です。

開始する前に、次のタスクが完了していることを確認します。

テナントでモバイルデバイス管理機関を設定します。
Apple MDM プッシュ証明書を取得します。

登録プログラムトークンを作成する

このセクションでは、Intuneで登録プログラムトークンを作成する方法について説明します。 登録プログラムトークン (自動デバイス登録トークンとも呼ばれます) は、自動デバイス登録に必要なコンポーネントです。これにより、Intuneと選択した Apple 登録プログラムの間の通信とデバイス管理機能が有効になります。これにより、Intuneは Apple Business Manager または Apple School Manager アカウントの情報を同期し、プロファイルをデバイスに適用できます。

手順 1: Intune 公開キー証明書をダウンロードする

公開キー証明書は、Apple Business Manager に信頼関係証明書を要求するために必要です。

Microsoft Intune管理センターで、[デバイス>の登録] に移動します。
[ Apple ] タブを選択します。
[ 一括登録方法] で、[ 登録プログラムトークン] を選択します。
[追加] を選択します。
[ Microsoft にユーザーとデバイスの情報を Apple に送信するアクセス許可を付与することに同意する] を選択します。
[ 公開キーのダウンロード] を 選択し、キーを PEM ファイルとしてローカルに保存します。キーは、次の手順で MDM サーバートークンを取得するために使用されます。

手順 2: MDM サーバーを追加し、サーバートークンをダウンロードする

Intune用のモバイルデバイス管理 (MDM) サーバーを Apple Business Manager に追加し、そのサーバートークンをダウンロードします。

管理センターで、使用する Apple ポータルに対応するリンクを選択します。次のようなオプションがあります。
- Apple Business Manager を使用してトークンを作成する
- Apple School Manager を使用してトークンを作成する
選択したポータルが新しいブラウザータブで開きます。新しいタブに安全に切り替えることができますが、後でタブMicrosoft Intune開いたままにしておきます。
会社の Apple ID を使用して Apple ポータルにサインインします。この ID は Apple ID であり、組織は今後トークンを更新および管理するために使用する必要があるため、個人 ID を使用しないでください。
アカウントプロファイル>の [基本設定] に移動します。
MDM サーバーの割り当てに移動します。
MDM サーバーを追加するオプションを選択します。
MDM サーバーに名前を付けます。名前は、Apple Business Manager 内でのみ識別を目的としており、Microsoft Intune サーバーの実際の名前または URL である必要はありません。
公開キーファイルをアップロードし、変更を保存します。
サーバートークン (.p7m ファイル) をダウンロードします。

手順 3: MDM サーバーにデバイスを割り当てる

必要に応じて、Apple Business Manager で MDM サーバーを作成した後、デバイスの割り当てを開始できます。 Apple Business Manager を既に使用しているため、今すぐ割り当てることをお勧めしますが、準備ができていない場合は後で戻ることができます。 フィルターや一括割り当てなどの使用可能な機能を使用して、割り当ての選択を簡略化できます。詳細と手順については、「 Apple Business Manager でデバイスを割り当て、再割り当て、または割り当て解除する(Apple Business Manager ユーザーガイドを開く)」を参照してください。

手順 4: Apple ID を保存する

管理センターに戻り、サーバートークンのダウンロードに使用する Apple ID を入力します。この ID は、トークンを毎年更新するために使用する必要がある Apple ID です。 organizationのままにしてトークン管理を移行する必要がある場合に備えて、今後Intune管理者が使用する Apple ID を認識していることを確認します。

[登録プログラムトークンの追加] ウィンドウの [Apple ID] フィールドが強調表示されているスクリーンショット。

手順 5: サーバートークンをアップロードして完了する

Intuneにサーバートークンファイルをアップロードして、登録プログラムトークンの作成を完了します。

管理センター>の Apple トークン フィールドに戻ります。デバイス上のサーバートークン (.p7m ファイル) を参照します。
[ 開く] を選択し、[ 作成] を選択します。

Intuneは、Apple Business Manager と自動的に接続して、登録プログラムアカウントからデバイス情報を同期します。トークンを手動で同期する方法の詳細については、「マネージドデバイスの同期 (この記事)」を参照してください。

Apple の登録プロファイルを作成する

管理センターで自動デバイス登録プロファイルを作成します。プロファイルは、organizationの Mac デバイスの登録エクスペリエンスを定義し、登録デバイスに登録ポリシーと設定を適用します。プロファイルは、割り当てられたデバイスに無線でデプロイされます。

この手順の最後に、このプロファイルをデバイスグループMicrosoft Entra割り当てることができます。

重要

プロファイルを作成するには、Intuneに登録プログラムトークンのセットアップが必要です。まだ作成していない場合は、この記事の冒頭にある「登録プログラムトークンを作成する」を参照してください。

管理センターで、[デバイス>の登録] に移動します。
[ Apple ] タブを選択します。
[ 一括登録方法] で、[ 登録プログラムトークン] を選択します。
登録プログラムトークンを選択します。
[プロファイル][プロファイルの作成]>macOS を選択します>。
[ 基本] に、プロファイルの名前と説明を入力して、他の登録プロファイルと区別できるようにします。これらの詳細は、デバイスユーザーには表示されません。

ヒント

名前フィールドを使用して、Microsoft Entra IDで動的グループを作成し、デバイスを登録プロファイルに自動的に割り当てることができます。プロファイル名を使用して enrollmentProfileName パラメーターを定義します。詳細については、「動的グループのMicrosoft Entra」を参照してください。
[次へ] を選択します。
[ 管理設定] ページで、 ユーザーアフィニティを構成します。 ユーザーアフィニティは、 デバイスが割り当てられたユーザーの有無に関わらず登録するかどうかを決定します。次のようなオプションがあります。
- ユーザーアフィニティなしで登録する: 1 人のユーザーに関連付けられていないデバイスを登録します。ローカルユーザーデータにアクセスする必要のない共有デバイスとデバイスの場合は、このオプションを選択します。ポータルサイトアプリは、これらの種類のデバイスでは機能しません。
- ユーザーアフィニティを使用して登録する: 割り当てられたユーザーに関連付けられているデバイスを登録します。ユーザーに属する作業デバイスに対してこのオプションを選択し、アプリをインストールするためにユーザーにポータルサイトアプリを要求する場合は、このオプションを選択します。このオプションでは、多要素認証 (MFA) を使用できます。
  
  オプション 2 には、より多くの構成が必要です。ユーザーは、ID を確認するために、登録前に自分自身を認証する必要があります。次のいずれかの認証方法を選択します。
  - 先進認証を使用したセットアップアシスタント: この方法では、ユーザーがリソースにアクセスする前に、すべてのセットアップアシスタント画面を完了し、Microsoft Entra資格情報を使用してポータルサイトアプリにサインインする必要があります。ポータルサイトにサインインした後、デバイスは次の手順を実行します。
    - Microsoft Entra IDに登録します。
    - Microsoft Entra IDでユーザーのデバイスレコードに追加されます。
    - デバイスのコンプライアンスを評価できます。
    - 条件付きアクセスによって保護されたリソースへのアクセス権を取得します。
    ユーザーが登録を完了するためにポータルサイトにサインインしない場合、条件付きアクセス保護を使用してマネージドアプリを開くたびに、ポータルサイトアプリにリダイレクトされます。
    
    macOS 10.15 以降を実行しているデバイスでは、この方法を使用できます。古い macOS デバイスは、従来のセットアップアシスタントメソッドを使用してフォールバックします。ポータルサイトアプリを Mac ユーザーに取得する方法の詳細については、「macOS アプリのポータルサイトを追加する」を参照してください。
  - セットアップアシスタント (レガシ): Apple 製品の一般的な既定のエクスペリエンスをユーザーに体験させる場合は、従来のセットアップアシスタントを使用します。この方法では、デバイスが Intune 管理に登録されるときに、標準の構成済み設定がインストールされます。 Active Directory フェデレーションサービスを使用しており、セットアップアシスタントを使用して認証する場合は、WS-Trust 1.3 ユーザー名/混合エンドポイントが必要です。 ADFS エンドポイントの取得の詳細については、「Get-ADfsEndpoint」(/powershell/module/adfs/get-adfsendpoint?view=win10-ps&preserve-view=true) を参照してください。
最終構成を待機 すると、セットアップアシスタントの最後にロックされたエクスペリエンスが有効になり、最も重要なデバイス構成ポリシーがデバイスに確実にインストールされます。この設定は、セットアップアシスタントの Apple の自動デバイス登録エクスペリエンス中に 1 回適用されます。デバイスユーザーが Mac を再登録しない限り、デバイスユーザーは再びデバイスを体験しません。

次のようなオプションがあります。
- はい: ホーム画面が読み込まれる直前に、セットアップアシスタントが一時停止し、デバイスにIntune チェックできます。エンドユーザーエクスペリエンスは、ユーザーが最終的な構成を待機している間にロックされます。このオプションは、新しい登録プロファイルの既定の構成です。
- いいえ: ポリシーのインストール状態に関係なく、セットアップアシスタントが終了すると、デバイスはホーム画面にリリースされます。デバイスユーザーは、すべてのポリシーがインストールされる前に、ホーム画面にアクセスしたり、デバイスの設定を変更したりできます。このオプションは、既存の登録プロファイルの既定の構成です。
[待機中の最終構成] 画面でユーザーが保持される時間は異なり、デバイスに割り当てるポリシーとアプリの合計数によって異なります。ユーザーは、待機中にセットアップアシスタントでダウンロードされているデバイス構成プロファイルを確認できます。ポリシーとアプリが割り当てられるほど、待機時間が長くなります。セットアップアシスタントとIntuneでは、セットアップのこの部分では、最小または最大時間制限は適用されません。製品の検証中に、テストしたほとんどのデバイスがリリースされ、15 分以内にホーム画面にアクセスできました。この機能を有効にし、デバイスのプロビジョニングに役立つ Microsoft パートナーまたは Microsoft 以外のサービスと連携している場合は、プロビジョニング時間が長くなる可能性についてお知らせします。

ロックされたエクスペリエンスは、macOS 10.11 以降を実行している Mac でサポートされています。これは、次のシナリオ用に設定された新規または既存の登録プロファイルを対象とする Mac で動作します。
- モダン認証を使用したセットアップアシスタントによる登録
- セットアップアシスタントを使用した登録 (レガシ)
- ユーザーデバイスアフィニティを使用しない登録
ロックされた登録を適用して、ユーザーがデバイスの登録を解除Intuneできないようにすることができます。 [ はい ] を選択すると、[システム環境設定] と [ターミナル] の Mac 設定が無効になり、ユーザーは管理プロファイルを削除できます。デバイスを登録した後は、デバイスをワイプせずにこの設定を変更することはできません。
[次へ] を選択します。
必要に応じて 、[アカウント設定] ページで、対象の Mac でローカルプライマリアカウントを構成できます。

これらの設定は、macOS 10.11 以降を実行しているデバイスでサポートされています。プライマリアカウントを構成するときに、このアカウントが作成された後に 管理者 アカウントになることに注意してください。少なくとも 1 つの管理者アカウントを持つことは、Mac のセットアップ要件です。

次のようなオプションがあります。
- ローカルプライマリアカウントを作成する: [ はい ] を選択して、対象となる Mac のローカルプライマリアカウント設定を構成します。 [ 未構成] を選択して、すべてのアカウント設定の構成をスキップします。
- アカウント情報の入力前: 既定の構成 (未構成) では、デバイスユーザーがセットアップアシスタントで自分のアカウントユーザー名とフルネームを入力する必要があります。代わりにアカウント情報を事前入力するには、[ はい] を選択します。次に、プライマリアカウント名とフルネームを入力します。
  - プライマリアカウント名: アカウントのユーザー名を入力します。 {{partialupn}} は、 アカウント名でサポートされているトークン変数です。
  - プライマリアカウントのフルネーム: アカウントの完全な名前を入力します。 {{username}} は、 フルネームでサポートされているトークン変数です。
- 編集を制限する: 既定の構成は [はい ] に設定されているため、デバイスユーザーはアカウント名とフルネームを編集できません。デバイスユーザーがアカウント名とフルネームを編集できるようにするには、[ 未構成] を選択します。セットアップアシスタント (レガシ) のみを使用して macOS 10.15 以降を実行しているデバイスを登録する場合は、次のエンドユーザーエクスペリエンスが期待できます。
  - はい: セットアップアシスタントのアカウント作成画面は表示されません。代わりに、他の設定構成に基づいてローカルプライマリアカウントが自動的に作成され、Entra ID 認証画面からパスワードが自動的に設定されます。デバイスユーザーは、これらのフィールドを編集できません。
  - 未構成: ローカルプライマリアカウント画面がセットアップアシスタントのエンドユーザーに表示され、構成済みのアカウント値と Entra ID 認証画面のパスワードが入力されます。デバイスユーザーは、セットアップアシスタント中にこれらのフィールドを編集できます。
アカウント設定が意図したとおりに機能するには、登録プロファイルに次の構成が必要です。
- ユーザーアフィニティ: [ ユーザーアフィニティを使用して登録] を選択します。
- 認証方法: [先進認証を使用したセットアップアシスタント] または [セットアップアシスタント (レガシ)] を選択します。
- [最終構成を待機する]: [ はい] を選択します。
ローカルアカウントは、作成時の await 最終構成 機能によって異なります。その結果、ローカルプライマリアカウント設定を構成した場合、この設定は常に有効になります。 await の最終構成設定に触れない場合でも、バックグラウンドで有効になり、登録プロファイルに適用されます。
[次へ] を選択します。
[ セットアップアシスタント ] ページで、セットアップアシスタントエクスペリエンスを構成します。
1. サポートに問い合わせるユーザーをユーザーに知らせるために、部署の情報を入力します。
  - 部署名: この名前は、デバイスユーザーがアクティブ化中に [構成について ] を選択したときに表示されます。
  - 部署の電話番号: デバイスユーザーがアクティブ化中に [ヘルプが必要 ] を選択すると、この電話番号が表示されます。
2. デバイスのセットアップ中に表示または非表示にするセットアップアシスタント画面を選択します。すべての画面の説明については、セットアップアシスタントの画面リファレンス (この記事の) を参照してください。次のようなオプションがあります。
  - 非表示: デバイスのセットアップ中に画面がユーザーに表示されません。デバイスのセットアップ後、ユーザーはデバイス設定に移動して機能を設定できます。
  - 表示: デバイスのセットアップ中にユーザーに画面が表示されます。ユーザーは、即時アクションを必要としない画面をスキップできます。デバイスのセットアップ後、ユーザーはデバイス設定に移動して機能を設定できます。
[次へ] を選択します。
変更の概要を確認し、[ 作成 ] を選択してプロファイルの作成を完了します。

セットアップアシスタントの画面リファレンス

次の表では、Mac の自動デバイス登録時に表示されるセットアップアシスタント画面について説明します。登録中に、サポートされているデバイスでこれらの画面を表示または非表示にすることができます。

セットアップアシスタント画面	表示された場合の動作
位置情報サービス	位置情報をユーザーに要求します。 macOS 10.11 以降および iOS/iPadOS 7.0 以降の場合。
復元	[App とデータ] 画面を表示します。この画面では、ユーザーはデバイスを設定するときに iCloud Backup からデータを復元または転送できます。 macOS 10.9 以降、および iOS/iPadOS 7.0 以降の場合。
Apple ID	Apple ID を使用してサインインし、iCloud を使用するオプションをユーザーに提供します。 macOS 10.9 以降、および iOS/iPadOS 7.0 以降の場合。
使用条件	Apple の使用条件に同意するようユーザーに要求します。 macOS 10.9 以降、および iOS/iPadOS 7.0 以降の場合。
Touch ID と Face ID	デバイスに指紋認証を設定するオプションをユーザーに提供します。 macOS 10.12.4 以降、および iOS/iPadOS 8.1 以降の場合。
Apple Pay	デバイスに Apple Pay を設定するオプションをユーザーに提供します。 macOS 10.12.4 以降、および iOS/iPadOS 7.0 以降の場合。
Siri	Siri を設定するオプションをユーザーに提供します。 macOS 10.12 以降、および iOS/iPadOS 7.0 以降の場合。
診断データ	ユーザーに [診断] 画面を表示します。この画面は、診断データを Apple に送信するオプションをユーザーに提供します。 macOS 10.9 以降、および iOS/iPadOS 7.0 以降の場合。
画面トーン	画面トーンをオンにするオプションをユーザーに提供します。 macOS 10.13.6 以降、および iOS/iPadOS 9.3.2 以降の場合。
FileVault	FileVault 2 の暗号化画面をユーザーに表示します。 macOS 10.10 以降の場合。
iCloud 診断	[iCloud 解析] 画面をユーザーに表示します。 macOS 10.12.4 以降の場合。
登録	登録画面を表示します。 macOS 10.9 以降の場合。
iCloud ストレージ	iCloud のドキュメントとデスクトップ画面をユーザーに表示します。 macOS 10.13.4 以降の場合。
外観モード	[外観モード] 画面をユーザーに表示します。 macOS 10.14 以降、および iOS/iPadOS 13.0 以降の場合。
スクリーンタイム	[スクリーンタイム] 画面を表示します。 macOS 10.15 以降、および iOS/iPadOS 12.0 以降の場合。
プライバシー	ユーザーにプライバシー画面を表示します。 macOS 10.13.4 以降、および iOS/iPadOS 11.3 以降の場合。
アクセシビリティ	[アクセシビリティ] 画面をユーザーに表示します。この画面が非表示の場合、ユーザーは Voice Over 機能を使用できません。 Voice Over は、次のようなデバイスでサポートされます。 - macOS 11 を実行している。 - イーサネットを使用してインターネットに接続されている。 - シリアル番号が Apple School Manager または Apple Business Manager に表示される。
Apple Watch による自動ロック解除	Apple Watch を使用して Mac のロックを解除するオプションをユーザーに付与します。 macOS 12.0 以降の場合。
住所の条件	女性的、男性的、または中立的なシステム全体で対処する方法を選択するオプションをユーザーに提供します。この Apple 機能は、一部の言語で使用できます。詳細については、「 Mac で言語 & リージョン設定を変更する(Apple Web サイトを開く)」を参照してください。 macOS 13.0 以降の場合。

マネージドデバイスを同期する

同期すると、既存のデバイスの状態が更新され、Apple MDM サーバーに割り当てられた新しいデバイスがインポートされます。関連付けられているすべての Apple デバイスとデバイス情報を表示するには、管理センターで登録プログラムトークンを同期します。

登録プログラムトークンに戻り、登録プログラムトークンを選択します。
[デバイス同期] を選択します>。

同期の制限

許容される登録プログラムトラフィックに関する Apple の条件に準拠するために、Microsoft Intuneでは次の制限が適用されます。

完全同期は、7 日に 1 回まで実行できます。完全同期中に、Intuneは、接続されている Apple MDM サーバーに割り当てられた最新の更新されたシリアル番号の一覧をフェッチします。 Apple Business Manager または Apple School Manager の MDM サーバーから割り当てを解除せずにIntuneからデバイスを削除した場合、完全同期が実行されるまで、デバイスはIntuneに再インポートされません。
いずれかの Apple 登録プログラムからデバイスがリリースされた場合、デバイスがIntuneの [デバイス] ページから自動的に削除されるまでに最大 45 日かかることがあります。必要に応じて、Intune 1 つずつリリースされたデバイスを手動で削除できます。 Intuneリリースされたデバイスは、自動的に削除されるまで Apple Business Manager または Apple School Manager から削除されたと報告されます。これは 30 から 45 日以内に発生します。
同期は 24 時間ごとに自動的に実行されます。同期は 15 分ごとに 1 回だけ開始できます。すべての同期要求は、完了までに 15 分与えられます。 [同期] ボタンは、同期が完了するまで非アクティブになります。

登録プロファイルをデバイスに割り当てる

Apple デバイスに登録プロファイルを割り当てます。

[登録プログラムトークン] に戻り、トークンを選択します。
[デバイス] を選択します。
一覧からデバイスを選択し、[プロファイルの 割り当て] を選択します。
割り当てるプロファイルを選択し、[ 割り当て] を選択します。

必要に応じて、既定の登録プロファイルを選択できます。既定のプロファイルは、トークンに関連付けられているすべての登録デバイスに展開されます。

[登録プログラムトークン] に戻り、トークンを選択します。
[ 既定のプロファイルの設定] を選択します。
プロファイルを選択し、[保存] を選択 します。

デバイスを配布する

重要

ユーザーアフィニティを持つデバイスに関連付けられているユーザーには、Intune ライセンスを割り当てる必要があります。ユーザーアフィニティがないデバイスでは、デバイスのライセンスが必要です。

準備したデバイスをorganization全体に分散します。

新規またはワイプされた Mac: Apple Business Manager または Apple School Manager で構成された新規またはワイプされた Mac は、デバイスをオンにすると、セットアップアシスタント中に自動的にMicrosoft Intuneに登録されます。ユーザーアフィニティを使用して macOS 登録プロファイルにデバイスを割り当てた場合、デバイスユーザーは、セットアップアシスタントが完了した後にポータルサイトにサインインして、Microsoft Entra登録と条件付きアクセスの要件を完了する必要があります。
既存の Mac: セットアップアシスタントを既に使用しているデバイスを登録できます。 macOS 10.13 以降を実行している企業所有の Mac を登録するには、次の手順を実行します。
1. 次のことを確認します。
  - デバイスが Apple Business Manager または Apple School Manager にインポートされました。
  - デバイスには、管理センターで macOS 登録プロファイルが割り当てられている。
2. ローカル管理者アカウントを使用してデバイスにサインインします。
3. 登録をトリガーするには、[ ホーム ] ページで [ターミナル] を開き、次のコマンドを実行します。
  
  sudo profiles renew -type enrollment
4. ローカル管理者アカウントのデバイスパスワードを入力します。
5. [ デバイスの登録] で、[詳細] を選択 します。
6. [ システム環境設定] で、[ プロファイル] を選択します。
7. 画面の指示に従って、Microsoft Intune管理プロファイル、証明書、ポリシーをダウンロードします。
  
  ヒント
  
  システム環境設定>プロファイルに戻ることで、デバイス上のプロファイルをいつでも確認できます。
8. ユーザーアフィニティを使用して macOS 登録プロファイルにデバイスを割り当てた場合は、ポータルサイトアプリにサインインして、Microsoft Entra登録と条件付きアクセスの要件を完了し、登録を完了します。

登録プログラムトークンを更新する

有効期限が近いサーバートークンを更新するには、次の手順を実行します。この手順により、Intuneに関連付けられている登録プログラムトークンがアクティブなままになります。

Apple Business Manager または Apple School Manager にサインインし、次の手順に従って新しい MDM サーバートークンをダウンロードします。
- Apple Business Manager でトークンをダウンロードする
- Apple School Manager でトークンをダウンロードする
管理センターで、[デバイス>の登録] に移動します。
[ Apple ] タブを選択します。
[ 一括登録方法] で、[ 登録プログラムトークン] を選択します。
更新する登録プログラムトークンを選択します。
[ トークンの更新] を選択し、元のトークンの作成に使用する Apple ID を入力します。
新しいトークンをアップロードします。
[次へ] を選択します。必要に応じて、この時点でスコープタグを更新できます。それ以外の場合は、[ 確認と作成] に進みます。
[ 作成] を 選択して変更を保存します。

次の手順

Microsoft Intuneリモートアクションを使用して、登録済みの Mac をリモートで管理します。

Apple Business Manager または Apple School Manager で Mac を自動的に登録する

制限事項

前提条件