Appleデバイスでのアカウント駆動型の登録方法
アカウント駆動型ユーザ登録とアカウント駆動型デバイス登録は、管理対象Apple Accountでサインインすることで、ユーザと組織がAppleデバイスを仕事用に設定するためのシームレスで安全な方法を提供します。
このアプローチにより、管理対象Apple Accountと個人のApple Accountの両方で、同じデバイスでサインインしながら、仕事と個人のデータを完全に分離することができます。ユーザは自分の個人情報に対するプライバシーを守り、IT部門は仕事関連のアプリ、設定、およびアカウントに対応します。
この分離に対応するため、アプリとバックアップの処理方法に以下の変更が行われています:
登録プロファイルが削除されると、すべての構成と設定が削除されます。
管理対象アプリは登録解除時に必ず削除されます。
デバイス管理サービスに登録する前にアプリをインストールした場合、そのアプリを管理対象アプリに変換することはできません。
バックアップから復元しても、デバイス管理サービスの登録は復元されません。
個人のApple Accountでサインインしたユーザは、管理対象アプリ配布の招待を受けても受諾することはできません。
管理対象Apple Accountは手動で作成できますが、組織はGoogle Workspace、Microsoft Entra ID、またはIDプロバイダ（IdP）との統合を利用することができます。
Federated Authenticationについて詳しくは、Apple School Managerを使用したFederated AuthenticationについてまたはApple Businessを使用したFederated Authenticationについてを参照してください。
アカウント駆動型の登録プロセス
アカウント駆動型ユーザ登録またはアカウント駆動型デバイス登録を使用してデバイスを登録するには、ユーザは「設定」＞「一般」＞「VPNとデバイス管理」または「システム設定」＞「一般」＞「デバイス管理」に移動し、「勤務先または学校のアカウントでサインインしてください」ボタンを選択します。
これにより、4段階のデバイス管理サービスへの登録プロセスが開始されます:
サービスの検出: デバイスがデバイス管理サービスの登録URLを特定します。
認証とアクセストークン: ユーザは、登録を認証するため、および継続的な認証のために発行されるアクセストークンを取得するために、資格情報を提供します。
サービス登録: 登録プロファイルがデバイスに送信され、ユーザは登録を完了させるために管理対象Apple Accountでサインインする必要があります。
継続的な認証: デバイス管理サービスで、アクセストークンを使用して継続的にサインインしているユーザを確認します。
段階1: サービスの検出
最初の手順では、サービスの検出がデバイス管理サービスの登録URLを特定しようとしています。そのために、ユーザが入力する識別子（elana.landot@melardclothing.comなど）を使用します。ドメインは、ユーザの組織のデバイス管理サービスをアドバタイズする完全修飾ドメイン名（FQDN）である必要があります。
そのあと以下の手順が行われます:
手順1
デバイスが、入力された識別子でドメインを識別します（上の例ではmelardclothing.com）。
手順2
デバイスは組織のドメインのウェルノウン（well-known）リソースを要求します（例: https://<domain>/.well-known/com.apple.remotemanagement）。
クライアントはHTTP GET要求のURLパスに2つのクエリーパラメータを含めます:
user-identifier: 入力されたアカウント識別子の値（上の例では(elana.landot@melardclothing.com）。
model-family: デバイスのモデル系列（例: iPhone、iPad、Mac）。
注記: デバイスはHTTP 3xxリダイレクト要求に従います。実際のcom.apple.remotemanagementファイルをデバイスから接続可能な別のサーバ上でホストすることを許可します。
iOS 18.2、iPadOS 18.2、macOS 15.2、visionOS 2.2、またはそれ以降を搭載したデバイスでは、サービスの検出プロセスが、デバイスがApple School ManagerまたはApple Businessに紐付けられたデバイス管理サービスが指定する代替場所のウェルノウン（well-known）リソースを取得することを許可しています。 その場合でも、サービスの検出が最初に優先するのは、組織のドメインのウェルノウン（well-known）リソースです。要求が失敗した場合、デバイスは、Apple School ManagerまたはApple Businessに問い合わせて代替場所のウェルノウン（well-known）リソースのチェックに進みます。このプロセスでは、Apple School ManagerまたはApple Businessで識別子内のドメインを検証する必要があります。詳しくは、Apple School Managerでドメインを追加し、確認するまたはApple Businessでドメインを追加して確認するを参照してください。
この機能を使用するには、デバイス管理サービスがApple School ManagerまたはApple Businessに紐付けられたときに代替のサービス検出URLを構成する必要があります。デバイスがApple School ManagerまたはApple Businessに問い合わせるときは、デバイスタイプでそのタイプに割り当てられているサービスが判断されます（自動デバイス登録のデフォルトのサービスを判断するのと同じプロセス）。割り当てられているサービスがサービスの検出URLを構成済みの場合は、デバイスはその場所のウェルノウン（well-known）リソースの要求に進みます。デフォルトのデバイス割り当てを設定するには、Apple School Managerでデフォルトのデバイス割り当てを設定するまたはApple Businessでデフォルトのデバイス割り当てを設定するを参照してください。
デバイス管理サービスはウェルノウン（well-known）リソースをホストすることもできます。
手順3
ウェルノウン（well-known）リソースをホストするサーバが、以下のスキーマに適合するサービスの検出JSONドキュメントで応答します:
{ "Servers": [ { "Version": "<Version>", "BaseURL": "<BaseURL>" } ]}デバイス管理サービス登録のキー、タイプ、および説明を次の表に示します。すべてのキーが必須です。
キー | タイプ | 説明 |
|---|---|---|
Servers | 配列 | 1つのエントリーを含むリスト。 |
Version | 文字列 | このキーは使用する登録方法を決定し、ユーザ登録用の |
BaseURL | 文字列 | デバイス管理サービスの登録URL。 |
重要: サーバは、HTTP応答のContent-Typeヘッダフィールドがapplication/jsonに設定されていることを保証する必要があります。
手順4
デバイスが、BaseURLで指定された登録URLにHTTP POST要求を送信します。
段階2: 認証とアクセストークン
登録を認証するには、ユーザがデバイス管理サービスで認証する必要があります。認証に成功すると、デバイス管理サービスがデバイスにアクセストークンを発行します。デバイスは、以降の要求の認証時に使用するために、トークンを安全に保存します。
アクセストークン:
初期認証プロセスと後続のデバイス管理サービスへのアクセスの両方で中心的な役割を果たす
ユーザの管理対象Apple Accountとデバイス管理サービスとの間を安全に橋渡しする
すべてのアカウント駆動型登録のための作業リソースに継続的にアクセスすることを許可するために使用される
iPhone、iPad、およびApple Vision Proでは、登録SSO（登録シングルサインオン）を使って認証を求められる回数を減らすことで、初期および後続の認証プロセスを効率化できます。詳しくは、iPhone、iPad、およびApple Vision Proの登録シングルサインオンを参照してください。
段階3: デバイス管理サービスへの登録
アクセストークンを使用することで、デバイスはデバイス管理サービスから認証され、登録プロファイルにアクセスできます。このプロファイルには、登録を実行するためにデバイスが必要とするすべての情報が含まれます。登録を完了するには、ユーザは自分の管理対象Apple Accountで正常にサインインする必要があります。登録が完了すると、管理対象Apple Accountが「設定」および「システム設定」に目立つように表示されます。
ユーザが利用できるiCloudサービスについて詳しくは、iCloudサービスにアクセスするを参照してください。
段階4: 後続の認証
登録後、アクセストークンはアクティブなままで、Authorization HTTPヘッダを使用するデバイス管理サービスへのすべての要求に含まれます。これにより、デバイス管理サービスはユーザを継続的に検証することが許可されるため、認証されたユーザのみが組織リソースへのアクセス権を保持することを保証するのに役立ちます。
アクセストークンは通常は一定期間が経過すると有効期限が切れます。その場合は、デバイスがユーザに再認証とアクセストークン更新を求める場合があります。定期的な再検証はセキュリティのアップロードに役立ちます。これは、個人および組織所有のデバイスの両方に重要です。登録SSOでは、組織のIDプロバイダを通じてトークンを自動的に更新することで、再認証なしでアクセスが中断されないことを保証します。
アカウント駆動型登録方法でユーザデータを組織データから分離する方法
アカウント駆動型ユーザ登録またはアカウント駆動型デバイス登録が完了すると、オペレーティングシステムによってデバイス上に別の暗号化鍵が自動的に作成されます。ユーザがデバイスの登録を解除した場合、またはデバイス管理サービスがリモートでデバイスの登録を解除した場合は、オペレーティングシステムによってそれらの暗号化鍵は破棄されます。暗号化鍵は、オペレーティングシステムによって、以下の表の管理対象データを暗号化によって分離するために使用されます。
コンテンツ | 対応するオペレーティングシステムの最小バージョン | 説明 |
|---|---|---|
管理対象アプリデータコンテナ | iOS 15 iPadOS 15 macOS 14 visionOS 1.1 | 管理対象アプリでは、iCloudデータの同期のために、デバイス管理サービス登録に関連付けられた管理対象Apple Accountを使用します。これには、Mac上でCloudKitを使用する管理対象アプリ（ |
カレンダーアプリ | iOS 16 iPadOS 16.1 macOS 13 visionOS 1.1 | 予定が分離されています。 |
キーチェーン項目 | iOS 15 iPadOS 15 macOS 14 visionOS 1.1 | 他社製のMacアプリではデータ保護キーチェーンAPIを使用する必要があります。詳しくは、Apple Developerのドキュメントのグローバル変数「kSecUseDataProtectionKeychain」（英語）を参照してください。 |
メールアプリ | iOS 15 iPadOS 15 macOS 14 visionOS 1.1 | メール添付ファイルとメールメッセージ本文が分離されています。 |
メモアプリ | iOS 15 iPadOS 15 macOS 14 visionOS 1.1 | メモが分離されています。 |
リマインダーアプリ | iOS 17 iPadOS 17 macOS 14 visionOS 1.1 | リマインダーが分離されています。 |
iPhone、iPad、およびApple Vision Proでは、管理対象アプリと管理対象のWebベース書類はすべて、組織のiCloud Drive（ユーザが管理対象Apple Accountでサインインしたあとにファイルアプリに分離されて表示されます）にアクセスできます。デバイス管理サービス管理者は、特定の制限を使用して特定の個人の書類と組織の書類を別々に管理できます。 詳しくは、Appleデバイスに管理対象アプリを配付するを参照してください。
ユーザが個人のApple Accountと管理対象Apple Accountでサインインしている場合、「Appleでサインイン」は管理対象アプリでは管理対象Apple Accountを、管理対象外アプリでは個人のApple Accountを自動的に使用します。Safariまたは管理対象アプリ内のSafariWebViewでサインインフローを使用する場合、ユーザは管理対象Apple Accountを選択して入力し、サインインと職場または学校のアカウントを関連付けることができます。
