「サーバーが聞きに行く」MDMの限界、組織を縛る2つの足かせ
「宣言型デバイス管理は、もうロードマップ上の話ではありません」。
WWDC26のセッション「Appleデバイスの管理とIDの新機能」でAppleのエンジニアはこう断言し、さらに「今これを使わずにデバイスを管理しているなら、あなたは必要以上に無駄な労力を使っていることになります」と続けました。
これは、従来のプロファイルベースのMDM（モバイルデバイス管理）に代えて、より自律的に動く「DDM（宣言型デバイス管理：Declarative Device Management）」を、Appleが今後の標準として本格的に推し進める姿勢を示した発言です。
長年、企業におけるスマートフォンやPCの管理は、管理サーバーが各デバイスに状態を問い合わせ、必要な設定や制限を適用する中央集権的な「サーバー主導」の仕組みに支えられてきました。しかし構成プロファイルを用いた従来型MDMは、エンタープライズ規模の運用においていくつかの課題を抱えています。代表的なのが、「ポーリング」と「巨大なプロファイル」です。
従来型の管理では、管理サーバーが定期的にデバイスへ「パスコードは設定されているか」「OSは最新か」「必要な設定は適用されているか」といった状態確認を行う必要がありました。数千〜数万台規模のフリートを抱える企業では、この繰り返しの問い合わせがサーバーやネットワークの負荷になり、状態把握にタイムラグを生み出す原因となり得ます。
構成プロファイルの非効率さも運用を圧迫します。Wi-FiやVPN、メールなどの設定には、証明書やパスワードといった資格情報が関係します。従来の構成プロファイルでは、こうした資格情報が設定の中に含まれるため、証明書を更新するだけでも、関連する設定全体を再配布しなければならない場合がありました。これはIT管理者にとって手間がかかり、影響範囲にも注意を要する作業です。
こうした課題に対しAppleが進めているのがDDMです。管理者が望ましい状態を「宣言」として定義すると、デバイス側がその内容を保持し、自律的に構成や状態を判断します。サーバーがすべてを細かく指示するのではなく、デバイス自身が必要な処理を担い、状態に変化があったときにサーバーへ報告する仕組みです。
MDMの課題とDDMへの移行については、「Appleデバイス管理はMDMからDDMへ」で詳しく取り上げています。
「指示待ち」から「自律判断」へ：DDMが企業ITにもたらす3つの転換
Appleはここ数年をかけて、デバイス管理をサーバー主導型から、より自律的なモデルへ移行させる取り組みを進めてきました。
2021年のWWDC21で、主に個人所有端末の業務利用を想定したユーザー登録の文脈でDDMを導入しました。その後、macOSやtvOSなど他のAppleプラットフォームにも対応を広げ、2023年から2024年にかけては、ソフトウェア・アップデート管理など、DDMを前提とした機能を追加してきました。
昨年のWWDC25でDDMを次の管理基盤として前面に出し、今年のWWDC26でAppleはDDMを「標準」として位置づけました。
従来型のプロファイル管理が直ちに役目を終えるわけではありませんが、Apple自身が「デバイス管理の標準は宣言型である」と示した意味は小さくありません。
DDMへのシフトは、企業のIT運用に主に3つの変化をもたらします。
- ステータスチャンネルによるポーリング負荷の軽減
サーバーからの定期的な問い合わせを待つのではなく、デバイス側で状態の変化があったときにサーバーへ通知を送信します。これにより、不要な通信やサーバー負荷を減らし、管理対象デバイスの状態をより効率的に把握できます。 - 資格情報のアセット化による更新の効率化
証明書やパスワードなどの資格情報を、個別の設定から切り離した「アセット」として扱えます。Wi-Fi、VPN、メールなど複数の設定が同じアセットを参照できるため、資格情報を更新する際は、サーバーがアセットを変更すれば、デバイス側が関連する構成に反映します。 - デバイス側での自律的な判断
デバイス自身が管理ルールを保持しているため、サーバーからの細かな指示を待たずに、設定や状態を判断できます。ネットワークに常時接続されていない環境でも、管理の一貫性を保ちやすくなります。
DDM標準化を支える主要アップデート
DDMの標準化は、通信効率の改善にとどまりません。WWDC26で示されたアップデートを見ると、Appleがデバイス管理を「監視と配布」から、「デバイス自身による状態判断と報告」へ移行させようとしていることがわかります。
代表例が、Macの「Managed Migration」です。macOS 26.4で、Macの乗り換えを容易にする新しい管理型移行機能が導入され、管理対象Macのデバイス管理登録状態や管理設定を維持したままデータを移行できるようになりました。
Apple IntelligenceとSiriの管理も強化されます。個別機能をより細かく制御できるようになり、全面禁止か全面許可かではなく、業務内容や組織のポリシーに応じた運用がしやすくなります。加えてiOS 27とiPadOS 27では、baseband、カメラ、Face ID、Touch IDなどのハードウェア状態をDDMのステータス項目として報告でき、端末の不具合や修理が必要な状態をIT管理者が把握しやすくなります。
アプリ管理ではmacOSにも宣言型アプリ構成が拡大し、ManagedApp framework、hardware-bound keys、Managed Device Attestationを使って、企業アプリや拡張機能を安全に認証できます。さらにEndpoint Security frameworkを使い、コード署名の属性などに基づいて、組織の要件に合わないバイナリの実行を拒否できます。
プライバシー権限では、カメラ、マイク、位置情報などの権限要求を統合されたプロンプトで表示できます。組織名、アプリ名、IT管理者が用意した理由、各権限の説明をまとめて示すことで、ユーザーの同意を残しながら、業務に必要な権限を分かりやすく伝えられます。
認証面ではPlatform SSOが強化され、組織所有のMacでTouch IDをパスワードに加えた第2要素として要求できます。Webベース認証やQRコードを使ったパスワードレスサインインにも対応し、Macを企業のID基盤へより深く統合できるようになります。
「点」の管理ツールから「面」の業務基盤へ：Apple Businessが描く新領域
なぜAppleは今、DDMを「標準」と位置づけたのでしょうか。その背景には、企業向け機能を単なる端末のキッティングや設定配布から、企業活動を支えるIT基盤へ広げようとするAppleの戦略があります。
この動きの中心にあるのが、ビジネス向け統合プラットフォーム「Apple Business」です。WWDC26では、DDMのアップデートと並行してApple Businessの機能拡張も発表されました。200以上の国と地域への展開に加え、ブループリント作成やユーザー管理を自動化する新API、App StoreアプリのサブスクリプションをIT管理者が一括購入・割り当てできる機能など、かつてない規模での運用を前提とした基盤整備が進んでいます。
Appleは企業向けデバイス管理の射程を、情シスのための端末設定ツール（点）から、ID管理、アプリのサブスクリプション一括購入、ゼロタッチ導入までを含む「ITインフラ・業務基盤」（面）へと広げています。数千、数万台規模のデバイスを運用するには、従来のようにサーバーが細かく状態を問い合わせ続ける仕組みだけでは限界があります。デバイス側が自律的に状態を判断し、必要な変化を報告するDDMは、Apple Businessを大規模に活用するうえで欠かせない土台になります。
管理への懸念を越え、企業ITに組み込まれるAppleデバイス
Appleシリコン以降、Macは高い性能と省電力性を備え、AI開発や高度なビジネス業務でも選択肢としての存在感を増しています。しかし企業導入においては、Windows PCと同じように一元管理できるのか、ID基盤やセキュリティ要件と統合できるのか、という懸念が残っていました。
DDMの標準化、Managed Migration、Apple Intelligenceの細粒度管理、バイナリ実行制御、統合プライバシー同意、Platform SSOの強化は、こうした懸念を一つずつ解消するためのものです。Appleは、従業員が使いたいデバイスであるだけでなく、企業ITが標準運用できるデバイスであることを強く打ち出しています。
もっとも、従来型MDMや構成プロファイルがすぐに不要になるわけではありません。企業の運用環境、MDMベンダーの対応状況、既存ポリシーとの整合性を踏まえながら、段階的にDDMへ移行していくことになります。それでも、Appleが「標準は宣言型」と明言した意味は大きいと言えます。
WWDC26で示されたのは、MDMの一機能強化ではありません。Apple Businessを軸に、Appleデバイスを企業ITの中核へ組み込むための設計図です。デバイス自身が状態を判断し、資格情報やアプリ、権限、認証を宣言型の構成として扱うことで、Appleデバイス管理は次の段階に進みつつあります。
