Macだけが持ち出せなかった時代
今ではMacとWindowsを分け隔てなく運用するサイボウズですが、かつてはMacの管理に課題を抱えていました。具体的には、Macのデバイス管理に関してです。
「Windows環境では従来、Active Directory（AD）を中心にグループポリシーを活用し、組織的な端末・ユーザ管理が行えました。一方MacもAD連携は可能でしたが、当時はポリシー制御や運用統合の面でWindowsほど一貫した管理モデルは整っていませんでした」
また、当時はMDMを導入していなかったこともあり、セキュリティ対策が十分に施されていないデバイスを社外へ持ち出すのはリスクが高く、Macの持ち出しを禁止していました。
「リモートワークできる会社なのに、Macだけ持ち出せない状況が長く続いていました」
在宅勤務を進めたい会社の方針と、管理できないMacとの間に矛盾が生じていたのです。
MDM導入で管理の道が開けた
転機は、リモートワークを希望するエンジニアが増えたことでした。Macを持ち出したいという要望が高まるなか、青木氏はMDMの存在を知ります。
「調べてみると、MDMを導入すればデバイス管理ができ、セキュリティポリシーの適用やディスク暗号化、パスワードポリシーの適用、紛失時のワイプなども可能だとわかりました」
こうした管理ができれば、安全に社外へ持ち出せます。サイボウズは2015年頃、MDMの導入に踏み切りました。
「コストの兼ね合いから最初は別のMDMを導入しましたが、今は『Jamf Pro』を利用しています。機能面を考えると、十分価値に見合う投資だと感じています」
Jamf Pro導入による変化については、過去のインタビューでも詳しく紹介しています。
ゼロタッチ化で、情シスが触らない運用へ
Jamf Proの活用が進むと、運用はさらに効率化しました。その象徴が「ゼロタッチキッティング」です。
あらかじめJamf Proで構成プロファイルやアプリ配布ポリシーを設定しておくことで、Apple Business（旧Apple Business Manager）と連携した「自動デバイス登録」の仕組みにより、Macは初回起動時に自動的に管理対象として登録されます。社員は届いたMacを開封し、ネットワークに接続するだけで、必要な設定やアプリケーションが自動的に適用されます。
「端末へのシール貼りなども行っておらず、今は完全にゼロタッチです。情報システム部門は一切触れず、箱のままユーザへ送っています。情報システム部門の作業は、サイボウズの業務アプリ作成クラウド『kintone』で管理している台帳に登録し、コンピュータ名を発番する程度です」
サイボウズではMacをJamf Pro、Windowsを「Microsoft Intune」で管理しています。全社でMicrosoft 365を契約しているためIntuneでもMacを管理できますが、あえてプラットフォームごとにMDMを分けています。
「IntuneとJamfを比べると、Intuneでできることは限られています。1つのMDMで統合してもWindows用とMac用で設定は別につくる必要があり、管理工数は変わりません。それなら、それぞれに最適なMDMを使うほうがよいと判断しています」（青木さん）
Appleデバイスに特化したJamf Proを採用することで、デバイスのグループ管理やアプリ配布まで含めた細かな運用を実現しています。
管理対象Apple Accountへの移行
運用の成熟とともに、Appleアカウントの管理も見直しました。「Appleアカウントは1つの課題でした」と青木さんは振り返ります。
「以前は個人のAppleアカウントを業務利用しても構わないという運用でしたが、そうするとiCloud経由でデータが個人デバイスに同期されたり、キーチェーン経由でパスワードが個人環境へ保存されたりするリスクがあります」
現在は会社が発行する管理対象Apple Accountへ移行しています。情報システム部門がアカウントを発行し、会社支給のMacではそれでサインインする運用です。これは希望制ではなくMac利用者全員が対象です。iPhoneも支給しているため、会社のAppleデバイスを利用する場合は管理対象Apple Accountを使います。
個人アカウントを一律に禁止するのではなく、会社が管理するアカウントのもとでAppleの機能を活用する。この運用にも、管理と利便性を両立させようとするサイボウズの考え方が表れています。
次回は、「Macだから困る」は本当なのか。サイボウズの情シスが実感する、Mac運用の実態を掘り下げます。
写真●黒田彰
