Macのゼロタッチ導入とは？ 自動デバイス登録の仕組みと6つの手順を解説

Macのゼロタッチ導入を実現する「自動デバイス登録」とは？

企業で業務用パソコンを配布するには、利用者が業務を始められる状態に端末を整える必要があります。以前は、IT担当者が端末を1台ずつ開封し、OSの初期設定やアカウント作成、業務アプリのインストール、セキュリティ設定などを行ってから利用者へ配布するのが一般的でした。

しかし現在では、こうしたキッティング作業の多くを自動化する「ゼロタッチ導入」（ゼロタッチキッティング／ゼロタッチデプロイメント）が広く利用されています。利用者へ端末を直接届け、初回起動時に必要な設定やアプリを自動的に適用できるため、IT担当者の作業負担を大きく軽減できます。また、端末ごとの設定漏れや作業ミスを防ぎ、管理内容を統一しやすくなる点もメリットです。

Macにも、こうしたゼロタッチ導入を実現するための仕組みが用意されています。それが、Appleの「自動デバイス登録（Automated Device Enrollment：ADE）」です。Appleが提供する企業向け管理ポータル「Apple Business」とMDMを連携させてADEを利用すると、利用者がMacの電源を入れてセットアップを進めるだけで、Macが自動的にMDMの管理下へ登録されます。続いて、Wi-FiやVPN、FileVaultなどの設定を含む構成プロファイルや、業務に必要なアプリが配布され、業務で利用できる状態に整えられます。

Apple BusinessやMDM、ADEといった複数の仕組みが関わるため、初めて取り組むIT担当者には複雑に感じられるかもしれません。しかし、実際の導入作業は次の6つのSTEPに整理でき、それぞれの役割と流れを押さえれば、決して難しいものではありません。

1. Appleまたは対応する販売店、通信事業者からMacを購入する
2. Apple Businessに利用するMDMを登録する
3. Apple Businessで管理に使用するMDMを割り当てる
4. MDMで構成プロファイルやアプリの配布を設定する
5. Macを利用者へ配布する
6. 利用者がMacを起動し、初期設定を行う

ここからは、Macを購入してから利用者が業務で使い始めるまでに、各STEPでどのような作業を行うのかを順番に見ていきましょう。

Macをゼロタッチ導入するまでの6つのSTEP

①AppleまたはApple正規取扱店か通信事業者からMacを購入する

ゼロタッチ導入を行うには、Appleまたは自動デバイス登録（ADE）に対応したApple製品取扱店、通信事業者からMacを購入します。その後、Appleから直接購入した場合は「Appleお客様番号」をApple Businessに登録します。販売店や通信事業者から購入した場合は、Apple Businessに表示される自社の「組織ID」を販売店へ伝えるとともに、販売店から案内された「販売代理店番号」をApple Businessに登録します。すると、その番号を使って購入したMacがApple Businessの［デバイス］にある［在庫］へ自動的に表示されます。

②Apple Businessに利用するMDMを登録する

続いて、Apple Businessに自社で利用するMDMを登録します。［デバイス］→［管理サービス］を開き、Jamf ProやIru、Microsoft IntuneなどのMDMを追加します。この設定はMacを購入するたびに行うものではなく、MDMを初めて利用するときに一度行っておけば、その後は各Macの管理先として選択できるようになります。なお、小規模な環境で基本的なデバイス管理を行う場合は、Apple Businessに内蔵されたMDMを利用することも可能です。より高度な管理や他システムとの連携が必要な場合は、サードパーティ製のMDMを利用するとよいでしょう。

③Apple Businessで管理に使用するMDMを割り当てる

［デバイス］→［在庫］から対象のMacを選択します。この際、注文番号やソース、デバイスの種類などで対象を絞り込むことができ、複数のMacをまとめて選択することも可能です。その後、［デバイス管理を割り当てる］をクリックし、あらかじめ登録したMDMを指定します。これにより、「このMacをどのMDMで管理するか」という情報がApple Businessに登録されます。

④MDMで構成プロファイルやアプリの配布を設定する

続いて、MDM側でMacを自動デバイス登録するための設定を行います。設定アシスタントに表示する項目や省略する項目、ユーザによるMDM登録の解除を許可するかどうかなどを指定します。また、MDMへの登録後に適用するWi-Fi、FileVault、VPN、証明書などの構成プロファイルを作成し、業務に必要なアプリも配布できるように準備しておきます。

⑤Macを利用者へ配布する

Apple BusinessとMDMの設定が完了したら、Macを利用者へ配布します。ゼロタッチ導入では、IT担当者がMacを開封して初期設定やアプリのインストールを行う必要がないため、販売店や倉庫から利用者へ直接発送することもできます。一方、IT担当者が一度Macを受け取り、資産管理ラベルを貼付してから手渡しや郵送で配布する運用も可能です。この場合は厳密にはゼロタッチではありませんが、Macを起動して初期設定やアプリのインストールを行うキッティング作業は省略できます。

⑥利用者がMacを起動して初期設定を行う

Macが利用者の手元に届いたら、電源を入れて設定アシスタントに従い、言語や国または地域、ネットワークなどの初期設定を進めます。インターネットに接続すると、MacはAppleのサーバへ問い合わせ、自動デバイス登録の対象であるかを確認します。Apple Businessに登録されているMacでは、組織によって管理されることを示す画面が表示され、Apple Businessで割り当てられたMDMへの登録が自動的に始まります。MDMへの登録が完了すると、Wi-FiやVPN、FileVault、証明書などの設定を含む構成プロファイルや、業務に必要なアプリが配布されます。設定アシスタントを完了すれば、利用者はMacにログインし、そのまま業務で使い始めることができます。

このように、Macのゼロタッチ導入は、Apple Businessで管理先のMDMを指定し、MDM側で必要な設定を準備しておくというシンプルな流れで実現できます。Windowsのゼロタッチ導入とは利用するサービスや手順に違いがありますが、Macでも特別に複雑な作業が必要になるわけではありません。

ただし、簡単に始められる一方で、いくつか注意しておきたい点もあります。まず、Macの購入元が自動デバイス登録（ADE）に対応しているかを事前に確認しておきましょう。対応していない販売店から購入したMacは、Apple Businessの［在庫］に自動的には表示されません。また、初回セットアップ時には、Appleのサーバへ接続して自動デバイス登録を行うため、インターネット接続が必要です。ネットワークに接続できない環境では、MDMへの自動登録や構成プロファイル、アプリの配布は開始されません。

自動デバイス登録したMacは「監視対象」になる

最後にもう1つ、Macの自動デバイス登録を行ううえで押さえておきたい知識として、「監視対象（Supervision）」があります。監視対象とは、組織が所有するデバイスとして、通常のMDM登録よりも詳細な構成や制限を適用できる状態のことです。macOS 10.14.4以降を搭載したMacは、自動デバイス登録を利用してMDMへ登録すると、自動的に監視対象になります。

監視対象のMacでは、監視対象であることを条件とする管理機能や制限を利用できます。たとえば、アクティベーションロックを組織側で管理したり、ソフトウェアアップデートの適用方法を制御したり、AirDropを利用したパスワード共有を禁止したりできます。macOSのバージョンによっては、起動ディスクやTime Machineの設定を利用者が変更できないようにすることも可能です。適用できる項目はmacOSのバージョンや利用するMDMによって異なりますが、端末の設定を利用者任せにせず、企業のセキュリティポリシーや運用ルールをより確実に維持できる点が大きなメリットです。

また、Macを初期化しても、Apple Businessからデバイスを解除しない限り、管理先のMDMとの割り当ては維持されます。再び設定アシスタントを進めると自動デバイス登録が実行され、Macは再度MDMへ登録されて監視対象になります。そのため、端末を初期化しただけで企業の管理から恒久的に外れることはありません。

このように、自動デバイス登録はキッティング作業を効率化するだけの仕組みではありません。企業所有のMacを監視対象として登録し、配布後もセキュリティや運用方針を継続的に適用するための基盤としても重要です。こうした点から、現在では自動デバイス登録を利用したゼロタッチ導入が、企業におけるMac導入の基本的な方法となっています。これから新たにMacを導入するのであれば、本記事で紹介した流れを参考に、自動デバイス登録を活用した導入を検討してみてはいかがでしょうか。