iOS
Citrix Endpoint Management で iOS デバイスを管理するには、Apple から Apple Push Notification service (APNs) 証明書を設定します。詳細については、「APNs 証明書」(/ja-jp/citrix-endpoint-management/authentication/apns.html)を参照してください。
登録プロファイルは、iOS デバイスが MDM+MAM に登録されるかどうかを決定します。ユーザーがモバイルデバイス管理 (MDM) からオプトアウトするオプションがあります。Citrix Endpoint Management は、MDM+MAM の iOS デバイスに対して以下の認証タイプをサポートしています。詳細については、以下の記事を参照してください。
-
ドメインまたはドメインとセキュリティトークン認証
-
クライアント証明書または証明書とドメイン認証
-
ID プロバイダー:
-
Citrix Cloud を介した Azure Active Directory による認証
-
Citrix Cloud を介した Okta による認証
-
iOS 13 での信頼された証明書の要件:
Apple は TLS サーバー証明書に関する新しい要件を設けています。すべての証明書が新しい Apple の要件に準拠していることを確認してください。Apple の公開情報
<https://support.apple.com/ja-jp/HT210176>を参照してください。証明書の管理については、「証明書のアップロード」(/ja-jp/citrix-endpoint-management/authentication/upload-renew-certificates.html#upload-certificates)を参照してください。
iOS デバイス管理を開始するための一般的なワークフローは次のとおりです。
-
オンボーディングプロセスを完了します。「オンボーディングとリソースのセットアップ」(/ja-jp/citrix-endpoint-management/onboarding-and-resource-setup.html)および「デバイスの登録とリソースの配信の準備」(/ja-jp/citrix-endpoint-management/prepare-to-enroll-devices-and-deliver-resources.html)を参照してください。
-
登録方法を選択して構成します。「サポートされている登録方法」(#supported-enrollment-methods)を参照してください。
-
デバイスとアプリのセキュリティアクションを設定します。セキュリティアクションを参照してください。
サポートされているオペレーティングシステムについては、サポートされているデバイスオペレーティングシステムを参照してください。
iOS 14の互換性
Citrix Endpoint ManagementとCitrixモバイルアプリはiOS 14と互換性がありますが、現在のところ新しいiOS 14の機能はサポートしていません。
監視対象のiOSデバイスの場合、ソフトウェアアップグレードを最大90日間延期できます。iOSの制限デバイスポリシーで、次の設定を使用します。
-
ソフトウェアアップデートの遅延を強制する
-
ソフトウェアアップデートの遅延を適用する
iOS設定を参照してください。これらの設定は、ユーザー登録モードまたは非監視（フルMDM）モードのデバイスでは利用できません。
開放しておく必要があるAppleホスト名
iOS、macOS、およびApple App Storeが適切に動作するためには、一部のAppleホスト名を開放しておく必要があります。これらのホスト名をブロックすると、iOS、iOSアプリ、MDM操作、デバイスおよびアプリの登録のインストール、更新、および適切な動作に影響を与える可能性があります。詳細については、
<https://support.apple.com/ja-jp/HT201999>を参照してください。
サポートされている登録方法
登録プロファイルでiOSデバイスの管理方法を指定します。次の登録設定から選択できます。
-
Appleユーザー登録: BYODデバイスの場合、個人データのプライバシーと企業データのセキュリティのバランスを提供します。この登録モードはパブリックプレビューとして利用可能です。この機能を有効にするには、サポートチームにお問い合わせください。
-
Appleデバイス登録: 監視対象のiOSデバイスの場合、デバイス上に個別の個人プロファイルと企業プロファイルを作成します。
-
デバイスを管理しない: アプリのみを管理したい場合は、これらのデバイスをMDMから除外します。
登録プロファイルの作成に関する詳細については、登録プロファイルを参照してください。
Citrix Endpoint Managementは、iOSデバイス向けに以下の登録方法をサポートしています。
| 方法 | サポート |
|---|---|
| Apple Business Manager (アップルビジネスマネージャー) | はい |
| Apple School Manager (アップルスクールマネージャー) | はい |
| アップル コンフィグレータ | はい |
| 手動登録 | はい |
| 登録招待 | はい |
Apple Deployment Programsには、ビジネス組織向けのApple Business Manager (ABM)と、教育機関向けのApple School Manager (ASM)が含まれます。詳細については、Apple Deployment Programsによるデバイスの展開を参照してください。
Apple School Manager は Education Apple Deployment Program の一種です。 Apple Education 機能との統合を参照してください。
Apple Deployment Programs を使用して、iOS、iPadOS、および macOS デバイスを一括登録します。これらのデバイスは、Apple、参加しているApple正規販売店、または通信事業者から直接購入できます。iOSデバイスをAppleから直接購入した場合でも、Apple Configuratorを使用してそれらのデバイスを登録できます。Appleデバイスを一括登録するを参照してください。
管理対象Apple ID
ユーザー登録は、管理対象Apple IDと密接に統合されています。管理対象Apple IDは、ABM/ASMを使用して手動で作成することも、Azure Active Directory (AAD) を使用して動的に作成することもできます。
フェデレーション認証を使用しない場合は、ABM/ASM を使用して管理対象Apple IDを作成し、アカウントを追加します。ABM/ASM でアカウントを追加する方法については、Apple のドキュメント (
https://support.apple.com/guide/apple-business-manager/welcome/web) と ASM (https://support.apple.com/guide/apple-school-manager/welcome/web) を参照してください。ユーザーが登録する際の追加手順を避けるために、以下をお勧めします。
-
管理対象Apple IDを作成する際は、会社のメールアドレスと一致するメールを使用してください。
-
ユーザーロールをスタッフに設定します。
-
ユーザーには、登録前に手動でパスワードを変更してもらいます。会社のパスワードと同じパスワードを使用することをお勧めすることをユーザーに伝えてください。
管理対象Apple IDを動的に作成するには、Citrix CloudがAADをIDプロバイダーとして使用するように構成します。Citrix CloudがAADを使用するように構成する方法の詳細については、Citrix Cloud を介した Azure Active Directory による認証を参照してください。また、ABM/ASMでフェデレーション認証を構成します。ABMまたはASMでフェデレーション認証を構成する方法の詳細については、Apple Business ManagerユーザーガイドとApple School Managerユーザーガイドを参照してください。
管理対象Apple IDを手動で作成する場合、デフォルトのドメインの代わりにカスタムドメインを使用するように構成できます。構成したカスタムドメインは、既存のドメインを置き換えます。たとえば、会社のメールアドレスは
first.last@company.com の形式ですが、代わりに管理対象Apple IDのドメインとして mycompany.website.com を使用したいとします。ABM/ASMで管理対象Apple IDを作成すると、メールアドレスは first.last@mycompany.website.com になります。
iOSデバイスを手動で追加する
テスト目的などでiOSデバイスを手動で追加する場合は、以下の手順に従ってください。
-
Citrix Endpoint Management コンソールで、管理 > デバイスをクリックします。デバイスページが表示されます。
-
追加をクリックします。デバイスの追加ページが表示されます。「デバイスの追加」ページ(/en-us/citrix-endpoint-management/media/manage-devices-add-device.png)
-
次の設定を構成します。
-
プラットフォームの選択: iOSをクリックします。
-
シリアル番号: デバイスのシリアル番号を入力します。
-
-
追加をクリックします。デバイステーブルが表示され、デバイスがリストの一番下に追加されます。デバイスの詳細を表示して確認するには、追加したデバイスを選択し、表示されるメニューで編集をクリックします。注:デバイスの横にあるチェックボックスを選択すると、オプションメニューがデバイスリストの上に表示されます。リスト内の他の場所をクリックすると、オプションメニューがリストの右側に表示されます。
-
LDAPが構成されている
-
ローカルグループとローカルユーザーを使用する場合：
-
1つ以上のローカルグループ。
-
ローカルグループに割り当てられたローカルユーザー。
-
デリバリーグループはローカルグループに関連付けられています。
-
-
Active Directoryを使用する場合：
-
デリバリーグループはActive Directoryグループに関連付けられています。
「デバイスの詳細」リスト(/en-us/citrix-endpoint-management/media/manage-devices-details-general.png) -
-
-
「一般」ページには、シリアル番号やプラットフォームタイプに関するその他の情報など、デバイスの識別子が一覧表示されます。「デバイス所有権」には、「企業」または「BYOD」を選択します。「一般」ページには、強力なID、デバイスのロック、アクティベーションロックのバイパスなど、デバイスのセキュリティプロパティやプラットフォームタイプに関するその他の情報も一覧表示されます。「デバイスの完全ワイプ」フィールドには、ユーザーのPINコードが含まれています。デバイスがワイプされた後、ユーザーはそのコードを入力する必要があります。ユーザーがコードを忘れた場合は、ここで確認できます。
-
「プロパティ」ページには、Citrix Endpoint Managementがプロビジョニングするデバイスプロパティが一覧表示されます。このリストには、デバイスの追加に使用されたプロビジョニングファイルに含まれるすべてのデバイスプロパティが表示されます。プロパティを追加するには、「追加」をクリックし、リストからプロパティを選択します。各プロパティの有効な値については、PDF「デバイスプロパティ名と値」を参照してください。プロパティを追加すると、最初は追加したカテゴリの下に表示されます。「次へ」をクリックして「プロパティ」ページに戻ると、そのプロパティは適切なリストに表示されます。プロパティを削除するには、リストにカーソルを合わせ、右側にある「X」をクリックします。Citrix Endpoint Managementはすぐにその項目を削除します。
-
残りの「デバイスの詳細」セクションには、デバイスの概要が表示されます。
-
ユーザープロパティ: RBACロール、グループメンバーシップ、ボリューム購入アカウント、およびユーザーのプロパティを表示します。このページからボリューム購入アカウントを廃止できます。
-
割り当て済みポリシー: 展開済み、保留中、失敗したポリシーの数を表示します。各ポリシーのポリシー名、タイプ、および最終展開情報を提供します。展開ステータスを保留中にリセットし、ユーザーが削除したポリシーを再展開できます。
-
アプリ: 最新のインベントリについて、インストール済み、保留中、失敗したアプリ展開の数を表示します。アプリ名、識別子、タイプ、およびその他の情報を提供します。「HasUpdateAvailable」などのiOSおよびmacOSインベントリキーの説明については、「モバイルデバイス管理（MDM）プロトコル」を参照してください。
-
メディア: 最新のインベントリについて、展開済み、保留中、失敗したメディア展開の数を表示します。
-
アクション: 展開済み、保留中、失敗したアクションの数を表示します。アクション名と最終展開時刻を提供します。
-
デリバリーグループ: 成功、保留中、失敗したデリバリーグループの数を表示します。各展開について、デリバリーグループ名と展開時刻を提供します。デリバリーグループを選択すると、ステータス、アクション、チャネルまたはユーザーを含む詳細情報が表示されます。
-
iOSプロファイル: 名前、タイプ、組織、説明を含む最新のiOSプロファイルインベントリを表示します。
-
iOSプロビジョニングプロファイル: UUID、有効期限、管理ステータスなどのエンタープライズ配布プロビジョニングプロファイル情報を表示します。
-
証明書: 有効、期限切れ、または失効した証明書について、タイプ、プロバイダー、発行者、シリアル番号、有効期限までの残り日数などの情報を表示します。
-
接続: 最初の接続ステータスと最後の接続ステータスを表示します。各接続について、ユーザー名、前回の認証時刻、および最後の認証時刻を提供します。
-
MDMステータス: MDMステータス、最終プッシュ時刻、最終デバイス応答時刻などの情報を表示します。
-
iOSデバイスポリシーを構成する
これらのポリシーを使用して、Citrix Endpoint ManagementがiOSまたはiPadOSを実行しているデバイスとどのように連携するかを構成します。この表は、iOSおよびiPadOSデバイスで利用可能なすべてのデバイスポリシーを一覧表示します。
| AirPlayミラーリング | AirPrint | APN | |
| アプリのアクセス | アプリの属性 | アプリの構成 | |
| アプリのインベントリ | アプリのロック | アプリのアンインストール | |
| アプリの通知 | ブルートゥース | カレンダー (CalDAV) | |
| モバイルデータ通信 | 連絡先 (CardDAV) | 資格情報 | |
| デバイス名 | 教育構成 | エクスチェンジ | |
| フォント | ホーム画面のレイアウト | iOS および macOS プロファイルのインポート | |
| LDAP | 位置情報 | ロック画面メッセージ | |
| メール | 管理対象ドメイン | 最大常駐ユーザー | |
| MDMオプション | ネットワーク | ネットワーク使用状況 | |
| 組織情報 | OSアップデート | パスコード | |
| パスコードロック猶予期間 | パーソナルホットスポット | プロファイルの削除 | |
| プロビジョニングプロファイル | プロビジョニングプロファイルの削除 | プロキシ | |
| 制限 | ローミング | SCEP | |
| SSOアカウント | ストア | 購読カレンダー | |
| 利用規約 | VPN | 壁紙 | |
| Webコンテンツフィルター | Webクリップ |
iOSデバイスを登録する
このセクションでは、ユーザーがiOSデバイス（12.2以降）をCitrix Endpoint Managementに登録する方法について説明します。iOS登録の詳細については、次のビデオをご覧ください。
-
iOSデバイスでApple Storeにアクセスし、Citrix Secure Hubアプリをダウンロードして、アプリをタップします。
-
アプリのインストールを求められたら、次へをタップし、インストールをタップします。
-
Citrix Secure Hubのインストールが完了したら、開くをタップします。
-
会社の資格情報（Citrix Endpoint Managementサーバー名、ユーザープリンシパル名（UPN）、メールアドレスなど）を入力します。次に、次へをクリックします。
-
iOSデバイスを登録するには、はい、登録をタップします。
-
Citrix Endpoint Managementが収集するデータの一覧が表示されます。次へをクリックします。組織がそのデータをどのように使用するかの説明が表示されます。次へをクリックします。
-
資格情報を入力したら、プロンプトが表示されたら許可をタップして構成プロファイルをダウンロードします。構成プロファイルをダウンロードしたら、閉じるをタップします。
-
デバイス設定で、XenMobile®プロファイルをインストールします。
-
設定 > 一般 > プロファイル > XenMobile Profile Serviceに移動し、インストールをタップしてプロファイルを追加します。
-
通知ウィンドウで、信頼をタップしてデバイスをリモート管理に登録します。
-
-
登録が成功したら、Citrix Secure Hubを開きます。MDM+MAMに登録する場合：資格情報が検証された後、プロンプトが表示されたらCitrix PINを作成して確認します。
-
ワークフローが完了すると、デバイスが登録されます。その後、アプリストアにアクセスして、iOSデバイスにインストールできるアプリを表示できます。
セキュリティアクション
iOSのデバイス登録では、次のセキュリティアクションがサポートされています。各セキュリティアクションの説明については、「セキュリティアクション」を参照してください。
-
アクティベーションロックバイパス
-
アプリロック
-
アプリワイプ
-
ASMアクティベーションロック
-
証明書の更新
-
制限の解除
-
紛失モードの有効化/無効化
-
追跡の有効化/無効化
-
完全ワイプ
-
位置特定
-
ロック
-
着信音を鳴らす
-
AirPlayミラーリングの要求/停止
-
再起動/シャットダウン
-
失効/承認
-
選択的ワイプ
-
ロック解除
iOSのユーザー登録では、以下のセキュリティアクションがサポートされています。
-
失効
-
ロック
-
選択的ワイプ
-
証明書の更新
iOSデバイスをロックする
紛失したiOSデバイスをロックし、デバイスのロック画面にメッセージと電話番号を表示できます。
ロックされたデバイスにメッセージと電話番号を表示するには、Citrix Endpoint Management コンソールで パスコード ポリシーを true に設定します。代わりに、ユーザーはデバイスでパスコードを手動で有効にできます。
-
管理 > デバイス をクリックします。デバイス ページが表示されます。
-
ロックするiOSデバイスを選択します。デバイスの横にあるチェックボックスを選択して、デバイスリストの上にオプションメニューを表示します。リスト内の他の場所をクリックすると、リストの右側にオプションメニューが表示されます。
-
オプションメニューで、セキュリティ保護 をクリックします。セキュリティアクション ダイアログボックスが表示されます。
-
ロック をクリックします。セキュリティアクション 確認ダイアログボックスが表示されます。「セキュリティアクションの確認」(/en-us/citrix-endpoint-management/media/manage-devices-ios-secure-device-confirm.png)
-
オプションで、デバイスのロック画面に表示されるメッセージと電話番号を入力します。iOSは、メッセージフィールドに入力した内容に「Lost iPad」という単語を追加します。メッセージフィールドを空のままにして電話番号を提供すると、Appleはデバイスのロック画面に「Call owner」というメッセージを表示します。
-
デバイスをロックをクリックします。
iOSデバイスを紛失モードにする
Citrix Endpoint Managementの紛失モードデバイスプロパティは、iOSデバイスを紛失モードにします。Apple Managed Lost Modeとは異なり、Citrix Endpoint Managementの紛失モードでは、ユーザーがデバイスの位置を特定できるようにするために、次のいずれかのアクションを実行する必要はありません。iPhone/iPadを探す設定を構成するか、Citrix Secure Hubのロケーションサービスを有効にする。
Citrix Endpoint Managementの紛失モードでは、Citrix Endpoint Managementのみがデバイスのロックを解除できます。（対照的に、Citrix Endpoint Managementのデバイスロック機能を使用する場合、ユーザーは提供されたPINコードを使用してデバイスのロックを直接解除できます。
紛失モードを有効または無効にするには：管理 > デバイスに移動し、監視対象のiOSデバイスを選択してから、セキュリティをクリックします。次に、紛失モードを有効にするまたは紛失モードを無効にするをクリックします。
「紛失モードのオプション」(/en-us/citrix-endpoint-management/media/manage-devices-enable-lost-mode-button.png)
紛失モードを有効にするをクリックすると、紛失モードのときにデバイスに表示される情報を入力します。
「デバイスに表示される情報」(/en-us/citrix-endpoint-management/media/enable-lost-mode-dialog.png)
紛失モードのステータスを確認するには、次のいずれかの方法を使用します。
-
セキュリティアクションウィンドウで、ボタンが紛失モードを無効にするに設定されていることを確認します。
-
管理 > デバイスから、セキュリティの下にある一般タブで、最後の紛失モードを有効にするまたは紛失モードを無効にするアクションを確認します。
「全般」タブ(/en-us/citrix-endpoint-management/media/manage-devices-ios-lost-mode.png)
-
**「管理」>「デバイス」で、「プロパティ」タブの「MDM紛失モード有効」**設定の値が正しいことを確認します。
「MDM紛失モード有効」設定(/en-us/citrix-endpoint-management/media/manage-devices-details-properties.png)
iOSデバイスでCitrix Endpoint Management紛失モードを有効にすると、Citrix Endpoint Managementコンソールも次のように変更されます。
-
「構成」>「アクション」では、「アクション」リストに次の自動アクションは含まれません: 「デバイスの取り消し」、「デバイスの選択的ワイプ」、「デバイスの完全ワイプ」。
-
**「管理」>「デバイス」では、「セキュリティアクション」リストに「取り消し」および「選択的ワイプ」デバイスアクションは含まれなくなります。必要に応じて、セキュリティアクションを使用して「完全ワイプ」**アクションを実行できます。
iOSは、**「セキュリティアクション」画面の「メッセージ」**に入力した内容に「Lost iPad」という単語を追加します。
**「メッセージ」**を空のままにして電話番号を提供すると、Appleはデバイスのロック画面に「Call owner」というメッセージを表示します。
iOSアクティベーションロックをバイパスする
アクティベーションロックは、「iPhone/iPadを探す」の機能であり、紛失または盗難された監視対象デバイスの再アクティベーションを防止します。アクティベーションロックでは、「iPhone/iPadを探す」をオフにする、デバイスを消去する、またはデバイスを再アクティベートするなどのアクションを実行する前に、ユーザーのApple IDとパスワードが必要です。組織が所有するデバイスの場合、たとえばデバイスをリセットまたは再割り当てするために、アクティベーションロックをバイパスする必要があります。
アクティベーションロックを有効にするには、Citrix Endpoint Management MDMオプションデバイスポリシーを構成して展開します。これにより、ユーザーのApple資格情報なしでCitrix Endpoint Managementコンソールからデバイスを管理できます。アクティベーションロックのApple資格情報要件をバイパスするには、Citrix Endpoint Managementコンソールからアクティベーションロックバイパスセキュリティアクションを発行します。
たとえば、ユーザーが紛失した電話を返却した場合、または完全ワイプの前後にデバイスをセットアップする場合: 電話がApple App Storeアカウントの資格情報を要求したとき、アクティベーションロックバイパスセキュリティアクションを発行してその手順をバイパスします。
アクティベーションロックバイパスのデバイス要件
-
Apple ConfiguratorまたはApple Deployment Programによって監視されている
-
iCloudアカウントで構成されている
-
「iPhone/iPadを探す」が有効
-
Citrix Endpoint Managementに登録済み
-
アクティベーションロックが有効になっているMDMオプションデバイスポリシーがデバイスに展開されている
デバイスの完全ワイプを実行する前にアクティベーションロックをバイパスするには：
-
デバイスをワイプします。デバイスのセットアップ中にアクティベーションロック画面は表示されません。
デバイスの完全ワイプを実行した後にアクティベーションロックをバイパスするには：
-
デバイスをリセットまたはワイプします。デバイスのセットアップ中にアクティベーションロック画面が表示されます。
-
デバイスの戻るボタンをタップします。ホーム画面が表示されます。
次の点に注意してください。
-
ユーザーに「iPhone/iPadを探す」をオフにしないようにアドバイスしてください。デバイスから完全ワイプを実行しないでください。どちらの場合も、ユーザーはiCloudアカウントのパスワードの入力を求められます。アカウントの検証後、すべてのコンテンツと設定を消去しても、ユーザーに「iPhone/iPadをアクティベート」画面は表示されません。
-
アクティベーションロックバイパスコードが生成され、アクティベーションロックが有効になっているデバイスの場合：完全ワイプ後に「iPhone/iPadをアクティベート」ページをバイパスできない場合でも、Citrix Endpoint Managementからデバイスを削除する必要はありません。管理者またはユーザーがAppleサポートに直接連絡して、デバイスのブロックを解除できます。
-
ハードウェアインベントリ中に、Citrix Endpoint Managementはデバイスにアクティベーションロックバイパスコードを照会します。バイパスコードが利用可能な場合、デバイスはそれをCitrix Endpoint Managementに送信します。その後、デバイスからバイパスコードを削除するには、Citrix Endpoint Managementコンソールからアクティベーションロックバイパスセキュリティアクションを送信します。その時点で、Citrix Endpoint ManagementとAppleはデバイスのブロックを解除するために必要なバイパスコードを保持しています。
-
アクティベーションロックバイパスセキュリティアクションは、Appleサービスの可用性に依存します。アクションが機能しない場合は、次のいずれかの方法でデバイスのブロックを解除できます。
-
デバイスで、iCloudアカウントの資格情報を手動で入力します。
-