macOS
Citrix Endpoint Management で macOS デバイスを管理するには、Apple から Apple Push Notification service (APNs) 証明書をセットアップします。詳しくは、「APNs 証明書」(/ja-jp/citrix-endpoint-management/authentication/apns.html)を参照してください。
Citrix Endpoint Management は、macOS デバイスを MDM に登録します。Citrix Endpoint Management は、MDM の macOS デバイスに対して、次の登録認証タイプをサポートしています。
-
ドメイン
-
ドメインとワンタイムパスワード
-
招待 URL とワンタイムパスワード
macOS 15 での信頼された証明書の要件:
Apple は、TLS サーバー証明書に関する新しい要件を設けています。すべての証明書が新しい Apple の要件に準拠していることを確認してください。Apple の公開情報
<https://support.apple.com/ja-jp/HT210176> を参照してください。証明書の管理については、「証明書のアップロード」(/ja-jp/citrix-endpoint-management/authentication/upload-renew-certificates.html#upload-certificates)を参照してください。
macOS デバイス管理を開始するための一般的なワークフローは次のとおりです。
-
オンボーディングプロセスを完了します。「オンボーディングとリソースのセットアップ」(/ja-jp/citrix-endpoint-management/onboarding-and-resource-setup.html)および「デバイスの登録とリソースの配信の準備」(/ja-jp/citrix-endpoint-management/prepare-to-enroll-devices-and-deliver-resources.html)を参照してください。
-
登録方法を選択して構成します。「サポートされている登録方法」(#supported-enrollment-methods)を参照してください。
-
「macOS デバイスポリシーの構成」(#configure-macos-device-policies)。
-
「macOS デバイスの登録」(#enroll-macos-devices)。
-
デバイスとアプリのセキュリティアクションをセットアップします。「セキュリティアクション」(#security-actions)を参照してください。
サポートされているオペレーティングシステムについては、「サポートされているデバイスオペレーティングシステム」(/ja-jp/citrix-endpoint-management/system-requirements/supported-device-platforms.html)を参照してください。
開放しておく必要があるAppleホスト名
iOS、macOS、およびApple App Storeが適切に動作するためには、一部のAppleホスト名を開放しておく必要があります。これらのホスト名をブロックすると、iOS、iOSアプリ、MDMの操作、デバイスおよびアプリの登録のインストール、更新、および適切な動作に影響を与える可能性があります。詳細については、
<https://support.apple.com/ja-jp/HT201999>を参照してください。
サポートされている登録方法
次の表に、Citrix Endpoint ManagementがmacOSデバイスでサポートする登録方法を示します。
| 方法 | サポート |
|---|---|
| Apple導入プログラム | はい |
| Apple スクールマネージャー | はい |
| アップルコンフィグレータ | いいえ |
| 手動登録 | はい |
| 登録招待 | はい |
Appleには、ビジネスアカウントと教育機関アカウント向けのデバイス登録プログラムがあります。ビジネスアカウントの場合、Citrix Endpoint Managementでのデバイスの登録と管理にApple Deployment Programを使用するには、Apple Deployment Programに登録します。このプログラムは、iOS、macOS、およびApple TVデバイスに対応しています。「Apple Deployment Programを介したデバイスの展開」(/ja-jp/citrix-endpoint-management/device-management/apple/apple-deployment-program.html)を参照してください。
教育機関アカウントの場合、Apple School Managerアカウントを作成します。Apple School Managerは、Deployment ProgramとVolume Purchaseを統合します。Apple School Managerは、Education Apple Deployment Programの一種です。「Apple Education機能との統合」(/ja-jp/citrix-endpoint-management/device-management/apple/integrate-with-apple-education.html)を参照してください。
Apple Deployment Programを使用して、iOS、macOS、およびApple TVデバイスを一括登録できます。これらのデバイスは、Apple、参加しているApple正規販売店、または通信事業者から直接購入できます。
macOSデバイスポリシーを構成する
これらのポリシーを使用して、Citrix Endpoint ManagementがmacOSを実行しているデバイスとどのように連携するかを構成します。この表には、macOSデバイスで利用可能なすべてのデバイスポリシーが一覧表示されています。
| AirPlayミラーリング | アプリインベントリ | アプリのアンインストール |
| カレンダー (CalDAV) | 連絡先 (CardDAV) | 資格情報 |
| デバイス名 | エクスチェンジ | FileVault |
| ファイアウォール | フォント | iOSおよびmacOSプロファイルのインポート |
| OSアップデート | パスコード | プロファイルの削除 |
| 制限 | SCEP | VPN |
| Webクリップ |
macOSデバイスの登録
Citrix Endpoint Managementは、macOSを実行しているデバイスを登録するための2つの方法を提供します。どちらの方法でも、macOSユーザーはデバイスから直接、ワイヤレスで登録できます。
-
ユーザーに登録招待を送信: この登録方法では、macOSデバイスに対して以下のいずれかの登録セキュリティモードを設定できます。
-
ユーザー名 + パスワード
-
ユーザー名 + PIN
-
2要素認証
ユーザーが登録招待の指示に従うと、ユーザー名が入力済みのサインオン画面が表示されます。 -
-
ユーザーに登録リンクを送信: macOSデバイス向けのこの登録方法では、ユーザーに登録リンクが送信され、ユーザーはそのリンクをSafariまたはChromeブラウザーで開くことができます。その後、ユーザーはユーザー名とパスワードを入力して登録します。macOSデバイスで登録リンクの使用を禁止するには、サーバープロパティ Enable macOS OTAE を false に設定します。その結果、macOSユーザーは登録招待を使用することによってのみ登録できます。
macOSユーザーに登録招待を送信する
-
macOSユーザー登録の招待を追加します。登録招待を参照してください。
-
ユーザーが招待を受け取り、リンクをクリックすると、Safariブラウザーに次の画面が表示されます。Citrix Endpoint Managementがユーザー名を入力します。登録セキュリティモードに Two Factor を選択した場合、別のフィールドが表示されます。
-
ユーザーは必要に応じて証明書をインストールします。ユーザーに証明書のインストールを促すプロンプトが表示されるかどうかは、macOS用に以下を設定したかどうかによって異なります：公開されている信頼されたSSL証明書と、公開されている信頼されたデジタル署名証明書。証明書については、証明書と認証を参照してください。
-
ユーザーは要求された資格情報を入力します。Macデバイスポリシーがインストールされます。これで、モバイルデバイスを管理するのと同じように、Citrix Endpoint ManagementでmacOSデバイスの管理を開始できます。
macOSユーザーにインストールリンクを送信する
-
ユーザーがSafariまたはChromeブラウザで開くことができる登録リンク
https://serverFQDN:8443/instanceName/macos/otaeを送信します。-
serverFQDNは、Citrix Endpoint Managementを実行しているサーバーの完全修飾ドメイン名 (FQDN) です。
-
ポート8443はデフォルトのセキュアポートです。別のポートを設定した場合は、8443の代わりにそのポートを使用してください。
-
instanceNameは、多くの場合
zdmとして表示され、サーバーのインストール時に指定された名前です。
-
-
ユーザーは必要に応じて証明書をインストールします。iOSおよびmacOS用に公開信頼されたSSL証明書とデジタル署名証明書を設定した場合、ユーザーには証明書をインストールするよう求めるプロンプトが表示されます。証明書に関する情報については、「証明書と認証」を参照してください。
-
ユーザーはMacにサインオンします。Macデバイスポリシーがインストールされます。これで、モバイルデバイスを管理するのと同じように、Citrix Endpoint ManagementでmacOSデバイスの管理を開始できます。
セキュリティアクション
macOSは以下のセキュリティアクションをサポートしています。各セキュリティアクションの説明については、「セキュリティアクション」を参照してください。
| 取り消し | ロック | 選択的ワイプ |
| 完全ワイプ | 証明書の更新 | 個人用回復キーをローテーションする |
macOSデバイスをロックする
紛失したmacOSデバイスをリモートでロックできます。Citrix Endpoint Managementはデバイスをロックします。その後、PINコードを生成し、デバイスに設定します。デバイスにアクセスするには、ユーザーはPINコードを入力します。Citrix Endpoint Managementコンソールからロックを解除するには、Cancel Lockを使用します。
PINコードに関連する詳細設定を構成するには、パスコードデバイスポリシーを使用できます。詳細については、macOS設定を参照してください。
-
管理 > デバイスをクリックします。デバイスページが表示されます。デバイスページ(/en-us/citrix-endpoint-management/media/manage-devices-macos.png)
-
ロックするmacOSデバイスを選択します。デバイスの横にあるチェックボックスを選択すると、デバイスリストの上にオプションメニューが表示されます。リストされた項目の他の場所をクリックして、リストの右側にオプションメニューを表示することもできます。オプションメニュー(/en-us/citrix-endpoint-management/media/manage-devices-with-commands-secure-macos.png)オプションメニュー(/en-us/citrix-endpoint-management/media/manage-devices-with-commands-secure-macos-2.png)
-
オプションメニューで、セキュリティをクリックします。セキュリティアクションダイアログボックスが表示されます。セキュリティアクションダイアログボックス(/en-us/citrix-endpoint-management/media/manage-devices-secure-lock-macos.png)
-
ロックをクリックします。セキュリティアクション確認ダイアログボックスが表示されます。セキュリティアクションの確認(/en-us/citrix-endpoint-management/media/manage-devices-ios-secure-device-confirm-macos.png)
-
デバイスのロックをクリックします。
重要:
Citrix Endpoint Managementが生成するコードを使用する代わりに、パスコードを指定することもできます。指定されたコードがデバイスまたは既存のワークプロファイルのコード要件を満たしていない場合、ロックアクションは失敗します。
ブートストラップトークン
ブートストラップトークンは、macOSデバイスにサインオンする際に、アカウントにSecureToken macOS属性を付与するのに役立ちます。SecureTokenは、信頼されたアカウントから別のアカウントへと引き継がれます。SecureTokenが有効なアカウントは、デバイス上で暗号化操作を実行できます。ブートストラップトークンがない場合、個々のユーザーアカウントを追加する前に、そのデバイスでアカウントを作成するために複雑なワークフローに従う必要があります。
Citrix Endpoint Managementは、Apple Deployment Programを通じて登録されたmacOSデバイスのブートストラップトークンのエスクローをサポートしています。Apple Deployment Programは、Apple、参加しているApple正規販売店、または通信事業者から直接購入したmacOSデバイスを登録するために使用します。Apple Deployment Programへの登録については、「Apple Deployment Programによるデバイスの展開」を参照してください。
ブートストラップトークンは、設定アシスタントのワークフロー中に生成されます。具体的には、ローカルユーザーアカウントの作成中に生成されます。設定アシスタントは、ユーザーがデバイスを初めて起動したときに実行されます。トークンはCitrix Endpoint Managementデータベースに保存され、管理者やエンドユーザーには表示されません。Citrix Endpoint Managementサイトからデバイスを削除すると、トークンも削除されます。工場出荷時設定にリセットしても、トークンは削除されません。
前提条件:
-
macOS 11.0 以降
-
Apple T2 Security Chipを搭載したmacOSデバイス
-
Apple Deployment Programを通じて登録されたmacOSデバイス
Citrix Endpoint Managementでブートストラップトークンをエスクローする利点の1つは、リモートアカウントでFileVaultを有効にし、FileVaultボリュームのロックを解除できることです。FileVaultの詳細については、「FileVaultデバイスポリシー」を参照してください。