エンタープライズネットワークで Apple 製品を使う

エンタープライズネットワークで Apple 製品を使うために必要なホストとポートについて説明します。

この記事は、企業または教育機関のネットワーク管理者を対象としています。

Apple 製品では、各種のサービスを利用するために、この記事で紹介しているインターネットホストにアクセスできることが必要です。デバイスがホストに接続し、プロキシを利用する仕組みは、以下の通りです。

  • 下記のホストへのネットワーク接続は、Apple が運用するホスト側からではなく、デバイス側から確立されます。
  • HTTPS 通信監視 (SSL インスペクション) を行う接続では、Apple サービスは利用できません。HTTPS トラフィックが Web プロキシを経由する場合は、この記事で紹介しているホストに対して HTTPS 通信監視を無効にしてください。

Apple 製のデバイスが下記のホストにアクセスできるように徹底してください。

Apple プッシュ通知

Apple プッシュ通知サービス (APNs) への接続のトラブルシューティング方法については、こちらの記事を参照してください。すべてのトラフィックを HTTP プロキシ経由で送信するデバイスの場合は、プロキシをデバイス上で手動設定するか、モバイルデバイス管理 (MDM) で設定できます。macOS 10.15.5 以降では、プロキシ自動設定 (PAC) ファイルで HTTP プロキシを利用するように設定されていれば、デバイスは APNs に接続できます。

デバイスの設定

Apple 製デバイスの設定時や、オペレーティングシステムのインストール時、アップデート時、または復元時は、以下のホストへのアクセスが必要です。

ホスト ポート プロトコル OS 説明 プロキシのサポート
albert.apple.com 443 TCP iOS、iPadOS、tvOS、macOS デバイスのアクティベーション あり
captive.apple.com 443、80 TCP iOS、iPadOS、tvOS、macOS キャプティブポータルを利用するネットワークに対するインターネット接続の検証 あり
gs.apple.com 443 TCP iOS、iPadOS、tvOS、macOS   あり
humb.apple.com 443 TCP iOS、iPadOS、tvOS、macOS   あり
static.ips.apple.com 443、80 TCP iOS、iPadOS、tvOS、macOS   あり
sq-device.apple.com 443 TCP iOS および iPadOS eSIM のアクティベーション —
tbsc.apple.com 443 TCP iOS、iPadOS、tvOS、macOS   あり
time-ios.apple.com 123 UDP iOS、iPadOS、tvOS デバイスが日時の設定に使用 —
time.apple.com 123 UDP iOS、iPadOS、tvOS、macOS デバイスが日時の設定に使用 —
time-macos.apple.com 123 UDP macOS のみ デバイスが日時の設定に使用 —

デバイス管理

MDM に登録されている Apple 製デバイスでは、以下のホストとドメインへのアクセスが必要です。

ホスト ポート プロトコル OS 説明 プロキシのサポート
*.push.apple.com 443、80、5223、2197 TCP iOS、iPadOS、tvOS、macOS プッシュ通知 APNs およびプロキシについて詳しくは、こちらを参照してください。
deviceenrollment.apple.com 443 TCP iOS、iPadOS、tvOS、macOS DEP の暫定登録 —
deviceservices-external.apple.com 443 TCP iOS、iPadOS、tvOS、macOS   —
gdmf.apple.com
 443 TCP iOS、iPadOS、tvOS、macOS 管理対象のソフトウェアアップデートを利用するデバイスに適用可能なソフトウェアアップデートを判定するために、MDM サーバが使用 あり
identity.apple.com 443 TCP iOS、iPadOS、tvOS、macOS APNs 証明書リクエストポータル あり
iprofiles.apple.com 443 TCP iOS、iPadOS、tvOS、macOS Apple School Manager や Apple Business Manager に Device Enrollment 経由でデバイスを登録する際に使われるホスト登録プロファイル あり
mdmenrollment.apple.com 443 TCP iOS、iPadOS、tvOS、macOS Apple School Manager や Apple Business Manager に Device Enrollment で登録されるクライアントで使われる登録プロファイルをアップロードし、デバイスとアカウントを検索するために、MDM サーバが使用 あり
setup.icloud.com 443 TCP iOS および iPadOS 共有 iPad で管理対象 Apple ID を使ってログインするために必要 —
vpp.itunes.apple.com 443 TCP iOS、iPadOS、tvOS、macOS 「App およびブック」に関する操作 (デバイス上のライセンスの割り当てや失効など) を実行するために、MDM サーバが使用 あり

Apple Business Manager および Apple School Manager

Apple Business Manager および Apple School Manager を管理するため、管理者とマネージャには以下のホストとドメインへのアクセスが必要です。

ホスト ポート プロトコル OS 説明 プロキシのサポート
*.business.apple.com
 443、80 TCP - Apple Business Manager —
*.school.apple.com 443、80 TCP - Apple School Manager —
appleid.cdn-apple.com 443 TCP - ログイン認証 あり
idmsa.apple.com 443 TCP - ログイン認証 あり
*.itunes.apple.com 443、80 TCP - App とブック あり
*.mzstatic.com 443 TCP - App とブック —
api.ent.apple.com 443 TCP - App とブック (ABM) —
api.edu.apple.com 443 TCP - App とブック (ASM) —
statici.icloud.com 443 TCP - デバイスのアイコン —
*.vertexsmb.com 443 TCP - 免税状況の検証
—
www.apple.com 443 TCP - 一部の言語用のフォント
—
upload.appleschoolcontent.com 22 SSH - SFTP アップロード あり

管理対象 Apple ID を使用する従業員や生徒には、メッセージの新規作成時や書類の共有時に企業内または学校内のほかのユーザを検索するため、以下のホストへのアクセスが必要です。

ホスト ポート プロトコル OS 説明 プロキシのサポート
ws-ee-maidsvc.icloud.com 443、80 TCP iOS、iPadOS、macOS
 ユーザ検索サービス —

Apple Business Essentials デバイス管理

管理者と Apple Business Essentials で管理されているデバイスには、Apple Business Manager について上記に挙げられているホストとドメインに加え、以下のホストとドメインへのアクセスが必要です。

ホスト ポート プロトコル OS 説明 プロキシのサポート
axm-adm-enroll.apple.com 443 TCP iOS、iPadOS、tvOS、macOS DEP 登録サーバ —
axm-adm-mdm.apple.com 443 TCP iOS、iPadOS、tvOS、macOS MDM サーバ —
axm-adm-scep.apple.com 443 TCP iOS、iPadOS、tvOS、macOS SCEP サーバ —
axm-app.apple.com 443 TCP iOS、iPadOS、macOS App とデバイスの表示と管理 —
*.apple-mapkit.com 443 TCP iOS および iPadOS 管理対象紛失モードのデバイスの位置情報の表示 —
icons.axm-usercontent-apple.com 443 TCP macOS カスタムパッケージのアイコン —

クラスルームとスクールワーク

クラスルーム App またはスクールワーク App を利用する生徒と教師のデバイスでは、下記の Apple ID と iCloud のセクションに挙げられているホストに加えて、以下のホストへのアクセスが必要です。

ホスト ポート プロトコル OS 説明 プロキシのサポート
s.mzstatic.com 443 TCP iPadOS および macOS クラスルームとスクールワークのデバイスの確認 —
play.itunes.apple.com 443 TCP iPadOS および macOS クラスルームとスクールワークのデバイスの確認 —
ws-ee-maidsvc.icloud.com 443 TCP iPadOS および macOS クラスルームとスクールワークのクラス名簿サービス —
ws.school.apple.com 443 TCP iPadOS および macOS クラスルームとスクールワークのクラス名簿サービス —
pg-bootstrap.itunes.apple.com 443 TCP iPadOS スクールワークの配布物サービス —
cls-iosclient.itunes.apple.com 443 TCP iPadOS スクールワークの配布物サービス —
cls-ingest.itunes.apple.com 443 TCP iPadOS スクールワークの配布物サービス —

ソフトウェアアップデート

macOS や Mac App Store の App をアップデートし、コンテンツキャッシュを使用するには、以下のポートにアクセスできるように徹底してください。

macOS、iOS、iPadOS、watchOS、tvOS

Apple 製デバイスでは、iOS、iPadOS、macOS、watchOS、tvOS のインストール時、復元時、アップデート時に、以下のホストへのアクセスが必要です。

ホスト ポート プロトコル OS 説明 プロキシのサポート
appldnld.apple.com 80 TCP iOS、iPadOS、watchOS iOS、iPadOS、watchOS アップデート —
configuration.apple.com 443 TCP macOS のみ Rosetta 2 のアップデート —
gdmf.apple.com 443 TCP iOS、iPadOS、tvOS、watchOS、macOS ソフトウェアアップデートのカタログ —
gg.apple.com 443、80 TCP iOS、iPadOS、tvOS、watchOS、macOS iOS、iPadOS、tvOS、watchOS、macOS アップデート あり
gs.apple.com 443、80 TCP iOS、iPadOS、tvOS、watchOS、macOS iOS、iPadOS、tvOS、watchOS、macOS アップデート あり
ig.apple.com 443 TCP macOS のみ macOS のアップデート あり
mesu.apple.com 443、80 TCP iOS、iPadOS、tvOS、watchOS、macOS ホストのソフトウェアアップデートカタログ —
ns.itunes.apple.com 443 TCP iOS、iPadOS、watchOS   あり
oscdn.apple.com 443、80 TCP macOS のみ macOS 復旧 —
osrecovery.apple.com 443、80 TCP macOS のみ macOS 復旧 —
skl.apple.com 443 TCP macOS のみ macOS のアップデート —
swcdn.apple.com 443、80 TCP macOS のみ macOS のアップデート —
swdist.apple.com 443 TCP macOS のみ macOS のアップデート —
swdownload.apple.com 443、80 TCP macOS のみ macOS のアップデート あり
swscan.apple.com 443 TCP macOS のみ macOS のアップデート —
updates-http.cdn-apple.com 80 TCP iOS、iPadOS、tvOS、macOS ソフトウェアアップデートのダウンロード —
updates.cdn-apple.com 443 TCP iOS、iPadOS、tvOS、macOS ソフトウェアアップデートのダウンロード —
xp.apple.com 443 TCP iOS、iPadOS、tvOS、macOS   あり

App Store

Apple 製デバイスでは、App のインストール時やアップデート時に、以下のホストとドメインへのアクセスが必要です。

ホスト ポート プロトコル OS 説明 プロキシのサポート
*.itunes.apple.com 443、80 TCP iOS、iPadOS、tvOS、macOS App、ブック、音楽などのコンテンツの保存 あり
*.apps.apple.com 443 TCP iOS、iPadOS、tvOS、macOS App、ブック、音楽などのコンテンツの保存 あり
*.mzstatic.com 443 TCP iOS、iPadOS、tvOS、macOS App、ブック、音楽などのコンテンツの保存 —
itunes.apple.com 443、80 TCP iOS、iPadOS、tvOS、macOS   あり
ppq.apple.com 443 TCP iOS、iPadOS、tvOS、macOS エンタープライズ App の検証 —

キャリアアップデート

モバイルデータ通信対応のデバイスでは、キャリアバンドルのアップデートをインストールするために、以下のホストへのアクセスが必要です。

ホスト ポート プロトコル OS 説明 プロキシのサポート
appldnld.apple.com 80 TCP iOS および iPadOS モバイルデータ通信のキャリアバンドルのアップデート —
appldnld.apple.com.edgesuite.net 80 TCP iOS および iPadOS モバイルデータ通信のキャリアバンドルのアップデート —
itunes.com 80 TCP iOS および iPadOS キャリアバンドルのアップデートの検出 —
itunes.apple.com 443 TCP iOS および iPadOS キャリアバンドルのアップデートの検出 —
updates-http.cdn-apple.com 80 TCP iOS および iPadOS モバイルデータ通信のキャリアバンドルのアップデート —
updates.cdn-apple.com 443 TCP iOS および iPadOS モバイルデータ通信のキャリアバンドルのアップデート —

コンテンツキャッシュ

コンテンツキャッシュを提供する Mac では、以下のホストと、この記事で挙げられているホストのうち、ソフトウェアアップデート、App、追加コンテンツなどの Apple のコンテンツを提供するホストにアクセスできることが必要です。

ホスト ポート プロトコル OS 説明 プロキシのサポート
lcdn-registration.apple.com 443 TCP macOS のみ サーバの登録 あり
suconfig.apple.com 80 TCP macOS のみ

 構成 —
xp-cdn.apple.com 443 TCP macOS のみ 報告 あり

macOS のコンテンツキャッシュのクライアントは、以下のホストにアクセスできる必要があります。

ホスト ポート プロトコル OS 説明 プロキシのサポート
lcdn-locator.apple.com 443 TCP iOS、iPadOS、tvOS、macOS コンテンツキャッシュのロケータサービス —
serverstatus.apple.com
 443 TCP macOS のみ コンテンツキャッシュのクライアントのパブリック IP の判定 —

App の機能

Apple 製デバイスでは、一部の App の機能を使うために、以下のホストへのアクセスが適宜必要になります。 

macOS 10.14 以降で App を実行するには、App のノータリゼーション (公証) が必要です。App のデベロッパがノータリゼーションチケットを App に紐付けて (ステープルして) いない限り、ノータリゼーションを受けているかどうかの確認のため、Gatekeeper から Apple サーバにアクセスできる必要があります。App のデベロッパは、こちらでノータリゼーションのワークフローのカスタマイズ方法についてご確認ください。

App の検証は、App の有効なインスタンスが実行中かどうかを認定するために使われます。App のデベロッパは、こちらで App の整合性の確立方法をご確認ください。

ホスト ポート プロトコル OS 説明 プロキシのサポート
api.apple-cloudkit.com 443 TCP macOS App の公証 —
*.appattest.apple.com 443 TCP iOS、iPadOS、macOS App の検証、Web サイトでの Touch ID／Face ID 認証 —

ベータアップデート

Apple 製のデバイスでは、ベータアップデートにサインインし、フィードバックアシスタント App を使ってフィードバックを報告するために、以下のホストへのアクセスが必要です。

ホスト ポート プロトコル OS 説明 プロキシのサポート
bpapi.apple.com 443 TCP iOS、iPadOS、tvOS、watchOS、macOS ベータアップデートの登録 あり
cssubmissions.apple.com
 443 TCP iOS、iPadOS、tvOS、macOS フィードバックアシスタントがファイルのアップロードに使用

 あり
fba.apple.com

 443 TCP iOS、iPadOS、tvOS、macOS

 フィードバックアシスタントがフィードバックの提出と表示に使用

 あり

Apple 診断

Apple 製のデバイスは、ハードウェアの問題の兆候を検知する診断を実行するため、以下のポートにアクセスする可能性があります。

ホスト ポート プロトコル OS 説明 プロキシのサポート
diagassets.apple.com 443 TCP iOS、iPadOS、tvOS、macOS ハードウェアの問題の兆候を検知するため、Apple 製のデバイスが使用 あり

DNS (Domain Name System) の名前解決

iOS 14、iPadOS 14、tvOS 14、macOS Big Sur 以降で DNS (Domain Name System) の名前解決を暗号化するため、以下のホストを使います。

ホスト ポート プロトコル OS 説明 プロキシのサポート
doh.dns.apple.com 443 TCP iOS、iPadOS、tvOS、macOS DNS over HTTPS (DoH) に使用 あり

証明書の検証

この記事のホストで使われるデジタル証明書を検証するために、Apple 製のデバイスから以下のホストに接続できる必要があります。

ホスト ポート プロトコル OS 説明 プロキシのサポート
certs.apple.com 80、443 TCP iOS、iPadOS、tvOS、macOS 証明書の検証 —
crl.apple.com 80 TCP iOS、iPadOS、tvOS、macOS 証明書の検証 —
crl.entrust.net 80 TCP iOS、iPadOS、tvOS、macOS 証明書の検証 —
crl3.digicert.com 80 TCP iOS、iPadOS、tvOS、macOS 証明書の検証 —
crl4.digicert.com 80 TCP iOS、iPadOS、tvOS、macOS 証明書の検証 —
ocsp.apple.com 80 TCP iOS、iPadOS、tvOS、macOS 証明書の検証 —
ocsp.digicert.cn 80 TCP iOS、iPadOS、tvOS、macOS 証明書の検証 (中国) —
ocsp.digicert.com 80 TCP iOS、iPadOS、tvOS、macOS 証明書の検証 —
ocsp.entrust.net 80 TCP iOS、iPadOS、tvOS、macOS 証明書の検証 —
ocsp2.apple.com 443 TCP iOS、iPadOS、tvOS、macOS 証明書の検証 —
valid.apple.com 443 TCP iOS、iPadOS、tvOS、macOS 証明書の検証 あり

Apple ID

Apple 製のデバイスは、Apple ID を認証するために、以下のホストに接続できる必要があります。これは、Apple ID を使うすべてのサービス (iCloud、App のインストール、Xcode など) にとって必要です。

ホスト ポート プロトコル OS 説明 プロキシのサポート
appleid.apple.com/jp
 443 TCP iOS、iPadOS、tvOS、macOS
 設定 App やシステム環境設定の Apple ID 認証
 あり
appleid.cdn-apple.com
 443 TCP iOS、iPadOS、tvOS、macOS
 設定 App やシステム環境設定の Apple ID 認証
 あり
idmsa.apple.com 443 TCP iOS、iPadOS、tvOS、macOS Apple ID 認証 あり
gsa.apple.com 443 TCP iOS、iPadOS、tvOS、macOS Apple ID 認証 あり

iCloud

iCloud のサービスを利用するため、Apple 製のデバイスから上記の Apple ID ホストに加えて、以下のドメインのホストに接続できる必要があります。

ホスト ポート プロトコル OS 説明 プロキシのサポート
*.apple-cloudkit.com 443 TCP iOS、iPadOS、tvOS、macOS iCloud サービス —
*.apple-livephotoskit.com 443 TCP iOS、iPadOS、tvOS、macOS iCloud サービス —
*.apzones.com 443 TCP iOS、iPadOS、tvOS、macOS iCloud サービス (中国) —
*.cdn-apple.com 443 TCP iOS、iPadOS、tvOS、macOS iCloud サービス —
*.gc.apple.com
 443 TCP iOS、iPadOS、tvOS、macOS
 iCloud サービス
 —
*.icloud.com 443 TCP iOS、iPadOS、tvOS、macOS iCloud サービス —
*.icloud.com.cn
 443 TCP iOS、iPadOS、tvOS、macOS
 iCloud サービス (中国)
 —
*.icloud.apple.com 443 TCP iOS、iPadOS、tvOS、macOS iCloud サービス —
*.icloud-content.com 443 TCP iOS、iPadOS、tvOS、macOS iCloud サービス —
*.iwork.apple.com 443 TCP iOS、iPadOS、tvOS、macOS iWork 書類 —
mask.icloud.com 443 UDP iOS、iPadOS、macOS iCloud プライベートリレー —
mask-h2.icloud.com 443 TCP iOS、iPadOS、macOS iCloud プライベートリレー —
mask-api.icloud.com 443 TCP iOS、iPadOS、macOS iCloud プライベートリレー あり

Siri と検索

Apple 製デバイスでは、Siri のリクエスト (音声入力、Apple 製 App の検索など) を処理するため、以下のホストに接続できる必要があります。

ホスト ポート プロトコル OS 説明 プロキシのサポート
guzzoni.apple.com 443 TCP iOS、iPadOS、macOS Siri と音声入力のリクエスト —
*.smoot.apple.com 443 TCP iOS、iPadOS、macOS 検索サービス (Siri、Spotlight、調べる、Safari、News、メッセージ、ミュージックなど) —

関連ドメイン

Apple 製デバイスでは、iOS 14、iPadOS 14、macOS Big Sur 以降で関連ドメインを使うため、以下のホストに接続できる必要があります。関連ドメインは、ユニバーサルリンクの基盤です。ユニバーサルリンクは、Web サイトの全部または一部の代わりに App のコンテンツを提示できる機能です。Handoff、App Clip、シングルサインオン機能拡張はすべて関連ドメインを使用します。

ホスト ポート プロトコル OS 説明 プロキシのサポート
app-site-association.cdn-apple.com 443 TCP、UDP iOS、iPadOS、macOS ユニバーサルリンク用の関連ドメイン —
app-site-association.networking.apple 443 TCP、UDP iOS、iPadOS、macOS ユニバーサルリンク用の関連ドメイン —

Tap to Pay on iPhone

決済 App を使って非接触決済を行うには、iPhone から以下のホストに接続できる必要があります。

ホスト ポート プロトコル OS 説明 プロキシのサポート
pos-device.apple.com 443 TCP、UDP iOS Tap to Pay on iPhone あり
humb.apple.com 443 TCP iOS Tap to Pay on iPhone の設定 あり
phonesubmissions.apple.com 443 TCP iOS オプションの解析情報の共有 あり

追加のコンテンツ

Apple 製のデバイスでは、追加のコンテンツをダウンロードするため、以下のホストに接続できる必要があります。一部の追加コンテンツは、他社のコンテンツ配布ネットワークでホストされている場合もあります。

ホスト ポート プロトコル OS 説明 プロキシのサポート
audiocontentdownload.apple.com 80、443 TCP iOS、iPadOS、macOS GarageBand のダウンロード可能なコンテンツ —
devimages-cdn.apple.com
 80、443 TCP macOS のみ Xcode のダウンロード可能なコンポーネント —
download.developer.apple.com 80、443 TCP macOS のみ Xcode のダウンロード可能なコンポーネント —
playgrounds-assets-cdn.apple.com 443 TCP iPadOS および macOS Swift Playgrounds —
playgrounds-cdn.apple.com 443 TCP iPadOS および macOS Swift Playgrounds —
sylvan.apple.com
 80、443 TCP tvOS のみ
 Apple TV スクリーンセーバ
 —

ファイアウォール

ファイアウォールがホスト名の使用に対応している場合は、*.apple.com へのアウトバウンド接続を許可することで、上記の Apple サービスのほとんどを適宜利用できます。IP アドレスを使った設定しかできないファイアウォールの場合は、17.0.0.0/8 へのアウトバウンド接続を許可してください。17.0.0.0/8 アドレスブロック全体が Apple に割り当てられています。

HTTP プロキシ

上記のホストを出入りするトラフィックに対してパケットインスペクションや認証を無効にしていれば、Apple のサービスをプロキシ経由で利用できます。例外については、上述しています。Apple のデバイスやサービス間の暗号化された通信でコンテンツインスペクションを実行しようとすると、プラットフォームのセキュリティやユーザのプライバシーを守るため、接続が途切れます。

コンテンツ配布ネットワークおよび DNS 名前解決

この記事に掲載しているホストの一部は、DNS で A レコードや AAAA レコードの代わりに CNAME レコードを使う場合があります。これらの CNAME レコードがチェーン内のほかの CNAME レコードを参照していて、最終的に IP アドレスに解決される場合があります。こうした DNS 名前解決のおかげで、Apple はあらゆる地域のユーザにコンテンツを速く確実に配信でき、また、名前解決はデバイスやプロキシサーバに対しては透過的に行われます。これらの CNAME レコードは変化するため、Apple では、CNAME レコードのリストは公開していません。DNS 検索をブロックしておらず、上記のホストやドメインへのアクセスを許可している限りは、ファイアウォールやプロキシサーバを別途構成する必要はありません。

改訂履歴

2023 年 5 月：

  • 「フィードバックアシスタント」セクションを変更し、「ベータアップデート」に名称を変更

関連情報

Apple ソフトウェア製品で使われている TCP ポートと UDP ポートの一覧表については、こちらの記事を参照してください。

公開日：