WWDC26のデバイス管理のアップデート

ネットワーク構成

宣言型デバイス管理で利用できる新しいネットワーク構成により、すべての主要プラットフォームのデバイスに一貫したネットワークポリシーを適用できるようになります。ITチームは、宣言型デバイス管理のメリットを活用して、資格情報を同じプロファイルにバンドルすることなく、認証用の宣言型アセットとして提供できます。これにより、資格情報の更新が自動化され、ITチームやユーザにとってシームレスなものになります。また、同じ資格情報を異なるネットワーク構成で使用できるようになります。

宣言型アセットとしての構成プロファイル

現在レガシープロファイルを提供している場合は、そのURLがデバイス管理サービスを指している必要があります。また、デバイスID証明書でアクセスを認証する必要があります。

スムーズな移行を実現するために、宣言型デバイス管理でレガシープロファイルを構成として配布できるようになっています。

iOS 27、iPadOS 27、macOS 27、tvOS 27、visionOS 27、およびwatchOS 27を搭載したデバイスでは、レガシープロファイルを宣言型アセットとして配布できます。これにより、プロファイルのホスト場所や、デバイスがプロファイルを取得する際の認証方法がさらに柔軟になります。また、宣言型デバイス管理に整合性検証が組み込まれています。これは、ダウンロードされたアセットが変更されていないことを確認する際に役立ちます。

構成が適用されると、デバイスはURLからプロファイルをダウンロードします。ITチームは、新しいProfileAssetReferenceキーを使用してこれを構成できます。このキーは、以下の構成で利用できます:

ネットワークセキュリティ要件の追加

iOS 27、iPadOS 27、macOS 27、tvOS 27、visionOS 27、およびwatchOS 27を搭載したデバイスでは、一部のシステムプロセスにより厳しいネットワークセキュリティ（TLS）要件が適用されます。デバイス管理サービスがこの新しい要件を満たしていない場合、接続に失敗する可能性があります。影響を受けるプロセスは、デバイス管理、自動デバイス登録、構成プロファイルのインストール、アプリのインストール、およびソフトウェアアップデートに関連するアクティビティのプロセスです。デバイス管理サービスは、少なくともTLS 1.2に対応し、新しいApp Transport Security（ATS）要件を満たす暗号スイートと証明書を使用する必要があります。

影響を受けるプロセス、要件、および管理対象環境における障害の監査と診断の方法について詳しくは、Appleのサポート記事「より厳しいセキュリティ要件に対応するネットワーク環境を準備する」を参照してください。

ATSおよび新しい要件について詳しくは、Apple Developerのドキュメント「安全でないネットワーク接続を防止する」（英語）を参照してください。

ステータスレポートの機能強化

登録とデバイスの状態

デバイスの登録状態を監視することは、デバイス管理の重要な構成要素です。現在、デバイス管理サービスは、レイテンシとサーバの負荷が発生し、リアルタイムの精度は提供できないMDM（モバイルデバイス管理）クエリを使用する必要があります。

iOS 27、iPadOS 27、macOS 27、tvOS 27、visionOS 27、およびwatchOS 27を搭載したデバイスでは、デバイスに関する情報をプロアクティブに提供する新しいステータス項目を利用できます:

• mdm.enrollment-type: デバイスの登録タイプを報告します。登録タイプは以下の通りです:

  • 監視対象: 監視対象の登録の場合

  • デバイス: デバイス登録の場合

  • ユーザ: ユーザ登録の場合

• mdm.is-awaiting-configuration: デバイスが設定アシスタントでデバイス管理サービスを待機しているときに返されます。

• mdm.is-return-to-service: デバイスでアプリが保持される「サービスに戻す」が構成されているかどうかを示します。

• mdm.is-shared-ipad: iPadが共有iPadとして構成されているかどうかを示します。

• mdm.push-magicとmdm.push-token: デバイス管理に必要なAppleプッシュ通知サービス（APNs）プロパティに関連する詳細情報を提供します。

• device.system.health（iPhoneとiPadのみ）: ベースバンド、カメラ、Face ID、Touch ID、NFC、超広帯域無線などのハードウェアコンポーネントの状態や、その真正性に関する情報を提供します。

ロックダウンモード

ごく少数の個人がその人の職業などが原因で非常に高度なサイバー攻撃から個人的な標的になる場合があり、ロックダウンモードはそのような人のために設計されています。組織にそのような人が所属している場合、ITチームがその人のデバイスでロックダウンモードがオンになっていることを確認したり、状態を監視したりしたい場合があります。

iOS 27、iPadOS 27、macOS 27、およびwatchOS 27を搭載した監視対象デバイスでは、デバイス管理サービスで新しいsecurity.lockdown-modeステータス項目を登録できます。この項目は、デバイスのロックダウンモードの状態をプロアクティブに報告します。

Webコンテンツフィルタプラグインの構成

コンテンツフィルタリングは、教育環境やビジネス環境でよく必要とされる機能です。これを使うと、ITチームが管理対象ブラウズ体験を提供し、不要なWebページをブロックできます。iOS、iPadOS、macOS、およびvisionOSでは、Webコンテンツフィルタリングソリューションをオペレーティングシステムに統合し、Webトラフィックをフィルタリングできるようにするフレームワークが提供されます。

iOS 27、iPadOS 27、macOS 27、およびvisionOS 27を搭載したデバイスでは、com.apple.configuration.webcontent-filter.plugin構成を使用して必要な設定を配布できます。これにより、組織が宣言型デバイス管理機能をこの管理ドメインを利用できるようになります。

AppleCareのログ収集

AppleCareのケースに対応するためにデバイスからログ情報を収集することは、特定の動作を診断するための一般的で重要な手順です。現在これには、デバイスへの物理的なアクセスとユーザの協力が必要になるため、時間がかかる面倒なプロセスになることが多いのが一般的です。ユーザが旅行中である場合や、異なる建物にいる場合、特にこれが当てはまります。

iOS 27、iPadOS 27、macOS 27、およびtvOS 27を搭載したデバイスでは、ITチームが次の2つの新しいMDMコマンドを使用して、リモートから監視対象デバイスのログ収集を開始およびキャンセルできます:

• TriggerEnhancedLogCollection: リモートログ収集セッションを開始します。AppleCareから提供されたトークンを指定する必要があります。ログが作成されると、Appleに自動的にアップロードされ、AppleCareチケットに添付されます。

• CancelEnhancedLogCollection: アクティブなセッションを終了します。

デバイスとその状態によっては、ITチームがAppleCareチケットの一部としてインタラクティブまたは非インタラクティブなトークンを要求し、デバイスのログ収集セッションを認可できます。その他のセッションの詳細は、以下の通りです:

• インタラクティブなログ収集セッションでは、ユーザの同意が求められます。ユーザは、収集とアップロードに即座に同意することも、アップロード前に情報を確認することも、ログ収集をキャンセルすることもできます。

• 非インタラクティブなログ収集を使用する場合は、デバイスに通知が表示され、バックグラウンドでログ収集とアップロードが行われます。

• Macコンピュータでは、常にインタラクティブなログ収集が使用されます。iPhoneおよびiPadデバイスでは、デバイスでアカウント（App Store、iCloud、メールなど）が構成されている場合、またはパスコードが設定されている場合、インタラクティブなログ収集が必要です。Apple TVと共有iPadでは、常に非インタラクティブなログ収集が使用されます。

さらに、以下の新しい宣言型ステータス項目で、ログ収集に関する情報を利用できます:

• enhanced-logging.status: ログ収集が開始、完了、またはキャンセルされたかどうか、ユーザの同意を待機中かどうか、アップロードが進行中かどうかが表示されます。

• enhanced-logging.timestamp: 最後にステータスが変化したときのタイムスタンプを報告します。

• enhanced-logging.applecare-token: 提供されたAppleCareトークンについて報告します。

バックアップの復元

iOS 27、iPadOS 27、およびvisionOS 27を搭載したデバイスで、バックアップからデバイス管理情報が復元されなくなります。これには、登録プロファイル、管理構成、監視状況が含まれます。Apple School ManagerまたはApple Businessに表示されるデバイスは、デバイスの復元後に自動デバイス登録を通じて自動的に登録されるため、バックアップからの古い構成ではなく、最新の管理状態を受け取ります。

管理対象アプリが登録解除時に削除とマークされていない場合、そのデータが復元されます。復元後に対応する管理対象アプリをインストールすることで、デバイス管理サービスがこのデータの管理を引き継ぐことができます。

「サービスに戻す」の機能強化

以下は、「サービスに戻す」機能の機能強化です。

登録の自動再試行

現在、デバイスが「サービスに戻す」のコマンドを受信すると、デバイスはリセットされ、特定のデバイス管理サービスへの登録を試行します。一時的なネットワークの問題やデバイス管理サービスのエラーが発生した場合など、特定のケースでは、登録が失敗し、デバイスが消去されたまま登録されない状態になることがあります。

この状況を改善するため、iOS 27およびiPadOS 27を搭載したiPhoneおよびiPadデバイスで、EraseDeviceコマンドのReturnToService辞書に新しいShouldRetryEnrollmentキーが設計されています。このキーをTRUEに設定すると、最初の登録試行に失敗した場合に、デバイスは時間遅延（最大5分）を増加させながら自動的に登録を再試行します。

言語と地域を設定する

iOS 27およびiPadOS 27を搭載したiPhoneおよびiPadデバイスでは、ITチームが自動デバイス登録プロファイルでデバイスの言語と地域を設定できます。これにより、ITチームがデバイスをリセットする際に希望ロケールを設定できるようになるため、「サービスに戻す」プロセスの柔軟性が向上します。これを行わない場合は、以前に選択したものが適用されます。言語と地域は、デバイス管理登録プロファイルの2つの新しいキーで設定できます:

• language: ISO 639-1の2文字コードを使って設定する言語を定義します。

• region: ISO 3166-1の2文字コードを使って設定する地域を定義します。

「サービスに戻す」を開始する

iOS 27およびiPadOS 27で、アプリが保持される「サービスに戻す」を構成しているiPhoneおよびiPadデバイスでは、「サービスに戻す」プロセスを開始する新しいオプションが追加されています。

ユーザがコントロールセンターから「サービスに戻す」を開始するか、ITチームがSettingsコマンドのSharedDeviceConfiguration.TemporarySessionTimeoutキーを使用して、使用しない状態が一定時間（秒単位）続いたあとに「サービスに戻す」を自動的に起動するように構成することができます。

コントロールセンターから「サービスに戻す」を開始すると、デバイスはデバイス管理サービスでReturnToServiceのチェックインを実行して、必要な登録情報を取得します。この情報には、新しいShouldRetryEnrollmentキーも含まれる場合があります。

ソフトウェアアップデートの適用

ITチームは、iOS 27、iPadOS 27、およびvisionOS 27を搭載した監視対象デバイスが「サービスに戻す」のeraseコマンドを受信したときに、ソフトウェアアップデートを強制できます。デバイス管理サービスは、登録の際に、デバイスでオペレーティングシステムバージョンが必要であることに関する情報を含む、403応答を返す必要があります。その後、デバイスは自動的にソフトウェアアップデートを実行し、「サービスに戻す」を継続します。

Wi-Fiアシストの用語変更

iOS 27およびiPadOS 27を搭載したデバイスで、「Wi-Fiアシスト」という用語が「接続アシスト」に変更されます。NetworkUsageRules.SIMRulesItemにあるWiFiAssistPolicyデバイス管理キーは変更されません。

コンテンツキャッシュの構成

コンテンツキャッシュはmacOSのサービスで、ローカルのAppleデバイスですでにダウンロードしたコンテンツを保存することで、Appleが配付しているソフトウェア、およびユーザがiCloudに保存したデータのダウンロードを高速化します。保存したコンテンツはMacのコンテンツキャッシュで保管され、ほかのデバイスはインターネットに接続しなくてもこのコンテンツを取得できます。

macOS 27を搭載した監視対象Macでは、ITチームが宣言型デバイス管理を使用してコンテンツキャッシュを構成できます。新しいcom.apple.configuration.content-cache.settings構成には、以前にレガシープロファイルで利用できたすべてのキーが含まれています。

さらに、以下の新しい宣言型ステータス項目を利用できます。これらは登録しているデバイス管理サービスに送信されます:

• content-cache.info: 利用可能なストレージ領域、使用済みストレージ領域、状態、キャッシュプレッシャーなど、コンテンツキャッシュに関する一般的な情報。

• content-cache.status: 登録状況、IPアドレス、レポート状況、発生したエラーに関する詳細情報。

• content-cache.parents: 親コンテンツキャッシュのリストおよび状態。

• content-cache.peers: ピアコンテンツキャッシュのリストおよび状態。

Macでは、ManagementStatusTargetキーで指定した任意のHTTPSエンドポイントに、ManagementReportingIntervalキーで定義された時間間隔で定期的に情報を送信することもできます。これにより、カスタムモニタリングソリューションやダッシュボードを作成し、コンテンツキャッシュサービスがどのように使用されているかについて深く理解することができます。

受信HTTPエンドポイントへの接続をセキュリティで保護する場合、ManagementSecurityConfigで次の3つのオプションを使用できます:

• no-cert: サーバのTLS証明書の検証は行いません（この設定では、例えばテスト用のプレーンなHTTPリクエストも許可されます）。

• signedByCACert: デバイスが信頼するCAでサーバ証明書を検証します。

• specificServerCert: サービス証明書は、ManagementStatusCertificateReferenceアセットで提供されるサーバ証明書と一致している必要があります。

コンテンツキャッシュは、現在のキャッシュの状態をJSON形式のテキストとして、HTTPS POSTリクエストを使用して送信します。これにはserverGUIDが含まれており、複数のリクエストを同じサーバに対してやり取りするために使用できます。

フォーマットの詳細については、Apple Developerのドキュメント「コンテンツキャッシュサービスを構成する宣言」（英語）を参照してください。

visionOSの新しい制限

ITチームは、以下の新しい制限により、visionOS 27を搭載した管理対象Apple Vision Proデバイスをさらに細かく管理できるようになります:

• allowBluetoothModification: ユーザがBluetooth設定を変更できないようにします。

• allowChat: iMessageの使用を制限します。

ITチームはallowListedAppBundleIDsおよびblockedAppBundleIDsも使用できますが、アプリの起動については、宣言型管理への移行を始めるようにしてください。この2つの制限は、visionOS 27で非推奨になります。

Intelligence、Siri、およびキーボードの管理

Appleは、従来のMDM制限ペイロードの機能を宣言型デバイス管理構成に移行することで、オンデバイスで利用できるインテリジェントシステムの管理をモダナイズしています。この移行により、ポリシーの意図が明確になり、構成を適用するタイミングの柔軟性が高まり、管理機能を見つけるパスが効率化されます。最新の宣言型構成で利用可能な設定は以下の通りです:

• Apple Intelligence

• 外部インテリジェンス

• Siri

• キーボード

Apple Intelligenceの設定

ITチームは、com.apple.configuration.intelligence.settings構成を使用して、iOS 26.4、iPadOS 26.4、macOS 26.4、visionOS 26.4以降を搭載した監視対象デバイス全体で、以下を含むApple Intelligence機能の許可または拒否を行うことができます:

• AllowGenmoji: ジェン文字

• AllowImagePlayground: Image Playground

• AllowWritingTools: 作文ツール

• AllowImageWand: 画像マジックワンド（iOS、iPadOS、visionOS）

ITチームは、以上のデバイス全体の設定に加えて、以下の項目も管理できます:

• 「メール」、「メモ」、「Safari」のアプリ固有のインテリジェンス機能

• Apple Intelligenceレポート

• パーソナライズされた手書きの結果（iOS、iPadOSのみ）

• ビジュアルインテリジェンスの要約（iOS、iPadOSのみ）

• 音声入力と翻訳のオンデバイス専用処理（iOS、iPadOSのみ）

iOS 27、iPadOS 27、macOS 27、およびvisionOS 27を搭載した監視対象デバイスで、com.apple.configuration.intelligence.settings構成の新しいApps.Calendar.AllowNaturalLanguageEditingキーをFALSEに設定すると、ユーザが自然言語入力を使ってカレンダーの予定を作成できなくなります。

外部インテリジェンスの設定

iOS 26.4、iPadOS 26.4、macOS 26.4、visionOS 26.4以降を搭載した監視対象デバイスでは、組織がcom.apple.configuration.external-intelligence.settings構成を使用して外部インテリジェンス統合を管理できます。これにより、ITチームが外部のインテリジェンスサービスを許可または制限したり、これらのサービスのサインインアクセスを管理したりできます。

最初の27.0オペレーティングシステムベータ版における強制の制限は、AppleSeed for ITのそれぞれのベータ版ノートの既知の問題に記載されています。

Siri設定

iOS 26.4、iPadOS 26.4、macOS 26.4、visionOS 26.4、watchOS 26.4以降およびtvOS 27を搭載した監視対象デバイスでは、ITチームがcom.apple.configuration.siri.settings構成を使用して以下の項目を管理できます:

• Siriをグローバルに許可/拒否する（iOS、iPadOS、macOS、tvOS、visionOS）

• デバイスのロック中のSiriへのアクセスを制御する（iOS、iPadOS、watchOS）

• Siriによるユーザ生成コンテンツの処理を許可/拒否する（iOS、iPadOS、watchOS）

• Siriの応答に不適切表現フィルタを適用する（iOS、iPadOS、macOS）

「キーボード」設定

iOS 26.4、iPadOS 26.4、macOS 26.4以降を搭載した監視対象デバイスでは、ITチームがcom.apple.configuration.keyboard.settings構成を使用して以下の項目を管理できます:

• 音声入力

• 定義の検索

• 計算キーボードの提案

• 予測テキスト（iOS、iPadOSのみ）

• なぞり入力（iOS、iPadOSのみ）

• テキストの置換のショートカット（iOS、iPadOSのみ）

• テキストの修正: 自動修正、スペルチェック（iOS、iPadOSのみ）

ファイルプロバイダの管理

macOS 26.4以降を搭載したMacでは、組織がファイルプロバイダ機能拡張に対して追加の制御を行えるようになります。ファイルプロバイダ機能拡張がアクセスできるボリュームとデータの同期方法を定義できます。これにより、既存のオプションが拡張され、ファイルプロバイダ機能拡張がユーザの「デスクトップ」フォルダおよび「書類」フォルダのデータを同期する方法を定義できるようになります。

企業向けファイル管理ソリューションを使用している組織は、この機能を使用することで、データボリューム周辺のセキュリティ境界を維持しながら、これまで以上にきめ細かい管理を行うことができます。

ITチームは、com.apple.fileproviderdペイロードを使用して以下のことができます:

• ファイルプロバイダ機能拡張のデータ同期を一般的に許可/拒否します。

  注記: 同期をオフにすると、「デスクトップ」および「書類」のデータの同期もオフになります。

• ファイルプロバイダ機能拡張で、暗号化されたAPFSフォーマットの外部ストレージ上の場所に同期できるかどうかを定義します。

• 同期と外部同期を個別に制限し、承認済みアプリのファイルプロバイダ機能拡張のみに限定します。

• デフォルトでファイルプロバイダ機能拡張を有効にするアプリを選択します。

管理対象の移行アシスタント

macOS 26.4以降を使用しているMacでは、管理対象の移行アシスタントにより、設定アシスタントでのMacからMacへのデータ移行が効率化され、新しいMacにどのデータを転送するかを、ユーザの判断に委ねることなく組織で制御できます。

移行アシスタントでは、速度に応じて移行のための最適な転送オプションが選択されます。オプションには、ピアツーピアのWi-Fi、インフラストラクチャのWi-Fi、Ethernet、およびThunderboltが含まれます。移行アシスタントでは、移行中に、より高速なオプションが使用可能になったかどうかも頻繁に確認されます。

ITチームは以下を指定することで、移行体験をカスタマイズしたり、効率化したりできます:

• RequiredPaths: ユーザのホームフォルダ内の移行する必要があるサブフォルダとファイル。

• ExcludedPaths: 除外するサブフォルダとファイル。

• ExcludedAccounts: 移行の対象としないユーザアカウント。

• ShouldMigrateSecurityPrivacySettings: システムレベルのプライバシー設定を移行するかどうか。

詳しくは、macOS用管理対象移行アシスタントを参照してください。

ソフトウェアアップデートコマンドの削除

昨年発表されたように、すべての27.0オペレーティングシステムでレガシーソフトウェアアップデート管理が動作しなくなります。これには、

• ソフトウェアアップデートコマンド

• ソフトウェアアップデートクエリ

• おすすめのケイデンス設定

• ソフトウェアアップデートの制限（延期やバックグラウンドセキュリティ改善など）

ITチームは、宣言型ソフトウェアアップデート管理を使用して、デバイスのアップデートを構成および適用する必要があります。これにより、ユーザへの透明性を高め、これまで以上に細かい管理を行えるようになります。

詳しくは、Apple Developerのドキュメント「デバイス管理のドキュメント」（英語）を参照してください。