iOS構成プロファイル

MobiControl v14 Manual

Apple製品を含む MobiControlの設定は次の順序で行いますが、下記の4番目で端末グループまたは、端末の構成プロファイルを作成します。
  1. MobiControlサーバのプロパティと証明書等設定
  2. 端末グループの作成
  3. 端末登録ルールの作成
  4. 端末グループまたは端末の構成プロファイル作成
  5. 端末グループの詳細設定
  6. 端末登録ルール以外のルールの設定
  7. デバイスのセットアップと登録
  8. コンテンツのライブラリへのアップロード
端末の設定分野には「構成プロファイル」と「ルール」と「詳細設定」 があります。詳しくは、 構成プロファイルとルールと詳細設定 を参照ください。

構成プロファイルのメニュー画面には、複数の設定項目が表示されます。この設定項目を選ぶと各々のダイアログがポップアップするので これに対し設定作業を行います。一つまたは複数の設定項目を設定して、一つの構成プロファイルが作成します。そして、それを 適用する端末グループまたはAD(Active Directory)のグループに割り当てをします。その端末グループに属する端末の挙動は、割り当てられた構成プロファイルに従います。

A. 設定のための基本メニュー

コンソール画面の左上の三本線アイコンをクリックすると、(図1)の基本メニュー画面が現れます。
(図1)
(図1)の「プロファイル」を選択すると、設定済みの構成プロファイルの一覧画面(図2A)又は(図2B)が現れます。
  • MobiControl v14.3以上の場合は、(図2A)が表示されます。
  • MobiControl v14.3未満の場合は、(図2B)が表示されます。

(図2A)
プロファイルの一覧 (MobiControl v14.3以上の場合)

右上の「新しいプロファイル」のアイコン(赤矢印)をクリックすると、端末のプラットフォームの一覧がプルダウンされます。 この中から「Apple」を選択すると、(図3)が現れます。

(図2B)
プロファイルの一覧 (MobiControl v14.3未満の場合)

(図2B)の上辺のタブで、「Apple」を選択し、更に「追加」(赤矢印)を押すと、(図3)が現れます。

B. 構成プロファイルに名前をつける

(図3)

名前欄に、構成プロファイルの名前を入力します。構成プロファイル内の構成や利用対象の組織名などを類推しやすい名前をつけるのがよいでしょう。
説明欄に、構成プロファイル内の構成や利用対象がより分かり易い記述を書き込みます。
構成プロファイルを更新した場合は、その履歴も記入しておくとよいでしょう。

C. 構成プロファイルのタイプを選択する

(図3)で、「タイプ」の右端をプルダウンすると、対象となるタイプの種類が現れます。 端末のOSがiOSの場合は、「iOS」を選択します。
タイプの選択が終われば、「構成」タブを選択します。(図4)が現われます。

(図4)

D. iOSの構成プロファイル・メニュー

(図4)で「追加」タブを選択すると、(図5)が現われます。

(図5)
iOSの構成プロファイル・メニュー


(図5)で設定したい項目をクリックすると、各々の設定ダイアログがポップアップします。

E. 構成プロファイルの端末グループへの割り当て

各々の設定ダイアログでの設定が終わり、その「OK」ボタンを押すと、画面は(図6)に遷移します。
設定した設定項目のタイトルが挿入されました。

(図6)

(図6)で、再度「追加」ボタンを押すと、(図5)が再度ポップアップします。ここで他の項目を選択して、設定項目を追加することができます。
設定項目を追加する必要がない場合は、(図6)の下辺の「保存して割り当て」ボタンを押します。 (図7)がポップアップします。

(図7)

(図7)で、構成プロファイルの配布対象となる端末グループまたは端末を選択します。選択をするとチェックボタンが青くなります。 選択が終わると、下辺の「割り当て」ボタンを押します。これで、端末グループまたは端末の割り当てが完了します。
「割り当て」直後に、構成プロファイルは、端末(群)に送られ展開されます。端末は、この構成プロファイルに従って挙動するようになります。
Apple製品は、MobiControlサーバに常時は接続していません。それにも関わらず、構成プロファイルの「割り当て」後、すぐに、構成プロファイルが 端末に配布され適用されるのは、Apple APNSを利用するからです。詳しくは、iOS又はmacOSでのチェックインの仕組みを 参照ください。

F. 構成プロファイルの修正または項目の削除

(図6)の段階で、構成プロファイルの内容を修正したいときがあります。 その場合は、(図6)で、 設定した構成の項目を選択(背景色が変わる)してから、「アクション」をプルダウンすると、(図8)のように アクション項目が表示されます。 ここで、「編集」を選択すると、設定項目のダイアログが再度表示されるので、そこで、設定内容を修正します。

(図8)

「削除」は選んでいる設定項目のみを削除。「全てを削除」は、当該プロファイルの全ての設定項目を削除します。

G. 作成済の構成プロファイルへの働きかけ

(図2A)または(図2B)を参照ください。これは、作成済の構成プロファイルのリストです。
作成済の構成プロファイルに対し、各種の働きかけができます。

G-1. MobiControl v14.3以上の場合

(図2A)で、該当の構成プロファイルを選択すると、画面下辺に、(図9)のようなメニューが現れます。

(図9)

(図9)の右端の3点マークをクリックすると、(図10)のようにメニューが拡がります。
(図10)
働きかけの権限を持つコンソール管理者の変更または追加
適用を暫定停止した構成プロファイルの再インストール
割当をする端末グループを追加、又は削除
構成プロファイルの端末での削除
これから追加登録する端末に対しては、当該構成プロファイルを非適用
構成プロファイル適用の暫定的停止
構成プロファイルのコピー
プロファイル項目の内容の一部を修正して、 他の端末グループに割り当てる
構成プロファイルの設定内容の修正

G-2. MobiControl v14.3未満の場合

(図2B)で、該当の構成プロファイルにマウスを当てて、背景色をブルーにしてから、「アクション」タブをプルダウンします。 「アクション」タブをプルダウンすると、(図11)のようなプルダウンメニューが現われます。

(図11)

プロファイルの編集 構成プロファイルの設定内容の修正
プロファイルの割り当て 割当をする端末グループを追加、又は削除
プロファイルの複製 構成プロファイルのコピー
プロファイル項目の内容の一部を修正して、 他の端末グループに割り当てる
プロファイルを無効にする 構成プロファイル適用の暫定的停止
プロファイルの失効 これから追加登録する端末に対しては、当該構成プロファイルを非適用
プロファイルのインストールを再試行 適用を暫定停止した構成プロファイルの再インストール
プロファイルの削除 構成プロファイルの端末での削除
アクセス許可の編集 働きかけの権限を持つコンソール管理者の変更または追加
どの端末にも割り当ててない構成プロファイルは、「ドラフト」扱いです。「ドラフト」の構成プロファイルは、「名前」の後に、 ペンのマークがついています。

H. 高度な割り当て方法

(図7)の上部のタブで、「フィルター条件」、「ユーザグループターゲット」、「オプション」を選択すると、構成プロファイルを 高度な方法で割り当てることができます。

H-1. フィルター条件

構成プロファイルは、端末グループまたはAD_DS若しくはAD_FSのグループに割り当てますが、そのグループ内の特定のプロパティを持つ端末(群)には、適用したくないことがあります。
例えば、OSのバージョンが特定のバージョン番号以降の端末(群)のみに適用したい場合があります。 また、監視モードでない端末(群)のみに適用したい場合もあります。
次の「フィルタ条件の設定」をクリックしてください。

フィルター条件の設定

  • (図7)の上辺の「フィルター条件」のタブを選択すると、(図12)に画面遷移します。

    (図12)


    (図12)で「追加」ボタンを押すと、(図13)のように、「端末のプロパティ」か「付属情報」かの選択肢が現れます。

    (図13)


    「端末のプロパティ」または「付属情報」のどれでも、複数のフィルター条件を設定できます。 (図12)の赤矢印部分で、「全て」または「どれでも」の選択ができます。
    • 「全て」
      複数の条件があれば、その全ての条件に適合した場合にのみ、除外します。
    • 「どれでも」
      複数の条件のうち、一つだけでも適合したときに、除外します。

    (図13)で「端末のプロパティ」を選択すると、(図14)のように端末のプロパティの種類が列記されます。

    (図14)


    (図14)で除外したい端末のプロパティを選ぶと、その右に、「しきい値」を入力する欄が現れるので、適切な値を入力します。 (図14)のプルダウンメニューの「監視対象」とは、端末が 監視モード端末になっていることを指します。

    (図15)

    (図15)の例は、監視モードでない端末(監視対象がFALSEの端末)を除外する設定です。つまり、監視モードの端末のみに 適用することになります。

    (図14)の「付属情報」は、MobiControl管理者の任意で設定できる情報項目です。例えば、
    • 端末ユーザの役職名
    • 端末の購入日
    • 端末の資産台帳での資産番号
    • その他
    などです。これらの情報項目の値に基づいて、これに該当する端末を構成プロファイルを適用したり、逆に適用しないようにできます。

    フィルタ条件の設定が終わると、下辺の「割り当て」ボタンを押します。これで、端末グループまたは端末の割り当てが完了します。

H-2. ユーザーグループ ターゲット

AD_DS(Active Directory Domain Service)またはAD_FS(Active Directory Federation Service)のグループを、 構成プロファイルの配布対象として指定します。
その結果として、そのAD_DS(AD_FS)グループがマッピング(紐づけ)してある端末グループ(群)に、割り当てられます。
(図16)のように、端末グループの「マーケティング課」と「東京営業課」は、異なる部に属しているが、AD_DSまたはAD_FSでは、共通の「TOKYO」という グループにマッピングされているとします。
この場合、構成プロファイルをグループ名「TOKYO」に割り当てると、端末グループの「マーケティング課」と「東京営業課」の両方に割り当てることができます。
Active Directoryのグループの端末グループへのマッピングは、端末登録ルールで設定しておきます。
(図16)
次の「ユーザーグループ ターゲットの設定」をクリックしてください。

ユーザーグループ ターゲットの設定

  • (図7)上辺の「ユーザーグループ ターゲット」タブを選択すると、画面は(図17)のように遷移します。

    (図17)

    ユーザグループを管理するサーバには、「ディレクトリサービス」と「識別サーバ」の2種類のカテゴリーがあります。

    「ディレクトリサービス」は、AD_DS(Active Directory Domain Service)や、Apple OD(Open Directory)などを指します。 予め、LDAP接続プロファイルを作成し、当該のディレクトリサーバとMobiControlサーバとの間をバインドしておきます。

    「識別サーバ」は、AD_FS(Active Directory Federation Service)などの識別サーバを指します。 予め、AD_FSとの接続プロファイルを作成し、当該の識別サーバとMobiControlサーバとの間をバインドしておきます。

    複数のサーバとバインドしてある場合は、の部分をプルダウンして、 対象となる「ディレクトリサービス」または「識別サーバ」を選択します。

    の部分に、構成プロファイルの配布先となるユーザグループ名を入力します。 グループ名の正確な文字列を知っておく必要はありません。(図17)の赤矢印部分に、文字列の最初の2文字を入力すると、 その文字列で始まるグループ名を表示してくれます。複数のADのグループに割り当てることができます。その場合は、そのグループ名を2行目以降に列記します。

    端末登録ルールで、選択したAD_DSのグループに対し、端末グループをマッピングしてなかった場合がありえます。その場合は、「このグループにマッピングする端末グループを選択してください」とのポップアップがでて、画面は、(図7)に遷移します。そこで、マッピングするべき端末グループを選択します。 これで、AD_DSのグループ指定を経て、構成プロファイルの端末グループへの割り当てが完了します。

    (図18)
    ADのグループに構成プロファイルを割り当てた例

     

    逆に、当該構成プロファイルを割り当てたくないADのグループがあるかもしれません。 例えば、端末をUSBポート経由でPCからデータを抜き取ることを不可能にする構成プロファイルを、ADの本社全体グループに割り当てたとします。 しかし、「情報システム部」に対応するADのグループには、例外として割り当てないことがあります。 その場合は、情報システム部に対応するADのグループを入力して、(図17)の下辺の「Excluded」をクリックします。
    割り当てが終わると、下辺の「割り当て」ボタンを押します。これで、端末グループまたは端末の割り当てが完了します。

H-3. オプション

構成プロファイルの取り扱いに関して、下記を指定できます。
  • 展開開始日時
    端末への展開を今すぐでなく、指定の日時に展開するとして、その日時を指定
  • 無効にする日時
    構成プロファイルの端末への展開後、いつかそれを無効にするとして、その無効になる日時を指定
  • 追加割り当て終了日時
    ある日時以降に登録する端末には、適用されないようにするとして、その日時を指定
  • 端末ユーザ操作で展開
    デフォルトでは自動インストールだが、端末ユーザの手動操作を経て展開するようにする
次の「オプションの設定」をクリックしてください。

オプションの設定

  • (図7)の上辺の「オプション」を選択すると、(図19)に画面遷移します。

    (図19)

    (図19)の設定項目説明
    インストール方法「自動」か「セルフサービス」を選択します。「自動」を選択した場合、下辺の「割り当て」ボタンを 押すと、構成プロファイルはすぐに端末に送られ、インストールされます。デフォルトは「自動」です。
    「セルフサービス」を選択すると、端末ユーザが操作しないと、インストールされません。 端末でアプリ利用中に、新しい構成プロファイルが適用されると、アプリ操作に支障がある場合に選択します。
    「セルフサービス」を選択した場合の 端末ユーザの操作方法は、「端末ユーザの任意の時刻にインストール」を参照ください。
    スケジュールされたアクション割り当て日時、無効日時、失効日時を予め設定しておきます。

    割り当て日 「自動」を選択すると、構成プロファイルはすぐに端末に送られ、インストールされますが、このオプションを選択すると、 今すぐでなく、後日に割り当てます。その日時を指定します。
    通信回線の輻輳(ふくそう)を避けて、夜間や週末に送信する場合に適用します。

    次のアップデートスケジュールにずらす 今すぐでなく、次の更新スケジュールの時に割り当てます。
    上位の端末グループに割り当てるときに適用すると、通信回線の輻輳を緩和します。 下位の端末グループは、別々の更新スケジュール時刻に更新するからです。

    無効日 ある日時以降に登録する端末には、適用されないようにするとして、その日時を指定します。 その日時までに適用した端末では、その後も有効に機能しつづけます。

    失効日 既に適用済の端末も含めて、構成プロファイルの機能が停止する日時を指定します。 但し、構成プロファイルが削除されるわけではありません。その後、再インストールすれば再度、構成プロファイルは有効になります。
    指定した時間フレームにアップデートスケジュールのプロファイル展開を制限する

    端末プロファイルが端末に届くと、デフォルトではすぐにインストールされます。 勤務時間帯に構成プロファイルのインストールが実行されると、端末操作に影響がある場合があります。
    そこで、端末に届いても、すぐにはインストールをせず、指定した曜日や日時にインストールするようにします。
    「追加」ボタンを押すと、(図20)がポップアップしますので、曜日と時間帯を指定します。

    (図20)

    時刻はUTC(協定世界時)で入力します。UTCは、日本時間より9時間遅れです。日本時間の22時は、UTCだと13時です。
    • 時間帯を指定した時刻になっても、「割り当て日」での指定時刻にまだ達していない場合があります。 その場合は、まだ、構成プロファイルは端末に届いていません。その場合は、端末は次のチェックインの時刻に、構成プロファイルをダウンロードして インストールします。
    • インストールの時間帯は、複数設定ができます。曜日別に時間帯を設定することができます。

I. 構成プロファイルが適用されているかどうかの確認

構成プロファイルの割り当てを実行した後には、念のため、その構成プロファイルが端末にインストールされたかどうかを確認をします
端末フィルタリングの「構成プロファイルがインストールされてない端末を探す」を実行します。 (図21)は、構成プロファイルのステータスが「インストールの保留中」の端末を一覧表示する端末フィルタ条件式です。

(図21)

一覧表示された端末の名前をクリックし、その「構成」タブを開くと(図22)のような表示がされます。

(図22)

(図22)では、「インストールの保留中」の構成プロファイルの名前が、「端末の機能制限」であることを表示しています。

次の場合に、構成プロファイルのステータスが「インストールの保留中」になる可能性があります。
  1. インストールの失敗
    端末のOSが古い場合に、構成プロファイルがインストールできないことがあります。
    特に、「端末の機能制限」構成プロファイルのインストールに失敗することがあります。 それは、幾つかの端末機能が、新しいOSバージョンでしか適用できないことに起因します。
  2. インストールを遅らせる設定をした
    前述の「H-3. オプション」で、「指定した時間フレームにアップデートスケジュールのプロファイル展開を制限する」を設定し、 インストール時刻を「今すぐ」とは設定しなかった場合です。
    この場合、時間経過すると、「インストール済み」にステータスが変わるはずです。
(図22)で、インストール方法がセルフサービスとなっている構成プロファイルが「未インストール」になっています。 これは、(図19)の「インストール方法」の欄で、「自動」でなく「セルフサービス」を選択した構成プロファイルです。 端末ユーザによる手動インストールが必要で、それがまだ実行されてない状態です。
F. 端末ユーザの任意の時刻にインストール」を参照ください。
構成プロファイルの割り当てを送るとすぐに、MobiControlサーバは、APNs経由で、端末にチェックインを要求します。 「チェックインの仕組み」を参照ください。

電源オフ、又はインターネットに不接続の場合、端末はチェックインをしません。従って、割り当てをした構成プロファイルが端末に届いてない ことがあります。 この端末は、(図21)の端末フィルタリングの「インストールの保留中」の対象端末になりません。

端末のチェックイン時刻は、端末一覧で確認できます。端末の一覧で「MDMステータス更新」という端末プロパティの値が、 直近のチェックイン時刻です。

(図23)

(図23)で、チェックイン時刻が、1台だけ他の端末より古い端末があります。構成プロファイルの割り当て時刻以降に チェックインしてない端末には、構成プロファイルは届いていません。電源オフ、又はインターネットに不接続の可能性を 調べてください。