macOSユーザプロファイルの作成
2021年 1月 28日
macOSコンピュータの定常的な挙動を設定するためには、「構成プロファイル」、「詳細設定」 及び「ルール」を作成して端末に送ります。 このページでは、「構成プロファイル」のメニューの表示方法、及び、その端末への展開方法について、説明します。 下記のページも、ご一読ください。
- 構成プロファイルの留意事項
- チェックインと接続
端末に対する非定常的な働きかけは、コンソールでアクション項目を選択して実施します。 リモートWipeや端末画面でのメッセージの表示などが非定常的な働きかけです。A. ユーザプロファイルとデバイスプロファイル
macOSコンピュータに適用する構成プロファイルには、2種類があります。a.も、b.も、端末(macOSコンピュータ)または端末群(macOSコンピュータ群)に割り当て(適用)をします。
- ユーザプロファイル
- デバイスプロファイル
割り当てられた端末の挙動は、構成プロファイルの指定に従います。
同一の端末または端末群に、a.とb.の両方を割り当てることができます。
a.にも、b.にも、多くの設定項目(ペイロード)があります。
同一の設定項目が、a.の中にも、b.の中にもあります。右図のの部分に相当します。 同一の設定項目を、異なる値で設定した複数のプロファイルが適用された場合の結果は、予想がつきません。同一の設定項目を 複数のプロファイルで設定するのは避けるほうが良いでしょう。
a.はユーザレベルで適用され、b.はmacOSのシステムレベルで適用されます。
ユーザはログインアカウントが設定されていれば、異なる端末にもログインできます。同一のユーザプロファイルが異なる端末にも割り当てられていたら、 それは、共通に適用されます。
B. ネットワークアカウント
macOSコンピュータにログインできるアカウントには、「ローカルアカウント」と「ネットワークアカウント」の2種類があります。 「ローカルアカウント」は、ローカルマシンで、マシンのアドミン権限者が設定します。
「ネットワークアカウント」は、下記の手順で作成されます。2.項と3.項は、ローカルマシンのAdmin権限者が、個別に設定することもできますが、構成プロファイルを割り当てることで、多くの端末に対し、一斉設定をすることもできます。 ネットワークアカウントの場合、そのホームディレクトリを、サーバ側に持つことができます。ホームディレクトリとはユーザが作成したファイルの保存場所です。 メールの場合なら、発信済メール、受信済メールの格納場所でもあります。 この場合は、ネットワークアカウントで、どの端末にログインしても、ユーザの操作エキスペリアンスは同じになります。学校のコンピュータ教室などで、利用される利用シーンです。 ディレクトリサービスのサーバとしてAD_DSを使う場合は、ホームディレクトリをローカルマシン内のボリュームに設定することもできます。 この場合、端末(macBookなど)を、ディレクトリサービスのサーバと認証できない通信環境に持ち出しても、ユーザは端末にログインできるし、作業結果のファイルは、ローカルのホームディレクトリに 保存できます。
- ディレクトリサービスのサーバにユーザ登録
MobiControlは、ディレクトリサービスのサーバとして、AD_DS(Active Directory Domain Service) 及び Apple OD(Open Directory)をサポートします。 MobiControlサーバとディレクトリサービスのサーバとの間のバインディング(紐づけ)として、ディレクトリサービスとの接続プロファイルを作成しておきます。- 端末(macOSコンピュータ)をディレクトリサービスのサーバとバインディング(紐づけ)
- ログイン画面でネットワークアカウントのIDとパスワードが入力できるように設定
C. 設定のための基本メニュー
コンソール画面の左上の三本線アイコンをクリックすると、(図1)の基本メニュー画面が現れます。
(図1) (図1)の「プロファイル」を選択すると、設定済みの構成プロファイルの一覧画面(図2A)又は(図2B)が現れます。
- MobiControl v14.3以上の場合は、(図2A)が表示されます。
- MobiControl v14.3未満の場合は、(図2B)が表示されます。
(図2A)
プロファイルの一覧 (MobiControl v14.3以上の場合)
右上の「新しいプロファイル」のアイコン(赤矢印)をクリックすると、端末のプラットフォームの一覧がプルダウンされます。 この中から「Apple」を選択すると、(図3)が現れます。
(図2B)
プロファイルの一覧 (MobiControl v14.3未満の場合)
(図2B)の上辺のタブで、「Apple」を選択し、更に「追加」(赤矢印)を押すと、(図3)が現れます。D. 構成プロファイルに名前をつける
(図3)
名前欄に、構成プロファイルの名前を入力します。構成プロファイル内の構成や利用対象の組織名などを類推しやすい名前をつけるのがよいでしょう。
説明欄に、構成プロファイル内の構成や利用対象がより分かり易い記述を書き込みます。
構成プロファイルを更新した場合は、その履歴も記入しておくとよいでしょう。
E. 構成プロファイルのタイプを選択する
(図3)で、「タイプ」の右端をプルダウンすると、対象となるタイプの種類が現れます。 「macOS ユーザープロファイル」を選択します。
タイプの選択が終われば、「構成」タブを選択します。(図4)が現われます。(図4)
F. macOS ユーザプロファイル・メニュー
(図4)で「追加」タブを選択すると、(図5)が現われます。(図5)
macOS ユーザプロファイル・メニュー
(図5)で設定したい項目をクリックすると、各々の設定ダイアログがポップアップします。G. 構成プロファイルの端末グループへの割り当て
各々の設定ダイアログでの設定が終わり、その「OK」ボタンを押すと、画面は(図6)に遷移します。
設定した設定項目のタイトルが挿入されました。(図6)
(図6)で、再度「追加」ボタンを押すと、(図5)が再度ポップアップします。ここで他の項目を選択して、設定項目を追加することができます。
設定項目を追加する必要がない場合は、(図6)の下辺の「保存して割り当て」ボタンを押します。 (図7)がポップアップします。(図7)
(図7)で、構成プロファイルの配布対象となる端末グループまたは端末を選択します。選択をするとチェックボタンが青くなります。 選択が終わると、下辺の「割り当て」ボタンを押します。これで、端末グループまたは端末の割り当てが完了します。
「割り当て」直後に、構成プロファイルは、端末(群)に送られ展開されます。端末は、この構成プロファイルに従って挙動するようになります。
Apple製品は、MobiControlサーバに常時は接続していません。それにも関わらず、構成プロファイルの「割り当て」後、すぐに、構成プロファイルが 端末に配布され適用されるのは、Apple APNSを利用するからです。詳しくは、iOS又はmacOSでのチェックインの仕組みを 参照ください。H. 構成プロファイルの修正または項目の削除
(図6)の段階で、構成プロファイルの内容を修正したいときがあります。 その場合は、(図6)で、 設定した構成の項目を選択(背景色が変わる)してから、「アクション」をプルダウンすると、(図8)のように アクション項目が表示されます。 ここで、「編集」を選択すると、設定項目のダイアログが再度表示されるので、そこで、設定内容を修正します。(図8)
「削除」は選んでいる設定項目のみを削除。「全てを削除」は、当該プロファイルの全ての設定項目を削除します。I. 作成済の構成プロファイルへの働きかけ
(図2A)または(図2B)を参照ください。これは、作成済の構成プロファイルのリストです。
作成済の構成プロファイルに対し、各種の働きかけができます。I-1. MobiControl v14.3以上の場合
(図2A)で、該当の構成プロファイルを選択すると、画面下辺に、(図9)のようなメニューが現れます。(図9)
(図9)の右端の3点リーダーをクリックすると、(図10)のようにメニューが拡がります。
(図10)
当該の構成プロファイルへの働きかけの権限を持つコンソール管理者の変更または追加をします 
「失効」実施により、構成プロファイルが削除された端末に再割当(=再インストール)をします 
割当をする端末グループを追加、又は削除をします。割当てられる端末の選別条件と適用日時の指定や変更もできます。 
端末とサーバで、構成プロファイルを削除します 
割当した端末グループに、これから追加する端末に対しては、当該構成プロファイルを適用しないようにします
(「追加割当てをしない」は、MobiControlのバージョンに依っては、「暫定停止」又は「無効化」と表示されることがあります)
端末で、構成プロファイルを削除します。サーバでの保存は継続します。 
構成プロファイルのコピーをします。
プロファイル項目の内容の一部を修正して、 他の端末グループに割り当てる際に利用します。
構成プロファイルの設定内容の修正及び追加ができます I-2. MobiControl v14.3未満の場合
(図2B)で、該当の構成プロファイルにマウスを当てて、背景色をブルーにしてから、「アクション」タブをプルダウンします。 「アクション」タブをプルダウンすると、(図11)のようなプルダウンメニューが現われます。(図11)
どの端末にも割り当ててない構成プロファイルは、「ドラフト」扱いです。「ドラフト」の構成プロファイルは、「名前」の後に、 ペンのマーク
プロファイルの編集 構成プロファイルの設定内容の修正 プロファイルの割り当て 割当をする端末グループを追加、又は削除。
フィルター条件と適用日時の指定プロファイルの複製 構成プロファイルのコピー
プロファイル項目の内容の一部を修正して、 他の端末グループに割り当てるプロファイルを無効にする これから追加登録する端末に対しては、当該構成プロファイルを非適用 プロファイルの失効 構成プロファイルの端末での削除 プロファイルのインストールを再試行 構成プロファイルを削除した端末に再インストール プロファイルの削除 端末とサーバの両方での構成プロファイルの削除 アクセス許可の編集 働きかけの権限を持つコンソール管理者の変更または追加 がついています。
J. 高度な割り当て方法
(図7)で、下辺の「割り当て」ボタンを押さずに、上部のタブで、「フィルター条件」、「ユーザグループターゲット」、「オプション」を選択すると、構成プロファイルを 高度な方法で割り当てることができます。J-1. フィルター条件
例えば、特定のOSバージョン以上の端末のみに構成プロファイルを適用したい場合があります。 監視モードと非監視モードの端末が混在している場合に、監視モードの端末のみに適用したい場合もあります。
端末が装着する端末プロパティの値にフォーカスし、その値により、端末を選抜(フィルタ)します。
次の「フィルタ条件の設定」をクリックしてください。
- (図7)の上辺の「フィルター条件」のタブを選択すると、(図12)に画面遷移します。
(図12)
(図12)で「追加」ボタンを押すと、(図13)のように、「端末のプロパティ」か「付属情報」かの選択肢が現れます。(図13)
「端末のプロパティ」または「付属情報」のどれでも、複数のフィルター条件を設定できます。 (図12)の赤矢印部分で、「全て」または「どれでも」の選択ができます。
- 「全て」
複数の条件があれば、その全ての条件に適合した場合にのみ、構成プロファイルを適用します。- 「どれでも」
複数の条件のうち、一つだけでも適合したときに、構成プロファイルを適用します。
(図13)で「端末のプロパティ」を選択すると、(図14)のように端末のプロパティの種類が列記されます。(図14)
(図14)で適用したい端末のプロパティを選ぶと、その右に、「しきい値」を入力する欄が現れるので、適切な値を入力します。 (図14)のプルダウンメニューの「監視対象」とは、端末が 監視モード端末になっていることを指します。(図15)
(図15)の例は、監視モードでない端末(監視対象がFALSEの端末)に適用する設定です。 (図14)の「付属情報」は、MobiControl管理者の任意で設定できる情報項目です。例えば、
などです。これらの情報項目の値に基づいて、これに該当する端末を構成プロファイルを適用したり、逆に適用しないようにできます。 フィルタ条件の設定が終わると、下辺の「割り当て」ボタンを押します。これで、端末グループまたは端末の割り当てが完了します。
- 端末ユーザの役職名
- 端末の購入日
- 端末の資産台帳での資産番号
- その他
J-2. ユーザーグループ ターゲット
認証サービスのユーザーグループを、構成プロファイルの配布対象として指定できます。 認証サービスには、「ディレクトリ・サービス」と「IDプロバイダ」に2大別されます。「ディレクトリ・サービス」には AD_DS(Active Directory Domain Service)などがあります。「IDプロバイダ」には、Azure IdP、Okta、PingFederate などがあります。次の「ユーザーグループ ターゲットの設定」をクリックしてください。
(図16)のように、端末グループの「マーケティング課」と「東京営業課」は、異なる部に属しているが、認証サービスでは、共通の「TOKYO」という グループにマッピングされているとします。
この場合、構成プロファイルをグループ名「TOKYO」に割り当てると、端末グループの「マーケティング課」と「東京営業課」の両方に割り当てることができます。
「認証サービスのグループ」を、「MobiControlの端末グループ」へマッピングする作業は、端末登録ルールで設定しておきます。(図16)
- (図7)上辺の「ユーザーグループ ターゲット」タブを選択すると、画面は(図17)のように遷移します。
(図17)
認証サービスには、「ディレクトリサービス」と「IDプロバイダ」の2種類のカテゴリーがあります。 (図7)で、どちらかを選択します。 「ディレクトリサービス」を選択する場合は、予め、 「ディレクトリサービスへの接続プロファイル」を作成しておきます。
「IDプロバイダ」を選択する場合は、予め、「IDプロバイダとの接続プロファイル」を作成しておきます。 (図17)のの部分をプルダウンすると、 「ディレクトリサービスへの接続プロファイル」の名前リスト、または、 「IDプロバイダとの接続プロファイル」の名前リストが表示されます。
複数のユーザグループに割り当てることができます。その場合は、そのグループ名を2行目以降に列記します。 指定したユーザグループが、端末登録ルールで、MobiControlの端末グループに、マッピングしてなかった場合がありえます。 その場合は、「このグループにマッピングする端末グループを選択してください」とのポップアップがでて、画面は、(図7)に遷移します。そこで、マッピングするべき端末グループを選択します。 これで、構成プロファイルは、ユーザグループ指定を経て、端末グループへの割り当てられます。(図18)
逆に、当該構成プロファイルを割り当てたくないユーザグループがあるかもしれません。 例えば、端末をUSBポート経由でPCからデータを抜き取ることを不可能にする構成プロファイルを、認証サービスの本社全体グループに割り当てたとします。 しかし、「情報システム部」に対応するユーザグループには、例外として割り当てないことがあります。 その場合は、情報システム部に対応するユーザグループを入力して、(図17)の下辺の「Excluded」をクリックします。
「東日本地区」という名前のディレクトリサービスプロファイルで、
ディレクトリサービスの「新橋1号店」「赤羽店」というグループを選択した例
割り当てが終わると、下辺の「割り当て」ボタンを押します。これで、端末グループまたは端末の割り当てが完了します。J-3. オプション
(図7)の 下辺の「割り当て」ボタンを押すと、構成プロファイルは、 端末群にすぐに送られ、サイレント・インストールされます。 今すぐインストールすると差支えがある場合は、(図7)で、「割り当て」を押さずに、上辺の「オプション」タブを押します。 次のような場合に、今すぐのインストールを控えることがあります。次の「オプションの設定」をクリックしてください。
- 通信回線の輻輳
端末台数が数万台あり、一斉に送ると、通信回線が輻輳し、他のオンライン業務に影響を与えることを懸念- 端末操作中のインストールを避ける
従業員が端末を操作している最中に、端末の構成に変化があると、操作に支障があることを懸念
- (図7)の上辺の「オプション」を選択すると、(図19)に画面遷移します。
(図19)
(図19)の設定項目 説明 インストール方法 「自動」か「セルフサービス」を選択します。「自動」を選択した場合、下辺の「割り当て」ボタンを 押すと、構成プロファイルはすぐに端末に送られ、インストールされます。デフォルトは「自動」です。
「セルフサービス」を選択すると、端末ユーザが操作しないと、インストールされません。 端末でアプリ利用中に、新しい構成プロファイルが適用されると、アプリ操作に支障がある場合に選択します。
「セルフサービス」を選択した場合の 端末ユーザの操作方法は、「端末ユーザの任意の時刻にインストール」を参照ください。スケジュールされたアクション 割り当て日時、無効日時、失効日時を予め設定しておきます。 割り当て日 構成プロファイルを、今すぐでなく、指定時刻に送るようにします。
通信回線の輻輳(ふくそう)を避けて、夜間や週末に送信する場合に適用します。次のアップデートスケジュールにずらす 今すぐでなく、次の更新スケジュールの時に送ります。
上位の端末グループに割り当てるときに適用すると、通信回線の輻輳を緩和します。 下位の端末グループは、別々の更新スケジュール時刻に更新するからです。無効日 ある日時以降に登録する端末には、適用されないようにするとして、その日時を指定します。 その日時までに適用した端末では、その後も有効に機能しつづけます。 失効日 既に適用済の端末も含めて、構成プロファイルの機能が停止する日時を指定します。 但し、構成プロファイルが削除されるわけではありません。その後、再インストールすれば再度、構成プロファイルは有効になります。 K. コンソールでのバージョン表示をリフレッシュ
(図2A)で、1つの構成プロファイルを選択し、クリックすると、(図21)のように、その構成プロファイルの管理画面が表示されます。 ここでは、仮にバージョン表示は、1.0 となっているとします。この表示をしたままで、構成プロファイルを編集(修正)したとします。バージョン番号1.0から2.0へ繰り上がり、それが端末に 割り当てられます。(図21)
>
それでも、(図21)でのバージョン番号表示は、古いバージョン番号の1.0のままです。編集は、 (図8)の「編集」、若しくは(図9)、(図10)または(図21)でを押すだけでは、 バージョン番号表示が、新しくなりません。 そのバージョン番号表示を新しくする方法を説明します。 次の「バージョン表示をリフレッシュ」をクリックしてください。
- (図21)の、
(図22)の(図22)
(図23)の(図23)
の部分をプルダウンすると、バージョンのリストが表示されます。 このリストで、緑色のアイコンが付いているバージョンを選択します。(図23)の場合は、2.0 を選択。2.0を選択すると、(図24)に画面遷移します。
(図24)の(図24)
は、緑色ですから、現在割り当てられている構成プロファイルのバージョンのステータスを示しています。 これで、構成プロファイルの管理画面でのバージョン番号表示がリフレッシュされました。
(図24)の場合は、現在割り当てられているバージョンの構成プロファイルが、インストールに成功したことを意味しています。
再度、構成プロファイルの編集(修正)をする場合は、(図24)のL. アラートルールを作成する
構成プロファイルのインストールに、成功したか、又は失敗したかなどの結果を、ログに記録するためにアラートルールを作成しておきます。 アラートルールの対象とする端末グループは、原則として、ルートグループまたは上位端末グループに設定しておきます。
本来は、構成プロファイルの作成の前に、アラートルールの作成を終わらせておきます。 構成プロファイルに関するアラートには、「端末側で認識するアラートイベント」と、「サーバ側で認識するアラートイベント」があります。L-1 端末側で認識するアラートイベント
「Apple製品:アラートルールの作成 」を参照して、Appleデバイスが認識するアラートイベントに基づくアラートルールを作成します。 次のようなアラートイベントと、ログに表示されるアラート文(編集可能)があります。
イベント名 編集後のアラート文例 すべてのペイロードをインストールできないため、プロファイルのインストールに失敗しました。 プロファイル "{0}" バージョン {1} のインストールに失敗した。一部のペイロードのインストールに失敗。 デバイスのプロファイルは、管理者のアクションによって失効しました 管理者が、デバイス "{1}" からプロファイル "{0}" の削除を要求した プロファイルがインストールされました 構成プロファイル "{0}" がインストールされた プロファイルが削除されました 構成プロファイル "{0}" が削除された プロファイルが削除に失敗しました 構成プロファイル "{0}" の削除に失敗しました 管理者のアクションによってプロファイルがインストールされました 管理者はデバイス "{1}" のプロファイル "{0}" のインストールを要求した L-2 サーバ側で認識するアラートイベント
「システムアラートルール」の設定で、構成プロファイルに関するアラート・イベントにチェックを入れておきます。 「システムアラートルール」で、構成プロファイルに関するアラート・イベントには、 ●の印をつけてあります。合計21件あります。 これの全てにチェックを入れてください。
項番 種類 71-72 2件 94-99 6件 122-135 14件 243 1件 合計 21件 M. 構成プロファイルがインストールされない原因
上記の(図21)を参照ください。個別構成プロファイルの管理画面です。M-1. インストールの保留中
その(図21)の替わりに、(図25)のように表示されることがあります。 これは、2台の端末に構成プロファイルを展開したのだが、2台の内の1台で、「インストールの保留中」になった例です。
次の場合に、構成プロファイルのステータスが「インストールの保留中」になる可能性があります。(図25)
- 構成プロファイルが端末に届いてない
端末に届かない理由には、次の様な原因が考えられます。
- 端末がMobiControlサーバにチェックインしない。
構成プロファイルを割り当てると、MobiControlサーバは、APNs(Apple Push Notification service)経由で、端末に、 チェックインをするように要求します。しかし、端末がAPNsに接続していないと、端末は、チェックインの要求を受け取れません。 Apple端末は、APNsに接続しているのが常態です。それが接続していないのは、インターネットに接続していないことが考えられます。 コンソールの操作がなくても、MobiControlサーバは、スケジュール(デフォルトで2時間間隔)になれば、チェックインを要求します。 長い時間が経っても、チェックインしていないApple端末は、端末一覧で確認できます。(図26)で「MDMステータス更新」に赤下線を引いた端末がその例です。
(図26)
Apple端末を一覧表示する場合は、常に「MDMステータス更新(日時)」を表示するようにすることをお勧めします。
- インストールを遅らせる設定をした
前述の「J-3. オプション」で、「指定した時間フレームにアップデートスケジュールのプロファイル展開を制限する」を設定し、 インストール時刻を「今すぐ」とは設定しなかった場合です。
この場合、時間経過すると、「インストール済み」にステータスが変わるはずです。- 端末側の条件が整っていない
- 「端末ユーザの本人認証」の構成プロファイルが保留中になることがあります。
例えば、ロック解除のための端末のパスコード桁数を、端末ユーザが6桁で設定している端末に対し、これを8桁以上と規定した 「端末ユーザの本人認証」の構成プロファイルを適用した場合などが考えられます。M-2. インストールの失敗
構成プロファイル別の管理画面が、(図27)のように表示されることがあります。端末バッテリの充電率が、異常に低い端末では、構成プロファイルのインストールに失敗することがあります。(図27)
N. 構成プロファイルが適用されてない端末の一覧
原因はともあれ、構成プロファイルの「インストールの保留中」または「インストール失敗」になった端末の一覧を表示することができます。
赤矢印部分にマウスを載せ、クリックします。(図28)
プルダウンメニューが現れるので、「プロファイル」を選択します。(図29)
プロファイルプロパティで、「ステータス」を選択します。(図30)
「インストールの保留中」または 「インストール失敗」を選択してから、右下の「完了」ボタンを押します。(図31)
赤矢印部分をクリックします。
赤矢印部分をクリックします。 これで、プロファイルのインストールに失敗した端末が一覧表示されます。
(図31)で、「インストールの保留中」も念のため、一覧表示します。構成プロファイルの割り当てを実行した後には、念のため、その構成プロファイルが端末にインストールされたかどうかを確認をします。
端末フィルタリングの「構成プロファイルがインストールされてない端末を探す」を実行します。 (図32)は、構成プロファイルのステータスが「インストールの保留中」の端末を一覧表示する端末フィルタ条件式です。(図32)
一覧表示された端末の名前をクリックし、その「構成」タブを開くと(図33)のような表示がされます。(図33)
(図33)では、「インストールの保留中」の構成プロファイルの名前が、「端末の機能制限」であることを表示しています。 (図33)では、ステータスが「未インストール」になっている構成プロファイルもあります。これは、構成プロファイルのインストール方法が「セルフサービス」に なっていることに起因します。上記の(図19)のインストール方法は、デフォルトでは、「自動」ですが、これを「セルフサービス」に変更して展開した例です。 インストールのタイミングを端末ユーザに委ねた例です。「端末ユーザの任意の時刻にインストール」を参照ください。
