BYODで「働き方改革」の実現を考えてみた（MobileIron編）

#リモートワーク

畠山浩樹

2019.08.06

この記事は公開されてから1年以上経過しています。情報が古い可能性がありますので、ご注意ください。

BYODを実現するためのEMM製品のPoCシリーズは、今回で3本目となりました。

今回は、MobileIron社のMobileIronのPoCレポートになります。

MobileIronの特徴

MobileIronは、jamf PROとは違い、多くのデバイスに対応したEMM製品です。

具体的に対応できるデバイスとしては、Mac、WindowsPC（windows10）、iOS、Androidとかなり幅広く対応できる製品になります。

現在では、VMware WorkspaceONE（旧Airwatch）や、IBMのMaaS360、Microsoft Intuneと並んで実績の多いEMM製品と言っていいと思います。

また、最近はセキュリティ機能の強化も行われており、SaaSを安全に使用できるような様々な認証方法が提供されていて、ZERO-TRUSTをキーワードに最適な認証方式で、ユーザへの負荷を増やさずに色々なクラウドサービスへのアクセスを簡単に実現できる製品となっているようです。

MobileIron公式サイト

トライアルの開始準備

トライアルの開始は、MobileIronのホームページから申し込むことも可能ですが、今回は国内の代理店に直接おい願いしてトライアル環境の手配をお願いしました。

トライアルは、製品比較のために過去に実施した2つのEMM製品と全く同じシナリオで実施します。

実施するシナリオ

管理者アカウントの作成
クライアント設定用プロファイルの作成
クライアントにプロファイルをインストール
クライアントの制限を設定
- コントロールパネルの使用不可設定
  - 省エネルギー
  - Bluetooth
- Dockの設定変更
  - サイス変更
  - 表示位置変更
- クライアントのロック
- クライアントに設定したプロファイルの削除

では、さっそくトライアルを始めましょう。

トライアル開始

トライアル用のMobileIronサーバにアクセスします。（トライアル開始のメールに記載）

ログイン用の管理者アカウントと初期パスワードも送られてきますので、それに従って、初期設定ウィザードを実施します。

ウィザードが終了すると、ダッシュボード画面が表示されます。

最初は何も表示されていません。（丸が三つ表示されてますが、初めは全て100％か0％なので気にしないでください）

注：下記の画像は、いくつか設定を行なった後の画像になりますので、初期の画像とは異なります。

次に、クライアントに配布するプロファイルに設定するAPNsの証明書を作成します。

「管理」タブをクリックし、左メニューの「iOS」カテゴリの「MDM証明書」をクリックします。

3つの機能が表示されますので、左の「ファイルをダウンロード」ボタンを押します。
ApplePushInfo.txtというファイルがダウンロードされます。
次に、真ん中の「Certificateを取得」をクリックします。
「Apple Push Certificates Portalへアップロード」画面が表示されますので、現在の画面はそのままにして『Apple Push Certificates Portalを開く』をクリックしてAppleのサイトを開きます。
Apple Push Certificates Portal画面の指示に従って、MDM証明書をダウンロードします。
MobileIronの画面に戻り、一番右のアップロード欄にある「アップロード」ボタンをクリックします。
先ほどダウンロードしたMDM証明書を選択してアップロードします。

この状態で、クライアントからエンロール用のURLにアクセスします。アクセスすると、MobileIronにログインするための画面が出ますので、あらかじめ作成しておいたユーザでログインします。

ログインが正常に行われると、プロファイルのダウンロードが行われます。ダウンロードしたプロファイルをダブルクリックして、インストールします。

これで、Apple Push Notification service(APNs)を使用して、クライアントに指示を送る環境ができました。

Apple Push Notification serviceとは

APNsと一般的には、略して表現されることが多いですが、これはどのようなことが実現できる機能なのか、簡単に説明します。

通常、クライアントのMacにはアプリケーションを通じたメッセージ（例えばHTTPベースなど）は送ることが可能ですが、本体の機能に関して変更をかけたり、制限するような特殊なメッセージを送ることはできません。

例えば、OSアップデートのメッセージ等はこのAPNsを使用していますが、MDMを実現する上でもこれと同じレベルでクライアントのMacに制御メッセージを送る必要があります。

そのために、MDMサーバから直接送るのではなく、Appleが提供しているこのAPNsを経由してクライアントMacにメッセージを送る必要があります。

MobileIronサーバに接続する環境ができましたが、実際にデバイスが登録されたか確認してみましょう。

デバイスタブをクリックすると、クライアントのMacが表示されています。

名前をクリックすると、より詳細なMacの情報が取得できていることがわかります。

この時点で、上部のアイコンからデバイスのロックや消去が可能な状態になります。

クライアントの制限の設定

クライアントMacの各種制限（以下ペイロードと呼びます）を実施するために、Apple製のソフトウェアである「macOS Server」（有償）を使用してプロファイルを作成します。

※以前は、Apple・デベロッパー・プログラム（ADP）に登録済みの場合は、無料で使用できたようですが、2019/8月現在はベータ版のみが利用可能となっており、かつ、ベータ版の動作OSがMacOS 10.15以降となっておりOSも正式リリース前のバージョンとなっていますので、購入してご利用されることをお勧めします。

macOS Serverを、Appleストアより、ダウンロードしてインストールします。

macOS Server

では、プロファイルを作成していきます。

プロファイルマネージャの準備
- サービス欄のプロファイルマネージャを起動して、サービスをOnにします。
- 一番下にあるプロファイルマネージャ横の「Safariで開く」ボタンをクリックします。
- Safariが開き、プロファイルマネージャのログイン画面が表示されるので、ログインします。（ユーザーはmacOS Server管理コンソール内で管理可能）
プロファイルマネージャでプロファイルの設定を作成
- プロファイルマネージャの画面にて、「デバイスグループ」をクリックします。
- 「設定」タブから、「新規デバイスグループの設定」欄にある「編集」ボタンをクリックします。
- 「一般」セクションにある「プロファイルの配布タイプ」を「手動ダウンロード」に変更します。
- 制限を行いたいセクションをクリックし、「構成」をクリック。下記の設定を行い、「OK」をクリックします。
  - 今回は、「システム環境設定の項目を制限」で、「省エネルギー」と「Bluetooth」を無効にします。
  - 「Dock」の表示設定で、サイズ、拡大、位置を変更設定します。
- 「設定」タブの画面に戻るため、「保存」をクリックします。
設定ファイル（構成プロファイル）をダウンロード
- 「保存」ボタンをクリックした後、数秒後に「ダウンロード」ボタンがクリックできるようになるので、クリックします。
- 「macOS」をクリック。→構成プロファイルがダウンロードされます。
  ※ここで、システム環境設定のプロファイルインストール画面が表示されますが、キャンセルをクリックして進めます。
MobileIronに構成プロファイルを取り込む
- MobileIronにサインインし、「構成」→「+追加」→「カスタム」をクリックします。
- プロファイル名を設定し、macOSを選択→ダウンロードした構成プロファイルをローカルドライブから選択してアップロード→「次へ→」をクリックします。
  
  設定した制限はデバイスグループやユーザグループ、または特定のデバイス、特定のユーザを選択して即時に反映させることもできますが、通常は一定間隔でMDMサーバと通信するタイミングで、各種設定が反映されるようになっています。