Intune に macOS のシステム拡張機能とカーネル拡張機能を追加する

macOS デバイスでは、カーネル拡張機能とシステム拡張機能を追加できます。 カーネル拡張機能とシステム拡張機能の両方を使用すると、オペレーティング システムのネイティブ機能を拡張するアプリ拡張機能をインストールできます。 カーネル拡張機能は、そのコードをカーネル レベルで実行します。 システム拡張機能は、厳密に制御されたユーザー空間で実行されます。

注:

macOS カーネル拡張機能は、システム拡張機能に置き換えられています。 詳細については、「サポート ヒント: Intune で macOS Catalina 10.15 のカーネル拡張機能ではなくシステム拡張機能を使用する」を参照してください。

デバイスへの読み込みが常に許可されている拡張機能を追加するには、Microsoft Intune を使用します。 Intune では、"構成プロファイル" を使用して、お客様の組織のニーズに合わせてこのような設定を作成およびカスタマイズします。 これらの機能をポリシーに追加したら、organization 内の macOS デバイスにポリシーをプッシュまたは展開します。

この機能は、以下に適用されます:

  • macOS

この記事では、システム拡張機能とカーネル拡張機能について説明します。 また、Intune のカーネル拡張機能を使用してデバイス構成ポリシーを作成する方法についても説明します。

システム拡張機能

システム拡張機能はユーザー空間で実行され、カーネルにはアクセスしません。 その目標は、セキュリティを強化し、エンド ユーザーによる制御を強化し、カーネル レベルの攻撃を制限することです。 これらの拡張機能には、次のものがあります。

  • USB、ネットワーク インターフェイス カード (NIC)、シリアル コントローラー、ヒューマン インターフェイス デバイス (HID) へのドライバーなどのドライバー拡張機能
  • コンテンツ フィルター、DNS プロキシ、VPN クライアントなどのネットワーク拡張機能
  • エンドポイントの検出、エンドポイント応答、ウイルス対策などのエンドポイント セキュリティ拡張機能

システム拡張機能はアプリのバンドルに含まれており、アプリからインストールされます。 具体的には、システム拡張機能を記述し、その拡張機能をアプリ バンドルにパッケージ化します。 詳細については、「 システム拡張機能 (Apple の Web サイトが開きます)」を参照してください。

システム拡張機能を備えたアプリの準備ができたら、Microsoft Intune を使用してアプリを展開できます。 詳細については、「Microsoft Intune にアプリを追加する」を参照してください。

カーネル拡張機能

注:

macOS カーネル拡張機能は、システム拡張機能に置き換えられています。 詳細については、「サポート ヒント: Intune で macOS Catalina 10.15 のカーネル拡張機能ではなくシステム拡張機能を使用する」を参照してください。

カーネル拡張機能は、カーネル レベルで機能を追加します。 これらの機能は、通常のプログラムがアクセスできない OS の部分にアクセスします。 これらは、アプリまたはデバイス機能では利用できない特定のニーズや要件がorganizationにある場合に使用できます。

たとえば、悪意のあるコンテンツをデバイスからスキャンするウイルス スキャン プログラムがあるとします。 このウイルス スキャン プログラムのカーネル拡張機能は、Intune で許可されているカーネル拡張機能として追加できます。 次に、拡張機能を macOS デバイスに割り当てます。

この機能を使用すると、管理者は、ユーザーがカーネル拡張機能をオーバーライドしたり、チーム識別子を追加したり、Intune で特定のカーネル拡張機能を追加したりできるようにすることができます。

カーネル拡張機能の詳細については、 カーネル拡張機能 (Apple の Web サイトが開きます) を参照してください。

重要

カーネル拡張機能は、Apple シリコンで動作する macOS デバイスである M1 チップを搭載した macOS デバイスでは機能しません。 この動作は既知の問題であり、ETA はありません。 それらを機能させることはできますが、お勧めできません。 詳細については、「 macOS のカーネル拡張機能 (Apple の Web サイトを開く)」を参照してください。

10.15 以降を実行している macOS デバイスでは、 システム拡張機能 を使用することをお勧めします (この記事内)。 カーネル拡張機能の設定を使用する場合は、M1 チップを搭載した macOS デバイスをカーネル拡張機能プロファイルの受信から除外することを検討してください。

前提条件

知っておく必要があること

  • 署名されていない従来のカーネル拡張機能とシステム拡張機能を追加できます。
  • 正しいチーム識別子と拡張機能のバンドル ID を入力してください。 Intune では、入力した値は検証されません。 間違った情報を入力すると、拡張機能はデバイスで機能しません。 チーム ID の長さは、正確に 10 桁の英数字です。

注:

Apple は、すべてのソフトウェアの署名と公証に関する情報を公開しました。 macOS 10.14.5 以降では、Intune を介して展開されたカーネル拡張機能は、Apple の公証ポリシーを満たす必要はありません。

この公証ポリシー、および更新や変更の詳細については、次のリソースを参照してください。

カーネル拡張ポリシーを作成する

重要

この macOS 拡張機能テンプレートは、2024 年 8 月のサービス リリース (2408) で非推奨になりました。 既存のポリシーは引き続き機能します。 ただし、このテンプレートを使用して新しいポリシーを作成することはできません。

代わりに、設定カタログを使用して、システム拡張機能のペイロードを構成する新しいポリシーを作成します。 設定カタログの詳細については、「 設定カタログ」を参照してください。

  1. Microsoft Intune 管理センターにサインインします。

  2. [デバイス]>[デバイスの管理]>[構成]>[作成]>[新しいポリシー] の順に選択します。

  3. 次のプロパティを入力します。

    • プラットフォーム: macOS を選択
    • プロファイルの種類: [テンプレート>拡張機能] を選択します。

  4. [作成] を選択します。

  5. [Basics]\(基本\) で次のプロパティを入力します。

    • 名前: ポリシーのわかりやすい名前を入力します。 後で簡単に識別できるよう、ポリシーに名前を付けます。 たとえば、適切なポリシー名は、 カーネル拡張機能を使用した macOS-AV スキャンです。
    • [説明]: ポリシーの説明を入力します。 この設定は省略可能ですが、推奨されます。

  6. [次へ] を選択します。

  7. [ 構成設定] で、設定を構成します。

  8. [次へ] を選択します。

  9. スコープ タグ (オプション) で、US-NC IT Team や JohnGlenn_ITDepartment など、特定の IT グループにプロファイルをフィルター処理するためのタグを割り当てます。 スコープ タグの詳細については、「 分散型 IT に RBAC とスコープ タグを使用する」を参照してください。

    [次へ] を選択します。

  10. [割り当て] で、プロファイルを受け取るユーザーまたはグループを選択します。 プロファイルの割り当ての詳細については、「 ユーザーとデバイス プロファイルの割り当て」を参照してください。

    [次へ] を選択します。

  11. [確認と作成] で、設定を確認します。 [作成] を選択すると、変更内容が保存され、プロファイルが割り当てられます。 また、ポリシーがプロファイル リストに表示されます。

リソース

必ずプロファイルを割り当て、その状態を監視してください。

  • Last updated on