Microsoft Intune での Apple デバイス機能の設定

ホーム画面のレイアウト

この機能は、以下に適用されます。

• iOS 9.3 以降
• iPadOS 13.0 以降
• 自動デバイス登録 (監視あり)

知っておく必要があること

• アプリは、ドック、ページ、ページ上のフォルダー、またはドック内のフォルダーに 1 回だけ追加できます。 同じアプリを任意の 2 つの場所に追加すると、アプリはデバイスに表示されず、レポート エラーが発生する可能性があります。

  たとえば、カメラ アプリをドックとページに追加すると、カメラ アプリは表示されず、レポートにポリシーのエラーが表示される場合があります。 カメラ アプリをホーム画面のレイアウトに追加するには、両方ではなく、ドックまたはページのみを選択します。

• ホーム画面のレイアウトを適用すると、ユーザー定義のレイアウトが上書きされます。 そのため、ユーザーレス デバイスではホーム画面のレイアウトを使用することをお勧めします。

• ホーム画面のレイアウト構成に含まれていない既存のアプリをデバイスにインストールしておくことができます。 これらのアプリは、構成済みのアプリの後にアルファベット順に表示されます。

• ホーム画面のグリッド設定を使用してページを追加したり、ページとアプリをドックに追加したりすると、ホーム画面とページのアイコンはロックされます。 移動や削除はできません。 この動作は、iOS/iPadOS および Apple の MDM ポリシーの設計によるものである可能性があります。

• マネージド ブラウザーで開く必要がある iOS/iPadOS Web クリップは、ホーム画面のレイアウト ポリシーに入力した順序では表示されません。

ホーム画面

この機能を使用してアプリを追加します。 これらのアプリがページ、ドック、およびフォルダー内でどのように表示されるかを確認できます。 アプリのアイコンも表示されます。 一括購入プログラム (VPP) アプリ、基幹業務アプリ、Web リンク アプリ (Web アプリ URL) は、 追加したクライアント アプリから設定されます。

• グリッド サイズ: デバイスのホーム画面に適したグリッド サイズを選択します。 アプリまたはフォルダーがグリッド内で 1 か所を占める。 ターゲット デバイスが選択したサイズをサポートしていない場合、一部のアプリは収まらず、新しいページの次の使用可能な位置にプッシュされる可能性があります。 参考:

  • iPhone 5 は 4 列 x 5 行をサポートします
  • iPhone 6 以降では、4 列 x 6 行がサポートされています
  • iPad は 5 列 x 6 行をサポートします

• +: [追加] ボタンを選択してアプリを追加します。

• フォルダーの作成またはアプリの追加: アプリ または フォルダーを追加します:

  • アプリ: 一覧から既存のアプリを選択します。 このオプションは、デバイスのホーム画面にアプリを追加します。 アプリがない場合は、Intune にアプリを追加します。

    authenticator や drive などのアプリ名でアプリを検索することもできます。 または、アプリの発行元で検索します ( Microsoft や Apple など)。

  • フォルダー: ホーム画面にフォルダーを追加します。 フォルダー名を入力し、リストから既存のアプリを選択してフォルダーに移動します。 このフォルダー名は、デバイス上のユーザーに表示されます。

    authenticator や drive などのアプリ名でアプリを検索することもできます。 または、アプリの発行元で検索します ( Microsoft や Apple など)。

    アプリは左から右に、図と同じ順序で配置されます。 アプリは別の位置に移動できます。 フォルダーに含めることができるページは 1 つだけです。 回避策として、フォルダーに 9 つ以上のアプリを追加します。 アプリは自動的に次のページに移動します。 VPP アプリ、Web リンク (Web アプリ)、ストア アプリ、基幹業務アプリ、およびシステム アプリの任意の組み合わせを追加できます。

ドック

画面上のドックに、iPhone の場合は最大 4 つのアイテム、iPad の場合は最大 6 つのアイテム (アプリとフォルダーを組み合わせたもの) を追加します。 多くのデバイスでは、サポートされる項目が少なくなります。 たとえば、iPhone デバイスは最大 4 つのアイテムをサポートします。 そのため、追加した最初の 4 つのアイテムのみが表示されます。

• +: 追加ボタンを選択して、アプリまたはフォルダーをドックに追加します。

• フォルダーの作成またはアプリの追加: アプリ または フォルダーを追加します:

  • アプリ: 一覧から既存のアプリを選択します。 このオプションは、画面上のドックにアプリを追加します。 アプリがない場合は、Intune にアプリを追加します。

    authenticator や drive などのアプリ名でアプリを検索することもできます。 または、アプリの発行元で検索します ( Microsoft や Apple など)。

  • フォルダー: 画面上のドックにフォルダーを追加します。 フォルダー名を入力し、リストから既存のアプリを選択してフォルダーに移動します。 このフォルダー名は、デバイス上のユーザーに表示されます。

    authenticator や drive などのアプリ名でアプリを検索することもできます。 または、アプリの発行元で検索します ( Microsoft や Apple など)。

    アプリは左から右に、図と同じ順序で配置されます。 アプリを別の位置に移動できます。 1 ページに収まらない数のアプリを追加すると、アプリは自動的に別のページに移動します。 ドック上のフォルダーには最大 20 ページを追加できます。 VPP アプリ、Web リンク (Web アプリ)、ストア アプリ、基幹業務アプリ、およびシステム アプリの任意の組み合わせを追加できます。

例

次の例では、ドック画面に Safari、メール、株価アプリが表示されています。 [株価] アプリが選択され、プロパティが表示されます。

iPhone にポリシーを割り当てると、ドックは次の画像のようになります。

アプリの通知

設定適用: デバイスの自動登録 (監視対象)

追加: アプリの通知を追加します。

• アプリ バンドル ID: 追加するアプリの アプリ バンドル ID を入力します。

  アプリ バンドル ID を取得するには:

  • 一部の例については、「 組み込みの iOS/iPadOS アプリのバンドル ID」を参照してください。
  • Intuneに追加されたアプリの場合、Intune 管理センターを使用できます。

  [未構成] に設定するか空白のままにした場合、Intune はこの設定を変更または更新しません。

• アプリ名: 追加するアプリの名前を入力します。 この名前は、Microsoft Intune 管理センターで参照するために使用されます。 デバイスには表示 されません 。 [未構成] に設定するか空白のままにした場合、Intune はこの設定を変更または更新しません。

• 発行元: 追加するアプリの発行元を入力します。 この名前は、Microsoft Intune 管理センターで参照するために使用されます。 デバイスには表示 されません 。 [未構成] に設定するか空白のままにした場合、Intune はこの設定を変更または更新しません。

• 通知: アプリがデバイスに通知を送信することを有効または無効にします。 [未構成] (既定) に設定すると、Intune では、この設定は変更または更新されません。

  [ 有効] に設定する場合は、以下も構成します。

  • 通知センターに表示: 有効にすると、 アプリはデバイス通知センターに通知を表示できます。 無効にすると 、アプリが通知センターに通知を表示できなくなります。 [未構成] に設定するか空白のままにした場合、Intune はこの設定を変更または更新しません。

  • ロック画面に表示: 有効にすると 、デバイスのロック画面にアプリの通知が表示されます。 [無効にする] は 、アプリがロック画面に通知を表示できなくなります。 [未構成] に設定するか空白のままにした場合、Intune はこの設定を変更または更新しません。

  • アラートの種類: デバイスのロックが解除されているときに、通知の表示方法を選択します。 次のようなオプションがあります:

    • なし: 通知は表示されません。
    • バナー: バナーが通知と共に表示されます。 この設定は、一時バナーとも呼ばれることもあります。
    • モーダル: 通知が表示され、ユーザーはデバイスの使用を続行する前に手動で消去する必要があります。 この設定は、固定バナーと呼ばれることもあります。

  • アプリ アイコンのバッジ: 有効にすると 、アプリ アイコンにバッジが追加されます。 バッジは、アプリが通知を送信したことを意味します。 無効にしても 、アプリ アイコンにバッジは追加されません。 [未構成] に設定すると、Intune では、この設定は変更または更新されません。

  • サウンドの有効化: 有効にすると 、通知が配信されたときにサウンドが再生されます。 [無効] では、通知が配信されたときにサウンドは再生されません。 [未構成] に設定すると、Intune では、この設定は変更または更新されません。

  • プレビューを表示: 最近のアプリ通知のプレビューを表示します。 プレビューを表示するタイミングを選択します。 選択した値は、デバイスでユーザーが構成した値 ([設定] > [通知] > [プレビューの表示] ) を上書きします。 次のようなオプションがあります:

    • [未構成]: Intune では、この設定は変更または更新されません。
    • ロックが解除されている場合: プレビューは、デバイスのロックが解除されているときにのみ表示されます。
    • 常に: プレビューは常にロック画面に表示されます。
    • しない: プレビューは表示されません。

    この設定は、以下の場合に適用されます。

    • iOS/iPadOS 14.0 以降

関連付けられたドメイン

Intune では、次のことができます。

• アプリとドメインの関連付けを多数追加します。
• 複数のドメインを同じアプリに関連付けます。

この設定は、以下の場合に適用されます。

• macOS 10.15 以降

設定の適用対象: ユーザーが承認したデバイス登録、および自動デバイス登録

これらの設定では、 AssociatedDomains.ConfigurationItem ペイロード を使用します (Apple の Web サイトが開きます)。

• 関連付けられたドメイン: ドメインとアプリの間に関連付け を追加します 。 この設定は、Contoso アプリと Contoso Web サイトの間でサインオン資格情報を共有します。 また、以下の内容も入力します。

  • アプリ ID: Web サイトに関連付けるアプリのアプリ識別子を入力します。 アプリ識別子には、チーム ID とバンドル ID ( TeamID.BundleID) が含まれます。

    チーム ID は、アプリ開発者 ( ABCDE12345 など) のために Apple が生成した 10 文字の英数字 (文字と数字) の文字列です。 チーム ID を見つける (Apple の Web サイトが開きます) には、詳細情報があります。

    バンドル ID はアプリを一意に識別し、通常は逆ドメイン名表記で書式設定されます。 たとえば、Finder のバンドル ID は com.apple.finder です。

    バンドル ID を取得するには:

    • ターミナル アプリを開き、AppleScript を使用します。 osascript -e 'id of app "ExampleApp"'
    • Intuneに追加されたアプリの場合、Intune 管理センターを使用できます。

  • ドメイン: アプリに関連付ける Web サイトのドメインを入力します。 ドメインには、サービスの種類と完全修飾ホスト名 ( webcredentials:www.contoso.com など) が含まれています。

    ドメインの先頭の前に *. (アスタリスク ワイルドカードとピリオド) を入力することで、関連付けられているドメインのすべてのサブドメインを照合できます。 ピリオドは必須です。 正確なドメインはワイルドカード ドメインよりも優先度が高くなります。 したがって、完全修飾サブドメインで一致が見つからない場合、親ドメインからのパターンは一致します。

    サービスの種類は次のとおりです。

    • authsrv: シングル サインオン アプリ拡張機能
    • applink: ユニバーサル リンク
    • webcredentials: パスワードのオートフィル

  • 直接ダウンロードを有効にする: [はい ] は、Apple のコンテンツ配信ネットワーク (CDN) を経由せずに、ドメイン データをデバイスから直接ダウンロードします。 [未構成] に設定すると、Intune では、この設定は変更または更新されません。 既定では、OS は関連付けられたドメイン専用の Apple の CDN を介してデータをダウンロードする可能性があります。

    この設定は、以下の場合に適用されます。

    • macOS 11 以降

コンテンツのキャッシュ

コンテンツ キャッシュはコンテンツのローカル コピーを保存します。 他の Apple デバイスでは、インターネットに接続しなくてもこの情報を取得できます。 このキャッシュにより、ソフトウェアの更新プログラム、アプリ、写真、その他のコンテンツを初めてダウンロードするときに保存され、ダウンロードが高速化されます。 アプリは一度ダウンロードして他のデバイスと共有できるため、多くのデバイスを持つ学校や組織は帯域幅を節約できます。

この設定は、以下の場合に適用されます。

• macOS 10.13.4 以降

設定適用: すべての登録の種類

これらの設定について詳しくは、 コンテンツ キャッシュ ペイロードの設定 (Apple の Web サイトが開きます) を参照してください。

コンテンツ キャッシュを有効にする:[はい ] にするとコンテンツ キャッシュが有効になりますが、ユーザーは無効にできません。 [未構成] (既定) に設定すると、Intune では、この設定は変更または更新されません。 既定では、OS がオフにすることができます。

• キャッシュするコンテンツの種類: オプション:

  • すべてのコンテンツ: iCloud コンテンツと共有コンテンツをキャッシュします。
  • ユーザーコンテンツのみ: 写真やドキュメントを含むユーザーの iCloud コンテンツをキャッシュします。
  • 共有コンテンツのみ: アプリとソフトウェアの更新プログラムをキャッシュします。

• 最大キャッシュ サイズ: コンテンツのキャッシュに使用されるディスク領域の最大量 (バイト単位) を入力します。 空白のままにすると (既定)、Intune はこの設定を変更または更新しません。 既定では、OS はこの値をゼロ (0) バイトに設定する場合があります。これにより、キャッシュに無制限のディスク領域が与えられます。

  デバイスで使用可能な領域を超えないようにしてください。 デバイスのストレージ容量の詳細については、「 iOS と macOS によるストレージ容量の報告方法 (Apple の Web サイトが開きます)」を参照してください。

• キャッシュの場所: キャッシュされたコンテンツを格納するパスを入力します。 既定の場所は /Library/Application Support/Apple/AssetCache/Data です。 この場所は変更しないでください。

  この設定を変更した場合、キャッシュされたコンテンツは新しい場所に移動されません。 自動的に移動するには、ユーザーがデバイスの場所を変更する必要があります (システム環境設定>共有>コンテンツ キャッシュ)。

• ポート: ダウンロードおよびアップロード要求を受け入れるためのキャッシュ用のデバイスの TCP ポート番号 (0 から 65535) を入力します。 ゼロ (0) (既定値) を入力して、使用可能なポートを使用します。

• インターネット接続とキャッシュ コンテンツの共有をブロックする: テザリング キャッシュとも呼ばれます。 [はい ] にすると、インターネット接続の共有が禁止され、Mac に USB 接続された iOS/iPadOS デバイスとキャッシュされたコンテンツを共有できなくなります。 ユーザーはこの設定を有効にすることができません。 [未構成] (既定) に設定すると、Intune では、この設定は変更または更新されません。

• インターネット接続の共有を有効にする: テザリング キャッシュとも呼ばれます。 はい では、インターネット接続の共有が許可され、Mac に USB 接続された iOS/iPadOS デバイスとキャッシュされたコンテンツを共有できます。 ユーザーはこの設定を無効にできません。 [未構成] (既定) に設定すると、Intune では、この設定は変更または更新されません。 既定では、OS はこれをオフにする可能性があります。

  この設定は、以下の場合に適用されます。

  • macOS 10.15.4 以降

• キャッシュを有効にしてクライアントの詳細をログに記録する: はいは、コンテンツを要求するデバイスの IP アドレスとポート番号をログに記録します。 デバイスの問題をトラブルシューティングする場合、このログ ファイルが役立ちます。 [未構成] (既定) に設定すると、Intune では、この設定は変更または更新されません。 既定では、OS はこの情報をログに記録しません。

• システムが他のアプリ用にディスク領域を必要とする場合でも、常にキャッシュからコンテンツを保持します。 [はい ] は、キャッシュの内容を保持し、ディスク領域が少ない場合でも何も削除されないようにします。 [未構成] (既定) に設定すると、Intune では、この設定は変更または更新されません。 既定では、OS は、他のアプリのストレージ領域が必要になったときに、キャッシュからコンテンツを自動的に消去します。

  この設定は、以下の場合に適用されます。

  • macOS 10.15 以降

• ステータス アラートの表示:[はい ] は、システム通知としてアラートを表示します。 [未構成] (既定) に設定すると、Intune では、この設定は変更または更新されません。 既定では、OS はこれらのアラートをシステム通知として表示しません。

  この設定は、以下の場合に適用されます。

  • macOS 10.15 以降

• [キャッシュがオンになっている間、デバイスがスリープ状態にならないようにする]: [はい ] は、キャッシュがオンのときにコンピューターがスリープ状態になるのを防ぎます。 [未構成] (既定) に設定すると、Intune では、この設定は変更または更新されません。 既定では、OS はデバイスのスリープを許可する可能性があります。

  この設定は、以下の場合に適用されます。

  • macOS 10.15 以降

• キャッシュするデバイス: コンテンツをキャッシュできるデバイスを選択します。 次のようなオプションがあります。

  • 未構成 (既定): Intune では、この設定は変更または更新されません。
  • 同じローカル ネットワークを使用するデバイス: コンテンツ キャッシュは、同じ即時ローカル ネットワーク上にあるデバイスにコンテンツを提供します。 コンテンツ キャッシュによって到達可能なデバイスを含め、他のネットワーク上のデバイスにはコンテンツは提供されません。
  • 同じパブリック IP アドレスを使用するデバイス: コンテンツ キャッシュは、同じパブリック IP アドレスを使用するデバイスにコンテンツを提供します。 コンテンツ キャッシュによって到達可能なデバイスを含め、他のネットワーク上のデバイスにはコンテンツは提供されません。
  • カスタム ローカル ネットワークを使用するデバイス: コンテンツ キャッシュは、入力した IP 範囲内のデバイスにコンテンツを提供します。
    • クライアントのリッスン範囲: コンテンツ キャッシュを受け取ることができる IP アドレスの範囲を入力します。
  • フォールバック付きのカスタム ローカル ネットワークを使用するデバイス: コンテンツ キャッシュは、リッスン範囲、ピア リッスン範囲、親 IP アドレスにあるデバイスにコンテンツを提供します。
    • クライアントのリッスン範囲: コンテンツ キャッシュを受け取ることができる IP アドレスの範囲を入力します。

• カスタム パブリック IP アドレス: パブリック IP アドレスの範囲を入力します。 クラウド サーバーはこの範囲を使用して、クライアント デバイスをキャッシュと照合します。

• 他のキャッシュとコンテンツを共有する: ネットワークに複数のコンテンツ キャッシュがある場合、他のデバイス上のコンテンツ キャッシュは自動的にピアになります。 これらのデバイスは、キャッシュされたソフトウェアを参照して共有できます。

  要求された項目が 1 つのコンテンツ キャッシュで利用できない場合、このプロパティは、そのピアにその項目がないかチェックします。 アイテムが利用可能な場合は、ピア デバイスのコンテンツ キャッシュからダウンロードされます。 まだ利用できない場合は、コンテンツ キャッシュは次からアイテムをダウンロードします。

  • 親 IP アドレス (構成した場合)

    または、

  • Apple から: インターネットを使用する

  複数のコンテンツ キャッシュが使用可能な場合、デバイスによって適切なコンテンツ キャッシュが自動的に選択されます。

  次のようなオプションがあります。

  • 未構成 (既定): Intune では、この設定は変更または更新されません。

  • 同じローカル ネットワークを使用するコンテンツ キャッシュ: コンテンツ キャッシュは、同じ即時ローカル ネットワーク上の他のコンテンツ キャッシュとのみピアリングします。

  • 同じパブリック IP アドレスを使用するコンテンツ キャッシュ: コンテンツ キャッシュは、同じパブリック IP アドレス上の他のコンテンツ キャッシュとのみピアリングします。

  • カスタム ローカル ネットワークを使用したコンテンツ キャッシュ: コンテンツ キャッシュは、入力した IP アドレスのリッスン範囲内の他のコンテンツ キャッシュとのみピアリングします:

    • ピア リッスン範囲: 範囲の IPv4 または IPv6 の開始 IP アドレスと終了 IP アドレスを入力します。 コンテンツ キャッシュは、入力した IP アドレス範囲内のコンテンツ キャッシュからのピア キャッシュ要求にのみ応答します。
    • ピア フィルター範囲: 範囲の IPv4 または IPv6 の開始 IP アドレスと終了 IP アドレスを入力します。 コンテンツ キャッシュは、入力した IP アドレス範囲を使用して、ピアのリストをフィルター処理します。

• 親 IP アドレス: 親キャッシュとして追加する別のコンテンツ キャッシュのローカル IP アドレスを入力します。 Apple から直接アップロードまたはダウンロードするのではなく、キャッシュはこれらのキャッシュにコンテンツをアップロードおよびダウンロードします。 親 IP アドレスは 1 回だけ追加してください。

• 親選択ポリシー: 親キャッシュが多い場合は、親 IP アドレスの選択方法を選択します。 次のようなオプションがあります。

  • 未構成 (既定): Intune では、この設定は変更または更新されません。
  • ラウンド ロビン: 親 IP アドレスを順番に使用します。 このオプションは、負荷分散のシナリオに適しています。
  • 最初に利用可能: 常に一覧の最初の使用可能な IP アドレスを使用します。
  • ハッシュ: 要求された URL のパス部分のハッシュ値を作成します。 このオプションを選択すると、同じ URL に常に同じ親 IP アドレスが使用されます。
  • [ランダム]: 一覧の IP アドレスをランダムに使用します。 このオプションは、負荷分散のシナリオに適しています。
  • 固定使用可能: 常にリストの最初の IP アドレスを使用します。 利用できない場合は、一覧の 2 番目の IP アドレスを使用します。 2 番目の IP アドレスは、使用できなくなるまで使用を続け、以下同様に進みます。

ロック画面のメッセージ

この機能は、以下に適用されます。

• iOS 9.3 以降
• iPadOS 13.0 以降

設定適用: デバイスの自動登録 (監視対象)

• 「紛失したら、元に戻れ...」メッセージ: デバイスの紛失や盗難があった場合は、デバイスが見つかった場合に返却してもらうのに役立つ可能性のあるメモを入力します。 任意のテキストを入力できます。 たとえば、If found, call Contoso at ... のようなものを入力します。

  入力したテキストは、デバイスのサインイン ウィンドウとロック画面に表示されます。

• 資産タグ情報: デバイスの資産タグに関する情報を入力します。 たとえば、「Owned by Contoso Corp」または「Serial Number: {{serialnumber}}」と入力します。

  デバイス トークンを使用して、デバイス固有の情報をこれらのフィールドに追加します。 たとえば、シリアル番号を表示するには、「 Serial Number: {{serialnumber}} 」または「 Device ID: {{DEVICEID}}」と入力します。 ロック画面では、テキストは Serial Number 123456789ABC と同じように表示されます。 変数を入力するときは、必ず {{ }}中かっこを使用してください。

  次のデバイス情報変数がサポートされています。 UI では変数は検証されず、大文字と小文字が区別されます。 間違った変数を入力すると、間違った入力で保存されたプロファイルが表示されます。 たとえば、{{deviceid}} や {{DEVICEID}} ではなく {{DeviceID}} を入力すると、デバイスの一意の ID の代わりにリテラル文字列が表示されます。 正しい情報を入力してください。 すべての小文字またはすべて大文字の変数がサポートされますが、混在はできません。

  • {{AADDeviceId}}: Microsoft Entra デバイス ID
  • {{AccountId}}: Intune テナント ID またはアカウント ID
  • {{AccountName}}: Intune テナント名またはアカウント名
  • {{AppleId}}: ユーザーの Apple ID
  • {{Department}}: セットアップ アシスタント中に割り当てられた部署
  • {{DeviceId}}: Intune デバイス ID
  • {{DeviceName}}: Intune デバイス名
  • {{domain}}: ドメイン名
  • {{EASID}}: Exchange Active Sync ID
  • {{EDUUserType}}: ユーザーの種類
  • {{IMEI}}: デバイスの IMEI
  • {{mail}}: ユーザーの Email アドレス
  • {{ManagedAppleId}}: ユーザーの管理対象 Apple ID
  • {{MEID}}: デバイスの MEID
  • {{partialUPN}}: @ 記号の前の UPN プレフィックス
  • {{SearchableDeviceKey}}: NGC キー ID
  • {{SerialNumber}}: デバイスのシリアル番号
  • {{SerialNumberLast4Digits}}: デバイスのシリアル番号の下 4 桁
  • {{SIGNEDDEVICEID}}: ポータル サイト登録時にクライアントに割り当てられたデバイス ID BLOB
  • {{SignedDeviceIdWithUserId}}: Apple セットアップ アシスタント中にユーザー アフィニティを使用してクライアントに割り当てられたデバイス ID BLOB
  • {{UDID}}: デバイス UDID
  • {{UDIDLast4Digits}}: デバイスの下 4 桁の数字 UDID
  • {{UserId}}: Intune ユーザー ID
  • {{UserName}}: ユーザー名
  • {{userPrincipalName}}: ユーザーの UPN

ログイン項目

設定適用: すべての登録の種類

• ログイン時に起動するファイル、フォルダー、カスタム アプリを追加します。 ユーザーがデバイスにサインインしたときに開くファイル、フォルダー、カスタム アプリ、またはシステム アプリのパス を追加します 。 また、以下の内容も入力します。

  • アイテムのパス: ファイル、フォルダー、またはアプリへのパスを入力します。 システム アプリ、またはorganization用に構築またはカスタマイズされたアプリは、通常、/Applications/AppName.app のようなパスの Applications フォルダーにあります。

    多くのファイル、フォルダー、アプリを追加できます。 たとえば、次のように入力します。

    • /Applications/Calculator.app
    • /Applications
    • /Applications/Microsoft Office/root/Office16/winword.exe
    • /Users/UserName/music/itunes.app

    アプリ、フォルダー、またはファイルを追加するときは、正しいパスを入力してください。 すべてのアイテムが Applications フォルダー内にあるわけではありません。 ユーザーがアイテムをある場所から別の場所に移動すると、パスが変更されます。 この移動されたアイテムは、ユーザーがサインインするときには開きません。

  • 非表示: アプリを表示するか非表示にするかを選択します。 次のようなオプションがあります。

    • 未構成 (既定): Intune では、この設定は変更または更新されません。 既定では、OS は、[非表示] オプションがオフの状態で [ユーザー] & [グループ] ログイン項目の一覧に項目を表示する場合があります。
    • はい: ユーザー & グループのログイン項目の一覧でアプリを非表示にします。

ログイン ウィンドウ

設定適用: すべての登録の種類

Windows レイアウト

• メニュー バーに追加情報を表示する: メニュー バーの時刻領域が選択されている場合、[ はい ] にはホスト名と macOS バージョンが表示されます。 [未構成] (既定) に設定すると、Intune では、この設定は変更または更新されません。 既定では、OS はこの情報をメニュー バーに表示しません。

• バナー: デバイスのサインイン画面に表示されるメッセージを入力します。 たとえば、organization 情報、ウェルカム メッセージ、遺失物の情報などを入力します。

• [ユーザー名とパスワードを要求する] のテキスト フィールド: ユーザーがデバイスにサインインする方法を選択します。 [はい ] を選択すると、ユーザーはユーザー名とパスワードを入力する必要があります。 [未構成] に設定すると、Intune では、この設定は変更または更新されません。 既定では、OS はユーザーが一覧からユーザー名を選択し、パスワードを入力するように要求する場合があります。

  [ 未構成] に設定する場合は、次のようにも入力します。

  • ローカル ユーザーを非表示にする: [はい ] にすると、ユーザー一覧でローカル ユーザー アカウントが非表示になります。これには、標準アカウントと管理者アカウントを含めることができます。 ネットワーク ユーザー アカウントとシステム ユーザー アカウントのみが表示されます。 [未構成] (既定) に設定すると、Intune では、この設定は変更または更新されません。 既定では、OS はユーザー リストにローカル ユーザー アカウントを表示する場合があります。
  • モバイル アカウントを非表示にする: はい は、ユーザー一覧でモバイル アカウントを非表示にします。 [未構成] (既定) に設定すると、Intune では、この設定は変更または更新されません。 既定では、OS はユーザー リストにモバイル アカウントを表示する場合があります。 一部のモバイル アカウントは、ネットワーク ユーザーとして表示される場合があります。
  • [ネットワーク ユーザーの表示]: [はい ] を選択すると、ネットワーク ユーザーがユーザー リストに表示されます。 [未構成] (既定) に設定すると、Intune では、この設定は変更または更新されません。 既定では、OS は、ユーザー リストにネットワーク ユーザー アカウントを表示しない場合があります。
  • コンピューターの管理者を非表示にする: [はい ] は、管理者ユーザー アカウントをユーザー リストで非表示にします。 [未構成] (既定) に設定すると、Intune では、この設定は変更または更新されません。 OS の既定では、ユーザー一覧に管理者ユーザー アカウントが表示される場合があります。
  • [他のユーザーを表示]: [はい ] を選択すると 、他の...ユーザーが 一覧表示されます。 [未構成] (既定) に設定すると、Intune では、この設定は変更または更新されません。 既定では、OS はユーザー リストに他のユーザー アカウントを表示しません。

ログイン画面の電源設定

• シャットダウン ボタンを非表示にする: [はい ] を選択すると、サインイン画面のシャットダウン ボタンが非表示になります。 [未構成] (既定) に設定すると、Intune では、この設定は変更または更新されません。 既定では、シャットダウン ボタンが表示されることがあります。
• 再起動ボタンを非表示にする: はい は、サインイン画面の再起動ボタンを非表示にします。 [未構成] (既定) に設定すると、Intune では、この設定は変更または更新されません。 既定では、OS は再起動ボタンを表示する場合があります。
• スリープ ボタンを非表示にする: はい は、サインイン画面のスリープ ボタンを非表示にします。 [未構成] (既定) に設定すると、Intune では、この設定は変更または更新されません。 既定では、OS はスリープ ボタンを表示する場合があります。
• コンソールからのユーザー ログインを無効にする: [はい ] は、サインインに使用される macOS コマンド ラインを非表示にします。 一般的なユーザーの場合は、この設定を [はい] に設定します。 [未構成] (既定) に設定すると、Intune では、この設定は変更または更新されません。 OS では、OS で上級ユーザーが macOS コマンド ラインを使用したサインインを許可する場合があります。 本体モードに入るには、ユーザーは [ユーザー名] フィールドに >console を入力し、本体ウィンドウで認証する必要があります。

Apple メニュー

• ログイン中にシャットダウンを無効にする: [はい ] にすると、ユーザーはサインイン後に [シャットダウン ] オプションを選択できなくなります。 [未構成] (既定) に設定すると、Intune では、この設定は変更または更新されません。 既定では、OS では、ユーザーがデバイスの シャットダウン メニュー項目を選択できる場合があります。
• [ログイン中に再起動しない] : [はい ] にすると、ユーザーはサインイン後に [ 再起動 ] オプションを選択できなくなります。 [未構成] (既定) に設定すると、Intune では、この設定は変更または更新されません。 既定では、OS では、ユーザーがデバイスの 再起動 メニュー項目を選択できる場合があります。
• ログイン中に電源オフを無効にする: [はい ] を選択すると、ユーザーはサインイン後に [電源オフ ] オプションを選択できなくなります。 [未構成] (既定) に設定すると、Intune では、この設定は変更または更新されません。 既定では、OS では、ユーザーがデバイスの [電源オフ ] メニュー項目を選択できる場合があります。
• ログイン中のログアウトを無効にする (macOS 10.13 以降): はい は、ユーザーがサインインした後に [ログアウト ] オプションを選択できないようにします。 [未構成] (既定) に設定すると、Intune では、この設定は変更または更新されません。 既定では、OS では、ユーザーがデバイスの [ログアウト] メニュー項目を選択できる場合があります。
• ログイン中にロック画面を無効にする (macOS 10.13 以降): [はい ] にすると、ユーザーはサインイン後に ロック画面 オプションを選択できなくなります。 [未構成] (既定) に設定すると、Intune では、この設定は変更または更新されません。 既定では、OS では、ユーザーがデバイスの ロック画面 メニュー項目を選択できる場合があります。

シングル サインオン

設定: デバイス登録、自動デバイス登録 (監視)

• Microsoft Entra ユーザー名属性: Intune は、Microsoft Entra ID の各ユーザーに対してこの属性を検索します。 その後、Intune は、デバイスにインストールされる XML を生成する前に、それぞれのフィールド (UPN) などを設定します。 次のようなオプションがあります:

  • [未構成]: Intune では、この設定は変更または更新されません。 既定では、プロファイルがデバイスに展開されるとき、OS はユーザーに Kerberos プリンシパル名の入力を求めます。 MDM が SSO プロファイルをインストールするには、プリンシパル名が必要です。

  • ユーザー プリンシパル名: ユーザー プリンシパル名 (UPN) は、次のように解析されます。

    

    Realm テキスト ボックスに入力したテキストで Realm を上書きすることもできます。

    たとえば、Contoso には、ヨーロッパ、アジア、北米を含むいくつかのリージョンがあります。 Contoso はアジアのユーザーに SSO を使用するよう望んでいます。アプリには username@asia.contoso.com 形式の UPN が必要です。 [ユーザー プリンシパル名] を選択すると、各ユーザーの領域は Microsoft Entra ID (contoso.com) から取得されます。 そのため、アジアのユーザーの場合は、[ ユーザー プリンシパル名] を選択し、「 asia.contoso.com」と入力します。 ユーザーの UPN は username@contoso.com ではなく username@asia.contoso.com になります。

  • Intune デバイス ID: Intune は自動的に Intune デバイス ID を選択します。 既定では、以下のとおりです。

    • アプリではデバイス ID のみを使用する必要があります。 ただし、アプリで Realm とデバイス ID を使用している場合は、 Realm テキスト ボックスにその領域を入力します。
    • デバイス ID を使用する場合は、領域を空のままにします。

  • Azure AD デバイス ID: Microsoft Entra デバイス ID

  • SAM アカウント名: Intune によって、オンプレミスのセキュリティ アカウント マネージャー (SAM) アカウント名が設定されます。

• Realm: URL のドメイン部分を入力します。 たとえば、「contoso.com」と入力します。

• URL: ユーザー シングル サインオン (SSO) 認証を必要とする organization 内の URL を追加します。

  たとえば、ユーザーがこれらのサイトのいずれかに接続すると、iOS/iPadOS デバイスは SSO 資格情報を使用します。 ユーザーは資格情報を再度入力する必要はありません。 多要素認証 (MFA) が有効になっている場合、ユーザーは 2 つ目の認証を入力する必要があります。

  また、

  • これらの URL は、適切な形式の FQDN にする必要があります。 Apple では、URL を http://<yourURL.domain> 形式にする必要があります。

  • URL 一致パターンは、 http:// または https:// で始まる必要があります。 単純な文字列一致が実行されるため、 http://www.contoso.com/ URL プレフィックスは http://www.contoso.com:80/ と一致しません。 iOS 10.0+ と iPadOS 13.0+ では、1 つのワイルドカード * を使用して、一致するすべての値を入力できます。 たとえば、 http://*.contoso.com/ は http://store.contoso.com/ と http://www.contoso.com の両方に一致します。

    http://.com パターンと https://.com パターンは、それぞれすべての HTTP URL と HTTPS URL に一致します。

• アプリ: シングル サインオンを使用できるユーザーのデバイスにアプリ を追加します 。

  AppIdentifierMatches配列には、アプリ バンドル ID に一致する文字列を含める必要があります。 これらの文字列は、 com.contoso.myapp などの完全一致にすることも、 * ワイルドカード文字を使用してバンドル ID にプレフィックスを一致させることもできます。 ワイルドカード文字はピリオド文字 (.) の後に記述する必要があり、文字列の末尾 ( com.contoso.* など) に 1 回だけ指定できます。 ワイルドカードを含めると、バンドル ID がプレフィックスで始まるすべてのアプリに、アカウントへのアクセス権が付与されます。

  [ アプリ名 ] を使用してわかりやすい名前を入力し、バンドル ID を識別できるようにします。

• 資格情報更新証明書: 認証に証明書 (パスワードではなく) を使用する場合は、既存の SCEP 証明書または PFX 証明書を認証証明書として選択します。 通常、この証明書は、VPN、Wi-Fi、メールなどの他のプロファイルでユーザーに展開されているものと同じ証明書です。

Web コンテンツ フィルター

設定適用: デバイスの自動登録 (監視対象)

これらの設定では、Apple の Web コンテンツ フィルター設定が使用されます。 これらの設定の詳細については、 Apple のプラットフォーム展開サイト (Apple の Web サイトが開きます) を参照してください。

フィルターの種類: 特定の Web サイトを許可することを選択します。 次のようなオプションがあります:

• [未構成]: Intune では、この設定は変更または更新されません。

• URL の構成: 冒涜的な言葉や性的に露骨な言葉など、成人向けの用語を検索する Apple の組み込みの Web フィルターを使用します。 この設定は、読み込まれた各 Web ページを評価し、不適切なコンテンツを特定してブロックします。 フィルターでチェックしたくない URL を追加することもできます。 または、Apple のフィルター設定に関係なく、特定の URL をブロックします。

  • 許可する URL: 許可する URL を追加します 。 これらの URL は、Apple の Web フィルターをバイパスします。

    入力した URL は、Apple の Web フィルターで評価されたくない URL です。 これらの URL は、許可されている Web サイトの一覧ではありません。 許可されている Web サイトの一覧を作成するには、[ フィルターの種類 ] を [ 特定の Web サイトのみ] に設定します。

  • ブロックされる URL: Apple Web フィルターの設定に関係なく、開かないようにする URL を追加します 。

• 特定の Web サイトのみ (Safari Web ブラウザーのみ): これらの URL は Safari ブラウザーのブックマークに追加されます。 ユーザーはこれらのサイト にのみ アクセスできます。他のサイトを開くことはできません。 このオプションは、ユーザーがアクセスできる URL の正確な一覧がわかっている場合にのみ使用してください。

  • URL: 許可する Web サイトの URL を入力します。 たとえば、「https://www.contoso.com」と入力します。
  • ブックマーク パス: Apple がこの設定を変更しました。 すべてのブックマーク は、[許可されたサイト ] フォルダーに移動します。 ブックマークは、入力したブックマーク パスには移動しません。
  • タイトル: ブックマークのわかりやすいタイトルを入力します。

  URL を入力しない場合、ユーザーは microsoft.com、 microsoft.net、 apple.com 以外の Web サイトにアクセスできません。 Intune では、これらの URL が自動的に許可されます。

この機能は、以下に適用されます。

• iOS 13.0 以降
• iPadOS 13.0 以降

設定適用: すべての登録の種類

この機能は、以下に適用されます。

• macOS 10.15 以降

設定の適用対象: ユーザーが承認したデバイス登録、および自動デバイス登録

認証に Microsoft Authenticator アプリを使用するすべてのアプリは、 Apple デバイス用の Microsoft Enterprise SSO プラグインを使用して引き続き SSO を取得します。 詳細については、「 iOS/iPadOS デバイスで Microsoft Enterprise SSO プラグインを使用する」を参照してください。

詳細については、「 macOS デバイスで Microsoft Enterprise SSO プラグインを使用する」を参照してください。

• 共有デバイス モードを有効にする: Microsoft Entra 共有デバイス モード機能用に構成された iOS/iPadOS デバイスに Microsoft Enterprise SSO プラグインを展開する場合は、[はい] を選択します。 共有モードのデバイスでは、多くのユーザーが共有デバイス モードをサポートするアプリケーションにグローバルにサインインおよびサインアウトできます。 [未構成] に設定すると、Intune では、この設定は変更または更新されません。 既定では、iOS/iPadOS デバイスは複数のユーザー間で共有されることを想定していません。

  共有デバイス モードとその有効化方法の詳細については、「 共有デバイス モードの概要」を参照してください。

  この設定は、以下の場合に適用されます。

  • iOS/iPadOS 13.5 以降

• iOS 13.0+ および iPadOS 13.0+

ユーザーが Authenticator アプリに正常にサインインした後、SSO 拡張機能を使用する他のアプリにサインインするように求めるメッセージは表示されません。 ユーザーが SSO 拡張機能を使用しないマネージド アプリを初めて開くと、サインインしているアカウントを選択するように求められます。

• macOS Catalina 10.15 以降

• パスワードの変更をブロックする: [はい ] にすると、入力したドメインへのサインインに使用するパスワードをユーザーが変更できなくなります。 [未構成] (既定) に設定すると、Intune では、この設定は変更または更新されません。 既定では、OS がパスワードの変更を許可している可能性があります。

• ローカル パスワード同期を有効にする: ユーザーのローカル パスワードを Microsoft Entra ID に同期するには、[はい] を選択します。 [未構成] (既定) に設定すると、Intune では、この設定は変更または更新されません。 既定では、OS は Microsoft Entra ID へのパスワード同期を無効にする場合があります。

  この設定は、SSO の代替またはバックアップとして使用します。 ユーザーが Apple モバイル アカウントでサインインしている場合、この設定は機能しません。

• Kerberos 拡張機能のセットアップを遅らせる: [はい] に設定すると、管理者が拡張機能を有効にするか、Kerberos チャレンジを受け取るまで、ユーザーに Kerberos 拡張機能の設定を求めるメッセージは表示されません。 [未構成] (既定) に設定すると、Intune では、この設定は変更または更新されません。 既定では、OS は Kerberos 拡張機能の設定をユーザーにすぐに求める場合があります。

  この設定は、以下の場合に適用されます。

  • macOS 11 以降

• 標準の Kerberos ユーティリティを許可する: [はい] に設定すると、Kerberos 拡張機能によって、アプリ バンドル ID、管理対象アプリ、および標準の Kerberos ユーティリティ (TicketViewer や klist など) を使用して入力されたすべてのアプリが資格情報にアクセスして使用できるようになります。 [未構成] (既定) に設定すると、Intune では、この設定は変更または更新されません。 OS では、一覧表示されたアプリによる資格情報のアクセスと使用が既定で許可されていない場合があります。

  この設定は、以下の場合に適用されます。

  • macOS 12 以降

• 資格情報の要求: [はい] に設定すると、次に一致する Kerberos チャレンジまたはネットワーク状態の変更で資格情報が要求されます。 資格情報の有効期限が切れているか、見つからない場合は、新しい資格情報が作成されます。 [未構成] (既定) に設定すると、Intune では、この設定は変更または更新されません。 既定では、OS は新しい資格情報を要求しません。

  この設定は、以下の場合に適用されます。

  • macOS 12 以降

• TLS に LDAP 接続が必要: [はい] に設定すると、トランスポート層セキュリティ (TLS) を使用するには LDAP 接続が必要です。 [未構成] (既定) に設定すると、Intune では、この設定は変更または更新されません。 既定では、OS が TLS を使用するために LDAP 接続を要求しない場合があります。

  この設定は、以下の場合に適用されます。

  • macOS 11 以降

• Active Directory パスワードの複雑さを要求する: Active Directory のパスワードの複雑さの要件を満たすようにユーザー パスワードを強制するには、[ はい ] を選択します。 デバイスでは、この設定にはチェック ボックスを含むポップアップ ウィンドウが表示され、ユーザーはパスワード要件を完了していることを確認できます。 これは、ユーザーがパスワードに何を入力する必要があるかを知るのに役立ちます。 詳細については、「 パスワードは複雑さの要件を満たす必要があります」を参照してください。 [未構成] (既定) に設定すると、Intune では、この設定は変更または更新されません。 既定では、OS がユーザーに Active Directory のパスワード要件を満たすことを要求しない場合があります。

• パスワードの最小文字数: ユーザーのパスワードを構成できる最小文字数を入力します。 [未構成] (既定) に設定すると、Intune では、この設定は変更または更新されません。 既定では、OS がユーザーにパスワードの最小文字数を適用しない場合があります。

• パスワードの再利用制限: ドメインで以前のパスワードを再利用できるようになるまで、使用される新しいパスワードの数を 1 から 24 まで入力します。 [未構成] (既定) に設定すると、Intune では、この設定は変更または更新されません。 既定では、OS によってパスワードの再利用制限が適用されない場合があります。

• パスワードの最小有効期間 (日数): ユーザーがパスワードを変更できるようになるまでに、ドメインでパスワードが使用される日数を入力します。 [未構成] (既定) に設定すると、Intune では、この設定は変更または更新されません。 既定では、OS は、パスワードを変更する前の最小有効期間を適用しない場合があります。

• パスワードの有効期限通知 (日数): パスワードの有効期限が切れるまでの日数を入力します。 [未構成] (既定) に設定すると、Intune では、この設定は変更または更新されません。 既定では、OS は 15 日を使用します。

• パスワードの有効期限 (日数): デバイス パスワードを変更するまでの日数を入力します。 [未構成] (既定) に設定すると、Intune では、この設定は変更または更新されません。 既定では、OS のパスワードが期限切れになることはありません。

• パスワード変更 URL: ユーザーがパスワード変更を開始したときに開く URL を入力します。

• カスタム ユーザー名: 拡張機能に表示されるユーザー名を置き換えるテキストを入力します。 会社またはorganizationの名前に一致する名前を入力できます。 たとえば、「Contoso」と入力できます。

  この設定は、以下の場合に適用されます。

  • macOS 11 以降

• Kerberos 拡張機能の使用: 他のプロセスで Kerberos 拡張機能資格情報を使用する方法を選択します。 次のようなオプションがあります:

  • 常時: SPN が [ドメイン] に一覧表示されている場合は、内線番号の資格情報が常に使用されます。 呼び出し元アプリが アプリ バンドル ID に表示されていない場合には使用されません。
  • 指定しない場合: 内線番号資格情報は、呼び出し元が別の資格情報を入力しておらず、SPN が [ドメイン] に一覧表示されている場合にのみ使用されます。 呼び出し元アプリが アプリ バンドル ID に表示されていない場合には使用されません。
  • Kerberos の既定値: Intune はこの設定を変更または更新しません。 既定では、OS は資格情報の選択に既定の Kerberos プロセスを使用します。 このオプションは、この設定を構成しない場合と同じです。

  この設定は、以下の場合に適用されます。

  • macOS 11 以降

• パスワード要件メッセージ: ユーザーに表示される organization のパスワード要件のテキスト バージョンを入力します。 このメッセージには、Active Directory のパスワードの複雑さの要件が必要でない場合、またはパスワードの最小文字数を入力していないかどうかが表示されます。

  [はい] に設定すると、既存のユーザー アカウントがすべてデバイスからワイプされます。 データの損失を回避したり、工場出荷時の設定にリセットしたりしないようにするには、この設定によってデバイスがどのように変更されるかを理解するようにしてください。

  共有デバイス モードの詳細については、「 共有デバイス モードの概要」を参照してください。

• 優先 KDC: Kerberos トラフィックに使用するキー配布センター (KDC) を優先順位で入力します。 この一覧は、DNS を使用してサーバーを検出できない場合に使用されます。 サーバーが検出可能な場合、リストは両方の接続チェックに使用され、最初に Kerberos トラフィックに使用されます。 サーバーが応答しない場合、デバイスは DNS 検出を使用します。

  この設定は、以下の場合に適用されます。

  • macOS 12 以降

壁紙

既存のイメージがあるデバイスにイメージのないプロファイルを割り当てると、予期しない動作が発生する可能性があります。 たとえば、画像のないプロファイルを作成し、すでに画像があるデバイスに割り当てます。 このシナリオでは、イメージをデバイスの既定に変更することも、元のイメージをデバイス上に残すこともできます。 Apple の MDM プラットフォームは、この動作を制御および制限します。

設定適用: デバイスの自動登録 (監視対象)

• 壁紙の表示場所: 画像を表示するデバイス上の場所を選択します。 次のようなオプションがあります:
  • [未構成]: Intune では、この設定は変更または更新されません。 カスタム イメージはデバイスに追加されません。 既定では、OS は独自のイメージを設定する可能性があります。
  • ロック画面: ロック画面に画像を追加します。
  • ホーム画面: ホーム画面に画像を追加します。
  • ロック画面とホーム画面: ロック画面とホーム画面で同じ画像を使用します。
• 壁紙画像: 使用する既存の .png、.jpg、または.jpeg画像をアップロードします。 ファイル サイズは 750 KB 未満であることを確認してください。 追加した画像 を削除 することもできます。