iOS
XenMobile ServerでiOSデバイスを登録して管理するには、AppleのAppleプッシュ通知サービス（APNs）証明書を設定します。詳しくは、「APN証明書」を参照してください。
登録プロファイルで、iOSデバイスをMDM+MAMで登録するかどうか、およびユーザーがMDMをオプトアウトするオプションを決定します。XenMobile Serverは、MDM+MAMのiOSデバイスに対して、次の種類の認証をサポートします。詳しくは、「証明書および認証」を参照してください。
- ドメイン
- ドメイン+セキュリティトークン
- クライアント証明書
- クライアント証明書およびドメイン
iOS 13での信頼された証明書の要件：
Appleでは、TLSサーバー証明書の新しい要件を設定しています。すべての証明書が新しいAppleの要件に準拠していることを確認します。アップルの出版物である「https://support.apple.com/en-us/HT210176」を参照してください。証明書の管理については、「XenMobile Serverでの証明書のアップロード」を参照してください。
サポートされているオペレーティングシステムについては、「サポートされるデバイスオペレーティングシステム」を参照してください。
iOS 14との互換性
XenMobile ServerとCitrixモバイルアプリはiOS 14と互換性がありますが、現在iOS 14の新機能をサポートしていません。
監視対象のiOSデバイスの場合、ソフトウェアのアップグレードを最大90日間遅らせることができます。iOSの制限デバイスポリシーで、次の設定を使用します：
- ソフトウェア更新の強制延期
- ソフトウェア更新の強制延期
「iOSの設定」を参照してください。これらの設定は、ユーザー登録モードまたは監視対象外（完全MDM）モードのデバイスでは使用できません。
開いたままにする必要があるAppleのホスト名
iOS、macOS、Apple App Storeを正しく動作させるには、一部のAppleホスト名を開いたままにしておく必要があります。これらのホスト名をブロックすると、インストール、更新、および以下の適切な操作に影響が出る可能性があります：iOS、iOSアプリ、MDMの操作およびデバイスとアプリの登録詳しくは、https://support.apple.com/en-us/HT201999を参照してください。
サポートされている登録方法
登録プロファイルでiOSデバイスの管理方法を指定します。デバイスを登録するか、またはMDMに登録しないかを選択できます。
iOSデバイスの登録設定を構成するには、［構成］>［登録プロファイル］>［iOS］ の順に移動します。
次の表は、iOSデバイスでサポートされているXenMobile Serverでの登録方法を示しています：
| 方法 | サポート対象 |
|---|---|
| Apple Deployment Programs | はい |
| Apple School Manager | はい |
| Apple Configurator | はい |
| 手動登録 | はい |
| 登録招待 | はい |
Appleでは、ビジネスおよび教育機関アカウント向けのデバイス登録プログラムが提供されています。ビジネス用アカウントの場合、デバイスをXenMobile Serverで登録して管理するには、Apple Deployment Programに登録して、Apple Deployment Programを利用する必要があります。これは、iOSおよびmacOSデバイス向けのプログラムです。「Apple Deployment Programでのデバイスの展開」を参照してください。
教育機関アカウントの場合は、Apple School Managerアカウントを作成します。Apple School Managerでは、Deployment Programと一括購入が統合されています。Apple School Managerは、教育向けApple Deployment Programの一種です。「Apple Education機能との統合」を参照してください。
Apple Deployment Programを使用して、iOS、iPadOS、macOSデバイスを一括登録することができます。これらのデバイスは、Appleから直接購入するか、Apple正規販売代理店、または通信事業者から購入することができます。Appleから直接購入したかどうかにかかわらずApple Configuratorを使用してiOSデバイスを登録できます。「Appleデバイスの一括登録」を参照してください。
手動によるiOSデバイスの追加
テスト目的など、iOSデバイスを手動で追加する場合は、次の手順に従います。
-
XenMobile Serverコンソールで、［管理］>［デバイス］ の順にクリックします。［デバイス］ ページが開きます。
-
［追加］ をクリックします。［デバイスの追加］ ページが開きます。
-
次の設定を構成します：
- プラットフォーム選択： ［iOS］ を選択します。
- シリアル番号： デバイスのシリアル番号を入力します。
-
［追加］ をクリックします。［デバイス］ の表に示される一覧の一番下に、追加したデバイスが表示されます。デバイスの詳細を表示して確認するには：追加したデバイスを選択して表示されるメニューで ［編集］ をクリックします。
注：
デバイスの横にあるチェックボックスをオンにすると、デバイス一覧の上にオプションメニューが表示されます。一覧で項目をクリックして、その項目の右側にオプションメニューを表示できます。
-
構成されたLDAP
-
ローカルグループおよびローカルユーザーを使用する場合：
-
1つまたは複数のローカルグループ。
-
ローカルグループに割り当てられたローカルユーザー。
-
デリバリーグループはローカルグループと関連付けられます。
-
-
Active Directoryを使用する場合：
- デリバリーグループはActive Directoryグループと関連付けられます。
-
-
［一般］ ページには、シリアル番号やプラットフォームの種類に関するその他の情報など、デバイスの識別子が表示されます。［デバイス所有権］ で、［コーポレート］ または ［BYOD］ を選択します。
［一般］ ページには、デバイスの ［セキュリティ］ プロパティ（［Strong ID］、［デバイスのロック］、［アクティベーションロックバイパス］、プラットフォームの種類に関するその他の情報など）も表示されます。［デバイスの完全なワイプ］ フィールドには、ユーザーのPINコードが含まれます。デバイスがワイプされた後、ユーザーはこのコードを入力する必要があります。ユーザーがコードを忘れた場合は、こちらで確認できます。
-
［プロパティ］ ページには、XenMobile Serverがプロビジョニングするデバイスのプロパティが表示されます。この一覧は、デバイスの追加に使用されるプロビジョニングファイルに含まれるデバイスのプロパティを表示します。プロパティを追加するには、［追加］ をクリックして一覧からプロパティを選択します。各プロパティの有効な値に関しては、デバイスのプロパティ名と値に関するPDFを参照してください。
プロパティを追加すると、最初に追加したカテゴリに表示されます。［次へ］ をクリックして ［プロパティ］ ページに戻ると、プロパティは適切な一覧に表示されます。
プロパティを削除するには、項目の上にマウスカーソルを置いて、右側の ［X］ をクリックします。XenMobile Serverがその項目を検出します。
-
残りの ［デバイス詳細］ セクションには、デバイスの概要が表示されます。
- ユーザープロパティ： ユーザーのRBACの役割、グループメンバーシップ、一括購入アカウント、およびプロパティを表示します。このページでインベントリから一括購入アカウントを削除できます。
- 割り当て済みポリシー： 展開済み、保留中、失敗したポリシーの数を含む、割り当て済みポリシーの数が表示されます。各ポリシーの名前、種類、最新展開の情報が表示されます。
- アプリ： インストール済み、保留中、失敗のアプリ展開数を含む、最新のインベントリ時点のアプリ数が表示されます。アプリ名、ID、種類、その他の情報が表示されます。HasUpdateAvailable などのiOSおよびmacOSのインベントリキーの説明については、「モバイルデバイス管理（MDM）プロトコル」を参照してください。
- メディア： 展開済み、保留中、失敗のメディア展開数を含む、最新のインベントリ時点のメディア数が表示されます。
- 操作： 展開済み、保留中、失敗のアクション数を含む、アクション数が表示されます。最新展開のアクション名と時間が表示されます。
- デリバリーグループ： 成功、保留中、失敗したデリバリーグループの数が表示されます。各展開のデリバリーグループ名と展開時間が表示されます。デリバリーグループを選択すると、状態、アクション、チャネル、またはユーザーなどの詳細な情報を表示できます。
- iOSプロファイル： 名前、種類、組織、説明など、最新のiOSプロファイルインベントリが表示されます。
- iOSプロビジョニングプロファイル： UUID、有効期限、管理対象かどうかなど、エンタープライズ配布プロビジョニングプロファイルの情報を表示します。
- 証明書： 有効な証明書と期限切れまたは失効した証明書が表示され、種類、プロバイダー、発行者、シリアル番号、期限切れまでの残日数などの情報も表示されます。
- 接続： 最初の接続状態と最後の接続状態が表示されます。各接続のユーザー名、最後から2番目の認証時間、最後の認証時間が表示されます。
- MDMステータス： MDMステータス、最後のプッシュ時間、最後のデバイス応答時間などの情報が表示されます。
iOSデバイスポリシーの構成
デバイスポリシーを使用して、XenMobile ServerとiOSを実行するデバイスとの通信に関する構成を行います。次の表は、iOSデバイスで使用可能なデバイスポリシーの一覧です：
iOSデバイスの登録
このセクションでは、ユーザーがiOSデバイス（12.2以降）をXenMobile Serverに登録する方法について説明します。iOSの登録について詳しくは、次のビデオを開いてください：
- iOSデバイスでAppleストアにアクセスし、Citrix Secure Hubアプリをダウンロードしてタップします。
- アプリをインストールするよう求められたら、［次へ］ をタップし、［インストール］ をタップします。
- Secure Hubのインストールが完了したら、［開く］ をタップします。
- 会社の資格情報（XenMobile Serverのサーバー名、ユーザープリンシパル名（User Principal Name：UPN）、メールアドレスなど）を入力します。入力後、［次へ］ をクリックします。
-
［はい、登録します］ をタップし、iOSデバイスを登録します。
- XenMobile Serverが収集するデータ一覧が表示されます。［次へ］ をクリックします。組織でそのデータがどのように使用されるかについての説明が表示されます。［次へ］ をクリックします。
- 資格情報を入力し、プロンプトが表示されたら ［許可］ をタップし、構成プロファイルをダウンロードします。構成プロファイルをダウンロードしたら、［閉じる］ をタップします。
- デバイス設定で、iOS証明書をインストールし、デバイスを信頼済み一覧に追加します。
- ［設定］>［全般］>［プロファイル］>［XenMobile Profile Service］ に移動し、［インストール］ をタップしてプロファイルを追加します。
- 通知ウィンドウで ［信頼］ をタップし、デバイスをリモート管理に登録します。
- 登録に成功すると、Secure Hubが開きます。MDM+MAMに登録する場合：認証情報を検証した後、プロンプトが表示されたらCitrix PINを作成および確認します。
- ワークフローの完了後、デバイスが登録されます。その後、アプリストアにアクセスし、iOSデバイスにインストールできるアプリを確認することができます。
セキュリティ操作
iOSは、以下のセキュリティ操作をサポートしています。各セキュリティ操作の説明については、「セキュリティ操作」を参照してください。
| アクティベーションロックのバイパス | アプリのロック | アプリのワイプ |
| ASMアクティベーションロック | 証明書の書き換え | 制限の削除 |
| 紛失モードを有効化/無効化 | 追跡を有効/無効にする | 完全なワイプ |
| 検索 | ロック | 警報 |
| AirPlayミラーリングの要求/停止 | 再起動/シャットダウン | 取り消し/承認 |
| 選択的なワイプ | ロック解除 |
iOSデバイスのロック
iOSデバイスをロックし、デバイスのロック画面にメッセージと電話番号を表示することができます。
ロックされたデバイスにメッセージと電話番号を表示するには、パスコードポリシーがXenMobile Serverコンソールでtrueに設定されている必要があります。あるいは、デバイス上でパスコードを手動で有効化できます。
-
［管理］>［デバイス］ の順にクリックします。［デバイス］ ページが開きます。
-
ロックするiOSデバイスを選択します。
デバイスの横にあるチェックボックスをオンにすると、デバイス一覧の上にオプションメニューが表示されます。一覧で項目をクリックして、その項目の右側にオプションメニューを表示できます。
-
オプションメニューの ［保護］ を選択します。［セキュリティ操作］ ダイアログボックスが開きます。
-
［ロック］ をクリックします。［セキュリティ操作］ 確認ダイアログボックスが開きます。
-
必要に応じて、デバイスのロック画面に表示するメッセージと電話番号を入力します。
iOSは「Lost iPad」という文字列をユーザーが ［メッセージ］ フィールドに入力した内容に追加します。
［メッセージ］ フィールドを空白にして電話番号を指定すると、Appleはメッセージ「Call owner」をデバイスのロック画面に表示します。
-
［デバイスのロック］ をクリックします。
iOSデバイスを紛失モードにする
XenMobile Serverの紛失モードデバイスプロパティで、iOSデバイスを紛失モードにします。Appleのマネージド紛失モードと異なり、XenMobile Serverの紛失モードでは、ユーザーは自分のデバイスを探せるようにするために、次のどちらの操作も実行する必要がありません。［iPhone/iPadを探す］ を構成するかCitrix Secure Hubの位置情報サービスを有効化する。
XenMobile Serverの紛失モードでは、デバイスのロックを解除できるのはXenMobile Serverだけです。一方、XenMobile Serverのデバイスロック機能を使用すると、ユーザーは管理者によって提供されたPINコードを使用して、デバイスを直接ロック解除できます。
紛失モードを有効または無効にするには： ［管理］>［デバイス］ に移動し、監視対象デバイスを選択して ［保護］ をクリックします。次に、［紛失モードを有効化］ または ［紛失モードを無効化］ をクリックします。
［紛失モードを有効化］ をクリックした場合は、デバイスが紛失モードになったときにデバイスに表示される情報を入力します。
次のいずれかの方法を使って紛失モードの状態を確認する：
- ［セキュリティ操作］ ウィンドウで、ボタンが ［紛失モードを無効化］ であることを確認します。
- ［管理］>［デバイス］ から、［セキュリティ］ の ［一般］ タブで、［紛失モードを有効化］または［紛失モードを無効化］の最後の操作を確認します。
- ［管理］>［デバイス］ から ［プロパティ］ タブで、［MDMの紛失モードの有効化］ の設定値が正しいことを確認します。
iOSデバイスでXenMobile Serverの紛失モードを有効化すると、XenMobile Serverコンソールも以下のように変更されます。
- ［構成］>［操作］ の ［操作］ 一覧には、自動化された操作 ［デバイスを失効］、［デバイスの選択的なワイプ］、［デバイスを完全にワイプ］ は含まれません。
- ［管理］>［デバイス］ の ［セキュリティ操作］ 一覧に、［失効］ および ［選択的なワイプ］ デバイス操作が含まれなくなりました。必要に応じて、セキュリティ操作を使ってフルワイプを実行することは引き続き可能です。
iOSは「Lost iPad」という文字列をユーザーが ［セキュリティ操作］ 画面の ［メッセージ］ に入力した内容に追加します。
［メッセージ］ を空白にして電話番号を指定すると、Appleはメッセージ「Call owner」をデバイスのロック画面に表示します。
iOSアクティベーションロックのバイパス
アクティベーションロックは、紛失したり盗まれたりした管理対象デバイスが再アクティブ化されないようにすることを目的とした［iPhone/iPadを探す］の機能です。アクティベーションロックでは、ユーザーのApple IDとパスワードを入力してからでないと、以下の操作を実行することはできません：［iPhone/iPadを探す］をオフにする、デバイスを消去する、またはデバイスを再アクティブ化する。組織所有のデバイスの場合は、デバイスのリセットや再割り当てなどを行う際にアクティベーションロックをバイパスする必要があります。
アクティベーションロックを有効にするには、XenMobile Server MDMオプションのデバイスポリシーを設定して展開します。その後はユーザーのApple資格情報なしで、XenMobile Serverコンソールからデバイスを管理することができます。アクティベーションロックで必要なApple資格情報の入力をバイパスするには、XenMobile Serverコンソールから［アクティベーションロックバイパス］のセキュリティ操作を発行します。
たとえば、紛失したiPhoneがユーザーによって返却された場合や、フルワイプの前後にデバイスを設定する場合、iPhoneでApple App Storeアカウントの資格情報を求められた際に、XenMobile Serverコンソールで［アクティベーションロックバイパス］セキュリティ操作を発行することでこの手順を省略することができます。
アクティベーションロックバイパスのデバイス要件
- Apple ConfiguratorまたはApple Deployment Programによる監視対象である
- iCloudアカウントで構成済みである
- ［iPhone/iPadを探す］が有効になっている
- XenMobile Serverに登録済みである
- MDMオプションデバイスポリシー（アクティベーションロックが有効になっている）がデバイスに展開されている
デバイスのフルワイプを発行する前にアクティベーションロックをバイパスするには、次の手順を実行します：
- ［管理］>［デバイス］ の順に選択し、デバイスを選択して ［保護］、［アクティベーションロックバイパス］ の順にクリックします。
- デバイスをワイプします。デバイスの設定時に、アクティベーションロック画面は表示されません。
デバイスのフルワイプを発行した後にアクティベーションロックをバイパスするには、次の手順を実行します：
- デバイスをリセットまたはワイプします。デバイスの設定時に、アクティベーションロック画面が表示されます。
- ［管理］>［デバイス］ の順に選択し、デバイスを選択して ［保護］、［アクティベーションロックバイパス］ の順にクリックします。
- デバイスの［戻る］ボタンをタップします。ホーム画面が開きます。
次のことに注意してください：
- ユーザーが「iPhone/iPadを探す」をオフにしないようアドバイスしてください。デバイスから完全に消去しないでください。いずれの場合も、ユーザーはiCloudアカウントのパスワードを入力するよう求められます。アカウントの検証後にすべてのコンテンツと設定が消去されると、iPhone/iPadのアクティブ化画面がユーザーに表示されなくなります。
- 作成されたアクティベーションロックバイパスコードがあり、アクティベーションロックが有効になっているデバイスの場合は、フルワイプ後に［iPhone/iPadのアクティブ化］ページをバイパスできなくても、XenMobile Serverからデバイスを削除する必要はありません。管理者またはユーザーがAppleサポートに連絡することで、デバイスのブロックを直接解除することができます。
- ハードウェアインベントリの際に、XenMobile Serverはデバイスでアクティベーションロックバイパスコードの照会を行います。バイパスコードが使用可能な場合は、デバイスからXenMobile Serverにバイパスコードが送信されます。その後、バイパスコードをデバイスから削除するには、XenMobile Serverコンソールから［アクティベーションロックバイパス］のセキュリティ操作を送信します。この時点で、XenMobile ServerとAppleには、デバイスのブロック解除に必要なバイパスコードがあります。
- ［アクティベーションロックバイパス］のセキュリティ操作は、Appleのサービスの可用性に依存しています。操作がうまくいかない場合は、次の手順を実行してデバイスのブロックを解除できます。デバイスで、iCloudアカウントの資格情報を手動で入力します。または、［ユーザー名］フィールドは空のままにして、［パスワード］フィールドにバイパスコードを入力します。バイパスコードを見つけるには、［管理］>［デバイス］ に移動し、デバイスを選択して ［編集］、［プロパティ］ の順にクリックします。［セキュリティ情報］ の下に ［アクティベーションロックバイパスコード］ があります。