MDMの導入から利用開始まで(2) -MDMチェックイン-

2021.5.17

MDMの導入から利用開始まで(2) -MDMチェックイン-

以前の投稿で、MDM導入初期に必要なPUSH証明書の取得について解説しました。PUSH証明書とは、以下の図の(1)ができるようにするためのものでした。

(MDMによる端末管理の登場人物は、MDMサービスとAPNsと端末の3者)

次に必要になるのがMDMにiOS端末を登録することです。これをMDMチェックインと言います。本稿ではこのMDMチェックインの基本を解説します。

MDMチェックインとは

MDMの運用では、その管理者がいきなり任意のiOS端末を制御できるようになるわけではありません。もし勤務先の情シスが使っているMDMサービスが、いきなり自分の個人端末を遠隔制御し始めたら困りますよね。

当然そんなことができる筈もなく、MDMによる端末管理では最初にまずiOS端末側から「私はあなた(MDM)にコントロールされても構いません」と明示的に宣言する儀式を行う必要があります。

(端末側からMDMサービスに管理(支配)を依頼する。MDMから端末を管理(支配)しにいくわけではないことに注意)

端末側が主体であることに注意して下さい。例えるなら、MDMサービス側に端末の入る箱をまず用意して、端末からその箱に入りに行く感じです。まさにホテルのチェックインですね。

一度チェックインすると端末はMDM支配下に収まり、それ以降はMDMサービスから(つまり管理部門から)遠隔制御、アプリや設定のインストール、各種の情報収集などが行われるようになります。

それでも良いですよ構いませんよと端末から意思表明することがMDM チェックイン(Check in)です。次に紹介するMDMチェックインの手順は、チェックインが端末主体であることをよく示しています。

MDMチェックインの具体的手順

弊社でよく使っているBizMobile Goを例にMDMチェックインするまでの手順を紹介します。

(1) まずMDMサービス側で管理対象端末が入る「箱」を作ります(BizMobile Go では「デバイス」という言葉が使われています)

(2) MDMサービスが(1)で作った「箱」にチェックインするためのURLやQRコードを生成してくれます (BizMobile Go に限らず他のサービスも同様です)

(3) チェックインすべき端末で(2)のQRコードをカメラで読み取るか、Mobile Safari でURLを直接開きます。MDMプロファイルなるものが提供されますのでダウンロードします。MDMプロファイルとはMDMチェックインするための特別なデータを含むプロファイルです

→→

(4) MDMプロファイルのダウンロードが終われば、設定アプリを開いて [ファイルがダウンロードされました] をタップしてプロファイルの詳細に「リモート・マネジメント」と表示されていることを確認します。

→
(右図のように削除ボタンがあることは、この時点で端末側がMDM管理下に入ることを拒否できることを意味する)

(5) 右上の[インストール] をタップすると信頼するかどうかを聞いてきますので[信頼]をタップします。もちろん、心当たりがなければ [信頼] してはいけません。

以上でMDMチェックインは完了となります。どこまでも端末主体であり、MDM側から一方的に管理し始められるものではないことが理解できたと思います。手順(1)(2)はMDMサービス毎に異なりますので、詳細は各サービスのマニュアルを参照して下さい。

ちなみに、手順(3)にあるMDMプロファイルには、MDM payload という特別なデータが含まれていて、これが端末に取り込まれるとMDMチェックインのプロセスが発動するようになっています。MDMチェックインで何が行われているか技術的な興味がある人は、Appleが公開しているMDMプロトコル仕様書の第2章 MDM Check-in Protocol を読むと良いでしょう。

(iOS端末のMDMプロトコルについて詳細を記すAppleの技術文書)