MacをMDMで管理するとき、iPhoneと同じ設定では足りない部分が3つあります。FileVaultの復旧キーをどこに置くか、管理者権限を誰に渡すか、ソフトウェアアップデートをどう強制するか。しかもmacOS 27では更新管理の旧方式が動かなくなりました。この3点の決め方を順に扱います。
LOCKED MDM は iOS・Android・macOS・Windows に対応し、1ユーザーが複数端末を使っても追加料金がかからないID課金で提供しています。Mac と iPhone を同じ管理画面で扱えます。
無料で製品資料をお送りしています。Mac の管理方式を検討する材料にお使いください。 製品資料をダウンロードする →
macOSのMDM管理で詰まるのは、鍵と管理者権限と更新の3点
仕組みの枠組み自体は iPhone や iPad と共通です。端末を Apple Business Manager で管理サービスに割り当て、構成プロファイルを配り、Apple のプッシュ通知を経由してコマンドを送る。モバイルデバイス管理の基本的な流れは Mac でもそのまま通ります。ここまでは同じです。
差が出るのはその先です。Mac は自分でディスクを暗号化し、自分でログインアカウントを持ちます。暗号化されたディスクを開ける資格は macOS 側のアカウントに紐づいていて、MDM から一方的に書き換えられません。OSのアップデートにも、Apple シリコンの Mac では端末を最初に使い始めた利用者の権限が絡みます。
つまり Mac の管理設計は、設定項目を並べる作業ではなく、鍵と権限の持ち主を決める作業になります。鍵と権限が先です。ここを決めずに配り始めた結果は、退職者のMacが開けない、更新を強制できない、回収した端末が起動しないという形で、配布から数か月あとに表に出ます。
MDM選定ガイド
MDM製品の選定で押さえるべきポイントを解説。OS対応、リモート制御、ポリシー管理など、主要な評価軸を整理しています。
Macを登録する3つの方式と、会社所有なら自動デバイス登録を選ぶ理由
管理サービスへの登録方式は、自動デバイス登録・デバイス登録・ユーザ登録の3つに分かれます。選ぶものは所有者で変わります。会社が買った Mac と従業員の私物の Mac を、同じ方式で登録する必要はありません。
自動デバイス登録なら、端末に触らずに監視対象にできる
組織は iPad・iPhone・Mac・Apple TV・Apple Vision Pro を、利用者の手に渡る前に物理的に触ったり準備したりせずに管理サービスへ登録できます。この方式では監視対象が自動で有効になります。監視対象とは、その端末が組織の所有物であることを示す状態で、構成や制限に対して管理側がより多くの制御を持ちます。
自動デバイス登録では、組織が持つ端末を Apple Business Manager 上で MDM に割り当てます。箱から出して電源を入れた時点で設定アシスタントに管理の案内が出るので、IT部門が開梱してキッティングする工程が消えます。
すでに配った Mac は、デバイス登録でも監視対象になる
自動デバイス登録に間に合わなかった既存の Mac は、手動で登録します。デバイス登録は、組織所有で既に配備済みの端末を利用者が手で登録する方式です。macOS 11 以降の Mac では、デバイス登録でも Mac が監視対象になります。
ここで注意が要るのが、後述するアクティベーションロックです。利用者が自分の Apple Account でサインインし、アクティベーションロックが有効になったあとで登録しても、ロックの管理権は組織に戻りません。手遅れです。
私物の Mac は、ユーザ登録で管理範囲を絞る
アカウント駆動のユーザ登録では、利用者が管理対象Apple Account でサインインして業務用の設定を受け取ります。同じ端末で管理対象Apple Account と個人の Apple Account を併用できます。
管理できる範囲は狭くなります。公式の資料で、ユーザ登録なら照会できるとされているのは、インストールされている構成とプロファイルの一覧と、端末上の管理対象アプリの状態です。後者からは、App Store で利用者が自分で入れたアプリが除かれます。私物の Mac にディスク暗号化を強制したり端末全体を消去したりする運用は、この方式では成り立ちません。
FileVaultの復旧キーは、利用者に見せずMDMに預ける
FileVaultはMDMから有効化を要求できます。設定アシスタントの段階で Mac に FileVault を有効にするよう要求する方法と、遅延有効化を使う方法があり、後者は利用者のログアウトまたはログインの機会で有効になります。違いは、利用者に見える手間をいつ発生させるかです。
鍵の置き場所が分かれ目です。個人用復旧キー（PRK）は管理サービスへのエスクロー、つまり預け入れを設定でき、利用者には見せない設定も選べます。管理サービス側は、必要な頻度で復旧キーを入れ替えることもできます。
筆者の見立てでは、企業の Mac は「利用者に見せず、MDM に預ける」が既定です。利用者に紙で渡した鍵は、紛失すればディスクを開ける手段が消え、持ち出されれば暗号化の意味が薄くなります。どちらの失敗も、鍵を組織側に集めておけば起きません。
開ける道は2本あります。ここで混ざりやすいのが、復旧キーで開ける道と、利用者のアカウントがロックを解除できるかどうかの区別です。預けた個人用復旧キーは、復旧環境（recoveryOS）で使うことも、暗号化された Mac をそのまま macOS まで起動するために使うこともできます。鍵を組織に集めておけば、管理者の手で開ける道は確保されます。
一方、利用者のアカウントが FileVault を解除できる状態になるには、セキュアトークンを持っていることが必要で、Apple シリコンの Mac ではボリューム所有者であることも求められます。こちらは鍵を預けても増えません。
Mac と iPhone を同じ画面で管理できるかは、実物で確かめるのが早いです。無料のオンラインデモをご用意しています。 デモ・個別相談を申し込む →
管理者権限は、セキュアトークンとボリューム所有権で決まる
Apple シリコンを搭載した Mac には、ボリューム所有権という考え方があります。公式の説明では、ボリューム所有権はおおまかに言って、自分用に構成してその Mac を最初に要求した利用者と、追加された利用者を指します。
ボリューム所有者であることが必要になる操作は具体的です。
- 特定の macOS インストールに対する起動セキュリティポリシーの変更
- macOS のソフトウェアアップデートとアップグレードのインストールの承認
- Mac での「すべてのコンテンツと設定を消去」の実行
セキュアトークンを配るための仕組みが、ブートストラップトークンです。これがあると macOS は、既にセキュアトークンを持つ管理者アカウントで別途認証することなく、セキュアトークンを付与できます。付与先には、プラットフォームシングルサインオンで必要に応じて作られたアカウントやモバイルアカウントも含まれます。生成のきっかけは macOS のバージョンで変わります。macOS 26 以降の Mac では、管理サービスが対応していれば、デバイス管理への登録の時点でブートストラップトークンが作られます。登録時に作られなかった場合の受け皿が、利用者のログインです。管理サービスがこの機能に対応していて、まだトークンが生成・保管されていない場合、セキュアトークンが有効な利用者が Mac にログインするたびに、macOS はトークンを生成して保管しようと試みます。
実務では、この保管状況が後の工程を左右します。ブートストラップトークンが管理サービス側に無い Mac は、更新を強制する段になって利用者本人の操作を待つことになります。保管されているかの確認は、配布直後にやります。あとで効きます。
ソフトウェアアップデートの管理は、macOS 27でレガシー方式が止まった
レガシーの更新管理は、macOS 27 で止まります。WWDC26 のデバイス管理のアップデートで、すべての 27.0 オペレーティングシステムでレガシーソフトウェアアップデート管理が動作しなくなると Apple が明記しました。macOS 27 を使う以上、更新の管理は宣言型デバイス管理の側で組み直すことになります。先延ばしはできません。
延期は1〜90日、期限を過ぎるとアプリが強制終了する
更新を見せるタイミングは管理側で調整でき、延期期間は1日から90日の間でカスタムに指定できます。あわせて、無線経由で配られるソフトウェアアップデートは通常、当初のリリース日から最長で180日間利用できるとされています。つまり検証のために更新を止めておける期間には上限があり、その上限が90日です。
強制の挙動は OS によって違います。強制日時はデバイスのローカル時間帯に基づき、利用者には期限までの残り時間に応じた通知が出ます。期限までにインストールしなかった場合、macOS では開いているアプリが強制終了され、必要に応じて再起動がかかります。業務時間中に期限を置くと、作業中のファイルを巻き込みます。
更新を認証する主体も Mac 固有です。ブートストラップトークンが使用可能な場合、Mac はそれを使ってアップデートを認証します。使えなければ、Mac が利用者に資格情報を求めます。前節のトークン保管が、ここで結果として出ます。
バッテリー残量の条件もあります。利用者が自分で始める更新に必要なのは、Apple シリコンの Mac で20%以上、Intel プロセッサの Mac で50%以上。自動インストールはどちらも50%以上です。そして自動更新のダウンロードと準備には、機種を問わずデバイスを電源に接続する必要があります。
Intel MacはmacOS 27に上げられない
macOS 27 Golden Gate の対応機種は、Apple シリコンを搭載した Mac だけです。Apple が公開している対応機種一覧に、Intel ベースの Mac は1機種も入っていません。
手元の Intel Mac は macOS 26 以前で止まります。どのバージョンで止まるかは機種で変わります。更新方針を宣言型に切り替える作業と並行して、どの端末がどのバージョンで止まるのかを台数で把握しておく必要があります。MDM のインベントリ情報があれば、機種名とOSバージョンで数えられます。先に数えます。
回収したMacが起動できない事故は、アクティベーションロックで起きる
アクティベーションロックの対象になるのは、Apple シリコンまたは Apple T2 セキュリティチップを搭載した Mac です。退職者から回収した Mac が、初期化したあとに前任者の Apple Account を要求してくる。この事故は、ロックが組織の管理下に入っていない Mac で起きます。
管理サービス側の制約がはっきりしています。端末を管理サービスに登録するまでアクティベーションロックは管理できず、Mac が登録される時点で既にアクティベーションロックが有効になっていた場合は、管理サービスを使ってそれを解除できません。登録が先です。
バイパスコードを使う手順も Mac では独特です。利用者はメニューバーの復旧アシスタントをクリックし、「MDM キーでアクティベート」を選んでバイパスコードを入力します。ただし管理サービスは一定の期間内にバイパスコードを取得しないと、以後それを取得できなくなります。
順番が結果を決めます。利用者に渡す前に管理サービスへ登録する運用へ寄せておけば、回収した Mac のロックに手を取られる場面はほぼ消えます。
macOSのMDM管理を始める順番
決める順序には前後関係があるので、次の流れで進めます。
- Apple Business Manager を用意する — 購入経路を登録し、Mac を MDM に割り当てます
- 登録方式を分ける — 会社所有は自動デバイス登録、既存端末はデバイス登録、私物はユーザ登録に振り分けます
- FileVault を有効化して鍵を預ける — 利用者には見せず、復旧キーを管理サービスにエスクローします
- ブートストラップトークンの保管を確認する — 保管されていない Mac を洗い出します
- 更新を宣言型で設定する — 延期日数と強制期限を決め、期限は業務時間外に置きます
- Intel Mac を数える — macOS 26 以前で止まる端末を台数で把握します
3番と4番を飛ばして5番に進むと、更新の強制が利用者待ちになって止まります。順番は動かせません。
鍵と権限を誰が持つかを先に決める
Mac の管理で効くのは、配る設定の数ではありません。ディスクを開ける鍵がどこにあるか、OSを更新できる権限を誰が持っているか、回収した端末のロックを外せるかという3つの答えです。macOS 27 でレガシーの更新管理が止まったことで、この整理を先延ばしにできる期間も終わりました。
次に着手すべきは、手元の Mac の棚卸しです。登録方式、FileVault の有効化状況と鍵の置き場所、ブートストラップトークンの保管、OSバージョンと機種。台数で言えるかが分かれ目です。4項目が数字で出てくるなら、宣言型への移行は設定の付け替えで終わります。出てこないままだと、どの製品を入れても同じ場所で止まります。
LOCKED MDM は iOS・Android・macOS・Windows を同じ管理画面で扱い、ハードウェア情報の収集もあわせて提供します。1ユーザーが Mac と iPhone の両方を使っても、ID課金なので追加料金はかかりません。
Mac の管理方式の整理から、無料でご相談を承っています。 資料請求・デモ依頼はこちら →
参考資料
- Apple プラットフォーム展開: デバイス登録とデバイス管理
- Apple プラットフォーム展開: 展開でのセキュアトークン、ブートストラップトークン、ボリューム所有権の使用
- Apple プラットフォーム展開: モバイルデバイス管理で FileVault を管理する
- Apple プラットフォームセキュリティ: macOS での FileVault の管理
- Apple プラットフォーム展開: Apple デバイスのソフトウェアアップデートをインストールする/強制する
- Apple プラットフォーム展開: WWDC26 のデバイス管理のアップデート
- Apple プラットフォーム展開: Apple デバイスのアクティベーションロック
- macOS 27 Golden Gate の対応機種