MDMツールの仕組み MDM機能 MDMツールの仕組みについて MDMツールの仕組みについて理解するためMDM MoDeMを挙げて説明しよう。下記の図はMDMツールのアーキテクチャーを記している。 管理者コンソール： 管理者がデバイスを管理するコンソール。デバイスロック、パスワード強制化、工場初期化、ポリシー設定および配布などを実施する。 ウェブサーバー：管理者コンソールから受けたリクエストをデータサーバー、API通信サーバー、Profileマネージャサーバーに転送する。 DBサーバー：デバイス情報、ユーザ情報、ポリシー情報などを保存する。アプリデータ、ドキュメントデータを保存する。 API通信サーバー：サーバーから受け取った管理者信号にしたがってユーザの端末にポリシーの配布、デバイスロック、工場初期化など実際にデバイスを管理する機能を果たす。逆にユーザ端末から受け取った信号（位置情報、端末情報、アプリリスト等々）をDBサーバーに保存する。 プロフィ―ルサーバー：iOS端末にデバイスロック、工場初期化、パスコード初期化などのMDM機能を遂行する。 プロテクトサーバー：MDM Profile(MDM機能を遂行させるProfileを端末にインストール) をユーザが削除した時に備えて実際削除されたらプロテクトサーバーより工場初期化を遂行する安全装置 PUSHサーバー：AndroidのGCM、iOSのAPNSのような方式でユーザの端末にプッシューメッセージを送信する。 そしてMDMツールを利用するには、まず端末をMDMサーバに登録(Enroll)する必要がある。端末を登録すると、ウェブの管理コンソールからデバイスロックや初期化などの制御が可能となる訳だ。 クラウド型(SaaS型)MDMとオンプレミス型MDM、どれを選ぶべきか。 MDMツールはほとんどがクラウド型で提供する場合が多い。この反対型サービスがオンプレミス型で、一般的には、導入企業が自社保有のデータセンターでソリューションサーバを設置して運営する形態をいう。 サーバを企業自身が運用することで管理面では安心できる。 しかし、MDMツールはクラウド型サービスを選ぶのが正しいと言える。大きな理由としては、Apple iOSやAndroid OSは年に1回のメジャーなアップデートからバグ改善などのマイナーアップデートが都度実施されている。 今までの経験からだと、PCとは違ってスマートデバイスはOSがアップデートされるとほぼ同じく自分の端末をアップデートする。 クラウド型MDMベンダーもこれには迅速に対応するが、オンプレミスサービスの場合、果たしてどこまで素早く対応できるだろうか。 コストの側面からみてもMDMツールをオンプレミス型で契約した場合、マイナーアップデートは無償で対応してくれるが、メジャーなアップデートとなると有償とすることが多い。 端末1台あたりで費用を算定すると結構な保守料金を毎年払う事になるが、一方 クラウド型のサービスはほとんどのアップデートに対して別途請求しない。 以上を踏まえると企業のMDMツール導入においてはオンプレミスよりクラウド型を選ぶ方が賢明であるといえる。 無料体験版を今すぐお試しください。 ５台まで1か月間無料でご利用いただけます。今お申込みされると明日から使えます。 ・Webで簡単お申込み ・トライアル後、正式サービスへの手続きが便利 (途中変更も可能) 申し込み MDM関する参考資料 MDM仕組み、主要機能に関する「モバイルデバイス管理MDM基礎講座(eBook, 16page)ダウンロード」 6月 25, 2014/作成者: MoDeM https://mdm.ascentnet.co.jp/mdm-modem/wp-content/uploads/logo-new4-300x138.png 0 0 MoDeM https://mdm.ascentnet.co.jp/mdm-modem/wp-content/uploads/logo-new4-300x138.png MoDeM2014-06-25 07:04:462021-02-19 11:10:45MDMツールの仕組み
iPad MDM２つ方法、Apple Configurator vs. MDM iOS MDM iPadを企業で業務活用するためにはMDMが必要である。 Appleは割と初期からiPadのエンタープライズでの活用を想定して端末管理のPayloadを提供し、メジャーアップグレードをする度に新たなPayloadが加われている。 下記の表は2014年６月現在のApple Profile Payloadを記している。 パスコード単純なパスコードを許可設定：同じ文字の繰り返し、あるいは単純上昇/下降形（123、CBAなど）の文字列が含まれるパスコードを許可するか否かを設定 英数字の含めるか：英字（「abcd」など）を入力しなければならないか、または数字だけでよいかを指定 パスコードの文字数を指定：パスコードの長さの最小値を設定 複合文字の最小数を設定：「&%$#」のような、英数字以外の複雑な文字の最小数を指定 パスコードの有効期限を設定：パスコードを変更せずに利用できる最大日数を指定 自動ロックまでの時間を設定：この上限時間デバイスがアイドル状態になると、デバイスをロック パスコードの履歴：過去パスコードをの重複を確認。最小値は1で、最大値は50 デバイスロックの最長猶予期間の設定：パスコードを再入力せずにデバイスのロックを解除できる時間を指定 失敗回数：設定回数を超えたデバイスを工場初期化 機能制限iClouフォトストリームオプションを制御 スクリーンショット保存禁止 AppStoreやiTunesを使用したアプリケーションのインストールやアップデートを禁止 カメラ使用禁止 アプリケーション内の課金を禁止 iTunesStoreパスワードの入力を強制 ゲームセンターのマルチプレイヤーゲームのプレイを禁止 ゲームセンターの友人追加禁止 iCloudのバックアップオプションを制御 iCloudの書類の同期オプションを制御 ローミング中の自動同期を許可 音声コマンドを使用しての電話ダイヤルを制御 強制的に暗号化バックアップ 信頼できないTLS証明書の受け入れを許可 ユーザが信頼できないTLS証明書を受け入れることを許可 Siriの制御 スクリーンロック中にSiriを許可 管理対象Appのクラウド同期機能を許可 新しいエンタープライスApp作成者の信頼を許可 コンテンツ制限YouTubeの使用を制御 iTunes Music Storeの使用を制御 Safariの制御 Cookieの受け入れ 監視モード (Supervised Mode)Airdropを許可：アプリでAirDropの使用を制御 iMessageを許可：iMessageを使用したメッセージの送受信を制御 iBooks Storeを許可：iBooks Storeが無効になり、ユーザが「iBooks」アプリからiBooks Storeにアクセスできなくなります。 Appの削除を許可：ユーザはアプリを削除できるようになります。App Storeや「iTunes」など、iOSに付属しているアプリをユーザが削除することはできません。 Game Centerの使用を許可：「Game Center」が無効になり、ホーム画面からアイコンが削除されます。 友達を探す設定の変更を許可：「友達を探す」アプリの設定を変更できなくなります。 Apple Configurator以外のホストとペアリングを許可：デバイスを任意のMacと同期することができます。 iTunesからApp のインストールを許可 アプリケーションの自動インストール制限 デバイス名の変更を許可 パスコードの変更を許可 Touch ID指紋の変更を許可 機能制限の変更を許可 Webサイト制限 (Supervised Mode)デバイスが表示できるWebサイトを選択します。アダルトコンテンツを自動的に除外してから、特定のサイトへのアクセスを許可または拒否できます。特定のWebサイトのみを表示できるようにデバイスを設定してから、それらのWebサイトのブックマークを作成することもできます。 カレンダー/連絡先CardDAVアカウントの設定 CalDAVアカウントの設定 端末設定VPNの設定(L2TP、PPTP、IPsec) Exchange の設定 Wi‒Fi設定 メール (IMAP、POP) Web Clip(Webページのリンク) 構成プロファイル配布iOS構成プロファイル(拡張⼦ : mobileconfig)を配布して VPN 構成情報、Wi‒Fi設定、APN設定、Exchangeアカウント設定、メール設定、WebClipなどの設定が可能 それでは、iPadでどのようにMDM機能を移植して端末を管理するのかだが、2つの方法がある。AppleのConfiguratorを利用するか、商用のMDMを利用することだ。 Apple Configurator ダウンロード Apple Configurator をダウンロードしてUSBでiPadをApple Configuratorに繋いだ後、プロファイルを追加するのだが、プロファイルはApple Profile Payloadにある項目を組み合わせたファイルになる。 プロファイルは、mobileconfigファイルの拡張子を有し、Apple Configuratorで作ったファイルは保存して別で使用することもできる。 無料体験版を今すぐお試しください。 ５台まで1か月間無料でご利用いただけます。今お申込みされると明日から使えます。 ・Webで簡単お申込み ・トライアル後、正式サービスへの手続きが便利 (途中変更も可能) 申し込み 無料のApple Configuratorを使えばいいのに、なぜ有料のMDMを利用する必要があるだろうか。 企業でiPadを導入するとき、Apple Configuratorがあれば十分ではないのか？という疑問を持つ人もいると思う。例えば、貴方は10名の生徒が通うある塾の社長で、生徒たちにiPadを用いたマルチメディア授業を受けさせようしていると仮定しよう。 10台のiPadを導入し、Apple Configuratorに繋げればMDM機能を設定することができる。ところが、この方法は10台の端末をあなた自身で直接管理し、生徒たちには授業前に配って退室のときに回収する。 また、生徒のなかには授業とは関係のないアプリをインストールしたり、データを残したりしたときには一挙に消去し、それからアップデートが必要なときは10台を同時にアップデートにかけることもできる。こういう場面ではMDMを利用しなくても済むだろう。 一方、あなたがある企業の営業部長で50名の部下たちがいるとしょう。部下全員が営業でiPadを活用しているならば上記のような管理方法では限界がある。 あなた自身で1台ずつ全員分を回収して、不要なアプリやデータの消去、またはインストールなど直接管理することができるのであれば論外だ。 しかし、現実的に毎日携帯する50台のipadは紛失や盗難の恐れは常にある。況してはどのようなアプリがインストールされ、会社の重要データを暗号化せずに保存しているのか、アップデートは最新を維持しているのか等々。 さらに、顧客先で使う営業ツールを遠隔で配り、問題発生の緊急時には情報流出を阻止するための措置がなければお手上げ状態になるのだ。こういうときこそ商用のMDMサービスを利用するべきだ。 下記の表は、商用MDMサービスとApple Configuratorを比較したものである。 iPad MDM : Apple Configurator vs. MDM MDMApple ConfiguratorApple Configurator Supervised インストールURL、メール、CSVなどUSBUSB アップデート方式OTAプッシューUSBUSB Payload配布いつでも可能、リモート配布USBUSB OSアップデートリモートアップデート不可USBUSB ロックスクリーン設定不可可能可能 ウォールペーパー設定不可可能可能 Appリモートインストール可能不可不可 VPPアプリの配布可能(MDM-MAM統合型MDMの場合可能)可能可能 ドキュメント配布可能(MDM-MCM統合型MDMの場合可能)USBUSB 端末インストールされているアプリの確認可能不可不可 リモートロック/ワイプ可能不可不可 Webサイト制限可能不可可能 対象企業小規模の塾など小規模の塾など 無料体験版を今すぐお試しください。 ５台まで1か月間無料でご利用いただけます。今お申込みされると明日から使えます。 ・Webで簡単お申込み ・トライアル後、正式サービスへの手続きが便利 (途中変更も可能) 申し込み iPad MDM参考資料： 最後に効果的なタブレット導入とMDM eBook (PDF 10ページ)をご参照ください。 効果的なタブレットの導入とMDMダウンロードはこちら 関連リンク： APPLE IOS MDM iOS監視モード(Supervised Mode)とは 6月 16, 2014/作成者: MoDeM https://mdm.ascentnet.co.jp/mdm-modem/wp-content/uploads/logo-new4-300x138.png 0 0 MoDeM https://mdm.ascentnet.co.jp/mdm-modem/wp-content/uploads/logo-new4-300x138.png MoDeM2014-06-16 17:20:412021-02-19 11:11:38iPad MDM２つ方法、Apple Configurator vs. MDM
業務用Android端末の管理 Android MDM AndroidがiPhoneやiPadに比べ種類豊富で大きさも多様なので選択肢が幅広いです。業務でAndroid端末を活用するなら、確実かつ安心できる端末管理が必要です。個人レベルで予防できる管理や企業の管理責任者が行えるAndroid端末管理について述べます。 Android端末の危険要因 偽造アプリ Androidアプリはapkファイルです。そしてこのapkファイルを抜き出すことは難しくありません。 例えば、ある銀行アプリがあるとしましょう。悪意をもった人なら、この銀行アプリからapkファイルを抜き出した後に暗号化されたmanifestファイル（権限設定情報ファイル）を復号すれば権限が変えられます。権限が変えられた偽造された銀行アプリをストアに公開、インストールした人はそのときからユーザーのパスワード等個人情報を盗み取られてしまいます。 GooglePlayでアプリを登録する際、ストア側の審査がないため偽造されたものかどうかを判別しません。つまり、アプリ名やスクリーンショット、説明情報をうまく飾りつければ簡単にユーザーを騙す事ができるわけです。 さらに読む 6月 10, 2014/作成者: MoDeM https://mdm.ascentnet.co.jp/mdm-modem/wp-content/uploads/logo-new4-300x138.png 0 0 MoDeM https://mdm.ascentnet.co.jp/mdm-modem/wp-content/uploads/logo-new4-300x138.png MoDeM2014-06-10 19:51:302026-05-23 15:35:21業務用Android端末の管理
MDMツールの仕組み
MDM機能MDMツールの仕組みについて
MDMツールの仕組みについて理解するためMDM MoDeMを挙げて説明しよう。下記の図はMDMツールのアーキテクチャーを記している。
管理者コンソール： 管理者がデバイスを管理するコンソール。デバイスロック、パスワード強制化、工場初期化、ポリシー設定および配布などを実施する。
ウェブサーバー：管理者コンソールから受けたリクエストをデータサーバー、API通信サーバー、Profileマネージャサーバーに転送する。
DBサーバー：デバイス情報、ユーザ情報、ポリシー情報などを保存する。アプリデータ、ドキュメントデータを保存する。
API通信サーバー：サーバーから受け取った管理者信号にしたがってユーザの端末にポリシーの配布、デバイスロック、工場初期化など実際にデバイスを管理する機能を果たす。逆にユーザ端末から受け取った信号（位置情報、端末情報、アプリリスト等々）をDBサーバーに保存する。
プロフィ―ルサーバー：iOS端末にデバイスロック、工場初期化、パスコード初期化などのMDM機能を遂行する。
プロテクトサーバー：MDM Profile(MDM機能を遂行させるProfileを端末にインストール) をユーザが削除した時に備えて実際削除されたらプロテクトサーバーより工場初期化を遂行する安全装置
PUSHサーバー：AndroidのGCM、iOSのAPNSのような方式でユーザの端末にプッシューメッセージを送信する。
そしてMDMツールを利用するには、まず端末をMDMサーバに登録(Enroll)する必要がある。端末を登録すると、ウェブの管理コンソールからデバイスロックや初期化などの制御が可能となる訳だ。
クラウド型(SaaS型)MDMとオンプレミス型MDM、どれを選ぶべきか。
MDMツールはほとんどがクラウド型で提供する場合が多い。この反対型サービスがオンプレミス型で、一般的には、導入企業が自社保有のデータセンターでソリューションサーバを設置して運営する形態をいう。
サーバを企業自身が運用することで管理面では安心できる。
しかし、MDMツールはクラウド型サービスを選ぶのが正しいと言える。大きな理由としては、Apple iOSやAndroid OSは年に1回のメジャーなアップデートからバグ改善などのマイナーアップデートが都度実施されている。
今までの経験からだと、PCとは違ってスマートデバイスはOSがアップデートされるとほぼ同じく自分の端末をアップデートする。
クラウド型MDMベンダーもこれには迅速に対応するが、オンプレミスサービスの場合、果たしてどこまで素早く対応できるだろうか。
コストの側面からみてもMDMツールをオンプレミス型で契約した場合、マイナーアップデートは無償で対応してくれるが、メジャーなアップデートとなると有償とすることが多い。
端末1台あたりで費用を算定すると結構な保守料金を毎年払う事になるが、一方 クラウド型のサービスはほとんどのアップデートに対して別途請求しない。
以上を踏まえると企業のMDMツール導入においてはオンプレミスよりクラウド型を選ぶ方が賢明であるといえる。
無料体験版を今すぐお試しください。
５台まで1か月間無料でご利用いただけます。今お申込みされると明日から使えます。
・Webで簡単お申込み
・トライアル後、正式サービスへの手続きが便利 (途中変更も可能)
MDM関する参考資料
MDM仕組み、主要機能に関する「モバイルデバイス管理MDM基礎講座(eBook, 16page)ダウンロード」
iPad MDM２つ方法、Apple Configurator vs. MDM
iOS MDMiPadを企業で業務活用するためにはMDMが必要である。
Appleは割と初期からiPadのエンタープライズでの活用を想定して端末管理のPayloadを提供し、メジャーアップグレードをする度に新たなPayloadが加われている。
下記の表は2014年６月現在のApple Profile Payloadを記している。
英数字の含めるか：英字（「abcd」など）を入力しなければならないか、または数字だけでよいかを指定
パスコードの文字数を指定：パスコードの長さの最小値を設定
複合文字の最小数を設定：「&%$#」のような、英数字以外の複雑な文字の最小数を指定
パスコードの有効期限を設定：パスコードを変更せずに利用できる最大日数を指定
自動ロックまでの時間を設定：この上限時間デバイスがアイドル状態になると、デバイスをロック
パスコードの履歴：過去パスコードをの重複を確認。最小値は1で、最大値は50
デバイスロックの最長猶予期間の設定：パスコードを再入力せずにデバイスのロックを解除できる時間を指定
失敗回数：設定回数を超えたデバイスを工場初期化
スクリーンショット保存禁止
AppStoreやiTunesを使用したアプリケーションのインストールやアップデートを禁止
カメラ使用禁止
アプリケーション内の課金を禁止
iTunesStoreパスワードの入力を強制
ゲームセンターのマルチプレイヤーゲームのプレイを禁止
ゲームセンターの友人追加禁止
iCloudのバックアップオプションを制御
iCloudの書類の同期オプションを制御
ローミング中の自動同期を許可
音声コマンドを使用しての電話ダイヤルを制御
強制的に暗号化バックアップ
信頼できないTLS証明書の受け入れを許可
ユーザが信頼できないTLS証明書を受け入れることを許可
Siriの制御
スクリーンロック中にSiriを許可
管理対象Appのクラウド同期機能を許可
新しいエンタープライスApp作成者の信頼を許可
iTunes Music Storeの使用を制御
Safariの制御
Cookieの受け入れ
(Supervised Mode)
iMessageを許可：iMessageを使用したメッセージの送受信を制御
iBooks Storeを許可：iBooks Storeが無効になり、ユーザが「iBooks」アプリからiBooks Storeにアクセスできなくなります。
Appの削除を許可：ユーザはアプリを削除できるようになります。App Storeや「iTunes」など、iOSに付属しているアプリをユーザが削除することはできません。
Game Centerの使用を許可：「Game Center」が無効になり、ホーム画面からアイコンが削除されます。
友達を探す設定の変更を許可：「友達を探す」アプリの設定を変更できなくなります。
Apple Configurator以外のホストとペアリングを許可：デバイスを任意のMacと同期することができます。
iTunesからApp のインストールを許可
アプリケーションの自動インストール制限
デバイス名の変更を許可
パスコードの変更を許可
Touch ID指紋の変更を許可
機能制限の変更を許可
(Supervised Mode)
CalDAVアカウントの設定
Exchange の設定
Wi‒Fi設定
メール (IMAP、POP)
Web Clip(Webページのリンク)
それでは、iPadでどのようにMDM機能を移植して端末を管理するのかだが、2つの方法がある。AppleのConfiguratorを利用するか、商用のMDMを利用することだ。
Apple Configurator ダウンロード
Apple Configurator をダウンロードしてUSBでiPadをApple Configuratorに繋いだ後、プロファイルを追加するのだが、プロファイルはApple Profile Payloadにある項目を組み合わせたファイルになる。
プロファイルは、mobileconfigファイルの拡張子を有し、Apple Configuratorで作ったファイルは保存して別で使用することもできる。
無料体験版を今すぐお試しください。
５台まで1か月間無料でご利用いただけます。今お申込みされると明日から使えます。
・Webで簡単お申込み
・トライアル後、正式サービスへの手続きが便利 (途中変更も可能)
無料のApple Configuratorを使えばいいのに、なぜ有料のMDMを利用する必要があるだろうか。
企業でiPadを導入するとき、Apple Configuratorがあれば十分ではないのか？という疑問を持つ人もいると思う。例えば、貴方は10名の生徒が通うある塾の社長で、生徒たちにiPadを用いたマルチメディア授業を受けさせようしていると仮定しよう。
10台のiPadを導入し、Apple Configuratorに繋げればMDM機能を設定することができる。ところが、この方法は10台の端末をあなた自身で直接管理し、生徒たちには授業前に配って退室のときに回収する。
また、生徒のなかには授業とは関係のないアプリをインストールしたり、データを残したりしたときには一挙に消去し、それからアップデートが必要なときは10台を同時にアップデートにかけることもできる。こういう場面ではMDMを利用しなくても済むだろう。
一方、あなたがある企業の営業部長で50名の部下たちがいるとしょう。部下全員が営業でiPadを活用しているならば上記のような管理方法では限界がある。
あなた自身で1台ずつ全員分を回収して、不要なアプリやデータの消去、またはインストールなど直接管理することができるのであれば論外だ。
しかし、現実的に毎日携帯する50台のipadは紛失や盗難の恐れは常にある。況してはどのようなアプリがインストールされ、会社の重要データを暗号化せずに保存しているのか、アップデートは最新を維持しているのか等々。
さらに、顧客先で使う営業ツールを遠隔で配り、問題発生の緊急時には情報流出を阻止するための措置がなければお手上げ状態になるのだ。こういうときこそ商用のMDMサービスを利用するべきだ。
下記の表は、商用MDMサービスとApple Configuratorを比較したものである。
iPad MDM : Apple Configurator vs. MDM
無料体験版を今すぐお試しください。
５台まで1か月間無料でご利用いただけます。今お申込みされると明日から使えます。
・Webで簡単お申込み
・トライアル後、正式サービスへの手続きが便利 (途中変更も可能)
iPad MDM参考資料：
最後に効果的なタブレット導入とMDM eBook (PDF 10ページ)をご参照ください。
効果的なタブレットの導入とMDMダウンロードはこちら
関連リンク：
業務用Android端末の管理
Android MDMAndroidがiPhoneやiPadに比べ種類豊富で大きさも多様なので選択肢が幅広いです。業務でAndroid端末を活用するなら、確実かつ安心できる端末管理が必要です。個人レベルで予防できる管理や企業の管理責任者が行えるAndroid端末管理について述べます。
Android端末の危険要因
偽造アプリ
Androidアプリはapkファイルです。そしてこのapkファイルを抜き出すことは難しくありません。
例えば、ある銀行アプリがあるとしましょう。悪意をもった人なら、この銀行アプリからapkファイルを抜き出した後に暗号化されたmanifestファイル（権限設定情報ファイル）を復号すれば権限が変えられます。権限が変えられた偽造された銀行アプリをストアに公開、インストールした人はそのときからユーザーのパスワード等個人情報を盗み取られてしまいます。
GooglePlayでアプリを登録する際、ストア側の審査がないため偽造されたものかどうかを判別しません。つまり、アプリ名やスクリーンショット、説明情報をうまく飾りつければ簡単にユーザーを騙す事ができるわけです。
さらに読む