2020.1.27

MDMとは何か 〜今さら聞けないMDMの基礎〜

iOS4が登場した2009年、iOSは MDM(Mobile Device Management) による端末集中管理に対応しました。あれから10年。MDMの導入は今や常識で、MDMなきiOS端末の業務活用はありえません。

もしお客様のiOS端末導入や業務用アプリ開発を支援する立場なら、MDMを導入済みかどうかの確認、もし未導入であるなら導入の提案、できれば導入と運用の支援まで行いたいものです。

本稿ではMDMの基礎を改めて振り返っておきたいと思います。


(大量のiOS端末を手動設定する様子。MDMを正しくフル活用すればこのような手間はほぼ不要となる)

 

MDMでできること

MDMとは、Mobile Device Management (モバイル端末管理) という言葉から想像できる通り、多数のモバイル端末を管理するための仕組み(プロトコル)、あるいはサービスのことを指します。

iOS端末に限らずAppleTVや、他にも Android 端末、Windows端末、macOS端末も対象になります。が、多くの場合、iOS/Android端末を管理する為に導入します。

MDMができることは以下の4つとされています。MDMサービスによって言い方や分類は微妙に異なりますが、集約すると以下の4つと考えていいでしょう。

機能 詳細
アプリ(コンテンツ)配布
  • AppStoreアプリの配布
  • CustomAppアプリの配布
  • InHouseアプリの配布
  • ブックの配布
設定配信
  • ProfileによるOS設定の配布
  • Managed App Configurationによるアプリ設定の配布
遠隔制御
  • ロック
  • パスコード削除
  • 管理者ロック(iOS9.0以上)
  • 再起動(監視対象のみ、iOS10.3以上)
  • リモートワイプ
情報収集
  • OSやシリアル番号、インストールされているアプリ等

MDMは、iOS等のモバイル端末導入時の懸念をほぼ全て解消します。もし以下のような心配が1つでもあるのなら、台数に関係なく1台だけでもMDMを導入するのがオススメです。

  • 万が一社員が端末をなくした時に情報漏えいしないか?
  • 全端末をいちいち一個ずつ設定しないといけないのか?
  • 社員が端末で何をしているか分からないのではないか?

これらが気にならない責任者や情報管理部門はいないでしょう。従って、MDMは法人では今や必須なのです。

 

MDMサービスはどこを選ぶべきか

MDMは通常、サードベンダーが提供するMDMサービスを契約・初期設定することで導入します。代表的なMDMサービスを以下にあげてみました。(以下、便宜上MDMサービスのことをMDMとよびます)

名称 ベンダー
BizMobile BizMobile
mobi connect インヴェンティット
CLOMO MDM アイキューブドシステム
Jamf Jamf
Meraki Cisco
AirWatch VMWare
Intune Microsoft

これらはほんの一部で、実は国内だけでも何十というMDMサービスがあります。どのベンダーも揃いも揃って自社のMDMがNo.1であると喧伝している面白い業界だったりします。

さて、どこがNo.1かはともかく。

MDMの導入にあたっては、直接ベンダーと契約するか、各メーカが定めている販売パートナーと契約を結びます。初期設定や運用は自分でやる必要があり、設計支援や運用支援までやってくれるところは稀です。(弊社は BizMobile の販売パートナーをさせて頂いており、設定・運用の代行や業務アプリの選定、開発に至るまでMDMの周辺全てをご支援しています)

価格は、1台あたり月額300円、初期費用0円が業界標準です。それ以上の価格の場合、前節で紹介したMDMの主要機能一覧を参考に価格妥当性を見たほうが良いでしょう。よほどの理由がない限り、

  • 初期費用がかかるMDM
  • 1台あたりの月額が300円以上するMDM

はお勧めしません。

誤解を恐れずに言えば、モバイル端末を管理する目的のためならMDMはどこを入れても一緒です。というのも、MDMはMDMプロトコルに準拠したプログラムに過ぎず、実現できることは誰が作ってもほぼ全て同じだからです。

差別化が非常に難しく、特別な事情がない限り「このMDMでないとできない」ということはほぼありません。「FAXをしたい」という機能要件においては、どのFAX機を買っても変わらないのと一緒ですね。

MDMを使って何をしたいのか?もしその「何」が前節の機能一覧にあるのなら、どのMDMを使っても一緒です。無い場合は、そもそもMDMでは解決できない要件の可能性があります。

一度導入すると、ほぼ100%やめれない他のものに変えにくい性質のものなので、何がしたいのかを明確にし、サポートの充実度や価格面も勘案し慎重に吟味することをお勧めします。

 

MDMの技術的な仕組み

MDMがどのように動作するか、技術的な概要もおさえておきましょう。(話を簡単にする為に、ここではiOSに限ります)

MDMがiOSの世界に登場したのは2009年。iOS4が出た年にMDMをぶつけてきたのには、実は技術的な理由があります。MDMの仕組みを図示すると分かり易いでしょう。


(MDMはPUSH通知があってはじめて成立する)

MDMサービスは通常クラウド上で構築されておりブラウザを操作して使いますが、通信の流れとしては以下の通りとなっています。(上図の番号を参照)

  1. MDMサービスはその利用者の操作や設定に応じてAPNsにMDM用PUSHリクエストを投げる
  2. APNs は然るべきiOS端末にPUSHを飛ばす
  3. iOS端末はあらかじめ紐付けられたMDMと通信する

MDMは常にこのトライアングルで動作しています。そう、MDMはPUSH通知なくして機能しないのですね。だからPUSH通知が使えるようになったiOS4と同時にMDM対応となりました。(Appleは当時、一般ユーザの要望に応えるためというよりも、エンタープライズ対応強化のためにPUSH対応したと弊社では考えています)

 

最後にMDM用のPUSH証明書についてもおさえておきましょう。

AppStore向けにアプリ開発する際、原則PUSH機能を使うアプリごとに PUSH 証明書の取得や設定が必要となりますね。デベロッパーの方はよくご存知だと思います。


(アプリ毎にAPNsへPUSHを投げるための証明書を作成する)

これと同様、MDMを使うにはMDMのためのPUSH証明書の取得や設定が必要となります。ただ、MDM用のPUSHはアプリ用のPUSHとは厳密には異なりますので、CSR生成や証明書取得の手順も大きく異なっています。


(Appleが特別に用意する証明書ポータルに、MDMサービス提供会社から入手するCSRを登録して申請する)

MDM用のPUSH証明書に必要となるCSRは法人しか入手できないため、必然的にMDMを使えるのは法人だけとなります。


(BizMobileの初期設定画面で、MDM用の特別なCSRを入手する様子。各MDMが同様の機能を備える)

 

ということで、MDMとは何か基本的なことと仕組みをご紹介しました。

上述の通り、弊社は主にBizMobileを推奨しています。黎明期からある国産MDMであり(あのMDMの内部は実はBizMobile…というケースもある)、運用のし易い作りでサポート体制もよく、価格もリーズナブルであるのがその理由です。

MDMの導入支援・運用支援や代行作業をご希望の方は弊社までお問い合わせ下さい。

2019.12.6

ADEPの契約ができないパターン集

ADEPによるInHouse配布は、審査が不要端末数は無制限配布手段も自由に選べます。

有事の際の緊急対応や端末管理の容易性などを考慮すると、ADEPで作れるInHouseアプリはやはり魅力的です。しかし、InHouse配布アプリにはただ一つ制限があるのでした。(参考 : ADEP (Apple Developer Enterprise Program) とは何か)

ADEP契約主体の組織外の人が使う端末にInHouseアプリをインストールさせてはいけない

この制限は絶対に守らなければならず、例外はありません。ただ制限にひっかかるかどうかの相談をたびたび頂きますので、本稿ではADEP契約不可となるパターンを紹介します。

販売代理店に使って貰うアプリの配信

例えば、保険業界や自動車業界など販売店網を構築している商品に関連する業務アプリが該当します。商品開発元がADEP契約して、商品の解説や計算シミュレーション等をするアプリを作り、それを販売店にInHouse配布して使ってもらう…のはNGです。

販売代理店は、「組織外」だからですね。このパターンは結構多いです。

商業施設や商業イベントの出店者に使ってもらうアプリの配信

施設側や主催側が出店者に使ってもらうアプリ(例えば出店者向けの情報を発信するようなアプリ)を作り、販売店側が保有する端末にインストールしてもらうためにInHouse配布する…のもNGです。

出店側は多くの場合「組織外」だからですね。どうしてもInHouse配布したいなら、店舗側の全法人にADEP契約をして貰う必要があります。

一般消費者向けのアプリ配信

一般消費者にAppStoreを迂回してインストールして貰うようなInHouse配布もNGです。

提供側から見るとサービス利用側は「組織外」だからですね。一般消費者に使って貰うアプリは必ずAppStoreを通して公開する必要があります。

グループ内会社が他のグループ会社にアプリを配信

情報システム子会社が親会社の従業員iOS端末向けにアプリをInHouse配布する…のもNGです。

同じグループとはいえ別法人であり「組織外」だからです。もし親会社の従業員が使うアプリを作るのなら、ADEPは親会社が取得すべきです。(ただ黎明期にiDEPを取得して本パターンで実運用されているケースもある)

 

以上、4つほど例を幾つかあげましたが、万が一検討中のアプリが該当する場合は、ADEPの契約やInHouse配布は無理と考えたほうが良いでしょう。

ADEP契約が仮にできたとしても、ADEPの契約はAppleの意向で一方的にBAN(契約破棄)できることを忘れてはなりません。BANされると業務用として配布して日常的に使っているアプリがある日突然起動しなくなります。そんな恐怖は誰も味わいたくないでしょう。Appleにバレたら最後ですし、過去にはInHouse配布の不正利用が告発され削除となった例もあります。

ある規約違反iOSアプリが削除されるまでの4日間

ADEPやInHouseが思い浮かんだらまず、配布するアプリをインストールする端末は誰の端末かを確認することをお勧めします。

実は本稿で紹介したパターンは、ADEP契約をしなくても工夫すればほぼ要件を満たせるものばかりです。導入や運用の仕方に少し手を加えられないか是非考えてみて下さい。ちなみに、昨今(2019年12月現在)では、AppleもADEPを極力契約させないようにアドバイスする傾向にあるようで、ますますADEPの契約締結は難しくなっています。

2019.11.28

ADEP (Apple Developer Enterprise Program) とは何か

iOSアプリ開発では、Apple Developer Program という Apple との契約が必要になります。ただ、ひとことに「契約」と言っても Apple との契約には幾つか種類があり、それがエンタープライズでのiOSアプリ開発を少々ややこしいものにしています。

本稿では Developer Program の種類と、ADEPをどのような時に選ぶべきかをおさらいしておきたいと思います。

Apple Developer Enterprise Program
 

Develorer Program の種類

2019年現在、Developer Program は以下の通り3種類あります。

種類 ADP ADEP iDUP
AppStore 個人/法人 法人 教育機関
年間料金 ¥11,800 ¥37,800 無料



AppStore
InHouse
AdHoc
Development

ADP : Apple Developer Program

AppStoreでのアプリ公開を前提とした Developer Program で個人と法人が対象です。アプリ開発の書籍やスクール教材でよく見かける契約手続き紹介に出てくるのはこちらです。

ADEP : Apple Developer Enterprise Program

法人のみが契約可能な Developer Program です。AppStore で公開しない社内専用アプリを開発する場合、こちらを選択します。(詳細は後述)

iDUP : iOS Developer Universal Program

学生にアプリ開発教育をする教育機関のみが契約できる Developer Program です。教育用途のため配布方法が限られているのが特徴です。本サイトでは扱いません。

 

Developer Program と配布の関係

Developer Program の本質的な違いは、配布方法の差です。配布とはAppleのドキュメントで Distribution と表記されます。開発したiOSアプリをどのようにiOSデバイスにインストールする(させる)のかの形態を表しています。

冒頭の表の通り、配布方法には AppStore / InHouse / AdHoc / Development の4種類があり、ADEPだけがInHouseという特別な配布方法を使うことができます。

では、InHouse 配布とは一体なんでしょうか。何ができて、何ができないのでしょうか。表にすると以下のようになります。

AppStore InHouse AdHoc Development
用途 リリース リリース 開発/評価 開発/評価
インストール可能なiOS端末数 無制限 無制限 100台(端末種別毎) 100台(端末種別毎)
デベロッパー組織外端末への配布 不可 不可
アプリ配布手段の用意 Apple
(AppStore/
CustomApp/
TestFlight)
自由
(USB/OTA)
自由
(USB/OTA)
自由
(USB/OTA)
アプリ審査 あり なし なし なし

InHouse が特権的な配布方法であることが分かるでしょうか。審査は不要、インストールする端末数は無制限、配布手段も自由です。

審査不要ですからバグ修正版を全従業員に即日リリースができます。イントラネットに自社専用アプリストアを作ることもできます。ABM/DEP/MDMを連携して箱から出したばかりのiPhoneに無設定にいきなりアプリを強制インストールする運用も可能になります。

このように、InHouseでは企業がiOS端末を活用し易いよう、あらゆる制限が排除されています。自由裁量が最大限に確保されている特別な配布方法であり、この特別な InHouse 配布を使えるのが ADEP (Apple Developer Enterprise Program ) のみとなります。

自由が欲しいなら InHouse。 InHouse なら ADEP というわけです。

 

InHouse唯一最大の制限

企業用アプリにとても都合の良いInHouseですが、守るべきたった一つのルールがあります。それは、InHouse 配布するアプリは、ADEP契約主体の組織外の人が使う端末にインストールさせてはいけないということ。従業員や業務委託者だけがインストールできるように、厳重な権限管理のもとアプリ配布をおこなう必要があります。

例えば、ADEPを契約して開発したアプリを自社の公開サーバから不特定多数のユーザにInHouse配布することは厳禁です。(物理的にはできてしまいます)

実際によくあるご相談ですが、

  • AppStore上でオープンにしたくないが、一般ユーザのiOS端末へ自由にインストールさせたい
  • 審査されたくはないが、自社以外の会社の端末にも制限なくインストールさせたい

といった要望を叶えることはできません。なぜならいずれも組織外端末へのインストールだからです。この制約の抜け道は皆無です。例外はありません。

ルール違反をした場合、ADEPの契約を破棄される場合があり、最悪ビジネスや業務が停止する可能性もあります。そのようなリスクを背負うのは得策ではありませんので、InHouse配布するアプリを開発する場合はADEPについて見識あるベンダーに相談した上で進めるべきでしょう。

別のエントリ「ADEPの契約ができないパターン集」に、ADEPのNGパターンを紹介していますので併せてご覧ください。

 

以上、Developer Program と配布の関係についてのまとめでした。

当社は、ADE や InHouse のほか、ABMやMDMやDEPを含むエンタープライズiOS全般について多数の知見と実績を保有しています。開発・導入・運用の御支援をさせて頂いておりますので、ぜひ当社コンサルティングサービスを御利用下さい。2010年からエンタープライズiOSを手掛けている経験と知見に基づき、コストパフォーマンスの高いアドバイスをさせて頂きます。

2018.11.23

ADEPとiDEP 〜 Apple Developer Program の歴史 〜

今でも時々、iDEP(iOS Developer Enterprise Program)と言う方がおられるのですが、正しくはADEP(Apple Developer Enterprise Program)です。

企業内で使用する独自のiOSアプリを開発・配布したい時に必要なもの」

という意味では同じです。が、意味が通じるならどちらでも良いや…ではなく、iDEPがADEPに変わった経緯はおさえておきたいところです。

本エントリでは Developer Program の歴史を振り返ってみたいと思います。

Developer Program の歴史

2008年、iPhoneが日本に上陸した当初に用意されていた Developer Program は以下の3種類でした。

Developer Program の種類 対象
iOS Developer Program AppStore向けのアプリ開発に
iOS Developer Enterprise Program (iDEP) in-houseアプリの開発に
iOS Developer University Program 大学での教育用途に

余談ですが、Appleが最初から企業向けを意識していたことは注目に値します。

iOSの企業活用が加速し、あわせてiDEPを契約する企業が増え始めたのは2010年頃でした。

ほぼ同じ頃、2011年1月の Mac App Store のオープンへの備えや、ブラウザのSafariが拡張機能の仕組みを搭載することを受けてプラットフォームごとに新たな契約が登場し、Developer Program は複雑になっていきます。

Developer Program の種類 対象
iOS Developer Program iOS向けアプリの開発と配布
  iOS Developer Program AppStore向けiOSアプリ
  iOS Developer Enterprise Program (iDEP) 社内向けiOSアプリ
  iOS Developer University Program 教育用途iOSアプリ
Mac Developer Program Mac向けアプリの開発と配布
Safari Developer Program Safari拡張の開発と配布

iOSとMacとSafariで3種類、更にiOSの中で3種類。Appleとの開発契約の種類が、プラットフォームと用途により5種類となったのです。

そして2015年。

AppleWatchの watchOS 向けにもアプリ開発が可能になったほか、AppleTV の tvOS 向けにもアプリを開発・配布できるようにもなります。もちろん Apple は、Apple Watch も AppleTV でも法人向けアプリ需要を意識していました。(プロファイルやMDMといったエンタープライズ関連機能に、Apple Watch や Apple TV の設定項目が当初からあった)

では、一体何種類の契約になるのか…

 

Developer Program の統合

そこでAppleは、Developer Program を統合させる道を選びました。

(統合されることを伝えるAppleからのメール)

厳密には watchOS や tvOS のアプリ提供が可能になる発表はこのメールより時間的に後ですが、予め手をうっていたという事だったのでしょう。将来プラットフォームが増える度に契約の種類が増えるのは現実的ではありませんから。

実際、developer向けの画面では各プラットフォームやデバイスが一覧されるようになりました。

プラットフォームごとに契約を選んだり別途締結する必要はなくなり、AppStore向けなのかIn-House向けなのか、はたまた学校で教育用に使うのかという「用途のみ」で Developer Program を選べば良いことになりました。

Developer Program の種類 対象
Apple Developer Program AppStore向けアプリ向け
Apple Developer Enterprise Program In-Houseアプリ向け
iOS Developer University Program 教育用途

非常に簡素な契約体系です。統合前、iOS向けとMac向けとでプラットフォームごとに年間契約費用が必要でしたので、統合には契約料削減に繋がるメリットもありました。

以上のような歴史で、iDEPは2015年からADEPと呼ばれるようになったのです。

 

iDEPという用語は余り使わない方が良いかも知れない

今はまだほぼほぼ意味が通じるので、正直iDEPでもADEPでも呼び方はどちらでも良いかも知れません。

ただApple的にはiDEPという用語はもう存在しないことになっています。

それを考えれば、お客様のInHouseアプリの開発に関わる開発会社様やコンサルティング会社様におかれては、現状に則した言い方をしたほうが better ではあるでしょう。いずれiDEPという言葉は通じなくなると思われますから。

 

2018.11.20

DUNSナンバーに関して留意しておきたいこと

DUNSナンバーの取得後に留意しておきたいことがあります。

 

所在地が変わった時は登録内容変更を申し出る

エンタープライズiOSにおいては、DUNSナンバーが必要になる局面が何度かあります。

社内専用アプリを開発する為にADEPを契約し、その後、キッティング作業の効率化の為にDEPやVPPの登録をする…といったケースが典型的な例でしょう。

(ADEPと、DEP/VPPは間を置いて登録することがままある)

ADEP契約後、DEP/VPPの登録をする前に会社の所在地を変更していたらどうなるでしょうか?エンタープライズiOSに必要なDUNSナンバーとはのページで紹介した通り、Appleは申請時のDUNSナンバーを頼りに企業が実在しているかどうかの存在確認を行います。

その際に重要なのが、

  • DUNSナンバーに紐づく企業の社名や住所
  • ADEP/DEP/VPPの登録申請時の社名や住所

の両者が一致しているかどうかです。これが一致していないとAppleは企業の真正性を確認することができず、ADEPやDEP/VPPの登録に想定以上に時間を要してしまう場合があります。

したがって業務でiOS活用をしている企業は、引っ越したら必ずDUNSナンバーに紐づく所在地情報を更新するようにして下さい。お客様を支援する開発会社・コンサル会社においては、お客様の引っ越し後のタイミングにDUNSナンバーの登録情報更新も促すようにして下さい。

東京商工リサーチのDUNSナンバーのページから、

画面上の自社DUNS情報修正のタブをクリックして、

取得済みのDUNSナンバーを入力して情報を変更して下さい。登録する情報は登記簿謄本(全部事項証明書)と同じ記述にしておくほうが無難でしょう。

以上の手続きを忘れずに行っていれば、エンタープライズiOSにおける各種登録で想定外の待ち時間が発生することを避けられます。忘れがちですので意識しておかれるのをお勧めします。