この記事について
- 対象読者：Intune で会社支給の iPhone / iPad を管理したい情シス・エンドポイント管理担当者
-
この記事でわかること
- ADE を始めるための事前準備（MDM 機関・APNs 証明書）の具体的な手順
- ABM と Intune を接続する登録プログラムトークンの発行方法
- 自動デバイス登録（ADE）用の登録プロファイルの作り方
- 実際に iPhone の電源を入れてから管理対象になるまでの動き
- 検証環境：Microsoft Intune 管理センター／Apple Business Manager（2026 年 9 月時点）
- 前提：デバイスは ABM 経由で調達した新品、または初期化済みの端末
📚 会社管理 iOS 端末シリーズ
- Part 1（本記事）：ABM と Intune を連携して iPhone を自動デバイス登録（ADE）する
- Part 2：Intune 会社ポータルを VPP（コンテンツトークン）で自動配布する
本記事は ADE で端末を自動登録するところまでを扱います。Intune ポータル サイトの自動配布は Part 2 で解説します。
自動デバイス登録（ADE：Automated Device Enrollment）を使うと、端末の電源を入れた最初のセットアップ時に自動で Intune に登録されます。手作業でのキッティングが不要になり、端末は 監視モード（Supervised） になるため、アプリのインストール制限や Wi-Fi の自動構成、不要な機能の無効化といった強い制御がかけられるようになります。
なぜ ADE を使うのか
会社支給の iPhone を配る場合、手元で1台ずつセットアップして会社ポータルからユーザーに登録してもらう方法もあります。ただしこの方法には課題があります。
- 台数が増えるとキッティング工数が線形に増える
- ユーザーが管理プロファイルを勝手に削除できてしまう
- 監視モードにならないため、制御できる範囲が限られる
ADE ならこれらをまとめて解決できます。端末を ABM に紐づけておけば、箱から出してそのままユーザーに渡せる状態を作れます。
全体の流れ
設定の順番を間違えると手戻りするので、先に全体像を押さえておきます。
| # | 作業場所 | 内容 |
|---|---|---|
| 1-1 | ABM | ABM アカウントの用意と購入情報の登録 |
| 1-2 | Intune | MDM 機関を Intune に設定 |
| 1-3 | Intune ⇔ Apple | APNs 証明書（Apple MDM プッシュ証明書）の取得 |
| 1-4 | Intune | ライセンスの確認 |
| 2 | Intune ⇔ ABM | 登録プログラムトークンの作成（公開キーとトークンの交換） |
| 3 | ABM | デバイスを MDM サーバーに割り当て |
| 4 | Intune | 登録プロファイルの作成 |
| 5 | Intune | デバイスへプロファイルを割り当て |
| 6 | Intune | 動的グループの作成 |
| 7 | iPhone | 初期設定 → 自動登録の確認 |
【手順 1】事前準備
初めて構築する場合はここで詰まる可能性があります。ひとつずつ実際の操作で見ていきます。
1-1. ABM アカウントの用意と購入情報の登録
ABM のアカウント自体がない場合は、business.apple.com から登録します。D-U-N-S ナンバー（企業識別番号）が必要で、Apple の審査があるため数日〜数週間かかることがあります。ADE を計画しているなら、まずここから着手してください。
アカウント取得後、端末を ABM に紐づける必要があります。方法は主に2つです。
| 方法 | 内容 |
|---|---|
| リセラー経由（推奨） | Apple または Apple 正規リセラー・通信キャリアから購入した端末を、購入時に ABM アカウントへ自動登録してもらう |
| Apple Configurator 経由 | 既に手元にある端末を、Mac の Apple Configurator を使って手動で ABM に追加する |
リセラー経由の場合、ABM の 「設定」→「登録情報」→「デバイス管理」 で、リセラーの顧客番号（購入情報）を登録しておく必要があります。これが登録されていないと、購入した端末が ABM に流れてきません。
既に購入済みの端末を Apple Configurator で後から ABM に追加した場合、ユーザーには 30 日間の「解除猶予期間」があり、その間はユーザー自身が管理を解除できてしまいます。リセラー経由で調達した端末にはこの猶予期間がありません。会社支給端末としてきっちり管理するなら、調達段階から ABM 連携を前提にするのが鉄則です。
1-2. MDM 権限（MDM Authority）を Intune に設定する
MDM 権限は「このテナントのデバイスをどのサービスで管理するか」を宣言する設定です。IT 管理者が MDM 権限を設定するまで、ユーザーは一切デバイスを登録できません。
まず現在の設定を確認する
- Microsoft Intune 管理センターにサインイン
- 「テナント管理」 → 「テナントの状態」
- 「テナントの詳細」 タブを開く
- 「MDM 権限」 の項目を確認
ここが Microsoft Intune になっていれば設定済みです。次の 1-3 に進んでください。
比較的新しく作成されたテナントでは、MDM 機関が最初から Intune に設定済みのことがほとんどです。
なお、MDM 機関を設定するには Intune ライセンスの割り当ても必要です。
1-3. Apple MDM プッシュ証明書（APNs 証明書）を取得する
APNs 証明書は iOS/iPadOS/macOS を Intune で管理するための必須要件です。Intune が Apple のプッシュ通知サービス経由で端末に指示を届けるために使われます。これがないと、ADE どころか通常の登録もできません。
Intune 側と Apple 側を行ったり来たりするので、手順を追って進めます。
① Intune で設定画面を開き、同意する
- Microsoft Intune 管理センターにサインイン
- 「デバイス」 に移動
- 「デバイスのオンボーディング」 → 「登録」 を選択
- 「Apple」 タブを選択
- 「Apple MDM プッシュ証明書」 を選択
- 「ユーザー情報とデバイス情報の両方を Apple に送信するためのアクセス許可を Microsoft に付与します。」 にチェック
② CSR（証明書署名要求）をダウンロードする
「CSR のダウンロード」 を選択し、要求ファイルをローカルに保存します。このファイルを Apple 側にアップロードして証明書を発行してもらいます。
③ Apple Push Certificates Portal で証明書を作成する
- 「MDM プッシュ証明書を作成する」 を選択して Apple Push Certificates Portal へ移動
- 会社の Apple ID でサインイン
- 「証明書の作成」 を選択
- 使用条件を読んで同意
- 「ファイルの選択」 で、②でダウンロードした CSR ファイルを選択
- 「アップロード」 を選択
- 確認ページで 「ダウンロード」 を選択し、証明書ファイル（
.pem）を保存
ここで使う Apple ID の選定を絶対に間違えないでください。
証明書は作成に使用した Apple ID と紐づきます。更新時も同じ Apple ID が必要になるため、担当者の個人 Apple ID で作ってしまうと、その担当者が異動・退職した瞬間に更新できなくなります。
公式でも、会社のメールアドレスを使い、配布リストのように複数人でメールボックスを監視できる状態にすることが推奨されています。個人の Apple ID の使用は避けてください。
④ Intune に Apple ID を入力する
Intune 管理センターに戻り、証明書の作成に使った Apple ID を入力します。これは証明書の更新が必要になった際に通知を受け取るために必要です。
⑤ 証明書をアップロードする
- フォルダーアイコンを選択
- ③でダウンロードした
.pemファイルを選択 - 「アップロード」 を選択
状態が「アクティブ」になれば完了です。
【重要】APNs 証明書は毎年の更新が必要
APNs 証明書の有効期限は 365 日です。iOS/iPadOS/macOS の管理を継続するには毎年更新しなければなりません。
- 有効期限が切れた場合、30 日間の猶予期間内であれば更新可能
- 更新は、作成時と同じ Apple アカウントで行う必要がある
- 更新手順は新規作成とほぼ同じ（CSR をダウンロード → Apple ポータルで該当証明書の「更新」→ 新しい CSR をアップロード → ダウンロードした証明書を Intune にアップロード）
- Apple ポータル側で更新する際は、証明書に一意のメモを入れておくと、複数証明書がある場合に識別しやすくなります
APNs 証明書を失効させると、すべての iOS/iPadOS 端末の管理が停止し、再登録が必要になります。 影響が極めて大きいため、有効期限の90日前・30日前にリマインダーを設定しておくことを推奨します。
💡 証明書がどれか分からなくなったときの調べ方
各証明書は一意の UID を持っています。証明書の詳細で、UID の GUID 部分を示すサブジェクト ID を探してください。
登録済みの iOS/iPadOS デバイス側からも確認できます。
「設定」→「一般」→「デバイス管理」→「管理プロファイル」→「詳細」→「管理プロファイル」 と進み、「トピック」の値に含まれる GUID を、Apple Push Certificates Portal 上の証明書と照合します。
1-4. ライセンスの確認
- ユーザーアフィニティありで登録する場合、各ユーザーに Intune ライセンスが割り当てられている必要があります
- ユーザーアフィニティなし（共有端末など）の場合はデバイス単位の管理となります
ここまでで事前準備は完了です。ようやく ABM との連携に進めます。
【手順 2】登録プログラムトークンを作成する
Intune で公開キーを発行 → ABM にアップロード → ABM でトークンを発行 → Intune に戻してアップロード、という往復が発生します。
この作業中、Intune 管理センターのブラウザータブを閉じないでください。
ABM での作業を終えたあと、同じタブに戻ってトークンをアップロードする必要があります。閉じてしまうと最初からやり直しになります。
2-1. Intune で公開キーをダウンロード
- Intune 管理センター → 「デバイス」
- 「デバイスのオンボーディング」 を展開 → 「登録」
- 「Apple」 → 「登録プログラムのトークン」 → 「作成」
- 「 ユーザー情報とデバイス情報の両方を Apple に送信するためのアクセス許可を Microsoft に付与します。」にチェック
-
「公開キーをダウンロードします」 をクリック（
.pemファイルが保存されます）
2-2. ABM に公開キーをアップロードしてトークンを取得
Intune のタブは開いたまま、別タブで ABM を開きます。
-
ABM で対象のデバイス管理サービス（ https://business.apple.com/main/devices/managementservices ） を選択
-
追加をクリック
-
「外部デバイス管理を接続する」→ 「続ける」をクリック
-
任意のサービス名を設定し、2-1 でダウンロードした公開キー（
.pem）をアップロード → 「次へ」 -
「サービストークンをダウンロード」 をクリック（
.p7mファイルが保存されます）
2-3. Intune にトークンをアップロード
開いたままにしておいた Intune のタブに戻ります。
- 「Apple ID」に、トークンの作成に使用した Apple ID を入力
- 「Apple トークン」に、2-2 でダウンロードした
.p7mファイルを指定 - 「次へ」
- 必要に応じてスコープタグを設定（他の管理者による変更を制限したい場合）
- 「レビュー + 作成」→ 「作成」
これで Intune と ABM の接続が完了します。
【手順 3】ABM でデバイスを MDM サーバーに割り当てる
ABM 側で、管理したい端末を作成した MDM サーバーに割り当てます。割り当てられていない端末は Intune に同期されてきません。
割り当て方法については以下の Apple 社の公開情報を参照ください。
https://support.apple.com/ja-jp/guide/business/axmf500c0851/1/web/1
割り当て後、Intune 側で同期をかけると、登録プログラムトークンの「デバイス」に台数が反映されます。
【手順 4】登録プロファイル（登録ポリシー）を作成する
端末が初期設定される際に適用される設定を定義します。
- 【手順 2】で作成したトークンを選択 → 「プロファイル」
- 「プロファイルの作成」 → 「iOS/iPadOS」
- 名前・説明を入力（この内容はユーザーには表示されません）→ 「次へ」
4-1. ユーザーアフィニティと認証方法
まず「端末をユーザーに紐づけるかどうか」を決めます。 ここで構成が分岐します。
パターンA：ユーザーアフィニティなし（まず動作確認したい場合に最適）
| 項目 | 設定値 |
|---|---|
| ユーザー アフィニティ | ユーザー アフィニティなしで登録する |
共有端末・店舗端末のように、特定ユーザーに紐づかない使い方をする場合の構成です。会社ポータルも Intune ユーザーライセンスも不要なので、「ADE の配線が正しいか」だけを切り分けて検証したいときにも向いています。
パターンB：ユーザーアフィニティあり（本番構成）
| 項目 | 設定値 | 補足 |
|---|---|---|
| ユーザー アフィニティ | ユーザー アフィニティに登録する | 個人に紐づく会社支給端末はこちら |
| 認証方法 | 先進認証を使用したセットアップ アシスタント / ポータル サイト / Apple セットアップ アシスタント（レガシ） | 下記参照 |
認証方法の選び方
| 認証方法 | 特徴 |
|---|---|
| 先進認証を使用したセットアップ アシスタント | セットアップアシスタント内で認証が完結する。会社ポータルアプリなしでユーザー紐づけまで完了できるため、まず試すならこれが手軽 |
| ポータル サイト | 会社ポータルアプリで認証する。アプリのインストールが別途必要（後述） |
| Apple セットアップ アシスタント（レガシ） | 従来方式 |
「認証方法：ポータル サイト」を選んだ場合の注意
会社ポータルアプリをどう配布するかを決める必要があり、「VPP によるポータル サイトのインストール」 というオプションが表示されます。
- VPP を使う：ユーザーが Apple ID を入力せずに会社ポータルをインストールできる（→ Part 2 で解説）
- 「VPP を使用しない」を選択：ユーザーが自分で App Store から会社ポータルを入れることになり、その際 Apple ID とパスワードの入力を求められます
本記事では VPP を扱わないため、ポータル サイト認証を使う場合は 「VPP を使用しない」 を選択して進めてください。
4-2. 管理のオプション
| 項目 | 設定値 | 補足 |
|---|---|---|
| ロックされた登録 | はい | ユーザーが管理プロファイルを削除できなくなる。会社支給端末では原則「はい」 |
| コンピューターと同期する | すべて許可 | 要件に応じて制限 |
4-3. デバイス名のテンプレート（任意）
既定では Apple がデバイスの種類（iPad など）で命名します。命名規則を統一したい場合はテンプレートを設定します。
contoso-{{DEVICETYPE}}-{{SERIAL}}
登録後のデバイス名イメージ：contoso-iPhone-XXXXXXXXXX
デバイス名のテンプレートは監視モードの端末でのみ適用されます。
4-4. 設定アシスタント
- 部門名：端末のアクティベート中に「構成について」をタップすると表示されます
- 部門電話：「ヘルプが必要ですか？」をタップした際に表示される問い合わせ先
- 各種セットアップ画面の表示／非表示：登録を最もスムーズにしたい場合は、すべて「非表示」 に設定するのが良いです
設定を確認して「作成」で保存します。
【手順 5】デバイスにプロファイルを割り当てる
プロファイルは作っただけでは適用されません。端末への割り当てが必須です。
- 「登録プログラム トークン」に戻り、一覧からトークンを選択
- 「デバイス」 を選択し、割り当てたいデバイスにチェック
- 「プロファイルの割り当て」 をクリック
- 作成した登録プロファイルを選択 → 「割り当て」
【手順 6】動的グループを作成する（運用のコツ）
ADE で登録された端末だけを対象にアプリやポリシーを配布したいので、専用の動的デバイスグループを作っておくと運用が楽になります。
- 「グループ」→「新しいグループ」
- グループ名を入力し、メンバーシップの種類で 「動的デバイス」 を選択
- 動的クエリに以下のルールを設定
(device.enrollmentProfileName -eq "作成した登録プロファイル名")
| 項目 | 値 |
|---|---|
| プロパティ | enrollmentProfileName |
| 演算子 | Equals |
| 値 | 手順4で作成したプロファイル名 |
これで、該当プロファイルで登録された端末が自動的にグループに入ります。以降のアプリ配布・構成プロファイル適用はこのグループを対象にすれば OK です。
【手順 7】iPhone を初期設定して動作を確認する
Intune 側の準備が終わったら、実機で確認します。新品または初期化済みの iPhone を用意してください。
検証前の最終チェックリスト
- 登録制限 →「デバイスの種類の制限」で、既定の「すべてのユーザー」が iOS/iPadOS をブロックしていないか
- 登録プログラムトークンの「デバイス」一覧に端末が表示されているか
- 対象デバイスのプロファイルが割り当て済みになっているか
- 検証端末が新品または初期化済みか
成功の判定ポイント
- 初期設定中に 「この iPhone を登録」＋会社名 の画面が表示された
- ロック画面に 「この iPhone はリモートで管理されています」 と表示される
- Intune の「iOS/iPadOS デバイス」に端末が表示される
ここまで確認できれば ADE の展開は完了です。
確認ポイント・注意点
① 【手順 5】 の「プロファイルの割り当て」を忘れる
プロファイルを作っただけでは何も起きません。デバイスへの割り当てまでがワンセットです。
② 登録制限で iOS/iPadOS がブロックされていないか
「デバイス」 → 「登録」 → 「デバイスプラットフォームの制限」→「iOS の制限」 で、既定の「すべてのユーザー」ポリシーが iOS/iPadOS をブロックしていると、自動登録が失敗し、デバイスが「無効なプロファイル」として表示されます。
会社管理端末だけを許可したい場合は、個人所有（Personally owned）のみをブロックしてください。ADE で登録された端末や、「企業のデバイス識別子」に手動登録した端末は企業所有として扱われるため、登録が通ります。
③ ABM 作業中に Intune のタブを閉じてしまう
手順 2 のとおり、公開キーのダウンロードからトークンのアップロードまでは同じセッションで完結させる必要があります。ABM 側の作業は必ず別タブ・別ウィンドウで行ってください。
④ デバイスがすぐに出てこない
ABM で割り当てた直後は Intune 側に見えません。時間がかかることがあるため、手動同期を試してください。なお、同期には実行間隔の制限があります。
⑤ 証明書・トークンの有効期限管理
| 種類 | 有効期限 | 失効したときの影響 |
|---|---|---|
| APNs 証明書 | 365 日（期限切れ後30日の猶予あり） | すべての iOS/iPadOS 端末の管理が停止。再登録が必要 |
| 登録プログラムトークン | 1年 | 新規の ADE 登録ができなくなる |
次回：会社ポータルの自動配布
本記事の構成では、ユーザーが会社ポータルアプリを入れる際に Apple ID の入力が必要になります。これを不要にするのが VPP（コンテンツトークン） です。
Part 2 では、ABM のコンテンツトークンを Intune に連携し、ユーザーが Apple ID を入力せずに会社ポータルを自動インストールできる状態を作ります。
👉 Part 2：Intune 会社ポータルを VPP（コンテンツトークン）で自動配布する