組織で利用しているiPhoneやiPadは、MDMで管理しているケースは多いと思う。このMDMで管理する際にApple DEP(Device Enrollment Program)を利用すればいくつか管理がラクになる。たとえば、「キャリアにiPhone発注したら、自動でMDMにデバイスを登録してくれる」とか「管理できる範囲が広がる監視モードを適用できる」など。

また、Intuneにはデバイスの所有権という概念があり、デバイスのかなりの範囲の情報をみることができる「所有権が企業」のモードと、プライバシーに配慮してデバイスの一部の情報しか見えない「所有権が個人」のモードがある。どちらもセキュリティポリシーは同じものを適用できるけど、見える情報の範囲が違う。

さて、DEPは組織でないと手配できないので、DEPで手配している＝所有者は企業。・・・なんだけど、10%ぐらいのデバイスで、Intune上の所有権が企業でなく、個人になってしまってた。非DEPは問題ないんだけどな・・・なぜだろう。

自分の備忘録として、原因と対応をまとめてみた。
※解釈や条件の理解が間違えているかもしれない。

原因

以下の2つの条件を満たすと発生するらしい。
・ポータルアプリの認証でプロファイル割り当てをする場合
・DEP登録後、24時間以上かかった場合

先に後者について。

巡り巡って、マイクロソフトのこんな記事にたどり着き、その中にこんなコメントが。
Apple の Device Enrollment Program を使用して iOS デバイスを自動登録する

今一つ解釈しづらいので英語版。

どっちもわかりづらいわ！

超意訳すると「DEPデバイスにポータルアプリをインストールしてから24時間以内にポータルアプリでログインしないと、登録に失敗して所有権が個人になっちゃうよ」ってことっぽい。
※突っ込み・指摘、お待ちしています。

前者は、ユーザーグループでプロファイルを変えている場合とか、多要素認証を有効にしている場合、条件付きアクセスを使う場合。これらのケースではポータルアプリでの認証が必須なので、確実にひっかかる。EMS使って条件付きアクセスを使わないケースはほとんどないとおもうので、ほとんど引っかかるんじゃないだろうか。

さっきの24時間制限はどうもAppleの仕様らしいけど、DEPで登録後デバイスが納品されてキッティング完了まで24時間以内に完了なんて、ありうるのか！？・・・困ったな。

とりあえずの対応

すでに所有権が正しくないデバイスは、所有権を企業に変更する。手間だけどこれで所有権は正しくなる。

要検証

文言通りなら、ポータルアプリをダウンロードして24時間以内にキッティングすればいいのだけど、どうも腑に落ちない。アプリをダウンロードするだけじゃデバイス登録はされないしな…。

・DEP登録通知が来て、Intuneに同期してから24時間
・デバイスの電源を入れてキッティングし始めてから24時間
・ポータルアプリをインストールして、初めて起動してから24時間

多分、これのどれかが発動条件だと思うので落ち着いたら検証してみる。
なんとなくだけど2番目ぽいと思ってて、DEP端末をフルワイプして電源入れて、24時間ちょっと待ってみる。

まとめ

これから検証。結果はまた投稿します。