共有iPadからMicrosoft 365や業務アプリへアクセスさせる際、「Intuneの準拠状態を条件付きアクセスで必須にしたい」と考える管理者は少なくありません。
結論から言うと、条件付きアクセスで「デバイスを準拠としてマークすることを要求」する場合、AppleのShared iPadは適しません。IntuneのAutomated Device Enrollment（ADE）で「Microsoft Entra ID共有モード」を選び、Microsoft Entra Shared Device Modeを構成する必要があります。
Shared iPadは、ユーザーごとにiPadOS上の領域を分けられる点が強みです。一方、準拠ポリシーを使った条件付きアクセスには対応していません。Microsoft Entra Shared Device Modeは条件付きアクセスを利用できますが、サインイン、サインアウト、データ消去の安全性が対応アプリの実装に左右されます。(Microsoft Learn)
この記事では、Shared iPadとADEを単純な二者択一として扱うのではなく、「ADEでShared iPadを有効にする構成」と「ADEにMicrosoft Entra Shared Device Modeを組み合わせる構成」の違いとして整理します。
Shared iPadとADEは同じレイヤーの機能ではない
最初に押さえておきたいのは、Shared iPadとAutomated Device Enrollmentは、本来比較対象となる機能ではないことです。
ADEは、Apple Business Managerに登録された組織所有のiPadをIntuneへ自動登録する仕組みです。Shared iPadを利用する場合も、Microsoft Entra Shared Device Modeを利用する場合も、ADEを登録基盤として使用できます。
実際に選ぶのは、ADE登録ポリシー内の構成です。
| 構成パターン | ADE登録ポリシーの主な設定 |
|---|---|
| Apple Shared iPad | ユーザーアフィニティなし、監視モード有効、Shared iPadを有効 |
| Microsoft Entra Shared Device Mode | 「Microsoft Entra ID共有モードで登録」を選択 |
| 個人割り当て端末 | ユーザーアフィニティあり |
Shared iPadとMicrosoft Entra Shared Device Modeを同じiPadで併用することはサポートされていません。1台のiPadについて、どちらの共有モデルを採用するかを登録前に決定する必要があります。(Microsoft Learn)
条件付きアクセスが必須ならADE＋Entra共有デバイスモードを選ぶ
共有iPadからのアクセスに、次のような条件付きアクセス制御が必要な場合は、ADEとMicrosoft Entra Shared Device Modeの組み合わせが基本です。
- Intuneで準拠している端末だけMicrosoft 365へ接続させる
- 脱獄、古いOS、セキュリティ要件未達のiPadを遮断する
- 共有端末を使用する現場担当者だけに専用の条件付きアクセスを適用する
- MFAと準拠デバイスの両方をアクセス条件にする
- アクセス元の端末状態をMicrosoft Entraのサインインログで確認する
Shared iPadでは、「デバイスを準拠としてマークすることを要求する」許可制御に加え、承認済みクライアントアプリ、アプリ保護ポリシー、デバイスフィルターなどを利用する条件付きアクセス構成がサポートされません。Shared iPadではコンプライアンスポリシー自体も制約対象となります。(Microsoft Learn)
これに対してMicrosoft Entra Shared Device Modeでは、MDMに登録され、準拠している共有デバイスだけを対象アプリへサインインさせる構成がサポートされています。(Microsoft Learn)
ただし、条件付きアクセスが利用できるからといって、すべてのiPadアプリが安全な共有端末アプリになるわけではありません。Shared Device Modeの効果を得られるのは、原則としてShared Device Modeに対応したアプリです。
Shared iPadとADE＋Entra共有デバイスモードの違い
Microsoftの公式仕様を、実務上の判断項目に置き換えると次のようになります。(Microsoft Learn)
| 判断項目 | Shared iPad | ADE＋Microsoft Entra Shared Device Mode |
|---|---|---|
| ユーザー分離の仕組み | iPadOS上にユーザー別領域を作成 | Microsoft EntraのIDと対応アプリのセッションで分離 |
| 準拠デバイス必須の条件付きアクセス | 非対応 | 対応 |
| Intuneの準拠状態を使ったアクセス制御 | 非対応 | 対応 |
| サインイン | Managed Apple IDまたは一時セッション | Microsoft Entra IDで対応アプリへサインイン |
| シングルサインオン | ユーザー領域内で利用 | 対応アプリ間でグローバルサインイン |
| 一括サインアウト | ユーザー領域からサインアウト | 対応アプリ間でグローバルサインアウト |
| データ分離 | OSレベルのユーザー領域 | アプリが前ユーザーのデータを消去する必要がある |
| アプリ依存度 | 比較的低い | 高い |
| ゲスト利用 | 一時セッションを利用可能 | 標準のゲストセッションはない |
| Apple Business ManagerとのEntraフェデレーション | Entra資格情報で利用する場合は必要 | Entraフェデレーション自体は必須ではない |
| Company Portal | 非対応 | 非対応 |
| ユーザーが選択してインストールする「利用可能なアプリ」 | 非対応 | 非対応 |
| 主な用途 | 教育、研修、来客、ユーザー別領域が必要な業務 | 店舗、医療、物流など、条件付きアクセスが必要な現場業務 |
どちらが上位という関係ではありません。違いは、セキュリティ境界をiPadOSのユーザー領域に置くか、Microsoft EntraのID・アプリ・条件付きアクセスに置くかです。
Shared iPadを選ぶべきケース
Shared iPadの最大の特徴は、複数のユーザーが同じiPadを利用しても、それぞれに独立したユーザー領域を持てることです。
Microsoft Entra IDとApple Business Managerをフェデレーションしておけば、ユーザーはMicrosoft Entraのユーザー名をManaged Apple IDとして使用できます。初回サインイン時にユーザー領域が作成され、以後はManaged Apple IDとShared iPad用パスコードで利用します。(Microsoft Learn)
Shared iPadが向いている利用例
Shared iPadが適しているのは、次のようなケースです。
- 学校や研修施設で、複数の利用者が同じiPadを使う
- 利用者ごとにアプリデータや設定を保持したい
- 来客受付やアンケートで、一時的なゲストセッションを使いたい
- Shared Device Modeに対応していない業務アプリを使う
- 条件付きアクセスによる準拠デバイス判定が必須ではない
- デバイス設定と必須アプリの配布を中心に管理したい
Shared iPadの一時セッションでは、Managed Apple IDを持たないユーザーもゲストとして利用できます。サインアウトすると、閲覧履歴を含むセッション内のユーザーデータが削除されます。(Microsoft Learn)
Shared iPadで見落としやすい制約
Shared iPadには、次のような制約があります。
- コンプライアンスポリシーを利用できない
- 準拠デバイスを要求する条件付きアクセスを利用できない
- Intuneのアプリ保護ポリシーを利用できない
- Company Portalを利用できない
- アプリを「利用可能」として配布できない
- メールプロファイルを配布できない
- ユーザーがApp Storeからアプリを自由にインストールできない
- Shared iPad用パスコードの複雑さをIntuneから変更できない
アプリは原則として、Apple Business Managerの「Appとブック」から取得し、デバイスライセンスの必須アプリとしてデバイスグループへ割り当てます。(Microsoft Learn)
また、ユーザーごとの領域を端末内に保持するため、利用者数が多い現場ではストレージ容量にも注意が必要です。毎日多数の従業員が入れ替わる店舗や倉庫では、1台あたり何人分の領域を保持するかを事前に決めておく必要があります。
ADE＋Microsoft Entra Shared Device Modeを選ぶべきケース
Microsoft Entra Shared Device Modeは、1台のiPadを複数の従業員が交代で使うための、IDとアプリを中心とした共有モデルです。
従業員がShared Device Mode対応アプリのいずれかへサインインすると、ほかの対応アプリにもサインイン状態が引き継がれます。シフト終了時には、対応アプリのいずれかからサインアウトすることで、ほかの対応アプリからもサインアウトできます。(Microsoft Learn)
Entra共有デバイスモードが向いている利用例
次のような環境では、Shared iPadよりMicrosoft Entra Shared Device Modeが適しています。
- 店舗スタッフがTeams、Outlook、Power Appsなどを利用する
- 病院や介護施設で、準拠端末からのみ業務情報へ接続させたい
- 倉庫や製造現場で、シフトごとに担当者が端末を受け渡す
- 端末のOSバージョンや脱獄状態をアクセス判定に使いたい
- 条件付きアクセスの結果をサインインログで監査したい
- 自社アプリをShared Device Mode対応に改修できる
- 使用するアプリを管理者側で限定できる
Microsoft LearnでShared Device Mode対応アプリとして案内されている代表例には、Teams、Outlook、Power Apps、Power BI Mobile、Edge、Word、Excel、PowerPointなどがあります。対応状況は変更される可能性があるため、導入時点の公式一覧とアプリ側の設定要件を確認してください。(Microsoft Learn)
セキュリティがアプリ実装に依存する
Microsoft Entra Shared Device Modeでは、iPadOSそのものにユーザー別領域が作られるわけではありません。
グローバルサインアウトによってアカウントや認証トークンが削除されても、アプリ内に保存された一覧、画像、検索履歴、ダウンロードファイルなどが自動的に消えるとは限りません。
Shared Device Mode対応アプリは、ユーザー変更を検知し、前のユーザーのキャッシュや表示データを削除するよう実装する必要があります。Microsoftも、アプリ開発者がユーザー変更時のデータ消去を行うことを求めています。(Microsoft Learn)
したがって、導入判断では「Microsoft Entraで認証できるか」だけでなく、次の点まで確認します。
- Shared Device Modeへの正式な対応が明記されているか
- サインアウト時にローカルデータが削除されるか
- 別ユーザーへ切り替えた際に、前ユーザーの情報が表示されないか
- 通知に氏名、件名、患者名、顧客名などが残らないか
- Filesアプリや写真ライブラリへ業務データを保存しないか
- アプリが異常終了した後もユーザー切り替えを正しく検知するか
この確認ができないアプリは、共有端末用アプリとして扱わない方が安全です。
ADE＋Entra共有デバイスモードの構成手順
条件付きアクセスを利用する場合は、端末登録だけでなく、SSO、Authenticator、アプリ、準拠ポリシーまで一連の構成が必要です。
使用するアプリを先に棚卸しする
最初に、共有iPadで使用するすべてのアプリを次の3種類に分けます。
| 分類 | 対応方針 |
|---|---|
| Shared Device Mode対応済み | 導入候補にする |
| 自社開発で対応可能 | MSALを組み込み、ユーザー変更とデータ消去を実装する |
| 非対応で改修できない | 共有端末から除外するか、専用端末へ分離する |
条件付きアクセスの構成を先に作っても、業務の中心となるアプリがShared Device Mode非対応であれば、安全な共有運用は成立しません。
新しいADE登録ポリシーを作成する
Intune管理センターで、Apple Business Managerと連携した登録トークンからiOS/iPadOS用のADE登録ポリシーを作成します。
現在のIntuneでは、おおむね次の順序で操作します。
デバイス → デバイスのオンボード → 登録 → Apple mobile → Enrollment program tokens → 対象トークン → Enrollment policies
登録ポリシーでは、少なくとも次の項目を設定します。
| 設定項目 | 推奨値 |
|---|---|
| User Affinity | Enroll with Microsoft Entra ID shared mode |
| Locked enrollment | Yes |
| Supervised | Yes |
| デバイス名テンプレート | {{DEVICETYPE}}-{{SERIAL}}など |
| セットアップアシスタント画面 | 業務に不要な画面を非表示 |
既存の登録ポリシーでは、ユーザーアフィニティの種類を後から変更できません。Shared iPad用プロファイルをMicrosoft Entra Shared Device Mode用に流用せず、新しい登録ポリシーを作成してください。(Microsoft Learn)
登録プロファイル名でデバイスを自動分類する
Shared Device Mode用ポリシーへ登録された端末だけを対象にするため、enrollmentProfileNameを利用して動的デバイスグループまたは割り当てフィルターを作成します。
たとえば、登録ポリシー名をADE-iPad-SDM-CAとした場合、次の条件で端末を分類します。
| 項目 | 値 |
|---|---|
| Property | enrollmentProfileName |
| Operator | Equals |
| Value | ADE-iPad-SDM-CA |
この分類を、Authenticator、SSO構成、業務アプリ、準拠ポリシーの割り当てに共通して利用すると、誤配布を防ぎやすくなります。(Microsoft Learn)
Microsoft Enterprise SSOプラグインを構成する
次に、iOS/iPadOSのデバイス機能プロファイルでMicrosoft Enterprise SSOプラグインを設定します。
主な設定値は次のとおりです。
| 設定項目 | 値 |
|---|---|
| SSO app extension type | Microsoft Entra ID |
| Enable shared device mode | Yes |
| Key | device_registration |
| Type | String |
| Value | {{DEVICEREGISTRATION}} |
この構成はShared Device Mode用の端末だけに適用します。通常の個人割り当てiPhoneやiPadへ誤って配布しないよう、登録プロファイル名によるフィルターを使用するのが安全です。(Microsoft Learn)
Microsoft Authenticatorを必須配布する
Microsoft Authenticatorは、Apple Business Managerの「Appとブック」を通じて取得し、Intuneから必須アプリとして配布します。
App Storeへのサインインを前提にせず、組織側が管理するライセンスで端末へインストールしてください。Shared Device Mode用のADE構成では、Company PortalではなくAuthenticatorとMicrosoft Enterprise SSOプラグインが重要な役割を持ちます。(Microsoft Learn)
業務アプリのShared Device Mode設定を追加する
アプリによっては、端末をShared Device Modeへ登録するだけでは不十分です。
たとえばMicrosoft 365アプリでは、マネージドデバイス向けアプリ構成ポリシーで、次の設定が必要になる場合があります。
Configuration key: shareddevicemodeenabled
Value type: Boolean
Configuration value: trueWord、Excel、PowerPointなどを使用する場合は、対象アプリごとに現在の構成要件を確認してください。(Microsoft Learn)
準拠ポリシーをデバイスへ割り当てる
共有iPad用の準拠ポリシーでは、業務上必要な項目に絞って設計します。
設定候補には次のようなものがあります。
- 最低OSバージョン
- 脱獄された端末の禁止
- 単純なパスコードの禁止
- 必要に応じたモバイル脅威防御製品のリスク判定
- 猶予期間経過後の非準拠化
準拠ポリシーは、Shared Device Mode用のデバイスグループへ割り当てます。利用者が交代する端末なので、特定の主利用者を前提にしたポリシー割り当ては避けます。
条件付きアクセスはレポート専用から開始する
条件付きアクセスでは、最初から全ユーザー、全クラウドアプリを遮断しないことが重要です。
まずは次のような小規模な構成から開始します。
- 対象ユーザー：パイロット用の現場担当者グループ
- 対象リソース：Teamsや業務対象アプリ
- 許可制御：デバイスが準拠としてマーク済みであることを要求
- ポリシー状態：レポート専用
サインインログで対象端末のデバイスID、準拠状態、条件付きアクセス結果を確認してから、ポリシーを有効化します。Microsoftの条件付きアクセス構成例でも、最初にレポート専用で検証する手順が案内されています。(Microsoft Learn)
導入前に実施すべきテスト
共有端末では、登録成功だけを確認しても不十分です。最低でも次のテストを実施します。
| テスト内容 | 期待する結果 |
|---|---|
| 準拠状態の端末からサインイン | 対象アプリを利用できる |
| 端末を意図的に非準拠にする | 条件付きアクセスで遮断される |
| 1つの対応アプリへサインイン | ほかの対応アプリでも再認証が減る |
| 1つの対応アプリからサインアウト | ほかの対応アプリからもサインアウトされる |
| 別ユーザーがサインイン | 前ユーザーのデータが表示されない |
| iPadを再起動 | 前ユーザーのセッションが不用意に復元されない |
| アプリを強制終了して再起動 | 現在のユーザー状態を再判定できる |
| 通知センターを確認 | 前ユーザーの個人情報が残らない |
| Filesアプリを確認 | 前ユーザーのファイルが残らない |
| SafariやEdgeを確認 | 認証状態や履歴が次の利用者へ残らない |
特にSafariには注意が必要です。Microsoft Enterprise SSOプラグインだけではSafariの状態まで自動消去されません。Webアプリを利用する場合は、ブラウザー側のサインアウト処理まで含めて検証してください。(Microsoft Learn)
よくある設計ミス
Shared iPadに準拠ポリシーを割り当てれば使えると考える
ポリシーを作成できることと、その登録方式でサポートされることは別です。
Shared iPadでは、コンプライアンスポリシーと準拠デバイスを要求する条件付きアクセスはサポート対象外です。設定画面上で割り当てられたとしても、運用設計の前提にしてはいけません。
Shared iPadとMicrosoft Entra Shared Device Modeを併用する
両者はユーザーセッションの管理方式が異なります。同じiPadで併用する構成はサポートされていません。
Shared iPadを有効にするADE登録ポリシーと、Microsoft Entra ID共有モードで登録するADE登録ポリシーを分けて管理してください。
Authenticatorを配布するだけで構成を終える
Authenticatorだけでは、Shared Device Mode対応アプリ間の適切なSSO環境は完成しません。
Microsoft Enterprise SSOプラグイン、デバイス登録用の設定値、対象アプリの構成、準拠ポリシー、条件付きアクセスまでを一つの構成単位として扱います。
Microsoft Entra認証対応アプリなら安全だと判断する
Microsoft Entra IDでサインインできても、Shared Device Modeに対応しているとは限りません。
Shared Device Mode非対応アプリでは、一括サインアウトやユーザー変更時のキャッシュ削除が機能しません。アプリベンダーへ確認する際は、「Microsoft Entra ID認証に対応していますか」ではなく、「iOS/iPadOS版はMicrosoft Entra Shared Device Modeに対応していますか」と確認します。
サインインだけをテストする
共有端末の事故は、サインイン時よりも返却時に発生します。
前ユーザーの通知、添付ファイル、ブラウザーセッション、検索履歴、アプリ内キャッシュが残っていないかを、別のテストユーザーで確認してください。
既存のADE登録ポリシーを書き換える
ユーザーアフィニティの種類は既存ポリシーで変更できません。また、ADE登録ポリシーの多くの変更は、すでに登録済みの端末へ即時反映されず、初期化と再登録が必要です。(Microsoft Learn)
本番端末を直接変更せず、Shared Device Mode専用の新規ポリシーを作成し、検証用iPadを初期化して登録します。
迷ったときの選択基準
次の順番で判断すると、構成を選びやすくなります。
| 質問 | 判断 |
|---|---|
| 準拠デバイスを条件付きアクセスで必須にするか | 必須ならADE＋Entra Shared Device Mode |
| すべての必須アプリがShared Device Modeに対応しているか | 対応済みならADE＋Entra Shared Device Modeを選択可能 |
| 非対応アプリを改修または置き換えられるか | できなければShared iPadまたは専用端末を検討 |
| ユーザーごとのOS領域が必要か | 必要ならShared iPad |
| Managed Apple IDを持たないゲストが利用するか | 利用するならShared iPadの一時セッション |
| iPhoneも同じ運用へ含めるか | 含めるならMicrosoft Entra Shared Device Mode |
| ユーザーより端末単位でアプリを固定したいか | どちらも可能だが、必須アプリとして配布する |
| アプリのサインアウト処理を十分に検証できないか | Shared Device Modeによる共有を避ける |
Microsoftは、一般的なiPadOSの共有用途ではShared iPadを推奨しています。ただし、同じ公式ドキュメントで、Shared iPadは準拠デバイスを要求する条件付きアクセスに対応しないことも明記されています。(Microsoft Learn)
そのため、製品としての一般的な推奨よりも、組織の必須要件を優先してください。
条件付きアクセスと準拠性が必須ならADE＋Microsoft Entra Shared Device Mode、OSレベルのユーザー分離やゲスト利用を優先するならShared iPadという整理が基本です。
最初に実施すべき作業は、Intuneの設定変更ではありません。共有iPadで使用するアプリを一覧化し、Shared Device Modeへの対応状況、サインアウト時のデータ消去、条件付きアクセスの必要性を確認します。その結果を基に専用のADE登録ポリシーを作り、少数の検証端末で非準拠時の遮断とユーザー交代時のデータ消去までテストしてから、本番展開へ進めてください。
コメント