macOS Golden Gate 時代のMac管理

企業でMacをはじめとするAppleデバイスを管理する際に活用されるMDMソリューションの一つが、Jamf Proです。 従来の管理方法である「命令型デバイス管理」に加え、端末自身が状況に応じて設定を適用し、状態を報告する「宣言型デバイス管理」も活用されるようになっています。

宣言型デバイス管理とはどのような仕組みなのか？Jamf Proではどのように活用されているのか？デバイス管理を担う情シス運用の一端をご紹介します。

Transcript

1. DevelopersIO 2026 Joetsu <AIxクラウド技術祭> macOS Golden Gate 時代のMac管理 「命令」から「宣⾔」へ ― Jamf Pro Blueprints で変わる運⽤ クラスメソッドオペレーションズ インフラチーム ⽴神 皓基 1
2. ⾃⼰紹介 遍歴 2019年飲⾷業に就職 2023年上越公務員情報ビジネス専⾨学校 （JJC）に⼊学 名前：⽴神 皓基 所属：インフラチーム 2025年クラスメソッドオペレーションズ に⼊社 2026年インフラチームへ所属 趣味：お菓⼦作り 2
3. アジェンダ 1 MDM と Jamf Pro 2 宣⾔型への移⾏ 3 命令型と宣⾔型の違い 4 Jamf Pro の Blueprints 5 運⽤して分かったこと 3
4. 実は今、Mac の管理は「命令する」か ら「宣⾔する」へ移りつつあります 4
5. MDM とは、多数の端末を⼀括で管理する仕組み MDM なし MDM あり 担当者が 1 台ずつ設定 Mac Mac Mac やり⽅や抜け漏れが⼈に依存 する MDM(管理サーバー) Mac Mac Mac 同じ設定を、まとめて配布‧ 維持できる Jamf Pro は、この MDM を提供するソリューションの⼀つです 5
6. Apple は、デバイス管理の標準を宣⾔型へ移している 管理の標準 Apple は「デバイス管理の標準は宣⾔型管理」と位置 づけた アップデート管理 macOS 27 では、従来のアップデート管理(構成プロ ファイルなど)は機能しない 新しい構成 新しいネットワーク構成(VPN、DNS、リレー)は宣⾔型 で提供される 6
7. 命令型:MDM が指⽰し、端末が実⾏する 指⽰:「この設定を⼊れて」 MDM サーバー Mac 配布は「完了」。でも、実際に効いているかは別の話 7
8. 宣⾔型:「こうあるべき」を渡し、端末が⾃分で維持し て報告する 渡す:「あるべき状態」 Mac ⾃分で判断して維持 MDM サーバー 報告:「今の状態」 たとえ:「今、床を拭いて」(命令型) と「床はいつもきれいにし ておいて」(宣⾔型) 8
9. 命令型と宣⾔型の違い 命令型 宣⾔型 主導するのは MDM サーバーが指⽰ 端末が⾃律的に動く 適⽤のされ⽅ 指⽰を受けたときに実⾏ あるべき状態を維持し続 ける 状態の把握 サーバーが端末に問い合 わせる 端末が変化を⾃分で報告 する 9
10. Blueprints は、Jamf Pro で宣⾔型を扱う仕組み • 設定をひとまとめに定義し、 対象のグループに割り当てる • 端末がその状態を⾃分で維持 し、状況を報告する • 宣⾔型にまだない設定は、従 来の構成プロファイルとして 同じ仕組みで扱える 【画⾯】Jamf Pro の Blueprints ⼀覧 10
11. 当社では、宣⾔型の第⼀歩として OS アップデートの 制御を Blueprints で運⽤ • macOS 27 では、構成プロ ファイルによるアップデー ト管理は機能しない • Blueprints のソフトウェア アップデート設定で、延期 を設定(最⼤90⽇) 【画⾯】アップデート延期の Blueprint 設定 • 対象グループに割り当てて 運⽤中 11
12. 運⽤して分かったこと:うれしい‧悩ましい‧⼯夫 うれしい 悩ましい ⼯夫 端末が「あるべき 状態」を持ってい る ① 設定の置き場所 と対象 API で端末単位に ⾒える化 ② 適⽤状況が台数 しか⾒えない 12
13. うれしい:端末が「あるべき状態」を持っている 状態の維持 問い合わせ不要 標準へ 端末が状態を持ち、 維持しようとする 端末が状態を⾃分で 報告する Apple が、宣⾔型を 管理の標準と位置づ けている 配布は完了、でも効 いていない、が起き にくい サーバーへの負荷が 軽くなる 出典: Apple Support「Intro to declarative device management and Apple devices」、WWDC26 13
14. 悩ましい①:設定の置き場所と対象が分かりにくい 混在 スコープ 併⽤ この設定は、構成 プロファイルと Blueprints のどっ ち? 割り当てはグルー プ単位のみ。除外 には⼀⼯夫が必要 同様の設定を両⽅ に⼊れると、通常 は厳格な⽅が適⽤ される(例外もあ り得る) 14
15. 悩ましい②:適⽤状況が台数しか⾒えない 【画⾯】Jamf Pro:適⽤台数の表⽰ どの端末が未適⽤か は、画⾯では分からな い 15
16. ⼯夫:端末の状態報告を API で読みに⾏く 1 2 3 4 5 トークン 取得 グループの メンバー取得 managemen tId 取得 DDM ステータス取 得 宣⾔ ID と 照合‧判定 API の認証 対象の端末を⼀ 覧化 端末ごとの管理 ID 端末が報告した 宣⾔の⼀覧 Blueprint ID で 絞り込み 判定は⾃作のルール:端末が active=true かつ valid=valid と報告した状態を「適⽤完了」とす る 16
17. 詳しくはブログをご参照ください 17
18. 結果:未適⽤の端末を⼀覧で把握できる 端末名 総合判定 最終チェックイン 最終 Startup MAC-0001 Pending / 未報告候補 2026/10/05 09:12 2026/07/21 MAC-0005 Pending / 未報告候補 2026/09/16 08:47 2026/08/02 MAC-0007 Pending / 未報告候補 2026/08/10 17:30 2026/08/09 MAC-0015 Pending / 未報告候補 2026/10/05 09:03 2026/09/28 MAC-0167 Pending / 未報告候補 2026/09/01 07:58 2026/08/12 18
19. まとめ:宣⾔型は標準へ。⼩さく始め、⾒える化を⼯夫 する 1 2 3 命令型から宣⾔型へ Apple は宣⾔型を、デバイス管理の標準と位置づけた Blueprints は Jamf Pro での⼊⼝ 当社は OS アップデートの制御から始めた 運⽤の⼯夫が要る 混在期の整理と、API による⾒える化 19
20. もうひとつ:Blueprints が届かない端末がある? 1 現象 Blueprints が届かない端末があ る 3 調査 連続稼働が⻑い傾向。macOS が 49.7 ⽇連続稼働で通信できなく なる、というバグの報道もある 2 確認 API で⾒ると未適⽤。ただし Jamf とは通信できている 4 結果 再起動したら、無事に適⽤され た。直接の原因かは不明(検証中) バグの報道: TidBITS「Why the macOS 49-Day Networking Bug Probably Won't Affect You」(2026年4⽉)ほか 20