SEに聞いてみた！企業向け管理対象Apple Account完全ガイド

うーん、実はそういうわけでもないんですよね。
普段Apple AccountやAppleデバイスをどう業務利用しているか、会社としてどこまで制限したいかなどによって異なります。一括管理できる良さはありつつも、個人用Apple Accountでしかできないこともあるので、「それぞれの企業の事情によって選択すべき」というのが正直なところです。

その通りです！
弊社にご相談いただいたお客様の中には、検討の結果「管理対象Apple Accountに移行しようと思っていたけど、要件的に難しいことがわかりました」という方もいらっしゃいました。

まずは、現状の確認をしましょう。

はい、まさに後者の「アプリの配布」がポイントです。
管理対象Apple Accountでサインインしたデバイスでは、App Storeからユーザがアプリケーションを購入したりダウンロードしたりすることができません。

IT管理者によって許可されたアプリケーションのみをMDMを使って配布できるので、「アプリの制限」という文脈で管理対象Apple Accountの導入を考える企業もいらっしゃいます。
まあつまり、管理対象 Apple AccountはMDMとの併用が前提なので、管理デバイスが少ない企業など、MDMを導入する予定がない企業には不向きです。

BYODの場合、従業員が所有するデバイスなので、デバイスベースでMDMから管理するわけにはいかないですよね。
とはいえ、会社の重要なデータに私用デバイスから自由にアクセスさせるのは、データ漏洩の危険性があるので、なんとかならないか……。そういうケースで、「管理対象Apple Accountの領域をMDMで管理する」という選択をとる企業もいらっしゃいます。

はい、そうなります。
iPhoneのホーム画面を見てわかるわけではないのですが、デバイス内部では管理対象Apple Accountと紐づいた組織管理の領域と、個人用Apple Accountの領域で分かれています。
BYODに対応しているMDMを使えば、この管理対象Apple Accountの領域に対して、MDMからアプリを配布することができます。データを守るために、組織管理の領域からユーザの個人領域へコピー＆ペーストをさせない、というような設定もできるんですよ。

残念ながら、この話はmacOSはできないんですよね。iOS、iPadOSのBYODに限ります。

BYODに関しては、対応するMDMを選んだり、サーバを立てたりなど、考えるべきことがたくさんあるので、実際はApple Accountの話だけでなく複合的に検討する必要があります。

これに関しては、企業にとって大きなデメリットになることはあまりないと考えています。
利用できないiCloudサービスのほとんどが、業務上不要な機能がほとんどだと思います。「ホーム」とか「iCloudメール」などですね。「探す」機能については、正確な位置情報を取得したいご要望がある場合にネックになることもありますが、MDMによる紛失対策でカバーできる範囲かな、と。
「探す」が利用できないのは、位置情報のような従業員の個人情報を企業が収集できる機能は設けない、というAppleのプライバシー保護方針も関係しているのではないでしょうか。
ちなみに、数年前は連係機能など便利な機能が使えなかったのですが、2025年6月現在は使えるようになっています！

1台のiPadにマルチユーザがサインインして共有で使う、いわゆる「共有iPad」の機能を使いたい場合は、管理対象Apple Accountが必要です。
実際の例だと、病院で看護師や医師の方々がiPadを共有で使うために、共有iPadを採用したケースがありましたね。

そうですね！
Apple Account運用のTo-Beは、セキュリティポリシーなど「企業のIT管理者としてどう制限するか」という話と、連係機能やiCloudなど「ユーザにとっての利便性をどう担保するか」の話、この二つの軸で考えていくことになります。
Apple Accountをそもそも使わせないでアプリ配布もすべてMDMから配布するケース、アプリ開発系の業務に関わるユーザのみ個人用Apple Accountで、ほかのユーザは管理対象Apple Accountを利用しているケースなど、さまざまです。

Apple Accountの運用方針が決まったら、まずは社内への周知が欠かせません。
管理対象にしろ個人用にしろ、Apple Accountは従業員の方が使うものですし、管理対象Apple Accountを使いはじめる際にユーザ側の作業が発生します。あらかじめユーザに対して、運用方針や移行スケジュール、移行に必要な作業などを案内しておくとスムーズに管理対象Apple Accountへの移行が進められます。

一部で個人用Apple Accountの利用を許可する場合は、このタイミングで希望するユーザのアカウントリストを一緒に作成しておくといいと思います！

あります！
実は、全員一律に管理対象Apple Accountを使わせるか、一部のユーザの個人用Apple Account利用を許可するかによって、管理対象Apple Accountの準備方法が異なります。
これから詳しく解説していきますね！

その場合は、ドメインのロックやキャプチャを行わず、組織のドメインとは別に、管理対象Apple Account用のドメインを用意するのをおすすめします。
たとえばアプリ開発用に「adp@example.co.jp」というアドレスでApple Developer Programに登録していた場合、「@example.co.jp」のドメインは個人用Apple Accountとして使い続ける必要があるので、「@appleid.example.co.jp」のドメインをABMで登録する、というようなイメージです。

はい、大きく分けて２つの方法があります。
IT管理者が手動でひとつずつ作成する方法と、IdPと連携して一括で作成する方法です。
作成する管理対象Apple Accountの数が少なければ手動でも大丈夫ですが、全社員の管理対象Apple Accountを作成するなど、数が多い場合はIdP連携の方が絶対に楽です。

やっぱり、いかに企業としてセキュリティなど守るべきところを守りつつ、ユーザの業務効率や利便性を損なわないか、ですかね……。
ステップ2「Apple Accountの運用方針を決定する」でも触れましたが、すでにユーザが業務でiCloudメモの同期やKeynoteの共同編集、ユニバーサルクリップボードなどの連係機能を活用されているケースも多く見られるのではないでしょうか。