今まで Apple Seed でベータソフトウェアプログラムの利用登録をして、.mobileconfig ファイルをダウンロードして、Jamf Pro からベータプログラム構成プロファイルをデバイスに配布することで、指定したデバイスでベータソフトウェアプログラムが利用可能になっていました。現在この方法はもう利用することが出来ません。デバイス1台毎に Apple Account でサインインしてベータソフトウェアを利用するのも良いですが、これはかなり手間となるだけではなく、管理者に余計な心配の種も増えます。組織として必要なデバイスに必要なベータソフトウェアアップデートできるよう構成したい、本日はこの目的を実現する方法について記載します。

iOS17 , macOS Sonoma 以降は宣言型デバイス管理に移行されており、ベータソフトウェアプログラムの配布もDDMに移行されているという形です。そのため、ベータソフトウェアプログラムを Apple デバイスに配布するためには、ここに記載の手順で全てのプラットフォームに対応できます。

Jamf Pro ででもそろそろ認知され始めた（？） Blueprint を使います。Jamf Pro で Blueprint を利用するためには、Jamf ID （Jamf Account とも言う？）の SSO 設定が必要になります。詳細はこちらをご覧ください。

＊この記事では、Blueprint が Jamf Pro 上で既に利用可能なことを前提に記載しております。

mac を利用していることを前提に記載していきます。
1.上記4.の Apple MDM Beta Token Automation スクリプトをダウンロードフォルダーに、betaTokens.sh という名前でダウンロードします。
2.mac でターミナルを開きます。（⌘+space で ter などとタイプ）

3.betaTokens.sh スクリプトをbash betaTokens.sh で実行すると、自動的に管理サービス用証明書が作成され、スクリプトは一時的に停止状態になります。（ターミナルはこのまま後で利用するので、終了したり中断したりしないでください）

4.出力された BEGIN CERTIFICATE から END CERTIFICATE までの行範囲を選択して ⌘+C でコピーし、エディタなどに ⌘+V で貼り付けます。
スクリプトをダウンロードしたフォルダーと同じフォルダーに .pem ファイルとして保存します。（例：betatoken.pem）

Apple Business にサインインし、デバイス＞管理サービスを表示し、最下端の「デバイス管理サービスを追加」の右側にある追加リンクをクリックし、以下のように新しい外部管理サービスを作成します。（例：Apple Beta Tokens）

先ほど保存した pem ファイルを新しい管理サービスにアップロードし、保存ボタンを押します。

右上の ... メニューから、トークンのダウンロードを選択し、最初のスクリプトをダウンロードしたフォルダーと同じフォルダーにダウンロードします。（必ず同じフォルダーを選択してください）

Apple Business はもう使わないのでログアウトいただいてOKです。

管理サービストークンがダウンロードフォルダーにダウンロードされたのを検知して、停止していたスクリプトが自動的に再実行され、OSベータトークンが表示されます。ここに表示されている各ベータOSトークンをコピーして、ファイルに保存してください。
​​
（注意）ここで表示されているベータOSトークンは、各社ABMの管理サービスに登録されているデバイス専用のトークンのため、そのABMで自動デバイス登録されていないデバイスには利用できないことにご注意ください。

というわけで、iOS26 がリリースされてから、リキットグラスUIの可愛いさにウットリしつつ、実装された数々のAI機能は不発な感じながら、着実にボイスメモの文字起こしや要約、ノートへの録音と文字起こしと要約など便利な機能も実装されていますが、皆さんはこんな Apple Intelligence の最新機能をどれだけ使ってらっしゃるでしょう？

Apple のAI基盤ともいうべき、Private Cloud Compute のおかげで、Open AI などとの連携をしなければ、割とプライバシー保護を優先した安心して使える Apple Intelligence ですが、まだまだ現段階では名前負けしている感もありますね。

さて、そんな中、ソフトウェアアップデートを90日間延期していた多くの組織にとって、iOS 26.0 はインストールが可能となってしまいました。購入時から iOS26 というデバイスはまだそう無いので、多くの企業のiPhoneやiPadは iOS18 台のものが多い中、26 にすべきなのか？18 のままでいくべきか？とお悩みの方も多いかもしれません。

これまでのバージョンでは、悪意を持って作成されたWebコンテンツを処理すると、メモリ破損、または／を組み合わせた、任意のコードが実行される脆弱性があり、Appleは、この問題がiOS 26より前のバージョンのiOSにおいて、特定の個人を標的とした非常に高度な攻撃に悪用された実績があるという報告を認識しているとのこと。WebKit に含まれる危険な脆弱性は、CVE-2025-43529 と CVE-2025-14174 として公開されており、今回リリースされた全てのOSにおいて対応されています。

• iOS 26.2 / iPadOS 26.2
• iOS 18.7.3 / iPadOS 18.7.3
• macOS Tahoe 26.2
• Safari 26.2
• tvOS 26.2, watchOS 26.2, visionOS 26.2​

少なくとも今回対策された、OSレベルのライブラリに含まれる脆弱性や、危険なゼロデイ脆弱性を考えると、ソフトウェアアップデートの 90日延期を実施している企業においても、iOS18.7.3 または、iOS26.2 が推奨となります。

MDM から既にソフトウェアアップデートの 90日延期の制限構成プロファイルを配布している企業の管理者は、それを一々外して新しいOSをインストールさせるというのは難儀だなとお考えの筈。
しかし、iOS17/iPadOS17 以降では、ソフトウェアアップデートの 90日延期をバイパスして、ダイレクトに指定したOSバージョンのインストールを宣言型デバイス管理を使って強制することができます。
​
また、Rapid Security Response （緊急セキュリティアップデート）としてリリースされた機能と、制限ペイロードに含まれた、allowRapidSecurityResponseInstallation（RSRインストール制限キー）、および、allowRapidSecurityResponseRemoval（インストール済みRSRの削除制限キー）は、iOS26 以降廃止されています。iOS26.1 からは、「iOS＞設定＞プライバシーとセキュリティ＞セキュリティ改善＞自動インストール（スイッチは標準でON)」が追加され、緊急で対応が必要なセキュリティパッチはバックグラウンド自動更新されます。allowRapidSecurityResponseInstallation（RSRインストール制限キー）を制限している端末の機能制限には、「バックグラウンドセキュリティ改善のインストールは許可されていません」が表示されますが、実際にはこのキーは機能しておらず、デバイス側のセキュリティ改善はONのままでオフにしようとすると、危険があるという警告が表示されます。
​
少々、Rapid Security Response （緊急セキュリティアップデート）は実装に失敗した感があり、仕切り直したという雰囲気ありありなので、可能であれば iOS26.2 にアップデートするのが最終的な推奨となります。あくまでも当社の推奨です！
​

Jamf Security Cloud で Android デバイス管理が Managed for Android (M4A) できるようになりましたね。オマケ的な機能しかないのかと思いきや、ゼロタッチ登録含めて結構本格的に Android Enterprise 管理が行えることが分かります。

Jamf Security Cloud では、IdP を使った ZTNA をベースとして、アプリのアクセスポリシーとしてデバイスリスクスコアに基づくアプリケーションアクセスのブロックなども行えます。専用ゲートウェイは別費用が必要になりまうが、グローバルIPアドレスの払い出しが可能となっており、IPフィルタリングアクセスをしたい方にぴったりの機能も実装されています。

セキュリティ面では、Web脅威防御、エンドポイント脅威、ネットワーク脅威、デバイス脅威に応じた防御が可能で、インターネット面ではURLコンテンツフィルタリングや、データ通信料のモニタリングやパケット通信キャップの設定・ブロックなども行えます。

今日は M4A を使ってゼロタッチ登録してみたよのデバイス側の流れを見てみてください。

本日は、2025年7月21日にリリースされた Cato Client for iOS v5.6 を使って、iPhone , iPad で常時接続（Always-On）する方法をご説明します。
​

まずはこちらの記事をお読みください。​URLリンクの関係で、英文リリースが表示されますが、右上から言語を「日本語」に切り替えてご覧ください。
Cato iOSクライアントリリースの概要

今回の Cato Client バージョンは大変重要な習性が行われており、今までのデバイスのスリープ状態から復帰したときに再接続まで時間がかかったりというユーザエクスペリエンスもかなり改善されています。

これは Cato の問題以前に、Apple デバイスの問題で、VPNプロファイルが複数あると、そのVPNプロファイルをユーザが切り替えることを防止することができないという仕様に起因します。
この問題があるため、Jamf Pro や N-MDM を利用しているユーザは、VPNプロファイルにくわえて、以下の機能制限を設定する必要もあります。これはユーザがVPNプロファイルを追加することを防止するために必要な機能制限となります。

1. 外部構成プロファイルのインストール禁止
2. ユーザによるVPNプロファイル追加禁止​

2025/08/06時点の情報：
下記の Cato の公式ドキュメントでは、デバイス証明書とVPNプロファイルを Jamf Pro 上で作成し配布する手順が必要なことが記載されています。
Jafm Pro からデバイス証明書とVPNプロファイルをデバイスに配布された後に、同様に Cato Client を配布いたします。Cato Client をデバイス側で起動し、接続ボタンを押すと、Cato CLient が2つ目のVPNプロファイルを作成します。これによって、デバイス証明書を使ったVPN接続によるデバイス認可、その後の、Cato ネットワークに接続するためのVPNプロファイルの2つがデバイス上に存在することになっていました。この問題はかなりクリティカルであり、SDP ユーザで常時接続をしている会社はすぐに対応すべき問題です。​
【Cato公式】Jamfを使用して、macOSおよびiOSデバイスにデバイス証明書を配布する

タイトル通りですが、Cato Client iOS v5.6 では、デバイスがスリープするとCatoへの接続が切断され、復帰まで暫くかかるという問題も同時に解消されます。これは macOS も同じユーザ体験を得られ非常に快適になります。
​
今回の v5.6 の改修では、Cato Client がVPNプロファルをローカルで作成することはなく、Jamf Pro から配布したVPNプロファイルでアクセスも統一されます。さらに、Jamf Pro から配布したVPNプロファイルをユーザ側で削除することはできず、前段で記載した通りの機能制限を行うことで、複数のVPNプロファイルが存在することも防止できます。

さらに、もっと素晴らしいことは Cato への接続が Singloe Profile 化されたVPN構成でオンデマンド接続指定をすることで、今までスリープで切断されていた Cato への接続が文字通りの常時接続になったことで、ユーザ体験が格段に向上したことです。

今日現在ではまだ Cato 公式ドキュメントは更新されていませんが、Jamf Pro での設定変更点は以下の2点です。こちらで切れない、切らせない、常時接続が実現できるようになります。是非お試しください！
​

今までテナントのサブドメインを指定するようになっていましたが、CatoClientVPN というアカウント名に設定してください。ここをテナントのサブドメインにすると、VPNプロファイルは今まで通り2つ存在する状態になってしまいます。

ここが今までと違う点で、オンデマンドVPNを有効にするの✅を入れ、以下のおまじないXMLを入れれば完了です。このおまじないで、どんな通信であれば必ず Cato 接続が維持されるようになります。

#Cato #Alwayson #VPN #JamfPro #CatoClient

ちょっと Jamf Pro の障害でバタバタしており、アナウンスが遅くなってしまいました。

1. macOS Sequoia 15.4.1
2. iOS 18.4.1 and iPadOS 18.4.1
3. watchOS 11.4
4. tvOS 18.4.1
5. visionOS 2.4.1
6. visionOS 2.4

　今回のアップデートは、複数の「Appleはこの問題がiOS上の特定の個人を標的とした非常に高度な攻撃に悪用された可能性があるという報告を認識しています。」という脆弱性に対応されたアップデートとなりますので、皆さんお早めにアップデートくださいね！！

1. ついに来た！とお喜びの皆さん、『薬屋のひとりごとｘユニバーサルスタジオジャパン』が7月1日から始まりますね！ではなく～、Apple Intelligence がついに iPhone 、Mac にお目見えしたのですよ！！ 🎉

でも、この Playground のアイコンきもい！！ｗ　なんか正直、Apple の AI イマイチです。その話しは後にして、リリースされたOSは以下の通り。
Safari や WebKit のサンドボックス保護をバイパスできてしまう悪用された実績のあるゼロデイ脆弱性の対応が含まれてるそうですので、Apple Intelligence に関係ないからと言わず早めにアップデートをしてくださいね！！

1. iOS 18.4 and iPadOS 18.4
2. iPadOS 17.7.6
3.  iOS 16.7.11 and iPadOS 16.7.11
4.  iOS 15.8.4 and iPadOS 15.8.4
5. macOS Sequoia 15.4
6. macOS Sonoma 14.7.5
7. macOS Ventura 13.7.5
8. tvOS 18.4
9. visionOS 2.4

え、これが私なのか・・・？暫し呆然と playground が作成した絵を眺める。特徴は確かに捉えてるから絶対自分じゃないと言えない何かがあるんだけど、何か違う国境線というか、ぶっちゃけ親しみ持てないというか、今の AI 祭りがもたらした「アプリに搭載するAIシリーズ」の1つくらいにしか思えない実装で少々薄っぺらさと残念さが漂う。更に、絵に関して言うと、Playground は UI 的には面白いけど Midjourney の方が100倍優れているし、普通に ChatGPT に頼んだ方が何十倍も良い絵が作れる気がする。
​
メモ帳で作文させると言っても、既に学校に提出される文章の多くが AI が作ったものになってるし、メールの要約も既に Gemini や Copilot でもできてるし、「メールを読んで日程調整を頼まれたら、自分のカレンダーの空きを見てくれて、空いてる候補日を列挙して返信を作ってくれる」というような高度なパーソナルアシスタントになる日はかなり遠い気がするし、他の AI があっというまにもっと凄い世界をもたらすのではないかという気もする。

新しい iPhone には側面にフラットなカメラコントロールボタンが付いていて、それを長押しすると、ビジュアルインテリジェンスを使うことができる。iOS18.2以降のiPhone16シリーズ、iOS18.3以降のiPhone16e、 iOS18.4以降のiPhone15 Pro/Pro Maxで利用可能で、カメラをAIの目として使うというコンセプトだ。

ワインを撮影して、どこで買えるか聞いてみると、それらしい回答が返ってくるが、これはあくまでも ChatGPT の回答だ。

Apple Intelligence の良い点の1つは、ChatGPT のライセンスを持って無くても、Apple Intelligence 経由で高度な ChatGPT 機能を使うことができる点にあるだろう。ただし、乱用すると1日の上限に達してしまうようなので注意が必要だ。有償のライセンスを持っているなら、Apple Intelligence との連携に自分のOpenAI アカウントを使用することも可能だ。

AIのパーソナルアシスタントが本来の意味で生活や仕事のアシストをしてくれるのはワクワクもしますし、面倒な日常のあれこれから解放させてくれそうでもあります。その日は、そう遠からず来そうな気もしますが、2012年の3月に Siri が日本語リリースされてから、どれだけ賢くなったかを考えると、うーん、悩ましい・・・

iOS 17.2 で悪用された高度且つ巧妙な攻撃に対する、追加対策パッチのようです。前回の含めて特定の個人をターゲットにした、an extremely sophisticated attack だそうでありまして、なるべく皆さん早めにアップデートいただいた方がよろしいかと思います。

急ぎリリースされた内容としては以下のものとなります。

• iOS 18.3.2 , iPadOS 18.3.2
• macOS Sequoia 15.3.2
• visionOS 2.3.2
• Safari 18.3.1

ご無沙汰してます！

いよいよ Apple Intelligence が近づいてきたのか？を予感させるアップデートが一挙リリースです。前回のリリースからですが、iOS17.7.3 以降は iPadOS のみのリリースとなっています。

このリリースには「Apple 社が悪用された実績のある脆弱性」のセキュリティアップデートも含まれていますので、皆さん必ずアップデートしてくださいね！

• iOS18.3 , iPadOS18.3
• visionOS 2.3
• iPadOS 17.7.4
• macOS Sequoia 15.3
• macOS Sonoma 14.7.3
• macOS Ventura 13.7.3
• watchOS 11.3
• tvOS 18.3
• Safari 18.3

前回サボってしまったので、MDMなどに実装された制限キーなどもご紹介しますね。
iOS18.2 アップデート

• MDM は ChatGPT を含む Apple Intelligence 統合を管理できます。
• MDM は、Image Playgrounds やその他のアプリでの Apple Intelligence イメージ生成を制限できます。
• Safari の多要素認証で、ハードウェア セキュリティ キーの PIN が確実に受け入れられるようになりました。
• MDM を使用してデフォルトのブラウザを設定し、ユーザーがデフォルトのブラウザを変更できないように設定できるようになりました。
• Apple Configurator での自動登録を完了できるように、新しいスキップ キーが追加されました。
• アカウント駆動型登録の一環としてのサービス検出では、Apple School Manager または Apple Business Manager にリンクされた MDM ソリューションによって指定された代替の場所から既知のリソースを要求できます。（2025/01/29現在うまく動きません？？なんかやり方あるのかな？？）

iOS18.3 アップデート

• Apple Intelligence は、iOS 18.3 にアップデートした後、またはデバイスのセットアップ中に、MDM が Apple Intelligence セットアップ パネルをスキップしない限り、自動的にオンになります。
• MDM では、ChatGPT などの外部インテリジェンス統合へのリクエストに対して、指定された Workspace ID からのサインインを要求することができます。
• MDM では、Notes での転写要約を無効にすることができます。
• SSO の信頼性が向上し、ログインがタイムアウトしてユーザー名とパスワードのプロンプトに戻ることがなくなります。

iOS 18.1 になって、劇的に変わった点があります。
通話内容の録音と、iPhoneローカルでの留守番電話機能と文字起こしです。

通話録音機能は、通話中に左上の録音アイコンをタップすると、相手に「録音を開始します」という案内を出しつつ、電話での通話内容を録音することができます。プライバシーを尊重する Appleらしく、相手に録音する意思を伝えますので、相手が嫌なら電話を切ってしまうこともできます。

また、留守番電話については一定時間経過すると自動で留守番録音をしつつ、文字起こしをしてくれるので（精度はともかく）、ミーティング地獄な昨今では、非常に助けになってくれる便利な機能となっておりおます。

さて、この通話録音や留守番電話録音機能はとても便利な機能なのですが、これまた Apple らしくユーザの利便性とプライバシーを優先するあまり、組織におけるリスクを余り考えてるとは言いがたい実装になっています。

録音された通話データはどこにいくのでしょう？メモ帳に「＊＊＊さんとの通話」というメモが新規に作成され、なんと添付ファイルとして m4a ファイルがべた貼りされているではありませんか・・・

​

組織では ファイルApp は制限している企業が多いと思うのですが、iPhone の痛い概念というか、残念なところでもあるのですが、至る所にデータ・機能と UI App は別物という影響が見て取れます。

例えば、ローカルに連絡帳を保存したくない組織が連絡帳 App をMDMから Block App として消去しても、iPhone 内の連絡帳データは、電話App や サードパーティApp を含め様々なところからアクセスができ、作成、保存何でもできてしまいます。

写真もそうです。写真App と写真データは別物です。写真App を消しても、写真データはローカルに残り続けるのが Apple の仕様であり、写真App が無くとも、サードパーティアプリや、Webを通じてメディアデータを送信できてしまうのも Apple の痛いところです。（sandboxと言いつつあんまりsandboxじゃないという・・・）

MDMから管理された領域として、管理、非管理という概念はあるものの、管理同士、非管理同士ならデータは渡し放題になります。Webサイトの管理ドメイン以外は非管理ドメインですから、管理ドメイン以外のWebサイトへのメディアアップロードを防止するには SASE 製品などに頼らざるをえませんが、スマートフォンの利用においては、このアップロード防止についてもかなり難しいのが現状です。


メモ帳は非管理アプリで、ローカルファイルデータも非管理データ、録音データも非管理データなので、非管理同士仲良く録音データはメモ帳、ローカル領域に保存可能で、その後は、どこにでも行ってしまえよいう乱暴な状態になってしまうわけです。

ローカルに留守番電話が録音されて、文字起こしまで！とても便利なライブボイスメール機能ですが、これも同様です。右上に見えるメニューアイコンが危険な香りを放ちつつ、やはり共有⇒ファイルに保存や、メモ帳に転送が出来てしまったら、あとは通話録音データと同じになります。

今のところ悲しいことにこれらの、データ流出を防止する策は見当たりません。まだ実装されてるMDMも少ないので、以下のデータを MDM から配布することで、通話録音機能と、ライブ留守電を完全に制限することができます。

*AAAAAAAAAAAAAAAA* と *BBBBBBBBBBBBBBBBBBB* 部分は、恒例ですが macOS のターミナルや linux のターミナルであれば、uuidgen で生成した値を、Windows ではあれば Powershell を起動して New-Guid で生成した値を貼り付けてご利用ください。ファイル名はお好きなファイル名で、拡張子は .mobileconfig で Intune 、Jamf などにアップロードしてお使いいただけます。

先にも書いた通り、データとUIを分離するのは良いのですが、企業用と個人用という分離の観点ではこれが足かせになってる感が否めません。Android みたいに、電話アイコンが個人用途企業用に2つある、という方が分かりやすいのにな？と思ってしまいますし、それ以前に録音データのメディアデータをメモ帳にベタ貼りするとか乱暴過ぎる！ｗ　所有社以外のプライバシーに関わる機微なデータだけに、もう少し扱いを考えてもらえれば、こういう便利な機能を企業にも提供できるのに！！Apple さん対策を求む！！

現在、Apple Business Manager が利用できない状況がおきております。