※2018/09/27 更新情報
macOS Mojave のリリースとともに Apple Configurator 2 がリリースされたのですが、そのリリース内容を見ると、この問題を解決するための Restriction ペイロードに以下の２つの設定項目が追加されたようです。（JamfPro v10.7 ではまだ未対応の模様）この２つの項目をうまいこと設定することで、管理ソース←→非管理ソース制御は行ったまま、連絡先の制御が可能となりました。FMC に暗雲が立ちこめてた感がありましたが、これで一安心です！！
macOS Mojave のリリースとともに Apple Configurator 2 がリリースされたのですが、そのリリース内容を見ると、この問題を解決するための Restriction ペイロードに以下の２つの設定項目が追加されたようです。（JamfPro v10.7 ではまだ未対応の模様）この２つの項目をうまいこと設定することで、管理ソース←→非管理ソース制御は行ったまま、連絡先の制御が可能となりました。FMC に暗雲が立ちこめてた感がありましたが、これで一安心です！！
- 管理対象連絡先アカウントによる管理対象外アカウントへの書き込みを許可
- 管理対象外連絡先アカウントによる管理対象アカウントからの読み込みを許可
見た目派手なアップデートは無いように見えた iOS 11.3 では、プライバシーに関する重要なアップデートがありました。それは、ヨーロッパの GDPR を見据えたものと、Facebook がやらかしてしまったプライバシー問題に対する Apple の回答とも言うべきものでした。
Apple のデバイスには、サンドボックス化された安全性の高いアプリケーションや、ファイルシステムへのバス暗号化など突破するのも難しい数々の安全機構に支えられて、国内企業のスマートデバイスの大きな市場も手に入れました。
企業ではMDMによるデバイス管理が一般化され、iOS デバイスの監視モードとセットでデファクトスタンダードとなりました。
そんな中、iOS 11.3 から小さな機能変更が大きなインパクトをもたらしています。それがタイトルの連絡帳などのお話しです。その前に、管理ソースと、非管理ソースのお話しをおさらいしましょう。・管理対象連絡先アカウントによる管理対象外アカウントへの書き込みを許可
・管理対象外連絡先アカウントによる管理対象アカウントからの読み込みを許可
Apple のデバイスには、サンドボックス化された安全性の高いアプリケーションや、ファイルシステムへのバス暗号化など突破するのも難しい数々の安全機構に支えられて、国内企業のスマートデバイスの大きな市場も手に入れました。
企業ではMDMによるデバイス管理が一般化され、iOS デバイスの監視モードとセットでデファクトスタンダードとなりました。
そんな中、iOS 11.3 から小さな機能変更が大きなインパクトをもたらしています。それがタイトルの連絡帳などのお話しです。その前に、管理ソースと、非管理ソースのお話しをおさらいしましょう。・管理対象連絡先アカウントによる管理対象外アカウントへの書き込みを許可
・管理対象外連絡先アカウントによる管理対象アカウントからの読み込みを許可
MDM と監視モードを使っている企業が対象
DEP (Device Enrollment Program) や監視モード設定されたデバイスを、MDM で管理している企業が今回の事象に遭遇している対象となります。しかし、対象となっている企業の管理手法が間違っているというわけでは決してありません。
iOS の概念では、MDM から配布されたものは管理ソース（Managed）と呼ばれ、それ以外の個人が App Store でダウンロードした App など MDM 外から入手したものは非管理ソース（Unmanaged）と呼ばれます。
iOS 標準のビルトインアプリ（標準インストールアプリ）は、すべからず非管理ソースという位置付けになります。非管理ソースのアプリである Safari や Mail を使っても管理ソース制御ができるように、ある特定の Webサイトで閲覧しているデータを管理ソースとしたい場合や、会社のメールに添付されたデータを管理ソースとしたい場合などのために、管理ドメインや、管理アカウントという概念も導入されました。
MDM の設定では、この管理ソース→非管理ソースへのデータの受け渡しを許可・禁止するかの設定、その逆に、非管理ソース→管理ソースへのデータの受け渡しを許可・禁止するかの設定が個別に行えます。多くの企業がこの双方向のデータアクセスを禁止にしいるかと思います。（これが結果的に影響しています。後述）
しかし本来非管理ソースである筈の iOS のビルトインアプリの中で、とてもグレーなポジションのアプリがいくつかあります。それが連絡帳、写真、カレンダーです。連絡帳も、写真もその機能からわかる通り、アプリとしてサンドボックス化されていません。連絡帳というアプリは消しても、iPhoneの 電話 App や、メッセージ App から連絡帳の中身は閲覧や更新ができてしまいますし、写真の中の写真データや動画データは、カメラAppからもアクセス出来ますし、Safari のファイルアップロードなどからもアクセスができますし、Mail やメッセージ App の添付データとしても写真データにアクセスが出来てしまうのです。このためか、長らく連絡帳データも、写真データも管理ソースの App やドメインからでも、非管理ソースの App やドメインからでも、どちらかでもアクセスができていたのです。そのポリシーが iOS 11.3 から変更になりました。
iOS 11.3 では、写真を除いて連絡帳、カレンダーはすべからず非管理ソースとなりました。そのため、今迄 MDM から連絡帳のバックアップ App を配信していた企業は、たちまち連絡帳のバックアップが行えないという憂き目にあいます。それだけではなく、企業で利用する MDM から配布された業務 App から写真データの閲覧や添付もできなくなりました。困ったことに、MDM から Apple ID なしで App をデバイス配布していた企業にとって、Apple IDを使わせないで非管理ソースとして App をインストールすることもできません。 （セキュリティ的に非管理ソースで App を配信するというのもおかしな話しですし）
連絡帳に関して言うと、データはローカルで追加されたプライバシーに該当するデータと、管理アカウントとして LDAP 設定としてMDMから配信されたものと両方の閲覧が行えます。この場合、ローカルで追加したデータは非管理ソースで、LDAP で配信されたデータは管理ソースとなります。
では、このような場合、どのように対処したら良いかと言うと、非管理ソース→管理ソースへのデータの受け渡しを許可する設定を行うしかありません。勿論、非管理ソースから管理ソースにデータが渡せることによるリスク評価は必要となりますので、事前に発生しうるリスクは確認していただきたいと思いますが・・・（そんなに問題は無さそうな気はしますね）
詳しい説明求む！という方は、是非当社の iOS デバイス導入支援サービスを検討してみてください！
iOS の概念では、MDM から配布されたものは管理ソース（Managed）と呼ばれ、それ以外の個人が App Store でダウンロードした App など MDM 外から入手したものは非管理ソース（Unmanaged）と呼ばれます。
iOS 標準のビルトインアプリ（標準インストールアプリ）は、すべからず非管理ソースという位置付けになります。非管理ソースのアプリである Safari や Mail を使っても管理ソース制御ができるように、ある特定の Webサイトで閲覧しているデータを管理ソースとしたい場合や、会社のメールに添付されたデータを管理ソースとしたい場合などのために、管理ドメインや、管理アカウントという概念も導入されました。
MDM の設定では、この管理ソース→非管理ソースへのデータの受け渡しを許可・禁止するかの設定、その逆に、非管理ソース→管理ソースへのデータの受け渡しを許可・禁止するかの設定が個別に行えます。多くの企業がこの双方向のデータアクセスを禁止にしいるかと思います。（これが結果的に影響しています。後述）
しかし本来非管理ソースである筈の iOS のビルトインアプリの中で、とてもグレーなポジションのアプリがいくつかあります。それが連絡帳、写真、カレンダーです。連絡帳も、写真もその機能からわかる通り、アプリとしてサンドボックス化されていません。連絡帳というアプリは消しても、iPhoneの 電話 App や、メッセージ App から連絡帳の中身は閲覧や更新ができてしまいますし、写真の中の写真データや動画データは、カメラAppからもアクセス出来ますし、Safari のファイルアップロードなどからもアクセスができますし、Mail やメッセージ App の添付データとしても写真データにアクセスが出来てしまうのです。このためか、長らく連絡帳データも、写真データも管理ソースの App やドメインからでも、非管理ソースの App やドメインからでも、どちらかでもアクセスができていたのです。そのポリシーが iOS 11.3 から変更になりました。
iOS 11.3 では、写真を除いて連絡帳、カレンダーはすべからず非管理ソースとなりました。そのため、今迄 MDM から連絡帳のバックアップ App を配信していた企業は、たちまち連絡帳のバックアップが行えないという憂き目にあいます。それだけではなく、企業で利用する MDM から配布された業務 App から写真データの閲覧や添付もできなくなりました。困ったことに、MDM から Apple ID なしで App をデバイス配布していた企業にとって、Apple IDを使わせないで非管理ソースとして App をインストールすることもできません。 （セキュリティ的に非管理ソースで App を配信するというのもおかしな話しですし）
連絡帳に関して言うと、データはローカルで追加されたプライバシーに該当するデータと、管理アカウントとして LDAP 設定としてMDMから配信されたものと両方の閲覧が行えます。この場合、ローカルで追加したデータは非管理ソースで、LDAP で配信されたデータは管理ソースとなります。
では、このような場合、どのように対処したら良いかと言うと、非管理ソース→管理ソースへのデータの受け渡しを許可する設定を行うしかありません。勿論、非管理ソースから管理ソースにデータが渡せることによるリスク評価は必要となりますので、事前に発生しうるリスクは確認していただきたいと思いますが・・・（そんなに問題は無さそうな気はしますね）
詳しい説明求む！という方は、是非当社の iOS デバイス導入支援サービスを検討してみてください！
RSSフィード
