自動デバイス登録 中のローカルアカウントのプロビジョニング

Jamf Pro ドキュメント 11.28.0
Solution
Application
Content Type
テクニカル資料
Utilities & Services
version
11.28.0
ft:locale
ja-JP
vrm_version
11.28.0

自動デバイス登録 時に、管理対象ローカル管理者アカウント (管理対象管理者とも呼ばれます) を作成できます。プライマリユーザのローカルアカウント情報を構成することもできます。

macOS 10.15 以降を搭載したコンピュータでは、次の構成も可能です。

  • プライマリユーザのローカルアカウントのフルネームとアカウント名を事前に入力します。ご使用の環境に LDAP またはクラウド IdP サーバが含まれている場合は、ユーザ変数を入力できます。登録ユーザが登録時にこの情報を編集できないようにすることもできます。

  • ブートストラップトークンが Jamf Pro にエスクローされている場合、管理対象の管理者はログイン時にセキュアトークンを受け取ることができます。
要件

ユーザ変数に LDAP またはクラウドアイデンティティプロバイダ (IdP) 属性の値を事前入力できるようにするには、Jamf Pro で LDAP またはクラウド IdP サーバを構成する必要があります。詳しくは、LDAP ディレクトリサービスの統合 と クラウドアイデンティティプロバイダ を参照してください。

  1. 事前登録を作成または編集します。手順については、コンピュータの 事前登録の作成または編集 を参照してください。
  2. (オプション) アカウント環境設定 ペイロードで、以下の手順を実行してローカル管理者アカウント (管理対象の管理者) を作成します。
    注：

    アカウントで FileVault を使用する必要がある場合、または Apple シリコンを搭載したコンピュータでソフトウェアアップデートを認証する必要がある場合、パスワードのローテーションに MDM LAPS を使用することを、Jamf は推奨しません。セキュアなトークンを使用して暗号化が有効になった事前登録から管理対象ローカル管理者アカウントのパスワードのローテーションを行うと、ログインパスワードが変更されます。ただし、新しいパスワードは暗号化ユーザ認証のためには機能しません。

    1. 設定アシスタントの前に管理対象ローカル管理者アカウントを作成する チェックボックスを選択します。
    2. ユーザ名 と パスワード フィールドに入力し、パスワードを確認します。
      警告：

      ユーザによる登録設定で作成された管理対象ローカル管理者アカウントと、事前登録で作成された管理対象ローカル管理者アカウントに対して、同じユーザ名を使用しないでください。両方に同じユーザ名が使用されている場合、自動デバイス登録時にそれらのアカウントが正しく作成されず、予期しないエラーが発生する可能性があります。また、ローカル管理者パスワードソリューション (LAPS) のパスワードは Jamf Pro API では取得できません。

    3. ユーザとグループに管理対象管理者アカウントを非表示にする を選択します。
      これにより、ユーザは、システム設定 (macOS 13 以降) または システム環境設定 (macOS 12 以前) 内にある管理対象管理者アカウントの表示や操作ができなくなります。
    4. ローカル管理者アカウントを MDM 対応にする チェックボックスを選択します。
      これにより、管理対象の管理者アカウントが MDM 対応になります。
      警告：

      管理対象の管理者を MDM 対応にすると、後続のローカルユーザアカウントを MDM 対応にできなくなります。プライマリローカルアカウントが MDM 対応になっていない場合、ユーザレベルの構成プロファイルをユーザにインストールすることはできません。詳しくは、MDM 対応のローカルユーザアカウント を参照してください。

  3. 次のいずれか一つを選択して、プライマリユーザのローカルアカウントタイプを構成します。
    • 管理者アカウント —

      プライマリユーザをローカル管理者として作成する

    • 標準アカウント —

      標準ユーザアカウントを作成する

    • アカウントの作成をスキップ —
      登録時にアカウント作成をスキップする次の場合にこのオプションを選択します。

      • Jamf Connect などの別のソリューションは、自動デバイス登録 時にプライマリユーザローカルアカウントを作成するように構成されています。

      • 登録時には管理対象の管理者のみを作成する必要があります。

  4. Pre-fill primary account information (プライマリアカウント情報を事前入力) チェックボックスを選択し、次のオプションのいずれかを選択します。
    • カスタム詳細情報 —
      このオプションでは、コンピュータアカウントのフルネームとアカウント名を入力できます。この情報は、事前登録 を介して登録されたすべてのコンピュータに適用されます。LDAP またはクラウド IdP が Jamf Pro 環境に統合されている場合、変数を使用して、LDAP または IdP からユーザ情報を動的に入力することができます。以下の変数がサポートされています。

      • $USERNAME

      • $FULLNAME

      • $REALNAME

      • $EMAIL

      • $PHONE

      • $POSITION

      • $ROOM

      • $EXTENSIONATTRIBUTE_#

      注：

      • 変数に空の値が返された場合、プライマリアカウント情報をロックします 設定は無視され、ユーザは不足しているユーザアカウント情報を入力できます。

      • 変数として利用できるのは、ユーザ拡張属性のみです。コンピュータとモバイルデバイスの拡張属性はサポートされていません。

    • デバイス所有者の詳細情報 —

      このオプションは、登録時のコンピュータのインベントリ情報のユーザ名とフルネームの値に基づいて、アカウントのフルネームとアカウント名を設定します。登録時に認証が必要な場合、Jamf Pro から LDAP へのルックアップまたはクラウド (IdP) を使用して、ユーザの情報がデバイスに関連付けられます。

      注：

      事前登録 にシングルサインオン認証 事前登録 ペインを使用した登録カスタマイゼーション構成が含まれており、LDAP ディレクトリまたはクラウド IdP ルックアップが利用できない場合、Jamf Pro はアカウント名のみを受け取り、アカウント作成時にフルネームを取得できません。IdP からのユーザ名情報は、IdP の SAML アプリケーション内で定義された NameID 属性によって事前入力されます。この値をカスタマイズするオプションについては、IdP で確認してください。

  5. プライマリアカウント情報をロックします チェックボックスを選択して、設定アシスタント実行時に事前入力されたアカウント名とアカウントのフルネームをユーザが変更できないようにします。
  6. 保存 をクリックします。