「入社が続くと、情シスの仕事がキッティングで埋まってしまう」 デバイス管理のご相談で、最初に伺うことが多い悩みです。
1台あたり2〜3時間。 OSの初期設定、アカウント作成、Wi-Fi設定、業務アプリのインストール、セキュリティソフトの導入など、手作業で進める工程は多いです。 手動での実施の場合、手順書があっても、担当者が違うと設定は微妙に違ってきます。 入社が重なる月は、この作業だけでほかの仕事が止まってしまうこともあります。
対策としてまず思い浮かぶのは、キッティングを自動化するツールの導入でしょう。 たしかに効率化するためには何らかのツールは必要です。 しかし実際に導入をご支援していると、時間を要するのはツールの設定よりも、その手前の下準備であることのほうが多いのです。 何を先に整えておくかで、導入後の運用がどれだけ楽になるかが大きく左右されます。
箱から出して電源を入れ、サインインするだけで設定とアプリが揃います。 そこに至るには、何を、どの順番で整えればよいのでしょうか。
自動キッティングの仕組み
自動キッティングは、大きく2つの仕組みの組み合わせで成り立ちます。
1つは、購入したPCを「会社の管理対象」として登録する仕組みです。 WindowsならWindows Autopilot、MacならApple Business Manager（最近「Apple Business」に呼称が変わりました）の自動デバイス登録がこれにあたります。 対応した販売店から購入した端末は、開梱前から会社のテナントに紐づいた状態になります。
もう1つは、初回起動時に設定とアプリを配信する仕組みで、一般にMDMと呼ばれます。 WindowsならMicrosoft Intune、MacならJamf Proが代表的な製品です。 ユーザーが初期セットアップを始めると、MDMが設定プロファイルとアプリを自動で適用します。
登録とMDMがつながれば、情シスがPCに触れないまま、ユーザーの手元で初期設定が終わります。 端末が最初にネットワークへつながったタイミングで、登録情報をもとにMDMへの割り当てが働き、設定とアプリの配信が始まる仕組みだからです。
発送も販売店からユーザーの自宅や拠点へ直送できるため、リモートワークでの入社対応が一気に楽になります。
導入の前提条件
仕組み自体よりも、前提を揃える作業のほうが時間はかかりやすいです。 着手前に、次の4点をご確認ください。
まずID基盤です。 Microsoft Entra ID（旧Azure AD）、または相当のクラウドID基盤が必要というだけなら、準備は簡単に思えるかもしれません。 しかし、オンプレミスのActive Directoryのみで運用されている場合は、話が変わってきます。 先にハイブリッド構成かクラウド移行の設計から着手することになり、この検討だけでまとまった時間がかかることもあります。
次にライセンスです。 Intuneを含むライセンス、たとえばMicrosoft 365 Business PremiumやEMS E3などをご用意ください。 MacでJamf Proを使う場合は、別途その契約が必要です。
3点目は購入経路です。 AutopilotやABMへの自動登録には、対応した販売店やリセラー経由での購入が前提になります。 家電量販店でそのつど購入されている場合は、登録が手作業になってしまうため、ご注意ください。
最後に、既存端末の扱いを決めておきましょう。 すでに配布済みの端末は自動登録の対象外のため、手動で登録するか、次のリプレイスまで併存させるか、方針を決めておいてください。 なお、以前から代理店経由で購入していてABMにはすでに登録済みという場合は、コマンド実行で既存端末も自動登録の対象に加えられます。
導入の進め方
5段階と聞くと身構えるかもしれませんが、実際にご支援する際は、おおむね次の順序で進めています。
1つ目の設計段階では、標準アプリのリスト、Wi-FiやVPNなどの設定項目、ディスク暗号化や画面ロックといったセキュリティ基準を確定します。 「誰がセットアップしても同じ状態のPCになる」ためのマスタ定義を作る工程であり、ここでの精度が後の運用を左右します。
2つ目は、IntuneやJamfに設定プロファイルとアプリ配信を構成し、テスト端末で検証する工程です。
3つ目は、販売店とAutopilot / ABMの登録契約を結び、以後に購入する端末が自動でテナントに載るよう購入経路を整える工程です。
4つ目は、直近の入社者数名で「直送、本人が開梱、サインイン」を実際に試すパイロット運用です。 ここで手順の穴を潰しておきます。
5つ目は、最後に入社フローへ組み込み、手作業でのキッティングを廃止します。
つまずきやすいポイント
導入支援の現場でよくつまずく点が、いくつかあります。
まず、アプリの配信形式です。 社内で使っているアプリの中には、サイレントインストールに対応しないものが混ざっていることがあります。 事前に全アプリの配信可否をご確認いただき、非対応のアプリは手動インストールに回すとよいでしょう。 再パッケージ化やスクリプトで無理に自動化するのは、あまりおすすめしません。
次に、回線品質です。 初回セットアップでは数GBのダウンロードが走ることもあります。 自宅回線が前提なら、所要時間の目安をあらかじめ使う方に伝えておくと、サポートへの問い合わせを減らせます。
Officeのように容量の大きいアプリは、デスクトップが表示されたあとにセルフインストールしてもらうという分け方も効果的です。 IntuneのポータルサイトアプリやJamf ProのSelf Serviceを使えばこれができます。
3つ目は、例外端末の線引きです。 開発用の特殊環境や共有端末など、標準構成に乗らない端末を無理やり押し込むと、設計そのものが複雑になることがあります。 例外は例外としてMDMの対象外に切り分ける、という判断もあります。 無理に標準構成へ合わせ込むよりも、その端末だけ別の方法で管理したほうが、全体の設計をシンプルに保てることが多いです。
そして、「登録しただけ」で止まるケースもあります。 AutopilotやABMへの登録は、自動化の入り口にすぎません。 MDM側の構成が薄いままだと、結局は手作業が残ってしまいます。 設定とアプリ配信まで作り込んで初めて、効果が出ます。
自動キッティングが変えるもの
標準的な構成の端末であれば、設計から標準化までを終えたころには、箱から出してサインインするだけの状態に近づきます。 しかし自動キッティングが本当に効いてくるのは、時間の節約だけではありません。 入社のたびにかかっていた2〜3時間は、その大半がなくなります。 それ以上に大きいのが、「誰がセットアップしても同じセキュリティ基準のPCになる」という統制です。
手作業に依存したキッティングでは、担当者ごとに設定が微妙にばらつきます。 そのばらつきは、そのままセキュリティの穴になりえます。 仕組みで統一すれば、このばらつきは大きく減ります。
台数が少ないうちに導入しておけば、端末が増えても1台あたりの手間はほとんど増えません。 台数が増えてから着手すると、それだけ移行の負荷は大きくなります。
MacとWindowsが混在する環境でのMDM選定は、別の記事で詳しく書きました。 貴社の環境でどこから手を付けるべきか相談したい場合は、デバイス管理導入支援のページをご覧ください。