MDM導入の手順と失敗例：端末棚卸しから段階展開まで情シスが進める6工程

MDMの製品を決めて契約したのに、全社の端末が管理下に入るまで何か月もかかる会社は少なくありません。原因の多くは製品ではなく、端末の購入経路で登録方式が変わることや、使用中のiPhoneやPCを管理下に入れ直すには初期化が要ることを、展開の直前に知る点にあります。この記事では、MDM導入を端末棚卸し・ポリシー設計・登録方式の選定・既存端末の再登録・パイロット運用・段階展開の6工程に分け、Apple・Google・Microsoftの公式情報に沿って各工程で決めることを整理します。導入で詰まりやすい失敗例と、作業を外部に任せる判断の基準まで、情シス担当者向けにまとめました。

まとめ：MDM導入は棚卸しと登録方式の決定を先に済ませ、少数端末の試行から広げる

MDM導入の成否は、管理画面の設定より前の準備で決まります。最初に端末を1台ずつ棚卸しし、所有区分・OS・購入経路・利用者を台帳にそろえてください。購入経路が分かれば、iPhoneを自動デバイス登録で入れられるか、Apple Configuratorで手動追加するかが決まり、使用中の端末を初期化する計画も立てられます。

展開は全社一斉にせず、情シスと協力部署の少数端末でパイロット運用を回してから部署単位で広げます。私物端末（BYOD）は同意と規程の整備に時間がかかるため、初回は会社支給の端末だけに絞るのが現実的です。Appleのプッシュ証明書は個人のアカウントで作らないこと。この1点を守るだけで、担当者の異動時に全端末を再登録する事故を防げます。

MDM導入の全体像と、管理画面を触る前にそろえる組織登録とアカウント

MDMそのものの仕組みや、EMM・UEMとの違いはMDMとは？モバイルデバイス管理の仕組みとEMM/UEMの違いで解説しています。ここでは製品が決まった後、実際に端末を管理下へ入れるまでの作業に絞ります。

MDM導入を6工程に分けた全体の流れと、工程ごとに残す成果物の一覧

導入作業は次の6工程に分けると、誰が何を決めればよいかがはっきりします。製品の比較と選定はこの前段にあたり、MDMツールの比較軸5つとタイプ別の選び方で扱っています。

成果物を残すのは、導入後に担当者が替わっても同じ判断を再現できるようにするためです。特に端末台帳と登録方式の対応表は、端末の追加や入れ替えのたびに参照します。

MDM導入前に用意する管理者アカウントとOSメーカー側の組織登録

MDM導入前に準備するのは、管理者アカウントとOSメーカー側の組織登録です。MDMの管理画面で設定を始めるより先に、OSメーカー側の組織登録の手続きを済ませてください。iPhone・iPad・Macを会社として一括管理するにはApple Business（旧Apple Business Manager）への組織登録、Androidを管理するにはAndroid Enterpriseとの連携が必要です。どちらも申込みから利用開始まで日数がかかる場合があるため、製品の契約と同時に手続きを始めてください。

もう1つ、Apple端末をMDMで管理するにはAppleのプッシュ証明書（APNs証明書）を作成します。MicrosoftのIntuneの手順書では、Apple MDMプッシュ証明書は作成に使ったApple IDに関連付けられ、会社のメールアドレスで作成して個人のApple IDは避けるよう案内されています。この証明書を誰のアカウントで作るかは、導入初日に決めるべき事項です。

端末棚卸しとポリシー設計で決めるMDM導入の管理対象と制限の強さ

棚卸しとポリシー設計は、後の登録方式とパイロットの範囲を決める工程です。ここを省くと、展開の途中で対象外の端末が見つかり、計画を組み直すことになります。

端末棚卸しで洗い出す所有区分・OS・購入経路・利用者の4項目

棚卸しでは、端末1台ごとに次の4項目を確認します。最優先は購入経路で、ここが分からないと次の工程に進めません。

1. 購入経路：Apple製品取扱店や通信事業者から法人として購入したか、量販店や個人購入か
2. 所有区分：会社支給か、私物端末の業務利用か、共用端末か
3. OSとバージョン：iOS・iPadOS・Android・Windows・macOSの内訳
4. 利用者と部署：誰が使い、退職や異動でどこへ戻るか

購入経路を先に確かめるのは、Appleや正規の販売店・通信事業者から直接購入していない端末は、Apple Configuratorで1台ずつ手動で追加する手順が必要になるためです。台帳をすでにIT資産管理ツールで持っている会社は、その台帳にMDMの管理状態の列を足すと二重管理を避けられます。台帳側の要件はIT資産管理ツールの選び方で整理しています。

部署別に分けるパスコード・暗号化・アプリ制限のポリシー設計の粒度

ポリシーは全社で1つにせず、業務の違いで2〜4種類に分けます。たとえば営業職の端末は社外へ持ち出すため紛失時のリモートロックと強いパスコードを優先し、店舗や倉庫の共用端末は特定アプリだけを動かす設定にする、といった分け方です。

制限を強くしすぎると、利用者が私物端末で業務を済ませるようになり、管理の外に情報が出ていきます。最初のポリシーはパスコードの強制、端末の暗号化、紛失時のロックと消去、業務アプリの配信の4点にとどめてください。カメラやアプリストアの禁止といった強い制限は、パイロットで業務への影響を確かめてから足しても遅くありません。

OS別の登録方式の選定と、使用中の端末を管理下に入れ直す再登録の段取り

登録方式はOSと購入経路の組み合わせで決まります。方式によって管理できる範囲と、利用者が管理を外せるかどうかが変わるため、棚卸しの台帳を見ながら端末ごとに割り当てます。

購入経路で選ぶ自動デバイス登録とApple Configuratorの使い分け

会社支給のiPhone・iPadは、Appleの自動デバイス登録で入れるのが基本です。自動デバイス登録の端末は監視対象となり、利用者が登録を解除できません。初回起動の設定アシスタントの段階でMDMに登録されるため、必要な構成やアプリの導入が終わるまで端末を設定アシスタントにとどめておくこともできます。

販売店経由で法人購入していない端末は、Apple Configuratorを使ってApple Businessに手動で追加します。iPhone用のApple ConfiguratorはiOS 16以降が必要で、追加する端末側は設定アシスタントの「Wi-Fiネットワークを選択する」画面で止めておく手順です。Appleの導入ガイドによると、この方法で追加した端末には、MDMへの割り当てと登録の後に管理から解除できる30日の暫定期間があります。利用者に渡す前に登録を済ませておくと、この期間を管理者の手元で消化できます。

Androidは完全管理・仕事用プロファイル・専用デバイスを所有区分で選ぶ

AndroidはAndroid Enterpriseの管理セットから、所有区分に合わせて選びます。棚卸しの所有区分がそのまま判断材料になります。

迷いやすいのは、私的利用を認めている会社支給の端末です。端末全体を管理したいなら完全デバイス管理、私的領域に触れないと約束したいなら仕事用プロファイルを選び、どちらにしたかを利用者向けの案内に書いておきます。

Windows PCのAutopilot登録と使用中のPCのリセット計画

Windows PCをMDMで管理する場合、新品のPCはWindows Autopilotで登録すると、イメージを作り直さずに設定とアプリを配れます。Microsoftの説明では、IntuneなどのMDMへの自動登録の構成にはMicrosoft Entra ID P1またはP2が必要です。契約済みのMicrosoft 365のプランに含まれているかを、導入前に確かめてください。

使用中のPCは、Autopilotのリセット機能で業務用の状態に戻してから登録し直す方法があります。リセットは端末の中身を初期状態に戻す操作なので、次のh3で述べるバックアップと日程の段取りが前提になります。

使用中の端末を初期化して再登録するときのバックアップと配布の順序

MDM導入で最も時間がかかるのが、すでに社員が使っている端末の扱いです。Apple Configuratorでの追加は設定アシスタントの画面から始まるため、使用中のiPhoneやiPadは初期化してから登録し直すことになります。設定済みのMacを追加する場合も、事前にすべてのコンテンツと設定の消去が必要です。

再登録は次の順で段取りすると、業務を止める時間を短くできます。

1. 業務データとアプリの設定を、クラウドストレージなど端末外へ退避する
2. 予備機を数台用意し、作業中の利用者に貸し出せるようにする
3. 部署ごとに作業日を決め、月末や繁忙日を避けて日程表を配る
4. 初期化と登録を済ませた端末を、ポリシー適用を確認してから返却する

台数が多く情シスだけでは手が回らない場合は、初期化と登録を含むキッティング作業を外部に任せる選択肢もあります。作業範囲と外注の判断はキッティングとは？PC設定の手順と外注判断で解説しています。

パイロット運用から全社展開へ広げる段階展開の進め方と事前に確かめる項目

登録方式が決まったら、全社展開の前に少数の端末で一連の操作を試します。ここで見つけた問題は数台分の手戻りで済みますが、全社展開後に見つかると全端末の設定変更になります。

情シスと協力部署の10台前後で試すパイロット運用の具体的な検証項目

パイロットは情シスの端末に、営業など持ち出しの多い部署の協力者の端末を加え、10台前後で始めるのが扱いやすい規模です。OSの種類と登録方式が本番と同じ組み合わせになるよう選んでください。検証する項目は次のとおりです。

• 登録：設定アシスタントや登録手順が利用者だけで完了するか
• ポリシー：パスコードと暗号化の強制が全端末に届くか
• アプリ配信：業務アプリが自動で入り、更新も配られるか
• 紛失対応：リモートロックと消去が実機で動くか
• 解除：退職を想定し、端末を管理から外して再配布できるか

消去と解除の検証は、本番で初めて実行すると取り返しがつきません。パイロット用の端末で必ず一度は実行し、手順書に画面ごとの操作を残しておきます。

部署単位で広げる展開の優先順位と、利用者への事前案内に書く内容

パイロットの結果を反映したら、部署単位で展開を広げます。順番は、紛失時の影響が大きい持ち出し端末の多い部署を先にし、社内でしか使わない端末を後にするのが合理的です。

展開の前に、利用者へ案内文を配ります。書く内容は、登録の手順と作業日、MDMで会社が取得する情報（端末名・OSのバージョン・インストール済みアプリの一覧など、製品の仕様に合わせて記載）、会社が見ない情報、紛失時の連絡先の4点です。位置情報を取得する設定にする場合は、その目的と取得するタイミングも明記してください。会社が何を見られて何を見られないのかを先に示しておくと、展開後の問い合わせが減ります。

全社展開後の端末追加・入れ替え・退職時の解除と台帳更新の運用手順

展開が終わった時点で、導入作業は運用に引き継がれます。日常的に発生するのは、新入社員への端末の追加、故障や機種変更による入れ替え、退職時の管理解除と回収の3つです。いずれも端末台帳の更新とMDM上の操作がセットになるため、手順書は台帳の列と管理画面の操作を対応させて書きます。

兼任の担当者1人に運用が集まる会社では、手順書を別の担当者が実行できる状態にしておくことが前提になります。少人数の体制で運用を止めない工夫は、MDMツールの中小企業向けの選び方で詳しく扱っています。

MDM導入で詰まる2つの失敗例と、導入作業を外部に任せるかどうかの判断

ここからは、導入の途中で計画が止まる典型的な失敗と、その避け方を条件付きで示します。

私物端末の同意を取らずに展開して止まる失敗と、BYODを後回しにする判断

会社支給の端末と私物端末を同じ日程で展開しようとすると、私物端末の側で止まります。私物端末に業務領域を作るには、本人の同意、取得する情報の範囲、退職時に業務データを消す手順、通信費などの費用負担を規程に書く必要があり、労務や法務との調整に時間がかかるためです。

結論として、初回の導入は会社支給の端末だけに絞り、BYODは規程が整ってから第2段階で扱うべきです。私物端末の利用を認めるかどうか自体が未定なら、MDMの展開計画には含めません。規程に盛り込む項目はBYODとは？私物端末の管理範囲と費用負担を参照してください。

個人のApple IDでプッシュ証明書を作り、担当者の退職で全端末が再登録になる失敗

Appleのプッシュ証明書は、365日有効で毎年の更新が必要です。期限が切れた後も30日間の猶予期間内なら更新できますが、更新は証明書を作成したときと同じAppleアカウントで行う必要があります。導入時の担当者が個人のApple IDで証明書を作り、その担当者が退職してアカウントに入れなくなると、更新ができずApple端末の管理を作り直す事態になりかねません。

避け方は単純で、証明書は複数人が受信できる会社の共有メールアドレスのApple IDで作り、更新期限を情シスの年間予定に入れておきます。すでに個人のApple IDで作ってしまっている場合は、期限が来る前にアカウントの持ち方を見直してください。

導入作業を自社で進める条件と、設定代行や運用保守を外部に任せる場面

次の3条件をすべて満たす会社は、導入作業を自社で進めて問題ありません。端末が数十台規模でOSが1〜2種類に限られること、使用中の端末の初期化を部署ごとに日程調整できること、導入後の運用を担う担当者が2人以上いることです。

反対に、数百台の使用中端末を一斉に再登録する場合や、iPhone・Android・Windowsが混在して登録方式が3種類以上になる場合は、初期化と登録の作業だけでも情シスの通常業務を圧迫する要因です。この場合は、設定とキッティングを外部に任せ、自社は台帳とポリシーの決定に集中するほうが展開が早く終わります。導入後の監視や問い合わせ対応まで含めて任せたい場合は、一創の保守運用・内製化支援で、運用を外部に預ける範囲と自社に残す範囲を整理するところから相談が可能です。費用の積み上げ方はMDMツールの費用相場と台数別の総額が参考になります。

よくある質問

MDM導入を進める情シス担当者から寄せられやすい質問をまとめました。

MDMの導入にはどのくらいの期間がかかりますか？

期間を左右するのは台数よりも、使用中の端末をどれだけ初期化して再登録するかです。新品の会社支給端末を自動デバイス登録やAutopilotで配るだけなら、組織登録とパイロットが済めば部署単位の展開は短期間で進みます。一方、使用中の端末を部署ごとに初期化する場合は、日程調整と予備機の貸し出しが必要になり、全社展開まで数か月を見込む計画が現実的です。

使用中のiPhoneをMDMに登録するには初期化が必要ですか？

監視対象として管理したいなら初期化が必要です。自動デバイス登録やApple Configuratorによる追加は、初回起動の設定アシスタントから登録する仕組みのためです。初期化せずに構成プロファイルを入れて登録する方法もありますが、その場合は監視対象にならず、利用者が管理を外せます。会社支給の端末は、初期化してでも監視対象にしておくことを勧めます。

MDMの導入を従業員に拒否された場合はどうすればよいですか？

会社支給の端末であれば、業務用端末の利用条件として就業規則や端末管理規程に定め、登録を貸与の条件にするのが基本です。拒否の理由は「私的な情報まで見られる」という不安であることが多いため、MDMで取得する情報と取得しない情報を案内文で具体的に示すと解消しやすくなります。私物端末の場合は強制できないため、同意を得られない人には会社支給の端末を貸与する選択肢を用意します。

MDM導入の前に社内規程の見直しは必要ですか？

会社支給の端末だけを対象にする場合でも、端末管理規程に「MDMへの登録」「紛失時の連絡と遠隔消去」「退職時の返却と管理解除」の3点は書いておくべきです。私物端末を対象に含める場合は、同意の取り方、業務データの消去範囲、費用負担まで規程で定める必要があります。規程の改定には承認の手続きがかかるため、端末棚卸しと並行して着手すると展開の日程に影響しません。

無料トライアルの段階で本番の端末を登録してもよいですか？

本番の端末は登録せず、検証用の端末だけで試すことを勧めます。トライアル環境に登録した端末を本契約の環境やほかの製品へ移すには、移行や再登録の手順が必要になり、利用者の手を再び止めることになります。トライアルでは、パイロットで確認する登録・ポリシー・アプリ配信・消去・解除の5項目を検証用端末で一通り試し、製品の判断材料をそろえてください。

関連記事

• MDMとは？モバイルデバイス管理の仕組みとEMM/UEMの違い・選び方【情シス向け】：MDMの定義と管理できる範囲、EMM・UEMとの違いを解説しています。
• MDMツールの比較軸5つとタイプ別の選び方：登録方式とID基盤連携で候補を絞る手順：導入の前段にあたる製品選定の比較軸をまとめています。
• MDMツールの費用相場と台数別の総額：初期費用・基本料・オプション・運用代行の積み上げ方：導入にかかる費用を内訳ごとに試算しています。
• MDMツールの中小企業向けの選び方：台数別の必要機能と情シス不在でも回る運用体制：台数規模ごとの必要機能と、少人数での運用体制を扱っています。
• キッティングとは？PC設定の手順・手作業とクローニングの違いと外注判断【情シス向け】：端末の初期設定作業の中身と外注の判断基準を解説しています。