セキュリティその他

macOS Tahoe 26 MDMアップデートやめるってよ

投稿日 2025.09.18
Intune Jamf Jamf Pro Kandji Mac macOS

はじめに

どーもみなさんこんにちは。ねもてぃです。

macOS Tahoe 26、リリースされましたねー。

WWDC 2025でも発表がありましたが、従来のMDMによるソフトウェアアップデートは廃止され、宣言型デバイス管理(Declarative Device Management/DDM)への移行が行われています。

What’s new in Apple device management and identity

macOS Tahoe 26 Tahoeのリリースノートでも、

Software update management using mobile device management commands, restrictions, the com.apple.SoftwareUpdate payload, and queries is deprecated and will be removed next year. Going forward, software updates can be managed and enforced using only declarative software update management.
https://support.apple.com/en-us/124963

と、MDMコマンドによるアップデートや制限については非推奨となり、DDMによる管理を行うように明記されています。

また、Apple DeveloperのSoftwareUpdate ペイロードに関する記述も「Deprecated(非推奨)」の表記が追加されています。

そのため今までJamf ProやIntuneで設定していたものがうまく機能しなくなる可能性があるので、今のうちに変更しておきましょーという記事になります。

宣言型デバイス管理(Declarative Device Management/DDM)とは

前回の記事で書いた内容と同じですが、一応触れておきます。

宣言型デバイス管理とAppleデバイスの概要

Declarative Device Management（DDM）は、Appleが導入した新しいモバイルデバイス管理（MDM）の仕組みです。従来のMDMがサーバー主体で設定を適用するのに対し、DDMではデバイス自身が設定を管理・適用するため、より柔軟でリアルタイムなデバイス管理が可能になります。

主な特徴

デバイスが主体的に設定を適用し、サーバーの指示待ち不要

ローカルでの状態管理により、常に適切な設定を維持

ネットワーク負荷を軽減し、効率的にデバイスを管理

メリット

設定の適用がリアルタイムで行われる

サーバーとの通信が減り、負荷が軽減

デバイスが自動でポリシーを維持し、管理がスムーズ

対応OS: iOS 15以降、iPadOS 15以降、macOS 12以降など
DDMにより、企業や教育機関のデバイス管理がよりシンプルで効率的になります。
~ChatGPTより~

Appleの新しいデバイス管理に関するプロトコルなのですが、このDDM型の管理機能の拡張にだいぶ力を入れており、基本的にはDDM型に移行していくとアナウンスされています。

Intuneの例

Intuneの場合は「macOS の更新プログラム」によるアップデート管理が該当し、公式ドキュメントでもDDMへの移行が案内されています。

Apple 非推奨の MDM ベースのソフトウェア更新ワークロード。代わりに、DDM を使用して更新プログラムをインストールすることをお勧めします。これらの変更の詳細については、「 Apple ソフトウェア更新プログラムの宣言型デバイス管理に移行するためのサポートヒント」を参照してください。
Microsoft Intuneで MDM ベースのポリシーを使用して macOS ソフトウェア更新プログラムを管理する

というわけなのでDDM型の設定をしていきます。

Intune管理センター > デバイス > macOS > 構成 > “+ 作成” > “+ 新しいポリシー” > 「設定カタログ」を選択し”作成” > 基本情報に任意の名前を設定し”次へ” > “+ 設定の追加”を選択し、「宣言型デバイス管理(DDM)」の下にある、「ソフトウェア更新プログラムの適用(最新)」を選択して追加します。

強制アップデートではなく、特定期間アップデートの表示を延期したい場合は「ソフトウェア更新設定」の「遅延」を選択して追加します。アップデート表示の遅延をしたい場合も、DDMに移行する必要があるので併せてご確認ください。

Jamf Proの例

Jamf Proの場合は、下記ドキュメントにJamf Pro ブループリントへの移行の案内が記載されています。

重要：Apple は、macOS 26でのコンピュータ構成プロファイルの制限ペイロード内の設定のアップデートを延期のキーを非推奨にしました。Jamf では、Jamf Pro ブループリントのソフトウェアアップデート設定コンポーネントを使用してソフトウェアアップデートの延期を管理することを推奨しています。詳しくは、Jamf Pro ブループリント構成ガイドのブループリントビルダーを参照してください。
構成プロファイルを使用して macOS ソフトウェアのアップグレードとアップデートの利用を延期する

構成プロファイルの設定にてアップデート表示の延期設定を行っている場合は、「Jamf Pro ブループリント」へ移行する必要があります。

注意点としては、このJamf Pro ブループリントを使用するためには、Jamf Pro管理コンソールへのSSO設定を「Jamf Account」に設定しないといけない点となります。

重要：この機能を使用するには、Jamf Account で構成した OIDC ベースのシングルサインオン (SSO) を使用して Jamf Pro にログインする必要があります。OIDC アイデンティティプロバイダ (IdP)をお持ちでない場合は、 SSOオプションとして Jamf ID をご利用いただけます。詳しくは、Jamf Pro ドキュメントの Jamf Account 経由の OIDC による SSO を参照してください。
Jamf Pro ブループリント構成ガイド

あくまでJamf Pro管理コンソールへのSSO設定のみの変更が必要であり、「エンドユーザに SAML 認証を使用 (Jamf Pro の IdP 設定の使用)」にチェックを入れておくことで、自動デバイス登録時の登録カスタマイゼーションやUser-Initiated Enrollment(URLからの手動登録)時のSSOはそのままにしておくこともできます。

ブループリントを使用できるようになると下記画面に変わるので「ソフトウェアを最新バージョンにアップデート」を選択します。