APNを利用できるようにデバイスを構成する

モバイルデバイス管理（MDM）ソリューションは、Appleプッシュ通知サービス（APNs）により、公共ネットワークとプライベートネットワークの両方でAppleデバイスとの継続的な通信を維持します。Appleデバイスでは、APNsを使用してアップデート、MDMポリシー、受信メッセージを確認します。MDMソリューションには、デバイスと通信するためのAPNS証明書、安全に通信するためのSSL証明書、および構成プロファイルに署名するための証明書などの複数の証明書が必要です。

AppleデバイスがAPNsを利用できるようにするには、そのデバイスのネットワークトラフィックがAppleネットワーク（17.0.0.0/8）に直接、またはネットワークプロキシを使用して到達できるようにします。Appleデバイスは、特定ホストの特定ポートに接続する必要があります:

デバイスのアクティベーション中、およびそのあとにポート5223でデバイスがAPNsに到達できない場合のフォールバックのためのTCPポート443
APNsと通信するためのTCPポート5223
APNsにMDMからの通知を送信するためのTCPポート443または2197

Webプロキシまたはファイアウォールポートを構成して、AppleデバイスからAppleネットワークへのネットワークトラフィックをすべて許可することが必要になる場合もあります。iOS 13.4、iPadOS 13.4、macOS 10.15.4、tvOS 13.4以降では、APNsがプロキシ自動設定（PAC）ファイルで指定されている場合、Webプロキシを使用できます。

注記: Apple Vision Proがプッシュ通知を受信できるのは、デバイスが装着およびロック解除されている場合のみです。

エンドポイントとサーバで、何層ものセキュリティがAPNSに適用されています。トラフィックの検査または経路の変更が試行されると、クライアント、APNS、およびプッシュプロバイダのサーバが、そのネットワーク通信を不正で無効なものとしてマーキングします。機密情報がAPNsで転送されることはありません。

ヒント: MDMで使用するためのAPNs証明書を作成するときは、管理対象Apple Account（推奨）またはApple Accountを書き留めてください。証明書の更新（年1回が必須）の際にそのApple IDが必要になります。また、期限切れになる前に、MDMソリューションで使用するすべての証明書を余裕を持って更新するようにしてください。詳しくは、Appleプッシュ通知証明書ポータルを参照してください。

MDM顧客用プッシュ通知設定のセキュリティの向上

MDMデベロッパは現在、Appleプッシュ通知サービス（APN）を使用して、顧客向けに簡素化されたpush-certificate-creationプロセスを作成できます。これには顧客ごとに証明書署名要求（CSR）を作成して署名する必要があります。そのあと、それぞれの顧客が提供されたCSRを使用して、Appleプッシュ通知証明書ポータルから証明書を取得できます。

Appleプッシュ通知証明書ポータルでは、年内にはCSRがセキュリティ向上のためにSHA2アルゴリズムで署名することが要求されるようになります。SHA1で署名されたCSRには証明書は発行されなくなります。ベストプラクティスについて詳しくは、Apple Developer Webサイトの「プッシュ通知を設定する」（英語）を参照してください。

役に立ちましたか？

Appleプラットフォーム導入

APNを利用できるようにデバイスを構成する

MDM顧客用プッシュ通知設定のセキュリティの向上