こんにちは、みともりです。
現職では週１出社で普段はリモート勤務なんですが、たまに「PCが壊れた！」と連絡をもらった時は急いで出社してセットアップしておりました。 
もちろんそういう場合の出社は必要だと思うのですが、会議などですぐ出社できないときもありますし、着手中のタスクが止まっちゃうので、できるなら出社せずに対応したいですよね。 
ということで、情シスの作業なしでユーザーがセルフでPCをセットアップできるようにして、社内に新品在庫を置いておき、必要に応じてピックアップしてもらうという運用を目指します。(=ゼロタッチデプロイ)
今回の対象はmacOSということなんですが、macOSのデバイス管理のデファクトスタンダートといえばJamf Proです。もちろんJamf Proを使いたいのは山々なんですが、最低発注数が決まっているのでMacデバイスが社内に少数しかないという場合は導入のハードルが高いです。
そんなときは１ライセンスから購入できて比較的安価なIntuneを使ってみるのはいかがでしょうか？ 
Web上ではmacOSをIntuneでゼロタッチ化したというナレッジは少ないのですが、多くを求めなければなんとか実現できます。
ということで、早速ですがユーザー側はでどうやってセットアップを行うことになるのかをご覧ください。
<h1 id="%E7%92%B0%E5%A2%83">
<a class="header-anchor-link" href="#%E7%92%B0%E5%A2%83" aria-hidden="true"></a> 環境</h1>
MacBook Pro 13-inch, M1, 2020 
macOS Ventura 13.0.1
<h1 id="%E3%82%BB%E3%83%83%E3%83%88%E3%82%A2%E3%83%83%E3%83%97%E6%89%8B%E9%A0%86">
<a class="header-anchor-link" href="#%E3%82%BB%E3%83%83%E3%83%88%E3%82%A2%E3%83%83%E3%83%97%E6%89%8B%E9%A0%86" aria-hidden="true"></a> セットアップ手順</h1>
初回起動からWi-Fiネットワーク接続までは通常のキッティングと同じです。サクッと進めましょう。 
<img src="https://storage.googleapis.com/zenn-user-upload/32b241d1b0a5-20221116.png" alt loading="lazy" class="md-img"> 
<img src="https://storage.googleapis.com/zenn-user-upload/9426274888e8-20221116.png" alt loading="lazy" class="md-img"> 
<img src="https://storage.googleapis.com/zenn-user-upload/91f1cd16e0d0-20221116.png" alt loading="lazy" class="md-img"> 
<img src="https://storage.googleapis.com/zenn-user-upload/cdb62d8d40ff-20221116.png" alt loading="lazy" class="md-img">
ADE(Apple Device Enrollment)が有効になっているのでリモートマネジメント画面が表示されます。続けるを押しましょう。 
<img src="https://storage.googleapis.com/zenn-user-upload/355fbe4b66ee-20221116.png" alt loading="lazy" class="md-img">
資格情報を求められるのでIntuneライセンスが紐づいたAzureADアカウントでログインします。 
<img src="https://storage.googleapis.com/zenn-user-upload/b4590a2cfd30-20221116.png" alt loading="lazy" class="md-img">
ローカルアカウントを作成します。先ほど入力したAzureADのアカウントとは同期してくれないので注意。 
<img src="https://storage.googleapis.com/zenn-user-upload/c41ad5614f93-20221116.png" alt loading="lazy" class="md-img">
TimeZoneを選択します 
<img src="https://storage.googleapis.com/zenn-user-upload/e6bea12c1a9a-20221116.png" alt loading="lazy" class="md-img">
デスクトップが表示されました。ここで色々表示されますが全部無視します。 
<img src="https://storage.googleapis.com/zenn-user-upload/cbbfedfc7bdc-20221116.png" alt loading="lazy" class="md-img">
数分したら初回インストールされるアプリケーションが自動でインストールされていることを確認します。 
今回は以下の４つです。
<ul>
<li>Google Chrome</li>
<li>Slack</li>
<li>MDfE(Microsoft Defender for Endpoint)</li>
<li>ポータルサイト 
<img src="https://storage.googleapis.com/zenn-user-upload/d44dbc2d6069-20221116.png" alt loading="lazy" class="md-img">
</li>
</ul>
次はポータルサイトアプリを起動して、先ほどと同じAzureADアカウントでログインします。 
<img src="https://storage.googleapis.com/zenn-user-upload/138c2dba23ba-20221116.png" alt loading="lazy" class="md-img">
ログイン後にダイアログが表示されるので、デバイスカテゴリを選択します。(ここは組織によって任意のデバイスカテゴリ名になります) 
<img src="https://storage.googleapis.com/zenn-user-upload/f85c5fc0c8ce-20221116.png" alt loading="lazy" class="md-img">
同期処理が完了してこのような画面になったらOSを再起動します。 
<img src="https://storage.googleapis.com/zenn-user-upload/4738cfc39fb5-20221116.png" alt loading="lazy" class="md-img">
再起動後にログインするとダイアログが表示されるのでFile Vaultを有効にします 
<img src="https://storage.googleapis.com/zenn-user-upload/864b506c403d-20221116.png" alt loading="lazy" class="md-img">
ここからは再度アプリケーションがインストールされますが、並行してChromeやSlackの利用を開始してもOKです。 
第二弾でインストールするアプリケーションは以下です。
<ul>
<li>Microsoft Office</li>
<li>プリンタドライバ</li>
</ul>
<h1 id="%E5%8B%95%E4%BD%9C%E7%A2%BA%E8%AA%8D">
<a class="header-anchor-link" href="#%E5%8B%95%E4%BD%9C%E7%A2%BA%E8%AA%8D" aria-hidden="true"></a> 動作確認</h1>
<ol>
<li>アプリケーションは自動でインストールされているか：OK</li>
<li>セキュリティ設定は自動で反映されているか：OK</li>
<li>MDfEはアクティベーションされているか：OK</li>
<li>USBメモリはブロックされるか：OK</li>
<li>プリンタドライバ及びプリンタ設定は追加されているか：OK</li>
</ol>
<h1 id="%E8%A3%9C%E8%B6%B3">
<a class="header-anchor-link" href="#%E8%A3%9C%E8%B6%B3" aria-hidden="true"></a> 補足</h1>
Q. どうして2回に分けてアプリケーションをインストールしているの？ 
A. 今回インストールしたプリンタドライバのインストールにRosetta2が必要だったからです。初回起動時に裏側でRosetta2をインストールしています。(デバイスカテゴリが設定された=Rosetta2がインストールされている、ということにしています) 
※ Office365はM1対応していますが、インストールに時間がかかったので再起動後でのインストールとしました。
<h1 id="%E8%AA%B2%E9%A1%8C">
<a class="header-anchor-link" href="#%E8%AA%B2%E9%A1%8C" aria-hidden="true"></a> 課題</h1>
<ol>
<li>ローカルアカウントをユーザーに作ってもらう必要がある
<ul>
<li>マニュアルではこんな感じのユーザー名にしてねと指定してますが、ちゃんと見てなかったりtypoしたりすると意図せぬユーザー名になることがあります</li>
</ul>
</li>
<li>コンピューター名は情シスで設定が必要
<ul>
<li>後からIntune上で変更できるので大きな問題はないのですが、Shell Scriptを流し込んでダイアログからセルフでコンピューター名を入力してもらうようにしたいです</li>
</ul>
</li>
<li>たまにプリンタの追加に失敗する
<ul>
<li>IntuneではアプリケーションインストールやShell Scriptの実行の順序を定義できません。なので先にプリンタ設定用のShell Scriptが実行されるとエラーが発生してプリンタの追加に失敗します。</li>
</ul>
</li>
</ol>
<h1 id="%E3%81%BE%E3%81%A8%E3%82%81">
<a class="header-anchor-link" href="#%E3%81%BE%E3%81%A8%E3%82%81" aria-hidden="true"></a> まとめ</h1>
なんとかゼロタッチデプロイっぽいものはできましたがユーザーによる作業がそれなりに発生してしまいますし、上記で言及していない課題もいくつかあります。 
極論を言えばIntuneでもShell Scriptを作り込めばもっとユーザー体験を向上させることはできそうですが、初期構築やメンテナンスコストが爆上がりするのでおすすめはしません。 
DepNotifyなどすでに用意されているツールやMac管理のナレッジも豊富なので、ユーザー体験を向上させたかったらJamf ProやJamf Connectを導入すべきだと思いました。
ただ、冒頭で言及している通り少数のMacの管理でしたらIntuneでも十分だと思いますので、この記事を参考にしていただければと思います。
ちなみにこの記事では書ききれなかったことも多々ありますので、もし気になる方がいましたらTwitterのDMでご連絡ください！

【Intune】macOSでゼロタッチデプロイしてみた

Discussion