Intune管理のiPhoneやiPadで、OSの強制バージョンアップをさせたい、でも最新化させたくない

iOS14がリリースされると、Officeアプリは13以降がサポート対象となり、12以前ではサポートされなくなります。そしてOfficeアプリのバージョンアップができなくなり、さらにはやがて、古いOfficeアプリでは利用できなくなるようです。

とはいえ、新しいメジャーバージョンは不具合残ってる可能性もあるし、14.1とかが出るまではアップデートさせたくないし。そんな時に、Intuneである程度コントロールする方法を紹介します。

1. 前置き
2. 前提
3. バージョンアップ強制
4. バージョンアップ遅らせ
5. バージョンアップポリシーの状況モニター
6. おまけ

1.前置き

さて、今年も今年でiOS14がリリースされたら、OfficeアプリのサポートはiOS13以降およびiPadOS13以降のみとなり、それ未満はサポートされなくなります。もともとのサポートポリシーでも、新バージョンと1つ前のバージョンと明記されていますね。

マイクロソフトのMicrosoft 365 と Office のシステム要件

https://www.microsoft.com/ja-jp/microsoft-365/microsoft-365-and-office-resources#coreui-heading-3b8v07b

Office は、iOS の最新バージョンとその 1 つ前のバージョンでサポートされます。iOS の新しいバージョンがリリースされたときは、Office のオペレーティング システム要件は、その時点での最新の 2 つのバージョン (iOS の新バージョンと 1 つ前のバージョン) になります。

昨年iOS13リリースではiPad OSがリリースされ、SafariやネイティブメーラーはiOSではなくMacOS アクセス要求とみなされるというので影響を受けた方もおられるんじゃないでしょうか。

必要な操作: iPadOS の起動に備えて条件付きアクセス ポリシーを評価および更新する（※2019年の、iPadOSリリースに関連する記事です）https://support.microsoft.com/ja-jp/help/4521038/action-required-update-conditional-access-policies-for-ipados

というわけで、古いOSを排除すべくバージョンアップさせねばなりません。とはいえメジャーバージョンアップしてすぐは不具合も出るものですからx.1とかx.2とかの修正版が出るまではバージョンアップさせないほうがベターでしょう。

バージョンアップさせたいが、最新版にはさせたくない、これをある程度（あくまで、ある程度、です）実現したいと思います。

2.前提

あくまで、という前提をいくつか書きます。

• 監視モードであること。ADE等で監視モードであることが必須です。
• ユーザーが手動でバージョンアップすることを防ぐことはできません。アップデートをブロックできるというわけではないのです。
• OSバージョンアップには、WiFiが必要です。無線がない場合は、OSダウンロードができないようです。
• OSバージョンアップは、相応のネットワーク負荷が発生します。iOS13では2GB以上だったとか。業務に影響が出ないように留意しましょう。macを使ってコンテンツキャッシュさせる方法もあるようです。
• 当然ですが、デバイスがOSをサポートしていることが必須です。iPhone7はOK。iOS14に対応しているデバイスはこれらです。

3.バージョンアップ強制

エンドポイント管理センター - デバイス -  iOS または iPadOS のポリシーの更新 でポリシーを作成できます。ポリシーに名前を付けて、対象OSバージョン、スケジュール、グループへの割り当てを構成できます。

新しいバージョンが出ると、選択肢に最新の更新プログラムと設定した場合は、新しいバージョンが出た際に自動適用されますので、明示的にバージョンを指定するのがベターです。

ユーザーに割り当てた後は定期的なチェックイン時にポリシーが適用されます。デフォルトでは8時間に一度です。どうしても…というケースはエンドポイント管理センターでのデバイスから「同期」させることも、デバイス側から「設定の確認」で同期することも可能ですが、数分程度のラグはあるので即時、というわけではありません。

4.バージョンアップ遅らせ

新しいバージョンが出たとき、通知を遅らせるだけの機能です。しばらくたつと通知されるようになります。

エンドポイント管理センター - デバイス -  構成プロファイル　からポリシーを作成できます。デバイスの制限プロファイルの中で作成しますので、既存プロファイルの設定変更しましょう。

デバイスの制限 - 全般 - ソフトウェア更新プログラムの延期 から設定します。有効にしたうえで、最大90日設定できます。2019年に13がリリースされたとき、90日後には13.3がリリースされていますから、90日に設定しておけば大きな問題はないでしょう。

5.バージョンアップポリシーの状況モニター

バージョンアップポリシーは、エラーデバイスの状況をモニターできます。

ダッシュボード - デバイス - モニター - iOS デバイスのインストールエラーから確認できますので、状況の把握に役立ちます。容量足りない、ダウンロード中、インストール中、失敗した、なども確認できます。

ダッシュボードのデバイス構成エラーで表示されている台数には含まれるのですが、プロファイルの割り当ての状態にはiOS強制アップデートのポリシーには表示されませんので、注意が必要です。

6.おまけ

Intuneに登録されているデバイスのOSとOSバージョンは、エンドポイント管理センター - デバイス - すべてのデバイスから確認・エクスポートできます。

11以前のユーザーがいたり（もうOutlookはほぼ使えない。不便してないんだろうか）、12のユーザーが結構な数いたり、なぜかβ版バージョンを使っているユーザーがいたり、なんてことがあるかもしれません。

私は、全デバイス情報をエクスポートして、iOS12未満を利用しているユーザーのグループを作成し13.6強制アップデートを設定。ある程度進展があったら、このグループに順次ユーザーを追加しています。