VICEが宣言型インフラにより
10年分のMDMポリシー負債を解消

課題

VICEは、大きな野心を抱くメディア企業です。社内にクリエイティブ・広告代理店を擁し、CM、映画、テレビ番組、ミュージックビデオを制作するスタジオ事業、A&E Networksと提携して運営するテレビチャンネル、そして外部クライアントからの仕事も請け負うポストプロダクション部門を展開しています。

メディア業界の多くの企業と同様、VICEもここ数年で大きな変革を経験しており、そのIT組織は以前よりもスリム化されています。トマス・オブライエン氏は、1人のチームメンバーと共に、日々のデバイス管理を担当しています。この小さなチームが、世界中に展開され、常に稼働しているデバイス群を維持しているのです。

従来のデバイス管理ツールは、その業務を容易にするものではなかった。そのツールは長年使用されており、ドキュメントがほとんどない中で歴代の管理者によって構築されてきたもので、VICEがすでに閉鎖したオフィスのポリシーが依然として残っていた。 そのツールが強制していた設定の一部はもはや意味をなさず、現在の設定と長年にわたって蓄積された不要な設定を区別する簡単な方法もありませんでした。

本当の問題は、トマスが絶えず自問していた「なぜこのマシンは、このポリシーの適用範囲内（または外）にあるのか？」という疑問に現れていました。その答えを見つけるには、拡張属性、同期されたグループ、適用範囲が定義されたポリシーをたどる必要がありました。 これら3つの要素は互いに独立しており、いずれかが他の要素と同期を失っているという現実的なリスクがありました。各オブジェクトの関連性に関するドキュメントがあったとしても、その確認作業は依然として困難な探検のようなものでした。

解決策

10年間に蓄積されたポリシーを新しいプラットフォームに移行すること自体が、このプロジェクトで最もリスクの高い部分になり得た。しかし実際には、移行は極めてスムーズに進んだ。Iruのチームが全工程にわたり密接に関与し、質問には迅速に回答してくれたため、世界中のオフィスに分散したデバイス群を抱える2人体制のITチームであっても、作業の規模を心配する必要は全くなかった。

デバイス群の移行が完了すると、Iruは設定ワークフローへのアプローチを根本から変えることで、「どのデバイスが対象範囲内か、あるいは範囲外か」という根本的な問題を解決しました。

この転換は、チームがデプロイメント全般について考える方法にも波及しました。旧プラットフォームでは、手作業で作成された何百ものルールや条件が必要とされていました。チームは時折、スクリプトやコマンドを手動で実行することもありました。一方、Iruのモデルは宣言型です。望ましい最終状態を定義すれば、プラットフォームがデバイスを継続的に監査し、条件に合致するまで是正措置を講じ続けます。そのプロセスを誰かが逐一監視する必要はありません。

自社開発のオンボーディングツールの廃止

このモデルによって置き換えられたものの一つに、VICEのITチームが長年にわたり構築・維持してきた自社開発のオンボーディング設定スクリプトがありました。このツールには、各オフィスや役割に応じた分岐ロジックやカスタムプロンプトが組み込まれていました。 機能はしていましたが、Appleが新しいmacOSをリリースするたびに、そのすべてを再検証する必要があり、内部の仕組みを本当に理解していたのはごく少数の人々だけでした。

VICEがIruに移行した際、トマスの上司は、チームがそのツールをゼロから再構築する必要があるかどうか尋ねました。 しかし、トマスは代わりに、Iruが独自に開発したMacオンボーディングフロー「Liftoff」を彼に見せました。これは、新入社員を自動的にセットアップの手順へと導くもので、Iruが新しいmacOSのリリースごとに動作を維持してくれるため、チーム内の誰も毎サイクルテストや書き直しを行う必要がありません。

プラットフォームが一つ減り、一から学び直す必要も一つ減った

VICEの端末は主にMacで構成されており、Windowsデバイスは財務部門や一部の経営幹部に集中して少数存在します。その一部のデバイス向けに別のMDMを運用することは、2つ目の管理コンソールを必要とし、ユーザのごく一部であるそれらのマシンにアクセスするたびに、チームがワークフローを再学習しなければならなかったことを意味していました。Iruへの統合により、その問題は解消されました。

また、トマスが日常業務においてWindows環境に対して抱く安心感も変わりました。今ではMacと同様に、Windowsプラットフォームについても可視性が確保されているからです。以前は、長い間使われていなかったWindows管理ツールを起動して操作を試みるよりも、ユーザにアプリのダウンロードやアップデートのインストールを依頼するほうが効率的でした。

この統合により、日常的なアプリの展開作業も、プラットフォームごとに個別に処理する必要がなくなりました。VICEが全従業員にAdobe Signの利用を義務付けた際、AcrobatはMacとWindowsの両方に展開する必要がありました。これにより、作業が2つから1つに減り、トマスにとってはほとんど気にする必要のない作業となりました。

カバレッジのギャップを生じさせることなくEDRベンダーを移行

この同じ宣言型のアプローチにより、VICEは、そうでなければリスクを伴ったかもしれないベンダー移行を成功させることができました。Carbon BlackからSentinelOneへの移行には、その間に保護されていないデバイスを一切残さずに、すべてのコンピュータに新しいエージェントを導入する必要がありました。両方のエージェントを同時に実行すると競合が発生するため、タイミングが重要でした。

チームはまず、SentinelOneの設定プロファイルを全デバイスに配信し、作業開始前にすべてのデバイスで準備を整えました。 次に、カスタムスクリプトとカスタムアプリを設定し、すべてのデバイスに展開しました。スクリプトは「Carbon Blackがインストールされている場合は削除する」、カスタムアプリは「SentinelOneまたはCarbon Blackがインストールされていない場合はSentinelOneをインストールする」という動作を行うものです。



Iruでは、すべての監査および強制ロジックが1つのライブラリ項目内にまとめられているため、この展開はドラッグ＆ドロップで完了しました。実際の切り替えも迅速で、Iruのエンドポイントエージェントにより、ほとんどのコンピュータは2分から20分で処理が完了しました。また、エージェントの自動修復機能により、成功するまで試行が継続されました。人手による介入は一切不要でした。

ディレクトリグループによる適用範囲の制御

VICEでは、すでにOktaのユーザグループを通じてアプリへのアクセスを管理しています。以前は、これらのグループをデバイス管理と同期させ、ポリシーの適用範囲を定義するために利用するための簡単な方法がありませんでした。それを実現しようとすれば、プロファイル属性を同期させ、対応するグループを作成し、両者を手動で同期させ続ける必要があり、事実上、ユーザグループを「真実の源」として利用することは不可能でした。

OktaとIruを連携させたことで、ユーザグループがIDとデバイスの両方にわたる「真実の源」となりました：

統合の設定には約20分かかりました。既存のOktaグループに追加された新入社員は、次にデバイスが割り当てられた際に自動的に認識されます。

今後の展望

VICEのチームが技術的負債を解消するのに役立ったIruの宣言型モデルは、今や新たな運用リズムを生み出し、ITチームは新たな領域へと活動を拡大しています。

VICEでは現在、Iruの「Passport」機能を試験導入し、Oktaの認証情報をローカルのMacアカウントに同期させ、ローカルの管理者権限を管理しています。これにより、顧客の要件への準拠プロセスが簡素化されることが期待されています。

かつては状況把握だけでも「考古学的発掘」のような手間を要していたグローバルなデバイス群を運用する小規模なチームにとって、ここが重要なポイントです。つまり、デバイスが本来どのような動作をするべきかを再構築する時間が減り、2つのプラットフォームをまたいで作業する時間も削減されるということです。 Windowsは、端末群のごく一部を維持するための「第二のワークフロー」ではなくなったため、リストにある他のすべての業務に充てる時間がより多く確保できるようになった。

VICEについて

VICEは、社内クリエイティブ・広告代理店、CM・映画・テレビ番組・ミュージックビデオを制作するスタジオ事業、A&E Networksと提携して運営するテレビチャンネル、そしてポストプロダクション事業を擁するメディア企業です。 メディア業界の多くの企業と同様、VICEもここ数年で大きな変化を乗り越え、現在ではよりスリムな組織体制を維持しつつ、テレビ、映画、デジタルメディアの各分野でコンテンツ制作を続けています。