OPTiM Biz オンプレミス導入ガイド｜セキュリティと構築手順

2026年7月23日

Contents

1 OPTiM Biz のオンプレミス提供概要とセキュリティ特長
2 導入前の必須要件と事前準備
3 インストール手順ステップバイステップガイド
4 ネットワーク・セキュリティ設定と端末登録フロー
5 既存システム連携・構築後検証・運用ベストプラクティス
6 よくある課題と対処法（FAQ）
7 チェックリスト（実装・運用・保守）
- 7.1 まとめ

スポンサードリンク

OPTiM Biz のオンプレミス提供概要とセキュリティ特長

OPTiM Biz は、社内だけで完結するクローズドネットワーク（閉域網）向けに設計された MDM ソリューションです。インターネット接続が不要なため、情報漏洩リスクの高い業界でも安全にモバイルデバイスを管理できます。本節では、公式マニュアル（2024 年版）を基に主要なセキュリティ機能と導入メリットを整理し、実装時に留意すべきポイントを簡潔にまとめます。

閉域網対応：オンプレミス構成で外部ネットワークへの通信は一切行わず、データは社内 LAN のみで流通します。
暗号化・証明書管理：TLS 1.2 以上の暗号化を標準装備し、自己署名証明書または社内 PKI 発行証明書を利用できます（※PKI が未整備の場合は PowerShell による自動生成が可能）。
認証方式：Windows Server AD とのシングルサインオン（SSO）に加えて、Azure AD MFA や外部 OTP デバイスによる多要素認証（MFA）をオプションで組み込めます。
データ保護：端末上の企業データは AES‑256 で暗号化され、リモートロック・ワイプ機能が標準装備されています。

参考: OPTiM Biz オンプレミス – 製品ページ（公式）

導入前の必須要件と事前準備

ハードウェアスペックと推奨構成

本セクションでは、OPTiM Biz が快適に稼働するための最低スペックと、実運用を想定した推奨構成を示します。サーバーは仮想化環境でも物理環境でも同等に動作しますが、ディスク I/O とネットワーク帯域はパフォーマンスに直結するため、必ず確認してください。

項目	最低要件（単体構成）	推奨構成（冗長化＋拡張性）
CPU	Intel Xeon E5‑2620 v4 (2 コア)	Intel Xeon Scalable Gold 系 8 コア以上
メモリ	16 GB DDR4 ECC	32 GB 以上（RAID構成の DB 用に追加）
ストレージ	SSD 200 GB（OS+DB）	RAID1/10 + NVMe 500 GB 以上（バックアップ領域別途確保）
ネットワーク	1 Gbps イーサネット	10 Gbps 内部バックボーン＋冗長 NIC

ポイント：SQL Server のデータベースは I/O が集中しやすいため、可能であればストレージは NVMe または SAS RAID を採用してください。

OS・ミドルウェア要件

公式マニュアル（2024‑04 版）に記載されているサポート対象は以下の通りです。最新パッチ適用済みの環境であることが前提となります。

OS：Windows Server 2019 Datacenter または Windows Server 2022 (64 ビット)
Web サーバー：IIS 10.0 以上、HTTPS 用に有効な SSL/TLS 証明書を必ずインストール
ランタイム：.NET Framework 4.8、PowerShell 5.1 以降（PowerShell 7.x は非対応）

ネットワーク構成と閉域網設計

閉域網では外部への経路を遮断し、管理サーバー・端末が同一 VLAN 内でのみ通信できるようにします。以下は典型的なネットワークトポロジです。

管理 VLAN (例: 10.0.10.0/24)
MDM 管理サーバー、SQL Server、IIS が配置されます。
端末 VLAN (例: 10.0.20.0/24)
社内モバイルデバイスが接続し、管理 VLAN へはファイアウォールで制御されたポートのみ許可します。

ファイアウォール例外（管理 VLAN 内）

プロトコル	ポート	用途
TCP	443	HTTPS (管理コンソール)
TCP	1433	SQL Server 接続
UDP	123	NTP 同期（時刻合わせ）

ライセンス取得手順

公式サイトの「製品購入」ページからライセンスキーを取得し、インストール時に入力します。以下は最新 UI に合わせた手順です。

製品カタログ → 「OPTiM Biz オンプレミス」を選択
必要台数・オプション（AD 連携、追加ストレージ等）を入力し「見積もり」画面へ進む
見積もり内容をご確認の上、企業情報と支払情報を登録して注文確定
登録メールアドレス宛に ライセンスキー が届くので、インストールウィザードで入力

詳細は公式マニュアル「インストール手順」章をご参照ください（URL は後述）。

インストール手順ステップバイステップガイド

1. サーバーパッケージの取得と検証

まず、公式ダウンロードポータルから最新の optim_biz_onprem.zip を取得します。取得後は SHA‑256 ハッシュで改竄チェックを行いましょう。

# ダウンロードしたファイルのハッシュ値を取得
Get-FileHash -Algorithm SHA256 .\optim_biz_onprem.zip | Select-Object -ExpandProperty Hash

# ダウンロードしたファイルのハッシュ値を取得

Get-FileHash -Algorithm SHA256 .\optim_biz_onprem.zip | Select-Object -ExpandProperty Hash

公式サイトに記載されたハッシュと一致しない場合は、再ダウンロードまたはサポートへ問い合わせてください。

2. データベース作成と認証情報の安全な管理

SQL Server インスタンスを新規作成し、データベース名は OPTiM_Biz とします。パスワードはハードコーディングせず、インストール実行時にプロンプトで入力するか、Windows Credential Manager／Azure Key Vault などのシークレット管理サービスから取得します。

-- データベース作成（管理者権限で実行）
CREATE DATABASE OPTiM_Biz;
GO

-- 最小権限ユーザー作成例（パスワードは外部管理）
CREATE LOGIN optim_user WITH PASSWORD = N'&lt;SQL_PASSWORD&gt;';
CREATE USER optim_user FOR LOGIN optim_user;
ALTER ROLE db_datareader   ADD MEMBER optim_user;
ALTER ROLE db_datawriter   ADD MEMBER optim_user;

-- データベース作成（管理者権限で実行）

CREATE DATABASE OPTiM_Biz;

-- 最小権限ユーザー作成例（パスワードは外部管理）

CREATE LOGIN optim_user WITH PASSWORD = N'<SQL_PASSWORD>';

CREATE USER optim_user FOR LOGIN optim_user;

ALTER ROLE db_datareader ADD MEMBER optim_user;

ALTER ROLE db_datawriter ADD MEMBER optim_user;

ベストプラクティス：<SQL_PASSWORD> は環境変数 OPTIM_DB_PWD もしくはシークレットストアから取得し、スクリプト内に平文を書かないよう徹底してください。

3. MDM サービス本体のインストール

管理者権限で PowerShell を起動し、展開したフォルダー内の setup.exe を実行します。ウィザードは「標準インストール」を選択し、以下項目を入力してください。

項目	設定例
データベースサーバー	`SERVER01\OPTiMSQL`
データベース名	`OPTiM_Biz`
DB ユーザー	`optim_user`
ライセンスキー	メールで受領した文字列

インストール完了後、ブラウザで https://<管理サーバIP>/admin にアクセスし、初回管理者アカウント を作成します（例: admin@company.local）。パスワードはポリシーに従い、12 文字以上のランダム文字列を推奨します。

4. 初期ポリシー設定と有効化項目

管理コンソールの「ポリシーテンプレート」から 標準テンプレート をコピーし、以下機能を必ずオンにします。

端末暗号化（AES‑256）
パスコード強制（最低8桁＋英数字混在）
リモートロック / ワイプ
画面ロックタイムアウト（5 分未操作で自動ロック）

設定保存後、サービスは自動的に再起動し、ダッシュボードが表示されればインストールは成功です。

ネットワーク・セキュリティ設定と端末登録フロー

閉域網内の通信制御とファイアウォール例外

閉域網では外部へのアウトバウンドを全てブロックし、必要最低限のポートだけ管理 VLAN に対して開放します。推奨設定は次の通りです。

ポート	プロトコル	用途
443	TCP	管理コンソール（HTTPS）
1433	TCP	SQL Server 接続
80	TCP (任意)	HTTP リダイレクト（内部だけ）
123	UDP	NTP 時刻同期

ポイント：ファイアウォールのログを有効化し、許可された通信以外はすべて警告レベルで記録してください。

証明書発行と TLS 設定

社内 PKI が整備されている場合は CA からサーバー証明書（CN＝管理サーバ）を取得し、IIS の「サーバー証明書」へインポートします。自己署名証明書を使用するケースでは、以下 PowerShell コマンドで作成できます。

$cert = New-SelfSignedCertificate -DnsName &quot;mdm.company.local&quot; `
    -CertStoreLocation Cert:\LocalMachine\My `
    -KeyExportPolicy Exportable `
    -NotAfter (Get-Date).AddYears(5)

$cert = New-SelfSignedCertificate -DnsName "mdm.company.local" `

-CertStoreLocation Cert:\LocalMachine\My `

-KeyExportPolicy Exportable `

-NotAfter (Get-Date).AddYears(5)

作成した証明書を IIS の バインディング に追加し、TLS バージョンは 1.2 以上に限定します（レジストリで TLS 1.0/1.1 を無効化）。

デバイスエージェントの配布方法

エージェントは Android 用 APK と iOS 用 IPA が同梱されています。配布手段は次の二つが主流です。

QR コード方式：管理コンソール > 「エージェント配布」 → QR コード生成 → 社内掲示板やイントラメールで共有。ユーザーはスマートフォンでコードを読み取り、内部 HTTPS サイトから自動的にインストールします。
URL 方式：https://mdm.company.local/agent にアクセスし、シングルサインオン（SAML）で認証後にダウンロードリンクが表示されます。

どちらの方法でも、エージェントは内部 CA が発行した証明書で署名されたものを使用してください。外部証明書だと閉域網での検証に失敗します。

既存システム連携・構築後検証・運用ベストプラクティス

Active Directory との統合ポイント

AD と連携させることで、ユーザーアカウントとデバイスを一元管理できます。設定手順は次の通りです。

ディレクトリ同期画面で LDAP 接続情報（DC IP、バインド DN）を入力し、接続テストに成功すれば保存。
AD の OU またはセキュリティグループ をデバイスプロファイルと紐付けることで、対象ユーザーが自動的にポリシーを受領します。

※ バインド用パスワードは Credential Manager か Azure Key Vault に格納し、画面上で平文表示させないよう設定してください。

他社システム（ERP・他MDM）との API 連携

OPTiM Biz は RESTful API と Webhook を提供しています。代表的なエンドポイントは以下です。

目的	エンドポイント	メソッド
デバイス状態取得	`/api/v1/devices/status`	GET
ポリシーエクスポート	`/api/v1/policy/export`	POST
イベント通知（Webhook）	`/webhook/device/alert`	POST

公式マニュアルの API リファレンス（URL: https://www.optim.co.jp/optim-biz/docs/api/）にサンプルコードが掲載されています。認証は Bearer Token 方式で、トークンは定期的にローテーションすることを推奨します。

ポリシー適用確認とレポート生成テスト

実装後は必ずテスト端末で以下フローを実施し、期待通りの設定が反映されているか検証してください。

管理コンソールから テスト配布 ボタンでエージェントを 2 台のデバイスにプッシュ
デバイス側で 暗号化ステータス、パスコード要件 が満たされているか確認（画面上のステータス表示や adb shell dumpsys device_policy_manager 等）
コンソールの「レポート」タブから デバイスコンプライアンス レポートを CSV 形式でエクスポートし、項目が揃っているかレビュー

定期バックアップ・ログ監視・障害時対応フロー

項目	手順	推奨頻度
データベースバックアップ	フルバックアップ → トランザクションログ差分取得	週1回（フル）／4 時間ごと（ログ）
IIS / アプリケーションログ	Windows Event Viewer と IIS ログを Syslog サーバーへ転送	常時
監視アラート	CPU > 80%、メモリ使用率 > 75% 時にメール/Teams 通知	リアルタイム
障害復旧手順	1) `iisreset` で IIS 再起動 2) SQL Server サービス状態確認 3) 必要に応じてバックアップからリストア	障害発生時

注意点：バックアップは必ず別ネットワーク・別物理媒体へ保存し、復元テストを年1回実施してください。

よくある課題と対処法（FAQ）

Q1. 「Setup.exe が失敗します – エラー 0x80070005」

原因：インストーラが管理者権限で実行されていない、または UAC がブロックしている。
対策：

# PowerShell を管理者として起動し、以下コマンドでインストール
Start-Process -FilePath &quot;.\setup.exe&quot; -Verb RunAs

# PowerShell を管理者として起動し、以下コマンドでインストール

Start-Process -FilePath ".\setup.exe" -Verb RunAs

必要に応じて一時的に UAC を無効化し（regedit → HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\System\EnableLUA = 0）、インストール後は必ず元に戻してください。

Q2. 端末が MDM サーバーに接続できない（Ping がタイムアウト）

原因：ファイアウォールで必要ポートが閉じている、または VLAN 間のルーティングが未設定。
対策：

管理 VLAN の ファイアウォール で TCP 443 と TCP 1433 が開放されているか確認
端末側から Test-NetConnection -ComputerName <管理サーバIP> -Port 443 を実行し、接続可否を検証

Q3. エージェントが「認証エラー」になる

原因：TLS 証明書の CN が端末に登録されたものと不一致、またはトークン有効期限切れ。
対策：

サーバー証明書の CN が mdm.company.local であることを確認し、端末に正しくインポートする
NTP 同期がずれているとトークン検証に失敗するため、全サーバー・端末の時刻を同一 NTP ソースに合わせる

チェックリスト（実装・運用・保守）

フェーズ	確認項目
導入前	ハードウェアスペック、OS パッチ適用、SQL Server バージョン確認
インストール	SHA‑256 検証、DB ユーザー権限最小化、TLS 1.2 以上の強制
ネットワーク	管理 VLAN と端末 VLAN の分離、ファイアウォール例外設定、NTP 同期
セキュリティ	証明書有効期限チェック、MFA 有効化、管理者パスワードポリシー適用
運用	バックアップジョブの実行結果確認、ログ転送・アラート設定、定期復元テスト
保守	ソフトウェア更新（月次パッチ）、API トークンローテーション、ドキュメント更新

まとめ

本稿では、OPTiM Biz のオンプレミス版を安全に構築・運用するための「必須要件」「インストール手順」「ネットワーク設計」「既存システム連携」から「障害対応」までを体系的に整理しました。公式マニュアル（2024‑04 版）と合わせて、本チェックリストを活用すれば、導入時の抜け漏れや運用中のトラブルを最小限に抑えることができます。

次のステップ：実装前に全項目をレビューし、社内の情報セキュリティ部門と合意形成を行ったうえでプロジェクトを開始してください。