Configurare la registrazione automatica dei dispositivi (ADE) per macOS

Configurare la registrazione automatica dei dispositivi in Intune per Mac nuovi o cancellati acquistati tramite un programma di registrazione Apple, ad esempio Apple Business Manager o Apple School Manager. Con questo metodo, non è necessario avere i dispositivi con l'utente per configurarli. Intune si sincronizza automaticamente con Apple per ottenere informazioni sul dispositivo dall'account del programma di registrazione e distribuisce i profili di registrazione preconfigurati ai Mac in modalità over-the-air. I dispositivi preparati possono essere spediti direttamente a dipendenti o studenti. Assistente configurazione e registrazione del dispositivo iniziano quando qualcuno accende il Mac.

Questo articolo descrive come configurare un profilo di registrazione automatica dei dispositivi per i Mac di proprietà dell'azienda.

Certificati

Questo tipo di registrazione supporta il protocollo ACME (Automated Certificate Management Environment). Quando si registrano nuovi dispositivi, il profilo di gestione da Intune riceve un certificato ACME. Il protocollo ACME offre una protezione migliore rispetto al protocollo SCEP dal rilascio di certificati non autorizzati tramite meccanismi di convalida affidabili e processi automatizzati, che consente di ridurre gli errori nella gestione dei certificati.

I dispositivi già registrati non ottengono un certificato ACME a meno che non si registrino nuovamente in Microsoft Intune. ACME è supportato nei dispositivi che eseguono macOS 13.1 e versioni successive.

Limitazioni

La registrazione automatica dei dispositivi tramite Apple Business Manager e Apple School Manager non è supportata con gli account di gestione della registrazione dei dispositivi.

Prerequisiti

È richiesto l'accesso ad Apple School Manager o Apple Business Manager . È inoltre necessario avere un elenco di numeri di serie del dispositivo o un numero di ordine di acquisto per i dispositivi acquistati tramite Apple.

Prima di iniziare, verificare che le attività seguenti siano completate:

• Impostare l'autorità di gestione dei dispositivi mobili nel tenant.
• Ottenere un certificato Push MDM Apple.

Creare il token del programma di registrazione

Questa sezione descrive come creare un token del programma di registrazione in Intune. Il token del programma di registrazione (a volte definito token di registrazione automatica del dispositivo) è un componente necessario della registrazione automatica dei dispositivi. Consente le funzionalità di comunicazione e gestione dei dispositivi tra Intune e il programma di registrazione Apple scelto. Consente Intune di sincronizzare le informazioni dall'account Apple Business Manager o Apple School Manager e di applicare profili ai dispositivi.

Passaggio 1: Scaricare il certificato di chiave pubblica Intune

Il certificato a chiave pubblica è necessario per richiedere un certificato di relazione di trust a Apple Business Manager.

1. Nell'interfaccia di amministrazione Microsoft Intune passare a Registrazione dispositivi>.
2. Selezionare la scheda Apple .
3. In Metodi di registrazione in blocco selezionare Token del programma di registrazione.
4. Selezionare Aggiungi.
5. Selezionare Accetto di concedere a Microsoft l'autorizzazione per l'invio di informazioni utente e dispositivo ad Apple.
6. Selezionare Scarica la chiave pubblica e salvare la chiave come file PEM in locale. La chiave verrà usata per ottenere il token del server MDM nel passaggio successivo.

Passaggio 2: Aggiungere il server MDM e scaricare il token del server

Aggiungere un server di gestione dei dispositivi mobili (MDM) per Intune ad Apple Business Manager e quindi scaricare il token del server.

1. Nell'interfaccia di amministrazione selezionare il collegamento corrispondente al portale Apple usato. Le opzioni disponibili sono:

   • Creare un token tramite Apple Business Manager
   • Creare un token tramite Apple School Manager

   Il portale selezionato viene aperto in una nuova scheda del browser. È possibile passare in modo sicuro alla nuova scheda, ma mantenere la scheda con Microsoft Intune aperta per un secondo momento.

2. Accedere al portale Apple con l'ID Apple aziendale. Ricorda che questo ID è l'ID Apple che tu e la tua organizzazione dovete usare per rinnovare e gestire il token in futuro, quindi non usare un ID personale.

3. Passare alle preferenze del profilo > dell'account.

4. Passare alle assegnazioni del server MDM.

5. Selezionare l'opzione per aggiungere un server MDM.

6. Assegnare al server MDM il nome. Il nome è a scopo di identificazione solo in Apple Business Manager e non deve essere il nome o l'URL effettivo del server Microsoft Intune.

7. Caricare il file di chiave pubblica e quindi salvare le modifiche.

8. Scaricare il token del server (file con estensione p7m).

Passaggio 3: Assegnare dispositivi al server MDM

Facoltativamente, dopo aver creato il server MDM in Apple Business Manager, è possibile iniziare ad assegnarvi i dispositivi. È consigliabile assegnarli ora perché si è già in Apple Business Manager, ma è possibile tornare più tardi se non si è pronti. È possibile usare le funzionalità disponibili, ad esempio i filtri e l'assegnazione in blocco , per semplificare la selezione delle assegnazioni. Per altre informazioni e passaggi, vedere Assegnare, riassegnare o annullare l'assegnazione di dispositivi in Apple Business Manager(apre la Guida utente di Apple Business Manager).

Passaggio 4: Salvare l'ID Apple

Tornare all'interfaccia di amministrazione e immettere l'ID Apple usato per scaricare il token del server. Questo ID è l'ID Apple che è necessario usare per rinnovare il token ogni anno. Assicurarsi che gli amministratori Intune futuri siano a conoscenza dell'ID Apple usato, nel caso in cui si lasci l'organizzazione e che sia necessario eseguire la transizione della gestione dei token.

Passaggio 5: Caricare il token del server e completare

Caricare il file del token del server in Intune per completare la creazione del token del programma di registrazione.

1. Tornare al campo token Apple dell'interfaccia > di amministrazione. Passare al token del server (file con estensione p7m) nel dispositivo.
2. Scegliere Apri e quindi selezionare Crea.

Intune si connetterà automaticamente con Apple Business Manager per sincronizzare le informazioni sul dispositivo dall'account del programma di registrazione. Per informazioni su come sincronizzare manualmente il token, vedere Sincronizzare i dispositivi gestiti (in questo articolo).

Creare un profilo di registrazione Apple

Creare un profilo di registrazione automatica del dispositivo nell'interfaccia di amministrazione. Il profilo definisce l'esperienza di registrazione per i dispositivi Mac dell'organizzazione e applica i criteri e le impostazioni di registrazione ai dispositivi di registrazione. Il profilo viene distribuito ai dispositivi assegnati in modalità over-the-air.

Al termine di questa procedura, è possibile assegnare questo profilo a Microsoft Entra gruppi di dispositivi.

1. Nell'interfaccia di amministrazione passare a Registrazione dispositivi>.

2. Selezionare la scheda Apple .

3. In Metodi di registrazione in blocco selezionare Token del programma di registrazione.

4. Selezionare un token del programma di registrazione.

5. Selezionare Profili>Crea profilo>macOS.

   

6. Per Informazioni di base immettere un nome e una descrizione per il profilo in modo che sia possibile distinguerlo da altri profili di registrazione. Questi dettagli non sono visibili agli utenti del dispositivo.

   Consiglio

   È possibile usare il campo del nome per creare un gruppo dinamico in Microsoft Entra ID e assegnare automaticamente i dispositivi al profilo di registrazione. Usare il nome del profilo per definire il parametro enrollmentProfileName . Per altre informazioni, vedere Microsoft Entra gruppi dinamici.

7. Seleziona Avanti.

8. Nella pagina Impostazioni di gestione configurare l'affinità utente. L'affinità utente determina se i dispositivi vengono registrati con o senza un utente assegnato. Le opzioni disponibili sono:

   • Registra senza affinità utente: registra i dispositivi che non sono associati a un singolo utente. Scegliere questa opzione per i dispositivi condivisi e i dispositivi che non devono accedere ai dati utente locali. L'app Portale aziendale non funziona in questi tipi di dispositivi.

   • Registra con affinità utente: registra i dispositivi associati a un utente assegnato. Scegliere questa opzione per i dispositivi aziendali che appartengono agli utenti e se si vuole richiedere agli utenti di avere l'app Portale aziendale per installare le app. L'autenticazione a più fattori (MFA) è disponibile con questa opzione.

     L'opzione 2 richiede più configurazioni. Gli utenti devono autenticarsi prima della registrazione per confermare la propria identità. Selezionare uno dei metodi di autenticazione seguenti:

     • Assistente configurazione con autenticazione moderna: questo metodo richiede agli utenti di completare tutte le schermate di Assistente configurazione e accedere all'app Portale aziendale con le credenziali di Microsoft Entra prima di poter accedere alle risorse. Dopo aver eseguito l'accesso a Portale aziendale, il dispositivo:

       • Esegue la registrazione con Microsoft Entra ID.
       • Viene aggiunto al record del dispositivo dell'utente in Microsoft Entra ID.
       • Può essere valutato per la conformità del dispositivo.
       • Ottiene l'accesso alle risorse protette dall'accesso condizionale.

       Se l'utente non accede al Portale aziendale per completare la registrazione, verrà reindirizzato all'app Portale aziendale ogni volta che tenta di aprire un'app gestita con protezione dall'accesso condizionale.

       I dispositivi che eseguono macOS 10.15 e versioni successive possono usare questo metodo. I dispositivi macOS meno recenti usano il metodo Legacy Setup Assistant. Per altre informazioni su come ottenere l'app Portale aziendale agli utenti Mac, vedere Aggiungere il Portale aziendale per l'app macOS.

     • Assistente configurazione (legacy): usare Assistente configurazione legacy se si vuole che gli utenti sperimentino la tipica esperienza predefinita per i prodotti Apple. Questo metodo installa le impostazioni preconfigurate standard quando il dispositivo si registra con la gestione Intune. Quando si utilizza Active Directory Federation Services e si usa l’Assistente installazione per l'autenticazione è richiesto un nome utente/endpoint misto WS-Trust 1.3. Per altre informazioni sul recupero dell'endpoint ADFS, vedere [Get-ADfsEndpoint] (/powershell/module/adfs/get-adfsendpoint?view=win10-ps&preserve-view=true).

9. La configurazione finale await consente un'esperienza bloccata alla fine dell'Assistente configurazione per garantire che i criteri di configurazione del dispositivo più critici vengano installati nel dispositivo. Questa impostazione viene applicata una volta durante l'esperienza di registrazione automatica dei dispositivi Apple predefinita in Assistente configurazione. L'utente del dispositivo non lo sperimenta di nuovo a meno che non registri nuovamente il Mac.

   Le opzioni disponibili sono:

   • Sì: poco prima del caricamento della schermata iniziale, Assistente configurazione viene sospeso e consente Intune il check-in con il dispositivo. L'esperienza utente finale si blocca mentre gli utenti attendono le configurazioni finali. Questa opzione è la configurazione predefinita per i nuovi profili di registrazione.

   • No: il dispositivo viene rilasciato nella schermata iniziale al termine dell'Assistente configurazione, indipendentemente dallo stato di installazione dei criteri. Gli utenti del dispositivo potrebbero essere in grado di accedere alla schermata iniziale o modificare le impostazioni del dispositivo prima dell'installazione di tutti i criteri. Questa opzione è la configurazione predefinita per i profili di registrazione esistenti.

   La quantità di tempo in cui gli utenti vengono mantenuti nella schermata di configurazione finale in attesa varia e dipende dal numero totale di criteri e app assegnati al dispositivo. Gli utenti possono visualizzare il download dei profili di configurazione del dispositivo in Assistente configurazione mentre attendono. Maggiore è il numero di criteri e app assegnati, maggiore sarà il tempo di attesa. Assistente configurazione e Intune non applicano un limite di tempo minimo o massimo durante questa parte dell'installazione. Durante la convalida del prodotto, la maggior parte dei dispositivi testati è stata rilasciata e può accedere alla schermata iniziale entro 15 minuti. Se si abilita questa funzionalità e si lavora con un partner Microsoft o un servizio non Microsoft per eseguire il provisioning dei dispositivi, comunicare loro il potenziale aumento del tempo di provisioning.

   L'esperienza bloccata è supportata nei Mac che eseguono macOS 10.11 o versione successiva. Funziona su Mac destinati a profili di registrazione nuovi o esistenti configurati per questi scenari:

   • Registrazione tramite Assistente configurazione con l'autenticazione moderna
   • Registrazione con Assistente configurazione (legacy)
   • Registrazione senza affinità utente-dispositivo

10. È possibile applicare la registrazione bloccata per impedire agli utenti di annullare la registrazione dei dispositivi da Intune. Selezionare Sì per disabilitare le impostazioni mac in Preferenze di sistema e terminale che consentono agli utenti di rimuovere il profilo di gestione. Dopo la registrazione del dispositivo, non è possibile modificare questa impostazione senza cancellare il dispositivo.

11. Seleziona Avanti.

12. Facoltativamente, nella pagina Impostazioni account è possibile configurare l'account primario locale nei Mac di destinazione.

    

    Queste impostazioni sono supportate nei dispositivi che eseguono macOS 10.11 o versione successiva. Tenere presente che, durante la configurazione dell'account primario, questo account sarà un account amministratore . Avere almeno un account amministratore è un requisito di configurazione mac.

    Le opzioni disponibili sono:

    • Creare un account primario locale: selezionare Sì per configurare le impostazioni dell'account primario locale per i Mac di destinazione. Selezionare Non configurato per ignorare tutte le configurazioni delle impostazioni dell'account.
    • Informazioni sull'account di precompilazione: la configurazione predefinita, Non configurata, richiede all'utente del dispositivo di immettere il nome utente e il nome completo dell'account in Assistente configurazione. Per precompilare invece le informazioni sull'account, selezionare Sì. Immettere quindi il nome dell'account primario e il nome completo:
      • Nome account primario: immettere il nome utente per l'account. {{partialupn}} è la variabile token supportata per il nome dell'account.
      • Nome completo dell'account primario: immettere il nome completo dell'account. {{username}} è la variabile token supportata per il nome completo.
    • Limita modifica: la configurazione predefinita è impostata su Sì in modo che gli utenti del dispositivo non possano modificare il nome dell'account e il nome completo configurati. Per consentire agli utenti del dispositivo di modificare il nome dell'account e il nome completo, selezionare Non configurato. Se si usa Assistente configurazione (legacy) solo per registrare i dispositivi che eseguono macOS 10.15 e versioni successive, è possibile prevedere l'esperienza utente finale seguente:
      • Sì: la schermata di creazione dell'account in Assistente configurazione non viene mai visualizzata. L'account primario locale viene invece creato automaticamente in base alle altre configurazioni di impostazione e la password viene popolata automaticamente dalla schermata di autenticazione Microsoft Entra. L'utente del dispositivo non può modificare questi campi.
      • Non configurata: la schermata dell'account primario locale viene visualizzata all'utente finale in Assistente configurazione e viene popolata con i valori dell'account configurati e la password dalla schermata di autenticazione Microsoft Entra. L'utente del dispositivo può modificare questi campi durante l'Assistente configurazione.

    Affinché le impostazioni dell'account funzionino come previsto, il profilo di registrazione deve avere le configurazioni seguenti:

    • Affinità utente: selezionare Registra con affinità utente.
    • Metodo di autenticazione: selezionare Assistente configurazione con l'autenticazione moderna o Assistente configurazione (legacy).
    • Attendere la configurazione finale: selezionare Sì.

    Gli account locali dipendono dalla funzionalità di configurazione finale await al momento della creazione. Di conseguenza, se si configurano impostazioni dell'account primario locale, questa impostazione è sempre abilitata. Anche se non si tocca l'impostazione di configurazione finale await , è abilitata in background e applicata al profilo di registrazione.

13. Seleziona Avanti.

14. Nella pagina Assistente configurazione configurare l'esperienza Assistente configurazione.

    1. Immettere le informazioni del reparto in modo che gli utenti sappiano chi contattare per il supporto:
       • Nome reparto: questo nome viene visualizzato quando gli utenti del dispositivo selezionano Informazioni sulla configurazione durante l'attivazione.
       • Telefono del reparto: questo numero di telefono viene visualizzato quando gli utenti del dispositivo selezionaNo bisogno di assistenza durante l'attivazione.
    2. Selezionare le schermate dell'Assistente configurazione che si desidera visualizzare o nascondere durante l'installazione del dispositivo. Per una descrizione di tutte le schermate, vedere Informazioni di riferimento sulla schermata assistente configurazione (in questo articolo). Le opzioni disponibili sono:
       • Nascondi: la schermata non viene visualizzata agli utenti durante l'installazione del dispositivo. Dopo la configurazione del dispositivo, l'utente può passare alle impostazioni del dispositivo per configurare la funzionalità.
       • Mostra: la schermata viene visualizzata agli utenti durante l'installazione del dispositivo. L'utente può comunque ignorare le schermate che non richiedono un'azione immediata. Dopo la configurazione del dispositivo, l'utente può passare alle impostazioni del dispositivo per configurare la funzionalità.

15. Seleziona Avanti.

16. Esaminare il riepilogo delle modifiche e quindi selezionare Crea per completare la creazione del profilo.

Informazioni di riferimento sullo schermo dell'Assistente configurazione

La tabella seguente descrive le schermate dell'Assistente configurazione visualizzate durante la registrazione automatica dei dispositivi per Mac. È possibile visualizzare o nascondere queste schermate nei dispositivi supportati durante la registrazione. Per altre informazioni sul modo in cui ogni schermata di Assistente configurazione influisce sull'esperienza utente, vedere le risorse Apple seguenti:

• Guida alla distribuzione della piattaforma Apple: Gestire l'Assistente configurazione per i dispositivi Apple
• Documentazione per sviluppatori Apple: ShipKeys

Sincronizzare i dispositivi gestiti

La sincronizzazione aggiorna lo stato del dispositivo esistente e importa nuovi dispositivi assegnati al server MDM Apple. Per visualizzare tutti i dispositivi Apple associati e le informazioni sul dispositivo, sincronizzare il token del programma di registrazione nell'interfaccia di amministrazione.

1. Tornare ai token del programma di registrazione e scegliere il token del programma di registrazione.

2. SelezionareSincronizzazionedispositivi>.

   

Restrizioni di sincronizzazione

Per rispettare le condizioni di Apple per il traffico accettabile del programma di registrazione, Microsoft Intune impone le restrizioni seguenti:

• Una sincronizzazione completa può essere eseguita non più di una volta ogni sette giorni. Durante una sincronizzazione completa, Intune recupera l'elenco aggiornato più recente dei numeri di serie assegnati al server MDM Apple connesso. Se si elimina un dispositivo da Intune senza annullarne l'assegnazione dal server MDM in Apple Business Manager o Apple School Manager, non verrà reimportato in Intune fino all'esecuzione della sincronizzazione completa.
• Se un dispositivo viene rilasciato da uno dei programmi di registrazione Apple, possono essere necessari fino a 45 giorni prima che venga eliminato automaticamente dalla pagina Dispositivi in Intune. È possibile eliminare manualmente i dispositivi rilasciati in Intune uno per uno, se necessario. Intune segnala che i dispositivi rilasciati sono stati rimossi da Apple Business Manager o Apple School Manager fino a quando non vengono eliminati automaticamente, ovvero entro 30-45 giorni.
• La sincronizzazione viene eseguita automaticamente ogni 24 ore. È possibile avviare una sincronizzazione non più di una volta ogni 15 minuti. Il tempo concesso per il completamento di una richiesta di sincronizzazione è pari a 15 minuti. Il pulsante Sincronizza diventa inattivo fino al completamento della sincronizzazione.

Assegnare un profilo di registrazione ai dispositivi

Assegnare un profilo di registrazione ai dispositivi Apple.

1. Tornare ai token del programma di registrazione e selezionare un token.
2. Selezionare Dispositivi.
3. Scegliere i dispositivi dall'elenco e quindi selezionare Assegna profilo.
4. Scegliere un profilo da assegnare e quindi selezionare Assegna.

Facoltativamente, è possibile selezionare un profilo di registrazione predefinito. Il profilo predefinito viene distribuito in tutti i dispositivi di registrazione associati al token.

1. Tornare ai token del programma di registrazione e selezionare un token.
2. Selezionare Imposta profilo predefinito.
3. Scegliere un profilo e quindi selezionare Salva.

Distribuire i dispositivi

Distribuire i dispositivi preparati in tutta l'organizzazione.

• Mac nuovi o cancellati: i Mac nuovi o cancellati configurati in Apple Business Manager o Apple School Manager si registrano automaticamente in Microsoft Intune durante l'assistente configurazione quando qualcuno accende il dispositivo. Se il dispositivo è stato assegnato a un profilo di registrazione macOS con affinità utente, l'utente del dispositivo deve accedere al Portale aziendale dopo aver completato l'Installazione guidata per completare Microsoft Entra requisiti di registrazione e accesso condizionale.

• Mac esistenti: è possibile registrare i dispositivi che hanno già eseguito l'Assistente configurazione. Completare questi passaggi per registrare i Mac di proprietà dell'azienda che eseguono macOS 10.13 e versioni successive.

  1. Assicurarsi che:

     • Il dispositivo viene importato in Apple Business Manager o Apple School Manager.
     • Al dispositivo viene assegnato un profilo di registrazione macOS nell'interfaccia di amministrazione.

  2. Accedere al dispositivo con un account amministratore locale.

  3. Per attivare la registrazione, dalla home page aprire Terminale ed eseguire il comando seguente:

     sudo profiles renew -type enrollment

  4. Immettere la password del dispositivo per l'account amministratore locale.

  5. In Registrazione del dispositivo selezionare Dettagli.

  6. In Preferenze di sistema selezionare Profili.

  7. Seguire le istruzioni visualizzate per scaricare il profilo di gestione, i certificati e i criteri Microsoft Intune.

     Consiglio

     È possibile verificare quali profili si trovano nel dispositivo in qualsiasi momento tornando aProfilipreferenze> di sistema.

  8. Se il dispositivo è stato assegnato a un profilo di registrazione macOS con affinità utente, accedere all'app Portale aziendale per completare i requisiti di registrazione e accesso condizionale Microsoft Entra e completare la registrazione.

Rinnovare il token del programma di registrazione

Completare questi passaggi per rinnovare un token del server che sta per scadere. Questa procedura garantisce che il token del programma di registrazione associato in Intune rimanga attivo.

1. Accedere ad Apple Business Manager o Apple School Manager e seguire questa procedura per scaricare un nuovo token del server MDM:
   • Scaricare il token in Apple Business Manager
   • Scaricare il token in Apple School Manager,
2. Nell'interfaccia di amministrazione passare a Registrazione dispositivi>.
3. Selezionare la scheda Apple .
4. In Metodi di registrazione in blocco selezionare Token del programma di registrazione.
5. Scegliere il token del programma di registrazione da rinnovare.
6. Selezionare Rinnova token e immettere l'ID Apple usato per creare il token originale.
7. Caricare il nuovo token.
8. Seleziona Avanti. È possibile aggiornare i tag di ambito in questo momento, se si desidera. In caso contrario, continuare con Rivedi e crea.
9. Selezionare Crea per salvare le modifiche.

Passaggi successivi

Usare Microsoft Intune azioni remote per gestire in remoto i Mac registrati.