Configurar a inscrição automatizada de dispositivos (ADE) para macOS

Configure a inscrição automatizada de dispositivos no Intune para Macs novos ou eliminados comprados através de um programa de inscrição da Apple, como o Apple Business Manager ou o Apple School Manager. Com este método, não precisa de ter os dispositivos consigo para os configurar. Intune sincroniza automaticamente com a Apple para obter informações do dispositivo a partir da sua conta do programa de inscrição e implementa os seus perfis de inscrição pré-configurados em Macs no ar. Os dispositivos preparados podem ser enviados diretamente para funcionários ou estudantes. O Assistente de Configuração e a inscrição de dispositivos começam quando alguém ativa o Mac.

Este artigo descreve como configurar um perfil de inscrição de dispositivos automatizado para Macs pertencentes à empresa.

Certificados

Este tipo de inscrição suporta o protocolo ACME (Automated Certificate Management Environment). Quando novos dispositivos são inscritos, o perfil de gestão do Intune recebe um certificado ACME. O protocolo ACME fornece uma melhor proteção do que o protocolo SCEP contra a emissão de certificados não autorizados através de mecanismos de validação robustos e processos automatizados, o que ajuda a reduzir os erros na gestão de certificados.

Os dispositivos já inscritos não recebem um certificado ACME, a menos que se inscrevam novamente no Microsoft Intune. O ACME é suportado em dispositivos com o macOS 13.1 e posterior.

Limitações

A inscrição automatizada de dispositivos através do Apple Business Manager e do Apple School Manager não é suportada com contas do gestor de inscrição de dispositivos.

Pré-requisitos

É necessário acesso ao Apple School Manager ou ao Apple Business Manager . Também tem de ter uma lista de números de série de dispositivos ou um número de nota de encomenda para os dispositivos que comprou através da Apple.

Antes de começar, certifique-se de que as seguintes tarefas estão concluídas:

• Defina a autoridade de gestão de dispositivos móveis no seu inquilino.
• Obtenha um certificado Push de MDM da Apple.

Criar token do programa de inscrição

Esta secção descreve como criar um token de programa de inscrição no Intune. O token do programa de inscrição (por vezes denominado token de inscrição de dispositivos automatizado) é um componente necessário da inscrição automatizada de dispositivos. Permite as capacidades de comunicação e gestão de dispositivos entre Intune e o programa de inscrição da Apple escolhido. Permite Intune sincronizar informações a partir da sua conta do Apple Business Manager ou do Apple School Manager e aplicar perfis a dispositivos.

Etapa 1: Baixar o certificado de chave pública do Intune

O certificado de chave pública é necessário para pedir um certificado de relação de confiança ao Apple Business Manager.

1. No centro de administração do Microsoft Intune, aceda aInscrição de Dispositivos>.
2. Selecione o separador Apple .
3. Em Métodos de Inscrição em Massa, selecione Tokens do programa de inscrição.
4. Selecione Adicionar.
5. Selecione Concordo em conceder permissão à Microsoft para enviar informações de utilizadores e dispositivos para a Apple.
6. Selecione Transferir a sua chave pública e guarde a chave como um ficheiro PEM localmente. A chave será utilizada para obter o token do servidor MDM no próximo passo.

Passo 2: Adicionar o servidor MDM e transferir o token do servidor

Adicione um servidor de gestão de dispositivos móveis (MDM) para Intune ao Apple Business Manager e, em seguida, transfira o token de servidor para o mesmo.

1. No centro de administração, selecione a ligação que corresponde ao portal da Apple que utiliza. Suas opções:

   • Criar um token através do Apple Business Manager
   • Criar um token através do Apple School Manager

   O portal selecionado é aberto num novo separador do browser. Pode mudar com segurança para o novo separador, mas mantenha a tecla de tabulação com Microsoft Intune aberto para mais tarde.

2. Inicie sessão no portal da Apple com o ID Apple da sua empresa. Lembre-se de que este ID é o ID Apple que o utilizador e a sua organização têm de utilizar para renovar e gerir o token no futuro, pelo que não utilize um ID pessoal.

3. Aceda às Preferências do perfil > de conta.

4. Vá para suas atribuições de servidor MDM.

5. Selecione a opção para adicionar um servidor MDM.

6. Atribua um nome ao servidor MDM. O nome destina-se apenas a fins de identificação enquanto estiver no Apple Business Manager e não tem de ser o nome ou URL real do servidor Microsoft Intune.

7. Carregue o ficheiro de chave pública e, em seguida, guarde as alterações.

8. Transfira o token do servidor (ficheiro .p7m).

Passo 3: atribuir dispositivos ao servidor MDM

Opcionalmente, depois de criar o servidor MDM no Apple Business Manager, pode começar a atribuir dispositivos ao mesmo. Recomendamos que os atribua agora, uma vez que já está no Apple Business Manager, mas pode voltar mais tarde se não estiver pronto. Pode utilizar funcionalidades disponíveis, como filtros e atribuição em massa , para simplificar a seleção de atribuições. Para obter mais informações e passos, consulte Atribuir, reatribuir ou anular a atribuição de dispositivos no Apple Business Manager(abre o Guia de Utilizador do Apple Business Manager).

Passo 4: Guardar o ID Apple

Regresse ao centro de administração e introduza o ID Apple utilizado para transferir o token do servidor. Este ID é o ID Apple que precisa de utilizar para renovar o token todos os anos. Certifique-se de que os futuros administradores Intune estão cientes do ID Apple utilizado, caso saia da sua organização e precise de fazer a transição da gestão de tokens para os mesmos.

Passo 5: Carregar o token do servidor e concluir

Carregue o ficheiro de token do servidor para Intune para concluir a criação do token do programa de inscrição.

1. Regresse ao campo de token da Apple do centro > de administração. Navegue para o token do servidor (ficheiro .p7m) no seu dispositivo.
2. Selecione Abrir e, em seguida, selecione Criar.

Intune ligar-se-á automaticamente ao Apple Business Manager para sincronizar as informações do dispositivo a partir da sua conta do programa de inscrição. Para obter informações sobre como sincronizar manualmente o token, veja Sincronizar dispositivos geridos (neste artigo).

Criar um perfil de registro da Apple

Crie um perfil de inscrição de dispositivos automatizado no centro de administração. O perfil define a experiência de inscrição para os dispositivos Mac da sua organização e impõe políticas de inscrição e definições na inscrição de dispositivos. O perfil é implementado em dispositivos atribuídos através do ar.

No final deste procedimento, pode atribuir este perfil a Microsoft Entra grupos de dispositivos.

1. No centro de administração, aceda aInscrição de Dispositivos>.

2. Selecione o separador Apple .

3. Em Métodos de Inscrição em Massa, selecione Tokens do programa de inscrição.

4. Selecione um token do programa de inscrição.

5. Selecione Perfis>Criar perfil>macOS.

   

6. Para Informações Básicas, introduza um nome e uma descrição para o perfil para que possa distingui-lo de outros perfis de inscrição. Estes detalhes não são visíveis para os utilizadores do dispositivo.

   Dica

   Pode utilizar o campo de nome para criar um grupo dinâmico no Microsoft Entra ID e atribuir dispositivos ao perfil de inscrição automaticamente. Utilize o nome do perfil para definir o parâmetro enrollmentProfileName . Para obter mais informações, veja Microsoft Entra grupos dinâmicos.

7. Selecione Avançar.

8. Na página Definições de Gestão , configure a Afinidade de Utilizador. A afinidade do utilizador determina se os dispositivos são inscritos com ou sem um utilizador atribuído. Suas opções:

   • Inscrever sem Afinidade de Utilizador: inscreva dispositivos que não estejam associados a um único utilizador. Escolha esta opção para dispositivos e dispositivos partilhados que não precisam de aceder aos dados do utilizador local. A aplicação Portal da Empresa não funciona nestes tipos de dispositivos.

   • Inscrever com Afinidade de Utilizador: inscrever dispositivos associados a um utilizador atribuído. Selecione esta opção para dispositivos de trabalho que pertencem aos utilizadores e, se quiser exigir que os utilizadores tenham a aplicação Portal da Empresa para instalar aplicações. A autenticação multifator (MFA) está disponível com esta opção.

     A opção 2 requer mais configurações. Os utilizadores têm de se autenticar antes da inscrição para confirmar a respetiva identidade. Selecione um dos seguintes métodos de autenticação:

     • Assistente de Configuração com autenticação moderna: este método requer que os utilizadores completem todos os ecrãs do Assistente de Configuração e iniciem sessão na aplicação Portal da Empresa com as respetivas credenciais de Microsoft Entra antes de poderem aceder aos recursos. Depois de iniciar sessão no Portal da Empresa, o dispositivo:

       • Regista-se no Microsoft Entra ID.
       • É adicionado ao registo do dispositivo do utilizador no Microsoft Entra ID.
       • Pode ser avaliado quanto à conformidade do dispositivo.
       • Obtém acesso aos recursos protegidos pelo acesso condicional.

       Se o utilizador não iniciar sessão no Portal da Empresa para concluir o registo, será redirecionado para a aplicação Portal da Empresa sempre que tentar abrir uma aplicação gerida com proteção de acesso condicional.

       Os dispositivos com o macOS 10.15 e posteriores podem utilizar este método. Os dispositivos macOS mais antigos voltam a utilizar o método legado do Assistente de Configuração. Para obter mais informações sobre como obter a aplicação Portal da Empresa para utilizadores de Mac, consulte Adicionar o Portal da Empresa para a aplicação macOS.

     • Assistente de Configuração (legado): utilize o Assistente de Configuração legado se pretender que os utilizadores experimentem a experiência típica de configuração inicial para produtos Apple. Este método instala definições pré-configuradas padrão quando o dispositivo é inscrito na gestão de Intune. Se estiver usando os Serviços de Federação do Active Directory e o Assistente de Configuração para se autenticar, você precisará de um Nome de usuário/Ponto de extremidade misto do WS-Trust 1.3. Para obter mais informações sobre como obter o ponto final do ADFS, consulte [Get-ADfsEndpoint] (/powershell/module/adfs/get-adfsendpoint?view=win10-ps&preserve-view=true).

9. Aguardar configuração final permite uma experiência bloqueada no final do Assistente de Configuração para garantir que as políticas de configuração de dispositivos mais críticas estão instaladas no dispositivo. Esta definição é aplicada uma vez durante a experiência de inscrição automática de dispositivos da Apple no Assistente de Configuração. O utilizador do dispositivo não volta a experimentá-lo, a menos que volte a inscrever o Mac.

   Suas opções:

   • Sim: imediatamente antes de o ecrã principal ser carregado, o Assistente de Configuração é colocado em pausa e permite que Intune marcar com o dispositivo. A experiência do utilizador final bloqueia enquanto os utilizadores aguardam configurações finais. Esta opção é a configuração predefinida para novos perfis de inscrição.

   • Não: o dispositivo é lançado para o ecrã principal quando o Assistente de Configuração termina, independentemente da instalação da política status. Os utilizadores do dispositivo poderão aceder ao ecrã principal ou alterar as definições do dispositivo antes de todas as políticas serem instaladas. Esta opção é a configuração predefinida para perfis de inscrição existentes.

   A quantidade de tempo que os utilizadores são mantidos no ecrã Aguardar configuração final varia e depende do número total de políticas e aplicações que atribuir ao dispositivo. Os utilizadores podem ver os perfis de configuração do dispositivo a serem transferidos no Assistente de Configuração enquanto aguardam. Quanto mais políticas e aplicações forem atribuídas, maior será o tempo de espera. O Assistente de Configuração e Intune não impõem um limite de tempo mínimo ou máximo durante esta parte da configuração. Durante a validação do produto, a maioria dos dispositivos que testámos foram libertados e conseguiram aceder ao ecrã principal no prazo de 15 minutos. Se ativar esta funcionalidade e estiver a trabalhar com um parceiro da Microsoft ou um serviço que não seja da Microsoft para o ajudar a aprovisionar dispositivos, informe-os sobre o potencial de aumento do tempo de aprovisionamento.

   A experiência bloqueada é suportada em Macs com o macOS 10.11 ou posterior. Funciona em Macs direcionados com perfis de inscrição novos ou existentes configurados para estes cenários:

   • Inscrição através do Assistente de Configuração com autenticação moderna
   • Inscrição com o Assistente de Configuração (legado)
   • Inscrição sem afinidade dispositivo/utilizador

10. Pode impor a inscrição Bloqueada para impedir que os utilizadores anurem a inscrição dos respetivos dispositivos Intune. Selecione Sim para desativar as definições do Mac nas Preferências do Sistema e no Terminal que permitem aos utilizadores remover o perfil de gestão. Após a inscrição do dispositivo, não pode alterar esta definição sem limpar o dispositivo.

11. Selecione Avançar.

12. Opcionalmente, na página Definições da Conta , pode configurar a conta primária local em Macs visados.

    

    Estas definições são suportadas em dispositivos com o macOS 10.11 ou posterior. Tenha em atenção enquanto configura a conta principal de que esta conta será uma conta de administrador . Ter, pelo menos, uma conta de administrador é um requisito de configuração do Mac.

    Suas opções:

    • Criar uma conta primária local: selecione Sim para configurar as definições da conta primária local para Macs visados. Selecione Não configurado para ignorar todas as configurações de definições de conta.
    • Informações da conta predefinida: a configuração predefinida , Não configurada, requer que o utilizador do dispositivo introduza o nome de utilizador da conta e o nome completo no Assistente de Configuração. Para pré-preenchimento das informações da conta, selecione Sim. Em seguida, introduza o nome da conta principal e o nome completo:
      • Nome da conta principal: introduza o nome de utilizador da conta. {{partialupn}} é a variável de token suportada para o nome da conta.
      • Nome completo da conta primária: introduza o nome completo da conta. {{username}} é a variável de token suportada para o nome completo.
    • Restringir edição: a configuração predefinida está definida como Sim para que os utilizadores do dispositivo não possam editar o nome da conta e o nome completo configurados para os mesmos. Para permitir que os utilizadores do dispositivo editem o nome da conta e o nome completo, selecione Não configurado. Se estiver a utilizar apenas o Assistente de Configuração (legado) para inscrever dispositivos com o macOS 10.15 e posterior, pode esperar a seguinte experiência de utilizador final:
      • Sim: o ecrã de criação da conta no Assistente de Configuração nunca é apresentado. Em vez disso, a conta primária local é criada automaticamente com base nas outras configurações de definição e a palavra-passe é preenchida automaticamente a partir do ecrã de autenticação Microsoft Entra. O utilizador do dispositivo não pode editar estes campos.
      • Não configurado: o ecrã da conta primária local é apresentado ao utilizador final no Assistente de Configuração e é preenchido com os valores da conta configurada e a palavra-passe do ecrã de autenticação Microsoft Entra. O utilizador do dispositivo pode editar estes campos durante o Assistente de Configuração.

    Para que as definições da conta funcionem conforme pretendido, o perfil de inscrição tem de ter as seguintes configurações:

    • Afinidade de utilizador: selecione Inscrever com Afinidade de utilizador.
    • Método de autenticação: selecione Assistente de Configuração com autenticação moderna ou Assistente de Configuração (legado).
    • Aguardar configuração final: selecione Sim.

    As contas locais dependem da funcionalidade de configuração final aguardada quando estão a ser criadas. Como resultado, se configurar as definições da conta primária local, esta definição estará sempre ativada. Mesmo que não toque na definição de configuração final aguardar , esta é ativada em segundo plano e aplicada ao perfil de inscrição.

13. Selecione Avançar.

14. Na página Assistente de Configuração , configure a experiência do Assistente de Configuração.

    1. Introduza as informações do departamento para que os utilizadores saibam quem contactar para obter suporte:
       • Nome do Departamento: este nome é apresentado quando os utilizadores do dispositivo selecionam Acerca da Configuração durante a ativação.
       • Telefone do Departamento: este número de telefone é apresentado quando os utilizadores do dispositivo selecionam Precisa de Ajuda durante a ativação.
    2. Selecione os ecrãs do Assistente de Configuração que pretende mostrar ou ocultar durante a configuração do dispositivo. Para obter uma descrição de todos os ecrãs, consulte Referência de ecrã do Assistente de Configuração (neste artigo). Suas opções:
       • Ocultar: o ecrã não é apresentado aos utilizadores durante a configuração do dispositivo. Após a configuração do dispositivo, o utilizador pode aceder às definições do dispositivo para configurar a funcionalidade.
       • Mostrar: o ecrã é apresentado aos utilizadores durante a configuração do dispositivo. O utilizador ainda pode ignorar ecrãs que não necessitam de ação imediata. Após a configuração do dispositivo, o utilizador pode aceder às definições do dispositivo para configurar a funcionalidade.

15. Selecione Avançar.

16. Reveja o resumo das alterações e, em seguida, selecione Criar para concluir a criação do perfil.

Referência de ecrã do Assistente de Configuração

A tabela seguinte descreve os ecrãs do Assistente de Configuração apresentados durante a inscrição automatizada de dispositivos para Macs. Pode mostrar ou ocultar estes ecrãs em dispositivos suportados durante a inscrição. Para obter mais informações sobre como cada ecrã do Assistente de Configuração afeta a experiência do utilizador, consulte estes recursos da Apple:

• Guia de Implementação da Plataforma Apple: Gerir o Assistente de Configuração para dispositivos Apple
• Documentação do Apple Developer: ShipKeys

Sincronizar dispositivos gerenciados

A sincronização atualiza o dispositivo existente status e importa novos dispositivos atribuídos ao servidor MDM da Apple. Para ver todos os dispositivos e informações do dispositivo da Apple associados, sincronize o token do programa de inscrição no centro de administração.

1. Regresse aos tokens do programa de inscrição e escolha o token do programa de inscrição.

2. Selecione Sincronização de Dispositivos>.

   

Restrições de sincronização

Para cumprir os termos da Apple para tráfego aceitável do programa de inscrição, Microsoft Intune impõe as seguintes restrições:

• Uma sincronização completa não pode ser executada mais do que uma vez a cada sete dias. Durante uma sincronização completa, Intune obtém a lista atualizada e mais recente de números de série atribuídos ao servidor MDM da Apple ligado. Se eliminar um dispositivo de Intune sem anular a atribuição do servidor MDM no Apple Business Manager ou no Apple School Manager, não será reimportado para Intune até que a sincronização completa seja executada.
• Se um dispositivo for lançado a partir de qualquer um dos programas de inscrição da Apple, pode demorar até 45 dias para que seja eliminado automaticamente da página Dispositivos no Intune. Pode eliminar manualmente os dispositivos libertados no Intune um a um, se necessário. Intune relatórios disponibilizavam dispositivos como sendo removidos do Apple Business Manager ou do Apple School Manager até serem eliminados automaticamente, o que ocorre dentro de 30 a 45 dias.
• A sincronização é executada automaticamente a cada 24 horas. Não pode iniciar uma sincronização mais do que uma vez a cada 15 minutos. Todas as solicitações de sincronização têm 15 minutos para conclusão. O botão Sincronizar fica inativo até a sincronização estar concluída.

Atribuir um perfil de registro aos dispositivos

Atribuir um perfil de inscrição a dispositivos Apple.

1. Regresse aos tokens do programa de inscrição e selecione um token.
2. Selecione Dispositivos.
3. Escolha os seus dispositivos na lista e, em seguida, selecione Atribuir perfil.
4. Escolha um perfil a atribuir e, em seguida, selecione Atribuir.

Opcionalmente, pode selecionar um perfil de inscrição predefinido. O perfil predefinido é implementado em todos os dispositivos de inscrição associados ao token.

1. Regresse aos tokens do programa de inscrição e selecione um token.
2. Selecione Predefinir Perfil.
3. Selecione um perfil e, em seguida, selecione Guardar.

Distribuir dispositivos

Distribua dispositivos preparados por toda a sua organização.

• Macs novos ou apagados: macs novos ou apagados configurados no Apple Business Manager ou no Apple School Manager inscrevem-se automaticamente no Microsoft Intune durante o Assistente de Configuração quando alguém liga o dispositivo. Se atribuiu o dispositivo a um perfil de inscrição macOS com afinidade de utilizador, o utilizador do dispositivo tem de iniciar sessão no Portal da Empresa após o Assistente de Configuração terminar Microsoft Entra requisitos de registo e acesso condicional.

• Macs existentes: pode inscrever dispositivos que já tenham passado pelo Assistente de Configuração. Conclua estes passos para inscrever Macs pertencentes à empresa com o macOS 10.13 e posterior.

  1. Certifique-se de que:

     • O dispositivo é importado para o Apple Business Manager ou Para o Apple School Manager.
     • É atribuído ao dispositivo um perfil de inscrição macOS no centro de administração.

  2. Inicie sessão no dispositivo com uma conta de administrador local.

  3. Para acionar a inscrição, na Home page abra o Terminal e execute o seguinte comando:

     sudo profiles renew -type enrollment

  4. Introduza a palavra-passe do dispositivo para a conta de administrador local.

  5. Em Inscrição de dispositivos, selecione Detalhes.

  6. Em Preferências do sistema, selecione Perfis.

  7. Siga as instruções apresentadas no ecrã para transferir o perfil de gestão de Microsoft Intune, certificados e políticas.

     Dica

     Pode confirmar quais os perfis que estão no dispositivo em qualquer altura ao regressar aosPerfis de Preferências> do Sistema.

  8. Se atribuiu o dispositivo a um perfil de inscrição macOS com afinidade de utilizador, inicie sessão na aplicação Portal da Empresa para concluir Microsoft Entra requisitos de registo e acesso condicional e concluir a inscrição.

Renovar o token do programa de inscrição

Conclua estes passos para renovar um token de servidor prestes a expirar. Este procedimento garante que o token do programa de inscrição associado no Intune permanece ativo.

1. Inicie sessão no Apple Business Manager ou no Apple School Manager e siga estes passos para transferir um novo token de servidor MDM:
   • Transferir token no Apple Business Manager
   • Transferir token no Apple School Manager,
2. No centro de administração, aceda aInscrição de Dispositivos>.
3. Selecione o separador Apple .
4. Em Métodos de Inscrição em Massa, selecione Tokens do programa de inscrição.
5. Escolha o token do programa de inscrição que pretende renovar.
6. Selecione Renovar token e introduza o ID Apple utilizado para criar o token original.
7. Carregue o novo token.
8. Selecione Avançar. Pode atualizar as etiquetas de âmbito neste momento, se quiser. Caso contrário, continue para Rever + criar.
9. Selecione Criar para guardar as alterações.

Próximas etapas

Utilize Microsoft Intune ações remotas para gerir remotamente macs inscritos.