Configuración de la inscripción automatizada de dispositivos (ADE) para macOS

Configure la inscripción automatizada de dispositivos en Intune para equipos Mac nuevos o borrados comprados a través de un programa de inscripción de Apple, como Apple Business Manager o Apple School Manager. Con este método, no es necesario tener los dispositivos con usted para configurarlos. Intune se sincroniza automáticamente con Apple para obtener información del dispositivo de la cuenta del programa de inscripción e implementa los perfiles de inscripción preconfigurados en macs de forma inalámbrica. Los dispositivos preparados se pueden enviar directamente a empleados o alumnos. El Asistente de configuración y la inscripción de dispositivos comienzan cuando alguien activa el Equipo Mac.

En este artículo se describe cómo configurar un perfil de inscripción de dispositivos automatizado para equipos Mac de propiedad corporativa.

Certificados

Este tipo de inscripción admite el protocolo del entorno de administración automatizada de certificados (ACME). Cuando se inscriben nuevos dispositivos, el perfil de administración de Intune recibe un certificado ACME. El protocolo ACME proporciona una mejor protección que el protocolo SCEP contra la emisión de certificados no autorizados a través de sólidos mecanismos de validación y procesos automatizados, lo que ayuda a reducir los errores en la administración de certificados.

Los dispositivos que ya están inscritos no obtienen un certificado ACME a menos que se vuelvan a inscribir en Microsoft Intune. ACME se admite en dispositivos que ejecutan macOS 13.1 y versiones posteriores.

Limitaciones

La inscripción automatizada de dispositivos a través de Apple Business Manager y Apple School Manager no es compatible con las cuentas del administrador de inscripción de dispositivos.

Requisitos previos

Se requiere acceso a Apple School Manager o Apple Business Manager . También debe tener una lista de números de serie de dispositivo o un número de pedido de compra para los dispositivos que compró a través de Apple.

Antes de comenzar, asegúrese de que se han completado las siguientes tareas:

• Establezca la entidad de administración de dispositivos móviles en el inquilino.
• Obtenga un certificado push MDM de Apple.

Creación de un token de programa de inscripción

En esta sección se describe cómo crear un token de programa de inscripción en Intune. El token del programa de inscripción (a veces denominado token de inscripción de dispositivos automatizado) es un componente necesario de la inscripción automatizada de dispositivos. Habilita las funcionalidades de comunicación y administración de dispositivos entre Intune y el programa de inscripción de Apple elegido. Permite que Intune sincronice información de su cuenta de Apple Business Manager o Apple School Manager y aplique perfiles a los dispositivos.

Paso 1: Descargar el certificado de clave pública de Intune

El certificado de clave pública es necesario para solicitar un certificado de relación de confianza de Apple Business Manager.

1. En el centro de administración de Microsoft Intune, vaya aInscripción de dispositivos>.
2. Seleccione la pestaña Apple .
3. En Métodos de inscripción masiva, seleccione Tokens del programa de inscripción.
4. Seleccione Agregar.
5. Seleccione Acepto conceder permiso a Microsoft para enviar información de usuario y dispositivo a Apple.
6. Seleccione Descargar la clave pública y guarde la clave como un archivo PEM localmente. La clave se usará para obtener el token de servidor MDM en el paso siguiente.

Paso 2: Agregar servidor MDM y descargar token de servidor

Agregue un servidor de administración de dispositivos móviles (MDM) para Intune a Apple Business Manager y, a continuación, descargue el token de servidor para él.

1. En el Centro de administración, seleccione el vínculo correspondiente al portal de Apple que use. Las opciones son:

   • Creación de un token a través de Apple Business Manager
   • Creación de un token a través de Apple School Manager

   El portal seleccionado se abre en una nueva pestaña del explorador. Puede cambiar de forma segura a la nueva pestaña, pero mantener la pestaña con Microsoft Intune abierta para más adelante.

2. Inicie sesión en el portal de Apple con el id. de Apple de su empresa. Recuerde que este identificador es el id. de Apple que usted y su organización deben usar para renovar y administrar el token en el futuro, por lo que no use un identificador personal.

3. Ve a tu perfil >de cuenta Preferencias.

4. Vaya a las asignaciones del servidor MDM.

5. Seleccione la opción para agregar un servidor MDM.

6. Asigne al servidor MDM el nombre . El nombre solo tiene fines de identificación mientras se encuentra en Apple Business Manager y no tiene que ser el nombre ni la dirección URL reales del servidor de Microsoft Intune.

7. Cargue el archivo de clave pública y guarde los cambios.

8. Descargue el token de servidor (archivo .p7m).

Paso 3: Asignación de dispositivos al servidor MDM

Opcionalmente, después de crear el servidor MDM en Apple Business Manager, puede empezar a asignarle dispositivos. Se recomienda asignarlos ahora, ya que ya está en Apple Business Manager, pero puede volver más tarde si no está listo. Puede usar características disponibles como filtros y asignación masiva para simplificar la selección de asignaciones. Para obtener más información y pasos, consulte Asignación, reasignación o anulación de la asignación de dispositivos en Apple Business Manager (abre la Guía del usuario de Apple Business Manager).

Paso 4: Guardar id. de Apple

Vuelva al centro de administración y escriba el identificador de Apple usado para descargar el token de servidor. Este identificador es el id. de Apple que debe usar para renovar el token cada año. Asegúrese de que los administradores de Intune futuros son conscientes del id. de Apple usado, en caso de que deje su organización y necesite realizar la transición de la administración de tokens a ellos.

Paso 5: Carga del token de servidor y finalización

Cargue el archivo de token de servidor en Intune para terminar de crear el token del programa de inscripción.

1. Vuelva al campo de token de Apple del centro > de administración. Vaya al token de servidor (archivo .p7m) en el dispositivo.
2. Elija Abrir y, a continuación, seleccione Crear.

Intune se conectará automáticamente con Apple Business Manager para sincronizar la información del dispositivo desde la cuenta del programa de inscripción. Para obtener información sobre cómo sincronizar manualmente el token, consulte Sincronización de dispositivos administrados (en este artículo).

Crear un perfil de inscripción de Apple

Cree un perfil de inscripción de dispositivos automatizado en el centro de administración. El perfil define la experiencia de inscripción para los dispositivos Mac de su organización y aplica directivas de inscripción y configuración en los dispositivos de inscripción. El perfil se implementa en dispositivos asignados por aire.

Al final de este procedimiento, puede asignar este perfil a Microsoft Entra grupos de dispositivos.

1. En el centro de administración, vaya a Inscripción de dispositivos>.

2. Seleccione la pestaña Apple .

3. En Métodos de inscripción masiva, seleccione Tokens del programa de inscripción.

4. Seleccione un token de programa de inscripción.

5. Seleccione Perfiles>Crear perfil>macOS.

   

6. En Aspectos básicos, escriba un nombre y una descripción para el perfil para poder distinguirlo de otros perfiles de inscripción. Estos detalles no son visibles para los usuarios del dispositivo.

   Sugerencia

   Puede usar el campo de nombre para crear un grupo dinámico en Microsoft Entra ID y asignar dispositivos al perfil de inscripción automáticamente. Use el nombre del perfil para definir el parámetro enrollmentProfileName . Para obtener más información, consulte Microsoft Entra grupos dinámicos.

7. Seleccione Siguiente.

8. En la página Configuración de administración , configure Afinidad de usuario. La afinidad de usuario determina si los dispositivos se inscriben con o sin un usuario asignado. Las opciones son:

   • Inscribir sin afinidad de usuario: inscriba dispositivos que no estén asociados a un solo usuario. Elija esta opción para dispositivos compartidos y dispositivos que no necesiten acceder a los datos de usuario local. La aplicación Portal de empresa no funciona en estos tipos de dispositivos.

   • Inscribir con afinidad de usuario: inscriba dispositivos asociados a un usuario asignado. Elija esta opción para los dispositivos de trabajo que pertenecen a los usuarios y si desea requerir que los usuarios tengan la aplicación Portal de empresa para instalar aplicaciones. La autenticación multifactor (MFA) está disponible con esta opción.

     La opción 2 requiere más configuraciones. Los usuarios deben autenticarse antes de la inscripción para confirmar su identidad. Seleccione uno de los métodos de autenticación siguientes:

     • Asistente para la instalación con autenticación moderna: este método requiere que los usuarios completen todas las pantallas del Asistente para la instalación e inicien sesión en la aplicación Portal de empresa con sus credenciales de Microsoft Entra para poder acceder a los recursos. Después de iniciar sesión en Portal de empresa, el dispositivo:

       • Se registra con Microsoft Entra ID.
       • Se agrega al registro de dispositivo del usuario en Microsoft Entra ID.
       • Se puede evaluar el cumplimiento del dispositivo.
       • Obtiene acceso a los recursos protegidos por el acceso condicional.

       Si el usuario no inicia sesión en el Portal de empresa para completar el registro, se le redirigirá a la aplicación Portal de empresa cada vez que intente abrir una aplicación administrada con protección de acceso condicional.

       Los dispositivos que ejecutan macOS 10.15 y versiones posteriores pueden usar este método. Los dispositivos macOS anteriores vuelven a usar el método heredado del Asistente para la instalación. Para obtener más información sobre cómo obtener la aplicación de Portal de empresa a los usuarios de Mac, consulte Agregar la Portal de empresa para la aplicación macOS.

     • Asistente de configuración (heredado): use el Asistente para la instalación heredado si desea que los usuarios experimenten la experiencia rápida típica de los productos de Apple. Este método instala la configuración preconfigurada estándar cuando el dispositivo se inscribe con Intune administración. Si usa Servicios de federación de Active Directory (AD FS) y el Asistente de configuración para realizar la autenticación, se requiere un punto de conexión mixto de tipo WS-Trust 1.3. Para obtener más información sobre cómo recuperar el punto de conexión de ADFS, vea [Get-ADfsEndpoint] (/powershell/module/adfs/get-adfsendpoint?view=win10-ps&preserve-view=true).

9. Await final configuration habilita una experiencia bloqueada al final del Asistente para la instalación para asegurarse de que las directivas de configuración de dispositivos más críticas están instaladas en el dispositivo. Esta configuración se aplica una vez durante la experiencia de inscripción de dispositivos automatizada de Apple integrada en el Asistente para la instalación. El usuario del dispositivo no vuelve a experimentarlo a menos que vuelva a inscribir su Equipo Mac.

   Las opciones son:

   • Sí: Justo antes de que se cargue la pantalla principal, el Asistente para la instalación se pausa y permite Intune proteger con el dispositivo. La experiencia del usuario final se bloquea mientras los usuarios esperan configuraciones finales. Esta opción es la configuración predeterminada para los nuevos perfiles de inscripción.

   • No: el dispositivo se libera en la pantalla principal cuando finaliza el Asistente para la instalación, independientemente del estado de instalación de la directiva. Es posible que los usuarios del dispositivo puedan acceder a la pantalla principal o cambiar la configuración del dispositivo antes de instalar todas las directivas. Esta opción es la configuración predeterminada para los perfiles de inscripción existentes.

   La cantidad de tiempo que los usuarios se mantienen en la pantalla awaiting final configuration varía y depende del número total de directivas y aplicaciones que asigne al dispositivo. Los usuarios pueden ver cómo se descargan los perfiles de configuración del dispositivo en el Asistente para la instalación mientras esperan. Cuantos más directivas y aplicaciones se asignen, mayor será el tiempo de espera. El Asistente de configuración y Intune no aplican un límite de tiempo mínimo o máximo durante esta parte de la instalación. Durante la validación del producto, la mayoría de los dispositivos que probamos se lanzaron y pudieron acceder a la pantalla principal en 15 minutos. Si habilita esta característica y trabaja con un asociado de Microsoft o un servicio que no sea de Microsoft para ayudarle a aprovisionar dispositivos, háblales sobre la posibilidad de aumentar el tiempo de aprovisionamiento.

   La experiencia bloqueada se admite en macs que ejecutan macOS 10.11 o posterior. Funciona en equipos Mac destinados a perfiles de inscripción nuevos o existentes configurados para estos escenarios:

   • Inscripción a través del Asistente para la instalación con autenticación moderna
   • Inscripción con el Asistente para la instalación (heredado)
   • Inscripción sin afinidad de dispositivo de usuario

10. Puede aplicar la inscripción bloqueada para evitar que los usuarios desenrollen sus dispositivos Intune. Seleccione Sí para deshabilitar la configuración de Mac en Preferencias del sistema y Terminal que permiten a los usuarios quitar el perfil de administración. Una vez que el dispositivo se inscribe, no puede cambiar esta configuración sin borrar el dispositivo.

11. Seleccione Siguiente.

12. Opcionalmente, en la página Configuración de la cuenta , puede configurar la cuenta principal local en equipos Mac de destino.

    

    Esta configuración se admite en dispositivos que ejecutan macOS 10.11 o posterior. Tenga en cuenta al configurar la cuenta principal que esta cuenta va a ser una cuenta de administrador . Tener al menos una cuenta de administrador es un requisito de configuración de Mac.

    Las opciones son:

    • Crear una cuenta principal local: seleccione Sí para configurar las opciones de la cuenta principal local para los Equipos Mac de destino. Seleccione No configurado para omitir todas las configuraciones de configuración de cuenta.
    • Información de la cuenta de prerellenar: la configuración predeterminada, No configurada, requiere que el usuario del dispositivo escriba el nombre de usuario y el nombre completo de su cuenta en el Asistente para la instalación. Para rellenar previamente la información de la cuenta para ellos en su lugar, seleccione Sí. A continuación, escriba el nombre de la cuenta principal y el nombre completo:
      • Nombre de cuenta principal: escriba el nombre de usuario de la cuenta. {{partialupn}} es la variable de token admitida para el nombre de cuenta.
      • Nombre completo de la cuenta principal: escriba el nombre completo de la cuenta. {{username}} es la variable de token admitida para el nombre completo.
    • Restringir la edición: la configuración predeterminada se establece en Sí para que los usuarios del dispositivo no puedan editar el nombre de cuenta y el nombre completo configurados para ellos. Para permitir que los usuarios del dispositivo editen el nombre de la cuenta y el nombre completo, seleccione No configurado. Si solo usa el Asistente para la instalación (heredado) para inscribir dispositivos que ejecutan macOS 10.15 y versiones posteriores, puede esperar la siguiente experiencia de usuario final:
      • Sí: La pantalla de creación de cuentas en el Asistente para la instalación nunca aparece. En su lugar, la cuenta principal local se crea automáticamente en función de las demás configuraciones de configuración y la contraseña se rellena automáticamente desde la pantalla de autenticación de Microsoft Entra. El usuario del dispositivo no puede editar estos campos.
      • No configurado: la pantalla de la cuenta principal local se muestra al usuario final en el Asistente para la instalación y se rellena con los valores de cuenta configurados y la contraseña de la pantalla de autenticación de Microsoft Entra. El usuario del dispositivo puede editar estos campos durante el Asistente para la instalación.

    Para que la configuración de la cuenta funcione según lo previsto, el perfil de inscripción debe tener las siguientes configuraciones:

    • Afinidad de usuario: seleccione Inscribir con afinidad de usuario.
    • Método de autenticación: seleccione Asistente para la instalación con autenticación moderna o Asistente para la instalación (heredado).
    • Await final configuration (Esperar configuración final): seleccione Sí.

    Las cuentas locales dependen de la característica de configuración final await cuando se crean. Como resultado, si configura cualquier configuración de cuenta principal local, esta opción siempre está habilitada. Incluso si no toca la configuración final await , se habilita en segundo plano y se aplica al perfil de inscripción.

13. Seleccione Siguiente.

14. En la página Asistente para la instalación , configure la experiencia del Asistente para la instalación.

    1. Escriba la información del departamento para que los usuarios sepan con quién ponerse en contacto para obtener soporte técnico:
       • Nombre del departamento: este nombre aparece cuando los usuarios del dispositivo seleccionan Acerca de la configuración durante la activación.
       • Teléfono del departamento: este número de teléfono aparece cuando los usuarios del dispositivo seleccionan Necesita ayuda durante la activación.
    2. Seleccione las pantallas del Asistente para la instalación que desea mostrar u ocultar durante la instalación del dispositivo. Para obtener una descripción de todas las pantallas, consulte La referencia de pantalla del Asistente para la instalación (en este artículo). Las opciones son:
       • Ocultar: la pantalla no aparece a los usuarios durante la configuración del dispositivo. Después de la configuración del dispositivo, el usuario puede ir a su configuración de dispositivo para configurar la característica.
       • Mostrar: la pantalla aparece a los usuarios durante la instalación del dispositivo. El usuario puede omitir las pantallas que no requieren una acción inmediata. Después de la configuración del dispositivo, el usuario puede ir a su configuración de dispositivo para configurar la característica.

15. Seleccione Siguiente.

16. Revise el resumen de los cambios y, a continuación, seleccione Crear para terminar de crear el perfil.

Referencia de pantalla del Asistente para la instalación

En la tabla siguiente se describen las pantallas del Asistente para la instalación que se muestran durante la inscripción automatizada de dispositivos para Mac. Puede mostrar u ocultar estas pantallas en los dispositivos compatibles durante la inscripción. Para obtener más información sobre cómo afecta cada pantalla del Asistente de configuración a la experiencia del usuario, consulte estos recursos de Apple:

• Guía de implementación de la plataforma Apple: Administración del Asistente para la instalación de dispositivos Apple
• Documentación para desarrolladores de Apple: ShipKeys

Sincronizar dispositivos administrados

La sincronización actualiza el estado del dispositivo existente e importa nuevos dispositivos asignados al servidor MDM de Apple. Para ver todos los dispositivos Apple asociados y la información del dispositivo, sincronice el token del programa de inscripción en el centro de administración.

1. Vuelva a Tokens del programa de inscripción y elija el token del programa de inscripción.

2. Seleccione Sincronización de dispositivos>.

   

Restricciones de sincronización

Para cumplir con los términos de Apple para el tráfico aceptable del programa de inscripción, Microsoft Intune impone las siguientes restricciones:

• Una sincronización completa no se puede ejecutar más de una vez cada siete días. Durante una sincronización completa, Intune captura la lista más reciente y actualizada de números de serie asignados al servidor MDM de Apple conectado. Si elimina un dispositivo de Intune sin desasignarlo del servidor MDM en Apple Business Manager o Apple School Manager, no se volverá a importar a Intune hasta que se ejecute la sincronización completa.
• Si un dispositivo se libera de cualquiera de los programas de inscripción de Apple, puede tardar hasta 45 días en eliminarse automáticamente de la página Dispositivos de Intune. Puede eliminar manualmente los dispositivos liberados en Intune uno a uno, si es necesario. Intune informa de que los dispositivos publicados se quitan de Apple Business Manager o Apple School Manager hasta que se eliminan automáticamente, lo que ocurre en un plazo de entre 30 y 45 días.
• Una sincronización se ejecuta automáticamente cada 24 horas. Puede iniciar una sincronización no más de una vez cada 15 minutos. Todas las solicitudes de sincronización tardan 15 minutos en finalizar. El botón Sincronizar se vuelve inactivo hasta que se completa la sincronización.

Asignar un perfil de inscripción a los dispositivos

Asigne un perfil de inscripción a dispositivos Apple.

1. Vuelva a tokens del programa de inscripción y seleccione un token.
2. Seleccione Dispositivos.
3. Elija los dispositivos de la lista y, a continuación, seleccione Asignar perfil.
4. Elija un perfil para asignar y, a continuación, seleccione Asignar.

Opcionalmente, puede seleccionar un perfil de inscripción predeterminado. El perfil predeterminado se implementa en todos los dispositivos de inscripción asociados al token.

1. Vuelva a tokens del programa de inscripción y seleccione un token.
2. Seleccione Establecer perfil predeterminado.
3. Elija un perfil y, a continuación, seleccione Guardar.

Distribuir dispositivos

Distribuir dispositivos preparados en toda la organización.

• Equipos Mac nuevos o borrados: los Mac nuevos o borrados configurados en Apple Business Manager o Apple School Manager se inscriben automáticamente en Microsoft Intune durante el Asistente para la instalación cuando alguien activa el dispositivo. Si asignó el dispositivo a un perfil de inscripción de macOS con afinidad de usuario, el usuario del dispositivo debe iniciar sesión en el Portal de empresa una vez completado el Asistente para la instalación para finalizar Microsoft Entra requisitos de registro y acceso condicional.

• Equipos Mac existentes: puede inscribir dispositivos que ya pasaron por el Asistente para la instalación. Complete estos pasos para inscribir equipos Mac corporativos que ejecuten macOS 10.13 y versiones posteriores.

  1. Asegúrese de que:

     • El dispositivo se importa a Apple Business Manager o Apple School Manager.
     • Al dispositivo se le asigna un perfil de inscripción de macOS en el centro de administración.

  2. Inicie sesión en el dispositivo con una cuenta de administrador local.

  3. Para desencadenar la inscripción, en la página Inicio , abra Terminal y ejecute el siguiente comando:

     sudo profiles renew -type enrollment

  4. Escriba la contraseña del dispositivo para la cuenta de administrador local.

  5. En Inscripción de dispositivos, seleccione Detalles.

  6. En Preferencias del sistema, seleccione Perfiles.

  7. Siga las indicaciones en pantalla para descargar el perfil de administración de Microsoft Intune, los certificados y las directivas.

     Sugerencia

     Para confirmar qué perfiles están en el dispositivo en cualquier momento, vuelva a Perfiles de preferencias> del sistema.

  8. Si asignó el dispositivo a un perfil de inscripción de macOS con afinidad de usuario, inicie sesión en la aplicación Portal de empresa para completar Microsoft Entra requisitos de registro y acceso condicional y finalice la inscripción.

Renovación del token del programa de inscripción

Complete estos pasos para renovar un token de servidor que está a punto de expirar. Este procedimiento garantiza que el token del programa de inscripción asociado en Intune permanece activo.

1. Inicie sesión en Apple Business Manager o Apple School Manager y siga estos pasos para descargar un nuevo token de servidor MDM:
   • Descarga del token en Apple Business Manager
   • Descargar token en Apple School Manager,
2. En el centro de administración, vaya a Inscripción de dispositivos>.
3. Seleccione la pestaña Apple .
4. En Métodos de inscripción masiva, seleccione Tokens del programa de inscripción.
5. Elija el token del programa de inscripción que desea renovar.
6. Seleccione Renovar token y escriba el id. de Apple usado para crear el token original.
7. Cargue el nuevo token.
8. Seleccione Siguiente. Puede actualizar las etiquetas de ámbito en este momento si lo desea. De lo contrario, continúe con Revisar y crear.
9. Seleccione Crear para guardar los cambios.

Pasos siguientes

Use Microsoft Intune acciones remotas para administrar de forma remota equipos Mac inscritos.