Konfigurera automatisk enhetsregistrering (ADE) för macOS

Konfigurera automatisk enhetsregistrering i Intune för nya eller rensade Mac-datorer som köpts via ett Apple-registreringsprogram, till exempel Apple Business Manager eller Apple School Manager. Med den här metoden behöver du inte ha enheterna med dig för att konfigurera dem. Intune synkroniseras automatiskt med Apple för att hämta enhetsinformation från ditt registreringsprogramkonto och distribuerar dina förkonfigurerade registreringsprofiler till Macs over-the-air. Förberedda enheter kan skickas direkt till anställda eller studenter. Installationsassistenten och enhetsregistreringen börjar när någon aktiverar Mac.

Den här artikeln beskriver hur du konfigurerar en automatisk enhetsregistreringsprofil för företagsägda Mac-datorer.

Certifikat

Den här registreringstypen stöder acme-protokollet (Automated Certificate Management Environment). När nya enheter registreras tar hanteringsprofilen från Intune emot ett ACME-certifikat. ACME-protokollet ger bättre skydd än SCEP-protokollet mot obehöriga certifikatutfärdande genom robusta valideringsmekanismer och automatiserade processer, vilket bidrar till att minska felen i certifikathanteringen.

Enheter som redan har registrerats får inte något ACME-certifikat om de inte registreras på nytt i Microsoft Intune. ACME stöds på enheter som kör macOS 13.1 och senare.

Begränsningar

Automatisk enhetsregistrering via Apple Business Manager och Apple School Manager stöds inte med konton för enhetsregistreringshanteraren.

Förhandskrav

Åtkomst till Apple School Manager eller Apple Business Manager krävs. Du måste också ha en lista över enhetsserienummer eller ett inköpsordernummer för de enheter som du har köpt via Apple.

Innan du börjar kontrollerar du att följande uppgifter är slutförda:

• Ange utfärdare för hantering av mobila enheter i din klientorganisation.
• Hämta ett Apple MDM-pushcertifikat.

Skapa programtoken för registrering

I det här avsnittet beskrivs hur du skapar en token för registreringsprogram i Intune. Token för registreringsprogram (kallas ibland för en automatisk enhetsregistreringstoken) är en nödvändig komponent i automatisk enhetsregistrering. Det möjliggör kommunikations- och enhetshanteringsfunktionerna mellan Intune och ditt valda Apple-registreringsprogram. Det gör att Intune kan synkronisera information från ditt Apple Business Manager- eller Apple School Manager-konto och tillämpa profiler på enheter.

Steg 1: Ladda ned certifikatet för Intune offentlig nyckel

Certifikatet för offentlig nyckel krävs för att begära ett certifikat för förtroenderelation från Apple Business Manager.

1. I Microsoft Intune administrationscenter går du till Enhetsregistrering>.
2. Välj fliken Apple .
3. Under Massregistreringsmetoder väljer du Token för registreringsprogram.
4. Välj Lägg till.
5. Välj Jag godkänner att bevilja behörighet till Microsoft för att skicka användar- och enhetsinformation till Apple.
6. Välj Ladda ned din offentliga nyckel och spara nyckeln som en PEM-fil lokalt. Nyckeln används för att hämta MDM-servertoken i nästa steg.

Steg 2: Lägg till MDM-server och ladda ned servertoken

Lägg till en MDM-server (hantering av mobila enheter) för Intune till Apple Business Manager och ladda sedan ned servertoken för den.

1. I administrationscentret väljer du länken som motsvarar den Apple-portal som du använder. Dina alternativ:

   • Skapa en token via Apple Business Manager
   • Skapa en token via Apple School Manager

   Den valda portalen öppnas på en ny webbläsarflik. Du kan växla till den nya fliken på ett säkert sätt, men håll fliken med Microsoft Intune öppen för senare.

2. Logga in på Apple-portalen med ditt företags Apple-ID. Kom ihåg att det här ID:t är det Apple-ID som du och din organisation måste använda för att förnya och hantera token framöver, så använd inte ett personligt ID.

3. Gå till inställningar för kontoprofilen>.

4. Gå till dina MDM-servertilldelningar.

5. Välj alternativet för att lägga till en MDM-server.

6. Namnge MDM-servern. Namnet är endast i identifieringssyfte i Apple Business Manager och behöver inte vara det faktiska namnet eller URL:en för Microsoft Intune-servern.

7. Ladda upp den offentliga nyckelfilen och spara sedan ändringarna.

8. Ladda ned servertoken (.p7m-filen).

Steg 3: Tilldela enheter till MDM-servern

När du har skapat MDM-servern i Apple Business Manager kan du också börja tilldela enheter till den. Vi rekommenderar att du tilldelar dem nu eftersom du redan är i Apple Business Manager, men du kan komma tillbaka senare om du inte är redo. Du kan använda tillgängliga funktioner som filter och masstilldelning för att förenkla tilldelningsvalet. Mer information och steg finns i Tilldela, omtilldela eller ta bort tilldelning av enheter i Apple Business Manager (öppnar Apple Business Manager-användarhandboken).

Steg 4: Spara Apple-ID

Gå tillbaka till administrationscentret och ange det Apple-ID som används för att ladda ned servertoken. Det här ID:t är det Apple-ID som du behöver använda för att förnya token varje år. Se till att framtida Intune administratörer är medvetna om det Apple-ID som används, om du lämnar din organisation och behöver överföra tokenhantering till dem.

Steg 5: Ladda upp servertoken och slutför

Ladda upp servertokenfilen till Intune för att slutföra skapandet av programtoken för registrering.

1. Gå tillbaka till fältet Apple-token i administrationscentret>. Bläddra till servertoken (.p7m-filen) på enheten.
2. Välj Öppna och välj sedan Skapa.

Intune ansluter automatiskt till Apple Business Manager för att synkronisera enhetsinformation från ditt registreringsprogramkonto. Information om hur du synkroniserar token manuellt finns i Synkronisera hanterade enheter (i den här artikeln).

Skapa en Apple-registreringsprofil

Skapa en profil för automatisk enhetsregistrering i administrationscentret. Profilen definierar registreringsupplevelsen för organisationens Mac-enheter och tillämpar registreringsprinciper och inställningar för registrering av enheter. Profilen distribueras till tilldelade enheter via luften.

I slutet av den här proceduren kan du tilldela profilen till Microsoft Entra enhetsgrupper.

1. I administrationscentret går du till Enhetsregistrering>.

2. Välj fliken Apple .

3. Under Massregistreringsmetoder väljer du Token för registreringsprogram.

4. Välj en token för registreringsprogram.

5. Välj Profiler>Skapa profil>macOS.

   

6. För Grundläggande anger du ett namn och en beskrivning för profilen så att du kan skilja den från andra registreringsprofiler. Den här informationen är inte synlig för enhetsanvändare.

   Tips

   Du kan använda namnfältet för att skapa en dynamisk grupp i Microsoft Entra ID och automatiskt tilldela enheter till registreringsprofilen. Använd profilnamnet för att definiera parametern enrollmentProfileName . Mer information finns i Microsoft Entra dynamiska grupper.

7. Välj Nästa.

8. På sidan Hanteringsinställningar konfigurerar du användartillhörighet. Användartillhörighet avgör om enheter registreras med eller utan en tilldelad användare. Dina alternativ:

   • Registrera utan användartillhörighet: Registrera enheter som inte är associerade med en enda användare. Välj det här alternativet för delade enheter och enheter som inte behöver komma åt lokala användardata. Den Företagsportal appen fungerar inte på de här typerna av enheter.

   • Registrera med användartillhörighet: Registrera enheter som är associerade med en tilldelad användare. Välj det här alternativet för arbetsenheter som tillhör användare och om du vill kräva att användarna har Företagsportal app för att installera appar. Multifaktorautentisering (MFA) är tillgängligt med det här alternativet.

     Alternativ 2 kräver fler konfigurationer. Användarna måste autentisera sig själva före registreringen för att bekräfta sin identitet. Välj någon av följande autentiseringsmetoder:

     • Installationsassistenten med modern autentisering: Den här metoden kräver att användarna slutför alla installationsassistentskärmar och loggar in på Företagsportal-appen med sina Microsoft Entra autentiseringsuppgifter innan de kan komma åt resurser. När de har loggat in på Företagsportal, enheten:

       • Registrerar med Microsoft Entra ID.
       • Läggs till i användarens enhetspost i Microsoft Entra ID.
       • Kan utvärderas för enhetsefterlevnad.
       • Får åtkomst till resurser som skyddas av villkorlig åtkomst.

       Om användaren inte loggar in på Företagsportal för att slutföra registreringen omdirigeras de till den Företagsportal appen varje gång de försöker öppna en hanterad app med villkorlig åtkomstskydd.

       Enheter som kör macOS 10.15 och senare kan använda den här metoden. Äldre macOS-enheter återgår till att använda den äldre installationsassistentmetoden. Mer information om hur du hämtar Företagsportal-appen till Mac-användare finns i Lägga till Företagsportal för macOS-appen.

     • Installationsassistenten (äldre): Använd den äldre installationsassistenten om du vill att användarna ska uppleva den typiska färdiga upplevelsen för Apple-produkter. Den här metoden installerar förkonfigurerade standardinställningar när enheten registreras med Intune hantering. Om du använder Active Directory Federation Services (AD FS) och du använder installationsassistenten för autentisering krävs en WS-Trust 1.3 Användarnamn/Kombinerad slutpunkt. Mer information om hur du hämtar ADFS-slutpunkten finns i [Get-ADfsEndpoint] (/powershell/module/adfs/get-adfsendpoint?view=win10-ps&preserve-view=true).

9. Await-konfigurationen ger en låst upplevelse i slutet av installationsassistenten för att säkerställa att dina mest kritiska enhetskonfigurationsprinciper är installerade på enheten. Den här inställningen tillämpas en gång under den färdiga apple-funktionen för automatisk enhetsregistrering i installationsassistenten. Enhetsanvändaren upplever det inte igen om de inte registrerar sin Mac igen.

   Dina alternativ:

   • Ja: Precis innan startskärmen läses in pausar installationsassistenten och låter Intune checka in med enheten. Slutanvändarupplevelsen låse medan användarna väntar på slutgiltiga konfigurationer. Det här alternativet är standardkonfigurationen för nya registreringsprofiler.

   • Nej: Enheten släpps på startskärmen när installationsassistenten slutar, oavsett status för principinstallation. Enhetsanvändare kanske kan komma åt startskärmen eller ändra enhetsinställningarna innan alla principer installeras. Det här alternativet är standardkonfigurationen för befintliga registreringsprofiler.

   Hur lång tid användarna hålls på skärmen Väntar på slutlig konfiguration varierar och beror på det totala antalet principer och appar som du tilldelar enheten. Användarna kan se hur enhetskonfigurationsprofilerna laddas ned i installationsassistenten medan de väntar. Ju fler principer och appar som tilldelas, desto längre väntetid. Installationsassistenten och Intune tillämpar inte en minsta eller högsta tidsgräns under den här delen av installationen. Under produktvalidering släpptes de flesta enheter som vi testade och kunde komma åt startskärmen inom 15 minuter. Om du aktiverar den här funktionen och arbetar med en Microsoft-partner eller en tjänst som inte kommer från Microsoft för att hjälpa dig att etablera enheter kan du berätta om potentialen för ökad etableringstid.

   Den låsta upplevelsen stöds på Mac-datorer som kör macOS 10.11 eller senare. Det fungerar på Mac-datorer som är riktade mot nya eller befintliga registreringsprofiler som konfigurerats för följande scenarier:

   • Registrering via installationsassistenten med modern autentisering
   • Registrering med installationsassistenten (äldre)
   • Registrering utan mappning mellan användare och enhet

10. Du kan framtvinga låst registrering för att förhindra att användare avregistrerar sina enheter från att Intune. Välj Ja för att inaktivera Mac-inställningarna i Systeminställningar och Terminal som gör att användarna kan ta bort hanteringsprofilen. När enheten har registrerats kan du inte ändra den här inställningen utan att rensa enheten.

11. Välj Nästa.

12. Du kan också konfigurera det lokala primära kontot på mål-Mac-datorer på sidan Kontoinställningar .

    

    De här inställningarna stöds på enheter som kör macOS 10.11 eller senare. Tänk på när du konfigurerar det primära kontot att det här kontot ska vara ett administratörskonto . Att ha minst ett administratörskonto är ett konfigurationskrav för Mac.

    Dina alternativ:

    • Skapa ett lokalt primärt konto: Välj Ja för att konfigurera lokala primära kontoinställningar för mål-Mac-datorer. Välj Inte konfigurerad för att hoppa över alla konfigurationer av kontoinställningar.
    • Information om förfyllnadskonto: Standardkonfigurationen, Inte konfigurerad, kräver att enhetsanvändaren anger sitt kontoanvändarnamn och fullständiga namn i installationsassistenten. Om du vill fylla i kontoinformationen för dem i stället väljer du Ja. Ange sedan det primära kontonamnet och det fullständiga namnet:
      • Primärt kontonamn: Ange användarnamnet för kontot. {{partialupn}} är tokenvariabeln som stöds för kontonamnet.
      • Fullständigt namn på primärt konto: Ange det fullständiga namnet på kontot. {{username}} är tokenvariabeln som stöds för fullständigt namn.
    • Begränsa redigering: Standardkonfigurationen är inställd på Ja så att enhetsanvändare inte kan redigera kontonamnet och det fullständiga namnet som konfigurerats för dem. Om du vill tillåta att enhetsanvändare redigerar kontonamnet och det fullständiga namnet väljer du Inte konfigurerat. Om du bara använder installationsassistenten (äldre) för att registrera enheter som kör macOS 10.15 och senare kan du förvänta dig följande slutanvändarupplevelse:
      • Ja: Skärmen för att skapa konto i installationsassistenten visas aldrig. I stället skapas det lokala primära kontot automatiskt baserat på de andra inställningskonfigurationerna, och lösenordet fylls i automatiskt från skärmen Microsoft Entra autentisering. Enhetsanvändaren kan inte redigera dessa fält.
      • Inte konfigurerad: Skärmen för det lokala primära kontot visas för slutanvändaren i installationsassistenten och fylls i med de konfigurerade kontovärdena och lösenordet från skärmen Microsoft Entra autentisering. Enhetsanvändaren kan redigera dessa fält under installationsassistenten.

    För att kontoinställningarna ska fungera som avsett måste din registreringsprofil ha följande konfigurationer:

    • Användartillhörighet: Välj Registrera med användartillhörighet.
    • Autentiseringsmetod: Välj Installationsassistenten med modern autentisering eller installationsassistent (äldre).
    • Väntar på slutlig konfiguration: Välj Ja.

    Lokala konton är beroende av den väntande slutliga konfigurationsfunktionen när de skapas. Om du konfigurerar några lokala primära kontoinställningar är den här inställningen därför alltid aktiverad. Även om du inte rör den väntande slutgiltiga konfigurationsinställningen aktiveras den i bakgrunden och tillämpas på registreringsprofilen.

13. Välj Nästa.

14. På sidan Installationsassistenten konfigurerar du installationsassistentens upplevelse.

    1. Ange din avdelningsinformation så att användarna vet vem som ska kontaktas för support:
       • Avdelningsnamn: Det här namnet visas när enhetsanvändare väljer Om konfiguration under aktiveringen.
       • Avdelningstelefon: Det här telefonnumret visas när enhetsanvändare väljer Behöver hjälp under aktiveringen.
    2. Välj de skärmar i installationsassistenten som du vill visa eller dölja under enhetskonfigurationen. En beskrivning av alla skärmar finns i Skärmreferens för installationsassistenten (i den här artikeln). Dina alternativ:
       • Dölj: Skärmen visas inte för användarna under enhetskonfigurationen. Efter enhetskonfigurationen kan användaren gå till sina enhetsinställningar för att konfigurera funktionen.
       • Visa: Skärmen visas för användare under enhetskonfigurationen. Användaren kan fortfarande hoppa över skärmar som inte kräver omedelbara åtgärder. Efter enhetskonfigurationen kan användaren gå till sina enhetsinställningar för att konfigurera funktionen.

15. Välj Nästa.

16. Granska sammanfattningen av ändringarna och välj sedan Skapa för att slutföra skapandet av profilen.

Skärmreferens för installationsassistenten

I följande tabell beskrivs skärmarna i installationsassistenten som visas under automatisk enhetsregistrering för Mac-datorer. Du kan visa eller dölja dessa skärmar på enheter som stöds under registreringen. Mer information om hur varje skärm för installationsassistenten påverkar användarupplevelsen finns i följande Apple-resurser:

• Guide för appleplattformsdistribution: Hantera installationsassistenten för Apple-enheter
• Dokumentation om Apple Developer: ShipKeys

Synkronisera hanterade enheter

Synkronisering uppdaterar befintlig enhetsstatus och importerar nya enheter som tilldelats Till Apple MDM-servern. Om du vill se alla associerade Apple-enheter och enhetsinformation synkroniserar du din programtoken för registrering i administrationscentret.

1. Gå tillbaka till Token för registreringsprogram och välj din token för registreringsprogrammet.

2. Välj Enheter>Synkronisera.

   

Synkroniseringsbegränsningar

För att uppfylla Apples villkor för godkänd trafik för registreringsprogram inför Microsoft Intune följande begränsningar:

• En fullständig synkronisering kan inte köras mer än en gång var sjunde dag. Under en fullständig synkronisering hämtar Intune den senaste uppdaterade listan över serienummer som tilldelats den anslutna Apple MDM-servern. Om du tar bort en enhet från Intune utan att ta bort den från MDM-servern i Apple Business Manager eller Apple School Manager importeras den inte igen till Intune förrän den fullständiga synkroniseringen körs.
• Om en enhet släpps från något av Apples registreringsprogram kan det ta upp till 45 dagar innan den tas bort automatiskt från sidan Enheter i Intune. Du kan ta bort utgivna enheter manuellt i Intune en i taget om det behövs. Intune rapporterar att utgivna enheter tas bort från Apple Business Manager eller Apple School Manager tills de tas bort automatiskt, vilket sker inom 30–45 dagar.
• En synkronisering körs automatiskt var 24:e timme. Du kan initiera en synkronisering högst en gång var 15:e minut. Alla synkroniseringsbegäranden ges 15 minuter att slutföras. Knappen Synkronisera blir inaktiv tills synkroniseringen är klar.

Tilldela enheterna en registreringsprofil

Tilldela en registreringsprofil till Apple-enheter.

1. Gå tillbaka till Token för registreringsprogram och välj en token.
2. Välj Enheter.
3. Välj dina enheter i listan och välj sedan Tilldela profil.
4. Välj en profil att tilldela och välj sedan Tilldela.

Du kan också välja en standardregistreringsprofil. Standardprofilen distribueras till alla registreringsenheter som är associerade med token.

1. Gå tillbaka till Token för registreringsprogram och välj en token.
2. Välj Ange standardprofil.
3. Välj en profil och välj sedan Spara.

Distribuera enheter

Distribuera förberedda enheter i hela organisationen.

• Nya eller rensade Mac-datorer: Nya eller rensade Mac-datorer som konfigurerats i Apple Business Manager eller Apple School Manager registreras automatiskt i Microsoft Intune under installationsassistenten när någon aktiverar enheten. Om du har tilldelat enheten till en macOS-registreringsprofil med användartillhörighet måste enhetsanvändaren logga in på Företagsportal när installationsassistenten är klar för att slutföra Microsoft Entra registrering och krav på villkorlig åtkomst.

• Befintliga Mac-datorer: Du kan registrera enheter som redan har gått igenom installationsassistenten. Utför de här stegen för att registrera företagsägda Mac-datorer som kör macOS 10.13 och senare.

  1. Se till att:

     • Enheten importeras till Apple Business Manager eller Apple School Manager.
     • Enheten tilldelas en macOS-registreringsprofil i administrationscentret.

  2. Logga in på enheten med ett lokalt administratörskonto.

  3. Om du vill utlösa registrering öppnar du Terminal på startsidan och kör följande kommando:

     sudo profiles renew -type enrollment

  4. Ange enhetslösenordet för det lokala administratörskontot.

  5. I Enhetsregistrering väljer du Information.

  6. I Systeminställningar väljer du Profiler.

  7. Följ anvisningarna på skärmen för att ladda ned Microsoft Intune-hanteringsprofilen, certifikaten och principerna.

     Tips

     Du kan kontrollera vilka profiler som finns på enheten när som helst genom att återgå till Systeminställningar-profiler>.

  8. Om du har tilldelat enheten till en macOS-registreringsprofil med användartillhörighet loggar du in på Företagsportal-appen för att slutföra Microsoft Entra registrering och krav på villkorlig åtkomst och slutföra registreringen.

Förnya programtoken för registrering

Slutför de här stegen för att förnya en servertoken som snart upphör att gälla. Den här proceduren säkerställer att den associerade programtoken för registrering i Intune förblir aktiv.

1. Logga in på Apple Business Manager eller Apple School Manager och följ dessa steg för att ladda ned en ny MDM-servertoken:
   • Ladda ned token i Apple Business Manager
   • Ladda ned token i Apple School Manager,
2. I administrationscentret går du till Enhetsregistrering>.
3. Välj fliken Apple .
4. Under Massregistreringsmetoder väljer du Token för registreringsprogram.
5. Välj den token för registreringsprogram som du vill förnya.
6. Välj Förnya token och ange det Apple-ID som användes för att skapa den ursprungliga token.
7. Ladda upp den nya token.
8. Välj Nästa. Du kan uppdatera omfångstaggar just nu om du vill. Annars fortsätter du till Granska + skapa.
9. Spara ändringarna genom att välja Skapa .

Nästa steg

Använd Microsoft Intune fjärråtgärder för att fjärrhantera registrerade Mac-datorer.