Automatická registrace Počítačů Mac pomocí Apple Business Manageru nebo Apple School Manageru

Článek
02/26/2024

Nastavte automatickou registraci zařízení v Intune pro nové nebo vymazané Počítače Mac zakoupené prostřednictvím programu registrace Apple, jako je Apple Business Manager nebo Apple School Manager. Při použití této metody nemusíte mít zařízení u sebe, abyste je mohli nakonfigurovat. Intune se automaticky synchronizuje se společností Apple, aby získala informace o zařízení z vašeho účtu programu registrace, a nasazuje předkonfigurované registrační profily do počítačů Mac vzduchem. Připravená zařízení je možné poslat přímo zaměstnancům nebo studentům. Pomocník s nastavením a registrace zařízení se spustí, když někdo zapne Mac.

Tento článek popisuje, jak nastavit profil automatizované registrace zařízení pro počítače Mac vlastněné společností.

Poznámka

Postup v tomto článku je stejný bez ohledu na to, jestli používáte Apple Business Manager nebo Apple School Manager. Pro stručnost odkazujeme na Apple Business Manager pouze v krocích v tomto článku, s výjimkou případů, kdy je potřeba vysvětlení.

Omezení

Účty správce registrace zařízení nepodporují automatickou registraci zařízení prostřednictvím Apple Business Manageru a Apple School Manageru.

Požadavky

Vyžaduje se přístup k Apple School Manageru nebo Apple Business Manageru . Musíte mít také seznam sériových čísel zařízení nebo čísla nákupní objednávky pro zařízení, která jste zakoupili prostřednictvím společnosti Apple.

Než začnete, ujistěte se, že jsou dokončené následující úlohy:

Nastavte autoritu pro správu mobilních zařízení ve vašem tenantovi.
Získejte certifikát Apple MDM Push.

Vytvoření tokenu programu registrace

Tato část popisuje, jak vytvořit token programu registrace v Intune. Token programu registrace (někdy označovaný jako token automatické registrace zařízení) je nezbytnou součástí automatizované registrace zařízení. Umožňuje možnosti komunikace a správy zařízení mezi Intune a vámi zvoleným programem registrace Apple. Umožňuje Intune synchronizovat informace z účtu Apple Business Manageru nebo Apple School Manageru a používat profily na zařízeních.

Krok 1: Stažení certifikátu Intune veřejného klíče

Certifikát veřejného klíče je potřeba k vyžádání certifikátu vztahu důvěryhodnosti z Apple Business Manageru.

V Centru pro správu Microsoft Intune přejděte na Registrace zařízení>.
Vyberte kartu Apple .
V části Metody hromadné registrace vyberte Tokeny programu registrace.
Vyberte možnost Přidat.
Vyberte Souhlasím a udělte microsoftu oprávnění k odesílání informací o uživateli a zařízení společnosti Apple.
Vyberte Stáhnout veřejný klíč a uložte klíč jako soubor PEM místně. Klíč se použije k získání tokenu serveru MDM v dalším kroku.

Krok 2: Přidání serveru MDM a stažení tokenu serveru

Přidejte do Apple Business Manageru server správy mobilních zařízení (MDM) pro Intune a stáhněte si pro něj token serveru.

V Centru pro správu vyberte odkaz, který odpovídá používanému portálu Apple. Možnosti:
- Vytvoření tokenu prostřednictvím Apple Business Manageru
- Vytvoření tokenu prostřednictvím Apple School Manageru
Vybraný portál se otevře na nové kartě prohlížeče. Na novou kartu můžete bezpečně přepnout, ale nechte ji s Microsoft Intune otevřenou na později.
Přihlaste se k portálu Apple pomocí Apple ID vaší společnosti. Mějte na paměti, že toto ID je Apple ID, které musíte vy a vaše organizace použít k obnovení a správě tokenu, takže osobní ID nepoužívejte.
Přejděte na svůj profil > účtu Předvolby.
Přejděte na přiřazení serveru MDM.
Vyberte možnost pro přidání serveru MDM.
Server MDM pojmenujte. Název je určený jenom pro účely identifikace v Apple Business Manageru a nemusí to být skutečný název nebo adresa URL Microsoft Intune serveru.
Nahrajte soubor veřejného klíče a uložte změny.
Stáhněte token serveru (soubor .p7m).

Krok 3: Přiřazení zařízení k serveru MDM

Volitelně můžete po vytvoření serveru MDM v Apple Business Manageru začít přiřazovat zařízení. Doporučujeme je přiřadit hned, protože už jste v Apple Business Manageru, ale pokud nejste připravení, můžete se vrátit později. Pomocí dostupných funkcí, jako jsou filtry a hromadné přiřazení , můžete zjednodušit výběr zadání. Další informace a postup najdete v článku Přiřazení, změna přiřazení nebo zrušení přiřazení zařízení v Apple Business Manageru (otevře uživatelskou příručku k Apple Business Manageru).

Krok 4: Uložení Apple ID

Vraťte se do Centra pro správu a zadejte Apple ID použité ke stažení tokenu serveru. Toto ID je Apple ID, které potřebujete použít k obnovení tokenu každý rok. Ujistěte se, že budoucí Intune správci budou vědět o použitém Apple ID pro případ, že opustíte organizaci a budete na ně potřebovat převést správu tokenů.

Snímek obrazovky se zvýrazněním pole Apple ID v podokně Přidat token programu registrace

Krok 5: Nahrání tokenu serveru a dokončení

Nahrajte soubor tokenu serveru do Intune a dokončete vytváření tokenu programu registrace.

Vraťte se do pole Apple Token Centra> pro správu. Přejděte na token serveru (soubor .p7m) na vašem zařízení.
Zvolte Otevřít a pak vyberte Vytvořit.

Intune se automaticky připojí k Apple Business Manageru a synchronizuje informace o zařízení z vašeho účtu programu registrace. Informace o ruční synchronizaci tokenu najdete v tématu Synchronizace spravovaných zařízení (v tomto článku).

Vytvoření registračního profilu Apple

Vytvořte profil automatizované registrace zařízení v Centru pro správu. Profil definuje prostředí registrace pro zařízení Mac vaší organizace a vynucuje zásady registrace a nastavení při registraci zařízení. Profil se nasadí na přiřazená zařízení bezdrátově.

Na konci tohoto postupu můžete tento profil přiřadit Microsoft Entra skupinám zařízení.

Důležité

Pokud chcete profil vytvořit, musíte mít v Intune nastavený token programu registrace. Pokud jste to ještě neudělali, přečtěte si téma Vytvoření tokenu programu registrace na začátku tohoto článku.

V Centru pro správu přejděte na Registrace zařízení>.
Vyberte kartu Apple .
V části Metody hromadné registrace vyberte Tokeny programu registrace.
Vyberte token programu registrace.
Vyberte Profily>Vytvořit profil>macOS.
Do pole Základy zadejte název a popis profilu, abyste ho mohli odlišit od ostatních registračních profilů. Tyto podrobnosti se uživatelům zařízení nezobrazují.

Tip

Pole s názvem můžete použít k vytvoření dynamické skupiny v Microsoft Entra ID a automatickému přiřazení zařízení k registračnímu profilu. Název profilu použijte k definování parametru enrollmentProfileName . Další informace najdete v tématu Microsoft Entra dynamických skupin.
Vyberte Další.
Na stránce Nastavení správy nakonfigurujte spřažení uživatele. Spřažení uživatele určuje, jestli se zařízení registrují s přiřazeným uživatelem nebo bez. Možnosti:
- Registrace bez přidružení uživatele: Zaregistrujte zařízení, která nejsou přidružená k jednomu uživateli. Tuto možnost zvolte pro sdílená zařízení a zařízení, která nepotřebují přístup k místním uživatelským datům. Aplikace Portál společnosti nefunguje na těchto typech zařízení.
- Registrace s přidružením uživatele: Zaregistrujte zařízení, která jsou přidružená k přiřazeným uživatelům. Tuto možnost zvolte pro pracovní zařízení, která patří uživatelům, a pokud chcete, aby uživatelé měli Portál společnosti aplikaci k instalaci aplikací. S touto možností je k dispozici vícefaktorové ověřování (MFA).
  
  Možnost 2 vyžaduje více konfigurací. Uživatelé se musí před registrací ověřit sami, aby potvrdili svou identitu. Vyberte jednu z následujících metod ověřování:
  - Pomocník s nastavením s moderním ověřováním: Tato metoda vyžaduje, aby uživatelé před přístupem k prostředkům dokončili všechny obrazovky Pomocníka s nastavením a přihlásili se k aplikaci Portál společnosti pomocí svých Microsoft Entra přihlašovacích údajů. Po přihlášení k Portál společnosti zařízení:
    - Zaregistruje se s Microsoft Entra ID.
    - Přidá se do záznamu zařízení uživatele v Microsoft Entra ID.
    - Je možné vyhodnotit dodržování předpisů zařízením.
    - Získá přístup k prostředkům chráněným podmíněným přístupem.
    Pokud se uživatel kvůli dokončení registrace nepřihlásí k Portál společnosti, bude přesměrován do aplikace Portál společnosti pokaždé, když se pokusí otevřít spravovanou aplikaci s ochranou podmíněného přístupu.
    
    Tuto metodu můžou používat zařízení se systémem macOS 10.15 nebo novějším. Starší zařízení s macOS se vrátí k používání starší metody Pomocníka s nastavením. Další informace o tom, jak získat aplikaci Portál společnosti uživatelům maců, najdete v tématu Přidání aplikace Portál společnosti pro macOS.
  - Pomocník s nastavením (starší verze): Staršího Pomocníka s nastavením použijte, pokud chcete, aby uživatelé měli typické prostředí pro produkty Apple. Tato metoda nainstaluje standardní předkonfigurovaná nastavení, když se zařízení zaregistruje pomocí správy Intune. Pokud používáte Active Directory Federation Services (AD FS) a k ověřování používáte Průvodce nastavením, vyžaduje se koncový bod WS-Trust 1.3 Username/Mixed. Další informace o načtení koncového bodu ADFS najdete v tématu [Get-ADfsEndpoint] (/powershell/module/adfs/get-adfsendpoint?view=win10-ps&preserve-view=true).
Konečná konfigurace Await umožňuje na konci Pomocníka s nastavením uzamknout prostředí, aby se zajistilo, že se na zařízení nainstalují nejdůležitější zásady konfigurace zařízení. Toto nastavení se použije jednou během automatické registrace zařízení Apple v Průvodci nastavením. Uživatel zařízení ho znovu nezaregistruje, dokud znovu nezaregistruje svůj Mac.

Možnosti:
- Ano: Těsně před načtením domovské obrazovky se Pomocník s nastavením pozastaví a umožní Intune se vrátit se zařízením. Prostředí koncového uživatele se zamkne, zatímco uživatelé čekají na konečnou konfiguraci. Tato možnost je výchozí konfigurací nových registračních profilů.
- Ne: Zařízení se po ukončení Pomocníka s nastavením uvolní na domovskou obrazovku bez ohledu na stav instalace zásad. Uživatelé zařízení můžou mít před instalací všech zásad přístup k domovské obrazovce nebo změnit nastavení zařízení. Tato možnost je výchozí konfigurací pro existující registrační profily.
Doba, po kterou jsou uživatelé na obrazovce Čekání na konečnou konfiguraci, se liší a závisí na celkovém počtu zásad a aplikací, které přiřadíte k zařízení. Uživatelé uvidí, jak se profily konfigurace zařízení stahují, v Pomocníkovi s nastavením během čekání. Čím více zásad a aplikací je přiřazeno, tím delší je čekací doba. Pomocník s nastavením a Intune během této části nastavení nevynucuje minimální nebo maximální časový limit. Během ověřování produktu byla většina zařízení, která jsme testovali, vydána a během 15 minut měla přístup k domovské obrazovce. Pokud tuto funkci povolíte a spolupracujete s partnerem Microsoftu nebo se službou jiné společnosti, která vám pomůže se zřizováním zařízení, informujte ho o možnostech delší doby zřizování.

Uzamčené prostředí je podporováno na počítačích Mac se systémem macOS 10.11 nebo novějším. Funguje na počítačích Mac, na které cílí nové nebo existující registrační profily nastavené pro tyto scénáře:
- Registrace prostřednictvím Pomocníka s nastavením s moderním ověřováním
- Registrace pomocí Pomocníka s nastavením (starší verze)
- Registrace bez spřažení zařízení uživatele
Uzamčenou registraci můžete vynutit, abyste uživatelům zabránili zrušit registraci svých zařízení v Intune. Pokud chcete zakázat nastavení systému Mac v předvolbách systému a terminálu, které uživatelům umožní odebrat profil správy, vyberte Ano . Jakmile se zařízení zaregistruje, nemůžete toto nastavení změnit bez vymazání zařízení.
Vyberte Další.
Volitelně můžete na stránce Nastavení účtu nakonfigurovat místní primární účet na cílových počítačích Mac.

Tato nastavení jsou podporovaná na zařízeních s macOS 10.11 nebo novějším. Při konfiguraci primárního účtu mějte na paměti, že tento účet bude po vytvoření účtem správce . Mít alespoň jeden účet správce je požadavek na nastavení pro Mac.

Možnosti:
- Vytvoření místního primárního účtu: Výběrem možnosti Ano nakonfigurujete nastavení místního primárního účtu pro cílové počítače Mac. Pokud chcete přeskočit všechny konfigurace nastavení účtu, vyberte Nenakonfigurováno .
- Předvyplnění informací o účtu: Výchozí konfigurace , Nenakonfigurováno, vyžaduje, aby uživatel zařízení zadal uživatelské jméno a celé jméno účtu v Pomocníkovi s nastavením. Pokud chcete místo toho předvyplnit informace o účtu, vyberte Ano. Pak zadejte název primárního účtu a celé jméno:
  - Název primárního účtu: Zadejte uživatelské jméno účtu. {{partialupn}} je podporovaná proměnná tokenu pro název účtu.
  - Úplný název primárního účtu: Zadejte úplný název účtu. {{username}} je podporovaná proměnná tokenu pro celé jméno.
- Omezit úpravy: Výchozí konfigurace je nastavená na Ano , aby uživatelé zařízení nemohli upravovat název účtu a celé jméno, které jsou pro ně nakonfigurované. Pokud chcete uživatelům zařízení povolit úpravu názvu účtu a celého jména, vyberte Nenakonfigurováno. Pokud k registraci zařízení s macOS 10.15 a novějším používáte jenom Pomocníka s nastavením (starší verze), můžete očekávat následující možnosti koncového uživatele:
  - Ano: Obrazovka pro vytvoření účtu v Pomocníkovi s nastavením se nikdy nezobrazí. Místo toho se místní primární účet vytvoří automaticky na základě ostatních konfigurací nastavení a heslo se automaticky vyplní na obrazovce ověřování Entra ID. Uživatel zařízení nemůže tato pole upravovat.
  - Nenakonfigurováno: Obrazovka místního primárního účtu se zobrazí koncovému uživateli v Pomocníkovi s nastavením a naplní se nakonfigurovanými hodnotami účtu a heslem z ověřovací obrazovky Entra ID. Uživatel zařízení může tato pole upravovat v Pomocníkovi s nastavením.
Aby nastavení účtu fungovalo podle očekávání, musí mít registrační profil následující konfigurace:
- Spřažení uživatele: Vyberte Zaregistrovat s přidružením uživatele.
- Metoda ověřování: Vyberte Pomocníka s nastavením s moderním ověřováním nebo Pomocníka s nastavením (starší verze).
- Vyčkejte na konečnou konfiguraci: Vyberte Ano.
Při vytváření místních účtů závisí na funkci konečné konfigurace await . Pokud tedy nakonfigurujete nastavení místního primárního účtu, bude toto nastavení vždy povolené. I když se nastavení konečné konfigurace await nedotknete, je povolené na pozadí a použito u registračního profilu.
Vyberte Další.
Na stránce Pomocník s nastavením nakonfigurujte prostředí Pomocníka s nastavením.
1. Zadejte informace o svém oddělení, aby uživatelé věděli, koho mají kontaktovat s žádostí o podporu:
  - Název oddělení: Tento název se zobrazí, když uživatelé zařízení při aktivaci vyberou O konfiguraci .
  - Telefon oddělení: Toto telefonní číslo se zobrazí, když uživatelé zařízení vyberou při aktivaci možnost Potřebuji pomoc .
2. Vyberte obrazovky Pomocníka s nastavením, které chcete během instalace zařízení zobrazit nebo skrýt. Popis všech obrazovek najdete v tématu Referenční informace k obrazovkám Pomocníka s nastavením (v tomto článku). Možnosti:
  - Skrýt: Při nastavování zařízení se uživatelům nezobrazuje obrazovka. Po nastavení zařízení může uživatel přejít do nastavení zařízení a funkci nastavit.
  - Zobrazit: Obrazovka se uživatelům zobrazí během nastavování zařízení. Uživatel může i přesto přeskočit obrazovky, které nevyžadují okamžitou akci. Po nastavení zařízení může uživatel přejít do nastavení zařízení a funkci nastavit.
Vyberte Další.
Zkontrolujte souhrn změn a pak vyberte Vytvořit a dokončete vytváření profilu.

Referenční informace k obrazovce Pomocníka s nastavením

Následující tabulka popisuje obrazovky Pomocníka s nastavením, které se zobrazují při automatické registraci zařízení pro Počítače Mac. Tyto obrazovky můžete během registrace zobrazit nebo skrýt na podporovaných zařízeních.

Obrazovka Pomocníka s nastavením	Co se stane, když je viditelné
Zjišťování polohy	Vyzve uživatele k poskytnutí polohy. Pro macOS 10.11 a novější a iOS/iPadOS 7.0 a novější.
Obnovení	Zobrazí obrazovku Aplikace a data. Tato obrazovka nabídne uživateli při nastavování zařízení možnost obnovit nebo přenést data ze zálohy v iCloudu. Pro macOS 10.9 a novější a iOS/iPadOS 7.0 a novější.
Apple ID	Umožní uživateli přihlásit se pomocí svého Apple ID a používat iCloud. Pro macOS 10.9 a novější a iOS/iPadOS 7.0 a novější.
Podmínky a ujednání	Požaduje, aby uživatel přijal podmínky a ujednání společnosti Apple. Pro macOS 10.9 a novější a iOS/iPadOS 7.0 a novější.
Touch ID a Face ID	Umožní uživateli nastavit pro zařízení identifikaci otiskem prstu. Pro macOS 10.12.4 a novější a iOS/iPadOS 8.1 a novější.
Apple Pay	Umožní uživateli nastavit na zařízení Apple Pay. Pro macOS 10.12.4 a novější a iOS/iPadOS 7.0 a novější.
Siri	Umožní uživateli nastavit Siri. Pro macOS 10.12 a novější a iOS/iPadOS 7.0 a novější.
Diagnostická data	Zobrazí uživateli obrazovku Diagnostická data. Tato obrazovka umožní uživateli poslat společnosti Apple diagnostická data. Pro macOS 10.9 a novější a iOS/iPadOS 7.0 a novější.
Tón zobrazení	Poskytněte uživateli možnost zapnout tón zobrazení. Pro macOS 10.13.6 a novější a iOS/iPadOS 9.3.2 a novější.
FileVault	Zobrazí uživateli obrazovku šifrování FileVault 2. Pro macOS 10.10 a novější.
Diagnostika iCloudu	Zobrazí uživateli obrazovku analytiky iCloudu. Pro macOS 10.12.4 a novější.
Registrace	Zobrazí registrační obrazovku. Pro macOS 10.9 a novější.
Úložiště v iCloudu	Zobrazí uživateli obrazovku Dokumenty a plocha iCloudu. Pro macOS 10.13.4 a novější.
Vzhled	Zobrazí uživateli obrazovku Vzhled. Pro macOS 10.14 a novější a iOS/iPadOS 13.0 a novější.
Čas u obrazovky	Zobrazí obrazovku Čas u obrazovky. Pro macOS 10.15 a novější a iOS/iPadOS 12.0 a novější.
Ochrana osobních údajů	Zobrazí uživateli obrazovku Ochrana osobních údajů. Pro macOS 10.13.4 a novější a iOS/iPadOS 11.3 a novější.
Přístupnost	Zobrazte uživateli obrazovku Přístupnost. Pokud je tato obrazovka skrytá, uživatel nemůže funkci Voice Over použít. Voice Over se podporuje na zařízeních, která: - Mají nainstalovaný macOS 11. - Jsou připojená k internetu pomocí sítě Ethernet. - Mají sériové číslo v Apple School Manageru nebo Apple Business Manageru.
Automatické odemykání pomocí Apple Watch	Dejte uživateli možnost odemknout Mac pomocí Apple Watch. Pro macOS 12.0 a novější.
Podmínky adresy	Dejte uživateli možnost zvolit, jak se má v celém systému oslovovat: ženský, mužský nebo neutrální. Tato funkce Apple je dostupná pro vybrané jazyky. Další informace najdete v článku Změna nastavení jazyka & oblasti na Macu (otevře web Apple). Pro macOS 13.0 a novější.

Synchronizace spravovaných zařízení

Synchronizace aktualizuje stav stávajících zařízení a importuje nová zařízení přiřazená k serveru Apple MDM. Pokud chcete zobrazit všechna přidružená zařízení Apple a informace o zařízeních, synchronizujte token programu registrace v Centru pro správu.

Vraťte se do části Tokeny programu registrace a zvolte token programu registrace.
Vyberte Synchronizace zařízení>.

Omezení synchronizace

V souladu s podmínkami společnosti Apple pro přijatelný provoz v programu registrace platí Microsoft Intune následující omezení:

Úplná synchronizace se může spustit maximálně jednou za sedm dní. Během úplné synchronizace Intune načte nejnovější aktualizovaný seznam sériových čísel přiřazených k připojenému serveru Apple MDM. Pokud odstraníte zařízení z Intune bez zrušení přiřazení ze serveru MDM v Apple Business Manageru nebo Apple School Manageru, nebude se znovu importovat do Intune, dokud se nespustí úplná synchronizace.
Pokud je zařízení uvolněné z některého z programů registrace Apple, může trvat až 45 dnů, než se automaticky odstraní ze stránky Zařízení v Intune. V případě potřeby můžete ručně odstranit vydaná zařízení v Intune jeden po druhém. Intune hlásí, že se vydaná zařízení odebrala z Apple Business Manageru nebo Apple School Manageru, dokud se automaticky neodstraní, k čemuž dojde během 30 až 45 dnů.
Synchronizace se spouští automaticky každých 24 hodin. Synchronizaci můžete zahájit maximálně jednou za 15 minut. Každá žádost o synchronizaci má 15 minut na dokončení. Tlačítko Synchronizovat bude neaktivní, dokud synchronizace nebude dokončena.

Přiřazení profilu registrace zařízením

Přiřaďte registrační profil k zařízením Apple.

Vraťte se do části Tokeny programu registrace a vyberte token.
Vyberte Zařízení.
V seznamu zvolte svá zařízení a pak vyberte Přiřadit profil.
Zvolte profil, který chcete přiřadit, a pak vyberte Přiřadit.

Volitelně můžete vybrat výchozí registrační profil. Výchozí profil se nasadí na všechna zaregistrovaná zařízení přidružená k tokenu.

Vraťte se do části Tokeny programu registrace a vyberte token.
Vyberte Nastavit výchozí profil.
Zvolte profil a pak vyberte Uložit.

Distribuujte zařízení