Konfigurace podpory konfigurace místního účtu ADE pro macOS pomocí LAPS v Microsoft Intune

Profil automatizované registrace zařízení (ADE) pro macOS můžete použít ke konfiguraci nově zaregistrovaného zařízení s macOS pro konfiguraci správce i uživatelského účtu společně s řešením hesel místního správce (LAPS). Konfigurace účtu macOS pomocí LAPS je volitelná sada konfigurací, které můžete použít v nových a existujících profilech macOS ADE se spřažením uživatelských zařízení nebo bez něj. Tyto konfigurace správy účtu se vztahují pouze na nové registrace.

Při konfiguraci místního účtu macOS pomocí LAPS se zařízení zřizují pomocí místního účtu správce, který má silné, šifrované a randomizované heslo správce, které ukládá a šifruje služba Intune. Podobně je možné v rámci registračního profilu zřídit také místní standardní uživatelský účet. Po registraci Intune každých šest měsíců automaticky obměňuje heslo správce spravované pomocí LAPS. Pokud chcete doplnit automatické otáčení, můžou správci Intune s dostatečnými oprávněními použít Centrum pro správu Intune k zobrazení hesla místního účtu správce zařízení a podle potřeby toto heslo ručně otočit pomocí akcí vzdáleného zařízení.

Heslo vygenerované službou Intune pro účet správce má 15 znaků se směsí malých a velkých písmen, čísel a speciálních symbolů.

Vzhledem k tomu, že konfigurace místního účtu macOS s LAPS je povolená pouze během automatizované registrace zařízení (ADE) po obnovení továrního nastavení, musí se dříve zaregistrované zařízení znovu zaregistrovat v aplikaci Intune pomocí profilu ADE s povoleným LAPS, aby bylo možné pro LAPS pro účet správce podporovat.

Důležité

Existuje známý problém, který se týká zařízení s verzemi macOS staršími než macOS 26.4. Když se zařízení s macOS zaregistruje přes ADE s nakonfigurovaným účtem místního správce a profilem cílového přístupového kódu, vyzve k resetování hesla správce, a to i v případě, že možnost Změnit při příštím ověření není povolená nebo pokud je nastavená hodnota Maximální stáří (ve dnech). Na standardní účet to nemá vliv.

Jako alternativní řešení můžete po resetování zařízení ručně otočit heslo správce, aby byl stav Intune a hesla zařízení synchronizovaný. Pokud chcete tento problém vyřešit, upgradujte zařízení na macOS 26.4.

Důležité

Účet místního správce neobdrží zabezpečený token kvůli omezením platformy. První účet, který se po zápisu přihlásí, obdrží zabezpečený token, kterým bude v tomto okamžiku vždy místní uživatelský účet.

Tip

Implementace macOS LAPS v systému Intune je podobná, ale odlišná od podpory Intune pro Windows LAPS. Informace o Windows LAPS v aplikaci Intune najdete v tématu Účet místního správce.

Požadavky

Níže jsou uvedené požadavky na konfiguraci místního účtu macOS s řešením LAPS:

• macOS 12 a novější
• Zařízení je potřeba synchronizovat do Intune z Apple Business/School Manageru
• Zařízení se musí po obnovení továrního nastavení zaregistrovat do služby Intune prostřednictvím registračního profilu macOS ADE.

Důležité

macOS LAPS podporuje registrace ADE, ke kterým dochází jako součást počátečního nastavení zařízení. Scénáře registrace, které znovu iniciují ADE z existující instalace macOS (například pomocí profiles renew příkazu), nejsou podporovány.

Ovládací prvky přístupu na základě role pro macOS LAPS

Účet správce, který je důvěryhodný pro zobrazení nebo obměnu hesla místního účtu správce pro zařízení, které bylo onboardováno do macOS LAPS, musí mít následující oprávnění Intune řízení přístupu na základě role (RBAC):

Kategorie: Zápisové programy:

• Nastavte Otočit heslo správce macOS na Ano.
• Nastavte možnost Zobrazit heslo správce macOS na Ano.

Důležité

Tato dvě oprávnění pro programy zápisu nejsou součástí žádné Intune předdefinované role ani Microsoft Entra předdefinované role Správce Intune. Místo toho použijte vlastní roli Intune a přiřaďte toto oprávnění uživatelům, kteří by měli mít tyto možnosti.

Oprávnění a podrobnosti potřebné ke správě zásad macOS pro automatickou registraci zařízení najdete v tématu Nastavení automatizované registrace zařízení (ADE) pro macOS.

Možnosti konfiguračního účtu a hesla

Tato část obsahuje podrobnosti o konfiguraci místního účtu macOS pomocí LAPS, která se provádí během kroku 12 postupu Vytvoření zásady registrace pro profily automatické registrace zařízení (ADE) v macOS.

Při konfiguraci profilu automatizované registrace zařízení v systému macOS jsou na panelu Nastavení účtu uvedeny možnosti konfigurace místního i místního uživatelského účtu. Ve výchozím nastavení jsou obě tyto možnosti nastavené na Ne.

Když vyberete Ano pro možnost místního, správce nebo uživatelského účtu, konfigurujete účet místního správce macOS s konfigurací LAPS i standardní uživatelský účet pro zařízení, která se registrují pomocí tohoto registračního profilu.

Jedinečná hesla účtů se vytvářejí pomocí 15 znaků obsahujících směs malých a velkých písmen, čísel a speciálních symbolů.

Důležité

U zařízení s nakonfigurovanými účty LAPS cílte na zásady hesel pouze prostřednictvím katalogu nastavení a zakažte možnost Změnit při příštím nastavení ověřování .

Nastavení hesla nakonfigurovaná prostřednictvím zásad dodržování předpisů nebo šablon omezení zařízení ve výchozím nastavení umožňují Změnit při příštím ověřování a můžou u nově vytvořených účtů LAPS způsobit problémy s přihlášením.

Při každé části konfigurace místního účtu je Await konečné nastavení konfigurace ve výchozím nastavení vždy nastavené na Ano . Toto nastavení je nastavené, protože konfigurace účtu probíhá během Pomocníka s nastavením.

Účet místního správce

Následují příklady dostupných možností konfigurace. Další podrobnosti jsou dostupné prostřednictvím ikon Informace , které následují za názvem některých nastavení.

Poznámka

Pro zásady registrace macOS ADE bez spřažení uživatelských zařízení doporučujeme nastavit uživatelské jméno účtu Správa na {{serialNumber}}-admin nebo {{serialNumber}}-user. Použití sériového čísla zařízení pomáhá zajistit, aby každé zařízení ADE bez uživatelů mělo jedinečný identifikátor.

• Správa uživatelské jméno účtu – zadejte název účtu nebo použijte jednu z následujících podporovaných proměnných k dynamickému vytvoření názvu. Ve výchozím nastavení toto pole používá oprávnění Správa.

  • {{serialNumber}} - například F4KN99ZUG5V2
  • {{partialupn}} - například John.Dupont
  • {{managedDeviceName}} – například 15. F2AL10ZUG4W2_14_4. 2025_12:45
  • {{onPremisesSamAccountName}} – například JDoe

• Správa úplný název účtu – Zadejte název účtu nebo použijte jednu z následujících podporovaných proměnných k dynamickému vytvoření názvu. Ve výchozím nastavení toto pole používá oprávnění Správa.

  • {{uživatelské_jméno}} - například John@contoso.com
  • {{serialNumber}} - například F4KN99ZUG5V2
  • {{onPremisesSamAccountName}} – například JDoe

• Skrýt v Uživatelé & skupiny – skryjte účet správce v přihlašovacím okně a v Uživatelé & skupinách. Ve výchozím nastavení je nastavená možnost Nenakonfigurované.

• Doba rotace hesel účtu Správa (ve dnech) – Pokud je toto nastavení nakonfigurované, určuje toto nastavení období (1–180 dní), po jehož uplynutí se heslo účtu správce automaticky změní. Toto střídání doplňuje automatické střídání jednou za 180 dní.

Místní uživatelský účet

Tady je několik vodítek pro dostupné možnosti. Další podrobnosti jsou dostupné prostřednictvím ikon Informace, které následují za názvem některých nastavení.

• Typ účtu – Ve výchozím nastavení je pro vytvoření standardního uživatelského účtu nastavená na Standardní . Pokud není nakonfigurovaný žádný místní účet správce, nastaví se typ místního uživatelského účtu na správce, což je omezení platformy, protože účet správce se vždy vyžaduje k nastavení jakéhokoli zařízení s macOS.

• Předvyplnit informace o účtu – Pokud chcete spravovat název účtu nebo omezit úpravy, nastavte tuto možnost na Ano .

• Název primárního účtu – zadejte název účtu nebo použijte jednu z následujících podporovaných proměnných k dynamickému vytvoření názvu. Pomocník s nastavením používá tuto hodnotu k předvyplnění pole Název účtu, pokud jsou informace o účtu pro předvyplnění nastavené na Nenakonfigurované. Ve výchozím nastavení toto pole používá proměnnou {{partialupn}} .

  • {{serialNumber}} - například F4KN99ZUG5V2
  • {{partialupn}} - například John.Dupont
  • {{managedDeviceName}} – například 15. F2AL10ZUG4W2_14_4. 2025_12:45
  • {{onPremisesSamAccountName}} – například JDoe

• Úplný název primárního účtu – zadejte celý název účtu nebo použijte jednu z následujících proměnných k dynamickému vytvoření názvu. Pomocník s nastavením tuto hodnotu používá k předvyplnění pole Celé jméno, pokud jsou informace o účtu pro předvyplnění nastavené na Nenakonfigurované. Ve výchozím nastavení toto pole používá proměnnou {{username}} :

  • {{uživatelské_jméno}} - například John@contoso.com
  • {{serialNumber}} - například F4KN99ZUG5V2
  • {{onPremisesSamAccountName}} – například JDoe

• Omezit úpravy – zabrání koncovému uživateli v úpravách celého jména a názvu účtu. Ve výchozím nastavení je nastavená na Nenakonfigurované.

Zobrazení podrobností o účtu a heslu

Pokud chcete zobrazit heslo místního správce zařízení, musí mít váš účet přiřazené následující oprávnění Intune RBAC:

• Kategorie: Registrační programy s heslem správce Zobrazit macOS nastaveným na Ano

Zobrazení hesla účtu správce

1. V Centru pro správu služby Microsoft Intune přejděte na Zařízení>s macOS> Výběrem zařízení s macOS otevřete podokno >PřehledHesla a klíče.

Na panelu Hesla a klíče můžete zjistit heslo správce zařízení s macOS v části Heslo místního účtu správce . Zde také vidíte čas poslední rotace hesla, ručně nebo automaticky.

Pokud chcete zjistit, jestli má zaregistrované zařízení s macOS Intune spravované heslo správce, pokud je možné heslo úspěšně získat v konzoli, znamená to, že heslo místního účtu správce spravuje Intune.

Ruční otočení hesla účtu správce

Zásady LAPS zahrnují plán automatické obměny hesel k účtům (jednou za šest měsíců). Kromě naplánované rotace můžete kdykoli ručně změnit heslo zařízení pomocí akce zařízení Intune Otočit heslo místního správce.

Abyste mohli použít tuto akci zařízení, musí mít váš účet přiřazené [oprávnění Intune RBAC](#role-based-access-controls-for-macos-laps) pro:

• Kategorie: Registrační programy s rotací Heslo správce macOS nastavené na Ano

Otočení hesla správce

1. V Centru pro správu služby Microsoft Intune přejděte na Zařízení>s macOS>. Vyberte zařízení s macOS s účtem, který chcete otočit.

2. V podokně Přehled zařízení vyberte ze seznamu možností v horní části podokna možnost Otočit heslo místního správce.

   

3. Pokud chcete ověřit, kdy se naposledy změnilo heslo zařízení, udělejte to v podokně Přehled zařízení:

   1. Rozbalte položku Sledovat a pak vyberte Hesla a klíče.
   2. V podokně Hesla a klíče můžete najít datum a čas, kdy se heslo naposledy obměnilo.

Sledování rotace hesel

Zobrazení i rotace hesel vytváří události auditu Intune, které můžete zobrazit v Centru pro správu Intune.

V Centru pro správu služby Microsoft Intune přejděte naProtokoly auditu správy >tenanta.

Hledejte následující položky:

• Get AdminAccountDto – Identifikuje, když někdo zobrazil heslo správce.
• rotateLocalAdminPassword ManagedDevice – Identifikuje, kdy se heslo správce otočilo.

Související obsah

• Začněte s Průvodcem registrací macOS.