Configurare la registrazione automatica dei dispositivi per macOS

Si applica a: macOS

Questo articolo descrive come creare criteri di registrazione per la registrazione automatica dei dispositivi macOS in Microsoft Intune. Per una panoramica di ADE e della configurazione dei prerequisiti, vedere Panoramica della registrazione automatica dei dispositivi Apple per macOS.

Nota

I passaggi descritti in questo articolo sono gli stessi sia che tu stia utilizzando Apple Business o Apple School Manager. Per brevità, ci riferiamo ad Apple Business solo nei passaggi di questo articolo, tranne nei casi in cui sia necessario un chiarimento.

Prerequisiti

Requisiti della piattaforma del dispositivo

Dispositivi macOS nuovi o cancellati acquistati tramite Apple Business o Apple School Manager.

Requisiti di configurazione del tenant

• Accesso al portale Apple Business o al portale Apple School Manager.
• Token Apple attivo (file con estensione p7m). Per la procedura, vedere Configurare un token ADE macOS.
• Un certificato push MDM Apple in Intune.

Consiglio

La registrazione automatica dei dispositivi applica configurazioni di dispositivo che un utente del dispositivo potrebbe non essere in grado di rimuovere. Cancellare tutti i dispositivi prima della registrazione per ripristinarne lo stato predefinito.

Quando si registrano dispositivi macOS che usano ADE con affinità utente e Assistente configurazione con autenticazione moderna, gli utenti devono accedere all'app Portale aziendale con le credenziali di Microsoft Entra per completare la registrazione del dispositivo in Microsoft Entra ID. Per aggiungere l'app Portale aziendale ai dispositivi macOS, vedere Aggiungere l'app Portale aziendale per macOS.

Per rendere disponibile l'accesso Single Sign-On (SSO) di Microsoft Entra ID durante Assistente configurazione, creare un criterio SSO della piattaforma prima della registrazione dei dispositivi. I criteri SSO della piattaforma vengono distribuiti per registrare i dispositivi macOS durante la registrazione automatica dei dispositivi (ADE) e consentono agli utenti di accedere con le credenziali dell'organizzazione durante la configurazione dei dispositivi. Questa configurazione consente agli utenti di accedere automaticamente alle app e alle risorse protette da Microsoft Entra dopo la registrazione. Per altre informazioni, vedere Configurare l'accesso SSO della piattaforma durante la registrazione automatica dei dispositivi per macOS.

Creare un criterio di registrazione

Creare un criterio di registrazione automatica dei dispositivi nell'interfaccia di amministrazione. Il criterio definisce l'esperienza di registrazione per i dispositivi Mac dell'organizzazione e applica i criteri e le impostazioni di registrazione per i dispositivi di registrazione. Il criterio viene distribuito ai dispositivi assegnati via etere.

Al termine di questa procedura, è possibile assegnare questo criterio ai gruppi di dispositivi Microsoft Entra.

Importante

Questo articolo riflette l'esperienza di creazione dei criteri aggiornata (token >del programma di registrazioneecriteri di registrazione) per i dispositivi sottoposti a registrazione automatica dei dispositivi. L'esperienza precedente (token >del programma di registrazionee profili) è diversa e verrà ritirata. L'esperienza precedente non riceverà nuove funzionalità, quindi assicurarsi di creare nuovi criteri in Criteri di registrazione. Per altre informazioni, vedere Nuova esperienza dei criteri di registrazione ADE iOS/iPadOS, visionOS, tvOS e macOS.

1. Nell'interfaccia di amministrazione di Microsoft Intune, passare a Dispositivi.

2. Espandere Onboarding del dispositivo, quindi selezionare Registrazione.

3. Selezionare la scheda macOS .

4. In Metodi di registrazione in blocco selezionare Token del programma di registrazione.

5. Selezionare un token del programma di registrazione.

6. Selezionare i criteri> di registrazioneCreare i criteri>macOS.

   Importante

   È necessario assegnare un criterio di registrazione ai dispositivi prima che diventino attivi. È consigliabile impostare un criterio di registrazione predefinito il prima possibile, in modo che quando i dispositivi vengono sincronizzati da Apple Business o Apple School Manager e quindi si accendono, possano essere registrati correttamente tramite la registrazione automatica dei dispositivi. Se a un dispositivo sincronizzato da Apple non è assegnato un criterio di registrazione e qualcuno lo attiva per configurarlo, la registrazione non riesce.

7. In Nozioni di base, immettere un nome e una descrizione per il criterio in modo da distinguerlo da altri criteri di registrazione. Questi dettagli non sono visibili agli utenti del dispositivo.

   Consiglio

   È possibile utilizzare il campo nome per creare un gruppo dinamico in Microsoft Entra ID e assegnare automaticamente i dispositivi al criterio di registrazione. Usare il nome del criterio per definire il parametro enrollmentProfileName . Per altre informazioni, vedere Gruppi dinamici di Microsoft Entra.

8. Seleziona Avanti.

9. Nella scheda Gruppo di dispositivi selezionare facoltativamente un gruppo di sicurezza di Microsoft Entra da usare per il raggruppamento temporale della registrazione. Il gruppo esegue direttamente il mapping a questo criterio di registrazione ed è possibile modificarlo dopo la creazione del criterio.

   Solo i gruppi di sicurezza statici di Microsoft Entra sono disponibili per la selezione. Per configurare questa impostazione, è necessario disporre dell'autorizzazione di assegnazione dell'appartenenza al dispositivo per l'ora di registrazione in un ruolo di controllo degli accessi in base al ruolo personalizzato (in Programmi di registrazione).

   Per ulteriori informazioni sul funzionamento del raggruppamento temporale di registrazione, vedere Raggruppamento temporale di registrazione in Microsoft Intune.

10. Seleziona Avanti.

11. Nella scheda Impostazioni di configurazione configurare l'affinità utente. L'affinità utente determina se i dispositivi vengono registrati con o senza un utente assegnato. Le opzioni disponibili sono:

    • Registrazione senza affinità utente: registrare i dispositivi che non sono associati a un singolo utente. Scegli questa opzione per i dispositivi condivisi e i dispositivi che non devono accedere ai dati degli utenti locali. L'app Portale aziendale non funziona in questi tipi di dispositivi. La registrazione senza affinità con l'utente è detta anche registrazione senza utente.

    Importante

    Non eseguire come target profili di configurazione Platform SSO (PSSO) che abilitano la registrazione PSSO durante l'Assistente configurazione a dispositivi di registrazione automatica dei dispositivi (ADE) senza utente. In questo modo si può causare un comportamento di registrazione imprevisto e il dispositivo perde l'affinità prevista. Vedere Configurare l'accesso SSO della piattaforma durante la registrazione

    • Registrazione con affinità utente: registrare i dispositivi associati a un utente assegnato. Scegliere questa opzione per i dispositivi aziendali che appartengono agli utenti e se si vuole richiedere agli utenti di avere l'app Portale aziendale per installare le app. L'autenticazione a più fattori (MFA) è disponibile con questa opzione. La registrazione con affinità utente è detta anche registrazione con un utente.

      L'opzione 2 richiede più configurazioni. Gli utenti devono autenticarsi prima della registrazione per confermare la propria identità. Seleziona uno dei seguenti metodi di autenticazione:

      • Assistente configurazione con autenticazione moderna (scelta consigliata): questo metodo richiede agli utenti di completare tutte le schermate dell'Assistente configurazione e di accedere all'app Portale aziendale con le credenziali di Microsoft Entra prima di poter accedere alle risorse. Dopo l'accesso al Portale aziendale, il dispositivo:

        • Si registra con Microsoft Entra ID.
        • viene aggiunto al record del dispositivo dell'utente in Microsoft Entra ID.
        • Può essere valutato per la conformità del dispositivo.
        • Ottiene l'accesso alle risorse protette dall'Accesso Condizionale.

        Se l'utente non accede al Portale aziendale per completare la registrazione, verrà reindirizzato all'app Portale aziendale ogni volta che prova ad aprire un'app gestita con protezione Accesso condizionale.

        I dispositivi che eseguono macOS 10.15 e versioni successive possono usare questo metodo. I dispositivi macOS meno recenti eseguono il fallback all'uso del metodo legacy Assistente configurazione. Per altre informazioni su come ottenere l'app Portale aziendale per gli utenti Mac, vedere Aggiungere l'app Portale aziendale per macOS.

      Importante

      È consigliabile usare Assistente configurazione con l'autenticazione moderna per i dispositivi Apple per gli scenari ADE (registrazione automatica dei dispositivi) con affinità utente-dispositivo. Anche se l'uso dell'autenticazione legacy rimane disponibile, non è consigliabile usarlo.

      • Impostazione assistita (legacy) (non più consigliata): utilizza la funzione Impostazione guidata legacy se desideri che gli utenti sperimentino l'esperienza predefinita tipica per i prodotti Apple. Questo metodo installa le impostazioni preconfigurate standard quando il dispositivo viene registrato con la gestione di Intune. Quando si utilizza Active Directory Federation Services e si usa l’Assistente installazione per l'autenticazione è richiesto un nome utente/endpoint misto WS-Trust 1.3. Per altre informazioni sul recupero dell'endpoint ADFS, vedere Get-ADfsEndpoint.

12. Attendi configurazione finale consente un'esperienza di blocco alla fine dell'Assistente configurazione per garantire che i criteri di configurazione più critici siano installati nel dispositivo. Questa impostazione viene applicata una sola volta durante l'esperienza di registrazione automatica dei dispositivi Apple predefinita in Assistente configurazione. L'utente del dispositivo non riscontra più questo problema, a meno che non esegua di nuovo la registrazione del Mac.

    Le opzioni disponibili sono:

    • Sì: poco prima del caricamento della schermata iniziale, Assistente configurazione viene sospeso e consente a Intune di eseguire il check-in con il dispositivo. L'esperienza dell'utente finale si blocca in attesa delle configurazioni finali. Questa opzione è la configurazione predefinita per i nuovi criteri di registrazione.

    • No: il dispositivo viene rilasciato nella schermata iniziale al termine dell'Assistente configurazione, indipendentemente dallo stato di installazione dei criteri. Gli utenti dei dispositivi potrebbero essere in grado di accedere alla schermata iniziale o modificare le impostazioni dei dispositivi prima dell'installazione di tutti i criteri. Questa opzione è la configurazione predefinita per i criteri di registrazione esistenti.

    La quantità di tempo in cui gli utenti rimangono nella schermata In attesa della configurazione finale varia e dipende dal numero totale di criteri e app assegnati al dispositivo. Durante l'attesa gli utenti possono visualizzare i criteri di configurazione dei dispositivi scaricati in Assistente configurazione. Maggiore è il numero di criteri e app assegnati, maggiore sarà il tempo di attesa. Assistente configurazione e Intune non applicano un limite di tempo minimo o massimo durante questa parte della configurazione. Durante la convalida del prodotto, la maggior parte dei dispositivi testati è stata rilasciata e in grado di accedere alla schermata iniziale entro 15 minuti. Se abiliti questa funzionalità e stai collaborando con un partner Microsoft o un servizio non Microsoft per aiutarti a eseguire il provisioning dei dispositivi, informali della possibilità di un aumento del tempo di provisioning.

    L'esperienza di blocco è supportata nei Mac che eseguono macOS 10.11 o versioni successive. Funziona su Mac destinati con criteri di registrazione nuovi o esistenti configurati per questi scenari:

    • Registrazione tramite Impostazione guidata con autenticazione moderna
    • Registrazione con Assistente configurazione (legacy)
    • Registrazione senza affinità utente e dispositivo

13. È possibile applicare la registrazione bloccata per impedire agli utenti di annullare la registrazione dei dispositivi da Intune. Selezionare Sì per disabilitare le impostazioni Mac in Preferenze di sistema e Terminale che consentono agli utenti di rimuovere il criterio di gestione. Dopo la registrazione del dispositivo, non puoi modificare questa impostazione senza cancellare il dispositivo.

14. Facoltativamente, in Impostazioni account configurare gli account utente e amministratore locale nei Mac di destinazione.

    Quando un dispositivo macOS supportato viene registrato con Intune tramite un criterio di registrazione automatica dei dispositivi (ADE) che configura l'amministratore locale, il dispositivo è abilitato per la configurazione dell'account locale macOS con la soluzione per la password dell'amministratore locale Microsoft (LAPS). Con questa funzionalità, i dispositivi appena registrati ricevono un account amministratore locale univoco con una password amministratore complessa, crittografata e casuale (15 caratteri alfanumerici), anch'essa archiviata e crittografata da Intune. Dopo la registrazione, Intune ruota automaticamente una password amministratore gestita da LAPS ogni sei mesi per impostazione predefinita e supporta la ricerca e la rotazione manuale della password amministratore da parte degli amministratori di Intune con autorizzazioni sufficienti.

    Per informazioni sulla configurazione e la gestione di questa funzionalità, vedere Configurare la configurazione dell'account macOS con LAPS.

    Le impostazioni seguenti per l'account utente locale sono supportate nei dispositivi che eseguono macOS 12 o versioni successive. Durante la configurazione dell'account principale, tieni presente che questo account sarà un account amministratore . Avere almeno un account amministratore è un requisito di configurazione per Mac. Se si configura anche la password dell'amministratore locale tramite questo criterio, vedere l'account dell'amministratore locale nell'articolo Configurare l'account macOS con LAPS e quindi tornare qui.

    Le opzioni disponibili sono:

    • Crea un account utente locale: seleziona Sì per configurare le impostazioni dell'account utente locale per i Mac di destinazione. Selezionare Non configurato per ignorare tutte le configurazioni di impostazione dell'account.

    • Precompilare le informazioni sull'account: la configurazione predefinita, non configurata, richiede che l'utente del dispositivo immetta il nome utente e il nome completo del proprio account in Assistente configurazione. Per precompilare le informazioni dell'account, selezionare Sì. Immettere quindi il nome completo e il nome dell'account principale:

    • Nome utente account locale:

      • {{serialNumber}} - per esempio, F4KN99ZUG5V2
      • {{partialupn}} - per esempio, John
      • {{managedDeviceName}} - ad esempio, 15/F2AL10ZUG4W2_14_4/2025_12:45
      • {{OnPremisesSamAccountName}} - ad esempio, contoso\John

    • Nome completo account utente locale:

      • {{username}} - per esempio, John@contoso.com
      • {{serialNumber}} - per esempio, F4KN99ZUG5V2
      • {{OnPremisesSamAccountName}} - ad esempio, contoso\John

    • Limita modifica: la configurazione predefinita è impostata su Sì , in modo che gli utenti del dispositivo non possano modificare il nome account e il nome completo configurati per loro. Per consentire agli utenti del dispositivo di modificare il nome e il nome completo dell'account, selezionare Non configurato. Se usi solo Assistente configurazione (legacy) per registrare i dispositivi che eseguono macOS 10.15 e versioni successive, puoi aspettarti la seguente esperienza utente finale:

      • Sì: la schermata di creazione dell'account in Assistente configurazione non viene mai visualizzata. Al contrario, l'account utente locale viene creato automaticamente in base alle altre configurazioni di impostazione e la password viene popolata automaticamente dalla schermata di autenticazione di Microsoft Entra. L'utente del dispositivo non può modificare questi campi.
      • Non configurato: la schermata dell'account utente locale viene visualizzata all'utente finale in Setup Assistant e viene popolata con i valori dell'account configurato e la password della schermata di autenticazione di Microsoft Entra. L'utente del dispositivo può modificare questi campi durante l'Assistente configurazione.

    Affinché le impostazioni dell'account funzionino come previsto, è necessario che i criteri di registrazione abbiano le configurazioni seguenti:

    • Affinità utente: selezionare Registra con affinità utente.
    • Metodo di autenticazione: Seleziona Impostazione guidata con autenticazione moderna o Impostazione guidata (legacy).
    • Attendo la configurazione finale: selezionare Sì.

    Gli account locali dipendono dalla funzionalità di attesa della configurazione finale al momento della creazione. Di conseguenza, se si configurano impostazioni di account utente o di amministratore locali, questa impostazione è sempre abilitata. Anche se non si tocca l'impostazione di attesa della configurazione finale, questa è sempre abilitata in background e applicata al criterio di registrazione.

15. In Assistente configurazione, configura l'esperienza Assistente configurazione.

    1. Immettere le informazioni sul reparto in modo che gli utenti sappiano chi contattare per ottenere supporto:
       • Nome reparto: questo nome viene visualizzato quando gli utenti del dispositivo selezionano Informazioni sulla configurazione durante l'attivazione.
       • Telefono reparto: questo numero di telefono viene visualizzato quando gli utenti del dispositivo selezionano Hai bisogno di aiuto durante l'attivazione.
    2. Selezionare le schermate dell'Assistente configurazione che si desidera mostrare o nascondere durante la configurazione del dispositivo. Per una descrizione di tutte le schermate, consultate Riferimento alla schermata di Impostazione Assistita (in questo articolo). Le opzioni disponibili sono:
       • Nascondi: la schermata non viene visualizzata agli utenti durante la configurazione del dispositivo. Dopo la configurazione del dispositivo, l'utente può passare alle impostazioni del dispositivo per configurare la funzionalità.
       • Mostra: la schermata viene visualizzata agli utenti durante la configurazione del dispositivo. L'utente può comunque ignorare le schermate che non richiedono un'azione immediata. Dopo la configurazione del dispositivo, l'utente può passare alle impostazioni del dispositivo per configurare la funzionalità.

16. Seleziona Avanti.

17. Esaminare il riepilogo delle modifiche e quindi selezionare Crea per completare la creazione del criterio.

Riferimento alla schermata Assistente configurazione

La tabella seguente descrive le schermate dell'Assistente configurazione visualizzate durante la registrazione automatica dei dispositivi per Mac. È possibile visualizzare o nascondere queste schermate nei dispositivi supportati durante la registrazione. Per ulteriori informazioni su come ogni schermata di Impostazione Assistita influisce sull'esperienza utente, consulta le seguenti risorse Apple:

• Guida alla distribuzione della piattaforma Apple: gestisci Impostazione Assistita per i dispositivi Apple
• Documentazione per sviluppatori Apple: ShipKeys

Schermata Assistente configurazione	Cosa succede quando è visibile
Servizi di posizione	Mostra il riquadro di configurazione dei servizi di posizione, in cui gli utenti possono abilitare i servizi di posizione sul dispositivo. Per macOS 10.11 e versioni successive.
Eseguire il ripristino	Mostra il riquadro Impostazioni app e dati. In questa schermata, gli utenti che configurano i dispositivi possono ripristinare o trasferire i dati da iCloud Backup. Per macOS 10.9-15.3. Per macOS 15.4 e versioni successive, questa schermata non può essere nascosta e l'utente riceve un avviso dopo la registrazione che indica che non è in grado di trasferire i dati da un altro dispositivo perché MDM controlla l'impostazione.
ID Apple	Mostra il riquadro di configurazione dell'ID Apple, che offre agli utenti la possibilità di accedere con il proprio ID Apple e usare iCloud. Per macOS 10.9 e versioni successive.
Termini e condizioni	Mostra il riquadro Termini e condizioni Apple e richiede agli utenti di accettarli. Per macOS 10.9 e versioni successive.
Touch ID e Face ID	Mostra il riquadro di configurazione biometrica, che offre agli utenti la possibilità di configurare l'impronta digitale o l'identificazione facciale nei dispositivi. Per macOS 10.12.4 e versioni successive.
Apple Pay	Mostra il riquadro di configurazione di Apple Pay, che offre agli utenti la possibilità di configurare Apple Pay sui propri dispositivi. Per macOS 10.12.4 e versioni successive.
Siri	Mostra il riquadro di configurazione di Siri agli utenti. Per macOS 10.12 e versioni successive.
Dati di diagnostica	Mostra il riquadro di diagnostica in cui gli utenti possono scegliere di inviare dati di diagnostica ad Apple. Per macOS 10.9 e versioni successive.
Visualizza tonalità	Mostra il riquadro di configurazione per il tono di visualizzazione. Questa schermata offre agli utenti la possibilità di attivare la visualizzazione dei toni reali. Per macOS 10.13.6 e versioni successive.
FileVault	Mostra la schermata di crittografia di FileVault 2 agli utenti. Per macOS 10.10 e versioni successive.
Diagnostica iCloud	Mostra la schermata iCloud Analytics agli utenti. Per macOS 10.12.4 e versioni successive.
Registrazione	Mostra la schermata di registrazione agli utenti. Per macOS 10.9 e versioni successive.
Archiviazione cloud	Mostra all'utente i documenti iCloud e la schermata Desktop. Per macOS 10.13.4 e versioni successive.
Aspetto	Mostra il riquadro dell'aspetto in cui gli utenti possono selezionare una modalità di aspetto. Per macOS 10.14 e versioni successive.
Tempo davanti allo schermo	Mostra il riquadro di configurazione di Tempo di utilizzo di macOS, una funzionalità che gli utenti possono abilitare per ottenere informazioni sul tempo trascorso sullo schermo e sull'attività di app e siti Web. Per macOS 10.15 e versioni successive.
Privacy	Mostra all'utente il riquadro di configurazione della privacy. Per macOS 10.13.4 e versioni successive.
Accessibilità	Mostra all'utente la schermata di configurazione dell'accessibilità. Se lo schermo è nascosto, l'utente non può usare la funzionalità Voice Over di macOS. Voice Over è supportato nei dispositivi che: - Eseguono macOS 11. - Sono connessi a Internet tramite Ethernet. - Avere un numero di serie in Apple School Manager o Apple Business.
Sblocco automatico con Apple Watch	Mostra il riquadro Sblocca macOS con Apple Watch, in cui gli utenti possono configurare Apple Watch per sbloccare il Mac. Per macOS 12.0 e versioni successive.
Condizioni per l'indirizzo	Mostra il riquadro dei termini dell'indirizzo, che offre agli utenti la possibilità di scegliere come rivolgersi a loro in tutto il sistema: femminile, maschile o neutro. Questa funzionalità Apple è disponibile per alcune lingue. Per ulteriori informazioni, consulta Modificare le impostazioni di lingua & area geografica sul Mac(apre il sito Web di Apple). Per macOS 13.0 e versioni successive.
Sfondo	Mostra il riquadro di configurazione dello sfondo macOS Sonoma dopo che i dispositivi hanno completato un aggiornamento software. Se nascondi questa schermata, i dispositivi ottengono lo sfondo macOS Sonoma predefinito. Per macOS 14.1 e versioni successive.
Modalità di blocco	Mostra il riquadro di configurazione della modalità di blocco agli utenti che hanno configurato un ID Apple. Per macOS 14.0 e versioni successive.
Intelligence	Mostra il riquadro di configurazione di Apple Intelligence, in cui gli utenti possono configurare le funzioni di Apple Intelligence. Per macOS 15.0 e versioni successive.
App Store	Mostra il riquadro Apple App Store. Per macOS 11.1 e versioni successive.
Aggiornamento software	Mostra la schermata dell'aggiornamento software obbligatorio. Per macOS 15.4 e versioni successive.
Impostazioni di privacy aggiuntive	Mostra il riquadro delle impostazioni di privacy aggiuntive. Per macOS 26.0 e versioni successive.
Presentazione del sistema operativo	Mostra il riquadro vetrina del sistema operativo. Per macOS 26.1 e versioni successive.
Aggiornamento completato	Mostra il riquadro Aggiornamento software completato. Per macOS 26.1 e versioni successive.
Introduzione	Mostra il riquadro Attività iniziali. Per macOS 15.0 e versioni successive.

Assegnare un criterio di registrazione ai dispositivi

Assegnare un criterio di registrazione ai dispositivi macOS.

1. Torna ai token del programma di registrazione e seleziona un token.
2. Selezionare Dispositivi.
3. Scegliere i dispositivi nell'elenco e quindi selezionare Assegna criterio.
4. Scegliere un criterio da assegnare e quindi selezionare Assegna.

Facoltativamente, è possibile selezionare un criterio di registrazione predefinito. Il criterio predefinito viene distribuito a tutti i dispositivi di registrazione associati al token.

1. Torna ai token del programma di registrazione e seleziona un token.
2. Selezionare Imposta criteri predefiniti.
3. Scegliere un criterio e quindi selezionare Salva.

Passaggi successivi

• Per sincronizzare i dispositivi, distribuirli agli utenti e gestire i token, vedere Gestire i dispositivi e i token ADE macOS.
• Per rinnovare o eliminare il token del programma di registrazione, vedere Configurare un token ADE macOS.
• Usare le azioni del dispositivo remoto in Microsoft Intune per gestire in remoto i Mac registrati.