Ondersteuning configureren voor de configuratie van lokale ADE-accounts in macOS met LAPS in Microsoft Intune

U kunt een ADE-profiel (Automated Device Enrollment) van macOS gebruiken om een nieuw ingeschreven macOS-apparaat te configureren voor zowel beheerders- als gebruikersaccountconfiguratie, naast Microsoft oplossing voor lokaal beheerderswachtwoord (LAPS). macOS-accountconfiguratie met LAPS is een optionele set configuraties die u kunt gebruiken in nieuwe en bestaande macOS ADE-profielen met en zonder affiniteit met gebruikersapparaten. Deze configuraties voor accountbeheer zijn alleen van toepassing op nieuwe inschrijvingen.

Met de lokale accountconfiguratie van macOS met LAPS worden apparaten ingericht met een lokaal beheerdersaccount met een sterk, versleuteld en willekeurig beheerderswachtwoord, dat wordt opgeslagen en versleuteld door Intune. Op dezelfde manier kan ook een lokaal standaardgebruikersaccount worden ingericht in het inschrijvingsprofiel. Na de inschrijving wisselt Intune het door LAPS beheerde beheerderswachtwoord elke zes maanden. Ter aanvulling van automatische rotatie kunnen Intune-beheerders met voldoende machtigingen het Intune-beheercentrum gebruiken om het lokale beheerdersaccount van een apparaat te bekijken. Ze kunnen dat wachtwoord handmatig draaien wanneer dat nodig is met externe apparaatacties.

Het door Intune gegenereerde wachtwoord voor het beheerdersaccount is 15 tekens lang en combineert kleine letters en hoofdletters, cijfers en speciale symbolen.

Omdat de configuratie van lokale accounts in macOS met LAPS alleen is ingeschakeld tijdens automatische apparaatinschrijving (ADE) na het opnieuw instellen van de fabrieksinstellingen, moet een eerder ingeschreven apparaat opnieuw worden ingeschreven bij Intune met behulp van een ADE-profiel dat is ingeschakeld voor LAPS om te worden ondersteund voor LAPS voor het beheerdersaccount.

Belangrijk

Er is een bekend probleem dat van invloed is op apparaten met macOS-versies ouder dan macOS 26.4. Wanneer een macOS-apparaat via ADE wordt ingeschreven met een geconfigureerd lokaal beheerdersaccount en een specifiek wachtwoordcodeprofiel, wordt gevraagd het beheerderswachtwoord opnieuw in te stellen, zelfs als Wijzigen bij volgende verificatie niet is ingeschakeld of als er een waarde is ingesteld voor Maximale leeftijd (dagen). Dit is niet van invloed op het standaardaccount.

Als tijdelijke oplossing kunt u het beheerderswachtwoord handmatig draaien na het opnieuw instellen op het apparaat om de status van Intune en het apparaatwachtwoord gesynchroniseerd te houden. Upgrade uw apparaat naar macOS 26.4 om dit probleem op te lossen.

Belangrijk

Het lokale beheerdersaccount ontvangt geen beveiligd token vanwege platformbeperkingen. Het eerste account dat zich aanmeldt na de inschrijving, ontvangt de beveiligde token. Dit is op dat moment altijd het lokale gebruikersaccount.

Tip

De Intune-implementatie van macOS LAPS is vergelijkbaar, maar verschilt van Intune-ondersteuning voor Windows LAPS. Zie Lokaal beheerdersaccount voor informatie over Windows-LAPS in Intune.

Vereisten

Hieronder volgen de apparaatvereisten voor de configuratie van een lokaal account in macOS met de LAPS-oplossing:

• macOS 12 en hoger
• Apparaten moeten worden gesynchroniseerd met Intune vanuit Apple Business/School Manager
• Apparaten moeten na het opnieuw instellen van de fabrieksinstellingen worden ingeschreven bij Intune via een macOS ADE-registratieprofiel.

Belangrijk

macOS LAPS ondersteunt ADE-inschrijvingen die plaatsvinden als onderdeel van de initiële installatie-ervaring van het apparaat. Inschrijvingsscenario's die ADE opnieuw starten vanuit een bestaande macOS-installatie (bijvoorbeeld met behulp van de profiles renew opdracht) worden niet ondersteund.

Toegangsbeheer op basis van rollen voor macOS LAPS

Het account van een beheerder die wordt vertrouwd om het wachtwoord van het lokale beheerdersaccount te bekijken of te draaien voor een apparaat dat is toegevoegd aan macOS LAPS, moet de volgende machtigingen hebben voor Intune op rollen gebaseerd toegangsbeheer (RBAC):

Categorie: Inschrijvingsprogramma's:

• Stel Beheerderswachtwoord voor macOS draaien in op Ja
• Stel het beheerderswachtwoord voor Mac weergeven in op Ja

Belangrijk

De twee machtigingen voor inschrijvingsprogramma's zijn niet opgenomen in een ingebouwde rol van Intune of in de ingebouwde rol van Intune-beheerder in Microsoft Entra. Gebruik in plaats daarvan een aangepaste Intune rol om deze machtiging toe te wijzen aan gebruikers die over deze mogelijkheden moeten beschikken.

Voor machtigingen en details die vereist zijn voor het beheren van macOS-beleid voor geautomatiseerde apparaatinschrijving, raadpleegt u Automatische apparaatinschrijving (ADE) instellen voor macOS.

Opties voor configuratieaccount en wachtwoord

In deze sectie vindt u meer informatie over het configureren van de configuratie van lokale accounts in macOS met LAPS. Dit wordt gedaan in stap 12 van de procedure Een inschrijvingsbeleid maken voor ADE-profielen (automatische apparaatinschrijving) in macOS.

Wanneer u een macOS-profiel voor geautomatiseerde apparaatregistratie configureert, biedt het tabblad Accountinstellingen opties voor het configureren van zowel het lokale beheerdersaccount als het lokale gebruikersaccount. Standaard zijn deze opties beide ingesteld op Nee.

Als je Ja selecteert voor de opties voor het lokale of beheerders- of gebruikersaccount, configureer je zowel het lokale macOS-beheerdersaccount met LAPS-configuratie als een standaardgebruikersaccount voor apparaten die worden ingeschreven met dit inschrijvingsprofiel.

Unieke accountwachtwoorden worden gemaakt met 15 tekens en een combinatie van kleine en hoofdletters, cijfers en speciale symbolen.

Belangrijk

Voor apparaten waarop LAPS-accounts zijn geconfigureerd, moet je je alleen richten op wachtwoordbeleid via de instellingencatalogus en de instelling Wijzigen bij volgende verificatie uitschakelen.

Wachtwoordinstellingen die zijn geconfigureerd via compliancebeleid of sjablonen voor apparaatbeperking maken standaard Wijzigen bij volgende verificatie mogelijk en kunnen aanmeldingsproblemen veroorzaken voor nieuw gemaakte LAPS-accounts.

Wanneer een deel van de lokale accountconfiguratie, is de instelling In afwachting van definitieve configuratie altijd standaard ingesteld op Ja in de back-end. Deze instelling wordt ingesteld omdat de accountconfiguratie plaatsvindt tijdens de configuratieassistent.

Lokaal beheerdersaccount

Hieronder ziet u voorbeelden van de beschikbare configuratieopties. Aanvullende informatie is toegankelijk via de informatiepictogrammen die volgen op de naam van bepaalde instellingen.

Opmerking

Voor ADE-inschrijvingsbeleid voor macOS zonder gebruikersapparaataffiniteit raden we aan om Beheer gebruikersnaam van het account in te stellen op {{serialNumber}}-admin of {{serialNumber}}-user. Door het serienummer van het apparaat te gebruiken, weet u zeker dat elk gebruikersloos ADE-apparaat een unieke id heeft.

• Beheer accountgebruikersnaam: geef de accountnaam op of gebruik een van de volgende ondersteunde variabelen om de naam dynamisch te maken. Voor dit veld wordt standaard Beheer gebruikt.

  • {{serialNumber}} - bijvoorbeeld F4KN99ZUG5V2
  • {{partialupn}} - bijvoorbeeld John.Dupont
  • {{managedDeviceName}} - bijvoorbeeld F2AL10ZUG4W2_14_4/15/2025_12:45PM
  • {{onPremisesSamAccountName}}- bijvoorbeeld JDoe

• Beheer volledige accountnaam: geef de accountnaam op of gebruik een van de volgende ondersteunde variabelen om de naam dynamisch te maken. Voor dit veld wordt standaard Beheer gebruikt.

  • {{gebruikersnaam}} - bijvoorbeeld, John@contoso.com
  • {{serialNumber}} - bijvoorbeeld F4KN99ZUG5V2
  • {{onPremisesSamAccountName}}- bijvoorbeeld JDoe

• Verbergen in Gebruikersgroepen & - Maak het beheerdersaccount verborgen in het aanmeldingsvenster en in Gebruikers & groepen. Dit is standaard ingesteld op Niet geconfigureerd.

• Beheer rotatieperiode voor accountwachtwoord (dagen): indien geconfigureerd, bepaalt deze instelling de periode (1-180 dagen) waarna het wachtwoord van het beheerdersaccount automatisch wordt geroteerd. Deze roulatie komt bovenop de automatische roulatie die eens in de 180 dagen plaatsvindt.

Lokale gebruikersaccount

Hier volgen enkele richtlijnen voor de beschikbare opties. Aanvullende informatie is toegankelijk via de informatiepictogrammen die volgen op de naam van bepaalde instellingen.

• Accounttype : dit is standaard ingesteld op Standaard om een standaardgebruikersaccount te maken. Het lokale gebruikersaccounttype wordt ingesteld op beheerder als er geen lokaal beheerdersaccount is geconfigureerd. Dit is een platformbeperking omdat een beheerdersaccount altijd is vereist om een macOS-apparaat in te stellen.

• Accountgegevens vooraf invullen - Stel deze optie in op Ja als u de accountnaam wilt beheren of het bewerken wilt beperken.

• Naam primaire account - geef de accountnaam op of gebruik een van de volgende ondersteunde variabelen om de naam dynamisch te maken. De configuratieassistent gebruikt deze waarde om het veld Accountnaam vooraf in te vullen als Gegevens vooraf invullen is ingesteld op Niet geconfigureerd. Voor dit veld wordt standaard de variabele {{partialupn}} gebruikt.

  • {{serialNumber}} - bijvoorbeeld F4KN99ZUG5V2
  • {{partialupn}} - bijvoorbeeld John.Dupont
  • {{managedDeviceName}} - bijvoorbeeld F2AL10ZUG4W2_14_4/15/2025_12:45PM
  • {{onPremisesSamAccountName}}- bijvoorbeeld JDoe

• Volledige naam primaire account : geef de volledige naam voor het account op of gebruik een van de volgende variabelen om de naam dynamisch te maken. Deze waarde wordt gebruikt om het veld Volledige naam vooraf in te vullen als Vooraf invullen van accountgegevens is ingesteld op Niet geconfigureerd. Voor dit veld wordt standaard de variabele {{username}} gebruikt:

  • {{gebruikersnaam}} - bijvoorbeeld, John@contoso.com
  • {{serialNumber}} - bijvoorbeeld F4KN99ZUG5V2
  • {{onPremisesSamAccountName}}- bijvoorbeeld JDoe

• Bewerking beperken : voorkom dat de eindgebruiker de volledige naam en accountnaam kan bewerken. Dit is standaard ingesteld op Niet geconfigureerd.

Account- en wachtwoordgegevens weergeven

Als u het lokale beheerderswachtwoord van een apparaat wilt weergeven, moet aan uw eigen account de volgende Intune RBAC-machtiging zijn toegewezen:

• Categorie: Inschrijvingsprogramma's met Beheerderswachtwoordvoor Mac weergeven ingesteld op Ja

Het wachtwoord van het beheerdersaccount weergeven

1. Ga in het Microsoft Intune-beheercentrum naar Apparaten>macOS-apparaten> selecteer een macOS-apparaat> om het deelvensterOverzicht Wachtwoorden en sleutels te openen.

In het deelvenster Wachtwoorden en sleutels kunt u het beheerderswachtwoord voor het macOS-apparaat ophalen in de sectie Wachtwoord van lokale beheerdersaccount . Hier kunt u ook zien wanneer het wachtwoord de laatste keer is gedraaid, handmatig of automatisch.

Om te zien of een geregistreerd macOS-apparaat een Intune beheerd beheerderswachtwoord heeft en het wachtwoord kan worden opgehaald in de console, betekent dit dat het wachtwoord voor het lokale beheerdersaccount wordt beheerd door Intune.

Het wachtwoord van het beheerdersaccount handmatig draaien

Het LAPS-beleid bevat een schema voor het automatisch roteren van accountwachtwoorden (eens in de zes maanden). Naast een geplande rotatie kunt u de actie van het Intune-apparaat 'Rotate local admin password to handmatig' gebruiken om het wachtwoord van een apparaat op elk gewenst moment handmatig te draaien.

Als u deze apparaatactie wilt gebruiken, moet aan uw account de [Intune RBAC-machtiging](#role-based-access-controls-for-macos-laps) zijn toegewezen van:

• Categorie: Inschrijvingsprogramma's met het beheerderswachtwoord voor macOS draaien ingesteld op Ja

Het beheerderswachtwoord draaien

1. Ga in het beheercentrum van Microsoft Intune naar Apparaten>met macOS> Selecteer een macOS-apparaat met het account dat u wilt draaien.

2. Selecteer in het deelvenster Overzicht van apparaten in de lijst met opties boven aan het deelvenster de optie Wachtwoord lokale beheerder draaien.

   

3. In het deelvenster Overzicht van het apparaat kunt u controleren wanneer het wachtwoord voor het laatst is gedraaid op het apparaat:

   1. Vouw Monitor uit en selecteer vervolgens Wachtwoorden en sleutels.
   2. In het deelvenster Wachtwoorden en sleutels kunt u de laatste datum en tijd vinden waarop het wachtwoord is gedraaid.

Wachtwoordrotatie bewaken

Zowel het weergeven van wachtwoorden als het draaien van wachtwoorden maken Intune-controlegebeurtenissen die u kunt weergeven vanuit het Intune-beheercentrum.

Ga in het Microsoft Intune-beheercentrum naarAuditlogboeken voor tenantbeheer>.

Zoek naar de volgende items:

• Get AdminAccountDto - Identificeert wanneer iemand het beheerderswachtwoord heeft bekeken.
• rotateLocalAdminPassword ManagedDevice - Geeft aan wanneer het beheerderswachtwoord is gedraaid.

Verwante onderwerpen

• Aan de slag met de registratiehandleiding voor macOS.