Inschrijvingshandleiding: MacOS-apparaten inschrijven bij Microsoft Intune
Persoonlijke apparaten en apparaten die eigendom zijn van de organisatie kunnen worden ingeschreven bij Intune. Op macOS-apparaten worden gebruikers geverifieerd door de bedrijfsportal-app of de Configuratieassistent van Apple en wordt de inschrijving gestart. Zodra ze zijn ingeschreven, ontvangen ze het beleid dat u maakt.
U hebt de volgende opties bij het inschrijven van macOS-apparaten:
Dit artikel:
- Beschrijft de opties van uw bedrijfsportal-app voor elke inschrijvingsmethode.
- Biedt inschrijvingsaanbeveling voor ondersteunde apparaatbeheerscenario's.
- Bevat een overzicht van de beheerders- en gebruikerstaken voor elk inschrijvingstype.
Er is ook een visuele handleiding met de verschillende inschrijvingsopties voor elk platform:
PDF-versie downloaden | Visio-versie downloaden
Tip
Deze gids is een levend ding. Zorg er dus voor dat u bestaande tips en richtlijnen toevoegt of bijwerkt die u nuttig vindt.
Voordat u begint
Voor alle Intune-specifieke vereisten en configuraties die nodig zijn om uw tenant voor te bereiden op inschrijving, gaat u naar Inschrijvingshandleiding: Microsoft Intune-inschrijving.
BYOD: Apparaatinschrijving
Gebruik voor persoonlijke apparaten of bring your own devices (BYOD). Deze inschrijvingsoptie wordt ook wel door de gebruiker goedgekeurde inschrijving genoemd.
| Functie | Gebruik deze inschrijvingsoptie wanneer |
|---|---|
| Apparaten zijn persoonlijk of BYOD. | ✅ |
| U moet een paar apparaten of een groot aantal apparaten inschrijven (bulksgewijs inschrijven). | ✅ |
| U hebt nieuwe of bestaande apparaten. | ✅ |
| Apparaten zijn gekoppeld aan één gebruiker. | ✅ |
| U gebruikt het DEM-account (Device Enrollment Manager). | ✅ Houd rekening met de impact en eventuele beperkingen met het DEM-account. |
| Apparaten worden beheerd door een andere MDM-provider. | ❌ Wanneer een apparaat wordt ingeschreven, installeren MDM-providers certificaten en andere bestanden. Deze bestanden moeten worden verwijderd. De snelste manier is het ongedaan maken van de registratie of het terugzetten van de fabrieksinstellingen van de apparaten. Als u de fabrieksinstellingen niet wilt terugzetten, neemt u contact op met de MDM-provider voor hulp. |
| Apparaten zijn eigendom van de organisatie of school. | ❌ Niet aanbevolen voor apparaten die eigendom zijn van de organisatie. Apparaten die eigendom zijn van de organisatie moeten worden ingeschreven met geautomatiseerde apparaatinschrijving (in dit artikel) of Apple Configurator. U kunt de Serienummers van de MacBook toevoegen aan de bedrijfsapparaat-id's om de apparaten als zakelijk te markeren. Maar apparaten zijn standaard gemarkeerd als persoonlijk. |
| Apparaten zijn gebruikersloos, zoals kiosk, toegewezen of gedeeld. | ❌ Deze apparaten zijn eigendom van de organisatie. Apparaten zonder gebruiker moeten worden ingeschreven met geautomatiseerde apparaatinschrijving (in dit artikel) of Apple Configurator. |
Beheertaken voor apparaatinschrijving
Deze takenlijst biedt een overzicht.
Zorg ervoor dat uw apparaten worden ondersteund.
Zorg ervoor dat het Apple MDM-pushcertificaat is toegevoegd aan Intune en actief is. Dit certificaat is vereist voor het inschrijven van macOS-apparaten. Ga naar Een Apple MDM-pushcertificaat ophalen voor meer informatie.
Er is geen bedrijfsportal-app voor macOS-apparaten in de Apple App Store of via VPP. Gebruikers moeten het installatiepakket van de bedrijfsportal-app handmatig downloaden en uitvoeren. Ze melden zich aan met hun organisatieaccount (
user@contoso.com) en doorlopen vervolgens de inschrijving. Zodra ze zich hebben ingeschreven, moeten ze het inschrijvingsbeleid goedkeuren.Wanneer het apparaat wordt goedgekeurd, wordt het apparaat toegevoegd aan de Microsoft Entra-id van uw organisatie. Vervolgens is het beschikbaar voor Intune om uw beleid te ontvangen.
Zorg ervoor dat u deze informatie communiceert met uw gebruikers.
Eindgebruikerstaken voor apparaatinschrijving
Uw gebruikers moeten de volgende stappen uitvoeren. Ga naar Uw macOS-apparaat inschrijven met de bedrijfsportal-app voor meer specifieke informatie over de stappen van de eindgebruiker.
- Download het installatiepakket voor de bedrijfsportal-app en voer deze uit.
- Open de bedrijfsportal-app en meld u aan met hun organisatieaccount (
user@contoso.com). Zodra ze zich hebben aangemeld, moeten ze het inschrijvingsbeleid goedkeuren (Systeemvoorkeuren). Wanneer gebruikers goedkeuren, wordt het apparaat ingeschreven en beschouwd als beheerd. Als ze niet goedkeuren, worden ze niet ingeschreven en ontvangen ze uw beleid niet.
De bedrijfsportal-app detecteert de installatie van het beheerprofiel en registreert het apparaat automatisch, tenzij het handmatig wordt gesloten door de gebruiker. De gebruiker moet de app opnieuw openen om de apparaatregistratie te voltooien. Als u dynamische groepen gebruikt die afhankelijk zijn van apparaatregistratie, is het belangrijk dat gebruikers terugkeren naar de app en zich registreren. Plan om deze stappen aan eindgebruikers door te geven. Als u beleid voor voorwaardelijke toegang (CA) gebruikt, is er geen actie vereist, omdat gebruikers van met ca-beveiliging beveiligde apps hen zullen vragen terug te keren naar de bedrijfsportal om de apparaatregistratie te voltooien.
Gebruikers vinden het meestal niet prettig om zichzelf in te schrijven en zijn mogelijk niet bekend met de bedrijfsportal-app. Zorg ervoor dat u richtlijnen opgeeft, inclusief welke informatie u moet invoeren. Zie Planningshandleiding: Stap 5 - Een implementatieplan maken voor meer informatie over de communicatie met uw gebruikers.
Geautomatiseerde apparaatinschrijving (ADE) (onder supervisie)
Voorheen Apple Device Enrollment Program (DEP) genoemd. Gebruik op apparaten die eigendom zijn van uw organisatie. Met deze optie configureert u instellingen met behulp van Apple Business Manager (ABM) of Apple School Manager (ASM). Hiermee wordt een groot aantal apparaten ingeschreven, zonder dat u de apparaten ooit aanraakt. Deze apparaten worden gekocht bij Apple, hebben uw vooraf geconfigureerde instellingen en kunnen rechtstreeks naar gebruikers of scholen worden verzonden. U maakt een inschrijvingsprofiel in het Intune-beheercentrum en pusht dit beleid naar de apparaten.
Ga naar MacOS-apparaten automatisch inschrijven bij Apple Business Manager of Apple School Manager voor meer specifieke informatie over dit type inschrijving.
| Functie | Gebruik deze inschrijvingsoptie wanneer |
|---|---|
| Apparaten zijn eigendom van de organisatie of school. | ✅ |
| U hebt nieuwe apparaten. | ✅ |
| U hebt bestaande apparaten. | ✅ Als u bestaande apparaten wilt inschrijven, gaat u naar Macs inschrijven na Configuratieassistent (opent een ander Microsoft-artikel). |
| U moet een paar apparaten of een groot aantal apparaten inschrijven (bulksgewijs inschrijven). | ✅ |
| Apparaten zijn gekoppeld aan één gebruiker. | ✅ |
| Apparaten zijn gebruikersloos, zoals kiosk of toegewezen apparaat. | ✅ |
| Apparaten zijn persoonlijk of BYOD. | ❌ Niet aanbevolen. BYOD- of persoonlijke apparaten moeten worden ingeschreven met apparaatinschrijving (in dit artikel). |
| Apparaten worden beheerd door een andere MDM-provider. | ❌ Om volledig te worden beheerd door Intune, moeten gebruikers de registratie bij de huidige MDM-provider ongedaan maken en zich vervolgens inschrijven bij Intune. U kunt apparaatinschrijving ook gebruiken om specifieke apps op het apparaat te beheren. Omdat deze apparaten eigendom zijn van de organisatie, raden we aan om u in te schrijven bij Intune. |
| U gebruikt het DEM-account (Device Enrollment Manager). | ❌ Het DEM-account wordt niet ondersteund. |
ADE-beheerderstaken
Deze takenlijst biedt een overzicht. Ga voor meer specifieke informatie naar MacOS-apparaten automatisch inschrijven bij Apple Business Manager of Apple School Manager.
Zorg ervoor dat uw apparaten worden ondersteund.
U hebt toegang nodig tot de Apple Business Manager-portal (ABM) of de Apple School Manager-portal (ASM).
Zorg ervoor dat het Apple-token (
.p7m) actief is. Ga naar Token voor inschrijvingsprogramma maken voor meer specifieke informatie.Zorg ervoor dat het Apple MDM-pushcertificaat is toegevoegd aan Intune en actief is. Dit certificaat is vereist voor het inschrijven van macOS-apparaten. Ga naar Een Apple MDM-pushcertificaat ophalen voor meer informatie.
Bepaal hoe gebruikers zich op hun apparaten verifiëren: Configuratieassistent (verouderd) of Configuratieassistent met moderne verificatie. Neem deze beslissing voordat u het inschrijvingsbeleid maakt. Het gebruik van de Configuratieassistent met moderne verificatie wordt beschouwd als moderne verificatie. Microsoft raadt het gebruik van Configuratieassistent aan met moderne verificatie.
Voor alle macOS-apparaten die eigendom zijn van de organisatie wordt Configuratieassistent (verouderd) altijd en automatisch gebruikt, zelfs als u de tekst 'Configuratieassistent' niet ziet in Intune. Configuratieassistent (verouderd) verifieert de gebruiker en registreert het apparaat.
Selecteer de Configuratieassistent (verouderd) wanneer:
U wilt het apparaat wissen.
U wilt geen moderne verificatiefuncties gebruiken, zoals MFA.
U wilt geen apparaten registreren in Microsoft Entra ID. Configuratieassistent (verouderd) verifieert de gebruiker met het Apple-token
.p7m. Als het acceptabel is om apparaten niet te registreren in Microsoft Entra ID, hoeft u de bedrijfsportal-app niet te installeren. Blijf de Configuratieassistent gebruiken (verouderd).Als u de bedrijfsportal-app wilt gebruiken voor verificatie in plaats van configuratieassistent te gebruiken, of als u de apparaten wilt registreren in Microsoft Entra ID, gaat u als volgt te werk:
- Als u de bedrijfsportal-app op apparaten wilt installeren, gaat u naar de bedrijfsportal-app toevoegen. Stel de bedrijfsportal-app in als een vereiste app.
- Nadat het apparaat is ingeschreven, installeert u de bedrijfsportal-app.
- Zodra ze zijn geïnstalleerd, openen gebruikers de bedrijfsportal-app en melden ze zich aan met het Microsoft Entra-account van hun organisatie (
user@contoso.com). Wanneer ze zich aanmelden, worden ze geverifieerd en zijn ze klaar om uw beleid te ontvangen.
Selecteer de Configuratieassistent met moderne verificatie wanneer:
- U wilt het apparaat wissen.
- U wilt meervoudige verificatie (MFA) gebruiken.
- U wilt gebruikers vragen hun verlopen wachtwoord bij te werken wanneer ze zich voor het eerst aanmelden.
- U wilt gebruikers vragen om hun verlopen wachtwoorden opnieuw in te stellen tijdens de inschrijving.
- U wilt dat apparaten worden geregistreerd in Microsoft Entra ID. Wanneer ze zijn geregistreerd, kunt u functies gebruiken die beschikbaar zijn met Microsoft Entra ID, zoals voorwaardelijke toegang.
Opmerking
Tijdens de Configuratieassistent moeten gebruikers de Microsoft Entra-referenties van hun organisatie invoeren (
user@contoso.com). Wanneer ze hun referenties invoeren, wordt de inschrijving gestart. Als u wilt, kunnen gebruikers ook hun Apple-id invoeren om toegang te krijgen tot apple-specifieke functies, zoals Apple Pay.Nadat de Configuratieassistent is voltooid, kunnen gebruikers het apparaat gebruiken. Wanneer het startscherm wordt weergegeven, is de inschrijving voltooid en wordt de gebruikersaffiniteit tot stand gebracht. Het apparaat is niet volledig geregistreerd bij Microsoft Entra ID en wordt niet weergegeven in de apparatenlijst van een gebruiker in Microsoft Entra ID.
Als gebruikers toegang nodig hebben tot resources die worden beveiligd met voorwaardelijke toegang of als ze volledig moeten zijn geregistreerd met Microsoft Entra ID, installeert u de bedrijfsportal-app. Nadat deze is geïnstalleerd, openen gebruikers de bedrijfsportal-app en melden ze zich aan met het Microsoft Entra-account van hun organisatie (
user@contoso.com). Tijdens deze tweede aanmelding worden eventuele beleidsregels voor voorwaardelijke toegang geëvalueerd en is de Microsoft Entra-registratie voltooid. Gebruikers kunnen organisatieresources, waaronder LOB-apps, installeren en gebruiken.
Ga in het Intune-beheercentrum naar Apple Configurator-inschrijving en maak een inschrijvingsprofiel. Kies inschrijven met gebruikersaffiniteit (een gebruiker koppelen aan het apparaat) of Inschrijven zonder gebruikersaffiniteit (apparaten zonder gebruiker of gedeelde apparaten).
Inschrijven met gebruikersaffiniteit: Configuratieassistent verifieert de gebruiker en registreert het apparaat bij Intune. Kies ook of gebruikers het beheerprofiel, genaamd Vergrendelde inschrijving, kunnen verwijderen.
Inschrijven zonder gebruikersaffiniteit: Configuratieassistent verifieert de gebruiker en registreert de gebruiker bij Intune. Kies ook of gebruikers het beheerprofiel, genaamd Vergrendelde inschrijving, kunnen verwijderen. De bedrijfsportal-app wordt niet gebruikt, nodig of ondersteund bij inschrijvingen zonder gebruikersaffiniteit.
ADE-taken voor eindgebruikers
Deze taken zijn afhankelijk van hoe beheerders gebruikers vertellen dat ze de bedrijfsportal-app moeten installeren. Hoe minder stappen eindgebruikers moeten uitvoeren om zich in te schrijven, hoe groter de kans dat ze zich willen inschrijven.
Ga naar Uw macOS-apparaat inschrijven met de bedrijfsportal-app voor meer specifieke informatie over de stappen van de eindgebruiker.
Inschrijven met gebruikersaffiniteit + Configuratieassistent (verouderd):
Wanneer het apparaat is ingeschakeld, wordt de Apple-configuratieassistent uitgevoerd. Gebruikers voeren hun Apple ID (
user@iCloud.comofuser@gmail.com) in.De configuratieassistent vraagt de gebruiker om informatie en registreert het apparaat bij Intune. Het apparaat is niet geregistreerd in Microsoft Entra ID.
Als u Configuratieassistent gebruikt voor verificatie, stopt u hier.
Facultatief. Als u de bedrijfsportal-app gebruikt voor verificatie (in plaats van Configuratieassistent), wordt de bedrijfsportal-app geïnstalleerd met behulp van de optie die u hebt geconfigureerd.
Gebruikers openen de bedrijfsportal-app en melden zich aan met hun organisatiereferenties (
user@contoso.com). Nadat ze zich hebben aangemeld, worden gebruikers geverifieerd en hebben ze toegang tot organisatieresources.Vergeet niet dat het installeren van de bedrijfsportal-app optioneel is. Als u wilt dat uw gebruikers zich verifiëren met de bedrijfsportal-app in plaats van de Configuratieassistent, voegt u vervolgens de bedrijfsportal-app toe.
Inschrijven met gebruikersaffiniteit + Configuratieassistent met moderne verificatie:
Wanneer het apparaat is ingeschakeld, wordt de Apple-configuratieassistent uitgevoerd. Gebruikers voeren hun Apple ID (
user@iCloud.comofuser@gmail.com) en microsoft-entra-referenties van hun organisatie () in.user@contoso.comWanneer gebruikers hun Microsoft Entra-referenties invoeren, wordt de inschrijving gestart.
De configuratieassistent kan de gebruiker om aanvullende informatie vragen. Wanneer dit is voltooid, kunnen gebruikers het apparaat gebruiken. Wanneer het startscherm wordt weergegeven, is de inschrijving voltooid en wordt de apparaataffiniteit van de gebruiker tot stand gebracht. Gebruikers zien uw apps en beleidsregels op het apparaat.
Gebruikers openen de bedrijfsportal-app die u hebt geïnstalleerd en melden zich opnieuw aan met hun organisatiereferenties (
user@contoso.com).
Inschrijven zonder gebruikersaffiniteit: geen acties. Zorg ervoor dat uw gebruikers de bedrijfsportal-app niet installeren.
Gebruikers vinden het meestal niet prettig om zichzelf in te schrijven en zijn mogelijk niet bekend met de bedrijfsportal-app. Zorg ervoor dat u richtlijnen opgeeft, inclusief welke informatie u moet invoeren. Zie Planningshandleiding: Stap 5 - Een implementatieplan maken voor meer informatie over de communicatie met uw gebruikers.
Directe inschrijving
Gebruik op apparaten die eigendom zijn van uw organisatie waarvoor geen gebruikersaffiniteit met apparaten nodig is.
Deze apparaten zijn eigendom van de organisatie en maken gebruik van Apple Configurator. Het enige doel is om een apparaat in kioskstijl te zijn. Ze zijn niet gekoppeld aan één of specifieke gebruiker. Deze apparaten worden vaak gebruikt om items te scannen, tickets af te drukken, digitale handtekeningen op te halen, inventaris te beheren en meer.
Ga naar Directe inschrijving gebruiken voor macOS-apparaten voor meer specifieke informatie over dit type inschrijving.
| Functie | Gebruik deze inschrijvingsoptie wanneer |
|---|---|
| U hebt een bekabelde verbinding nodig of u hebt een netwerkprobleem. | ✅ |
| Uw organisatie wil niet dat beheerders de ABM- of ASM-portals gebruiken of niet alle vereisten willen instellen. | ✅ Het idee van het niet gebruiken van de ABM- of ASM-portals is om beheerders minder controle te geven. |
| Een land/regio biedt geen ondersteuning voor Apple Business Manager (ABM) of Apple School Manager (ASM). | ✅ Als uw land/regio ONDERSTEUNING biedt voor ABS of ASM, moeten apparaten worden ingeschreven met geautomatiseerde apparaatinschrijving (in dit artikel). |
| Apparaten zijn eigendom van de organisatie of school. | ✅ |
| U hebt nieuwe of bestaande apparaten. | ✅ |
| U moet een paar apparaten of een groot aantal apparaten inschrijven (bulksgewijs inschrijven). | ✅ Als u een groot aantal apparaten hebt, duurt deze methode enige tijd. |
| Apparaten zijn gekoppeld aan één gebruiker. | ❌ Niet aanbevolen. Apparaten die gebruikersaffiniteit nodig hebben, moeten worden ingeschreven met geautomatiseerde apparaatinschrijving (ADE). |
| Apparaten zijn gebruikersloos, zoals kiosk of toegewezen apparaat. | ✅ |
| Apparaten zijn persoonlijk of BYOD. | ❌ Niet aanbevolen. BYOD- of persoonlijke apparaten moeten worden ingeschreven met MAM (opent een ander Microsoft-artikel) of BYOD: Apparaatinschrijving (in dit artikel). |
| Apparaten worden beheerd door een andere MDM-provider. | ❌ Om volledig te worden beheerd door Intune, moeten gebruikers de registratie bij de huidige MDM-provider ongedaan maken en zich vervolgens inschrijven bij Intune. Of u kunt MAM gebruiken om specifieke apps op het apparaat te beheren. Omdat deze apparaten eigendom zijn van de organisatie, raden we u aan om u in te schrijven bij Intune. |
| U gebruikt het DEM-account (Device Enrollment Manager). | ❌ Het DEM-account wordt niet ondersteund. |
Beheerderstaken voor directe inschrijving
Deze takenlijst biedt een overzicht. Ga naar macOS Directe inschrijving voor meer specifieke informatie.
Zorg ervoor dat uw apparaten worden ondersteund.
Zorg ervoor dat het Apple MDM-pushcertificaat is toegevoegd aan Intune en actief is. Dit certificaat is vereist voor het inschrijven van macOS-apparaten. Ga naar Een Apple MDM-pushcertificaat ophalen voor meer informatie.
Maak in het Intune-beheercentrum een inschrijvingsprofiel. Selecteer Inschrijven zonder gebruikersaffiniteit (apparaten zonder gebruiker of gedeelde apparaten). Met apparaten zonder gebruiker:
- Gebruikers kunnen geen apps gebruiken waarvoor een gebruiker is vereist, inclusief de bedrijfsportal-app. De bedrijfsportal-app wordt niet gebruikt, nodig of ondersteund bij inschrijvingen zonder gebruikersaffiniteit. Zorg ervoor dat gebruikers de bedrijfsportal-app niet installeren vanuit de Apple App Store.
- Inschrijven met gebruikersaffiniteit is beschikbaar in de gebruikersinterface, maar dit werkt niet. Selecteer deze optie niet. Als u gebruikersaffiniteit nodig hebt, gebruikt u Geautomatiseerde apparaatinschrijving (in dit artikel).
Wanneer het inschrijvingsprofiel klaar is, exporteert u het beleid en kopieert u het bestand naar het macOS-apparaat. Dubbelklik op het bestand om het inschrijvingsbeleid te installeren.
Ga naar macOS Directe inschrijving voor meer informatie over deze inschrijvingsoptie en de bijbehorende vereisten.
Eindgebruikerstaken voor directe inschrijving
Inschrijven zonder gebruikersaffiniteit: geen acties. Zorg ervoor dat ze de bedrijfsportal-app niet installeren vanuit de Apple App Store.
