Автоматическая регистрация Компьютеров Mac с помощью Apple Business Manager или Apple School Manager

Настройте автоматическую регистрацию устройств в Intune для новых или уничтоженных компьютеров Mac, приобретенных по программе регистрации Apple, например Apple Business Manager или Apple School Manager. При использовании этого метода вам не нужно иметь устройства с собой, чтобы настроить их. Intune автоматически синхронизируется с Apple для получения сведений об устройстве из учетной записи программы регистрации и развертывает предварительно настроенные профили регистрации на компьютерах Mac по беспроводной сети. Подготовленные устройства можно отправлять непосредственно сотрудникам или учащимся. Помощник по настройке и регистрация устройств начинаются, когда кто-то включает Mac.

В этой статье описывается настройка профиля автоматической регистрации устройств для корпоративных компьютеров Mac.

Примечание.

Действия, описанные в этой статье, одинаковы независимо от того, используете ли вы Apple Business Manager или Apple School Manager. Для краткости мы ссылаемся на Apple Business Manager только на всех этапах, описанных в этой статье, за исключением случаев, когда необходимо уточнить.

Ограничения

Автоматическая регистрация устройств с помощью Apple Business Manager и Apple School Manager не поддерживается в учетных записях диспетчера регистрации устройств.

Предварительные требования

Требуется доступ к Apple School Manager или Apple Business Manager . Вы также должны иметь список серийных номеров устройств или номер заказа на покупку для устройств, приобретенных через Apple.

Перед началом работы убедитесь, что выполнены следующие задачи:

Создание маркера программы регистрации

В этом разделе описывается создание маркера программы регистрации в Intune. Маркер программы регистрации (иногда называемый маркером автоматической регистрации устройств) является необходимым компонентом автоматической регистрации устройств. Он обеспечивает возможности взаимодействия и управления устройствами между Intune и выбранной программой регистрации Apple. Она позволяет Intune синхронизировать сведения из учетной записи Apple Business Manager или Apple School Manager и применять профили к устройствам.

Шаг 1. Скачайте сертификат открытого ключа Intune

Сертификат открытого ключа необходим для запроса сертификата отношения доверия у Apple Business Manager.

  1. В Центре администрирования Microsoft Intune перейдите в раздел Регистрация устройств>.
  2. Перейдите на вкладку Apple .
  3. В разделе Методы массовой регистрации выберите Токены программы регистрации.
  4. Нажмите Добавить.
  5. Выберите Я согласен предоставить корпорации Майкрософт разрешение на отправку сведений о пользователях и устройствах в Apple.
  6. Выберите Скачать открытый ключ и сохраните ключ как PEM-файл локально. Ключ будет использоваться для получения маркера сервера MDM на следующем шаге.

Шаг 2. Добавление сервера MDM и скачивание маркера сервера

Добавьте сервер управления мобильными устройствами (MDM) для Intune в Apple Business Manager, а затем скачайте маркер сервера для него.

  1. В Центре администрирования выберите ссылку, соответствующую используемому порталу Apple. Доступны следующие параметры:

    • Создание маркера с помощью Apple Business Manager
    • Создание маркера с помощью Apple School Manager

    Выбранный портал откроется в новой вкладке браузера. Вы можете безопасно переключиться на новую вкладку, но сохранить вкладку с Microsoft Intune открытой на более поздний срок.

  2. Войдите на портал Apple с идентификатором Apple ID вашей компании. Помните, что это идентификатор Apple ID, который вы и ваша организация должны использовать для продления маркера и управления им в будущем, поэтому не используйте личный идентификатор.

  3. Перейдите в настройки профиля >учетной записи.

  4. Перейдите к назначениям сервера MDM.

  5. Выберите добавление сервера MDM.

  6. Назовите сервер MDM. Имя предназначено только для идентификации в Apple Business Manager и не должно быть фактическим именем или URL-адресом сервера Microsoft Intune.

  7. Отправьте файл открытого ключа, а затем сохраните изменения.

  8. Скачайте маркер сервера (P7M-файл).

Шаг 3. Назначение устройств серверу MDM

При необходимости после создания сервера MDM в Apple Business Manager можно приступить к назначению устройств. Мы рекомендуем назначить их сейчас, так как вы уже в Apple Business Manager, но вы можете вернуться позже, если вы не готовы. Для упрощения выбора назначения можно использовать доступные функции, такие как фильтры и массовое назначение . Дополнительные сведения и инструкции см. в статье Назначение, переназначение или отмена назначения устройств в Apple Business Manager (откроется руководство пользователя Apple Business Manager).

Шаг 4. Сохранение идентификатора Apple ID

Вернитесь в Центр администрирования и введите идентификатор Apple ID, используемый для скачивания маркера сервера. Это идентификатор Apple ID, который необходимо использовать для ежегодного продления маркера. Убедитесь, что будущие администраторы Intune знают об используемом идентификаторе Apple ID, если вы покинете организацию и вам потребуется перенести управление маркерами на них.

Снимок экрана: выделено поле Идентификатор Apple в области

Шаг 5. Отправка маркера сервера и завершение

Отправьте файл маркера сервера в Intune, чтобы завершить создание маркера программы регистрации.

  1. Вернитесь в поле Маркер Apple центра > администрирования. Перейдите к маркеру сервера (P7M-файлу) на устройстве.
  2. Нажмите кнопку Открыть, а затем — Создать.

Intune автоматически подключается к Apple Business Manager для синхронизации сведений об устройстве из учетной записи программы регистрации. Сведения о синхронизации маркера вручную см. в разделе Синхронизация управляемых устройств (в этой статье).

Создание профиля регистрации Apple

Создайте профиль автоматической регистрации устройств в Центре администрирования. Профиль определяет процесс регистрации для устройств Mac вашей организации, а также применяет политики и параметры регистрации на устройствах регистрации. Профиль развертывается на назначенных устройствах по беспроводной сети.

В конце этой процедуры этот профиль можно назначить Microsoft Entra группам устройств.

Важно!

Чтобы создать профиль, необходимо настроить маркер программы регистрации в Intune. Если вы еще не сделали этого, см. статью Создание токена программы регистрации в начале этой статьи.

  1. В Центре администрирования перейдите в раздел Регистрация устройств>.

  2. Перейдите на вкладку Apple .

  3. В разделе Методы массовой регистрации выберите Токены программы регистрации.

  4. Выберите токен программы регистрации.

  5. Выберите Профили>Создать профиль>macOS.

    Снимок экрана: создание профиля.

  6. В поле Основные сведения введите имя и описание профиля, чтобы отличить его от других профилей регистрации. Эти сведения не видны пользователям устройств.

    Совет

    Поле имени можно использовать для создания динамической группы в Microsoft Entra ID и автоматического назначения устройств в профиль регистрации. Используйте имя профиля для определения параметра enrollmentProfileName . Дополнительные сведения см. в разделе Microsoft Entra динамических групп.

  7. Нажмите кнопку Далее.

  8. На странице Параметры управления настройте сопоставление пользователей. Сходство пользователей определяет, регистрировать ли устройства с назначенным пользователем или без нее. Доступны следующие параметры:

    • Регистрация без сопоставления пользователей. Регистрация устройств, которые не связаны с одним пользователем. Выберите этот параметр для общих устройств и устройств, которым не требуется доступ к данным локальных пользователей. Приложение Корпоративный портал не работает на этих типах устройств.

    • Регистрация с сопоставлением пользователей. Регистрация устройств, связанных с назначенным пользователем. Выберите этот параметр для рабочих устройств, принадлежащих пользователям, и если вы хотите, чтобы пользователи имели приложение Корпоративный портал для установки приложений. С этим параметром доступна многофакторная проверка подлинности (MFA).

      Вариант 2 требует дополнительных конфигураций. Пользователи должны пройти проверку подлинности перед регистрацией, чтобы подтвердить свою личность. Выберите один из следующих способов проверки подлинности:

      • Помощник по настройке с современной проверкой подлинности. Этот метод требует, чтобы пользователи завершили все экраны помощника по настройке и войдите в приложение Корпоративный портал, используя свои Microsoft Entra учетные данные, прежде чем они смогут получить доступ к ресурсам. После входа в Корпоративный портал устройство:

        • Регистрируется с помощью Microsoft Entra ID.
        • Добавляется в запись устройства пользователя в Microsoft Entra ID.
        • Может быть оценена на соответствие устройств.
        • Получает доступ к ресурсам, защищенным условным доступом.

        Если пользователь не входит в Корпоративный портал для завершения регистрации, он будет перенаправляться в приложение Корпоративный портал каждый раз, когда он пытается открыть управляемое приложение с защитой условного доступа.

        Этот метод можно использовать на устройствах под управлением macOS 10.15 и более поздних версий. Старые устройства macOS возвращаются к использованию устаревшего метода помощника по настройке. Дополнительные сведения о том, как получить приложение Корпоративный портал для пользователей Mac, см. в статье Добавление приложения Корпоративный портал для macOS.

      • Помощник по настройке (устаревшая версия): используйте устаревший помощник по настройке, если хотите, чтобы пользователи пользовались стандартным интерфейсом для продуктов Apple. Этот метод устанавливает стандартные предварительно настроенные параметры, когда устройство регистрируется с помощью управления Intune. Если вы используете службы федерации Active Directory (AD FS) и выполняете проверку подлинности с помощью помощника по настройке, требуется конечная точка WS-Trust 1.3 в режиме "Имя пользователя/смешанный". Дополнительные сведения о получении конечной точки ADFS см. в разделе [Get-ADfsEndpoint] (/powershell/module/adfs/get-adfsendpoint?view=win10-ps&preserve-view=true).

  9. Ожидание окончательной конфигурации включает заблокированный интерфейс в конце помощника по настройке, чтобы убедиться, что на устройстве установлены наиболее важные политики конфигурации устройства. Этот параметр применяется один раз во время автоматической регистрации устройств Apple в помощнике по настройке. Пользователь устройства не будет испытывать его снова, если он не повторно зарегистрировать свой Mac.

    Доступны следующие параметры:

    • Да. Непосредственно перед загрузкой начального экрана помощник по настройке приостанавливает работу и позволяет Intune проверка с устройством. Взаимодействие с конечными пользователями блокируется, пока пользователи ожидают окончательных конфигураций. Этот параметр является конфигурацией по умолчанию для новых профилей регистрации.

    • Нет. Устройство освобождается на начальном экране после завершения работы помощника по настройке, независимо от состояния установки политики. Пользователи устройств могут получить доступ к начальнму экрану или изменить параметры устройства до установки всех политик. Этот параметр является конфигурацией по умолчанию для существующих профилей регистрации.

    Время, в течение которого пользователи находятся на экране ожидания окончательной конфигурации, зависит от общего количества политик и приложений, назначенных устройству. Пользователи могут просматривать скачивание профилей конфигурации устройств в помощнике по настройке по мере ожидания. Чем больше назначенных политик и приложений, тем больше время ожидания. Помощник по настройке и Intune не применяют минимальное или максимальное время во время этой части установки. Во время проверки продукта большинство протестированных устройств были выпущены и получили доступ к начальной странице в течение 15 минут. Если вы включили эту функцию и работаете с партнером Майкрософт или службой сторонних поставщиков, чтобы помочь вам подготовить устройства, сообщите им о возможности увеличения времени подготовки.

    Заблокированный интерфейс поддерживается на компьютерах Mac под управлением macOS 10.11 или более поздней версии. Он работает на компьютерах Mac, предназначенных для новых или существующих профилей регистрации, настроенных для следующих сценариев:

    • Регистрация с помощью помощника по настройке с современной проверкой подлинности
    • Регистрация с помощью помощника по настройке (устаревшая версия)
    • Регистрация без сопоставления пользователей и устройств
  10. Вы можете применить заблокированную регистрацию , чтобы запретить пользователям отменять регистрацию устройств в Intune. Выберите Да , чтобы отключить параметры Mac в системных параметрах и терминале, которые позволяют пользователям удалять профиль управления. После регистрации устройства вы не сможете изменить этот параметр без очистки устройства.

  11. Нажмите кнопку Далее.

  12. При необходимости на странице Параметры учетной записи можно настроить локальную основную учетную запись на целевых компьютерах Mac.

    Изображение Центра администрирования с новым разделом параметров учетной записи в профиле автоматической регистрации устройств macOS.

    Эти параметры поддерживаются на устройствах под управлением macOS 10.11 или более поздней версии. Помните, что при настройке основной учетной записи эта учетная запись будет учетной записью администратора после ее создания. Наличие по крайней мере одной учетной записи администратора является обязательным требованием для установки Mac.

    Доступны следующие параметры:

    • Создание локальной основной учетной записи. Выберите Да , чтобы настроить параметры локальной основной учетной записи для целевых компьютеров Mac. Выберите Не настроено, чтобы пропустить все конфигурации параметров учетной записи.
    • Сведения о предварительной заполнении учетной записи. Конфигурация по умолчанию не настроена, требует, чтобы пользователь устройства ввел имя пользователя и полное имя учетной записи в помощнике по настройке. Чтобы предварительно заполнить сведения об учетной записи для них, нажмите кнопку Да. Затем введите имя основной учетной записи и полное имя:
      • Имя основной учетной записи. Введите имя пользователя для учетной записи. {{partialupn}} — это поддерживаемая переменная маркера для имени учетной записи.
      • Полное имя основной учетной записи. Введите полное имя учетной записи. {{username}} — это поддерживаемая переменная маркера для полного имени.
    • Ограничение редактирования. Конфигурация по умолчанию имеет значение Да , чтобы пользователи устройств не могли изменять имя учетной записи и полное имя, настроенные для них. Чтобы разрешить пользователям устройства изменять имя учетной записи и полное имя, выберите Не настроено.

    Чтобы параметры учетной записи работали должным образом, профиль регистрации должен иметь следующие конфигурации:

    • Сходство пользователей. Выберите Зарегистрировать с сопоставлением пользователей.
    • Метод проверки подлинности. Выберите Помощник по настройке с современной проверкой подлинности или Помощник по настройке (устаревшая версия).
    • Ожидание окончательной конфигурации: выберите Да.

    Локальные учетные записи зависят от функции ожидания окончательной конфигурации при их создании. В результате при настройке параметров локальной основной учетной записи этот параметр всегда включен. Даже если вы не касаетесь параметра настройки await final , он включается в фоновом режиме и применяется к профилю регистрации.

  13. Нажмите кнопку Далее.

  14. На странице Помощник по настройке настройте интерфейс помощника по настройке.

    1. Введите сведения о отделе, чтобы пользователи знали, к кому обращаться за поддержкой:
      • Название отдела: это имя отображается, когда пользователи устройств выбирают сведения о конфигурации во время активации.
      • Телефон отдела. Этот номер телефона отображается, когда пользователи устройств выбирают нужная помощь во время активации.
    2. Выберите экраны помощника по настройке, которые нужно отобразить или скрыть во время настройки устройства. Описание всех экранов см. в справочнике по экрану помощника по настройке (в этой статье). Доступны следующие параметры:
      • Скрыть. Экран не отображается для пользователей во время настройки устройства. После настройки устройства пользователь может перейти к параметрам устройства, чтобы настроить эту функцию.
      • Показать: экран отображается для пользователей во время настройки устройства. Пользователь по-прежнему может пропускать экраны, которые не требуют немедленного действия. После настройки устройства пользователь может перейти к параметрам устройства, чтобы настроить эту функцию.
  15. Нажмите кнопку Далее.

  16. Просмотрите сводку изменений и нажмите кнопку Создать , чтобы завершить создание профиля.

Справочник по экрану помощника по настройке

В следующей таблице описаны экраны помощника по настройке, отображаемые при автоматической регистрации устройств для Mac. Эти экраны можно отобразить или скрыть на поддерживаемых устройствах во время регистрации.

Экран помощника по настройке Что происходит при отображении
Службы определения местонахождения Запрос местонахождения пользователя. Для macOS 10.11 и более поздних версий, а также iOS/iPadOS 7.0 и более поздних версий.
Восстановление Отображать экран "Приложения и данные". На этом экране пользователь может восстанавливать или передавать данные из резервной копии iCloud при настройке устройства. Для macOS 10.9 и более поздних версий, а также iOS/iPadOS 7.0 и более поздних версий.
Apple ID Предоставление пользователю возможностей войти с помощью Apple ID и использовать iCloud. Для macOS 10.9 и более поздних версий, а также iOS/iPadOS 7.0 и более поздних версий.
Условия Требование, чтобы пользователь принял условия Apple. Для macOS 10.9 и более поздних версий, а также iOS/iPadOS 7.0 и более поздних версий.
Touch ID и Face ID Предоставление пользователю возможности настроить идентификацию по отпечатку пальца для устройства. Для macOS 10.12.4 и более поздних версий, а также iOS/iPadOS 8.1 и более поздних версий.
Apple Pay Представление пользователю возможности настроить Apple Pay на устройстве. Для macOS 10.12.4 и более поздних версий, а также iOS/iPadOS 7.0 и более поздних версий.
Siri Представление пользователю возможности настроить Siri. Для macOS 10.12 и более поздних версий, а также iOS/iPadOS 7.0 и более поздних версий.
Данные диагностики Отображение экрана диагностики для пользователя. На этом экране пользователю предоставляется возможность отправить диагностические данные в Apple. Для macOS 10.9 и более поздних версий, а также iOS/iPadOS 7.0 и более поздних версий.
Тон дисплея Предоставление пользователю возможности включить тон дисплея. Для macOS 10.13.6 и более поздних версий, а также iOS/iPadOS 9.3.2 и более поздних версий.
FileVault Отображение экрана шифрования FileVault 2 для пользователя. Для macOS 10.10 и более поздней версии.
Диагностика iCloud Отображение экрана аналитики iCloud для пользователя. Для macOS 10.12.4 и более поздней версии.
Регистрация Открывает экран регистрации. Для macOS 10.9 и более поздней версии.
Хранилище iCloud Отображение экрана документов и рабочего стола iCloud для пользователя. Для macOS 10.13.4 и более поздней версии.
Внешний вид Отображение экрана внешнего вида для пользователя. Для macOS 10.14 и более поздних версий, а также iOS/iPadOS 13.0 и более поздних версий.
Экранное время Отображение экрана "Экранное время". Для macOS 10.15 и более поздних версий, а также iOS/iPadOS 12.0 и более поздних версий.
Конфиденциальность Отображение экрана конфиденциальности для пользователя. Для macOS 10.13.4 и более поздних версий, а также iOS/iPadOS 11.3 и более поздних версий.
Специальные возможности Отображать экран "Специальные возможности" для пользователя. Если этот экран скрыт, пользователь не может использовать функцию "Голосовая связь". Voice Over поддерживается на устройствах, которые:
– устройства под управлением macOS 11;
– устройства, подключенные к Интернету по протоколу Ethernet;
– устройства, серийный номер которых отображается в Apple School Manager или Apple Business Manager.
Автоматическая разблокировка с помощью Apple Watch Предоставьте пользователю возможность использовать Apple Watch для разблокировки Mac. Для macOS 12.0 и более поздних версий.
Условия адреса Предоставьте пользователю возможность выбора того, как он должен быть рассмотрен в системе: женский, мужской или нейтральный. Эта функция Apple доступна для различных языков. Дополнительные сведения см. в разделе Изменение параметров языка & региона на Компьютере Mac (откроется веб-сайт Apple). Для macOS 13.0 и более поздних версий.

Синхронизация управляемых устройств

Синхронизация обновляет существующее состояние устройства и импортирует новые устройства, назначенные серверу Apple MDM. Чтобы просмотреть все связанные устройства Apple и сведения об устройстве, синхронизируйте маркер программы регистрации в Центре администрирования.

  1. Вернитесь в пункт Токены программы регистрации и выберите токен программы регистрации.

  2. Выберите Синхронизация устройств>.

    Снимок экрана: область токена программы регистрации в Центре администрирования с выделенным примером маркера, ссылкой

Ограничения синхронизации

В соответствии с условиями Apple в отношении допустимого трафика программы регистрации Microsoft Intune накладывает следующие ограничения:

  • Полная синхронизация может выполняться не чаще одного раза в семь дней. Во время полной синхронизации Intune получает последний обновленный список серийных номеров, назначенных подключенного сервера Apple MDM. Если удалить устройство из Intune, не отменив его назначение с сервера MDM в Apple Business Manager или Apple School Manager, оно не будет повторно импортировано в Intune до запуска полной синхронизации.
  • Если устройство выпущено из любой из программ регистрации Apple, его автоматическое удаление со страницы Устройства в Intune может занять до 45 дней. При необходимости вы можете вручную удалить выпущенные устройства в Intune. Intune сообщает, что выпущенные устройства удаляются из Apple Business Manager или Apple School Manager, пока они не будут автоматически удалены, что происходит в течение 30–45 дней.
  • Синхронизация выполняется автоматически каждые 24 часа. Синхронизацию можно инициировать не чаще, чем раз в 15 минут. Любой запрос синхронизации выполняется в течение 15 минут. Кнопка Синхронизация становится неактивной до завершения синхронизации.

Назначение профиля регистрации устройствам

Назначьте профиль регистрации устройствам Apple.

  1. Вернитесь в раздел Маркеры программы регистрации и выберите маркер.
  2. Выберите Устройства.
  3. Выберите свои устройства в списке, а затем выберите Назначить профиль.
  4. Выберите профиль для назначения и нажмите кнопку Назначить.

При необходимости можно выбрать профиль регистрации по умолчанию. Профиль по умолчанию развертывается на всех устройствах регистрации, связанных с маркером.

  1. Вернитесь в раздел Маркеры программы регистрации и выберите маркер.
  2. Выберите Задать профиль по умолчанию.
  3. Выберите профиль и нажмите кнопку Сохранить.

Распределение устройств

Важно!

Пользователям, связанным с устройствами с сходством пользователей, должна быть назначена лицензия Intune. Устройствам без сопоставления пользователей требуется лицензия на устройство.

Распространение подготовленных устройств по всей организации.

  • Новые или уничтоженные компьютеры Mac. Новые или уничтоженные компьютеры Mac, настроенные в Apple Business Manager или Apple School Manager, автоматически зарегистрируются в Microsoft Intune во время помощника по настройке, когда кто-то включает устройство. Если вы назначили устройство профилю регистрации macOS со сходством пользователей, пользователь устройства должен войти в Корпоративный портал после завершения работы помощника по настройке, чтобы выполнить Microsoft Entra требований к регистрации и условному доступу.

  • Существующие компьютеры Mac. Вы можете зарегистрировать устройства, которые уже прошли через помощник по настройке. Выполните эти действия, чтобы зарегистрировать корпоративные компьютеры Mac под управлением macOS 10.13 и более поздних версий.

    1. Убедитесь, что:

      • Устройство импортировано в Apple Business Manager или Apple School Manager.
      • Устройству назначен профиль регистрации macOS в Центре администрирования.
    2. Войдите на устройство с учетной записью локального администратора.

    3. Чтобы активировать регистрацию, на домашней странице откройте Терминал и выполните следующую команду:

      sudo profiles renew -type enrollment

    4. Введите пароль устройства для учетной записи локального администратора.

    5. На странице Регистрация устройства выберите Сведения.

    6. В разделе Параметры системы выберите Профили.

    7. Следуйте инструкциям на экране, чтобы скачать профиль управления Microsoft Intune, сертификаты и политики.

      Совет

      Вы можете в любое время проверить, какие профили находятся на устройстве, вернувшись в разделПрофилисистемных настроек>.

    8. Если вы назначили устройство профилю регистрации macOS с сопоставлением пользователей, войдите в приложение Корпоративный портал, чтобы выполнить Microsoft Entra требования к регистрации и условному доступу, а также завершить регистрацию.

Продление токена программы регистрации

Выполните эти действия, чтобы продлить срок действия маркера сервера, срок действия которого истекает. Эта процедура гарантирует, что связанный маркер программы регистрации в Intune остается активным.

  1. Войдите в Apple Business Manager или Apple School Manager и выполните следующие действия, чтобы скачать новый маркер сервера MDM:
  2. В Центре администрирования перейдите в раздел Регистрация устройств>.
  3. Перейдите на вкладку Apple .
  4. В разделе Методы массовой регистрации выберите Токены программы регистрации.
  5. Выберите токен программы регистрации, который требуется продлить.
  6. Выберите Продлить токен и введите идентификатор Apple ID, используемый для создания исходного маркера.
  7. Отправьте новый токен.
  8. Нажмите кнопку Далее. При необходимости вы можете обновить теги область. В противном случае перейдите к разделу Просмотр и создание.
  9. Нажмите кнопку Создать , чтобы сохранить изменения.

Дальнейшие действия

Используйте Microsoft Intune удаленные действия для удаленного управления зарегистрированными компьютерами Mac.