Registrierungshandbuch: Registrieren von macOS-Geräten in Microsoft Intune

Persönliche und unternehmenseigene Geräte können bei Intune registriert werden. Auf macOS-Geräten authentifiziert die Unternehmensportal-App oder der Setup-Assistent von Apple die Benutzer und startet die Registrierung. Sobald sie registriert sind, erhalten sie die Richtlinien, die Sie erstellen.

Beim Registrieren von macOS-Geräten haben Sie die folgenden Optionen:

• BYOD: Geräteregistrierung
• Automatische Geräteregistrierung (ADE)
• Direkte Registrierung

Inhalt dieses Artikels:

• Hier werden die Optionen der Unternehmensportal-App für jede Registrierungsmethode beschrieben.
• Stellt Registrierungsempfehlungen für unterstützte Geräteverwaltungsszenarien bereit.
• Er enthält eine Übersicht über die Aufgaben für Administratoren und Benutzer beim jeweiligen Registrierungstyp.

Es gibt auch einen visuellen Leitfaden zu den verschiedenen Registrierungsoptionen für jede Plattform:

PDF-Version herunterladen | Visio-Version herunterladen

Bevor Sie beginnen

Alle Intune-spezifischen Voraussetzungen und Konfigurationen, die zum Vorbereiten Ihres Mandanten für die Registrierung erforderlich sind, finden Sie im Registrierungshandbuch: Registrierung bei Microsoft Intune.

BYOD: Geräteregistrierung

Dies gilt für persönliche Geräte oder BYOD-Geräte (Bring Your Own Device). Diese Registrierungsoption wird auch als "vom Benutzer genehmigte Registrierung" bezeichnet.

Administratoraufgaben für die Geräteregistrierung

Diese Aufgabenliste bietet eine Übersicht.

• Stellen Sie sicher, dass Ihre Geräte unterstützt werden.

• Stellen Sie sicher, dass das Apple MDM-Pushzertifikat zu Intune hinzugefügt wurde und aktiv ist. Dieses Zertifikat ist erforderlich, um macOS-Geräte zu registrieren. Weitere Informationen finden Sie unter Abrufen eines Apple MDM-Pushzertifikats.

• Im Apple App Store oder im Rahmen des Apple Volume Purchase Program (VPP) gibt es keine Unternehmensportal-App für macOS-Geräte. Benutzer müssen das Installationsprogrammpaket der Unternehmensportal-App manuell herunterladen und ausführen. Sie melden sich mit ihrem Organisationskonto (user@contoso.com) an und durchlaufen dann den Registrierungsvorgang. Nach der Registrierung müssen sie die Registrierungsrichtlinie genehmigen.

  Wenn sie es genehmigen, wird das Gerät Ihrem organization Microsoft Entra ID hinzugefügt. Anschließend steht es Intune zum Empfangen Ihrer Richtlinien zur Verfügung.

  Stellen Sie sicher, dass Sie den Benutzern diese Informationen mitteilen.

Aufgaben für Endbenutzer bei der Geräteregistrierung

Die Benutzer müssen die folgenden Schritte ausführen. Ausführlichere Informationen zu den Schritten der Endbenutzer finden Sie unter Registrieren Ihres macOS-Geräts mithilfe der Unternehmensportal-App.

1. Sie müssen das Installationsprogrammpaket der Unternehmensportal-App herunterladen und ausführen.
2. Danach müssen sie die Unternehmensportal-App öffnen und sich mit ihrem Organisationskonto (user@contoso.com) anmelden. Nach der Anmeldung müssen sie die Registrierungsrichtlinie (Systemeinstellungen) genehmigen. Wenn Benutzer es bestätigt haben, wird das Gerät registriert und als verwaltet betrachtet. Wenn sie nicht zustimmen, sind sie nicht registriert und erhalten Ihre Richtlinien nicht.

Die Unternehmensportal-App erkennt die Installation des Verwaltungsprofils und registriert das Gerät automatisch, sofern es nicht vom Benutzer manuell geschlossen wird. Der Benutzer muss die App erneut öffnen, um die Geräteregistrierung abzuschließen. Wenn Sie dynamische Gruppen verwenden, die auf der Geräteregistrierung basieren, ist es wichtig, dass die Benutzer zur App zurückkehren und sich registrieren. Planen Sie, diese Schritte den Endbenutzern mitzuteilen. Wenn Sie Richtlinien für den bedingten Zugriff verwenden, ist keine Aktion erforderlich, da alle CA-geschützten Apps, bei denen sie sich anmelden möchten, diese auffordern, zum Unternehmensportal zurückzukehren, um die Geräteregistrierung abzuschließen.

Benutzer möchten sich in der Regel nicht selbst registrieren und sind möglicherweise nicht mit der Unternehmensportal-App vertraut. Stellen Sie sicher, dass Sie Leitfäden bereitstellen, die auch die einzugebenden Informationen enthalten. Einige Anleitungen zur Kommunikation mit Ihren Benutzern finden Sie im Planungshandbuch: Schritt 5 – Erstellen eines Rolloutplans.

Automatische Geräteregistrierung (Automated Device Enrollment, ADE) (überwacht)

Diese Option von Apple wurde früher „Programm zur Geräteregistrierung“ (Device Enrollment Program, DEP) genannt. Sie wird auf Geräten verwendet, die sich im Besitz der Organisation befinden. Mit dieser Option konfigurieren Sie Einstellungen mit Apple Business oder Apple School Manager (ASM). Dabei wird eine große Anzahl von Geräten registriert, ohne dass Sie die Geräte selbst berühren. Diese Geräte werden von Apple gekauft, verfügen über vorkonfigurierte Einstellungen und können direkt an Benutzer oder Schulen geliefert werden. Sie erstellen eine Registrierungsrichtlinie im Microsoft Intune Admin Center und übertragen diese Richtlinie auf die Geräte.

Weitere spezifische Informationen zu diesem Registrierungstyp finden Sie unter Automatisches Registrieren von macOS-Geräten mit dem Apple Business- oder Apple School Manager.

ADE-Administratoraufgaben

Diese Aufgabenliste bietet eine Übersicht. Weitere spezifische Informationen finden Sie unter Automatisches Registrieren von macOS-Geräten mit dem Apple Business- oder Apple School Manager.

• Stellen Sie sicher, dass Ihre Geräte unterstützt werden.

• Sie benötigen Zugriff auf das Apple Business-Portal oder das Apple School Manager-Portal (ASM).

• Stellen Sie sicher, dass das Apple-Token (.p7m) aktiv ist. Weitere spezifische Informationen finden Sie unter Einrichten eines macOS ADE-Tokens.

• Stellen Sie sicher, dass das Apple MDM-Pushzertifikat zu Intune hinzugefügt wurde und aktiv ist. Dieses Zertifikat ist erforderlich, um macOS-Geräte zu registrieren. Weitere Informationen finden Sie unter Abrufen eines Apple MDM-Pushzertifikats.

• Entscheiden Sie, wie sich Benutzer auf ihren Geräten authentifizieren sollen: Setup-Assistent mit moderner Authentifizierung (empfohlen), die Unternehmensportal-App oder Setup-Assistent (Legacy) (nicht empfohlen). Treffen Sie diese Entscheidung, bevor Sie die Registrierungsrichtlinie erstellen. Die Verwendung des Setup-Assistenten mit moderner Authentifizierung wird als moderne Authentifizierung bezeichnet. Microsoft empfiehlt die Verwendung des Setup-Assistenten mit moderner Authentifizierung.

  Für alle macOS-Geräte im Besitz der organization wird der Setup-Assistent (Legacy) immer und automatisch verwendet, auch wenn der Text "Setup-Assistent" in Intune nicht angezeigt wird. Der Setup-Assistent (Legacy) authentifiziert den Benutzer und registriert das Gerät.

  • Wählen Sie den Setup-Assistenten mit moderner Authentifizierung in folgenden Situationen aus:

    • Sie möchten das Gerät zurücksetzen.
    • Sie möchten die mehrstufige Authentifizierung (MFA) verwenden.
    • Sie möchten Benutzer dazu auffordern, ihr abgelaufenes Kennwort zu aktualisieren, wenn sie sich zum ersten Mal anmelden.
    • Sie möchten Benutzer dazu auffordern, ihre abgelaufenen Kennwörter bei der Registrierung zurückzusetzen.
    • Sie möchten, dass Geräte in Microsoft Entra ID registriert werden. Wenn sie registriert sind, können Sie die mit Microsoft Entra ID verfügbaren Features verwenden, z. B. bedingten Zugriff.

    Hinweis

    Während des Setup-Assistenten müssen Benutzer ihre organization Microsoft Entra Anmeldeinformationen eingeben (user@contoso.com). Wenn sie ihre Anmeldeinformationen eingeben, wird die Registrierung gestartet. Wenn Sie möchten, können Benutzer auch ihre Apple-ID eingeben, um auf Apple-spezifische Features wie Apple Pay zuzugreifen.

    Nach Abschluss des Setup-Assistenten können Benutzer das Gerät verwenden. Wenn der Startbildschirm angezeigt wird, ist die Registrierung abgeschlossen, und die Benutzeraffinität wird hergestellt. Das Gerät ist nicht vollständig bei Microsoft Entra ID registriert und wird nicht in der Geräteliste eines Benutzers in Microsoft Entra ID angezeigt.

    Wenn Benutzer Zugriff auf Ressourcen benötigen, die durch bedingten Zugriff geschützt sind, oder vollständig bei Microsoft Entra ID registriert sein sollen, installieren Sie die Unternehmensportal-App. Nach der Installation öffnen Benutzer die Unternehmensportal App und melden sich mit ihrem organization Microsoft Entra Konto an (user@contoso.com). Während dieser zweiten Anmeldung werden alle Richtlinien für bedingten Zugriff ausgewertet, und die Microsoft Entra-Registrierung ist abgeschlossen. Benutzer können Organisationsressourcen, einschließlich branchenspezifischer Apps, installieren und nutzen.

  • Wählen Sie den Setup-Assistenten (Legacy) aus, wenn Sie den Setup-Assistenten nicht mit moderner Authentifizierung verwenden können, und:

    • Sie möchten das Gerät zurücksetzen.

    • Sie möchten keine modernen Authentifizierungsfeatures wie die MFA verwenden.

    • Sie möchten keine Geräte in Microsoft Entra ID registrieren. Der Setup-Assistent (Legacy) authentifiziert den Benutzer mit dem Apple.p7m-Token. Wenn es akzeptabel ist, Geräte nicht in Microsoft Entra ID zu registrieren, müssen Sie die Unternehmensportal-App nicht installieren. Verwenden Sie weiterhin den Setup-Assistenten (Legacy).

      Wenn Sie die Unternehmensportal-App für die Authentifizierung anstelle des Setup-Assistenten verwenden möchten oder die Geräte in Microsoft Entra ID registrieren möchten, gehen Sie wie folgt vor:

      1. Um die Unternehmensportal-App auf Geräten zu installieren, wechseln Sie zum Hinzufügen der Unternehmensportal-App. Legen Sie die Unternehmensportal-App als erforderliche App fest.
      2. Nachdem das Gerät registriert wurde, installieren Sie die Unternehmensportal-App.
      3. Nach der Installation öffnen Benutzer die Unternehmensportal App und melden sich mit ihrem organization Microsoft Entra Konto an (user@contoso.com). Wenn sie sich anmelden, sind sie authentifiziert und bereit, Ihre Richtlinien zu erhalten.

• Wechseln Sie im Microsoft Intune Admin Center zur Apple Configurator-Registrierung, und erstellen Sie eine Registrierungsrichtlinie. Klicken Sie auf Mit Benutzeraffinität registrieren (dem Gerät einen Benutzer zuordnen) oder Ohne Benutzeraffinität registrieren (Geräte ohne Benutzer oder gemeinsam genutzte Geräte).

  • Mit Benutzeraffinität registrieren: Der Setup-Assistent authentifiziert den Benutzer und registriert das Gerät in Intune. Wählen Sie außerdem aus, ob Benutzer das Verwaltungsprofil löschen können (Gesperrte Registrierung).

  • Ohne Benutzeraffinität registrieren: Der Setup-Assistent authentifiziert den Benutzer und registriert den Benutzer in Intune. Wählen Sie außerdem aus, ob Benutzer das Verwaltungsprofil löschen können (Gesperrte Registrierung). Die Unternehmensportal-App wird bei Registrierungen ohne Benutzeraffinität nicht verwendet, benötigt oder unterstützt.

Aufgaben für Endbenutzer bei Verwendung der ADE

Diese Aufgaben sind davon abhängig, wie Administratoren Benutzer auffordern, die Unternehmensportal-App zu installieren. In der Regel gilt: Je weniger Schritte Endbenutzer für die Registrierung ausführen müssen, desto höher ist die Wahrscheinlichkeit, dass sie sich registrieren möchten.

Ausführlichere Informationen zu den Schritten der Endbenutzer finden Sie unter Registrieren Ihres macOS-Geräts mithilfe der Unternehmensportal-App.

• Mit Benutzeraffinität registrieren + Setup-Assistent (Legacy):

  1. Wenn das Gerät eingeschaltet wird, wird der Setup-Assistent von Apple ausgeführt. Benutzer geben ihre Apple-ID (user@iCloud.com oder user@gmail.com) ein.

  2. Der Setup-Assistent fordert den Benutzer zur Eingabe von Informationen auf und registriert das Gerät bei Intune. Das Gerät ist nicht in Microsoft Entra ID registriert.

     Wenn Sie den Setup-Assistenten für die Authentifizierung verwenden, unterbrechen Sie hier den Vorgang.

  3. Optional. Wenn Sie die Unternehmensportal-App für die Authentifizierung verwenden (anstelle des Setup-Assistenten), wird die Unternehmensportal-App mithilfe der von Ihnen konfigurierten Option installiert.

     Benutzer öffnen die Unternehmensportal-App und melden sich mit ihren Anmeldeinformationen an (user@contoso.com). Nachdem sie sich angemeldet haben, werden sie authentifiziert und können auf Organisationsressourcen zugreifen.

     Beachten Sie, dass die Installation der Unternehmensportal-App optional ist. Wenn Sie möchten, dass sich Benutzer mithilfe der Unternehmensportal-App authentifizieren, anstatt den Setup-Assistenten zu verwenden, fügen Sie die Unternehmensportal-App hinzu.

• Mit Benutzeraffinität registrieren + Setup-Assistent mit moderner Authentifizierung:

  1. Wenn das Gerät eingeschaltet wird, wird der Setup-Assistent von Apple ausgeführt. Benutzer geben ihre Apple-ID (user@iCloud.com oder user@gmail.com) und ihre organization Microsoft Entra Anmeldeinformationen (user@contoso.com) ein.

     Wenn Benutzer ihre Microsoft Entra-Anmeldeinformationen eingeben, beginnt die Registrierung.

  2. Der Setup-Assistent kann den Benutzer zur Eingabe zusätzlicher Informationen auffordern. Wenn dies abgeschlossen ist, können Benutzer das Gerät verwenden. Wenn der Startbildschirm erscheint, ist die Registrierung abgeschlossen, und die Benutzergerätaffinität wird hergestellt. Benutzern werden Ihre Apps und Richtlinien auf dem Gerät angezeigt.

  3. Benutzer öffnen die Unternehmensportal-App, die Sie installiert haben, und melden sich nochmals mit ihren Anmeldeinformationen an (user@contoso.com).

• Ohne Benutzeraffinität registrieren: Keine Aktionen erforderlich. Stellen Sie sicher, dass die Benutzer die Unternehmensportal-App nicht installieren.

Benutzer möchten sich in der Regel nicht selbst registrieren und sind möglicherweise nicht mit der Unternehmensportal-App vertraut. Stellen Sie sicher, dass Sie Leitfäden bereitstellen, die auch die einzugebenden Informationen enthalten. Einige Anleitungen zur Kommunikation mit Ihren Benutzern finden Sie im Planungshandbuch: Schritt 5 – Erstellen eines Rolloutplans.

Direkte Registrierung

Verwendung auf Geräten im Besitz Ihrer Organisation, für die keine Benutzer-Geräte-Affinität erforderlich ist.

Diese Geräte sind im Besitz der Organisation und verwenden Apple Configurator. Der einzige Zweck besteht darin, ein Gerät im Kiosk-Stil zu sein. Sie sind nicht einem einzelnen oder bestimmten Benutzer zugeordnet. Diese Geräte werden unter anderem häufig zum Scannen von Elementen, Drucken von Tickets, Abrufen digitaler Signaturen und Verwalten des Inventars verwendet.

Ausführlichere Informationen zu diesem Registrierungstyp finden Sie unter Verwenden der direkten Registrierung für macOS-Geräte.

Administratoraufgaben für die direkte Registrierung

Diese Aufgabenliste bietet eine Übersicht. Weitere spezifische Informationen finden Sie unter macOS Direct Enrollment.

• Stellen Sie sicher, dass Ihre Geräte unterstützt werden.

• Stellen Sie sicher, dass das Apple MDM-Pushzertifikat zu Intune hinzugefügt wurde und aktiv ist. Dieses Zertifikat ist erforderlich, um macOS-Geräte zu registrieren. Weitere Informationen finden Sie unter Abrufen eines Apple MDM-Pushzertifikats.

• Erstellen Sie im Microsoft Intune Admin Center eine Registrierungsrichtlinie. Wählen Sie Ohne Benutzeraffinität registrieren (benutzerlose Geräte oder gemeinsam genutzte Geräte) aus. Bei Geräten ohne Benutzer:

  • Benutzer können keine Apps verwenden, die einen Benutzer erfordern (einschließlich der Unternehmensportal-App). Die Unternehmensportal-App wird bei Registrierungen ohne Benutzeraffinität nicht verwendet, benötigt oder unterstützt. Stellen Sie sicher, dass Benutzer die Unternehmensportal-App nicht aus dem Apple App Store installieren.
  • Mit Benutzeraffinität registrieren ist in der Benutzeroberfläche verfügbar, funktioniert aber nicht. Wählen Sie diese Option nicht aus. Wenn Sie Benutzeraffinität benötigen, nutzen Sie die automatisierte Geräteregistrierung (in diesem Artikel).

• Wenn die Registrierungsrichtlinie bereit ist, exportieren Sie die Richtlinie, und kopieren Sie die Datei auf das macOS-Gerät. Doppelklicken Sie auf die Datei, um die Registrierungsrichtlinie zu installieren.

Weitere Informationen zu dieser Registrierungsoption und ihren Voraussetzungen finden Sie unter macOS Direct Enrollment.

Aufgaben für Endbenutzer bei der direkten Registrierung

• Registrieren ohne Benutzeraffinität: Keine Aktionen erforderlich. Stellen Sie sicher, dass die Unternehmensportal-App nicht über den Apple App Store installiert wird.

  

Verwandte Artikel

• MAM
• Führungslinie für die Android-Registrierung
• Führungslinie für die iOS-/iPadOS-Registrierung
• Leitfaden zur Linux-Registrierung
• Führungslinie für die Windows-Registrierung