Lernprogramm: Einrichten der Registrierung bei Microsoft Intune für iOS/iPadOS-Geräte in Apple Business

Verwenden Sie Apple Business mit Microsoft Intune, um die Geräteregistrierung für iOS/iPadOS-Geräte, die über Apple Business erworben wurden, zu vereinfachen und zu automatisieren. Die automatische Geräteregistrierung, die wir in diesem Lernprogramm einrichten, ermöglicht eine sichere automatische Registrierung beim ersten Einschalten des Geräts durch den Benutzer durch die drahtlose Bereitstellung der Registrierungsrichtlinie für das Gerät.

In diesem Lernprogramm lernen Sie:

Am Ende dieses Lernprogramms können die Geräte zur Registrierung verteilt werden.

Voraussetzungen

• Legen Sie die Autorität für die mobile Geräteverwaltung (Mobile Device Management, MDM) fest.
• Holen Sie sich das Apple MDM Push-Zertifikat.
• Sie müssen neue oder gelöschte Geräte von Apple Business erworben haben.
• Fügen Sie Kaufinformationen unter den Geräteverwaltungseinstellungen in Apple Business hinzu.

Wenn Sie über kein Intune-Abonnement verfügen, registrieren Sie sich für eine kostenlose Testversion.

Schritt 1: MDM-Server hinzufügen

Erstellen Sie ein MDM-Serverprofil für Microsoft Intune in Apple Business. Das Token, das Sie in diesem Schritt herunterladen, aktiviert die Verbindung zwischen Microsoft Intune und Apple Business in einem späteren Schritt.

1. Melden Sie sich beim Microsoft Intune Admin Center an.

2. Wechseln Sie zu Geräte.

3. Erweitern Sie " Geräteonboarding", und wählen Sie dann "Registrierung" aus.

4. Wählen Sie Apple Mobile aus.

5. Wählen Sie Token für das Registrierungsprogramm aus.

6. Wählen Sie Erstellen aus.

7. Wählen Sie "Ich stimme zu ", um Microsoft die Berechtigung zu erteilen, Benutzer- und Geräteinformationen an Apple zu senden.

8. Wählen Sie "Öffentlichen Schlüssel herunterladen " aus, um das öffentliche Schlüsselzertifikat des Servers (eine PEM-Datei) auf Ihr lokales Laufwerk herunterzuladen.

9. Wählen Sie Token über Apple Business erstellen aus, und melden Sie sich mit Ihrer Apple-ID bei Apple Business an.

   Wichtig

   Schließen Sie in Apple Business nicht die Browserregisterkarte mit Microsoft Intune. Sie werden später darauf zurückkommen.

10. Fügen Sie einen MDM-Server namens TestMDMServer hinzu und laden Sie das Servertoken dafür in Apple Business herunter. Details und Anweisungen finden Sie unter Link zu einem MDM-Server eines Drittanbieters(öffnet das Apple Business-Benutzerhandbuch). Speichern Sie das Servertoken lokal als P7M-Datei (.p7m). Fahren Sie dann mit Schritt 2 fort: Geräte zuweisen.

Schritt 2: Geräte zuweisen

Weisen Sie in Apple Business Geräte Ihrem neuen MDM-Server (TestMDMServer oder wie auch immer Sie ihn benannt haben) zu. Details und Anweisungen finden Sie unter Zuweisen, Neuzuweisen oder Aufheben der Zuweisung von Geräten in Apple Business(öffnet das Apple Business-Benutzerhandbuch). Wenn Sie die Zuweisung von Geräten abgeschlossen haben, fahren Sie mit Schritt 3: Hochladen des MDM-Servertokens fort.

Schritt 3: Hochladen des MDM-Servertokens

Kehren Sie zum Microsoft Intune Admin Center zurück, um das MDM-Servertoken in Intune hochzuladen. Nachdem Sie das Token hochgeladen haben, kann Microsoft Intune iOS/iPadOS-Geräte, die TestMDMServer zugewiesen sind, synchronisieren und registrieren.

1. Geben Sie unter "Apple ID" die Apple-ID ein, die Sie zum Erstellen des Tokens verwendet haben.
2. Laden Sie für Apple-Token das zuvor gespeicherte Servertoken hoch. Die Datei muss das Format P7M aufweisen.
3. Wählen Sie Weiter aus.
4. Wenden Sie optional Bereichstags auf das Registrierungstoken an, um andere Administratoren daran zu hindern, darauf zuzugreifen oder Änderungen daran vorzunehmen. Weitere Informationen zu Bereichstags finden Sie unter Verwenden von rollenbasierten Zugriffssteuerungen (RBAC) und Bereichstags für verteilte IT.
5. Wählen Sie Weiter aus.
6. Wählen Sie unter Überprüfen + Erstellen die Option Erstellen aus, um die Verknüpfung von Microsoft Intune und Apple Business abzuschließen.

Microsoft Intune wird automatisch mit Apple Business synchronisiert. Es kann bis zu 12 Stunden dauern, bis Geräte im Admin Center angezeigt werden. Sie können warten, bis diese Geräte synchronisiert wurden, oder die Synchronisierung manuell starten. Um die Synchronisierung selbst zu starten, wählen Sie Ihr Token aus der Liste im Admin Center und dannGerätesynchronisierungaus>.

Schritt 4: Erstellen einer Apple-Registrierungsrichtlinie

Erstellen einer Registrierungsrichtlinie für unternehmenseigene iOS-/iPadOS-Geräte. Eine Geräteregistrierungsrichtlinie definiert die Einstellungen, die während der Registrierung auf eine Gruppe von Geräten angewendet werden.

1. Wählen Sie Ihr Token im Admin Center aus, und wählen Sie dann Registrierungsrichtlinien aus.

2. Wählen Sie Richtlinie> erstelleniOS/iPadOS aus.

3. Geben Sie auf der Seite GrundlagenTestPolicy für Name und Testen von ADE für iOS/iPadOS-Geräte für Beschreibung ein. Benutzer können diese Informationen nicht sehen.

4. Wählen Sie Weiter aus.

5. Wählen Sie auf der Registerkarte Gerätegruppe optional eine Microsoft Entra-Sicherheitsgruppe aus, die für die Gruppierung der Registrierungszeit verwendet werden soll. Die Gruppe wird direkt dieser Registrierungsrichtlinie zugeordnet und kann nach dem Erstellen der Richtlinie bearbeitet werden.

   Nur statische Microsoft Entra-Sicherheitsgruppen stehen zur Auswahl zur Verfügung. Um diese Einstellung zu konfigurieren, müssen Sie über die Berechtigung zur Zuweisung der Gerätemitgliedschaft zum Registrierungszeitpunkt in einer benutzerdefinierten RBAC-Rolle (unter Registrierungsprogramme) verfügen.

   Weitere Informationen zur Funktionsweise der Gruppierung von Registrierungszeiten finden Sie unter Gruppierung von Registrierungszeiten in Microsoft Intune.

6. Wählen Sie Weiter aus.

7. Legen Sie auf der Registerkarte Konfigurationseinstellungen fest, ob Ihre Geräte mit oder ohne Benutzeraffinität registriert werden sollen. „Benutzeraffinität“ ist für Geräte vorgesehen, die von bestimmten Benutzern verwendet werden. Wenn Ihre Benutzer das Unternehmensportal für Dienste wie das Installieren von Apps verwenden möchten, wählen Sie Mit Benutzeraffinität registrieren aus. Wenn Ihre Benutzer das Unternehmensportal nicht benötigen oder Sie das Gerät für viele Benutzer bereitstellen möchten, wählen Sie Ohne Benutzeraffinität registrieren aus.

   • Wenn Sie sich für die Registrierung mit Benutzeraffinität entschieden haben, wird die Option Wählen Sie aus, wo Benutzer sich authentifizieren müssen angezeigt. Entscheiden Sie, ob Sie sich mit dem Unternehmensportal oder dem Apple Setup Assistant (Legacy) oder dem Setup Assistenten mit moderner Authentifizierung authentifizieren möchten. Weitere Informationen zu Authentifizierungsmethoden finden Sie unter Authentifizierungsmethoden für die automatische Geräteregistrierung in Intune.

8. Wenn Sie die Registrierung mit Benutzeraffinität und die Authentifizierung über das Unternehmensportal ausgewählt haben, wird die Option Unternehmensportal mit VPP installieren angezeigt. Wenn Sie das Unternehmensportal mit einem VPP-Token installieren, muss Ihr Benutzer keine Apple-ID und kein Kennwort eingeben, um das Unternehmensportal während der Registrierung aus dem App Store herunterzuladen. Wählen Sie unter Unternehmensportal mit VPP installieren die Option Token verwenden aus, um ein VPP-Token auszuwählen, dem kostenlose Lizenzen des Unternehmensportals zur Verfügung stehen. Wenn Sie VPP zum Bereitstellen des Unternehmensportals nicht verwenden möchten, wählen Sie die Option VPP nicht verwenden aus.

   • Wenn Sie ausgewählt haben, dass Sie mit „Benutzeraffinität“, „Über das Unternehmensportal authentifizieren“ und „Unternehmensportal mit VPP installieren“ registrieren möchten, entscheiden Sie, ob Sie das Unternehmensportal bis zur Authentifizierung im Einzelanwendungsmodus ausführen möchten. Mit dieser Einstellung können Sie sicherstellen, dass der Benutzer erst dann Zugriff auf andere Apps hat, wenn er die Unternehmensregistrierung abgeschlossen hat. Wenn Sie den Benutzer bis zum Abschluss der Registrierung auf diesen Ablauf einschränken möchten, wählen Sie unter Unternehmensportal bis zur Authentifizierung im Einzelanwendungsmodus ausführen die Option Ja aus.

9. Wählen Sie unter "Gesperrte Registrierung" die Option "Ja" aus, um sicherzustellen, dass Ihre Benutzer die Geräteverwaltung nicht von ihrem Unternehmensgerät entfernen können.

10. Standardmäßig benennt Apple das Gerät mit dem Gerätetyp, z. B. iPad. Wenn Sie eine andere Namensvorlage bereitstellen möchten, wählen Sie unter Vorlage für Gerätenamen anwenden die Option Ja aus. Geben Sie den Namen ein, den Sie auf die Geräte anwenden möchten. Dabei stehen die Zeichenfolgen {{SERIAL}} und {{DEVICETYPE}} für die Seriennummer und den Gerätetyp jedes Geräts. Wählen Sie andernfalls unter Vorlage für Gerätenamen anwenden die Option Nein aus.

11. Geben Sie unter Setup-Assistent für AbteilungsnameTutorial department ein. Diese Zeichenfolge wird Benutzern angezeigt, wenn sie während der Geräteaktivierung auf About configuration (Informationen zur Konfiguration) tippen.

12. Geben Sie für Department Phone eine Telefonnummer ein. Diese Nummer wird angezeigt, wenn Benutzer während der Aktivierung auf Need help (Hilfe) tippen.

13. Während der Geräteaktivierung können Sie verschiedene Bildschirme ein- oder ausblenden . Um die nahtloseste Registrierung zu ermöglichen, legen Sie für alle Bildschirme Ausblenden fest.

14. Wählen Sie Weiter aus.

15. Überprüfen Sie die Richtlinieneinstellungen. Wählen Sie zum Speichern der Richtlinie die Option "Erstellen" aus.

Schritt 5: iOS/iPadOS-Geräten eine Registrierungsrichtlinie zuweisen

Sie müssen Geräten eine automatisierte Geräteregistrierungsrichtlinie zuweisen, bevor sie registriert werden können. Diese Geräte werden von Apple mit Intune synchronisiert und müssen dem richtigen MDM-Servertoken in Apple Business oder Apple School Manager zugewiesen werden.

1. Kehren Sie im Admin Center zu Registrierungsprogrammtoken zurück. Wählen Sie Ihr Token aus der Liste aus.
2. Wählen Sie Geräte und dann die Geräte aus, die Sie zuweisen möchten.
3. Wählen Sie Richtlinie zuweisen aus. Wählen Sie dann eine Richtlinie für die Geräte aus.
4. Wählen Sie Zuweisen aus.

Schritt 6: Verteilen von Geräten an Benutzer

Sie haben die Verwaltung und Synchronisierung zwischen Apple und Intune eingerichtet und eine Richtlinie zugewiesen, damit Ihre ADE-Geräte registriert werden können. Sie können jetzt Geräte an Benutzer verteilen. Für Geräte mit Benutzeraffinität muss jedem Benutzer eine Intune-Lizenz zugewiesen werden.

Zugehörige Konfigurationen

Zusätzlich zum Zuweisen von Geräten zu Ihrem MDM-Server und dem Erstellen einer Registrierungsrichtlinie können Sie optional die Einstellungen für die Apple-Zugriffsverwaltung in Apple Business (oder Apple School Manager) verwenden, um den Dienstzugriff für Apple-Konten auf Geräten zu konfigurieren, die der organization gehören. Microsoft Intune erzwingt diese Einstellungen nach der Registrierung. Weitere Informationen finden Sie unter Konfigurieren des Dienstzugriffs für Apple-Konten.