Einrichten der automatischen Geräteregistrierung für macOS

Gilt für macOS

In diesem Artikel wird beschrieben, wie Sie eine Registrierungsrichtlinie für die automatisierte Geräteregistrierung (Automated Device Enrollment, ADE) unter macOS in Microsoft Intune erstellen. Eine Übersicht über ADE und die erforderliche Einrichtung finden Sie unter Übersicht über die automatisierte Geräteregistrierung von Apple für macOS.

Voraussetzungen

Bei der Registrierung von macOS-Geräten mit ADE mit Benutzeraffinität und Setup-Assistent mit moderner Authentifizierung müssen sich Benutzer mit ihren Microsoft Entra-Anmeldeinformationen bei der Unternehmensportal-App anmelden, um die Geräteregistrierung in Microsoft Entra ID abzuschließen. Informationen zum Hinzufügen der Unternehmensportal-App zu macOS-Geräten finden Sie unter Hinzufügen der App "Unternehmensportal für macOS".

Um Microsoft Entra ID Single Sign-On (SSO) während des Setup-Assistenten verfügbar zu machen, erstellen Sie eine Plattform-SSO-Richtlinie, bevor Geräte registriert werden. Plattform-SSO-Richtlinien werden während der automatischen Geräteregistrierung (Automated Device Enrollment, ADE) für die Registrierung von macOS-Geräten bereitgestellt und ermöglichen Benutzern, sich während der Geräteeinrichtung mit den Anmeldeinformationen ihrer Organization anzumelden. Diese Konfiguration ermöglicht Benutzern nach der Registrierung den automatischen Zugriff auf Microsoft Entra-geschützte Apps und Ressourcen. Weitere Informationen finden Sie unter Konfigurieren von Plattform-SSO während der automatisierten Geräteregistrierung für macOS.

Erstellen einer Registrierungsrichtlinie

Erstellen Sie im Admin Center eine automatisierte Geräteregistrierungsrichtlinie. Die Richtlinie definiert die Registrierungserfahrung für die Mac-Geräte Ihrer Organization und erzwingt Registrierungsrichtlinien und -einstellungen auf Registrierungsgeräten. Die Richtlinie wird drahtlos auf zugewiesenen Geräten bereitgestellt.

Am Ende dieses Verfahrens können Sie diese Richtlinie Microsoft Entra-Gerätegruppen zuweisen.

1. Wechseln Sie im Microsoft Intune Admin Center zu Geräte.

2. Erweitern Sie " Geräteonboarding", und wählen Sie dann "Registrierung" aus.

3. Wählen Sie die Registerkarte macOS aus.

4. Wählen Sie unter Massenregistrierungsmethodendie Token des Registrierungsprogramms aus.

5. Wählen Sie ein Token für das Registrierungsprogramm aus.

6. Registrierungsrichtlinien> auswählenRichtlinie> erstellenmacOS.

   Wichtig

   Sie müssen Ihren Geräten eine Registrierungsrichtlinie zuweisen, bevor die Geräte aktiv werden. Es wird empfohlen, so bald wie möglich eine Standardregistrierungsrichtlinie festzulegen, damit Geräte, die von Apple Business oder Apple School Manager synchronisiert und dann aktiviert werden, ordnungsgemäß über die automatische Geräteregistrierung registriert werden können. Wenn einem Gerät, das Sie mit Apple synchronisiert haben, keine Registrierungsrichtlinie zugewiesen ist und es von einem anderen Benutzer zum Einrichten aktiviert wird, schlägt die Registrierung fehl.

7. Geben Sie unter "Grundlagen" einen Namen und eine Beschreibung für die Richtlinie ein, damit Sie sie von anderen Registrierungsrichtlinien unterscheiden können. Diese Details sind für Gerätebenutzer nicht sichtbar.

   Tipp

   Sie können das Namensfeld verwenden, um eine dynamische Gruppe in Microsoft Entra ID zu erstellen und Geräte automatisch der Registrierungsrichtlinie zuzuweisen. Verwenden Sie den Richtliniennamen, um den Parameter enrollmentProfileName zu definieren. Weitere Informationen finden Sie unter Dynamische Microsoft Entra-Gruppen.

8. Wählen Sie Weiter aus.

9. Wählen Sie auf der Registerkarte Gerätegruppe optional eine Microsoft Entra-Sicherheitsgruppe aus, die für die Gruppierung der Registrierungszeit verwendet werden soll. Die Gruppe wird direkt dieser Registrierungsrichtlinie zugeordnet und kann nach dem Erstellen der Richtlinie bearbeitet werden.

   Nur statische Microsoft Entra-Sicherheitsgruppen stehen zur Auswahl zur Verfügung. Um diese Einstellung zu konfigurieren, müssen Sie über die Berechtigung zur Zuweisung der Gerätemitgliedschaft zum Registrierungszeitpunkt in einer benutzerdefinierten RBAC-Rolle (unter Registrierungsprogramme) verfügen.

   Weitere Informationen zur Funktionsweise der Gruppierung von Registrierungszeiten finden Sie unter Gruppierung von Registrierungszeiten in Microsoft Intune.

10. Wählen Sie Weiter aus.

11. Konfigurieren Sie auf der Registerkarte Konfigurationseinstellungen die Benutzeraffinität. Die Benutzeraffinität bestimmt, ob Geräte mit oder ohne einen zugewiesenen Benutzer registriert werden. Ihre Optionen:

    • Registrieren ohne Benutzeraffinität: Registrieren Sie Geräte, die nicht einem einzelnen Benutzer zugeordnet sind. Wählen Sie diese Option für freigegebene Geräte und Geräte, die nicht auf lokale Benutzerdaten zugreifen müssen. Die Unternehmensportal-App funktioniert auf diesen Gerätetypen nicht. Die Registrierung ohne Benutzeraffinität wird auch als benutzerlose Registrierung bezeichnet.

    Wichtig

    Verwenden Sie keine PSSO-Konfigurationsprofile (Platform SSO), die die PSSO-Registrierung während des Setup-Assistenten auf benutzerlosen ADE-Geräten (Automated Device Enrollment) ermöglichen. Dies kann zu einem unerwarteten Registrierungsverhalten führen und dazu führen, dass das Gerät die erwartete Affinität verliert. Weitere Informationen finden Sie unter Konfigurieren von Plattform-SSO während der Registrierung

    • Mit Benutzeraffinität registrieren: Registrieren Sie Geräte, die einem zugewiesenen Benutzer zugeordnet sind. Wählen Sie diese Option für Arbeitsgeräte aus, die Benutzern gehören, und wenn Sie möchten, dass Benutzer über die Unternehmensportal-App verfügen, um Apps zu installieren. Mit dieser Option ist die mehrstufige Authentifizierung (MFA) verfügbar. Die Registrierung mit Benutzeraffinität wird auch als Registrierung bei einem Benutzer bezeichnet.

      Option 2 erfordert weitere Konfigurationen. Benutzer müssen sich vor der Registrierung authentifizieren, um ihre Identität zu bestätigen. Wählen Sie eine der folgenden Authentifizierungsmethoden aus:

      • Setup-Assistent mit moderner Authentifizierung (empfohlen): Bei dieser Methode müssen Benutzer alle Bildschirme des Setup-Assistenten ausfüllen und sich mit ihren Microsoft Entra-Anmeldeinformationen bei der Unternehmensportal-App anmelden, bevor sie auf Ressourcen zugreifen können. Nach der Anmeldung beim Unternehmensportal wird das Gerät:

        • Registriert sich bei Microsoft Entra ID.
        • Wird dem Gerätedatensatz des Benutzers in Microsoft Entra ID hinzugefügt.
        • Kann auf Gerätekonformität ausgewertet werden.
        • Erhält Zugriff auf Ressourcen, die durch bedingten Zugriff geschützt sind.

        Wenn sich der Benutzer nicht beim Unternehmensportal anmeldet, um die Registrierung abzuschließen, wird er jedes Mal, wenn er versucht, eine verwaltete App mit bedingtem Zugriffsschutz zu öffnen, zur Unternehmensportal-App umgeleitet.

        Geräte, auf denen macOS 10.15 und höher ausgeführt wird, können diese Methode verwenden. Ältere macOS-Geräte greifen auf die ältere Methode des Setup-Assistenten zurück. Weitere Informationen dazu, wie Sie die Unternehmensportal-App für Mac-Benutzer erhalten, finden Sie unter Hinzufügen der App "Unternehmensportal für macOS".

      Wichtig

      Wir empfehlen die Verwendung des Setup-Assistenten mit moderner Authentifizierung für Ihre Apple-Geräte für ADE-Szenarien (automatisierte Geräteregistrierung) mit Benutzer-Gerät-Affinität. Solange die Verwendung der Legacyauthentifizierung verfügbar bleibt, wird deren Verwendung nicht empfohlen.

      • Setup-Assistent (Legacy) (nicht mehr empfohlen): Verwenden Sie den Legacy-Setup-Assistenten, wenn Sie möchten, dass Benutzer die typische Out-of-Box-Erfahrung für Apple-Produkte erleben. Bei dieser Methode werden standardmäßige vorkonfigurierte Einstellungen installiert, wenn sich das Gerät bei der Intune-Verwaltung registriert. Wenn Sie Active Directory-Verbunddienste (AD FS) verwenden und zur Authentifizierung den Setup-Assistenten verwenden, ist der Endpunkt WS-Trust 1.3 Username/Mixed erforderlich. Weitere Informationen zum Abrufen des ADFS-Endpunkts finden Sie unter Get-ADfsEndpoint.

12. "Letzte Konfiguration warten" aktiviert eine gesperrte Oberfläche am Ende des Setup-Assistenten, um sicherzustellen, dass Ihre wichtigsten Gerätekonfigurationsrichtlinien auf dem Gerät installiert sind. Diese Einstellung wird einmal während der standardmäßigen automatisierten Geräteregistrierung von Apple im Setup-Assistenten angewendet. Der Gerätebenutzer erlebt es nicht wieder, es sei denn, er registriert seinen Mac erneut.

    Ihre Optionen:

    • Ja: Kurz bevor der Startbildschirm geladen wird, wird der Setup-Assistent angehalten und lässt Intune beim Gerät einchecken. Die Oberfläche für die Endbenutzer*innen wird gesperrt, während auf endgültige Konfigurationen gewartet wird. Diese Option ist die Standardkonfiguration für neue Registrierungsrichtlinien.

    • Nein: Auf dem Gerät wird unabhängig vom Status der Richtlinieninstallation der Startbildschirm angezeigt, nachdem der Setup-Assistent beendet wurde. Gerätebenutzer können möglicherweise auf den Startbildschirm zugreifen oder Geräteeinstellungen ändern, bevor alle Richtlinien installiert sind. Diese Option ist die Standardkonfiguration für vorhandene Registrierungsrichtlinien.

    Die Zeit, die Benutzer auf dem Bildschirm "Warten auf endgültige Konfiguration" festgehalten werden, variiert und hängt von der Gesamtzahl der Richtlinien und Apps ab, die Sie dem Gerät zuweisen. Benutzer können sehen, wie die Gerätekonfigurationsrichtlinien im Setup-Assistenten heruntergeladen werden, während sie warten. Je mehr Richtlinien und Apps zugewiesen sind, desto länger ist die Wartezeit. Der Setup-Assistent und Intune erzwingen während dieses Teils des Setups kein minimales oder maximales Zeitlimit. Während der Produktvalidierung wurden die meisten von uns getesteten Geräte freigegeben und konnten innerhalb von 15 Minuten auf den Startbildschirm zugreifen. Wenn Sie dieses Feature aktivieren und mit einem Microsoft-Partner oder einem Nicht-Microsoft-Dienst zusammenarbeiten, um Sie bei der Bereitstellung von Geräten zu unterstützen, informieren Sie die Benutzer über die mögliche Verlängerung der Bereitstellungszeit.

    Die Sperrung wird auf Macs mit macOS 10.11 oder höher unterstützt. Es funktioniert auf Macs, auf die neue oder vorhandene Registrierungsrichtlinien ausgerichtet sind, die für diese Szenarien eingerichtet wurden:

    • Registrierung über den Setup-Assistenten mit moderner Authentifizierung
    • Registrierung mit Setup-Assistent (Legacy)
    • Registrierung ohne Benutzer-Gerät-Affinität

13. Sie können eine gesperrte Registrierung erzwingen, um zu verhindern, dass Benutzer die Registrierung ihrer Geräte bei Intune aufheben. Wählen Sie "Ja " aus, um die Mac-Einstellungen unter "Systemeinstellungen" und "Terminal" zu deaktivieren, die es Benutzern ermöglichen, die Verwaltungsrichtlinie zu entfernen. Nachdem das Gerät registriert wurde, können Sie diese Einstellung nicht mehr ändern, ohne das Gerät zu löschen.

14. Konfigurieren Sie optional unter Kontoeinstellungen die lokalen Administrator- und Benutzerkonten auf Ziel-Macs.

    Wenn ein unterstütztes macOS-Gerät über eine ADE-Richtlinie (Automated Device Enrollment, automatische Geräteregistrierung), die den lokalen Administrator konfiguriert, bei Intune registriert wird, wird das Gerät für die lokale macOS-Kontokonfiguration mit der lokalen Microsoft-Administratorkennwortlösung (LAPS) aktiviert. Mit dieser Funktion erhalten neu registrierte Geräte ein eindeutiges lokales Administratorkonto mit einem starken, verschlüsselten und zufälligen Administratorkennwort (15 alphanumerische Zeichen), das ebenfalls von Intune gespeichert und verschlüsselt wird. Nach der Registrierung rotiert Intune ein von LAPS verwaltetes Administratorkennwort standardmäßig alle sechs Monate und unterstützt das Nachschlagen und manuelle Rotieren des Administratorkennworts durch Intune-Administratoren mit ausreichenden Berechtigungen.

    Informationen zum Konfigurieren und anschließenden Verwalten dieser Funktion finden Sie unter Einrichten der macOS-Kontokonfiguration mit LAPS.

    Die folgenden Einstellungen für das lokale Benutzerkonto werden auf Geräten unterstützt, auf denen macOS 12 oder höher ausgeführt wird. Beachten Sie beim Konfigurieren des primären Kontos, dass dieses Konto ein Administratorkonto sein wird. Das Einrichten von mindestens einem Administratorkonto ist eine Mac-Setup-Voraussetzung. Wenn Sie auch das lokale Administratorkennwort über diese Richtlinie konfigurieren, lesen Sie den Abschnitt "Lokales Administratorkonto" im Artikel Einrichten der macOS-Kontokonfiguration mit LAPS , und kehren Sie dann hierher zurück.

    Ihre Optionen:

    • Erstellen eines lokalen Benutzerkontos: Wählen Sie "Ja " aus, um lokale Benutzerkontoeinstellungen für Ziel-Macs zu konfigurieren. Wählen Sie "Nicht konfiguriert " aus, um alle Kontoeinstellungskonfigurationen zu überspringen.

    • Kontoinformationen vorab ausfüllen: Bei der Standardkonfiguration "Nicht konfiguriert" muss der Gerätebenutzer seinen Kontobenutzernamen und vollständigen Namen im Setup-Assistenten eingeben. Wenn Sie stattdessen die Kontoinformationen für sie vorab ausfüllen möchten, wählen Sie Ja aus. Geben Sie dann den primären Kontonamen und den vollständigen Namen ein:

    • Benutzername des lokalen Benutzerkontos:

      • {{serialNumber}} - z. B. F4KN99ZUG5V2
      • {{partialupn}} - zum Beispiel John
      • {{managedDeviceName}}: z. B. F2AL10ZUG4W2_14_4/15/2025_12:45PM
      • {{OnPremisesSamAccountName}}: z. B. contoso\John

    • Vollständiger Name des lokalen Benutzerkontos:

      • {{username}} - zum Beispiel John@contoso.com
      • {{serialNumber}} - z. B. F4KN99ZUG5V2
      • {{OnPremisesSamAccountName}}: z. B. contoso\John

    • Bearbeitung einschränken: Die Standardkonfiguration ist auf Ja festgelegt, sodass Gerätebenutzer den für sie konfigurierten Kontonamen und vollständigen Namen nicht bearbeiten können. Damit Gerätebenutzer den Kontonamen und den vollständigen Namen bearbeiten können, wählen Sie "Nicht konfiguriert" aus. Wenn Sie den Setup-Assistenten (Legacy) nur zum Registrieren von Geräten unter macOS 10.15 und höher verwenden, können Sie die folgende Endbenutzererfahrung erwarten:

      • Ja: Der Bildschirm zum Erstellen eines Kontos im Setup-Assistenten wird nie angezeigt. Stattdessen wird das lokale Benutzerkonto automatisch basierend auf den anderen Einstellungskonfigurationen erstellt, und das Kennwort wird automatisch über den Microsoft Entra-Authentifizierungsbildschirm ausgefüllt. Der Gerätebenutzer kann diese Felder nicht bearbeiten.
      • Nicht konfiguriert: Der Bildschirm "Lokales Benutzerkonto" wird dem Endbenutzer im Setup-Assistenten angezeigt und mit den konfigurierten Kontowerten und dem Kennwort aus dem Microsoft Entra-Authentifizierungsbildschirm ausgefüllt. Der Gerätebenutzer kann diese Felder während des Setup-Assistenten bearbeiten.

    Damit die Kontoeinstellungen ordnungsgemäß funktionieren, muss Ihre Registrierungsrichtlinie die folgenden Konfigurationen aufweisen:

    • Benutzeraffinität: Wählen Sie Mit Benutzeraffinität registrieren aus.
    • Authentifizierungsmethode: Wählen Sie den Setup-Assistenten mit moderner Authentifizierung oder den Setup-Assistenten (Legacy) aus.
    • Letzte Konfiguration warten: Wählen Sie Ja aus.

    Lokale Konten hängen von der Funktion "Endgültige Konfiguration warten" ab, wenn sie erstellt werden. Wenn Sie Einstellungen für lokale Administratoren oder Benutzerkonten konfigurieren, ist diese Einstellung daher immer aktiviert. Auch wenn Sie die Einstellung "Warten der endgültigen Konfiguration" nicht berühren, wird sie immer im Hintergrund aktiviert und auf die Registrierungsrichtlinie angewendet.

15. Konfigurieren Sie unter Setup-Assistent die Benutzeroberfläche des Setup-Assistenten.

    1. Geben Sie Ihre Abteilungsinformationen ein, damit Benutzer wissen, an wen sie sich wenden können, um Support zu erhalten:
       • Abteilungsname: Dieser Name wird angezeigt, wenn Gerätebenutzer während der Aktivierung "Info zur Konfiguration " auswählen.
       • Abteilungstelefon: Diese Telefonnummer wird angezeigt, wenn Gerätebenutzer während der Aktivierung "Hilfe benötigen " auswählen.
    2. Wählen Sie die Bildschirme des Setupassistenten aus, die während der Geräteeinrichtung ein- oder ausgeblendet werden sollen. Eine Beschreibung aller Bildschirme finden Sie in der Bildschirmreferenz zum Setup-Assistenten (in diesem Artikel). Ihre Optionen:
       • Ausblenden: Der Bildschirm wird Benutzern während der Geräteeinrichtung nicht angezeigt. Nach der Geräteeinrichtung kann der Benutzer zu seinen Geräteeinstellungen wechseln, um das Feature einzurichten.
       • Anzeigen: Der Bildschirm wird Benutzern während der Geräteeinrichtung angezeigt. Der Benutzer kann weiterhin Bildschirme überspringen, die keine sofortige Aktion erfordern. Nach der Geräteeinrichtung kann der Benutzer zu seinen Geräteeinstellungen wechseln, um das Feature einzurichten.

16. Wählen Sie Weiter aus.

17. Überprüfen Sie die Zusammenfassung der Änderungen, und wählen Sie dann "Erstellen " aus, um die Erstellung der Richtlinie abzuschließen.

Referenz zu den Bildschirmen des Setup-Assistenten

In der folgenden Tabelle werden die Bildschirme des Setup-Assistenten beschrieben, die während der automatischen Geräteregistrierung für Macs angezeigt werden. Sie können diese Bildschirme auf unterstützten Geräten während der Registrierung ein- oder ausblenden. Weitere Informationen dazu, wie sich die einzelnen Bildschirme des Setupassistenten auf die Benutzererfahrung auswirken, finden Sie in den folgenden Apple-Ressourcen:

• Bereitstellungshandbuch für die Apple-Plattform: Verwalten des Setup-Assistenten für Apple-Geräte
• Apple Entwicklerdokumentation: ShipKeys

Zuweisen einer Registrierungsrichtlinie zu Geräten

Weisen Sie macOS-Geräten eine Registrierungsrichtlinie zu.

1. Kehren Sie zu den Token des Registrierungsprogramms zurück, und wählen Sie ein Token aus.
2. Klicken Sie auf Geräte.
3. Wählen Sie Ihre Geräte aus der Liste aus, und wählen Sie dann Richtlinie zuweisen aus.
4. Wählen Sie eine Richtlinie aus, die Sie zuweisen möchten, und wählen Sie dann "Zuweisen" aus.

Optional können Sie eine Standardregistrierungsrichtlinie auswählen. Die Standardrichtlinie wird auf allen Registrierungsgeräten bereitgestellt, die dem Token zugeordnet sind.

1. Kehren Sie zu den Token des Registrierungsprogramms zurück, und wählen Sie ein Token aus.
2. Wählen Sie Standardrichtlinie festlegen aus.
3. Wählen Sie eine Richtlinie und dann Speichern aus.

Nächste Schritte

• Informationen zum Synchronisieren von Geräten, zum Verteilen von Geräten an Benutzer und zum Verwalten von Token finden Sie unter Verwalten von macOS ADE-Geräten und -Token.
• Informationen zum Erneuern oder Löschen Ihres Registrierungsprogramm-Tokens finden Sie unter Einrichten eines macOS ADE-Tokens.
• Verwenden Sie Remote Device Actions in Microsoft Intune, um registrierte Macs remote zu verwalten.