Configurar la inscripción automatizada de dispositivos para iOS/iPadOS

Se aplica a iOS/iPadOS

En este artículo se describe cómo crear una directiva de inscripción para la inscripción automatizada de dispositivos (ADE) de iOS/iPadOS en Microsoft Intune. Para obtener una descripción general de ADE y la configuración de requisitos previos, consulte Descripción general de la inscripción automatizada de dispositivos de Apple.

Requisitos previos

Configuraciones relacionadas

Si tu organización utiliza la gestión de acceso de Apple, puedes configurar opcionalmente los ajustes de gestión de acceso de Apple en Apple Business o Apple School Manager para controlar en qué dispositivos iOS/iPadOS propiedad de la organización pueden iniciar sesión los usuarios con cuentas de Apple y qué aplicaciones y servicios están disponibles. Estas opciones se configuran en Apple y Microsoft Intune las aplica después de la inscripción. No son necesarios para completar la configuración de ADE. Para obtener más información, consulte Configurar el acceso al servicio para cuentas de Apple.

Implementar la aplicación Portal de empresa

Al utilizar la inscripción automatizada de dispositivos (ADE), implemente la aplicación del Portal de empresa de Intune a través de Intune, no a través de la App Store. Implementar a través de Intune es la única manera de:

• Asegúrese de que todos los dispositivos ADE, incluidos los ya inscritos, reciban la aplicación.
• Habilitar las actualizaciones automáticas de aplicaciones para el Portal de empresa en dispositivos ADE.

Implementar el Portal de empresa como una aplicación VPP

Implemente la aplicación como una aplicación VPP necesaria con licencias de dispositivo. Para obtener información sobre cómo sincronizar, asignar y administrar una aplicación VPP, consulte Asignar una aplicación comprada por volumen.

Para habilitar las actualizaciones automáticas de aplicaciones para el Portal de empresa, vaya a la configuración del token de aplicación en el Centro de administración y cambie las actualizaciones automáticas de aplicaciones a Sí. Consulte Cargar un token de ubicación de Apple VPP o Apple Business para conocer los pasos para acceder a la configuración del token. Si no habilita las actualizaciones automáticas, el usuario del dispositivo debe buscarlas manualmente.

Preparar un dispositivo (transición de sin usuario a afinidad de usuario)

El almacenamiento provisional de dispositivos se usa para realizar la transición de un dispositivo sin afinidad del usuario a un dispositivo con afinidad del usuario. Para preparar un dispositivo, configure la implementación de VPP como se ha descrito anteriormente. A continuación, configure e implemente una directiva de configuración de aplicaciones. Asegúrese de que la directiva solo se dirige a aquellos dispositivos ADE sin afinidad de usuario.

Crear una directiva de inscripción de Apple

Cree una directiva de inscripción para la inscripción automatizada de dispositivos. Una directiva de inscripción de dispositivos define la configuración aplicada a un grupo de dispositivos durante la inscripción. Hay un límite de 1000 directivas de inscripción por token de inscripción.

1. En el Centro de administración de Microsoft Intune, vaya a Dispositivos.

2. Expanda Incorporación de dispositivos y, a continuación, seleccione Inscripción.

3. Seleccione la pestaña móvil de Apple .

4. Elija Tokens del programa de inscripción.

5. Elija un token y, a continuación, seleccione Directivas de inscripción.

6. Seleccione Crear directiva>iOS/iPadOS.

7. Para Conceptos básicos, asigne a la directiva un nombre y una descripción para fines administrativos. Los usuarios no ven estos detalles.

8. Seleccione Siguiente.

   Importante

   Debe asignar una directiva de inscripción a los dispositivos antes de que se activen. Recomendamos que establezcas una política de inscripción predeterminada lo antes posible para que, cuando los dispositivos se sincronicen desde Apple Business o Apple School Manager, y luego se enciendan, puedan inscribirse correctamente a través de la inscripción automatizada de dispositivos. Si un dispositivo que sincronizó desde Apple no tiene asignada una directiva de inscripción y alguien la activa para configurarla, se produce un error en la inscripción.

   Importante

   Si realiza cambios en una directiva de inscripción existente, la nueva configuración no surtirá efecto en los dispositivos asignados hasta que los dispositivos se restablezcan a la configuración de fábrica y se vuelvan a activar. La configuración de la plantilla de nombre de dispositivo es la única configuración que puede cambiar que no requiere un restablecimiento de fábrica para que surta efecto. Los cambios en la plantilla de nomenclatura entrarán en vigor en la siguiente comprobación.

9. En la pestaña Grupo de dispositivos, opcionalmente, seleccione un grupo de seguridad de Microsoft Entra que se usará para la agrupación del tiempo de inscripción. El grupo se asigna directamente a esta directiva de inscripción y puede editarlo después de crear la directiva.

   Solo se pueden seleccionar grupos de seguridad estáticos de Microsoft Entra. Para configurar esta configuración, debe tener el permiso de asignación de pertenencia a dispositivos de hora de inscripción en un rol RBAC personalizado (en Programas de inscripción).

   Para obtener más información acerca del funcionamiento de la agrupación del tiempo de inscripción, consulte Agrupación del tiempo de inscripción en Microsoft Intune.

10. Seleccione Siguiente.

11. En la pestaña Opciones de configuración , configura Afinidad de usuario. La afinidad de usuario determina si los dispositivos se inscriben con o sin un usuario asignado. Las opciones son:

    • Inscribirse con afinidad de usuario: seleccione esta opción para dispositivos que pertenecen a usuarios que desean utilizar el Portal de empresa para servicios como la instalación de aplicaciones. La inscripción con afinidad de usuario también se conoce como inscripción con un usuario.

    • Inscribir sin afinidad de usuario: seleccione esta opción para dispositivos que no están afiliados a un solo usuario. Use esta opción para los dispositivos que no tengan acceso a los datos de usuario local. Esta opción suele utilizarse para dispositivos de pantalla completa, de punto de venta (POS) o de utilidades compartidas. La inscripción sin afinidad del usuario también se conoce como inscripción sin usuario.

      En algunas situaciones, es posible que desee asociar un usuario principal con dispositivos inscritos sin afinidad de usuario. Para realizar esta tarea, puede enviar la clave IntuneUDAUserlessDevice a la aplicación Portal de empresa en una directiva de configuración de aplicaciones para dispositivos administrados. El primer usuario que inicia sesión en la aplicación Portal de empresa se establece como el usuario primario. Si el primer usuario cierra sesión y un segundo usuario inicia sesión, aquel sigue siendo el usuario principal del dispositivo. Para obtener más información, vea Configuración de la aplicación Portal de empresa para admitir dispositivos iOS y iPadOS inscritos con Inscripción de dispositivo automatizada.

    • Inscribirse con Microsoft Entra ID Modo compartido: seleccione esta opción para inscribir dispositivos que estarán en modo compartido.

12. Si seleccionó Inscribir con afinidad de usuario para el campo Afinidad de usuario , tiene la opción de elegir el método de autenticación que deben usar los empleados. Para obtener más información acerca de cada método de autenticación, consulte Métodos de autenticación para la inscripción automatizada de dispositivos.

    Las opciones son:

    • Portal de empresa
    • Asistente para la instalación con autenticación moderna

    Importante

    Se recomienda usar el Asistente para la configuración con autenticación moderna para los dispositivos Apple en escenarios de ADE (inscripción automatizada de dispositivos) con afinidad de usuario-dispositivo. Aunque el uso de la autenticación heredada sigue estando disponible, no se recomienda su uso.

13. Si seleccionó el Asistente para la configuración (heredado) para el método de autenticación, pero también desea usar el acceso condicional o implementar aplicaciones de la empresa en los dispositivos, debe instalar el Portal de empresa en los dispositivos e iniciar sesión para completar el registro de Microsoft Entra. Para ello, seleccione Sí para Instalar Portal de empresa. Si desea que los usuarios reciban el Portal de empresa sin tener que autenticarse en la App Store, en Instalar el Portal de empresa con VPP, seleccione un token VPP. Asegúrese de que el token no expira y de que dispone de suficientes licencias de dispositivos para que la aplicación Portal de empresa se implemente correctamente.

14. Si selecciona un token para Instalar Portal de empresa con VPP, puede bloquear el dispositivo en modo Una aplicación (en concreto, la aplicación Portal de empresa) inmediatamente después de que finalice el Asistente de configuración. Haga clic en Sí en Ejecutar el Portal de empresa en modo de aplicación única hasta la autenticación para establecer esta opción. Para usar el dispositivo, el usuario debe autenticarse primero iniciando sesión en el Portal de empresa.

    Nota:

    No se admite la autenticación multifactor en un único dispositivo bloqueado en modo Una aplicación. Esta limitación existe porque el dispositivo no puede cambiar a otra aplicación para completar el segundo factor de autenticación. Si quiere usar la autenticación multifactor en un dispositivo en modo Una aplicación, el segundo factor debe estar en un dispositivo diferente.

    Esta característica solo es compatible con iOS/iPadOS 11.3.1 y versiones posteriores.

    

15. Si desea que los dispositivos que usan esta directiva sean supervisados, seleccione Sí en la lista Supervisados .

    Los dispositivos supervisados ofrecen más opciones de administración y, en este caso, el bloqueo de activación está deshabilitado de forma predeterminada. Le recomendamos que use ADE como mecanismo para habilitar el modo supervisado, especialmente si va a implementar un gran número de dispositivos iOS/iPadOS. Los dispositivos iPad empresariales compartidos de Apple deben supervisarse.

    Se notifica a los usuarios que sus dispositivos están supervisados en la aplicación Configuración . En la aplicación en la parte superior de su pantalla, un mensaje estático les dice que este iPhone está supervisado y administrado por <your organization>.

    Nota:

    Si un dispositivo se inscribe sin supervisión, debe usar Apple Configurator si quiere establecerlo como supervisado. Para restablecer el dispositivo de esta manera, debe conectarlo a un equipo Mac con un cable USB. Para obtener más información, vea Ayuda de Apple Configurator.

16. En Inscripción bloqueada, seleccione Sí o No. La inscripción bloqueada deshabilita la configuración de iOS/iPadOS que permite quitar el perfil de administración. Si habilita la inscripción bloqueada, el botón de la aplicación Configuración que permite a los usuarios quitar un perfil de administración estará oculto y los usuarios no podrán anular la inscripción de su dispositivo. Si está configurando dispositivos en el modo compartido de Microsoft Entra ID, seleccione Sí.

    La inscripción bloqueada funciona de manera un poco diferente, al principio, en dispositivos que no se compraron originalmente a través de Apple Business pero que luego se agregaron para ser parte de la inscripción automatizada de dispositivos: los usuarios de estos dispositivos pueden ver el botón quitar administración en la aplicación Configuración durante los primeros 30 días después de activar su dispositivo. Después de ese período provisional, esta opción está oculta. Para obtener más información, consulte Preparar dispositivos manualmente (abre los documentos de ayuda del configurador de Apple).

    Importante

    Esta configuración es diferente de las opciones quitar y restablecer de la aplicación Portal de empresa. Independientemente de cómo configure la inscripción bloqueada, las opciones Quitar dispositivo o Restablecimiento de fábrica de la aplicación del Portal de empresa siguen sin estar disponibles en los dispositivos inscritos a través de la inscripción automatizada de dispositivos. Los usuarios tampoco podrán quitar el dispositivo en el sitio web del Portal de empresa. Para obtener más información acerca de las acciones de autoservicio disponibles en los dispositivos inscritos, consulte Acciones de autoservicio.

17. Si ha seleccionado Inscribir sin afinidad de usuario y Supervisado en los pasos anteriores, debe decidir si quiere configurar los dispositivos para que sean dispositivos iPad empresariales compartidos de Apple. Seleccione Sí para iPad compartido para permitir que varios usuarios inicien sesión en un único dispositivo. Los usuarios se autentican mediante el uso de sus ID de Apple administrados y cuentas de autenticación federadas o mediante una sesión temporal (como la cuenta de invitado). Esta opción requiere iOS/iPadOS 13.4 o una versión posterior. Con iPad compartido, se omiten automáticamente todos los paneles del asistente de configuración después de la activación.

    Nota:

    • Se requerirá un borrado del dispositivo si se envía una directiva de inscripción de iOS/iPadOS con iPad compartido habilitado a un dispositivo no compatible. Entre los dispositivos no compatibles se incluyen los modelos de iPhone y los iPad que ejecutan iPadOS/iOS 13.3 y versiones anteriores. Los dispositivos compatibles incluyen iPad que ejecutan iPadOS 13.3 y versiones posteriores.
    • Para configurar un dispositivo como iPad empresarial compartido de Apple, establezca los siguientes valores:
      • En la lista Afinidad de usuario, seleccione Inscribir sin afinidad de usuario.
      • En la lista Supervisado, seleccione Sí.
      • En la lista iPad compartido, seleccione Sí.

    Si configura iPad compartido de Apple para dispositivos empresariales, también configurará:

    • Número máximo de usuarios almacenados en la caché: escriba el número de usuarios que espera que usen el iPad compartido. Puede almacenar en caché hasta 24 usuarios en un dispositivo de 32 o 64 GB. Si elige un número bajo, es posible que los datos del usuario tarden un tiempo en llegar al dispositivo después del inicio de sesión. Si elige un número alto, los usuarios podrían quedarse sin espacio en disco.

    • Número máximo de segundos después del bloqueo de pantalla antes de que se requiera la contraseña: escriba la cantidad de tiempo en segundos. Los valores aceptados incluyen: 0, 60, 300, 900, 3600 y 14400. Si el bloqueo de pantalla supera esta cantidad de tiempo, se requiere una contraseña del dispositivo para desbloquear el dispositivo. Disponible para dispositivos en modo iPad compartido que ejecuten iPadOS 13.0 y versiones posteriores.

    • Número máximo de segundos de inactividad hasta que se cierre la sesión de usuario: El valor mínimo permitido para esta configuración es 30. Si no hay actividad después del período definido, la sesión de usuario finaliza y cierra la sesión del usuario. Si deja la entrada en blanco o la establece en cero (0), la sesión nunca finalizará debido a inactividad. Disponible para dispositivos en modo iPad compartido que ejecuten iPadOS 14.5 y versiones posteriores.

    • Requerir solo la sesión temporal de iPad compartido: Configura el dispositivo para que los usuarios solo puedan ver la versión de invitado de la experiencia de inicio de sesión y tengan que iniciar sesión como invitados. No pueden iniciar sesión con un Id. de Apple administrado. Disponible para dispositivos en modo iPad compartido que ejecuten iPadOS 14.5 y versiones posteriores.

      Cuando se establece en Sí, esta configuración cancela las siguientes opciones de configuración compartidas del iPad, ya que no son aplicables en sesiones temporales:

      • Número máximo de usuarios almacenados en caché
      • Número máximo de segundos tras bloqueo de pantalla antes de solicitar la contraseña
      • Número máximo de segundos de inactividad hasta que la sesión de usuario se cierra

    • Número máximo de segundos de inactividad hasta que se cierre la sesión temporal: El valor mínimo permitido para esta configuración es 30. Si no hay actividad después del período definido, la sesión temporal finaliza y el usuario cierra la sesión. Si deja la entrada en blanco o la establece en cero (0), la sesión nunca finalizará debido a inactividad. Disponible para dispositivos en modo iPad compartido que ejecuten iPadOS 14.5 y versiones posteriores.

      Esta configuración está disponible cuando Requerir solo sesión temporal de iPad compartido se establece en Sí.

    Nota:

    • Si las sesiones temporales están habilitadas, todos los datos del usuario se eliminan al cerrar sesión. Esto significa que todas las directivas y aplicaciones dirigidas llegarán al usuario cuando inicien sesión y se borrarán cuando cierre sesión.
    • Para modificar una configuración de iPads compartidos para que no tenga sesiones temporales, el dispositivo deberá restablecerse por completo y se deberá enviar una nueva directiva de inscripción con las configuraciones actualizadas al iPad.

18. Para la configuración final de Await, las opciones son:

    • Sí: habilite una experiencia bloqueada al final del asistente de configuración para asegurarse de que las directivas de configuración de dispositivo más críticas están instaladas en el dispositivo. Justo antes de que se cargue la pantalla principal, el Asistente para configuración se detiene y permite que Intune se registre con el dispositivo. La experiencia del usuario final se bloquea mientras los usuarios esperan las configuraciones finales.

      La cantidad de tiempo que los usuarios permanecen en la pantalla En espera de la configuración final varía y depende del número total de directivas y aplicaciones que aplique al dispositivo. Cuantas más directivas y aplicaciones se asignen al dispositivo, mayor será el tiempo de espera. El Asistente para la configuración y Microsoft Intune no aplican un límite de tiempo mínimo o máximo durante esta parte de la instalación. Durante la validación del producto, la mayoría de los dispositivos que probamos se liberaron y pudieron acceder a la pantalla de inicio en 15 minutos. Si habilita esta característica y usa a alguien ajeno a Microsoft para que le ayude a aprovisionar dispositivos, infórmele sobre la posibilidad de que aumente el tiempo de aprovisionamiento.

      Nota:

      Solo las directivas de configuración de dispositivos se inician durante la pantalla de configuración final en espera y las aplicaciones no se incluyen en ella.

      La experiencia bloqueada funciona en dispositivos destinados a directivas de inscripción nuevas y existentes. Los dispositivos compatibles incluyen:

      • Dispositivos iOS/iPadOS 13 y versiones posteriores que se inscriben con el Asistente para la configuración con autenticación moderna
      • Dispositivos iOS/iPadOS 13 y versiones posteriores que se inscriben sin afinidad del usuario
      • Dispositivos iOS/iPadOS 13 y posteriores que se inscriben con el modo compartido de Microsoft Entra ID

      Esta configuración se aplica una vez durante la experiencia de inscripción automatizada de dispositivos lista para usar en el Asistente para la configuración. El usuario del dispositivo no lo vuelve a experimentar a menos que vuelva a inscribir su dispositivo. Sí es la configuración predeterminada para las nuevas directivas de inscripción.

    • No: el dispositivo se libera en la pantalla principal cuando finaliza el Asistente para la configuración, independientemente del estado de instalación de la directiva. Es posible que los usuarios del dispositivo puedan acceder a la pantalla de inicio o cambiar su configuración antes de instalar todas las directivas. No es la configuración predeterminada para las directivas de inscripción existentes

    La opción de configuración en espera no está disponible en las directivas con esta combinación de configuraciones:

    • Afinidad de usuario: Inscribir sin afinidad de usuario (Paso 6 de esta sección)
    • iPad compartido: sí (paso 12 de esta sección)

19. Opcionalmente, cree una plantilla de nombre de dispositivo para identificar rápidamente los dispositivos asignados a esta directiva en el Centro de administración. Intune usa su plantilla para crear y dar formato a los nombres de dispositivo. Los nombres se dan a los dispositivos cuando se inscriben y en cada registro sucesivo. Para crear una plantilla:

20. En Aplicar plantilla de nombre de dispositivo, seleccione Sí .

21. En el cuadro Plantilla de nombre de dispositivo , escriba la plantilla que desea usar para crear nombres de dispositivos. La plantilla puede incluir el tipo de dispositivo y el número de serie. No puede contener más de 63 caracteres, incluidas las variables. Ejemplo: {{DEVICETYPE}}-{{SERIAL}}

22. Puede activar un plan de datos móviles. Este ajuste se aplica a los dispositivos con iOS/iPadOS 13.0 y posteriores. Al configurar esta opción, se envía un comando para activar planes de datos móviles para los dispositivos móviles habilitados para eSim. El operador debe aprovisionar activaciones para los dispositivos antes de poder activar planes de datos con este comando. Para activar un plan de datos móviles, selecciona Sí y, a continuación, escribe la URL del servidor de activación de tu operador.

23. En Asistente para la configuración, configure las siguientes opciones de directiva:

    Opción de configuración	Descripción
    Departamento	Aparece cuando los usuarios pulsan Acerca de la configuración durante la activación.
    Teléfono del departamento	Aparece cuando los usuarios pulsan el botón Necesito ayuda durante la activación.

    Puede ocultar las pantallas del Asistente para la configuración en el dispositivo durante la configuración del usuario. Para obtener una descripción de todas las pantallas, consulte la referencia de pantalla del Asistente para la configuración (en este artículo).

    • Si seleccionas Ocultar, la pantalla no se mostrará durante la configuración. Después de configurar el dispositivo, el usuario seguirá teniendo la posibilidad de ir al menú Ajustes para configurar la característica.
    • Si selecciona Mostrar, la pantalla se mostrará durante la instalación, pero solo si hay pasos que completar después de la restauración o después de la actualización de software. Los usuarios pueden omitir la pantalla sin realizar ninguna acción. Posteriormente podrán ir al menú Ajustes del dispositivo para configurar la característica.
    • Con iPad compartido, se omiten automáticamente todos los paneles del asistente de configuración después de la activación independientemente de la configuración.

24. Seleccione Siguiente.

25. Para guardar la directiva, seleccione Crear.

Grupos dinámicos en Microsoft Entra ID

Puede utilizar el campo Nombre de inscripción para crear un grupo dinámico en Microsoft Entra ID. Para obtener más información, consulte Grupos dinámicos de Microsoft Entra.

Puede usar el nombre de la directiva para definir el parámetro enrollmentProfileName para asignar dispositivos con esta directiva de inscripción.

Antes de configurar el dispositivo, y para garantizar una entrega rápida a los dispositivos con afinidad de usuario, asegúrese de que el usuario que lo inscribe es miembro de un grupo de usuarios de Microsoft Entra.

Si asigna grupos dinámicos a directivas de inscripción, es posible que haya un retraso en la entrega de aplicaciones y directivas a los dispositivos después de la inscripción.

Referencia de pantalla del Asistente para la configuración

En la tabla siguiente se describen las pantallas del Asistente para configuración que se muestran durante la inscripción automatizada de dispositivos para iOS/iPadOS. Puede mostrar u ocultar estas pantallas en los dispositivos compatibles durante la inscripción. Para obtener más información sobre cómo afecta cada pantalla del Asistente de configuración a la experiencia del usuario, consulte estos recursos de Apple:

• Guía de implementación de la plataforma de Apple: Administrar el Asistente de configuración para dispositivos Apple
• Documentación para desarrolladores de Apple: SkipKeys

Asignar una directiva de inscripción a dispositivos

Antes de inscribir los dispositivos, debe asignarles una directiva de inscripción.

1. En el Centro de administración de Microsoft Intune, vaya a Dispositivos.
2. Expanda Incorporación de dispositivos y, a continuación, seleccione Inscripción.
3. Seleccione la pestaña móvil de Apple .
4. Elija Tokens del programa de inscripción.
5. Seleccione un token de inscripción.
6. Seleccione Dispositivos.
7. Seleccione todos los dispositivos que quiera asignar y luego seleccione Asignar directiva.
8. En Asignar directiva, elija la directiva de inscripción de dispositivos automatizada que creó para los dispositivos y, a continuación, seleccione Asignar.

Asignar una directiva predeterminada

Puede elegir una directiva predeterminada para que se aplique a todos los dispositivos que se inscriban con un token específico.

1. En el centro de administración, vuelva a Tokens del programa de inscripción.
2. Seleccione un token de inscripción.
3. Seleccione Establecer directiva predeterminada.
4. Seleccione una directiva de la lista y, a continuación, seleccione Guardar. Desde aquí, Intune aplica la directiva a todos los dispositivos que se inscriben con el token de inscripción seleccionado.

Limitaciones

Estas pantallas del asistente de configuración no funcionan correctamente en los dispositivos que ejecutan iOS/iPadOS 14.5 y versiones posteriores:

• Código de acceso
  • Touch ID y Face ID

Oculta ambas pantallas en dispositivos que ejecutan iOS/iPadOS 14.5 y versiones posteriores. Si desea requerir códigos de acceso en esos dispositivos, cree una directiva de configuración de dispositivos o una directiva de cumplimiento con requisitos de código de acceso. Una vez que el usuario se inscribe y recibe la directiva, el requisito de código de acceso surte efecto.

Pasos siguientes

• Para sincronizar dispositivos, asignar directivas de inscripción y distribuir dispositivos a usuarios, consulte Administrar dispositivos ADE.
• Para renovar o eliminar el token del programa de inscripción, consulte Configuración de un token de ADE.
• Para solucionar problemas, consulte Solución de problemas de inscripción de dispositivos iOS/iPadOS.