Guida alla distribuzione: gestire i dispositivi macOS in Microsoft Intune

Proteggere l'accesso alla posta elettronica, ai dati e alle app aziendali nei dispositivi macOS. Questo articolo illustra alcune attività specifiche di macOS per abilitare la gestione di dispositivi mobili Intune per macOS, configurare i criteri e distribuire le app.

Prerequisiti

Completare i prerequisiti seguenti per abilitare la gestione dei dispositivi macOS in Intune:

È consigliabile usare il ruolo con privilegi minimi necessario per completare le attività. Ad esempio, il ruolo con privilegi minimi che può completare le attività di registrazione dei dispositivi è il ruolo predefinito di Intune Gestione criteri e profili.

Per altre informazioni sui ruoli predefiniti e sulle operazioni che possono eseguire, vedere Controllo di accesso in base ai ruoli con Intune e Autorizzazioni dei ruoli predefinite per Intune.

Per informazioni più dettagliate su come eseguire la configurazione iniziale, l'onboarding o il passaggio a Microsoft Intune, vedere la guida alla distribuzione della configurazione Intune.

Pianificare la distribuzione

Usare la guida alla pianificazione di Microsoft Intune per definire gli obiettivi, gli scenari di utilizzo e i requisiti di gestione dei dispositivi. Sarà anche utile per pianificare l'implementazione, la comunicazione, il supporto, i test e la convalida. Ad esempio, poiché l'app Portale aziendale per macOS non è disponibile nell'App Store, è consigliabile avere un piano di comunicazione in modo che gli utenti sappiano come installare il Portale aziendale e registrare i propri dispositivi.

Registrare i dispositivi

Configurare i metodi e l'esperienza di registrazione per i dispositivi macOS di proprietà dell'azienda e personali. Questo passaggio garantisce che i dispositivi ricevano i criteri e le configurazioni di Intune dopo la registrazione. Intune supporta la registrazione BYOD (Bring Your Own Device), la registrazione automatizzata dei dispositivi Apple e la registrazione diretta per i dispositivi aziendali. Per informazioni su ogni metodo di registrazione e su come scegliere quello giusto per la tua organizzazione, vedi la guida alla registrazione dei dispositivi macOS per Microsoft Intune.

Attività Dettagli
Configurare la registrazione per i dispositivi di proprietà dell'utente (BYOD) Completare i prerequisiti in questo articolo per abilitare la registrazione per i dispositivi di proprietà dell'utente. Troverai anche risorse di registrazione e collegamenti da condividere con gli utenti del dispositivo in modo che siano supportati durante l'esperienza di registrazione. Questo metodo di registrazione è destinato alle organizzazioni con criteri BYOD ( Bring Your Own Device ). Il BYOD consente alle persone di utilizzare i propri dispositivi personali per attività legate al lavoro.
Configurare la registrazione automatica dei dispositivi Apple (ADE) Configura un'esperienza di registrazione predefinita che automatizza la registrazione sui dispositivi di proprietà dell'azienda acquistati tramite Apple School Manager o Apple Business. Questo metodo è ideale per le organizzazioni che hanno un numero elevato di dispositivi da registrare, perché elimina la necessità di toccare e configurare ogni dispositivo singolarmente.

Quando si usano i criteri di registrazione ADE macOS, è consigliabile configurare la configurazione dell'account macOS con LAPS per consentire ai dispositivi appena registrati di avere un account amministratore locale e standard e una password amministratore crittografata che è possibile gestire con Intune.
Configurare la registrazione diretta per i dispositivi aziendali Configura un'esperienza di registrazione per i dispositivi di proprietà dell'azienda che non sono affiliati a un singolo utente, ad esempio i dispositivi usati in uno spazio condiviso o in un ambiente di vendita al dettaglio. La registrazione diretta non cancella i dati del dispositivo, quindi è ideale da usare quando i dispositivi non devono accedere ai dati degli utenti locali. Dovrai trasferire il profilo di registrazione direttamente sul Mac, il che richiede una connessione USB a un computer Mac su cui è in esecuzione Apple Configurator.
Aggiungere un responsabile della registrazione dei dispositivi People designati come responsabili della registrazione dei dispositivi (DEM) possono registrare fino a 1.000 dispositivi mobili di proprietà dell'azienda alla volta. Gli account DEM sono utili nelle organizzazioni che registrano e preparano i dispositivi prima di distribuirli agli utenti.
Identificare i dispositivi di proprietà dell'azienda È possibile assegnare lo stato di proprietà dell'azienda ai dispositivi per abilitare maggiori funzionalità di gestione e identificazione in Intune. Lo stato di proprietà dell'azienda non può essere assegnato ai dispositivi registrati tramite Apple Business.
Modificare la proprietà del dispositivo Dopo aver registrato un dispositivo, è possibile modificarne l'etichetta di proprietà in Intune in proprietà aziendale o personale. Questa modifica il modo in cui è possibile gestire il dispositivo.
Risolvere i problemi di registrazione Risolvere e trovare le soluzioni ai problemi che si verificano durante la registrazione.

Creare regole di conformità

Crea criteri di conformità per definire le regole e le condizioni che utenti e dispositivi devono soddisfare per accedere alle risorse protette. In questo modo puoi assicurarti che i dispositivi che accedono ai tuoi dati soddisfino i tuoi standard. Intune contrassegna i dispositivi che non soddisfano i requisiti dell'utente come non conformi e interviene (ad esempio l'invio di una notifica all'utente, la limitazione dell'accesso o la cancellazione del dispositivo) in base alle configurazioni.

Se crei un criterio di accesso condizionale, questo può funzionare insieme ai risultati di conformità dei dispositivi per bloccare l'accesso alle risorse dai dispositivi non conformi. Per una spiegazione dettagliata sui criteri di conformità e su come iniziare, vedere Usare i criteri di conformità per impostare le regole per i dispositivi gestiti con Intune.

Attività Dettagli
Creare i criteri di conformità Istruzioni dettagliate su come creare e assegnare criteri di conformità a gruppi di utenti e dispositivi.
Aggiungere azioni per la mancata conformità Scegliere cosa accade quando i dispositivi non soddisfano più le condizioni dei criteri di conformità. È possibile aggiungere azioni per la non conformità quando si configurano un criterio di conformità dei dispositivi o in un secondo momento modificando il criterio.
Creare un criterio di accesso condizionale basato su dispositivo o su app Specificare l'app o i servizi da proteggere e definire le condizioni per l'accesso.
Bloccare l'accesso alle app che non usano l'autenticazione moderna Creare criteri di accesso condizionale basati su app per bloccare le app che usano metodi di autenticazione diversi da OAuth2, ad esempio le app che usano l'autenticazione di base e basata su modulo. Prima di bloccare l'accesso, tuttavia, accedere a Microsoft Entra ID ed esaminare il report Attività metodi di autenticazione per verificare se gli utenti usano l'autenticazione di base per accedere a elementi essenziali dimenticati o di cui non si è a conoscenza. Ad esempio, elementi come i chioschi del calendario della sala riunioni usano l'autenticazione di base.

Configurare le impostazioni del dispositivo

Usa Microsoft Intune per abilitare o disabilitare impostazioni e funzionalità nei dispositivi macOS utilizzati per il lavoro. Per configurare e applicare queste impostazioni, creare un profilo di configurazione del dispositivo e quindi assegnare il profilo ai gruppi dell'organizzazione.

Attività Dettagli
Creare un profilo di dispositivo in Microsoft Intune Informazioni sui diversi tipi di profili di dispositivo che è possibile creare per l'organizzazione.
Configurare le funzionalità del dispositivo Configurare le caratteristiche e le funzionalità comuni di macOS. Per una descrizione delle impostazioni in questa area, vedere le informazioni di riferimento sulle funzionalità del dispositivo .
Configurare il profilo Wi-Fi Questo profilo consente alle persone di trovare e connettersi alla rete Wi-Fi dell'organizzazione. Per una descrizione delle impostazioni in quest'area, vedi la guida di riferimento alle impostazioni Wi-Fi.
Configurare il profilo di rete cablata Questo profilo consente agli utenti di computer desktop di connettersi alla rete cablata dell'organizzazione. Per una descrizione delle impostazioni in quest'area, vedere le informazioni di riferimento sulla rete cablata.
Configurare il profilo VPN Configurare un'opzione VPN sicura, ad esempio Microsoft Tunnel, per le persone che si connettono alla rete dell'organizzazione. Per una descrizione delle impostazioni in quest'area, vedere il riferimento alle impostazioni VPN.
Limitare le funzionalità del dispositivo Proteggi gli utenti da accessi non autorizzati e distrazioni limitando le funzionalità dei dispositivi che possono usare al lavoro o a scuola. Per una descrizione delle impostazioni in quest'area, vedi il riferimento alle restrizioni del dispositivo.
Configurare profili personalizzati Aggiungere e assegnare le impostazioni e le funzionalità del dispositivo che non sono integrate in Intune.
Aggiungere e gestire le estensioni macOS Aggiungere estensioni del kernel ed estensioni di sistema, che consentono agli utenti di installare estensioni delle app che estendono le funzionalità native del sistema operativo. Per una descrizione delle impostazioni in quest'area, vedere il riferimento alle estensioni di macOS.
Personalizzare l'esperienza di personalizzazione e registrazione Personalizza l'esperienza dell'app Portale aziendale Intune e Microsoft Intune con le parole, la personalizzazione, le preferenze dello schermo e le informazioni di contatto dell'organizzazione.

Configurare la sicurezza degli endpoint

Usare le funzionalità di sicurezza degli endpoint di Intune per configurare la sicurezza dei dispositivi e gestire le attività di sicurezza per i dispositivi a rischio.

Attività Dettagli
Gestire i dispositivi con le funzionalità di sicurezza degli endpoint Usare le impostazioni di sicurezza degli endpoint in Intune per gestire in modo efficace la sicurezza dei dispositivi e correggere i problemi per i dispositivi.
Usare Accesso condizionale per limitare l'accesso a Microsoft Tunnel Usare i criteri di accesso condizionale per controllare l'accesso del dispositivo al gateway VPN di Microsoft Tunnel.
Aggiungere le impostazioni di Endpoint Protection Configurare le funzionalità di sicurezza comuni per la protezione degli endpoint, tra cui Firewall, Gatekeeper e FileVault. Per una descrizione delle impostazioni in quest'area, vedere le informazioni di riferimento sulle impostazioni di Endpoint Protection.

Configurare metodi di autenticazione sicuri

Configurare i metodi di autenticazione in Intune per assicurarsi che solo gli utenti autorizzati accedano alle risorse interne. Intune supporta l'autenticazione a più fattori, i certificati e le credenziali derivate. I certificati possono essere usati anche per la firma e la crittografia della posta elettronica tramite S/MIME.

Attività Dettagli
Richiedere l'autenticazione a più fattori (MFA) Richiedere agli utenti di fornire due forme di credenziali al momento della registrazione.
Creare un profilo certificato attendibile Creare e distribuire un profilo di certificato attendibile prima di creare un profilo di certificato SCEP o PKCS oppure un profilo di certificato PKCS importato. Il profilo certificato attendibile distribuisce il certificato radice attendibile ai dispositivi e agli utenti usando certificati importati SCEP, PKCS e PKCS.
usare certificati SCEP con in Intune Informazioni sugli elementi necessari per usare i certificati SCEP con Intune e configurare l'infrastruttura necessaria. Successivamente, è possibile creare un profilo certificato SCEP o configurare un'autorità di certificazione di terze parti con SCEP.
Usare certificati PKCS con Intune Configurare l'infrastruttura necessaria (ad esempio i connettori di certificato locali), esportare un certificato PKCS e aggiungere il certificato a un profilo di configurazione del dispositivo Intune.
Usare i certificati PKCS importati con Intune Configurare i certificati PKCS importati, che consentono di configurare e usare S/MIME per crittografare la posta elettronica.

Distribuire le app

Durante la configurazione delle app e dei criteri delle app, valutare i requisiti dell'organizzazione, ad esempio le piattaforme supportate, le attività svolte, il tipo di app necessarie per completare tali attività e chi ne ha bisogno. È possibile usare Intune per gestire l'intero dispositivo (incluse le app) o usare Intune per gestire solo le app.

Attività Dettagli
Aggiungere l'app Portale aziendale Intune Informazioni su come ottenere il Portale aziendale nei dispositivi o istruzioni agli utenti come farlo autonomamente.
Aggiungere Microsoft Edge Aggiungere e assegnare Microsoft Edge in Intune.
Aggiungi Microsoft 365 Aggiungere e assegnare Microsoft 365 Apps in Intune.
Aggiungere app line-of-business Aggiungere e assegnare app line-of-business (LOB) macOS in Intune.
Assegnare app ai gruppi Dopo aver aggiunto le app a Intune, assegnarle a utenti e dispositivi.
Includere ed escludere assegnazioni di app Controllare l'accesso e la disponibilità a un'app includendo ed escludendo i gruppi selezionati dall'assegnazione.
Usare script della shell nei dispositivi macOS Utilizzare gli script della shell per estendere le funzionalità di gestione dei dispositivi in Intune oltre a quelle supportate dal sistema operativo macOS.

Eseguire azioni remote

Dopo aver configurato i dispositivi, è possibile usare le azioni remote in Intune per gestire e risolvere i problemi dei dispositivi macOS a distanza. Gli articoli seguenti presentano le azioni remote in Intune. Se un'azione è assente o disabilitata nel portale, non è supportata in macOS.

Attività Dettagli
Eseguire un'azione remota nei dispositivi Informazioni su come eseguire il drill-down e gestire e risolvere i problemi dei singoli dispositivi in Intune in remoto. Questo articolo elenca tutte le azioni remote disponibili in Intune e i collegamenti a tali procedure.
Usare TeamViewer per gestire da remoto i dispositivi Intune Configurare TeamViewer in Intune e informazioni su come amministrare in remoto un dispositivo.
Usare le attività di sicurezza per visualizzare minacce e vulnerabilità Integrare Intune con Microsoft Defender per endpoint per sfruttare la gestione delle minacce e delle vulnerabilità di Defender per endpoint e usare Intune per correggere le vulnerabilità degli endpoint identificate dalla funzionalità di gestione delle vulnerabilità di Defender.

Passaggi successivi

  • Last updated on