Implementatiehandleiding: macOS-apparaten beheren in Microsoft Intune

Veilige toegang tot zakelijke e-mail, gegevens en apps op macOS-apparaten. In dit artikel wordt u stapsgewijs begeleid bij macOS-specifieke taken om Intune Mobile Device Management voor macOS in te schakelen, beleid te configureren en apps te implementeren.

Vereisten

Voltooi aan de volgende vereisten om macOS-apparaatbeheer in te schakelen in Intune:

U wordt aangeraden de minst bevoorrechte rol te gebruiken die nodig is om taken uit te voeren. De rol met de minste bevoegdheid die bijvoorbeeld apparaatregistratietaken kan uitvoeren, is de ingebouwde rol Intune Beleids- en profielbeheer.

Zie Toegangsbeheer op basis van rollen met Intune en ingebouwde rolmachtigingen voor Intune voor meer informatie over ingebouwde rollen en wat deze kunnen doen.

Zie de implementatiehandleiding voor installatie van Intune voor meer informatie over hoe u de eerste installatie uitvoert, hoe u onboardt of hoe u overstapt op Microsoft Intune.

De implementatie plannen

Gebruik de Microsoft Intune-planningshandleiding om uw doelen, use-case-scenario's en vereisten voor apparaatbeheer te definiëren. Het helpt u ook bij de planning van de implementatie, communicatie, ondersteuning, testen en validatie. Omdat bijvoorbeeld de app Bedrijfsportal voor macOS niet beschikbaar is in de App Store, raden we u aan een communicatieplan te hebben, zodat eindgebruikers weten hoe ze de Bedrijfsportal moeten installeren en hun apparaten moeten registreren.

Apparaten registreren

Configureer de registratiemethoden en -ervaring voor macOS-apparaten die eigendom zijn van het bedrijf en persoonlijke macOS-apparaten. Deze stap zorgt ervoor dat apparaten Intune-beleid en -configuraties ontvangen nadat ze zijn geregistreerd. Intune ondersteunt BYOD-inschrijving (Bring Your Own Device), automatische apparaatregistratie van Apple en directe inschrijving voor zakelijke apparaten. Zie de macOS-apparaatregistratiehandleiding voor Microsoft Intune voor informatie over elke registratiemethode en het kiezen van de methode die geschikt is voor uw organisatie.

Taak Details
Inschrijving instellen voor apparaten die eigendom zijn van de gebruiker (BYOD) Voltooi de vereisten in dit artikel om inschrijving in te schakelen voor apparaten die eigendom zijn van de gebruiker. U vindt er ook inschrijvingsbronnen en koppelingen die u kunt delen met gebruikers van het apparaat, zodat deze tijdens de hele registratieprocedure worden ondersteund. Deze registratiemethode is bedoeld voor organisaties die een BYOD-beleid ( Bring Your Own Device ) hebben. Met BYOD kunnen mensen hun persoonlijke apparaten gebruiken voor werkgerelateerde zaken.
Apple Automated Device Enrollment (ADE) instellen Stel een kant-en-klare registratie-ervaring in waarmee de inschrijving wordt geautomatiseerd op apparaten die eigendom zijn van het bedrijf en die zijn gekocht via Apple School Manager of Apple Business. Deze methode is ideaal voor organisaties die een groot aantal apparaten moeten registreren, omdat u hierdoor niet elk apparaat hoeft aan te raken en afzonderlijk te configureren.

Wanneer u het inschrijvingsbeleid voor ADE van macOS gebruikt, raden we u aan de configuratie van het macOS-account te configureren met LAPS om nieuw ingeschreven apparaten in staat te stellen een lokale beheerder, een standaardaccount en een versleuteld beheerderswachtwoord te hebben die u kunt beheren met Intune.
Directe inschrijving voor zakelijke apparaten instellen Stel een registratie-ervaring in voor apparaten die eigendom zijn van het bedrijf en die niet zijn gelieerd aan één gebruiker, zoals apparaten die worden gebruikt in een gedeelde ruimte of winkelomgeving. Met directe inschrijving wordt het apparaat niet gewist, dus ideaal voor apparaten die geen toegang nodig hebben tot lokale gebruikersgegevens. Je moet het inschrijvingsprofiel rechtstreeks overzetten naar de Mac, waarvoor een USB-verbinding met een Mac-computer met Apple Configurator nodig is.
Een apparaatregistratiebeheer toevoegen People designated as device enrollment managers (DEM) kunnen maximaal 1.000 mobiele apparaten van het bedrijf tegelijk registreren. DEM-accounts zijn handig in organisaties die apparaten registreren en voorbereiden voordat ze aan gebruikers worden uitgedeeld.
Apparaten identificeren als eigendom van het bedrijf U kunt de status 'eigendom van een bedrijf' toewijzen aan apparaten om meer beheer- en identificatiemogelijkheden in Intune mogelijk te maken. De status Eigendom van een bedrijf kan niet worden toegewezen aan apparaten die zijn geregistreerd via Apple Business.
Eigendom van apparaat wijzigen Nadat een apparaat is geregistreerd, kunt u het eigendomslabel in Intune wijzigen in bedrijfseigendom of persoonlijk eigendom. Deze aanpassing wijzigt de manier waarop u het apparaat kunt beheren.
Inschrijvingsproblemen oplossen Problemen oplossen die zich voordoen tijdens de inschrijving.

Nalevingsregels maken

Maak nalevingsbeleid om de regels en voorwaarden te definiëren waaraan gebruikers en apparaten moeten voldoen om toegang te krijgen tot uw beveiligde bronnen. Op deze manier zorgt u ervoor dat apparaten die toegang hebben tot uw gegevens, aan uw normen voldoen. Intune markeert apparaten die niet aan uw vereisten voldoen als niet-compatibel en onderneemt actie (zoals het verzenden van een melding naar de gebruiker, het beperken van de toegang of het wissen van het apparaat) op basis van uw configuraties.

Als u een beleid voor voorwaardelijke toegang maakt, kan dit samen met de resultaten van apparaatcompatibiliteit de toegang tot bronnen blokkeren van niet-compatibele apparaten. Zie Nalevingsbeleid gebruiken om regels in te stellen voor apparaten die u met Intune beheert voor meer informatie over compliancebeleid en hoe u aan de slag gaat.

Taak Details
Een nalevingsbeleid maken Krijg stapsgewijze instructies voor het maken en toewijzen van een nalevingsbeleid aan gebruikers- en apparaatgroepen.
Acties voor niet-naleving toevoegen Kies wat er moet gebeuren wanneer apparaten niet langer voldoen aan de voorwaarden van uw nalevingsbeleid. U kunt acties voor niet-naleving toevoegen wanneer u een nalevingsbeleid voor apparaten configureert, of later door het beleid te bewerken.
Een beleid voor voorwaardelijke toegang op basis van apparaten of apps maken Geef de app of services op die u wilt beveiligen en definieer de voorwaarden voor toegang.
Toegang blokkeren tot apps die geen moderne verificatie gebruiken Een app-gebaseerd beleid voor voorwaardelijke toegang maken om apps te blokkeren die gebruikmaken van andere verificatiemethoden dan OAuth2; Bijvoorbeeld apps die gebruikmaken van basis- en formuliergebaseerde verificatie. Voordat je de toegang blokkeert, meld je je aan bij Microsoft Entra ID en bekijk je het activiteitenrapport Verificatiemethoden om te zien of gebruikers basisverificatie gebruiken om toegang te krijgen tot essentiële zaken die je bent vergeten of waarvan je niet op de hoogte bent. Bijvoorbeeld: bijvoorbeeld, agendakiosken voor vergaderruimten maken gebruik van basisverificatie.

Apparaatinstellingen configureren

Gebruik Microsoft Intune om instellingen en functies in of uit te schakelen op macOS-apparaten die voor het werk worden gebruikt. Als u deze instellingen wilt configureren en afdwingen, maakt u een apparaatconfiguratieprofiel en wijst u dit profiel vervolgens toe aan groepen in uw organisatie.

Taak Details
Een apparaatprofiel maken in Microsoft Intune Meer informatie over de verschillende typen apparaatprofielen die u voor uw organisatie kunt maken.
Apparaatfuncties configureren Configureer algemene macOS-functies en -functionaliteit. Zie de naslaginformatie over apparaatfuncties voor een beschrijving van de instellingen in dit gebied.
Profiel Wi-Fi configureren Met dit profiel kunnen gebruikers het Wi-Fi netwerk van uw organisatie vinden en er verbinding mee maken. Zie de naslaginformatie over Wi-Fi-instellingen voor een beschrijving van de instellingen op dit gebied.
Bekabeld netwerkprofiel configureren Met dit profiel kunnen personen met desktopcomputers verbinding maken met het bekabelde netwerk van uw organisatie. Zie de naslaginformatie over bekabelde netwerken voor een beschrijving van de instellingen op dit gebied.
VPN-profiel configureren Stel een veilige VPN-optie in, zoals Microsoft Tunnel, voor personen die verbinding maken met het netwerk van uw organisatie. Zie de naslaginformatie over VPN-instellingen voor een beschrijving van de instellingen op dit gebied.
Apparaatfuncties beperken Bescherm gebruikers tegen onbevoegde toegang en afleiding door de apparaatfuncties te beperken die ze op het werk of op school kunnen gebruiken. Zie de naslaginformatie over apparaatbeperkingen voor een beschrijving van de instellingen op dit gebied.
Aangepast profiel configureren Voeg apparaatinstellingen en -functies toe die niet zijn ingebouwd in Intune en wijs deze toe.
macOS-extensies toevoegen en beheren Voeg kernel- en systeemextensies toe waarmee gebruikers app-extensies kunnen installeren die de oorspronkelijke mogelijkheden van het besturingssysteem uitbreiden. Zie de referentie voor macOS-extensies voor een beschrijving van de instellingen op dit gebied.
Huisstijl en inschrijvingservaring aanpassen Pas de Intune-bedrijfsportal en de app-ervaring van Microsoft Intune aan met de eigen woorden, huisstijlen, schermvoorkeuren en contactgegevens van uw organisatie.

Eindpuntbeveiliging configureren

Gebruik de Intune functies voor eindpuntbeveiliging om apparaatbeveiliging te configureren en beveiligingstaken te beheren voor apparaten die risico lopen.

Taak Details
Apparaten beheren met eindpuntbeveiligingsfuncties Gebruik de instellingen voor eindpuntbeveiliging in Intune om apparaatbeveiliging effectief te beheren en problemen met apparaten op te lossen.
Voorwaardelijke toegang gebruiken om de toegang tot Microsoft Tunnel te beperken Gebruik beleid voor voorwaardelijke toegang om apparaattoegang tot uw Microsoft Tunnel VPN-gateway af te schermen.
Instellingen voor eindpuntbeveiliging toevoegen Configureer algemene beveiligingsfuncties voor eindpuntbeveiliging, waaronder Firewall, Gatekeeper en FileVault. Zie de naslaginformatie over instellingen voor endpoint protection voor een beschrijving van de instellingen op dit gebied.

Methoden voor veilige verificatie instellen

Stel verificatiemethoden in Intune in om ervoor te zorgen dat alleen geautoriseerde personen toegang hebben tot uw interne resources. Intune ondersteunt meervoudige verificatie, certificaten en afgeleide referenties. Certificaten kunnen ook worden gebruikt voor het ondertekenen en versleutelen van e-mail met S/MIME.

Taak Details
Meervoudige verificatie (MFA) vereisen Vereist dat mensen twee soorten referenties opgeven op het moment van inschrijving.
Een vertrouwd certificaatprofiel maken Maak en implementeer een vertrouwd certificaatprofiel voordat u een door SCEP, PKCS of PKCS geïmporteerd certificaatprofiel maakt. Het vertrouwde certificaatprofiel implementeert het vertrouwde basiscertificaat op apparaten en gebruikers die SCEP-, PKCS- en PKCS-geïmporteerde certificaten gebruiken.
SCEP-certificaten gebruiken met Intune Informatie over wat er nodig is om SCEP-certificaten te gebruiken met Intune en om de vereiste infrastructuur te configureren. Nadat u dat hebt gedaan, kunt u een SCEP-certificaatprofiel maken of een externe certificeringsinstantie met SCEP instellen.
PKCS-certificaten gebruiken met Intune Configureer de vereiste infrastructuur (zoals on-premises certificaatconnectors), exporteer een PKCS-certificaat en voeg het certificaat toe aan een configuratieprofiel voor een Intune-apparaat.
Geïmporteerde PKCS-certificaten gebruiken met Intune Geïmporteerde PKCS-certificaten instellen voor het instellen en gebruiken van S/MIME voor het versleutelen van e-mail.

Apps implementeren

Denk bij het instellen van apps en app-beleid na over de vereisten van uw organisatie, zoals de platforms die u gaat ondersteunen, de taken die personen uitvoeren, het type apps dat ze nodig hebben om deze taken uit te voeren en wie deze nodig heeft. U kunt met Intune het hele apparaat (inclusief apps) beheren of met Intune alleen apps.

Taak Details
App voor de Intune-bedrijfsportal toevoegen Leer hoe u de Bedrijfsportal op apparaten kunt downloaden of instrueer gebruikers hoe ze dit zelf kunnen doen.
Microsoft Edge toevoegen Microsoft Edge toevoegen en toewijzen in Intune.
Microsoft 365 toevoegen Microsoft 365-apps toevoegen en toewijzen in Intune.
Line-Of-Business-apps toevoegen Voeg LOB-apps (Line-of-Business) van macOS toe en wijs deze toe in Intune.
Apps toewijzen aan groepen Nadat u apps aan Intune hebt toegevoegd, wijst u deze toe aan gebruikers en apparaten.
App-opdrachten opnemen en uitsluiten Toegang en beschikbaarheid tot een app beheren door geselecteerde groepen op te nemen en uit te sluiten van toewijzing.
Shellscripts gebruiken op macOS-apparaten Gebruik shellscripts om de mogelijkheden voor apparaatbeheer in Intune uit te breiden tot meer dan wat wordt ondersteund door het macOS-besturingssysteem.

Externe acties uitvoeren

Nadat apparaten zijn ingesteld, kunt u externe acties in Intune gebruiken om macOS-apparaten op afstand te beheren en problemen met macOS-apparaten op te lossen. In de volgende artikelen maakt u kennis met de externe acties in Intune. Als een actie ontbreekt of is uitgeschakeld in de portal, wordt deze niet ondersteund in macOS.

Taak Details
Externe actie ondernemen op apparaten Meer informatie over het op afstand beheren en oplossen van problemen met afzonderlijke apparaten in Intune. Dit artikel bevat alle externe acties die beschikbaar zijn in Intune, plus koppelingen naar die procedures.
TeamViewer gebruiken om Intune-apparaten op afstand te beheren Configureer TeamViewer binnen Intune en leer hoe u een apparaat op afstand kunt beheren.
Beveiligingstaken gebruiken om bedreigingen en kwetsbaarheden te bekijken Integreer Intune met Microsoft Defender voor Eindpunt om te profiteren van het Threat and Vulnerability Management van Defender for Eindpunt en gebruik Intune om zwakke punten van het eindpunt te verhelpen die zijn geïdentificeerd door de functionaliteit voor kwetsbaarheidsbeheer van Defender.

Volgende stappen

  • Last updated on