Automatische apparaatregistratie voor macOS instellen

Van toepassing op macOS

In dit artikel wordt beschreven hoe u een inschrijvingsbeleid maakt voor macOS Automated Device Enrollment (ADE) in Microsoft Intune. Zie Overview of Apple Automated Device Enrollment for macOS (Overzicht van geautomatiseerde apparaatregistratie van Apple) voor een overzicht van ADE en vereiste configuratie.

Vereisten

Bij het registreren van macOS-apparaten met behulp van ADE met gebruikersaffiniteit en Installatieassistent met moderne verificatie, moeten gebruikers zich aanmelden bij de app Bedrijfsportal met hun Microsoft Entra-referenties om de apparaatregistratie in Microsoft Entra ID te voltooien. Zie De app Bedrijfsportal voor macOS toevoegen als u de app Bedrijfsportal voor macOS wilt toevoegen aan macOS-apparaten.

Als u eenmalige aanmelding (SSO) met Microsoft Entra ID beschikbaar wilt maken tijdens de installatieassistent, maakt u een SSO-beleid voor platforms voordat apparaten worden ingeschreven. Platform SSO-beleid wordt geïmplementeerd voor het registreren van macOS-apparaten tijdens automatische apparaatinschrijving (ADE) en stelt gebruikers in staat zich aan te melden met hun organisatiereferenties tijdens de installatie van het apparaat. Met deze configuratie hebben gebruikers na registratie automatisch toegang tot apps en bronnen die met Microsoft Entra zijn beveiligd. Zie Platform-SSO configureren tijdens geautomatiseerde apparaatregistratie voor macOS voor meer informatie.

Een inschrijvingsbeleid maken

Maak een beleid voor geautomatiseerde apparaatregistratie in het beheercentrum. Het beleid definieert de registratie-ervaring voor de Mac-apparaten van uw organisatie en dwingt registratiebeleid en instellingen voor registrerende apparaten af. Het beleid wordt draadloos geïmplementeerd op toegewezen apparaten.

Aan het einde van deze procedure kunt u dit beleid toewijzen aan Microsoft Entra-apparaatgroepen.

1. Ga in het Microsoft Intune-beheercentrum naar Apparaten.

2. Vouw Apparaatonboarding uit en selecteer vervolgens Inschrijving.

3. Selecteer het tabblad macOS .

4. Selecteer onder Methoden voor bulksgewijze inschrijving de optie Tokens voor inschrijvingsprogramma.

5. Selecteer een token van het inschrijvingsprogramma.

6. Selecteer Inschrijvingsbeleid>Beleid> makenmacOS.

   Belangrijk

   U moet een registratiebeleid toewijzen aan uw apparaten voordat de apparaten actief worden. U wordt aangeraden zo snel mogelijk een standaardinschrijvingsbeleid in te stellen, zodat apparaten die worden gesynchroniseerd vanuit Apple Business of Apple School Manager en vervolgens worden ingeschakeld, correct kunnen worden ingeschreven via automatische apparaatregistratie. Als aan een apparaat dat u hebt gesynchroniseerd vanuit Apple geen inschrijvingsbeleid is toegewezen en iemand dit aanzet om het in te stellen, mislukt de registratie.

7. Voer voor de basisbeginselen een naam en beschrijving voor het beleid in, zodat u het kunt onderscheiden van ander inschrijvingsbeleid. Deze details zijn niet zichtbaar voor gebruikers van het apparaat.

   Tip

   Je kunt het naamveld gebruiken om een dynamische groep te maken in Microsoft Entra ID en apparaten automatisch toe te wijzen aan het inschrijvingsbeleid. Gebruik de beleidsnaam om de parameter enrollmentProfileName te definiëren. Zie Microsoft Entra dynamische groepen voor meer informatie.

8. Selecteer Volgende.

9. Selecteer op het tabblad Apparaatgroep optioneel een Microsoft Entra-beveiligingsgroep die u wilt gebruiken voor het groeperen van inschrijvingstijd. De groep is rechtstreeks gekoppeld aan dit inschrijvingsbeleid en u kunt het bewerken nadat het beleid is gemaakt.

   Alleen statische Microsoft Entra-beveiligingsgroepen zijn beschikbaar voor selectie. Als u deze instelling wilt configureren, moet u de machtiging Toewijzing van het apparaatlidmaatschap voor inschrijvingstijd hebben in een aangepaste RBAC-rol (onder Inschrijvingsprogramma's).

   Zie Tijdgroepering van inschrijving in Microsoft Intune voor meer informatie over hoe het groeperen van inschrijvingstijd werkt.

10. Selecteer Volgende.

11. Configureer Gebruikersaffiniteit op het tabblad Configuratie-instellingen. Gebruikersaffiniteit bepaalt of apparaten worden ingeschreven met of zonder een toegewezen gebruiker. Uw opties:

    • Inschrijven zonder gebruikersaffiniteit: Registreer apparaten die niet aan één gebruiker zijn gekoppeld. Kies deze optie voor gedeelde apparaten en apparaten die geen toegang tot lokale gebruikersgegevens nodig hebben. De Bedrijfsportal-app werkt niet op dit soort apparaten. Inschrijven zonder gebruikersaffiniteit wordt ook wel gebruikersloos inschrijven genoemd.

    Belangrijk

    Richt u niet op Platform SSO (PSSO)-configuratieprofielen die PSSO-registratie tijdens de installatieassistent mogelijk maken voor gebruikersloze ADE-apparaten (Automated Device Enrollment). Als u dit wel doet, kan dit leiden tot onverwacht registratiegedrag en leidt dit ertoe dat het apparaat de verwachte affiniteit verliest. Zie Platform-SSO configureren tijdens de inschrijving

    • Inschrijven bij Gebruikersaffiniteit: Registreer apparaten die zijn gekoppeld aan een toegewezen gebruiker. Kies deze optie voor werkapparaten die eigendom zijn van gebruikers en als u wilt vereisen dat gebruikers de Bedrijfsportal-app hebben om apps te installeren. Meervoudige verificatie (MFA) is beschikbaar voor deze optie. Inschrijven met gebruikersaffiniteit wordt ook wel registratie bij een gebruiker genoemd.

      Voor optie 2 zijn meer configuraties vereist. Gebruikers moeten zichzelf verifiëren voordat ze zich inschrijven om hun identiteit te bevestigen. Selecteer een van de volgende verificatiemethoden:

      • Installatieassistent met moderne verificatie (aanbevolen): Voor deze methode moeten gebruikers alle schermen van de installatieassistent invullen en zich aanmelden bij de app Bedrijfsportal met hun Microsoft Entra-referenties voordat ze toegang krijgen tot bronnen. Nadat ze zich hebben aangemeld bij de Bedrijfsportal, gebeurt het volgende:

        • Registreert zich bij Microsoft Entra ID.
        • Wordt toegevoegd aan de apparaatrecord van de gebruiker in Microsoft Entra ID.
        • Kan worden beoordeeld op apparaatnaleving.
        • Krijgt toegang tot resources die zijn beveiligd met voorwaardelijke toegang.

        Als de gebruiker zich niet aanmeldt bij de Bedrijfsportal om de registratie te voltooien, wordt deze omgeleid naar de Bedrijfsportal-app telkens wanneer hij een beheerde app met voorwaardelijke toegangsbeveiliging probeert te openen.

        Apparaten met macOS 10.15 en hoger kunnen deze methode gebruiken. Oudere macOS-apparaten vallen terug op het gebruik van de verouderde Setup Assistant-methode. Zie De app Bedrijfsportal voor macOS toevoegen voor meer informatie over hoe u de app Bedrijfsportal voor Mac-gebruikers beschikbaar kunt stellen.

      Belangrijk

      Het is raadzaam om Configuratieassistent met moderne verificatie te gebruiken voor uw Apple-apparaten voor ADE-scenario's (geautomatiseerde apparaatregistratie) met gebruikersapparaataffiniteit. Hoewel de verouderde verificatie beschikbaar blijft, raden we het gebruik ervan niet aan.

      • Configuratieassistent (verouderd) (niet meer aanbevolen): gebruik de oudere configuratieassistent als je wilt dat gebruikers de typische kant-en-klare ervaring voor Apple-producten ervaren. Met deze methode worden vooraf geconfigureerde standaardinstellingen geïnstalleerd wanneer het apparaat wordt ingeschreven bij Intune-beheer. Als u Active Directory Federation Services gebruikt en Configuratieassistent gebruikt om te verifiëren, is een WS-Trust 1.3 Gebruikersnaam/Gemengd eindpunt vereist. Zie Get-ADfsEndpoint voor meer informatie over het ophalen van het ADFS-eindpunt.

12. Wacht op de definitieve configuratie maakt een vergrendelde ervaring mogelijk aan het einde van de configuratieassistent om ervoor te zorgen dat het meest kritieke apparaatconfiguratiebeleid op het apparaat is geïnstalleerd. Deze instelling wordt eenmaal toegepast tijdens de Out-of-Box Apple automated device enrollment experience in Configuratieassistent. De gebruiker van het apparaat ondervindt het niet opnieuw, tenzij hij/zij zijn Mac opnieuw registreert.

    Uw opties:

    • Ja: net voordat het beginscherm wordt geladen, wordt de installatieassistent onderbroken en kan Intune inchecken bij het apparaat. De eindgebruiker wordt vergrendeld terwijl gebruikers wachten op definitieve configuraties. Deze optie is de standaardconfiguratie voor nieuw inschrijvingsbeleid.

    • Nee: Het apparaat wordt vrijgegeven op het startscherm wanneer de installatieassistent wordt beëindigd, ongeacht de installatiestatus van het beleid. Gebruikers van apparaten kunnen mogelijk toegang krijgen tot het startscherm of apparaatinstellingen wijzigen voordat alle beleidsregels zijn geïnstalleerd. Deze optie is de standaardconfiguratie voor bestaand inschrijvingsbeleid.

    De hoeveelheid tijd die gebruikers op het scherm In afwachting van definitieve configuratie worden vastgehouden, varieert en is afhankelijk van het totale aantal beleidsregels en apps dat u aan het apparaat toewijst. Gebruikers kunnen tijdens het wachten zien hoe het apparaatconfiguratiebeleid wordt gedownload in de Configuratie-assistent. Hoe meer beleidsregels en apps u hebt toegewezen, hoe langer de wachttijd. Installatieassistent en Intune dwingen geen minimale of maximale tijdslimiet af tijdens dit gedeelte van de installatie. Tijdens de productvalidatie werden de meeste apparaten die we hebben getest vrijgegeven en hadden ze binnen 15 minuten toegang tot het startscherm. Als u deze functie inschakelt en samenwerkt met een Microsoft-partner of een niet-Microsoft-service om u te helpen bij het inrichten van apparaten, informeer hen dan over de mogelijke langere inrichtingstijd.

    De vergrendelde ervaring wordt ondersteund op Macs met macOS 10.11 of hoger. Het werkt op Macs waarop nieuw of bestaand inschrijvingsbeleid is ingesteld voor deze scenario's:

    • Inschrijving via Setup-assistent met moderne verificatie
    • Inschrijving met Setup-assistent (verouderd)
    • Inschrijving zonder affiniteit tussen gebruikersapparaten

13. U kunt een vergrendelde inschrijving afdwingen om te voorkomen dat gebruikers hun apparaat afmelden bij Intune. Selecteer Ja om de Mac-instellingen in Systeemvoorkeuren en Terminal uit te schakelen waarmee gebruikers het beheerbeleid kunnen verwijderen. Nadat het apparaat is geregistreerd, kunt u deze instelling niet meer wijzigen zonder het apparaat te wissen.

14. Configureer desgewenst onder Accountinstellingen de lokale beheerders- en gebruikersaccounts op specifieke Macs.

    Wanneer een ondersteund macOS-apparaat wordt ingeschreven bij Intune via een ADE-beleid (Automated Device Enrollment) waarmee de lokale beheerder wordt geconfigureerd, wordt het apparaat ingeschakeld voor lokale accountconfiguratie van macOS met de Microsoft-oplossing voor lokale beheerderswachtwoorden (LAPS). Met deze mogelijkheid ontvangen nieuw ingeschreven apparaten een uniek lokaal beheerdersaccount met een sterk, versleuteld en willekeurig beheerderswachtwoord (15 alfanumerieke tekens), dat ook wordt opgeslagen en versleuteld door Intune. Na de inschrijving roteert Intune standaard elke zes maanden automatisch een door LAPS beheerd beheerderswachtwoord en ondersteunt het opzoeken en handmatig draaien van het beheerderswachtwoord door Intune-beheerders met voldoende machtigingen.

    Zie Configuratie van macOS-account instellen met LAPS voor meer informatie over het configureren en beheren van deze mogelijkheid.

    De volgende instellingen voor het lokale gebruikersaccount worden ondersteund op apparaten met macOS 12 of hoger. Houd er bij het configureren van het primaire account rekening mee dat dit account een beheerdersaccount wordt. Het hebben van ten minste één beheerdersaccount is vereist voor Mac. Als u via dit beleid ook het lokale beheerderswachtwoord configureert, raadpleegt u het lokale beheerdersaccount in het artikel macOS-accountconfiguratie instellen met LAPS en komt u hier terug.

    Uw opties:

    • Een lokaal gebruikersaccount aanmaken: Selecteer Ja om de instellingen voor lokale gebruikersaccounts te configureren voor specifieke Macs. Selecteer Niet geconfigureerd om alle accountinstellingsconfiguraties over te slaan.

    • Accountgegevens vooraf invullen: voor de standaardconfiguratie, Niet geconfigureerd, moet de gebruiker van het apparaat zijn of haar gebruikersnaam en volledige naam invoeren in de configuratieassistent. Als u in plaats daarvan de accountgegevens voor hen vooraf wilt invullen, selecteert u Ja. Voer vervolgens de primaire accountnaam en volledige naam in:

    • Gebruikersnaam lokaal gebruikersaccount:

      • {{serialNumber}} - bijvoorbeeld F4KN99ZUG5V2
      • {{partialupn}} - bijvoorbeeld John
      • {{managedDeviceName}}, bijvoorbeeld F2AL10ZUG4W2_14_4/15/2025_12:45PM
      • {{OnPremisesSamAccountName}}, bijvoorbeeld contoso\John

    • Volledige naam lokaal gebruikersaccount:

      • {{gebruikersnaam}} - bijvoorbeeld, John@contoso.com
      • {{serialNumber}} - bijvoorbeeld F4KN99ZUG5V2
      • {{OnPremisesSamAccountName}}, bijvoorbeeld contoso\John

    • Bewerking beperken: de standaardconfiguratie is ingesteld op Ja , zodat gebruikers van het apparaat de accountnaam en de volledige naam die voor hen zijn geconfigureerd niet kunnen bewerken. Selecteer Niet geconfigureerd om gebruikers van apparaten toe te staan de accountnaam en volledige naam te bewerken. Als u alleen de installatieassistent (oudere versie) gebruikt voor het inschrijven van apparaten met macOS 10.15 en hoger, kunt u de volgende eindgebruikerservaring verwachten:

      • Ja: Het scherm voor het maken van een account in de Configuratieassistent wordt nooit weergegeven. In plaats daarvan wordt het lokale gebruikersaccount automatisch gemaakt op basis van de andere instellingsconfiguraties en wordt het wachtwoord automatisch ingevuld vanaf het verificatiescherm van Microsoft Entra. De gebruiker van het apparaat kan deze velden niet bewerken.
      • Niet geconfigureerd: het scherm voor het lokale gebruikersaccount wordt weergegeven voor de eindgebruiker in de Configuratieassistent en wordt gevuld met de geconfigureerde accountwaarden en het wachtwoord van het Microsoft Entra-verificatiescherm. De gebruiker van het apparaat kan deze velden bewerken tijdens de configuratieassistent.

    Om ervoor te zorgen dat accountinstellingen naar behoren werken, moet uw inschrijvingsbeleid de volgende configuraties hebben:

    • Gebruikersaffiniteit: Selecteer Inschrijven met Gebruikersaffiniteit.
    • Verificatiemethode: selecteer Configuratieassistent met moderne verificatie of Installatieassistent (verouderd).
    • Wacht op de definitieve configuratie: selecteer Ja.

    Lokale accounts zijn afhankelijk van de functie die wordt verwacht voordat de definitieve configuratie wordt uitgevoerd. Als u dus een lokale beheerders- of gebruikersaccountinstellingen configureert, is deze instelling altijd ingeschakeld. Zelfs als u de instelling Wacht op definitieve configuratie niet aanraakt, is deze altijd op de achtergrond ingeschakeld en toegepast op het inschrijvingsbeleid.

15. Configureer de configuratieassistent onder Configuratieassistent.

    1. Voer de gegevens van uw afdeling in zodat gebruikers weten met wie ze contact kunnen opnemen voor ondersteuning:
       • Afdelingsnaam: deze naam wordt weergegeven wanneer apparaatgebruikers tijdens activering Info over configuratie selecteren.
       • Telefoon afdeling: Dit telefoonnummer wordt weergegeven wanneer apparaatgebruikers Hulp nodig hebben tijdens de activering selecteren.
    2. Selecteer de schermen van de configuratieassistent die u wilt weergeven of verbergen tijdens de installatie van het apparaat. Zie de schermverwijzing van de Configuratieassistent (in dit artikel) voor een beschrijving van alle schermen. Uw opties:
       • Verbergen: Het scherm wordt niet weergegeven voor gebruikers tijdens de installatie van het apparaat. Na de installatie van het apparaat kan de gebruiker naar de apparaatinstellingen gaan om de functie in te stellen.
       • Weergeven: het scherm wordt weergegeven voor gebruikers tijdens de installatie van het apparaat. De gebruiker kan nog steeds schermen overslaan die geen onmiddellijke actie vereisen. Na de installatie van het apparaat kan de gebruiker naar de apparaatinstellingen gaan om de functie in te stellen.

16. Selecteer Volgende.

17. Bekijk het overzicht van wijzigingen en selecteer vervolgens Maken om het maken van het beleid te voltooien.

Schermverwijzing voor de Setup-assistent

In de volgende tabel worden de schermen van de configuratieassistent beschreven die worden weergegeven tijdens de geautomatiseerde apparaatregistratie voor Macs. U kunt deze schermen tijdens de registratie weergeven of verbergen op ondersteunde apparaten. Raadpleeg de volgende Apple-bronnen voor meer informatie over hoe het scherm van de Configuratieassistent van invloed is op de gebruikerservaring:

• Implementatiehandleiding voor het Apple-platform: Configuratieassistent voor Apple-apparaten beheren
• Documentatie voor Apple-ontwikkelaars: ShipKeys

Een inschrijvingsbeleid toewijzen aan apparaten

Wijs een inschrijvingsbeleid toe aan macOS-apparaten.

1. Ga terug naar de tokens van het inschrijvingsprogramma en selecteer een token.
2. Selecteer Apparaten.
3. Kies uw apparaten in de lijst en selecteer vervolgens Beleid toewijzen.
4. Kies een beleid dat u wilt toewijzen en selecteer vervolgens Toewijzen.

Desgewenst kunt u een standaardinschrijvingsbeleid selecteren. Het standaardbeleid wordt geïmplementeerd op alle registrerende apparaten die aan het token zijn gekoppeld.

1. Ga terug naar de tokens van het inschrijvingsprogramma en selecteer een token.
2. Selecteer Standaardbeleid instellen.
3. Kies een beleid en selecteer vervolgens Opslaan.

Volgende stappen

• Zie Apparaten en tokens beheren voor informatie over het synchroniseren van apparaten, het distribueren van apparaten naar gebruikers en het beheren van tokens.
• Zie Een ADE-token voor macOS instellen als u het token van uw inschrijvingsprogramma wilt vernieuwen of verwijderen.
• Gebruik Externe apparaatacties in Microsoft Intune om geregistreerde Macs op afstand te beheren.