Konfigurowanie rejestracji urządzeń z systemem MacOS w usłudze Intune

Usługa Microsoft Intune obsługuje rejestrację na prywatnych i firmowych komputerach Mac. W tym artykule opisano metody i funkcje, za pomocą których można rejestrować urządzenia osobiste, urządzenia należące do firmy i maszyny wirtualne.

Włączanie rejestracji w usłudze Microsoft Intune

Najpierw wykonaj te kroki, aby włączyć rejestrację w dzierżawie usługi Microsoft Intune.

1. Sprawdź, czy urządzenia kwalifikują się do rejestracji urządzeń firmy Apple
2. Konfigurowanie domen
3. Ustawianie urzędu MDM
4. Pobieranie certyfikatu wypychania Apple MDM
5. Przypisywanie licencji użytkowników w Centrum administracyjne platformy Microsoft 365
6. Tworzenie grup
7. Konfigurowanie aplikacji Portal firmy

Rejestrowanie urządzeń

Po włączeniu rejestrowania użyj jednej z obsługiwanych metod opisanych w tej sekcji, aby zarejestrować urządzenia należące do użytkownika i firmy.

Urządzenia z systemem macOS należące do użytkownika (BYOD)

Usługa Intune obsługuje model BYOD (przynieś własne urządzenie), który umożliwia użytkownikom samodzielną rejestrację urządzeń osobistych. Aby zakończyć konfigurowanie rejestracji dla scenariuszy BYOD, powiedz licencjonowanym użytkownikom, aby zarejestrowali urządzenia przy użyciu jednej z następujących opcji:

• Zaloguj się do witryny internetowej Portal firmy i postępuj zgodnie z instrukcjami wyświetlanymi na ekranie, aby dodać urządzenie.
• Zainstaluj Portal firmy aplikację dla komputerów Mac na aka.ms/EnrollMyMac i postępuj zgodnie z instrukcjami wyświetlanymi na ekranie, aby dodać urządzenie.

Urządzenia z systemem macOS należące do firmy

Usługa Intune obsługuje następujące metody rejestracji dla urządzeń z systemem macOS należących do firmy. Wybierz metodę hiperłącza, aby otworzyć jej kroki konfiguracji.

• Automatyczna rejestracja urządzeń Apple: Użyj tej metody, aby zautomatyzować proces rejestracji na urządzeniach zakupionych za pośrednictwem Apple Business lub Apple School Manager. Zautomatyzowana rejestracja urządzeń wdraża zasady rejestracji bezprzewodowo, więc nie musisz mieć fizycznego dostępu do urządzeń.
• Menedżer rejestracji urządzeń (DEM): tej metody należy używać w przypadku wdrożeń na dużą skalę oraz gdy w organizacji jest wiele osób, które mogą pomóc w skonfigurowaniu rejestracji. Osoba z uprawnieniami menedżera rejestracji urządzeń (DEM) może zarejestrować do 1000 urządzeń za pomocą jednego konta usługi Microsoft Entra. Ta metoda wykorzystuje aplikację Portal firmy lub aplikację Microsoft Intune do rejestrowania urządzeń. Nie można użyć konta DEM do zarejestrowania urządzeń za pośrednictwem automatycznej rejestracji urządzeń.
• Rejestracja bezpośrednia: Rejestracja bezpośrednia rejestruje urządzenia bez koligacji użytkownika, więc ta metoda jest najlepsza w przypadku urządzeń, które nie są skojarzone z jednym użytkownikiem. Ta metoda wymaga fizycznego dostępu do rejestrowanych komputerów Mac.

Tokeny inicjujące

Usługa Intune obsługuje używanie tokenów inicjujących na zarejestrowanych komputerach Mac z systemem macOS 10.15 lub nowszym. Tokeny inicjujące nadają status własności woluminu kontom użytkowników lokalnych i gości, dzięki czemu użytkownicy niebędący administratorami mogą zatwierdzać ważne operacje, które w przeciwnym razie musiałby wykonać administrator. Operacje takie jak:

• Aktualizacje oprogramowania inicjowane przez użytkownika

• Instalacja rozszerzeń jądra na procesorze Apple silicon

Tokenów inicjujących można używać na nadzorowanych komputerach Mac i komputerach Mac zarejestrowanych za pośrednictwem zautomatyzowanej rejestracji urządzeń z systemem macOS.

Uzyskaj token inicjujący

Token inicjujący jest generowany automatycznie, gdy:

• Nowo zarejestrowany komputer Mac melduje się w usłudze Intune i
• Użytkownik z włączonym bezpiecznym tokenem (zazwyczaj administrator usługi Intune) loguje się na komputerze Mac przy użyciu hasła w postaci zwykłego tekstu

Token zostanie następnie automatycznie zdeponowany w usłudze Microsoft Intune. W razie potrzeby możesz użyć narzędzia wiersza polecenia, aby ręcznie wyświetlić, wygenerować i zdeponować token inicjujący na obsługiwanych urządzeniach z systemem macOS. Aby uzyskać więcej informacji na temat poleceń, zobacz: Używanie tokenu bezpiecznego, tokenu inicjującego i własności woluminu we wdrożeniach w witrynie pomocy technicznej firmy Apple.

Monitorowanie stanu depozytu typu bootstrap

W centrum administracyjnym możesz monitorować stan depozytu dla każdego zarejestrowanego komputera Mac. Właściwość sprzętowa zdeponowanego tokenu inicjującego informuje, czy token inicjujący został zdeponowany w usłudze Intune. Usługa Intune zgłasza wartość Tak, gdy token został pomyślnie zdeponowany i wartość Nie, gdy token nie został zdeponowany.

1. Zaloguj się do Centrum administracyjnego usługi Microsoft Intune.
2. Przejdź do pozycji Urządzenia>według platformy>macOS.
3. Wybierz urządzenie z listy urządzeń z systemem macOS.
4. Wybierz pozycję Sprzęt.
5. W szczegółach sprzętu przewiń w dół dopozycji Token Bootstrap dostępu warunkowego> zdeponowany.

Zarządzanie rozszerzeniami jądra i aktualizacjami oprogramowania

Token inicjujący może być używany do zatwierdzania instalacji zarówno rozszerzeń jądra, jak i aktualizacji oprogramowania na komputerze Mac z układem scalonym Apple.

Aktualizacje oprogramowania inicjowane przez użytkownika mogą być wykonywane za pomocą tokenu inicjującego na komputerach Mac z systemem macOS w wersji 11.1 i zarejestrowane w ramach automatycznej rejestracji urządzeń. Aby autoryzować aktualizacje oprogramowania inicjowane przez użytkownika na urządzeniu, które nie zostało zarejestrowane w ramach automatycznej rejestracji urządzeń, musisz ponownie uruchomić komputer Mac w trybie odzyskiwania i obniżyć jego ustawienia zabezpieczeń. Możesz także użyć tokena bootstrap do aktualizacji oprogramowania na komputerach Mac z systemem macOS 11.2 lub nowszym, z jedynym wymaganiem jest to, że urządzenie wymaga nadzoru.

Zarządzanie rozszerzeniami jądra jest automatycznie dostępne na komputerach Mac z systemem macOS 11 lub nowszym i zarejestrowanych w ramach automatycznej rejestracji urządzeń. Aby autoryzować zdalne zarządzanie rozszerzeniami jądra na urządzeniu, które nie jest zarejestrowane w ramach automatycznej rejestracji urządzeń, musisz ponownie uruchomić komputer Mac w trybie odzyskiwania i obniżyć jego ustawienia zabezpieczeń. Aby uzyskać więcej informacji, zobacz: Zmienianie ustawień zabezpieczeń na dysku startowym Maca z układem scalonym Apple w pomocy technicznej Apple.

Zablokuj rejestrację w systemie macOS

Domyślnie usługa Intune umożliwia rejestrację urządzeń z systemem macOS. Aby zablokować rejestrację urządzeń z systemem macOS, zobacz Ustawianie ograniczeń platformy urządzeń.

Rejestrowanie wirtualnych maszyn z systemem macOS do testowania

Usługa Intune obsługuje maszyny wirtualne z uruchomionymi systemami operacyjnymi:

• Parallels Desktop
• VMware Fusion
• Apple Silicon

Usługa Intune musi znać model sprzętu i numer seryjny maszyny wirtualnej, aby rozpoznać i zarejestrować ją jako urządzenie. Jeśli spróbujesz zarejestrować maszynę wirtualną bez podania tych szczegółów, rejestracja zakończy się niepowodzeniem. Ta sekcja zawiera więcej informacji na temat sposobu spełnienia tego wymagania przed rejestracją.

Parallels Desktop

Zmodyfikuj ustawienia konfiguracyjne maszyny wirtualnej, dodając lub zmieniając numer seryjny maszyny wirtualnej oraz identyfikator modelu sprzętu. Wprowadź dowolny ciąg znaków alfanumerycznych dla numeru seryjnego. W przypadku modelu sprzętowego zalecamy używanie modelu urządzenia, na którym jest uruchomiona maszyna wirtualna. Aby znaleźć model sprzętu komputera Mac, wybierz menu Apple i przejdź do pozycji Tenidentyfikator modelu>systemuMac > — informacje.

Aby uzyskać więcej informacji, zobacz następujące tematy w bazie wiedzy Parallels:

• Jak zarejestrować maszynę wirtualną macOS w oprogramowaniu Parallels Desktop przy użyciu usługi Intune
• Jak znaleźć i zmienić numer seryjny

VMware Fusion

Dodaj następujące wiersze do pliku .vmx, aby ustawić model sprzętu i numer seryjny maszyny wirtualnej. Wartości pokazane w tym przykładzie są przykładowe.

serialNumber = "ABC123456789"
hw.model = "MacBookAir10,1"

Wprowadź dowolny ciąg znaków alfanumerycznych dla numeru seryjnego. W przypadku modelu sprzętowego zalecamy używanie modelu urządzenia, na którym jest uruchomiona maszyna wirtualna. Aby znaleźć model sprzętu komputera Mac, wybierz menu Apple i przejdź do pozycji Tenidentyfikator modelu>systemuMac > — informacje.

VMware Fusion jest obsługiwany tylko na komputerach Mac z procesorem Intel. Więcej informacji na temat edytowania pliku .vmx dla maszyny wirtualnej VMware Fusion można znaleźć w witrynie internetowej VMware Customer Connect.

Apple Silicon

W przypadku maszyn wirtualnych działających na sprzęcie Apple Silicon nie są wymagane żadne zmiany. Oprogramowanie Parallels Desktop jest obsługiwane na komputerach Mac z procesorem Apple Silicon, więc jeśli skonfigurujesz maszynę wirtualną w ten sposób, nie musisz modyfikować identyfikatora modelu sprzętu ani numeru seryjnego.

Rejestracja zatwierdzona przez użytkownika

Wszystkie rejestracje komputerów Mac w usłudze Intune są uznawane za zatwierdzone przez użytkowników. Rejestracja zatwierdzona przez użytkownika umożliwia zarządzanie urządzeniami macOS, które nie są częścią usługi Apple School Manager lub Apple Business. Zapewnia ten sam poziom kontroli, co nadzorowane urządzenia z systemem macOS zarejestrowane przy użyciu funkcji automatycznej rejestracji urządzeń lub programu Apple Configurator.

Usługa Intune automatycznie włącza nadzór dla zatwierdzonych przez użytkowników urządzeń z systemem macOS 11 lub nowszym. Robi to również dla zarejestrowanych urządzeń, które później aktualizują się do systemu macOS 11 lub nowszego.

Środowisko użytkownika

Użytkownik urządzenia loguje się do aplikacji Portal firmy, aby zainicjować rejestrację. Następnie w aplikacji Portal firmy zostaną otwarte preferencje systemowe urządzenia i zostanie wyświetlony monit o zainstalowanie profilu zarządzania. Portal firmy udostępnia instrukcje w aplikacji, aby ułatwić użytkownikom znalezienie profilu. Użytkownicy przechodzą doprofilówpreferencji> systemowych, aby zatwierdzić instalację profilu zarządzania. Użytkownicy urządzeń, którzy nie zatwierdzą urządzenia podczas rejestracji, mogą później wrócić do preferencji systemowych, aby dokonać zatwierdzenia.

Sprawdzanie, czy urządzenie zostało zatwierdzone przez użytkownika

1. W centrum administracyjnym Microsoft Intune wybierz pozycję Urządzenia>Wszystkie urządzenia.
2. Wybierz urządzenie z systemem macOS.
3. Z menu bocznego wybierz pozycję Sprzęt.
4. Sprawdź wartość obok pozycji Rejestracja zatwierdzona przez użytkownika.

Tworzenie kopii zapasowej i przywracanie za pomocą Asystenta migracji firmy Apple

Za pomocą narzędzia Asystent migracji firmy Apple możesz utworzyć kopię zapasową i przywrócić urządzenie z systemem macOS. Możesz użyć tego narzędzia do wykonania kopii zapasowej komputera Mac i przywrócenia jego danych aplikacji na nowym urządzeniu. Ważne jest, aby wiedzieć:

• Nie jest tworzona kopia zapasowa profilu zarządzania na oryginalnym komputerze Mac. Po ponownym zarejestrowaniu komputera Mac na urządzeniu zostanie wysłany nowy profil zarządzania. Dzieje się tak na komputerach Mac, które przechodzą zautomatyzowaną rejestrację urządzeń firmy Apple oraz na komputerach Mac, które nie przechodzą automatycznej rejestracji urządzeń.
• Poświadczenia aplikacji Portal firmy można przywrócić na nowym komputerze Mac po przejściu przez niego przez Asystenta migracji i zarejestrowaniu się. Jeśli tak się stanie, zalecamy, aby Ty lub użytkownik urządzenia wykonali następujące kroki w celu wyczyszczenia danych aplikacji:
  1. Wyloguj się z aplikacji Portal firmy.
  2. Zaloguj się do aplikacji lub witryny internetowej Portal firmy.

Następne kroki

• Aby zapoznać się z dokumentacją pomocy dla użytkowników zawierającą instrukcje rejestracji krok po kroku dla użytkowników urządzeń, zobacz Rejestrowanie urządzenia z systemem macOS w usłudze Intune. Możesz również utworzyć własne instrukcje, jeśli wolisz rejestrować oznakowane lub dostosowane środowisko rejestracji Twojej organizacji.