Konfigurowanie automatycznej rejestracji urządzeń dla systemu macOS

Dotyczy systemu macOS

W tym artykule opisano sposób tworzenia zasad rejestracji dla zautomatyzowanej rejestracji urządzeń z systemem macOS (ADE) w usłudze Microsoft Intune. Aby zapoznać się z omówieniem konfiguracji ADE i wymagań wstępnych, zobacz Omówienie automatycznej rejestracji urządzeń firmy Apple dla systemu macOS.

Wymagania wstępne

Podczas rejestrowania urządzeń z systemem macOS przy użyciu usługi ADE z koligacją użytkownika i Asystenta ustawień z nowoczesnym uwierzytelnianiem użytkownicy muszą zalogować się do aplikacji Portal firmy przy użyciu poświadczeń usługi Microsoft Entra, aby ukończyć rejestrację urządzenia w usłudze Tożsamość Microsoft Entra. Aby dodać aplikację Portal firmy do urządzeń z systemem macOS, zobacz Dodawanie aplikacji Portal firmy dla systemu macOS.

Aby udostępnić funkcję logowania jednokrotnego (SSO) usługi Microsoft Entra ID podczas Asystenta ustawień, utwórz zasady logowania jednokrotnego platformy przed zarejestrowaniem urządzeń. Zasady logowania jednokrotnego platformy są wdrażane do rejestrowania urządzeń z systemem macOS podczas automatycznej rejestracji urządzeń (ADE) i umożliwiają użytkownikom logowanie się przy użyciu poświadczeń organizacji podczas konfigurowania urządzenia. Ta konfiguracja umożliwia użytkownikom automatyczny dostęp do aplikacji i zasobów chronionych przez usługę Microsoft Entra po rejestracji. Aby uzyskać więcej informacji, zobacz Konfigurowanie logowania jednokrotnego platformy podczas automatycznej rejestracji urządzeń dla systemu macOS.

Tworzenie zasad rejestracji

Utwórz zasady automatycznej rejestracji urządzeń w centrum administracyjnym. Zasady definiują proces rejestracji urządzeń Mac należących do organizacji oraz wymuszają zasady i ustawienia rejestracji dotyczące rejestrowania urządzeń. Zasady są wdrażane na przypisanych urządzeniach bezprzewodowo.

Pod koniec tej procedury możesz przypisać te zasady do grup urządzeń usługi Microsoft Microsoft Entra.

1. W centrum administracyjnym Microsoft Intune przejdź do pozycji Urządzenia.

2. Rozwiń węzeł Dołączanie urządzeń, a następnie wybierz pozycję Rejestracja.

3. Wybierz kartę macOS .

4. W obszarze Metody rejestracji zbiorczej wybierz tokeny programu rejestracji.

5. Wybierz token programu rejestracji.

6. Wybierz pozycję Zasady> rejestracjiUtwórz zasady>macOS.

   Ważna

   Należy przypisać zasady rejestracji do urządzeń przed ich uaktywnieniem. Zalecamy jak najszybsze ustawienie domyślnej zasady rejestracji, aby podczas synchronizacji urządzeń z usługą Apple Business lub Apple School Manager, a następnie ich włączenia, mogły one zostać poprawnie zarejestrowane za pomocą automatycznej rejestracji urządzeń. Jeśli urządzenie zsynchronizowane z Apple nie ma przypisanych zasad rejestracji, a ktoś je włączy w celu ich skonfigurowania, rejestracja zakończy się niepowodzeniem.

7. W polu Podstawy wprowadź nazwę i opis zasad odróżniających je od innych zasad rejestracji. Te szczegóły nie są widoczne dla użytkowników urządzenia.

   Porada

   Możesz użyć pola nazwy, aby utworzyć grupę dynamiczną w usłudze Microsoft Entra ID i automatycznie przypisać urządzenia do zasad rejestracji. Zdefiniuj parametr enrollmentProfileName przy użyciu nazwy zasad. Aby uzyskać więcej informacji, zobacz Grupy dynamiczne usługi Microsoft Entra.

8. Wybierz pozycję Dalej.

9. Na karcie Grupa urządzeń opcjonalnie wybierz grupę zabezpieczeń usługi Microsoft Entra, która będzie używana do grupowania czasu rejestracji. Grupa jest mapowana bezpośrednio na tę zasadę rejestracji i można ją edytować po utworzeniu zasad.

   Tylko statyczne grupy zabezpieczeń usługi Microsoft Entra są dostępne do wyboru. Aby skonfigurować to ustawienie, musisz mieć uprawnienie przypisania członkostwa w urządzeniu czasu rejestracji w niestandardowej roli RBAC (w obszarze Programy rejestracji).

   Aby uzyskać więcej informacji o sposobie grupowania czasu rejestracji, zobacz Grupowanie według czasu rejestracji w usłudze Microsoft Intune.

10. Wybierz pozycję Dalej.

11. Na karcie Ustawienia konfiguracji skonfiguruj koligację użytkownika. Koligacja użytkownika określa, czy urządzenia są rejestrowane z przypisanym użytkownikiem, czy bez niego. Dostępne opcje:

    • Zarejestruj bez koligacji użytkowników: zarejestruj urządzenia, które nie są skojarzone z jednym użytkownikiem. Wybierz tę opcję dla urządzeń udostępnionych i urządzeń, które nie muszą mieć dostępu do danych użytkowników lokalnych. Aplikacja Portal firmy nie działa na tego typu urządzeniach. Rejestracja bez koligacji użytkownika jest również nazywana rejestracją bez użytkowników.

    Ważna

    Nie kieruj profilów konfiguracji logowania jednokrotnego platformy (PSSO), które umożliwiają rejestrację PSSO podczas asystenta ustawień, do urządzeń bez użytkowników zautomatyzowanej rejestracji urządzeń (ADE). Może to spowodować nieoczekiwane zachowanie rejestracji i utratę oczekiwanej koligacji przez urządzenie. Zobacz Konfigurowanie logowania jednokrotnego platformy podczas rejestracji

    • Zarejestruj się przy użyciu koligacji użytkownika: zarejestruj urządzenia skojarzone z przypisanym użytkownikiem. Wybierz tę opcję w przypadku urządzeń służbowych należących do użytkowników i jeśli chcesz, aby użytkownicy mieli aplikację Portal firmy w celu instalowania aplikacji. W przypadku tej opcji jest dostępne uwierzytelnianie wieloskładnikowe (MFA). Rejestracja z koligacją użytkownika jest również nazywana rejestracją z użytkownikiem.

      Rejestracja z koligacją użytkownika wymaga większej liczby konfiguracji. Użytkownicy muszą uwierzytelnić się przed rejestracją, aby potwierdzić swoją tożsamość. Wybierz pozycję Asystent ustawień z nowoczesnym uwierzytelnianiem:

      • Asystent ustawień z nowoczesnym uwierzytelnianiem (zalecane): Ta metoda wymaga od użytkowników wykonania wszystkich ekranów Asystenta ustawień i zalogowania się do aplikacji Portal firmy przy użyciu poświadczeń usługi Microsoft Entra, zanim będą mogli uzyskać dostęp do zasobów. Po zalogowaniu się do portalu firmy urządzenie:

        • Rejestruje się przy użyciu usługi Microsoft Entra ID.
        • Są dodawane do rekordu urządzenia użytkownika w usłudze Microsoft Entra ID.
        • Można ocenić pod kątem zgodności urządzenia.
        • Uzyskuje dostęp do zasobów chronionych przez dostęp warunkowy.

        Jeśli użytkownik nie zaloguje się do portalu firmy w celu ukończenia rejestracji, będzie przekierowywany do aplikacji Portal firmy przy każdej próbie otwarcia aplikacji zarządzanej z ochroną dostępu warunkowego.

        Ta metoda jest obsługiwana na urządzeniach z systemem macOS 10.15 lub nowszym. Aby uzyskać więcej informacji na temat udostępniania aplikacji Portal firmy użytkownikom komputerów Mac, zobacz Dodawanie aplikacji Portal firmy dla systemu macOS.

      Ważna

      Usługa Intune zakończyła obsługę uwierzytelniania Asystenta ustawień (starsza wersja) dla usługi ADE z koligacją użytkownika w wersji usługi z października 2026 r. (2610). Istniejące profile, które korzystają z tej metody, są automatycznie aktualizowane do Asystenta ustawień z nowoczesnym uwierzytelnianiem, a starsza wersja nie jest już dostępna podczas tworzenia lub edytowania profilów. Urządzenia już zarejestrowane pozostają nienaruszone i pozostają zarejestrowane. Przejrzyj swoje profile i przetestuj nowoczesne uwierzytelnianie w swoim środowisku. Aby uzyskać więcej informacji, zobacz Wycofywanie Asystenta ustawień (starsza wersja).

12. Oczekiwanie na ostateczną konfigurację włącza zablokowane środowisko na końcu Asystenta ustawień, aby zapewnić, że najbardziej krytyczne zasady konfiguracji urządzenia są zainstalowane na urządzeniu. To ustawienie jest stosowane raz podczas wbudowanej automatycznej rejestracji urządzeń firmy Apple w Asystencie ustawień. Użytkownik urządzenia nie napotka go ponownie, chyba że ponownie zarejestruje komputer Mac.

    Dostępne opcje:

    • Tak: Tuż przed załadowaniem ekranu głównego Asystent ustawień wstrzymuje i pozwala usłudze Intune zaewidencjonować urządzenie. Środowisko użytkownika końcowego jest blokowane, gdy użytkownicy oczekują na ostateczną konfigurację. Jest to domyślna konfiguracja dla nowych zasad rejestracji.

    • Nie: Po zakończeniu działania Asystenta ustawień urządzenie jest wyświetlane na ekranie głównym, niezależnie od stanu instalacji zasad. Użytkownicy urządzeń mogą mieć dostęp do ekranu głównego lub zmiany ustawień urządzenia przed zainstalowaniem wszystkich zasad. Ta opcja jest domyślną konfiguracją dla istniejących zasad rejestracji.

    Czas oczekiwania na ostateczną konfigurację dla użytkowników jest różny i zależy od łącznej liczby zasad i aplikacji przypisanych do urządzenia. Użytkownicy mogą zobaczyć pobieranie zasad konfiguracji urządzeń w Asystencie ustawień podczas oczekiwania. Im więcej przypisanych zasad i aplikacji, tym dłuższy czas oczekiwania. Asystent ustawień i usługa Intune nie wymuszają minimalnego ani maksymalnego limitu czasu podczas tej części konfiguracji. Podczas walidacji produktu większość testowanych przez nas urządzeń została wydana i mogła uzyskać dostęp do ekranu głównego w ciągu 15 minut. Jeśli włączysz tę funkcję i współpracujesz z partnerem firmy Microsoft lub usługą innej firmy w celu zapewnienia obsługi urządzeń, poinformuj ich o możliwości wydłużenia czasu aprowizacji.

    Zablokowane środowisko jest obsługiwane na komputerach Mac z systemem macOS 10.11 lub nowszym. Działa ona na komputerach Mac z nowymi lub istniejącymi zasadami rejestracji skonfigurowanymi dla następujących scenariuszy:

    • Rejestracja za pośrednictwem Asystenta ustawień z nowoczesnym uwierzytelnianiem
    • Rejestracja bez koligacji urządzenia użytkownika

13. Możesz wymusić zablokowaną rejestrację, aby uniemożliwić użytkownikom wyrejestrowywanie swoich urządzeń z usługi Intune. Wybierz opcję Tak , aby wyłączyć ustawienia komputera Mac w Preferencjach systemowych i terminalu, które umożliwiają użytkownikom usunięcie zasad zarządzania. Po zarejestrowaniu urządzenia nie można zmienić tego ustawienia bez wyczyszczenia urządzenia.

14. Opcjonalnie w obszarze Ustawienia kont skonfiguruj konta administratora lokalnego i użytkowników na wybranych komputerach Mac.

    Gdy obsługiwane urządzenie z systemem macOS zostanie zarejestrowane w usłudze Intune za pośrednictwem zasad automatycznej rejestracji urządzeń (ADE), które konfigurują administratora lokalnego, na urządzeniu jest włączana konfiguracja konta lokalnego systemu macOS za pomocą rozwiązania hasła administratora lokalnego (LAPS) firmy Microsoft. Dzięki tej funkcji nowo zarejestrowane urządzenia otrzymują unikatowe lokalne konto administratora z silnym, zaszyfrowanym i losowym hasłem administratora (15 znaków alfanumerycznych), które jest również przechowywane i szyfrowane przez usługę Intune. Po zarejestrowaniu usługa Intune domyślnie automatycznie zmienia hasło administratora zarządzane przez funkcję LAPS co sześć miesięcy oraz obsługuje wyszukiwanie i ręczną rotację hasła administratora przez administratorów usługi Intune z wystarczającymi uprawnieniami.

    Aby uzyskać informacje na temat konfigurowania tej funkcji, a następnie zarządzania nią, zobacz Konfigurowanie konfiguracji konta systemu macOS za pomocą funkcji LAPS.

    Poniższe ustawienia konta użytkownika lokalnego są obsługiwane na urządzeniach z systemem macOS 12 lub nowszym. Podczas konfigurowania konta podstawowego pamiętaj, że będzie ono kontem administratora . Posiadanie co najmniej jednego konta administratora jest wymogiem konfiguracji komputera Mac. Jeśli konfigurujesz również hasło administratora lokalnego za pomocą tych zasad, zobacz konto administratora lokalnego w artykule Konfigurowanie konfiguracji konta systemu macOS za pomocą funkcji LAPS , a następnie wróć tutaj.

    Dostępne opcje:

    • Tworzenie konta użytkownika lokalnego: Wybierz pozycję Tak , aby skonfigurować ustawienia konta użytkownika lokalnego dla wybranych komputerów Mac. Wybierz pozycję Nie skonfigurowano , aby pominąć wszystkie konfiguracje ustawień konta.

    • Informacje o koncie wstępnie wypełnione: konfiguracja domyślna, nieskonfigurowana, wymaga, aby użytkownik urządzenia wprowadził nazwę użytkownika i imię i nazwisko konta w Asystencie ustawień. Aby zamiast tego wstępnie wypełnić informacje o koncie, wybierz pozycję Tak. Następnie wprowadź nazwę i imię i nazwisko konta podstawowego:

    • Nazwa użytkownika lokalnego:

      • {{serialNumber}} — na przykład F4KN99ZUG5V2
      • {{partialupn}} — na przykład Jan
      • {{managedDeviceName}} — na przykład F2AL10ZUG4W2_14_4/15/2025_12:45PM
      • {{OnPremisesSamAccountName}} — na przykład contoso\John

    • Imię i nazwisko lokalnego konta użytkownika:

      • {{nazwa_użytkownika}} - na przykład John@contoso.com
      • {{serialNumber}} — na przykład F4KN99ZUG5V2
      • {{OnPremisesSamAccountName}} — na przykład contoso\John

    • Ogranicz edytowanie: Domyślna konfiguracja jest ustawiona na Tak , aby użytkownicy urządzeń nie mogli edytować nazwy konta i pełnej nazwy, które zostały dla nich skonfigurowane. Aby zezwolić użytkownikom urządzeń na edytowanie nazwy i pełnej nazwy konta, wybierz pozycję Nieskonfigurowane.

    Aby ustawienia konta działały zgodnie z oczekiwaniami, zasady rejestracji muszą mieć następujące konfiguracje:

    • Koligacja użytkownika: wybierz pozycję Zarejestruj z koligacją użytkownika.
    • Metoda uwierzytelniania: wybierz pozycję Asystent ustawień z nowoczesnym uwierzytelnianiem.
    • Poczekaj na ostateczną konfigurację: Wybierz pozycję Tak.

    Konta lokalne zależą od funkcji oczekiwania na ostateczną konfigurację podczas ich tworzenia. W wyniku tego w przypadku skonfigurowania jakichkolwiek ustawień konta administratora lokalnego lub użytkownika to ustawienie jest zawsze włączone. Nawet jeśli nie dotkniesz ustawienia oczekiwania na ostateczną konfigurację, jest ono zawsze włączone w tle i stosowane do zasad rejestracji.

15. W obszarze Asystent ustawień skonfiguruj środowisko Asystenta ustawień.

    1. Wprowadź informacje o swoim dziale, aby użytkownicy wiedzieli, z kim się skontaktować w celu uzyskania pomocy:
       • Nazwa działu: Ta nazwa jest wyświetlana, gdy użytkownicy urządzeń wybierają pozycję Informacje o konfiguracji podczas aktywacji.
       • Telefon działu: Ten numer telefonu jest wyświetlany, gdy użytkownicy urządzenia wybierają opcję Potrzebujesz pomocy podczas aktywacji.
    2. Wybierz ekrany Asystenta ustawień, które chcesz pokazać lub ukryć podczas konfigurowania urządzenia. Aby zapoznać się z opisem wszystkich ekranów, zobacz Dokumentacja ekranu Asystenta ustawień (w tym artykule). Dostępne opcje:
       • Ukryj: ekran nie jest widoczny dla użytkowników podczas konfiguracji urządzenia. Po skonfigurowaniu urządzenia użytkownik może przejść do ustawień urządzenia, aby skonfigurować tę funkcję.
       • Pokaż: ekran jest wyświetlany użytkownikom podczas konfigurowania urządzenia. Użytkownik nadal może pomijać ekrany, które nie wymagają natychmiastowego działania. Po skonfigurowaniu urządzenia użytkownik może przejść do ustawień urządzenia, aby skonfigurować tę funkcję.

16. Wybierz pozycję Dalej.

17. Przejrzyj podsumowanie zmian, a następnie wybierz pozycję Utwórz , aby zakończyć tworzenie zasad.

Informacje o ekranie Asystenta ustawień

W poniższej tabeli opisano ekrany Asystenta ustawień wyświetlane podczas automatycznej rejestracji urządzeń dla komputerów Mac. Podczas rejestracji można pokazać lub ukryć te ekrany na obsługiwanych urządzeniach. Aby uzyskać więcej informacji na temat wpływu poszczególnych ekranów Asystenta ustawień na środowisko użytkownika, zobacz następujące zasoby firmy Apple:

• Podręcznik wdrażania na platformie Apple: Zarządzanie Asystentem ustawień dla urządzeń Apple
• Dokumentacja dla programistów firmy Apple: SkipKeys

Przypisywanie zasad rejestracji do urządzeń

Przypisz zasady rejestracji do urządzeń z systemem macOS.

1. Wróć do tokenów programu rejestracji i wybierz token.
2. Wybierz urządzenia.
3. Wybierz urządzenia z listy, a następnie wybierz pozycję Przypisz zasady.
4. Wybierz zasady do przypisania, a następnie wybierz pozycję Przypisz.

Opcjonalnie możesz wybrać domyślne zasady rejestracji. Zasady domyślne są wdrażane na wszystkich rejestrujących urządzeniach skojarzonych z tokenem.

1. Wróć do tokenów programu rejestracji i wybierz token.
2. Wybierz pozycję Ustaw zasady domyślne.
3. Wybierz zasady, a następnie wybierz pozycję Zapisz.

Następne kroki

• Aby zsynchronizować urządzenia, rozpowszechnić urządzenia wśród użytkowników i zarządzać tokenami, zobacz Zarządzanie urządzeniami i tokenami ADE w systemie macOS.
• Aby odnowić lub usunąć token programu rejestracji, zobacz Konfigurowanie tokenu usługi ADE systemu macOS.
• Użyj akcji zdalnego urządzenia w usłudze Microsoft Intune, aby zdalnie zarządzać zarejestrowanymi komputerami Mac.