Configurar o registro automatizado de dispositivo para macOS

Aplica-se a: macOS

Este artigo descreve como criar uma política de registro para o registro automatizado de dispositivo (ADE) do macOS no Microsoft Intune. Para obter uma visão geral do ADE e da configuração de pré-requisitos, consulte Visão geral do Registro de Dispositivo Automatizado da Apple para macOS.

Pré-requisitos

Ao registrar dispositivos macOS usando ADE com afinidade de usuário e Assistente de Configuração com autenticação moderna, os usuários devem entrar no aplicativo do Portal da Empresa com suas credenciais do Microsoft Entra para concluir o registro do dispositivo no Microsoft Entra ID. Para adicionar o aplicativo Portal da Empresa a dispositivos macOS, consulte Adicionar o aplicativo Portal da Empresa para macOS.

Para disponibilizar o SSO (logon único) do Microsoft Entra ID durante o Assistente de Configuração, crie uma política de SSO de plataforma antes do registro dos dispositivos. As políticas de SSO da plataforma são implantadas para registrar dispositivos macOS durante o ADE (registro automatizado de dispositivos) e permitem que os usuários entrem com suas credenciais de organização durante a configuração do dispositivo. Essa configuração permite que os usuários acessem automaticamente os aplicativos e recursos protegidos pelo Microsoft Entra após o registro. Para obter mais informações, consulte Configurar o SSO da plataforma durante o registro automatizado do dispositivo para macOS.

Criar uma política de registro

Crie uma política de registro de dispositivo automatizado no centro de administração. A política define a experiência de registro para os dispositivos Mac da sua organização e impõe políticas e configurações de registro em dispositivos de registro. A política é implantada em dispositivos atribuídos over-the-air.

No final deste procedimento, você pode atribuir essa política aos grupos de dispositivos do Microsoft Entra.

1. No Centro de administração do Microsoft Intune, acesse Dispositivos.

2. Expanda Integração de dispositivos e selecione Registro.

3. Selecione a guia do macOS .

4. Em Métodos de Registro em Massa, selecione Tokens do programa de registro.

5. Selecione um token do programa de registro.

6. Selecione Políticas> de registroCriar política>macOS.

   Importante

   Você deve atribuir uma política de registro a seus dispositivos antes que eles se tornem ativos. Recomendamos que você defina uma política de registro padrão o mais rápido possível para que, à medida que os dispositivos forem sincronizados do Apple Business ou do Apple School Manager e ativados, eles possam ser registrados corretamente por meio do registro automatizado de dispositivos. Se um dispositivo que você sincronizou da Apple não receber uma política de registro e alguém o ativar para configurá-lo, o registro falhará.

7. Em Basics, insira um nome e uma descrição para a política para que você possa distingui-la de outras políticas de registro. Esses detalhes não são visíveis para os usuários do dispositivo.

   Dica

   Você pode usar o campo de nome para criar um grupo dinâmico no Microsoft Entra ID e atribuir dispositivos à política de registro automaticamente. Use o nome da política para definir o parâmetro enrollmentProfileName . Para obter mais informações, consulte Grupos dinâmicos do Microsoft Entra.

8. Selecione Avançar.

9. Na guia Grupo de dispositivos, opcionalmente, selecione um grupo de segurança do Microsoft Entra a ser usado para o agrupamento de tempo de registro. O grupo é mapeado diretamente para essa política de registro e você pode editá-la após a criação da política.

   Somente grupos de segurança estáticos do Microsoft Entra estão disponíveis para seleção. Para definir essa configuração, você deve ter a permissão de atribuição de associação do dispositivo de tempo de registro em uma função RBAC personalizada (em Programas de registro).

   Para obter mais informações sobre como funciona o agrupamento de tempo de registro, consulte Agrupamento de tempo de registro no Microsoft Intune.

10. Selecione Avançar.

11. Na guia Configurações , configure a Afinidade do Usuário. A afinidade do usuário determina se os dispositivos são registrados com ou sem um usuário atribuído. Suas opções:

    • Inscreva-se sem afinidade de usuário: registre dispositivos que não estão associados a um único usuário. Escolha essa opção para dispositivos compartilhados e dispositivos que não precisam acessar dados do usuário local. O aplicativo do Portal da Empresa não funciona nesses tipos de dispositivos. A inscrição sem afinidade de usuário também é conhecida como inscrição sem usuário.

    Importante

    Não direcione os perfis de configuração de SSO de plataforma (PSSO) que permitem o registro de PSSO durante o Assistente de Configuração para dispositivos ADE (Registro de Dispositivo Automatizado) sem usuário. Isso pode causar um comportamento de registro inesperado e resultar na perda de afinidade esperada do dispositivo. Consulte Configurar o SSO da plataforma durante o registro

    • Inscreva-se com afinidade de usuário: registre dispositivos associados a um usuário atribuído. Escolha essa opção para dispositivos de trabalho que pertencem aos usuários e se você quiser exigir que os usuários tenham o aplicativo do Portal da Empresa para instalar aplicativos. A autenticação multifator (MFA) está disponível com essa opção. A inscrição com afinidade de usuário também é conhecida como inscrição com um usuário.

      A opção 2 requer mais configurações. Os usuários devem se autenticar antes do registro para confirmar sua identidade. Selecione um dos seguintes métodos de autenticação:

      • Assistente de Configuração com autenticação moderna (recomendado): esse método exige que os usuários concluam todas as telas do Assistente de Configuração e entrem no aplicativo do Portal da Empresa com suas credenciais do Microsoft Entra antes de poderem acessar recursos. Depois de entrar no Portal da Empresa, o dispositivo:

        • Registra-se no Microsoft Entra ID.
        • É adicionado ao registro de dispositivo do usuário no Microsoft Entra ID.
        • Pode ser avaliado quanto à conformidade do dispositivo.
        • Ganha acesso a recursos protegidos por Acesso Condicional.

        Se o usuário não entrar no Portal da Empresa para concluir o registro, ele será redirecionado para o aplicativo do Portal da Empresa sempre que tentar abrir um aplicativo gerenciado com proteção de Acesso Condicional.

        Dispositivos que executam o macOS 10.15 e posterior podem usar esse método. Dispositivos macOS mais antigos voltam a usar o método herdado do Assistente de Configuração. Para obter mais informações sobre como obter o aplicativo do Portal da Empresa para usuários do Mac, consulte Adicionar o aplicativo do Portal da Empresa para macOS.

      Importante

      Recomendamos o uso do Assistente de Configuração com autenticação moderna para seus dispositivos Apple para cenários ADE (registro automatizado de dispositivo) com afinidade de dispositivo de usuário. Embora o uso da autenticação herdada permaneça disponível, não recomendamos seu uso.

      • Assistente de Configuração (herdado) (não é mais recomendado): use o Assistente de Configuração legado se quiser que os usuários experimentem a experiência pronta para uso típica dos produtos Apple. Esse método instala configurações padrão pré-configuradas quando o dispositivo é registrado no gerenciamento do Intune. Se estiver usando os Serviços de Federação do Active Directory e o Assistente de Configuração para se autenticar, você precisará de um Nome de usuário/Ponto de extremidade misto do WS-Trust 1.3. Para obter mais informações sobre como recuperar o ponto de extremidade do ADFS, consulte Get-ADfsEndpoint.

12. Aguardar configuração final permite uma experiência bloqueada no final do Assistente de Configuração para garantir que suas políticas de configuração de dispositivo mais críticas sejam instaladas no dispositivo. Essa configuração é aplicada uma vez durante a experiência de registro de dispositivo automatizado da Apple no Assistente de Configuração. O usuário do dispositivo não o experimenta novamente, a menos que registre novamente o Mac.

    Suas opções:

    • Sim: pouco antes de a tela inicial ser carregada, o Assistente de Configuração faz uma pausa e permite que Intune marcar com o dispositivo. A experiência do usuário final é bloqueada enquanto os usuários aguardam as configurações finais. Essa opção é a configuração padrão para novas políticas de registro.

    • Não: o dispositivo é liberado para a tela inicial quando o Assistente de Configuração é encerrado, independentemente do status de instalação da política. Os usuários do dispositivo poderão acessar a tela inicial ou alterar as configurações do dispositivo antes que todas as políticas sejam instaladas. Essa opção é a configuração padrão para políticas de registro existentes.

    A quantidade de tempo que os usuários são mantidos na tela Aguardando configuração final varia e depende do número total de políticas e aplicativos que você atribui ao dispositivo. Os usuários podem ver as políticas de configuração de dispositivo sendo baixadas no Assistente de Configuração enquanto aguardam. Quanto mais políticas e aplicativos forem atribuídos, maior será o tempo de espera. O Assistente de Configuração e o Intune não impõem um limite de tempo mínimo ou máximo durante esta parte da instalação. Durante a validação do produto, a maioria dos dispositivos que testamos foi liberada e conseguiu acessar a tela inicial em 15 minutos. Se você habilitar esse recurso e estiver trabalhando com um parceiro da Microsoft ou serviço que não seja da Microsoft para ajudá-lo a provisionar dispositivos, informe-os sobre o potencial de aumento do tempo de provisionamento.

    A experiência bloqueada é compatível com Macs executando o macOS 10.11 ou posterior. Ele funciona em Macs direcionados a políticas de registro novas ou existentes configuradas para estes cenários:

    • Registro por meio do Assistente de Configuração com autenticação moderna
    • Registro com o Assistente de Configuração (herdado)
    • Registro sem afinidade de dispositivo de usuário

13. Você pode impor o registro bloqueado para impedir que os usuários cancelem o registro de seus dispositivos no Intune. Selecione Sim para desativar as configurações do Mac nas Preferências do Sistema e no Terminal que permitem aos usuários remover a política de gerenciamento. Depois que o dispositivo for registrado, você não poderá alterar essa configuração sem apagar o dispositivo.

14. Opcionalmente, em Configurações da conta, configure as contas de administrador e de usuário locais nos Macs de destino.

    Quando um dispositivo macOS com suporte é registrado no Intune por meio de uma política de ADE (registro automatizado de dispositivo) que configura o administrador local, o dispositivo é habilitado para configuração de conta local macOS com a LAPS (solução de senha de administrador local) da Microsoft. Com esse recurso, os dispositivos recém-registrados recebem uma conta de administrador local exclusiva que tem uma senha de administrador forte, criptografada e aleatória (15 caracteres alfanuméricos), que também é armazenada e criptografada pelo Intune. Após o registro, o Intune alterna automaticamente uma senha de administrador gerenciada pelo LAPS a cada seis meses por padrão e dá suporte à pesquisa e rotação manual da senha de administrador por administradores do Intune com permissões suficientes.

    Para obter informações sobre como configurar e gerenciar esse recurso, consulte Configurar a configuração da conta do macOS com o LAPS.

    As configurações a seguir para a conta de usuário local são compatíveis com dispositivos que executam o macOS 12 ou posterior. Ao configurar a conta principal, lembre-se de que essa conta será uma conta de administrador . Ter pelo menos uma conta de administrador é um requisito de configuração do Mac. Se você também estiver configurando a senha do administrador local por meio dessa política, consulte a conta de administrador local no artigo Configurar a configuração da conta do macOS com o LAPS e retorne aqui.

    Suas opções:

    • Criar uma conta de usuário local: selecione Sim para definir as configurações da conta de usuário local para os Macs de destino. Selecione Não configurado para ignorar todas as configurações de configuração da conta.

    • Pré-preencher informações da conta: a configuração padrão, Não configurada, exige que o usuário do dispositivo insira o nome de usuário e o nome completo da conta no Assistente de Configuração. Para preencher previamente as informações da conta para eles, selecione Sim. Em seguida, insira o nome da conta principal e o nome completo:

    • Nome de usuário da conta de usuário local:

      • {{serialNumber}} - por exemplo, F4KN99ZUG5V2
      • {{partialupn}} - por exemplo, John
      • {{managedDeviceName}} - por exemplo, 15/F2AL10ZUG4W2_14_4/2025_12:45PM
      • {{OnPremisesSamAccountName}} - por exemplo, contoso\John

    • Nome completo da conta de usuário local::

      • {{username}} - por exemplo, John@contoso.com
      • {{serialNumber}} - por exemplo, F4KN99ZUG5V2
      • {{OnPremisesSamAccountName}} - por exemplo, contoso\John

    • Restringir edição: a configuração padrão é definida como Sim para que os usuários do dispositivo não possam editar o nome da conta e o nome completo configurado para eles. Para permitir que os usuários do dispositivo editem o nome da conta e o nome completo, selecione Não configurado. Se você estiver usando apenas o Assistente de Configuração (herdado) para registrar dispositivos que executam o macOS 10.15 e posterior, poderá esperar a seguinte experiência do usuário final:

      • Sim: a tela de criação de conta no Assistente de Configuração nunca é exibida. Em vez disso, a conta de usuário local é criada automaticamente com base nas outras configurações de configuração e a senha é preenchida automaticamente na tela de autenticação do Microsoft Entra. O usuário do dispositivo não pode editar esses campos.
      • Não configurado: a tela de conta de usuário local é mostrada para o usuário final no Assistente de Configuração e é preenchida com os valores de conta configurados e a senha da tela de autenticação do Microsoft Entra. O usuário do dispositivo pode editar esses campos durante o Assistente de Configuração.

    Para que as configurações de conta funcionem conforme o esperado, sua política de registro deve ter as seguintes configurações:

    • Afinidade do usuário: selecione Registrar com afinidade do usuário.
    • Método de autenticação: Selecione Assistente de Configuração com autenticação moderna ou Assistente de Configuração (herdado).
    • Aguardar configuração final: Selecione Sim.

    As contas locais dependem do recurso de configuração final await quando estão sendo criadas. Como resultado, se você definir qualquer administrador local ou configurações de conta de usuário, essa configuração estará sempre habilitada. Mesmo que você não toque na definição de configuração final de espera, ela estará sempre habilitada em segundo plano e aplicada à política de registro.

15. No Assistente de configuração, configure a experiência do Assistente de configuração.

    1. Insira as informações do departamento para que os usuários saibam quem contatar para obter suporte:
       • Nome do Departamento: Esse nome aparece quando os usuários do dispositivo selecionam Sobre a configuração durante a ativação.
       • Telefone do Departamento: Este número de telefone aparece quando os usuários do dispositivo selecionam Precisa de Ajuda durante a ativação.
    2. Selecione as telas do Assistente de Configuração que você deseja mostrar ou ocultar durante a configuração do dispositivo. Para obter uma descrição de todas as telas, consulte Referência de tela do Assistente de Configuração (neste artigo). Suas opções:
       • Ocultar: a tela não aparece para os usuários durante a configuração do dispositivo. Após a configuração do dispositivo, o usuário pode acessar as configurações do dispositivo para configurar o recurso.
       • Mostrar: a tela aparece para os usuários durante a configuração do dispositivo. O usuário ainda pode pular telas que não exigem ação imediata. Após a configuração do dispositivo, o usuário pode acessar as configurações do dispositivo para configurar o recurso.

16. Selecione Avançar.

17. Examine o resumo das alterações e selecione Criar para concluir a criação da política.

Referência de tela do Assistente de Configuração

A tabela a seguir descreve as telas do Assistente de Configuração mostradas durante o registro automatizado de dispositivo para Macs. Você pode mostrar ou ocultar essas telas em dispositivos com suporte durante o registro. Para obter mais informações sobre como cada tela do Assistente de Configuração afeta a experiência do usuário, consulte estes recursos da Apple:

• Guia de implantação da plataforma Apple: Gerenciar o Assistente de Configuração para dispositivos Apple
• Documentação do Desenvolvedor da Apple: ShipKeys

Atribuir uma política de registro a dispositivos

Atribua uma política de registro a dispositivos macOS.

1. Retorne para Tokens do programa de registro e selecione um token.
2. Selecione Dispositivos.
3. Escolha seus dispositivos na lista e selecione Atribuir política.
4. Escolha uma política para atribuir e selecione Atribuir.

Opcionalmente, você pode selecionar uma política de registro padrão. A política padrão é implantada em todos os dispositivos de registro associados ao token.

1. Retorne para Tokens do programa de registro e selecione um token.
2. Selecione Definir Política Padrão.
3. Escolha uma política e, em seguida, selecione Salvar.

Próximas etapas

• Para sincronizar dispositivos, distribuir dispositivos aos usuários e gerenciar tokens, consulte Gerenciar dispositivos e tokens macOS ADE.
• Para renovar ou excluir o token do programa de registro, consulte Configurar um token ADE do macOS.
• Use Ações de Dispositivo Remoto no Microsoft Intune para gerenciar remotamente os Macs registrados.