Configurar o registro automatizado de dispositivo para iOS/iPadOS

Aplica-se a: iOS/iPadOS

Este artigo descreve como criar uma política de registro para o registro automatizado de dispositivo iOS/iPadOS (ADE) no Microsoft Intune. Para obter uma visão geral do ADE e da configuração de pré-requisitos, consulte Visão geral do Registro de Dispositivo Automatizado da Apple.

Pré-requisitos

Configurações relacionadas

Se sua organização usa o gerenciamento de acesso da Apple, você pode opcionalmente definir as configurações de gerenciamento de acesso da Apple no Apple Business ou no Apple School Manager para controlar em quais dispositivos iOS/iPadOS de propriedade da organização os usuários podem iniciar sessão com contas da Apple e quais aplicativos e serviços estão disponíveis. Essas configurações são definidas na Apple e impostas pelo Microsoft Intune após o registro. Eles não são necessários para concluir a configuração do ADE. Para obter mais informações, consulte Configurar o acesso ao serviço para contas da Apple.

Implantar o aplicativo do Portal da Empresa

Ao usar o ADE (registro automatizado de dispositivo), implante o aplicativo Portal da Empresa do Portal da Empresa do Intune por meio do Intune, não por meio da App Store. A implantação por meio do Intune é a única maneira de:

• Certifique-se de que todos os dispositivos ADE, incluindo os já registrados, recebam o aplicativo.
• Habilite atualizações automáticas de aplicativos para o Portal da Empresa em dispositivos ADE.

Implantar o Portal da Empresa como um aplicativo VPP

Implante o aplicativo como um aplicativo VPP necessário com licenciamento de dispositivo. Para obter informações sobre como sincronizar, atribuir e gerenciar um aplicativo VPP, consulte Atribuir um aplicativo comprado por volume.

Para habilitar atualizações automáticas de aplicativo para o Portal da Empresa, acesse as configurações de token de aplicativo no centro de administração e altere Atualizações automáticas de aplicativo para Sim. Consulte Carregar um token de localização do Apple VPP ou Apple Business para obter as etapas para acessar suas configurações de token. Se você não habilitar as atualizações automáticas, o usuário do dispositivo deverá marcá-las manualmente.

Testar um dispositivo (transição de sem usuário para afinidade de usuário)

O preparo de dispositivo é usado para fazer a transição de um dispositivo sem afinidade de usuário para um dispositivo com afinidade de usuário. Para preparar um dispositivo, configure a implantação do VPP conforme descrito anteriormente. Em seguida, configure e implante uma política de configuração de aplicativo. Certifique-se de que a política seja direcionada apenas aos dispositivos ADE sem afinidade de usuário.

Criar uma política de registro da Apple

Crie uma política de registro para registro automatizado de dispositivos. Uma política de registro de dispositivo define as configurações aplicadas a um grupo de dispositivos durante o registro. Há um limite de 1.000 políticas de registro por token de registro.

1. No Centro de administração do Microsoft Intune, acesse Dispositivos.

2. Expanda Integração de dispositivos e selecione Registro.

3. Selecione a guia Apple para dispositivos móveis .

4. Escolha Tokens do programa de registro.

5. Escolha um token e selecione Políticas de registro.

6. Selecione Criar política>iOS/iPadOS.

7. Para Informações básicas, dê à política um Nome e uma Descrição para fins administrativos. Os usuários não veem esses detalhes.

8. Selecione Avançar.

   Importante

   Você deve atribuir uma política de registro a seus dispositivos antes que eles se tornem ativos. Recomendamos que você defina uma política de registro padrão o mais rápido possível para que, à medida que os dispositivos forem sincronizados do Apple Business ou do Apple School Manager e ativados, eles possam ser registrados corretamente por meio do registro automatizado de dispositivos. Se um dispositivo que você sincronizou da Apple não receber uma política de registro e alguém o ativar para configurá-lo, o registro falhará.

   Importante

   Se você fizer alterações em uma política de registro existente, as novas configurações não entrarão em vigor nos dispositivos atribuídos até que os dispositivos sejam redefinidos de volta às configurações de fábrica e reativados. A configuração do modelo de nome do dispositivo é a única configuração que você pode alterar que não requer uma redefinição de fábrica para entrar em vigor. As alterações no modelo de nomenclatura entram em vigor no próximo check-marca.

9. Na guia Grupo de dispositivos, opcionalmente, selecione um grupo de segurança do Microsoft Entra a ser usado para o agrupamento de tempo de registro. O grupo é mapeado diretamente para essa política de registro e você pode editá-la após a criação da política.

   Somente grupos de segurança estáticos do Microsoft Entra estão disponíveis para seleção. Para definir essa configuração, você deve ter a permissão de atribuição de associação do dispositivo de tempo de registro em uma função RBAC personalizada (em Programas de registro).

   Para obter mais informações sobre como funciona o agrupamento de tempo de registro, consulte Agrupamento de tempo de registro no Microsoft Intune.

10. Selecione Avançar.

11. Na guia Configurações , configure a Afinidade do Usuário. A afinidade do usuário determina se os dispositivos são registrados com ou sem um usuário atribuído. Suas opções:

    • Registrar com Afinidade de Usuário: selecione essa opção para dispositivos que pertencem a usuários que desejam usar o Portal da Empresa para serviços como instalação de aplicativos. A inscrição com afinidade de usuário também é conhecida como inscrição com um usuário.

    • Registrar sem afinidade de usuário: selecione essa opção para dispositivos que não são afiliados a um único usuário. Use esta opção para dispositivos que não acessam dados de usuário local. Esta opção é normalmente usada para quiosque, POS (ponto de venda) ou dispositivos de utilitário compartilhado. A inscrição sem afinidade de usuário também é conhecida como inscrição sem usuário.

      Em algumas situações, talvez você queira associar um usuário principal a dispositivos registrados sem afinidade de usuário. Para executar essa tarefa, você pode enviar a chave IntuneUDAUserlessDevice para o aplicativo Portal da Empresa em uma política de configuração de aplicativo para dispositivos gerenciados. O primeiro usuário que entrar no aplicativo Portal da Empresa é estabelecido como o usuário primário. Se o primeiro usuário sair e um segundo entrar, o primeiro continuará sendo o usuário primário do dispositivo. Para obter mais informações, confira o artigo Configurar o aplicativo Portal da Empresa para dar suporte a dispositivos de ADE com iOS e iPadOS.

    • Inscreva-se no modo compartilhado do Microsoft Entra ID: selecione esta opção para registrar dispositivos que estarão no modo compartilhado.

12. Se você selecionou Registrar com Afinidade do Usuário para o campo Afinidade do Usuário , terá a opção de escolher o método de autenticação que os funcionários devem usar. Para obter mais informações sobre cada método de autenticação, consulte Métodos de autenticação para registro automatizado de dispositivo.

    Suas opções:

    • Portal da Empresa
    • Assistente de Configuração com autenticação moderna

    Importante

    Recomendamos o uso do Assistente de Configuração com autenticação moderna para seus dispositivos Apple para cenários ADE (registro automatizado de dispositivo) com afinidade de dispositivo de usuário. Embora o uso da autenticação herdada permaneça disponível, não recomendamos seu uso.

13. Se você selecionou o Assistente de Configuração (herdado) para o método de autenticação, mas também deseja usar o Acesso Condicional ou implantar aplicativos da empresa nos dispositivos, será necessário instalar o Portal da Empresa nos dispositivos e entrar para concluir o registro do Microsoft Entra. Para isso, selecione Sim para Instalar o Portal da Empresa. Se você quiser que os usuários recebam o Portal da Empresa sem precisar se autenticar na App Store, em Instalar o Portal da Empresa com VPP, selecione um token VPP. Verifique se o token não expira e se você tem licenças de dispositivo suficientes para que o aplicativo Portal da Empresa seja implantado corretamente.

14. Se você selecionou um token para Instalar o Portal da Empresa com o VPP, pode bloquear o dispositivo no Modo de Aplicativo Único (especificamente, o aplicativo Portal da Empresa) logo após a conclusão do Assistente de Configuração. Selecione Sim para Executar Portal da Empresa no Modo de Aplicativo Único até a autenticação para definir essa opção. Para usar o dispositivo, o usuário deve primeiro se autenticar entrando no Portal da Empresa.

    Observação

    Não há suporte para a autenticação multifator em um dispositivo único bloqueado no Modo de Aplicativo Único. Essa limitação existe porque o dispositivo não pode alternar para um aplicativo diferente a fim de concluir o segundo fator de autenticação. Se você quiser ter autenticação multifator em um dispositivo no Modo de Aplicativo Único, o segundo fator precisará estar em um dispositivo diferente.

    Esse recurso tem suporte somente no iOS/iPadOS 11.3.1 e posteriores.

    

15. Se você quiser que os dispositivos que usam essa política sejam supervisionados, selecione Sim na lista Supervisionados .

    Os dispositivos supervisionados permitem mais opções de gerenciamento e desabilitam o Bloqueio de Ativação por padrão. Recomendamos que você use o ADE como o mecanismo para habilitar o modo supervisionado, especialmente se você estiver implantando um grande número de dispositivos iOS/iPadOS. Os dispositivos Apple Shared iPad for Business precisam ser supervisionados.

    Os usuários são notificados de que seus dispositivos são supervisionados no aplicativo Configurações . No aplicativo na parte superior da tela, uma mensagem estática informa que este iPhone é supervisionado e gerenciado por <your organization>.

    Observação

    Se um dispositivo estiver registrado sem supervisão, você precisará usar o Apple Configurator para configurá-lo como supervisionado. Para redefinir o dispositivo dessa forma, você precisa conectá-lo a um Mac com um cabo USB. Para saber mais, confira a Ajuda do Apple Configurator.

16. Para Registro bloqueado, selecione Sim ou Não. O registro bloqueado desabilita as configurações do iOS/iPadOS que permitem que o perfil de gerenciamento seja removido. Se você habilitar a inscrição bloqueada, o botão no aplicativo Configurações que permite aos usuários remover um perfil de gerenciamento ficará oculto e os usuários não poderão cancelar o registro do dispositivo. Se você estiver configurando dispositivos no modo compartilhado do Microsoft Entra ID, selecione Sim.

    O registro bloqueado funciona de maneira um pouco diferente, no início, em dispositivos não comprados originalmente por meio do Apple Business, mas posteriormente adicionados para fazer parte do registro automatizado de dispositivos: os usuários nesses dispositivos podem ver o botão remover gerenciamento no aplicativo Configurações pelos primeiros 30 dias após a ativação do dispositivo. Após esse período provisório, essa opção ficará oculta. Para obter mais informações, consulte Preparar dispositivos manualmente (abre os documentos de Ajuda do Apple Configurator).

    Importante

    Essa configuração é diferente das opções de remoção e redefinição no aplicativo do Portal da Empresa. Independentemente de como você configura o registro bloqueado, as opções Remover Dispositivo ou Redefinição de Fábrica no aplicativo do Portal da Empresa permanecem indisponíveis em dispositivos registrados por meio do registro automatizado de dispositivos. Os usuários também não poderão remover o dispositivo no site do Portal da Empresa. Para obter mais informações sobre as ações de autoatendimento disponíveis nos dispositivos registrados, consulte Ações de autoatendimento.

17. Se você selecionou Registrar sem Afinidade de Usuário e Supervisionado nas etapas anteriores, precisa decidir se deseja configurar os dispositivos para serem Dispositivos Apple Shared iPad for Business. Selecione Sim para Shared iPad para permitir que vários usuários entrem em um único dispositivo. Os usuários se autenticam usando seus Apple IDs gerenciados e contas de autenticação federada ou usando uma sessão temporária (como a conta de convidado). Esta opção exige o iOS/iPadOS 13.4 ou posterior. Com o Shared iPad, todos os painéis do Assistente de Instalação são ignorados automaticamente após a ativação.

    Observação

    • Um apagamento do dispositivo será necessário se uma política de registro do iOS/iPadOS com o iPad Compartilhado habilitado for enviada para um dispositivo sem suporte. Os dispositivos sem suporte incluem modelos de iPhone e iPads executando o iPadOS/iOS 13.3 e anteriores. Os dispositivos com suporte incluem iPads executando o iPadOS 13.3 e posteriores.
    • Se quiser configurar o Apple Shared iPad for Business, defina as seguintes configurações:
      • Na lista Afinidade de Usuário, selecione Registrar sem Afinidade de Usuário.
      • Na lista Supervisionado, selecione Sim.
      • Na lista do Shared iPad, selecione Sim.

    Se estiver configurando o Apple Shared iPad for Business, configure também:

    • Máximo de usuários armazenados em cache: insira o número de usuários que você acredita que usarão o Shared iPad. Você pode armazenar em cache até 24 usuários em um dispositivo de 32 ou de 64 GB. Se você escolher um número baixo, poderá levar algum tempo para que os dados dos usuários sejam exibidos nos dispositivos após entrarem. Se você escolher um número alto, seus usuários poderão ficar sem espaço em disco.

    • Máximo de segundos após o bloqueio de tela antes que a senha seja necessária: Insira a quantidade de tempo em segundos. Os valores aceitos incluem: 0, 60, 300, 900, 3600 e 14400. Se o bloqueio de tela exceder este tempo, uma senha de dispositivo será necessária para desbloquear o dispositivo. Disponível para dispositivos no modo Shared iPad executando o iPadOS 13.0 e posterior.

    • Máximo de segundos de inatividade até que a sessão do usuário seja desconectada: o valor mínimo permitido para essa configuração é 30. Se não houver nenhuma atividade após o período definido, a sessão do usuário terminará e desconectará o usuário. Se você deixar a entrada em branco ou defini-la como zero (0), a sessão nunca terminará devido à inatividade. Disponível para dispositivos no modo Shared iPad executando o iPadOS 14.5 e posterior.

    • Solicitar somente sessão temporária do iPad Compartilhado: configura o dispositivo para que os usuários vejam apenas a versão de convidado da experiência de entrada e devem entrar como convidados. Não podem entrar com uma ID gerenciada da Apple. Disponível para dispositivos no modo Shared iPad executando o iPadOS 14.5 e posterior.

      Quando definida como Sim, essa configuração cancela as seguintes configurações compartilhadas do iPad, pois elas não são aplicáveis em sessões temporárias:

      • Máximo de usuários armazenados em cache
      • Máximo de segundos após o bloqueio da tela antes que a senha seja solicitada
      • Máximo de segundos de inatividade até que a sessão do usuário seja desconectada

    • Máximo de segundos de inatividade até que a sessão temporária seja desconectada: o valor mínimo permitido para essa configuração é 30. Se não houver nenhuma atividade após o período definido, a sessão temporária terminará e desconectará o usuário. Se você deixar a entrada em branco ou defini-la como zero (0), a sessão nunca terminará devido à inatividade. Disponível para dispositivos no modo Shared iPad executando o iPadOS 14.5 e posterior.

      Esta configuração estará disponível quando a configuração Requerer apenas uma sessão Shared iPad temporária estiver definida como Sim.

    Observação

    • Se as sessões temporárias estiverem habilitadas, todos os dados do usuário serão excluídos quando saírem da sessão. Isso significa que todas as políticas e aplicativos visados chegarão ao usuário quando ele entrar e serão apagados quando sair.
    • Para alterar uma configuração de iPads Compartilhados para não ter sessões temporárias, o dispositivo precisará ser totalmente redefinido e uma nova política de registro com as configurações atualizadas precisará ser enviada para o iPad.

18. Para Aguardar configuração final, suas opções são:

    • Sim: habilite uma experiência bloqueada no final do Assistente de Configuração para garantir que suas políticas de configuração de dispositivo mais críticas sejam instaladas no dispositivo. Pouco antes de a tela inicial ser carregada, o Assistente de Configuração faz uma pausa e permite que Intune marcar com o dispositivo. A experiência do usuário final é bloqueada enquanto os usuários aguardam as configurações finais.

      A quantidade de tempo que os usuários são mantidos na tela Aguardando configuração final varia e depende do número total de políticas e aplicativos aplicados ao dispositivo. Quanto mais políticas e aplicativos atribuídos ao dispositivo, maior será o tempo de espera. O Assistente de Configuração e o Microsoft Intune não impõem um limite de tempo mínimo ou máximo durante esta parte da instalação. Durante a validação do produto, a maioria dos dispositivos que testamos foi liberada e conseguiu acessar a tela inicial em 15 minutos. Se você habilitar esse recurso e estiver usando alguém de fora da Microsoft para ajudá-lo a provisionar dispositivos, informe a pessoa sobre o potencial de aumento do tempo de provisionamento.

      Observação

      Somente as políticas de configuração do dispositivo começam a ser instaladas durante a tela de configuração final aguardando, e os aplicativos não estão incluídos nisso.

      A experiência bloqueada funciona em dispositivos direcionados com políticas de registro novas e existentes. Os dispositivos com suporte incluem:

      • Dispositivos iOS/iPadOS 13 e posteriores registrando-se com o Assistente de Configuração com autenticação moderna
      • Dispositivos iOS/iPadOS 13 e posteriores registrados sem afinidade de usuário
      • Dispositivos iOS/iPadOS 13 e posteriores registrando-se com o modo compartilhado do Microsoft Entra ID

      Essa configuração é aplicada uma vez durante a experiência de registro de dispositivo automatizado pronto para uso no Assistente de Configuração. O usuário do dispositivo não experimenta novamente, a menos que registre novamente o dispositivo. Sim , é a configuração padrão para novas políticas de registro.

    • Não: o dispositivo é liberado para a tela inicial quando o Assistente de Configuração é encerrado, independentemente do status de instalação da política. Os usuários do dispositivo poderão acessar a tela inicial ou alterar as configurações do dispositivo antes que todas as políticas sejam instaladas. Não é a configuração padrão para as políticas de registro existentes

    A configuração de espera não está disponível em políticas com esta combinação de configurações:

    • Afinidade de usuário: Inscreva-se sem afinidade de usuário (Etapa 6 nesta seção)
    • iPad compartilhado: Sim (Etapa 12 nesta seção)

19. Opcionalmente, crie um modelo de nome de dispositivo para identificar rapidamente os dispositivos aos quais essa política foi atribuída no centro de administração. O Intune usa seu modelo para criar e formatar nomes de dispositivo. Os nomes são fornecidos aos dispositivos quando eles são registrados e em cada marcação sucessiva. Para criar um modelo:

20. Em Aplicar modelo de nome de dispositivo, selecione Sim .

21. Na caixa Modelo de Nome do Dispositivo , insira o modelo que você deseja usar para construir nomes de dispositivo. O modelo pode incluir o tipo de dispositivo e o número de série. Ela não pode conter mais de 63 caracteres, incluindo as variáveis. Exemplo: {{DEVICETYPE}}-{{SERIAL}}

22. Você pode ativar um plano de dados de celular. Essa configuração se aplica a dispositivos que executam iOS/iPadOS 13.0 e posterior. Configurar esta opção envia um comando para ativar planos de dados da rede celular para seus dispositivos celulares habilitados para eSim. Sua operadora deve provisionar ativações para seus dispositivos antes que você possa ativar planos de dados usando este comando. Para ativar um plano de dados da rede celular, selecione Sim e insira a URL do servidor de ativação da sua operadora.

23. No Assistente de Configuração, defina as seguintes configurações de política:

    Configuração do departamento	Descrição
    Departamento	Aparece quando os usuários tocam em Sobre a Configuração durante a ativação.
    Telefone do Departamento	Aparece quando os usuários tocam no botão Precisa de Ajuda durante a ativação.

    Você pode ocultar telas do Assistente de Configuração no dispositivo durante a configuração do usuário. Para obter uma descrição de todas as telas, consulte Referência de tela do Assistente de Configuração (neste artigo).

    • Se você selecionar Ocultar, a tela não será mostrada durante a instalação. Após configurar o dispositivo, o usuário continua podendo acessar o menu Configurações para configurar o recurso.
    • Se você selecionar Mostrar, a tela será mostrada durante a instalação, mas somente se houver etapas a serem concluídas após a restauração ou após a atualização do software. Às vezes, os usuários podem ignorar a tela sem executar nenhuma ação. Podem acessar o menu Configurações do dispositivo mais tarde para configurar o recurso.
    • Com o Shared iPad, todos os painéis do Assistente de Instalação são ignorados automaticamente após a ativação, independentemente da configuração.

24. Selecione Avançar.

25. Para salvar a política, selecione Criar.

Grupos dinâmicos no Microsoft Entra ID

Você pode usar o campo Nome da inscrição para criar um grupo dinâmico no Microsoft Entra ID. Para obter mais informações, consulte Grupos dinâmicos do Microsoft Entra.

Você pode usar o nome da política para definir o parâmetro enrollmentProfileName para atribuir dispositivos com essa política de registro.

Antes da configuração do dispositivo, e para garantir a entrega rápida aos dispositivos com afinidade de usuário, verifique se o usuário inscrito é membro de um grupo de usuários do Microsoft Entra.

Se você atribuir grupos dinâmicos a políticas de registro, poderá haver um atraso na entrega de aplicativos e políticas aos dispositivos após o registro.

Referência de tela do Assistente de Configuração

A tabela a seguir descreve as telas do Assistente de Configuração mostradas durante o registro de dispositivo automatizado para iOS/iPadOS. Você pode mostrar ou ocultar essas telas em dispositivos com suporte durante o registro. Para obter mais informações sobre como cada tela do Assistente de Configuração afeta a experiência do usuário, consulte estes recursos da Apple:

• Guia de implantação da plataforma Apple: Gerenciar o Assistente de Configuração para dispositivos Apple
• Documentação do Desenvolvedor da Apple: SkipKeys

Atribuir uma política de registro a dispositivos

Antes que os dispositivos possam ser registrados, você precisa atribuir uma política de registro a eles.

1. No Centro de administração do Microsoft Intune, acesse Dispositivos.
2. Expanda Integração de dispositivos e selecione Registro.
3. Selecione a guia Apple para dispositivos móveis .
4. Escolha Tokens do programa de registro.
5. Selecione um token de registro.
6. Selecione Dispositivos.
7. Selecione todos os dispositivos que você deseja atribuir e, em seguida, selecione Atribuir política.
8. Em Atribuir política, escolha a política de registro de dispositivo automatizada que você criou para os dispositivos e selecione Atribuir.

Atribuir uma política padrão

Você pode escolher uma política padrão a ser aplicada a todos os dispositivos que se registram com um token específico.

1. No centro de administração, retorne aos tokens do programa de registro.
2. Selecione um token de registro.
3. Selecione Definir Política Padrão.
4. Selecione uma política na lista e selecione Salvar. A partir daqui, o Intune aplica a política a todos os dispositivos registrados com o token de registro selecionado.

Limitações

Essas telas do Assistente de Configuração não funcionam corretamente em dispositivos que executam iOS/iPadOS 14.5 e posterior:

• Senha
  • Touch ID e Face ID

Oculte ambas as telas em dispositivos que executam o iOS/iPadOS 14.5 e posterior. Se você quiser exigir senhas nesses dispositivos, crie uma política de configuração de dispositivo ou uma política de conformidade com os requisitos de senha. Depois que o usuário se inscrever e receber a política, o requisito de senha entrará em vigor.

Próximas etapas

• Para sincronizar dispositivos, atribuir políticas de registro e distribuir dispositivos aos usuários, consulte Gerenciar dispositivos ADE.
• Para renovar ou excluir o token do programa de registro, consulte Configurar um token ADE.
• Para solução de problemas, consulte Solucionar problemas de registro de dispositivo iOS/iPadOS.