為個人裝置設定帳戶導向的 Apple 使用者註冊 在 Microsoft Intune 註冊。 帳戶導向使用者註冊提供比使用公司入口網站使用者註冊更快且更方便使用的註冊體驗。
裝置使用者在 [設定] 應用程式中登入其公司帳戶以啟動註冊。 使用者核准裝置管理之後，註冊原則會以無訊息方式安裝，並套用 Intune 原則。 Intune 使用 Just-In-Time (JIT) 註冊和 Microsoft Authenticator 應用程式進行驗證，以減少使用者在註冊期間以及存取工作應用程式時必須登入的次數。
了解如何在 Microsoft Intune 中設定帳戶導向的 Apple 使用者註冊，包括如何：
- 設定 JIT 註冊。
- 建立註冊原則。
- 為員工和學生註冊做好準備。
必要條件
裝置平台需求
此註冊方法支援下列平台：
- iOS/iPadOS 15 或更新版本
如果您將帳戶導向的使用者註冊設定檔指派給執行 iOS/iPadOS 14.9 或更早版本的裝置使用者，Microsoft Intune 會使用公司入口網站的使用者註冊來自動註冊這些使用者。
租用戶設定需求
- 將行動裝置管理設定 (MDM) 授權單位
- 取得 Apple MDM 推播憑證
- 為裝置使用者建立管理式 Apple ID (開啟 Apple 支援網站)
您也必須設定服務探索，讓 Apple 能夠連線到 Intune 服務並擷取註冊資訊。 若要完成此必要條件，請在員工登入的相同網域中設定並發佈 HTTP 已知資源檔案。 Apple 會使用 HTTP GET 要求 "https://contoso.com/.well-known/com.apple.remotemanagement"來擷取檔案，並以貴組織的網域 contoso.com取代 。 在可處理 HTTP GET 要求的網域上發佈檔案。
注意事項
已知的資源檔案在儲存時必須不帶副檔名，例如 .json，才能正常運作。
以 JSON 格式建立檔案，並將內容類型設定為 application/json。 您可以將下列 JSON 範例複製並貼到您的檔案中。 使用符合您環境的選項。 將基底 URL 中的 YourAADTenantID 變數取代為貴組織的 Microsoft Entra 租用戶識別碼。
Microsoft Intune 環境：
{"Servers":[{"Version":"mdm-byod", "BaseURL":"https://manage.microsoft.com/EnrollmentServer/PostReportDeviceInfoForUEV2?aadTenantId=YourAADTenantID"}]}
適用於美國政府環境的 Microsoft Intune：
{"Servers":[{"Version":"mdm-byod", "BaseURL":"https://manage.microsoft.us/EnrollmentServer/PostReportDeviceInfoForUEV2?aadTenantId=YourAADTenantID"}]}
由 21 Vianet 在中國環境中運作的 Microsoft Intune：
{"Servers":[{"Version":"mdm-byod", "BaseURL":"https://manage.microsoft.cn/EnrollmentServer/PostReportDeviceInfoForUEV2?aadTenantId=YourAADTenantID"}]}
JSON 範例的其餘部分會填入您需要的所有資訊，包括：
- 版本：伺服器版本為
mdm-byod。 - BaseURL：此 URL 是 Intune 服務所在的位置。
提示
如需有關服務探索技術需求的詳細資訊，請參閱 Apple 開發人員文件中的 實作簡單驗證使用者註冊流程 。
如果未正確設定服務探索，使用者會收到下列錯誤訊息：
- 標題：登入失敗
- 描述：您的 Apple ID 不支援此裝置上的預期服務。 請連絡您的系統管理員以登入。
若要解決此問題，請確定您的網頁伺服器託管內容類型設定為 application/json的服務探索檔案。 您可以執行以下命令來驗證此設定：
curl -I "https://contoso.com/.well-known/com.apple.remotemanagement"
curl -I "https://contoso.com/.well-known/com.apple.remotemanagement?user-identifier=firstname.surname@contoso.com&model-family=iPhone"
這兩個命令應該都傳回 Content-Type: application/json。
最佳做法
我們建議使用額外的設定，以協助改善裝置使用者的註冊體驗。 本節提供每個建議的詳細資訊。
部署公司入口網站 Web 應用程式
部署 Intune 公司入口網站網站的 Web 應用程式版本，讓使用者可以快速存取裝置狀態、裝置動作和合規性資訊。 Web 應用程式會出現在主畫面上，並做為公司入口網站網站的連結。
在沒有 Web 應用程式的情況下，裝置使用者仍然可以存取公司入口網站，但必須開啟瀏覽器並在搜尋欄位中輸入位址。 如需如何新增 Web 應用程式的詳細資訊，請參閱新增 Web 應用程式至 Microsoft Intune。
啟用同盟驗證
Apple 使用者註冊需要你建立並提供受管理的 Apple ID 給註冊使用者。 如果您啟用同盟驗證，其中包括將 Apple Business 與 Microsoft Entra ID 連結，則您不需要建立唯一的 Apple ID 並提供給每個使用者。 相反地，裝置使用者可以使用與公司帳戶相同的認證來登入其應用程式。 如需更多資訊，請參閱《Apple Business 使用手冊》中的「使用 Apple Business 進行聯合認證的介紹 」。
步驟 1：設定 Just-In-Time 註冊並指派 Microsoft Authenticator
設定 Just-In-Time 註冊，並將 Microsoft Authenticator 指派為必要應用程式。 如需步驟，請參閱在 Intune 中設定 JIT 註冊。 完成後，請返回閱讀本文，以便繼續進行下一個步驟。
步驟 2：建立註冊設定檔
為使用帳戶導向的使用者註冊建立註冊裝置的註冊設定檔。 註冊設定檔會觸發裝置使用者的註冊體驗，並可讓他們從 [設定] 應用程式起始註冊。
在 Microsoft Intune 系統管理中心，移至 [裝置>註冊]。
選取 Apple 索引標籤。
在 [註冊選項] 底下，選擇 [註冊類型]。
選取 [建立設定檔>iOS/iPadOS]。
在 [基本] 頁面上，輸入設定檔的名稱和描述，以便將其與系統管理中心中的其他設定檔區分開來。 裝置使用者看不到這些詳細資料。
選取 [下一步]。
在 [ 設定] 頁面上，針對 [註冊類型]，選取您要如何註冊裝置。 您可以選擇註冊方法或允許使用者進行自己的選擇。 他們的選擇將決定 Microsoft Intune 執行的註冊程序。它也會反映在 Microsoft Intune 中的裝置擁有權屬性中。 若要深入了解使用者的體驗，以及註冊期間他們在螢幕上看到的內容，請參閱 設定公司或學校使用的個人 iOS 裝置。
選項包括：
帳戶導向使用者註冊：起始註冊的受指派使用者是使用帳戶導向使用者註冊來註冊。
根據使用者選擇決定：起始註冊的已指派使用者可以選取他們要如何註冊裝置。 他們的選項：
我擁有此裝置： 此選項會顯示更多設定。 使用者可以選擇保護整個裝置，或只保護與工作相關的應用程式和資料。
(公司) 擁有此裝置： 裝置會使用 Apple 裝置註冊進行註冊。 如需詳細資訊，請參閱 Apple 支援網站上的 裝置註冊和 MDM 。
選取 [下一步]。
在 [指派] 頁面上，將設定檔指派給所有使用者，或選取特定群組。 使用者註冊案例不支援裝置群組，因為使用者註冊需要使用者身分識別。
選取 [下一步]。
在 [檢閱 + 建立 ] 頁面上，檢閱您的選擇，然後選取 [ 建立 ] 以完成設定檔建立。
步驟 3：為註冊員工做好準備
若要在個人裝置上啟動裝置註冊，裝置擁有者必須移至 [設定 ] 應用程式，並使用其公司或學校帳戶登入。 如果他們嘗試使用公司或學校帳戶登入應用程式，應用程式會提醒他們註冊需求，並告知他們如何繼續。
本節說明裝置使用者的註冊步驟。 建議您在貴組織的裝置上線文件使用此資訊，或進行疑難排解與支援。
- 開啟裝置上的 [設定] 應用程式。
- 選取 [一般]。
- 選取 VPN & 裝置管理。
- 使用您的公司或學校帳戶，或使用貴組織提供給您的 Apple ID 登入。
- 選取 [登入 iCloud]。
- 輸入畫面上顯示的使用者名稱密碼。 然後選取 [繼續]。
- 選取 [ 允許遠端管理]。
- 請稍候幾分鐘，然後完成裝置設定並安裝管理設定檔。
- 若要確認您的裝置已準備好用於工作，請移至 VPN & 裝置管理。 確認您的工作帳戶列在 [受控帳戶] 下。
- 您需要 Microsoft Authenticator 才能存取工作應用程式。 註冊之後請稍候幾分鐘，讓 Authenticator 安裝在您的裝置上。 如果您嘗試在沒有 Authenticator 的情況下登入工作應用程式，會出現錯誤訊息。
- 您可能會收到更多提示，要求您核准安裝工作應用程式。 選取 [安裝] 以核准安裝。
設定檔優先順序
Intune 會依照您優先順序套用註冊設定檔。 若要變更其套用順序：
- 返回註冊類型以檢視您的設定檔。
- 拖曳清單中的設定檔以重新排序其優先順序。
如果因為使用者獲指派多個設定檔而發生衝突，Intune 會套用優先順序較高的設定檔。
從管理中移除裝置
當裝置從 Intune 取消註冊時，會清除管理裝置上工作資料的磁碟區和密碼編譯金鑰。