Настройка автоматической регистрации устройств для macOS

Применимо к: macOS

В этой статье описано, как создать политику регистрации для автоматической регистрации устройств (ADE) macOS в Microsoft Intune. Общие сведения об ADE и настройке предварительных условий см. в статье Обзор автоматической регистрации устройств Apple для macOS.

Предварительные условия

При регистрации устройств macOS с помощью ADE с сопоставлением пользователей и помощника по настройке с современной проверкой подлинности пользователи должны войти в приложение Корпоративный портал со своими учетными данными Microsoft Entra, чтобы завершить регистрацию устройства в Microsoft Entra ID. Сведения о том, как добавить приложение "Корпоративный портал" на устройства с macOS, см. в статье "Добавление приложения "Корпоративный портал для macOS".

Чтобы сделать единый вход (SSO) в Microsoft Entra ID доступным во время работы помощника по настройке, создайте политику единого входа платформы до регистрации устройств. Политики единого входа платформы развертываются для регистрации устройств macOS во время автоматической регистрации устройств (ADE) и позволяют пользователям входить в систему с учетными данными организации во время настройки устройства. Такая конфигурация обеспечивает пользователям автоматический доступ к приложениям и ресурсам, защищенным Microsoft Entra, после регистрации. Дополнительные сведения см. в статье Настройка единого входа платформы во время автоматической регистрации устройств для macOS.

Создание политики регистрации

Создайте политику автоматической регистрации устройств в Центре администрирования. Эта политика определяет процесс регистрации устройств Mac вашей организации и применяет политики и параметры регистрации для регистрируемых устройств. Политика развертывается на назначенных устройствах по беспроводной связи.

В конце этой процедуры можно назначить эту политику группам устройств Microsoft Entra.

1. В Центре администрирования Microsoft Intune перейдите в раздел "Устройства".

2. Разверните "Подключение устройств", а затем выберите "Регистрация".

3. Выберите вкладку "macOS ".

4. В разделе Методы массовой регистрации выберите Токены программы регистрации.

5. Выберите маркер программы регистрации.

6. Выберите политики> регистрацииСоздайте политику>macOS.

   Важно!

   Необходимо назначить своим устройствам политику регистрации, прежде чем они станут активными. Рекомендуется как можно скорее настроить политику регистрации по умолчанию, чтобы при синхронизации устройств из Apple Business или Apple School Manager и последующем включении они могли правильно регистрироваться с помощью автоматической регистрации устройств. Если устройству, которое вы синхронизировали с Apple, не назначена политика регистрации и кто-то включит ее, чтобы настроить ее, регистрация завершится сбоем.

7. В разделе "Основы" введите имя и описание политики, чтобы ее можно было отличить от других политик регистрации. Эти сведения не видны пользователям устройств.

   Совет

   Вы можете использовать поле "Имя" для создания динамической группы в Microsoft Entra ID и автоматического назначения устройств политике регистрации. Используйте имя политики, чтобы определить параметр enrollmentProfileName . Дополнительные сведения см. в разделе динамические группы Microsoft Entra.

8. Нажмите кнопку Далее.

9. На вкладке "Группа устройств" при необходимости выберите группу безопасности Microsoft Entra для группировки по времени регистрации. Группа сопоставляется непосредственно с этой политикой регистрации, и ее можно изменить после создания политики.

   Для выбора доступны только статические группы безопасности Microsoft Entra. Чтобы настроить этот параметр, необходимо иметь разрешение на назначение членства устройства во время регистрации в настраиваемой роли RBAC (в разделе "Программы регистрации").

   Дополнительные сведения о том, как работает группировка по времени регистрации, см. в разделе Группировка времени регистрации в Microsoft Intune.

10. Нажмите кнопку Далее.

11. На вкладке "Параметры конфигурации " настройте сопоставление пользователей. Сходство пользователей определяет, регистрируются ли устройства с назначенным пользователем или без него. Доступны следующие параметры:

    • Регистрация без сопоставления пользователей: регистрация устройств, которые не связаны с одним пользователем. Выберите этот параметр для общих устройств и устройств, которым не требуется доступ к локальным данным пользователя. Приложение "Корпоративный портал" не работает на устройствах такого типа. Регистрация без сопоставления пользователей также называется регистрацией без пользователей.

    Важно!

    Не нацеливайтесь на профили конфигурации единого входа платформы (PSSO), которые включают регистрацию PSSO во время помощника по настройке на устройствах автоматической регистрации устройств (ADE) без пользователей. Это может привести к неожиданному поведению при регистрации и потере устройством ожидаемого сходства. См. раздел "Настройка единого входа платформы во время регистрации"

    • Регистрация с помощью функции "Сопоставление пользователей": регистрация устройств, связанных с назначенным пользователем. Выберите этот параметр для рабочих устройств, принадлежащих пользователям, и если вы хотите, чтобы пользователи имели приложение Корпоративный портал для установки приложений. При использовании этого параметра доступна многофакторная проверка подлинности (MFA). Регистрация с сопоставлением пользователей также называется регистрацией с пользователем.

      Вариант 2 требует дополнительных настроек. Пользователи должны пройти проверку подлинности перед регистрацией, чтобы подтвердить свою личность. Выберите один из следующих способов проверки подлинности:

      • Помощник по настройке с современной проверкой подлинности (рекомендуется): Этот метод требует, чтобы пользователи заполнили все экраны помощника по настройке и вошли в приложение Корпоративный портал со своими учетными данными Microsoft Entra, прежде чем они смогут получить доступ к ресурсам. После входа на корпоративный портал устройство:

        • Регистрируется с помощью Microsoft Entra ID.
        • Добавляется в запись устройства пользователя в Microsoft Entra ID.
        • Может быть оценено на соответствие устройства требованиям.
        • Получает доступ к ресурсам, защищенным с помощью функции условного доступа.

        Если пользователь не войдет на Корпоративный портал для завершения регистрации, он будет перенаправляться в приложение "Корпоративный портал" при каждой попытке открыть управляемое приложение с защитой условного доступа.

        Этот метод можно использовать на устройствах под управлением macOS 10.15 и более поздних версий. На более старых устройствах macOS используется устаревший метод помощника по настройке. Дополнительные сведения о том, как предоставить приложение "Корпоративный портал" пользователям Mac, см. в статье "Добавление приложения "Корпоративный портал" для macOS.

      Важно!

      Мы рекомендуем использовать помощник по настройке с современной проверкой подлинности для устройств Apple для сценариев ADE (автоматизированной регистрации устройств) с сопоставлением устройств пользователя. Хотя устаревшая проверка подлинности остается доступной, мы не рекомендуем ее использовать.

      • Помощник по настройке (устаревшая) (больше не рекомендуется): используйте устаревший помощник по настройке, если вы хотите, чтобы пользователи испытали типичный для продуктов Apple запуск при первом включении. Этот метод устанавливает стандартные предварительно настроенные параметры при регистрации устройства в системе управления Intune. Если вы используете службы федерации Active Directory (AD FS) и выполняете проверку подлинности с помощью помощника по настройке, требуется конечная точка WS-Trust 1.3 в режиме "Имя пользователя/смешанный". Дополнительные сведения о получении конечной точки ADFS см. в разделе Get-ADfsEndpoint.

12. Ожидание окончательной конфигурации включает заблокированный интерфейс в конце работы помощника по настройке, чтобы убедиться, что на устройстве установлены наиболее важные политики конфигурации устройства. Этот параметр применяется один раз в процессе автоматической регистрации устройств Apple в помощнике по настройке. Пользователь устройства не столкнется с ней снова, пока не зарегистрирует компьютер Mac повторно.

    Доступны следующие параметры:

    • Да. Непосредственно перед загрузкой начального экрана помощник по настройке приостанавливает работу и позволяет Intune проверка работу с устройством. Взаимодействие с конечным пользователем блокируется, пока пользователи ожидают окончательных настроек. Этот параметр является конфигурацией по умолчанию для новых политик регистрации.

    • Нет. Устройство выводится на главный экран по завершении работы помощника по настройке, независимо от состояния установки политики. Пользователи устройств могут получить доступ к главному экрану или изменить параметры устройства до установки всех политик. Этот параметр является конфигурацией по умолчанию для существующих политик регистрации.

    Время, в течение которого пользователи находятся на экране "Ожидание окончательной конфигурации", зависит от общего количества политик и приложений, назначенных устройству. Пользователи могут видеть, как политики конфигурации устройства скачиваются в помощнике по настройке, пока они ждут. Чем больше политик и приложений назначено, тем дольше время ожидания. Помощник по настройке и Intune не устанавливают минимальное или максимальное ограничение по времени на этом этапе настройки. Во время проверки продукта большинство протестированных нами устройств были выпущены и смогли получить доступ к главному экрану в течение 15 минут. Если вы включили эту функцию и сотрудничаете с партнером Майкрософт или сторонней службой для подготовки устройств, сообщите им о возможности увеличения времени подготовки.

    Заблокированный интерфейс поддерживается на компьютерах Mac под управлением macOS 10.11 или более поздней версии. Он работает на компьютерах Mac, для которых установлены новые или существующие политики регистрации, настроенные для следующих сценариев:

    • Регистрация с помощью помощника по настройке с современной проверкой подлинности
    • Регистрация с помощью помощника по настройке (устаревшая версия)
    • Регистрация без привязки устройств пользователя

13. Вы можете принудительно применить заблокированную регистрацию, чтобы пользователи не могли отменить регистрацию своих устройств в Intune. Нажмите кнопку " Да ", чтобы отключить параметры Mac в системных настройках и терминале, которые позволяют пользователям удалять политику управления. После регистрации устройства вы не сможете изменить этот параметр, не очистив его.

14. При необходимости в разделе "Параметры учетной записи" настройте локального администратора и учетные записи пользователей на целевых компьютерах Mac.

    Когда поддерживаемое устройство macOS регистрируется в Intune с помощью политики автоматической регистрации устройств (ADE), которая настраивает локального администратора, устройство включается для конфигурации локальной учетной записи macOS с помощью диспетчера паролей локальных администраторов Майкрософт (LAPS). Благодаря этой возможности вновь зарегистрированные устройства получают уникальную локальную учетную запись администратора с надежным зашифрованным и случайным паролем администратора (15 буквенно-цифровых символов), который также хранится и шифруется в Intune. После регистрации Intune по умолчанию автоматически меняет управляемый LAPS пароль администратора каждые шесть месяцев и поддерживает поиск и ручную смену пароля администратора администраторами Intune с достаточными разрешениями.

    Сведения о настройке и дальнейшем управлении этой возможностью см. в статье Настройка конфигурации учетной записи macOS с помощью LAPS.

    Следующие параметры учетной записи локального пользователя поддерживаются на устройствах под управлением macOS 12 или более поздней версии. При настройке основной учетной записи помните, что эта учетная запись будет учетной записью администратора . Наличие хотя бы одной учетной записи администратора является обязательным требованием при установке Mac. Если вы также настраиваете пароль локального администратора с помощью этой политики, см. раздел Учетная запись локального администратора в статье Настройка конфигурации учетной записи macOS с помощью LAPS и вернитесь сюда.

    Доступны следующие параметры:

    • Создание учетной записи локального пользователя: нажмите кнопку " Да ", чтобы настроить параметры учетной записи локальных пользователей для целевых компьютеров Mac. Выберите "Не настроено ", чтобы пропустить все настройки учетной записи.

    • Предварительное заполнение сведений об учетной записи: Конфигурация по умолчанию " Не настроена" требует, чтобы пользователь устройства вводил свое имя пользователя и полное имя учетной записи в помощнике по настройке. Чтобы предварительно заполнить сведения об учетной записи, выберите " Да". Затем введите основное имя учетной записи и полное имя:

    • Имя пользователя учетной записи локального пользователя:

      • {{serialNumber}} — например, F4KN99ZUG5V2
      • {{partialupn}} — например, Джон
      • {{managedDeviceName}} — например, 15.F2AL10ZUG4W2_14_4.2025_12:45
      • {{OnPremisesSamAccountName}} — например, contoso\John

    • Полное имя локальной учетной записи пользователя:

      • {{username}} — например, John@contoso.com
      • {{serialNumber}} — например, F4KN99ZUG5V2
      • {{OnPremisesSamAccountName}} — например, contoso\John

    • Ограничение редактирования: конфигурация по умолчанию установлена на " Да ", чтобы пользователи устройств не могли изменить настроенное для них имя учетной записи и полное имя. Чтобы разрешить пользователям устройств изменять имя учетной записи и полное имя, выберите "Не настроено". Если вы используете только Помощник по настройке (устаревшая) для регистрации устройств под управлением macOS 10.15 и более поздних версий, вы можете ожидать следующего взаимодействия с конечным пользователем:

      • Да. Экран создания учетной записи в помощнике по настройке никогда не отображается. Вместо этого автоматически создается учетная запись локального пользователя на основе других конфигураций параметров, а пароль автоматически заполняется на экране проверки подлинности Microsoft Entra. Пользователь устройства не может изменять эти поля.
      • Не настроено: экран учетной записи локального пользователя отображается для конечного пользователя в помощнике по настройке и заполняется значениями настроенных учетных записей и паролем с экрана проверки подлинности Microsoft Entra. Пользователь устройства может изменять эти поля в помощнике по настройке.

    Чтобы параметры учетной записи работали должным образом, ваша политика регистрации должна иметь следующие настройки:

    • Сходство пользователей: выберите "Зарегистрироваться с сопоставлением пользователей".
    • Способ проверки подлинности: выберите "Помощник по настройке с современной проверкой подлинности " или "Помощник по настройке (устаревшая версия)".
    • Дождаться окончательной конфигурации: выберите "Да".

    Локальные учетные записи зависят от функции ожидания окончательной конфигурации при их создании. В результате, если вы настраиваете какие-либо параметры локального администратора или учетной записи пользователя, этот параметр всегда будет включен. Даже если вы не прикасаетесь к параметру "Ожидание окончательной конфигурации", он всегда включен в фоновом режиме и применяется к политике регистрации.

15. В разделе "Помощник по настройке" настройте интерфейс помощника по настройке.

    1. Введите сведения об отделе, чтобы пользователи знали, к кому обращаться за поддержкой:
       • Имя отдела: это имя отображается, когда пользователи устройств нажимают "О конфигурации " во время активации.
       • Телефон отдела: этот номер телефона отображается, когда пользователи устройств выбирают "Нужна помощь " во время активации.
    2. Выберите экраны помощника по настройке, которые нужно отобразить или скрыть во время настройки устройства. Описание всех экранов см. в справочнике по экранам помощника по настройке (в этой статье). Доступны следующие параметры:
       • Скрыть: экран не отображается пользователям во время настройки устройства. После настройки устройства пользователь может перейти к параметрам устройства, чтобы настроить функцию.
       • Показать: Экран отображается пользователям во время настройки устройства. Пользователь по-прежнему может пропускать экраны, которые не требуют немедленных действий. После настройки устройства пользователь может перейти к параметрам устройства, чтобы настроить функцию.

16. Нажмите кнопку Далее.

17. Просмотрите сводку изменений и нажмите кнопку "Создать ", чтобы завершить создание политики.

Справка по экрану помощника по настройке

В следующей таблице описаны экраны помощника по настройке, отображаемые во время автоматической регистрации устройств для Mac. Вы можете отобразить или скрыть эти экраны на поддерживаемых устройствах во время регистрации. Дополнительные сведения о том, как каждый экран помощника по настройке влияет на взаимодействие с пользователем, см. в следующих ресурсах Apple:

• Руководство по развертыванию платформы Apple: управление помощником по настройке для устройств Apple
• Документация Apple для разработчиков: ShipKeys

Назначение политики регистрации устройствам

Назначение политики регистрации устройствам macOS.

1. Вернитесь к маркерам программы регистрации и выберите маркер.
2. Выберите Устройства.
3. Выберите устройства в списке и нажмите " Назначить политику".
4. Выберите политику для назначения и нажмите кнопку Назначить.

Кроме того, при желании можно выбрать политику регистрации по умолчанию. Политика по умолчанию развертывается на всех зарегистрированных устройствах, связанных с маркером.

1. Вернитесь к маркерам программы регистрации и выберите маркер.
2. Выберите "Задать политику по умолчанию".
3. Выберите политику и нажмите кнопку "Сохранить".

Дальнейшие действия

• Сведения о синхронизации устройств, их распределении среди пользователей и управлении маркерами см. в статье Управление устройствами и маркерами macOS ADE.
• Сведения о продлении или удалении токена программы регистрации см. в статье Настройка токена ADE в macOS.
• Используйте удаленные действия устройства в Microsoft Intune для удаленного управления зарегистрированными компьютерами Mac.