Обзор автоматической регистрации устройств Apple для мобильных устройств Apple

Автоматическая регистрация устройств (ADE) — это метод регистрации корпоративных устройств Apple, приобретенных через Apple Business или Apple School Manager. С помощью ADE вы настраиваете и развертываете политики регистрации на устройствах по беспроводной связи, не касаясь устройств. Когда пользователь впервые включает устройство, помощник по настройке Apple автоматически помогает ему выполнить настройку и регистрацию.

Поддерживаемые платформы

Microsoft Intune поддерживает автоматическую регистрацию мобильных устройств Apple, в том числе iOS/iPadOS, tvOS и VisionOS. Как администратор вы можете создавать, изменять, удалять и назначать устройствам политику автоматической регистрации для конкретных устройств.

tvOS и visionOS поддерживают автоматическую регистрацию устройств без привязки только к пользователям. Эти платформы регистрируются с помощью модели подготовки без пользователя и поддерживают политики управления, ориентированные на устройства. Настройка устройства выполняется с помощью Apple Setup Assistant, а после регистрации применяются политики для конкретных устройств.

Сведения о macOS см. в разделе Обзор автоматической регистрации устройств Apple для macOS.

Поддерживаемые сценарии

Принцип работы ADE

Настройка ADE в Intune включает в себя три основные задачи:

1. Получение токена программы регистрации: Создание доверительных отношений между Intune и Apple Business. Обычно это однократная задача настройки для каждого маркера. Дополнительные сведения см. в разделе Настройка маркера регистрации.

2. Создайте и назначьте политику регистрации: Настройте процесс регистрации для своих устройств, включая сопоставление пользователей, метод проверки подлинности и экраны помощника по настройке. Затем назначьте политику группам устройств.

3. Синхронизация и распространение устройств: синхронизируйте записи устройств из Apple Business с Intune, а затем раздайте устройства пользователям. Регистрация начнется автоматически через помощник по настройке Apple при включении устройства. Дополнительные сведения см. в разделе Управляемые мобильные устройства и токены Apple.

Что такое защищенный режим

Контролируемый режим обеспечивает больший контроль над корпоративными устройствами, поэтому вы можете делать такие вещи, как блокировка снимков экрана и ограничение AirDrop.

Корпоративные устройства под управлением iOS/iPadOS 11 и более поздних версий, зарегистрированные посредством автоматической регистрации устройств, всегда должны находиться в контролируемом режиме, который можно включить в политике регистрации. Дополнительные сведения о защищенном режиме см. в разделе "Включение защищенного режима". Microsoft Intune игнорирует флаг is_supervised для устройств под управлением iOS/iPadOS 13.0 и более поздних версий, так как эти устройства автоматически переводятся в контролируемый режим во время регистрации.

Сертификаты

Этот тип регистрации поддерживает протокол автоматической среды управления сертификатами (ACME). При регистрации новых устройств профиль управления из Intune получает сертификат ACME. ACME обеспечивает лучшую защиту от несанкционированного выпуска сертификатов, чем протокол SCEP, благодаря надежным механизмам проверки и автоматизированным процессам, что помогает уменьшить количество ошибок в управлении сертификатами.

ACME поддерживается:

• iOS 16.0 или более поздней версии
• iPadOS 16.1 или более поздней версии
• tvOS 26.0 или более поздней версии
• visionOS 26.0 или более поздней версии

Регистрация устройств в режиме общего устройства

Вы можете настроить автоматическую регистрацию устройств в режиме общего устройства. Режим общего устройства — это функция Microsoft Entra ID, которая позволяет сотрудникам первой линии совместно использовать одно устройство в течение дня, входя и выходя по мере необходимости. Дополнительные сведения о том, как включить регистрацию устройств в режиме общего устройства Microsoft Entra, см. в разделе Автоматическая регистрация устройств для режима общего устройства.

Подготовка к работе

Перед настройкой ADE в Intune убедитесь, что на всех платформах реализовано следующее:

• Лицензирование Microsoft Intune Suite.
  • Для управления устройствами tvOS и VisionOS требуется Microsoft Intune (план 2).
  • Microsoft Intune (план 1) является минимальным требованием для управления устройствами с iOS/iPadOS.
• Доступ к Apple Business или Apple School Manager.
• Push-сертификат Apple MDM в Intune.
• Активный маркер ADE (файл .p7m), связывающий вашу учетную запись Apple Business или Apple School Manager с Intune. Инструкции см. в статье Настройка маркера ADE.
• Новые или очищенные корпоративные устройства, добавленные в Apple Business или Apple School Manager.

Кроме того, определите, как вы хотите, чтобы пользователи проходили проверку подлинности:

• Помощник по настройке с современной проверкой подлинности (рекомендуется):

  • Поддерживается в iOS/iPadOS 13.0 и более поздних версиях.
  • Поддерживает многофакторную проверку подлинности и JIT-регистрацию, устраняя необходимость в приложении Корпоративный портал, если оно настроено с помощью политики конфигурации устройств.

• Приложение Корпоративный портал Intune:

  • Также поддерживает современную и многофакторную проверку подлинности.
  • По-прежнему требуется, чтобы пользователи прошли регистрацию Microsoft Entra через приложение.

• Помощник по настройке (устаревшие версии):

  • Поддерживает устройства под управлением iOS/iPadOS до версии 13.0.
  • Не рекомендуется и не поддерживается.

Регистрация tvOS и visionOS происходит без привязки пользователей. Для таких типов устройств выбор проверки подлинности не требуется. Дополнительные сведения о вариантах проверки подлинности см. в статье Методы проверки подлинности для автоматической регистрации устройств.