Настройка автоматической регистрации устройств для iOS/iPadOS

Применимо к: iOS/iPadOS

В этой статье описано, как создать политику регистрации для автоматической регистрации устройств (ADE) iOS/iPadOS в Microsoft Intune. Общие сведения об ADE и настройке предварительных условий см. в разделе Обзор автоматической регистрации устройств Apple.

Предварительные условия

Связанные конфигурации

Если ваша организация использует управление доступом Apple, вы можете дополнительно настроить параметры управления доступом Apple в Apple Business или Apple School Manager, чтобы контролировать, на какие устройства iOS/iPadOS, принадлежащие организации, пользователи могут входить с учетными записями Apple, а также какие приложения и услуги доступны. Эти параметры настраиваются в Apple и применяются Microsoft Intune после регистрации. Им не требуется завершать настройку ADE. Дополнительные сведения см. в разделе Настройка доступа к службам для учетных записей Apple.

Развертывание приложения "Корпоративный портал"

При использовании автоматической регистрации устройств (ADE) разверните приложение Корпоративного портала Корпоративный портал Intune через Intune, а не через App Store. Развертывание с помощью Intune — это единственный способ выполнить следующие действия.

• Убедитесь, что все устройства ADE, включая уже зарегистрированные, получают приложение.
• Включите автоматическое обновление приложений для корпоративного портала на устройствах ADE.

Развертывание Корпоративного портала в качестве приложения VPP

Разверните приложение как необходимое приложение VPP с лицензированием устройств. Сведения о синхронизации, назначении и управлении приложением VPP см. в разделе Назначение корпоративного приложения.

Чтобы включить автоматическое обновление приложений для Корпоративного портала, перейдите в параметры маркера приложения в Центре администрирования и измените значение параметра "Автоматическое обновление приложений" на "Да". Действия по доступу к настройкам токена см. в разделе Загрузка токена Apple VPP или токена местоположения Apple Business . Если автоматические обновления не включены, пользователь устройства должен выполнить проверку для них вручную.

Подготовка устройства (переход от типа без пользователей к настроению пользователей)

Промежуточная подготовка устройства используется для перехода устройства без сопоставления пользователей с устройством с сопоставлением пользователей. Чтобы разместить устройство, настройте развертывание VPP, как описано ранее. Затем настройте и разверните политику конфигурации приложений. Убедитесь, что политика предназначена только для устройств ADE без привязки пользователей.

Создание политики регистрации Apple

Создайте политику регистрации для автоматической регистрации устройств. Политика регистрации устройств определяет параметры, применяемые к группе устройств во время регистрации. Существует ограничение в 1000 политик регистрации для одного маркера регистрации.

1. В Центре администрирования Microsoft Intune перейдите в раздел "Устройства".

2. Разверните "Подключение устройств", а затем выберите "Регистрация".

3. Выберите вкладку мобильного устройства Apple .

4. Выберите Enrollment Program Tokens (Токены программы регистрации).

5. Выберите маркер, а затем — "Политики регистрации".

6. Выберите Создать политику>iOS/iPadOS.

7. Для ознакомления с основными сведениями присвойте политике имя и описание для административных целей. Эти сведения не отображаются для пользователей.

8. Нажмите кнопку Далее.

   Важно!

   Необходимо назначить своим устройствам политику регистрации, прежде чем они станут активными. Рекомендуется как можно скорее настроить политику регистрации по умолчанию, чтобы при синхронизации устройств из Apple Business или Apple School Manager и последующем включении они могли правильно регистрироваться с помощью автоматической регистрации устройств. Если устройству, которое вы синхронизировали с Apple, не назначена политика регистрации и кто-то включит ее, чтобы настроить ее, регистрация завершится сбоем.

   Важно!

   Если вы внесете изменения в существующую политику регистрации, новые параметры не вступят в силу на назначенных устройствах до тех пор, пока устройства не будут сброшены до заводских настроек и повторно активированы. Параметр шаблона имени устройства — это единственный параметр, который вы можете изменить, не требуя сброса настроек до заводских настроек. Изменения, внесенные в шаблон именования, вступят в силу при следующей проверке.

9. На вкладке "Группа устройств" при необходимости выберите группу безопасности Microsoft Entra для группировки по времени регистрации. Группа сопоставляется непосредственно с этой политикой регистрации, и ее можно изменить после создания политики.

   Для выбора доступны только статические группы безопасности Microsoft Entra. Чтобы настроить этот параметр, необходимо иметь разрешение на назначение членства устройства во время регистрации в настраиваемой роли RBAC (в разделе "Программы регистрации").

   Дополнительные сведения о том, как работает группировка по времени регистрации, см. в разделе Группировка времени регистрации в Microsoft Intune.

10. Нажмите кнопку Далее.

11. На вкладке "Параметры конфигурации " настройте сопоставление пользователей. Сходство пользователей определяет, регистрируются ли устройства с назначенным пользователем или без него. Доступны следующие параметры:

    • Регистрация с помощью функции "Сопоставление пользователей": выберите этот параметр для устройств, принадлежащих пользователям, которые хотят использовать Корпоративный портал для таких услуг, как установка приложений. Регистрация с сопоставлением пользователей также называется регистрацией с пользователем.

    • Регистрация без привязки пользователей: выберите этот параметр для устройств, которые не связаны с одним пользователем. Этот параметр подходит для устройств, у которых нет доступа к локальным данным пользователя. Этот вариант обычно используется для киосков, точек продаж (POS) или служебных устройств общего пользования. Регистрация без сопоставления пользователей также называется регистрацией без пользователей.

      В некоторых ситуациях может потребоваться связать основного пользователя с устройствами, зарегистрированными без сопоставления пользователей. Для этого вы можете отправить ключ IntuneUDAUserlessDevice в приложение Корпоративного портала в политике конфигурации приложения для управляемых устройств. Первый пользователь, который входит в приложение Корпоративного портала, задается как основной пользователь. Если первый пользователь выполняет выход, а второй пользователь — вход, основным пользователем устройства будет первый пользователь. См. раздел Настройка приложения корпоративного портала для поддержки устройств с iOS и iPadOS ADE.

    • Регистрация в общем режиме Microsoft Entra ID: выберите этот параметр, чтобы зарегистрировать устройства, которые будут находиться в общем режиме.

12. Если в поле "Сходство пользователей" выбрана регистрация с сопоставлением пользователей, можно выбрать способ проверки подлинности, который должны использовать сотрудники. Дополнительные сведения о каждом методе проверки подлинности см. в статье Методы проверки подлинности для автоматической регистрации устройств.

    Доступны следующие параметры:

    • Корпоративный портал
    • Помощник по настройке с современной проверкой подлинности

    Важно!

    Мы рекомендуем использовать помощник по настройке с современной проверкой подлинности для устройств Apple для сценариев ADE (автоматизированной регистрации устройств) с сопоставлением устройств пользователя. Хотя устаревшая проверка подлинности остается доступной, мы не рекомендуем ее использовать.

13. Если вы выбрали Помощник по настройке (устаревший) для метода проверки подлинности, но также хотите использовать условный доступ или развернуть корпоративные приложения на устройствах, вам необходимо установить Корпоративный портал на устройствах и войти, чтобы завершить регистрацию Microsoft Entra. Для этого выберите Да для параметра Установить Корпоративный портал. Если вы хотите, чтобы пользователи получали Корпоративный портал без проверки подлинности в App Store, в разделе "Установка корпоративного портала с помощью VPP" выберите маркер VPP. Для успешного развертывания убедитесь, что срок действия токена не истекает и у вас достаточно лицензий на приложение "Корпоративный портал" для устройств.

14. Если вы выбрали токен для варианта Установить приложение "Корпоративный портал" по токену VPP, вы можете блокировать устройства в режиме одиночного приложения (в частности, приложения "Корпоративный портал") сразу после завершения работы помощника по настройке. Выберите вариант Да для варианта Запускать Корпоративный портал в режиме одиночного приложения до проверки подлинности, чтобы установить этот параметр. Чтобы использовать устройство, пользователь должен сначала пройти проверку подлинности, войдя в Корпоративный портал.

    Примечание.

    Многофакторная проверка подлинности не поддерживается на одном устройстве, заблокированном в режиме одиночного приложения. Это ограничение существует, так как устройство не может переключиться на другое приложение для выполнения второго фактора проверки подлинности. Если требуется многофакторная проверка подлинности на устройстве в режиме одиночного приложения, второй фактор должен находиться на другом устройстве.

    Эта функция поддерживается только для iOS и iPadOS версии 11.3.1 и выше.

    

15. Если нужно, чтобы устройства, использующие эту политику, были контролируемыми, выберите " Да " в списке "Защищенные ".

    Для защищенных устройств поддерживается больше возможностей управления, а также по умолчанию отключена блокировка активации. В качестве механизма включения защищенного режима рекомендуется использовать ADE, особенно при развертывании большого количества устройств с iOS/iPadOS. Общие устройства Apple iPad для бизнеса должны быть защищены.

    Пользователи уведомляются о том, что их устройства находятся под наблюдением, в приложении "Параметры ". В приложении в верхней части экрана отображается статическое сообщение о том, что этот iPhone контролируется и управляется <your organization>.

    Примечание.

    Если устройство зарегистрировано без защиты, необходимо использовать конфигуратор Apple, чтобы включить защищенный режим. Чтобы сбросить устройство таким образом, необходимо подключить его к компьютеру Mac с помощью USB-кабеля. Дополнительные сведения см. в справке по конфигуратору Apple.

16. Для заблокированной регистрации выберите "Да " или "Нет". Заблокированная регистрация отключает параметры iOS/iPadOS, позволяющие удалить профиль управления. Если включить заблокированную регистрацию, кнопка в приложении "Параметры", позволяющая пользователям удалить профиль управления, будет скрыта, и пользователи не смогут отменить регистрацию своего устройства. Если вы настраиваете устройства в общем режиме Microsoft Entra ID, выберите "Да".

    Заблокированная регистрация работает немного по-другому: сначала на устройствах, которые изначально не были приобретены через Apple Business, но позже стали частью автоматизированной регистрации устройств: пользователи этих устройств могут видеть кнопку удаления управления в приложении «Настройки» в течение первых 30 дней после активации устройства. По истечении этого временного периода этот параметр скрыт. Дополнительные сведения см. в разделе Подготовка устройств вручную (открытие справочных документов Apple Configurator).

    Важно!

    Этот параметр отличается от параметров "Удалить" и "Сбросить" в приложении "Корпоративный портал". Независимо от того, как настроена заблокированная регистрация, параметры "Удалить устройство" или "Сброс настроек" в приложении "Корпоративный портал" остаются недоступными на устройствах, зарегистрированных с помощью автоматической регистрации устройств. Пользователи также не смогут удалить устройство на веб-сайте Корпоративного портала. Дополнительные сведения о действиях самообслуживания, доступных на зарегистрированных устройствах, см. в разделе Действия самообслуживания.

17. Если вы выбрали Регистрация без сопоставления пользователей и Защищено, необходимо решить, следует ли настроить устройства как общие устройства Apple iPad для бизнеса. Выберите Да для параметра Общий iPad, чтобы несколько пользователей могли входить в систему с одного устройства. Пользователи проходят проверку подлинности с помощью управляемых идентификаторов Apple ID и федеративных учетных записей проверки подлинности либо с помощью временного сеанса (например, гостевой учетной записи). Для этого параметра требуется iOS/iPadOS 13.4 или более поздней версии. На общем iPad все панели помощника по настройке после активации автоматически пропускаются.

    Примечание.

    • Очистка устройства потребуется, если политика регистрации iOS/iPadOS с включенным общим iPad отправляется на неподдерживаемое устройство. К неподдерживаемым устройствам относятся любые модели iPhone и устройства iPad под управлением iPadOS/iOS 13.3 и более ранних версий. К поддерживаемым устройствам относятся iPad под управлением iPadOS 13.3 и более поздней версии.
    • Для настройки общего устройства Apple iPad для бизнеса, задайте следующие параметры:
      • В списке Сопоставление пользователей выберите Регистрация без сопоставления пользователей.
      • В списке Защищено выберите Да.
      • В списке Общий iPad выберите Да.

    Если вы настраиваете общее устройство Apple iPad для бизнеса, также настройте:

    • Максимальное число пользователей в кэше: задайте для этого параметра число пользователей, которые будут использовать общий iPad. Вы можете кэшировать до 24 пользователей на устройстве с объемом памяти 32 ГБ или 64 ГБ. Если указать небольшое число, может потребоваться некоторое время, чтобы данные пользователей отобразились на устройствах после входа. При выборе слишком большого значения у пользователей может закончится место на диске.

    • Максимальное число секунд после блокировки экрана до ввода пароля: введите количество времени в секундах. Допустимые значения: 0, 60, 300, 900, 3600 и 14400. Если блокировка экрана превышает это время, для разблокировки устройства потребуется пароль устройства. Доступно для устройств в режиме общего iPad под управлением iPadOS 13.0 и более поздних версий.

    • Максимальное время бездействия (в секундах) до завершения сеанса пользователя: минимально допустимое значение для этого параметра — 30. Если по истечении определенного периода не было никаких действий, сеанс пользователя завершается, и пользователь выходит из системы. Если оставить запись пустой или установить ее в нулевое значение (0), сеанс никогда не завершится из-за бездействия. Доступно для устройств в режиме общего iPad под управлением iPadOS 14.5 и более поздних версий.

    • Требовать только временный сеанс общего устройства iPad: настраивает устройства так, что пользователям отображается только гостевая версия интерфейса входа и им требуется входить как гостям. Пользователи не могут войти с помощью управляемого Apple ID. Доступно для устройств в режиме общего iPad под управлением iPadOS 14.5 и более поздних версий.

      Если задано значение "Да", следующие общие параметры iPad отключаются, поскольку они неприменимы во временных сеансах:

      • Максимальное число пользователей в кэше
      • Максимальное время (в секундах) после блокировки экрана, по истечении которого запрашивается пароль
      • Максимальное время бездействия (в секундах) до завершения сеанса пользователя

    • Максимальное время бездействия (в секундах) до завершения временного сеанса: минимально допустимое значение для этого параметра — 30. Если по истечении определенного периода никаких действий не происходит, временный сеанс завершается, и пользователь выходит из системы. Если оставить запись пустой или установить ее в нулевое значение (0), сеанс никогда не завершится из-за бездействия. Доступно для устройств в режиме общего iPad под управлением iPadOS 14.5 и более поздних версий.

      Этот параметр доступен, если для параметра Требовать только временный сеанс общего устройства iPad установлено значение Да.

    Примечание.

    • Если временные сеансы включены, все данные пользователя удаляются при выходе из сеанса. Это означает, что все целевые политики и приложения будут переходить к пользователю при входе и будут удаляться при выходе.
    • Чтобы изменить конфигурацию общего iPad так, чтобы не было временных сеансов, необходимо полностью сбросить устройство и отправить на iPad новую политику регистрации с обновленными конфигурациями.

18. Для Await окончательной конфигурации доступны следующие варианты:

    • Да. Включите функцию блокировки в конце работы помощника по настройке, чтобы убедиться, что на устройстве установлены наиболее важные политики конфигурации устройства. Перед загрузкой начального экрана помощник по настройке приостанавливает работу и позволяет Intune проверка работу с устройством. Взаимодействие с конечным пользователем блокируется, пока пользователи ожидают окончательных настроек.

      Время, в течение которого пользователи находятся на экране "Ожидание окончательной конфигурации", зависит от общего количества политик и приложений, примененных к устройству. Чем больше политик и приложений назначено устройству, тем дольше время ожидания. Помощник по настройке и Microsoft Intune не устанавливают минимальное и максимальное ограничение по времени на этом этапе настройки. Во время проверки продукта большинство протестированных нами устройств были выпущены и смогли получить доступ к главному экрану в течение 15 минут. Если вы включили эту функцию и используете кого-то за пределами корпорации Майкрософт для помощи в подготовке устройств, сообщите ему о возможности увеличения времени подготовки.

      Примечание.

      Установка политик конфигурации устройств начинается только на экране ожидания окончательной конфигурации, и приложения не включаются в нее.

      Заблокированный интерфейс работает на устройствах, для которых используются новые и существующие политики регистрации. Поддерживаемые устройства включают:

      • Устройства с iOS/iPadOS 13 и более поздних версий, регистрация с помощью помощника по настройке с современной проверкой подлинности
      • Регистрация устройств с iOS/iPadOS 13 и более поздних версий без привязки пользователей
      • Устройства iOS / iPadOS 13 и более поздние версии, регистрирующиеся в общем режиме Microsoft Entra ID

      Этот параметр применяется один раз в процессе автоматической автоматической регистрации устройств в помощнике по настройке. Пользователь устройства не испытает ее снова, пока не зарегистрирует свое устройство повторно. "Да " — это параметр по умолчанию для новых политик регистрации.

    • Нет. Устройство выводится на главный экран по завершении работы помощника по настройке, независимо от состояния установки политики. Пользователи устройств могут получить доступ к главному экрану или изменить параметры устройства до установки всех политик. "Нет " является параметром по умолчанию для существующих политик регистрации

    Параметр await configuration недоступен в политиках со следующим сочетанием конфигураций:

    • Сопоставление пользователей: регистрация без сопоставления пользователей (шаг 6 в этом разделе)
    • Общий iPad: да (шаг 12 в этом разделе)

19. При необходимости создайте шаблон имени устройства, чтобы быстро определять устройства, которым назначена эта политика, в Центре администрирования. Intune использует ваш шаблон для создания и форматирования имен устройств. Имена присваиваются устройствам при их регистрации и при каждой последующей проверке. Чтобы создать шаблон:

20. В разделе "Применить шаблон имени устройства" выберите "Да ".

21. В поле "Шаблон имени устройства " введите шаблон, который будет использоваться для создания имен устройств. Шаблон может включать тип устройства и серийный номер. Он не может содержать более 63 символов, включая переменные. Пример: {{DEVICETYPE}}-{{SERIAL}}

22. Вы можете активировать тарифный план передачи данных. Этот параметр применяется к устройствам под управлением iOS/iPadOS 13.0 и более поздних версий. При настройке этого параметра отображается команда активации тарифных планов передачи данных для мобильных устройств с поддержкой eSim. Ваш оператор должен предоставить активацию для ваших устройств, прежде чем вы сможете активировать тарифные планы с помощью этой команды. Чтобы активировать тарифный план передачи данных, выберите "Да" и введите URL-адрес сервера активации вашего оператора связи.

23. В помощнике по настройке настройте следующие параметры политики:

    Параметры отдела	Описание
    Department	Отображается, когда пользователь выбирает пункт О конфигурации во время активации.
    Телефон отдела	Отображается, когда пользователь нажимает кнопку Нужна помощь во время активации.

    Экраны помощника по настройке можно скрыть на устройстве во время настройки пользователя. Описание всех экранов см. в справочнике по экранам помощника по настройке (в этой статье).

    • Если выбрать " Скрыть", этот экран не отображается во время установки. После настройки устройства пользователь по-прежнему может перейти в меню Параметры, чтобы настроить эту функцию.
    • При выборе параметра "Показать" экран отображается во время установки, но только в том случае, если необходимо выполнить следующие действия после восстановления или обновления программного обеспечения. Иногда пользователь может пропустить экран без выполнения действия. Позже он может открыть меню Параметры, чтобы настроить эту функцию.
    • На общем iPad все панели помощника по настройке после активации автоматически пропускаются независимо от конфигурации.

24. Нажмите кнопку Далее.

25. Чтобы сохранить политику, выберите "Создать".

Динамические группы в Microsoft Entra ID

Вы можете использовать поле «Имя регистрации» для создания динамической группы в Microsoft Entra ID. Дополнительные сведения см. в разделе динамические группы Microsoft Entra.

Вы можете использовать имя политики, чтобы определить параметр enrollmentProfileName , чтобы назначить устройствам эту политику регистрации.

Перед настройкой устройства и для обеспечения быстрой доставки на устройства с сопоставлением пользователей убедитесь, что регистрируемый пользователь является членом группы пользователей Microsoft Entra.

Если вы назначаете динамические группы политикам регистрации, может возникнуть задержка с доставкой приложений и политик на устройства после регистрации.

Справка по экрану помощника по настройке

В следующей таблице описаны экраны помощника по настройке, отображаемые во время автоматической регистрации устройства для iOS/iPadOS. Вы можете отобразить или скрыть эти экраны на поддерживаемых устройствах во время регистрации. Дополнительные сведения о том, как каждый экран помощника по настройке влияет на взаимодействие с пользователем, см. в следующих ресурсах Apple:

• Руководство по развертыванию платформы Apple: управление помощником по настройке для устройств Apple
• Документация Apple для разработчиков: SkipKeys

Назначение политики регистрации устройствам

Перед регистрацией устройств необходимо назначить им политику регистрации.

1. В Центре администрирования Microsoft Intune перейдите в раздел "Устройства".
2. Разверните "Подключение устройств", а затем выберите "Регистрация".
3. Выберите вкладку мобильного устройства Apple .
4. Выберите Enrollment Program Tokens (Токены программы регистрации).
5. Выберите маркер регистрации.
6. Выберите Устройства.
7. Выберите все устройства, которые требуется назначить, а затем нажмите "Назначить политику".
8. В разделе "Политика назначения" выберите политику автоматической регистрации устройств, созданную для устройств, и нажмите кнопку "Назначить".

Назначение политики по умолчанию

Вы можете выбрать политику по умолчанию для применения ко всем устройствам, регистрируемым с определенным маркером.

1. В Центре администрирования вернитесь в раздел Токены программы регистрации.
2. Выберите маркер регистрации.
3. Выберите "Задать политику по умолчанию".
4. Выберите политику в списке и нажмите " Сохранить". С этого момента Intune применяет политику ко всем устройствам, которые регистрируются с помощью выбранного маркера регистрации.

Ограничения

Эти экраны помощника по настройке работают неправильно на устройствах под управлением iOS/iPadOS 14.5 и более поздних версий:

• Секретный код
• Touch ID и Face ID

Скрытие обоих экранов на устройствах под управлением iOS/iPadOS 14.5 и более поздних версий. Если вы хотите требовать пароли на этих устройствах, создайте политику конфигурации устройства или политику соответствия требованиям к секретным кодам. После регистрации пользователя и получения политики требование секретного кода вступает в силу.

Дальнейшие действия

• Сведения о синхронизации устройств, назначении политик регистрации и распределении устройств среди пользователей см. в статье Управление устройствами ADE.
• Сведения о продлении или удалении токена программы регистрации см. в статье Настройка токена ADE.
• Инструкции по устранению неполадок см. в статье Устранение неполадок с регистрацией устройств iOS/iPadOS.