Руководство. Настройка регистрации Microsoft Intune для устройств с iOS и iPadOS в Apple Business

Используйте Apple Business с Microsoft Intune, чтобы упростить и автоматизировать регистрацию устройств с iOS/iPadOS, приобретенных через Apple Business. Автоматическая регистрация устройств, которую мы настроим в этом руководстве, обеспечивает безопасную автоматическую регистрацию при первом включении устройства путем развертывания политики регистрации на устройстве по беспроводной сети.

С помощью данного руководства вы изучите:

По окончании этого руководства устройства будут готовы к распространению для регистрации.

Предварительные условия

• Назначение разрешений для управления мобильными устройствами (MDM).
• Получите сертификат Apple MDM Push.
• Иметь новые или очищенные устройства, приобретенные в Apple Business.
• Добавьте сведения о покупке в настройки управления устройствами в Apple Business.

Если у вас нет подписки Intune, зарегистрируйтесь для получения бесплатной пробной учетной записи.

Шаг 1. Добавление сервера MDM

Создайте профиль сервера MDM для Microsoft Intune в Apple Business. Токен, загруженный на этом этапе, обеспечит соединение между Microsoft Intune и Apple Business на более позднем этапе.

1. Войдите в Центр администрирования Microsoft Intune.

2. Перейдите в раздел "Устройства".

3. Разверните "Подключение устройств", а затем выберите "Регистрация".

4. Выберите мобильное устройство Apple.

5. Выберите Токены программы регистрации.

6. Нажмите Создать.

7. Выберите "Я соглашаюсь " предоставить корпорации Майкрософт разрешение на отправку сведений о пользователях и устройствах в Apple.

8. Выберите "Загрузить открытый ключ ", чтобы скачать сертификат открытого ключа сервера (файл PEM) на локальный диск.

9. Выберите "Создать токен" через Apple Business и войдите в Apple Business с помощью Apple ID вашей компании.

   Важно!

   Находясь в Apple Business, не закрывайте вкладку браузера с помощью Microsoft Intune. Вы вернетесь к нему позже.

10. Добавьте MDM-сервер с именем TestMDMServer и скачайте для него маркер сервера в Apple Business. Дополнительные сведения и инструкции см. в разделе Ссылка на сторонний сервер MDM (открывает руководство пользователя Apple для бизнеса). Локально сохраните маркер сервера в виде файла P7M (.p7m). Затем перейдите к шагу 2. Назначение устройств.

Шаг 2. Назначение устройств

Находясь в Apple Business, назначьте устройства вашему новому серверу MDM (TestMDMServer или как вы его назовете). Подробные сведения и инструкции см. в разделе «Назначение, переназначение и отмена назначения устройств в Apple Business» (открывает Руководство пользователя Apple для бизнеса). После назначения устройств перейдите к шагу 3. Отправка маркера сервера MDM.

Шаг 3. Отправка токена сервера MDM

Вернитесь в Центр администрирования Microsoft Intune, чтобы отправить маркер сервера MDM в Intune. После отправки маркера служба Microsoft Intune сможет синхронизировать и зарегистрировать устройства с iOS / iPadOS, назначенные TestMDMServer.

1. Для идентификатора Apple ID введите идентификатор Apple, который использовался для создания маркера.
2. В качестве токена Apple отправьте ранее сохраненный маркер сервера. Файл должен быть в формате P7M.
3. Нажмите кнопку Далее.
4. При необходимости примените теги областей к маркеру регистрации, чтобы другие администраторы не могли получить к нему доступ или внести в него изменения. Дополнительные сведения о тегах областей см. в статье Использование управления доступом на основе ролей (RBAC) и тегов области для распределенных ИТ.
5. Нажмите кнопку Далее.
6. В меню "Рецензирование+создание" нажмите "Создать", чтобы завершить связывание Microsoft Intune и Apple Business.

Microsoft Intune автоматически синхронизируется с Apple Business. До появления устройств в Центре администрирования может пройти до 12 часов. Вы можете подождать, пока эти устройства синхронизируются, или запустить синхронизацию вручную. Чтобы начать синхронизацию самостоятельно, выберите маркер в списке в Центре администрирования и нажмите "Синхронизацияустройств>".

Шаг 4. Создание политики регистрации Apple

Создайте политику регистрации для корпоративных устройств с iOS/iPadOS. Политика регистрации устройств определяет параметры, применяемые к группе устройств во время регистрации.

1. Выберите маркер в Центре администрирования и нажмите "Политики регистрации".

2. Выберите Создать политику>iOS/iPadOS.

3. На странице "Основы " введите TestPolicy for Name and Testing ADE for iOS/iPadOS devices for Description. Эти сведения не отображаются для пользователей.

4. Нажмите кнопку Далее.

5. На вкладке "Группа устройств" при необходимости выберите группу безопасности Microsoft Entra для группировки по времени регистрации. Группа сопоставляется непосредственно с этой политикой регистрации, и ее можно изменить после создания политики.

   Для выбора доступны только статические группы безопасности Microsoft Entra. Чтобы настроить этот параметр, необходимо иметь разрешение на назначение членства устройства во время регистрации в настраиваемой роли RBAC (в разделе "Программы регистрации").

   Дополнительные сведения о том, как работает группировка по времени регистрации, см. в разделе Группировка времени регистрации в Microsoft Intune.

6. Нажмите кнопку Далее.

7. На вкладке "Параметры конфигурации " решите, хотите ли вы, чтобы ваши устройства регистрировались с сопоставлением пользователей или без него. Сопоставление пользователей и устройств нужно для устройств, которые будут использоваться определенными пользователями. Если вашим пользователям нужно использовать корпоративный портал для выполнения таких действий, как установка приложений, используйте пункт Регистрация с сопоставлением пользователей. Если вашим пользователям не нужен Корпоративный портал или вы хотите подготовить устройство для большого количества пользователей, выберите регистрацию без сопоставления пользователей.

   • Если вы решили выполнить регистрацию с сопоставлением пользователей, появится параметр Выберите, где пользователи должны проходить проверку подлинности. Решите, хотите ли вы выполнять проверку подлинности с помощью корпоративного портала, помощника по настройке Apple (устаревшей версии) или помощника по настройке с современной проверкой подлинности. Дополнительные сведения о методах проверки подлинности см. в разделе Методы проверки подлинности для автоматической регистрации устройств в Intune.

8. Если вы выбрали регистрацию с сопоставлением пользователей и проверку подлинности с помощью Корпоративного портала, появится параметр Установить Корпоративный портал с VPP. Если установить Корпоративный портал с токеном VPP, пользователю не придется вводить идентификатор Apple ID и пароль для скачивания Корпоративного портала из магазина приложений во время регистрации. Выберите Использовать токен: в разделе Установить Корпоративный портал с помощью VPP, затем выберите токен VPP, у которого есть свободные лицензии на корпоративном портале. Если вы не хотите пользоваться VPP для развертывания корпоративного портала, выберите Не использовать VPP.

   • Если вы выбрали регистрацию с сопоставлением пользователей, проверку подлинности с помощью корпоративного портала и установили корпоративный портал с помощью VPP, решите, хотите ли вы запускать корпоративный портал в режим одиночного приложения до проверки подлинности. С помощью этого параметра можно гарантировать, что у пользователя не будет доступа к другим приложениям, пока он не завершит корпоративную регистрацию. Если вы хотите запретить пользователям доступ сюда до завершения регистрации, выберите Да в разделе Запуск корпоративного портала в режиме одиночного приложения до проверки подлинности.

9. Выберите "Да " в разделе "Заблокированная регистрация", чтобы пользователи не могли удалить управление устройствами со своих корпоративных устройств.

10. По умолчанию Apple присваивает устройству имя по типу устройства, например iPad. Если вы хотите задать другой шаблон имени, выберите Да в разделе Применить шаблон имени устройства. Введите имя, которое вы хотите применить к устройствам; здесь строки {{SERIAL}} и {{DEVICETYPE}} заменяют серийный номер и тип каждого устройства. В противном случае выберите Нет в разделе Применить шаблон имени устройства.

11. В разделе "Помощник по настройке" введите "Учебный отдел" в поле "Имя отдела". Эта строка отображается, когда пользователь выбирает О конфигурации во время активации устройства.

12. В поле "Телефон отделения" введите номер телефона. Этот номер отображается, когда пользователь нажимает кнопку Нужна помощь во время активации.

13. Во время активации устройства можно показывать и скрывать различные экраны. Для наибольшей прозрачности процесса регистрации стоит Скрыть все экраны.

14. Нажмите кнопку Далее.

15. Проверьте параметры политики. Чтобы сохранить политику, выберите "Создать"

Шаг 5. Назначение политики регистрации для устройств с iOS и iPadOS

Необходимо назначить автоматическую политику регистрации устройств, прежде чем они смогут зарегистрироваться. Эти устройства синхронизируются с Intune от Apple и должны быть назначены соответствующему маркеру сервера MDM в Apple Business или Apple School Manager.

1. В Центре администрирования вернитесь в раздел Токены программы регистрации. Выберите маркер из списка.
2. Выберите устройства, а затем устройства, которые нужно назначить.
3. Выберите "Назначить политику". Затем выберите политику для устройств.
4. Нажмите Назначить.

Шаг 6. Раздайте устройства пользователям

Вы настроили управление и синхронизацию между Apple и Intune и назначили политику, чтобы разрешить регистрацию устройств ADE. Теперь вы можете распределить устройства между пользователями. Устройствам с сопоставлением пользователей требуется, чтобы каждому пользователю была назначена лицензия Intune.

Связанные конфигурации

Помимо назначения устройств серверу MDM и создания политики регистрации, вы можете при необходимости использовать параметры управления доступом Apple в Apple Business (или Apple School Manager) для настройки доступа учетных записей Apple на устройствах, принадлежащих организации. Microsoft Intune применяет эти параметры после регистрации. Дополнительные сведения см. в разделе Настройка доступа к службам для учетных записей Apple.