Einrichten der automatisierten Geräteregistrierung für macOS

Gilt für macOS

In diesem Artikel wird beschrieben, wie Sie eine Registrierungsrichtlinie für die automatische Geräteregistrierung (ADE) für macOS in Microsoft Intune erstellen. Eine Übersicht über die Einrichtung von ADE und die erforderlichen Komponenten finden Sie unter Übersicht über die automatisierte Geräteregistrierung von Apple für macOS.

Voraussetzungen

Bevor Sie die Registrierungsrichtlinie erstellen können, benötigen Sie Folgendes:

• Zugriff auf das Apple Business-Portal oder das Apple School Manager-Portal.
• Ein aktives Apple-Token (P7M-Datei) Die Schritte finden Sie unter Einrichten eines macOS-ADE-Tokens.
• Ein Apple MDM-Pushzertifikat in Intune
• Neue oder zurückgesetzte Geräte, die über Apple Business oder Apple School Manager erworben wurden.

  Tipp

  Bei der automatisierten Geräteregistrierung werden Gerätekonfigurationen angewendet, die von Gerätebenutzer*innen u. U. nicht aufgehoben werden können. Setzen Sie alle Geräte vor der Registrierung zurück, um sie wieder in den Auslieferungszustand zu versetzen.

Bereitstellen der Unternehmensportal-App

Beim Registrieren von macOS-Geräten mit ADE mit Benutzeraffinität und Setup-Assistent mit moderner Authentifizierung müssen sich Benutzer bei der Unternehmensportal-App mit ihren Microsoft Entra Anmeldeinformationen anmelden, um die Geräteregistrierung in Microsoft Entra ID abzuschließen. Informationen zum Hinzufügen der Unternehmensportal-App zu macOS-Geräten finden Sie unter Hinzufügen der Unternehmensportal für macOS-App.

Erstellen einer Registrierungsrichtlinie

Erstellen Sie eine automatisierte Geräteregistrierungsrichtlinie im Admin Center. Die Richtlinie definiert die Registrierungsoberfläche für die Mac-Geräte Ihrer organization und erzwingt Registrierungsrichtlinien und -einstellungen für die Registrierung von Geräten. Die Richtlinie wird für zugewiesene Geräte im Over-the-Air-Vorgang bereitgestellt.

Am Ende dieses Verfahrens können Sie diese Richtlinie Microsoft Entra Gerätegruppen zuweisen.

1. Wechseln Sie im Admin Center zu Geräteregistrierung>.

2. Wählen Sie die Registerkarte Apple aus.

3. Wählen Sie unter Massenregistrierungsmethoden die Option Registrierungsprogrammtoken aus.

4. Wählen Sie ein Registrierungsprogrammtoken aus.

5. Wählen Sie Registrierungsrichtlinien>Richtlinie>erstellen macOS aus.

   

   Wichtig

   Sie müssen Ihren Geräten eine Registrierungsrichtlinie zuweisen, bevor die Geräte aktiv werden. Es wird empfohlen, dass Sie so schnell wie möglich eine Standardregistrierungsrichtlinie festlegen, damit Geräte bei der Synchronisierung von Apple Business oder Apple School Manager und anschließendem Aktivieren die registrierung über die automatische Geräteregistrierung ordnungsgemäß registrieren können. Wenn einem Gerät, das Sie von Apple synchronisiert haben, keine Registrierungsrichtlinie zugewiesen ist und sie von jemandem aktiviert wird, um es einzurichten, tritt bei der Registrierung ein Fehler auf.

6. Geben Sie unter Grundlagen einen Namen und eine Beschreibung für die Richtlinie ein, damit Sie sie von anderen Registrierungsrichtlinien unterscheiden können. Diese Details sind für Gerätebenutzer nicht sichtbar.

   Tipp

   Sie können das Namensfeld verwenden, um eine dynamische Gruppe in Microsoft Entra ID zu erstellen und Geräte automatisch der Registrierungsrichtlinie zuzuweisen. Verwenden Sie den Richtliniennamen, um den enrollmentProfileName-Parameter zu definieren. Weitere Informationen finden Sie unter Dynamische Microsoft Entra-Gruppen.

7. Wählen Sie Weiter aus.

8. Konfigurieren Sie auf der Seite Verwaltungseinstellungendie Benutzeraffinität. Die Benutzeraffinität bestimmt, ob Geräte mit oder ohne zugewiesenen Benutzer registriert werden. Ihre Optionen:

   • Ohne Benutzeraffinität registrieren: Registrieren Sie Geräte, die keinem einzelnen Benutzer zugeordnet sind. Wählen Sie diese Option für freigegebene Geräte und Geräte aus, die nicht auf lokale Benutzerdaten zugreifen müssen. Die Unternehmensportal-App funktioniert auf diesen Gerätetypen nicht. Die Registrierung ohne Benutzeraffinität wird auch als Registrieren ohne Benutzer bezeichnet.

   • Mit Benutzeraffinität registrieren: Registrieren Sie Geräte, die einem zugewiesenen Benutzer zugeordnet sind. Wählen Sie diese Option für Arbeitsgeräte aus, die zu Benutzern gehören, und wenn Sie möchten, dass Benutzer über die Unternehmensportal App verfügen, um Apps zu installieren. Mit dieser Option ist die mehrstufige Authentifizierung (Multi-Factor Authentication, MFA) verfügbar. Die Registrierung mit Benutzeraffinität wird auch als Registrieren bei einem Benutzer bezeichnet.

     Option 2 erfordert weitere Konfigurationen. Benutzer müssen sich vor der Registrierung authentifizieren, um ihre Identität zu bestätigen. Wählen Sie eine der folgenden Authentifizierungsmethoden aus:

     • Setup-Assistent mit moderner Authentifizierung (empfohlen): Diese Methode erfordert, dass Benutzer alle Bildschirme des Setup-Assistenten ausfüllen und sich mit ihren Microsoft Entra Anmeldeinformationen bei der Unternehmensportal-App anmelden, bevor sie auf Ressourcen zugreifen können. Nachdem sie sich bei Unternehmensportal angemeldet haben, hat das Gerät Folgendes:

       • Registriert sich bei Microsoft Entra ID.
       • Wird dem Gerätedatensatz des Benutzers in Microsoft Entra ID hinzugefügt.
       • Kann auf Gerätekonformität ausgewertet werden.
       • Erhält Zugriff auf Ressourcen, die durch bedingten Zugriff geschützt sind.

       Wenn sich der Benutzer nicht beim Unternehmensportal anmeldet, um die Registrierung abzuschließen, wird er jedes Mal zur Unternehmensportal-App umgeleitet, wenn er versucht, eine verwaltete App mit bedingtem Zugriffsschutz zu öffnen.

       Geräte mit macOS 10.15 und höher können diese Methode verwenden. Ältere macOS-Geräte greifen auf die Legacy-Methode des Setup-Assistenten zurück. Weitere Informationen zum Abrufen der Unternehmensportal-App für Mac-Benutzer finden Sie unter Hinzufügen der Unternehmensportal für macOS-App.

     Wichtig

     Es wird empfohlen, den Setup-Assistenten mit moderner Authentifizierung für Ihre Apple-Geräte für ADE-Szenarien (automatisierte Geräteregistrierung) mit Affinität zwischen Benutzer und Gerät zu verwenden. Die Verwendung der Legacyauthentifizierung ist zwar weiterhin verfügbar, die Verwendung wird jedoch nicht empfohlen.

     • Setup-Assistent (Legacy) (nicht mehr empfohlen): Verwenden Sie den Legacy-Setup-Assistenten, wenn Sie möchten, dass Benutzer die typische Out-of-Box-Erfahrung für Apple-Produkte nutzen können. Diese Methode installiert vorkonfigurierte Standardeinstellungen, wenn das Gerät bei Intune-Verwaltung registriert wird. Wenn Sie Active Directory-Verbunddienste (AD FS) verwenden und zur Authentifizierung den Setup-Assistenten verwenden, ist der Endpunkt WS-Trust 1.3 Username/Mixed erforderlich. Weitere Informationen zum Abrufen des AD FS-Endpunkts finden Sie unter Get-ADfsEndpoint.

9. Die endgültige Konfiguration warten ermöglicht eine gesperrte Erfahrung am Ende des Setup-Assistenten, um sicherzustellen, dass Ihre wichtigsten Gerätekonfigurationsrichtlinien auf dem Gerät installiert sind. Diese Einstellung wird einmal während der automatischen Apple-Geräteregistrierung im Setup-Assistenten angewendet. Dem Gerätebenutzer wird dies nicht erneut angezeigt, es sei denn, er registriert seinen Mac erneut.

   Ihre Optionen:

   • Ja: Unmittelbar vor dem Laden des Startbildschirms hält der Setup-Assistent an und lässt Intune beim Gerät einchecken. Die Oberfläche für die Endbenutzer*innen wird gesperrt, während auf endgültige Konfigurationen gewartet wird. Diese Option ist die Standardkonfiguration für neue Registrierungsrichtlinien.

   • Nein: Auf dem Gerät wird unabhängig vom Status der Richtlinieninstallation der Startbildschirm angezeigt, nachdem der Setup-Assistent beendet wurde. Gerätebenutzer können möglicherweise auf den Startbildschirm zugreifen oder Geräteeinstellungen ändern, bevor alle Richtlinien installiert werden. Diese Option ist die Standardkonfiguration für vorhandene Registrierungsrichtlinien.

   Die Zeitspanne, die Benutzer auf dem Bildschirm Warten auf der endgültigen Konfiguration haben, variiert und hängt von der Gesamtzahl der Richtlinien und Apps ab, die Sie dem Gerät zuweisen. Benutzer können die Gerätekonfigurationsrichtlinien sehen, die im Setup-Assistenten heruntergeladen werden, während sie warten. Je mehr Richtlinien und Apps zugewiesen sind, desto länger ist die Wartezeit. Setup-Assistent und Intune erzwingen während dieses Setupteils kein Mindest- oder Höchstzeitlimit. Während der Produktvalidierung wurden die meisten von uns getesteten Geräte freigegeben und konnten innerhalb von 15 Minuten auf den Startbildschirm zugreifen. Wenn Sie dieses Feature aktivieren und mit einem Microsoft-Partner oder einem Nicht-Microsoft-Dienst zusammenarbeiten, um Geräte bereitzustellen, informieren Sie diesen über das Potenzial einer längeren Bereitstellungszeit.

   Die gesperrte Oberfläche wird auf Macs mit macOS 10.11 oder höher unterstützt. Es funktioniert auf Macs, auf denen neue oder vorhandene Registrierungsrichtlinien für die folgenden Szenarien eingerichtet sind:

   • Registrierung über den Setup-Assistenten mit moderner Authentifizierung
   • Registrierung mit dem Setup-Assistenten (Legacy)
   • Registrierung ohne Affinität zwischen Benutzer und Gerät

10. Sie können die gesperrte Registrierung erzwingen, um zu verhindern, dass Benutzer die Registrierung ihrer Geräte bei Intune aufheben. Wählen Sie Ja aus, um die Mac-Einstellungen in den Systemeinstellungen und im Terminal zu deaktivieren, mit denen Benutzer die Verwaltungsrichtlinie entfernen können. Nachdem das Gerät registriert wurde, können Sie diese Einstellung nicht mehr ändern, ohne das Gerät zu löschen.

11. Wählen Sie Weiter aus.

12. Optional können Sie auf der Seite Kontoeinstellungen die lokalen Administrator- und Benutzerkonten auf Ziel-Macs konfigurieren.

    Wenn ein unterstütztes macOS-Gerät mit Intune über eine Richtlinie zur automatischen Geräteregistrierung (ADE) registriert wird, die den lokalen Administrator konfiguriert, wird das Gerät für die konfiguration des lokalen macOS-Kontos mit der Microsoft-Lösung für lokale Administratorkennwörter (Laps) aktiviert. Mit dieser Funktion erhalten neu registrierte Geräte ein eindeutiges lokales Administratorkonto, das über ein sicheres, verschlüsseltes und zufälliges Administratorkennwort (15 alphanumerische Zeichen) verfügt, das ebenfalls von Intune gespeichert und verschlüsselt wird. Nach der Registrierung rotiert Intune standardmäßig alle sechs Monate automatisch ein von LAPS verwaltetes Administratorkennwort und unterstützt die Suche und manuelle Rotation des Administratorkennworts durch Intune Administratoren mit ausreichenden Berechtigungen.

    Informationen zum Konfigurieren und anschließenden Verwalten dieser Funktion finden Sie unter Einrichten der macOS-Kontokonfiguration mit LAPS.

    

    Die folgenden Einstellungen für das lokale Benutzerkonto werden auf Geräten mit macOS 12 oder höher unterstützt. Beachten Sie beim Konfigurieren des primären Kontos, dass dieses Konto ein Administratorkonto sein soll. Mindestens ein Administratorkonto ist eine Mac-Einrichtungsanforderung. Wenn Sie auch das lokale Administratorkennwort über diese Richtlinie konfigurieren, lesen Sie das lokale Administratorkonto im Artikel Einrichten der macOS-Kontokonfiguration mit LAPS , und kehren Sie dann hierher zurück.

    Ihre Optionen:

    • Erstellen eines lokalen Benutzerkontos: Wählen Sie Ja aus, um lokale Benutzerkontoeinstellungen für Ziel-Macs zu konfigurieren. Wählen Sie Nicht konfiguriert aus, um alle Kontoeinstellungskonfigurationen zu überspringen.

    • Kontoinformationen vorab ausfüllen: Die Standardkonfiguration Nicht konfiguriert erfordert, dass der Gerätebenutzer seinen Kontobenutzer und den vollständigen Namen im Setup-Assistenten eingibt. Wenn Sie stattdessen die Kontoinformationen für sie vorab ausfüllen möchten, wählen Sie Ja aus. Geben Sie dann den Namen des primären Kontos und den vollständigen Namen ein:

    • Benutzername des lokalen Benutzerkontos:

      • {{serialNumber}} – z. B. F4KN99ZUG5V2
      • {{partialupn}} – z. B. John
      • {{managedDeviceName}} – beispiel: F2AL10ZUG4W2_14_4/15/2025_12:45PM
      • {{OnPremisesSamAccountName}} – z. B. contoso\John

    • Vollständiger Name des lokalen Benutzerkontos:

      • {{username}} – z. B. John@contoso.com
      • {{serialNumber}} – z. B. F4KN99ZUG5V2
      • {{OnPremisesSamAccountName}} – z. B. contoso\John

    • Bearbeitung einschränken: Die Standardkonfiguration ist auf Ja festgelegt, damit Gerätebenutzer den für sie konfigurierten Kontonamen und vollständigen Namen nicht bearbeiten können. Wenn Gerätebenutzer den Kontonamen und den vollständigen Namen bearbeiten können, wählen Sie Nicht konfiguriert aus. Wenn Sie nur den Setup-Assistenten (Legacy) zum Registrieren von Geräten mit macOS 10.15 und höher verwenden, können Sie die folgende Endbenutzererfahrung erwarten:

      • Ja: Der Bildschirm zum Erstellen des Kontos im Setup-Assistenten wird nie angezeigt. Stattdessen wird das lokale Benutzerkonto basierend auf den anderen Einstellungskonfigurationen automatisch erstellt, und das Kennwort wird automatisch über den Microsoft Entra-Authentifizierungsbildschirm aufgefüllt. Der Gerätebenutzer kann diese Felder nicht bearbeiten.
      • Nicht konfiguriert: Der Bildschirm des lokalen Benutzerkontos wird dem Endbenutzer im Setup-Assistenten angezeigt und mit den konfigurierten Kontowerten und dem Kennwort aus dem Microsoft Entra-Authentifizierungsbildschirm aufgefüllt. Der Gerätebenutzer kann diese Felder während des Setup-Assistenten bearbeiten.

    Damit die Kontoeinstellungen wie beabsichtigt funktionieren, muss Ihre Registrierungsrichtlinie über die folgenden Konfigurationen verfügen:

    • Benutzeraffinität: Wählen Sie Mit Benutzeraffinität registrieren aus.
    • Authentifizierungsmethode: Wählen Sie Setup-Assistent mit moderner Authentifizierung oder Setup-Assistent (Legacy) aus.
    • Letzte Konfiguration warten: Wählen Sie Ja aus.

    Lokale Konten hängen von der Funktion für die endgültige Konfiguration ab, wenn sie erstellt werden. Wenn Sie daher lokale Administrator- oder Benutzerkontoeinstellungen konfigurieren, ist diese Einstellung immer aktiviert. Auch wenn Sie die Einstellung für die endgültige Konfiguration von await nicht berühren, wird sie immer im Hintergrund aktiviert und auf die Registrierungsrichtlinie angewendet.

13. Wählen Sie Weiter aus.

14. Konfigurieren Sie auf der Seite Setup-Assistent die Benutzeroberfläche des Setup-Assistenten.

    1. Geben Sie Ihre Abteilungsinformationen ein, damit Benutzer wissen, an wen sie sich für den Support wenden können:
       • Abteilungsname: Dieser Name wird angezeigt, wenn Gerätebenutzer während der Aktivierung Informationen zur Konfiguration auswählen.
       • Abteilungstelefon: Diese Telefonnummer wird angezeigt, wenn Gerätebenutzer während der Aktivierung Hilfe benötigen auswählen.
    2. Wählen Sie die Bildschirme des Setup-Assistenten aus, die Sie während der Geräteeinrichtung ein- oder ausblenden möchten. Eine Beschreibung aller Bildschirme finden Sie in der Bildschirmreferenz des Setup-Assistenten (in diesem Artikel). Ihre Optionen:
       • Ausblenden: Der Bildschirm wird benutzern während der Geräteeinrichtung nicht angezeigt. Nach der Einrichtung des Geräts kann der Benutzer zu seinen Geräteeinstellungen wechseln, um das Feature einzurichten.
       • Anzeigen: Der Bildschirm wird benutzern während der Geräteeinrichtung angezeigt. Der Benutzer kann weiterhin Bildschirme überspringen, die keine sofortige Aktion erfordern. Nach der Einrichtung des Geräts kann der Benutzer zu seinen Geräteeinstellungen wechseln, um das Feature einzurichten.

15. Wählen Sie Weiter aus.

16. Überprüfen Sie die Zusammenfassung der Änderungen, und wählen Sie dann Erstellen aus, um die Erstellung der Richtlinie abzuschließen.

Referenz zu den Bildschirmen des Setup-Assistenten

In der folgenden Tabelle werden die Bildschirme des Setup-Assistenten beschrieben, die während der automatischen Geräteregistrierung für Macs angezeigt werden. Sie können diese Bildschirme auf unterstützten Geräten während der Registrierung ein- oder ausblenden. Weitere Informationen dazu, wie sich die einzelnen Bildschirme des Setup-Assistenten auf die Benutzererfahrung auswirken, finden Sie in den folgenden Apple-Ressourcen:

• Bereitstellungshandbuch zur Apple-Plattform: Setup-Assistent für Apple-Geräte verwalten
• Apple-Entwicklerdokumentation: ShipKeys

Zuweisen einer Registrierungsrichtlinie zu Geräten

Weisen Sie Apple-Geräten eine Registrierungsrichtlinie zu.

1. Kehren Sie zu Registrierungsprogrammtoken zurück, und wählen Sie ein Token aus.
2. Klicken Sie auf Geräte.
3. Wählen Sie Ihre Geräte aus der Liste aus, und wählen Sie dann Richtlinie zuweisen aus.
4. Wählen Sie eine Richtlinie aus, die Zugewiesen werden soll, und wählen Sie dann Zuweisen aus.

Optional können Sie eine Standardregistrierungsrichtlinie auswählen. Die Standardrichtlinie wird für alle registrierten Geräte bereitgestellt, die dem Token zugeordnet sind.

1. Kehren Sie zu Registrierungsprogrammtoken zurück, und wählen Sie ein Token aus.
2. Wählen Sie Standardrichtlinie festlegen aus.
3. Wählen Sie eine Richtlinie und dann Speichern aus.

Nächste Schritte

• Informationen zum Synchronisieren von Geräten, Verteilen von Geräten an Benutzer und Verwalten von Token finden Sie unter Verwalten von macOS ADE-Geräten und -Token.
• Informationen zum Verlängern oder Löschen Ihres Registrierungsprogrammtokens finden Sie unter Einrichten eines macOS-ADE-Tokens.
• Verwenden Sie Remotegeräteaktionen in Microsoft Intune, um registrierte Macs remote zu verwalten.