Configurer l’inscription automatisée des appareils pour macOS

S’applique à macOS

Cet article explique comment créer une stratégie d’inscription pour l’inscription automatisée des appareils macOS (ADE) dans Microsoft Intune. Pour obtenir une vue d’ensemble d’ADE et de la configuration des prérequis, consultez Vue d’ensemble de l’inscription automatisée des appareils Apple pour macOS.

Configuration requise

Lors de l’inscription d’appareils macOS à l’aide d’ADE avec affinité utilisateur et de l’Assistant Configuration avec l’authentification moderne, les utilisateurs doivent se connecter à l’application Portail d'entreprise avec leurs informations d’identification Microsoft Entra pour terminer l’inscription de l’appareil dans Microsoft Entra ID. Pour ajouter l’application Portail d'entreprise aux appareils macOS, consultez Ajouter l’application Portail d'entreprise pour macOS.

Créer une stratégie d’inscription

Créez une stratégie d’inscription automatique des appareils dans le centre d’administration. La stratégie définit l’expérience d’inscription pour les appareils Mac de votre organization et applique des stratégies et des paramètres d’inscription sur les appareils d’inscription. La stratégie est déployée sur les appareils attribués en direct.

À la fin de cette procédure, vous pouvez affecter cette stratégie à Microsoft Entra groupes d’appareils.

1. Dans le Centre d’administration, accédez àInscriptiondes appareils>.

2. Sélectionnez l’onglet macOS .

3. Sous Méthodes d’inscription en bloc, sélectionnez Jetons du programme d’inscription.

4. Sélectionnez un jeton de programme d’inscription.

5. Sélectionnez Stratégies d’inscription>Créer une stratégie>macOS.

   

   Importante

   Vous devez affecter une stratégie d’inscription à vos appareils avant qu’ils ne deviennent actifs. Nous vous recommandons de définir une stratégie d’inscription par défaut dès que possible afin que les appareils se synchronisent à partir d’Apple Business ou d’Apple School Manager, puis qu’ils puissent s’inscrire correctement via l’inscription automatisée des appareils. Si aucune stratégie d’inscription n’est affectée à un appareil que vous avez synchronisé à partir d’Apple et que quelqu’un l’active pour la configurer, l’inscription échoue.

6. Pour Informations de base, entrez un nom et une description pour la stratégie afin de pouvoir la distinguer des autres stratégies d’inscription. Ces détails ne sont pas visibles par les utilisateurs de l’appareil.

   Conseil

   Vous pouvez utiliser le champ nom pour créer un groupe dynamique dans Microsoft Entra ID et affecter automatiquement des appareils à la stratégie d’inscription. Utilisez le nom de la stratégie pour définir le paramètre enrollmentProfileName . Pour plus d’informations, consultez les groupes dynamiques Microsoft Entra.

7. Sélectionnez Suivant.

8. Dans la page Paramètres de gestion , configurez l’affinité utilisateur. L’affinité utilisateur détermine si les appareils s’inscrivent avec ou sans utilisateur affecté. Les options disponibles sont les suivantes :

   • Inscrire sans affinité utilisateur : inscrire des appareils qui ne sont pas associés à un seul utilisateur. Choisissez cette option pour les appareils partagés et les appareils qui n’ont pas besoin d’accéder aux données utilisateur locales. L’application Portail d'entreprise ne fonctionne pas sur ces types d’appareils. L’inscription sans affinité utilisateur est également appelée inscription sans utilisateur.

   • Inscrire avec l’affinité utilisateur : inscrire les appareils associés à un utilisateur affecté. Choisissez cette option pour les appareils professionnels qui appartiennent à des utilisateurs, et si vous souhaitez demander aux utilisateurs d’avoir l’application Portail d'entreprise pour installer des applications. L’authentification multifacteur (MFA) est disponible avec cette option. L’inscription avec l’affinité utilisateur est également appelée inscription avec un utilisateur.

     L’option 2 nécessite davantage de configurations. Les utilisateurs doivent s’authentifier avant l’inscription pour confirmer leur identité. Sélectionnez l’une des méthodes d’authentification suivantes :

     • Assistant Configuration avec authentification moderne (recommandé) : cette méthode nécessite que les utilisateurs remplissent tous les écrans de l’Assistant Configuration et se connectent à l’application Portail d'entreprise avec leurs informations d’identification Microsoft Entra avant de pouvoir accéder aux ressources. Une fois qu’ils se sont connectés à Portail d'entreprise, l’appareil :

       • S’inscrit avec Microsoft Entra ID.
       • Est ajouté à l’enregistrement d’appareil de l’utilisateur dans Microsoft Entra ID.
       • Peut être évalué pour la conformité de l’appareil.
       • Obtient l’accès aux ressources protégées par l’accès conditionnel.

       Si l’utilisateur ne se connecte pas à l’Portail d'entreprise pour terminer l’inscription, il est redirigé vers l’application Portail d'entreprise chaque fois qu’il tente d’ouvrir une application gérée avec la protection de l’accès conditionnel.

       Les appareils exécutant macOS 10.15 et versions ultérieures peuvent utiliser cette méthode. Les anciens appareils macOS reviennent à l’utilisation de la méthode de l’Assistant Installation héritée. Pour plus d’informations sur la façon d’obtenir l’application Portail d'entreprise aux utilisateurs Mac, consultez Ajouter l’application Portail d'entreprise pour macOS.

     Importante

     Nous vous recommandons d’utiliser l’Assistant Configuration avec l’authentification moderne pour vos appareils Apple pour les scénarios ADE (inscription automatisée des appareils) avec l’affinité entre les appareils utilisateur. Bien que l’utilisation de l’authentification héritée reste disponible, nous ne recommandons pas son utilisation.

     • Assistant Configuration (hérité) (non recommandé) : utilisez l’Assistant Configuration hérité si vous souhaitez que les utilisateurs profitent de l’expérience standard prête à l’emploi pour les produits Apple. Cette méthode installe les paramètres préconfigurés standard lorsque l’appareil s’inscrit avec Intune gestion. Si vous utilisez les services de fédération Active Directory (AD FS) et l’Assistant Configuration pour vous authentifier, un point de terminaison Nom d’utilisateur/Mixte WS-Trust 1.3 est nécessaire. Pour plus d’informations sur la récupération du point de terminaison ADFS, consultez Get-ADfsEndpoint.

9. La configuration finale Await active une expérience verrouillée à la fin de l’Assistant Configuration pour vous assurer que vos stratégies de configuration d’appareil les plus critiques sont installées sur l’appareil. Ce paramètre est appliqué une seule fois pendant l’expérience d’inscription automatique des appareils Apple prête à l’emploi dans l’Assistant Configuration. L’utilisateur de l’appareil ne le retrouve pas, sauf s’il réinscrit son Mac.

   Les options disponibles sont les suivantes :

   • Oui : Juste avant le chargement de l’écran d’accueil, l’Assistant Configuration s’interrompt et Intune case activée avec l’appareil. L’expérience utilisateur final se verrouille pendant que les utilisateurs attendent les configurations finales. Cette option est la configuration par défaut pour les nouvelles stratégies d’inscription.

   • Non : l’appareil est renvoyé sur l’écran d’accueil à la fin de l’Assistant Configuration, quel que soit le statut d’installation de la politique. Les utilisateurs de l’appareil peuvent accéder à l’écran d’accueil ou modifier les paramètres de l’appareil avant l’installation de toutes les stratégies. Cette option est la configuration par défaut pour les stratégies d’inscription existantes.

   La durée pendant laquelle les utilisateurs sont placés sur l’écran De configuration finale en attente varie et dépend du nombre total de stratégies et d’applications que vous attribuez à l’appareil. Les utilisateurs peuvent voir le téléchargement des stratégies de configuration d’appareil dans l’Assistant Configuration pendant qu’ils attendent. Plus le nombre de stratégies et d’applications affectées est grand, plus le temps d’attente est long. L’Assistant Configuration et les Intune n’appliquent pas de limite de temps minimale ou maximale pendant cette partie de la configuration. Lors de la validation du produit, la plupart des appareils que nous avons testés ont été libérés et ont pu accéder à l’écran d’accueil dans les 15 minutes. Si vous activez cette fonctionnalité et que vous travaillez avec un partenaire Microsoft ou un service non-Microsoft pour vous aider à provisionner des appareils, informez-leur du risque d’augmentation du temps d’approvisionnement.

   L’expérience de verrouillage est prise en charge sur les Mac exécutant macOS 10.11 ou version ultérieure. Il fonctionne sur les Mac ciblés avec des stratégies d’inscription nouvelles ou existantes configurées pour ces scénarios :

   • Inscription via l’Assistant Configuration avec l’authentification moderne
   • Inscription avec l’Assistant Configuration (hérité)
   • Inscription sans affinité entre l’utilisateur et l’appareil

10. Vous pouvez appliquer l’inscription verrouillée pour empêcher les utilisateurs de désinscrire leurs appareils de Intune. Sélectionnez Oui pour désactiver les paramètres Mac dans préférences système et terminal qui permettent aux utilisateurs de supprimer la stratégie de gestion. Une fois l’appareil inscrit, vous ne pouvez pas modifier ce paramètre sans effacer l’appareil.

11. Sélectionnez Suivant.

12. Si vous le souhaitez, dans la page Paramètres du compte , vous pouvez configurer l’administrateur local et les comptes d’utilisateur sur les Mac ciblés.

    Lorsqu’un appareil macOS pris en charge s’inscrit avec Intune via une stratégie d’inscription automatique des appareils (ADE) qui configure l’administrateur local, l’appareil est activé pour la configuration de compte local macOS avec la solution de mot de passe d’administrateur local (LAPS) Microsoft. Avec cette fonctionnalité, les appareils nouvellement inscrits reçoivent un compte d’administrateur local unique qui a un mot de passe administrateur fort, chiffré et aléatoire (15 caractères alphanumériques), qui est également stocké et chiffré par Intune. Après l’inscription, Intune fait pivoter automatiquement un mot de passe administrateur géré par LAPS tous les six mois par défaut et prend en charge la recherche et la rotation manuelle du mot de passe administrateur par Intune administrateurs disposant des autorisations suffisantes.

    Pour plus d’informations sur la configuration et la gestion de cette fonctionnalité, consultez Configurer la configuration de compte macOS avec LAPS.

    

    Les paramètres suivants pour le compte d’utilisateur local sont pris en charge sur les appareils exécutant macOS 12 ou version ultérieure. Lorsque vous configurez le compte principal, gardez à l’esprit que ce compte sera un compte d’administrateur . Avoir au moins un compte d’administrateur est une exigence de configuration Mac. Si vous configurez également le mot de passe de l’administrateur local via cette stratégie, consultez compte d’administrateur local dans l’article Configurer la configuration du compte macOS avec LAPS , puis revenez ici.

    Les options disponibles sont les suivantes :

    • Créer un compte d’utilisateur local : sélectionnez Oui pour configurer les paramètres du compte d’utilisateur local pour les Mac ciblés. Sélectionnez Non configuré pour ignorer toutes les configurations de paramètres de compte.

    • Préremplir les informations sur le compte : la configuration par défaut, Non configuré, nécessite que l’utilisateur de l’appareil entre son nom d’utilisateur de compte et son nom complet dans l’Assistant Configuration. Pour préremplir les informations de compte à leur place, sélectionnez Oui. Entrez ensuite le nom du compte principal et le nom complet :

    • Nom d’utilisateur du compte d’utilisateur local :

      • {{serialNumber}} - par exemple, F4KN99ZUG5V2
      • {{partialupn}} - par exemple, John
      • {{managedDeviceName}} - par exemple, F2AL10ZUG4W2_14_4/15/2025_12:45PM
      • {{OnPremisesSamAccountName}} - par exemple, contoso\John

    • Nom complet du compte d’utilisateur local :

      • {{username}} - par exemple, John@contoso.com
      • {{serialNumber}} - par exemple, F4KN99ZUG5V2
      • {{OnPremisesSamAccountName}} - par exemple, contoso\John

    • Restreindre la modification : la configuration par défaut est définie sur Oui afin que les utilisateurs de l’appareil ne puissent pas modifier le nom de compte et le nom complet configurés pour eux. Pour autoriser les utilisateurs de l’appareil à modifier le nom du compte et le nom complet, sélectionnez Non configuré. Si vous utilisez uniquement l’Assistant Configuration (hérité) pour inscrire des appareils exécutant macOS 10.15 et versions ultérieures, vous pouvez vous attendre à l’expérience utilisateur final suivante :

      • Oui : l’écran de création de compte dans l’Assistant Configuration n’apparaît jamais. Au lieu de cela, le compte d’utilisateur local est automatiquement créé en fonction des autres configurations de paramètre, et le mot de passe est automatiquement rempli à partir de l’écran d’authentification Microsoft Entra. L’utilisateur de l’appareil ne peut pas modifier ces champs.
      • Non configuré : l’écran du compte d’utilisateur local s’affiche à l’utilisateur final dans l’Assistant Configuration et est rempli avec les valeurs de compte configurées et le mot de passe de l’écran d’authentification Microsoft Entra. L’utilisateur de l’appareil peut modifier ces champs pendant l’Assistant Configuration.

    Pour que les paramètres de compte fonctionnent comme prévu, votre stratégie d’inscription doit avoir les configurations suivantes :

    • Affinité utilisateur : sélectionnez Inscrire avec l’affinité utilisateur.
    • Méthode d’authentification : sélectionnez Assistant Installation avec authentification moderne ou Assistant Configuration (hérité).
    • Attendre la configuration finale : sélectionnez Oui.

    Les comptes locaux dépendent de la fonctionnalité de configuration finale await lors de leur création. Par conséquent, si vous configurez des paramètres de compte d’administrateur local ou d’utilisateur, ce paramètre est toujours activé. Même si vous ne touchez pas au paramètre de configuration d’attente final, il est toujours activé en arrière-plan et appliqué à la stratégie d’inscription.

13. Sélectionnez Suivant.

14. Dans la page Assistant Configuration , configurez l’expérience Assistant Configuration.

    1. Entrez les informations de votre service afin que les utilisateurs sachent qui contacter pour le support :
       • Nom du service : ce nom s’affiche lorsque les utilisateurs de l’appareil sélectionnent À propos de la configuration lors de l’activation.
       • Téléphone du service : ce numéro de téléphone s’affiche lorsque les utilisateurs de l’appareil sélectionnent Besoin d’aide lors de l’activation.
    2. Sélectionnez les écrans de l’Assistant Configuration que vous souhaitez afficher ou masquer pendant la configuration de l’appareil. Pour obtenir une description de tous les écrans, consultez Informations de référence sur l’écran de l’Assistant Configuration (dans cet article). Les options disponibles sont les suivantes :
       • Masquer : l’écran n’apparaît pas aux utilisateurs pendant la configuration de l’appareil. Après la configuration de l’appareil, l’utilisateur peut accéder aux paramètres de son appareil pour configurer la fonctionnalité.
       • Afficher : l’écran s’affiche aux utilisateurs pendant la configuration de l’appareil. L’utilisateur peut toujours ignorer les écrans qui ne nécessitent pas d’action immédiate. Après la configuration de l’appareil, l’utilisateur peut accéder aux paramètres de son appareil pour configurer la fonctionnalité.

15. Sélectionnez Suivant.

16. Passez en revue le résumé des modifications, puis sélectionnez Créer pour terminer la création de la stratégie.

Référence d’écran de l’Assistant Configuration

Le tableau suivant décrit les écrans de l’Assistant Configuration affichés lors de l’inscription automatisée des appareils pour Mac. Vous pouvez afficher ou masquer ces écrans sur les appareils pris en charge pendant l’inscription. Pour plus d’informations sur la façon dont chaque écran de l’Assistant Configuration affecte l’expérience utilisateur, consultez les ressources Apple suivantes :

• Guide de déploiement de la plateforme Apple : Gérer l’Assistant Configuration pour les appareils Apple
• Documentation pour les développeurs Apple : ShipKeys

Affecter une stratégie d’inscription aux appareils

Affectez une stratégie d’inscription aux appareils Apple.

1. Revenez à Jetons du programme d’inscription et sélectionnez un jeton.
2. Sélectionnez Appareils.
3. Choisissez vos appareils dans la liste, puis sélectionnez Attribuer une stratégie.
4. Choisissez une stratégie à attribuer, puis sélectionnez Affecter.

Si vous le souhaitez, vous pouvez sélectionner une stratégie d’inscription par défaut. La stratégie par défaut est déployée sur tous les appareils d’inscription associés au jeton.

1. Revenez à Jetons du programme d’inscription et sélectionnez un jeton.
2. Sélectionnez Définir la stratégie par défaut.
3. Choisissez une stratégie, puis sélectionnez Enregistrer.

Étapes suivantes

• Pour synchroniser des appareils, distribuer des appareils aux utilisateurs et gérer les jetons, consultez Gérer les jetons et les appareils ADE macOS.
• Pour renouveler ou supprimer votre jeton de programme d’inscription, consultez Configurer un jeton ADE macOS.
• Utilisez les actions d’appareil à distance dans Microsoft Intune pour gérer à distance les Mac inscrits.