Configurar a inscrição automatizada de dispositivos para iOS/iPadOS

Aplica-se ao iOS/iPadOS

Este artigo descreve como criar uma política de inscrição para a inscrição automatizada de dispositivos iOS/iPadOS (ADE) no Microsoft Intune. Para obter uma descrição geral do ADE e da configuração de pré-requisitos, veja Descrição geral da Inscrição de Dispositivos Automatizada da Apple.

Pré-requisitos

Configurações relacionadas

Se a sua organização utilizar a gestão de acesso da Apple, opcionalmente, pode configurar as definições de gestão de acesso da Apple no Apple Business ou no Apple School Manager para controlar os dispositivos iOS/iPadOS pertencentes à organização nos quais os utilizadores podem iniciar sessão com contas Apple e quais as aplicações e serviços disponíveis. Estas definições são configuradas na Apple e impostas por Microsoft Intune após a inscrição. Não são necessários para concluir a configuração da ADE. Para obter mais informações, veja Configurar o acesso ao serviço para contas Apple.

Implementar a aplicação Portal da Empresa

Ao utilizar a inscrição automatizada de dispositivos (ADE), implemente a aplicação Portal da Empresa do Intune através de Intune e não através do App Store. Implementar através de Intune é a única forma de:

• Certifique-se de que todos os dispositivos ADE, incluindo os já inscritos, recebem a aplicação.
• Ative as atualizações automáticas de aplicações para o Portal da Empresa em dispositivos ADE.

Implementar Portal da Empresa como uma aplicação VPP

Implemente a aplicação como uma aplicação VPP necessária com licenciamento de dispositivos. Para obter informações sobre como sincronizar, atribuir e gerir uma aplicação VPP, veja Atribuir uma aplicação comprada em volume.

Para ativar as atualizações automáticas de aplicações para Portal da Empresa, aceda às definições do token de aplicação no centro de administração e altere Atualizações automáticas da aplicação para Sim. Consulte Carregar um token de localização apple VPP ou Apple Business para obter os passos para aceder às definições do token. Se não ativar as atualizações automáticas, o utilizador do dispositivo tem de marcar manualmente para as mesmas.

Testar um dispositivo (transição de afinidade sem utilizador para utilizador)

O teste de dispositivos é utilizado para fazer a transição de um dispositivo sem afinidade de utilizador para um dispositivo com afinidade de utilizador. Para preparar um dispositivo, configure a implementação VPP, conforme descrito anteriormente. Em seguida, configure e implemente uma política de configuração de aplicações. Certifique-se de que a política destina-se apenas a esses dispositivos ADE sem afinidade de utilizador.

Criar uma política de inscrição da Apple

Crie uma política de inscrição para a inscrição automatizada de dispositivos. Uma política de inscrição de dispositivos define as definições aplicadas a um grupo de dispositivos durante a inscrição. Existe um limite de 1000 políticas de inscrição por token de inscrição.

1. No Microsoft Intune centro de administração, aceda a Dispositivos.

2. Expanda Integração de dispositivos e, em seguida, selecione Inscrição.

3. Selecione o separador Apple mobile .

4. Selecione Tokens do programa de inscrição.

5. Escolha um token e, em seguida, selecione Políticas de inscrição.

6. Selecione Criar política>iOS/iPadOS.

7. Noções Básicas, atribua à política um Nome e uma Descrição para fins administrativos. Os usuários não veem esses detalhes.

8. Selecione Avançar.

   Importante

   Tem de atribuir uma política de inscrição aos seus dispositivos antes de os dispositivos ficarem ativos. Recomendamos que defina uma política de inscrição predefinida o mais rapidamente possível para que, à medida que os dispositivos são sincronizados a partir do Apple Business ou do Apple School Manager e, em seguida, ative a inscrição correta através da inscrição automática de dispositivos. Se um dispositivo que sincronizou a partir da Apple não lhe for atribuída uma política de inscrição e alguém a ativar para o configurar, a inscrição falhará.

   Importante

   Se fizer alterações a uma política de inscrição existente, as novas definições não entrarão em vigor nos dispositivos atribuídos até que os dispositivos sejam repostos para as definições de fábrica e reativados. A definição do modelo de nome de dispositivo é a única definição que pode alterar que não requer uma reposição de fábrica para entrar em vigor. As alterações ao modelo de nomenclatura entrarão em vigor no próximo marcar de entrada.

9. Na lista Afinidade de Utilizador , selecione uma opção que determine se os dispositivos com esta política têm de ser inscritos com ou sem um utilizador atribuído.

   • Inscrever com Afinidade de Utilizador: selecione esta opção para dispositivos que pertençam a utilizadores que pretendam utilizar o Portal da Empresa para serviços como a instalação de aplicações. A inscrição com afinidade de utilizador também é referida como inscrição com um utilizador.

   • Inscrever sem Afinidade de Utilizador: selecione esta opção para dispositivos que não estejam afiliados a um único utilizador. Use esta opção para dispositivos que não acessam dados de usuário local. Esta opção é normalmente usada para quiosque, POS (ponto de venda) ou dispositivos de utilitário compartilhado. A inscrição sem afinidade de utilizador também é referida como inscrição sem utilizador.

     Em algumas situações, poderá querer associar um utilizador principal a dispositivos inscritos sem afinidade de utilizador. Para executar essa tarefa, você pode enviar a chave IntuneUDAUserlessDevice para o aplicativo Portal da Empresa em uma política de configuração de aplicativo para dispositivos gerenciados. O primeiro usuário que entrar no aplicativo Portal da Empresa é estabelecido como o usuário primário. Se o primeiro usuário sair e um segundo entrar, o primeiro continuará sendo o usuário primário do dispositivo. Para obter mais informações, confira o artigo Configurar o aplicativo Portal da Empresa para dar suporte a dispositivos de ADE com iOS e iPadOS.

   • Inscrever com Microsoft Entra ID modo partilhado: selecione esta opção para inscrever dispositivos que estarão no modo partilhado.

10. Se tiver selecionado Inscrever com Afinidade de Utilizador para o campo Afinidade de Utilizador , tem de escolher o método de autenticação que os funcionários têm de utilizar. Para obter mais informações sobre cada método de autenticação, veja Métodos de autenticação para a inscrição automatizada de dispositivos.

    

    Suas opções:

    • Portal da Empresa
    • Assistente de Configuração com autenticação moderna

    Importante

    Recomendamos que utilize o Assistente de Configuração com autenticação moderna para os seus dispositivos Apple para cenários de ADE (inscrição automatizada de dispositivos) com afinidade dispositivo/utilizador. Embora a utilização da autenticação legada permaneça disponível, não recomendamos a sua utilização.

11. Se selecionou Assistente de Configuração (legado) para o método de autenticação, mas também quer utilizar o Acesso Condicional ou implementar aplicações da empresa nos dispositivos, tem de instalar Portal da Empresa nos dispositivos e iniciar sessão para concluir o registo Microsoft Entra. Para isso, selecione Sim para Instalar o Portal da Empresa. Se quiser que os utilizadores recebam Portal da Empresa sem terem de se autenticar no App Store, em Instalar Portal da Empresa com VPP, selecione um token VPP. Verifique se o token não expira e se você tem licenças de dispositivo suficientes para que o aplicativo Portal da Empresa seja implantado corretamente.

12. Se você selecionou um token para Instalar o Portal da Empresa com o VPP, pode bloquear o dispositivo no Modo de Aplicativo Único (especificamente, o aplicativo Portal da Empresa) logo após a conclusão do Assistente de Configuração. Selecione Sim para Executar Portal da Empresa no Modo de Aplicativo Único até a autenticação para definir essa opção. Para utilizar o dispositivo, o utilizador tem primeiro de se autenticar ao iniciar sessão no Portal da Empresa.

    Observação

    Não há suporte para a autenticação multifator em um dispositivo único bloqueado no Modo de Aplicativo Único. Essa limitação existe porque o dispositivo não pode alternar para um aplicativo diferente a fim de concluir o segundo fator de autenticação. Se você quiser ter autenticação multifator em um dispositivo no Modo de Aplicativo Único, o segundo fator precisará estar em um dispositivo diferente.

    Esse recurso tem suporte somente no iOS/iPadOS 11.3.1 e posteriores.

    

13. Se quiser que os dispositivos que utilizam esta política sejam supervisionados, selecione Sim na lista Supervisionado .

    

    Os dispositivos supervisionados permitem mais opções de gerenciamento e desabilitam o Bloqueio de Ativação por padrão. Recomendamos que utilize a ADE como o mecanismo para ativar o modo supervisionado, especialmente se estiver a implementar um grande número de dispositivos iOS/iPadOS. Os dispositivos Apple Shared iPad for Business precisam ser supervisionados.

    Os utilizadores são notificados de que os respetivos dispositivos são supervisionados na aplicação Definições . Na aplicação na parte superior do ecrã, uma mensagem estática indica-lhes Este iPhone é supervisionado e gerido pelo <your organization>.

    Observação

    Se um dispositivo estiver registrado sem supervisão, você precisará usar o Apple Configurator para configurá-lo como supervisionado. Para redefinir o dispositivo dessa forma, você precisa conectá-lo a um Mac com um cabo USB. Para saber mais, confira a Ajuda do Apple Configurator.

14. Na lista Registro Bloqueado, selecione Sim ou Não. A inscrição bloqueada desativa as definições do iOS/iPadOS que permitem remover o perfil de gestão. Se ativar a inscrição bloqueada, o botão na aplicação Definições que permite aos utilizadores remover um perfil de gestão será ocultado e os utilizadores não poderão anular a inscrição do respetivo dispositivo. Se estiver a configurar dispositivos no modo partilhado Microsoft Entra ID, selecione Sim.

    A inscrição bloqueada funciona de forma um pouco diferente, inicialmente, em dispositivos não adquiridos originalmente através do Apple Business, mas posteriormente adicionados para fazerem parte da inscrição automatizada de dispositivos: os utilizadores nestes dispositivos podem ver o botão remover gestão na aplicação Definições durante os primeiros 30 dias após a ativação do dispositivo. Após esse período provisório, esta opção é ocultada. Para obter mais informações, consulte Preparar dispositivos manualmente (abre documentos de Ajuda do Apple Configurator).

    Importante

    Esta definição é diferente das opções de remoção e reposição na aplicação Portal da Empresa. Independentemente de como configurar a inscrição bloqueada, as opções Remover Dispositivo ou Reposição de Fábrica na aplicação Portal da Empresa permanecem indisponíveis nos dispositivos inscritos através da inscrição automática de dispositivos. Os utilizadores também não poderão remover o dispositivo no site Portal da Empresa. Para obter mais informações sobre as ações self-service disponíveis em dispositivos inscritos, veja Self-service actions (Ações self-service).

15. Se você selecionou Registrar sem Afinidade de Usuário e Supervisionado nas etapas anteriores, precisa decidir se deseja configurar os dispositivos para serem Dispositivos Apple Shared iPad for Business. Selecione Sim para Shared iPad para permitir que vários usuários entrem em um único dispositivo. Os utilizadores autenticam-se através dos respetivos IDs Apple Geridos e contas de autenticação federadas ou através de uma sessão temporária (como a conta de Convidado). Esta opção exige o iOS/iPadOS 13.4 ou posterior. Com o Shared iPad, todos os painéis do Assistente de Instalação são ignorados automaticamente após a ativação.

    Observação

    • Será necessária uma eliminação de dispositivos se uma política de inscrição iOS/iPadOS com iPad partilhado ativado for enviada para um dispositivo não suportado. Os dispositivos sem suporte incluem modelos de iPhone e iPads executando o iPadOS/iOS 13.3 e anteriores. Os dispositivos com suporte incluem iPads executando o iPadOS 13.3 e posteriores.
    • Se quiser configurar o Apple Shared iPad for Business, defina as seguintes configurações:
      • Na lista Afinidade de Usuário, selecione Registrar sem Afinidade de Usuário.
      • Na lista Supervisionado, selecione Sim.
      • Na lista do Shared iPad, selecione Sim.

    Se estiver configurando o Apple Shared iPad for Business, configure também:

    • Máximo de usuários armazenados em cache: insira o número de usuários que você acredita que usarão o Shared iPad. Você pode armazenar em cache até 24 usuários em um dispositivo de 32 ou de 64 GB. Se você escolher um número baixo, poderá levar algum tempo para que os dados dos usuários sejam exibidos nos dispositivos após entrarem. Se você escolher um número alto, seus usuários poderão ficar sem espaço em disco.

    • Máximo de segundos após o bloqueio de ecrã antes de a palavra-passe ser exigida: introduza o período de tempo em segundos. Os valores aceites incluem: 0, 60, 300, 900, 3600 e 14400. Se o bloqueio de tela exceder este tempo, uma senha de dispositivo será necessária para desbloquear o dispositivo. Disponível para dispositivos no modo Shared iPad executando o iPadOS 13.0 e posterior.

    • Máximo de segundos de inatividade até que a sessão do usuário seja desconectada: o valor mínimo permitido para essa configuração é 30. Se não houver atividade após o período definido, a sessão do utilizador termina e termina a sessão do utilizador. Se deixar a entrada em branco ou a definir como zero (0), a sessão nunca terminará devido a inatividade. Disponível para dispositivos no modo Shared iPad executando o iPadOS 14.5 e posterior.

    • Solicitar somente sessão temporária do iPad Compartilhado: configura o dispositivo para que os usuários vejam apenas a versão de convidado da experiência de entrada e devem entrar como convidados. Não podem entrar com uma ID gerenciada da Apple. Disponível para dispositivos no modo Shared iPad executando o iPadOS 14.5 e posterior.

      Quando definida como Sim, esta definição cancela as seguintes definições de iPad partilhado, uma vez que não são aplicáveis em sessões temporárias:

      • Máximo de usuários armazenados em cache
      • Máximo de segundos após o bloqueio da tela antes que a senha seja solicitada
      • Máximo de segundos de inatividade até que a sessão do usuário seja desconectada

    • Máximo de segundos de inatividade até que a sessão temporária seja desconectada: o valor mínimo permitido para essa configuração é 30. Se não houver atividade após o período definido, a sessão temporária termina e termina a sessão do utilizador. Se deixar a entrada em branco ou a definir como zero (0), a sessão nunca terminará devido a inatividade. Disponível para dispositivos no modo Shared iPad executando o iPadOS 14.5 e posterior.

      Esta configuração estará disponível quando a configuração Requerer apenas uma sessão Shared iPad temporária estiver definida como Sim.

    Observação

    • Se as sessões temporárias estiverem habilitadas, todos os dados do usuário serão excluídos quando saírem da sessão. Isso significa que todas as políticas e aplicativos visados chegarão ao usuário quando ele entrar e serão apagados quando sair.
    • Para alterar uma configuração de iPads partilhados para não ter sessões temporárias, o dispositivo terá de ser totalmente reposto e uma nova política de inscrição com as configurações atualizadas terá de ser enviada para o iPad.

16. Para Aguardar configuração final, as suas opções são:

    • Sim: ative uma experiência bloqueada no final do Assistente de Configuração para garantir que as políticas de configuração de dispositivos mais críticas estão instaladas no dispositivo. Imediatamente antes de o ecrã principal ser carregado, o Assistente de Configuração é colocado em pausa e permite que Intune marcar com o dispositivo. A experiência do utilizador final bloqueia enquanto os utilizadores aguardam configurações finais.

      A quantidade de tempo que os utilizadores são mantidos no ecrã Aguardar configuração final varia e depende do número total de políticas e aplicações que aplicar ao dispositivo. Quanto mais políticas e aplicações forem atribuídas ao dispositivo, mais tempo de espera será. O Assistente de Configuração e Microsoft Intune não impõem um limite de tempo mínimo ou máximo durante esta parte da configuração. Durante a validação do produto, a maioria dos dispositivos que testámos foram libertados e conseguiram aceder ao ecrã principal no prazo de 15 minutos. Se ativar esta funcionalidade e estiver a utilizar alguém fora da Microsoft para o ajudar a aprovisionar dispositivos, informe-o sobre o potencial de aumento do tempo de aprovisionamento.

      Observação

      Apenas as políticas de configuração de dispositivos começam a ser instaladas durante o ecrã de configuração final que aguarda e as aplicações não são incluídas neste.

      A experiência bloqueada funciona em dispositivos direcionados com políticas de inscrição novas e existentes. Os dispositivos com suporte incluem:

      • Dispositivos iOS/iPadOS 13 e posteriores inscritos com o Assistente de Configuração com autenticação moderna
      • Dispositivos iOS/iPadOS 13 e posteriores inscritos sem afinidade de utilizador
      • Dispositivos iOS/iPadOS 13 e posteriores inscritos no modo partilhado Microsoft Entra ID

      Esta definição é aplicada uma vez durante a experiência de inscrição automática de dispositivos no Assistente de Configuração. O utilizador do dispositivo não volta a experimentá-lo, a menos que volte a inscrever o dispositivo. Sim é a predefinição para novas políticas de inscrição.

    • Não: o dispositivo é lançado para o ecrã principal quando o Assistente de Configuração termina, independentemente da instalação da política status. Os utilizadores do dispositivo poderão aceder ao ecrã principal ou alterar as definições do dispositivo antes de todas as políticas serem instaladas. Não é a predefinição das políticas de inscrição existentes

    A definição de configuração a aguardar não está disponível em políticas com esta combinação de configurações:

    • Afinidade de utilizador: inscrever sem afinidade de utilizador (Passo 6 nesta secção)
    • IPad partilhado: Sim (Passo 12 nesta secção)

17. Opcionalmente, crie um modelo de nome de dispositivo para identificar rapidamente os dispositivos atribuídos a esta política no centro de administração. Intune utiliza o seu modelo para criar e formatar nomes de dispositivos. Os nomes são atribuídos aos dispositivos quando se inscrevem e em cada marcar sucessiva. Para criar um modelo:

18. Em Aplicar modelo de nome de dispositivo, selecione Sim .

19. Na caixa Modelo de Nome do Dispositivo , introduza o modelo que pretende utilizar para construir nomes de dispositivos. O modelo pode incluir o tipo de dispositivo e o número de série. Não pode conter mais de 63 carateres, incluindo as variáveis. Exemplo: {{DEVICETYPE}}-{{SERIAL}}

20. Você pode ativar um plano de dados de celular. Essa configuração se aplica a dispositivos que executam iOS/iPadOS 13.0 e posterior. A configuração desta opção envia um comando para ativar os planos de dados via rede móvel para os seus dispositivos celulares com capacidade para eSim. Sua operadora deve provisionar ativações para seus dispositivos antes que você possa ativar planos de dados usando este comando. Para ativar o plano de dados via rede móvel, selecione Sim e, em seguida, introduza o URL do servidor de ativação da sua operadora.

21. Selecione Avançar.

22. No separador Assistente de Configuração , configure as seguintes definições de política:

    Configuração do departamento	Descrição
    Departamento	Aparece quando os usuários tocam em Sobre a Configuração durante a ativação.
    Telefone do Departamento	Aparece quando os usuários tocam no botão Precisa de Ajuda durante a ativação.

    Pode ocultar os ecrãs do Assistente de Configuração no dispositivo durante a configuração do utilizador. Para obter uma descrição de todos os ecrãs, consulte Referência de ecrã do Assistente de Configuração (neste artigo).

    • Se selecionar Ocultar, o ecrã não é apresentado durante a configuração. Após configurar o dispositivo, o usuário continua podendo acessar o menu Configurações para configurar o recurso.
    • Se selecionar Mostrar, o ecrã é apresentado durante a configuração, mas apenas se existirem passos para concluir após o restauro ou após a atualização de software. Às vezes, os usuários podem ignorar a tela sem executar nenhuma ação. Podem acessar o menu Configurações do dispositivo mais tarde para configurar o recurso.
    • Com o Shared iPad, todos os painéis do Assistente de Instalação são ignorados automaticamente após a ativação, independentemente da configuração.

23. Selecione Avançar.

24. Para guardar a política, selecione Criar.

Grupos dinâmicos no Microsoft Entra ID

Pode utilizar o campo Nome da inscrição para criar um grupo dinâmico no Microsoft Entra ID. Para obter mais informações, veja Microsoft Entra grupos dinâmicos.

Pode utilizar o nome da política para definir o parâmetro enrollmentProfileName para atribuir dispositivos com esta política de inscrição.

Antes da configuração do dispositivo e para garantir a entrega rápida a dispositivos com afinidade de utilizador, certifique-se de que o utilizador inscrito é membro de um grupo de utilizadores Microsoft Entra.

Se atribuir grupos dinâmicos a políticas de inscrição, poderá haver um atraso na entrega de aplicações e políticas aos dispositivos após a inscrição.

Referência de ecrã do Assistente de Configuração

A tabela seguinte descreve os ecrãs do Assistente de Configuração apresentados durante a inscrição automatizada de dispositivos para iOS/iPadOS. Pode mostrar ou ocultar estes ecrãs em dispositivos suportados durante a inscrição. Para obter mais informações sobre como cada ecrã do Assistente de Configuração afeta a experiência do utilizador, consulte estes recursos da Apple:

• Guia de Implementação da Plataforma Apple: Gerir o Assistente de Configuração para dispositivos Apple
• Documentação do Apple Developer: SkipKeys

Atribuir uma política de inscrição a dispositivos

Antes de os dispositivos poderem ser inscritos, tem de lhes atribuir uma política de inscrição.

1. No Microsoft Intune centro de administração, aceda a Dispositivos.
2. Expanda Integração de dispositivos e, em seguida, selecione Inscrição.
3. Selecione o separador Apple .
4. Selecione Tokens do programa de inscrição.
5. Selecione um token de inscrição.
6. Selecione Dispositivos.
7. Selecione todos os dispositivos que pretende atribuir e, em seguida, selecione Atribuir política.
8. Em Atribuir política, escolha a política de inscrição de dispositivos automatizada que criou para os dispositivos e, em seguida, selecione Atribuir.

Atribuir uma política predefinida

Pode escolher uma política predefinida para ser aplicada a todos os dispositivos que se inscrevem com um token específico.

1. No centro de administração, regresse aos tokens do programa de inscrição.
2. Selecione um token de inscrição.
3. Selecione Predefinir Política.
4. Selecione uma política na lista e, em seguida, selecione Guardar. A partir daqui, Intune aplica a política a todos os dispositivos que se inscrevem com o token de inscrição selecionado.

Limitações

Estes ecrãs do Assistente de Configuração não funcionam corretamente em dispositivos com o iOS/iPadOS 14.5 e posterior:

• Senha
• Touch ID e Face ID

Oculte ambos os ecrãs em dispositivos com o iOS/iPadOS 14.5 e posterior. Se quiser exigir códigos de acesso nesses dispositivos, crie uma política de configuração de dispositivos ou uma política de conformidade com requisitos de código de acesso. Depois de o utilizador inscrever e receber a política, o requisito de código de acesso entra em vigor.

Próximas etapas

• Para sincronizar dispositivos, atribuir políticas de inscrição e distribuir dispositivos aos utilizadores, veja Gerir dispositivos ADE.
• Para renovar ou eliminar o token do programa de inscrição, veja Configurar um token do ADE.
• Para resolução de problemas, veja Resolver problemas de inscrição de dispositivos iOS/iPadOS.