Inscripción de Apple en Intune explicada: iPhone, iPad y Mac

Un iPhone nuevo llega a tu escritorio, junto a un MacBook nuevo. Los enciendes, eliges el idioma, te conectas al Wi-Fi y aparece una pantalla que quizá no esperabas: Remote Management. Este iPhone pertenece a tu empresa.

Inicias sesión con tu cuenta de trabajo y, a los pocos minutos, el correo, las apps y la configuración de seguridad ya están ahí. Nadie de TI los tocó. Eso es la inscripción (enrollment), y en este artículo vemos las principales formas de inscribir iPhone, iPad y Mac en Microsoft Intune.

Apple está en el medio

Con Windows, la inscripción es sobre todo una conversación entre el dispositivo y Microsoft. Con Apple es distinto, porque Apple está en el medio.

• El servicio de notificaciones push de Apple. Los servicios de gestión como Intune lo usan para mantenerse en contacto con iPhone, iPad y Mac. Así el dispositivo sabe que le espera una nueva directiva o app. Para usarlo, Intune necesita un certificado de Apple.
• Apple Business y Apple School Manager. Los portales de Apple para los dispositivos que compra una organización (Apple Business antes se llamaba Apple Business Manager). Si compras a través de ellos, el dispositivo sabe a quién pertenece antes de salir de la caja.

Después, dos ideas deciden qué método encaja:

1. Propiedad. Un iPhone de la empresa se puede gestionar por completo. Un iPhone personal debe mantener privadas las fotos y los mensajes de su dueño.
2. Supervisión. Un dispositivo supervisado es uno que pertenece a la organización, así que tiene un control extra. Bloquear AirDrop, desactivar la App Store o fijar un iPad a una sola app solo funciona en dispositivos supervisados. Los iPhone y iPad se supervisan con Automated Device Enrollment, o con Apple Configurator, que los borra primero. Los dispositivos personales no se supervisan. Los Mac tienen sus propias reglas (ver más abajo).

Antes de empezar

• Licencias. Los usuarios necesitan al menos una licencia de Intune Plan 1. Consulta Microsoft Learn para ver qué incluye tu plan.
• El certificado push MDM de Apple. Sin él no puedes gestionar ningún dispositivo Apple. Se crea en el portal Push Certificates de Apple y es válido un año, con 30 días de gracia si caduca. Renuévalo siempre con la misma cuenta de Apple con la que lo creaste, o los dispositivos tendrán que volver a inscribirse. Usa un buzón de la empresa que vigile más de una persona, no la cuenta de Apple personal de alguien.
• Un token de inscripción si compras a través de Apple Business o Apple School Manager. Conecta el portal con Intune y también se renueva cada año.
• Managed Apple IDs para User Enrollment en dispositivos personales, o federa Apple Business con Microsoft Entra ID para que los usuarios inicien sesión con su cuenta de trabajo.
• Versiones compatibles. Intune admite las tres versiones más recientes de iOS, iPadOS y macOS. Cuando se grabó el video eran iOS/iPadOS 18 o posterior y macOS 15 o posterior; consulta Learn para la lista actual.

Cinco formas de entrar

Dispositivo	Método
iPhone, iPad o Mac de empresa comprado con Apple Business / School Manager	Automated Device Enrollment (ADE)
iPhone o iPad de empresa comprado en otro lugar	Apple Configurator
Mac de empresa sin un usuario fijo	Inscripción directa
iPhone o iPad personal	User Enrollment o inscripción de dispositivo
Mac personal	Company Portal

Automated Device Enrollment (ADE)

ADE (antes DEP) es la ruta sin intervención. Los dispositivos que compras aparecen en Apple Business, los asignas a Intune e Intune les da una directiva de inscripción. La caja va directa al usuario, Setup Assistant muestra la pantalla Remote Management y el dispositivo se inscribe solo durante la configuración. Estos dispositivos están supervisados por defecto.

• Setup Assistant con autenticación moderna es lo que recomienda Microsoft para dispositivos con usuario. El usuario inicia sesión con su cuenta de trabajo durante la configuración, con MFA cuando tus directivas de acceso condicional lo exigen. El dispositivo se registra en Microsoft Entra ID cuando el usuario inicia sesión en Company Portal o en una app de trabajo.
• Await final configuration detiene Setup Assistant antes de la pantalla de inicio hasta que Intune instala tus directivas de configuración.
• Pantallas ocultas e inscripción bloqueada. Eliges qué pantallas omitir, y la inscripción bloqueada (locked enrollment) impide que el usuario quite la gestión desde Ajustes.
• ¿Sin usuario? ADE también sirve para quioscos, iPad compartidos y terminales de punto de venta. En el Mac el flujo es el mismo.

Apple Configurator e inscripción directa

Para iPhone y iPad de empresa que no vinieron por Apple Business, TI los conecta por cable a un Mac con Apple Configurator:

• Inscripción con Setup Assistant: borra el dispositivo, puede supervisarlo y admite un usuario.
• Inscripción directa: conserva los datos, pero el dispositivo no tiene usuario y el archivo de perfil solo es válido dos semanas.

Apple Configurator también puede agregar dispositivos a Apple Business (Apple Configurator para iPhone puede agregar Mac también). Desde ahí se inscriben con ADE, pero el usuario tiene 30 días para liberar el dispositivo de tu organización, un plazo que no existe para los comprados con Apple Business.

Los Mac fuera de Apple Business usan inscripción directa: exportas un perfil desde Intune y lo abres en el Mac con permisos de administrador. No borra el Mac y no hay usuario.

El administrador de inscripción de dispositivos (DEM) es una cuenta especial que puede inscribir hasta 1.000 dispositivos con Company Portal, útil para laboratorios y equipos compartidos. No funciona con ADE ni con Apple Configurator.

iPhone y iPad personales

Aquí la privacidad importa tanto como el control, e Intune ofrece dos rutas:

• User Enrollment basado en cuenta (iOS/iPadOS 15 o posterior). El dueño va a Settings > VPN & Device Management e inicia sesión con un Managed Apple ID, o con su cuenta de Entra si Apple Business está federado. Las apps y datos de trabajo viven en un espacio separado. TI gestiona solo ese espacio, con un conjunto limitado de opciones, no puede borrar el teléfono ni ver apps o datos personales. Al desinscribirse se borra el espacio de trabajo y lo personal se queda.
• Inscripción de dispositivo. El perfil cubre todo el dispositivo, así que TI tiene más control, pero el dispositivo sigue sin estar supervisado. Los usuarios se inscriben con la app Company Portal o con la inscripción web en Safari, que no necesita Company Portal. Microsoft recomienda la ruta web.

Una opción de la directiva también permite que el usuario elija al inscribirse: todo el dispositivo, o solo apps y datos de trabajo. En resumen: User Enrollment para privacidad, inscripción de dispositivo para control.

Mac personales

Intune indica una ruta personal para Mac: inscripción de dispositivo con Company Portal. Company Portal para Mac no está en la App Store; el usuario lo descarga de Microsoft o empieza en el sitio web de Company Portal, inicia sesión, instala el perfil de gestión en Configuración del Sistema y confirma con la contraseña del Mac.

Esa aprobación es la inscripción aprobada por el usuario, y toda inscripción de Mac en Intune cuenta como tal. Da el mismo nivel de control que un Mac supervisado, y en macOS 11 o posterior Intune activa la supervisión automáticamente. El Mac se registra en Entra ID e Intune lo marca como personal.

El problema: el usuario puede quitar el perfil, y sus ajustes y apps gestionadas se van con él. Por eso los Mac de empresa van con ADE e inscripción bloqueada.

¿Cuál elegir?

• Dispositivos de empresa de Apple Business: ADE. Supervisados, y la inscripción bloqueada mantiene la gestión.
• Dispositivos de empresa comprados en otro lugar: agrégalos a Apple Business con Apple Configurator para que también usen ADE. Inscripción directa para dispositivos sin usuario.
• iPhone y iPad personales: User Enrollment cuando la privacidad es lo primero, inscripción de dispositivo cuando necesitas más control.
• Mac personales: Company Portal.

Elijas lo que elijas, primero va el certificado push MDM de Apple. ¿Qué método usas tú y por qué? Cuéntamelo en los comentarios.