Inscribir un Mac personal en Intune (BYOD con Company Portal)

Este es el Mac de Alex: sus fotos, su música y sus mensajes. La empresa no lo pagó. Pero el lunes Alex necesita en él el correo del trabajo, Teams y los archivos de la empresa. ¿Cómo dejas entrar un Mac personal a tu empresa sin apoderarte de él? Esta guía lo hace de verdad en un tenant de laboratorio de Intune.

BYOD en un Mac: dos ideas primero

La propiedad decide la ruta. Un Mac de empresa comprado con Apple Business se inscribe solo la primera vez que se enciende (Automated Device Enrollment). Un Mac personal ya está configurado y la empresa nunca lo compró, así que se inscribe con la app Company Portal. Intune lo llama inscripción de dispositivo. No existe un User Enrollment aparte para Mac, como en el iPhone.

El perfil de gestión es el vínculo. Al final de la inscripción, Intune entrega al Mac un pequeño perfil que usa para enviar configuración, comprobar el cumplimiento y entregar apps. Apple nunca deja que se instale en silencio: el usuario lo aprueba en Configuración del Sistema con la contraseña del Mac. Por eso toda inscripción de Mac en Intune es aprobada por el usuario.

En macOS 11 o posterior, Intune también activa la supervisión en estos Mac. Que un Mac personal aparezca como supervisado es lo esperado, y sigue marcado como personal.

Cuatro comprobaciones antes de inscribir

Las cuatro están en el centro de administración de Intune.

1. Certificado push MDM de Apple. Devices > macOS > Enrollment > Apple MDM Push Certificate. El estado debe ser Active. Dura un año, así que vigila los días hasta que caduque, y renuévalo con la misma cuenta de Apple de empresa con la que se creó.
2. Licencia. Alex necesita al menos una licencia de Intune Plan 1. Abre el usuario, luego Licenses, y comprueba que el plan incluye Intune. Consulta Microsoft Learn para ver qué planes lo incluyen.
3. Restricciones de plataforma. En el laboratorio solo existe la directiva predeterminada. En sus propiedades, macOS está permitido y Personally owned también. Si los Mac personales estuvieran bloqueados aquí, la inscripción se detendría al empezar. Intune trata todo Mac como personal salvo que su número de serie esté registrado como identificador corporativo o venga de Automated Device Enrollment.
4. Límite de dispositivos. Limita cuántos dispositivos puede inscribir una persona, de 1 a 15 (5 en este laboratorio). Si Alex ya tiene cinco, el Mac sería el sexto y la inscripción falla. Microsoft Entra tiene su propio límite, que puede ser más bajo.

Dos extras opcionales

Ninguno es obligatorio para inscribir un Mac. Están aquí para ver cómo Intune evalúa un Mac personal.

Una directiva de cumplimiento. En macOS > Compliance hay una directiva llamada macOS BYOD, Disk Encryption con una regla en System Security: exigir el cifrado del almacenamiento del dispositivo (FileVault en un Mac). Si falla, el dispositivo se marca como no conforme al instante. En el laboratorio está asignada a All Users; en producción se prueba antes con un grupo piloto.

Una directiva de cumplimiento solo informa. No activa FileVault ni bloquea nada por sí misma. Bloquear es tarea del acceso condicional, en Microsoft Entra: Outlook puede preguntar “¿este dispositivo es conforme?” antes de dejar entrar a Alex.

Una notificación de inscripción. Un perfil de gestión en un Mac personal pone nerviosa a la gente, así que envía un correo cuando empieza la inscripción. macOS > Enrollment > Enrollment notifications > Create: ponle nombre, activa el correo, agrega asunto y mensaje (también hay push a Company Portal). El encabezado puede mostrar tu logo y el pie el nombre de la empresa, el contacto de soporte y los datos del dispositivo, tomados de Customization del tenant. Los datos del dispositivo vienen desactivados porque pueden retrasar el correo. Asígnala y créala.

¿Qué puede ver TI en un Mac personal?

Microsoft publica la lista. TI puede ver el dueño, el nombre, modelo y fabricante del dispositivo, el número de serie y la versión de macOS. En un dispositivo personal, el inventario de apps solo cubre las apps gestionadas, las de trabajo que llegan por Company Portal.

TI no puede ver el historial de navegación, el correo y los mensajes, contactos, calendario, contraseñas, fotos ni el contenido de los documentos. La ubicación de un Mac personal también es privada. Company Portal muestra esta lista antes de instalar nada.

Inscribir el Mac

1. En el Mac, System Settings > General > Device Management no muestra perfiles. Comprueba la versión de macOS: Intune admite las tres versiones más recientes (macOS 15 o posterior cuando se grabó).
2. Company Portal no está en la App Store. La página Enroll your Mac de Microsoft enlaza al instalador. Descárgalo y ejecuta el paquete.
3. Abre Company Portal e inicia sesión con la cuenta de trabajo (contraseña y código del autenticador).
4. En Set up access, selecciona Begin. Lee la pantalla de privacidad: lo que la organización no puede hacer a un lado, lo que sí puede al otro.
5. Selecciona Download profile. El perfil espera en System Settings > Device Management. Ábrelo, revísalo, instálalo e introduce la contraseña del Mac.
6. El perfil de gestión queda instalado, con dos perfiles del agente MDM de Intune al lado.
7. De vuelta en Company Portal, el último paso revisa la configuración. Con la directiva de cumplimiento de arriba aparece una tarea: activar el cifrado. How to resolve this abre la guía de FileVault de Apple y Retry vuelve a comprobar.

Confirmar en Intune

• En Company Portal, el Mac tiene su propia página: no conforme (por esa tarea), propiedad Personal. El usuario puede ver el estado, renombrarlo o quitarlo, lo que saca el Mac de Intune.
• En el centro de administración, actualiza macOS devices: el Mac aparece gestionado por Intune, propiedad Personal, no conforme, con la cuenta usada como usuario principal. Compara el número de serie con Acerca de este Mac, porque los nombres no siempre son claros.
• Aparece la etiqueta Supervised, lo esperado en Mac aprobados por el usuario con macOS 11 o posterior.
• Llega el correo de notificación con la hora, la versión de macOS, el número de serie y el nombre del dispositivo.

Ese es todo el recorrido: un Mac personal inscrito con Company Portal, con el usuario aprobando cada paso e Intune marcándolo como Personal. ¿Tu empresa deja usar Mac propios para trabajar? Cuéntamelo en los comentarios.