Registro de Apple no Intune explicado: iPhone, iPad e Mac

Um iPhone novinho chega na sua mesa, ao lado de um MacBook novo. Você liga, escolhe o idioma, conecta no Wi-Fi e aparece uma tela que talvez você não esperasse: Remote Management. Este iPhone pertence à sua empresa.

Você entra com sua conta de trabalho e, alguns minutos depois, o e-mail, os apps e as configurações de segurança já estão lá. Ninguém da TI encostou neles. Isso é o registro (enrollment), e neste artigo vamos ver as principais formas de registrar iPhone, iPad e Mac no Microsoft Intune.

A Apple fica no meio

No Windows, o registro é basicamente uma conversa entre o dispositivo e a Microsoft. Com a Apple é diferente, porque a Apple fica no meio.

• O serviço de notificações push da Apple. Serviços de gerenciamento como o Intune usam esse serviço para manter contato com iPhone, iPad e Mac. É assim que o dispositivo fica sabendo que tem uma política ou um app novo esperando. Para usar o serviço, o Intune precisa de um certificado da Apple.
• Apple Business e Apple School Manager. Os portais da Apple para os dispositivos que a organização compra (o Apple Business se chamava Apple Business Manager). Comprando por eles, o dispositivo já sabe a quem pertence antes de sair da caixa.

Depois, duas ideias decidem qual método serve:

1. Propriedade. Um iPhone da empresa pode ser totalmente gerenciado. Um iPhone pessoal deve manter as fotos e mensagens do dono em privado.
2. Supervisão. Um dispositivo supervisionado é um dispositivo da organização, então tem controle extra. Bloquear o AirDrop, desligar a App Store ou travar um iPad em um único app só funciona em dispositivos supervisionados. iPhone e iPad ficam supervisionados pelo Automated Device Enrollment, ou pelo Apple Configurator, que apaga o dispositivo antes. Dispositivos pessoais não são supervisionados. Os Macs têm regras próprias (veja abaixo).

Antes de começar

• Licenças. Os usuários precisam de pelo menos uma licença do Intune Plan 1. Confira no Microsoft Learn o que o seu plano inclui.
• O certificado push MDM da Apple. Sem ele você não gerencia nenhum dispositivo Apple. Ele é criado no portal Push Certificates da Apple e vale por um ano, com 30 dias de carência se expirar. Renove sempre com a mesma conta Apple usada para criar, senão os dispositivos precisam ser registrados de novo. Use uma caixa de e-mail da empresa que mais de uma pessoa acompanha, não a conta Apple pessoal de alguém.
• Um token de registro se você compra pelo Apple Business ou Apple School Manager. Ele conecta o portal ao Intune e também precisa ser renovado todo ano.
• Managed Apple IDs para o User Enrollment em dispositivos pessoais, ou federe o Apple Business com o Microsoft Entra ID para os usuários entrarem com a conta de trabalho.
• Versões compatíveis. O Intune dá suporte às três versões mais recentes do iOS, iPadOS e macOS. Quando o vídeo foi gravado, isso era iOS/iPadOS 18 ou posterior e macOS 15 ou posterior; confira a lista atual no Learn.

Cinco caminhos

Dispositivo	Método
iPhone, iPad ou Mac da empresa comprado pelo Apple Business / School Manager	Automated Device Enrollment (ADE)
iPhone ou iPad da empresa comprado em outro lugar	Apple Configurator
Mac da empresa sem um usuário fixo	Registro direto
iPhone ou iPad pessoal	User Enrollment ou registro do dispositivo
Mac pessoal	Company Portal

Automated Device Enrollment (ADE)

O ADE (antigo DEP) é o caminho sem toque. Os dispositivos comprados aparecem no Apple Business, você atribui ao Intune e o Intune aplica uma política de registro. A caixa vai direto para o usuário, o Setup Assistant mostra a tela Remote Management e o dispositivo se registra sozinho durante a configuração. Esses dispositivos são supervisionados por padrão.

• Setup Assistant com autenticação moderna é a recomendação da Microsoft para dispositivos com usuário. O usuário entra com a conta de trabalho durante a configuração, com MFA quando suas políticas de acesso condicional exigem. O dispositivo é registrado no Microsoft Entra ID quando o usuário entra no Company Portal ou em um app de trabalho.
• Await final configuration segura o Setup Assistant antes da tela inicial até o Intune instalar suas políticas de configuração.
• Telas ocultas e registro bloqueado. Você escolhe quais telas pular, e o registro bloqueado (locked enrollment) impede que o usuário remova o gerenciamento nos Ajustes.
• Sem usuário? O ADE também atende quiosques, iPads compartilhados e terminais de ponto de venda. No Mac o fluxo é o mesmo.

Apple Configurator e registro direto

Para iPhones e iPads da empresa que não vieram pelo Apple Business, a TI conecta por cabo a um Mac com o Apple Configurator:

• Registro com Setup Assistant: apaga o dispositivo, pode supervisionar e aceita um usuário.
• Registro direto: mantém os dados, mas o dispositivo não tem usuário e o arquivo de perfil vale só por duas semanas.

O Apple Configurator também pode adicionar dispositivos ao Apple Business (o Apple Configurator para iPhone adiciona Macs também). A partir daí eles se registram pelo ADE, mas o usuário tem 30 dias para liberar o dispositivo da sua organização, um prazo que não existe para os comprados pelo Apple Business.

Macs fora do Apple Business usam o registro direto: você exporta um perfil do Intune e abre no Mac com permissão de administrador. Não apaga o Mac e não tem usuário.

O gerenciador de registro de dispositivos (DEM) é uma conta especial que registra até 1.000 dispositivos pelo Company Portal, útil para laboratórios e equipamentos compartilhados. Não funciona com o ADE nem com o Apple Configurator.

iPhones e iPads pessoais

Aqui a privacidade importa tanto quanto o controle, e o Intune oferece dois caminhos:

• User Enrollment orientado por conta (iOS/iPadOS 15 ou posterior). O dono vai em Settings > VPN & Device Management e entra com um Managed Apple ID, ou com a conta do Entra se o Apple Business estiver federado. Apps e dados de trabalho ficam em um espaço separado. A TI gerencia só esse espaço, com um conjunto limitado de configurações, não pode apagar o telefone nem ver apps ou dados pessoais. Ao cancelar o registro, o espaço de trabalho é apagado e o pessoal fica.
• Registro do dispositivo. O perfil cobre o dispositivo inteiro, então a TI tem mais controle, mas o dispositivo continua não supervisionado. O usuário se registra pelo app Company Portal ou pelo registro via web no Safari, que não precisa do Company Portal. A Microsoft recomenda o caminho via web.

Uma opção da política também deixa o usuário escolher na hora do registro: o dispositivo inteiro, ou só apps e dados de trabalho. Resumindo: User Enrollment para privacidade, registro do dispositivo para controle.

Macs pessoais

O Intune lista um caminho pessoal para Mac: registro do dispositivo pelo Company Portal. O Company Portal para Mac não está na App Store; o usuário baixa da Microsoft ou começa pelo site do Company Portal, entra com a conta, instala o perfil de gerenciamento nos Ajustes do Sistema e confirma com a senha do Mac.

Essa aprovação é o registro aprovado pelo usuário, e todo registro de Mac no Intune conta como um. Ele dá o mesmo nível de controle de um Mac supervisionado, e no macOS 11 ou posterior o Intune ativa a supervisão automaticamente. O Mac é registrado no Entra ID e o Intune marca como pessoal.

O porém: o usuário pode remover o perfil, e as configurações e apps gerenciados vão junto. Por isso Macs da empresa ficam no ADE com registro bloqueado.

Qual escolher?

• Dispositivos da empresa do Apple Business: ADE. Supervisionados, e o registro bloqueado mantém o gerenciamento.
• Dispositivos da empresa comprados em outro lugar: adicione ao Apple Business com o Apple Configurator para usarem o ADE também. Registro direto para dispositivos sem usuário.
• iPhones e iPads pessoais: User Enrollment quando a privacidade vem primeiro, registro do dispositivo quando você precisa de mais controle.
• Macs pessoais: Company Portal.

Seja qual for a escolha, o certificado push MDM da Apple vem primeiro. Qual método você usa e por quê? Conta aqui nos comentários.