Como registrar um iPhone pessoal no Intune com o Company Portal (BYOD)

Um iPhone pessoal pode entrar no Microsoft Intune com o app Company Portal. Não tem reset nem supervisão: o usuário continua com o próprio iPhone, e o Intune gerencia a parte do trabalho. Este guia segue um tenant de laboratório real: primeiro tudo o que o admin prepara no Intune admin center, depois cada tela do iPhone e, no fim, o que o Intune mostra depois do registro.

Vai registrar o seu próprio iPhone? Faça assim.

1. Instale o Intune Company Portal pela App Store e abra o app.
2. Entre com a sua conta do trabalho e conclua o login (aqui ele terminou no Microsoft Authenticator).
3. Em Set up access, toque em Begin, leia a tela de privacidade, depois Continue e Allow para baixar o perfil no Safari.
4. Abra Settings > General > VPN & Device Management, toque no Management Profile baixado e depois em Install, digite o código, Install de novo e Trust.
5. Volte ao Company Portal, toque em Continue, espere a verificação das configurações do dispositivo e toque em Done.

O resto deste guia é o lado do admin e como fica cada passo.

O que é o registro com o Company Portal?

O Microsoft Learn chama de Apple device enrollment: um jeito de funcionários e alunos registrarem os próprios iPhones e iPads para o trabalho ou a escola. Ele tem duas versões:

• Device enrollment with Company Portal usa o app. É o que este guia mostra.
• Web based device enrollment acontece no Safari, sem o app Company Portal.

O Learn compara os dois lado a lado. Nenhum dos dois exige reset do dispositivo, o próprio usuário inicia o registro, é um usuário por dispositivo e não há supervisão. O registro just-in-time funciona nos dois. O caminho pelo app precisa de dois apps, Intune Company Portal e Microsoft Authenticator, e passa por três lugares: Company Portal, Safari e o app Ajustes (Settings).

O Learn também recomenda o registro pela web com registro just-in-time como o método mais seguro para atestação do dispositivo, então leve isso em conta na hora de escolher.

A tabela de comparação do Learn ainda diz iOS 14 ou posterior para o app. A página de sistemas operacionais suportados do Intune é a que vale: dispositivos com afinidade de usuário, como esses iPhones pessoais, são suportados a partir do iOS/iPadOS 18 (conferido em novembro de 2026).

Depois do registro, o usuário pode renomear, remover, bloquear remotamente e verificar o status do dispositivo no Company Portal. Renomear só muda o nome no Company Portal, não no Intune.

Antes de começar

O guia do Learn para iPhones pessoais lista três itens: dispositivos suportados, um certificado Apple MDM push ativo e uma política de registro. No laboratório fica assim:

1. Certificado Apple MDM push. Devices > Enrollment > Apple: o nosso aparece Active, com 365 dias até expirar. Ele vale um ano e é renovado com a mesma conta Apple que o criou. Ainda não tem? Veja como criar um.
2. Autoridade MDM. Tenant administration > Tenant status mostra Microsoft Intune. Num tenant de avaliação novo, ela já vem definida.
3. Licença. Cada usuário que registra precisa de pelo menos o Intune Plan 1. No Microsoft 365 admin center, a lista de apps do usuário mostra o Microsoft Intune Plan 1 ativado. Veja no Microsoft Learn quais planos incluem o Intune.
4. Grupos. Um grupo de segurança para usuários, com associação atribuída (o nosso usuário tutorial é o único membro), e um grupo dinâmico de dispositivos com a regra device OS type equals iPhone, or iPad. iPhones e iPads registrados entram nele sozinhos.
5. Filtro de atribuição. Um filtro para iOS/iPadOS com device ownership equals Personal. Políticas atribuídas a usuários podem usá-lo para atingir só dispositivos pessoais.

Restrições de registro

O Learn lista dois tipos: device platform restrictions (plataforma) e device limit restrictions (limite de dispositivos).

Restrições de plataforma. Devices > Enrollment > Device platform restrictions, depois a aba de restrições do iOS. De fábrica existe uma política, a Default, atribuída a todos os usuários. Em Create restriction, Platform settings tem três opções:

• MDM: Allow ou Block.
• Allow min/max range: a versão mais antiga e a mais nova do iOS que podem se registrar.
• Personally owned devices: Allow ou Block.

O laboratório deixa MDM e dispositivos pessoais em Allow, com mínimo 18.0. A página avisa que as restrições de versão só valem para dispositivos registrados com o Company Portal. Atribua ao grupo piloto de usuários, revise e crie. A nova restrição entra com prioridade 1, acima da Default, e o dispositivo segue a restrição de maior prioridade atribuída ao seu usuário.

Restrições de limite de dispositivos. A padrão permite 5 dispositivos por usuário, e uma restrição nova pode ir de 1 a 15. O laboratório usa 10 para o mesmo grupo de usuários, e ela também fica acima da padrão.

Uma observação do Learn: restrições de registro não são recursos de segurança. Um dispositivo comprometido pode se apresentar como outra coisa; elas são uma barreira de melhor esforço para usuários sem más intenções.

O perfil de tipo de registro

Enrollment > Enrollment types: a lista começa vazia. Create profile, iOS/iPadOS. Em Basics, um nome e uma descrição (o usuário não vê esses dados). Em Settings, o menu Enrollment type tem quatro opções:

• Web based device enrollment: o registro acontece na versão web do Company Portal, sem o app.
• Account driven user enrollment: o usuário adiciona a conta do trabalho em Ajustes, e o Intune gerencia um conjunto específico de recursos e apps de trabalho.
• Device enrollment with Company Portal: o registro típico no app Company Portal. O dispositivo inteiro é gerenciado, não só apps específicos.
• Determine based on user choice: o usuário escolhe durante o registro, e é usado o registro de usuário ou o de dispositivo.

O laboratório escolhe Device enrollment with Company Portal. O guia do Learn lista o que vem junto: certificados podem valer para o dispositivo inteiro, o próprio usuário instala as atualizações e um usuário precisa estar associado ao dispositivo. Atribua o grupo piloto de usuários, revise e crie. O perfil aparece com prioridade 1. Se um usuário receber mais de um perfil, o Intune aplica o de maior prioridade, e dá para arrastar para reordenar.

Política de conformidade

Antes de qualquer política, existem as Compliance policy settings, que valem para o tenant inteiro:

• Mark devices with no compliance policy assigned as: o padrão é Compliant. O laboratório usa Not compliant, o valor que o Learn indica quando você usa Acesso Condicional.
• Compliance status validity period: 30 dias por padrão.

Depois, a política: Create policy, plataforma iOS/iPadOS, um nome e uma descrição. Compliance settings tem cinco grupos: Email, Device Health, Device Properties, Microsoft Defender for Endpoint e System Security. O laboratório define:

• Device Health: bloquear dispositivos com jailbreak.
• Device Properties: versão mínima do sistema 18.0.
• System Security: exigir senha, com tamanho mínimo 6.

Em Actions for noncompliance está Mark device noncompliant, immediately; toda política já inclui essa ação por padrão. Atribua ao grupo piloto de usuários, revise e crie.

O que o usuário precisa

O guia do usuário no Learn lista o navegador Safari, uma versão do iOS suportada (hoje, para o Intune, iOS 18 ou posterior), uma conexão Wi-Fi estável, o app Intune Company Portal e a versão mais recente do Microsoft Authenticator. O Learn também avisa que pausar por mais de alguns minutos pode fazer o Company Portal fechar ou encerrar a configuração.

No laboratório, o usuário é o tutorial, com uma licença atribuída, e o Microsoft Authenticator já está registrado como método de login, então o login no iPhone pode terminar por ele.

No iPhone: o app e o login

1. Abra a App Store, procure Company Portal e instale o Intune Company Portal da Microsoft. Depois, Open.
2. Entre com a conta do trabalho, aqui na nossa página de login personalizada.
3. Escolha Face, fingerprint, PIN or security key. O iOS oferece um QR code para usar uma passkey de outro dispositivo, e o Microsoft Authenticator abre e conclui o login.
4. O Company Portal pede para enviar notificações, para o usuário não perder acesso aos recursos do trabalho: Ok, depois Allow.
5. Set up howtomecm access lista quatro passos: revisar as informações de privacidade, baixar o perfil de gerenciamento, instalá-lo e verificar as configurações do dispositivo. Begin.

A tela de privacidade. O que a empresa não pode ver: histórico de navegação, e-mail pessoal, documentos, contatos e calendário, senhas, fotos e a localização de um dispositivo pessoal. O que ela pode ver: modelo, número de série e sistema operacional, o nome do dispositivo e as informações de apps e redes de trabalho. Ela também pode redefinir um dispositivo perdido ou roubado. Se a empresa configurar, pode ver o número de telefone completo, todos os apps instalados e a localização de um dispositivo perdido. Continue.

No iPhone: o perfil de gerenciamento

1. Baixar. Continue abre o Safari, que pede para baixar um perfil de configuração: Allow, Touch ID e Close. De volta ao Company Portal.
2. Instalar. Em Settings > General > VPN & Device Management está o Management Profile baixado. Install, o código e Install de novo. O nosso iPhone pediu Touch ID para registrar no MDM.
3. Confiar. O aviso diz que ele instala o certificado raiz da Microsoft e permite que o administrador gerencie o iPhone remotamente. Install, depois Trust.
4. O perfil registra os certificados e mostra Profile Installed. Ele contém Mobile Device Management, dois certificados e um certificado de identidade do dispositivo ACME.
5. Verificar. De volta ao Company Portal, Continue. Checking device settings levou uns doze segundos no laboratório, depois You’re all set: Done. O Company Portal registra o dispositivo: Success! You’re registered!

Em Devices, no Company Portal, o iPhone mostra Can access company resources e Ownership type: Personal.

Depois que o perfil é baixado, instale dentro de um tempo limitado. Se ele expirar, baixe de novo pelo Company Portal.

Conferindo no Intune

• Apple mobile devices: o iPhone está gerenciado pelo Intune, propriedade Personal, em conformidade, iOS 27.0.1, com o tutorial como usuário principal.
• Visão geral do dispositivo: os mesmos selos, Compliant e Personal, e o status de conformidade: duas políticas, as duas em conformidade.
• Device compliance: a nossa política de conformidade do iOS e a Default Device Compliance Policy, que já vem pronta. Abra a nossa, e cada configuração mostra Compliant: versão mínima do sistema, tamanho mínimo da senha, exigência de senha e dispositivos com jailbreak.
• Grupo dinâmico de dispositivos: ele pegou o iPhone sozinho. Um membro, e o status de processamento das regras dinâmicas diz Succeeded.
• Filtro de atribuição: a prévia do filtro Personal agora encontra o dispositivo.

Dá para registrar um iPhone pessoal sem o Company Portal?

Dá. O Web based device enrollment acontece no Safari e no app Ajustes, e só precisa do Microsoft Authenticator. O Account driven user enrollment começa pela conta do trabalho em Ajustes. iPhones da empresa usam outros métodos, como o Automated Device Enrollment ou o Apple Configurator. Veja o nosso explicativo de registro Apple no Intune com todos os métodos lado a lado e o guia de registro iOS/iPadOS da Microsoft.

Fontes

• Microsoft Learn, Overview of Apple device enrollment
• Microsoft Learn, iOS/iPadOS enrollment guide
• Microsoft Learn, What are enrollment restrictions?, device platform restrictions e device limit restrictions
• Microsoft Learn, iOS/iPadOS compliance settings
• Microsoft Learn, Set up your personal iOS device
• Microsoft MD-102: Microsoft 365 Endpoint Administrator (Módulo 4, registro de dispositivos iOS/iPadOS; restrições de registro)

Esse é o caminho completo: certificado push ativo, Intune como autoridade MDM, pelo menos o Intune Plan 1, grupos e um filtro, restrições de registro, o perfil de tipo de registro e uma política de conformidade; depois Company Portal, login, o perfil em Ajustes e Success. Company Portal ou registro pela web: qual os seus usuários usam? Conta nos comentários.