Registrar um Mac pessoal no Intune (BYOD com Company Portal)

Este é o Mac do Alex: as fotos, as músicas e as mensagens dele. A empresa não pagou nada. Mas na segunda-feira o Alex precisa do e-mail do trabalho, do Teams e dos arquivos da empresa nele. Como deixar um Mac pessoal entrar na empresa sem tomar conta dele? Este guia faz isso de verdade em um tenant de laboratório do Intune.

BYOD no Mac: duas ideias primeiro

A propriedade decide o caminho. Um Mac da empresa comprado pelo Apple Business se registra sozinho na primeira vez que é ligado (Automated Device Enrollment). Um Mac pessoal já está configurado e nunca foi comprado pela empresa, então ele se registra pelo app Company Portal. O Intune chama isso de registro do dispositivo. Não existe um User Enrollment separado para Mac, como no iPhone.

O perfil de gerenciamento é o elo. No fim do registro, o Intune entrega ao Mac um pequeno perfil, usado para enviar configurações, checar conformidade e entregar apps. A Apple nunca deixa ele instalar em silêncio: o usuário aprova nos Ajustes do Sistema com a senha do Mac. Por isso todo registro de Mac no Intune é aprovado pelo usuário.

No macOS 11 ou posterior, o Intune também ativa a supervisão nesses Macs. Um Mac pessoal aparecer como supervisionado é esperado, e ele continua marcado como pessoal.

Quatro verificações antes de registrar

As quatro ficam no centro de administração do Intune.

1. Certificado push MDM da Apple. Devices > macOS > Enrollment > Apple MDM Push Certificate. O status deve ser Active. Ele dura um ano, então acompanhe os dias até expirar e renove com a mesma conta Apple da empresa que criou o certificado.
2. Licença. O Alex precisa de pelo menos uma licença do Intune Plan 1. Abra o usuário, depois Licenses, e confira se o plano inclui o Intune. Veja no Microsoft Learn quais planos incluem.
3. Restrições de plataforma. No laboratório só existe a política padrão. Nas propriedades, macOS está permitido e Personally owned também. Se Macs pessoais estivessem bloqueados aqui, o registro pararia logo no começo. O Intune trata todo Mac como pessoal, a não ser que o número de série esteja cadastrado como identificador corporativo ou que ele tenha vindo pelo Automated Device Enrollment.
4. Limite de dispositivos. Define quantos dispositivos uma pessoa pode registrar, de 1 a 15 (5 neste laboratório). Se o Alex já tem cinco, o Mac seria o sexto e o registro volta. O Microsoft Entra tem o seu próprio limite, que pode ser menor.

Dois extras opcionais

Nenhum dos dois é obrigatório para registrar um Mac. Eles estão aqui para mostrar como o Intune avalia um Mac pessoal.

Uma política de conformidade. Em macOS > Compliance tem uma política chamada macOS BYOD, Disk Encryption com uma regra em System Security: exigir criptografia do armazenamento do dispositivo (no Mac, o FileVault). Se falhar, o dispositivo é marcado como não conforme na hora. No laboratório ela está atribuída a All Users; em produção, teste antes com um grupo piloto.

Uma política de conformidade só reporta. Ela não liga o FileVault e não bloqueia nada sozinha. Bloquear é trabalho do acesso condicional, no Microsoft Entra: o Outlook pode perguntar “este dispositivo está em conformidade?” antes de deixar o Alex entrar.

Uma notificação de registro. Um perfil de gerenciamento num Mac pessoal deixa as pessoas nervosas, então mande um e-mail quando o registro começar. macOS > Enrollment > Enrollment notifications > Create: dê um nome, ligue o e-mail, coloque assunto e mensagem (push para o Company Portal também é uma opção). O cabeçalho pode mostrar seu logo e o rodapé o nome da empresa, o contato do suporte e os dados do dispositivo, que vêm do Customization do tenant. Os dados do dispositivo vêm desligados porque podem atrasar o e-mail. Atribua e crie.

O que a TI vê num Mac pessoal?

A Microsoft publica a lista. A TI pode ver o dono, o nome, modelo e fabricante do dispositivo, o número de série e a versão do macOS. Num dispositivo pessoal, o inventário de apps cobre só os apps gerenciados, os apps de trabalho que chegam pelo Company Portal.

A TI não pode ver histórico de navegação, e-mails e mensagens, contatos, calendário, senhas, fotos nem o conteúdo dos documentos. A localização de um Mac pessoal também fica privada. O Company Portal mostra essa lista antes de instalar qualquer coisa.

Registrando o Mac

1. No Mac, System Settings > General > Device Management não mostra nenhum perfil. Confira a versão do macOS: o Intune dá suporte às três versões mais recentes (macOS 15 ou posterior quando foi gravado).
2. O Company Portal não está na App Store. A página Enroll your Mac da Microsoft tem o link do instalador. Baixe e rode o pacote.
3. Abra o Company Portal e entre com a conta de trabalho (senha e código do autenticador).
4. Em Set up access, selecione Begin. Leia a tela de privacidade: de um lado o que a organização não pode fazer, do outro o que ela pode.
5. Selecione Download profile. O perfil fica esperando em System Settings > Device Management. Abra, revise, instale e digite a senha do Mac.
6. O perfil de gerenciamento é instalado, com dois perfis do agente MDM do Intune ao lado.
7. De volta ao Company Portal, a última etapa confere as configurações. Com a política de conformidade acima, aparece uma pendência: ativar a criptografia. How to resolve this abre o guia do FileVault da Apple e Retry roda a verificação de novo.

Conferindo no Intune

• No Company Portal, o Mac ganha uma página própria: não conforme (por aquela pendência), propriedade Personal. O usuário pode ver o status, renomear ou remover o dispositivo, o que tira o Mac do Intune.
• No centro de administração, atualize macOS devices: o Mac aparece gerenciado pelo Intune, propriedade Personal, não conforme, com a conta usada como usuário principal. Compare o número de série com Sobre Este Mac, porque nem sempre o nome do dispositivo é claro.
• Aparece o selo Supervised, esperado em Macs aprovados pelo usuário com macOS 11 ou posterior.
• O e-mail de notificação chega com o horário, a versão do macOS, o número de série e o nome do dispositivo.

Essa é a jornada completa: um Mac pessoal registrado pelo Company Portal, com o usuário aprovando cada passo e o Intune listando como Personal. A sua empresa deixa as pessoas usarem o próprio Mac no trabalho? Conta aqui nos comentários.