Registro de Android no Intune explicado: cada modo e quando usar

Três dispositivos Android. Um é o seu celular, com suas fotos e seus grupos. Outro é um celular que a empresa comprou para o trabalho. E o terceiro é um leitor de código de barras num depósito que não é de ninguém. O Intune consegue gerenciar os três, mas trata cada um de um jeito. O guia de registro da Microsoft confere quatro coisas para decidir como.

O que você precisa antes

1. Autoridade MDM definida como Intune.
2. Licenças. Cada usuário precisa de pelo menos uma licença do Intune Plan 1. Alguns planos da Microsoft já incluem e o licenciamento muda, então confira a página de licenciamento do Intune no Microsoft Learn. Dispositivos dedicados sem usuário podem usar uma licença só de dispositivo, mas não têm proteção de aplicativos nem acesso condicional.
3. Permissões. A função Policy and Profile Manager cobre quase todo o trabalho de registro. Conectar o Google Play gerenciado exige Intune Administrator, e a conta do Entra vinculada precisa ter caixa de correio.
4. Google Play gerenciado. Antes de registrar qualquer dispositivo Android Enterprise, conecte o Intune ao Google Play gerenciado, uma vez por tenant. A Microsoft recomenda entrar com uma conta do Microsoft Entra em vez de Gmail. O Intune adiciona para você o app Intune, o Authenticator, o Company Portal e o Managed Home Screen. Se um dia você desconectar, o gerenciamento Android Enterprise para no tenant inteiro.
5. Grupos de usuários e dispositivos prontos, para os dispositivos novos caírem no lugar certo.

O mapa: quatro perguntas

Android no trabalho roda sobre o Android Enterprise, o framework de gerenciamento do Google, e o Intune monta as opções principais em cima dele.

1. O dispositivo tem serviços do Google? Não (muitos óculos de realidade virtual) → AOSP.
2. De quem é? Pessoal → perfil de trabalho pessoal. Da empresa → um modo corporativo.
3. Tem usuário? Não (quiosque, leitor) → dedicado.
4. Celular da empresa com um usuário: uso pessoal é permitido? Só trabalho → totalmente gerenciado. Trabalho e pessoal → perfil de trabalho corporativo.

Sigla	Modo
BYOD	Bring your own device: perfil de trabalho pessoal
COBO	Corporate-owned, business-only: totalmente gerenciado
COPE	Corporate-owned, personally enabled: perfil de trabalho corporativo
COSU	Corporate-owned, single-use: dedicado
AOSP	Android Open Source Project: dispositivos sem serviços do Google
DA	Device administrator: o jeito antigo

Celulares pessoais: o perfil de trabalho

O Android divide o celular em dois. Os apps de trabalho ficam num espaço próprio, com uma pequena maleta no ícone; os pessoais ficam onde estão e o Intune não gerencia.

• A TI pode ver: modelo, fabricante, número de série, IMEI, versão do Android, os quatro últimos dígitos do número de telefone e os apps que ela gerencia no perfil de trabalho.
• A TI não pode ver: fotos, mensagens, histórico de chamadas e de navegação, contatos, senhas nem localização.
• Quando você sai da empresa: a TI desativa o dispositivo (retire), o que remove só o perfil de trabalho.

Se até isso parecer demais, as políticas de proteção de aplicativos sem registro são uma opção mais leve.

Registro via web e a grande mudança

A nova Android Management API do Google já cuidava dos dispositivos corporativos no Intune, e em junho de 2026 os perfis de trabalho pessoais começaram a migrar para ela. Junto vem o registro via web: o usuário abre um link como aka.ms/enrollmyandroid (ou chega lá pelo Teams ou pelo Outlook), entra com a conta de trabalho no navegador, aceita e o Android cria o perfil de trabalho. Sem instalar app antes, e é o padrão em tenants novos.

Depois disso, o app Microsoft Intune é o app principal do dispositivo, e o Company Portal continua lá para ver os apps de trabalho. O fluxo antigo, instalar o Company Portal primeiro, está sendo descontinuado. Ligar o registro via web vale para o tenant inteiro e não dá para desligar.

Celulares da empresa

A empresa é dona do hardware, então a TI tem mais controle. Esses dispositivos começam de uma redefinição de fábrica e são configurados direto da caixa. Os dois modos exigem Android 10 ou posterior.

• Totalmente gerenciado (COBO): só trabalho, um usuário. A TI gerencia o dispositivo inteiro: quais apps podem ser instalados, se o usuário pode remover, até se o celular pode ser redefinido. A TI vê todos os apps e a localização se ele for perdido.
• Perfil de trabalho corporativo (COPE): um celular da empresa que o usuário também pode usar para coisas pessoais. Ele ganha um perfil de trabalho, então o lado pessoal continua privado, mas a TI ainda controla algumas configurações do aparelho, como bloqueio de tela, Bluetooth e roaming. A Microsoft aponta o COPE como uma forma de impedir que as pessoas registrem o próprio celular.

Dispositivos dedicados

Dispositivos que não são de uma pessoa: um leitor no depósito, um tablet de check-in, uma tela com cardápio. Não têm usuário, e a TI trava eles em um app ou em alguns apps no Managed Home Screen. Para dispositivos compartilhados entre turnos existe o dedicado com o modo de dispositivo compartilhado do Microsoft Entra: o funcionário entra no começo do turno e sai no fim, e os apps compatíveis acompanham. Dedicados exigem Android 8 ou posterior e começam de uma redefinição de fábrica.

Antes de registrar um dispositivo da empresa

• Faça a redefinição de fábrica e tire o dispositivo de qualquer outro MDM antes.
• Crie um perfil de registro para o modo e deixe o grupo de dispositivos pronto. Depois que um perfil estiver em uso, não renomeie, porque isso pode travar registros futuros.
• Para totalmente gerenciado e COPE existe também um token de preparação (staging): a TI ou um fornecedor faz a configuração antes e o usuário só entra no app Intune.
• Uma conta de gerenciador de registro de dispositivos pode registrar perfis de trabalho pessoais, mas não dispositivos da empresa.
• O app depende do modo: o app Intune roda dedicados, totalmente gerenciados, COPE e perfis de trabalho registrados pelo navegador; o Company Portal é para perfis de trabalho criados pelo app; os AOSP recebem o app Intune e o Authenticator.

Registrando dispositivos da empresa

Cada opção começa na primeira tela de configuração e usa um token do perfil de registro:

• Código QR, a recomendação da Microsoft para a maioria dos casos: toque várias vezes na tela de boas-vindas e leia o código do Intune.
• NFC: encoste o dispositivo numa etiqueta NFC ou em outro dispositivo com os dados de registro.
• afw#setup: digite isso na tela de login do Google no lugar do e-mail, depois leia o código ou digite o token.
• Zero-touch: dispositivos comprados de um revendedor autorizado já vêm atribuídos à sua organização e se registram sozinhos na primeira inicialização. O equivalente da Samsung é o Knox Mobile Enrollment.

A partir do Android 11, celulares COPE não podem usar NFC nem afw#setup; use QR, zero-touch ou Knox.

Sem Google, e o jeito antigo

O gerenciamento AOSP é para dispositivos sem serviços do Google, como os óculos Meta Quest ou RealWear. Existe sem usuário (compartilhado) ou associado a um usuário; nos dois casos o registro é por QR, um dispositivo por vez, e os apps da Microsoft, incluindo o Authenticator, são instalados na configuração. Só dispositivos da lista de suporte da Microsoft podem usar.

O administrador de dispositivos é o jeito antigo. O Google descontinuou há anos e, desde o fim de 2024, o Intune não dá mais suporte a ele em dispositivos com serviços do Google. Mova os celulares DA que sobraram para um perfil de trabalho com uma política de conformidade que guia o usuário, ou só para proteção de aplicativos. Dispositivos Android certificados para Teams são a exceção e continuam no DA por enquanto. Bloqueie o administrador de dispositivos nas restrições de plataforma de registro para nada voltar para ele, e aproveite para definir o limite de dispositivos por usuário.

Resumo

Seu celular ganha um perfil de trabalho, agora pelo navegador. O celular da empresa é totalmente gerenciado, ou COPE se o uso pessoal for permitido. O leitor do depósito é um dispositivo dedicado. E sem Google, tem o AOSP. O Intune dá suporte ao Android 10 ou posterior para dispositivos com usuário, e Android 8 ou posterior para os sem usuário.

Qual dispositivo Android do seu parque não se encaixa em nenhuma dessas caixas? Conta aqui nos comentários.