In Teil 2 der Beitragsserie sind wir auf die Einrichtung einer Synchronisation zwischen dem Apple Business Manager und dem Microsoft Endpoint Manager eingegangen. Hierdurch werden in ABM eingepflegte Geräte zum Endpoint Manager synchronisiert und dort verwaltet. Das Onboarding von Geräten über den ABM zum Endpoint Manager ermöglicht also eine vollumfängliche Verwaltung von Geräten. Was aber, wenn die firmeneigenen Geräte nicht bei einem autorisierten Apple-Händler gekauft und dadurch nicht automatisch im Apple Business Manager eingepflegt werden? Hier kommt der Apple Configurator 2 ins Spiel, welchen wir uns in diesem Beitrag genauer anschauen!
Was ist der Apple Configurator 2
Der Apple Configurator 2 ist ein Programm, welches nur auf einem Apple-PC ausführbar ist. Es erlaubt die Konfiguration von Apple-Geräten und das Onboarding von diesen zum Apple Business Manager. Das Gerät lässt sich anschließend so verwalten wie nativ in ABM eingepflegte Geräte, mit einer Ausnahme:
Geräte, welche über den Apple Configurator 2 im ABM eingepflegt wurden, zeigen bei der Ersteinrichtung eine Möglichkeit zum Widerruf der Registrierung an. Diese Möglichkeit besteht für 30 Tage ab dem ersten Registrierungsdatum im ABM.
Wir erinnern uns: Durch den direkten Kauf eines Apple-Geräts über ein Firmenkonto bei einem autorisierten Apple-Händler kann ganz klar verifiziert werden, dass dem Käufer das Gerät auch tatsächlich gehört. Dadurch wird es von Apple direkt im ABM registriert werden.
Durch den Apple Configurator 2 können wir auch Geräte von nicht autorisierten Händlern im ABM einpflegen. Bei diesen Geräten kann, aufgrund des Kaufs bei einem nicht autorisierten Händler, der Besitz nicht direkt verifiziert werden. Durch die fehlende Verifizierung kommt diese Ausnahme zustande. Mehr dazu können Sie auf der Support-Seite von Apple nachlesen.
Nutzung des Apple Configurator 2
Nach der Installation des Apple Configurator 2 auf einem Mac-Rechner und dem verbinden eines Apple-Geräts über ein USB-Kabel kann das verbundene Gerät vorbereitet werden:
Apple Configurator 2 im App Store
Im folgenden Menü wählen Sie die entsprechenden Punkte für die manuelle Konfiguration:
Erstellung der Apple Configurator-Konfiguration
Für die Vorbereitung des Geräts muss eine Konfiguration für einen MDM-Server, eine Organisation und eine Betreuungsidentität in Apple Configurator 2 vorhanden sein. Sofern dies noch nicht erfolgt ist, können Sie diese Schritte bei der initialen Einrichtung durchführen:
Wählen Sie einen Namen für Ihren MDM-Server:
Erstellung Apple Configurator 2 Profile in Endpoint Manager
Die benötigte URL wird durch die Erstellung eines Enrollment-Profils im Microsoft Endpoint Manager generiert und lässt sich anschließend dort abrufen. Wechseln Sie in den Microsoft Endpoint Manager und klicken Sie auf „Devices --> Enroll devices --> Apple enrollment --> Apple Configurator“. Anschließend wählen Sie „Profiles“, dann „+Create“:
Erstellen Sie anschließend ein Profil mit der Einstellung „Enroll with user affinity“, wenn Sie Geräte für Endbenutzer ausrollen:
Nach der Erstellung des Profils können Sie die benötigte URL für den Apple Configurator abrufen, indem Sie das erstellte Profil auswählen und „Export Profile“ wählen:
Auf der rechten Bildschirmseite erscheint nun die „Profile URL“, welche für den Apple Configurator 2 benötigt wird.
Im Microsoft Endpoint Manager muss zudem noch ein Geräteprofil erstellt und zugewiesen werden. Wählen Sie hierfür unter „Geräte“ den Punkt „iOS/iPadOS enrollment -> Enrollment program tokens“ und dort den eingerichteten Token:
Wählen Sie unter „Profiles“ die Option „Create profile“ und erstellen Sie ein Profil mit Benutzeraffinität für Geräte, welche von realen Personen genutzt werden. Anschließend können Sie dieses Profil als Standard auswählen, um das Profil nicht händisch jedem neuen Gerät zuweisen zu müssen:
Führen Sie eine Synchronisation des konfigurierten Tokens durch und starten Sie das konfigurierte Gerät neu, damit es von der Synchronisation erfährt und das Profil abrufen kann.
Zurück im Apple Configurator 2
Nach dem einfügen der URL wählen Sie nun das Zertifikat:
Wenn bereits ein MDM-Server erstellt wurde, lässt sich dieser auswählen. Anschließend wählen Sie Ihre Organisation:
Sofern Sie noch keine Organisation erstellt haben, können Sie diese durch einen Klick auf “Neue Organisation …" erstellen. Es erfolgt eine Aufforderung zur Anmeldung am Apple Business Manager Portal. Hier benötigen Sie nun die Zugangsdaten Ihrer verwalteten AppleID, welche Sie erhalten haben bei der Erstellung des Apple Business Manager-Accounts:
Nach der Anmeldung erstellen Sie eine “Betreuungsidentität”, sofern Sie zuvor keine erstellt haben:
Die Betreuungsidentität legt diverse Einstellungen zur Einrichtung der Endgeräte fest, welche in ABM ein Onboarding erfahren. Möchte man Endgeräte mit einer neuen Betreuungsidentität einrichten, benötigen diese einen kompletten Reset. Betreuungsidentitäten lassen sich zwischen mehreren Rechnern teilen, um von verschiedenen macOS-Systemen Endgeräte mit derselben Betreuungsidentität in ABM zu integrieren.
Nach dem Einrichten einer Organisation und einer Betreuungsidentität, aber auch wenn diese bereits eingerichtet und ausgewählt wurden, landen Sie bei den folgenden Schritten.
Sie können nun die einzelnen Einrichtungsschritte konfigurieren, welche der Benutzer bei der initialen Einrichtung seines Endgerätes erhält:
Zuletzt ist es möglich, ein Netzwerkprofil auswählen. Hiermit lässt sich beispielsweise eine WLAN-Konfiguration mitgeben:
Mit einem Klick auf “Vorbereiten” wird das angeschlossene Gerät zurückgesetzt und präpariert:
Während das Endgerät per USB-Kabel angeschlossen bleibt, führen Sie nun die Einrichtung bis zu dem Schritt „Daten & Datenschutz“ am Gerät selbst durch. Während der Einrichtung am Gerät aktualisiert Apple Configurator 2 den Status:
Warten Sie bei dem Einrichtungspunkt „Daten & Datenschutz“. Das Gerät wird automatisch durch den Apple Configurator 2 neu gestartet. Die Einrichtung über den Apple Configurator 2 ist nun abgeschlossen.
Anschließend erhalten Sie bei der Einrichtung den Hinweis, dass dieses Gerät für die Fernverwaltung registriert wird und der Hinweis, dass man die „Entfernte Verwaltung“ verlassen kann. Sie können das Gerät normal einrichten.
Hinweis:
Bei der Ersteinrichtung kann es sein, dass auf dem Endgerät folgende Fehlermeldung erscheint: „Die Konfiguration für dein iPhone konnte nicht von <Organisationsname> geladen werden. Ungültiges Profil“
Diese Meldung erscheint, weil das Endgerät zwar nun zum Apple Business Manager hinzugefügt wurde, aktuell aber noch nicht im ABM Ihrem MDM-Server zugewiesen ist. Weisen Sie nun das Gerät im ABM zum MDM-Server zu, wie in Teil 1 der Serie beschrieben .
Für eine schnellere Synchronisation können Sie eine manuelle Synchronisation im Microsoft Endpoint Manager starten. Am Gerät selbst wird nun eine angemeldete AppleID benötigt, um das Unternehmensportal auszurollen, über welches das Gerät gesteuert wird.