Thema
Die automatische Geräteregistrierung (ADE) ist eine optionale Funktion des NinjaOne Mobile Device Management (MDM)-Produkts, die Apple Business Manager (ABM)/Apple School Manager (ASM) nutzt, um Apple-Geräte automatisch mit NinjaOne zu synchronisieren (Zero-Touch-Bereitstellung). Die Registrierung mit ADE und ABM/ASM wird für unternehmenseigene oder „überwachte“ (verwaltete) Geräte empfohlen. In diesem Artikel wird der entsprechende Vorgang beschrieben.
Umgebung
- NinjaOne MDM
- Apple iOS
- Apple Business Manager
Beschreibung
Der überwachte Modus kann das Entfernen des MDM-Profils verhindern und bietet eine bessere Kontrolle über Einschränkungen, Konfigurationen und Funktionen, wie z. B. das Deaktivieren von AirDrop oder anderen Systemeinstellungen. Sie können den überwachten Modus nur implementieren, wenn Sie ein Gerät einrichten, das neu aus der Verpackung kommt oder kürzlich auf die Werkseinstellungen zurückgesetzt wurde. Weitere Informationen zum überwachten Modus auf Apple-Geräten finden Sie unter Apple MDM: „Überwacht“ vs. „Nicht überwacht“ verstehen und MDM: Apple Push Notification Service (APNs) – Registrierung (externer Link).
Sie können ein Gerät nur registrieren und die Überwachung aktivieren, wenn Sie ein neues Gerät einrichten, das gerade aus der Verpackung kommt oder kürzlich auf die Werkseinstellungen zurückgesetzt wurde.
Techniker können von Endbenutzern eine Authentifizierung verlangen, um die ADE für Apple-MDM-Geräte abzuschließen, und die Zuweisung von Benutzern zu Geräten bei der Registrierung automatisieren. Die Endbenutzerauthentifizierung verwendet dieselbe Konfiguration wie NinjaOne-Verbindungen und Single Sign-On (SSO).
Index
Wählen Sie ein Thema aus, um fortzufahren.
- ABM-Anforderungen
- Informationen zur Geräteregistrierung über die ADE-Integration
- Zusammenfassung der Schritte
- Automatische Geräteregistrierung (ADE)
- Standardkonfiguration zuweisen
- Konfigurieren oder Aktualisieren des ADE-Profils in NinjaOne
- Token erneuern
ABM-Anforderungen
Das ABM oder ASM ist ein Webportal, über das IT-Administratoren die von ihrer Organisation erworbenen Lizenzen für Assets (Apps und Bücher) einsehen und Geräte für die Fernverwaltung einem bestimmten MDM-Server (in diesem Fall NinjaOne) zuweisen können. Um mehrere ADE-Verbindungen in NinjaOne zu erstellen, richten Sie in der Regel eine ADE-Verbindung pro ABM- oder ASM-Konto für die Geräteregistrierung ein.
Um Geräte mit ADE zu registrieren, müssen Sie die folgenden Kriterien erfüllen:
- Sie verfügen über mindestens ein Apple Push Notification Service-Zertifikat in NinjaOne.
- Ihre Geräte sind in ABM oder ASM unter Verwendung der Apple-Kundennummer oder der Reseller-ID registriert. Weitere Informationen zur Registrierung von Geräten in ABM finden Sie unter „Geräteanbieter in Apple Business Manager verwalten“ – Apple Support (externer Link).
- Die Geräte, die Sie zu ABM oder ASM hinzugefügt haben, wurden direkt bei Apple, bei von Apple autorisierten Händlern oder bei Mobilfunkanbietern erworben, darunter:
- iOS-Geräte mit iOS 7 oder neuer
- iPadOS-Geräte
Informationen zur Geräteregistrierung über die ADE-Integration
Die Registrierung erfolgt, nachdem die Gerätedaten aus ABM oder ASM synchronisiert wurden und in NinjaOne erscheinen, wo sie einer Organisation und einem Standort zugewiesen werden. Die automatisierte Geräteregistrierung findet während des anfänglichen Geräteeinrichtungsprozesses statt.
Die folgende Tabelle beschreibt die Definitionen des Profilstatus für ADE:
| Name des Profilstatus | Definition oder Zweck |
|---|---|
| Zugewiesen | Das Registrierungsprofil wurde seit der Registrierung des Geräts aktualisiert (oder das Gerät wurde noch nicht registriert). |
| Übertragen | Das Registrierungsprofil wurde, wie definiert, während des Registrierungsprozesses auf dem Gerät bereitgestellt. |
| Leer | Für das Gerät ist kein Registrierungsprofil definiert. Stellen Sie sicher, dass der Gerätedatensatz einer NinjaOne-Organisation und einem Standort zugewiesen ist. |
Befolgen Sie bei einem neuen Gerät die in diesem Artikel beschriebenen Schritte. Schalten Sie das Gerät anschließend zum ersten Mal ein und folgen Sie den Anweisungen des Setup-Assistenten, bis der Bildschirm „Remote-Verwaltung“ angezeigt wird. Befolgen Sie die Anweisungen, um Ihr Gerät zu registrieren.
Bei bereits eingerichteten Geräten müssen Sie diese auf die Werkseinstellungen zurücksetzen, um auf den Einrichtungsassistenten zuzugreifen und mit ADE fortzufahren. Öffnen Sie dazu die App „Einstellungen“ auf dem Gerät und navigieren Sie zu „Alle Inhalte und Einstellungen löschen“. Nach Abschluss des Vorgangs können Sie das Gerät in NinjaOne registrieren, als wäre es brandneu.
In der Vergangenheit verwendeten Apple-ADE-Registrierungsprofile veraltete 10-stellige Registrierungscodes, die in die Registrierungs-URL eingebettet waren. Um die Registrierung zu modernisieren und sicherer zu machen, verwenden alle Apple-ADE-Registrierungscodes nun ein 13-stelliges alphanumerisches Format, und die serverseitige Validierungslogik überprüft Tokens anhand ihres Hashwerts anstelle des Rohcodes. Wenn Sie ein neues ADE-Profil mit einem verschlüsselten Registrierungstoken für ein Gerät abrufen müssen, das noch nicht registriert wurde, aber das alte Registrierungsprofil zwischengespeichert und zur Installation bereit hat, müssen Sie das Gerät auf die Werkseinstellungen zurücksetzen. Diese Maßnahme kann erforderlich sein, da das Gerät möglicherweise versucht, die Registrierung mit der Methode vor der Migration durchzuführen, während der Server erwartet, ein Token zu validieren. Durch das Zurücksetzen auf die Werkseinstellungen wird der erneute Download des aktualisierten ADE-Profils von ABM ausgelöst.
Die Registrierung kann gesperrt werden, wenn Sie neu gekaufte Geräte während des Kaufvorgangs automatisch zu ABM hinzufügen lassen. Wenn Sie jedoch Apple Configurator verwenden, um Geräte manuell zu ABM hinzuzufügen, steht nach der Registrierung ein 30-tägiges Zeitfenster zur Verfügung, in dem die Option „Remote-Verwaltung verlassen“ verfügbar ist. Nach Ablauf dieses Zeitfensters entfernt das System die Option. Referenz:Geräte aus Apple Configurator zu Apple Business Manager hinzufügen – Apple Support ( externer Link).
Geräte, die zu ABM oder ASM hinzugefügt werden, müssen Eigentum des Unternehmens sein, nicht eines Endbenutzers. Sie können kein Gerät, das einem Endbenutzer gehört, zu ABM hinzufügen. Die Telefone werden gemäß den Richtlinien von Apple zurückgesetzt, wenn Apple-Geräte über ADE registriert werden.
Zusammenfassung der Schritte
Die folgenden Schritte beschreiben den Ablauf des Registrierungsworkflows im Überblick. Um Geräte über ABM oder ASM zu NinjaOne hinzuzufügen, müssen Sie:
- Konfigurieren Sie ein APNs-Zertifikat, falls Sie dies noch nicht getan haben. Anweisungen hierzu finden Sie unter NinjaOne MDM: Erste Schritte mit der Apple-Geräteverwaltung.
- Konfigurieren Sie die ADE-Integration.
- Konfigurieren Sie das Registrierungsprofil.
- Führen Sie eine Synchronisierung mit ABM oder ASM durch.
Die Schritte 2–4 werden in den folgenden Abschnitten dieses Artikels beschrieben.
Automatisierte Geräteregistrierung (ADE)
Um ADE für Ihre Apple-MDM-Geräte zu verwenden, führen Sie die folgenden Schritte aus:
- Navigieren Sie zu „Administration“ → „Apps “ → „Installiert“ →„NinjaOne MDM Apple“.
Abbildung 1: Auf NinjaOne-Apps und Integrationen von Drittanbietern zugreifen
- Öffnen Sie die Registerkarte „Automatische Geräteregistrierung “ und klicken Sie dann auf „ADE-Profil hinzufügen“.
Abbildung 2: Ein ADE-Profil hinzufügen
Das Dialogfeld „ADE-Profil hinzufügen “ wird angezeigt.
- Klicken Sie in Schritt 1 des Dialogfelds auf „Datei herunterladen“ und suchen Sie in Ihrem Download-Ordner nach der PEM-Datei.
- Klicken Sie in Schritt 2 des Dialogfelds auf einen der beiden blauen Hyperlinks.
Für die Zwecke dieses Leitfadens bieten wir eine Schritt-für-Schritt-Anleitung für den Registrierungsvorgang über ABM. Der Vorgang über ASM ist nahezu identisch, wir können jedoch keine Screenshots bereitstellen, da NinjaOne nicht über den erforderlichen Status verfügt, um sich für ein Konto zu qualifizieren.
- Geben Sie im Apple-Anmeldeportal Ihre Apple-ID und Ihr Passwort ein und folgen Sie den Anweisungen, um sich anzumelden, oder verwenden Sie die von Apple bereitgestellten Hyperlinks, um ein neues Konto zu erstellen.
- Klicken Sie im oberen Menü auf „Geräte“ und wählen Sie dann „Verwaltungsdienste“ aus. Klicken Sie am Ende der Seite auf „Hinzufügen“.
- Legen Sie einen Namen für Ihren Server fest, der als individuelle ADE-Profilverbindung dient, und klicken Sie dann auf „Zertifikat hochladen“. Wählen Sie die PEM-Datei aus, die Sie in Schritt 3 heruntergeladen haben.
- Klicken Sie auf „Weiter“.
- Klicken Sie auf „Servicetoken herunterladen “ und dann auf „Fertig“.
- Kehren Sie zu NinjaOne zurück. Klicken Sie in Schritt 3 des ADE-Konfigurationsdialogs auf „Datei hochladen“, um die Token-Datei hinzuzufügen, die Sie gerade in Schritt 9 heruntergeladen haben.
Optional können Sie eine Standardorganisation, einen Standort und eine Geräterolle für das jeweilige Betriebssystem auswählen, das hinzugefügt wird (iOS, iPadOS oder macOS). Die von Ihnen ausgewählte Organisation wird zur Standardeinstellung für alle Geräte, die zum MDM-Server gehören.
- Wenn Sie die Organisation löschen, entfernt NinjaOne die Organisationszuordnung.
- Wenn Sie Anforderungen für die Benutzeranmeldung konfigurieren, um die Geräteregistrierung abzuschließen, erstellt NinjaOne eine Aufforderung zur Authentifizierung der Benutzer, bevor die Registrierung fortgesetzt wird. Diese Maßnahme stellt sicher, dass nur autorisierte Benutzer Geräte registrieren können. Der Authentifizierungsablauf nutzt den aktuellen NinjaOne-Anmeldebildschirm, einschließlich SSO, sofern konfiguriert. Nach erfolgreicher Authentifizierung stellt NinjaOne das Registrierungsprofil bereit und ordnet den authentifizierten Benutzer automatisch dem Gerätedatensatz zu. Bei Apple macOS-Geräten kann NinjaOne das lokale Konto basierend auf den Kontoinformationen des authentifizierten Benutzers einrichten.
- Sie können die Organisation oder die Geräterolle jederzeit ändern; wenn keine Zuordnung vorliegt, müssen Sie die Beziehung zwischen Organisation und Gerät manuell verwalten.
- Wenn Sie mehrere Profile aus derselben Organisation hinzufügen, können Sie durch das Leerlassen dieses Feldes später im Prozess die Standardkonfiguration mehreren Profilen gleichzeitig zuweisen.
- Sie können keine Geräterollen auswählen, wenn der erweiterte Installer nicht aktiv ist. Weitere Informationen finden Sie unter NinjaOne Agent: Auswahl der Geräterolle.
- Wählen Sie für das zugewiesene APNs-Zertifikat eines der Zertifikate aus, das mit dem Profil verknüpft werden soll. Informationen zum Hinzufügen eines neuen APNs-Zertifikats für dieses Profil finden Sie unter MDM: Apple Push Notification Service (APNs) – Registrierung.
- Geben Sie eine Support-E-Mail-Adresse und eine Telefonnummer als Kontaktinformationen ein, an die sich der Gerätebenutzer wenden kann, wenn er Hilfe benötigt.
- Geben Sie eine eindeutige Kennung für das ADE-Profil an, um es von anderen ADE-Profilen in NinjaOne MDM zu unterscheiden, und klicken Sie dann auf „Speichern“.
Konfigurieren oder Aktualisieren des ADE-Profils in NinjaOne
Nach der Registrierung müssen Sie die Einrichtungsabläufe und den Grad der Kontrolle über das Gerät anpassen.
- Öffnen Sie die MDM-App in der NinjaOne-Verwaltung und klicken Sie bei der ADE-Registrierung auf „Bearbeiten “.
Abbildung 8: ADE-Profile in NinjaOne konfigurieren oder ändern
Der Abschnitt „Registrierungsprofil“ des ADE- Konfigurationsdialogs wird standardmäßig geöffnet.
- Aktualisieren Sie Support-Informationen und grundlegende Verwaltungskonfigurationen oder zwingen Sie das Gerät, bestimmte Bildschirme des Setup-Assistenten zu überspringen. Wenn Sie die Standardeinstellungen nicht einzeln ändern möchten, können Sie sie mithilfe des Standardkonfigurators für mehrere Profile gleichzeitig festlegen.
- Wählen Sie im Abschnitt „Setup-Elemente überspringen“ den Schalter für jeden Bildschirm aus, den das Gerät während der Ersteinrichtung überspringen soll. Die Seite unterteilt die zu überspringenden Elemente nach dem Betriebssystem des Geräts und enthält nur diejenigen, die unter iOS und iPadOS, unter macOS oder auf allen Apple-Gerätetypen sichtbar sind.
- Klicken Sie auf „Profilkonfiguration speichern“.
- Der überwachte Modus aktiviert die im Abschnitt „iOS & iPadOS “ vorgenommenen Konfigurationen.
- Der Schalter „MDM Removable“ wird automatisch aktiviert, wenn der überwachte Modus deaktiviert ist, und bleibt auch dann aktiviert, wenn Sie ihn wieder einschalten.
Geräte über ABM zu NinjaOne hinzufügen
Sie können Geräte, die nicht für ADE erworben wurden, mit Hilfe von Apple Configurator für iPhone (externer Link) zu ABM oder ASM hinzufügen. Wenn Apple Configurator für iPhone nicht verfügbar ist, können Sie auch Apple Configurator für macOS (externer Link) verwenden.
- Öffnen Sie die MDM-App unter „Verwaltung“ und klicken Sie bei der ADE-Registrierung auf „Bearbeiten “.
- Öffnen Sie die Registerkarte „Geräte “ und klicken Sie auf „Mit ABM synchronisieren“.
- Wenn Sie weitere Geräte zu ABM hinzufügen, kehren Sie zu dieser Seite zurück und klicken Sie erneut auf die Schaltfläche „Mit ABM synchronisieren “.
Abbildung 9: ADE-Profile in NinjaOne konfigurieren oder ändern
Token erneuern
Alle ADE-Profil-Token zeigen in der NinjaOne Apple MDM-App neben ihrem Namen Farben an, die den Status anzeigen.
Abbildung 10: Überprüfen des Ablaufstatus von ADE-Profilen in NinjaOne
| Farbe | Status | Zustand |
|---|---|---|
| Grün | In Ordnung | Das ADE-Token ist gültig und hat noch eine Laufzeit von mehr als 90 Tagen. |
| Gelb | Achtung | Der ADE-Token läuft in weniger als 90 Tagen ab. Nach Ablauf können Geräte nicht mehr über ADE registriert werden. |
| Rot | Fehler | Das ADE-Token läuft bald ab oder ist bereits abgelaufen. Wenn es abläuft, können Geräte nicht mehr über ADE registriert werden. |
Beachten Sie, dass das Ablaufdatum des ADE-Tokens in NinjaOne aufgeführt ist. Wenn dieses Token abläuft, klicken Sie auf „Token erneuern“ und wiederholen Sie die in diesem Artikel beschriebenen Registrierungsschritte, um ein neues Token von ABM hochzuladen.
Sie können das Profil jederzeit erneuern, auch wenn der Status „intakt“ ist.