Provisionamento de Dispositivos - Apple

Visão geral do provisionamento da Apple

O Cerberus Enterprise oferece suporte ao registro e ao gerenciamento de iPhones, iPads e Macs. O provisionamento da Apple exige um certificado APNs e pode ser realizado usando diferentes métodos de registro.

Pré-requisito: configurar o Apple Management (APNs)

Antes de registrar qualquer dispositivo Apple, conclua Configuração do Apple Management (APNs).

Escolha um método de registro

Registro manual (Perfil de registro)

Registro Automatizado de Dispositivos (ADE)

Registro baseado na conta (entrar com uma conta corporativa)

Em iPhones e iPads pessoais registrados com o Registro de Usuário, os apps da App Store da política são instalados com uma licença de usuário da conta Apple Gerenciada, que a Cerberus atribui automaticamente; o usuário é solicitado a instalar cada app. As contas Apple Gerenciadas e o token do Apps and Books devem pertencer à mesma organização do Apple Business. Leia Apps em dispositivos pessoais.

App Cerberus Enterprise no iPhone e iPad

Após o registro, o Cerberus instala o app Cerberus Enterprise em iPhones e iPads com iOS ou iPadOS 18.4 ou posterior, com ou sem uma política. O app compartilha a localização do dispositivo e recebe notificações e solicitações de rastreamento ao vivo; em dispositivos pessoais (User Enrollment), ele recebe mensagens e compartilha a localização somente se a política ativar Localização e geocercas em dispositivos pessoais e o usuário permitir. Ele precisa de uma etapa única: adicione o app gratuito à sua biblioteca do Apple Business (Apps & Books → App Store, procure por "Cerberus Enterprise", Adicionar para todas as unidades organizacionais atuais e futuras). Dispositivos supervisionados o instalam silenciosamente; em outros dispositivos, o usuário é solicitado a instalá-lo. Se o usuário já o instalou da App Store, o dispositivo pede para permitir que sua organização gerencie o app, e o app mantém seus dados e permissões. Se o usuário recusar, use Tentar novamente na página do dispositivo. O usuário não pode excluir o app, e ele permanece instalado se o token do Apps and Books expirar. Macs não recebem o app.

Você pode usar o registro manual e o ADE em paralelo, dependendo do seu parque de dispositivos e do processo de compra.

Registro manual da Apple (Perfil de Registro)

O Cerberus Enterprise é compatível com o registro manual de dispositivos Apple usando um QR code, uma URL de registro ou um arquivo de perfil de registro.

O registro manual fica disponível quando o Apple Management (APNs) está configurado. Se você ainda não concluiu a configuração do APNs, leia Configuração do Apple Management (APNs).

Tokens de registro

Um token de registro tem a própria URL de registro e o próprio QR code, e atribui estas configurações aos dispositivos que se registram com ele:

Para criar um token, abra a seção Registro no painel, selecione a aba Registro manual da Apple (Perfil de Registro) e clique em Novo token de registro. Defina o nome e as configurações e clique em Criar token: a página do token mostra a URL de registro, o QR code e o botão Baixar perfil de registro.

A tabela de tokens mostra, para cada token, seu Status (Ativo, Expirado ou Esgotado), a Expiração, os Registros realizados em relação aos permitidos e o Último uso, a última vez que um dispositivo se registrou com ele. Em seguida vêm a Política, o Usuário (passe o mouse sobre ele para ver o e-mail), a Propriedade e a data de Criação (passe o mouse sobre ela para ver quem criou o token). Os tokens mais recentes aparecem primeiro, e você pode classificar por qualquer coluna. Classifique por Último uso para encontrar tokens ativos que ninguém mais usa e exclua-os para que a URL de registro deles pare de funcionar. Uma política ou um usuário excluído após o token ser salvo é exibido como Política excluída ou Usuário excluído com um ícone de aviso: edite o token para escolher outro.

As alterações em um token se aplicam aos próximos registros: dispositivos já registrados mantêm a política e o usuário deles. Quando um token é excluído, expira ou atinge os registros permitidos, a URL de registro dele para de funcionar.

Registro sem um token

O painel Registro sem um token da mesma aba tem a URL de registro da sua organização. Dispositivos registrados com ela não recebem política nem usuário: atribua-os na página do dispositivo.

A política e o usuário de um dispositivo dependem de como ele se registra: a política e o usuário do token com um token de registro; a política do perfil ADE com o Automated Device Enrollment, mantendo o usuário atribuído na página do dispositivo; nenhuma política e nenhum usuário com a URL de registro, o QR code ou o perfil sem um token (mesmo que o dispositivo tenha um perfil ADE). Um dispositivo que se registra novamente não mantém a política e o usuário do registro anterior: a página do dispositivo os mostra apenas se o novo registro os atribuir. Somente um dispositivo apagado com Return to Service se registra novamente com a política e o usuário atuais.

Obter a URL de registro e o perfil

Como registrar um iPhone ou iPad

iOS/iPadOS 15.0+

Primeiro, baixe o perfil de registro no dispositivo usando um dos seguintes métodos:

Método 1: código QR

Abra o app Câmera no dispositivo e aponte-o para o código QR exibido ao lado da URL de registro, depois toque no link que aparece. O Safari abre a URL de registro e pede permissão para baixar um perfil de configuração: toque em Permitir.

Método 2: URL de registro

Envie a URL de registro ao usuário (por exemplo, com a ação de envio por e-mail) e abra-a no Safari no dispositivo, depois toque em Permitir para baixar o perfil de configuração.

Método 3: arquivo de perfil de registro

Baixe o arquivo de perfil de registro (enroll.mobileconfig) e envie-o ao dispositivo, por exemplo como anexo de e-mail ou com o AirDrop, depois abra-o no dispositivo.

Em seguida, conclua o registro no dispositivo:

  1. No dispositivo, abra Configurações → Perfil baixado → Instalar e siga as instruções.
  2. Após o registro, você pode verificar o status em Configurações → Geral → VPN & Gerenciamento de Dispositivos (ou Perfis & Gerenciamento de Dispositivos).

Após o registro, iPhones e iPads com iOS ou iPadOS 18.4 ou posterior recebem o app Cerberus Enterprise. Em um dispositivo registrado manualmente (não supervisionado), o usuário é solicitado a instalá-lo ou a permitir que sua organização o gerencie caso ele já tenha sido instalado pela App Store. Se o usuário recusar, use Tentar novamente na página do dispositivo. O app precisa estar na sua biblioteca do Apple Business uma vez (consulte Configurações da conta).

No iPhone e no iPad, um perfil baixado que não for instalado em 8 minutos é removido pelo dispositivo. Nesse caso, baixe-o novamente.

Como registrar um Mac

macOS 13.0+

O código QR funciona somente no iPhone e no iPad. Baixe o perfil de registro no Mac usando um dos seguintes métodos:

Método 1: URL de registro

Envie a URL de registro ao usuário (por exemplo, com a ação de envio por e-mail) e abra-a no Safari no Mac; depois, permita o download se for solicitado. Se o perfil não abrir sozinho, abra o arquivo enroll.mobileconfig baixado.

Método 2: Arquivo de perfil de registro

Baixe o arquivo de perfil de registro (enroll.mobileconfig) e envie-o ao Mac, por exemplo como anexo de e-mail ou com o AirDrop, depois abra-o no Mac.

Abrir o perfil apenas o adiciona aos perfis baixados. Depois, conclua o registro no Mac, conectado como o usuário principal dele:

  1. Abra Ajustes do Sistema → Geral → Gerenciamento de Dispositivos (no macOS 13 e 14: Privacidade e Segurança → Perfis). Na seção Baixados, clique duas vezes em Perfil de Registro, clique em Registrar (ou Instalar) e siga as instruções. Insira o nome e a senha de um administrador do Mac se for solicitado.
  2. Após o registro, Perfil de Registro é listado no mesmo lugar. No Terminal, profiles status -type enrollment mostra Registro MDM: Sim (Aprovado pelo usuário).

Macs registrados manualmente são supervisionados, e o usuário que instala o perfil é mostrado no painel Usuários do Mac da página do dispositivo. Macs não recebem o app Cerberus Enterprise. Se o perfil não estiver mais na seção Baixados, baixe-o novamente.

Instale apenas perfis de registro obtidos do seu painel do Cerberus Enterprise.

Apple Automated Device Enrollment (ADE)

O Automated Device Enrollment (ADE) se integra ao Apple Business (antigo Apple Business Manager) para registrar automaticamente iPhones, iPads e Macs de propriedade da empresa quando são ligados pela primeira vez (ou após uma redefinição de fábrica).

O ADE requer que o Apple Management (APNs) seja configurado primeiro. Se necessário, leia Configuração do Apple Management (APNs).

Como registrar dispositivos automaticamente

  1. Adicione dispositivos à sua conta do Apple Business e atribua-os ao serviço de gerenciamento de dispositivos Cerberus Enterprise: no Apple Business, abra Dispositivos → Inventário, selecione os dispositivos e clique em Atribuir gerenciamento de dispositivos, ou atribua novos dispositivos automaticamente em Dispositivos → Serviços de gerenciamento → Atribuição de dispositivo padrão. Consulte Gerenciar fornecedores de dispositivos e Adicionar dispositivos usando o Apple Configurator.
  2. Depois de adicionar novos dispositivos à sua conta do Apple Business, sincronize-os no Cerberus Enterprise na seção Dispositivos usando a ação Sincronizar do Apple Business. Os dispositivos sincronizados só usam uma licença quando são registrados.
  3. Crie um perfil ADE no painel em Registro → Apple Automated Device Enrollment (ADE) → Novo perfil ADE.
  4. Atribua um perfil ADE a um dispositivo na página de detalhes do dispositivo usando o campo Perfil ADE.

Após o registro, iPhones e iPads com iOS ou iPadOS 18.4 ou posterior recebem o app Cerberus Enterprise. Dispositivos registrados com ADE são supervisionados, então o app é instalado sem perguntar ao usuário; a configuração não espera por ele. O app precisa estar na sua biblioteca do Apple Business uma vez (consulte Configurações da conta). Macs não recebem o app.

Configurações do perfil ADE (visão geral)

Um perfil ADE controla como o dispositivo é registrado e como o Assistente de Configuração se comporta. No Cerberus Enterprise, um perfil ADE inclui um nome, uma política inicial opcional, opções de registro, os painéis do Assistente de Configuração a ignorar, contatos de suporte e certificados confiáveis.

Nome do perfil

Um nome legível para o perfil (por exemplo, Perfil ADE padrão).

Política

A política aplicada aos dispositivos quando eles se registram com o Automated Device Enrollment (Assistente de Configuração). Dispositivos do perfil registrados com a URL de registro ou o QR code recebem a política do token de registro deles; sem um token, nenhuma política. Alterar apenas a política mantém o perfil como está.

Opções de registro

Assistente de Configuração

Lista de perfis ADE

A lista mostra o nome de cada perfil, sua política, seus dispositivos e seu Id, o identificador que a Apple fornece ao perfil. Um cadeado após o nome indica um perfil obrigatório cujo gerenciamento os usuários não podem remover. Sem política ou Política excluída avisa que os dispositivos registrados com o perfil não recebem política inicial.

A coluna Dispositivos conta os dispositivos registrados do perfil e, ao lado deles, os dispositivos aguardando: atribuídos ao perfil no Apple Business, mas ainda não registrados. Os dispositivos removidos não são contados.

Alterar um perfil

A Apple não permite alterar um perfil ADE. Quando você altera um (exceto apenas a política), o Cerberus Enterprise define um novo perfil com o mesmo nome e o atribui aos dispositivos do antigo; o perfil antigo deixa de ser listado quando nenhum dispositivo o usa. Dispositivos que já concluíram o Assistente de Configuração usam o novo perfil na próxima vez que forem apagados.

Um perfil que nenhum dispositivo usa, registrado ou aguardando, pode ser excluído da lista de perfis ADE. A Apple não permite excluir um perfil, então ele permanece no Apple Business, sem uso.

Depois que um dispositivo tem um perfil ADE atribuído, ele está pronto para ser registrado automaticamente.

Registro orientado por conta da Apple

Com o registro orientado por conta, os usuários registram o iPhone, iPad ou Mac entrando com a conta de trabalho (uma Managed Apple Account, por exemplo name@company.com) nas configurações do dispositivo. Nenhum perfil para baixar e nenhum QR code: o Cerberus Enterprise encontra o usuário, aplica a política e define a propriedade sozinho.

Dois modos

Você escolhe o modo para iPhone e iPad e, separadamente, para Mac: por exemplo, User Enrollment para iPhones pessoais e Device Enrollment para Macs. Você pode alterar a propriedade de um dispositivo mais tarde na página do dispositivo.

O registro orientado por conta fica disponível quando o Apple Management (APNs) está configurado. Se você ainda não concluiu a configuração do APNs, leia Configuração do Apple Management (APNs).

Configurar o Apple Business

Os usuários entram com Managed Apple Accounts, que são criadas no Apple Business. Antes de começar:

  1. Verifique seu domínio (por exemplo company.com) no Apple Business, nos domínios da sua organização.
  2. Crie as Managed Apple Accounts dos seus usuários, ou conecte o Apple Business ao Google Workspace ou ao Microsoft Entra ID: assim, a conta de cada usuário é o endereço de e-mail corporativo dele e ele entra com a senha dela.
  3. Para o User Enrollment, verifique nas configurações de gerenciamento de acesso se as Managed Apple Accounts podem entrar em dispositivos pessoais: quando elas só podem entrar em dispositivos supervisionados, o User Enrollment falha.
  4. Apenas para a opção Apple Business abaixo: abra Dispositivos → Serviços de gerenciamento → Atribuição de dispositivo padrão (Editar) e escolha o serviço de gerenciamento de dispositivos Cerberus Enterprise para iPhone, iPad e Mac.

Mantenha o serviço de gerenciamento de dispositivos Cerberus Enterprise e o token dele no Apple Business enquanto os dispositivos estiverem registrados com Managed Apple Accounts: removê-los pode impedir que as contas funcionem nos dispositivos.

Configurar o Cerberus Enterprise

Abra a seção Registro do painel e selecione a aba Entrada com conta Apple. Uma lista de verificação na parte superior mostra o que ainda falta. Somente administradores podem alterar as configurações.

A conta digitada no dispositivo é correspondida com o campo Managed Apple Account dos usuários e, depois, com o endereço de e-mail deles. O código é sempre enviado ao endereço de e-mail do usuário. Uma Managed Apple Account definida em um usuário pode se registrar mesmo quando o domínio dela não está verificado no Cerberus, por exemplo uma conta do domínio reservado org.appleid.com do Apple Business. Com a descoberta de serviço do Apple Business, os usuários sempre digitam a Managed Apple Account.

Verificar os domínios

Depois de salvar as configurações, a seção Verificação de domínio mostra um registro TXT para cada domínio. Adicione-o ao DNS do domínio e clique em Verificar. As alterações de DNS podem levar algum tempo para ficarem visíveis. Um domínio verificado permanece verificado: você pode remover o registro depois. Usuários de um domínio que não foi verificado não podem se registrar.

Descoberta de serviço: como os dispositivos encontram o Cerberus Enterprise

Quando um usuário entra, o dispositivo pergunta ao domínio da conta (por exemplo https://company.com) qual servidor o gerencia. Configure pelo menos uma destas três opções. A seção Descoberta de serviço da aba mostra a URL de descoberta da sua organização e o texto exato para copiar em cada opção.

Opção 1: Apple Business (recomendado)

Clique em Registrar no Apple Business: o Cerberus Enterprise armazena a URL de descoberta dele na sua organização do Apple Business e nada precisa ser publicado nos seus domínios. Verificar no Apple Business mostra a URL que o Apple Business tem agora, e Remover do Apple Business a remove.

O Apple Business mantém uma URL de descoberta por organização: registrá-la envia todas as Managed Apple Accounts da organização para esta organização do Cerberus Enterprise. Não a registre a partir de duas organizações do Cerberus Enterprise que usam a mesma organização do Apple Business.

Opção 2: Redirecionar do seu site

No servidor web de cada domínio, redirecione /.well-known/com.apple.remotemanagement para a URL de descoberta da sua organização, mantendo a string de consulta (ela carrega a conta digitada pelo usuário). Isso funciona com todas as versões de SO compatíveis com o registro orientado por conta, e o modo pode ser diferente para iPhone e Mac. Copie o texto para Apache ou nginx da aba; ele se parece com isto, com a chave da sua organização:

Apache (.htaccess ou host virtual):

RewriteEngine On
RewriteRule ^\.well-known/com\.apple\.remotemanagement$ https://enterprise.cerberusapp.com/account-enroll/YOUR-KEY/discovery [R=302,L,QSA]

nginx:

location = /.well-known/com.apple.remotemanagement {
    return 302 https://enterprise.cerberusapp.com/account-enroll/YOUR-KEY/discovery$is_args$args;
}

Em outros servidores ou serviços web (IIS, Cloudflare, painéis de controle de hospedagem), crie uma regra de redirecionamento (302) do mesmo caminho para a URL de descoberta com a opção que mantém ou encaminha a string de consulta.

Opção 3: Arquivo estático no seu site

Se você não puder adicionar um redirecionamento, publique um arquivo em https://company.com/.well-known/com.apple.remotemanagement (sem extensão de arquivo), servido com Content-Type: application/json. Copie o conteúdo dele da aba. Um arquivo estático não pode escolher o modo por dispositivo: ele usa o mesmo modo para iPhone, iPad e Mac. Para o User Enrollment, ele se parece com isto: 

{"Servers":[{"Version":"mdm-byod","BaseURL":"https://enterprise.cerberusapp.com/account-enroll/YOUR-KEY/byod"}]}

e para o Device Enrollment:

{"Servers":[{"Version":"mdm-adde","BaseURL":"https://enterprise.cerberusapp.com/account-enroll/YOUR-KEY/adde"}]}

O modo do arquivo também deve ser o modo definido na aba para a família de dispositivos; caso contrário, o registro é recusado.

Verificar configuração

Em Verificar configuração, escolha um domínio e um dispositivo (iPhone ou Mac) e clique em Verificar: o Cerberus Enterprise pergunta ao domínio o que um dispositivo perguntaria e mostra a resposta, cada redirecionamento e um veredito. O domínio apontando para o Cerberus Enterprise significa que as opções 2 ou 3 funcionam; uma resposta de erro (como "not found") está tudo bem para a opção 1; uma página da web ou um arquivo apontando para outro lugar interrompe os dispositivos. A verificação também avisa quando um redirecionamento descarta a string de consulta ou o arquivo não é servido como application/json.

Chave de registro

As URLs de descoberta e registro contêm uma chave da sua organização. Se as URLs foram publicadas por engano, clique em Regenerar chave: as URLs antigas param de funcionar imediatamente, então atualize os redirecionamentos e arquivos estáticos nos seus sites. O Cerberus Enterprise registra a nova URL no Apple Business sozinho quando a opção 1 é usada.

Como os usuários se registram

  1. iPhone e iPad: abra Configurações → Geral → VPN & Gerenciamento de Dispositivos → Entrar na Conta de Trabalho ou Escola. Mac: Ajustes do Sistema → Geral → Gerenciamento de Dispositivos → Entrar (no macOS 14: Privacidade e Segurança → Perfis → Entrar).
  2. Digite a Managed Apple Account, ou o endereço de e-mail de trabalho do usuário no Cerberus (por exemplo name@company.com). Quando a Managed Apple Account do usuário é diferente do que foi digitado, o dispositivo então pede para entrar com essa conta.
  3. Uma página do Cerberus Enterprise é aberta: toque em Enviar o código e insira o código de 6 dígitos recebido por e-mail. O código expira após 10 minutos; após 5 códigos errados, o usuário precisa fechar a página e entrar novamente.
  4. Entre com a senha da Managed Apple Account (ou com a página de entrada da empresa quando o Apple Business está conectado ao Google Workspace ou ao Microsoft Entra ID) e permita o gerenciamento do dispositivo.

Contas que não podem se registrar (domínio não verificado, nenhum usuário correspondente quando os usuários não são criados automaticamente, vários usuários com o mesmo endereço de e-mail) veem "Esta conta não está configurada para registro. Contate o administrador de TI." Os eventos ficam nos registros do sistema do painel.

Após o registro

Logo após o registro, alguns perfis da política (certificados, redes Wi-Fi, web clips) podem ser informados como com falha com um erro desconhecido, e o dispositivo pode aparecer como Não conforme por um tempo. O dispositivo tenta novamente por conta própria e eles são instalados depois de um tempo, sem necessidade de ação. Não salve a política novamente nem registre o dispositivo novamente por causa disso.

Apps em dispositivos pessoais

iPhones e iPads registrados com User Enrollment não têm número de série, então o Apps and Books não pode dar a eles uma licença de dispositivo. O Cerberus Enterprise dá aos apps da App Store da política deles uma licença de usuário: a licença vai para a Managed Apple Account conectada no dispositivo. Nada muda na política: a mesma política atende dispositivos da empresa e pessoais, e o Cerberus escolhe o tipo de licença para cada dispositivo.

Quando a Apple não consegue atribuir uma licença, por exemplo porque um app pago não tem mais licenças, o app mostra Falha na licença de usuário com a mensagem da Apple. Adicione licenças no Apple Business e use Solicitar novamente na página do dispositivo; o Cerberus também tenta novamente sozinho na verificação diária. A linha acima da lista de apps mostra a Managed Apple Account e o status do usuário do Apps and Books dela; o mesmo status fica na página do usuário.

As licenças de usuário são usadas somente em iPhones e iPads: em Macs registrados com o Registro de Usuário, os apps da App Store da política não são instalados. Livros e Contas Apple pessoais não são compatíveis.