Provisionamento de Dispositivos - Apple Visão geral do provisionamento da Apple O Cerberus Enterprise oferece suporte ao registro e ao gerenciamento de iPhones, iPads e Macs. O provisionamento da Apple exige um certificado APNs e pode ser realizado usando diferentes métodos de registro. Pré-requisito: configurar o Apple Management (APNs) Antes de registrar qualquer dispositivo Apple, conclua Configuração do Apple Management (APNs). Escolha um método de registro Registro manual (Perfil de registro) Este método fornece uma URL de registro e um arquivo de perfil de configuração (mobileconfig) que você instala no dispositivo. Leia Registro manual da Apple. Registro Automatizado de Dispositivos (ADE) Este método se integra ao Apple Business para automatizar o registro de dispositivos da empresa. Leia Registro Automatizado de Dispositivos (ADE). Registro baseado na conta (entrar com uma conta corporativa) Os usuários registram o iPhone, iPad ou Mac entrando com a conta Apple Gerenciada nas configurações do dispositivo: Registro de Usuário para dispositivos pessoais, Registro de Dispositivo para dispositivos da empresa que não estão no Apple Business. Leia Registro baseado na conta da Apple. Em iPhones e iPads pessoais registrados com o Registro de Usuário, os apps da App Store da política são instalados com uma licença de usuário da conta Apple Gerenciada, que a Cerberus atribui automaticamente; o usuário é solicitado a instalar cada app. As contas Apple Gerenciadas e o token do Apps and Books devem pertencer à mesma organização do Apple Business. Leia Apps em dispositivos pessoais. App Cerberus Enterprise no iPhone e iPad Após o registro, o Cerberus instala o app Cerberus Enterprise em iPhones e iPads com iOS ou iPadOS 18.4 ou posterior, com ou sem uma política. O app compartilha a localização do dispositivo e recebe notificações e solicitações de rastreamento ao vivo; em dispositivos pessoais (User Enrollment), ele recebe mensagens e compartilha a localização somente se a política ativar Localização e geocercas em dispositivos pessoais e o usuário permitir. Ele precisa de uma etapa única: adicione o app gratuito à sua biblioteca do Apple Business (Apps & Books → App Store, procure por "Cerberus Enterprise", Adicionar para todas as unidades organizacionais atuais e futuras). Dispositivos supervisionados o instalam silenciosamente; em outros dispositivos, o usuário é solicitado a instalá-lo. Se o usuário já o instalou da App Store, o dispositivo pede para permitir que sua organização gerencie o app, e o app mantém seus dados e permissões. Se o usuário recusar, use Tentar novamente na página do dispositivo. O usuário não pode excluir o app, e ele permanece instalado se o token do Apps and Books expirar. Macs não recebem o app. Você pode usar o registro manual e o ADE em paralelo, dependendo do seu parque de dispositivos e do processo de compra. Registro manual da Apple (Perfil de Registro) O Cerberus Enterprise é compatível com o registro manual de dispositivos Apple usando um QR code, uma URL de registro ou um arquivo de perfil de registro. O registro manual fica disponível quando o Apple Management (APNs) está configurado. Se você ainda não concluiu a configuração do APNs, leia Configuração do Apple Management (APNs). Os usuários também podem registrar o iPhone, iPad ou Mac sem um perfil, entrando com a conta de trabalho nas configurações do dispositivo. Leia Registro orientado por conta da Apple. Tokens de registro Um token de registro tem a própria URL de registro e o próprio QR code, e atribui estas configurações aos dispositivos que se registram com ele: Política: aplicada ao dispositivo assim que ele se registra. Usuário: atribuído ao dispositivo. Sem um usuário no token, o dispositivo não tem usuário. Propriedade: de propriedade da empresa ou de propriedade pessoal. Quando não está definida, dispositivos supervisionados são definidos como de propriedade da empresa e os demais como de propriedade pessoal. iPhones e iPads registrados manualmente não são supervisionados; os Macs são, então são definidos como de propriedade da empresa. Expiração: depois deste dia, a URL de registro para de funcionar. Um perfil baixado antes ainda pode ser instalado. Registros permitidos: quantos dispositivos podem se registrar com o token. Deixe vazio para sem limite. Para criar um token, abra a seção Registro no painel, selecione a aba Registro manual da Apple (Perfil de Registro) e clique em Novo token de registro. Defina o nome e as configurações e clique em Criar token: a página do token mostra a URL de registro, o QR code e o botão Baixar perfil de registro. A tabela de tokens mostra, para cada token, seu Status (Ativo, Expirado ou Esgotado), a Expiração, os Registros realizados em relação aos permitidos e o Último uso, a última vez que um dispositivo se registrou com ele. Em seguida vêm a Política, o Usuário (passe o mouse sobre ele para ver o e-mail), a Propriedade e a data de Criação (passe o mouse sobre ela para ver quem criou o token). Os tokens mais recentes aparecem primeiro, e você pode classificar por qualquer coluna. Classifique por Último uso para encontrar tokens ativos que ninguém mais usa e exclua-os para que a URL de registro deles pare de funcionar. Uma política ou um usuário excluído após o token ser salvo é exibido como Política excluída ou Usuário excluído com um ícone de aviso: edite o token para escolher outro. As alterações em um token se aplicam aos próximos registros: dispositivos já registrados mantêm a política e o usuário deles. Quando um token é excluído, expira ou atinge os registros permitidos, a URL de registro dele para de funcionar. Registro sem um token O painel Registro sem um token da mesma aba tem a URL de registro da sua organização. Dispositivos registrados com ela não recebem política nem usuário: atribua-os na página do dispositivo. A política e o usuário de um dispositivo dependem de como ele se registra: a política e o usuário do token com um token de registro; a política do perfil ADE com o Automated Device Enrollment, mantendo o usuário atribuído na página do dispositivo; nenhuma política e nenhum usuário com a URL de registro, o QR code ou o perfil sem um token (mesmo que o dispositivo tenha um perfil ADE). Um dispositivo que se registra novamente não mantém a política e o usuário do registro anterior: a página do dispositivo os mostra apenas se o novo registro os atribuir. Somente um dispositivo apagado com Return to Service se registra novamente com a política e o usuário atuais. Obter a URL de registro e o perfil Abra o token na aba Registro manual da Apple (Perfil de Registro) da seção Registro, ou expanda Registro sem um token. Copie a URL de registro ou use a ação de enviar por e-mail. Escaneie o código QR mostrado ao lado da URL de registro com a câmera de um iPhone ou iPad: ele abre a mesma URL de registro no dispositivo. Em um Mac, use a URL de registro ou o arquivo de perfil. Baixe o Perfil de Registro (arquivo mobileconfig). Como registrar um iPhone ou iPad iOS/iPadOS 15.0+ Primeiro, baixe o perfil de registro no dispositivo usando um dos seguintes métodos: Método 1: código QR Abra o app Câmera no dispositivo e aponte-o para o código QR exibido ao lado da URL de registro, depois toque no link que aparece. O Safari abre a URL de registro e pede permissão para baixar um perfil de configuração: toque em Permitir. Método 2: URL de registro Envie a URL de registro ao usuário (por exemplo, com a ação de envio por e-mail) e abra-a no Safari no dispositivo, depois toque em Permitir para baixar o perfil de configuração. Método 3: arquivo de perfil de registro Baixe o arquivo de perfil de registro (enroll.mobileconfig) e envie-o ao dispositivo, por exemplo como anexo de e-mail ou com o AirDrop, depois abra-o no dispositivo. Em seguida, conclua o registro no dispositivo: No dispositivo, abra Configurações → Perfil baixado → Instalar e siga as instruções. Após o registro, você pode verificar o status em Configurações → Geral → VPN & Gerenciamento de Dispositivos (ou Perfis & Gerenciamento de Dispositivos). Após o registro, iPhones e iPads com iOS ou iPadOS 18.4 ou posterior recebem o app Cerberus Enterprise. Em um dispositivo registrado manualmente (não supervisionado), o usuário é solicitado a instalá-lo ou a permitir que sua organização o gerencie caso ele já tenha sido instalado pela App Store. Se o usuário recusar, use Tentar novamente na página do dispositivo. O app precisa estar na sua biblioteca do Apple Business uma vez (consulte Configurações da conta). No iPhone e no iPad, um perfil baixado que não for instalado em 8 minutos é removido pelo dispositivo. Nesse caso, baixe-o novamente. Como registrar um Mac macOS 13.0+ O código QR funciona somente no iPhone e no iPad. Baixe o perfil de registro no Mac usando um dos seguintes métodos: Método 1: URL de registro Envie a URL de registro ao usuário (por exemplo, com a ação de envio por e-mail) e abra-a no Safari no Mac; depois, permita o download se for solicitado. Se o perfil não abrir sozinho, abra o arquivo enroll.mobileconfig baixado. Método 2: Arquivo de perfil de registro Baixe o arquivo de perfil de registro (enroll.mobileconfig) e envie-o ao Mac, por exemplo como anexo de e-mail ou com o AirDrop, depois abra-o no Mac. Abrir o perfil apenas o adiciona aos perfis baixados. Depois, conclua o registro no Mac, conectado como o usuário principal dele: Abra Ajustes do Sistema → Geral → Gerenciamento de Dispositivos (no macOS 13 e 14: Privacidade e Segurança → Perfis). Na seção Baixados, clique duas vezes em Perfil de Registro, clique em Registrar (ou Instalar) e siga as instruções. Insira o nome e a senha de um administrador do Mac se for solicitado. Após o registro, Perfil de Registro é listado no mesmo lugar. No Terminal, profiles status -type enrollment mostra Registro MDM: Sim (Aprovado pelo usuário). Macs registrados manualmente são supervisionados, e o usuário que instala o perfil é mostrado no painel Usuários do Mac da página do dispositivo. Macs não recebem o app Cerberus Enterprise. Se o perfil não estiver mais na seção Baixados, baixe-o novamente. Instale apenas perfis de registro obtidos do seu painel do Cerberus Enterprise. Apple Automated Device Enrollment (ADE) O Automated Device Enrollment (ADE) se integra ao Apple Business (antigo Apple Business Manager) para registrar automaticamente iPhones, iPads e Macs de propriedade da empresa quando são ligados pela primeira vez (ou após uma redefinição de fábrica). O ADE requer que o Apple Management (APNs) seja configurado primeiro. Se necessário, leia Configuração do Apple Management (APNs). Como registrar dispositivos automaticamente Adicione dispositivos à sua conta do Apple Business e atribua-os ao serviço de gerenciamento de dispositivos Cerberus Enterprise: no Apple Business, abra Dispositivos → Inventário, selecione os dispositivos e clique em Atribuir gerenciamento de dispositivos, ou atribua novos dispositivos automaticamente em Dispositivos → Serviços de gerenciamento → Atribuição de dispositivo padrão. Consulte Gerenciar fornecedores de dispositivos e Adicionar dispositivos usando o Apple Configurator. Depois de adicionar novos dispositivos à sua conta do Apple Business, sincronize-os no Cerberus Enterprise na seção Dispositivos usando a ação Sincronizar do Apple Business. Os dispositivos sincronizados só usam uma licença quando são registrados. Crie um perfil ADE no painel em Registro → Apple Automated Device Enrollment (ADE) → Novo perfil ADE. Atribua um perfil ADE a um dispositivo na página de detalhes do dispositivo usando o campo Perfil ADE. Após o registro, iPhones e iPads com iOS ou iPadOS 18.4 ou posterior recebem o app Cerberus Enterprise. Dispositivos registrados com ADE são supervisionados, então o app é instalado sem perguntar ao usuário; a configuração não espera por ele. O app precisa estar na sua biblioteca do Apple Business uma vez (consulte Configurações da conta). Macs não recebem o app. Configurações do perfil ADE (visão geral) Um perfil ADE controla como o dispositivo é registrado e como o Assistente de Configuração se comporta. No Cerberus Enterprise, um perfil ADE inclui um nome, uma política inicial opcional, opções de registro, os painéis do Assistente de Configuração a ignorar, contatos de suporte e certificados confiáveis. Nome do perfil Um nome legível para o perfil (por exemplo, Perfil ADE padrão). Política A política aplicada aos dispositivos quando eles se registram com o Automated Device Enrollment (Assistente de Configuração). Dispositivos do perfil registrados com a URL de registro ou o QR code recebem a política do token de registro deles; sem um token, nenhuma política. Alterar apenas a política mantém o perfil como está. Opções de registro MDM removível: controla se o payload MDM pode ser removido do dispositivo. Permitir emparelhamento: controla se o emparelhamento é permitido (obsoleto na Apple desde o iOS 13). Avanço automático da configuração: avança automaticamente o Assistente de Configuração pelas telas dele (Mac com macOS 11 ou posterior e Apple TV). Aguardar dispositivo configurado: o Assistente de Configuração espera até que a política do perfil ADE seja aplicada, para que os usuários comecem com os apps e as configurações dela no lugar. O Cerberus Enterprise então deixa o dispositivo continuar, no máximo 4 minutos após o registro. Obrigatório: impede pular a aplicação do perfil durante a configuração. Multiusuário (iPad Compartilhado): configura o dispositivo para o iPad Compartilhado. Supervisionado: solicita supervisão para o dispositivo. Assistente de Configuração Departamento, Telefone de suporte e E-mail de suporte (opcional): enviados à Apple com o perfil. O dispositivo pode não mostrá-los. Painéis a ignorar: o Assistente de Configuração não mostra os painéis selecionados (por exemplo, Conta Apple, Siri ou Tempo de Uso). Cada dispositivo mostra somente os painéis do sistema dele (alguns, como FileVault ou Documentos e Área de Trabalho do iCloud, existem somente em Macs); Ignorar todos e Mostrar todos selecionam ou desmarcam todos. Apple TV: idioma e região para Apple TV com avanço automático da configuração. Certificados confiáveis: necessários apenas se o servidor usar um certificado que os dispositivos não confiam, por exemplo de uma CA privada. Importe o certificado primeiro na página Certificados. Lista de perfis ADE A lista mostra o nome de cada perfil, sua política, seus dispositivos e seu Id, o identificador que a Apple fornece ao perfil. Um cadeado após o nome indica um perfil obrigatório cujo gerenciamento os usuários não podem remover. Sem política ou Política excluída avisa que os dispositivos registrados com o perfil não recebem política inicial. A coluna Dispositivos conta os dispositivos registrados do perfil e, ao lado deles, os dispositivos aguardando: atribuídos ao perfil no Apple Business, mas ainda não registrados. Os dispositivos removidos não são contados. Alterar um perfil A Apple não permite alterar um perfil ADE. Quando você altera um (exceto apenas a política), o Cerberus Enterprise define um novo perfil com o mesmo nome e o atribui aos dispositivos do antigo; o perfil antigo deixa de ser listado quando nenhum dispositivo o usa. Dispositivos que já concluíram o Assistente de Configuração usam o novo perfil na próxima vez que forem apagados. Um perfil que nenhum dispositivo usa, registrado ou aguardando, pode ser excluído da lista de perfis ADE. A Apple não permite excluir um perfil, então ele permanece no Apple Business, sem uso. Depois que um dispositivo tem um perfil ADE atribuído, ele está pronto para ser registrado automaticamente. Registro orientado por conta da Apple Com o registro orientado por conta, os usuários registram o iPhone, iPad ou Mac entrando com a conta de trabalho (uma Managed Apple Account, por exemplo name@company.com) nas configurações do dispositivo. Nenhum perfil para baixar e nenhum QR code: o Cerberus Enterprise encontra o usuário, aplica a política e define a propriedade sozinho. Dois modos User Enrollment (dispositivos pessoais): apenas os apps, contas e dados de trabalho são gerenciados, em uma área separada do dispositivo. O Cerberus não pode ver dados pessoais, apagar o dispositivo, localizá-lo ou ler o número de série dele. O dispositivo é definido como pessoal. Requer iOS e iPadOS 15 ou macOS 14 ou posterior. Device Enrollment (dispositivos da empresa que não estão no Apple Business): o dispositivo inteiro é gerenciado, como em um registro manual. Um Mac registrado dessa forma é supervisionado; um iPhone ou iPad não é. O dispositivo é definido como da empresa. Requer iOS e iPadOS 17.1 ou macOS 14.1 ou posterior. Você escolhe o modo para iPhone e iPad e, separadamente, para Mac: por exemplo, User Enrollment para iPhones pessoais e Device Enrollment para Macs. Você pode alterar a propriedade de um dispositivo mais tarde na página do dispositivo. O registro orientado por conta fica disponível quando o Apple Management (APNs) está configurado. Se você ainda não concluiu a configuração do APNs, leia Configuração do Apple Management (APNs). Configurar o Apple Business Os usuários entram com Managed Apple Accounts, que são criadas no Apple Business. Antes de começar: Verifique seu domínio (por exemplo company.com) no Apple Business, nos domínios da sua organização. Crie as Managed Apple Accounts dos seus usuários, ou conecte o Apple Business ao Google Workspace ou ao Microsoft Entra ID: assim, a conta de cada usuário é o endereço de e-mail corporativo dele e ele entra com a senha dela. Para o User Enrollment, verifique nas configurações de gerenciamento de acesso se as Managed Apple Accounts podem entrar em dispositivos pessoais: quando elas só podem entrar em dispositivos supervisionados, o User Enrollment falha. Apenas para a opção Apple Business abaixo: abra Dispositivos → Serviços de gerenciamento → Atribuição de dispositivo padrão (Editar) e escolha o serviço de gerenciamento de dispositivos Cerberus Enterprise para iPhone, iPad e Mac. Mantenha o serviço de gerenciamento de dispositivos Cerberus Enterprise e o token dele no Apple Business enquanto os dispositivos estiverem registrados com Managed Apple Accounts: removê-los pode impedir que as contas funcionem nos dispositivos. Configurar o Cerberus Enterprise Abra a seção Registro do painel e selecione a aba Entrada com conta Apple. Uma lista de verificação na parte superior mostra o que ainda falta. Somente administradores podem alterar as configurações. Permitir registro entrando com uma conta de trabalho: ativa ou desativa o registro orientado por conta para toda a organização. Domínios: os domínios das contas dos seus usuários (por exemplo company.com), até 20. Apenas contas desses domínios podem se registrar, e somente depois que o domínio for verificado (veja abaixo). iPhone e iPad e Mac: Desativado, User Enrollment ou Device Enrollment para cada família de dispositivos. Política de cada modo: aplicada aos dispositivos assim que eles se registram. Sem uma política, os dispositivos se registram sem uma. Uma política alterada se aplica aos próximos registros. Usuários: Somente usuários existentes (o endereço de e-mail de um usuário no Cerberus Enterprise deve corresponder à conta digitada no dispositivo) ou Criar um usuário para contas dos domínios que não têm um. A conta digitada no dispositivo é correspondida com o campo Managed Apple Account dos usuários e, depois, com o endereço de e-mail deles. O código é sempre enviado ao endereço de e-mail do usuário. Uma Managed Apple Account definida em um usuário pode se registrar mesmo quando o domínio dela não está verificado no Cerberus, por exemplo uma conta do domínio reservado org.appleid.com do Apple Business. Com a descoberta de serviço do Apple Business, os usuários sempre digitam a Managed Apple Account. Verificar os domínios Depois de salvar as configurações, a seção Verificação de domínio mostra um registro TXT para cada domínio. Adicione-o ao DNS do domínio e clique em Verificar. As alterações de DNS podem levar algum tempo para ficarem visíveis. Um domínio verificado permanece verificado: você pode remover o registro depois. Usuários de um domínio que não foi verificado não podem se registrar. Descoberta de serviço: como os dispositivos encontram o Cerberus Enterprise Quando um usuário entra, o dispositivo pergunta ao domínio da conta (por exemplo https://company.com) qual servidor o gerencia. Configure pelo menos uma destas três opções. A seção Descoberta de serviço da aba mostra a URL de descoberta da sua organização e o texto exato para copiar em cada opção. Opção 1: Apple Business (recomendado) Clique em Registrar no Apple Business: o Cerberus Enterprise armazena a URL de descoberta dele na sua organização do Apple Business e nada precisa ser publicado nos seus domínios. Verificar no Apple Business mostra a URL que o Apple Business tem agora, e Remover do Apple Business a remove. Requer iOS e iPadOS 18.2 ou macOS 15.2 ou posterior. Dispositivos mais antigos precisam da opção 2 ou 3. Requer o Apple Business conectado no Cerberus Enterprise (token do serviço Automated Device Enrollment) e a atribuição de dispositivo padrão descrita acima. O dispositivo pergunta ao Apple Business somente quando o seu domínio não responde: o endereço https://company.com/.well-known/com.apple.remotemanagement não deve existir (um erro como "not found"). Se o seu site responder com uma página da web, os dispositivos param ali. Use Verificar configuração para ver o que ele responde. O Apple Business mantém uma URL de descoberta por organização: registrá-la envia todas as Managed Apple Accounts da organização para esta organização do Cerberus Enterprise. Não a registre a partir de duas organizações do Cerberus Enterprise que usam a mesma organização do Apple Business. Opção 2: Redirecionar do seu site No servidor web de cada domínio, redirecione /.well-known/com.apple.remotemanagement para a URL de descoberta da sua organização, mantendo a string de consulta (ela carrega a conta digitada pelo usuário). Isso funciona com todas as versões de SO compatíveis com o registro orientado por conta, e o modo pode ser diferente para iPhone e Mac. Copie o texto para Apache ou nginx da aba; ele se parece com isto, com a chave da sua organização: Apache (.htaccess ou host virtual): RewriteEngine On RewriteRule ^\.well-known/com\.apple\.remotemanagement$ https://enterprise.cerberusapp.com/account-enroll/YOUR-KEY/discovery [R=302,L,QSA] nginx: location = /.well-known/com.apple.remotemanagement { return 302 https://enterprise.cerberusapp.com/account-enroll/YOUR-KEY/discovery$is_args$args; } Em outros servidores ou serviços web (IIS, Cloudflare, painéis de controle de hospedagem), crie uma regra de redirecionamento (302) do mesmo caminho para a URL de descoberta com a opção que mantém ou encaminha a string de consulta. Opção 3: Arquivo estático no seu site Se você não puder adicionar um redirecionamento, publique um arquivo em https://company.com/.well-known/com.apple.remotemanagement (sem extensão de arquivo), servido com Content-Type: application/json. Copie o conteúdo dele da aba. Um arquivo estático não pode escolher o modo por dispositivo: ele usa o mesmo modo para iPhone, iPad e Mac. Para o User Enrollment, ele se parece com isto: {"Servers":[{"Version":"mdm-byod","BaseURL":"https://enterprise.cerberusapp.com/account-enroll/YOUR-KEY/byod"}]} e para o Device Enrollment: {"Servers":[{"Version":"mdm-adde","BaseURL":"https://enterprise.cerberusapp.com/account-enroll/YOUR-KEY/adde"}]} O modo do arquivo também deve ser o modo definido na aba para a família de dispositivos; caso contrário, o registro é recusado. Verificar configuração Em Verificar configuração, escolha um domínio e um dispositivo (iPhone ou Mac) e clique em Verificar: o Cerberus Enterprise pergunta ao domínio o que um dispositivo perguntaria e mostra a resposta, cada redirecionamento e um veredito. O domínio apontando para o Cerberus Enterprise significa que as opções 2 ou 3 funcionam; uma resposta de erro (como "not found") está tudo bem para a opção 1; uma página da web ou um arquivo apontando para outro lugar interrompe os dispositivos. A verificação também avisa quando um redirecionamento descarta a string de consulta ou o arquivo não é servido como application/json. Chave de registro As URLs de descoberta e registro contêm uma chave da sua organização. Se as URLs foram publicadas por engano, clique em Regenerar chave: as URLs antigas param de funcionar imediatamente, então atualize os redirecionamentos e arquivos estáticos nos seus sites. O Cerberus Enterprise registra a nova URL no Apple Business sozinho quando a opção 1 é usada. Como os usuários se registram iPhone e iPad: abra Configurações → Geral → VPN & Gerenciamento de Dispositivos → Entrar na Conta de Trabalho ou Escola. Mac: Ajustes do Sistema → Geral → Gerenciamento de Dispositivos → Entrar (no macOS 14: Privacidade e Segurança → Perfis → Entrar). Digite a Managed Apple Account, ou o endereço de e-mail de trabalho do usuário no Cerberus (por exemplo name@company.com). Quando a Managed Apple Account do usuário é diferente do que foi digitado, o dispositivo então pede para entrar com essa conta. Uma página do Cerberus Enterprise é aberta: toque em Enviar o código e insira o código de 6 dígitos recebido por e-mail. O código expira após 10 minutos; após 5 códigos errados, o usuário precisa fechar a página e entrar novamente. Entre com a senha da Managed Apple Account (ou com a página de entrada da empresa quando o Apple Business está conectado ao Google Workspace ou ao Microsoft Entra ID) e permita o gerenciamento do dispositivo. Contas que não podem se registrar (domínio não verificado, nenhum usuário correspondente quando os usuários não são criados automaticamente, vários usuários com o mesmo endereço de e-mail) veem "Esta conta não está configurada para registro. Contate o administrador de TI." Os eventos ficam nos registros do sistema do painel. Após o registro A página do dispositivo mostra a Managed Apple Account usada para se registrar e o tipo de registro (User Enrollment ou Account-driven Device Enrollment). Na lista de dispositivos, os dispositivos com User Enrollment mostram "User Enrollment". Nos dispositivos com User Enrollment, os comandos e configurações de política que a Apple não permite (apagar, localização, modo perdido, atualizações de SO, muitas restrições) não são oferecidos ou não são enviados. Os apps da App Store da política usam uma licença de usuário em vez de uma licença de dispositivo (veja Apps em dispositivos pessoais abaixo). Nos dispositivos com User Enrollment, os clipes da web aparecem na Tela de Início, mas não são listados em Ajustes → Geral → VPN e Gerenciamento de Dispositivo. O certificado MDM desses dispositivos não é renovado automaticamente e Return to Service não está disponível: antes de o certificado MDM expirar (um ano após o registro, veja a página do dispositivo), peça ao usuário para registrar o dispositivo novamente. Para sair do gerenciamento, o usuário sai da conta de trabalho no mesmo lugar das configurações, ou você cancela o registro do dispositivo no Cerberus Enterprise. Com o User Enrollment, apenas os apps, contas e dados de trabalho são removidos; os dados pessoais permanecem. Um dispositivo que se registra novamente aparece como um novo dispositivo. Logo após o registro, alguns perfis da política (certificados, redes Wi-Fi, web clips) podem ser informados como com falha com um erro desconhecido, e o dispositivo pode aparecer como Não conforme por um tempo. O dispositivo tenta novamente por conta própria e eles são instalados depois de um tempo, sem necessidade de ação. Não salve a política novamente nem registre o dispositivo novamente por causa disso. Apps em dispositivos pessoais iPhones e iPads registrados com User Enrollment não têm número de série, então o Apps and Books não pode dar a eles uma licença de dispositivo. O Cerberus Enterprise dá aos apps da App Store da política deles uma licença de usuário: a licença vai para a Managed Apple Account conectada no dispositivo. Nada muda na política: a mesma política atende dispositivos da empresa e pessoais, e o Cerberus escolhe o tipo de licença para cada dispositivo. Automático: no primeiro registro, o Cerberus registra a Managed Apple Account no Apps and Books e então pede à Apple uma licença de cada app da App Store da política. Apps gratuitos também precisam de uma licença; a Apple dá licenças ilimitadas para eles. Um app pago usa uma licença por Managed Apple Account, compartilhada por todos os dispositivos pessoais dessa conta. Mesma organização: as Managed Apple Accounts e o token do Apps and Books do Cerberus Enterprise devem pertencer à mesma organização do Apple Business, e os apps devem estar na biblioteca do local do token. Licença primeiro: um app só é enviado ao dispositivo depois que a Apple confirma a licença dele, geralmente em alguns minutos. Até lá, o painel Aplicativos do dispositivo o mostra como Aguardando uma licença de usuário, com o motivo. Aviso de instalação: dispositivos pessoais nunca são supervisionados, então o iOS pergunta ao usuário antes de instalar cada app, incluindo o app Cerberus Enterprise, que o Cerberus também instala nesses dispositivos (Instalar ou Cancelar); não é necessário entrar com uma Conta Apple. Se o usuário cancelar, o app mostra Aguardando a aprovação do usuário para a instalação: use Solicitar novamente na página do dispositivo para mostrar o aviso outra vez. Apps instalados como Obrigatório não podem ser excluídos pelo usuário. Apps instalados antes do registro: a Apple não permite que a organização assuma um app que o usuário instalou pessoalmente em um dispositivo registrado com User Enrollment. Peça ao usuário para excluir a cópia dele antes de se registrar, ou exclua-a e use Solicitar novamente na página do dispositivo: a organização então instala a cópia gerenciada. Sair do gerenciamento: quando o dispositivo tem o registro cancelado, o iOS remove os apps gerenciados e os dados deles. Uma licença é liberada quando nenhum outro dispositivo registrado da mesma Managed Apple Account precisa dela, por exemplo quando o app sai da política ou o último dispositivo tem o registro cancelado; as licenças que ninguém mais precisa são liberadas pela verificação diária dentro de um dia. Quando a Apple não consegue atribuir uma licença, por exemplo porque um app pago não tem mais licenças, o app mostra Falha na licença de usuário com a mensagem da Apple. Adicione licenças no Apple Business e use Solicitar novamente na página do dispositivo; o Cerberus também tenta novamente sozinho na verificação diária. A linha acima da lista de apps mostra a Managed Apple Account e o status do usuário do Apps and Books dela; o mesmo status fica na página do usuário. As licenças de usuário são usadas somente em iPhones e iPads: em Macs registrados com o Registro de Usuário, os apps da App Store da política não são instalados. Livros e Contas Apple pessoais não são compatíveis.