Registrazione Apple basata sull'account

Con la registrazione basata sull'account, gli utenti registrano il proprio iPhone, iPad o Mac accedendo con il loro account di lavoro (un Account Apple gestito, ad esempio name@company.com) nelle impostazioni del dispositivo. Nessun profilo da scaricare e nessun codice QR: Cerberus Enterprise trova l'utente, applica la policy e imposta la proprietà da solo.

Due modalità

• Registrazione utente (dispositivi personali): vengono gestiti solo le app, gli account e i dati di lavoro, in un'area separata del dispositivo. Cerberus non può vedere i dati personali, cancellare il dispositivo, localizzarlo o leggere il suo numero di serie. Il dispositivo viene impostato come personale. Richiede iOS e iPadOS 15 o macOS 14 o versioni successive.
• Registrazione dispositivo (dispositivi aziendali non presenti in Apple Business): viene gestito l'intero dispositivo, come con una registrazione manuale. Un Mac registrato in questo modo è supervisionato; un iPhone o un iPad no. Il dispositivo viene impostato come aziendale. Richiede iOS e iPadOS 17.1 o macOS 14.1 o versioni successive.

Scegli la modalità per iPhone e iPad e, separatamente, per Mac: ad esempio Registrazione utente per iPhone personali e Registrazione dispositivo per Mac. Puoi cambiare la proprietà di un dispositivo in seguito nella pagina del dispositivo.

La registrazione basata sull'account è disponibile quando Apple Management (APNs) è configurato. Se non hai ancora completato la configurazione di APNs, leggi Configurazione di Apple Management (APNs).

Configura Apple Business

Gli utenti accedono con gli Account Apple gestiti, creati in Apple Business. Prima di iniziare:

1. Verifica il tuo dominio (ad esempio company.com) in Apple Business, nei domini della tua organizzazione.
2. Crea gli Account Apple gestiti dei tuoi utenti, oppure collega Apple Business a Google Workspace o Microsoft Entra ID: così l'account di ogni utente è il suo indirizzo email di lavoro e accede con la relativa password.
3. Per la registrazione utente, verifica nelle impostazioni di gestione degli accessi che gli Account Apple gestiti possano accedere su dispositivi personali: quando possono accedere solo su dispositivi supervisionati, la registrazione utente non riesce.
4. Solo per l'opzione Apple Business riportata di seguito: apri Dispositivi → Servizi di gestione → Assegnazione dispositivo predefinita (Modifica) e scegli il servizio di gestione dei dispositivi Cerberus Enterprise per iPhone, iPad e Mac.

Mantieni il servizio di gestione dei dispositivi Cerberus Enterprise e il suo token in Apple Business mentre i dispositivi sono registrati con gli Account Apple gestiti: rimuoverli può impedire agli account di funzionare sui dispositivi.

Configura Cerberus Enterprise

Apri la sezione Registrazione della dashboard e seleziona la scheda Accesso con account Apple. Una checklist in alto mostra cosa manca ancora. Solo gli amministratori possono modificare le impostazioni.

• Consenti la registrazione accedendo con un account di lavoro: attiva o disattiva la registrazione basata sull'account per l'intera organizzazione.
• Domini: i domini degli account dei tuoi utenti (ad esempio company.com), fino a 20. Solo gli account di questi domini possono registrarsi, e solo dopo che il dominio è stato verificato (vedi sotto).
• iPhone e iPad e Mac: Disattivato, Registrazione utente o Registrazione dispositivo per ogni famiglia di dispositivi.
• Policy di ogni modalità: applicata ai dispositivi non appena si registrano. Senza una policy, i dispositivi si registrano senza. Una policy modificata si applica alle registrazioni successive.
• Utenti: Solo utenti esistenti (l'indirizzo email di un utente in Cerberus Enterprise deve corrispondere all'account digitato sul dispositivo), oppure Crea un utente per gli account dei domini che non ne hanno uno.

L'account digitato sul dispositivo viene confrontato con il campo Account Apple gestito degli utenti, poi con il loro indirizzo email. Il codice viene sempre inviato all'indirizzo email dell'utente. Un Account Apple gestito impostato su un utente può registrarsi anche quando il suo dominio non è verificato in Cerberus, ad esempio un account del dominio riservato org.appleid.com di Apple Business. Con l'individuazione dei servizi di Apple Business gli utenti digitano sempre il proprio Account Apple gestito.

Verifica i domini

Dopo aver salvato le impostazioni, la sezione Verifica del dominio mostra un record TXT per ogni dominio. Aggiungilo al DNS del dominio, poi fai clic su Verifica. Le modifiche DNS possono richiedere un po' di tempo per diventare visibili. Un dominio verificato resta verificato: puoi rimuovere il record in seguito. Gli utenti di un dominio non verificato non possono registrarsi.

Individuazione dei servizi: come i dispositivi trovano Cerberus Enterprise

Quando un utente accede, il dispositivo chiede al dominio dell'account (ad esempio https://company.com) quale server lo gestisce. Configura almeno una di queste tre opzioni. La sezione Individuazione dei servizi della scheda mostra l'URL di individuazione della tua organizzazione e il testo esatto da copiare per ogni opzione.

Opzione 1: Apple Business (consigliata)

Fai clic su Registra in Apple Business: Cerberus Enterprise memorizza il suo URL di individuazione nella tua organizzazione Apple Business e non serve pubblicare nulla sui tuoi domini. Controlla in Apple Business mostra l'URL attualmente presente in Apple Business e Rimuovi da Apple Business lo rimuove.

• Richiede iOS e iPadOS 18.2 o macOS 15.2 o versioni successive. I dispositivi meno recenti necessitano dell'opzione 2 o 3.
• Richiede Apple Business collegato in Cerberus Enterprise (token del servizio Automated Device Enrollment) e l'assegnazione dispositivo predefinita descritta sopra.
• Il dispositivo interroga Apple Business solo quando il tuo dominio non risponde: l'indirizzo https://company.com/.well-known/com.apple.remotemanagement non deve esistere (un errore come "non trovato"). Se il tuo sito web risponde con una pagina web, i dispositivi si fermano lì. Usa Controlla configurazione per vedere cosa risponde.

Apple Business mantiene un solo URL di individuazione per organizzazione: registrandolo, ogni Account Apple gestito dell'organizzazione viene inviato a questa organizzazione Cerberus Enterprise. Non registrarlo da due organizzazioni Cerberus Enterprise che usano la stessa organizzazione Apple Business.

Opzione 2: Reindirizzamento dal tuo sito web

Sul web server di ogni dominio, reindirizza /.well-known/com.apple.remotemanagement all'URL di individuazione della tua organizzazione, mantenendo la stringa di query (contiene l'account digitato dall'utente). Funziona con ogni versione del sistema operativo che supporta la registrazione basata sull'account e la modalità può essere diversa per iPhone e Mac. Copia dalla scheda il testo per Apache o nginx; assomiglia a questo, con la chiave della tua organizzazione:

Apache (.htaccess o host virtuale):

RewriteEngine On
RewriteRule ^\.well-known/com\.apple\.remotemanagement$ https://enterprise.cerberusapp.com/account-enroll/YOUR-KEY/discovery [R=302,L,QSA]

nginx:

location = /.well-known/com.apple.remotemanagement {
    return 302 https://enterprise.cerberusapp.com/account-enroll/YOUR-KEY/discovery$is_args$args;
}

Su altri web server o servizi (IIS, Cloudflare, pannelli di controllo dell'hosting), crea una regola di reindirizzamento (302) dallo stesso percorso all'URL di individuazione con l'opzione che mantiene o inoltra la stringa di query.

Opzione 3: File statico sul tuo sito web

Se non puoi aggiungere un reindirizzamento, pubblica un file all'indirizzo https://company.com/.well-known/com.apple.remotemanagement (senza estensione di file), servito con Content-Type: application/json. Copia il suo contenuto dalla scheda. Un file statico non può scegliere la modalità per dispositivo: usa la stessa modalità per iPhone, iPad e Mac. Per la registrazione utente assomiglia a questo:

{"Servers":[{"Version":"mdm-byod","BaseURL":"https://enterprise.cerberusapp.com/account-enroll/YOUR-KEY/byod"}]}

e per la registrazione dispositivo:

{"Servers":[{"Version":"mdm-adde","BaseURL":"https://enterprise.cerberusapp.com/account-enroll/YOUR-KEY/adde"}]}

La modalità del file deve essere anche la modalità impostata nella scheda per la famiglia di dispositivi, altrimenti la registrazione viene rifiutata.

Controlla configurazione

In Controlla configurazione, scegli un dominio e un dispositivo (iPhone o Mac) e fai clic su Controlla: Cerberus Enterprise chiede al dominio ciò che chiederebbe un dispositivo e mostra la risposta, ogni reindirizzamento e un verdetto. Il dominio che punta a Cerberus Enterprise significa che le opzioni 2 o 3 funzionano; una risposta di errore (come "non trovato") va bene per l'opzione 1; una pagina web o un file che punta altrove blocca i dispositivi. Il controllo avvisa anche quando un reindirizzamento perde la stringa di query o il file non viene servito come application/json.

Chiave di registrazione

Gli URL di individuazione e registrazione contengono una chiave della tua organizzazione. Se gli URL sono stati pubblicati per errore, fai clic su Rigenera chiave: i vecchi URL smettono subito di funzionare, quindi aggiorna i reindirizzamenti e i file statici sui tuoi siti web. Cerberus Enterprise registra da solo il nuovo URL in Apple Business quando viene usata l'opzione 1.

Come si registrano gli utenti

1. iPhone e iPad: apri Impostazioni → Generali → VPN e gestione dispositivo → Accedi all'account di lavoro o della scuola. Mac: Impostazioni di Sistema → Generali → Gestione dispositivo → Accedi (su macOS 14: Privacy e sicurezza → Profili → Accedi).
2. Digita l'Account Apple gestito, oppure l'indirizzo email di lavoro dell'utente in Cerberus (ad esempio name@company.com). Quando l'Account Apple gestito dell'utente è diverso da quello digitato, il dispositivo chiede poi di accedere con quell'account.
3. Si apre una pagina di Cerberus Enterprise: tocca Invia il codice, poi inserisci il codice di 6 cifre ricevuto via email. Il codice scade dopo 10 minuti; dopo 5 codici errati l'utente deve chiudere la pagina e accedere di nuovo.
4. Accedi con la password dell'Account Apple gestito (o con la pagina di accesso dell'azienda quando Apple Business è collegato a Google Workspace o Microsoft Entra ID), poi consenti la gestione del dispositivo.

Gli account che non possono registrarsi (dominio non verificato, nessun utente corrispondente quando gli utenti non vengono creati automaticamente, più utenti con lo stesso indirizzo email) vedono "Questo account non è configurato per la registrazione. Contatta il tuo amministratore IT." Gli eventi sono nei log di sistema della dashboard.

Dopo la registrazione

• La pagina del dispositivo mostra l'Account Apple gestito usato per la registrazione e il tipo di registrazione (Registrazione utente o Registrazione dispositivo basata sull'account). Nell'elenco dei dispositivi, i dispositivi con Registrazione utente mostrano "Registrazione utente".
• Sui dispositivi con Registrazione utente, i comandi e le impostazioni della policy che Apple non consente (cancellazione, posizione, modalità smarrito, aggiornamenti del sistema operativo, molte restrizioni) non vengono offerti o non vengono inviati. Le app dell'App Store della policy usano una licenza utente anziché una licenza dispositivo (vedi App sui dispositivi personali di seguito).
• Sui dispositivi con Registrazione utente, i web clip compaiono nella schermata Home ma non sono elencati in Impostazioni → Generali → VPN e gestione dispositivo.
• Il certificato MDM di questi dispositivi non viene rinnovato automaticamente e Return to Service non è disponibile: prima che il certificato MDM scada (un anno dopo la registrazione, vedi la pagina del dispositivo), chiedi all'utente di registrare di nuovo il dispositivo.
• Per uscire dalla gestione, l'utente esce dall'account di lavoro nello stesso punto delle impostazioni, oppure annulla la registrazione del dispositivo da Cerberus Enterprise. Con la Registrazione utente vengono rimosse solo le app, gli account e i dati di lavoro; i dati personali restano. Un dispositivo che si registra di nuovo appare come un nuovo dispositivo.

Subito dopo la registrazione, alcuni profili della policy (certificati, reti Wi-Fi, web clip) possono essere segnalati come non riusciti con un errore sconosciuto e il dispositivo può apparire come Non conforme per un po'. Il dispositivo li riprova da solo e si installano dopo un po', senza bisogno di alcuna azione. Non salvare di nuovo la policy né registrare di nuovo il dispositivo per questo.

App sui dispositivi personali

Gli iPhone e gli iPad registrati con la Registrazione utente non hanno un numero di serie, quindi Apps and Books non può assegnare loro una licenza dispositivo. Cerberus Enterprise assegna invece una licenza utente alle app dell'App Store della loro policy: la licenza va all'Account Apple gestito con cui è stato effettuato l'accesso sul dispositivo. Nulla cambia nella policy: la stessa policy serve dispositivi aziendali e personali e Cerberus sceglie il tipo di licenza per ogni dispositivo.

• Automatica: alla prima registrazione Cerberus registra l'Account Apple gestito in Apps and Books, poi chiede ad Apple una licenza per ogni app dell'App Store della policy. Anche le app gratuite necessitano di una licenza; Apple fornisce licenze illimitate. Un'app a pagamento usa una licenza per Account Apple gestito, condivisa da tutti i dispositivi personali di quell'account.
• Stessa organizzazione: gli Account Apple gestiti e il token Apps and Books di Cerberus Enterprise devono appartenere alla stessa organizzazione Apple Business, e le app devono essere nella libreria della sede del token.
• Prima la licenza: un'app viene inviata al dispositivo solo dopo che Apple conferma la sua licenza, di solito entro pochi minuti. Fino ad allora il pannello Applicazioni del dispositivo la mostra come In attesa di una licenza utente, con il motivo.
• Richiesta di installazione: i dispositivi personali non sono mai supervisionati, quindi iOS chiede all'utente prima di installare ogni app, inclusa l'app Cerberus Enterprise, che Cerberus installa anche su questi dispositivi (Installa o Annulla); non è necessario accedere con un Apple Account. Se l'utente annulla, l'app mostra In attesa dell'approvazione dell'installazione da parte dell'utente: usa Richiedi di nuovo nella pagina del dispositivo per mostrare di nuovo la richiesta. Le app installate come Obbligatorie non possono essere eliminate dall'utente.
• App installate prima della registrazione: Apple non consente all'organizzazione di rilevare un'app che l'utente ha installato personalmente su un dispositivo registrato con la Registrazione utente. Chiedi all'utente di eliminare la propria copia prima della registrazione, oppure eliminala e poi usa Richiedi di nuovo nella pagina del dispositivo: l'organizzazione installa quindi la copia gestita.
• Uscita dalla gestione: quando il dispositivo annulla la registrazione, iOS rimuove le app gestite e i loro dati. Una licenza viene rilasciata quando nessun altro dispositivo registrato dello stesso Account Apple gestito ne ha bisogno, ad esempio quando l'app esce dalla policy o l'ultimo dispositivo annulla la registrazione; le licenze di cui nessuno ha più bisogno vengono rilasciate dal controllo giornaliero entro un giorno.

Quando Apple non riesce ad assegnare una licenza, ad esempio perché un'app a pagamento non ha più licenze disponibili, l'app mostra Licenza utente non riuscita con il messaggio di Apple. Aggiungi licenze in Apple Business, poi usa Richiedi di nuovo nella pagina del dispositivo; Cerberus riprova anche da solo al controllo giornaliero. La riga sopra l'elenco delle app mostra l'Account Apple gestito e lo stato del suo utente Apps and Books; lo stesso stato è nella pagina dell'utente.

Le licenze utente vengono usate solo su iPhone e iPad: sui Mac registrati con la Registrazione utente, le app dell'App Store della policy non vengono installate. I libri e gli Account Apple personali non sono supportati.