Relution Signet Customer Hub

Benutzer-Einschreibung

Mit der Benutzer-Einschreibung, auch User Enrollment genannt, lassen sich private iPhones und iPads einschreiben, ohne dass Besitzer die gesamte Kontrolle über die Geräte abgeben müssen. So lassen sich basierend auf dem Bring Your Own Device-Ansatz (BYOD) private Geräte von Schülern oder Mitarbeitern im Schul- bzw. Unternehmenskontext unter Einhaltung des Schutzes privater Daten einbinden und nutzen. Die Benutzer-Einschreibung von Macs beschreibt der Artikel Benutzer-Einschreibung (macOS) →.

Es gibt zwei Varianten der Benutzer-Einschreibung: die kontogesteuerte Benutzer-Einschreibung, bei der die Anmeldung auf dem Gerät mit einem verwalteten Apple Account (im Portal: Managed Apple ID) erfolgt, und die profilbasierte Benutzer-Einschreibung über einen Einschreibungslink (klassische manuelle Einschreibung).

Vorteile

  • Administratoren können privat installierte Apps nicht einsehen.
  • Geräte bleiben unter Kontrolle der Benutzer.

Nachteile

  • Nicht alle Aktionen und Richtlinien-Konfigurationen sind möglich. So erzwingt eine Passcode-Konfiguration bei Benutzer-Einschreibungen immer einen nicht einfachen Code mit mindestens sechs Zeichen; abweichende Einstellungen der Konfiguration werden ignoriert.
  • Verwaltete Apple Accounts sind notwendig.
  • Benutzer und Rolle eines eingeschriebenen Geräts lassen sich nachträglich nicht ändern.

Kontogesteuerte Benutzer-Einschreibung

Relution unterstützt die kontogesteuerte Benutzer-Einschreibung von iPhones und iPads, die sich nicht im Überwachten Modus → (Supervised Mode) befinden. Damit wird die Einschreibung privater Geräte in Relution erheblich erleichtert.

Die Anmeldung erfolgt auf dem Gerät unter Einstellungen → Allgemein → VPN & Geräteverwaltung über die Anmeldung mit einem Geschäfts- oder Schulaccount, also mit dem verwalteten Apple Account. Über die Service Discovery ermittelt das Gerät anhand der Domain des verwalteten Apple Accounts den zuständigen MDM-Server und leitet auf die Anmeldeseite von Relution weiter, auf der die Anmeldung mit dem Relution-Benutzerkonto erfolgt. Anschließend wird auf dem Gerät die Anmeldung mit dem verwalteten Apple Account bestätigt, das MDM-Profil installiert, und das Gerät erscheint im Geräte-Inventar der entsprechenden Relution-Organisation.

Voraussetzungen

  • Ein in Relution hinterlegtes APNs-Zertifikat (APNS Push Zertifikate →).
  • Ein verwalteter Apple Account und ein Relution-Benutzerkonto für den jeweiligen Benutzer. In den Benutzer-Details ist dafür die Managed Apple ID hinterlegt; ohne Managed Apple ID verwendet Relution die E-Mail des Benutzers. Dieser Wert muss dem verwalteten Apple Account entsprechen, mit dem die Anmeldung auf dem Gerät erfolgt.
  • Entweder die aktivierte Einstellung Kontobasierte Apple-Benutzerregistrierung in der Organisation oder eine für den Benutzer angelegte Benutzer-Einschreibung →.
  • Eine Service Discovery für die Domain der verwalteten Apple Accounts, entweder automatisch über den Apple School/Business Manager oder über eine Well-Known-Datei.

Kontobasierte Apple-Benutzerregistrierung aktivieren

Die Einstellung befindet sich unter Einstellungen → Geräteverwaltung im Bereich Kontobasierte Apple-Benutzerregistrierung. Sie gilt je Organisation; in der globalen Organisation wird der Bereich nicht angezeigt.

Bei der Anmeldung eines Benutzers verwendet Relution zuerst eine für diesen Benutzer angelegte iOS-Benutzer-Einschreibung mit dem Status Erstellt, die noch mindestens fünf Minuten gültig ist. Ist keine solche Einschreibung vorhanden und der Schieberegler Kontobasierte Apple-Benutzerregistrierung aktiviert, legt Relution automatisch eine Benutzer-Einschreibung mit der Eigentümerschaft Gerät in Mitarbeiterbesitz (BYOD) und einer Gültigkeit von fünf Tagen an. Standardmäßig ist der Schieberegler deaktiviert; ohne passende Benutzer-Einschreibung schlägt die Einschreibung des Geräts dann fehl.

Zeitlimits bei der Anmeldung

Ab Relution 27.0.1 gilt jede Anmeldung an Relution während der Einschreibung nur für einen einzigen Einschreibungsvorgang auf einem Gerät und ist zeitlich begrenzt:

  • Nach der Anmeldung an Relution muss das Gerät das Einschreibungsprofil innerhalb von 15 Minuten abrufen.
  • Anschließend muss die Anmeldung mit dem verwalteten Apple Account (im Portal: Managed Apple ID) auf dem Gerät, gegebenenfalls einschließlich des zweiten Faktors, innerhalb von 1 Stunde abgeschlossen sein.

Wird ein Zeitlimit überschritten oder bricht die Einschreibung nach dem Abruf des Profils ab, etwa durch einen Verbindungsabbruch, lässt sie sich nicht fortsetzen. Die Einschreibung wird dann auf dem Gerät über Einstellungen → Allgemein → VPN & Geräteverwaltung neu gestartet, gefolgt von einer erneuten Anmeldung an Relution. Dasselbe gilt, wenn für den Benutzer keine passende Benutzer-Einschreibung vorhanden und der Schieberegler Kontobasierte Apple-Benutzerregistrierung deaktiviert ist; vor dem Neustart wird in diesem Fall eine Benutzer-Einschreibung angelegt oder der Schieberegler aktiviert.

Mehrere Geräte desselben Benutzers lassen sich gleichzeitig einschreiben, für jedes Gerät erfolgt eine eigene Anmeldung an Relution.

Service Discovery einrichten

Eine Service Discovery muss konfiguriert werden, damit Apple die Geräte an den richtigen MDM Server übertragen kann. Dafür stehen zwei Wege zur Verfügung.

Automatisch über den Apple School/Business Manager

Ab iOS 18.2 bzw. iPadOS 18.2 ist keine eigene Datei erforderlich, wenn der Apple School/Business Manager für die Automatische Geräteregistrierung (ADE, im Portal: DEP) über ein DEP-Konto in Relution eingebunden ist. Relution hinterlegt die Service-Discovery-URL bei jeder Synchronisation der ADE-Geräte automatisch im Apple School/Business Manager. Voraussetzung ist, dass dort unter Preferences → Your MDM Servers → MDM Server Assignment → Default MDM Server Assignment Relution als Standard-MDM-Server für iPhone und iPad festgelegt ist.

Über eine Well-Known-Datei

Für Geräte mit einer älteren Version als iOS 18.2 bzw. iPadOS 18.2 oder ohne eingebundenen Apple School/Business Manager muss eine HTTP Well-Known-Ressourcen-Datei an der Domain hinterlegt werden, mit der sich die Benutzer anmelden. Für den eigenen Hostnamen beantwortet Relution diese Anfrage bereits selbst; eine eigene Datei ist daher nur erforderlich, wenn die Domain der verwalteten Apple Accounts davon abweicht. Apple muss diese Datei über einen HTTP GET unter folgender URL abrufen können:

https://yourdomain.com/.well-known/com.apple.remotemanagement

Unter dem Punkt yourdomain.com muss die Domain hinterlegt werden, die auch für die verwalteten Apple Accounts verwendet wird. Die Datei muss auf einer Domain hinterlegt werden, die mit HTTP-GET-Anfragen umgehen kann.

Die Datei wird im JSON-Format mit dem Content-Type application/json angelegt. Um die richtigen Informationen in die Datei einzutragen, lassen sich die benötigten Informationen direkt aus dem Relution Portal kopieren:

  1. Einstellungen → Geräteverwaltung öffnen.
  2. Im Bereich Kontobasierte Apple-Benutzerregistrierung den unter Antwort angezeigten JSON-Text vollständig, einschließlich der äußeren geschweiften Klammern, kopieren (Schaltfläche In Zwischenablage kopieren) und in die Datei einfügen. Der JSON-Text wird unabhängig vom Schieberegler angezeigt.

Beispiel: maxmustermann@musterhausen.de

In diesem Beispiel wäre die Domain musterhausen.de. Dort müsste die Service Discovery hinterlegt werden.

Benutzer-Einschreibung in Relution anlegen

Eine Benutzer-Einschreibung wird unter Geräte → Einschreibungen über Hinzufügen angelegt. Als Plattform wird iOS und als Typ die Schaltfläche Benutzereinschreibung gewählt. Der Typ ist nur auswählbar, wenn die Berechtigung zum Lesen von Benutzern besteht.

Eine Benutzer-Einschreibung ist immer genau einem Benutzer zugeordnet, der sich nachträglich nicht ändern lässt; für mehrere Benutzer wird je eine eigene Einschreibung angelegt. Für den Benutzer muss in den Benutzer-Details im Feld Managed Apple ID oder ersatzweise im Feld E-Mail die Adresse des verwalteten Apple Accounts hinterlegt sein. Ist keine Managed Apple ID hinterlegt, übermittelt Relution die E-Mail-Adresse als verwalteten Apple Account an das Gerät. Bei Geräten, die über eine Benutzer-Einschreibung eingeschrieben wurden, lassen sich der zugewiesene Benutzer und die Rolle des Geräts nicht mehr ändern bzw. entfernen.

Eine so angelegte Benutzer-Einschreibung wird für die kontogesteuerte Benutzer-Einschreibung verwendet, wenn sich der Benutzer auf dem Gerät anmeldet. Auf Geräten bis iOS 17 bzw. iPadOS 17 lässt sie sich außerdem für die profilbasierte Benutzer-Einschreibung nutzen.

Profilbasierte Benutzer-Einschreibung (bis iOS 17)

Der Einschreibungslink der angelegten Benutzer-Einschreibung wird an den jeweiligen Schüler oder Mitarbeiter gesendet. Über den Link wird die Einschreibung auf dem iPhone oder iPad unter Verwendung des verwalteten Apple Accounts des Benutzers durchgeführt, und das Gerät erscheint automatisch im Geräte-Inventar der entsprechenden Relution-Organisation.

Verwandte Themen