Relution Signet Customer Hub

Benutzer-Einschreibung

Mit der Benutzer-Einschreibung, auch User Enrollment genannt, lassen sich private Macs einschreiben, ohne dass Besitzer die gesamte Kontrolle über die Geräte abgeben müssen. So lassen sich basierend auf dem Bring Your Own Device-Ansatz (BYOD) private Geräte von Schülern oder Mitarbeitern im Schul- bzw. Unternehmenskontext unter Einhaltung des Schutzes privater Daten einbinden und nutzen. Die Benutzer-Einschreibung von iPhone und iPad beschreibt der Artikel Benutzer-Einschreibung für iOS →.

Es gibt zwei Varianten der Benutzer-Einschreibung: die kontogesteuerte Benutzer-Einschreibung, bei der die Anmeldung auf dem Mac mit einem verwalteten Apple Account (im Portal: Managed Apple ID) erfolgt, und die profilbasierte Benutzer-Einschreibung über einen Einschreibungslink.

Vorteile

  • Administratoren können privat installierte Apps nicht einsehen.
  • Geräte bleiben unter Kontrolle der Benutzer.

Nachteile

  • Nicht alle Aktionen und Richtlinien-Konfigurationen sind möglich.
  • Verwaltete Apple Accounts sind notwendig.
  • Der macOS Companion wird auf Macs mit Benutzer-Einschreibung nicht bereitgestellt. Apps vom Typ DMG lassen sich auf diesen Macs daher nicht installieren.

Kontogesteuerte Benutzer-Einschreibung

Relution unterstützt die kontobasierte Benutzer-Registrierung von Macs, die sich nicht im Überwachten Modus → (Supervised Mode) befinden.

Die Anmeldung erfolgt auf dem Mac in den Systemeinstellungen über die Anmeldung mit einem Geschäfts- oder Schulaccount, also mit dem verwalteten Apple Account. Über die Service Discovery ermittelt der Mac den zuständigen MDM-Server und leitet auf die Anmeldeseite von Relution weiter, auf der die Anmeldung mit dem Relution-Benutzerkonto erfolgt. Anschließend wird auf dem Mac die Anmeldung mit dem verwalteten Apple Account bestätigt, das MDM-Profil installiert, und der Mac erscheint im Geräte-Inventar der entsprechenden Relution-Organisation.

Voraussetzungen

  • macOS 14 oder höher.
  • Ein in Relution hinterlegtes APNs-Zertifikat (APNS Push Zertifikate →).
  • Ein verwalteter Apple Account und ein Relution-Benutzerkonto für den jeweiligen Benutzer. In den Benutzer-Details ist dafür die Managed Apple ID hinterlegt; ohne Managed Apple ID verwendet Relution die E-Mail des Benutzers. Dieser Wert muss dem verwalteten Apple Account entsprechen, mit dem die Anmeldung auf dem Mac erfolgt.
  • Entweder die aktivierte Einstellung Kontobasierte Apple-Benutzerregistrierung in der Organisation oder eine für den Benutzer angelegte Benutzer-Einschreibung →.
  • Eine Service Discovery für die Domain der verwalteten Apple Accounts, entweder automatisch über den Apple School/Business Manager oder über eine Well-Known-Datei.

Kontobasierte Apple-Benutzerregistrierung aktivieren

Die Einstellung befindet sich unter Einstellungen → Geräteverwaltung im Bereich Kontobasierte Apple-Benutzerregistrierung. Sie gilt je Organisation; in der globalen Organisation wird der Bereich nicht angezeigt.

Bei der Anmeldung eines Benutzers verwendet Relution zuerst eine für diesen Benutzer angelegte macOS-Benutzer-Einschreibung mit dem Status Erstellt, die noch mindestens fünf Minuten gültig ist. Ist keine solche Einschreibung vorhanden und der Schieberegler Kontobasierte Apple-Benutzerregistrierung aktiviert, legt Relution automatisch eine Benutzer-Einschreibung mit der Eigentümerschaft Gerät in Mitarbeiterbesitz (BYOD) und einer Gültigkeit von fünf Tagen an. Standardmäßig ist der Schieberegler deaktiviert; ohne passende Benutzer-Einschreibung schlägt die Einschreibung des Mac dann fehl.

Zeitlimits bei der Anmeldung

Ab Relution 27.0.1 gilt jede Anmeldung an Relution während der Einschreibung nur für genau einen Einschreibungsvorgang auf genau einem Gerät. Dabei gelten feste Zeitlimits, die sich nicht konfigurieren lassen:

  • Nach der Anmeldung an Relution muss der Mac das Einschreibungsprofil innerhalb von 15 Minuten abrufen.
  • Anschließend muss die Anmeldung mit dem verwalteten Apple Account auf dem Mac, gegebenenfalls einschließlich des zweiten Faktors, innerhalb von einer Stunde abgeschlossen sein.

Wird ein Zeitlimit überschritten oder bricht die Einschreibung nach dem Abruf des Profils ab, etwa durch einen Verbindungsabbruch oder weil keine passende Benutzer-Einschreibung vorhanden und der Schieberegler Kontobasierte Apple-Benutzerregistrierung deaktiviert ist, lässt sie sich nicht fortsetzen. Die Einschreibung wird dann in den Systemeinstellungen des Mac neu gestartet, und die Anmeldung an Relution erfolgt erneut. Mehrere Geräte desselben Benutzers lassen sich gleichzeitig einschreiben; für jedes Gerät erfolgt eine eigene Anmeldung.

Service Discovery einrichten

Eine Service Discovery muss konfiguriert werden, damit Apple die Geräte an den richtigen MDM Server übertragen kann. Dafür stehen zwei Wege zur Verfügung.

Automatisch über den Apple School/Business Manager

Ab macOS 15.2 ist keine eigene Datei erforderlich, wenn der Apple School/Business Manager für die Automatische Geräteregistrierung (ADE, im Portal: DEP) über ein DEP-Konto in Relution eingebunden ist. Relution hinterlegt die Service-Discovery-URL bei jeder Synchronisation der ADE-Geräte automatisch im Apple School/Business Manager. Voraussetzung ist, dass dort unter Preferences → Your MDM Servers → MDM Server Assignment → Default MDM Server Assignment Relution als Standard-MDM-Server für Mac festgelegt ist.

Über eine Well-Known-Datei

Für Macs mit einer älteren macOS-Version als 15.2 oder ohne eingebundenen Apple School/Business Manager muss eine HTTP Well-Known-Ressourcen-Datei an der Domain hinterlegt werden, mit der sich die Benutzer anmelden. Für den eigenen Hostnamen beantwortet Relution diese Anfrage bereits selbst; eine eigene Datei ist daher nur erforderlich, wenn die Domain der verwalteten Apple Accounts davon abweicht. Apple muss diese Datei über einen HTTP GET unter folgender URL abrufen können:

https://yourdomain.com/.well-known/com.apple.remotemanagement

Unter dem Punkt yourdomain.com muss die Domain hinterlegt werden, die auch für die verwalteten Apple Accounts verwendet wird. Die Datei muss auf einer Domain hinterlegt werden, die mit HTTP-GET-Anfragen umgehen kann.

Die Datei wird im JSON-Format mit dem Content-Type application/json angelegt. Um die richtigen Informationen in die Datei einzutragen, lassen sich die benötigten Informationen direkt aus dem Relution Portal kopieren:

  1. Einstellungen → Geräteverwaltung öffnen.
  2. Im Bereich Kontobasierte Apple-Benutzerregistrierung den unter Antwort angezeigten JSON-Text vollständig, einschließlich der äußeren geschweiften Klammern, kopieren (Schaltfläche In Zwischenablage kopieren) und in die Datei einfügen. Der JSON-Text wird unabhängig vom Schieberegler angezeigt.

Beispiel: maxmustermann@musterhausen.de

In diesem Beispiel wäre die Domain musterhausen.de. Dort müsste die Service Discovery hinterlegt werden.

Benutzer-Einschreibung in Relution anlegen

Eine Benutzer-Einschreibung wird unter Geräte → Einschreibungen über Hinzufügen angelegt. Als Plattform wird macOS und als Typ die Schaltfläche Benutzereinschreibung gewählt. Der Typ ist nur auswählbar, wenn die Berechtigung zum Lesen von Benutzern besteht.

Eine Benutzer-Einschreibung ist immer genau einem Benutzer zugeordnet; für mehrere Benutzer wird je eine eigene Einschreibung angelegt. Für den Benutzer muss entweder eine Managed Apple ID oder eine E-Mail in den Benutzer-Details hinterlegt sein. Ist keine Managed Apple ID hinterlegt, wird die E-Mail als verwalteter Apple Account verwendet. Geräten zugewiesene Benutzer lassen sich bei eingeschriebenen Geräten via Benutzer-Einschreibung nicht mehr ändern bzw. entfernen.

Eine so angelegte Benutzer-Einschreibung wird für die kontogesteuerte Benutzer-Einschreibung verwendet, wenn sich der Benutzer auf dem Mac anmeldet. Auf Macs bis macOS 14 lässt sie sich außerdem für die profilbasierte Benutzer-Einschreibung nutzen.

Profilbasierte Benutzer-Einschreibung (bis macOS 14)

Der Einschreibungslink der angelegten Benutzer-Einschreibung wird an den jeweiligen Schüler oder Mitarbeiter gesendet. Über den Link wird die Einschreibung auf dem Mac unter Verwendung des verwalteten Apple Accounts des Benutzers durchgeführt, und das Gerät erscheint automatisch im Geräte-Inventar der entsprechenden Relution-Organisation.