Nastavení MDM s Apple Business Managerem

Nastavte Redamp.io MDM pro iPhony a iPady s Apple Business Managerem, od účtu Apple a push certifikátu po serverový token MDM a domény pro pracovní účty.

Tento návod vás jako administrátora firmy provede nastavením MDM pro iPhony a iPady s Apple Business Managerem. Apple Business Manager rozšiřuje možnosti Základního MDM  o registraci bez zásahu (ADE), osobní zařízení s pracovním účtem (BYOD), firemní zařízení s pracovním účtem (ADDE) a zařízení pod dohledem.

Nastavení probíhá ve třech fázích: připravíte firemní Apple ID, v konzoli projdete průvodce Nastavení MDM a nakonec dokončíte zbývající nastavení v záložce Apple Business. Už používáte Základní MDM? Přejděte rovnou na část Pozdější propojení Apple Business Manageru .

Neznáte některé pojmy na této stránce? Vysvětluje je část Klíčové pojmy .

Poznámka: Apple nyní pro Apple Business Manager používá název „Apple Business“. Oba názvy označují stejný portál na business.apple.com .

Než začnete

Připravte si:

• Administrátorský přístup do konzole Redamp.io.
• Zapnuté MDM pro vaši organizaci (viz Otevření nastavení MDM ).
• Organizaci zaregistrovanou v Apple Business Manageru a ověřenou Applem. V Apple Business Manageru potřebujete účet s rolí Organization Administrator nebo IT Administrator. Nové podmínky Applu může přijmout jen Organization Administrator (viz Oprava nefunkčního propojení ). Vaše organizace v Apple Business Manageru ještě není? Zaregistrujte ji na business.apple.com  a postupujte podle příručky Applu Apple Business Manager User Guide . Ověření u Applu může trvat několik pracovních dní.
• Firemní Apple ID založené na obecné firemní adrese, které použijete pro push certifikát (viz Část 1 ).
• Pro BYOD a ADDE: e-mailovou doménu vaší firmy ověřenou v Apple Business Manageru a přístup k webovému serveru této domény (viz Část 4 ).

Část 1 - Připravte si firemní Apple ID

Push certifikát, který získáte v Části 2 , je vázaný na jedno Apple ID. Každý rok ho budete obnovovat pod tímto Apple ID.

• Zvolte obecnou firemní adresu, například [email protected] nebo [email protected].
• Založte pro ni Apple ID na account.apple.com , nebo použijte Apple ID, které už máte. Nemusí jít o Managed Apple Account.
• Zajistěte, aby přístup k této adrese zůstal ve firmě, a nikdy nepoužívejte osobní Apple ID konkrétního člověka.

Důležité: Pokud k tomuto Apple ID ztratíte přístup, MDM už neobnovíte a všechna zařízení se budou muset zaregistrovat znovu.

Část 2 - Projděte průvodce nastavením MDM

Otevření nastavení MDM

V konzoli přejděte do MDM → iOS + iPadOS. Co se zobrazí, záleží na tom, v jakém stavu je MDM ve vaší organizaci:

• Chcete spravovat firemní mobilní zařízení? - MDM pro vaši organizaci ještě není zapnuté. Klikněte na Požádat o přístup k MDM a ozveme se vám, jakmile bude zapnuté.
• Nastavit MDM - MDM je zapnuté, ale ještě není nastavené. Klikněte na Nastavení MDM a otevře se průvodce.
• Konzole MDM s vašimi zařízeními - MDM už je nastavené. Postup, jak přidat Apple Business Manager, najdete v části Pozdější propojení Apple Business Manageru .

Zvolte Apple Business Manager

Průvodce se zeptá Používáte Apple Business Manager? Vyberte Apple Business Manager a klikněte na Pokračovat.

Tato otázka se zobrazí, jen když je Apple Business Manager pro vaši organizaci dostupný. Pokud průvodce místo této otázky začne rovnou žádostí o podpis certifikátu, kontaktujte nás na [email protected] .

Důležité: Propojený Apple Business Manager už od MDM nelze odpojit.

Vygenerujte žádost o podpis certifikátu

Apple doručuje každý příkaz MDM přes svou push službu. Abyste ji mohli používat, potřebujete push certifikát. Apple ho vydá na základě žádosti o podpis certifikátu (CSR), kterou si stáhnete v tomto kroku.

1. Připravte si firemní Apple ID. Použijte Apple ID z Části 1 . Klikněte na Pokračovat.
2. Zadejte připravené Apple ID. Vyplňte jeho e-mailovou adresu a klikněte na Pokračovat.
3. Stáhněte žádost o podpis certifikátu. Klikněte na Stáhnout CSR. Soubor PushCertRequest_RedampMDM.csr se uloží do počítače.

Nahrajte push certifikát

Teď necháte Apple vydat certifikát na základě CSR. Video ukazuje celý postup od začátku do konce:

1. Otevřete Apple Push Certificates Portal  a přihlaste se pomocí Apple ID z Části 1.
2. Klikněte na Create a Certificate a přijměte podmínky používání od Applu.
3. Klikněte na Choose File, vyberte PushCertRequest_RedampMDM.csr a klikněte na Upload.
4. Klikněte na Download vedle nového certifikátu. Získáte soubor .pem.
5. Vraťte se do průvodce, přetáhněte soubor do pole Push certifikát (.pem, .crt nebo .cer) a klikněte na Nahrát push certifikát.

Push certifikát platí jeden rok. Postup obnovení najdete v článku Obnovení push certifikátu .

Rozhodněte, zda se má instalovat Redamp.io

Tento krok se zobrazí, jen pokud Redamp pro vaši organizaci povolil párování aplikace. Když je volba Instalovat aplikaci Redamp.io a propojit zařízení zapnutá, MDM nainstaluje aplikaci Redamp.io do spravovaných zařízení a každé z nich propojí s ostatními službami Redampu.

Tuto volbu nastavujete jen jednou. Později ji může změnit jen podpora Redampu, proto doporučujeme nechat ji zapnutou. Klikněte na Pokračovat.

Do zařízení ADE, BYOD a ADDE se aplikace nainstaluje jen s licencí z Aplikací a knih. Po dokončení nastavení proto přidejte Redamp.io do své knihovny, viz Instalace aplikací z App Storu přes Aplikace a knihy . Podrobnosti najdete v článku Párování Redamp.io se spravovanými zařízeními .

Stáhněte veřejný certifikát

Klikněte na Stáhnout certifikát. Tento certifikát zabezpečuje spojení mezi Applem a serverem MDM. Klikněte na Pokračovat.

Přidejte server MDM v Apple Business Manageru a nahrajte token

Nechte průvodce otevřený a přepněte do Apple Business Manageru .

1. Přejděte do Devices → Management Services a klikněte na Add vedle Add device management service.

2. Vyberte Connect external device management a klikněte na Continue.

3. Zadejte název služby, například Redamp.io MDM.
4. Volbu Allow this service to release devices zaškrtněte, jen pokud chcete, aby tento server MDM mohl uvolňovat zařízení z vaší organizace.
5. Klikněte na Upload Certificate, vyberte právě stažený veřejný certifikát (ManagementServiceRequest_RedampMDM.pem) a klikněte na Next.

6. Klikněte na Download Service Token a pak na Done. Získáte šifrovaný soubor .p7m. Token si můžete později stáhnout znovu.

7. Vraťte se do průvodce, nahrajte soubor do pole Serverový token a klikněte na Nahrát token.

Ověření, že Apple token přijal

Průvodce zobrazí, zda Apple token přijal. Počkejte, až se objeví Apple Business Manager je propojen. Pokud Apple token odmítne, vraťte se o krok zpět a nahrajte token, který Apple přijme.

Serverový token platí jeden rok. Postup obnovení najdete v článku Obnovení serverového tokenu ABM .

Dokončete průvodce

Poslední krok průvodce vypíše, co je ještě potřeba nastavit:

• Výchozí registrační profil
• Ověřená doména pro BYOD a ADDE
• Licence Redamp.io z Aplikací a knih, pokud máte zapnuté párování Redamp.io

Klikněte na Zobrazit v záložce Apple Business Manager a pokračujte částí 3 .

Část 3 - Připravte registraci bez zásahu (zero-touch)

1. Vytvořte výchozí registrační profil. V MDM → iOS + iPadOS → Apple Business přidejte profil v Registrační profily. Dokud výchozí profil neexistuje, žádné zařízení, které Apple pošle, se nemůže zaregistrovat. Viz Registrace ADE .
2. Přiřaďte zařízení k Redamp.io MDM. V Apple Business Manageru přejděte do Devices → Management Services → Default Device Assignment, vyberte tuto službu pro iPhone a iPad a klikněte na Save. To platí pro zařízení přidaná od této chvíle. Zařízení, která už máte, přiřadíte v Devices → Inventory přes Assign Device Management.

Část 4 - Nastavte pracovní účty pro BYOD a ADDE

Zařízení BYOD a ADDE se zaregistrují, když se uživatel v Nastavení iOS přihlásí pracovním účtem (Managed Apple Account). Aby to fungovalo, musíte na své e-mailové doméně nastavit dvě samostatné věci:

Potřebujete obojí, jedno nenahradí druhé.

Ověřte doménu a vytvořte pracovní účty u Applu

1. V Apple Business Manageru přejděte do Settings → Domains a klikněte na + vedle Domains.

2. Zadejte svou doménu ve formátu example.com a klikněte na Done.

3. Klikněte na Verify a záznam TXT zkopírujte přes Copy. Vypadá přibližně takto: apple-domain-verification=....
4. Přidejte záznam do DNS své domény a klikněte na Check Now. Na dokončení máte 14 dní.
5. Vytvořte na této doméně pracovní účty pro své uživatele. Přidejte je ručně v People, nebo na stejné stránce v části User sign-in and directory sync klikněte na Connect a připojte Microsoft Entra ID nebo Google Workspace. Stávající účty pak můžete použít pro přihlášení nebo je synchronizovat.

BYOD vyžaduje iOS nebo iPadOS 15 či novější, ADDE iOS nebo iPadOS 17 či novější.

Přidejte doménu pro pracovní účty v konzoli

1. Přejděte do MDM → iOS + iPadOS → Apple Business a najděte kartu Domény pro pracovní účty.
2. Klikněte na Přidat doménu.
3. Zadejte samotnou doménu, například example.com, bez https://, portu a cesty. Klikněte na Pokračovat.

Nastavte přesměrování jedné cesty

Průvodce zobrazí dvě adresy: Na vaší doméně (https://<your domain>/.well-known/com.apple.remotemanagement) a Přesměrovat na (váš server MDM). Na serveru nemusíte nic hostovat. Na svém webovém serveru přesměrujte první adresu na druhou:

• Funguje trvalé (301) i dočasné (302) přesměrování.
• Přesměrování musí běžet přes HTTPS na portu 443.
• Přesměrování musí zachovat query string, tedy část adresy za ?. Bez něj ADDE nefunguje a každé zařízení se zaregistruje jako BYOD.

Až bude přesměrování funkční, klikněte na Ověřit. Jakmile doména správně ukazuje na server MDM, označí se jako Ověřeno. Průvodce můžete také zavřít a doménu ověřit později tlačítkem Ověřit znovu na kartě.

Tip: Pokud kontrola hlásí BYOD funguje, pro ADDE je potřeba upravit přesměrování, vaše přesměrování nezachovává query string. V nginx například doplňte na konec cílové adresy $is_args$args: return 302 <Redirect to address>$is_args$args;. Pak doménu ověřte znovu.

Zvolte typ registrace

Pro každou ověřenou doménu zvolte Typ registrace:

• Osobní zařízení (BYOD) - výchozí volba. Na zařízení se spravují jen pracovní data.
• Firemní zařízení (ADDE) - zařízení bude plně spravované. Vyžaduje přesměrování, které zachovává query string.
• Podle typu zařízení… - iPhone a iPad nastavíte zvlášť.

Důležité: Při ADDE bude plně spravovaný každý iPhone nebo iPad, na kterém se někdo přihlásí pracovním účtem z této domény, a to včetně osobních zařízení zaměstnanců. Uvidíte sériové číslo zařízení i všechny jeho aplikace a můžete ho kompletně vymazat. Před zapnutím ADDE vás konzole požádá o potvrzení.

Pozdější propojení Apple Business Manageru

Už používáte Základní MDM ? Kdykoli ho můžete rozšířit o Apple Business Manager. Pozvánky budou fungovat dál.

1. Zaregistrujte svou organizaci v Apple Business Manageru (viz Než začnete ).
2. V MDM → iOS + iPadOS klikněte na Propojit Apple Business Manager.
3. Přečtěte si informace v okně Rozšířit MDM o Apple Business Manager a klikněte na Rozšířit natrvalo. Tento krok nelze vrátit zpět.
4. Pokračujte krokem Stáhněte veřejný certifikát  v Části 2 a potom Částí 3  a Částí 4 .

Oprava nefunkčního propojení

Když Apple Business Manager přestane fungovat, konzole MDM zobrazí červený banner, například Apple Business Manager nefunguje: nebyly přijaty aktualizované podmínky Apple.

Kliknutím na Opravit propojení v banneru otevřete kroky průvodce pro Apple Business Manager. Projděte je tlačítkem Pokračovat. Nový token nahrajte, jen pokud to podle tabulky výše potřebujete. V kroku Ověření, že Apple token přijal klikněte na Ověřit znovu.

Důležité: Při opravě propojení neklikejte na Přesto vygenerovat nový certifikát. S novým certifikátem už nepůjde uložený token přečíst a službu v Apple Business Manageru budete muset propojit znovu.

Co dál

• Typy registrace  - pro které zařízení se hodí který typ.
• Registrace ADE  - zařízení z Apple Business Manageru bez zásahu.
• Instalace aplikací z App Storu přes Aplikace a knihy  - licence k aplikacím z App Storu. Bez nich zařízení ADE, BYOD a ADDE nedostanou žádné aplikace z App Storu.
• Konfigurace a politiky  - nastavení a aplikace pro vaše zařízení.
• Příkazy  - zamknutí, vymazání a další vzdálené akce.
• Obnovení push certifikátu  a Obnovení serverového tokenu ABM  - jednou ročně.
• Návody pro vaše uživatele: registrace ADE , BYOD  a ADDE .

Pokud se něco zasekne, kontaktujte nás přes kontaktní formulář nebo na [email protected] .