Styr På Apple-Enheder: DEP, ABM og MDM Forklaret

I en verden, hvor fjernarbejde er blevet normen, og virksomheder i stigende grad udstyrer deres medarbejdere med mobile enheder, er effektiv administration af Apple-produkter som iPhones, iPads og Macs mere kritisk end nogensinde. Men hvordan sikrer man, at disse enheder er korrekt opsat, sikre og lette at styre, især når de sendes direkte til medarbejdere uden for kontoret? En af de største udfordringer er at skelne mellem en enhed, der er klar til automatisk, strømlinet udrulning (kendt som DEP- eller ABM-enheder), og en standardenhed. Denne artikel vil dykke ned i de tekniske aspekter af Apple Device Enrollment Program (DEP), Apple Business Manager (ABM), Mobile Device Management (MDM) og give dig den viden, du har brug for til at navigere i denne komplekse, men afgørende, verden.

Hvad er DEP, MDM og ABM/ASM? En Oversigt

For at forstå den moderne Apple-enhedsadministration er det essentielt at kende de centrale begreber. Lad os starte med en hurtig gennemgang:

• DEP (Device Enrollment Program): Dette var Apples oprindelige program til automatiseret enhedstilmelding. Det gjorde det muligt for virksomheder at købe Apple-enheder og automatisk tilmelde dem i deres MDM-løsning ved første opstart, hvilket sikrede en "zero-touch" implementering. DEP er nu blevet erstattet af Apple Business Manager og Apple School Manager.
• MDM (Mobile Device Management): En MDM-løsning er software, der giver virksomheder mulighed for at fjernadministrere, konfigurere og sikre mobile enheder. Dette inkluderer alt fra installation af apps, opsætning af Wi-Fi og VPN, til implementering af sikkerhedspolitikker og fjernsletning af data ved tab eller tyveri. En MDM er rygraden i enhver effektiv enhedsadministration.
• ABM (Apple Business Manager) & ASM (Apple School Manager): Disse er Apples nuværende webbaserede portaler, der erstatter DEP og Volume Purchasing Program (VPP). De fungerer som et centralt knudepunkt for virksomheder (ABM) og uddannelsesinstitutioner (ASM) til at købe, tildele og administrere Apple-enheder og apps. ABM/ASM integreres problemfrit med din MDM-løsning, hvilket muliggør den automatiske enhedstilmelding, der tidligere var kendt fra DEP.

Disse begreber er afgørende, fordi de arbejder sammen om at give virksomheder fuld kontrol over deres Apple-hardware. I dag er det især Apple Business Manager i kombination med en MDM-løsning, der er hjørnestenen for effektiv enhedsadministration.

Hvordan Identificerer Man en DEP/ABM-enhed Før Opstart?

Det er et almindeligt problem: nye enheder ankommer, men man er usikker på, om de er forhåndstilmeldt ABM og dermed klar til automatisk udrulning. Dette er særligt relevant, når enheder sendes direkte til medarbejdere, og man ønsker at undgå manuel tilmelding.

Den mest pålidelige metode til at identificere en DEP/ABM-enhed, før den overhovedet tændes, er gennem dens serienummer.

1. Tjek serienummeret i Apple Business Manager (ABM):
   • Hver Apple-enhed har et unikt serienummer. Når en enhed købes gennem en autoriseret Apple-forhandler, eller direkte fra Apple, kan den automatisk registreres i din virksomheds ABM-konto.
   • Log ind på din ABM-portal (business.apple.com).
   • Naviger til sektionen "Enheder".
   • Søg efter enhedens serienummer. Hvis enheden er registreret i ABM, vil den dukke op her, og du vil kunne se, hvilken MDM-server den er tildelt (eller kan tildeles).
   • Hvis enheden ikke vises i ABM, er den enten ikke købt gennem en godkendt kanal, eller den er endnu ikke blevet tildelt din ABM-konto af forhandleren.
2. Fysisk inspektion af emballage: Nogle forhandlere eller Apple selv kan inkludere en note eller et mærkat på emballagen, der indikerer, at enheden er en del af en DEP/ABM-ordre. Dette er dog ikke en standardmetode og bør ikke være din primære måde at identificere enheder på.

Ved at tjekke serienummeret i ABM får du en klar indikation af, om enheden er en "ægte" ABM-enhed, der er klar til zero-touch implementering. Denne proces er afgørende for at undgå fejl og sikre, at enhederne opsættes korrekt fra starten.

Hvad Sker der, hvis "Fjernstyring" ikke Vises under Opsætning?

Når en ABM-enhed tændes for første gang, og den har en aktiv internetforbindelse, vil den kontakte Apples aktiveringsservere. Hvis enheden er tildelt din MDM-løsning via ABM, vil den under opsætningsprocessen vise skærmen "Fjernstyring" (eller "Remote Management" på engelsk). Dette indikerer, at enheden er genkendt som en virksomhedsenhed og er ved at tilmelde sig din MDM.

Hvis "Fjernstyring"-skærmen IKKE vises: Dette er et kritisk tegn på, at noget er galt. Det kan skyldes flere ting:

• Enheden er ikke registreret i ABM.
• Enheden er registreret i ABM, men er ikke tildelt din specifikke MDM-server.
• Der er et problem med internetforbindelsen.
• Din MDM-løsning har et problem med at kommunikere med Apple eller håndtere tilmeldingen.

I sådanne tilfælde bør en tekniker ikke fortsætte med en brugerinitieret tilmelding. I stedet bør processen stoppes, og enheden skal undersøges via serienummeret i ABM for at diagnosticere problemet.

Brugerinitieret Tilmelding vs. Prestage-tilmelding (Zero-Touch): Hvad er Forskellen?

Forståelsen af disse to tilmeldingsmetoder er afgørende for sikkerhed og effektivitet i din virksomhed.

Hvorfor er brugerinitieret tilmelding et problem for ABM-enheder?

Hvis en ABM-enhed opsættes via brugerinitieret tilmelding i stedet for den automatiske Prestage-tilmelding, opstår der flere problemer:

• Manglende Supervision: Enheder tilmeldt via ABM bliver automatisk superviseret. Supervision er en afgørende tilstand, der giver MDM-løsningen et meget højere niveau af kontrol over enheden. Uden supervision kan MDM'en ikke udføre visse kritiske handlinger (f.eks. forhindre fjernelse af MDM-profilen, tvinge opdateringer, eller begrænse visse indstillinger). En brugerinitieret tilmelding vil normalt ikke resultere i en superviseret enhed, hvilket kompromitterer sikkerheden og styringen.
• Sikkerhedsrisiko: Uden supervision kan en medarbejder potentielt fjerne MDM-profilen fra enheden, hvilket fjerner den fra virksomhedens styring og sikkerhedspolitikker. Dette åbner døren for datalækage og uautoriseret brug.
• Gentagelse af arbejdet: Hvis en enhed nulstilles, og den oprindeligt blev Prestage-tilmeldt, vil den automatisk forsøge at tilmelde sig MDM igen. Hvis den blev brugerinitieret tilmeldt, skal processen gentages manuelt, hvilket er ineffektivt og tidskrævende.

Konklusionen er klar: For enheder, der er kvalificerede til ABM, er Prestage-tilmelding den eneste anbefalede metode. Den sikrer maksimal kontrol, sikkerhed og en strømlinet udrulningsproces.

Apples Administrationsløsninger: Fra DEP til Apple Business Manager

Som nævnt tidligere har Apple løbende udviklet deres administrationsværktøjer for virksomheder. Det oprindelige Device Enrollment Program (DEP) var en revolutionerende start, der introducerede konceptet om zero-touch udrulning. Men Apple indså behovet for en mere omfattende og centraliseret løsning, hvilket førte til lanceringen af Apple Business Manager (og Apple School Manager for uddannelsesinstitutioner) i 2018-2019.

ABM er mere end blot en erstatning for DEP; det er en samlet portal, der kombinerer:

• Enhedstilmelding: Automatisk tilmelding af enheder købt direkte fra Apple eller autoriserede forhandlere til din MDM-løsning.
• App- og bogdistribution (VPP-funktionalitet): Centraliseret køb og distribution af apps og bøger i stor skala, uanset om det er betalte apps eller interne, brugerdefinerede apps.
• Administrerede Apple ID'er: Mulighed for at oprette og administrere Apple ID'er for medarbejdere, der er knyttet til din organisation, hvilket giver mere kontrol over data og tjenester.

Når ABM integreres med en MDM-løsning som Jamf Pro, Microsoft Intune eller lignende, opnår virksomheder en uovertruffen grad af kontrol og automatisering. MDM'en fungerer som hjerne, der modtager information fra ABM om nye enheder og derefter anvender de foruddefinerede konfigurationer, apps og sikkerhedspolitikker. Dette inkluderer:

• Fjernsletning eller låsning af mistede/stjålne enheder.
• Tvinge enhedskryptering og adgangskodekompleksitet.
• Distribuere og opdatere apps automatisk.
• Konfigurere Wi-Fi, VPN og e-mail-konti.
• Begrænse adgang til visse funktioner eller apps.
• Overvåge enhedsstatus og compliance.

Denne synergi mellem ABM og MDM er essentiel for moderne virksomheder, der ønsker at optimere deres IT-ressourcer, forbedre sikkerheden og give medarbejderne de værktøjer, de har brug for, uanset hvor de arbejder fra.

Sådan Tildeler du Enheder til DEP/ABM – Inklusive Ældre Enheder

Den mest ligefremme måde at tildele enheder til ABM er ved at købe dem direkte fra Apple eller en autoriseret forhandler, der kan registrere dem i din ABM-konto ved købstidspunktet. Du giver dem blot dit ABM-organisations-ID, og enhederne dukker automatisk op i din portal.

Men hvad gør man med ældre enheder, eller enheder købt uden for de traditionelle kanaler? Her kommer Apple Configurator 2 (AC2) ind i billedet.

Tildeling via Apple Configurator 2 (AC2)

AC2 er et gratis macOS-værktøj, der giver dig mulighed for manuelt at tilføje enheder til din ABM-konto. Dette er utroligt nyttigt for enheder, der ikke oprindeligt blev købt via ABM-kompatible kanaler. Processen kræver en Mac-computer og følger disse trin:

1. Forbered enhederne:
   • Enhederne vil blive fuldstændig slettet, så sørg for at tage backup, hvis nødvendigt.
   • Fjern enhver "Find My" (Find min iPhone/iPad/Mac) aktiveringslås fra enhederne. De må ikke være tilknyttet en personlig Apple ID.
2. Forbered MDM-tilmeldingsprofilen:
   • I din MDM-løsning (f.eks. Jamf Pro eller Intune) skal du oprette en "Apple Configurator" tilmeldingsprofil. De specifikke indstillinger er ikke superkritiske her, da det primære formål er at generere en URL.
   • Eksporter profil-URL'en. Denne URL er det, AC2 bruger til at "fortælle" enheden, hvilken MDM-server den skal tilmeldes.
3. Konfigurer enhederne med Apple Configurator 2:
   • Tilslut de enheder, du vil tilmelde, til din Mac med AC2 åben.
   • Vælg de tilsluttede enheder, og klik på "Forbered".
   • Vælg "Manuel konfiguration" og sæt flueben ved "Føj til Apple School Manager eller Apple Business Manager".
   • Følg guiden:
     • Tilføj en ny MDM-server ved at indsætte den URL, du kopierede fra din MDM-løsning.
     • Log ind med det Apple ID, der er tilknyttet din ABM-konto.
     • Opret en ny "supervision identity" (supervisionsidentitet).
     • Vælg eventuelle trin, du ønsker at skjule under opsætning (disse vil dog blive overskrevet af din Prestage-profil senere).
     • Du kan også tilføje en Wi-Fi-profil, som enheden kan bruge under aktivering.
   • Bekræft sletning af enhederne, hvis de allerede er opsat.
4. Tildel enhederne i Apple Business Manager:
   • Log ind på din ABM-portal.
   • Gå til "Indstillinger" > "MDM-servere". Du vil se en ny server kaldet "Apple Configurator 2".
   • Klik på denne server, og derefter "Vis enheder".
   • Rediger enhedsadministrationen og tildel enhederne til din primære MDM-server (f.eks. den, der er forbundet med Jamf Pro eller Intune).
5. Synkroniser MDM-løsningen:
   • Gå tilbage til din MDM-løsning (f.eks. under "Tilmeldingstokens" eller "Enhedsprogramtokens").
   • Udfør en synkronisering. De ny-tilmeldte enheder fra AC2 vil nu dukke op i din MDM.
   • Du kan nu tildele dem en Prestage-tilmeldingsprofil i din MDM, og når enhederne genstartes, vil de gennemgå den automatiske ABM/MDM-tilmeldingsproces.

Vigtig note om "Forlad Fjernstyring": Enheder, der er tilføjet til ABM via Apple Configurator 2, vil vise en mulighed for "Forlad Fjernstyring" (eller "Leave Remote Management") på selve enheden i de første 30 dage. Denne mulighed fjerner enheden fra ABM og sletter den. Efter 30 dage forsvinder denne mulighed, og enheden er permanent tildelt ABM.

Ofte Stillede Spørgsmål om DEP, ABM og MDM

Kan jeg bruge en gammel DEP-enhed med en ny MDM?

Ja, så længe enheden stadig er registreret i din Apple Business Manager-konto og tildelt din nye MDM-server. Du skal muligvis nulstille enheden for at udløse Prestage-tilmeldingen.

Hvad hvis en DEP/ABM-tilmelding fejler?

Først, tjek enhedens serienummer i Apple Business Manager for at sikre, at den er korrekt tildelt din MDM-server. Dernæst, kontroller internetforbindelsen på enheden. Endelig, tjek loggene i din MDM-løsning for at se, om der er fejlmeddelelser relateret til tilmeldingen. Ofte kan en nulstilling af enheden løse problemet, hvis det var en midlertidig fejl.

Er det muligt at konvertere en ikke-DEP/ABM-enhed til en ABM-enhed?

Ja, absolut! Dette er præcis formålet med Apple Configurator 2-metoden beskrevet ovenfor. Du kan tilføje eksisterende enheder til din ABM-konto, selvom de ikke oprindeligt blev købt via en godkendt ABM-forhandler. Husk, at enheden vil blive slettet under processen.

Hvad er fordelene ved Supervision?

Supervision giver din organisation et meget højere niveau af kontrol over Apple-enheder. Det muliggør funktioner som:

• Forhindre brugere i at fjerne MDM-profilen.
• Installere apps uden brugerinteraktion.
• Deaktivere specifikke funktioner (f.eks. AirDrop, iMessage, Game Center).
• Tvinge softwareopdateringer.
• Fjernstyre enheden (f.eks. låse, slette).
• Implementere strengere sikkerhedspolitikker.

Kort sagt, supervision er afgørende for at opnå robust sikkerhed og effektiv administration af virksomhedsejede Apple-enheder.

Kan Apple Business Manager/MDM administrere Android-enheder?

Nej. Apple Business Manager er specifikt designet til at administrere Apple-hardware og -software. Selvom mange MDM-løsninger understøtter både Apple- og Android-enheder, er ABM udelukkende til Apples økosystem. For Android-enheder skal du bruge Android Enterprise-programmer, som typisk integreres med den samme MDM-løsning.

Konklusion

Effektiv administration af Apple-enheder er en kompleks, men nødvendig opgave for moderne virksomheder. Ved at forstå og udnytte potentialet i Apple Business Manager og en robust Mobile Device Management-løsning kan du strømline udrulningen, øge sikkerheden og give dine medarbejdere de bedst mulige værktøjer.

Husk altid at tjekke enhedens serienummer i ABM for at identificere en "ægte" ABM-enhed, og insister på Prestage-tilmelding for at opnå den afgørende supervision og automatiske styring. Hvis du har ældre enheder, der skal indlemmes i dit ABM-miljø, er Apple Configurator 2 dit bedste værktøj. Ved at følge disse principper kan du sikre, at dine Apple-enheder er en styrke, ikke en administrativ byrde, for din organisation.

Hvis du vil læse andre artikler, der ligner Styr På Apple-Enheder: DEP, ABM og MDM Forklaret, kan du besøge kategorien Teknologi.