Firemní iPhone, který zaměstnanec vybalí z krabice, zapne a během pár minut má v telefonu firemní e-mail, Teams, Wi-Fi i všechna bezpečnostní pravidla – bez toho, aby ho technik vůbec držel v ruce. Přesně to umožňuje kombinace Apple Business Manager a Microsoft Intune. V tomto článku vysvětlíme, jak správa firemních iPhonů přes Apple Business Manager a Intune funguje, co k ní malá firma potřebuje, jak ji nastavit krok za krokem a na které termíny se nesmí zapomenout, aby se správa jednoho dne nerozpadla.

Proč firemní iPhony spravovat centrálně

V mnoha malých firmách vypadá výdej služebního telefonu stejně: někdo z kanceláře telefon zapne, přihlásí se svým nebo nově založeným Apple ID, nainstaluje Outlook a předá ho dál. Funguje to – až do chvíle, kdy zaměstnanec odejde, telefon ztratí nebo ho vrátí zamčený vlastním účtem.

Typické problémy bez centrální správy:

• Zámek aktivace. Telefon zůstane svázaný s osobním Apple ID odcházejícího zaměstnance a firma ho bez jeho hesla nemůže znovu použít.
• Žádný přehled. Nikdo neví, kolik telefonů firma má, kdo je používá a jestli mají aktuální systém.
• Firemní data bez ochrany. E-maily a dokumenty jsou v telefonu bez povinného kódu, bez možnosti vzdáleného vymazání a často i v soukromých aplikacích.
• Ruční práce. Každý nový telefon znamená hodinu nastavování a každá změna pravidel obejití všech zaměstnanců.

Americký standardizační institut NIST v doporučení SP 800-124 Rev. 2 pro správu mobilních zařízení ve firmách uvádí centrální správu (MDM) jako základ zabezpečení mobilů. Telefon je dnes plnohodnotný pracovní počítač s přístupem k e-mailu, souborům i bankovnictví a podle toho by se k němu měla firma chovat.

Apple Business Manager a Intune: kdo co dělá

Správa firemních iPhonů stojí na dvou službách, které se navzájem doplňují:

• Apple Business Manager (ABM) je bezplatný portál Applu pro firmy. Eviduje, která zařízení firmě patří, umožňuje hromadný nákup aplikací a vytváření spravovaných firemních účtů Apple. Sám ale telefony nenastavuje.
• Microsoft Intune je systém pro správu zařízení (MDM), který na telefony posílá nastavení, aplikace a bezpečnostní pravidla. Pokud ho už používáte pro počítače s Windows, iPhony spravujete ve stejné konzoli.

Propojení funguje takto: v ABM určíte, že všechna firemní zařízení má spravovat Intune. Když pak kdokoli zapne nový nebo vymazaný iPhone, telefon se už při prvním spuštění sám ozve Applu, zjistí, že patří vaší firmě, a automaticky se zaregistruje do Intune. Tomuto procesu se říká automatická registrace zařízení (Automated Device Enrollment, ADE, dříve DEP).

Co získáte oproti ruční registraci

iPhone jde do Intune zaregistrovat i ručně přes aplikaci Portál společnosti. Automatická registrace přes ABM ale přináší výhody, které ruční cesta nenabízí:

• Režim pod dohledem (supervised). Firma má nad telefonem plnou kontrolu – může tiše instalovat aplikace, zakázat vybrané funkce, vynutit aktualizace systému nebo zamknout telefon do jediné aplikace. Podle dokumentace Applu k režimu pod dohledem jsou některá nastavení dostupná jen u takto spravovaných zařízení.
• Správu nejde odebrat. Zaměstnanec nemůže v nastavení telefonu jednoduše smazat profil správy. A protože je zařízení evidované v ABM, po vymazání se do Intune vrátí znovu samo.
• Řešení zámku aktivace. U telefonů pod dohledem umí Intune zámek aktivace obejít, takže vrácený telefon můžete předat dalšímu kolegovi.
• Nastavení bez technika. Telefon můžete poslat zaměstnanci přímo od prodejce zapečetěný. Vše ostatní proběhne při prvním zapnutí.

Co budete potřebovat

Před samotným nastavením si připravte:

• Účet v Apple Business Manager. Registrace je zdarma na business.apple.com. Apple ověřuje firmu podle čísla D-U-N-S, které si lze zdarma vyžádat. Ověření obvykle trvá několik dní, s registrací proto začněte s předstihem.
• Licenci Intune. Microsoft Intune Plan 1 je součástí Microsoft 365 Business Premium, takže většina malých firem už ho má. Přehled o tom, co Intune umí, najdete v článku Microsoft Intune pro malé firmy.
• Telefony koupené přes firmu. Aby se zařízení v ABM objevila automaticky, musí být koupena přímo od Applu nebo u autorizovaného prodejce či operátora, který je do programu zapojený. Prodejci sdělíte své ID organizace v ABM a on vám zařízení přiřadí. Telefony koupené jinde lze do ABM doplnit ručně přes aplikaci Apple Configurator, ale je to pracnější.
• Firemní Apple účet pro správu. Vytvořte jeden sdílený účet (například na adrese [email protected]), pod kterým budete vytvářet certifikáty. Nepoužívejte osobní Apple ID žádného zaměstnance.

Nastavení krok za krokem

Postup pro firmu s několika až desítkami iPhonů. Počítejte zhruba s půl dnem práce, nepočítáme-li čekání na ověření účtu v ABM.

1. Vytvořte certifikát Apple MDM push

Bez tohoto certifikátu Intune nemůže s žádným zařízením Apple komunikovat. V centru pro správu Intune otevřete Zařízení › Registrace › Apple › Certifikát Apple MDM push, stáhněte žádost, nahrajte ji na portálu Apple Push Certificates a vzniklý certifikát vložte zpět do Intune. Podrobný postup popisuje návod Microsoftu k certifikátu MDM push. Certifikát vytvářejte pod firemním účtem z předchozí kapitoly.

2. Propojte Intune s Apple Business Manager

V Intune vytvořte token pro automatickou registraci: stáhnete veřejný klíč, v ABM přidáte nový MDM server a nahrajete do něj klíč. ABM vrátí soubor tokenu, který nahrajete zpět do Intune. V nastavení ABM pak zvolte Intune jako výchozí server pro iPhony a iPady, aby se k němu každé nově koupené zařízení přiřadilo automaticky.

3. Vytvořte registrační profil

Registrační profil určuje, co se stane při prvním zapnutí telefonu. Doporučené nastavení pro malou firmu:

• Spřažení s uživatelem zapnuté a ověření přes Průvodce nastavením s moderním ověřováním – zaměstnanec se přihlásí svým firemním účtem Microsoft 365 včetně vícefaktorového ověření.
• Režim pod dohledem zapnutý (u nových profilů je výchozí).
• Uzamčená registrace zapnutá, aby uživatel nemohl správu odebrat.
• Vynechání zbytečných obrazovek Průvodce nastavením (například Apple Pay nebo Siri), ať je první spuštění rychlejší.

Všechny volby popisuje dokumentace Microsoftu k automatické registraci iOS/iPadOS. Profil nastavte jako výchozí pro token, aby se použil u každého nového zařízení.

4. Připravte aplikace přes Apps and Books

V ABM v sekci Aplikace a knihy „kupte” potřebné aplikace – Outlook, Teams, Microsoft Authenticator, OneDrive i placené aplikace. Token pro aplikace (VPP) nahrajte do Intune a aplikace přiřaďte s licencováním podle zařízení. Telefon pak aplikace dostane bez přihlašování do App Store. Obecně se nasazení aplikací věnuje článek nasazení aplikací přes Microsoft Intune.

5. Nastavte pravidla a konfiguraci

Připravte zásady dodržování předpisů (minimální verze iOS, povinný kód, zakázaný jailbreak) a konfigurační profily pro Wi-Fi, e-mail, omezení a aktualizace softwaru. Navázáním na podmíněný přístup zajistíte, že se k firemním datům dostane jen telefon, který pravidla splňuje.

6. Otestujte na jednom telefonu

Než telefony rozdáte, projděte celý proces na jednom kusu: zapnutí, přihlášení, instalaci aplikací a doručení pravidel. Teprve pak připravte stručný návod pro zaměstnance – stačí jedna strana s tím, jaké údaje budou při prvním spuštění potřebovat.

Co s telefony, které už ve firmě máte

Stávající iPhony koupené přes firmu se v ABM často objeví zpětně, když prodejce dodatečně přiřadí starší nákupy. Jinak je lze přidat přes Apple Configurator. V obou případech se ale automatická registrace spustí až po vymazání telefonu, protože probíhá při prvním zapnutí. Před vymazáním si se zaměstnancem zálohujte data, která chce zachovat.

U telefonů, které firmě nepatří, je situace jiná. Soukromý iPhone zaměstnance do ABM nepatří a nemá smysl ho dávat pod dohled. Pro tyto případy existuje registrace soukromých zařízení s odděleným pracovním prostorem a hlavně zásady ochrany aplikací, které chrání firemní data jen v aplikacích Microsoft 365. Více o pravidlech pro soukromá zařízení najdete v článku o BYOD politice ve firmě.

Na co nezapomenout: certifikáty a tokeny vyprší

Nejčastější a nejdražší chyba při správě iPhonů je zapomenutá obnova certifikátů. Platí tři pravidla:

• Certifikát MDM push platí rok. Pokud vyprší, Intune přestane se zařízeními Apple komunikovat. A pokud ho obnovíte pod jiným Apple účtem než původní, budete muset znovu zaregistrovat všechna zařízení. Obnovuje se vždy stávající certifikát, nikdy se nevytváří nový.
• Token pro automatickou registraci platí rok. Po vypršení se nová zařízení přestanou registrovat.
• Token pro aplikace (VPP) platí rok. Po vypršení nejde přidělovat nové licence aplikací.

Intune na blížící se konec platnosti upozorňuje v konzoli, ale do konzole se v malé firmě někdy týdny nikdo nepodívá. Dejte si proto všechna tři data do sdíleného kalendáře s připomínkou měsíc předem a zapište si, pod jakým účtem byly certifikáty vytvořeny.

Odchod zaměstnance a ztracený telefon

Centrální správa se nejvíc vyplatí ve chvíli, kdy se něco pokazí:

• Ztracený nebo ukradený telefon vzdáleně zamknete, zobrazíte na něm zprávu s kontaktem nebo ho úplně vymažete.
• Odchod zaměstnance vyřešíte vymazáním telefonu z Intune. Díky ABM se po vymazání znovu zaregistruje a je připravený pro dalšího kolegu. Podrobný postup celého odchodu popisuje článek offboarding zaměstnance v Microsoft 365.
• Zámek aktivace u telefonu pod dohledem vypnete akcí v Intune podle návodu k vypnutí zámku aktivace. Telefon tak nezůstane nepoužitelný, i když se k němu zaměstnanec přihlásil vlastním Apple účtem.
• Prodej nebo vyřazení telefonu dokončete vymazáním a odebráním zařízení z ABM, jinak by se novému majiteli registroval do vaší firmy.

Americká agentura CISA ve svých doporučeních pro zabezpečení mobilní komunikace zdůrazňuje i pravidelné aktualizace systému. Ty u telefonů pod dohledem vynutíte přes Intune, takže nemusíte spoléhat na to, že je zaměstnanci nainstalují sami.

Kolik to stojí a kdy si přizvat pomoc

Apple Business Manager je zdarma a Intune je v Microsoft 365 Business Premium. Malá firma tedy obvykle neplatí nic navíc kromě času na nastavení. Jednorázové nastavení zabere zhruba půl až jeden den, další telefon pak přidáte prakticky bez práce.

Pokud nechcete hlídat certifikáty, tokeny a pravidla sami, můžete správu předat externímu správci. V rámci správy IT pro firmy vám Apple Business Manager i Intune nastavíme, převedeme stávající telefony a postaráme se o každoroční obnovy.

Často kladené otázky

Je Apple Business Manager zdarma?

Ano. Apple Business Manager je bezplatná služba Applu pro firmy. Pro registraci potřebujete číslo D-U-N-S a ověření firmy, které trvá několik dní.

Potřebuje zaměstnanec na firemním iPhonu Apple ID?

Nemusí. Aplikace z Apps and Books se instalují s licencí přiřazenou zařízení, takže App Store účet není potřeba. Osobní Apple účet si zaměstnanec přidat může, firemní data ale zůstávají pod správou Intune.

Můžu přes Apple Business Manager spravovat i soukromé iPhony zaměstnanců?

Ne a ani to nedoporučujeme. ABM je určený pro zařízení ve vlastnictví firmy. Soukromé telefony chraňte zásadami ochrany aplikací nebo registrací soukromých zařízení, která odděluje pracovní data.

Co se stane, když vyprší certifikát MDM push?

Intune přestane se zařízeními Apple komunikovat a nebude na ně posílat pravidla ani příkazy. Pokud certifikát obnovíte pod stejným Apple účtem, správa se obnoví. Pod jiným účtem je nutné všechna zařízení znovu zaregistrovat.

Funguje stejný postup i pro iPady a Macy?

Ano. Apple Business Manager eviduje iPhony, iPady i Macy a Intune je umí automaticky registrovat. Pro iPady a Macy si jen vytvoříte samostatné registrační profily.

Shrnutí

Správa firemních iPhonů přes Apple Business Manager a Intune promění výdej telefonu z hodiny ruční práce na pár minut, které zvládne sám zaměstnanec. Zaregistrujte firmu v ABM, vytvořte certifikát MDM push pod firemním účtem, propojte ABM s Intune, nastavte registrační profil v režimu pod dohledem a doplňte aplikace a pravidla. Hlavně si zapište data obnovy certifikátů a tokenů. Chcete se správou firemních telefonů pomoci? Ozvěte se nám a nastavíme ji pro vaši firmu.