Apple-Geräte nachträglich zu DEP hinzufügen

Wofür wird Apple Configurator 2 verwendet?

Apple Configurator 2 ist eine kostenlose App, die im Mac App Store verfügbar ist. Mit der Anwendung lassen sich über USB verbundene Apple-Geräte manuell mit einem Mac konfigurieren bevor die Geräte an die Benutzer:innen ausgehändigt werden. Hierzu können sogenannte Profile erstellt und auf die Geräte eingespielt werden. Zudem ermöglicht es Apple Configurator 2 Apple-Geräte, die nicht von einem autorisierten Wiederverkäufer bereits dem Device Enrollment Program (DEP) zugeordnet wurden, nachträglich in DEP hinzuzufügen. Dieser Vorgang ist ausschließlich für iOS- und iPadOS sowie tvOS-Geräte möglich. macOS-Geräte müssen zwingend von einem autorisierten Wiederverkäufer gekauft werden, um von den Vorzügen der automatischen Einschreibung über DEP zu profitieren. Insgesamt empfiehlt es sich direkt DEP-Geräte zu beschaffen, da ein nachträgliches Hinzufügen mit einigen manuellen Schritten verbunden ist.

Welche Vorbereitungen sind notwendig, bevor ein Gerät nachträglich zu DEP hinzugefügt wird?

Damit Geräte automatisch eine Internetverbindung herstellen können und die nachträgliche Registrierung zu DEP möglichst komfortabel durchgeführt werden kann, empfiehlt es sich im Vorfeld ein WLAN-Profil anzulegen. Das WLAN-Profli kann auf dem Mac über den Menüpunkt „Ablage” -> “Neues Profil” -> “WLAN“ erstellt und dann als Datei gespeichert werden.

Wie lassen sich Apple-Geräte über den Apple Configurator 2 nachträglich hinzufügen?

Die Apple-Geräte müssen über ein USB-Kabel mit einem Mac verbunden werden auf dem anschließend der Apple Configurator 2 gestartet wird. Es erscheint folgender Dialog:

Das dargestellte Gerät mit der rechten Maustaste auswählen und „Vorbereiten…“ klicken. Im nächsten Schritt müssen folgende Optionen gewählt werden:

• Zu Apple Business Manager (Firmenkunden) oder Apple School Manager (Bildungseinrichtungen) hinzufügen
• Geräten erlauben, sich mit anderen Computern zu koppeln

Hinweis: Die Option “Aktivieren und Registrierung abschließen” darf NICHT angewählt werden, da das Gerät sonst direkt versucht eine Einschreibung durchzuführen. Hierzu sind nach dem Hinzufügen zu DEP jedoch noch weitere Konfigurationen im Apple Business Manager bzw. Apple School Manager und in Relution notwendig.

Im nächsten Schritt „Neuer Server…“ auswählen und „Weiter“ klicken.

Nun wird der Name und die URL des entsprechenden Relution-Servers angegeben. Der Name kann beliebig gewählt werden. Die URL beginnt mit https:// und lautet z.B. für das Relution-Testsystem in Verbindung mit iOS-Geräten https://live.relution.io/

Für tvOS-Geräte muss folgender Pfad angegeben werden, sofern die Geräte auf dem Relution-Testsystem verwaltet werden sollen: https://live.relution.io/api/v1/devices/appleMdm/depenroll

Anschließend wird im nächsten Schritt das angezeigte Zertifikat ausgewählt. Bei mehreren Zertifikaten wird das erste gewählt.

Damit ist der Server festgelegt, wird im Apple Configurator 2 gespeichert und sieht beim späteren Aufnehmen weiterer Geräte in das Device Enrollment Program erneut zur Verfügung.

Nun wird im nachfolgenden Dialog „Neue Organisation…“ gewählt und mit „Weiter“ bestätigt.

Im nächsten Schritt erfolgt die Verbindung mit dem Apple DEP-Server. Hierzu wird die Apple-ID und das Passwort des jeweiligen Apple Business Manager bzw. Apple School Manager Accounts angegeben.

Gegebenenfalls muss diese Anmeldung per 2-Faktor-Authentifizierung bestätigt werden (Eingabe eines 4-stelligen Codes, der per SMS versendet wird).

Jetzt „Neue Betreuungsidentität erstellen“ wählen und mit „Weiter“ bestätigen. Die Organisationsdaten werden ebenfalls vom Apple Configurator 2 gespeichert, sodass sie später wiederverwendet werden können und keine neue Organisation mehr angelegt werden muss.

Anschließend werden im nächsten Dialog die Setup-Schritte ausgewählt, die bei der Einrichtung der Geräte NICHT übersprungen werden sollen. Dabei sollte die Option „Ortungsdienste“ gewählt werden, da das Apple-Geräte sonst nicht der richtigen Zeitzone zugeordnet wird.

Im nächsten Schritt sollte ein vorher im Apple Configurator 2 über „Ablage” -> “Neues Profil“ angelegtes WLAN-Konfigurationsprofil ausgewählt werden, das das Gerät nach dem Neustart automatisch übernimmt und dadurch eine Internetverbindung hergestellt wird.

Dadurch kann das Apple-Gerät die nachträgliche Registrierung für DEP an die Apple-Server übertragen. Alternativ zum WLAN-Profil lässt sich auch die Internet-Verbindung vom Mac mit dem angeschlossenen Gerät über die USB-Verbindung teilen.

Wenn kein Profil ausgewählt wird, werden die WLAN-Einstellungen beim Neustart der Geräte von Hand eingegeben. Mit Klick auf „Vorbereiten“ wird das Gerät nun neu gestartet. Es wird automatisch ins DEP eingeschrieben und wird anschließend im Apple Business Manager oder Apple School Manager manuell dem entsprechenden MDM-Server von Relution zuordnet (standardmäßig wird es dem Apple Configurator 2 zugewiesen).

Welche Konfigurationen sind im Apple Business Manager bzw. Apple School Manager notwendig?

Nach dem manuellen Hinzufügen von Apple-Geräten in DEP müssen diese im Apple Business Manager bzw. Apple School Manager dem gewünschten MDM-Server zugewiesen werden. Alternativ kann im Apple Business Manager bzw. Apple School Manager eine Einstellung konfiguriert werden wodurch “Neue Geräte” automatisch einem definierten MDM-Server zugeordnet werden. Alle Konfigurationsoptionen sind in der Online-Dokumentation von Apple beschrieben.

Sobald die Apple-Geräte im Apple Business Manager bzw. Apple School Manager einem MDM-Server zugeordnet sind, können diese anschließend in Relution unter „Geräte“ -> „Auto-Einschreibungen“ in die entsprechende Relution-Organisation synchronisiert werden.

Wie wird die Einschreibung der neuen DEP-Geräte abgeschlossen?

Nachdem ein Apple-Gerät nachträglich zum DEP hinzugefügt, im Apple Business Manager bzw. Apple School Manager einem MDM-Server zugeordnet und in Relution der entsprechenden Auto-Einschreibung ein DEP-Profil zugeordnet wurde, kann die automatische Einschreibung auf dem Gerät durchgeführt werden.

Sofern in Relution kein DEP-Standardprofil eingerichtet ist oder ein anderes DEP-Profil als dieses verwendet werden soll, muss den neu synchronisierten Geräten ein DEP-Profil zugewiesen werden. Siehe hierzu Insight Apple DEP-Geräte automatisch in Relution einschreiben.

Welche Einschränkungen gibt es bei der Nutzung der Apple Configurator 2 App?

Das Vorbereiten von Geräten kann einige Minuten dauern. Wenn der laufende Vorgang abgebrochen oder gestoppt wird, benötigt Apple Configurator 2 gewisse Zeit, um alle Operationen sicher zu beenden. Der Mac, auf dem Apple Configurator 2 ausgeführt wird, sollte während der Gerätevorbereitung nicht ausgeschaltet werden, da dies zur Beschädigung der Geräte führen kann.

Konfigurationsprofile, die mit Apple Configurator 2 erstellt werden, können lediglich über eine USB-Verbindung auf Apple-Geräte eingespielt werden. Eine nachträgliche Fernwartung der Geräte ist somit nicht möglich. Bei vielen Geräten entsteht zudem ein hoher manueller Administratorsaufwand. Durch den Einsatz von Relution als zentrales MDM System kann der administrative Aufwand deutlich reduziert werden.

Bei nachträglich ins DEP aufgenommenen Apple-Geräten besteht eine Karenzzeit von 30 Tagen hinsichtlich des Löschens der MDM-Einschreibung auf dem Gerät. Erst nach Ablauf dieser Zeit wird die Option „Verwaltung entfernen“ aus den Einstellungen auf dem Gerät entfernt und kann von Benutzer:innen nicht mehr manuell durchgeführt werden.