iPhone y iPad: enrolar en Intune y comprobar que llegan las políticas

Qué vas a conseguir

Un iPhone o iPad gestionado por Intune: con el perfil de administración instalado, el correo configurado solo, la Wi-Fi corporativa y las aplicaciones obligatorias. Y saber dónde mirar cuando algo de eso no llega.

Antes de empezar

• El certificado push de Apple (APNs) del tenant tiene que estar vigente. Caduca cada año y, si caduca, ningún dispositivo Apple se enrola ni recibe políticas. Está en Intune → Dispositivos → Inscripción → Apple.
• El usuario tiene licencia con Intune y, en el dispositivo, un ID de Apple para instalar el Portal de empresa desde el App Store (si las apps se despliegan con licencias VPP asignadas al dispositivo, el ID de Apple no hace falta para ellas).
• Sabes si el dispositivo es personal (el usuario lo enrola con el Portal de empresa) o corporativo comprado a través de Apple Business Manager (se enrola solo al encenderlo, con el Asistente de configuración).

1. Dispositivo personal: el camino del usuario

El paso que más se atasca es el de Ajustes → Perfil descargado: el Portal de empresa descarga el perfil pero el usuario tiene que ir a Ajustes a instalarlo. Si cierra la app en ese punto, se queda a medias; con volver al Portal de empresa y pulsar "Continuar" se retoma.

2. Dispositivo corporativo (Apple Business Manager)

Si el iPhone se compró con el número de cliente de la empresa, aparece en Apple Business Manager y de ahí pasa a Intune por el token de inscripción automatizada. Al encenderlo por primera vez, el Asistente de configuración muestra "contoso configurará este dispositivo" y el usuario solo inicia sesión. No hay Portal de empresa que instalar.

Si un iPhone corporativo se enciende y no muestra esa pantalla, suele ser que no está asignado al token en Apple Business Manager o que el perfil de inscripción no está asignado en Intune. Lo ves en Intune → Dispositivos → Inscripción → Apple → Tokens de inscripción → Dispositivos: busca el número de serie.

3. Comprueba en Intune

Supervisado: Sí solo aparece en los que vienen por Apple Business Manager, y es lo que permite las políticas más restrictivas (bloquear el App Store, modo de una sola app). Un dispositivo personal nunca está supervisado, y eso no es un fallo.

4. Lo que no llega y por qué

• El correo no se configura solo: el perfil de correo necesita que el usuario tenga el atributo correcto (UPN o correo principal) y que Outlook esté instalado si el perfil apunta a Outlook. Mira Dispositivos → el dispositivo → Perfiles de configuración: el perfil de correo tiene que estar "Correcto". Si está "Pendiente", pulsa Sincronizar y espera dos minutos.
• La Wi-Fi corporativa no aparece: lo mismo, perfil de Wi-Fi pendiente o con error. Si usa certificado (EAP-TLS), el perfil SCEP tiene que haber llegado antes: aparece en Ajustes → General → VPN y gestión de dispositivos → el perfil de Intune → Más detalles → Certificados.
• Las apps obligatorias no se instalan: en un dispositivo personal, iOS pregunta al usuario "contoso quiere instalar Teams" y hay que aceptar. Si no aparece la pregunta, la app está asignada como disponible, no como obligatoria, o las licencias VPP se han agotado (Aplicaciones → iOS → la app → Licencias).
• Pide el ID de Apple para una app de empresa: la licencia VPP está asignada por usuario en lugar de por dispositivo. Para dispositivos compartidos o corporativos, asignar por dispositivo evita esa pregunta.

5. Retirar y bloquear

• Retirar quita el perfil de administración, el correo y las apps de empresa. Es lo que haces en una baja o cuando el usuario cambia de móvil. Las fotos y las apps personales no se tocan.
• Bloqueo remoto bloquea la pantalla con el código del usuario; sirve si lo ha dejado en un taxi.
• Borrar devuelve el dispositivo a fábrica. En uno personal, solo con el permiso del usuario por escrito en el ticket. En uno corporativo con bloqueo de activación, antes de borrar asegúrate de tener el código de omisión (Intune lo guarda si el dispositivo está supervisado): si no, el iPhone queda inservible para el siguiente usuario.

Siguientes pasos

• Apunta en el calendario del equipo la fecha de caducidad del certificado APNs y de los tokens de Apple Business Manager y VPP: los tres caducan cada año.
• Para los iPad compartidos de una sala o un mostrador, mira el modo de una sola app y la inscripción sin usuario.
• En el Nivel 3 verás cómo diseñar los perfiles de configuración (correo, Wi-Fi, certificados, restricciones) para iOS, macOS, Windows y Android desde la misma consola.

¿Falta algo o en tu entorno es distinto? Escríbeme y lo corrijo.