Qué vas a conseguir
Un iPhone o iPad gestionado por Intune: con el perfil de administración instalado, el correo configurado solo, la Wi-Fi corporativa y las aplicaciones obligatorias. Y saber dónde mirar cuando algo de eso no llega.
Antes de empezar
- El certificado push de Apple (APNs) del tenant tiene que estar vigente. Caduca cada año y, si caduca, ningún dispositivo Apple se enrola ni recibe políticas. Está en Intune → Dispositivos → Inscripción → Apple.
- El usuario tiene licencia con Intune y, en el dispositivo, un ID de Apple para instalar el Portal de empresa desde el App Store (si las apps se despliegan con licencias VPP asignadas al dispositivo, el ID de Apple no hace falta para ellas).
- Sabes si el dispositivo es personal (el usuario lo enrola con el Portal de empresa) o corporativo comprado a través de Apple Business Manager (se enrola solo al encenderlo, con el Asistente de configuración).
1. Dispositivo personal: el camino del usuario
El paso que más se atasca es el de Ajustes → Perfil descargado: el Portal de empresa descarga el perfil pero el usuario tiene que ir a Ajustes a instalarlo. Si cierra la app en ese punto, se queda a medias; con volver al Portal de empresa y pulsar "Continuar" se retoma.
2. Dispositivo corporativo (Apple Business Manager)
Si el iPhone se compró con el número de cliente de la empresa, aparece en Apple Business Manager y de ahí pasa a Intune por el token de inscripción automatizada. Al encenderlo por primera vez, el Asistente de configuración muestra "contoso configurará este dispositivo" y el usuario solo inicia sesión. No hay Portal de empresa que instalar.
Si un iPhone corporativo se enciende y no muestra esa pantalla, suele ser que no está asignado al token en Apple Business Manager o que el perfil de inscripción no está asignado en Intune. Lo ves en Intune → Dispositivos → Inscripción → Apple → Tokens de inscripción → Dispositivos: busca el número de serie.
3. Comprueba en Intune
Supervisado: Sí solo aparece en los que vienen por Apple Business Manager, y es lo que permite las políticas más restrictivas (bloquear el App Store, modo de una sola app). Un dispositivo personal nunca está supervisado, y eso no es un fallo.
4. Lo que no llega y por qué
- El correo no se configura solo: el perfil de correo necesita que el usuario tenga el atributo correcto (UPN o correo principal) y que Outlook esté instalado si el perfil apunta a Outlook. Mira Dispositivos → el dispositivo → Perfiles de configuración: el perfil de correo tiene que estar "Correcto". Si está "Pendiente", pulsa Sincronizar y espera dos minutos.
- La Wi-Fi corporativa no aparece: lo mismo, perfil de Wi-Fi pendiente o con error. Si usa certificado (EAP-TLS), el perfil SCEP tiene que haber llegado antes: aparece en Ajustes → General → VPN y gestión de dispositivos → el perfil de Intune → Más detalles → Certificados.
- Las apps obligatorias no se instalan: en un dispositivo personal, iOS pregunta al usuario "contoso quiere instalar Teams" y hay que aceptar. Si no aparece la pregunta, la app está asignada como disponible, no como obligatoria, o las licencias VPP se han agotado (Aplicaciones → iOS → la app → Licencias).
- Pide el ID de Apple para una app de empresa: la licencia VPP está asignada por usuario en lugar de por dispositivo. Para dispositivos compartidos o corporativos, asignar por dispositivo evita esa pregunta.
5. Retirar y bloquear
- Retirar quita el perfil de administración, el correo y las apps de empresa. Es lo que haces en una baja o cuando el usuario cambia de móvil. Las fotos y las apps personales no se tocan.
- Bloqueo remoto bloquea la pantalla con el código del usuario; sirve si lo ha dejado en un taxi.
- Borrar devuelve el dispositivo a fábrica. En uno personal, solo con el permiso del usuario por escrito en el ticket. En uno corporativo con bloqueo de activación, antes de borrar asegúrate de tener el código de omisión (Intune lo guarda si el dispositivo está supervisado): si no, el iPhone queda inservible para el siguiente usuario.
Siguientes pasos
- Apunta en el calendario del equipo la fecha de caducidad del certificado APNs y de los tokens de Apple Business Manager y VPP: los tres caducan cada año.
- Para los iPad compartidos de una sala o un mostrador, mira el modo de una sola app y la inscripción sin usuario.
- En el Nivel 3 verás cómo diseñar los perfiles de configuración (correo, Wi-Fi, certificados, restricciones) para iOS, macOS, Windows y Android desde la misma consola.
¿Falta algo o en tu entorno es distinto? Escríbeme y lo corrijo.
What you'll get
An iPhone or iPad managed by Intune: with the management profile installed, email configured on its own, the corporate Wi-Fi and the required apps. And knowing where to look when any of that does not arrive.
Before you start
- The tenant's Apple push certificate (APNs) has to be valid. It expires every year and, if it does, no Apple device enrols or receives policies. It is in Intune → Devices → Enrolment → Apple.
- The user has a licence with Intune and, on the device, an Apple ID to install Company Portal from the App Store (if apps are deployed with device-assigned VPP licences, no Apple ID is needed for those).
- You know whether the device is personal (the user enrols it with Company Portal) or corporate, bought through Apple Business Manager (it enrols on its own at first power-on, through Setup Assistant).
1. Personal device: the user's path
The step that gets stuck most is Settings → Profile downloaded: Company Portal downloads the profile but the user has to go to Settings to install it. If they close the app at that point, it stays half done; going back to Company Portal and tapping "Continue" picks it up again.
2. Corporate device (Apple Business Manager)
If the iPhone was bought with the company's customer number, it appears in Apple Business Manager and from there passes to Intune through the automated enrolment token. At first power-on, Setup Assistant shows "contoso will configure this device" and the user only signs in. There is no Company Portal to install.
If a corporate iPhone powers on and does not show that screen, it is usually not assigned to the token in Apple Business Manager, or the enrolment profile is not assigned in Intune. You can see it in Intune → Devices → Enrolment → Apple → Enrolment program tokens → Devices: search by serial number.
3. Check in Intune
Supervised: Yes only appears on devices that come through Apple Business Manager, and it is what allows the stricter policies (blocking the App Store, single-app mode). A personal device is never supervised, and that is not a fault.
4. What doesn't arrive and why
- Email does not configure itself: the email profile needs the user to have the right attribute (UPN or primary email) and Outlook installed if the profile points to Outlook. Look at Devices → the device → Configuration profiles: the email profile has to be "Succeeded". If it is "Pending", tap Sync and wait two minutes.
- The corporate Wi-Fi does not appear: same thing, Wi-Fi profile pending or in error. If it uses a certificate (EAP-TLS), the SCEP profile has to have arrived first: it shows in Settings → General → VPN & Device Management → the Intune profile → More details → Certificates.
- Required apps don't install: on a personal device, iOS asks the user "contoso wants to install Teams" and they have to accept. If the prompt never appears, the app is assigned as available rather than required, or the VPP licences have run out (Apps → iOS → the app → Licences).
- It asks for an Apple ID for a company app: the VPP licence is assigned per user instead of per device. For shared or corporate devices, device assignment avoids that prompt.
5. Retire and lock
- Retire removes the management profile, email and company apps. That is what you do for a leaver or when the user changes phone. Photos and personal apps are untouched.
- Remote lock locks the screen with the user's passcode; useful if it was left in a taxi.
- Wipe returns the device to factory settings. On a personal one, only with the user's written permission in the ticket. On a corporate one with Activation Lock, make sure you have the bypass code before wiping (Intune stores it if the device is supervised): otherwise the iPhone is useless for the next user.
Next steps
- Put the expiry dates of the APNs certificate and the Apple Business Manager and VPP tokens in the team calendar: all three expire every year.
- For shared iPads in a meeting room or at a counter, look at single-app mode and userless enrolment.
- In Level 3 you'll see how to design configuration profiles (email, Wi-Fi, certificates, restrictions) for iOS, macOS, Windows and Android from the same console.
Is something missing, or different in your environment? Get in touch and I'll fix it.
Tech Career Lab · newsletter
¿Te ha servido? Cada dos semanas envío una idea práctica para perfiles IT: LinkedIn, proyectos, networking y procesos de selección.Found this useful? Every two weeks I send one practical idea for IT professionals: LinkedIn, projects, networking and hiring processes.
Apúntate y llévate las 33 ideasSign up and get the 33 ideas →