Verwaltete Apple-Accounts (früher Managed Apple IDs): ein Leitfaden für IT-Teams

Ein verwalteter Apple-Account (Managed Apple Account), früher Managed Apple ID genannt, ist ein Apple-Konto, das Ihre Organisation anlegt und besitzt, nicht die Mitarbeiterin oder der Schüler. Er nutzt die eigene E-Mail-Domain Ihrer Firma, wird in Apple Business oder Apple School Manager erstellt und gibt Zugang zu Arbeitsdiensten wie iCloud für Arbeitsdateien, Shared iPad und der kontobasierten Registrierung privater Geräte. Weil die Organisation das Konto besitzt, kann die IT das Passwort zurücksetzen, die Rolle ändern und das Konto entfernen, wenn jemand geht. Einige Verbraucherdienste wie Käufe im App Store sind abgeschaltet.

Wenn Sie iPhones, iPads und Macs für eine Firma oder Schule einrichten und wissen möchten, was diese Konten sind, wie Sie sie in großer Zahl anlegen und was sie nicht können, finden Sie hier alles der Reihe nach.

Was ist ein verwalteter Apple-Account?

Ein verwalteter Apple-Account gehört der Organisation und ist vom privaten Apple-Account getrennt, den jemand zu Hause nutzt. Apple beschreibt ihn als Weg, Arbeitsdaten von privaten Daten fernzuhalten. Einige Punkte unterscheiden ihn von einem privaten Konto:

• Er nutzt eine Domain, die Ihrer Organisation gehört und in Apple Business oder Apple School Manager bestätigt ist, etwa [email protected].
• Ihre Organisation legt ihn an, gibt ihm eine Rolle und kann ihn zurücksetzen oder löschen. Die Person kann ihn nicht zu einer anderen Organisation mitnehmen.
• Er ist für die Arbeit gedacht: Apple schaltet für diese Konten Käufe in den Stores, die Familienfreigabe und einige iCloud- und Mediendienste ab.

Apple nennt diese Konten heute Managed Apple Accounts, passend zur Umbenennung der Apple ID in Apple Account. Ältere Unterlagen, auch Apples eigene frühere Leitfäden, sprechen von Managed Apple IDs, und viele MDM-Konsolen und Hilfeartikel tun das noch. Gemeint ist dasselbe.

Wofür verwaltete Apple-Accounts in der Geräteverwaltung dienen

Verwaltete Apple-Accounts geben jeder Person eine Arbeitsidentität auf Apple-Geräten, die die IT kontrolliert. Das zählt an drei Stellen:

• Shared iPad. Mehrere Personen nutzen ein betreutes iPad, jede meldet sich mit dem eigenen verwalteten Apple-Account an und sieht die eigenen Apps und Dateien. Das ist in Schulen und bei Schichtteams üblich.
• Private Geräte. Auf dem eigenen iPhone oder iPad einer Mitarbeiterin registriert die kontobasierte Benutzerregistrierung das Gerät mit dem verwalteten Apple-Account in Ihrem MDM. Die Person meldet sich mit dem Arbeitskonto an, statt ein Profil von Hand zu installieren.
• Arbeitsdienste. Verwaltete Apple-Accounts können iCloud für Arbeitsdokumente nutzen und in Apples eigenen Apps zusammenarbeiten, mit einem Konto, das der Firma gehört.

Firmengeräte brauchen für die Registrierung selbst keinen verwalteten Apple-Account. Sie registrieren sich über die automatische Geräteregistrierung in Apple Business oder Apple School Manager.

So legen Sie verwaltete Apple-Accounts an

Apple Business und Apple School Manager bieten mehrere Wege. Wählen Sie den, der zu Ihrer Benutzerverwaltung passt:

Bestätigen Sie vorher Ihre E-Mail-Domain in Apple Business oder Apple School Manager. Jede Subdomain wird einzeln hinzugefügt. Föderation und Synchronisation sparen am meisten Arbeit, weil neue Mitarbeitende automatisch ein Konto bekommen und es beim Austritt verlieren. Mehr zum gesamten Ablauf lesen Sie unter Benutzerbereitstellung.

Welche Rolle das MDM spielt

Apple Business oder Apple School Manager erstellt die Konten, das MDM nutzt sie. In der Praxis:

• richtet das MDM Shared iPad auf betreuten iPads ein, damit sich Personen mit ihrem verwalteten Apple-Account anmelden können,
• unterstützt es die kontobasierte Benutzerregistrierung privater iPhones und iPads,
• weist es in großer Zahl gekaufte Apps Geräten oder Personen zu, auch Personen mit verwaltetem Apple-Account,
• wendet es die Einstellungen, Einschränkungen und Apps an, die ein Gerät arbeitsbereit machen.

Das MDM erstellt keine verwalteten Apple-Accounts. Lassen Sie die Kontoverwaltung in Apple Business oder Apple School Manager, am besten aus Ihrem Verzeichnis gespeist, und überlassen Sie dem MDM die Geräte.

Was verwaltete Apple-Accounts nicht können

Weil die Organisation die Konten besitzt, schaltet Apple Dienste ab, die nur für private Konten sinnvoll sind. Die wichtigsten Grenzen:

• Keine Käufe in den Stores. Personen können App Store, iTunes Store und Apple Books ansehen, aber keine kostenpflichtigen oder kostenlosen Apps und Inhalte laden. Apps und Bücher kommen über die verwaltete Verteilung mit Lizenzen, die Ihre Organisation in Apple Business oder Apple School Manager kauft.
• Keine Familienfreigabe und keine iCloud+-Extras. Familienfreigabe, Privat-Relay, „E-Mail-Adresse verbergen“ und eigene E-Mail-Domains stehen nicht zur Verfügung.
• Keine iCloud Mail. Nutzen Sie stattdessen den E-Mail-Dienst Ihrer Firma.
• „Wo ist?“ funktioniert nicht. Die App erscheint, lässt sich aber nicht nutzen. Firmengeräte orten Sie über Ihr MDM.
• Keine Medienabos. Apple Music, Apple TV+, Apple Arcade, Apple News+, Apple Fitness+ und Apple One sind nicht verfügbar.
• Home und Siri eingeschränkt. HomeKit-Geräte lassen sich nicht hinzufügen, Siri- und Health-Daten werden nicht zwischen Geräten mit demselben Konto geteilt.
• Nur Ihre Domain. Das Konto muss eine bestätigte Domain Ihrer Organisation nutzen. Ein privater Apple-Account lässt sich nicht in einen verwalteten umwandeln.

Diese Grenzen sind gewollt. Braucht jemand einen Verbraucherdienst für die Arbeit, klären Sie, ob er auf ein Firmengerät gehört oder beim privaten Konto bleibt.

Verwaltung über viele Geräte

trio.so verbindet sich mit Apple Business und Apple School Manager, sodass sich Firmen-iPhones, iPads und Macs beim ersten Start mit Ihren Einstellungen und Apps selbst registrieren. Wer in der Apple-Einrichtung von trio.so Apple School Manager wählt, bekommt verwaltete Apple-Accounts, Klassen und die Anmeldung an Shared iPad. Benutzer und Gruppen lassen sich aus Microsoft Entra ID, Google Workspace und Okta synchronisieren. Auf privaten iPhones und iPads kann die IT das Gerät nicht löschen, sperren oder orten und sieht nur die Arbeits-Apps, die sie installiert hat. Mehr dazu unter Apple School Manager.

In der Apple-Einrichtung von trio.so bringt die Wahl von Apple School Manager verwaltete Apple-Accounts, Klassen und Shared iPad mit. Die Ansicht ist auf Englisch.