Separa los datos laborales de los personales en dispositivos iOS

Ediciones compatibles con esta función: Frontline Starter, Frontline Standard y Frontline Plus; Business Plus; Enterprise Standard y Enterprise Plus; Education Standard, Education Plus y Endpoint Education Upgrade; Enterprise Essentials y Enterprise Essentials Plus; G Suite Basic y G Suite Business; Cloud Identity Premium. Comparar tu edición

Como administrador, puedes gestionar todos los datos del dispositivo iOS personal de un usuario o solo los datos laborales. La inscripción de usuarios de Apple separa los datos personales de los laborales en los dispositivos iOS para que puedas controlar por completo los datos de trabajo en el dispositivo mientras los usuarios mantienen la privacidad de sus datos personales.

Compara las opciones de inscripción de dispositivos iOS

Puedes elegir entre la inscripción de dispositivos y la inscripción de usuarios para los dispositivos iOS de BYOD (trae tu propio dispositivo). Cada tipo de inscripción te brinda un conjunto diferente de funciones.

  • Usa la inscripción de usuarios si quieres proteger los datos de trabajo en el dispositivo y brindarle privacidad al usuario sobre sus datos personales.
  • Usa la inscripción de dispositivos para tener más control sobre el dispositivo, incluida la capacidad de limpiarlo.
Función de administración de dispositivos móviles Inscripción del dispositivo Inscripción de usuarios
Configura cuentas para acceder a los datos laborales en las apps para iOS integradas ✔ ✔
Instala y configura apps ✔ ✔
Cómo exigir contraseñas para los dispositivos ✔ ✔
Consulta el inventario de apps de trabajo ✔ ✔
Quitar solo los datos de trabajo ✔ ✔
Exige una contraseña segura ✔
Accede al inventario de apps personales ✔
Limpiar de manera remota todo el dispositivo (incluidos los datos personales) ✔

Antes de comenzar

  • La inscripción de usuarios es compatible con dispositivos personales que ejecutan iOS 15.5 y versiones posteriores. No está disponible para dispositivos de la empresa.

Nota: El método original de inscripción de usuarios basado en perfiles (compatible con iOS 15.5 y versiones posteriores) ya no es compatible con dispositivos que ejecutan iOS 18 y versiones posteriores.

Vinculas Apple Business Manager o Apple School Manager a Google Workspace para que los usuarios puedan usar sus nombres de usuario de Google Workspace como IDs de Apple administrados. Pueden usar esos detalles para acceder a su dispositivo iOS. Necesitas licencias para la app de Google Device Policy y cualquier otra app que quieras distribuir a los dispositivos inscritos por el usuario. Para vincular Apple Business Manager a Google Workspace, sigue estos pasos:

  1. Abre Apple Business Manager o Apple School Manager y accede con tu ID de Apple empresarial.
  2. En la parte inferior izquierda, selecciona tu nombre y luego Preferencias y luego Cuentas de Apple administradas.
  3. Junto a Autenticación federada, haz clic en Editar.
  4. Selecciona Google Workspace y luego Conectar y accede con tu cuenta de administrador de Google Workspace.
  5. Marca la casilla junto a cada uno de los permisos solicitados y haz clic en Continuar y luego Listo.
  6. Junto a Dominios, haz clic en Editar.
  7. Junto a tu dominio verificado, haz clic en Federar.
  8. A la izquierda, haz clic en Directory Sync y habilita Sincronización de Google Workspace.

Paso 2: Obtén licencias de apps para Google Device Policy

Necesitas licencias para la app de política de dispositivo y cualquier otra app que quieras distribuir a los dispositivos inscritos por el usuario. Para obtener más información, consulta Cómo distribuir apps para iOS con el PCV de Apple.

Paso 3: Selecciona el tipo de inscripción

Antes de comenzar: Si tienes dispositivos con diferentes requisitos de inscripción, configura una unidad organizativa para cada tipo de inscripción. Por ejemplo, los dispositivos de la empresa se inscriben como dispositivos, por lo que debes asegurarte de que estén en una unidad organizativa con la opción Inscripción de dispositivos o Elección del usuario seleccionada. Para obtener más información, consulta Cómo agregar una unidad organizativa.

  1. En la Consola del administrador de Google, ve a Menú y luego Dispositivos y luego Dispositivos móviles y extremos y luego Configuración y luego iOS.

    Requiere tener el privilegio de administrador para la Administración de dispositivos móviles.

  2. Haz clic en Inscripción.
  3. (Opcional) Para aplicar el parámetro de configuración a un departamento o equipo, en el costado, selecciona una unidad organizativa.
  4. Elige una opción (una por unidad organizativa):
    • (Predeterminado) Para administrar los datos laborales y personales en dispositivos iOS personales, selecciona Inscripción de dispositivos.
    • Para administrar solo los datos laborales en los dispositivos personales, selecciona Inscripción del usuario.
      Para aplicar el parámetro de configuración solo a los dispositivos nuevos, marca la casilla Permitir la inscripción de dispositivos para los usuarios existentes.
    • Para permitir que el usuario decida el tipo de inscripción, selecciona Elección del usuario.
      • Si el usuario elige la inscripción de dispositivos, debe instalar la app de Google Device Policy y el perfil de configuración. Para obtener más información, consulta Instala la app de Google Device Policy.
      • Si eligen Inscripción de usuario, ve al paso 5 (más adelante en esta página) para conocer los pasos para inscribir el dispositivo.
  5. Haz clic en Guardar. También puedes hacer clic en Anular para una unidad organizativa.

    Para restablecer después el valor heredado, haz clic en Heredar.

Paso 4: Configura la inscripción de usuarios basada en cuentas

Obligatorio para dispositivos con iOS 18 y versiones posteriores. Opcional para dispositivos con iOS 17 y versiones anteriores.

Configura la inscripción de usuarios basada en cuentas para que los usuarios puedan inscribir sus dispositivos personales en la app de Configuración de iOS. Para configurar la inscripción basada en cuentas, debes configurar el descubrimiento de servicios alojando la información de inscripción en tu servidor web. Esto permite que Apple recupere la información de la administración de extremos de Google.

Configura el descubrimiento de servicios

  1. Define el documento JSON de descubrimiento de servicios:

    {
   "Servers": [
    {
       "BaseURL":"https://ios-mdm.google.com/userenrollment/enroll",
       "Version":"mdm-byod"
    }
   ]
}

  2. Configura tu hosting web para que entregue el documento JSON desde la siguiente ubicación:

     https://YOUR_DOMAIN/.well-known/com.apple.remotemanagement

    Importante:

    • Asegúrate de que el encabezado Content-Type de la respuesta HTTP esté configurado como application/json.
    • El certificado SSL para el servidor web debe emitirlo una autoridad certificadora de confianza y tener el mismo nombre de dominio completamente calificado (FQDN) que el dominio verificado que se configuró en el paso 1 (anteriormente en esta página).
    • La configuración del descubrimiento de servicios debe alojarse en un servidor que admita solicitudes GET de HTTPS.

  3. Ejecuta el siguiente comando para verificar la configuración del descubrimiento de servicios:

    curl -I https://YOUR_DOMAIN/.well-known/com.apple.remotemanagement

    Asegúrate de que el servidor web que entrega el archivo JSON pueda controlar parámetros de URL adicionales. Es posible que algunas versiones de iOS adjunten los siguientes parámetros a la solicitud GET de HTTP:

    • user-identifier: Es el identificador de la cuenta de usuario (por ejemplo, email@example.com).
    • model-family: Es la familia de modelos del dispositivo (por ejemplo, iPhone o iPad).

    El comando debería mostrar una respuesta similar a la siguiente:

    HTTP/2 200  content-type: application/json
last-modified: Wed, 30 Oct 2024 19:14:12 GMT
accept-ranges: bytes
date: Fri, 27 Dec 2024 18:40:36 GMT
content-length: 138

Esta configuración permite que el dispositivo iOS encuentre los servidores de inscripción de la administración de extremos de Google durante el proceso de inscripción controlado por la cuenta. Después de que un usuario ingresa la dirección de correo electrónico de su Cuenta de Apple administrada, ocurre lo siguiente:

  1. El dispositivo extrae el nombre de dominio de la Cuenta de Apple administrada.
  2. El dispositivo envía una solicitud HTTP al servidor web que aloja la información de inscripción.

Ejemplo
Si la usuaria Dana accede a un dispositivo con el ID de Apple administrado dana@example.com, ocurrirá lo siguiente:

  • El dispositivo extrae example.com y usa el proceso de descubrimiento de servicios para realizar una solicitud HTTPS de la información de inscripción que se aloja en https://example.com/.well-known/com.apple.remotemanagement.
  • El dispositivo identifica la administración de extremos de Google a partir de la configuración de descubrimiento de servicios y, luego, inicia la inscripción.

Para obtener más información sobre el proceso de descubrimiento de servicios, consulta la documentación para descubrir servidores de autenticación en el sitio web de Apple Developer.

Paso 5: Solicita a los usuarios que inscriban sus dispositivos

Para inscribir dispositivos iOS para su administración, pide a los usuarios que hagan lo siguiente:

  1. Si el dispositivo del usuario ya se inscribió para la administración, pídele que cancele el registro de su cuenta de Google Workspace en la app de Device Policy y, luego, desinstale la app. Para obtener más información, consulta Administra la app de Device Policy.
  2. Elige una opción:
    • Si configuraste la inscripción de usuarios basada en cuentas (anteriormente en este artículo), pídeles que presionen Configuración y luego General y luego VPN y administración de dispositivos y luego Inicia sesión con tu cuenta de trabajo o educativa y que accedan con su cuenta de Workspace.
    • De lo contrario, haz que los usuarios accedan con su cuenta laboral en la app de Gmail instalada desde la App Store de Apple.
  3. Sigue las indicaciones para instalar el perfil de configuración. Es posible que el usuario deba ir a la app de Configuración de iOS para instalar el perfil descargado. La app de Google Device Policy se instala automáticamente.
  4. El usuario debe acceder con la app de política de dispositivo después de descargarla. Para obtener más detalles, consulta Configura un dispositivo personal.
  5. Instala apps administradas desde la app de Device Policy. Si una app está marcada como Obligatoria en la app de Device Policy, el usuario debe desinstalarla y, luego, volver a instalarla desde la app de Device Policy. Para obtener más detalles, consulta Cómo obtener apps de trabajo aprobadas en dispositivos iOS.

Notas:

  • Por motivos de privacidad, la administración de extremos de Google no puede leer la lista de apps instaladas en los dispositivos inscritos por los usuarios. Si un usuario aún no instaló una app administrada desde la app de política de dispositivo, no podemos saber si la app ya está instalada como no administrada desde la tienda de aplicaciones. Si la app ya está en el dispositivo, el usuario debe desinstalarla antes de instalarla desde la app de política de dispositivo. Para obtener más detalles sobre cómo proteger la privacidad del usuario, consulta la documentación de Apple.
  • No se envían notificaciones por correo electrónico de aprobación del administrador para la inscripción de usuarios de Apple. Debes verificar y aprobar manualmente los dispositivos con la lista de dispositivos pendientes.

Administra apps para dispositivos móviles en tu organización