Steeds meer organisaties willen mobiele apparaten – zoals iPhones, iPads of Android-toestellen – direct beheerd beschikbaar stellen aan eindgebruikers. Met Apple Business Manager (ABM) of Apple School Manager (ASM) in combinatie met Microsoft Intune kunnen Apple-apparaten automatisch worden ingeschreven in het MDM (Mobile Device Management)-systeem van Intune, zonder handmatige interactie van de gebruiker. Dit zorgt voor consistent beheer en ondersteunt een Zero Trust-aanpak.
Deze post richt zich op het gebruik van Apple Business Manager (of Apple School Manager) in combinatie met Intune en beschrijft stapsgewijs het volledige proces: vanaf de koppeling tot aan de gebruikerservaring – inclusief alle relevante opties, instellingen en randvoorwaarden zoals door Microsoft beschreven.
Bijgewerkt in oktober 2026: Apple Business Manager is opgegaan in Apple Business, samen met Apple Business Essentials en Apple Business Connect. Apple kondigde in maart 2026 aan dat Apple Business vanaf 14 april 2026 beschikbaar is. De stappen en screenshots in deze post zijn van Apple Business Manager. In Apple Business zijn de menupaden anders: een MDM-koppeling maak je onder Devices > Management Services (knop Connect external device management, token via Download Service Token) en een content token download je onder Settings > Payments & Billing > Apps & Books.
Wat heb je nodig?
Een Apple Business Manager-account
Microsoft Intune
Zet de koppeling tussen ABM en Intune op
Om apparaten automatisch te kunnen registreren in Microsoft Intune, is het noodzakelijk dat Apple Business Manager en Intune een vertrouwensrelatie opbouwen. Dit begint met een publieke sleutel die je vanuit Intune genereert, uploadt naar ABM, en daarna een gegenereerd token van Apple importeert in Intune. Daarmee ontstaat een veilige verbinding tussen beide systemen.
Public key ophalen vanuit Intune
Ga in de Intune admin center naar Devices > iOS/iPadOS > Enrollment > Enrollment program tokens en klik op Create.
Ga akkoord met het verzenden van info naar Apple.
Download het .PEM-certificaat dat je in een latere stap in ABM moet uploaden.
Navigeer naar Preferences > Your MDM Servers en klik op het plusje om een MDM Server toe te voegen.
Geef de server een herkenbare naam (bijv. “Intune MDM Server”) en upload het eerder gedownloade .PEM-certificaat.
Klik nu op Download MDM Server Token dit is een .P7M-bestand dat Apple genereert.
ADE-token uploaden in Intune
Ga terug naar het Intune admin center en vul het Apple ID-account in dat hiervoor gebruikt is.
Upload het .P7M-bestand.
Klik op Next en daarna op Create.
Je hebt nu een koppeling gemaakt tussen ABM en Intune.
Wijs apparaten toe aan Intune
Toewijzen in Apple Business Manager
Ga in ABM naar Devices en selecteer de juiste apparaten (per serienummer of in bulk).
Kies Edit MDM Server en wijs deze toe aan jouw MDM-server (deze moet overeenkomen met je Intune-server).
Voeg een Apple VPP-token toe aan Intune
De volgende stap is om Apple Volume Purchase Program (VPP) te integreren met Intune. Dit gebeurt via een content token dat je in ABM genereert en in Intune uploadt. Hiermee kun je apps centraal aankopen en distribueren, zonder dat gebruikers een Apple ID nodig hebben.
Ga naar Preferences > Payments and Billing, en scroll Content Tokens.
Klik op Download bij de server token van de gewenste locatie. Je krijgt een .vpptoken-bestand.
VPP-token uploaden in Intune
Navigeer in Intune admin center naar Tenant administration > Connectors and tokens > Apple VPP Tokens.
Klik nu op Create.
Vul op de Basics-pagina de volgende gegevens in:
Token Name: een herkenbare naam voor deze token.
Apple ID: het Apple ID waarmee de token is aangemaakt.
VPP token file: upload het gedownloade .vpptoken-bestand.
Op de Settings-pagina
Take control of token from another MDM: kies Yes als dit token eerder elders werd gebruikt.
Country/Region: selecteer de juiste regio van de App Store.
Type of VPP account: kies Business.
Automatic app updates: kies Yes om apps automatisch te laten updaten.
Vink aan: “I grant Microsoft permission to send both user and device information to Apple.”
Klik op Next, configureer eventueel scope tags, en klik op Create.
Zodra de status van de token op Active staat, kun je apps zoals de Company Portal aankopen, synchroniseren en automatisch toewijzen aan apparaten of gebruikers – volledig beheerd via Intune.
Maak een automatisch enrollment-profiel aan in Intune
Nadat de koppeling tussen ABM en Intune is gelegd en apparaten zijn toegewezen, is de volgende stap het aanmaken van een automatisch enrollment-profiel. Dit profiel bepaalt hoe het apparaat zich tijdens de eerste configuratie gedraagt, welke stappen worden overgeslagen, en of gebruikers zich moeten aanmelden. Hiermee leg je de basis voor een consistente en gecontroleerde onboarding-ervaring.
Je hebt hierbij drie keuzes voor User Affinity – dit bepaalt hoe het apparaat zich verhoudt tot gebruikers:
Enroll with User Affinity – Voor apparaten met een vaste gebruiker. Nodig als je de Company Portal en gebruikersspecifieke apps wilt gebruiken.
Enroll without User Affinity – Voor kiosks of gedeelde apparaten zonder vaste gebruiker. Geen gebruikersprofiel nodig.
Enroll with Microsoft Entra ID shared mode – Voor gedeelde scenario’s zoals frontline workers. Biedt een afgeslankte ervaring met gedeelde aanmelding.
Kies een passende authenticatiemethode
Bij het aanmaken van een enrollment-profiel kies je niet alleen of het apparaat User Affinity gebruikt, maar ook hoe gebruikers zich moeten authenticeren. Intune biedt hierbij vier opties die van invloed zijn op gebruikservaring en compliance-registratie:
Intune Company Portal app
Gebruik deze optie als je multi-factor authenticatie (MFA) wilt afdwingen of als je Conditional Access wilt toepassen. Met de Company Portal-app moeten gebruikers zich aanmelden om toegang te krijgen tot bedrijfsapps en -bronnen. Deze optie biedt de mogelijkheid om de Single App Mode in te schakelen, waardoor de Company Portal-app automatisch wordt geopend na de Setup Assistant en gebruikers zich moeten aanmelden voordat ze het apparaat kunnen gebruiken.
Setup Assistant met moderne authenticatie
De aanbevolen methode voor de meeste scenario’s. Gebruikers authenticeren zich al tijdens Setup Assistant. De Company Portal wordt automatisch geïnstalleerd, maar is niet nodig om toegang tot het toestel te krijgen. Deze methode ondersteunt MFA, Conditional Access en werkt zonder extra app-configuratie.
Just in Time (JIT) Registration
Deze methode vereist geen Company Portal voor registratie en compliance. In plaats daarvan wordt Microsoft Entra-registratie uitgevoerd via een app die gebruikmaakt van de Apple SSO-extensie. Dit is ideaal voor omgevingen met veel SSO-gebruik. Dit vereist wel een extra configuratie policy.
Setup Assistant (legacy)
Alleen gebruiken als moderne authenticatie niet nodig is. Deze methode registreert het toestel zonder Conditional Access of MFA.
Profiel aanmaken in Intune
Ga naar Devices > iOS/iPadOS enrollment > Enrollment Program Tokens in het Intune admin center.
Klik op je aangemaakte token, ga naar Profiles en kies Create profile.
Selecteer iOS/iPadOS als platform.
Configureer vervolgens de volgende instellingen:
Name: bijvoorbeeld “iPhones Marketing”
User Affinity:Enroll with User Affinity, without User Affinity of Microsoft Entra ID shared mode
Authentication method: bijvoorbeeld Setup Assistant with modern authentication
Install Company Portal with VPP: Ja als je moderne authenticatie gebruikt – je moet hiervoor wel een Apple VPP Token hebben gekoppeld.
Supervised: kies Yes – vereist voor volledige beheermogelijkheden en nodig als je de Company Portal gebruikt voor registratie.
Locked enrollment: bepaal of gebruikers de MDM-registratie mogen verwijderen.
Sync with computers: schakel dit uit als apparaten niet met Finder/iTunes mogen synchroniseren.
Apple Configurator certificates: optioneel, indien nodig voor apparaten die via Apple Configurator worden beheerd.
Apply device name template: kies Yes als je een naamgevingssjabloon wilt toepassen (alleen beschikbaar voor supervised apparaten).
Cellular data plan: kies Yes als je mobiele dataplannen direct wilt activeren.
Klik daarna op Next en stel de Setup Assistant in.
Setup Assistant schermen configureren
Je kunt verschillende stappen overslaan om de gebruikservaring te stroomlijnen. Denk aan:
Department: Naam van de afdeling of bedrijf. Dit verschijnt tijdens het enrollen in beeld.
Department Phone: Telefoon van de afdeling of bedrijf. Dit verschijnt tijdens het enrollen in beeld.
Setup Assistant Screens: Kies per onderdeel of je het wilt tonen (Show) of verbergen (Hide) tijdens installatie.
💡 Suggesties om te verbergen: Apple Pay, Diagnostics, SIM Setup, Device-to-Device Migration.
Klik op Next, configureer eventueel scope tags en klik op Create.
Nadat het profiel is aangemaakt, ga je naar Assignments en wijs je het profiel toe aan een groep met apparaten die dit profiel moet krijgen.
Zoek nu de Company Portal (Intune Bedrijfsportaal) op en voeg deze toe aan de gekoppelde content token.
Wanneer dit is toegewezen zal in Intune de applicatie vanzelf tevoorschijn komen na een sync.
Ga nu naar de Apps blade van Intune.
Zoek de app op, wijs deze toe aan een apparaatgroep, gebruik Device Licensing en stel de deployment in op Required.
Gebruikerservaring
Wanneer een eindgebruiker een nieuwe iPhone of iPad aanzet:
Het toestel herkent dat het is gekoppeld aan jouw organisatie (via ABM).
De Setup Assistant start en installeert het profiel.
Supervised mode wordt geactiveerd in de achtergrond.
De gebruiker wordt gevraagd in te loggen bij gebruik van User Affinity..
Instellingen, compliance policies, en apps worden automatisch gepusht.
Tot slot
Apple Business Manager en Intune samen maken het mogelijk om iPhones en iPads volledig automatisch en beheerd uit te rollen, zonder handmatige handelingen of risico op verkeerde configuratie. Zeker in het kader van Zero Trust en compliance is dit een krachtige combinatie die bijdraagt aan een veilige, beheersbare moderne werkomgeving.
Met enrollment time grouping komt een Mac al tijdens de inschrijving in de juiste Entra-groep, zodat apps en beleid eerder binnenkomen. Zo stel je het in.
