Evita que els comptes personals amb el correu corporatiu frenin la federació
Quan una empresa decideix federar Apple Business amb Microsoft Entra ID, acostuma a perseguir una idea molt raonable: que cada professional entri al Mac amb les credencials corporatives que ja utilitza cada dia. El problema apareix quan aquell mateix correu corporatiu fa anys que també identifica un compte personal d’Apple. Pot contenir fotos, compres, claus, còpies d’iCloud o una història sencera que l’empresa no hauria de tocar.
La federació no és un botó innocent. Per poder-la activar, cal bloquejar el domini i resoldre els conflictes de comptes. El truc pràctic consisteix a convertir la captura de domini en una fase explícita del projecte, separada de la federació. Així l’equip d’identitat manté el control tècnic i les persones conserven temps per decidir què fan amb el seu compte personal.
Imaginem una consultora amb 180 Macs, tots gestionats per MDM, que utilitza nom@empresa.cat a Microsoft Entra ID. Vol crear comptes Apple gestionats amb aquest mateix identificador per simplificar l’accés als serveis Apple de feina. Si activa la federació sense preparar el terreny, els comptes personals existents poden convertir una millora d’identitat en una cadena d’incidències delicades.
Abans de començar, cal disposar d’un domini verificat a Apple Business, permisos per gestionar dominis i configurar la federació, i un compte de Microsoft Entra ID amb el rol de Global Administrator per aprovar la connexió inicial. Apple admet després reduir aquest privilegi, sempre que el compte conservi els rols necessaris per llegir dominis, usuaris i esdeveniments de seguretat. També convé reservar un compte administrador d’Apple Business que no depengui de la federació: els usuaris amb permisos per configurar-la no poden iniciar sessió mitjançant aquest mecanisme.
Als Macs, l’autenticació federada requereix macOS 12.4 o posterior. Les notificacions locals relacionades amb la captura de domini requereixen macOS 15.1 o posterior; les persones amb equips anteriors poden rebre el correu, però el pla de comunicació ha de preveure aquesta diferència.
El procediment és aquest:
-
Audita els identificadors abans de capturar res. Comprova que l’
userPrincipalNamed’Entra ID coincideixi amb l’adreça de correu de cada persona. Apple no admet àlies ni identificadors alternatius per a aquesta integració. Detecta també bústies compartides, comptes de prova i adreces d’antics empleats. -
Defineix una decisió humana, no només tècnica. Explica que cada persona podrà conservar el seu compte personal canviant-ne l’adreça principal, o transferir-lo a l’organització si sempre l’ha fet servir per treballar. Aquesta segona opció situa les dades associades sota gestió corporativa.
-
Activa la captura de domini amb una finestra de comunicació real. Apple envia una notificació i fixa un termini de 30 dies, que no es pot ampliar. La captura és irreversible. Programa suport intern, una bústia d’incidències i recordatoris abans que s’obri aquest període.
-
Fes una prova de federació amb un usuari pilot. Quan els conflictes estiguin resolts, aprova la connexió amb Entra ID i prova-la amb una persona que no administri Apple Business. Verifica inici de sessió al Mac, canvi de contrasenya a Entra ID i la reautenticació posterior.
-
Activa la federació i, si cal, sincronitza el directori. La sincronització permet importar usuaris i camps com departament, centre de cost o número de persona. Mantén a Apple Business només les atribucions pròpies, com ara rols, i deixa que Entra ID continuï essent la font d’identitat.
Aquesta seqüència sembla més lenta que activar una integració directament. En realitat, evita que un canvi d’identificador remogui la vida digital de la plantilla sense context. La identitat corporativa funciona millor quan els permisos, les dades i les expectatives avancen plegats.
Petit repte final: localitza tres comptes reals amb correu corporatiu que avui facin servir un compte personal d’Apple i classifica’ls: conservar, transferir o revisar. Si aquesta classificació genera dubtes, encara falta disseny abans de federar.