How to manually add an iPhone to Apple Business Manager

Apple allows you to fully automate the MDM enrollment process for most of their devices using Automated Device Enrollment (ADE). In combination with the MDM, ADE allows you to customise and automate the device activation process without the need for an administrator to ever touch the device. To use ADE with your MDM of choice, the devices have to be purchased through an authorized reseller. The reseller can then add the devices to your Apple Business Manager (ABM) instance. There you can then assign them to your MDM servers. For devices that you already own or which were not purchased through a reseller that can add the devices to your ABM instance, there is a manual way to add them. The manual approach requires the use of Apple Configurator – either on an iPhone or Mac. The following steps describe how you can add an iPhone to ABM using another iPhone. It works exaclty the same when you want to add an iPad. I find these steps much easier than using a Mac to add a device to Apple Business Manager.

What you need to prepare and have ready before you begin

Before you begin, make sure to install Apple Configurator on your iPhone and login with your ABM account. After the login you should be presented with the below view. Notice the view finder in the center of the screen. We will use this view finder later on to scan the enrollment code.

Preparing Apple Configurator

  • Tap on the cogwheel in the lower left corner
  • Make sure the “Share Wi-Fi” is selected
  • Make sure that “None” is selected under “MDM SERVER ASSIGNMENT”
    • We will assign the device to the correct MDM server instance later
  • Tap on “Done” in the top left corner

Adding the iPhone to Apple Business Manager

  • Now get the iPhone or iPad you want to add.
  • Turn on the iPhone and swipe up on the “Hello” Screen
  • You will be presented with the language selection screen
  • Continue the OOBE (out of the box experience) setup until you get to the Quick Start screen. There you will have to tap on Set Up Without Another Device
  • Continue with the OOBE setup until you get to the Choose a Wi-Fi Network screen
  • Now get the iPhone where you have previously installed Apple Configurator. When iPhone is in proximity, the screen on the device you want to add, should change to the below view.
  • Make sure to position the image in the frame of the Apple Configurator to initiate the enrollment process into Apple Business Manager
  • The enrollment process will beginn immediately
  • Leave the iPhone with Apple Configurator open, unlocked and next to the device you are adding. If you close Apple Configurator to soon, the enrollment process will fail and you will have to repeate the whole procedure.
  • When the enrollment process is finished, you will get the below screen showing that the iPhone was added to your ABM instance. Please tap on Erase iPhone to complete the enrollment to your ABM instance

You can now login to your ABM and assign the device to your MDM server instance.

Geräte per Apple Business Manager am BlackBerry UEM aktivieren

Am BlackBerry UEM gibt es drei im Alltag relevante Optionen iPhones und iPads über den Apple Business Manager (ABM) zu aktivieren:

  1. Direkte Zuweisung des Gerätes an einen Benutzer in der BlackBerry UEM-Konsole unter Users-> Apple DEP devices
  2. Aktivierung über ein vorher gesetztes Aktivierungskennwort
  3. Aktivierung über die Active Directory Anmeldedaten

Technisch wären auch eine Aktivierung über einen Identity Provider und über den Apple Configurator möglich. Auf diese beiden Optionen gehe im Folgenden nicht ein. Für alle drei Optionen müssen die Geräte im Apple Business Manager (ABM) existieren. Sobald sie dort gelistet sind, kann man sie der jeweiligen BlackBerry UEM Instanz zuweisen. Nach der Synchronisation des BlackBerry UEM mit dem ABM, erscheinen die Geräte in der UEM-Konsole unter Users-> Apple DEP devices. Die Synchronistation der Geräteliste mit dem ABM erfolgt alle 24 Stunden. Die Synchronisation lässt sich auch manuell anstoßen. Aus der Geräteliste heraus kann das Gerät direkt einem Benutzer zugewiesen. Die Aktivierung erfolgt ohne Eingabe weiterer Anmeldedaten. Diese Aktivierungsart ist z.B. für Kiosk-Mode-Szenarien sinnvoll. Damit wäre die erste Option aus der obigen Liste abgedeckt.

Für die Option 2, der Aktivierung per E-Mail-Adresse und Aktivierungskennwort, muss im Feld Benutzername die E-Mail-Adresse des Benutzers eingetragen werden. Das Aktivierungskennwort hat der Benutzer per E-Mail erhalten bzw. wurde durch den UEM-Administrator in der UEM-Konsole gesetzt und dem Benutzer mitgeteilt. Das Aktivierungskennwort kann der Benutzer auch selbstständig im Self Service Portal des BlackBerry UEM setzen. Im folgenden Beispiel hat der Benutzer die E-Mail-Adresse aboui@lab.boui.de. Nach Eingabe des Aktivierungskennworts im Feld Passwort, kann die Aktivierung am UEM über den ABM erfolgen.

iPhone-Aktivierung über E-Mail-Adresse
iPhone-Aktivierung mit E-Mail-Adresse und Aktivierungskennwort

Für die Option 3, Aktivierung per Active Directory Anmeldeinformatione, müssen die Daten im Eingabefeld Benutzername im Format FQDN\Username eingetragen werden. In meinem Beispiel laut der FQDN der AD-Domain LAB.BOUI.DE. Der Username lautet aboui. Folglich muss in dem Feld Benutzername folgendes eingetragen werden: lab.boui.de\aboui. Da das Eingeben des Zeichens \ am iPhone nicht einfach ist, kann man alternativ das Zeichen / verwenden. Mit beiden Zeichen funktioniert die Anmeldung. Dass der FQDN in meinem Beispiel identisch mit dem Teil nach dem @-Zeichen aus Option 2 ist, ist reiner Zufall. Das könnte und dürfte in den meisten Umgebungen sehr wahrscheinlich unterschiedlich sein.

iPhone-Aktivierung per Active Directory Anmeldeinformationen
iPhone-Aktivierung mit Active Directory Anmeldeinformationen

Falls der FQDN der AD-Domain nicht bekannt ist, kann man sich den FQDN in der Kommandzeile auf einem Windows-Rechner einfach anzeigen lassen. Dafür reicht der Befehl set userdnsdomain.

Ausgabe der Kommandozeile für den Befehl set userdnsdomain

Mit der dritten Option ist es für einen Benutzer oder eine Benutzerin ganz einfach sein iPhone oder iPad zu aktivieren. Viele meiner Kunden nutzen diese dritte Option, weil es den Benutzern ermöglich die Geräte ohne IT-Unterstützung bzw. direkten Zugriff auf das eigene E-Mail-Postfach zu aktivieren. Das ist z.B. bei größeren Geräterollouts oder beim Austausch des iPhones oder iPads sehr hilfreich.

iPhone season is getting closer

In a few weeks’ time Apple will launch new iPhones and a new OS version: iOS 18. We should also see an iPadOS 18 update. As usual, many users will immediately jump onto the new iOS version as soon as it is available to the public. If you are an organisation that issues iPhones and iPads to their end users through Apple Business Manager and an MDM solution, I would recommend to not immediately do the upgrade to the new iOS version. Through your MDM solution Apple allows you to delay the update on supervised devices for up to 90 days. This gives you ample time to test all your business applications and confirm that they work properly with iOS 18 and iPadOS 18. When the tests are finished successfully, your users can safely do the upgrade to iOS 18 and iPadOS 18. And you can rest assured that you will not be flooded with support requests related to the upgrade.

My recommendation is to delay the updates for 30 days and then go through your test plan. Should you encounter issues during the testing that need to be addressed by Apple, your MDM supplier or any 3rd party app developer, you can easily extend the 30 days as required and work on having the issues resolved.

With BlackBerry UEM delaying the software updates is easy and simple. All you need to do is modify the IT policy assigned to your users or their devices and enable “Delay software updates (supervised)” and set a value for “Software update delay period (supervised only)”. The screenshot below shows an “IT Policy” with the delay enabled for 30 days. Other MDM solutions usually give you similar options to configure the software update delay. Good luck with your testing!

Apple Business Manager: Disable Activation Lock

Organizations providing iPhones and iPads to employees can sometimes encounter a hurdle: returned devices with Activation Lock still enabled. This prevents assigning the device to a new user. Disabling Activation Lock can be inconvenient, especially if:

  • The device is locked with a personal Apple Account (not the company account).
  • The device wasn’t enrolled in a Mobile Device Management (MDM) solution.

Solutions based on MDM enrollment

  • Supervised MDM devices: If the device was enrolled in an MDM as a supervised device, your MDM solution likely offers a bypass code to remove Activation Lock.
  • Contacting Apple (limited success): You can also contact Apple, proving ownership and purchase of the device. However, this method isn’t foolproof.

Simplified removal with Apple Business Manager

Fortunately, Apple has streamlined Activation Lock removal for organizations using Apple Business Manager. Now, you can disable Activation Lock even on devices not enrolled in MDM, as long as they are registered with Apple Business Manager. In the Apple Business Manager device view you now have the option to select “Turn Off Activation Lock”. As far as I am aware, the feature was turned on today for my Apple Business Manager account. I know plenty of my customers who will be very happy about this feature. Turning off activation lock will work for all device types enrolled in Apple Business Manager, including Macs, iPod Touch devices and Apple Watch. All users in Apple Business Manager with a role that has Manage Device privileges can turn Activation Lock off.