Jamf Pro vs Intune: Gerir macOS em Empresas em 2026

SCHEMA MARKUP JSON-LD  |  ✎ Duarte Spínola  |  Tags:

Gerir Macs numa empresa não é opcional — é requisito. Surface Book e ThinkPad continuam dominantes em IT, mas designers, developers e executivos insistem em macOS. A questão não é se precisas de MDM para macOS, mas qual: Jamf Pro (especialista, pago, Apple-only) ou Microsoft Intune (generalista, incluído no M365, multi-plataforma). Este artigo configura ambos, compara features macOS-específicas, custos reais para PME com 25 Macs, e dá um guia de decisão por cenário (Jamf docs, Intune macOS docs).

Neste artigo

  1. Entender MDM para macOS
  2. Pré-requisitos e Apple Business Manager
  3. Passo 1 — Configurar Jamf Pro para macOS
  4. Passo 2 — Configurar Intune para macOS
  5. Passo 3 — Deployment Automático (DEP/ABM)
  6. Passo 4 — Políticas de Segurança e Compliance
  7. Passo 5 — Gestão de Aplicações
  8. Passo 6 — FileVault e Recovery Keys
  9. Jamf vs Intune — Comparação Prática
  10. Erros Comuns
  11. Checklist Rápido de Verificação

1. Entender MDM para macOS

MDM (Mobile Device Management) é um protocolo Apple nativo desde OS X 10.7 (2011). Permite a um servidor remoto configurar políticas, instalar aplicações, bloquear features e apagar dispositivos — tudo sem intervenção do utilizador. O protocolo é o mesmo para iOS e macOS: o que muda é o servidor MDM que o implementa.

Analogia: MDM é como um comando remoto universal para Macs. O protocolo é da Apple (o “comando”), mas qualquer marca de servidor pode usar o protocolo para enviar ordens — Jamf, Intune, Kandji, Mosyle, Addigy.

Conceito Função Equivalente Windows
MDM Protocolo de gestão remota GPO / Intune
DEP (Device Enrollment Program) Inscrição automática na compra Windows Autopilot
Apple Business Manager (ABM) Portal Apple para DEP + VPP Microsoft Store for Business
VPP (Volume Purchase Program) Comprar apps em volume Volume Licensing
Configuration Profile Política XML aplicada ao Mac GPO setting
Jamf Pro Servidor MDM especialista macOS —
Intune Servidor MDM multi-plataforma Microsoft —

A diferença crítica: Jamf Pro foi construído apenas para Apple. Conhece cada canto do macOS — every preference domain, every CLI tool, every deployment quirk. Intune foi construído para Windows primeiro e macOS foi adicionado depois. Funciona, mas com menos profundidade (Apple MDM protocol).

2. Pré-requisitos e Apple Business Manager

Requisito Jamf Pro Intune
Apple Business Manager Obrigatório (DEP + VPP) Obrigatório (DEP)
D-U-N-S number Necessário para ABM Igual
MDM server Jamf Cloud ou self-hosted Intune (cloud Microsoft)
Licença Jamf Pro per-device (~€3.50/mês) Microsoft 365 (incluído em E3/E5)
Conectividade HTTPS para Apple + Jamf Cloud HTTPS para Apple + Microsoft
Configuração ABM Adicionar MDM server + token Adicionar MDM server + token

Configurar Apple Business Manager

  1. Ir a business.apple.com e registar a empresa com D-U-N-S
  2. Apple verifica o registo (24-48h)
  3. Em ABM, ir a “MDM Servers” → Adicionar servidor
  4. Fazer upload do CSR (Certificate Signing Request) gerado pelo Jamf ou Intune
  5. Descarregar o token DEP e importar no MDM server

Este token liga o ABM ao MDM — quando um Mac comprado via ABM arranca pela primeira vez, o token diz-lhe para se inscrever no MDM correcto automaticamente.

3. Passo 1 — Configurar Jamf Pro para macOS

No Jamf Pro (Jamf Cloud ou self-hosted), configurar a inscrição automática via DEP:

  1. Ir a Devices > Device Enrollment Program e fazer upload do token DEP do ABM
  2. Criar uma PreStage Enrollment — política que se aplica durante a inscrição inicial:
Setting Valor recomendado O que faz
Display name “Empresa – Mac Management” Nome que aparece no ecrã de inscrição
Mandatory Sim O utilizador não pode remover a inscrição
Prevent user from removing MDM Sim Bloqueia removal via System Settings
Require Network Time Server sync Sim Garante que o relógio está correcto para certificados
Site N/A (single site) Para multi-site organisations
Inventory display name Nome do utilizador Como o Mac aparece no inventory

Criar uma política de Configuration Profile para FileVault:



PayloadType
com.apple.MCX.FileVault2
PayloadContent

EnableFileVault
DeferEnableAtUserLogout
ShowRecoveryKey

RecoveryKeyEscrow

URL
https://empresa.jamfcloud.com/filevault/recover

O que cada chave faz:

  • EnableFileVault — ativa FileVault (encriptação de disco)
  • DeferEnableAtUserLogout — inicia encriptação no próximo logout (não interrompe o utilizador)
  • ShowRecoveryKey — false: não mostra a chave ao utilizador (escrow apenas no Jamf)
  • RecoveryKeyEscrow.URL — URL do Jamf onde a chave de recovery é guardada centralmente (Jamf FileVault)

4. Passo 2 — Configurar Intune para macOS

No Intune (Intune admin center → Devices > macOS):

  1. Ir a macOS enrollment > Corporate Device Identifiers e fazer upload do token DEP do ABM
  2. Criar uma Enrollment Profile para DEP:
Setting Valor Descrição
Name “Empresa – macOS DEP” Nome do profile
Enrollment URL https://intune.microsoft.com URL de inscrição
Platform macOS —
User affinity Com afinidade Associa o Mac a um utilizador Entra ID
Management mode Supervised Controlo total via MDM

Criar uma política de compliance para macOS:

{
“settings”: [
{
“settingName”: “FileVaultEnabled”,
“@odata.type”: “#microsoft.graph.macOSCompliancePolicy”,
“value”: true,
“severity”: “nonCompliant”
},
{
“settingName”: “PasswordRequired”,
“value”: true,
“severity”: “nonCompliant”
},
{
“settingName”: “PasswordMinimumLength”,
“value”: 8,
“severity”: “nonCompliant”
},
{
“settingName”: “OsMinimumVersion”,
“value”: “14.0”,
“severity”: “nonCompliant”
},
{
“settingName”: “FirewallEnabled”,
“value”: true,
“severity”: “nonCompliant”
}
]
}

O que cada setting faz:

  • FileVaultEnabled — exige FileVault ativo (encriptação de disco)
  • PasswordRequired + PasswordMinimumLength — password de pelo menos 8 caracteres
  • OsMinimumVersion — macOS 14 (Sonoma) ou superior
  • FirewallEnabled — firewall do macOS ativa

Aplicar via Intune admin center ou Microsoft Graph API (Intune macOS compliance).

5. Passo 3 — Deployment Automático (DEP/ABM)

O DEP (agora parte do Apple Business Manager) permite que Macs comprados via canal Apple authorised se inscrevam automaticamente no MDM no primeiro arranque — sem intervenção do utilizador.

Fluxo DEP:

  1. PME compra Macs via Apple Partner (reseller autorizado)
  2. Reseller regista os seriais no ABM da PME
  3. Quando o Mac arranca pela primeira vez (ou após reset), o Setup Assistant detecta que o serial está no DEP
  4. O Mac liga ao MDM server (Jamf ou Intune) e inscreve-se automaticamente
  5. Políticas, profiles e aplicações são aplicadas sem o utilizador fazer nada

⚠️ Atenção

Macs comprados em loja de retalho (não via canal Apple Business) não ficam no DEP. Têm de ser inscritos manualmente via link de inscrição ou Apple Configurator.

6. Passo 4 — Políticas de Segurança e Compliance

Jamf Pro — Configuration Profiles de segurança

Profile Função Comando equivalente
FileVault 2 Encriptação de disco fdesetup enable
Passcode Policy Password policy —
Restrictions Bloquear features (App Store, iCloud, etc.) —
Firewall ativar firewall macOS sudo /usr/libexec/ApplicationFirewall/socketfilterfw --setglobalstate on
Privacy Preferences (PPPC) Controlar acesso a TCC (câmara, microfone, ecrã) —
Software Updates Forçar updates macOS softwareupdate --install -r

Intune — Políticas de segurança macOS

Intune suporta:

  • Device Restrictions (bloquear câmara, iCloud Drive, Handoff)
  • Endpoint Protection (FileVault, firewall, Gatekeeper)
  • Software Updates (forçar macOS updates)
  • Conditional Access (bloquear acesso a M365 se não compliant)

ℹ️ Nota: O Jamf suporta Privacy Preferences Policy Control (PPPC) — o mecanismo macOS que controla quais apps podem aceder a câmara, microfone, disco cheio, ecrã. O Intune tem suporte limitado a PPPC via settings catalog mas não é tão granular como o Jamf.

7. Passo 5 — Gestão de Aplicações

Jamf Pro — Self Service + VPP

O Jamf Self Service é uma app macOS que funciona como “App Store corporativa”. O utilizador instala apps aprovadas sem privilégios de admin:

  • Apps VPP (compradas em volume via ABM) — instalação silenciosa, sem Apple ID
  • Apps internas (PKG/DMG) — distribuídas via Self Service
  • Scripts — disponíveis como botões no Self Service

Intune — App Assignment

O Intune distribui apps macOS via:

  • VPP apps (igual ao Jamf, via ABM token)
  • LOB apps (PKG) — upload manual do pacote
  • Microsoft apps (Edge, Teams, Office) — via Intune App SDK
Feature Jamf Pro Intune
App Store corporativa Self Service (dedicada) Company Portal (multi-plataforma)
VPP sem Apple ID Sim Sim
PKG distribution Sim Sim
DMG distribution Sim Não (apenas PKG)
Scripts via app Sim (Self Service buttons) Não (scripts via policies)
App update management Sim (VPP auto-update) Sim (VPP auto-update)

8. Passo 6 — FileVault e Recovery Keys

Jamf Pro — FileVault management

O Jamf gere FileVault completamente:

  1. Ativa FileVault via Configuration Profile
  2. Gera recovery key automaticamente
  3. Faz escrow da recovery key no Jamf server
  4. Admin pode ver/recuperar a chave na consola Jamf
  5. Rotação periódica de recovery keys (policy)

Para recuperar a chave de um Mac:

  1. Jamf admin console → Computers → Search → seleccionar Mac
  2. Tab “FileVault 2” → ver recovery key
  3. Usar a chave no ecrã de recovery do Mac

Intune — FileVault management

O Intune gere FileVault via Endpoint Protection:

  1. Criar macOS Endpoint Protection policy
  2. ativar FileVault
  3. Recovery key é guardada no Entra ID (Azure AD)
  4. Admin pode recuperar via Intune console → Devices → seleccionar Mac → Recovery keys

⚠️ Atenção

Se o Mac está inscrito no Intune mas não tem afinidade de utilizador (DEP sem user), a recovery key pode não ser acessível via Intune console. Garantir que o enrollment profile tem “user affinity” activado.

9. Jamf vs Intune — Comparação Prática

Critério Jamf Pro Intune Vencedor
Profundidade macOS Excelente (Apple-only) Boa (multi-plataforma) Jamf
Preço (25 Macs) ~€1.050/ano €0 (incluído em M365 E3) Intune
Self Service app Sim, dedicada Company Portal (partilhada) Jamf
PPPC granular Sim Limitado Jamf
Conditional Access M365 Via Jamf+Intune integration Nativo Intune
Multi-plataforma Não (Apple only) Sim (Win/Mac/iOS/Android) Intune
Comunidade Jamf Nation (grande) Microsoft Learn (enorme) Empate
Setup complexity Médio Médio Empate
Inventory detail Muito detalhado Básico Jamf
Scripts management Excelente (policies + Self Service) Básico Jamf

Recomendação para PME:

  • Se já tens Microsoft 365 E3/E5 → Intune (está incluído, não há custo extra)
  • Se tens apenas Macs e queres gestão profunda → Jamf Pro (a diferença em profundidade é significativa)
  • Se tens Macs + Windows + Android → Intune (consola unificada)
  • Se tens Macs + queres Conditional Access M365 → Jamf + Intune integration (Jamf gere o Mac, Intune avalia compliance para Conditional Access)

10. Erros Comuns

Problema Causa Solução
Mac não inscreve no DEP Serial não registado no ABM Verificar ABM → Devices. Comprar via canal autorizado
FileVault não ativa Utilizador é admin local (DEP sem supervision) Garantir que o enrollment é “supervised” via DEP
Recovery key não visível Sem user affinity ou key não fez escrow Verificar enrollment profile: user affinity = com
Apps VPP não instalam Token VPP expirado ou sem licenças atribuídas Renovar token VPP no ABM e atribuir licenças
Self Service vazio Sem policies scoped para o utilizador Verificar scope de policies em Jamf Pro
Intune compliance “not compliant” macOS abaixo da versão mínima atualizar macOS ou ajustar policy de versão mínima
Conditional Access bloqueia Mac Jamf+Intune integration mal configurada Verificar Jamf Pro → Settings > User-Initiated Enrollment > Conditional Access
PPPC profile não aplica macOS 10.14+ requer PPPC para acesso TCC Usar Jamf PPPC Utility para gerar o profile correcto

11. Checklist Rápido de Verificação

  • [ ] Apple Business Manager ativo e D-U-N-S validado
  • [ ] Token DEP importado no MDM (Jamf ou Intune)
  • [ ] Enrollment profile criado com supervision + user affinity
  • [ ] Macs de teste inscritos via DEP (primeiro arranque)
  • [ ] FileVault ativo e recovery keys acessíveis na consola
  • [ ] Password policy aplicada (mínimo 8 caracteres)
  • [ ] Firewall macOS ativo via MDM
  • [ ] Apps VPP distribuídas (testar com uma app gratuita)
  • [ ] Self Service / Company Portal acessível e com apps
  • [ ] Compliance policy avaliada (Intune: “Compliant” no device overview)

Artigos Relacionados

← Voltar ao Índice

Este artigo foi útil?

Duarte Spínola

Artigos  

Deixe um Comentário