移動設(shè)備管理描述文件介紹

iOS、iPadOS、macOS 和 Apple tvOS 具有支持移動設(shè)備管理 (MDM) 的內(nèi)建框架。MDM 可通過將描述文件和命令發(fā)送到設(shè)備來讓你安全地以無線方式配置設(shè)備，無論這些設(shè)備是屬于個人用戶還是組織。MDM 功能包括更新軟件和設(shè)備設(shè)置、監(jiān)督組織策略的貫徹情況以及遠(yuǎn)程擦除或鎖定設(shè)備。用戶可在 MDM 中注冊自己的設(shè)備，組織擁有的設(shè)備可使用“Apple 校園教務(wù)管理”或“Apple 商務(wù)管理”在 MDM 中自動注冊。如果使用“Apple 商務(wù)必備”，你還可以使用直接內(nèi)建的設(shè)備管理。

若要使用 MDM，你需要了解若干概念，請參閱以下部分以了解 MDM 使用注冊和配置描述文件、監(jiān)督和有效負(fù)載的方式。

MDM 注冊涉及使用自動化證書管理環(huán)境 (ACME) 或者簡單證書注冊協(xié)議 (SCEP) 等協(xié)議注冊客戶端證書身份的過程。設(shè)備使用這些協(xié)議來創(chuàng)建唯一的身份證書，用于認(rèn)證組織的服務(wù)。

除非注冊已自動化，否則由用戶決定是否在 MDM 中注冊，并且可隨時取消設(shè)備與 MDM 的關(guān)聯(lián)。因此，你不妨考慮采取一些激勵措施，鼓勵用戶保持被管理的狀態(tài)。例如，通過使用 MDM 自動提供無線憑證，你可以要求用戶完成 MDM 注冊后才能訪問無線局域網(wǎng)。當(dāng)用戶離開 MDM 時，其設(shè)備會嘗試通知 MDM 解決方案設(shè)備不再受管理。

對于組織擁有的設(shè)備，你可以在初始設(shè)置過程中使用“Apple 校園教務(wù)管理”、“Apple 商務(wù)管理”或“Apple 商務(wù)必備”以無線方式自動在 MDM 中注冊并監(jiān)督這些設(shè)備；此注冊過程稱為“自動設(shè)備注冊”。

聲明式設(shè)備管理是現(xiàn)有協(xié)議針對設(shè)備管理的更新，可配合現(xiàn)有 MDM 協(xié)議功能使用。它使設(shè)備無需持續(xù)輪詢即可異步應(yīng)用設(shè)置并向 MDM 解決方案返回狀態(tài)報告。

狀態(tài)報告可讓設(shè)備共享其當(dāng)前狀態(tài)的相關(guān)信息，如有任何變化，可將其主動報告給服務(wù)器而無需輪詢設(shè)備以了解更新。除了設(shè)備屬性之外，現(xiàn)還可報告密碼存在性和合規(guī)性、賬戶以及 MDM App 安裝進(jìn)度和信息的相關(guān)狀態(tài)。

聲明

聲明是由服務(wù)器定義、發(fā)送到設(shè)備并且代表組織要在設(shè)備上執(zhí)行的策略的有效負(fù)載，共有四種類型。

聲明類型

描述

配置

配置類似于 MDM 的現(xiàn)有描述文件有效負(fù)載，例如賬戶、設(shè)置和訪問限制。請參閱 MDM 設(shè)置部分中的“聲明式配置”。

資源

資源由配置所需的用于大型數(shù)據(jù)項目和用戶單獨(dú)數(shù)據(jù)的引用數(shù)據(jù)組成；資源和配置之間是一對多的關(guān)系。請參閱認(rèn)證憑證和身份資源設(shè)置。

激活

激活是自動應(yīng)用到設(shè)備的一組配置，可包括謂詞，如“設(shè)備類型是 iPad”或“作系統(tǒng)版本高于 iPadOS 16.1”。激活和配置之間是多對多的關(guān)系。激活可使用多種謂詞語法（包括狀態(tài)項）以支持復(fù)雜的謂詞表達(dá)。

此外，管理屬性聲明允許服務(wù)器在設(shè)備上設(shè)定任意屬性，這些屬性可直接用于激活謂詞中。

管理

管理用于將整體管理狀態(tài)傳遞到設(shè)備，它描述了有關(guān)組織和 MDM 解決方案功能的詳細(xì)信息。

狀態(tài)通道

狀態(tài)通道是一個新的通信通道，設(shè)備會通過它主動使用關(guān)于自身的新信息更新服務(wù)器。設(shè)備狀態(tài)更新會在狀態(tài)報告中發(fā)送給服務(wù)器。服務(wù)器可訂閱特定狀態(tài)項，以僅收到想要了解的變化的更新。狀態(tài)項還可用作激活謂詞中的表達(dá)式，允許設(shè)備基于狀態(tài)變化獨(dú)立運(yùn)行。有關(guān)更多信息，請參閱聲明式狀態(tài)報告。

注冊描述文件是用戶可在 MDM 解決方案中注冊個人設(shè)備的兩種主要方式之一（另一種方式是通過組織賬戶）。通過此包含 MDM 有效負(fù)載的描述文件，MDM 解決方案會向設(shè)備發(fā)送命令和其他配置描述文件（如有需要）。它還可向設(shè)備查詢信息，如其激活鎖狀態(tài)、電池電量和名稱。

用戶移除注冊描述文件后，基于該注冊描述文件的所有配置描述文件及其設(shè)置和受管理的 App 都會隨之移除。一臺設(shè)備上一次只能有一個注冊描述文件。

設(shè)備或用戶批準(zhǔn)注冊描述文件后，包含有效負(fù)載的配置描述文件就會發(fā)送到設(shè)備。然后你可以無線分發(fā)、管理和配置通過“Apple 校園教務(wù)管理”、“Apple 商務(wù)管理”或“Apple 商務(wù)必備”購買的 App 和圖書。App 可由用戶安裝或自動安裝，具體取決于 App 的類型、分配方式以及設(shè)備是否被監(jiān)督。有關(guān)更多信息，請參閱關(guān)于 Apple 設(shè)備監(jiān)督。

配置描述文件是一個 XML 文件（以 .mobileconfig 結(jié)尾），其中包含將設(shè)置和授權(quán)信息載入到 Apple 設(shè)備的有效負(fù)載。它會自動配置設(shè)置、賬戶、訪問限制和憑證。這些文件可通過 MDM 解決方案或 Apple Configurator 創(chuàng)建，也可手動創(chuàng)建。

由于配置描述文件可被加密和簽名，因此你可以將其限制用于特定的 Apple 設(shè)備，并阻止除擁有用戶名和密碼的用戶外的任何人更改其中的設(shè)置。你還可以將配置描述文件標(biāo)記為被鎖定到設(shè)備。

如果你的 MDM 解決方案支持，則可以將配置描述文件作為郵件附件分發(fā)、通過自己網(wǎng)頁上的鏈接分發(fā)或者通過 MDM 解決方案的內(nèi)建用戶門戶分發(fā)。當(dāng)用戶打開電子郵件附件或使用網(wǎng)頁瀏覽器下載配置描述文件時，會提示他們開始安裝配置描述文件。

有關(guān)描述文件安裝和“鎖定模式”的更多信息，請參閱 Apple 支持文章：關(guān)于“鎖定模式”。

【注】你可以使用 Mac 版 Apple Configurator 將配置描述文件（自動或手動）添加到 iOS、iPadOS 和 Apple TV 設(shè)備。有關(guān)更多信息，請參閱《Apple Configurator 使用手冊（適用于 Mac）》。

作為管理員，你可以發(fā)送可更改整個設(shè)備或單個用戶的設(shè)置的配置描述文件：

設(shè)備描述文件可發(fā)送到設(shè)備和設(shè)備群組，并將設(shè)備設(shè)置應(yīng)用到整個設(shè)備。

iPhone、iPad 和 Apple TV 無法識別多個用戶，因此從 iOS、iPadOS 和 Apple tvOS 有效負(fù)載和設(shè)置創(chuàng)建的配置描述文件始終是設(shè)備描述文件。雖然 iPadOS 描述文件是設(shè)備描述文件，但配置為“共享 iPad”的 iPad 設(shè)備可支持基于設(shè)備或用戶的描述文件。

用戶描述文件可發(fā)送到用戶和用戶群組，并將用戶設(shè)置僅應(yīng)用到對應(yīng)的用戶。

Mac 電腦可以有多個用戶，因此針對 macOS 描述文件的有效負(fù)載和設(shè)置可基于設(shè)備或用戶。

設(shè)備和用戶設(shè)置因所處位置而異：在系統(tǒng)層級安裝的設(shè)置位于設(shè)備通道中。為用戶安裝的設(shè)置位于用戶通道中。

描述文件的移除方式取決于其安裝方式。下列闡述了描述文件的移除方式：

1.所有描述文件均可通過擦除設(shè)備的所有數(shù)據(jù)來進(jìn)行移除。

2.如果設(shè)備已通過“Apple 校園教務(wù)管理”、“Apple 商務(wù)管理”或“Apple 商務(wù)必備”在 MDM 中注冊，管理員可選擇注冊描述文件是否可被用戶移除，或只能被 MDM 服務(wù)器自身移除。

3.如果描述文件通過 MDM 解決方案安裝，可通過該特定 MDM 解決方案，或由用戶通過移除注冊配置描述文件以取消注冊 MDM 來進(jìn)行移除。

4。如果描述文件通過 Apple Configurator 安裝到被監(jiān)督的設(shè)備上，可由該 Apple Configurator 監(jiān)督實例進(jìn)行移除。

5.如果描述文件通過手動或 Apple Configurator 安裝到被監(jiān)督的設(shè)備上且有移除密碼有效負(fù)載，用戶必須輸入移除密碼才可進(jìn)行移除。

6.其他所有描述文件均可由用戶進(jìn)行移除。

使用配置描述文件安裝的賬戶可通過移除描述文件來進(jìn)行移除。Microsoft Exchange ActiveSync 賬戶（包括使用配置描述文件安裝的賬戶）可通過 Microsoft Exchange Server 發(fā)出僅針對賬戶的遠(yuǎn)程擦除命令來進(jìn)行移除。

【重要事項】如果用戶知道設(shè)備密碼，他們可以從未被監(jiān)督的 iPhone 和 iPad 中手動移除已安裝的配置描述文件，即使該選項設(shè)為“永不”。Mac 用戶只有在知道管理員的用戶名和密碼時才可執(zhí)行相同的作。用戶可使用 profiles 命令行工具、“系統(tǒng)設(shè)置”（在 macOS 13 或更高版本中）或者“系統(tǒng)偏好設(shè)置”（在 macOS 12.0.1 或更低版本中）執(zhí)行此作。在 macOS 10.15 或更高版本中，與 iOS 和 iPadOS 中一樣，使用 MDM 安裝的描述文件必須使用 MDM 移除，或者隨取消注冊 MDM 而自動移除。

以下 Apple 設(shè)備有支持 MDM 的內(nèi)建框架：

運(yùn)行 iOS 4 或更高版本的 iPhone

運(yùn)行 iOS 4.3 或更高版本或者 iPadOS 13.1 或更高版本的 iPad

運(yùn)行 OS X 10.7 或更高版本的 Mac 電腦

運(yùn)行 Apple tvOS 9 或更高版本的 Apple TV

【注】某些選項并非在所有 MDM 解決方案中都可用。若要了解哪些 MDM 選項適用于你的設(shè)備，請參閱 MDM 供應(yīng)商文稿。