![](https://help.apple.com/assets/664256E0F9FFA26F690A0B01/664256E3F9FFA26F690A0B07/zh_HK/312766e3df7f57c1f549da2dab216b36.png)
流動裝置管理描述檔簡介
iOS、iPadOS、macOS、tvOS、watchOS 10 或較新版本,以及 visionOS 1.1 或較新版本具備內置架構可支援流動裝置管理(MDM)。 MDM 可讓你透過傳送描述檔和指令至裝置,以安全和無線的方式設定裝置(無論它們是否由用户或機構所擁有)。 MDM 功能包括更新軟件和裝置設定、監控機構政策的貫徹情況,以及遙距清除或鎖定裝置。 用户可在 MDM 中註冊本身的裝置,而機構裝置可使用 Apple School Manager 或 Apple Business Manager 在 MDM 中自動註冊。 如你使用 Apple Business Essentials,你也可以使用其內置的裝置管理。
如果你要使用 MDM,有一些概念需要先理解,因此請參閲以下的部份以了解 MDM 如何使用註冊和設定描述檔、監管和承載資料。
裝置如何註冊
MDM 中的註冊包括使用「自動證書管理環境」(ACME)或「簡易證書註冊通訊協定」(SCEP)等通訊協定註冊用户端證書識別身份。 裝置可使用這些通訊協定來建立獨有的識別身份證書以進行機構服務的認證。
除非註冊為自動進行,用户可決定要不要在 MDM 裏註冊,他們也可以隨時與 MDM 取消註冊其裝置。 因此,你會想提供誘因,讓用户願意維持受管理的狀態。 例如,你可以使用 MDM 自動提供無線憑證,藉此要求用户必須註冊 MDM 才能連接 Wi-Fi 網絡。 當用户離開 MDM,其裝置會試着通知 MDM 解決方案,告知裝置不再受監管。
針對你機構擁有的裝置,你可以使用 Apple School Manager、Apple Business Manager 或 Apple Business Essentials,讓裝置在初始設定期間自動於 MDM 中註冊並無線監管裝置,此註冊流程被稱為「自動裝置註冊」。
MDM 和「失竊裝置保護」
「失竊裝置保護」開啟時,如用户在陌生的位置,以下動作會延遲一小時:
在 MDM 中手動註冊裝置
手動安裝密碼描述檔或設定
在設定中或透過描述檔或配置來設定 Microsoft Exchange 帳户
註冊描述檔
用户有兩個主要方式可將個人裝置註冊到 MDM 解決方案,註冊描述檔為其中之一(另一種為使用用户註冊)。 透過這個包括 MDM 承載資料的描述檔,MDM 解決方案會傳送指令和(必要時)其他設定描述檔到裝置。 此描述檔也可以向裝置查詢其「啟用鎖」狀態、電池電量和名稱等資料。
當用户移除註冊描述檔,基於該註冊描述檔的所有設定描述檔、設定和「受管理的 App」都會被移除。 一部裝置同一時間只能有一個註冊描述檔。
裝置或用户批准註冊描述檔後,便會將含有承載資料的設定描述檔傳送至裝置。 你之後便能以無線方式分配、管理和設定透過 Apple School Manager、Apple Business Manager 或 Apple Business Essentials 購買的 App 與書籍。 用户可以自行安裝 App,或者 App 可被自動安裝﹐視乎 App 的類型、分派方式以及裝置是否受管理而定。 如需更多資料,請參閲:關於 Apple 裝置監管。
設定描述檔
設定描述檔是一種包含承載資料的 XML 檔案(結尾為 .mobileconfig),其可將設定和授權資料載入 Apple 裝置。 設定描述檔會自動處理設定、帳户、限制和證書的設定操作。 這些檔案是由 MDM 解決方案或 Mac 版 Apple Configurator 製作,也可以手動製作。 如需使用 Mac 版 Apple Configurator 在 iPhone、iPad 和 Apple TV 裝置上建立和安裝設定描述檔的更多資料,請參閲 Mac 版 Apple Configurator 使用手冊中的建立和編輯設定描述檔。
由於設定描述檔可以加密和簽署,可讓你將其用途限制於特定的 Apple 裝置,並避免任何人更改描述檔的設定(用户名稱和密碼除外)。 你可以將設定描述檔標示為對裝置鎖定。
如你的 MDM 解決方案支援此功能,則可以使用以下方式來分派設定描述檔:電郵附件、透過自己網頁上的連結,或是透過 MDM 解決方案的內置用户入口網站。 當用户開啟郵件附件或使用網頁瀏覽器下載設定描述檔時,會收到開始安裝設定描述檔的提示。
你可以將可為整個裝置或單一用户更改設定的設定描述檔傳送:
裝置描述檔可被傳送到裝置和裝置群組,並將裝置設定套用到整個裝置。
iPhone、iPad、Apple TV、Apple Watch 和 Apple Vision Pro 無法識別多於一個用户,所以從 iOS、iPadOS、tvOS、watchOS 10 或較新版本,以及 visionOS 1.1 或較新版本中製作的設定描述檔總是裝置描述檔。 雖然 iPadOS 描述檔也是裝置描述檔,但為「共用的 iPad」設定的 iPad 裝置可支援基於裝置或用户的描述檔。
用户描述檔可被傳送到用户和用户群組(如 MDM 解決方案支援用户群組),並將用户設定只套用到個別用户。 Mac 電腦可以有多個用户,因此 macOS 描述檔的承載資料和設定可基於裝置或用户。 在「設定輔助程式」中製作的用户帳户會被視為由 MDM 解決方案管理,並且可以接收描述檔。 在 macOS 11 或較新版本,可以選擇管理 MDM 在註冊期間建立的管理員帳户。 針對 Active Directory:綁定部署,目前登入的網絡用户便可使用 MDM 進行管理。
裝置和用户設定會因其所在的位置而有所不同: 安裝在系統層級的設定會位於裝置頻道中。 為用户安裝的設定會位於用户頻道中。
如需更多關於描述檔安裝和「封鎖模式」的資料,請參閲 Apple 支援文章:關於「Lockdown Mode(鎖定模式)」。
移除描述檔
移除描述檔的方式視其安裝方式而定。 以下步驟表示移除描述檔的方式:
1. 所有描述檔都可以透過清除裝置的所有資料來移除。
2. 如果裝置已使用 Apple School Manager、Apple Business Manager 或 Apple Business Essentials 在 MDM 中註冊,管理員可選擇註冊描述檔能否由用户移除,或是否只能由 MDM 伺服器本身來移除。
3. 如描述描由 MDM 解決方案安裝,其可被該指定的 MDM 解決方案移除,或由用户透過移除註冊設定描述檔來從 MDM 取消註冊。
4. 如描述檔被安裝到使用 Apple Configurator 的受監管裝置,Apple Configurator 的監管範例可將描述檔移除。
5. 如描述檔被手動或使用 Apple Configurator 安裝到受監管的裝置,且描述檔有移除密碼承載資料,用户必須輸入該移除密碼以移除描述檔。
6. 其他所有描述檔都可被用户移除。
由設定描述檔配置的帳户可藉由移除描述檔的方式來移除。 Microsoft Exchange ActiveSync 帳户(包括使用設定描述檔安裝的帳户)可藉由發出只限帳户遙距清除指令來以 Microsoft Exchange Server 移除。
重要事項:如用户知道裝置密碼,即使該選項已設為「永不」,用户仍然可以移除來自 iPhone 和 iPad 裝置的手動安裝未受管理設定描述檔。 Mac 上的用户只可以在用户知道管理員的用户名稱和密碼時執行相同操作。 用户可以使用 profiles
命令列工具、「系統設定」(macOS 13 或較新版本)或「系統偏好設定」(macOS 12.0.1 或較早版本)來執行此操作。 在 macOS 10.15 或較新版本,如同在 iOS 和 iPadOS 上一樣,以 MDM 安裝的描述檔必須以 MDM 移除,或其會在取消註冊 MDM 時自動移除。
MDM 通訊要求
在以下情況下,第三方 MDM 與 Apple 裝置的通訊最有可能成功:
已設定 MDM 解決方案,已成功測試並且正常運作
APN 證書有效且未過期
裝置已經開啟電源
裝置目前已註冊到 MDM
裝置已連接的網絡可取用互聯網(以供 APN 通訊)
裝置已連接的網絡必須能夠取用與 MDM 相關的 Apple 主機
如需更多資料,請參閲 Apple 支援文章:在企業網絡使用 Apple 產品。
附註:Apple 沒有控制第三方 MDM 解決方案。 其他問題(例如 MDM 承載資料設定錯誤)也可能導致 MDM 通訊失敗。
支援的 Apple 裝置
下列 Apple 裝置有支援 MDM 的內置架構:
安裝 iOS 4 或較新版本的 iPhone
安裝 iOS 4.3 或較新版本,或安裝 iPadOS 13.1 或較新版本的 iPad
安裝 OS X 10.7 或較新版本的 Mac 電腦
安裝 tvOS 9 或較新版本的 Apple TV
安裝 watchOS 10 或較新版本的 Apple Watch
安裝 visionOS 1.1 或較新版本的 Apple Vision Pro
附註:並非所有選項都可以在所有 MDM 解決方案中使用。 如需了解你的裝置可以使用哪些 MDM 選項,請參閲 MDM 供應商的文件。