Apple 商务中的设备管理服务简介
概览
iOS、iPadOS、macOS、Apple tvOS、visionOS 和 watchOS 均配备有支持设备管理的内置框架。组织可以通过设备管理服务向设备发送配置、描述文件和命令来安全地远程配置设备，无论设备为用户所有还是组织所有。它还允许设备异步应用设置，并将状态信息报告回设备管理服务，而无需持续轮询。这种设计在性能和可扩展性方面表现出色。声明式设备管理让组织确保设备处于期望状态、关键数据保持安全（即使在没有互联网连接的情况下）；对用户来说，则提供了响应更迅速的体验。相关功能包括更新软件和设备设置、监控对组织政策的合规信息，以及远程抹掉或锁定设备。
你可以将设备分配给设备管理服务，从而指定哪些服务将用于设备注册和自动设备注册。分配设备管理服务不会影响设备当前的注册。这两种注册方法的区别如下：
设备注册：用户在完成“设置助理”相关操作后手动注册设备。
自动设备注册：设备会显示在“设置助理”中。
你还可以通过以下方式将设备自动分配给服务：按平台分配、在设备页面上针对单个设备分配、批量操作，以及使用适用于 iPhone 的 Apple Configurator。
你可以根据自己的标准，列出设备管理服务的候选清单，并使用测试设备来评估哪个服务最能满足你的需求，然后再作出决定。Apple 商务允许关联多个设备管理服务，你可以根据需要将设备分配给不同的服务。
开始操作前
在关联至外部设备管理服务前，请先确认以下信息：
安全性：你创建的每个外部设备管理服务都需要向 Apple 登记，并且需要使用两步验证流程进行安全授权。该验证流程涉及在设备管理服务上创建和安装设备管理服务令牌。证书将对令牌进行加密。有关如何传输令牌的信息，请参阅设备管理服务的文稿。
证书：在添加外部设备管理服务之前，从你的设备管理服务开发者处获取要添加的各个服务的公共密钥证书文件（以 .pem 或 .der 结尾）。有关获取服务的公共密钥证书的信息，请参阅设备管理服务的文稿。
【注】上传的公共密钥证书文件不得超过 250 个。
名称：为每个外部设备管理服务命名时，不需要使用完全限定域名。例如，你可以选择基于特定建筑、位置、房间或工作职能的名称（但是多个服务不能使用相同名称）。此外，也不能将服务命名为“未分配”或“已重新分配”。
设备支持：某些设备管理服务专注于为特定的 Apple 设备类型提供深度支持（例如仅限 Mac 电脑，或仅限 iPhone 和 iPad），而其他服务则提供跨平台支持。你可以选择多家服务进行组合，并通过按设备类型自动分配功能，为每种设备类型轻松匹配专门的解决方案。你也可以选择一家能够支持组织内所有 Apple 设备类型的服务。
查询和报告服务：设备管理服务可以查询 Apple 设备的各项信息，包括硬件序列号、设备 UDID、Wi-Fi、媒体访问控制（MAC）地址，以及文件保险箱加密状态（适用于 Mac 电脑），还可以查询软件信息（如设备版本和限制），以及设备安装的 App 列表，用于确保用户保留的 App 符合要求。iOS和 iPadOS 允许查询设备最近一次备份到 iCloud 的时间，以及登录用户的 App 分配账户哈希值。对于 Apple tvOS，设备管理服务可以查询已注册 Apple TV 设备的资产信息，如语言、语言区和组织。
服务商支持权限与政策：设备管理服务是一项关键任务通信服务。你需要仔细评估你的设备管理服务开发者所提供的支持、服务和培训。
设备管理服务的网络要求
在安装和配置设备管理服务时，请考虑你需要如何配置网络、传输层安全协议（TLS）、基础架构服务、Apple 服务以及备份。
在安装本地托管的设备管理服务时，你需要配置所有下列项目。请尽早配置并测试每一个项目，确保部署顺利进行。如果你的服务由外部管理或托管在云端，开发者可能会为你处理其中的许多项目。
DNS：设备管理服务需要使用组织网络内外都可解析的完全限定域名。这样无论设备是在本地还是远程连接，服务都可以进行管理。为了与客户端保持连通，此域名不可更改。
IP 地址：大多数设备管理服务要求使用静态 IP 地址。如果服务器的 IP 地址改变，现有的 DNS 名称需要保持不变。
TLS 配置：Apple 设备与设备管理服务间的所有通信都使用 HTTPS 加密。这些通信需要使用 TLS（以前为 SSL）证书进行保护。如果没有来自知名证书颁发机构（CA）的证书，请勿部署设备。请记下证书有效期，确保在证书过期前续期。
防火墙端口：若要同时允许设备管理服务的内部和外部访问，则需要开启相应的防火墙端口。大多数服务接受在端口 443 使用 HTTPS 的入站连接。Apple 设备需要能够连接到特定主机的特定端口：
TCP 端口 443：激活设备时使用；激活后，如果设备无法通过端口 5223 与 Apple 推送通知服务（APNs）通信，则将 443 作为备选端口
TCP 端口 5223：用于与 APNs 通信
TCP 端口 443 或 2197：用于从设备管理服务向 APNs 发送通知
【注】你的设备管理服务可能会托管激活锁密钥和绕过代码、macOS Bootstrap 令牌，以及其他对于保持设备访问连续性至关重要、具有唯一性的数据。因此，请务必为内部部署的设备管理服务制定完备的灾难恢复策略。建议定期测试备份与恢复功能。
对设备的额外管理
对设备施加监管，通常意味着该设备归组织所有，且组织拥有对设备配置和限制的额外控制。组织可以通过多种方式监管设备，部分方式因平台而异。请参阅 Apple 平台部署中的“关于 Apple 设备监督”。