设备配置 - Apple

• Apple 设备配置概览
• Apple 手动注册（注册描述文件）
• Apple 自动设备注册 (ADE)
• Apple 账户驱动注册

Apple 设备配置概览

Cerberus Enterprise 支持注册和管理 iPhone、iPad 和 Mac。Apple 设备配置需要 APNs 证书，并可通过不同的注册方法完成。

前提条件：配置 Apple Management (APNs)

在注册任何 Apple 设备之前，请完成Apple Management 设置 (APNs)。

选择注册方法

手动注册（注册描述文件）

此方法提供注册 URL 和可在设备上安装的配置描述文件（mobileconfig）。请阅读Apple 手动注册。

Automated Device Enrollment (ADE)

此方法与 Apple Business 集成，为公司拥有的设备自动完成注册。请阅读Apple Automated Device Enrollment (ADE)。

账户驱动注册（使用工作账户登录）

用户在设备设置中使用自己的 Managed Apple Account 登录，即可注册 iPhone、iPad 或 Mac：个人设备使用 User Enrollment，不在 Apple Business 中的公司设备使用 Device Enrollment。请阅读Apple 账户驱动注册。

在使用 User Enrollment 注册的个人 iPhone 和 iPad 上，政策中的 App Store 应用会使用 Cerberus 自动分配的 Managed Apple Account 用户许可证进行安装；系统会要求用户安装每个应用。Managed Apple Account 与 Apps and Books 令牌必须属于同一 Apple Business 组织。请阅读个人设备上的应用。

iPhone 和 iPad 上的 Cerberus Enterprise 应用

注册后，Cerberus 会在运行 iOS 或 iPadOS 18.4 或更高版本 的 iPhone 和 iPad 上安装其 Cerberus Enterprise 应用，无论是否有政策。该应用会共享设备位置，并接收通知和实时跟踪请求；在个人设备（用户注册）上，仅当政策开启 个人设备上的位置和地理围栏 且用户允许时，它才会接收消息并共享位置。它需要完成一次性的步骤：将免费应用添加到您的 Apple Business 资料库（Apps & Books → App Store，搜索“Cerberus Enterprise”，对所有当前和未来的组织单位点按添加）。受监督设备会静默安装；在其他设备上，系统会要求用户安装。如果用户已从 App Store 安装，设备会询问是否允许您的组织管理该应用，应用会保留其数据和权限。如果用户拒绝，请使用设备页面上的 重试。用户无法删除该应用，即使 Apps and Books 令牌过期，它也会保持安装状态。Mac 不会获得该应用。

你可以并行使用手动注册和 ADE，具体取决于你的设备群和采购流程。

Apple 手动注册（注册描述文件）

Cerberus Enterprise 支持使用二维码、注册 URL 或注册描述文件文件对 Apple 设备进行手动注册。

当配置了 Apple Management (APNs) 时，可使用手动注册。如果您尚未完成 APNs 设置，请阅读Apple Management 设置 (APNs)。

用户也可以在没有描述文件的情况下，通过在设备设置中使用工作账户登录来注册其 iPhone、iPad 或 Mac。请阅读Apple 账户驱动注册。

注册令牌

注册令牌有自己的注册 URL 和二维码，并为使用它注册的设备分配以下设置：

• 政策：设备注册后立即应用。
• 用户：分配给设备。如果令牌中没有用户，则设备没有用户。
• 所有权：公司所有或个人所有。如果未设置，受监督设备会被设为公司所有，其他设备设为个人所有。手动注册的 iPhone 和 iPad 不受监督；Mac 受监督，因此会被设为公司所有。
• 过期时间：此日期之后，注册 URL 将停止工作。在此之前下载的描述文件仍可安装。
• 允许注册数：可使用该令牌注册多少台设备。留空表示不限制。

要创建令牌，请打开仪表板的注册部分，选择Apple 手动注册（注册描述文件）选项卡，然后点击新建注册令牌。设置名称和各项设置，然后点击创建令牌：令牌页面会显示其注册 URL、二维码和下载注册描述文件按钮。

令牌表格会为每个令牌显示其状态（有效、已过期或已用完）、过期时间、在允许次数内已完成的注册数，以及上次使用（设备最后一次使用它注册的时间）。接下来是政策、用户（将鼠标悬停其上可查看电子邮件）、归属和创建时间（将鼠标悬停其上可查看创建令牌的人）。最新的令牌排在前面，您可以按任意列排序。按上次使用排序可找出不再有人使用的有效令牌，并删除它们，使其注册 URL 停止工作。令牌保存后删除的政策或用户会显示为已删除的政策或已删除的用户并带有警告图标：请编辑令牌以选择另一个。

对令牌的更改会应用于后续注册：已注册的设备会保留其政策和用户。当令牌被删除、过期或达到允许的注册数时，其注册 URL 会停止工作。

无令牌注册

同一选项卡中的无令牌注册面板包含您组织的注册 URL。使用它注册的设备不会获得政策和用户：请从设备页面进行分配。

设备的政策和用户取决于其注册方式：使用注册令牌时为令牌的政策和用户；使用自动设备注册时为 ADE 描述文件的政策，并保留设备页面上分配的用户；使用注册 URL、二维码或没有令牌的描述文件时没有政策和用户（即使设备有 ADE 描述文件）。再次注册的设备不会保留其先前注册的政策和用户：只有在新的注册分配了这些内容时，设备页面才会显示它们。只有使用恢复服务抹掉的设备才会以当前政策和用户再次注册。

获取注册 URL 和描述文件

• 在注册部分的Apple 手动注册（注册描述文件）选项卡中打开该令牌，或展开无令牌注册。
• 复制注册 URL，或使用通过电子邮件发送操作。
• 使用 iPhone 或 iPad 的相机扫描注册 URL 旁边显示的二维码：它会在设备上打开同一注册 URL。在 Mac 上，请使用注册 URL 或描述文件。
• 下载注册描述文件（mobileconfig 文件）。

如何注册 iPhone 或 iPad

iOS/iPadOS 15.0+

首先，使用以下方法之一在设备上下载注册描述文件：

方法 1：二维码

在设备上打开相机应用，将镜头对准注册 URL 旁边显示的二维码，然后点按出现的链接。Safari 会打开注册 URL 并请求允许下载配置描述文件：点按允许。

方法 2：注册 URL

将注册 URL 发送给用户（例如使用通过电子邮件发送操作），并在设备上使用Safari打开，然后点按允许以下载配置描述文件。

方法 3：注册描述文件

下载注册描述文件（enroll.mobileconfig），并将其发送到设备（例如作为电子邮件附件或通过 AirDrop），然后在设备上打开它。

然后在设备上完成注册：

1. 在设备上，打开设置 → 已下载描述文件 → 安装，然后按照说明操作。
2. 注册后，你可以在设置 → 通用 → VPN & 设备管理（或描述文件 & 设备管理）中验证状态。

注册后，运行 iOS 或 iPadOS 18.4 或更高版本的 iPhone 和 iPad 会获得Cerberus Enterprise应用。在手动注册（未受监督）的设备上，系统会要求用户安装该应用；如果该应用已从 App Store 安装，则会要求允许你的组织管理它。如果用户拒绝，请在设备页面上使用重试。该应用需要先出现在你的 Apple Business 资源库中一次（请参阅账户设置）。

在 iPhone 和 iPad 上，已下载的描述文件若未在 8 分钟内安装，设备会将其移除。在这种情况下，请重新下载。

如何注册 Mac

macOS 13.0+

二维码仅适用于 iPhone 和 iPad。请使用以下方法之一在 Mac 上下载注册描述文件：

方法 1：注册 URL

将注册 URL 发送给用户（例如使用通过电子邮件发送操作），并在 Mac 上使用Safari打开，然后在询问时允许下载。如果描述文件未自行打开，请打开已下载的enroll.mobileconfig文件。

方法 2：注册描述文件

下载注册描述文件（enroll.mobileconfig），并将其发送到 Mac（例如作为电子邮件附件或通过 AirDrop），然后在 Mac 上打开它。

打开描述文件只会将其添加到已下载的描述文件中。然后以 Mac 主要用户的身份登录并完成注册：

1. 打开系统设置 → 通用 → 设备管理（macOS 13 和 14 上：隐私与安全 → 描述文件）。在已下载部分中，双击注册描述文件，点击注册（或安装）并按照说明操作。如有询问，请输入 Mac 管理员的名称和密码。
2. 注册后，注册描述文件会列在同一位置。在终端中，profiles status -type enrollment会显示MDM enrollment: Yes (User Approved)。

手动注册的 Mac 受监督，安装描述文件的用户会显示在设备页面的Mac 用户面板中。Mac 不会获得 Cerberus Enterprise 应用。如果描述文件不再位于已下载部分中，请重新下载。

请仅安装你从 Cerberus Enterprise 仪表板获取的注册描述文件。

Apple 自动设备注册 (ADE)

自动设备注册 (ADE) 与 Apple Business（原 Apple Business Manager）集成，在公司所有的 iPhone、iPad 和 Mac 首次开机时（或恢复出厂设置后）自动注册这些设备。

ADE 需要先配置 Apple Management (APNs)。如有需要，请阅读Apple Management 设置 (APNs)。

如何自动注册设备

1. 将设备添加到您的 Apple Business 账户，并将它们分配到 Cerberus Enterprise 设备管理服务：在 Apple Business 中，打开设备 → 清单，选择设备并点击分配设备管理，或者从设备 → 管理服务 → 默认设备分配自动分配新设备。请参阅管理设备供应商和使用 Apple Configurator 添加设备。
2. 将新设备添加到 Apple Business 账户后，请在 Cerberus Enterprise 的 设备 部分使用 从 Apple Business 同步 操作同步它们。同步的设备只有在注册后才会使用许可证。
3. 从注册 → Apple 自动设备注册 (ADE) → 新建 ADE 描述文件在仪表板中创建 ADE 描述文件。
4. 在设备详情页面使用ADE 描述文件字段为设备分配 ADE 描述文件。

注册后，运行 iOS 或 iPadOS 18.4 或更高版本的 iPhone 和 iPad 会获得Cerberus Enterprise应用。通过 ADE 注册的设备受监督，因此应用会在不询问用户的情况下安装；设置过程不会等待它。该应用需要位于您的 Apple Business 资料库中一次（请参阅账户设置）。Mac 不会获得该应用。

ADE 描述文件设置（概览）

ADE 描述文件控制设备的注册方式以及“设置助理”的行为。在 Cerberus Enterprise 中，ADE 描述文件包括名称、可选初始政策、注册选项、要跳过的“设置助理”面板、支持联系人和受信任证书。

描述文件名称

描述文件的可读名称（例如默认 ADE 描述文件）。

政策

当设备通过自动设备注册（设置助理）注册时应用于设备的政策。通过注册 URL 或二维码注册的描述文件设备会改为获得其注册令牌的政策，如果没有令牌则没有政策。仅更改政策会保持描述文件不变。

注册选项

• 允许移除 MDM：控制是否可以从设备移除 MDM 负载。
• 允许配对：控制是否允许配对（Apple 已在 iOS 13 中弃用）。
• 自动推进设置：自动推进“设置助理”的各个屏幕（运行 macOS 11 或更高版本的 Mac 和 Apple TV）。
• 等待设备配置完成：“设置助理”会等待 ADE 描述文件的政策应用完成，以便用户在应用和设置就绪后开始使用。随后 Cerberus Enterprise 会让设备继续，最迟在注册后 4 分钟。
• 强制：防止在设置期间跳过描述文件安装。
• 多用户（共享 iPad）：将设备配置为共享 iPad。
• 受监督：请求对设备进行监督。

设置助理

• 部门、支持电话和支持电子邮件（可选）：随配置文件一起发送给 Apple。设备可能不会显示它们。
• 要跳过的面板：“设置助理”不会显示所选面板（例如 Apple Account、Siri 或屏幕使用时间）。每台设备只显示其系统适用的面板（某些面板，例如 FileVault 或 iCloud 文稿与桌面，仅存在于 Mac 上）；全部跳过和全部显示可全部选择或清除。
• Apple TV：使用自动推进设置时 Apple TV 的语言和地区。
• 受信任证书：仅在服务器使用设备不信任的证书（例如来自私有 CA 的证书）时需要。请先在证书页面中导入该证书。

ADE 描述文件列表

列表显示每个描述文件的名称、其政策、其设备及其 Id（Apple 为该描述文件分配的标识符）。名称后的锁标记表示这是强制性描述文件，用户无法移除其管理。 无政策或 政策已删除警告表示使用该描述文件注册的设备不会获得初始政策。

设备列统计该描述文件的已注册设备，并在旁边显示等待中的设备：已在 Apple Business 中分配给该描述文件但尚未注册的设备。已移除的设备不计入。

更改描述文件

Apple 不允许更改 ADE 描述文件。当您更改一个描述文件时（仅更改政策除外），Cerberus Enterprise 会定义一个同名的新描述文件，并将其分配给旧描述文件的设备；当没有设备使用旧描述文件后，它就不再列出。已完成设置助理的设备会在下次抹掉后使用新描述文件。

没有设备使用的描述文件（无论已注册还是等待中）都可以从 ADE 描述文件列表中删除。Apple 不允许删除描述文件，因此它会保留在 Apple Business 中，但不会被使用。

为设备分配 ADE 描述文件后，它就可以自动注册了。

Apple 账户驱动注册

通过账户驱动注册，用户可在设备设置中使用工作账户（例如Managed Apple Account，如name@company.com）登录，从而注册其 iPhone、iPad 或 Mac。无需下载描述文件，也无需二维码：Cerberus Enterprise 会自动找到用户、应用政策并设置所有权。

两种模式

• 用户注册（个人设备）：仅管理工作应用、账户和数据，它们位于设备的单独区域中。Cerberus 无法查看个人数据、抹掉设备、定位设备或读取其序列号。设备会被设为个人所有。需要 iOS 和 iPadOS 15 或 macOS 14 或更高版本。
• 设备注册（不在 Apple Business 中的公司设备）：管理整个设备，就像手动注册一样。以此方式注册的 Mac 受监督；iPhone 或 iPad 则不受监督。设备会被设为公司所有。需要 iOS 和 iPadOS 17.1 或 macOS 14.1 或更高版本。

您可以分别为 iPhone 和 iPad 以及 Mac 选择模式：例如，为个人 iPhone 选择用户注册，为 Mac 选择设备注册。您可以稍后在设备页面上更改设备的所有权。

当配置了 Apple Management (APNs) 时，可使用账户驱动注册。如果您尚未完成 APNs 设置，请阅读Apple Management 设置 (APNs)。

设置 Apple Business

用户使用在 Apple Business 中创建的 Managed Apple Account 登录。开始之前：

1. 在 Apple Business 中验证您的域（例如company.com），该域属于您组织的域。
2. 创建用户的 Managed Apple Account，或将 Apple Business 连接到 Google Workspace 或 Microsoft Entra ID：然后每个用户的账户就是其工作电子邮件地址，他们使用该密码登录。
3. 对于用户注册，请在访问管理设置中检查 Managed Apple Account 是否可以在个人设备上登录：如果它们只能在受监督设备上登录，用户注册会失败。
4. 仅适用于下面的Apple Business选项：打开设备 → 管理服务 → 默认设备分配（编辑），并为 iPhone、iPad 和 Mac 选择 Cerberus Enterprise 设备管理服务。

在设备使用 Managed Apple Account 注册期间，请将 Cerberus Enterprise 设备管理服务及其令牌保留在 Apple Business 中：移除它们可能会导致账户无法在设备上正常工作。

设置 Cerberus Enterprise

打开仪表板的注册部分，然后选择Apple 账户登录选项卡。顶部的检查清单会显示仍缺少的内容。只有管理员可以更改设置。

• 允许通过工作账户登录进行注册：为整个组织开启或关闭账户驱动注册。
• 域：用户账户的域（例如company.com），最多 20 个。只有这些域的账户可以注册，且必须在验证域之后（见下文）。
• iPhone 和 iPad和Mac：为每个设备系列选择关闭、用户注册或设备注册。
• 每种模式的政策：设备注册后立即应用。如果没有政策，设备将在没有政策的情况下注册。更改后的政策会应用于后续注册。
• 用户：仅现有用户（Cerberus Enterprise 中用户的电子邮件地址必须与设备上输入的账户匹配），或为没有用户的域账户创建用户。

设备上输入的账户会先与用户的Managed Apple Account字段匹配，然后与其电子邮件地址匹配。验证码始终发送到用户的电子邮件地址。为用户设置的 Managed Apple Account 即使其域未在 Cerberus 中验证也可以注册，例如 Apple Business 保留的org.appleid.com域的账户。使用 Apple Business 服务发现时，用户始终输入其 Managed Apple Account。

验证域

保存设置后，域验证部分会为每个域显示一条 TXT 记录。将其添加到该域的 DNS 中，然后点击验证。DNS 更改可能需要一些时间才能生效。已验证的域会保持已验证状态：之后您可以移除该记录。未验证域的用户无法注册。

服务发现：设备如何找到 Cerberus Enterprise

当用户登录时，设备会询问账户的域（例如https://company.com）由哪台服务器管理。请至少设置以下三个选项之一。选项卡的服务发现部分会显示您组织的发现 URL 以及每个选项要复制的确切文本。

选项 1：Apple Business（推荐）

点击在 Apple Business 中注册：Cerberus Enterprise 会将其发现 URL 存储在您的 Apple Business 组织中，无需在您的域上发布任何内容。在 Apple Business 中检查会显示 Apple Business 当前的 URL，而从 Apple Business 中移除会将其移除。

• 需要 iOS 和 iPadOS 18.2 或 macOS 15.2 或更高版本。较旧的设备需要选项 2 或 3。
• 需要在 Cerberus Enterprise 中连接 Apple Business（自动设备注册服务令牌），以及上述默认设备分配。
• 设备仅在您的域不响应时才会询问 Apple Business：地址https://company.com/.well-known/com.apple.remotemanagement必须不存在（例如“未找到”之类的错误）。如果您的网站用网页响应它，设备会停在那里。使用检查配置查看它会响应什么。

Apple Business 为每个组织保留一个发现 URL：注册该 URL 会将组织的每个 Managed Apple Account 发送到此 Cerberus Enterprise 组织。请勿从使用同一 Apple Business 组织的两个 Cerberus Enterprise 组织注册它。

选项 2：从您的网站重定向

在每个域的 Web 服务器上，将/.well-known/com.apple.remotemanagement重定向到您组织的发现 URL，保留查询字符串（其中包含用户输入的账户）。这适用于所有支持账户驱动注册的 OS 版本，并且 iPhone 和 Mac 的模式可以不同。从选项卡中复制适用于 Apache 或 nginx 的文本；它看起来像下面这样，其中包含您组织的密钥：

Apache（.htaccess 或虚拟主机）：

RewriteEngine On
RewriteRule ^\.well-known/com\.apple\.remotemanagement$ https://enterprise.cerberusapp.com/account-enroll/YOUR-KEY/discovery [R=302,L,QSA]

nginx：

location = /.well-known/com.apple.remotemanagement {
    return 302 https://enterprise.cerberusapp.com/account-enroll/YOUR-KEY/discovery$is_args$args;
}

在其他 Web 服务器或服务（IIS、Cloudflare、托管控制面板）上，创建一条从同一路径到发现 URL 的重定向规则（302），并使用保留或转发查询字符串的选项。

选项 3：您网站上的静态文件

如果您无法添加重定向，请在https://company.com/.well-known/com.apple.remotemanagement（无文件扩展名）发布一个文件，并以Content-Type: application/json提供。从选项卡中复制其内容。静态文件无法按设备选择模式：它对 iPhone、iPad 和 Mac 使用相同的模式。对于用户注册，它看起来像这样：

{"Servers":[{"Version":"mdm-byod","BaseURL":"https://enterprise.cerberusapp.com/account-enroll/YOUR-KEY/byod"}]}

对于设备注册：

{"Servers":[{"Version":"mdm-adde","BaseURL":"https://enterprise.cerberusapp.com/account-enroll/YOUR-KEY/adde"}]}

文件的模式还必须与选项卡中为设备系列设置的模式一致，否则注册会被拒绝。

检查配置

在检查配置中，选择一个域和一个设备（iPhone 或 Mac），然后点击检查：Cerberus Enterprise 会像设备一样询问该域并显示答案、每次重定向以及结论。域指向 Cerberus Enterprise 表示选项 2 或 3 有效；错误答案（例如“未找到”）对于选项 1 没问题；指向其他位置的网页或文件会阻止设备。如果重定向丢失了查询字符串，或文件未以application/json提供，检查也会发出警告。

注册密钥

发现和注册 URL 包含您组织的密钥。如果 URL 被错误发布，请点击重新生成密钥：旧 URL 会立即停止工作，因此请更新您网站上的重定向和静态文件。使用选项 1 时，Cerberus Enterprise 会自行在 Apple Business 中注册新 URL。

用户如何注册

1. iPhone 和 iPad：打开设置 → 通用 → VPN 与设备管理 → 登录工作或学校账户。Mac：系统设置 → 通用 → 设备管理 → 登录（macOS 14 上：隐私与安全 → 描述文件 → 登录）。
2. 输入 Managed Apple Account，或用户在 Cerberus 中的工作电子邮件地址（例如name@company.com）。当用户的 Managed Apple Account 与输入的账户不同时，设备随后会要求使用该账户登录。
3. 随后会打开一个 Cerberus Enterprise 页面：点按发送验证码，然后输入通过电子邮件收到的 6 位验证码。验证码在 10 分钟后过期；输入 5 次错误验证码后，用户必须关闭页面并重新登录。
4. 使用 Managed Apple Account 的密码登录（或当 Apple Business 连接到 Google Workspace 或 Microsoft Entra ID 时，使用公司的登录页面），然后允许设备管理。

无法注册的账户（域未验证、未自动创建用户时没有匹配的用户、多个用户使用同一电子邮件地址）会看到“此账户未设置为可注册。请联系您的 IT 管理员。”这些事件会记录在仪表板的系统日志中。

注册后

• 设备页面显示用于注册的Managed Apple Account以及注册类型（用户注册或账户驱动设备注册）。在设备列表中，用户注册设备会显示“用户注册”。
• 在用户注册设备上，Apple 不允许的命令和政策设置（抹掉、定位、丢失模式、OS 更新、许多限制）不会提供也不会发送。政策中的 App Store 应用使用用户许可证而不是设备许可证（请参阅下文的个人设备上的应用）。
• 在用户注册设备上，Web Clip 会出现在主屏幕上，但不会列在设置 → 通用 → VPN 与设备管理中。
• 这些设备的 MDM 证书不会自动续期，且恢复服务不可用：在 MDM 证书过期之前（注册后一年，请参阅设备页面），请让用户重新注册设备。
• 要退出管理，用户可在设置的同一位置退出工作账户，或者您从 Cerberus Enterprise 取消注册设备。使用用户注册时，仅移除工作应用、账户和数据；个人数据会保留。再次注册的设备会显示为新设备。

注册后，政策中的某些配置文件（证书、Wi-Fi 网络、Web Clip）可能会因未知错误而被报告为失败，设备可能会在一段时间内显示为 不合规。设备会自行重试，这些配置文件会在一段时间后安装，无需任何操作。请勿因此再次保存政策或重新注册设备。

个人设备上的应用

使用用户注册的 iPhone 和 iPad 没有序列号，因此 Apps and Books 无法为它们提供设备许可证。Cerberus Enterprise 改为为其政策中的 App Store 应用提供用户许可证：许可证会授予设备上登录的 Managed Apple Account。政策本身没有任何变化：同一政策同时服务于公司和个人设备，Cerberus 会为每台设备选择许可证类型。

• 自动：在首次注册时，Cerberus 会在 Apps and Books 中注册 Managed Apple Account，然后向 Apple 请求政策中每个 App Store 应用的许可证。免费应用也需要许可证；Apple 会为其提供无限许可证。付费应用每个 Managed Apple Account 使用一个许可证，由该账户的所有个人设备共享。
• 同一组织：Managed Apple Account 和 Cerberus Enterprise 的 Apps and Books 令牌必须属于同一 Apple Business 组织，并且这些应用必须位于该令牌位置的资料库中。
• 先获取许可证：只有在 Apple 确认其许可证后，应用才会发送到设备，通常需要几分钟。在此之前，设备的应用面板会将其显示为正在等待用户许可证，并附上原因。
• 安装提示：个人设备永远不会被监督，因此 iOS 会在安装每个应用前询问用户，包括 Cerberus 在这些设备上也会安装的 Cerberus Enterprise 应用（安装 或 取消）；无需登录 Apple 账户。如果用户取消，应用会显示 正在等待用户批准安装：使用设备页面上的 重新请求 再次显示提示。以 必需 安装的应用无法被用户删除。
• 注册前已安装的应用：Apple 不允许组织接管用户在通过用户注册的设备上自行安装的应用。请让用户在注册前删除其自己的副本，或先删除它，然后在设备页面上使用再次请求：组织随后会安装受管副本。
• 退出管理：当设备取消注册时，iOS 会移除受管应用及其数据。当同一 Managed Apple Account 没有其他已注册设备需要某个许可证时（例如应用离开政策或最后一台设备取消注册），该许可证会被释放；不再需要的许可证会在一天内通过每日检查释放。

当 Apple 无法分配许可证时（例如付费应用没有剩余许可证），应用会显示用户许可证失败以及 Apple 的消息。请在 Apple Business 中添加许可证，然后在设备页面上使用再次请求；Cerberus 也会在每日检查时自行重试。应用列表上方的行会显示 Managed Apple Account 及其 Apps and Books 用户的状态；用户页面也会显示相同的状态。

用户许可证仅用于 iPhone 和 iPad：在通过用户注册的 Mac 上，政策的 App Store 应用不会被安装。不支持图书和个人 Apple Account。