你可以并行使用手动注册和 ADE，具体取决于你的设备群和采购流程。
# Apple 手动注册（注册描述文件） Cerberus Enterprise 支持使用二维码、注册 URL 或注册描述文件文件对 Apple 设备进行手动注册。当配置了 Apple Management (APNs) 时，可使用手动注册。如果您尚未完成 APNs 设置，请阅读[**Apple Management 设置 (APNs)**](https://enterprise.cerberusapp.com/docs/books/8efb1/page/apple-management-apns "Apple Management setup (APNs)")。
用户也可以在没有描述文件的情况下，通过在设备设置中使用工作账户登录来注册其 iPhone、iPad 或 Mac。请阅读[**Apple 账户驱动注册**](https://enterprise.cerberusapp.com/docs/books/8efb1/page/apple-So2 "Apple account-driven enrollment")。
## 注册令牌 注册令牌有自己的注册 URL 和二维码，并为使用它注册的设备分配以下设置： - **政策**：设备注册后立即应用。 - **用户**：分配给设备。如果令牌中没有用户，则设备没有用户。 - **所有权**：公司所有或个人所有。如果未设置，受监督设备会被设为公司所有，其他设备设为个人所有。手动注册的 iPhone 和 iPad 不受监督；Mac 受监督，因此会被设为公司所有。 - **过期时间**：此日期之后，注册 URL 将停止工作。在此之前下载的描述文件仍可安装。 - **允许注册数**：可使用该令牌注册多少台设备。留空表示不限制。 要创建令牌，请打开仪表板的**注册**部分，选择**Apple 手动注册（注册描述文件）**选项卡，然后点击**新建注册令牌**。设置名称和各项设置，然后点击**创建令牌**：令牌页面会显示其注册 URL、二维码和**下载注册描述文件**按钮。 令牌表格会为每个令牌显示其**状态**（有效、已过期或已用完）、**过期时间**、在允许次数内已完成的**注册数**，以及**上次使用**（设备最后一次使用它注册的时间）。接下来是**政策**、**用户**（将鼠标悬停其上可查看电子邮件）、**归属**和**创建时间**（将鼠标悬停其上可查看创建令牌的人）。最新的令牌排在前面，您可以按任意列排序。按**上次使用**排序可找出不再有人使用的有效令牌，并删除它们，使其注册 URL 停止工作。令牌保存后删除的政策或用户会显示为**已删除的政策**或**已删除的用户**并带有警告图标：请编辑令牌以选择另一个。对令牌的更改会应用于后续注册：已注册的设备会保留其政策和用户。当令牌被删除、过期或达到允许的注册数时，其注册 URL 会停止工作。
## 无令牌注册 同一选项卡中的**无令牌注册**面板包含您组织的注册 URL。使用它注册的设备不会获得政策和用户：请从设备页面进行分配。 设备的政策和用户取决于其注册方式：使用注册令牌时为令牌的政策和用户；使用自动设备注册时为 ADE 描述文件的政策，并保留设备页面上分配的用户；使用注册 URL、二维码或没有令牌的描述文件时没有政策和用户（即使设备有 ADE 描述文件）。再次注册的设备不会保留其先前注册的政策和用户：只有在新的注册分配了这些内容时，设备页面才会显示它们。只有使用**恢复服务**抹掉的设备才会以当前政策和用户再次注册。 ## 获取注册 URL 和描述文件 - 在**注册**部分的**Apple 手动注册（注册描述文件）**选项卡中打开该令牌，或展开**无令牌注册**。 - 复制**注册 URL**，或使用通过电子邮件发送操作。 - 使用 iPhone 或 iPad 的相机扫描注册 URL 旁边显示的**二维码**：它会在设备上打开同一注册 URL。在 Mac 上，请使用注册 URL 或描述文件。 - 下载**注册描述文件**（mobileconfig 文件）。 ## 如何注册 iPhone 或 iPad iOS/iPadOS 15.0+ 首先，使用以下方法之一在设备上下载注册描述文件： ### 方法 1：二维码 在设备上打开*相机*应用，将镜头对准注册 URL 旁边显示的二维码，然后点按出现的链接。Safari 会打开注册 URL 并请求允许下载配置描述文件：点按*允许*。 ### 方法 2：注册 URL 将注册 URL 发送给用户（例如使用通过电子邮件发送操作），并在设备上使用*Safari*打开，然后点按*允许*以下载配置描述文件。 ### 方法 3：注册描述文件 下载注册描述文件（*enroll.mobileconfig*），并将其发送到设备（例如作为电子邮件附件或通过 AirDrop），然后在设备上打开它。 然后在设备上完成注册： 1. 在设备上，打开*设置* → *已下载描述文件* → *安装*，然后按照说明操作。 2. 注册后，你可以在*设置* → *通用* → *VPN & 设备管理*（或*描述文件 & 设备管理*）中验证状态。注册后，运行 iOS 或 iPadOS 18.4 或更高版本的 iPhone 和 iPad 会获得**Cerberus Enterprise**应用。在手动注册（未受监督）的设备上，系统会要求用户安装该应用；如果该应用已从 App Store 安装，则会要求允许你的组织管理它。如果用户拒绝，请在设备页面上使用**重试**。该应用需要先出现在你的 Apple Business 资源库中一次（请参阅**账户设置**）。
在 iPhone 和 iPad 上，已下载的描述文件若未在 8 分钟内安装，设备会将其移除。在这种情况下，请重新下载。
## 如何注册 Mac macOS 13.0+ 二维码仅适用于 iPhone 和 iPad。请使用以下方法之一在 Mac 上下载注册描述文件： ### 方法 1：注册 URL 将注册 URL 发送给用户（例如使用通过电子邮件发送操作），并在 Mac 上使用*Safari*打开，然后在询问时允许下载。如果描述文件未自行打开，请打开已下载的*enroll.mobileconfig*文件。 ### 方法 2：注册描述文件 下载注册描述文件（*enroll.mobileconfig*），并将其发送到 Mac（例如作为电子邮件附件或通过 AirDrop），然后在 Mac 上打开它。 打开描述文件只会将其添加到已下载的描述文件中。然后以 Mac 主要用户的身份登录并完成注册： 1. 打开*系统设置* → *通用* → *设备管理*（macOS 13 和 14 上：*隐私与安全* → *描述文件*）。在*已下载*部分中，双击*注册描述文件*，点击*注册*（或*安装*）并按照说明操作。如有询问，请输入 Mac 管理员的名称和密码。 2. 注册后，*注册描述文件*会列在同一位置。在*终端*中，`profiles status -type enrollment`会显示*MDM enrollment: Yes (User Approved)*。手动注册的 Mac 受监督，安装描述文件的用户会显示在设备页面的**Mac 用户**面板中。Mac 不会获得 Cerberus Enterprise 应用。如果描述文件不再位于*已下载*部分中，请重新下载。
请仅安装你从 Cerberus Enterprise 仪表板获取的注册描述文件。
# Apple 自动设备注册 (ADE) 自动设备注册 (ADE) 与 Apple Business（原 Apple Business Manager）集成，在公司所有的 iPhone、iPad 和 Mac 首次开机时（或恢复出厂设置后）自动注册这些设备。ADE 需要先配置 Apple Management (APNs)。如有需要，请阅读[**Apple Management 设置 (APNs)**](https://enterprise.cerberusapp.com/docs/books/8efb1/page/apple-management-apns "Apple Management setup (APNs)")。
## 如何自动注册设备 1. 将设备添加到您的 Apple Business 账户，并将它们分配到 Cerberus Enterprise 设备管理服务：在 Apple Business 中，打开**设备** → **清单**，选择设备并点击**分配设备管理**，或者从**设备** → **管理服务** → **默认设备分配**自动分配新设备。请参阅[管理设备供应商](https://support.apple.com/guide/business/manage-device-suppliers-axmef1c47493/web)和[使用 Apple Configurator 添加设备](https://support.apple.com/guide/business/add-devices-using-apple-configurator-axm200a54d59/web)。 2. 将新设备添加到 Apple Business 账户后，请在 Cerberus Enterprise 的 **设备** 部分使用 **从 Apple Business 同步** 操作同步它们。同步的设备只有在注册后才会使用许可证。 3. 从**注册** → **Apple 自动设备注册 (ADE)** → **新建 ADE 描述文件**在仪表板中创建 ADE 描述文件。 4. 在设备详情页面使用**ADE 描述文件**字段为设备分配 ADE 描述文件。注册后，运行 iOS 或 iPadOS 18.4 或更高版本的 iPhone 和 iPad 会获得**Cerberus Enterprise**应用。通过 ADE 注册的设备受监督，因此应用会在不询问用户的情况下安装；设置过程不会等待它。该应用需要位于您的 Apple Business 资料库中一次（请参阅**账户设置**）。Mac 不会获得该应用。
## ADE 描述文件设置（概览） ADE 描述文件控制设备的注册方式以及“设置助理”的行为。在 Cerberus Enterprise 中，ADE 描述文件包括名称、可选初始政策、注册选项、要跳过的“设置助理”面板、支持联系人和受信任证书。 ### 描述文件名称 描述文件的可读名称（例如*默认 ADE 描述文件*）。 ### 政策 当设备通过自动设备注册（设置助理）注册时应用于设备的政策。通过注册 URL 或二维码注册的描述文件设备会改为获得其注册令牌的政策，如果没有令牌则没有政策。仅更改政策会保持描述文件不变。 ### 注册选项 - **允许移除 MDM**：控制是否可以从设备移除 MDM 负载。 - **允许配对**：控制是否允许配对（Apple 已在 iOS 13 中弃用）。 - **自动推进设置**：自动推进“设置助理”的各个屏幕（运行 macOS 11 或更高版本的 Mac 和 Apple TV）。 - **等待设备配置完成**：“设置助理”会等待 ADE 描述文件的政策应用完成，以便用户在应用和设置就绪后开始使用。随后 Cerberus Enterprise 会让设备继续，最迟在注册后 4 分钟。 - **强制**：防止在设置期间跳过描述文件安装。 - **多用户（共享 iPad）**：将设备配置为共享 iPad。 - **受监督**：请求对设备进行监督。 ### 设置助理 - **部门**、**支持电话**和**支持电子邮件**（可选）：随配置文件一起发送给 Apple。设备可能不会显示它们。 - **要跳过的面板**：“设置助理”不会显示所选面板（例如 Apple Account、Siri 或屏幕使用时间）。每台设备只显示其系统适用的面板（某些面板，例如 FileVault 或 iCloud 文稿与桌面，仅存在于 Mac 上）；**全部跳过**和**全部显示**可全部选择或清除。 - **Apple TV**：使用自动推进设置时 Apple TV 的语言和地区。 - **受信任证书**：仅在服务器使用设备不信任的证书（例如来自私有 CA 的证书）时需要。请先在证书页面中导入该证书。 ### ADE 描述文件列表 列表显示每个描述文件的名称、其政策、其设备及其 Id（Apple 为该描述文件分配的标识符）。名称后的锁标记表示这是强制性描述文件，用户无法移除其管理。 **无政策**或 **政策已删除**警告表示使用该描述文件注册的设备不会获得初始政策。 **设备**列统计该描述文件的已注册设备，并在旁边显示等待中的设备：已在 Apple Business 中分配给该描述文件但尚未注册的设备。已移除的设备不计入。 ### 更改描述文件 Apple 不允许更改 ADE 描述文件。当您更改一个描述文件时（仅更改政策除外），Cerberus Enterprise 会定义一个同名的新描述文件，并将其分配给旧描述文件的设备；当没有设备使用旧描述文件后，它就不再列出。已完成设置助理的设备会在下次抹掉后使用新描述文件。 没有设备使用的描述文件（无论已注册还是等待中）都可以从 ADE 描述文件列表中删除。Apple 不允许删除描述文件，因此它会保留在 Apple Business 中，但不会被使用。为设备分配 ADE 描述文件后，它就可以自动注册了。
# Apple 账户驱动注册 通过账户驱动注册，用户可在设备设置中使用工作账户（例如**Managed Apple Account**，如*name@company.com*）登录，从而注册其 iPhone、iPad 或 Mac。无需下载描述文件，也无需二维码：Cerberus Enterprise 会自动找到用户、应用政策并设置所有权。 ## 两种模式 - **用户注册**（个人设备）：仅管理工作应用、账户和数据，它们位于设备的单独区域中。Cerberus 无法查看个人数据、抹掉设备、定位设备或读取其序列号。设备会被设为个人所有。需要 iOS 和 iPadOS 15 或 macOS 14 或更高版本。 - **设备注册**（不在 Apple Business 中的公司设备）：管理整个设备，就像手动注册一样。以此方式注册的 Mac 受监督；iPhone 或 iPad 则不受监督。设备会被设为公司所有。需要 iOS 和 iPadOS 17.1 或 macOS 14.1 或更高版本。您可以分别为 iPhone 和 iPad 以及 Mac 选择模式：例如，为个人 iPhone 选择用户注册，为 Mac 选择设备注册。您可以稍后在设备页面上更改设备的所有权。
当配置了 Apple Management (APNs) 时，可使用账户驱动注册。如果您尚未完成 APNs 设置，请阅读[**Apple Management 设置 (APNs)**](https://enterprise.cerberusapp.com/docs/books/8efb1/page/apple-management-apns "Apple Management setup (APNs)")。
## 设置 Apple Business 用户使用在 Apple Business 中创建的 Managed Apple Account 登录。开始之前： 1. **在 Apple Business 中验证您的域**（例如*company.com*），该域属于您组织的域。 2. **创建用户的 Managed Apple Account**，或将 Apple Business 连接到 Google Workspace 或 Microsoft Entra ID：然后每个用户的账户就是其工作电子邮件地址，他们使用该密码登录。 3. 对于用户注册，请在访问管理设置中检查 Managed Apple Account 是否可以在**个人设备**上登录：如果它们只能在受监督设备上登录，用户注册会失败。 4. 仅适用于下面的**Apple Business**选项：打开**设备** → **管理服务** → **默认设备分配**（编辑），并为 iPhone、iPad 和 Mac 选择 Cerberus Enterprise 设备管理服务。在设备使用 Managed Apple Account 注册期间，请将 Cerberus Enterprise 设备管理服务及其令牌保留在 Apple Business 中：移除它们可能会导致账户无法在设备上正常工作。
## 设置 Cerberus Enterprise 打开仪表板的**注册**部分，然后选择**Apple 账户登录**选项卡。顶部的检查清单会显示仍缺少的内容。只有管理员可以更改设置。 - **允许通过工作账户登录进行注册**：为整个组织开启或关闭账户驱动注册。 - **域**：用户账户的域（例如*company.com*），最多 20 个。只有这些域的账户可以注册，且必须在验证域之后（见下文）。 - **iPhone 和 iPad**和**Mac**：为每个设备系列选择关闭、用户注册或设备注册。 - 每种模式的**政策**：设备注册后立即应用。如果没有政策，设备将在没有政策的情况下注册。更改后的政策会应用于后续注册。 - **用户**：*仅现有用户*（Cerberus Enterprise 中用户的电子邮件地址必须与设备上输入的账户匹配），或*为没有用户的域账户创建用户*。设备上输入的账户会先与用户的**Managed Apple Account**字段匹配，然后与其电子邮件地址匹配。验证码始终发送到用户的电子邮件地址。为用户设置的 Managed Apple Account 即使其域未在 Cerberus 中验证也可以注册，例如 Apple Business 保留的*org.appleid.com*域的账户。使用 Apple Business 服务发现时，用户始终输入其 Managed Apple Account。
### 验证域 保存设置后，**域验证**部分会为每个域显示一条 TXT 记录。将其添加到该域的 DNS 中，然后点击**验证**。DNS 更改可能需要一些时间才能生效。已验证的域会保持已验证状态：之后您可以移除该记录。未验证域的用户无法注册。 ## 服务发现：设备如何找到 Cerberus Enterprise 当用户登录时，设备会询问账户的域（例如*https://company.com*）由哪台服务器管理。请至少设置以下三个选项之一。选项卡的**服务发现**部分会显示您组织的发现 URL 以及每个选项要复制的确切文本。 ### 选项 1：Apple Business（推荐） 点击**在 Apple Business 中注册**：Cerberus Enterprise 会将其发现 URL 存储在您的 Apple Business 组织中，无需在您的域上发布任何内容。**在 Apple Business 中检查**会显示 Apple Business 当前的 URL，而**从 Apple Business 中移除**会将其移除。 - 需要 iOS 和 iPadOS 18.2 或 macOS 15.2 或更高版本。较旧的设备需要选项 2 或 3。 - 需要在 Cerberus Enterprise 中连接 Apple Business（自动设备注册服务令牌），以及上述默认设备分配。 - 设备仅在您的域不响应时才会询问 Apple Business：地址*https://company.com/.well-known/com.apple.remotemanagement*必须不存在（例如“未找到”之类的错误）。如果您的网站用网页响应它，设备会停在那里。使用**检查配置**查看它会响应什么。Apple Business 为每个组织保留一个发现 URL：注册该 URL 会将组织的每个 Managed Apple Account 发送到此 Cerberus Enterprise 组织。请勿从使用同一 Apple Business 组织的两个 Cerberus Enterprise 组织注册它。
### 选项 2：从您的网站重定向 在每个域的 Web 服务器上，将*/.well-known/com.apple.remotemanagement*重定向到您组织的发现 URL，**保留查询字符串**（其中包含用户输入的账户）。这适用于所有支持账户驱动注册的 OS 版本，并且 iPhone 和 Mac 的模式可以不同。从选项卡中复制适用于 Apache 或 nginx 的文本；它看起来像下面这样，其中包含您组织的密钥： **Apache**（.htaccess 或虚拟主机）： ``` RewriteEngine On RewriteRule ^\.well-known/com\.apple\.remotemanagement$ https://enterprise.cerberusapp.com/account-enroll/YOUR-KEY/discovery [R=302,L,QSA] ``` **nginx**： ``` location = /.well-known/com.apple.remotemanagement { return 302 https://enterprise.cerberusapp.com/account-enroll/YOUR-KEY/discovery$is_args$args; } ``` 在其他 Web 服务器或服务（IIS、Cloudflare、托管控制面板）上，创建一条从同一路径到发现 URL 的重定向规则（302），并使用保留或转发查询字符串的选项。 ### 选项 3：您网站上的静态文件 如果您无法添加重定向，请在*https://company.com/.well-known/com.apple.remotemanagement*（无文件扩展名）发布一个文件，并以*Content-Type: application/json*提供。从选项卡中复制其内容。静态文件无法按设备选择模式：它对 iPhone、iPad 和 Mac 使用相同的模式。对于用户注册，它看起来像这样： ``` {"Servers":[{"Version":"mdm-byod","BaseURL":"https://enterprise.cerberusapp.com/account-enroll/YOUR-KEY/byod"}]} ``` 对于设备注册： ``` {"Servers":[{"Version":"mdm-adde","BaseURL":"https://enterprise.cerberusapp.com/account-enroll/YOUR-KEY/adde"}]} ```文件的模式还必须与选项卡中为设备系列设置的模式一致，否则注册会被拒绝。
### 检查配置 在**检查配置**中，选择一个域和一个设备（iPhone 或 Mac），然后点击**检查**：Cerberus Enterprise 会像设备一样询问该域并显示答案、每次重定向以及结论。域指向 Cerberus Enterprise 表示选项 2 或 3 有效；错误答案（例如“未找到”）对于选项 1 没问题；指向其他位置的网页或文件会阻止设备。如果重定向丢失了查询字符串，或文件未以*application/json*提供，检查也会发出警告。 ### 注册密钥 发现和注册 URL 包含您组织的密钥。如果 URL 被错误发布，请点击**重新生成密钥**：旧 URL 会立即停止工作，因此请更新您网站上的重定向和静态文件。使用选项 1 时，Cerberus Enterprise 会自行在 Apple Business 中注册新 URL。 ## 用户如何注册 1. iPhone 和 iPad：打开*设置* → *通用* → *VPN 与设备管理* → *登录工作或学校账户*。Mac：*系统设置* → *通用* → *设备管理* → *登录*（macOS 14 上：*隐私与安全* → *描述文件* → *登录*）。 2. 输入 Managed Apple Account，或用户在 Cerberus 中的工作电子邮件地址（例如*name@company.com*）。当用户的 Managed Apple Account 与输入的账户不同时，设备随后会要求使用该账户登录。 3. 随后会打开一个 Cerberus Enterprise 页面：点按*发送验证码*，然后输入通过电子邮件收到的 6 位验证码。验证码在 10 分钟后过期；输入 5 次错误验证码后，用户必须关闭页面并重新登录。 4. 使用 Managed Apple Account 的密码登录（或当 Apple Business 连接到 Google Workspace 或 Microsoft Entra ID 时，使用公司的登录页面），然后允许设备管理。无法注册的账户（域未验证、未自动创建用户时没有匹配的用户、多个用户使用同一电子邮件地址）会看到“此账户未设置为可注册。请联系您的 IT 管理员。”这些事件会记录在仪表板的系统日志中。
## 注册后 - 设备页面显示用于注册的**Managed Apple Account**以及注册类型（用户注册或账户驱动设备注册）。在设备列表中，用户注册设备会显示“用户注册”。 - 在用户注册设备上，Apple 不允许的命令和政策设置（抹掉、定位、丢失模式、OS 更新、许多限制）不会提供也不会发送。政策中的 App Store 应用使用用户许可证而不是设备许可证（请参阅下文的**个人设备上的应用**）。 - 在用户注册设备上，Web Clip 会出现在主屏幕上，但不会列在*设置* → *通用* → *VPN 与设备管理*中。 - 这些设备的 MDM 证书不会自动续期，且**恢复服务**不可用：在 MDM 证书过期之前（注册后一年，请参阅设备页面），请让用户重新注册设备。 - 要退出管理，用户可在设置的同一位置退出工作账户，或者您从 Cerberus Enterprise 取消注册设备。使用用户注册时，仅移除工作应用、账户和数据；个人数据会保留。再次注册的设备会显示为新设备。注册后，政策中的某些配置文件（证书、Wi-Fi 网络、Web Clip）可能会因未知错误而被报告为失败，设备可能会在一段时间内显示为 **不合规**。设备会自行重试，这些配置文件会在一段时间后安装，无需任何操作。请勿因此再次保存政策或重新注册设备。
## 个人设备上的应用 使用用户注册的 iPhone 和 iPad 没有序列号，因此 Apps and Books 无法为它们提供设备许可证。Cerberus Enterprise 改为为其政策中的 App Store 应用提供**用户许可证**：许可证会授予设备上登录的 Managed Apple Account。政策本身没有任何变化：同一政策同时服务于公司和个人设备，Cerberus 会为每台设备选择许可证类型。 - **自动**：在首次注册时，Cerberus 会在 Apps and Books 中注册 Managed Apple Account，然后向 Apple 请求政策中每个 App Store 应用的许可证。免费应用也需要许可证；Apple 会为其提供无限许可证。付费应用每个 Managed Apple Account 使用一个许可证，由该账户的所有个人设备共享。 - **同一组织**：Managed Apple Account 和 Cerberus Enterprise 的 Apps and Books 令牌必须属于同一 Apple Business 组织，并且这些应用必须位于该令牌位置的资料库中。 - **先获取许可证**：只有在 Apple 确认其许可证后，应用才会发送到设备，通常需要几分钟。在此之前，设备的**应用**面板会将其显示为**正在等待用户许可证**，并附上原因。 - **安装提示**：个人设备永远不会被监督，因此 iOS 会在安装每个应用前询问用户，包括 Cerberus 在这些设备上也会安装的 **Cerberus Enterprise** 应用（**安装** 或 **取消**）；无需登录 Apple 账户。如果用户取消，应用会显示 **正在等待用户批准安装**：使用设备页面上的 **重新请求** 再次显示提示。以 **必需** 安装的应用无法被用户删除。 - **注册前已安装的应用**：Apple 不允许组织接管用户在通过用户注册的设备上自行安装的应用。请让用户在注册前删除其自己的副本，或先删除它，然后在设备页面上使用**再次请求**：组织随后会安装受管副本。 - **退出管理**：当设备取消注册时，iOS 会移除受管应用及其数据。当同一 Managed Apple Account 没有其他已注册设备需要某个许可证时（例如应用离开政策或最后一台设备取消注册），该许可证会被释放；不再需要的许可证会在一天内通过每日检查释放。当 Apple 无法分配许可证时（例如付费应用没有剩余许可证），应用会显示**用户许可证失败**以及 Apple 的消息。请在 Apple Business 中添加许可证，然后在设备页面上使用**再次请求**；Cerberus 也会在每日检查时自行重试。应用列表上方的行会显示 Managed Apple Account 及其 Apps and Books 用户的状态；用户页面也会显示相同的状态。
用户许可证仅用于 iPhone 和 iPad：在通过用户注册的 Mac 上，政策的 App Store 应用不会被安装。不支持图书和个人 Apple Account。