用户手册

Cerberus Enterprise MDM 文档

简介

Cerberus Enterprise 是一套全面的 EMM 解决方案，旨在帮助您保护和管理 Android 与 Apple 设备。它具备所有恰当的功能，可在简洁且用户友好的仪表板中有效管理 BYOD 和公司自有设备，您只需几分钟即可上手。

要有效使用 Cerberus Enterprise，您需要了解有关系统工作原理的一些关键概念。

系统同时支持 Android 和 Apple 设备管理：

在 Android 上，Cerberus Enterprise 使用 Google 官方的Android Management API，通过Android Device Policy应用 (ADP) 管理设备。大多数设置由 ADP 直接强制执行。某些可选功能可能还需要 Cerberus Enterprise 配套应用，它扩展了仅靠 ADP 可实现的功能。

在 Apple 设备（iPhone、iPad 和 Mac）上，Cerberus Enterprise 通过 Apple MDM（移动设备管理）管理设备。Apple 管理需要 APNs 证书，并可选择与 Apple Business 集成，以实现自动注册和应用许可。在运行 iOS 或 iPadOS 18.4 或更高版本的 iPhone 和 iPad 上，Cerberus 还会安装 Cerberus Enterprise 配套应用，该应用会共享设备位置并接收通知。

每台设备都可以注册到系统中，使用注册令牌或注册配置文件（Apple 手动注册）。注册方法会与一个政策关联，该政策包含应应用于设备的规则。

IT 管理员可以在注册后更改与设备关联的政策。但是，每台设备一次只能关联一个政策。

在注册（配置）过程中，所需的管理组件会自动安装并配置。在 Android 上，这通常包括 Android Device Policy 应用（根据您的配置，还可能包括 Cerberus Enterprise 配套应用）。在 Apple 设备上，设备注册后会通过 MDM 应用管理，随后 iPhone 和 iPad 会获得 Cerberus Enterprise 配套应用（这需要在您的 Apple Business 资料库中拥有免费应用以及 Apps and Books 令牌）。因此，相应的政策会自动应用到设备，所有相关规则由平台管理系统强制执行。

一个政策可以应用到多台设备。在这种情况下，当您修改政策时，所有关联设备都会收到更改。

 

设置

设置

Android Management 设置

要使用 Cerberus Enterprise 管理 Android 设备，您必须先将组织连接到 Google Android Enterprise。

设置过程通常需要几分钟，并且需要工作电子邮件地址（例如name@enterprise.com），或者个人 Google 电子邮件地址。

设置期间会发生什么

重要信息

我们建议使用工作电子邮件地址注册，而不是个人 Gmail 账户。如果该电子邮件地址已与某个 Google Admin 账户关联，则会重用该现有账户并将其绑定到 Cerberus Enterprise；否则，会创建一个新的免费 Google Admin 账户。Google Admin 账户可解锁全套功能——例如，使用由您的 Google Admin 域管理的账户，通过 Google 身份验证注册设备。

没有工作电子邮件地址？

您仍然可以使用个人 Google 电子邮件地址（例如 Gmail 账户）注册。在这种情况下，Google 会创建一个免费的受管 Google Play 账户，并将其绑定到 Cerberus Enterprise。

后续步骤

完成设置后，创建一个注册令牌，并为设备选择合适的配置方法。

设置

Apple Management 设置 (APNs)

要管理 Apple 设备，Cerberus Enterprise 需要 Apple 推送通知服务 (APNs) 证书。

使用与您组织关联的 Apple ID。APNs 证书有效期为一年，必须每年续期才能继续管理设备。

第 1 步：下载 CSR 文件

在仪表板中启动 Apple Management 设置，并下载 Cerberus Enterprise 生成的供应商签名证书签名请求 (CSR) 文件。

第 2 步：在 Apple 门户上创建推送证书

门户链接：https://identity.apple.com/

第 3 步：上传推送证书

将从 Apple 下载的推送证书上传回 Cerberus Enterprise 以完成设置。

如果 APNs 证书过期，Apple 设备管理将停止工作，直到证书续期。

从过期前 30 天开始，仪表板会显示一个带有如何续期操作的横幅。请始终使用同一 Apple ID 在 Apple 推送证书门户上续期现有证书：新证书具有不同的主题，已注册的设备将需要重新注册。

后续步骤

配置 APNs 后，您可以继续注册 Apple 设备。请继续阅读Apple 配置概览。

设备配置概览

Cerberus Enterprise 支持 Android 和 Apple 两个平台的设备管理。你可以根据需要注册的设备独立配置任一平台。

1. 在仪表板中完成平台设置

在注册设备之前，请在 Cerberus Enterprise 仪表板中完成平台设置。如果你的账户尚未配置，仪表板会引导你完成所需步骤。

Android 设置 (Google Android Enterprise)

有关完整的 Android 设置流程，请阅读Android Management 设置。

Apple 设置 (APNs 推送证书)

有关完整的 Apple 设置流程，请阅读Apple Management 设置 (APNs)。

2. 注册设备

完成平台设置后，请选择与你的设备所有权模式和操作系统相匹配的注册方法。

Android 注册

对于 Android，注册由注册令牌驱动。请根据设备是个人拥有还是公司拥有选择合适的方法。

Apple 注册

设备配置 - Android

设备配置 - Android

支持的设备

通常，任何运行 Android 6 或更高版本并带有 Google Play 服务的设备都与 Cerberus Enterprise 兼容。

为了获得更好的用户体验，我们建议使用符合Android Enterprise Recommended要求的设备。

某些功能仅限于特定的 Android 版本，或者在不同操作系统版本中的行为可能有所不同。有关特定功能的详细信息，请参阅文档的政策部分。

Cerberus Enterprise 同时支持公司拥有和个人拥有的设备，以及两种管理模式：设备所有者和资料所有者。

个人拥有的设备可以通过工作资料进行管理。这样可以将员工的工作数据和应用与个人数据和应用分开，从而同时提高安全性和隐私性，实现 BYOD 解决方案。此选项适用于员工已拥有、且你希望将其注册到组织中用于工作的设备。

公司拥有的设备也可以通过工作资料进行管理，但你还可以选择完全受管理选项，从而对设备进行更严格的控制。当你向员工提供公司设备用于工作但仍允许个人使用时，带工作资料的公司设备非常合适。完全受管理的设备更适合必须仅用于工作的设备，或用于专用设备（COSU，公司拥有单用途），例如自助服务终端。

有关设备配置的详细信息，请参阅设备配置概览页面。


设备配置 - Android

注册令牌

Cerberus Enterprise 使用注册令牌来启动 Android 设备注册（配置）流程。你选择的令牌会定义应用于已注册设备的初始政策，并影响允许使用的配置模式。

只有在完成Android Management 设置后，才会显示 Android 注册令牌标签页。

在哪里查找注册令牌

在仪表板中，打开注册令牌。根据你的账户配置，该页面可能会显示多个标签页（Android 令牌、Google 登录注册、Apple 手动注册和 Apple Automated Device Enrollment）。

如果你的 Android 企业由受管理的 Google 域（Google Workspace）提供支持，仪表板还可能会显示Authenticate Using Google Enrollment标签页。有关启用和使用它的详细信息，请参阅Authenticate Using Google enrollment。

注册令牌列表（Android）

Android 令牌标签页会显示所有令牌的表格。点击某一行会打开令牌详细信息页面。

列

操作

创建新的注册令牌

在 Android 令牌标签页上，点击新建注册令牌以打开令牌创建页面。如果你的许可证已过期，创建按钮会被禁用。

令牌选项

1. 政策

必需。此政策会自动应用于使用该令牌注册的所有设备。请选择你的Android 政策之一。如果你还没有任何政策，请先创建一个。

2. 用户

可选。如果设置，新注册的设备会自动关联到此用户。

3. 个人使用

控制使用此注册令牌配置的设备是否允许个人使用：

4. 允许的使用次数

选择该令牌可以多次使用（多次）还是仅使用一次（仅一次）。

5. 过期时间

选择过期单位（分钟、小时、天或从不）。如果未设置为从不，请输入过期值。允许的范围取决于所选单位，最大可达 10,000 天。

6. Google 身份验证

控制用户在设备注册期间是否必须使用 Google 账户进行身份验证：

当选择必需时，会出现可选的必需账户电子邮件字段。如果设置，用户必须在注册期间使用该特定 Google 账户进行身份验证。

配置选项（仅限二维码）

这些附加选项会嵌入二维码中，并在通过扫描二维码注册完全受管理设备的配置过程中应用。它们不适用于工作资料或使用注册 URL 或令牌注册的设备。

Wi‑Fi 配置

使用此项可让设备在配置期间自动连接 Wi‑Fi，以便下载并初始化管理应用。可用字段包括SSID、隐藏 SSID、安全性，以及（需要时）密码短语。

你还可以配置 HTTP 代理（代理），并根据模式设置主机/端口、PAC URI和代理绕过主机。

其他选项

附加选项包括区域设置、时区和跳过加密。

注册令牌详细信息

打开令牌后，详细信息页面会显示令牌配置和使用信息：

有关分步配置流程，请参阅 Android 注册指南：个人拥有的设备、用于工作和个人用途的公司设备、仅用于工作的公司设备，以及Zero-touch。

设备配置 - Android

个人拥有的设备

员工拥有的设备可以设置工作资料。工作资料为工作应用和数据提供一个独立的空间，与个人应用和数据分开。大多数应用、数据和其他管理政策仅适用于工作资料，而员工的个人应用和数据保持私密。
要在个人拥有的设备上设置工作资料，请使用以下配置方法之一（确保注册令牌的个人使用设置为允许）：

注册令牌链接

Android 版本
6.0+
你可以将注册 URL 提供给最终用户。当最终用户从设备上打开该链接时，系统会引导他们完成工作资料设置。

从"设置"添加工作资料

Android 版本
6.0+
要在其设备上设置工作资料，用户可以打开设备的设置应用，然后使用搜索栏查找并点按设置工作资料选项。

如果搜索不成功，此选项的位置可能会有所不同。以下是几种可能：

这些步骤会启动一个设置向导，在设备上下载Android Device Policy。接下来，系统会提示用户扫描二维码或手动输入注册令牌，以完成工作资料设置。

下载 Android Device Policy

Android 版本
6.0+
要在其设备上设置工作资料，用户可以从 Google Play 商店下载 Android Device Policy。应用安装后，系统会提示用户扫描二维码或手动输入注册令牌，以完成工作资料设置。

个人 iPhone 和 iPad

个人 iPhone 和 iPad（以及 Mac）使用 Apple 用户注册：用户在设备设置中使用其 Managed Apple Account 登录，只有工作应用、账户和数据受到管理。在 iPhone 和 iPad 上，政策中的 App Store 应用和 Cerberus Enterprise 应用会使用该账户的用户许可证安装。仅当个人设备的政策开启 个人设备上的位置和地理围栏 且用户允许时，才会收集其位置。请阅读 Apple 账户驱动注册。

设备配置 - Android

用于工作和个人用途的公司设备

通过设置带工作资料的公司设备，可使该设备同时用于工作和个人用途。在带工作资料的公司设备上：
要设置带工作资料的公司设备，请使用以下配置方法之一（确保注册令牌的个人使用设置为允许）：

二维码方法

Android 版本
8.0+
在全新或恢复出厂设置的设备上，用户（通常是 IT 管理员）在同一位置点按屏幕六次。这会触发设备提示用户扫描二维码。
设备配置 - Android

仅用于工作的公司设备

完全设备管理适用于专用于工作目的的公司设备。企业可以管理设备上的所有应用，并可以强制执行 Android Management API 的全套政策和命令。
还可以（通过政策）将设备锁定到单个应用或一小组应用，以满足特定目的或使用场景。这类完全受管理的设备子集称为专用设备。
要在公司设备上设置完全管理，请使用以下配置方法之一（确保注册令牌的个人使用设置为不允许）：

二维码方法

Android 版本
7.0+
在全新或恢复出厂设置的设备上，用户（通常是 IT 管理员）在同一位置点按屏幕六次。这会触发设备提示用户扫描二维码。

DPC 标识符方法

Android 版本
5.1+
如果无法通过二维码添加 Android Device Policy，用户或 IT 管理员可以按照以下步骤配置完全受管理或专用设备：

1. 在全新或恢复出厂设置的设备上按照设置向导操作。
2. 输入 Wi-Fi 登录详细信息，将设备连接到互联网。
3. 当系统提示登录时，输入afw#setup，这会下载 Android Device Policy。
4. 扫描二维码或手动输入注册令牌以配置设备。
设备配置 - Android

Zero-touch

IT 管理员可以使用 Zero-touch 注册方法配置公司拥有的设备，具体步骤见Zero-touch enrollment for IT admins。设备首次开机时，会自动强制应用 IT 管理员定义的设置。

IT 管理员可以预配置从授权经销商购买的设备，并使用 Cerberus Enterprise 仪表板进行管理。要关联你的 Zero-touch 账户，请转到仪表板中的Zero-touch部分，然后按照说明操作。

Android 版本工作资料完全受管理的设备专用设备
8.0+ (Pixel 7.1+)✓✓✓
设备配置 - Android

Authenticate Using Google enrollment

Authenticate Using Google enrollment（也称为Google Authentication for Enrollment）允许用户在 Android 设备注册期间使用其 Google Workspace 账户进行身份验证。

此功能仅适用于由受管理的 Google 域（Google Workspace）提供支持的 Android 企业。

在哪里找到它

在仪表板中，打开注册令牌并选择Authenticate Using Google Enrollment标签页。仅当已配置 Android Management 且你的企业可以使用 Google Workspace 集成时，才会显示该标签页。

启用（或禁用）Google 身份验证

Google 身份验证可在Google Admin 控制台中启用。更改设置后，请返回 Cerberus Enterprise 并使用刷新状态重新加载当前配置。

  1. 使用管理员账户登录你的Google Admin 控制台。
  2. 打开设备。
  3. 转到移动设备与端点 → 设置 → 第三方集成。
  4. 找到 Cerberus Enterprise 的Android EMM 集成并将其打开。
  5. 点击管理 EMM 提供商。
  6. 切换Authenticate Using Google以启用或禁用注册时的 Google 身份验证。
  7. 点击保存。
  8. 返回 Cerberus Enterprise 仪表板，并在Authenticate Using Google Enrollment标签页上点击刷新状态。

Google 身份验证注册令牌

启用 Google 身份验证后，仪表板会显示一个专用于此注册模式的注册令牌。该页面可能会显示二维码、注册令牌值和注册 URL（可复制并可通过电子邮件发送）。

关键选项

政策交互

政策设置工作账户设置身份验证（workAccountSetupConfig.authenticationType）控制用户在工作账户设置期间进行身份验证的方式，但 Google Admin Console 设置Authenticate Using Google和注册令牌类型仍可能要求进行身份验证。

对于已注册的设备，此政策仅在设备由受管理的 Google Play 账户管理时适用（即未使用Authenticate Using Google Enrollment注册）。

许可证过期时，某些操作（例如更改令牌选项）可能会被禁用。

注册设备

在注册期间，系统会提示用户使用其 Google Workspace 账户进行身份验证。注册成功后，设备会与通过身份验证的用户关联。

工作资料（个人拥有的设备）

公司拥有的设备

有关通用的 Android 配置流程（工作资料与完全受管理），请参阅本手册中的标准 Android 注册页面。

设备配置 - Apple

设备配置 - Apple

Apple 设备配置概览

Cerberus Enterprise 支持注册和管理 iPhone、iPad 和 Mac。Apple 设备配置需要 APNs 证书，并可通过不同的注册方法完成。

前提条件：配置 Apple Management (APNs)

在注册任何 Apple 设备之前，请完成Apple Management 设置 (APNs)。

选择注册方法

手动注册（注册描述文件）

Automated Device Enrollment (ADE)

账户驱动注册（使用工作账户登录）

在使用 User Enrollment 注册的个人 iPhone 和 iPad 上，政策中的 App Store 应用会使用 Cerberus 自动分配的 Managed Apple Account 用户许可证进行安装；系统会要求用户安装每个应用。Managed Apple Account 与 Apps and Books 令牌必须属于同一 Apple Business 组织。请阅读个人设备上的应用。

iPhone 和 iPad 上的 Cerberus Enterprise 应用

注册后，Cerberus 会在运行 iOS 或 iPadOS 18.4 或更高版本 的 iPhone 和 iPad 上安装其 Cerberus Enterprise 应用，无论是否有政策。该应用会共享设备位置，并接收通知和实时跟踪请求；在个人设备（用户注册）上，仅当政策开启 个人设备上的位置和地理围栏 且用户允许时，它才会接收消息并共享位置。它需要完成一次性的步骤：将免费应用添加到您的 Apple Business 资料库（Apps & Books → App Store，搜索“Cerberus Enterprise”，对所有当前和未来的组织单位点按添加）。受监督设备会静默安装；在其他设备上，系统会要求用户安装。如果用户已从 App Store 安装，设备会询问是否允许您的组织管理该应用，应用会保留其数据和权限。如果用户拒绝，请使用设备页面上的 重试。用户无法删除该应用，即使 Apps and Books 令牌过期，它也会保持安装状态。Mac 不会获得该应用。

你可以并行使用手动注册和 ADE，具体取决于你的设备群和采购流程。

设备配置 - Apple

Apple 手动注册（注册描述文件）

Cerberus Enterprise 支持使用二维码、注册 URL 或注册描述文件文件对 Apple 设备进行手动注册。

当配置了 Apple Management (APNs) 时，可使用手动注册。如果您尚未完成 APNs 设置，请阅读Apple Management 设置 (APNs)。

注册令牌

注册令牌有自己的注册 URL 和二维码，并为使用它注册的设备分配以下设置：

要创建令牌，请打开仪表板的注册部分，选择Apple 手动注册（注册描述文件）选项卡，然后点击新建注册令牌。设置名称和各项设置，然后点击创建令牌：令牌页面会显示其注册 URL、二维码和下载注册描述文件按钮。

令牌表格会为每个令牌显示其状态（有效、已过期或已用完）、过期时间、在允许次数内已完成的注册数，以及上次使用（设备最后一次使用它注册的时间）。接下来是政策、用户（将鼠标悬停其上可查看电子邮件）、归属和创建时间（将鼠标悬停其上可查看创建令牌的人）。最新的令牌排在前面，您可以按任意列排序。按上次使用排序可找出不再有人使用的有效令牌，并删除它们，使其注册 URL 停止工作。令牌保存后删除的政策或用户会显示为已删除的政策或已删除的用户并带有警告图标：请编辑令牌以选择另一个。

对令牌的更改会应用于后续注册：已注册的设备会保留其政策和用户。当令牌被删除、过期或达到允许的注册数时，其注册 URL 会停止工作。

无令牌注册

同一选项卡中的无令牌注册面板包含您组织的注册 URL。使用它注册的设备不会获得政策和用户：请从设备页面进行分配。

设备的政策和用户取决于其注册方式：使用注册令牌时为令牌的政策和用户；使用自动设备注册时为 ADE 描述文件的政策，并保留设备页面上分配的用户；使用注册 URL、二维码或没有令牌的描述文件时没有政策和用户（即使设备有 ADE 描述文件）。再次注册的设备不会保留其先前注册的政策和用户：只有在新的注册分配了这些内容时，设备页面才会显示它们。只有使用恢复服务抹掉的设备才会以当前政策和用户再次注册。

获取注册 URL 和描述文件

如何注册 iPhone 或 iPad

iOS/iPadOS 15.0+

首先，使用以下方法之一在设备上下载注册描述文件：

方法 1：二维码

在设备上打开相机应用，将镜头对准注册 URL 旁边显示的二维码，然后点按出现的链接。Safari 会打开注册 URL 并请求允许下载配置描述文件：点按允许。

方法 2：注册 URL

将注册 URL 发送给用户（例如使用通过电子邮件发送操作），并在设备上使用Safari打开，然后点按允许以下载配置描述文件。

方法 3：注册描述文件

下载注册描述文件（enroll.mobileconfig），并将其发送到设备（例如作为电子邮件附件或通过 AirDrop），然后在设备上打开它。

然后在设备上完成注册：

  1. 在设备上，打开设置 → 已下载描述文件 → 安装，然后按照说明操作。
  2. 注册后，你可以在设置 → 通用 → VPN & 设备管理（或描述文件 & 设备管理）中验证状态。

注册后，运行 iOS 或 iPadOS 18.4 或更高版本的 iPhone 和 iPad 会获得Cerberus Enterprise应用。在手动注册（未受监督）的设备上，系统会要求用户安装该应用；如果该应用已从 App Store 安装，则会要求允许你的组织管理它。如果用户拒绝，请在设备页面上使用重试。该应用需要先出现在你的 Apple Business 资源库中一次（请参阅账户设置）。

在 iPhone 和 iPad 上，已下载的描述文件若未在 8 分钟内安装，设备会将其移除。在这种情况下，请重新下载。

如何注册 Mac

macOS 13.0+

二维码仅适用于 iPhone 和 iPad。请使用以下方法之一在 Mac 上下载注册描述文件：

方法 1：注册 URL

将注册 URL 发送给用户（例如使用通过电子邮件发送操作），并在 Mac 上使用Safari打开，然后在询问时允许下载。如果描述文件未自行打开，请打开已下载的enroll.mobileconfig文件。

方法 2：注册描述文件

下载注册描述文件（enroll.mobileconfig），并将其发送到 Mac（例如作为电子邮件附件或通过 AirDrop），然后在 Mac 上打开它。

打开描述文件只会将其添加到已下载的描述文件中。然后以 Mac 主要用户的身份登录并完成注册：

  1. 打开系统设置 → 通用 → 设备管理（macOS 13 和 14 上：隐私与安全 → 描述文件）。在已下载部分中，双击注册描述文件，点击注册（或安装）并按照说明操作。如有询问，请输入 Mac 管理员的名称和密码。
  2. 注册后，注册描述文件会列在同一位置。在终端中，profiles status -type enrollment会显示MDM enrollment: Yes (User Approved)。

手动注册的 Mac 受监督，安装描述文件的用户会显示在设备页面的Mac 用户面板中。Mac 不会获得 Cerberus Enterprise 应用。如果描述文件不再位于已下载部分中，请重新下载。

请仅安装你从 Cerberus Enterprise 仪表板获取的注册描述文件。

设备配置 - Apple

Apple 自动设备注册 (ADE)

自动设备注册 (ADE) 与 Apple Business（原 Apple Business Manager）集成，在公司所有的 iPhone、iPad 和 Mac 首次开机时（或恢复出厂设置后）自动注册这些设备。

ADE 需要先配置 Apple Management (APNs)。如有需要，请阅读Apple Management 设置 (APNs)。

如何自动注册设备

  1. 将设备添加到您的 Apple Business 账户，并将它们分配到 Cerberus Enterprise 设备管理服务：在 Apple Business 中，打开设备 → 清单，选择设备并点击分配设备管理，或者从设备 → 管理服务 → 默认设备分配自动分配新设备。请参阅管理设备供应商和使用 Apple Configurator 添加设备。
  2. 将新设备添加到 Apple Business 账户后，请在 Cerberus Enterprise 的 设备 部分使用 从 Apple Business 同步 操作同步它们。同步的设备只有在注册后才会使用许可证。
  3. 从注册 → Apple 自动设备注册 (ADE) → 新建 ADE 描述文件在仪表板中创建 ADE 描述文件。
  4. 在设备详情页面使用ADE 描述文件字段为设备分配 ADE 描述文件。

注册后，运行 iOS 或 iPadOS 18.4 或更高版本的 iPhone 和 iPad 会获得Cerberus Enterprise应用。通过 ADE 注册的设备受监督，因此应用会在不询问用户的情况下安装；设置过程不会等待它。该应用需要位于您的 Apple Business 资料库中一次（请参阅账户设置）。Mac 不会获得该应用。

ADE 描述文件设置（概览）

ADE 描述文件控制设备的注册方式以及“设置助理”的行为。在 Cerberus Enterprise 中，ADE 描述文件包括名称、可选初始政策、注册选项、要跳过的“设置助理”面板、支持联系人和受信任证书。

描述文件名称

描述文件的可读名称（例如默认 ADE 描述文件）。

政策

当设备通过自动设备注册（设置助理）注册时应用于设备的政策。通过注册 URL 或二维码注册的描述文件设备会改为获得其注册令牌的政策，如果没有令牌则没有政策。仅更改政策会保持描述文件不变。

注册选项

设置助理

ADE 描述文件列表

列表显示每个描述文件的名称、其政策、其设备及其 Id（Apple 为该描述文件分配的标识符）。名称后的锁标记表示这是强制性描述文件，用户无法移除其管理。 无政策或 政策已删除警告表示使用该描述文件注册的设备不会获得初始政策。

设备列统计该描述文件的已注册设备，并在旁边显示等待中的设备：已在 Apple Business 中分配给该描述文件但尚未注册的设备。已移除的设备不计入。

更改描述文件

Apple 不允许更改 ADE 描述文件。当您更改一个描述文件时（仅更改政策除外），Cerberus Enterprise 会定义一个同名的新描述文件，并将其分配给旧描述文件的设备；当没有设备使用旧描述文件后，它就不再列出。已完成设置助理的设备会在下次抹掉后使用新描述文件。

没有设备使用的描述文件（无论已注册还是等待中）都可以从 ADE 描述文件列表中删除。Apple 不允许删除描述文件，因此它会保留在 Apple Business 中，但不会被使用。

为设备分配 ADE 描述文件后，它就可以自动注册了。

设备配置 - Apple

Apple 账户驱动注册

通过账户驱动注册，用户可在设备设置中使用工作账户（例如Managed Apple Account，如name@company.com）登录，从而注册其 iPhone、iPad 或 Mac。无需下载描述文件，也无需二维码：Cerberus Enterprise 会自动找到用户、应用政策并设置所有权。

两种模式

您可以分别为 iPhone 和 iPad 以及 Mac 选择模式：例如，为个人 iPhone 选择用户注册，为 Mac 选择设备注册。您可以稍后在设备页面上更改设备的所有权。

当配置了 Apple Management (APNs) 时，可使用账户驱动注册。如果您尚未完成 APNs 设置，请阅读Apple Management 设置 (APNs)。

设置 Apple Business

用户使用在 Apple Business 中创建的 Managed Apple Account 登录。开始之前：

  1. 在 Apple Business 中验证您的域（例如company.com），该域属于您组织的域。
  2. 创建用户的 Managed Apple Account，或将 Apple Business 连接到 Google Workspace 或 Microsoft Entra ID：然后每个用户的账户就是其工作电子邮件地址，他们使用该密码登录。
  3. 对于用户注册，请在访问管理设置中检查 Managed Apple Account 是否可以在个人设备上登录：如果它们只能在受监督设备上登录，用户注册会失败。
  4. 仅适用于下面的Apple Business选项：打开设备 → 管理服务 → 默认设备分配（编辑），并为 iPhone、iPad 和 Mac 选择 Cerberus Enterprise 设备管理服务。

在设备使用 Managed Apple Account 注册期间，请将 Cerberus Enterprise 设备管理服务及其令牌保留在 Apple Business 中：移除它们可能会导致账户无法在设备上正常工作。

设置 Cerberus Enterprise

打开仪表板的注册部分，然后选择Apple 账户登录选项卡。顶部的检查清单会显示仍缺少的内容。只有管理员可以更改设置。

设备上输入的账户会先与用户的Managed Apple Account字段匹配，然后与其电子邮件地址匹配。验证码始终发送到用户的电子邮件地址。为用户设置的 Managed Apple Account 即使其域未在 Cerberus 中验证也可以注册，例如 Apple Business 保留的org.appleid.com域的账户。使用 Apple Business 服务发现时，用户始终输入其 Managed Apple Account。

验证域

保存设置后，域验证部分会为每个域显示一条 TXT 记录。将其添加到该域的 DNS 中，然后点击验证。DNS 更改可能需要一些时间才能生效。已验证的域会保持已验证状态：之后您可以移除该记录。未验证域的用户无法注册。

服务发现：设备如何找到 Cerberus Enterprise

当用户登录时，设备会询问账户的域（例如https://company.com）由哪台服务器管理。请至少设置以下三个选项之一。选项卡的服务发现部分会显示您组织的发现 URL 以及每个选项要复制的确切文本。

选项 1：Apple Business（推荐）

点击在 Apple Business 中注册：Cerberus Enterprise 会将其发现 URL 存储在您的 Apple Business 组织中，无需在您的域上发布任何内容。在 Apple Business 中检查会显示 Apple Business 当前的 URL，而从 Apple Business 中移除会将其移除。

Apple Business 为每个组织保留一个发现 URL：注册该 URL 会将组织的每个 Managed Apple Account 发送到此 Cerberus Enterprise 组织。请勿从使用同一 Apple Business 组织的两个 Cerberus Enterprise 组织注册它。

选项 2：从您的网站重定向

在每个域的 Web 服务器上，将/.well-known/com.apple.remotemanagement重定向到您组织的发现 URL，保留查询字符串（其中包含用户输入的账户）。这适用于所有支持账户驱动注册的 OS 版本，并且 iPhone 和 Mac 的模式可以不同。从选项卡中复制适用于 Apache 或 nginx 的文本；它看起来像下面这样，其中包含您组织的密钥：

Apache（.htaccess 或虚拟主机）：

RewriteEngine On
RewriteRule ^\.well-known/com\.apple\.remotemanagement$ https://enterprise.cerberusapp.com/account-enroll/YOUR-KEY/discovery [R=302,L,QSA]

nginx：

location = /.well-known/com.apple.remotemanagement {
    return 302 https://enterprise.cerberusapp.com/account-enroll/YOUR-KEY/discovery$is_args$args;
}

在其他 Web 服务器或服务（IIS、Cloudflare、托管控制面板）上，创建一条从同一路径到发现 URL 的重定向规则（302），并使用保留或转发查询字符串的选项。

选项 3：您网站上的静态文件

如果您无法添加重定向，请在https://company.com/.well-known/com.apple.remotemanagement（无文件扩展名）发布一个文件，并以Content-Type: application/json提供。从选项卡中复制其内容。静态文件无法按设备选择模式：它对 iPhone、iPad 和 Mac 使用相同的模式。对于用户注册，它看起来像这样： 

{"Servers":[{"Version":"mdm-byod","BaseURL":"https://enterprise.cerberusapp.com/account-enroll/YOUR-KEY/byod"}]}

对于设备注册：

{"Servers":[{"Version":"mdm-adde","BaseURL":"https://enterprise.cerberusapp.com/account-enroll/YOUR-KEY/adde"}]}

文件的模式还必须与选项卡中为设备系列设置的模式一致，否则注册会被拒绝。

检查配置

在检查配置中，选择一个域和一个设备（iPhone 或 Mac），然后点击检查：Cerberus Enterprise 会像设备一样询问该域并显示答案、每次重定向以及结论。域指向 Cerberus Enterprise 表示选项 2 或 3 有效；错误答案（例如“未找到”）对于选项 1 没问题；指向其他位置的网页或文件会阻止设备。如果重定向丢失了查询字符串，或文件未以application/json提供，检查也会发出警告。

注册密钥

发现和注册 URL 包含您组织的密钥。如果 URL 被错误发布，请点击重新生成密钥：旧 URL 会立即停止工作，因此请更新您网站上的重定向和静态文件。使用选项 1 时，Cerberus Enterprise 会自行在 Apple Business 中注册新 URL。

用户如何注册

  1. iPhone 和 iPad：打开设置 → 通用 → VPN 与设备管理 → 登录工作或学校账户。Mac：系统设置 → 通用 → 设备管理 → 登录（macOS 14 上：隐私与安全 → 描述文件 → 登录）。
  2. 输入 Managed Apple Account，或用户在 Cerberus 中的工作电子邮件地址（例如name@company.com）。当用户的 Managed Apple Account 与输入的账户不同时，设备随后会要求使用该账户登录。
  3. 随后会打开一个 Cerberus Enterprise 页面：点按发送验证码，然后输入通过电子邮件收到的 6 位验证码。验证码在 10 分钟后过期；输入 5 次错误验证码后，用户必须关闭页面并重新登录。
  4. 使用 Managed Apple Account 的密码登录（或当 Apple Business 连接到 Google Workspace 或 Microsoft Entra ID 时，使用公司的登录页面），然后允许设备管理。

无法注册的账户（域未验证、未自动创建用户时没有匹配的用户、多个用户使用同一电子邮件地址）会看到“此账户未设置为可注册。请联系您的 IT 管理员。”这些事件会记录在仪表板的系统日志中。

注册后

注册后，政策中的某些配置文件（证书、Wi-Fi 网络、Web Clip）可能会因未知错误而被报告为失败，设备可能会在一段时间内显示为 不合规。设备会自行重试，这些配置文件会在一段时间后安装，无需任何操作。请勿因此再次保存政策或重新注册设备。

个人设备上的应用

使用用户注册的 iPhone 和 iPad 没有序列号，因此 Apps and Books 无法为它们提供设备许可证。Cerberus Enterprise 改为为其政策中的 App Store 应用提供用户许可证：许可证会授予设备上登录的 Managed Apple Account。政策本身没有任何变化：同一政策同时服务于公司和个人设备，Cerberus 会为每台设备选择许可证类型。

当 Apple 无法分配许可证时（例如付费应用没有剩余许可证），应用会显示用户许可证失败以及 Apple 的消息。请在 Apple Business 中添加许可证，然后在设备页面上使用再次请求；Cerberus 也会在每日检查时自行重试。应用列表上方的行会显示 Managed Apple Account 及其 Apps and Books 用户的状态；用户页面也会显示相同的状态。

用户许可证仅用于 iPhone 和 iPad：在通过用户注册的 Mac 上，政策的 App Store 应用不会被安装。不支持图书和个人 Apple Account。

政策概览

仪表板的政策部分（仪表板 → 政策）会列出您账户中的所有政策，并允许您创建、复制、编辑和删除这些政策。

政策列表

政策会显示在表格中。点击某一行会打开相应的政策编辑器。

列

默认情况下，最近修改的政策会显示在最前面；自引入最后修改列以来从未保存过的政策则按名称排在后面。点击列标题可按该列排序。

筛选和搜索

刷新和分页

创建新政策

在政策页面底部，您可以创建新政策。根据您账户中配置的平台，您可能会看到以下操作中的一项或两项：

如果您的许可证已过期，政策创建（以及其他写入操作）将被禁用。

复制和删除政策

每个政策行都有一个操作菜单，其中包括复制政策和删除政策。

删除政策警告

删除政策时，仪表板可能会根据政策的使用方式显示其他警告。

删除多个政策

政策列表支持多行选择以进行批量删除。在多选模式下，您可以选择多个政策并通过一次操作删除它们。

仅当所有选中的政策属于同一平台（全部为 Android 或全部为 Apple）时，才启用批量删除。

下一步：编辑政策设置

政策列表是入口。要配置政策设置，请使用相应的编辑器文档：政策 → Android和政策 → Apple。

由注册令牌引用的政策会在设备注册期间自动应用。

策略 - Android

策略 - Android

摘要

Android 政策是系统的核心实体：它们定义了在受管设备上应用和执行的规则。

您可以从仪表板的政策部分浏览政策并创建新政策。要打开 Android 政策，请点击表格中的政策行：系统会打开政策编辑器页面。

政策可以与注册令牌关联，从而在配置过程中自动应用到设备。您还可以在配置后更改分配给设备的政策。

每台设备一次只能关联一个政策。

许多政策选项仅适用于特定设备类型（完全托管、专用、工作配置文件）和 Android 版本。不支持的设置可能会被设备忽略，或被报告为不合规。

政策编辑器布局

政策编辑器由一组可展开的部分组成。在页面顶部，您始终可以编辑：

以下部分与政策编辑器面板相对应（例如：应用管理、安全、网络、系统、个人使用、跨配置文件政策等）。打开已保存的政策时，设置已更改的部分已经展开，其他部分则保持关闭。请使用本手册的章节页面详细了解每个面板。

保存、删除和关联设备

使用保存政策应用更改。没有待处理的编辑或许可证已过期时，该按钮会被停用。

如果您打开的是现有政策（带有 ID），页面底部会显示删除政策操作和关联设备列表，以便您查看当前有多少台设备正在使用该政策。

策略 - Android

App 管理

在本部分中，您可以设置与 App 可用性、安装、更新和权限管理相关的政策。

配置设备时，系统会自动创建 Managed Google Play 账户。

 

1. Play Store 模式

此模式控制用户在 Play Store 中可以使用哪些 App，以及从政策中移除 App 时设备上的行为。

白名单（默认）：只有政策中的 App 可用，任何不在政策中的 App 都将自动从设备中卸载。Play Store 只会显示可用的 App。

黑名单：所有 App 都可用，任何不应出现在设备上的 App 都应在应用程序政策中明确标记为已阻止。Play Store 将显示除已阻止的 App 之外的所有 App。

 

2. 不受信任的 App 政策

在设备上强制执行的针对不受信任的 App（来自未知来源的 App）的政策。此选项控制 Android 系统设置，决定用户是否可以从 Play Store 之外安装 App（侧载）。

禁止（默认）：禁止在整个设备上安装不受信任的 App。

仅个人资料：对于具有工作资料的设备，仅允许在该设备的个人资料中安装不受信任的 App。

允许：允许在整个设备上安装不受信任的 App。

 

3. Google Play Protect

是否强制执行 Google Play Protect App 验证。

强制执行（默认）：强制启用 App 验证。

用户选择：允许用户选择是否启用 App 验证。

 

4. 默认权限政策

用于向 App 授予运行时权限请求的政策。

提示（默认）：提示用户授予权限。

授予：自动授予权限。

拒绝：自动拒绝权限。

 

5. App 功能

控制完全受管理的设备上或工作资料中的 App 是否允许公开 App 功能。需要 Android 16 或更高版本。

允许（默认）：完全受管理的设备上或工作资料中的 App 可以公开 App 功能。

不允许：完全受管理的设备上或工作资料中的 App 无法公开 App 功能。

 

6. 禁用 App 安装

是否禁用用户安装 App。

 

7. 禁用 App 卸载

是否禁用用户卸载应用程序。

 

8. 权限政策

为所有 App 明确授予或拒绝权限或权限组。这些值会覆盖默认权限政策设置。

使用添加权限政策创建条目，并使用删除操作将其移除。

每个条目包括：

Android 权限/组：Android 权限或组（必填），例如android.permission.READ_CALENDAR或android.permission_group.CALENDAR。

政策：授予/拒绝/提示（使用与默认权限政策相同的政策选项）。

 

9. 应用程序

必须包含在政策中的应用程序列表。列表内容的行为取决于Play Store 模式设置的值。

如果Play Store 模式设为白名单，则只有政策中的 App 可用，任何不在政策中的 App 都将自动从设备中卸载。

如果Play Store 模式设为黑名单，则所有 App 都可用，任何不应出现在设备上的 App 都应在应用程序政策中明确标记为已阻止。

要添加新 App，请点击添加应用程序按钮（或添加应用程序图标），选择从受管理的 Google Play 添加，然后从 Play Store 中选择该 App，并点击 App 卡片中的选择按钮。

要添加未在 Google Play 上发布但已存在于设备上的 App（例如系统或制造商 App），请点击添加应用程序，选择按包名（预装 App），输入 App 的包名（例如com.example.app），然后点击添加。该 App 会以强制安装安装类型添加。要在 Kiosk 自定义启动器中显示该 App，其安装类型必须为预安装或强制安装：如果为可用，则不会显示该 App。

在受管理的 Google Play 上不可用的 App 会在应用程序列表中标记为 Android 图标。它们无法从 Google Play 安装，因此必须已存在于设备上：没有该 App 的设备无法安装它。

默认情况下，在您所在国家/地区的 Play Store 上发布的所有 App 均可供选择。要选择您自己的私有 App 或 Web App，您必须先将其上传到系统。有关详细信息，请阅读私有 App页面。

每个 App 都可以配置自己的设置，这些设置以卡片形式显示：

9.1. 安装类型

要为 App 执行的安装类型。

可用：该 App 可供安装。

预安装：该 App 会自动安装，用户可将其移除。

强制安装：该 App 会自动安装，用户无法将其移除。

已阻止：该 App 已被阻止，无法安装。如果该 App 是在之前的政策下安装的，它将被卸载。

安装所必需：该 App 会自动安装，用户无法将其移除，并且在安装完成之前，设备设置将无法完成。

Kiosk：该 App 会以 Kiosk 模式自动安装：它会被设为首选的主屏幕 Intent，并加入锁定任务模式的白名单。在 App 安装完成之前，设备设置不会完成。安装后，用户将无法移除该 App。每个政策只能为一个 App 设置此安装类型。当政策中存在此设置时，状态栏将被自动禁用。有关详细信息，请阅读专门的Kiosk 模式页面。

9.2. 安装约束

定义 App 安装的一组限制。选择多个约束时，必须满足所有约束才能安装该 App。

仅当安装类型为预安装或强制安装时，才会显示此选项。

不受流量限制的网络：仅当设备连接到不受流量限制的网络（例如 Wi‑Fi）时才安装该 App。

充电中：仅当设备正在充电时才安装该 App。

空闲：仅当设备空闲时才安装该 App。

9.3. 自动更新模式

控制该 App 的自动更新模式。

默认：系统会以低优先级自动更新该 App，以尽量减少对用户的影响。当满足以下所有条件时会更新该 App：(1) 设备未在使用中，(2) 设备连接到不受流量限制的网络，(3) 设备正在充电。开发者发布新更新后，设备会在 24 小时内收到通知，之后会在下次满足上述条件时更新该 App。

推迟：在 App 过期后最多 90 天内不会自动更新。App 过期 90 天后，系统会以低优先级自动安装最新可用版本（请参阅默认自动更新模式）。App 更新后，在再次过期 90 天之前不会再次自动更新。用户仍可随时从 Play Store 手动更新该 App。

高优先级：该 App 会尽快更新。不应用任何约束。新更新可用后，设备会立即收到通知。

9.4. 最低版本代码

应用在设备上运行的最低版本。如果设置了该值，设备会尝试将应用更新到至少此版本代码。如果应用不是最新版本，设备将包含 不合规详细信息，其中 不合规原因 设置为 APP_NOT_UPDATED。该应用必须已发布到 Google Play，且版本代码大于或等于此值。每个政策最多可有 20 个应用指定最低版本代码。

9.5. 委托范围

从 Android Device Policy 委托给该 App 的范围。您可以向其他 App 授予一组特殊的 Android 权限：

证书安装：授予证书安装和管理的访问权限。

受管理配置：授予受管理配置管理的访问权限。

阻止卸载：授予阻止卸载的访问权限。

权限：授予权限政策和权限授予状态的访问权限。

包访问权限：授予包访问状态的访问权限。

系统 App：授予启用系统 App 的访问权限。

9.6. 优先网络

要用于此 App 的优先网络服务。如果设置，该 App 将在可用时使用指定的企业网络切片进行连接。这必须与5G 网络切片配置部分（位于蜂窝网络面板中）中配置的网络切片相匹配。

9.7. 默认权限政策

该 App 请求的所有权限的默认政策。如果指定，这会覆盖适用于所有 App 的政策级默认权限政策。它不会覆盖适用于所有 App 的权限政策。

提示（默认）：提示用户授予权限。

授予：自动授予权限。

拒绝：自动拒绝权限。

9.8. 连接的工作和个人 App

控制该 App 是否可以在设备的工作资料和个人资料之间与自身通信，但需征得用户同意（Android 11 及更高版本）。

不允许（默认）：阻止该 App 跨资料通信。

允许：在获得用户同意后，允许该 App 跨资料通信。

9.9. 始终开启的 VPN 锁定豁免

指定当 VPN 未连接且锁定已启用处于活动状态时，是否允许该 App 联网。仅在运行 Android 10 及更高版本的设备上受支持。

强制执行（默认）：该 App 遵循始终开启的 VPN 锁定设置。

豁免：该 App 不受始终开启的 VPN 锁定设置约束。

9.10. 工作资料小组件

指定是否允许安装在工作资料中的 App 向主屏幕添加小组件。

允许：该应用程序可以向主屏幕添加小组件。

不允许：该应用程序无法向主屏幕添加小组件。

9.11. 用户控制设置

指定是否允许对指定 App 进行用户控制。用户控制包括强制停止和清除 App 数据等用户操作（Android 11 及更高版本）。如果为某个 App 启用了extensionConfig，则无论此设置如何，都不允许用户控制。对于 Kiosk App，您可以使用允许来允许用户控制。

未指定：使用该 App 的默认行为来决定是允许还是禁止用户控制。

允许：允许对该 App 进行用户控制。

不允许：禁止对该 App 进行用户控制。

9.12. 已禁用

该 App 是否已禁用。禁用后，App 数据仍会保留。

9.13. 允许凭据提供程序

是否允许该 App 在 Android 14 及更高版本上充当凭据提供程序。

9.14. 受管理的配置

要配置该 App 的受管理设置，请点击启用受管理的配置按钮。如果已为该 App 设置受管理的配置，您可以使用受管理的配置按钮修改配置，或使用移除配置按钮将其删除。

受管理的配置选项仅适用于支持此功能的 App。

9.15. 权限政策

该 App 的明确权限授予或拒绝。这些值会覆盖适用于所有 App 的默认权限政策和权限政策。

使用添加权限政策为 App 卡片添加一条或多条权限规则，并使用删除操作将其移除。

9.16. 轨道 ID

设备可以访问的 App 封闭测试轨道 ID 列表。如果选择了多个轨道 ID，设备将收到所有可访问轨道中的最新版本。如果未选择任何轨道 ID，设备只能访问该 App 的生产轨道。

轨道 ID选项仅适用于至少有一个轨道 ID 可供您的组织使用的 App。有关如何为特定 App 将您的组织添加到封闭测试轨道的更多详细信息，请阅读此处。

 

10. 默认应用程序设置

为受支持的类型设置默认 App。当至少为一种类型设置了默认 App 后，用户将无法在该资料中更改默认 App。

每个默认应用程序类型只允许一个默认应用程序设置。默认应用程序列表不得包含重复项。

10.1. 默认应用程序类型

选择要配置的 App 类别（例如浏览器、拨号器、短信、钱包或数字助理）。可用性取决于 Android 版本和管理模式。

10.2. 默认应用程序范围

选择默认 App 的适用范围（完全受管理、工作资料或个人资料）。只能选择所选类型支持的范围。

如果所选范围均不适用于设备的管理模式，设备会报告一条不合规详细信息。

10.3. 默认应用程序

可设置为所选类型默认值的 App 列表。第一个已安装且符合条件的 App 将设为默认值。

如果范围包括完全受管理或工作资料，则每个 App 还必须存在于应用程序列表中，且其安装类型未设置为已阻止。

 

11. 私钥选择

允许在设备上显示界面，以便在没有匹配选择私钥规则的规则时让用户选择私钥别名。

对于低于 Android P 的设备，设置此选项可能会使企业密钥面临风险。

 

12. 选择私钥规则

控制 App 对私钥的访问权限。该规则决定 Android Device Policy 向指定 App 授予哪个私钥（如果有）。当 App 调用 KeyChain.choosePrivateKeyAlias（或任何重载）为给定 URL 请求私钥别名时，会授予访问权限；对于不特定于 URL 的规则（即未设置 urlPattern，或将其设置为空字符串或 .*），在 Android 11 及更高版本上，会直接授予访问权限，以便 App 可以调用 KeyChain.getPrivateKey，而无需先调用 KeyChain.choosePrivateKeyAlias。当 App 调用 KeyChain.choosePrivateKeyAlias 且有多条 choosePrivateKeyRules 匹配时，最后匹配的规则决定要返回的密钥别名。

使用添加私钥规则创建条目，并使用删除操作将其移除。

12.1. 私钥别名

要使用的私钥别名。

12.2. URL 模式

用于与请求 URL 匹配的 URL 模式。如果未设置或为空，则匹配所有 URL。这使用 java.util.regex.Pattern 的正则表达式语法。

12.3. 包名

此规则适用的包名。每个 App 的签名证书哈希都会与 Play 提供的哈希进行验证。如果未指定包名，则会向所有调用 KeyChain.choosePrivateKeyAlias 或任何重载的 App 提供该别名（但即使是在 Android 11 及更高版本上，也必须调用 KeyChain.choosePrivateKeyAlias）。任何与此处指定的包具有相同 Android UID 的 App，在调用 KeyChain.choosePrivateKeyAlias 时将获得访问权限。

使用添加包名添加条目，并使用删除操作将其移除。

 

要删除 App，请点击 App 卡片底部的回收站图标。

 

 

策略 - Android

Kiosk 模式

使用 Kiosk 模式，你可以将设备的功能限制为单个应用或多个应用。选择单应用还是多应用 Kiosk 模式取决于你的业务目标。

在单应用 Kiosk 模式下，设备配置为仅使用单个应用，并且不允许最终用户访问设备上的其他应用。他们也无法退出该应用，从而使其成为该特定应用的专用设备。要启用此模式，请在应用管理部分中指定一个应用，并将安装类型设置为Kiosk。

在多应用 Kiosk 模式下，设备可以访问多个应用。最终用户可以通过自定义启动器在多个应用之间导航。要启用此模式，请开启Kiosk 自定义启动器选项。

启用 Kiosk 模式后，你还可以配置最终用户是否可以访问某些系统功能，例如系统设置和状态栏。

 

Kiosk 自定义启动器

是否启用 Kiosk 自定义启动器。这会将主屏幕替换为启动器，将设备锁定为通过应用管理设置安装的应用。应用按字母顺序显示在单个页面上。

 

电源按钮操作

设置 Kiosk 模式下的设备在用户按住（长按）电源按钮时的行为。

可用（默认）：当用户长按 Kiosk 模式下设备的电源按钮时，会显示电源菜单（例如关机、重启）。

已阻止：当用户长按 Kiosk 模式下设备的电源按钮时，不会显示电源菜单（例如关机、重启）。注意：这可能会阻止用户关闭设备。

 

系统错误警告

指定在 Kiosk 模式下是否阻止崩溃或无响应应用的系统错误对话框。阻止后，系统将强制停止该应用，就像用户在界面上选择“关闭应用”选项一样。

已阻止（默认）：所有系统错误对话框，例如崩溃和应用无响应（ANR）都会被阻止。阻止后，系统会强制停止该应用，就像用户从界面关闭应用一样。

已启用：会显示所有系统错误对话框，例如崩溃和应用无响应（ANR）。

系统导航

指定 Kiosk 模式下启用哪些导航功能（例如主屏幕、概览按钮）。

已禁用（默认）：无法访问主屏幕和概览按钮。

仅主屏幕：仅启用主屏幕按钮。

已启用：启用主屏幕和概览按钮。

 

状态栏

指定在 Kiosk 模式下是否禁用系统信息和通知。

已禁用（默认）：在 Kiosk 模式下禁用系统信息和通知。

仅系统：状态栏上仅显示系统信息。

已启用：在 Kiosk 模式下，状态栏上会显示系统信息和通知。注意：要使此政策生效，必须使用 kioskCustomization.systemNavigation 启用设备的主屏幕按钮。

 

设备设置

指定在 Kiosk 模式下是否允许使用设置应用。

允许（默认）：在 Kiosk 模式下允许访问设置应用。

已阻止：在 Kiosk 模式下不允许访问设置应用。

策略 - Android

安全

在本节中，您可以配置与安全相关的政策。

 

安全风险操作

选择当设备在状态报告中报告 SecurityRisk 时要执行的操作。

 

支持的 SecurityRisk 类型：

未知操作系统：Play Integrity API 检测到设备运行未知操作系统（basicIntegrity 检查成功，但 ctsProfileMatch 失败）。

已入侵的操作系统：Play Integrity API 检测到设备运行已入侵的操作系统（basicIntegrity 检查失败）。

硬件支持的评估失败：如果设备完整性字段中未显示 MEETS_STRONG_INTEGRITY 标签，Play Integrity API 会检测到设备不具备强大的系统完整性保证。

 

可用操作：

清除企业数据（默认）：取消注册并清除工作数据（完全托管时清除整个设备，配置文件所属时仅清除工作配置文件）。

不执行操作：保持设备注册状态，不自动执行任何操作。

 

当您选择清除企业数据时，还可以配置清除选项：

保留恢复出厂设置保护：清除设备时保留恢复出厂设置保护 (FRP) 数据。

清除外部存储：执行清除时，同时清除设备的外部存储（如 SD 卡）。

清除 eSIM：对于企业所有设备，清除设备时会移除设备上的所有 eSIM。在个人所有设备上，这会移除设备上受管理的 eSIM（通过 ADD_ESIM 命令添加的 eSIM），不会移除任何个人所有的 eSIM。

 

1. 最长锁定时间

设备锁定前允许用户活动的最长时间（秒）。值为 0 表示无限制。

 

2. 充电时保持开启

设备保持开启的电池接入模式。使用此设置时，建议清除最长锁定时间，以免设备在保持开启时自行锁定。

交流充电器：电源为交流充电器。

USB 端口：电源为 USB 端口。

无线充电器：电源为无线。

 

3. 锁屏已停用

如果为 true，则会为主显示器和/或辅助显示器停用锁定屏幕。此政策仅在专用设备管理模式中受支持。

 

4. 密码要求

密码要求政策。

使用配置密码要求添加一个或多个密码要求块。使用全部清除移除所有已配置的密码要求。

密码要求可以使用自动范围（单一要求），或分别使用设备/工作配置文件范围。基于复杂度的要求必须与同一范围的基于质量的要求配合使用。

4.1. 范围

密码要求适用的范围。

自动：未指定范围。对于工作配置文件设备，密码要求应用于工作配置文件；对于完全托管或专用设备，应用于整个设备。

设备：密码要求仅应用于设备。

工作配置文件：密码要求仅应用于工作配置文件。

4.2. 密码历史长度

密码历史的长度。设置此字段后，用户将无法输入与历史记录中任何密码相同的新密码。值为 0 表示无限制。

4.3. 清除前最多失败密码次数

设备被清除前可输入的错误设备解锁密码次数。值为 0 表示无限制。

4.4. 密码过期超时（天）

此设置强制用户在指定天数后定期更新密码。

4.5. 要求密码解锁

设备或工作配置文件使用强身份验证形式（密码、PIN、图案）解锁后，仍可使用任何其他身份验证方法（例如指纹、信任代理、人脸）解锁的时长。指定时间段过后，只能使用强身份验证形式解锁设备或工作配置文件。

设备默认值：超时时间设置为设备默认值。

每天：超时时间设置为 24 小时。

4.6. 密码质量

所需的密码质量。

高复杂度：将高密码复杂度等级定义为：在 Android 12 及更高版本上：PIN 不含重复 (4444) 或有序 (1234、4321、2468) 序列，长度至少为 8；字母密码长度至少为 6；字母数字密码长度至少为 6。

中复杂度：将中密码复杂度等级定义为：PIN 不含重复 (4444) 或有序 (1234、4321、2468) 序列，长度至少为 4；字母密码长度至少为 4；字母数字密码长度至少为 4。

低复杂度：将低密码复杂度等级定义为：图案；PIN 包含重复 (4444) 或有序 (1234、4321、2468) 序列。

无：没有密码要求。

弱：设备至少必须使用低安全性生物识别技术进行保护。这包括能够识别个人身份且大致相当于 3 位 PIN 的技术（误检率低于 1/1,000）。

任意：需要密码，但对密码必须包含的内容没有限制。

数字：密码必须包含数字字符。

复杂数字：密码必须包含数字字符，且不含重复 (4444) 或有序 (1234、4321、2468) 序列。

字母：密码必须包含字母（或符号）字符。

字母数字：密码必须同时包含数字和字母（或符号）字符。

复杂：密码必须满足 passwordMinimumLength、passwordMinimumLetters、passwordMinimumSymbols 等中指定的最低要求。例如，如果 passwordMinimumSymbols 为 2，则密码必须至少包含两个符号。

4.7. 最小长度

允许的最小密码长度。值为 0 表示无限制。

4.8. 最少字母数

密码中所需的最少字母数。

4.9. 最少小写字母数

密码中所需的最少小写字母数。

4.10. 最少大写字母数

密码中所需的最少大写字母数。

4.11. 最少非字母字符数

密码中所需的最少非字母字符数（数字或符号）。

4.12. 最少数字位数

密码中所需的最少数字位数。

4.13. 最少符号数

密码中所需的最少符号数。

4.14. 统一锁

控制运行 Android 9 及更高版本且带工作配置文件的设备是否允许为设备和工作配置文件使用统一锁。对其他设备无效。

允许统一锁：允许为设备和工作配置文件使用共同的锁。

要求单独的工作锁：工作配置文件需要单独的锁。

 

5. 恢复出厂设置已停用

是否停用从设置中恢复出厂设置。仅适用于完全托管设备。

 

6. 恢复出厂设置保护

用于恢复出厂设置保护的设备管理员电子邮件地址。当设备遭遇未经授权的恢复出厂设置时，需要其中一名管理员使用 Google 账户电子邮件和密码登录才能解锁设备。如果未指定管理员，设备将不提供恢复出厂设置保护。仅适用于完全托管设备。

管理员电子邮件：使用启用恢复出厂设置保护开始配置管理员。然后使用添加管理员电子邮件添加地址，并使用删除操作将其移除。

 

7. 锁屏功能

可以停用的锁屏（锁定屏幕）功能。

7.1. 全部停用

停用所有当前和将来的锁屏自定义项。

7.2. 停用相机

在安全锁屏屏幕（例如 PIN）上停用相机。

7.3. 停用通知

在安全锁屏屏幕上停用显示所有通知。

7.4. 停用未隐藏内容的通知

在安全锁屏屏幕上停用未隐藏内容的通知。

7.5. 忽略信任代理状态

在安全锁屏屏幕上忽略信任代理状态。

7.6. 停用指纹

在安全锁屏屏幕上停用指纹传感器。

7.7. 停用向通知输入文本

在安全锁屏屏幕上停用向通知输入文本。

7.8. 停用人脸身份验证

在安全锁屏屏幕上停用人脸身份验证。

7.9. 停用虹膜身份验证

在安全锁屏屏幕上停用虹膜身份验证。

7.10. 停用所有生物识别身份验证

在安全锁屏屏幕上停用所有生物识别身份验证。

7.11. 停用所有快捷方式

在 Android 14 及更高版本上，在安全锁屏屏幕上停用所有快捷方式。

策略 - Android

多媒体

在本部分中，你可以配置摄像头/麦克风行为、USB 数据访问、打印以及显示相关限制。

 

1. 摄像头访问

控制摄像头的使用以及用户是否可以访问摄像头访问开关（Android 12+）。通常，禁用摄像头在完全受管设备上适用于整个设备，而在工作配置文件设备上仅适用于工作配置文件内部。

用户选择（默认）：默认设备行为。摄像头可用，并且（Android 12+）用户可以切换摄像头访问权限。

已禁用：所有摄像头均已禁用（完全受管：整个设备；工作配置文件：仅限工作配置文件应用）。摄像头访问开关在受管范围内不起作用。

强制执行：摄像头可用。在运行 Android 12+ 的完全受管设备上，用户无法切换摄像头访问权限。在其他设备/版本上，其行为与用户选择相同。

 

2. 麦克风访问

在完全受管设备上，控制麦克风的使用以及用户是否可以访问麦克风访问开关（Android 12+）。此设置对非完全受管设备不起作用。

用户选择（默认）：默认行为。麦克风可用，并且（Android 12+）用户可以切换麦克风访问权限。

已禁用：麦克风已禁用（整个设备）。麦克风访问开关不起作用。

强制执行：麦克风可用。在 Android 12+ 上，用户无法切换麦克风访问权限。在 Android 11 或更低版本上，其行为与用户选择相同。

 

3. USB 数据访问

控制可以通过 USB 传输哪些文件和/或数据。仅在公司所有设备上受支持。

禁止文件传输（默认）：禁止文件传输，但允许其他 USB 数据连接（例如鼠标/键盘）。

禁止数据传输：禁止所有类型的 USB 数据传输（Android 12+ 且 USB HAL 1.3+）。如果不支持，设备将回退到“禁止文件传输”。

允许数据传输：允许所有类型的 USB 数据传输。

 

4. 打印

控制是否允许打印（Android 9+）。

允许（默认）：允许打印。

不允许：不允许打印（Android 9+）。

 

5. 屏幕亮度设置

控制屏幕亮度模式以及（可选）亮度值。

屏幕亮度模式：

用户选择（默认）：允许用户配置屏幕亮度。

自动：亮度自动调节，用户无法更改。你仍然可以设置亮度值，该值会用于自动调节的一部分（完全受管 Android 9+；公司所有 Android 15+ 上的工作配置文件）。

固定：亮度设置为配置的值，用户无法更改。亮度值为必填项（完全受管 Android 9+；公司所有 Android 15+ 上的工作配置文件）。

屏幕亮度：

值范围为 1 到 255（1 = 最低，255 = 最高）。值为 0 表示未设置亮度值。

 

6. 屏幕超时设置

控制用户是否可以配置屏幕超时，以及在强制执行时的超时值。

屏幕超时模式字段用于在用户控制和强制执行行为之间进行选择。

用户选择（默认）：允许用户配置屏幕超时。

强制执行：屏幕超时设置为配置的值，用户无法更改（完全受管 Android 9+；公司所有 Android 15+ 上的工作配置文件）。

屏幕超时：

超时持续时间（秒）。值必须大于 0。如果大于最长锁定时间，系统可能会将其限制，并报告不合规。

 

7. 屏幕截图已禁用

是否禁用屏幕捕获。

 

8. 调节音量已禁用

是否禁用调节主音量。

 

9. 装载物理介质已禁用

是否禁用装载物理外部介质。

策略 - Android

蜂窝网络

在本部分中，您可以配置与蜂窝网络相关的政策。

 

1. 飞行模式

控制用户是否可以切换飞行模式。

用户选择（默认）：允许用户打开或关闭飞行模式。

已禁用：飞行模式已禁用。不允许用户打开飞行模式。在 Android 9 及更高版本上受支持。

 

2. 蜂窝网络 2G

控制用户是否可以切换蜂窝网络 2G 设置。

用户选择（默认）：允许用户打开或关闭蜂窝网络 2G。

已禁用：蜂窝网络 2G 已禁用。不允许用户通过设置打开蜂窝网络 2G。在 Android 14 及更高版本上受支持。

 

3. 覆盖 APN

控制覆盖 APN 是启用还是禁用。启用后，将仅使用配置的覆盖 APN，设备上的所有其他 APN 都将被忽略。

已禁用（默认）：所有已配置的 APN 设置都会保存在设备上，但处于禁用状态且不生效。设备上的其他所有 APN 仍会继续使用。

已启用：仅使用覆盖 APN，其他所有 APN 均被忽略。此设置只能在运行 Android 10 及以上版本的完全受管设备上配置。

 

4. APN 设置

配置一个或多个 APN 条目。使用添加 APN创建条目，使用移除 APN将其删除。

每个 APN 都有必填字段：

APN 类型：为此 APN 选择一种或多种流量类型（可用性取决于管理模式和 Android 版本）。

APN 名称：运营商提供的 APN 标识符。

显示名称：在界面中显示的友好名称。

 

可选 APN 字段：

认证类型、用户名、密码：配置运营商认证（如需要）。

协议和漫游协议：IP 协议配置。

网络类型：限制此 APN 可使用的蜂窝技术（例如 LTE/5G NR）。

代理地址和代理端口：用于数据流量的 HTTP 代理（如适用）。

MMS 代理地址、MMS 代理端口、MMSC（MMS 中心 URI）：MMS 相关设置。

数字运营商 ID（MCC+MNC）和运营商 ID：运营商标识字段。

始终开启设置：此 APN 激活的 PDU 会话是否应始终开启。支持 Android 15 及以上版本。

MVNO 类型：移动虚拟网络运营商标识符类型。

MTU IPv4和MTU IPv6：IPv4/IPv6 路由的最大传输单元。支持 Android 13 及以上版本。

 

5. 小区广播配置已禁用

是否禁用小区广播配置。

 

6. 移动网络配置已禁用

是否禁用移动网络配置。

 

7. 漫游数据已禁用

是否禁用漫游数据服务。

 

8. 拨出电话已禁用

是否禁用拨出电话。

 

9. SMS 已禁用

是否禁用发送和接收 SMS 消息。

 

10. 5G 网络切片配置

配置优先网络服务设置以启用企业 5G 网络切片。最多可设置 5 个企业切片，并将应用分配到特定网络以优化流量路由。

10.1. 默认优先网络

用于不在应用列表中的应用，或应用的优先网络未设置时的默认优先网络 ID。必须为指定的网络 ID 提供配置（除非设置为无优先网络）。

注意：com.google.android.apps.work.clouddpc和com.google.android.gms等关键应用不包含在此默认设置中。

 

10.2. 网络服务配置

使用添加网络配置创建切片配置。最多可添加 5 个配置。每个配置包含：

优先网络 ID（自动分配）：网络 ID 会自动分配，无法更改。

回退到默认连接：是否允许回退到设备范围的默认网络。如果不允许，当 5G 切片不可用时，应用将无法访问互联网。

非匹配网络：受此配置约束的应用是否可以使用优先服务以外的网络。如果设置为不允许，回退到默认连接也必须设置为不允许。需要 Android 14 及以上版本。

策略 - Android

网络

在本部分中，你可以配置与网络相关的政策。

Wi‑Fi 配置可以由系统通过WiFi 配置预置和管理。根据配置 Wi‑Fi上设置的值，用户对添加/修改网络可能拥有有限的控制权或没有控制权。

 

设备无线状态

1. Wi‑Fi 状态

控制 Wi‑Fi 的当前状态以及用户是否可以更改其状态。

用户选择（默认）：允许用户启用/禁用 Wi‑Fi。

已启用：Wi‑Fi 处于开启状态，不允许用户将其关闭（Android 13+）。

已禁用：Wi‑Fi 处于关闭状态，不允许用户将其开启（Android 13+）。

 

2. 最低 Wi‑Fi 安全级别

设备可连接的 Wi‑Fi 网络的最低要求安全级别。在 Android 13 及以上版本上，支持完全受管设备以及公司所有设备上的工作配置文件。

开放网络（默认）：设备可以连接所有类型的 Wi‑Fi 网络。

个人网络：不允许开放 Wi‑Fi 网络；要求至少达到个人安全级别（例如 WPA2‑PSK）。

企业网络：要求企业 EAP 网络；不允许低于此安全级别的 Wi‑Fi 网络。

192 位企业网络：要求 192 位企业网络；这是最严格的选项。

 

3. 超宽带 (UWB) 状态

控制超宽带设置的状态以及用户是否可以将其开启或关闭。

用户选择（默认）：允许用户开启或关闭 UWB。

已禁用：UWB 已禁用，不允许用户通过设置将其开启（Android 14+）。

 

设备连接管理

4. 蓝牙共享

控制是否允许蓝牙共享。

允许：允许蓝牙共享（完全受管设备上的默认值，Android 8+）。

不允许：不允许蓝牙共享（工作配置文件上的默认值，Android 8+）。

 

5. 配置 Wi‑Fi

控制 Wi‑Fi 配置权限。根据所选选项，用户在配置 Wi‑Fi 网络时拥有完全、有限或无控制权。

允许配置 Wi‑Fi（默认）：允许用户配置 Wi‑Fi。

不允许添加 Wi‑Fi 配置：不允许添加新的 Wi‑Fi 配置。用户可以在已配置的网络之间切换（Android 13+；完全受管和公司所有的工作配置文件）。

不允许配置 Wi‑Fi：不允许配置 Wi‑Fi 网络。对于完全受管设备，这会移除用户配置的网络，仅保留通过WiFi 配置配置的网络。对于公司所有的工作配置文件，现有网络不受影响，但用户无法添加/移除/修改 Wi‑Fi 网络。

当禁用配置 Wi‑Fi 且设备在启动时无法连接时，系统可以显示网络逃生通道，让用户临时连接并刷新政策。

 

6. Wi‑Fi 直连设置

控制 Wi‑Fi 直连设置的配置和使用。在运行 Android 13 及以上版本的公司所有设备上受支持。

允许（默认）：允许用户使用 Wi‑Fi 直连。

不允许：不允许用户使用 Wi‑Fi 直连。

 

7. 网络共享设置

控制网络共享设置。根据设置的值，用户会被部分或完全禁止使用不同形式的网络共享。

允许所有网络共享（默认）：允许配置和使用所有形式的网络共享。

不允许 Wi‑Fi 网络共享：不允许用户使用 Wi‑Fi 网络共享（公司所有 Android 13+）。

不允许所有网络共享：不允许所有形式的网络共享（完全受管 + 公司所有的工作配置文件）。

 

8. Wi‑Fi SSID 政策

限制设备可以连接到哪些 Wi‑Fi SSID（这不会影响可以在设备上配置哪些网络）。在运行 Android 13 及以上版本的公司所有设备上受支持。

SSID 拒绝列表（默认）：设备无法连接到任何 SSID 已列出的 Wi‑Fi 网络，但可以连接到其他网络。

SSID 允许列表：设备只能连接到已列出的 SSID。SSID 列表不能为空。

使用添加 SSID添加条目。根据所选政策类型，该列表会被解释为允许或拒绝的 SSID。

在政策编辑器界面中，对于允许列表，SSID 列表标记为允许的 Wi‑Fi SSID；对于拒绝列表，标记为拒绝的 Wi‑Fi SSID。

 

9. Wi‑Fi 漫游设置

按 SSID 配置 Wi‑Fi 漫游模式。使用添加 Wi‑Fi 漫游设置创建条目。

每个条目包括：

SSID：漫游设置适用的 SSID（必填）。

Wi‑Fi 漫游模式：默认 / 已禁用 / 积极。已禁用和积极需要 Android 15+，并且仅在完全受管设备和公司所有设备上的工作配置文件中受支持。

 

网络限制

10. 蓝牙已禁用

是否禁用蓝牙。优先使用此设置而不是“蓝牙配置已禁用”，因为用户可以绕过“蓝牙配置已禁用”。

 

11. 蓝牙联系人共享已禁用

是否禁用蓝牙联系人共享。

 

12. 蓝牙配置已禁用

是否禁用蓝牙配置。

 

13. 网络重置已禁用

是否禁用重置网络设置。

 

14. 传出 Beam 已禁用

是否禁用使用 NFC 从应用传输数据。

 

VPN

15. 始终开启的 VPN 应用

指定始终开启的 VPN 包名，以确保指定受管应用的数据始终通过已配置的 VPN。

注意：此功能需要部署同时支持始终开启和按应用 VPN 功能的 VPN 客户端。

 

16. VPN 锁定

当 VPN 未连接时不允许联网。

 

17. VPN 配置已禁用

是否禁用 VPN 配置。

 

代理和网络服务

18. 优先网络服务

控制是否在工作配置文件上启用优先网络服务。例如，组织可能与运营商达成协议，通过专供企业使用的运营商网络服务发送工作数据（例如 5G 网络上的企业切片）。这对完全受管设备没有影响。

已禁用：工作配置文件上的优先网络服务已禁用。

已启用：工作配置文件上的优先网络服务已启用。

如果你使用企业网络切片，还请在蜂窝网络政策面板下配置5G 网络切片配置，并使用应用的优先网络设置将其分配到切片。

 

与网络无关的全局 HTTP 代理。通常，应在 WiFi 配置中按网络配置代理。全局代理可能对常规内部过滤等特殊配置有用。全局代理仅是建议，某些应用可能会忽略它。

已禁用

直接代理

代理自动配置 (PAC)

19.1. 主机

直接代理的主机。

19.2. 端口

直接代理的端口。

19.3. PAC URI

用于配置代理的 PAC 脚本 URI。

19.4. 排除的主机

对于直接代理，指绕过代理的主机。主机名可以包含通配符，例如 *.example.com。

使用添加排除的主机添加条目（仅适用于直接代理）。

 

Wi-Fi 配置

定义系统将在设备上应用的 Wi‑Fi 网络配置。使用添加 Wi‑Fi 配置创建条目，并使用删除操作将其移除。

20. Wi‑Fi 配置字段

每个配置包括：

配置名称：必填。

SSID：必填。

自动连接：是否应在网络处于范围内时自动连接。

快速转换：客户端是否应尝试使用快速转换 (IEEE 802.11r-2008) 连接网络。

隐藏 SSID：SSID 是否会被广播。

MAC 随机化模式：硬件或自动 (Android 13+)。

 

20.1. 安全

Wi‑Fi 安全选项：

WEP‑PSK：WEP（预共享密钥）。

WPA‑PSK：WPA/WPA2/WPA3-Personal（预共享密钥）。

WPA‑EAP：WPA/WPA2/WPA3-Enterprise（可扩展身份验证协议）。

WPA3 192 位模式：仅允许 WPA3 192 位模式的 WPA‑EAP 网络。

20.2. 密码短语（预共享密钥）

当安全类型为WEP‑PSK或WPA‑PSK时显示。密码短语为必填项。

20.3. EAP 方法（企业）

当安全类型为WPA‑EAP或WPA3 192 位模式时显示。选择一种 EAP 外部方法：

EAP‑TLS

EAP‑TTLS

PEAP

EAP‑SIM

EAP‑AKA

20.4. 第 2 阶段身份验证

仅对隧道外部方法（EAP‑TTLS和PEAP）显示。

MSCHAPv2

PAP

20.5. 来自用户的 EAP 凭据

启用后，系统会按用户自动在设备上应用 EAP 凭据。您可以在用户部分配置用户凭据。

20.6. 客户端证书

对于EAP‑TLS，您可以分配用于 Wi‑Fi 身份验证的客户端证书。有关详细信息，请阅读证书管理页面。

如果已分配证书，您可以使用打开证书查看，或使用更改证书选择其他证书。

或者，您可以指定客户端证书密钥对别名，它引用存储在 Android 密钥库中并允许用于 Wi‑Fi 身份验证的客户端证书。

如果同时设置了客户端证书和客户端证书密钥对别名，则忽略密钥对别名。

20.7. 身份

用户身份。对于隧道外部协议 (PEAP、EAP‑TTLS)，它用于在隧道内进行身份验证，而匿名身份用于隧道外的 EAP 身份。对于非隧道外部协议，它用于 EAP 身份。

20.8. 匿名身份

仅适用于隧道协议，表示向外部协议呈现的用户身份。

20.9. 密码

用户密码。如果未指定，则默认提示用户输入。

20.10. 服务器 CA 证书

用于验证主机证书链的 CA 证书列表。至少有一个 CA 证书必须匹配。有关详细信息，请阅读证书管理页面。

使用添加服务器 CA 证书添加条目，并使用删除操作将其移除。

20.11. 域后缀匹配

服务器域名的约束列表。这些条目用作对身份验证服务器证书备用使用者名称的 DNS 名称进行后缀匹配的要求。

 

策略 - Android

系统

在本节中，您可以配置与系统相关的政策。

 

1. 最低 API 级别

允许的最低 Android API 级别。

 

2. 加密政策

是否启用加密。

默认：此值会被忽略，即不需要加密。

启用但不使用密码：需要加密，但启动时不需要密码。

启用并使用密码：需要加密，且启动时需要密码。

 

3. 自动日期和时间

是否在企业所有设备上启用自动日期、时间和时区。

用户选择（默认）：自动日期、时间和时区由用户选择。

强制：在设备上强制使用自动日期、时间和时区。

 

4. 开发者设置

控制对开发者设置的访问权限：开发者选项和安全启动。

已禁用（默认）：禁用所有开发者设置并阻止用户访问这些设置。

已允许：允许所有开发者设置。用户可以访问并选择性地配置这些设置。

 

5. 通用准则模式

控制通用准则模式——信息技术安全评估通用准则 (CC) 所定义的安全标准。启用通用准则模式会增强设备上的特定安全组件（例如：蓝牙长期密钥的 AES-GCM 加密、对某些网络证书的额外验证以及加密策略完整性检查）。通用准则模式仅在运行 Android 11 或更高版本的公司自有设备上受支持。警告：通用准则模式会强制执行严格的安全模型，通常只有高度敏感的机构才需要。可能会影响设备的正常使用；请仅在需要时启用。

已禁用（默认）：禁用通用准则模式。

已启用：启用通用准则模式。

 

6. Memory Tagging Extension (MTE)

控制设备上的 Memory Tagging Extension (MTE)。

用户选择（默认）：用户可以选择在设备上启用或禁用 MTE（如果设备支持）。

强制启用：MTE 已启用，且不允许用户更改（Android 14+；在完全托管设备以及公司自有设备上的工作资料上受支持）。

已禁用：MTE 已禁用，且不允许用户更改（Android 14+；仅在完全托管设备上受支持）。

 

7. 内容保护

控制是否启用内容保护（会扫描欺骗性应用）。此功能在 Android 15 及更高版本上受支持。

已禁用（默认）：内容保护已禁用，用户无法更改此设置。

强制启用：内容保护已启用，用户无法更改此设置（Android 15+）。

用户选择：内容保护不受政策控制；用户可以选择（Android 15+）。

 

8. 辅助内容

控制是否允许将 AssistContent 发送到特权应用（例如助手应用，如圈选搜索）。AssistContent 包含截图和有关应用的信息，例如包名。此功能在 Android 15 及更高版本上受支持。

已允许（默认）：允许将辅助内容发送到特权应用（Android 15+）。

已禁止：禁止将辅助内容发送到特权应用（Android 15+）。

 

9. 创建窗口已禁用

是否禁用创建应用窗口之外的窗口。此选项会阻止显示以下系统界面：Toast 和 snackbar、电话活动（如来电）和优先电话活动（如通话中）、系统提醒、系统错误和系统叠加层。

 

10. 网络应急通道

是否启用网络应急通道。如果启动时无法建立网络连接，应急通道会提示用户临时连接到网络，以便刷新设备政策。应用政策后，临时网络将被遗忘，设备将继续启动。这样可以避免在上一项政策中没有合适的网络、且设备以锁定任务模式启动到某个应用，或用户因其他原因无法访问设备设置时，出现无法连接网络的情况。

 

11. 默认活动

用于处理与特定 intent 过滤器匹配的 intent 的默认活动列表。例如，此功能允许 IT 管理员选择由哪个浏览器应用自动打开网页链接，或点按主屏幕按钮时使用哪个启动器应用。

使用添加默认活动创建条目。在条目中，使用 添加操作 和 添加类别 构建 intent 过滤器。

11.1. 接收方活动

应作为默认 intent 处理程序的活动。这应是 Android 组件名称，例如 com.android.enterprise.app/.MainActivity。或者，该值也可以是应用的包名，此时 Android Device Policy 会从该应用中选择合适的活动来处理 intent。

11.2. 操作

要在过滤器中匹配的 intent 操作。如果过滤器中包含任何操作，则 intent 的操作必须是这些值之一才能匹配。如果未包含任何操作，则忽略 intent 操作。

11.3. 类别

要在过滤器中匹配的 intent 类别。intent 包含其所需的类别，所有这些类别都必须包含在过滤器中才能匹配。换言之，除非 intent 中指定了某个类别，否则向过滤器添加该类别不会影响匹配。

 

12. 允许的输入法

指定允许的输入法。

全部允许：未应用限制。允许所有输入法。

仅系统：仅允许系统内置输入法。

仅系统和提供的输入法：仅允许提供的输入法以及系统内置输入法。

12.1. 允许的输入法

允许的输入法包名。仅当 允许的输入法 设置为 仅系统和提供的输入法 时适用。

使用 添加输入法 添加条目，并使用删除操作移除条目。

 

13. 允许的无障碍服务

指定允许的无障碍服务。

全部允许：可以使用任何无障碍服务。

仅系统：只能使用系统内置的无障碍服务。

仅系统和提供的服务：只能使用提供的服务以及系统内置的无障碍服务。

13.1. 允许的无障碍服务

允许的无障碍服务。仅当 允许的无障碍服务 设置为 仅系统和提供的服务 时适用。

使用 添加无障碍服务 添加条目，并使用删除操作移除条目。

 

14. 系统更新政策

用于管理系统更新的配置。

默认：遵循设备的默认更新行为，通常需要用户接受系统更新。

自动：一旦有更新可用就自动安装。

窗口化：在每日维护窗口内自动安装。这还会将 Play 应用配置为在该窗口内更新。强烈建议自助服务终端设备使用此选项，因为这是 Play 更新持续固定在前台的应用的唯一方式。

推迟：最多可将自动安装推迟 30 天。

 

14.1. 维护窗口（仅窗口化）

当 系统更新政策 设置为 窗口化 时，可以使用 from 和 to 字段定义每日维护窗口。

 

14.2. 系统更新冻结期

每年重复的时间段，在此期间推迟无线 (OTA) 系统更新，以冻结设备上运行的 OS 版本。为防止设备无限期冻结，每个冻结期之间必须至少间隔 60 天。每个冻结期不得超过 90 天。

使用 添加系统更新冻结期 创建条目。

 

15. 凭据提供程序默认值

控制哪些应用可以在 Android 14 及更高版本上充当凭据提供程序。

已禁止（默认）：未指定 credentialProviderPolicy 的应用不允许充当凭据提供程序。

除系统外禁止：未指定 credentialProviderPolicy 的应用不允许充当凭据提供程序，但 OEM 默认凭据提供程序除外。

策略 - Android

位置和地理围栏

此面板汇总了控制设备位置报告、位置强制执行和地理围栏定义的 Android 政策设置。当你希望 Cerberus Enterprise 收集设备位置，或检测设备进入或离开已配置区域时，请使用此面板。

位置报告

报告位置

启用设备地理位置报告。通过此设置收集的位置数据用于仪表板位置地图、设备概览位置历史和地理围栏处理。

位置历史记录和地理围栏事件保留 90 天，更早的数据每晚自动删除。每台已注册设备的最新位置始终保留，因此它会保留在地图上。

在未完全受管理的设备上，位置数据可能仍取决于 Cerberus Enterprise 应用是否拥有所需的位置权限，以及设备是否启用了位置服务。

在个人 Apple 设备（用户注册）上，位置和地理围栏默认关闭：仅当 Apple 政策开启个人设备上的位置和地理围栏，且用户允许 Cerberus Enterprise 应用使用位置时，它们才可用。

位置模式

控制公司所有设备上的设备位置设置。

共享位置已禁用

为工作应用禁用位置共享。在配置文件所有者设备上，这会影响工作配置文件。在完全受管设备上，这会禁用整个设备的位置并覆盖设备位置模式。

启用地理围栏时的自动行为

活动地理围栏需要位置报告才能正常工作。当至少有一个地理围栏处于活动状态时，Cerberus Enterprise 会自动保持相关位置设置一致。

如果你在一个或多个地理围栏处于活动状态时尝试禁用报告位置，Cerberus Enterprise 会显示确认对话框。如果继续，政策中的所有活动地理围栏都将被停用。

地理围栏列表

一个政策最多可包含10 个地理围栏。地理围栏名称在政策内必须唯一。

使用添加地理围栏创建新条目。每个地理围栏包含以下主要字段：

每个地理围栏必须至少保持启用报告进入或报告退出中的一项。

此前最小半径为 100 米。小于 200 米的现有地理围栏会继续正常工作，并且在保存政策时会保持原样，即使你移动或重命名它们也是如此。如果你更改其半径，则半径必须至少为 200 米。

地图编辑工具

每个地理围栏卡片都包含该区域的地图预览。你可以在地图上或通过数值字段编辑几何形状。

地理围栏数据的显示位置

可以在 Android 的设备概览页面中，通过位置面板的地理围栏标签页查看地理围栏转换。该标签页会在专用地图上显示转换，并提供筛选工具和转换列表。

策略 - Android

用户管理

添加用户已禁用

是否禁用添加新用户和配置文件。对于 managementMode 为 DEVICE_OWNER 的设备，此字段会被忽略，且绝不允许用户添加或移除用户。

 

修改账户已禁用

是否禁用添加或移除账户。

 

用户凭据配置已禁用

是否禁用配置用户凭据。

 

移除用户已禁用

是否禁用移除其他用户。

 

设置用户图标已禁用

是否禁用更改用户图标。

 

设置壁纸已禁用

是否禁用更改壁纸。

 

工作账户设置身份验证

控制用户在工作账户设置期间进行身份验证的方式。此选项仅适用于由受管理的 Google 域 (Google Workspace) 提供支持的 Android 企业。

在设备设置/注册期间，此政策会影响是否需要登录工作账户，但 Google Admin Console 设置 使用 Google 进行身份验证 和注册令牌类型仍可能要求身份验证。

对于已注册的设备，此政策仅在设备由受管理的 Google Play 账户管理时适用（即注册时未使用 使用 Google 注册进行身份验证）。

有关更多详细信息和故障排除，请参阅 使用 Google 注册进行身份验证。

 

阻止的账户类型

用户无法管理的账户类型。此选项可防止设备用户添加未经批准的账户。

使用 添加阻止的账户类型 添加一个或多个账户类型。

每个条目都有一个 账户类型 字段（必填）。输入诸如 com.google 的字符串。使用删除操作移除条目。

策略 - Android

个人使用

当为工作和个人用途配置企业所有设备时，您可以指定一些规则，以限制用户在工作配置文件之外将设备用于个人用途的方式。

本节仅适用于带工作配置文件的企业所有设备。对完全托管或个人所有设备无效。

1. 相机已停用

相机是否已停用。

 

2. 屏幕截图已停用

屏幕截图是否已停用。

 

3. 工作关闭的最长天数

控制工作配置文件可保持关闭的时长。

 

4. 蓝牙共享

控制是否允许在带工作配置文件的企业所有设备的个人配置文件中进行蓝牙共享。

 

5. 私人空间

控制是否允许在设备上使用私人空间。

 

6. Play 商店模式

此模式控制个人配置文件的 Play 商店中允许或阻止用户使用哪些应用。

阻止名单（默认）：所有应用均可用，任何不应出现在设备上的应用都应在应用部分明确标记为已阻止。

允许名单：只有在应用部分明确指定且安装类型设为可用的应用才允许安装到个人配置文件。

 

7. 应用

必须在个人配置文件中允许或阻止的应用列表。列表内容的行为取决于Play 商店模式的设置值。

要从 Play 商店添加新应用，请点击+图标。

7.1. 安装类型

个人配置文件应用可以采用的安装行为类型。

已阻止：该应用被阻止，无法安装到个人配置文件。

可用：该应用可安装到个人配置文件。

 

8. 阻止的账户类型

用户无法管理的账户类型。此选项可防止设备用户在其个人配置文件中添加未经批准的账户。

策略 - Android

跨配置文件政策

仅适用于同时具有个人配置和工作配置的设备。

跨配置文件复制/粘贴

从一个配置文件（个人或工作）复制的文本是否可以粘贴到另一个配置文件。

不允许（默认）：阻止用户将从工作配置文件复制的文本粘贴到个人配置文件。从个人配置文件复制的文本可以粘贴到工作配置文件。

允许：在任一配置文件中复制的文本都可以粘贴到另一个配置文件。

 

跨配置文件数据共享

来自一个配置文件（个人或工作）的数据是否可以与其他配置文件中的应用共享。具体控制通过 intent 进行的简单数据共享。其他跨配置文件通信渠道（例如联系人搜索、复制/粘贴、
或已连接的工作 & 个人应用）的管理需单独配置。

不允许：阻止从个人配置文件向工作配置文件以及从工作配置文件向个人配置文件共享数据。

不允许从工作配置文件共享到个人配置文件（默认）：阻止用户将工作配置文件中的数据共享到个人配置文件中的应用。个人数据可以与工作应用共享。

允许：来自任一配置文件的数据都可以与另一个配置文件共享。

 

工作配置文件小组件默认值

工作配置文件小组件的默认行为。如果特定应用未定义小组件政策，则遵循此处设置的默认值。

 

跨配置文件应用功能

控制个人配置文件中的应用是否可以调用工作配置文件应用的应用功能。这需要 Android 16 及以上版本。

此设置取决于政策级别的应用功能选项（位于应用管理部分）。如果应用功能设置为不允许，API 将拒绝将跨配置文件应用功能设置为允许。

 

个人配置文件中的工作联系人

存储在工作配置文件中的联系人是否可以显示在个人配置文件的联系人搜索和来电中。

允许（默认）：允许工作配置文件联系人显示在个人配置文件中。

不允许：阻止个人应用访问工作配置文件联系人以及查找工作联系人。

除系统应用外不允许：阻止大多数个人应用访问工作配置文件联系人，但 OEM 默认电话、信息与联系人应用除外（Android 14+）。

配置“个人配置文件中的工作联系人”后，你可以选择定义豁免包名条目列表。根据所选模式，这些豁免对个人应用表现为允许列表或阻止列表。

策略 - Android

状态报告

在本节中，您可以配置应从设备检索哪些数据。可以在设备状态仪表板页面中查看状态数据。

 

应用报告

是否启用应用报告。（报告的关于已安装应用的信息。）

此选项是系统所需的（用于配套应用集成），始终启用；无法停用。

 

包括已移除的应用

应用报告中是否包括已移除的应用。

 

设备设置

是否启用设备设置报告。（有关设备上安全相关设备设置的信息。）

 

软件信息

是否启用软件信息报告。（有关设备软件的信息。）

 

内存信息

是否启用内存报告。（与内存和存储测量相关的事件。）

 

网络信息

是否启用网络信息报告。（设备网络信息。）

 

显示信息

是否启用显示器报告。个人所有且带工作配置文件的设备无法使用报告数据。（设备显示信息。）

 

电源管理事件

是否启用电源管理事件报告。个人所有且带工作配置文件的设备无法使用报告数据。

 

硬件状态

是否启用硬件状态报告。个人所有且带工作配置文件的设备无法使用报告数据。

 

系统属性

是否启用系统属性报告。

 

通用准则模式

是否启用通用准则模式报告。

策略 - Android

其他

1. 彩蛋游戏已禁用

是否禁用设置中的彩蛋游戏。

 

2. 跳过首次使用提示

用于在首次使用时跳过提示的标志。企业管理员可以启用系统建议，让应用在首次启动时跳过用户教程和其他介绍性提示。

 

3. 简短支持消息

当管理员禁用了某些功能时，在设置界面中向用户显示的消息。如果消息超过 200 个字符，可能会被截断。

 

4. 长支持消息

在设备管理员设置界面中向用户显示的消息。

 

5. 所有者锁屏信息

要在锁屏上显示的设备所有者信息。

 

6. 设置操作

在设置过程中要执行的操作。在注册期间，你可以要求用户打开设备设置所需的一个或多个应用。

使用添加设置操作创建条目，并使用删除操作将其移除。

6.1. 启动应用

要启动的应用的包名

6.2. 标题

提供面向用户的消息，向用户解释为什么需要启动该应用。

6.3. 描述

提供面向用户的消息，向用户解释为什么需要启动该应用。

 

7. 企业显示名称可见性

控制企业显示名称是否在设备上可见（例如，在公司所有设备上作为锁屏消息）。

可见（默认）：企业显示名称在设备上可见（支持 Android 7+ 上的工作配置文件和 Android 8+ 上的完全受管设备）。

隐藏：企业显示名称在设备上隐藏。

策略 - Android

合规性规则

如果设备或工作配置文件未遵守下面列出的任何政策设置，Android Device Policy 默认会立即阻止使用该设备或工作配置文件：

如果设备或工作配置文件在 10 天后仍不合规，Android Device Policy 会将设备恢复出厂设置或删除工作配置文件。

在本节中，您可以覆盖默认的合规性执行规则或添加新规则。

规则

定义特定政策无法应用于设备时的行为的规则列表。

使用添加规则创建新规则。可以使用删除操作移除每个规则卡片。

设置名称

要执行的顶级政策。例如应用或密码要求。

必填。该值必须与受支持的顶级政策名称匹配；否则该字段会被标记为无效。

多少天后阻止

政策不合规多少天后阻止设备或工作配置文件。要立即阻止访问，请设为 0。多少天后阻止必须小于多少天后清除。仅适用于企业所有设备。

允许范围：0–300。

阻止范围

指定阻止操作的范围。仅适用于企业所有设备。

默认（新规则）：工作配置文件。

工作配置文件：阻止操作仅应用于工作配置文件中的应用。个人配置文件中的应用不受影响。

整个设备：阻止操作应用于整个设备，包括个人配置文件中的应用。

多少天后清除

政策不合规多少天后清除设备或工作配置文件。
多少天后清除必须大于多少天后阻止。仅适用于企业所有设备。

必填。默认（新规则）：1。

允许范围：1–300。

保留恢复出厂设置保护

是否在设备上保留恢复出厂设置保护数据。此设置不适用于工作配置文件。

默认（新规则）：已启用。

策略 - Apple

策略 - Apple

Apple 政策

Apple 政策定义了 Cerberus Enterprise 通过 MDM 应用于 Apple 设备的管理设置。这些设置可在仪表板的 Apple 政策编辑器中进行配置。

开始之前

Apple 设备管理要求配置 Apple Management (APNs)。如有需要，请阅读Apple Management 设置 (APNs)页面。

打开 Apple 政策编辑器

在仪表板中，打开政策，然后点击创建新的 Apple 政策。要编辑现有 Apple 政策，请在政策表格中点击其所在行。

编辑器布局

Apple 政策编辑器由一组可展开的部分组成。在页面顶部，您可以随时编辑：

政策部分

以下部分与 Apple 政策编辑器中当前可用的面板相对应。打开已保存的政策时，设置已更改的部分已经展开，其他部分则保持关闭：

Apple 政策编辑器中的许多选项都包含工具提示，其中说明了要求和受支持的 OS 版本。

保存、删除和关联设备

使用保存政策应用您的更改。当没有待处理的编辑或许可证已过期时，该按钮会被禁用。

编辑现有政策时，页面还会显示删除政策操作。编辑器可在底部显示关联设备列表，以便您查看当前有多少台设备正在使用该政策。

后续页面

策略 - Apple

应用与描述文件

本节介绍如何为 Apple 设备配置受管应用和账户负载。

应用管理

应用管理面板包含与应用相关的常规限制以及受管应用列表。

常规应用限制

受管应用

使用添加应用将应用添加到政策。每个受管应用都会显示为一张卡片。您可以展开卡片以编辑其设置，并使用删除操作移除该应用。

应用选择列表会显示每个应用的可用许可证和总许可证。免费应用会显示无限制：Apple 为其提供无限许可证。一个应用只能添加到政策一次：如果应用的 App Store ID 或 Bundle ID 与政策中已有的应用相同，则会被拒绝；保存时列出同一应用两次的政策也会被拒绝。

应用选择列表会显示您的 Apple Business 资料库中的应用。要添加应用，请在 Apple Business 中打开Apps & Services → Apps & Books → App Store，搜索该应用并点击View。对于免费应用，点击Add，选择All current and future（或Organizational Units中与您的 Apps and Books 令牌对应的组织单位），点击Add，然后Review并确认。对于付费应用，点击其价格，选择Managed Licenses作为License Type（Cerberus Enterprise 无法使用兑换代码），选择您的 Apps and Books 令牌的Organizational Unit，输入Licenses数量（每个订单最多 1,000 个），然后Review并购买。必须先通过Settings → Payments & Billing → Apps & Services → Payment Methods设置付款方式。随后应用会显示在应用选择列表中。

个人设备上的应用（用户注册）

使用用户注册注册的个人 iPhone 和 iPad 没有序列号，因此它们会获得政策中 App Store 应用，并使用设备上登录的 Managed Apple Account 的用户许可证。Cerberus 会自行向 Apps and Books 注册该账户并分配许可证，包括免费应用。Managed Apple Accounts 和 Apps and Books 令牌必须属于同一个 Apple Business 组织。付费应用每个账户使用一个许可证，由该账户的所有个人设备共享。

有关详细信息，请参阅Apple 账户驱动注册。

受管配置

受管配置会按照应用供应商的文档说明为应用提供其设置（例如服务器地址或账户名称）。在政策中打开该应用，然后点击添加受管配置。它会发送到运行iOS 或 iPadOS 18.4 或更高版本的 iPhone 和 iPad，以及运行macOS 27 或更高版本的 Mac；目前不会发送到 Apple Vision Pro。应用必须支持受管配置：不读取它的应用会忽略它。应用面板会在应用名称旁边显示键的数量。

应用选项

政策中的每个应用（App Store 应用和自定义应用）都有这些选项。设备默认值将选择权留给设备。不支持某个选项的设备不会获得该选项；应用仍会安装。

Mac App Store 应用

应用选择列表会显示每个应用的平台（iPhone/iPad、Mac、Apple TV、Vision）；仅适用于 Mac 的应用会显示其 Mac 图标。仅适用于 Mac 的应用在添加时会应用到 Mac。没有 Mac 版本的 App Store 应用不会发送到 Mac：政策会在适用于下显示“此应用没有 Mac 版本：不会发送到 Mac”。Mac 会通过其 App Store ID 获取 App Store 应用，因此在 Mac 上 Bundle ID 不同的应用也能正确安装。

Cerberus Enterprise 应用

Cerberus 会在每台 iPhone 和 iPad 上安装其 Cerberus Enterprise 应用（要求 iOS 或 iPadOS 18.4 或更高版本），无论是否有政策。该应用会共享设备位置，并接收通知和实时跟踪请求。它以 必需 方式安装，并使用来自 Apps and Books 的设备许可证（个人设备上为用户许可证），因此用户无法删除它。

自定义应用

自定义应用是您自己的 iPhone 和 iPad 应用（.ipa 文件），不经 App Store 分发。在 Xcode 中，将应用导出为Enterprise分发（Apple Developer Enterprise Program：可安装到每台设备）或Ad Hoc分发（仅安装到其描述文件中注册的设备）。无法上传 App Store 构建版本。

点击添加自定义应用打开您组织的自定义应用。上传应用会添加一个 .ipa 文件（最大 2 GB）。选择一个应用并点击添加到政策。列表会显示版本、签名类型、ad hoc 应用描述文件中的设备数量以及描述文件的到期日期。

Mac 软件包

自定义应用还接受 Mac 安装包（.pkg 文件）。该安装包必须是使用 productbuild 构建的分发包（仅使用 pkgbuild 制作的组件包会被拒绝），并使用 Developer ID Installer 证书签名。建议对其进行公证并附加票据（notarytool 和 stapler）。未签名的安装包、签名后更改过的安装包以及使用其他证书签名的安装包都会被拒绝。

使用上传应用上传 .pkg 文件，并将其添加到政策中：它会显示在Mac 软件包下。iPhone 和 iPad 会忽略它。

运行 macOS 26 或更高版本的 Mac（受监管，包括手动注册的 Mac，但不包括用户注册）会以声明形式获取该安装包：Mac 会自行下载、安装、重试和更新它，并报告其状态。较旧的 Mac，以及作为受管理应用安装的安装包，会通过 MDM 命令获取，适用于任何 macOS 版本。升级到 macOS 26 的 Mac 会自行改用声明；它可能会再次安装每个安装包。当 Mac 迁移到另一个包含相同安装包的政策时，也可能发生同样的情况。

账户

账户面板可让你配置应用于受管理设备的账户。它还包含一个用于账户修改的限制开关。

限制

添加账户

使用添加 Google 账户或添加邮件账户将账户有效负载添加到政策中。每个账户会以卡片形式显示，并带有其配置字段。

来自用户的账户凭据

Google 和邮件账户卡片都提供一个来自用户的账户凭据开关。启用后，系统会按用户分别应用账户凭据。禁用后，你需要在政策中输入账户身份。

Google 账户字段

邮件账户字段

邮件账户包括身份字段以及接收/发送服务器配置。主机名为必填项。

接收服务器

发送服务器

S/MIME 选项

对于邮件账户，你还可以配置 S/MIME 加密和签名行为。

加密

签名

账户和限制选项在仪表板中包含工具提示，用于记录先决条件和支持的操作系统版本。

策略 - Apple

自助服务终端与主屏幕

Apple 政策编辑器的自助服务终端与主屏幕部分可将设备锁定到单个应用、选择允许打开哪些应用、排列主屏幕并添加网站图标。每项设置都会作为配置描述文件安装到设备上。

Apple 只会将其中大多数设置应用于受监督的 iPhone 和 iPad（通过 Automated Device Enrollment 注册或使用 Apple Configurator 准备的设备）。其他设备不会获得这些设置。Web Clip 也可在未受监督的 iPhone 和 iPad 上使用。Mac 不会获得这些设置中的任何一项。

选择应用

应用通过其 bundle ID 标识。输入应用名称即可从内置 Apple 应用和政策中的应用中选择，也可以输入任意 bundle ID，例如 com.example.app。

单应用模式

设备仅运行所选应用：用户无法返回主屏幕或打开其他应用。请先通过政策安装该应用。关闭此设置或移除该应用后，设备会退出单应用模式。

允许和阻止的应用

使用 仅允许部分应用 时，不在列表中的所有应用都会从设备上消失，包括政策中的应用。设置以及 iPhone 上的电话始终保留。

主屏幕布局

安排程序坞和主屏幕页面。添加应用、应用文件夹和政策的 Web Clip，并使用添加到选择位置，然后拖动图标以在程序坞和页面之间移动它们。点击文件夹可更改其名称和应用。

用户无法移动图标或从主屏幕移除应用。不在布局中的应用会进入您定义页面之后的页面。iPhone 在程序坞中显示四个图标。用户仍然可以在设置的存储空间中删除非必需的应用。要阻止此操作，请在应用管理中关闭 允许移除应用。

Web Clip

Web Clip 是主屏幕上的一个图标，用于打开网站。设置标签和 URL，并可选择一张图像（PNG 或 JPEG，裁剪为正方形）。

通知设置

选择设备如何显示某些应用的通知：是否允许、显示位置（锁定屏幕、通知中心、CarPlay）、标记、声音、重要警告、横幅样式、分组和预览。用户无法更改这些设置。

锁定屏幕消息

显示在锁定屏幕底部的消息，例如设备被找到时该联系谁，以及资产标签。两者都可以包含变量 $EMAIL$、$USERNAME$、$FULLNAME$、$SERIAL$ 和 $UDID$：设备没有对应值的变量会留空。

策略 - Apple

密码

密码设置部分用于控制设备密码要求及相关安全规则（例如最小长度和复杂性）。在 Mac 上（macOS 13 或更高版本，不适用于用户注册），这些规则适用于用户的登录密码。

选项

在 Apple 政策编辑器中，密码选项通过开关和数字字段组合进行配置。许多字段都包含工具提示，用于说明支持的操作系统版本和监管要求。

密码开关

数字字段

策略 - Apple

限制

“限制”部分用于控制受管理 Apple 设备上允许使用哪些操作系统功能。在 Apple 政策编辑器中，这些选项以包含多个开关的分组面板形式呈现。

应用管理 和 网络 面板的开关在 Apple 政策的 应用与描述文件 和 网络 页面中描述。

许多限制仅在特定的操作系统版本上受支持，并且可能需要受监管设备。请使用仪表板中的工具提示获取权威要求。

在使用用户注册的设备（通过使用工作账户登录注册的个人设备）上，Apple 不允许的限制不会被发送。如果政策的限制均不适用，这些设备不会获得限制描述文件。政策编辑器会显示有多少限制不适用于用户注册设备。

安全性

多媒体

蜂窝网络

蜂窝 APN

蜂窝 APN用于设置运营商提供的接入点名称 (APN)，例如用于专用或企业移动网络。设置接入点名称，并在运营商要求时设置认证（PAP 或 CHAP）、用户名（允许使用 $EMAIL$ 等变量）、密码、IP 版本（漫游时也适用）、代理服务器及其端口和 XLAT464。仅当运营商为你提供用于连接网络的单独 APN 时，才开启附加 APN。

错误的 APN 会导致设备没有蜂窝数据：请先在装有该运营商 SIM 卡的测试设备上尝试这些设置。

系统与用户界面

Apple 应用与服务

Siri 与 Apple Intelligence

iCloud

账户（限制）

账户面板同时包含一项限制和（可选的）账户配置。限制开关控制用户是否可以修改系统账户。

策略 - Apple

网络

Apple 政策编辑器的 网络 部分在设备上配置 Wi-Fi 网络和 VPN，安装证书，并限制 AirDrop 和蓝牙等连接功能。每个 Wi-Fi 网络、VPN 和证书都会作为独立的配置描述文件安装，您可以在设备的 设置 > 通用 > VPN 与设备管理 中看到它（Mac：系统设置 > 通用 > 设备管理，或在 macOS 13 和 14 上为 隐私与安全 > 描述文件），也可以在设备页面的 描述文件、证书和安全 面板中看到它。

证书取自证书页面：请先在那里导入它们。政策只会引用它们，因此证书绝不会被复制到政策中。

限制

Wi-Fi 网络

点击添加 Wi-Fi 网络并填写：

企业网络 (802.1X)

当用户使用自己的凭据或证书而非共享密码进行认证时，请开启企业网络 (802.1X)。

VPN

点击添加 VPN以配置 IKEv2 或 Cisco IPSec VPN，这些协议内置于 iOS、iPadOS 和 macOS（无需 VPN 应用）。

连接

请先在测试设备上测试“始终开启”或按需 VPN：如果无法访问服务器，设备可能会没有连接。

全局代理、加密 DNS 和 Web 内容过滤器

这些设置应用于设备的所有流量。请使用各自的开关开启它们。

错误的代理或 DNS 服务器可能导致设备没有连接：请先在测试设备上尝试这些设置。

证书

点击添加证书以单独安装证书：Safari 和应用必须信任的证书颁发机构，或应用使用的身份。Wi-Fi 网络或 VPN 的证书无需在此添加。

证书选项

使用旧版 RC2 加密保护的客户端证书（.p12）无法安装在 Apple 设备上。请在导入前使用 3DES 或 AES 加密重新导出它们。

安全性

包含密码或私钥的描述文件只会发送到为其创建的设备：设备必须使用其管理证书对请求进行签名。密码和证书不会写入日志。

策略 - Apple

软件更新

Apple 政策编辑器中的软件更新部分可让设备保持最新：它可以要求设备在截止日期前使用特定 OS 版本，并控制设备下载和安装更新的方式。

必需的 OS 更新

点击添加必需更新以要求某个 OS 版本。设备会下载更新，告知用户截止日期，并在用户之前未安装的情况下于截止日期安装。已运行该版本或更高版本的设备会忽略它。需要 iOS 和 iPadOS 17 或 macOS 14。

设备会在设备页面的设备状态面板中报告更新进度（下载、安装、失败）。

软件更新设置

打开iPhone 和 iPad 的软件更新设置或Mac 的软件更新设置，以控制这些设备上的更新。开关关闭时，设备会保留自己的设置。需要 iOS 和 iPadOS 18 或 macOS 15：较旧的设备会忽略这些设置。

从设备页面安装更新

设备的设备状态面板会列出可用于该设备的更新。使用检查更新让设备提供列表，使用安装立即安装某个更新，或下载该更新并让用户安装。这适用于受监督的 iPhone 和 iPad 以及 Mac。Apple 会在 iOS、iPadOS 和 macOS 27 中移除这些命令：在这些版本上，请使用政策中的必需更新。

策略 - Apple

macOS

Apple 政策编辑器的macOS部分可管理 Mac 的安全性、隐私和登录设置：FileVault、防火墙、Gatekeeper、屏幕保护程序与锁定、外部和网络存储、屏幕共享、隐私权限、登录项，以及允许载入的系统和内核扩展。它还会安装系统服务和后台任务的配置文件。政策中的其他设备不会获得这些设置。开启某项设置即可管理它；关闭时，用户保留自己的选择。

大多数设置会作为配置描述文件安装到 Mac 上，可在“系统设置”>“通用”>“设备管理”中查看。FileVault、隐私权限、登录项和扩展设置需要用户批准的 MDM：对于通过注册 URL 或二维码注册的 Mac，用户需在“系统设置”中批准注册描述文件。设备页面会在用户批准的 MDM字段中显示该状态。当用户稍后批准后，Mac 会自动获得这些设置。

FileVault

FileVault 会加密 Mac 的磁盘。开启此设置后，用户会被要求使用其密码开启 FileVault，Mac 会将其个人恢复密钥发送到 Cerberus Enterprise，并使用仅属于贵组织的密钥加密。该密钥会显示在设备页面的FileVault字段中，也可在该字段中更改（请参阅设备命令）。此设置需要 macOS 13 或更高版本以及用户批准的 MDM；没有用户批准的 MDM 时，Mac 不会被要求开启 FileVault，但如果用户自行开启，其密钥会被存储。

获得此设置时已经加密的 Mac 会保留其当前密钥，Cerberus Enterprise 不会收到该密钥：只有在用户关闭并重新开启 FileVault 后（且“阻止关闭 FileVault”已关闭），密钥才会被存储。关闭此设置或将 Mac 从管理中移除不会关闭 FileVault，已存储的密钥仍然有效。当服务器未配置为存储恢复密钥时，无法保存此设置。

防火墙

Gatekeeper

Gatekeeper 会在应用打开前对其进行检查。选择 Mac 仅打开 App Store 应用，还是也打开已识别开发者的应用。关闭 Gatekeeper 后，任何应用都可以打开，包括未签名或已损坏的应用。在 macOS 15 或更高版本上，你还可以选择是否询问用户将阻止的恶意软件发送给 Apple。

屏幕保护程序与锁定

在一段无操作时间后启动屏幕保护程序，并在屏幕保护程序启动或显示器睡眠时要求输入密码，可立即要求或延迟要求。保留为不受管理的设置将维持用户的选择。

外部和网络存储

允许、设为只读或阻止 Mac 的外部存储（USB 驱动器、SD 卡、外置磁盘）和网络存储（文件共享）。需要 macOS 15 或更高版本。

屏幕共享

限制使用屏幕共享连接到这些 Mac 的人员：从 Mac 复制文件或向 Mac 复制文件、高性能连接以及虚拟显示器的数量。开启屏幕共享仍由用户自行选择。需要 macOS 14 或更高版本。

隐私权限

授予或拒绝应用在“系统设置”>“隐私与安全性”中本应由用户允许的访问权限，例如为备份应用授予完全磁盘访问权限，或拒绝某个应用访问相机。对于每项权限，请选择：

登录项和后台项

与规则匹配的登录项和后台项会受到管理：它们无需询问即可运行，并且用户无法在“系统设置”>“通用”>“登录项”中将其关闭。规则可匹配应用的开发者团队 ID、其 bundle ID，或启动守护进程或代理的标签（也可匹配其第一部分）。需要 macOS 13 或更高版本。

系统扩展

系统扩展是应用扩展 macOS 功能的现代方式：网络过滤器与 VPN、终端安全代理和驱动程序。开启此设置后，所列开发者团队的系统扩展无需询问用户即可载入。需要 macOS 10.15 或更高版本以及用户批准的 MDM。

在 macOS 11.3 及更高版本上，移除此设置会关闭它曾允许的系统扩展，例如安全代理或网络过滤器。当关闭此设置、删除政策以及 Mac 迁移到不包含此设置的政策时，就会发生这种情况。编辑器在关闭此设置前会请求确认。

内核扩展（旧版）

内核扩展是扩展 macOS 的较旧且已弃用的方式：当供应商提供系统扩展时，请优先使用系统扩展。所列团队的内核扩展（团队的所有扩展，或仅所列 bundle ID 的扩展）会在重新启动后无需询问用户即可载入。需要 macOS 10.13.2 或更高版本以及用户批准的 MDM。

在搭载 Apple silicon 的 Mac 上，仅靠描述文件还不够：必须有人以恢复模式启动 Mac，在“启动安全性实用工具”中选择“降低安全性”，并允许用户管理来自已识别开发者的内核扩展。Mac 还可能需要一个托管在 Cerberus Enterprise 中的 Bootstrap Token 来批准它们（请参阅设备页面的 Bootstrap Token 字段）。

Mac 文件

服务配置文件和后台任务使用的文件需要上传到贵组织的Mac 文件中：zip 归档和属性列表（.plist），最大 20 MB。可使用 macOS 部分的Mac 文件按钮，或在某项设置中使用选择文件来上传文件、检查其使用位置或删除它们。政策正在使用的文件无法删除。要更改文件，请上传新版本并在政策中选择它：Mac 会重新下载它。

服务配置文件

从 zip 归档安装系统服务的配置文件。内置服务包括 SSH 服务器 (sshd)、sudo、PAM、打印 (CUPS)、Apache Web 服务器、bash、zsh、智能卡登录和授权。你也可以使用自己的服务，并使用类似 com.example.service 的反向 DNS 标识符：它会通过 macOS 的受管理配置文件库查找文件。每个服务只能有一项设置。需要 macOS 14 或更高版本。

内置服务仅使用归档中的文件，并忽略其自身文件（例如 sshd 的 /etc/ssh）：请将完整配置放入归档中，并使用从磁盘根目录开始的文件夹（例如 etc/ssh/sshd_config）。这些文件在 Mac 上是只读的，并会随此设置一起移除。请先在一台 Mac 上测试归档：错误的 sudo 或 PAM 配置可能导致用户无法登录或无法使用管理员权限。

后台任务

由 launchd 启动的后台运行程序和脚本。用户无法关闭它们，它们会随此设置一起移除。需要 macOS 15 或更高版本。对于每个任务，请选择：

任务需要程序或至少一个属性列表。当文件发生变化时，Mac 会重新启动该任务。

策略 - Apple

位置和地理围栏

Apple 政策编辑器的 位置和地理围栏 部分定义了区域，例如站点或仓库。安装了 Cerberus Enterprise 应用的 iPhone 和 iPad 会在进入或离开这些区域时报告，事件规则可以对此做出反应：发送电子邮件、锁定或停用设备，或再次启用设备。Mac 不使用地理围栏。

地理围栏字段

使用添加地理围栏创建新条目。一个政策最多可包含10 个地理围栏，并且它们的名称在政策内必须唯一。每个地理围栏包含以下字段：

每个地理围栏都有一个地图预览。已保存的地理围栏的中心和半径处于锁定状态：使用地图上的锁定按钮进行更改。其他按钮会将地图居中到该区域或你的当前位置。

保存政策时，Cerberus Enterprise 会要求政策中的 iPhone 和 iPad 获取新的地理围栏。这通常需要几分钟，但 iOS 可能会延迟，例如在低电量模式下或没有网络连接时。设备页面会显示应用何时尚未应用最新的地理围栏。

要求

地理围栏在安装了 Cerberus Enterprise 应用的 iPhone 和 iPad 上有效。Mac 会忽略它们。在设备上：

位于该部分顶部的个人设备上的位置和地理围栏默认关闭。关闭期间，Cerberus 不会收集个人设备（用户注册）的位置，不会生成它们的地理围栏事件，其设备页面也不会提供定位或实时追踪。开启后，政策中的个人设备会像公司设备一样共享其位置和地理围栏事件，但前提是用户允许 Cerberus Enterprise 应用访问位置；iOS 询问之前，该应用会向用户说明这一点。贵组织有责任告知用户并遵守有关员工位置的当地规定。丢失模式和 MDM 位置请求在个人设备上始终不可用（Apple 不允许）。

在低电量模式下，地理围栏仍会继续工作，但 iOS 会延迟报告离开某个区域，并且位置不够精确；政策更改后，它还可能将获取新地理围栏的时间延迟数小时，直到应用再次运行（例如在下一次跨越边界时，或用户打开应用时）。

事件如何到达

iOS 会代表应用监视这些区域，并在设备跨越边界时唤醒应用，即使应用未打开也是如此。事件可能会在跨越边界几分钟后到达，而较小的区域或短暂的停留可能会被遗漏：iOS 需要设备越过边界移动一段距离，并在那里停留一段时间。

如果应用无法运行，例如在设备解锁前重新启动之后，服务器稍后也会根据应用发送的位置检测跨越。无论由应用还是服务器检测到，每次跨越只会触发一次事件规则。

当应用数小时未联系服务器时，服务器会请求 iOS 唤醒它，以便它能再次检查其地理围栏。iOS 不保证这些请求。

设备页面

在设备页面上，地理围栏标签页（位于位置地图面板中）会显示设备的进出记录。当政策包含活动地理围栏时，状态行会说明地理围栏功能在该设备上是否有效，或为何无法使用：应用尚未联系服务器或需要更新，位置访问权限未设为始终，精确位置或后台 App 刷新已关闭，应用上次报告其设置时低电量模式处于开启状态，或者应用尚未应用最新的地理围栏。

地理围栏转换记录和位置保留 90 天，更早的数据每晚自动删除。每台已注册设备的最新位置始终保留，因此它会保留在地图上。

限制

要响应地理围栏事件，请为设备进入地理围栏或设备离开地理围栏创建事件规则。请参阅事件规则。

策略 - Apple

账户

Apple 政策编辑器的账户部分可为 iPhone、iPad 和 Mac 添加邮件、Exchange、Google、日历、通讯录和目录账户。点击添加账户并选择类型。该部分还包含允许修改账户限制（受监管设备）。

在 Mac（macOS 13 或更高版本）上，账户会在已注册管理的用户（通常是注册该 Mac 的用户）登录时安装到其会话中。设备页面会在Mac 用户下列出这些用户及其账户状态。使用设备用户电子邮件地址的账户会采用 Cerberus Enterprise 中分配给该 Mac 的用户。

常用设置

账户类型

S/MIME

邮件和 Exchange 账户可以使用 S/MIME 对邮件进行签名和加密（iOS 17 或更高版本）。对于每个账户，请选择证书：证书页面中的某个证书、设备用户的证书，或从 SCEP 服务器请求的证书。您可以允许用户将其关闭、选择其他证书，并且对于加密，为每封邮件显示一个开关。

安全

密码和证书不属于发送到设备的设置：每台设备都会使用其管理证书签署请求，从 Cerberus Enterprise 下载自己的凭据。它们不会写入日志。

策略 - Apple

合规性规则

Apple 政策编辑器的合规性规则部分会为政策中的设备设定要求。违反规则的设备会立即变为不合规：设备页面会在设备不合规的原因中说明原因，设备列表也会将其显示为不合规。当政策中的某项设置无法应用到设备上时，该设备也会被视为不合规。

规则

当设备发送状态时、保存政策时以及每小时都会检查规则。状态未知的设备（例如尚未报告 FileVault 的 Mac）不会违反规则。

阻止设备

开启如果设备仍不合规则阻止设备，并设置多少天后（0 表示立即阻止）。受监管的 iPhone 和 iPad 会进入丢失模式，并显示你设置的消息。其他设备会被锁定一次；Mac 会重新启动并要求输入 PIN，该 PIN 会显示在命令历史记录中该命令的详细信息里。

要收到通知或以其他方式做出响应，请为设备变为不合规创建事件规则：该事件还会包含原因。

设备状态

设备状态

设备概览

从仪表板 → 设备中点击设备行即可打开设备。页面标题会显示设备型号（在可用时）和内部ID。

历史数据与当前注册

当设备有多个注册时，Cerberus Enterprise 可以显示只读的历史记录。在这种情况下，页面会显示历史数据横幅以及一个返回当前注册数据的按钮。

顶部字段

顶部区域汇总设备身份、分配和管理状态。某些字段特定于平台，仅对 Android 或 Apple 设备显示。

某些数据和面板仅在设备政策中启用了相应类别时才可用。有关更多信息，请阅读 状态报告 和 位置和地理围栏 页面。

面板

设备页面由可展开的部分组成。根据平台和状态，您可能会看到以下一个或多个面板：

位置面板选项卡

位置地图 面板使用标签页将位置历史记录和地理围栏转换分开显示。

有关这些选项卡的完整行为，请参阅位置地图。

操作

在页面底部，您可以根据平台、设备状态和许可证状态刷新数据并执行操作。

设备状态

位置地图

本页面介绍设备概览中可用的特定设备位置工具。该面板包含用于查看位置历史的位置标签页，以及在 Android 设备、iPhone 和 iPad 上用于查看地理围栏转换的地理围栏标签页。

先决条件

在 Android 上，仅当设备政策中启用了位置报告时，才会显示设备位置数据。要启用该功能，请打开政策并开启 位置和地理围栏 → 报告位置。有关更多详细信息，请参阅 位置和地理围栏。

在 iPhone 和 iPad 上，位置来自 Cerberus Enterprise 应用（在用户允许后），或来自设备处于丢失模式时的 定位设备 命令。Mac 和其他 Apple 设备不会报告其位置。

在未完全受管理的设备上，位置数据可能仍取决于 Cerberus Enterprise 应用是否拥有所需的位置权限，以及设备是否启用了位置服务。

在个人设备（用户注册）上，仅当 Apple 政策开启了个人设备上的位置和地理围栏，并且用户允许 Cerberus Enterprise 应用使用位置时，位置和地理围栏才可用。否则，其设备页面不会显示位置操作或实时跟踪。丢失模式在个人设备上始终不可用。

有关可从仪表板使用的全局多设备地图，请参阅仪表板位置地图。

加载和无数据状态

位置标签页

打开位置标签页，查看单台设备的历史记录。可用的筛选条件包括最后已知位置、最近历史范围、自定义日期范围和实时跟踪。

位置保留 90 天：更早的位置每晚自动删除。每台已注册设备的最新位置始终保留，因此即使设备长时间未报告，它也会保留在地图上。对于已移除的设备和过去的注册，超过 90 天的位置会全部删除。因此，搜索日期范围的开始时间不能早于 90 天前。

标记详情

点击位置标记时，会打开一个信息窗口，其中包含：

准确度圆圈

打开信息窗口后，标记周围会显示一个准确度圆圈。圆圈半径与报告的准确度（以米为单位）相对应。关闭信息窗口后，圆圈会隐藏。

实时跟踪

在设备历史记录视图中，选择实时筛选条件会针对该特定设备启动实时跟踪请求。Cerberus Enterprise 会在启动请求前请求确认。

地理围栏标签页

在 Android 设备、iPhone 和 iPad 上，第二个标签页显示根据已分配政策中定义的地理围栏生成的地理围栏转换记录。

在 iPhone 和 iPad 上，当政策包含活动地理围栏时，标签页顶部的状态行会显示地理围栏功能在该设备上是否正常工作。当该功能无法正常工作时，它会告知您原因：Cerberus Enterprise 应用尚未联系服务器或需要更新；位置访问权限未设为始终；精确位置或后台 App 刷新已关闭；应用上次报告其设置时低电量模式处于开启状态（此时地理围栏事件和变更可能会延迟数小时）；或者应用尚未应用最新的地理围栏。一切正常时，它会显示应用正在监控多少个地理围栏。

地理围栏转换详情

选择某个转换后，会在地图上打开其详情，并高亮显示列表中对应的条目。在可用的情况下，Cerberus Enterprise 还会显示该转换的设备坐标和报告的准确度。

设备状态

SIM 卡管理

设备页面提供了一个 SIM 卡管理 面板。在 Android 设备上，它管理设备上安装的 SIM 卡和 eSIM 配置文件，添加或移除 eSIM 配置文件，并显示发送到设备的 eSIM 命令历史记录。在公司所有的 iPhone 和蜂窝版 iPad 上，它会显示设备报告的 SIM 卡和 eSIM 套餐，并让设备下载运营商准备好的 eSIM 套餐：请参阅下方的 iPhone 和 iPad。

当设备政策中启用了网络信息报告时，完全托管设备会报告 SIM 信息（此选项由 Cerberus Enterprise 始终启用）。请参阅状态报告页面。

设备 EID

EID（eUICC 标识符）用于标识设备的 eSIM 硬件。运营商使用它将 eSIM 配置文件绑定到设备，因此获取 EID 通常是 eSIM 配置工作流的第一步。

发送 EID 请求前会先显示确认对话框，因为用户会在设备上看到通知。

已安装的 SIM 卡

已安装的 SIM 卡表格列出当前已知的设备 SIM 卡，包括实体 SIM 卡和 eSIM 配置文件。在个人所有设备上，即使设备未报告 SIM 信息，通过添加 eSIM命令安装的 eSIM 配置文件也会显示。

存在进行中或已执行（未失败）的移除命令的 eSIM 会显示临时的正在移除激活状态。当设备报告更新后的 SIM 卡列表时，该条目会从列表中消失。移除正在进行期间，移除按钮不可用，以避免重复发送同一命令。

移除 eSIM

使用已安装 eSIM 旁边的移除按钮，从设备中移除其配置文件。发送命令前，确认对话框会要求您确认要移除的 eSIM 的 ICCID。移除 eSIM 在 Android 15 及更高版本上受支持。

添加 eSIM

添加 eSIM部分会在设备上安装新的 eSIM 配置文件（在 Android 15 及更高版本上受支持）。它需要：

命令历史记录

在添加 eSIM 部分下方，面板显示发送到设备的 eSIM 命令历史记录：添加 eSIM、移除 eSIM和请求 EID。该表格可排序并支持分页。某些行可以展开，以查看命令参数（例如激活码或 ICCID）和执行状态，包括操作在设备上失败时的 eSIM 错误详情。

抹掉和取消注册时抹掉 eSIM

当您从命令面板抹掉设备时，抹掉 eSIM标志控制是否在抹掉时移除 eSIM 配置文件。在具有工作资料的个人所有设备上，此标志默认启用（受管 eSIM 会被移除，个人所有的 eSIM 不受影响）。取消注册设备确认对话框中提供相同的标志。

iPhone 和 iPad

该面板仅在公司所有且不是用户注册的设备上，为 iPhone 和报告了蜂窝数据的 iPad（仅 Wi-Fi 的 iPad 没有）显示。设备信息会请求设备的蜂窝信息：注册时、每天、使用刷新设备信息时、其所有权变为公司所有时，以及刷新蜂窝套餐后几分钟。

电话号码、ICCID、IMEI 和 EID 可识别个人和线路：绝不会向个人所有设备或用户注册请求这些信息。当设备变为个人所有时，这些信息会立即移除，并在命令历史记录中旧设备信息命令的结果中隐藏。它不会被导出，也不会写入系统日志。

刷新蜂窝套餐

iPhone 和 iPad 无法通过激活码安装 eSIM。运营商会在其 eSIM 服务器（SM-DP+）上将 eSIM 套餐绑定（预留）到设备的 EID，并向您提供该服务器的地址；随后刷新蜂窝套餐会要求设备下载等待它的套餐。面板中的刷新蜂窝套餐按钮会在命令面板中选择该命令，您可以在其中输入运营商 eSIM 服务器 URL：

设备会在不询问用户的情况下安装并激活套餐，即使设备未受监督也是如此。命令历史记录中的成功仅表示设备接受了请求，并不表示已安装套餐：安装最多可能需要三分钟，Cerberus Enterprise 会在约三分钟后再次向设备请求其 SIM 卡，因此新套餐会出现在面板中。错误 36001（设备无法连接到其蜂窝系统）、36002（不支持 eSIM）和 36003（蜂窝系统繁忙，请稍后重试）会在系统日志中说明。已下载过一次的套餐无法再次下载：如果安装失败，请联系运营商。该命令也可在设备页面的Apple 设备操作菜单中同时对多台设备使用。

Apple 不允许的操作

设备状态

命令

设备页面提供了一个 命令 面板，用于向受管设备发送远程命令。可用命令取决于平台（Android 或 Apple）和设备状态。

只能向当前已注册的设备发送命令。对于已取消注册的设备、尚未注册的 ADE 设备以及过去注册的历史记录，面板仅显示命令历史记录。

如果设备当前不在线，命令将在设备连接到互联网后立即送达并执行。对于 Android 命令，您可以设置有效期参数，以确定未送达命令的有效时长。

Android (AMAPI) 命令

对于 Android 设备，命令面板包含有效期字段（数值 + 单位）和命令选择器。某些命令需要额外参数，这些参数会在您选择命令时动态显示。

常用参数

无额外字段的命令

带有额外字段的命令

eSIM 命令（添加 eSIM、移除 eSIM、请求 EID）在专用的SIM 管理面板中提供。

命令历史记录

在发送控件下方，仪表板会显示命令历史记录表格。该表格可排序并支持分页。某些行可以展开，以查看其他参数或执行详情。

Android 历史记录列

Apple (MDM) 命令

对于 Apple 设备，命令面板提供命令选择器。某些命令需要额外输入。与 Android 一样，下方会显示命令历史记录表格。

带有额外字段的命令

在 iPhone 和 iPad 上，发送通知和实时跟踪通过 Cerberus Enterprise 应用到达设备：在应用安装并注册通知之前，这些功能处于禁用状态（请参阅 Cerberus Enterprise 应用 字段）。开始实时跟踪会显示“已向设备发送实时跟踪请求”：当设备发送第一个位置后，跟踪就会开始。iOS 可能会延迟请求或无法送达，例如在低电量模式下或没有网络连接时：如果 2 分钟内没有收到位置，请让用户打开一次应用。请求失败时，消息会说明原因，例如应用尚未注册、服务器通知密钥缺失，或设备的通知令牌不再有效。

设备操作

仅列出设备支持的命令：有些需要受监督的 iPhone 或 iPad，另一些在 Mac 上不可用。破坏性操作会要求确认。

共享 iPad

共享 iPad 可由多人使用，每人拥有自己的 Managed Apple Account，或由访客使用临时会话。它通过启用共享 iPad 的 ADE 配置文件进行设置（请参阅Apple Automated Device Enrollment页面），其注册类型字段显示共享 iPad。

Mac 用户

在 Mac 上，Mac 用户面板列出已注册到管理中的用户，通常是注册该 Mac 的用户。政策的账户会在其会话中安装。对于每个用户，它会显示其注册时间、其会话的最后一次报告以及账户状态：已是最新、等待用户（用户登录后 Mac 会安装它们）、未应用（附 Mac 报告的原因），或政策没有账户时的无账户。使用重新加载再次读取列表。

激活锁

激活锁字段显示激活锁是否开启。开启后，已擦除的设备只能使用用户的 Apple 账户或设备的绕过代码重新设置。受监督设备仅在设备设置中允许时才会开启激活锁。Cerberus Enterprise 会向受监督设备请求其绕过代码并存储：使用字段菜单中的显示绕过代码查看（仅管理员可查看，且每次查看都会记录到系统日志中），然后在设备的激活锁屏幕上将其作为密码输入，并将 Apple 账户留空。

恢复锁和固件密码 (Mac)

搭载 Apple 芯片的 Mac 会显示恢复锁字段，基于 Intel 的 Mac 则显示固件密码字段。两者都会在启动时保护 Mac：使用恢复锁时，recoveryOS 会要求输入密码；使用固件密码时，Mac 在从其他磁盘或恢复模式启动时会要求输入密码。该字段显示 Mac 是否报告了密码，并在工具提示中显示 Cerberus Enterprise 存储该密码的时间以及上次验证的时间。

基于 Intel 的 Mac 会重新启动以应用固件密码更改：在此之前仍需要旧密码（“显示密码”会列出它），并且无法发送另一个更改。Apple 每 30 秒只接受一个固件密码命令。密码在命令历史记录中会被隐藏。

当 Mac 离开管理时（取消注册、被用户移除或擦除），macOS 会自行移除恢复锁，Cerberus Enterprise 会删除存储的恢复锁密码；当 Mac 报告它没有恢复锁时（例如重新注册后），也会执行相同操作。当您取消注册 Mac（或删除其政策）时，会先清除存储的固件密码，然后 Mac 重新启动并离开管理。如果清除失败，Mac 仍会离开管理，密码会保留存储，以便您仍可查看。被用户从管理中移除或已擦除的 Mac 会保留其固件密码：Cerberus Enterprise 也会保留。删除设备记录会删除存储的密码，因此系统会先要求您确认：请记下密码，因为没有它，只有 Apple 可以移除密码。

FileVault (Mac)

FileVault 字段显示 Mac 的磁盘是否已加密，并在其工具提示中显示 Cerberus Enterprise 是否存储其个人恢复密钥。当 Mac 在获取其政策的 FileVault 设置后开启 FileVault 时，它会发送该密钥（请参阅 Apple 政策的 macOS 页面）。

Bootstrap Token (Mac)

搭载 macOS 10.15 或更高版本的 Mac 会在拥有安全令牌的用户登录时，将其Bootstrap Token发送到管理服务器。服务器会保留它，并且仅将其交还给该 Mac，该 Mac 用它为新用户提供安全令牌，并在搭载 Apple 芯片的 Mac 上安装软件更新和批准内核扩展，而无需管理员密码。无论是在仪表板还是其他地方，任何人都无法查看该令牌。Bootstrap Token字段显示其状态：

工具提示还会说明 Mac 是否允许将该令牌用于身份验证。通过 Automated Device Enrollment 设置的 Mac 会自动允许；在其他搭载 Apple 芯片的 Mac 上，用户可以在 recoveryOS 的启动安全性实用工具中允许。Intel Mac 无法将令牌用于身份验证（不支持），但已托管的令牌仍可为新用户提供安全令牌。每次 Mac 发送、移除或请求其令牌时，都会记录到系统日志中。

设备状态和操作系统更新

设备状态面板显示设备报告的自身信息：操作系统版本和构建号、软件更新进度（待安装版本、截止时间、启动更新的原因、失败情况）、是否设置了密码以及是否符合政策、Mac 上的 FileVault、电池健康状况以及在设备上配置的账户。

可用更新 列表显示设备可安装的操作系统更新，这些信息在注册时和每周收集。使用 检查更新 立即请求，使用 安装 立即安装更新（设备将在确认后重新启动），或仅下载并让用户安装。此功能适用于受监督的 iPhone 和 iPad 以及 Mac，最高支持 iOS、iPadOS 和 macOS 26：在更高版本上，以及要更新多台设备时，请使用政策的必需更新（请参阅 Apple 政策的 软件更新 页面）。

搭载 Apple 芯片的 Mac 只有在允许其 Bootstrap Token 用于身份验证且该令牌已托管时，才会在安装更新时不要求管理员密码（请参阅上文 Bootstrap Token）。否则，确认对话框会说明用户可能需要在更新安装前输入管理员密码。

应用和清单

应用面板在一个表格中列出设备的所有应用。由政策或命令安装的应用的安装状态由设备实时报告；版本、大小和用户安装的应用来自最后一次应用列表，该列表在注册时和每周收集。使用询问设备立即请求。

配置文件、证书和安全面板显示设备报告的配置描述文件、证书和安全状态（密码、加密、Mac 上的 FileVault 和防火墙）。

在个人所有的设备上，不会收集用户安装的应用，仅列出由 Cerberus Enterprise 管理的配置描述文件和证书。

清单变更面板显示设备发送的两个列表之间发生的变化：安装、移除或更新的应用（包含旧版本和新版本）、安装、移除或更新的配置文件，以及添加或移除的证书。当设备发送新列表时会检测到变更：应用和配置文件每周一次，证书每天一次，或者当您使用询问设备时：显示的日期是检测到变更的日期，变更发生在上一列表和该列表之间。设备的第一个列表，以及新注册或所有权变更后的第一个列表，仅作为起点记录。可按名称或标识符搜索，并按类型和变更进行筛选。变更会保留 365 天。

当操作系统更新一次性替换许多 Apple 应用时，它们会显示为一行（例如“23 Apple apps updated”），您可以展开该行。MDM 证书续期会显示为MDM 证书已续期。在个人所有的设备上，仅显示由 Cerberus Enterprise 管理的项目的变更。

Apple 历史记录列

刷新

使用命令面板中的刷新操作重新加载命令历史记录。

仪表板位置地图

仪表板位置地图提供全局视图，显示正在报告位置数据的设备的最新已知位置。从仪表板打开它，即可在同一 Google 地图上查看多台设备。

先决条件

仅当设备所分配的政策中启用了位置报告时，设备才会显示在此地图上。要启用该功能，请打开政策并开启 位置和地理围栏 → 报告位置。有关更多详细信息，请参阅 位置和地理围栏。

在未完全受管理的设备上，位置数据可能仍取决于 Cerberus Enterprise 应用是否拥有所需的位置权限，以及设备是否启用了位置服务。

个人设备（用户注册）仅当其 Apple 政策开启了个人设备上的位置和地理围栏，并且用户允许 Cerberus Enterprise 应用使用位置时，才会共享其位置。否则，Cerberus 不会收集它们的位置，也无法对它们使用实时跟踪。

有关设备编辑器中可用的单台设备历史记录和地理围栏转换，请参阅位置地图。

位置历史记录保留 90 天，更早的位置每晚自动删除。每台已注册设备的最新位置始终保留，因此长时间未报告的设备仍会显示在地图上。

加载和无数据状态

标记和聚合

每台有可用位置数据的设备都会显示为一个标记。当许多设备彼此靠近时，标记会自动聚合，以保持地图可读。

当前正在实时跟踪的设备会用动态标记突出显示，以便在地图上更容易找到。

地图控件

当地图包含设备位置时，Cerberus Enterprise 会在地图右上角显示操作按钮。

标记详情

点击标记会打开一个信息窗口，其中包含：

信息窗口中的设备标识符是一个链接，可打开相应的设备概览页面。

信息窗口操作

每个信息窗口还包含所选设备的操作按钮。

精度圆圈

选择标记后，地图会围绕该位置显示一个精度圆圈。圆圈的半径与所报告的精度相符。

实时跟踪行为

从信息窗口启动实时跟踪会向该设备发送实时跟踪请求。随后，Cerberus Enterprise 会在会话活动期间自动刷新地图。

私有应用

在仪表板的此部分，你可以上传自己的私有 Android 应用，或创建 Web 应用以分发到你的设备上。

你只需提供应用的标题和 APK。私有应用会自动为你的组织批准，通常在 10 分钟内即可分发。你每天总共可以上传 15 个私有应用。请注意，Web 应用也计入此总数。

首次发布私有应用时，你需要提供一个电子邮件地址，以接收 Play Console 关于你的应用和 Google Play 开发者账户的通知。此外，受管理的 Play 会自动代表你的组织创建 Play 开发者账户。你无需为此账户支付注册费。

从 iframe 发布的私有应用：

有关更多详细信息，请访问 Managed Google Play 帮助

证书管理

仪表板包含证书部分，可用于导入、查看和删除证书。点击证书行会打开证书编辑器。

证书列表

证书显示在可排序、分页的表格中。列表包括客户端证书和证书颁发机构 (CA)。

筛选条件

在页面顶部，您可以使用标签列表启用筛选条件。某些筛选条件互斥。

表格列

操作

导入证书

要导入证书，请点击导入证书并选择一个或多个文件。支持的格式显示在导入按钮的工具提示中。

客户端

支持的格式：Base64 编码的 PKCS#12（.p12 / .pfx）。

客户端证书用于标识企业网络上的用户或设备。客户端证书可以与特定用户关联。

每个客户端证书都可以选择分配给特定用户：这样便可在多台设备上部署相同的 Wi‑Fi EAP 配置。您可以在政策的网络配置部分使用来自用户的 EAP 凭据选项来完成此操作。

或者，您可以从用户页面将证书分配给用户。

在 Apple 设备上，证书通过 Apple 政策的 网络 部分安装，您还可以在其中选择 设备用户的证书。请参阅 Apple 政策的 网络 页面。

证书颁发机构 (CA)

支持的格式：Base64 编码的 X.509（.crt / .pem / .cer / .der）。

CA 证书用于标识证书颁发机构，并向设备表明应信任由该 CA 签发的任何证书。仪表板会验证导入的 X.509 证书是否为 CA。

证书编辑器

打开证书时，编辑器会显示其主要字段和一个只读的证书信息面板。

主要字段

用户关联（客户端证书）

对于客户端证书，编辑器会显示用户字段。如果已分配用户，菜单可让您打开用户、更改用户或取消关联用户。如果未分配用户，您可以使用用户操作按钮进行分配。

删除证书

当证书当前与用户关联或在政策中使用时，删除操作将被禁用。许可证过期时，该操作也可能被禁用。

事件规则

事件规则可让您自动响应支持的设备事件。打开仪表板 → 事件规则，创建监视注册、取消注册、不合规和地理围栏事件（Android 和 Apple 设备；地理围栏事件来自 Android 设备、iPhone 和 iPad）的规则，然后自动触发一个或多个操作。

事件规则可以做什么

每条规则都包含一个主体、一个事件以及一个或两个操作。支持的主体包括所有设备、特定设备和政策。

一条规则可以仅包含电子邮件操作、仅包含设备操作，或包含一个设备操作加一个电子邮件操作。如果同时配置了两种操作，Cerberus Enterprise 会先执行设备操作，再执行电子邮件操作。

平台和兼容性规则

可用的事件和操作取决于所选主体以及适用于该主体的平台。

规则列表

事件规则列表是此功能的主要管理页面。它包含一个可搜索的表格，显示规则名称、对象、事件、操作、平台、启用状态和更新时间。

规则编辑器

编辑器分为常规、范围、触发器和操作几个部分。页面底部的固定操作栏会在您滚动时保持主要按钮可见。

常规

范围

范围定义规则可以匹配哪些设备。编辑器还会显示解析后的平台，以及可用时的有效政策上下文。

触发器

触发器部分会根据所选范围和平台自动筛选可用事件。

地理围栏触发器

地理围栏进入和退出规则适用于 Android 设备、iPhone 和 iPad，针对设备或政策的规则需要有效的政策上下文。有关地理围栏定义，请参阅 位置和地理围栏（Android）和 位置和地理围栏（Apple）。

操作

操作部分允许您选择可选的设备操作和可选的电子邮件通知。界面会自动隐藏不支持的组合。电子邮件通知默认开启，即使您选择了设备操作也是如此：如果您只需要设备操作，请将其关闭。

电子邮件收件人

电子邮件操作始终包含具有ADMIN角色的企业用户。如果企业通过多租户管理，您可以扩展收件人以包括 MT 管理员。

执行行为

当 Cerberus Enterprise 从后端集成收到受支持的事件时，事件规则会立即运行。已禁用的规则会自动跳过。

成功、跳过和失败的执行都会以人类可读的消息记录在系统日志中，包括规则或设备操作被跳过时的原因。

系统日志会将设备状态和位置事件，以及成功或跳过的规则执行记录保留 90 天。其他事件（例如管理员操作、登录、警告和错误，包括失败的规则执行）保留 12 个月。更早的条目每晚自动删除。

设备

设备

设备

仪表板中的设备部分（仪表板 → 设备）会列出你账户中的所有已注册设备。在此页面上，你可以筛选列表、打开设备记录，并执行停用或取消注册等设备操作。

筛选条件

在页面顶部，你可以使用标签列表启用一个或多个筛选条件。选中的标签表示当前活动的筛选条件。

筛选条件取决于您账户中设置的平台：Apple 或 Android 设备的筛选条件仅在该平台已设置时才会显示，而 Android 和 Apple 筛选条件仅在两者都已设置时才会显示。

可用筛选条件

搜索

启用搜索筛选条件后，会出现一个带有ID、型号、用户、序列号或操作系统标签的文本字段：它会搜索设备 ID、型号、用户名、序列号和操作系统版本。停止输入后，列表会自动更新。

设备表格

设备会显示在可排序、可分页的表格中。点击某一行会打开设备编辑器。

列

刷新和分页

设备操作

每个设备行都会根据平台和设备状态提供操作。当你的许可证已过期或已终止时，某些操作会被禁用。

单个设备操作

多行选择

你可以从表格下方的操作栏启用多行选择。启用后，你可以选择多行并根据所选设备应用批量操作（停用、启用、取消注册或删除）。

对于 Apple 设备，Apple 设备操作菜单会锁定、重新启动、关机、刷新所有所选设备的信息或抹掉所有所选设备。仅当每个所选设备都是支持该操作的已注册 Apple 设备时，该操作才可用。被锁定或抹掉的 Mac 的 PIN 会在发送命令后显示一次。取消注册 Apple 设备会移除其注册描述文件和政策设置，而不会抹掉设备。

刷新蜂窝网络套餐会要求所选的 iPhone 和 iPad 从同一个运营商 eSIM 服务器（在一个窗口中为所有设备输入）下载运营商绑定到其 EID 的 eSIM 套餐。与其他操作不同，此操作只会发送给支持它的所选设备：Mac、User Enrollment 设备、运行较旧 iOS 的设备以及从未报告蜂窝数据的 iPad 会被跳过，并列在结果中。请参阅SIM 卡管理页面。

Apple Business 同步

如果已配置 Apple Management 且存在 Automated Device Enrollment 令牌，页面可能会显示 从 Apple Business 同步 操作，以从 Apple Business 导入设备。消息会说明添加了多少台设备。当添加了一些设备后，列表会切换到 全部 筛选条件，因为尚未注册的设备不会通过 已注册 筛选条件显示。

注册设备

使用注册设备打开注册令牌部分，并开始注册新设备。

用户

用户

用户

仪表板的 用户 部分（仪表板 → 用户）列出你账户中配置的所有用户。在此页面上，你可以搜索用户、打开用户编辑器、创建新用户，以及删除当前未与设备关联的用户。

搜索

页面顶部有一个搜索字段，标签为 搜索，占位符为 姓名、用户名或电子邮件。停止输入后，列表会自动更新。

用户表格

用户显示在可排序、分页的表格中。点击某一行会打开用户编辑器。

列

刷新和分页

用户操作

创建新用户

使用 创建新用户 打开用户创建对话框。许可证过期时，此操作会被禁用。

从 Google Workspace 同步

如果你的账户可以使用 Google Workspace 目录同步，页面会显示 从 Google Workspace 同步。启动同步后，请求运行期间会显示进度指示器。

删除用户

只有当用户未与任何设备关联时（设备 列必须为 0），才能删除用户。许可证过期或终止时，删除操作会被禁用。

多行选择和批量删除

通过表格下方的操作栏，你可以启用多行选择。在此模式下，你可以选择多个用户并批量删除它们。

Wi‑Fi 证书和 EAP

WiFi 证书列显示当前分配给用户的证书名称。用户证书通常用于 Wi‑Fi EAP（例如 EAP‑TLS）配置。有关证书分配和管理，请参阅 证书管理。

用户

用户编辑器

用户编辑器可通过点击用户行从 仪表板 → 用户 打开。它可用于编辑用户详细信息、配置每用户 Wi‑Fi EAP 凭据，以及查看用户关联的设备。

用户详细信息

顶部区域包含用户的主要字段。某些字段为必填项，当这些字段缺失或无效时，编辑器会显示验证错误。

Google 身份验证默认政策

在启用了 Google 身份验证的 Google Workspace 环境中，编辑器可以显示 Google 身份验证默认政策。这是应用于此用户使用 Google 身份验证注册的设备所采用的政策。

Wi‑Fi EAP 凭据

WiFi EAP 凭据 部分用于配置每用户凭据，当其分配的政策包含需要这些凭据的 Wi‑Fi EAP 配置时，这些凭据会自动安装到用户的设备上。Wi‑Fi EAP 配置是 Android 政策 网络配置 的一部分。

客户端证书

你可以选择为用户分配客户端证书。分配证书后，它会显示在 客户端证书 字段中，并提供操作菜单。未分配证书时，该字段会显示 未分配证书，你可以分配一个证书。

有关证书导入和管理，请参阅 证书管理。

身份、匿名身份和密码

关联的设备

关联的设备 部分显示当前与该用户关联的设备列表。如果用户拥有一个或多个关联设备，则无法删除该用户。

保存和删除

未保存更改警告

如果你有未保存的更改并尝试离开页面，仪表板会询问你是否要放弃这些更改。

账户

账户

设置

设置页面（仪表板 → 设置）汇总账户和许可证信息，并提供管理账单、平台设置（Android Management 和 Apple 管理）以及可选目录/令牌集成的操作。

许可证横幅（即将过期 / 已过期）

当您的许可证即将过期、已过期或已终止时，页面顶部会显示醒目的横幅。根据您的订阅状态，横幅会提供管理账单操作（Stripe 客户门户）或购买许可证操作。

许可证过期后，账户将仅限于取消设备注册。宽限期结束后，账户可能会被取消，设备可能会被自动取消注册。

Apple 证书和令牌横幅（即将过期 / 已过期）

Apple Push Certificate (APNs)、Apple Business 令牌（Automated Device Enrollment）和 Apps and Books 令牌（原 VPP）必须每年续期。从到期前 30 天开始，仪表板顶部会为每个即将过期或已过期的证书或令牌显示横幅，并附上到期日期或已停止工作的功能。如何续期操作会打开本页面，并展开相应的续期说明。

当部分 Apple 设备的 MDM 证书在 14 天内到期且自动续期尚未完成，或证书已过期时，也会显示一条横幅：这些设备必须重新注册。显示设备操作会打开设备列表，并应用MDM 证书即将过期筛选条件。

Apple Push Certificate 过期后，Apple 设备将无法接收命令或政策更新。Apple Business 令牌过期后，Automated Device Enrollment 将停止工作。Apps and Books 令牌过期后，应用将无法分发。

Cerberus Enterprise 应用横幅

Cerberus 通过 Apps and Books 设备许可证，在 iPhone 和 iPad（iOS 和 iPadOS 18.4 或更高版本）上安装其免费的 Cerberus Enterprise 应用。当该应用不在您的 Apple Business 资料库中、Apps and Books 令牌缺失或已过期，或者某些 iPhone 和 iPad 仍在等待该应用（并显示数量）时，仪表板顶部会显示横幅。如何添加会打开本页面并定位到 Cerberus Enterprise 应用 行及相应步骤；如何设置（在 Apps and Books 令牌缺失或已过期时显示）会打开 Apps and Books 令牌说明。

企业管理员访问权限

企业管理员访问权限卡片仅对由多租户账户（例如托管服务提供商）管理的企业显示。它让您查看哪些管理员账户可以对您的企业进行操作，并控制其访问权限。

该卡片显示：

授予和撤销访问权限

使用授予允许管理员账户进入并管理您的企业，使用撤销移除该访问权限。每个操作都会要求确认。访问权限被撤销的管理员将无法再对企业进行操作，即使其当前正在操作中。

撤销主管理员的访问权限也会撤销其所有子账户的访问权限。适用时，确认对话框会列出将失去访问权限的子账户。

账户信息

账户信息卡片显示只读字段：

更改密码

如果您未使用 Google、Apple 或 Microsoft 登录，卡片还会显示更改密码操作。这会打开一个对话框，以继续密码更改流程。

您也可以随时通过顶部工具栏中的用户菜单使用更改密码来更改密码。这对于多租户账户很有用，因为它们无需进入企业即可更改密码。

如果管理员创建了您的账户或重置了您的密码，您将使用临时密码登录，并且必须先选择新密码才能继续。

许可证信息

许可证信息卡片显示当前许可证状态和设备数量上限。它还提供联系销售以及管理账单或购买许可证的操作。

Android Management

Android Management卡片显示您企业的 Android Management 状态。如果尚未配置 Android Management，卡片会提供设置 Android Management操作，以打开设置流程。

已配置状态

配置 Android Management 后，卡片可显示：

Android 企业绑定

Android Management 可以与Managed Google Play 账户或Managed Google 域关联。绑定类型字段显示当前与您企业关联的选项。

Managed Google Play 账户是一种轻量级 Android Enterprise 账户。它适合通过 Cerberus Enterprise 管理 Android 设备和应用，但与 Google Workspace 或 Cloud Identity 组织相互独立。它不提供托管 Google 域所提供的集中式 Google 管理体验。

Managed Google 域会将 Android Enterprise 与您组织的 Google 身份关联。IT 管理员可以从 Google Admin console 管理 Google Workspace、Cloud Identity 和 Gemini 等 Google 产品，同时继续在 Cerberus Enterprise 中管理 Android 应用和政策。这为 Android 管理提供了更精简、更集成的方法，并支持基于 Google Workspace 的注册和用户管理工作流。

当企业使用 Managed Google Play 账户时，“设置”卡片会提供升级到托管 Google 域和一个信息操作。升级会打开 Google 的引导流程，将现有 Android 企业迁移到托管域。

升级期间，Google 可以绑定与您的工作电子邮件地址关联的现有 Google Admin 账户，或自动创建新的免费 Google Admin 账户。请使用类似 name@enterprise.com 的工作电子邮件地址，以继续完成 Google 的引导设置。

Apple Device Management

Apple Device Management卡片显示您企业的 Apple 设备管理 (MDM) 状态。如果尚未配置 Apple 管理，卡片会提供设置 Apple 管理操作，以打开设置流程。

已配置状态

配置 Apple 管理后，卡片可显示：

Apple 管理需要完成 APNs 证书设置。如有需要，请参阅Apple Management 设置 (APNs)。

偏好设置与隐私

偏好设置与隐私卡片包含营销偏好开关以及服务条款和隐私政策的链接。使用保存偏好设置应用更改（保存时会显示进度指示器）。

发送反馈

为账户启用订阅后，页面可能会显示发送反馈卡片，其中包含以下链接：提出功能请求和外部评价平台。

内联设置和续期说明

在页面底部，仪表板可根据当前状态显示可展开的说明面板（例如证书/令牌缺失或即将过期时）。

续期 Apple Push Certificate (APNs)

当 APNs 证书即将过期或已过期时，页面会显示一个面板，其中包含下载 CSR、在 Apple 门户上续期证书，以及将新证书上传到 Cerberus Enterprise 的步骤。

当证书或令牌仍然有效时，其旁边的上传按钮会打开相同的步骤。当您下载了新的 Apple Business 或 Apps and Books 令牌时使用它，因为旧令牌会停止工作，或者提前续订 Apple Push Certificate。务必续订当前的 Apple Push Certificate：在 Apple 设备已注册期间，其他证书会被拒绝，因为设备将无法再被联系到。

与 Apple Business 同步

当 Apple Business 令牌缺失、已过期或即将过期时，页面会显示一个面板，其中包含从 Apple Business 下载令牌并将其上传到 Cerberus Enterprise 的步骤。对于新连接，请在 Cerberus Enterprise 中生成公钥证书，然后在 Apple Business 中打开 Devices → Management Services，在 Device Management Services 下点击 Add，选择 Connect external device management 并点击 Continue；输入Service Name（例如 Cerberus Enterprise），使用 Upload Certificate 上传证书，点击 Next，然后点击 Download Service Token 和 Done。要续期令牌，请在 Management Services 中选择 Cerberus Enterprise 服务，点击右上角的…（更多）按钮，然后选择 Download Token。

只有在 Apple Business 中将设备分配到 Cerberus Enterprise 服务后，设备才会注册到 Cerberus Enterprise：打开 Devices → Management Services → Default Device Assignment 可按设备类型自动分配新设备，或者打开 Devices → Inventory，选择设备并点击 Assign Device Management。

与 Apple Apps and Books (VPP) 同步

当 Apps and Books 令牌缺失、已过期或即将过期时，页面会显示一个面板，其中包含从 Apple Business 下载内容令牌并将其上传到 Cerberus Enterprise 的步骤：在 Apple Business 中，打开右上角的组织菜单（您的组织名称）→ Settings → Organizational Units，选择组织单位（默认单位是您的组织），然后在 Content Token 部分点击 Download。令牌在一年后过期；如果下载它的 Apple 账户密码发生更改，则会提前过期。

Apps and Books 设置的最后一步会将免费的 Cerberus Enterprise 应用添加到您的 Apple Business 资料库，以便 Cerberus 将其安装到您的 iPhone 和 iPad 上。

与 Google Workspace 同步

当未配置 Google Workspace 目录同步时，页面会显示一个面板，说明该集成并提供授权按钮。它还会列出所需的 Google OAuth 范围：https://www.googleapis.com/auth/admin.directory.user.readonly。

有关初始 Android 设置，请参阅Android Management 设置。

多租户

多租户

多租户概述

多租户部分适用于通过单次登录管理多个客户企业的 MSP 和企业管理员账户。本章介绍企业范围模型、企业切换、受管企业管理以及子账户。

如需申请多租户账户，请联系enterprise@cerberusapp.com。

核心概念

导航模型

未选择企业上下文时，侧边导航会显示多租户区域，例如企业，对于主账户还会显示子账户。进入企业后，仪表板会切换到标准的单企业导航（主页、用户、设备、注册、政策等）。

所有权与委托

每个受管企业都有一个所有者。所有者始终可以访问该企业。非所有者管理员账户只有在授予委托后才能访问企业。

企业管理员从企业管理员访问卡片（位于设置页面）管理访问权限。

所有者和委托状态会直接显示在企业卡片上，以便在进入企业之前明确访问范围。

许可证和账单操作

多租户视图会显示许可证状态、设备上限和企业账单操作。根据企业订阅状态和您的权限，卡片可能会显示管理账单或购买许可证。

对于由多租户账户创建的企业，许可证由多租户用户管理。主账户始终可以管理许可证，而子账户只有在主账户为该子账户启用可管理许可证时才能管理许可证。

本章页面

多租户

受管企业

企业页面（仪表板 → 企业）是受管企业访问的控制中心。它列出您的多租户账户可见的所有企业，并允许您筛选、检查所有权/委托、进入企业上下文以及创建新的受管企业（仅限主账户）。

搜索和筛选

企业卡片

每张企业卡片都会显示关键管理元数据：

最近选择的企业

您最近访问过的企业会固定到最近选择部分，以加快重复的上下文切换。

企业操作

谁可以管理许可证

对于由多租户账户创建的企业，许可证管理由多租户用户控制。主账户始终可以管理这些企业的账单和许可证操作。

只有当主账户授予可管理许可证权限，并在子账户页面中设置后，子账户才能管理账单和许可证操作。

创建受管企业

主多租户账户可以从底部操作区域展开创建受管企业。

新管理员用户首次使用临时密码登录时必须选择新密码。

所有权模式

企业配额

如果账户达到配置的企业配额，创建将被阻止，表单会显示支持联系方式消息，其中包含当前和最大企业数量。

达到企业配额后，在提高上限之前，您无法创建更多受管企业。

多租户

企业切换

顶部工具栏中的企业切换器让多租户用户无需退出登录即可在委托企业之间切换。当至少可以选择一个企业上下文时，它便可用。

切换器行为

退出企业

切换器菜单包含退出企业，它会清除当前企业上下文并将您带回全局多租户工作区。

上下文重置规则

切换企业或退出企业会重置仪表板范围。特定于企业的页面和数据会为新选择的上下文刷新，菜单可见性也会根据当前是否选择了企业而变化。

所选企业会应用于您所有打开的浏览器标签页。如果您在一个标签页中切换或退出企业，其他标签页会在下次操作时重新加载仪表板，因此它们绝不会在不同于所显示企业的企业上运行。

使用切换器可快速更改运营上下文，但在执行政策更新或设备命令等敏感操作之前，请确认所选企业名称。

多租户

子账户

子账户页面（仪表板 → 子账户）适用于主多租户账户。它允许您创建委托管理员用户、分配受管企业、控制账单权限并维护子账户凭据。

子账户列表

每张子账户卡片都会显示身份和管理控制项：

受管企业分配

企业分配通过受管企业多选字段进行编辑。更改后关闭选择器时，仪表板会在保存更新前请求确认。

分配企业会使其对该子账户可用，但子账户只有在授予访问权限后才能进入。从分配中移除企业也会移除该子账户对它的访问权限。

许可证管理权限

可管理许可证开关控制子账户是否可以访问企业账单/许可证管理操作。

对于由多租户账户创建的企业，主账户始终拥有许可证管理权限。只有当主账户启用此开关时，子账户才会获得许可证管理权限。

密码重置

重置密码会生成新的临时密码，并在确认后通过电子邮件发送给子账户。

使用临时密码登录时，无论是在重置后还是对新创建的子账户，用户都必须先选择新密码才能继续。

删除子账户

删除子账户需要确认，并会永久移除该账户的委托访问权限。

创建子账户

使用底部操作面板创建子账户添加新的委托管理员。

洞察

以下是一些深入探讨 MDM 如何帮助您的企业的文章：

什么是 Kiosk 模式？锁定企业 Android & Apple 设备指南

Kiosk 模式可将普通手机和平板电脑转变为专注的业务工具。Cerberus Enterprise 帮助组织将设备锁定到单个应用或一小组获准应用，适用于零售 POS、面向访客的签到和车队导航等场景，同时让这些专用设备在大规模环境下更易于保护、支持和管理。

如何选择合适的 MDM 解决方案：小型企业七点检查清单

在采购流程后期选择 MDM 时，只要比较保持务实就会更容易。此检查清单帮助小型企业按照实际部署中通常最重要的七项标准评估供应商：安全性、Android 和 Apple 支持、精简团队的使用便捷性、可扩展性、隐私边界、总拥有成本和日常支持能力。

打造安全且专注的数字课堂：K-12 学校 MDM 指南

学校管理的设备在以学习为中心时效果最佳。Cerberus Enterprise 帮助 K-12 机构通过受管应用、Kiosk 式限制、标准化的共享或借用设备设置以及远程恢复操作，让学生设备保持专注，从而减少丢失、偏离和课堂干扰。

装备您的外勤技术人员：MDM 如何提升现场效率与安全性

外勤技术人员在现场工作时依赖移动设备查看日程、服务记录、技术参考资料、客户历史和作业更新。Cerberus Enterprise 通过受管应用、标准化设备型号、远程支持命令和位置感知可见性，帮助这些设备保持就绪，从而改善调度协调，同时加强现场安全。

超越地图：使用 MDM 实现更智能的车队管理和驾驶员安全

车队运营依赖移动设备进行导航、调度、消息传递、日志记录和现场执行。Cerberus Enterprise 通过受管应用、Kiosk 和专用设备控制、安全通信政策、远程故障排除和位置感知监督，帮助这些设备专注于已批准的工作流程，从而减少停机时间并支持更安全的驾驶操作。

地理围栏、实时跟踪和位置地图如何改善企业运营

Cerberus Enterprise 中的位置感知功能帮助组织从简单的设备可见性迈向更实用的运营控制。定期位置报告、实时跟踪、地理围栏切换和交互式地图可以支持物流、现场服务、医疗、零售、建筑以及其他分布式团队，帮助他们更好地了解工作发生的地点以及设备何时进入或离开重要区域。

多租户如何帮助 MSP 扩展 MDM 服务并创造新的收入来源

多租户允许 MSP、经销商和多公司组织通过单个 Cerberus Enterprise 账户管理多个企业，同时保持每个环境相互独立。此模式可减少运营摩擦、提升服务可扩展性，并通过子账户和客户明确控制的管理支持委托访问。它还为希望将软件许可与入门、支持、合规性和托管移动服务相结合的提供商创造更强的业务机会。

借助 MDM 解决方案提升企业运营能力

移动设备管理集中控制公司设备，简化注册、配置和维护。自动化配置和批量操作可减少手动 IT 工作，并确保所有设备上的政策保持一致。加密、合规性监控和远程擦除等安全功能可保护企业数据。总体而言，MDM 在提高生产力的同时降低支持成本和运营复杂性。

Android Enterprise 管理中的高级安全

Android Enterprise 使用工作资料将企业应用和数据与同一设备上的个人内容隔离。这种容器化会创建独立的加密环境，由 IT 管理员独立管理。安全政策可以控制企业数据共享，而不影响个人应用。即使个人应用遭到入侵，该架构也能保护业务数据。

Apple iPhone MDM 与自动注册

Apple 的 MDM 框架可在企业环境中集中管理 iPhone。结合 Apple Business Manager，设备可在首次激活时自动注册并自行配置。管理员可以静默部署和配置企业应用、强制执行安全设置并监控合规性。这种自动化可确保设备配置一致并减少设置错误。

了解移动设备管理

移动设备管理提供集中式平台，用于监控、保护和控制访问企业系统的移动设备。核心能力包括强制执行安全政策、管理应用以及远程锁定或擦除丢失的设备。MDM 有助于保护企业数据，同时保持设备合规性。它使各种规模的组织都能安全管理不断增长的移动办公人员。

企业设备部署模式

组织可以采用多种设备所有权模式，例如 BYOD、CYOD、COPE、COBO 和 COSU。每种模式在成本、用户灵活性和安全控制之间有不同的平衡。BYOD 优先考虑用户便利性，而 COBO 和 COSU 则最大化企业控制力和安全性。选择正确的模式取决于法规要求、员工需求和 IT 管理能力。

MDM、EMM 与 UEM 对比

MDM 侧重于通过政策执行、配置控制和远程管理来管理和保护移动设备。EMM 将范围扩展到应用和内容管理，而 UEM 则尝试管理包括笔记本电脑和台式机在内的所有端点。对于许多中小企业而言，完整的 EMM 或 UEM 套件会增加不必要的复杂性。在实践中，强大的 MDM 能力通常能满足大多数移动管理需求。

个人手机上的 MDM 与员工隐私

现代 MDM 系统使用容器化将员工自有设备上的工作数据和个人数据分开。雇主只能管理和监控工作环境，包括企业应用和设备合规性信息。照片、消息和浏览历史等个人数据对公司仍不可访问。这种技术隔离可支持安全的 BYOD 计划，同时保护员工隐私。

MDM 投资回报与业务价值

MDM 应被视为一项战略投资，而非简单的安全支出。它通过减少设备丢失、降低 IT 支持成本和提高运营效率来产生财务回报。自动化管理还能提高员工生产力并减少停机时间。此外，更强的安全性可降低数据泄露的风险和财务影响。

符合 HIPAA 的设备管理

医疗机构必须根据 HIPAA 安全要求保护电子患者数据。MDM 有助于实施加密、身份验证控制、安全数据传输和详细审计日志。它还能为访问医疗系统的设备提供远程擦除和集中式政策执行。这些控制措施可降低合规风险，同时在医疗环境中支持移动工作流程。

面向零售运营和安全的 MDM

零售组织依赖移动设备进行 POS 系统、库存管理和店内运营。MDM 确保这些设备保持安全、更新并符合 PCI-DSS 等标准。集中管理可减少停机时间，并简化多个地点的设备部署。其结果是提高运营效率并降低支付相关安全事件的风险。