# 用户手册 Cerberus Enterprise MDM 文档 # 简介 Cerberus Enterprise 是一套全面的 EMM 解决方案，旨在帮助您保护和管理 Android 与 Apple 设备。它具备所有恰当的功能，可在简洁且用户友好的仪表板中有效管理 BYOD 和公司自有设备，您只需几分钟即可上手。 要有效使用 Cerberus Enterprise，您需要了解有关系统工作原理的一些关键概念。 系统同时支持 Android 和 Apple 设备管理： 在 Android 上，Cerberus Enterprise 使用 Google 官方的[Android Management API](https://developers.google.com/android/management)，通过[Android Device Policy](https://support.google.com/a/users/answer/9453213)应用 (ADP) 管理设备。大多数设置由 ADP 直接强制执行。某些可选功能可能还需要 Cerberus Enterprise 配套应用，它扩展了仅靠 ADP 可实现的功能。 在 Apple 设备（iPhone、iPad 和 Mac）上，Cerberus Enterprise 通过 Apple MDM（移动设备管理）管理设备。Apple 管理需要 APNs 证书，并可选择与 Apple Business 集成，以实现自动注册和应用许可。在运行 iOS 或 iPadOS 18.4 或更高版本的 iPhone 和 iPad 上，Cerberus 还会安装 Cerberus Enterprise 配套应用，该应用会共享设备位置并接收通知。 每台设备都可以**注册**到系统中，使用[**注册令牌**](https://enterprise.cerberusapp.com/docs/books/8efb1/page/69cb3 "Enrollment tokens")或[**注册配置文件**](https://enterprise.cerberusapp.com/docs/books/8efb1/page/apple-qBe "Apple manual enrollment")（Apple 手动注册）。注册方法会与一个[**政策**](https://enterprise.cerberusapp.com/docs/books/8efb1/page/9dcb8 "Policies")关联，该政策包含应应用于设备的规则。

IT 管理员可以在注册后更改与设备关联的政策。但是，每台设备一次只能关联一个政策。

在注册（配置）过程中，所需的管理组件会自动安装并配置。在 Android 上，这通常包括 Android Device Policy 应用（根据您的配置，还可能包括 Cerberus Enterprise 配套应用）。在 Apple 设备上，设备注册后会通过 MDM 应用管理，随后 iPhone 和 iPad 会获得 Cerberus Enterprise 配套应用（这需要在您的 Apple Business 资料库中拥有免费应用以及 Apps and Books 令牌）。因此，相应的政策会自动应用到设备，所有相关规则由平台管理系统强制执行。

一个政策可以应用到多台设备。在这种情况下，当您修改政策时，所有关联设备都会收到更改。

# 设置 # Android Management 设置 要使用 Cerberus Enterprise 管理 Android 设备，您必须先将组织连接到 Google Android Enterprise。

设置过程通常需要几分钟，并且需要**工作电子邮件地址**（例如*name@enterprise.com*），或者**个人 Google 电子邮件地址**。

## 设置期间会发生什么 - 您将被重定向到 Google Android Enterprise。 - 您使用工作电子邮件地址（或个人 Google 电子邮件地址）登录。 - Google 会为您的组织创建 Android Management 账户。 - 您会被重定向回 Cerberus Enterprise 以完成设置。 ## 重要信息 我们建议使用工作电子邮件地址注册，而不是个人 Gmail 账户。如果该电子邮件地址已与某个 Google Admin 账户关联，则会重用该现有账户并将其绑定到 Cerberus Enterprise；否则，会创建一个新的免费 Google Admin 账户。Google Admin 账户可解锁全套功能——例如，使用由您的 Google Admin 域管理的账户，通过 Google 身份验证注册设备。 ## 没有工作电子邮件地址？ 您仍然可以使用个人 Google 电子邮件地址（例如 Gmail 账户）注册。在这种情况下，Google 会创建一个免费的受管 Google Play 账户，并将其绑定到 Cerberus Enterprise。 ## 后续步骤 完成设置后，创建一个[**注册令牌**](https://enterprise.cerberusapp.com/docs/books/8efb1/page/69cb3 "Enrollment tokens")，并为设备选择合适的配置方法。 # Apple Management 设置 (APNs) 要管理 Apple 设备，Cerberus Enterprise 需要 Apple 推送通知服务 (APNs) 证书。

使用与您组织关联的 Apple ID。APNs 证书有效期为一年，必须每年续期才能继续管理设备。

## 第 1 步：下载 CSR 文件 在仪表板中启动 Apple Management 设置，并下载 Cerberus Enterprise 生成的供应商签名证书签名请求 (CSR) 文件。 ## 第 2 步：在 Apple 门户上创建推送证书 - 使用您的 Apple ID 登录 Apple 推送证书门户。 - 点击*“创建证书”*。 - 上传第 1 步中的 CSR 文件。 - 下载创建的推送证书。 门户链接：[https://identity.apple.com/](https://identity.apple.com/ "Apple Push Certificates Portal") ## 第 3 步：上传推送证书 将从 Apple 下载的推送证书上传回 Cerberus Enterprise 以完成设置。

如果 APNs 证书过期，Apple 设备管理将停止工作，直到证书续期。

从过期前 30 天开始，仪表板会显示一个带有**如何续期**操作的横幅。请始终使用同一 Apple ID 在 Apple 推送证书门户上**续期**现有证书：新证书具有不同的主题，已注册的设备将需要重新注册。

## 后续步骤 配置 APNs 后，您可以继续注册 Apple 设备。请继续阅读[**Apple 配置概览**](https://enterprise.cerberusapp.com/docs/books/8efb1/page/apple-U4O "Apple provisioning overview")。 # 设备配置概览 Cerberus Enterprise 支持 Android 和 Apple 两个平台的设备管理。你可以根据需要注册的设备独立配置任一平台。 ## 1. 在仪表板中完成平台设置 在注册设备之前，请在 Cerberus Enterprise 仪表板中完成平台设置。如果你的账户尚未配置，仪表板会引导你完成所需步骤。 ### Android 设置 (Google Android Enterprise) 有关完整的 Android 设置流程，请阅读[**Android Management 设置**](https://enterprise.cerberusapp.com/docs/books/8efb1/page/android-management "Android Management setup")。 - 转到仪表板注册流程，并选择**设置 Android Management**。 - 系统会将你重定向到 Google，以使用**工作账户**登录并授权 Android Enterprise。 - 授权后，你将被重定向回 Cerberus Enterprise 以完成设置。 ### Apple 设置 (APNs 推送证书) 有关完整的 Apple 设置流程，请阅读[**Apple Management 设置 (APNs)**](https://enterprise.cerberusapp.com/docs/books/8efb1/page/apple-management-apns "Apple Management setup (APNs)")。 - 转到仪表板注册流程，并选择**设置 Apple Management**。 - 从 Cerberus Enterprise 下载 CSR 文件。 - 在 Apple Push Certificates Portal 中创建 APNs 证书，并下载生成的证书。 - 将下载的证书上传回 Cerberus Enterprise，以启用 Apple 设备管理。 ## 2. 注册设备 完成平台设置后，请选择与你的设备所有权模式和操作系统相匹配的注册方法。 ### Android 注册 对于 Android，注册由[**注册令牌**](https://enterprise.cerberusapp.com/docs/books/8efb1/page/69cb3 "Enrollment tokens")驱动。请根据设备是个人拥有还是公司拥有选择合适的方法。 - 个人拥有（BYOD / 工作资料）：[请参阅本指南](https://enterprise.cerberusapp.com/docs/books/8efb1/page/65ded "Personally-owned devices")。 - 公司拥有（工作和个人用途 / 工作资料）：[请参阅本指南](https://enterprise.cerberusapp.com/docs/books/8efb1/page/f7177 "Company-owned devices for work and personal use")。 - 公司拥有（仅用于工作 / 完全受管理或专用）：[请参阅本指南](https://enterprise.cerberusapp.com/docs/books/8efb1/page/65ded-Suh "Company-owned devices for work use only")。 - Zero-touch：[请参阅本指南](https://enterprise.cerberusapp.com/docs/books/8efb1/page/zero-touch "Zero-touch")。 ### Apple 注册 对于 Apple，请先完成上述 APNs 设置，然后参阅 Apple 配置指南：[**Apple 设备配置概览**](https://enterprise.cerberusapp.com/docs/books/8efb1/page/apple-U4O "Apple provisioning overview")。 # 设备配置 - Android # 支持的设备 通常，任何运行 Android 6 或更高版本并带有 Google Play 服务的设备都与 Cerberus Enterprise 兼容。 为了获得更好的用户体验，我们建议使用符合[Android Enterprise Recommended](https://androidenterprisepartners.withgoogle.com/devices/)要求的设备。

某些功能仅限于特定的 Android 版本，或者在不同操作系统版本中的行为可能有所不同。有关特定功能的详细信息，请参阅文档的[政策](https://enterprise.cerberusapp.com/docs/books/8efb1/chapter/android-dH0 "Policies")部分。

Cerberus Enterprise 同时支持公司拥有和个人拥有的设备，以及两种管理模式：设备所有者和资料所有者。 **个人拥有**的设备可以通过**工作资料**进行管理。这样可以将员工的工作数据和应用与个人数据和应用分开，从而同时提高安全性和隐私性，实现 BYOD 解决方案。此选项适用于员工已拥有、且你希望将其注册到组织中用于工作的设备。 **公司拥有**的设备也可以通过工作资料进行管理，但你还可以选择**完全受管理**选项，从而对设备进行更严格的控制。当你向员工提供公司设备用于工作但仍允许个人使用时，带工作资料的公司设备非常合适。完全受管理的设备更适合必须仅用于工作的设备，或用于**专用设备**（COSU，公司拥有单用途），例如自助服务终端。 有关设备配置的详细信息，请参阅[设备配置概览](https://enterprise.cerberusapp.com/docs/books/8efb1/page/f4f6d "Device provisioning overview")页面。
# 注册令牌 Cerberus Enterprise 使用注册令牌来启动 Android 设备注册（配置）流程。你选择的令牌会定义应用于已注册设备的初始政策，并影响允许使用的配置模式。

只有在完成[**Android Management 设置**](https://enterprise.cerberusapp.com/docs/books/8efb1/page/android-management "Android Management setup")后，才会显示 Android 注册令牌标签页。

## 在哪里查找注册令牌 在仪表板中，打开**注册令牌**。根据你的账户配置，该页面可能会显示多个标签页（Android 令牌、Google 登录注册、Apple 手动注册和 Apple Automated Device Enrollment）。

如果你的 Android 企业由受管理的 Google 域（Google Workspace）提供支持，仪表板还可能会显示**Authenticate Using Google Enrollment**标签页。有关启用和使用它的详细信息，请参阅[**Authenticate Using Google enrollment**](https://enterprise.cerberusapp.com/docs/books/8efb1/page/authenticate-using-google-enrollment "Authenticate Using Google enrollment")。

## 注册令牌列表（Android） Android 令牌标签页会显示所有令牌的表格。点击某一行会打开令牌详细信息页面。 ### 列 - **状态**：**有效**（设备可使用该令牌注册）、**已过期**（过期日期已过）或**已用完**（已使用的一次性令牌）。 - **政策**：分配给该令牌的政策（工具提示会显示政策 ID）。**已删除的政策**表示该政策在令牌创建后被删除。 - **用户**：预先分配给使用该令牌注册的设备的可选用户。**已删除的用户**表示该用户在令牌创建后被删除。 - **注册数**：使用该令牌注册的设备数量；对于一次性令牌，显示为**n / 1**。 - **个人使用**：允许 / 不允许 / 专用设备。 - **创建时间**：令牌的创建时间。表格将最新的令牌显示在最前面。 - **过期时间**：过期日期/时间，或**从不**。 - **注册代码**：令牌的代码，即在不使用二维码注册设备时在设备上输入的代码。 ### 操作 - 每一行都有一个删除操作（**删除注册令牌**）。许可证过期时，删除操作会被禁用。 - 该表格支持多行选择：你可以启用选择模式，选择多个令牌，然后使用**删除所选令牌**将其删除。 - 使用刷新操作重新加载列表。表格已分页（每页 10/25/50 项）。 ## 创建新的注册令牌 在 Android 令牌标签页上，点击**新建注册令牌**以打开令牌创建页面。如果你的许可证已过期，创建按钮会被禁用。 ### 令牌选项 #### 1. 政策 **必需。**此政策会自动应用于使用该令牌注册的所有设备。请选择你的[**Android 政策**](https://enterprise.cerberusapp.com/docs/books/8efb1/chapter/android-dH0 "Policies")之一。如果你还没有任何政策，请先创建一个。 #### 2. 用户 可选。如果设置，新注册的设备会自动关联到此用户。 #### 3. 个人使用 控制使用此注册令牌配置的设备是否允许个人使用： - **允许**：适用于个人拥有的设备（工作资料）以及用于工作和个人用途的公司设备。 - **不允许**：适用于仅用于工作的公司设备（完全受管理）。 - **专用设备**：适用于自助服务终端/专用设备（设备不与单个用户关联）。 #### 4. 允许的使用次数 选择该令牌可以多次使用（**多次**）还是仅使用一次（**仅一次**）。 #### 5. 过期时间 选择过期单位（**分钟**、**小时**、**天**或**从不**）。如果未设置为从不，请输入过期值。允许的范围取决于所选单位，最大可达 10,000 天。 #### 6. Google 身份验证 控制用户在设备注册期间是否必须使用 Google 账户进行身份验证： - **未指定**：将使用企业级 Google 身份验证设置来确定用户在注册期间是否需要使用 Google 进行身份验证。 - **可选**：用户可以选择在注册期间跳过 Google 身份验证。 - **必需**：用户必须使用 Google 账户进行身份验证才能继续注册。 当选择**必需**时，会出现可选的**必需账户电子邮件**字段。如果设置，用户必须在注册期间使用该特定 Google 账户进行身份验证。 ### 配置选项（仅限二维码） 这些附加选项会嵌入二维码中，并在通过扫描二维码注册完全受管理设备的配置过程中应用。它们不适用于工作资料或使用注册 URL 或令牌注册的设备。 #### Wi‑Fi 配置 使用此项可让设备在配置期间自动连接 Wi‑Fi，以便下载并初始化管理应用。可用字段包括**SSID**、**隐藏 SSID**、**安全性**，以及（需要时）**密码短语**。 你还可以配置 HTTP 代理（**代理**），并根据模式设置**主机**/**端口**、**PAC URI**和**代理绕过主机**。 #### 其他选项 附加选项包括**区域设置**、**时区**和**跳过加密**。 ## 注册令牌详细信息 打开令牌后，详细信息页面会显示令牌配置和使用信息： - **状态**、**过期时间**、**使用情况**、**个人使用**、**允许的使用次数**，以及（设置时）**Google 身份验证**和可选的**必需账户电子邮件**。 - **令牌**：原始注册令牌值（可复制）。 - **注册 URL**：Google Android Enterprise 注册 URL（可复制并可通过电子邮件发送）。 - **二维码**：显示在页面右侧，用于注册完全受管理的设备。

有关分步配置流程，请参阅 Android 注册指南：[**个人拥有的设备**](https://enterprise.cerberusapp.com/docs/books/8efb1/page/65ded "Personally-owned devices")、[**用于工作和个人用途的公司设备**](https://enterprise.cerberusapp.com/docs/books/8efb1/page/f7177 "Company-owned devices for work and personal use")、[**仅用于工作的公司设备**](https://enterprise.cerberusapp.com/docs/books/8efb1/page/65ded-Suh "Company-owned devices for work use only")，以及[**Zero-touch**](https://enterprise.cerberusapp.com/docs/books/8efb1/page/zero-touch "Zero-touch")。

# 个人拥有的设备
员工拥有的设备可以设置**工作资料**。工作资料为工作应用和数据提供一个独立的空间，与个人应用和数据分开。大多数应用、数据和其他管理政策仅适用于工作资料，而员工的个人应用和数据保持私密。
要在个人拥有的设备上设置工作资料，请使用以下配置方法之一（确保[注册令牌](https://enterprise.cerberusapp.com/docs/books/8efb1/page/69cb3 "Enrollment tokens")的***个人使用***设置为**允许**）：
#### 注册令牌链接
Android 版本
6.0+
你可以将注册 URL 提供给最终用户。当最终用户从设备上打开该链接时，系统会引导他们完成工作资料设置。
#### 从*"设置"*添加工作资料
Android 版本
6.0+
要在其设备上设置工作资料，用户可以打开设备的***设置***应用，然后使用搜索栏查找并点按***设置工作资料***选项。
如果搜索不成功，此选项的位置可能会有所不同。以下是几种可能：
- *设置* -> *Google 服务和偏好设置* -> *所有服务* -> *设置工作资料*. - *设置* -> *Google* -> *设置 & 恢复* -> *设置工作资料*. 这些步骤会启动一个设置向导，在设备上下载*Android Device Policy*。接下来，系统会提示用户扫描二维码或手动输入注册令牌，以完成工作资料设置。
#### 下载 Android Device Policy
Android 版本
6.0+
要在其设备上设置工作资料，用户可以从 Google Play 商店下载 Android Device Policy。应用安装后，系统会提示用户扫描二维码或手动输入注册令牌，以完成工作资料设置。
#### 个人 iPhone 和 iPad 个人 iPhone 和 iPad（以及 Mac）使用 Apple **用户注册**：用户在设备设置中使用其 Managed Apple Account 登录，只有工作应用、账户和数据受到管理。在 iPhone 和 iPad 上，政策中的 App Store 应用和 **Cerberus Enterprise** 应用会使用该账户的用户许可证安装。仅当个人设备的政策开启 **个人设备上的位置和地理围栏** 且用户允许时，才会收集其位置。请阅读 [**Apple 账户驱动注册**](https://enterprise.cerberusapp.com/docs/books/8efb1/page/apple-So2 "Apple account-driven enrollment")。 # 用于工作和个人用途的公司设备
通过设置带**工作资料**的公司设备，可使该设备同时用于工作和个人用途。在带工作资料的公司设备上：
- 大多数应用、数据和其他管理政策仅适用于工作资料。 - 员工的个人资料保持私密。不过，企业可以强制执行某些设备级政策和个人使用政策。 - 企业可以使用*屏蔽范围*在整个设备或其工作资料上强制执行合规性操作。 - 设备取消注册和设备命令会应用于整个设备。
要设置带工作资料的公司设备，请使用以下配置方法之一（确保[注册令牌](https://enterprise.cerberusapp.com/docs/books/8efb1/page/69cb3 "Enrollment tokens")的**个人使用**设置为**允许**）：
#### 二维码方法
Android 版本
8.0+
在全新或恢复出厂设置的设备上，用户（通常是 IT 管理员）在同一位置点按屏幕六次。这会触发设备提示用户扫描二维码。
# 仅用于工作的公司设备
**完全设备管理**适用于专用于工作目的的公司设备。企业可以管理设备上的所有应用，并可以强制执行 Android Management API 的全套政策和命令。
还可以（通过政策）将设备锁定到单个应用或一小组应用，以满足特定目的或使用场景。这类完全受管理的设备子集称为**专用设备**。
要在公司设备上设置完全管理，请使用以下配置方法之一（确保[注册令牌](https://enterprise.cerberusapp.com/docs/books/8efb1/page/69cb3 "Enrollment tokens")的**个人使用**设置为**不允许**）：
#### 二维码方法
Android 版本
7.0+
在全新或恢复出厂设置的设备上，用户（通常是 IT 管理员）在同一位置点按屏幕六次。这会触发设备提示用户扫描二维码。
#### DPC 标识符方法
Android 版本
5.1+
如果无法通过二维码添加 Android Device Policy，用户或 IT 管理员可以按照以下步骤配置完全受管理或专用设备：
1. 在全新或恢复出厂设置的设备上按照设置向导操作。
2. 输入 Wi-Fi 登录详细信息，将设备连接到互联网。
3. 当系统提示登录时，输入**afw#setup**，这会下载 Android Device Policy。
4. 扫描二维码或手动输入注册令牌以配置设备。
# Zero-touch IT 管理员可以使用 Zero-touch 注册方法配置公司拥有的设备，具体步骤见[Zero-touch enrollment for IT admins](https://support.google.com/work/android/answer/7514005)。设备首次开机时，会自动强制应用 IT 管理员定义的设置。 IT 管理员可以预配置从[授权经销商](https://www.android.com/enterprise/management/zero-touch/)购买的设备，并使用 Cerberus Enterprise 仪表板进行管理。要关联你的 Zero-touch 账户，请转到仪表板中的**Zero-touch**部分，然后按照说明操作。
Android 版本工作资料完全受管理的设备专用设备
8.0+ (Pixel 7.1+)✓✓✓
# Authenticate Using Google enrollment Authenticate Using Google enrollment（也称为**Google Authentication for Enrollment**）允许用户在 Android 设备注册期间使用其 Google Workspace 账户进行身份验证。

此功能仅适用于由受管理的 Google 域（Google Workspace）提供支持的 Android 企业。

## 在哪里找到它 在仪表板中，打开**注册令牌**并选择**Authenticate Using Google Enrollment**标签页。仅当已配置 Android Management 且你的企业可以使用 Google Workspace 集成时，才会显示该标签页。 ## 启用（或禁用）Google 身份验证 Google 身份验证可在**Google Admin 控制台**中启用。更改设置后，请返回 Cerberus Enterprise 并使用**刷新状态**重新加载当前配置。 1. 使用管理员账户登录你的[**Google Admin 控制台**](https://admin.google.com/)。 2. 打开**设备**。 3. 转到**移动设备与端点** → **设置** → **第三方集成**。 4. 找到 Cerberus Enterprise 的**Android EMM 集成**并将其打开。 5. 点击**管理 EMM 提供商**。 6. 切换**Authenticate Using Google**以启用或禁用注册时的 Google 身份验证。 7. 点击**保存**。 8. 返回 Cerberus Enterprise 仪表板，并在**Authenticate Using Google Enrollment**标签页上点击**刷新状态**。 ## Google 身份验证注册令牌 启用 Google 身份验证后，仪表板会显示一个专用于此注册模式的注册令牌。该页面可能会显示**二维码**、**注册令牌**值和**注册 URL**（可复制并可通过电子邮件发送）。 ### 关键选项 - **允许个人使用**：控制该令牌是否可以注册用于工作和个人用途的设备（工作资料场景）或仅用于工作的设备（完全受管理/专用场景）。 - **回退默认政策**：当注册用户未分配特定的 Google 身份验证默认政策时应用的政策。 ### 政策交互 政策设置**工作账户设置身份验证**（workAccountSetupConfig.authenticationType）控制用户在工作账户设置期间进行身份验证的方式，但 Google Admin Console 设置**Authenticate Using Google**和注册令牌类型仍可能要求进行身份验证。 对于已注册的设备，此政策仅在设备由受管理的 Google Play 账户管理时适用（即未使用**Authenticate Using Google Enrollment**注册）。

许可证过期时，某些操作（例如更改令牌选项）可能会被禁用。

## 注册设备 在注册期间，系统会提示用户使用其 Google Workspace 账户进行身份验证。注册成功后，设备会与通过身份验证的用户关联。 ### 工作资料（个人拥有的设备） - 将**注册 URL**分享给用户。当用户在 Android 设备上打开它时，会引导他们完成工作资料设置和 Google 身份验证。 - 或者，用户可以从 Android 设置开始，选择工作资料设置流程，然后在系统提示时扫描二维码或输入注册令牌。 ### 公司拥有的设备 - **二维码方法**：在全新或恢复出厂设置的设备上，在同一位置多次点按屏幕，直到出现二维码提示，然后扫描仪表板中显示的二维码。 - **DPC 标识符方法**（无法进行二维码扫描时）：按照设置向导操作，连接 Wi‑Fi，然后在提示登录时输入**afw#setup**，并通过扫描二维码或输入注册令牌继续。出现提示时，使用 Google Workspace 账户进行身份验证。 有关通用的 Android 配置流程（工作资料与完全受管理），请参阅本手册中的标准 Android 注册页面。 # 设备配置 - Apple # Apple 设备配置概览 Cerberus Enterprise 支持注册和管理 iPhone、iPad 和 Mac。Apple 设备配置需要 APNs 证书，并可通过不同的注册方法完成。 ## 前提条件：配置 Apple Management (APNs) 在注册任何 Apple 设备之前，请完成[**Apple Management 设置 (APNs)**](https://enterprise.cerberusapp.com/docs/books/8efb1/page/apple-management-apns "Apple Management setup (APNs)")。 ## 选择注册方法 ### 手动注册（注册描述文件） 此方法提供注册 URL 和可在设备上安装的配置描述文件（mobileconfig）。请阅读[**Apple 手动注册**](https://enterprise.cerberusapp.com/docs/books/8efb1/page/apple-qBe "Apple manual enrollment")。 ### Automated Device Enrollment (ADE) 此方法与 Apple Business 集成，为公司拥有的设备自动完成注册。请阅读[**Apple Automated Device Enrollment (ADE)**](https://enterprise.cerberusapp.com/docs/books/8efb1/page/apple-ade-rNM "Apple Automated Device Enrollment")。 ### 账户驱动注册（使用工作账户登录） 用户在设备设置中使用自己的 Managed Apple Account 登录，即可注册 iPhone、iPad 或 Mac：个人设备使用 User Enrollment，不在 Apple Business 中的公司设备使用 Device Enrollment。请阅读[**Apple 账户驱动注册**](https://enterprise.cerberusapp.com/docs/books/8efb1/page/apple-So2 "Apple account-driven enrollment")。 在使用 User Enrollment 注册的个人 iPhone 和 iPad 上，政策中的 App Store 应用会使用 Cerberus 自动分配的 Managed Apple Account 用户许可证进行安装；系统会要求用户安装每个应用。Managed Apple Account 与 Apps and Books 令牌必须属于同一 Apple Business 组织。请阅读[**个人设备上的应用**](https://enterprise.cerberusapp.com/docs/books/8efb1/page/apple-So2 "Apple account-driven enrollment")。 ## iPhone 和 iPad 上的 Cerberus Enterprise 应用 注册后，Cerberus 会在运行 **iOS 或 iPadOS 18.4 或更高版本** 的 iPhone 和 iPad 上安装其 **Cerberus Enterprise** 应用，无论是否有政策。该应用会共享设备位置，并接收通知和实时跟踪请求；在个人设备（用户注册）上，仅当政策开启 **个人设备上的位置和地理围栏** 且用户允许时，它才会接收消息并共享位置。它需要完成一次性的步骤：将免费应用添加到您的 Apple Business 资料库（**Apps & Books** → **App Store**，搜索“Cerberus Enterprise”，对所有当前和未来的组织单位点按**添加**）。受监督设备会静默安装；在其他设备上，系统会要求用户安装。如果用户已从 App Store 安装，设备会询问是否允许您的组织管理该应用，应用会保留其数据和权限。如果用户拒绝，请使用设备页面上的 **重试**。用户无法删除该应用，即使 Apps and Books 令牌过期，它也会保持安装状态。Mac 不会获得该应用。

你可以并行使用手动注册和 ADE，具体取决于你的设备群和采购流程。

# Apple 手动注册（注册描述文件） Cerberus Enterprise 支持使用二维码、注册 URL 或注册描述文件文件对 Apple 设备进行手动注册。

当配置了 Apple Management (APNs) 时，可使用手动注册。如果您尚未完成 APNs 设置，请阅读[**Apple Management 设置 (APNs)**](https://enterprise.cerberusapp.com/docs/books/8efb1/page/apple-management-apns "Apple Management setup (APNs)")。

用户也可以在没有描述文件的情况下，通过在设备设置中使用工作账户登录来注册其 iPhone、iPad 或 Mac。请阅读[**Apple 账户驱动注册**](https://enterprise.cerberusapp.com/docs/books/8efb1/page/apple-So2 "Apple account-driven enrollment")。

## 注册令牌 注册令牌有自己的注册 URL 和二维码，并为使用它注册的设备分配以下设置： - **政策**：设备注册后立即应用。 - **用户**：分配给设备。如果令牌中没有用户，则设备没有用户。 - **所有权**：公司所有或个人所有。如果未设置，受监督设备会被设为公司所有，其他设备设为个人所有。手动注册的 iPhone 和 iPad 不受监督；Mac 受监督，因此会被设为公司所有。 - **过期时间**：此日期之后，注册 URL 将停止工作。在此之前下载的描述文件仍可安装。 - **允许注册数**：可使用该令牌注册多少台设备。留空表示不限制。 要创建令牌，请打开仪表板的**注册**部分，选择**Apple 手动注册（注册描述文件）**选项卡，然后点击**新建注册令牌**。设置名称和各项设置，然后点击**创建令牌**：令牌页面会显示其注册 URL、二维码和**下载注册描述文件**按钮。 令牌表格会为每个令牌显示其**状态**（有效、已过期或已用完）、**过期时间**、在允许次数内已完成的**注册数**，以及**上次使用**（设备最后一次使用它注册的时间）。接下来是**政策**、**用户**（将鼠标悬停其上可查看电子邮件）、**归属**和**创建时间**（将鼠标悬停其上可查看创建令牌的人）。最新的令牌排在前面，您可以按任意列排序。按**上次使用**排序可找出不再有人使用的有效令牌，并删除它们，使其注册 URL 停止工作。令牌保存后删除的政策或用户会显示为**已删除的政策**或**已删除的用户**并带有警告图标：请编辑令牌以选择另一个。

对令牌的更改会应用于后续注册：已注册的设备会保留其政策和用户。当令牌被删除、过期或达到允许的注册数时，其注册 URL 会停止工作。

## 无令牌注册 同一选项卡中的**无令牌注册**面板包含您组织的注册 URL。使用它注册的设备不会获得政策和用户：请从设备页面进行分配。 设备的政策和用户取决于其注册方式：使用注册令牌时为令牌的政策和用户；使用自动设备注册时为 ADE 描述文件的政策，并保留设备页面上分配的用户；使用注册 URL、二维码或没有令牌的描述文件时没有政策和用户（即使设备有 ADE 描述文件）。再次注册的设备不会保留其先前注册的政策和用户：只有在新的注册分配了这些内容时，设备页面才会显示它们。只有使用**恢复服务**抹掉的设备才会以当前政策和用户再次注册。 ## 获取注册 URL 和描述文件 - 在**注册**部分的**Apple 手动注册（注册描述文件）**选项卡中打开该令牌，或展开**无令牌注册**。 - 复制**注册 URL**，或使用通过电子邮件发送操作。 - 使用 iPhone 或 iPad 的相机扫描注册 URL 旁边显示的**二维码**：它会在设备上打开同一注册 URL。在 Mac 上，请使用注册 URL 或描述文件。 - 下载**注册描述文件**（mobileconfig 文件）。 ## 如何注册 iPhone 或 iPad iOS/iPadOS 15.0+ 首先，使用以下方法之一在设备上下载注册描述文件： ### 方法 1：二维码 在设备上打开*相机*应用，将镜头对准注册 URL 旁边显示的二维码，然后点按出现的链接。Safari 会打开注册 URL 并请求允许下载配置描述文件：点按*允许*。 ### 方法 2：注册 URL 将注册 URL 发送给用户（例如使用通过电子邮件发送操作），并在设备上使用*Safari*打开，然后点按*允许*以下载配置描述文件。 ### 方法 3：注册描述文件 下载注册描述文件（*enroll.mobileconfig*），并将其发送到设备（例如作为电子邮件附件或通过 AirDrop），然后在设备上打开它。 然后在设备上完成注册： 1. 在设备上，打开*设置* → *已下载描述文件* → *安装*，然后按照说明操作。 2. 注册后，你可以在*设置* → *通用* → *VPN & 设备管理*（或*描述文件 & 设备管理*）中验证状态。

注册后，运行 iOS 或 iPadOS 18.4 或更高版本的 iPhone 和 iPad 会获得**Cerberus Enterprise**应用。在手动注册（未受监督）的设备上，系统会要求用户安装该应用；如果该应用已从 App Store 安装，则会要求允许你的组织管理它。如果用户拒绝，请在设备页面上使用**重试**。该应用需要先出现在你的 Apple Business 资源库中一次（请参阅**账户设置**）。

在 iPhone 和 iPad 上，已下载的描述文件若未在 8 分钟内安装，设备会将其移除。在这种情况下，请重新下载。

## 如何注册 Mac macOS 13.0+ 二维码仅适用于 iPhone 和 iPad。请使用以下方法之一在 Mac 上下载注册描述文件： ### 方法 1：注册 URL 将注册 URL 发送给用户（例如使用通过电子邮件发送操作），并在 Mac 上使用*Safari*打开，然后在询问时允许下载。如果描述文件未自行打开，请打开已下载的*enroll.mobileconfig*文件。 ### 方法 2：注册描述文件 下载注册描述文件（*enroll.mobileconfig*），并将其发送到 Mac（例如作为电子邮件附件或通过 AirDrop），然后在 Mac 上打开它。 打开描述文件只会将其添加到已下载的描述文件中。然后以 Mac 主要用户的身份登录并完成注册： 1. 打开*系统设置* → *通用* → *设备管理*（macOS 13 和 14 上：*隐私与安全* → *描述文件*）。在*已下载*部分中，双击*注册描述文件*，点击*注册*（或*安装*）并按照说明操作。如有询问，请输入 Mac 管理员的名称和密码。 2. 注册后，*注册描述文件*会列在同一位置。在*终端*中，`profiles status -type enrollment`会显示*MDM enrollment: Yes (User Approved)*。

手动注册的 Mac 受监督，安装描述文件的用户会显示在设备页面的**Mac 用户**面板中。Mac 不会获得 Cerberus Enterprise 应用。如果描述文件不再位于*已下载*部分中，请重新下载。

请仅安装你从 Cerberus Enterprise 仪表板获取的注册描述文件。

# Apple 自动设备注册 (ADE) 自动设备注册 (ADE) 与 Apple Business（原 Apple Business Manager）集成，在公司所有的 iPhone、iPad 和 Mac 首次开机时（或恢复出厂设置后）自动注册这些设备。

ADE 需要先配置 Apple Management (APNs)。如有需要，请阅读[**Apple Management 设置 (APNs)**](https://enterprise.cerberusapp.com/docs/books/8efb1/page/apple-management-apns "Apple Management setup (APNs)")。

## 如何自动注册设备 1. 将设备添加到您的 Apple Business 账户，并将它们分配到 Cerberus Enterprise 设备管理服务：在 Apple Business 中，打开**设备** → **清单**，选择设备并点击**分配设备管理**，或者从**设备** → **管理服务** → **默认设备分配**自动分配新设备。请参阅[管理设备供应商](https://support.apple.com/guide/business/manage-device-suppliers-axmef1c47493/web)和[使用 Apple Configurator 添加设备](https://support.apple.com/guide/business/add-devices-using-apple-configurator-axm200a54d59/web)。 2. 将新设备添加到 Apple Business 账户后，请在 Cerberus Enterprise 的 **设备** 部分使用 **从 Apple Business 同步** 操作同步它们。同步的设备只有在注册后才会使用许可证。 3. 从**注册** → **Apple 自动设备注册 (ADE)** → **新建 ADE 描述文件**在仪表板中创建 ADE 描述文件。 4. 在设备详情页面使用**ADE 描述文件**字段为设备分配 ADE 描述文件。

注册后，运行 iOS 或 iPadOS 18.4 或更高版本的 iPhone 和 iPad 会获得**Cerberus Enterprise**应用。通过 ADE 注册的设备受监督，因此应用会在不询问用户的情况下安装；设置过程不会等待它。该应用需要位于您的 Apple Business 资料库中一次（请参阅**账户设置**）。Mac 不会获得该应用。

## ADE 描述文件设置（概览） ADE 描述文件控制设备的注册方式以及“设置助理”的行为。在 Cerberus Enterprise 中，ADE 描述文件包括名称、可选初始政策、注册选项、要跳过的“设置助理”面板、支持联系人和受信任证书。 ### 描述文件名称 描述文件的可读名称（例如*默认 ADE 描述文件*）。 ### 政策 当设备通过自动设备注册（设置助理）注册时应用于设备的政策。通过注册 URL 或二维码注册的描述文件设备会改为获得其注册令牌的政策，如果没有令牌则没有政策。仅更改政策会保持描述文件不变。 ### 注册选项 - **允许移除 MDM**：控制是否可以从设备移除 MDM 负载。 - **允许配对**：控制是否允许配对（Apple 已在 iOS 13 中弃用）。 - **自动推进设置**：自动推进“设置助理”的各个屏幕（运行 macOS 11 或更高版本的 Mac 和 Apple TV）。 - **等待设备配置完成**：“设置助理”会等待 ADE 描述文件的政策应用完成，以便用户在应用和设置就绪后开始使用。随后 Cerberus Enterprise 会让设备继续，最迟在注册后 4 分钟。 - **强制**：防止在设置期间跳过描述文件安装。 - **多用户（共享 iPad）**：将设备配置为共享 iPad。 - **受监督**：请求对设备进行监督。 ### 设置助理 - **部门**、**支持电话**和**支持电子邮件**（可选）：随配置文件一起发送给 Apple。设备可能不会显示它们。 - **要跳过的面板**：“设置助理”不会显示所选面板（例如 Apple Account、Siri 或屏幕使用时间）。每台设备只显示其系统适用的面板（某些面板，例如 FileVault 或 iCloud 文稿与桌面，仅存在于 Mac 上）；**全部跳过**和**全部显示**可全部选择或清除。 - **Apple TV**：使用自动推进设置时 Apple TV 的语言和地区。 - **受信任证书**：仅在服务器使用设备不信任的证书（例如来自私有 CA 的证书）时需要。请先在证书页面中导入该证书。 ### ADE 描述文件列表 列表显示每个描述文件的名称、其政策、其设备及其 Id（Apple 为该描述文件分配的标识符）。名称后的锁标记表示这是强制性描述文件，用户无法移除其管理。 **无政策**或 **政策已删除**警告表示使用该描述文件注册的设备不会获得初始政策。 **设备**列统计该描述文件的已注册设备，并在旁边显示等待中的设备：已在 Apple Business 中分配给该描述文件但尚未注册的设备。已移除的设备不计入。 ### 更改描述文件 Apple 不允许更改 ADE 描述文件。当您更改一个描述文件时（仅更改政策除外），Cerberus Enterprise 会定义一个同名的新描述文件，并将其分配给旧描述文件的设备；当没有设备使用旧描述文件后，它就不再列出。已完成设置助理的设备会在下次抹掉后使用新描述文件。 没有设备使用的描述文件（无论已注册还是等待中）都可以从 ADE 描述文件列表中删除。Apple 不允许删除描述文件，因此它会保留在 Apple Business 中，但不会被使用。

为设备分配 ADE 描述文件后，它就可以自动注册了。

# Apple 账户驱动注册 通过账户驱动注册，用户可在设备设置中使用工作账户（例如**Managed Apple Account**，如*name@company.com*）登录，从而注册其 iPhone、iPad 或 Mac。无需下载描述文件，也无需二维码：Cerberus Enterprise 会自动找到用户、应用政策并设置所有权。 ## 两种模式 - **用户注册**（个人设备）：仅管理工作应用、账户和数据，它们位于设备的单独区域中。Cerberus 无法查看个人数据、抹掉设备、定位设备或读取其序列号。设备会被设为个人所有。需要 iOS 和 iPadOS 15 或 macOS 14 或更高版本。 - **设备注册**（不在 Apple Business 中的公司设备）：管理整个设备，就像手动注册一样。以此方式注册的 Mac 受监督；iPhone 或 iPad 则不受监督。设备会被设为公司所有。需要 iOS 和 iPadOS 17.1 或 macOS 14.1 或更高版本。

您可以分别为 iPhone 和 iPad 以及 Mac 选择模式：例如，为个人 iPhone 选择用户注册，为 Mac 选择设备注册。您可以稍后在设备页面上更改设备的所有权。

当配置了 Apple Management (APNs) 时，可使用账户驱动注册。如果您尚未完成 APNs 设置，请阅读[**Apple Management 设置 (APNs)**](https://enterprise.cerberusapp.com/docs/books/8efb1/page/apple-management-apns "Apple Management setup (APNs)")。

## 设置 Apple Business 用户使用在 Apple Business 中创建的 Managed Apple Account 登录。开始之前： 1. **在 Apple Business 中验证您的域**（例如*company.com*），该域属于您组织的域。 2. **创建用户的 Managed Apple Account**，或将 Apple Business 连接到 Google Workspace 或 Microsoft Entra ID：然后每个用户的账户就是其工作电子邮件地址，他们使用该密码登录。 3. 对于用户注册，请在访问管理设置中检查 Managed Apple Account 是否可以在**个人设备**上登录：如果它们只能在受监督设备上登录，用户注册会失败。 4. 仅适用于下面的**Apple Business**选项：打开**设备** → **管理服务** → **默认设备分配**（编辑），并为 iPhone、iPad 和 Mac 选择 Cerberus Enterprise 设备管理服务。

在设备使用 Managed Apple Account 注册期间，请将 Cerberus Enterprise 设备管理服务及其令牌保留在 Apple Business 中：移除它们可能会导致账户无法在设备上正常工作。

## 设置 Cerberus Enterprise 打开仪表板的**注册**部分，然后选择**Apple 账户登录**选项卡。顶部的检查清单会显示仍缺少的内容。只有管理员可以更改设置。 - **允许通过工作账户登录进行注册**：为整个组织开启或关闭账户驱动注册。 - **域**：用户账户的域（例如*company.com*），最多 20 个。只有这些域的账户可以注册，且必须在验证域之后（见下文）。 - **iPhone 和 iPad**和**Mac**：为每个设备系列选择关闭、用户注册或设备注册。 - 每种模式的**政策**：设备注册后立即应用。如果没有政策，设备将在没有政策的情况下注册。更改后的政策会应用于后续注册。 - **用户**：*仅现有用户*（Cerberus Enterprise 中用户的电子邮件地址必须与设备上输入的账户匹配），或*为没有用户的域账户创建用户*。

设备上输入的账户会先与用户的**Managed Apple Account**字段匹配，然后与其电子邮件地址匹配。验证码始终发送到用户的电子邮件地址。为用户设置的 Managed Apple Account 即使其域未在 Cerberus 中验证也可以注册，例如 Apple Business 保留的*org.appleid.com*域的账户。使用 Apple Business 服务发现时，用户始终输入其 Managed Apple Account。

### 验证域 保存设置后，**域验证**部分会为每个域显示一条 TXT 记录。将其添加到该域的 DNS 中，然后点击**验证**。DNS 更改可能需要一些时间才能生效。已验证的域会保持已验证状态：之后您可以移除该记录。未验证域的用户无法注册。 ## 服务发现：设备如何找到 Cerberus Enterprise 当用户登录时，设备会询问账户的域（例如*https://company.com*）由哪台服务器管理。请至少设置以下三个选项之一。选项卡的**服务发现**部分会显示您组织的发现 URL 以及每个选项要复制的确切文本。 ### 选项 1：Apple Business（推荐） 点击**在 Apple Business 中注册**：Cerberus Enterprise 会将其发现 URL 存储在您的 Apple Business 组织中，无需在您的域上发布任何内容。**在 Apple Business 中检查**会显示 Apple Business 当前的 URL，而**从 Apple Business 中移除**会将其移除。 - 需要 iOS 和 iPadOS 18.2 或 macOS 15.2 或更高版本。较旧的设备需要选项 2 或 3。 - 需要在 Cerberus Enterprise 中连接 Apple Business（自动设备注册服务令牌），以及上述默认设备分配。 - 设备仅在您的域不响应时才会询问 Apple Business：地址*https://company.com/.well-known/com.apple.remotemanagement*必须不存在（例如“未找到”之类的错误）。如果您的网站用网页响应它，设备会停在那里。使用**检查配置**查看它会响应什么。

Apple Business 为每个组织保留一个发现 URL：注册该 URL 会将组织的每个 Managed Apple Account 发送到此 Cerberus Enterprise 组织。请勿从使用同一 Apple Business 组织的两个 Cerberus Enterprise 组织注册它。

### 选项 2：从您的网站重定向 在每个域的 Web 服务器上，将*/.well-known/com.apple.remotemanagement*重定向到您组织的发现 URL，**保留查询字符串**（其中包含用户输入的账户）。这适用于所有支持账户驱动注册的 OS 版本，并且 iPhone 和 Mac 的模式可以不同。从选项卡中复制适用于 Apache 或 nginx 的文本；它看起来像下面这样，其中包含您组织的密钥： **Apache**（.htaccess 或虚拟主机）： ``` RewriteEngine On RewriteRule ^\.well-known/com\.apple\.remotemanagement$ https://enterprise.cerberusapp.com/account-enroll/YOUR-KEY/discovery [R=302,L,QSA] ``` **nginx**： ``` location = /.well-known/com.apple.remotemanagement { return 302 https://enterprise.cerberusapp.com/account-enroll/YOUR-KEY/discovery$is_args$args; } ``` 在其他 Web 服务器或服务（IIS、Cloudflare、托管控制面板）上，创建一条从同一路径到发现 URL 的重定向规则（302），并使用保留或转发查询字符串的选项。 ### 选项 3：您网站上的静态文件 如果您无法添加重定向，请在*https://company.com/.well-known/com.apple.remotemanagement*（无文件扩展名）发布一个文件，并以*Content-Type: application/json*提供。从选项卡中复制其内容。静态文件无法按设备选择模式：它对 iPhone、iPad 和 Mac 使用相同的模式。对于用户注册，它看起来像这样： ``` {"Servers":[{"Version":"mdm-byod","BaseURL":"https://enterprise.cerberusapp.com/account-enroll/YOUR-KEY/byod"}]} ``` 对于设备注册： ``` {"Servers":[{"Version":"mdm-adde","BaseURL":"https://enterprise.cerberusapp.com/account-enroll/YOUR-KEY/adde"}]} ```

文件的模式还必须与选项卡中为设备系列设置的模式一致，否则注册会被拒绝。

### 检查配置 在**检查配置**中，选择一个域和一个设备（iPhone 或 Mac），然后点击**检查**：Cerberus Enterprise 会像设备一样询问该域并显示答案、每次重定向以及结论。域指向 Cerberus Enterprise 表示选项 2 或 3 有效；错误答案（例如“未找到”）对于选项 1 没问题；指向其他位置的网页或文件会阻止设备。如果重定向丢失了查询字符串，或文件未以*application/json*提供，检查也会发出警告。 ### 注册密钥 发现和注册 URL 包含您组织的密钥。如果 URL 被错误发布，请点击**重新生成密钥**：旧 URL 会立即停止工作，因此请更新您网站上的重定向和静态文件。使用选项 1 时，Cerberus Enterprise 会自行在 Apple Business 中注册新 URL。 ## 用户如何注册 1. iPhone 和 iPad：打开*设置* → *通用* → *VPN 与设备管理* → *登录工作或学校账户*。Mac：*系统设置* → *通用* → *设备管理* → *登录*（macOS 14 上：*隐私与安全* → *描述文件* → *登录*）。 2. 输入 Managed Apple Account，或用户在 Cerberus 中的工作电子邮件地址（例如*name@company.com*）。当用户的 Managed Apple Account 与输入的账户不同时，设备随后会要求使用该账户登录。 3. 随后会打开一个 Cerberus Enterprise 页面：点按*发送验证码*，然后输入通过电子邮件收到的 6 位验证码。验证码在 10 分钟后过期；输入 5 次错误验证码后，用户必须关闭页面并重新登录。 4. 使用 Managed Apple Account 的密码登录（或当 Apple Business 连接到 Google Workspace 或 Microsoft Entra ID 时，使用公司的登录页面），然后允许设备管理。

无法注册的账户（域未验证、未自动创建用户时没有匹配的用户、多个用户使用同一电子邮件地址）会看到“此账户未设置为可注册。请联系您的 IT 管理员。”这些事件会记录在仪表板的系统日志中。

## 注册后 - 设备页面显示用于注册的**Managed Apple Account**以及注册类型（用户注册或账户驱动设备注册）。在设备列表中，用户注册设备会显示“用户注册”。 - 在用户注册设备上，Apple 不允许的命令和政策设置（抹掉、定位、丢失模式、OS 更新、许多限制）不会提供也不会发送。政策中的 App Store 应用使用用户许可证而不是设备许可证（请参阅下文的**个人设备上的应用**）。 - 在用户注册设备上，Web Clip 会出现在主屏幕上，但不会列在*设置* → *通用* → *VPN 与设备管理*中。 - 这些设备的 MDM 证书不会自动续期，且**恢复服务**不可用：在 MDM 证书过期之前（注册后一年，请参阅设备页面），请让用户重新注册设备。 - 要退出管理，用户可在设置的同一位置退出工作账户，或者您从 Cerberus Enterprise 取消注册设备。使用用户注册时，仅移除工作应用、账户和数据；个人数据会保留。再次注册的设备会显示为新设备。

注册后，政策中的某些配置文件（证书、Wi-Fi 网络、Web Clip）可能会因未知错误而被报告为失败，设备可能会在一段时间内显示为 **不合规**。设备会自行重试，这些配置文件会在一段时间后安装，无需任何操作。请勿因此再次保存政策或重新注册设备。

## 个人设备上的应用 使用用户注册的 iPhone 和 iPad 没有序列号，因此 Apps and Books 无法为它们提供设备许可证。Cerberus Enterprise 改为为其政策中的 App Store 应用提供**用户许可证**：许可证会授予设备上登录的 Managed Apple Account。政策本身没有任何变化：同一政策同时服务于公司和个人设备，Cerberus 会为每台设备选择许可证类型。 - **自动**：在首次注册时，Cerberus 会在 Apps and Books 中注册 Managed Apple Account，然后向 Apple 请求政策中每个 App Store 应用的许可证。免费应用也需要许可证；Apple 会为其提供无限许可证。付费应用每个 Managed Apple Account 使用一个许可证，由该账户的所有个人设备共享。 - **同一组织**：Managed Apple Account 和 Cerberus Enterprise 的 Apps and Books 令牌必须属于同一 Apple Business 组织，并且这些应用必须位于该令牌位置的资料库中。 - **先获取许可证**：只有在 Apple 确认其许可证后，应用才会发送到设备，通常需要几分钟。在此之前，设备的**应用**面板会将其显示为**正在等待用户许可证**，并附上原因。 - **安装提示**：个人设备永远不会被监督，因此 iOS 会在安装每个应用前询问用户，包括 Cerberus 在这些设备上也会安装的 **Cerberus Enterprise** 应用（**安装** 或 **取消**）；无需登录 Apple 账户。如果用户取消，应用会显示 **正在等待用户批准安装**：使用设备页面上的 **重新请求** 再次显示提示。以 **必需** 安装的应用无法被用户删除。 - **注册前已安装的应用**：Apple 不允许组织接管用户在通过用户注册的设备上自行安装的应用。请让用户在注册前删除其自己的副本，或先删除它，然后在设备页面上使用**再次请求**：组织随后会安装受管副本。 - **退出管理**：当设备取消注册时，iOS 会移除受管应用及其数据。当同一 Managed Apple Account 没有其他已注册设备需要某个许可证时（例如应用离开政策或最后一台设备取消注册），该许可证会被释放；不再需要的许可证会在一天内通过每日检查释放。

当 Apple 无法分配许可证时（例如付费应用没有剩余许可证），应用会显示**用户许可证失败**以及 Apple 的消息。请在 Apple Business 中添加许可证，然后在设备页面上使用**再次请求**；Cerberus 也会在每日检查时自行重试。应用列表上方的行会显示 Managed Apple Account 及其 Apps and Books 用户的状态；用户页面也会显示相同的状态。

用户许可证仅用于 iPhone 和 iPad：在通过用户注册的 Mac 上，政策的 App Store 应用不会被安装。不支持图书和个人 Apple Account。

# 政策概览 仪表板的**政策**部分（*仪表板* → *政策*）会列出您账户中的所有政策，并允许您创建、复制、编辑和删除这些政策。 ## 政策列表 政策会显示在表格中。点击某一行会打开相应的政策编辑器。 ### 列 - **名称**：政策名称。 - **平台**：政策对应的平台（Android 或 Apple）。仅在同时配置了 Android Management 和 Apple 管理时显示。 - **设备**：当前分配给该政策的已注册设备数量。已取消注册的设备不计入。 - **描述**：政策描述。较长的描述会在两行后截断；将鼠标悬停其上可阅读完整文本。 - **最后修改**：管理员上次创建、保存或复制该政策的时间。自引入此列以来未保存过的政策显示为空。 - **ID**：内部政策标识符。 默认情况下，最近修改的政策会显示在最前面；自引入**最后修改**列以来从未保存过的政策则按名称排在后面。点击列标题可按该列排序。 ### 筛选和搜索 - 如果同时配置了 Android Management 和 Apple Management，您可以按**全部**、**Android**或**Apple**筛选列表。 - 您可以启用**搜索**，并按政策名称或描述进行搜索。 ### 刷新和分页 - 使用刷新操作重新加载列表。 - 表格已分页（每页 10/25/50 项）。 ## 创建新政策 在政策页面底部，您可以创建新政策。根据您账户中配置的平台，您可能会看到以下操作中的一项或两项： - **创建新的 Android 政策** - **创建新的 Apple 政策**

如果您的许可证已过期，政策创建（以及其他写入操作）将被禁用。

## 复制和删除政策 每个政策行都有一个操作菜单，其中包括**复制政策**和**删除政策**。 ### 删除政策警告 删除政策时，仪表板可能会根据政策的使用方式显示其他警告。 - 如果政策已分配给已注册设备，删除该政策将取消注册关联的设备，并抹除其 App 和数据。 - 如果政策已分配给注册令牌，这些令牌可能无法再完成注册。 - 如果政策被设为 Google Authentication 注册的默认政策（全局或针对某些用户），删除该政策可能会导致注册失败。 ### 删除多个政策 政策列表支持多行选择以进行批量删除。在多选模式下，您可以选择多个政策并通过一次操作删除它们。

仅当所有选中的政策属于同一平台（全部为 Android 或全部为 Apple）时，才启用批量删除。

## 下一步：编辑政策设置 政策列表是入口。要配置政策设置，请使用相应的编辑器文档：[**政策 → Android**](https://enterprise.cerberusapp.com/docs/books/8efb1/chapter/android-dH0 "Android policies")和[**政策 → Apple**](https://enterprise.cerberusapp.com/docs/books/8efb1/chapter/apple-eTr "Apple policies")。

由注册令牌引用的政策会在设备注册期间自动应用。

# 策略 - Android # 摘要 Android 政策是系统的核心实体：它们定义了在受管设备上应用和执行的规则。 您可以从仪表板的**政策**部分浏览政策并创建新政策。要打开 Android 政策，请点击表格中的政策行：系统会打开**政策编辑器**页面。 政策可以与[注册令牌](https://enterprise.cerberusapp.com/docs/books/8efb1/page/69cb3 "Enrollment tokens")关联，从而在配置过程中自动应用到设备。您还可以在配置后更改分配给设备的政策。

每台设备一次只能关联一个政策。

许多政策选项仅适用于特定设备类型（完全托管、专用、工作配置文件）和 Android 版本。不支持的设置可能会被设备忽略，或被报告为不合规。

## 政策编辑器布局 政策编辑器由一组可展开的部分组成。在页面顶部，您始终可以编辑： - **名称**（必填） - **ID**（只读） - **描述**（可选） 以下部分与政策编辑器面板相对应（例如：应用管理、安全、网络、系统、个人使用、跨配置文件政策等）。打开已保存的政策时，设置已更改的部分已经展开，其他部分则保持关闭。请使用本手册的章节页面详细了解每个面板。 ## 保存、删除和关联设备 使用**保存政策**应用更改。没有待处理的编辑或许可证已过期时，该按钮会被停用。 如果您打开的是现有政策（带有 ID），页面底部会显示**删除政策**操作和**关联设备**列表，以便您查看当前有多少台设备正在使用该政策。 # App 管理 在本部分中，您可以设置与 App 可用性、安装、更新和权限管理相关的政策。

配置设备时，系统会自动创建 Managed Google Play 账户。

#### 1. Play Store 模式 此模式控制用户在 Play Store 中可以使用哪些 App，以及从政策中移除 App 时设备上的行为。 **白名单（默认）**：只有政策中的 App 可用，任何不在政策中的 App 都将自动从设备中卸载。Play Store 只会显示可用的 App。 **黑名单**：所有 App 都可用，任何不应出现在设备上的 App 都应在应用程序政策中明确标记为**已阻止**。Play Store 将显示除已阻止的 App 之外的所有 App。 #### 2. 不受信任的 App 政策 在设备上强制执行的针对不受信任的 App（来自未知来源的 App）的政策。此选项控制 Android 系统设置，决定用户是否可以从 Play Store 之外安装 App（侧载）。 **禁止（默认）**：禁止在整个设备上安装不受信任的 App。 **仅个人资料**：对于具有工作资料的设备，仅允许在该设备的个人资料中安装不受信任的 App。 **允许**：允许在整个设备上安装不受信任的 App。 #### 3. Google Play Protect 是否强制执行 Google Play Protect App 验证。 **强制执行（默认）**：强制启用 App 验证。 **用户选择**：允许用户选择是否启用 App 验证。 #### 4. 默认权限政策 用于向 App 授予运行时权限请求的政策。 **提示（默认）**：提示用户授予权限。 **授予**：自动授予权限。 **拒绝**：自动拒绝权限。 #### 5. App 功能 控制完全受管理的设备上或工作资料中的 App 是否允许公开 App 功能。需要 Android 16 或更高版本。 **允许（默认）**：完全受管理的设备上或工作资料中的 App 可以公开 App 功能。 **不允许**：完全受管理的设备上或工作资料中的 App 无法公开 App 功能。 #### 6. 禁用 App 安装 是否禁用用户安装 App。 #### 7. 禁用 App 卸载 是否禁用用户卸载应用程序。 #### 8. 权限政策 为所有 App 明确授予或拒绝权限或权限组。这些值会覆盖**默认权限政策**设置。 使用**添加权限政策**创建条目，并使用删除操作将其移除。 每个条目包括： **Android 权限/组**：Android 权限或组（必填），例如**android.permission.READ\_CALENDAR**或**android.permission\_group.CALENDAR**。 **政策**：授予/拒绝/提示（使用与**默认权限政策**相同的政策选项）。 #### 9. 应用程序 必须包含在政策中的应用程序列表。列表内容的行为取决于**Play Store 模式**设置的值。 如果**Play Store 模式**设为**白名单**，则只有政策中的 App 可用，任何不在政策中的 App 都将自动从设备中卸载。 如果**Play Store 模式**设为**黑名单**，则所有 App 都可用，任何不应出现在设备上的 App 都应在应用程序政策中明确标记为**已阻止**。 要添加新 App，请点击**添加应用程序**按钮（或**添加应用程序**图标），选择**从受管理的 Google Play 添加**，然后从 Play Store 中选择该 App，并点击 App 卡片中的**选择**按钮。 要添加未在 Google Play 上发布但已存在于设备上的 App（例如系统或制造商 App），请点击**添加应用程序**，选择**按包名（预装 App）**，输入 App 的包名（例如**com.example.app**），然后点击**添加**。该 App 会以**强制安装**安装类型添加。要在 Kiosk 自定义启动器中显示该 App，其**安装类型**必须为**预安装**或**强制安装**：如果为**可用**，则不会显示该 App。

在受管理的 Google Play 上不可用的 App 会在应用程序列表中标记为 Android 图标。它们无法从 Google Play 安装，因此必须已存在于设备上：没有该 App 的设备无法安装它。

默认情况下，在您所在国家/地区的 Play Store 上发布的所有 App 均可供选择。要选择您自己的私有 App 或 Web App，您必须先将其上传到系统。有关详细信息，请阅读[**私有 App**](https://enterprise.cerberusapp.com/docs/books/8efb1/page/b3967 "Private apps")页面。

每个 App 都可以配置自己的设置，这些设置以卡片形式显示： ##### 9.1. 安装类型 要为 App 执行的安装类型。 **可用**：该 App 可供安装。 **预安装**：该 App 会自动安装，用户可将其移除。 **强制安装**：该 App 会自动安装，用户无法将其移除。 **已阻止**：该 App 已被阻止，无法安装。如果该 App 是在之前的政策下安装的，它将被卸载。 **安装所必需**：该 App 会自动安装，用户无法将其移除，并且在安装完成之前，设备设置将无法完成。 **Kiosk**：该 App 会以 Kiosk 模式自动安装：它会被设为首选的主屏幕 Intent，并加入锁定任务模式的白名单。在 App 安装完成之前，设备设置不会完成。安装后，用户将无法移除该 App。每个政策只能为一个 App 设置此**安装类型**。当政策中存在此设置时，状态栏将被自动禁用。有关详细信息，请阅读专门的[**Kiosk 模式**](https://enterprise.cerberusapp.com/docs/books/8efb1/page/kiosk "Kiosk mode")页面。 ##### 9.2. 安装约束 定义 App 安装的一组限制。选择多个约束时，必须满足所有约束才能安装该 App。

仅当**安装类型**为**预安装**或**强制安装**时，才会显示此选项。

**不受流量限制的网络**：仅当设备连接到不受流量限制的网络（例如 Wi‑Fi）时才安装该 App。 **充电中**：仅当设备正在充电时才安装该 App。 **空闲**：仅当设备空闲时才安装该 App。 ##### 9.3. 自动更新模式 控制该 App 的自动更新模式。 **默认**：系统会以低优先级自动更新该 App，以尽量减少对用户的影响。当满足以下所有条件时会更新该 App：(1) 设备未在使用中，(2) 设备连接到不受流量限制的网络，(3) 设备正在充电。开发者发布新更新后，设备会在 24 小时内收到通知，之后会在下次满足上述条件时更新该 App。 **推迟**：在 App 过期后最多 90 天内不会自动更新。App 过期 90 天后，系统会以低优先级自动安装最新可用版本（请参阅**默认**自动更新模式）。App 更新后，在再次过期 90 天之前不会再次自动更新。用户仍可随时从 Play Store 手动更新该 App。 **高优先级**：该 App 会尽快更新。不应用任何约束。新更新可用后，设备会立即收到通知。 ##### 9.4. 最低版本代码 应用在设备上运行的最低版本。如果设置了该值，设备会尝试将应用更新到至少此版本代码。如果应用不是最新版本，设备将包含 **不合规详细信息**，其中 **不合规原因** 设置为 **APP\_NOT\_UPDATED**。该应用必须已发布到 Google Play，且版本代码大于或等于此值。每个政策最多可有 20 个应用指定最低版本代码。 ##### 9.5. 委托范围 从 Android Device Policy 委托给该 App 的范围。您可以向其他 App 授予一组特殊的 Android 权限： **证书安装**：授予证书安装和管理的访问权限。 **受管理配置**：授予受管理配置管理的访问权限。 **阻止卸载**：授予阻止卸载的访问权限。 **权限**：授予权限政策和权限授予状态的访问权限。 **包访问权限**：授予包访问状态的访问权限。 **系统 App**：授予启用系统 App 的访问权限。 ##### 9.6. 优先网络 要用于此 App 的优先网络服务。如果设置，该 App 将在可用时使用指定的企业网络切片进行连接。这必须与**5G 网络切片配置**部分（位于**蜂窝网络**面板中）中配置的网络切片相匹配。 9.7. 默认权限政策 该 App 请求的所有权限的默认政策。如果指定，这会覆盖适用于所有 App 的政策级**默认权限政策**。它不会覆盖适用于所有 App 的**权限政策**。 **提示（默认）**：提示用户授予权限。 **授予**：自动授予权限。 **拒绝**：自动拒绝权限。 ##### 9.8. 连接的工作和个人 App 控制该 App 是否可以在设备的工作资料和个人资料之间与自身通信，但需征得用户同意（Android 11 及更高版本）。 **不允许（默认）**：阻止该 App 跨资料通信。 **允许**：在获得用户同意后，允许该 App 跨资料通信。 ##### 9.9. 始终开启的 VPN 锁定豁免 指定当 VPN 未连接且**锁定已启用**处于活动状态时，是否允许该 App 联网。仅在运行 Android 10 及更高版本的设备上受支持。 **强制执行（默认）**：该 App 遵循始终开启的 VPN 锁定设置。 **豁免**：该 App 不受始终开启的 VPN 锁定设置约束。 ##### 9.10. 工作资料小组件 指定是否允许安装在工作资料中的 App 向主屏幕添加小组件。 **允许**：该应用程序可以向主屏幕添加小组件。 **不允许**：该应用程序无法向主屏幕添加小组件。 ##### 9.11. 用户控制设置 指定是否允许对指定 App 进行用户控制。用户控制包括强制停止和清除 App 数据等用户操作（Android 11 及更高版本）。如果为某个 App 启用了**extensionConfig**，则无论此设置如何，都不允许用户控制。对于 Kiosk App，您可以使用**允许**来允许用户控制。 **未指定**：使用该 App 的默认行为来决定是允许还是禁止用户控制。 **允许**：允许对该 App 进行用户控制。 **不允许**：禁止对该 App 进行用户控制。 ##### 9.12. 已禁用 该 App 是否已禁用。禁用后，App 数据仍会保留。 ##### 9.13. 允许凭据提供程序 是否允许该 App 在 Android 14 及更高版本上充当凭据提供程序。 ##### 9.14. 受管理的配置 要配置该 App 的受管理设置，请点击**启用受管理的配置**按钮。如果已为该 App 设置受管理的配置，您可以使用**受管理的配置**按钮修改配置，或使用**移除配置**按钮将其删除。

**受管理的配置**选项仅适用于支持此功能的 App。

##### 9.15. 权限政策 该 App 的明确权限授予或拒绝。这些值会覆盖适用于所有 App 的**默认权限政策**和**权限政策**。 使用**添加权限政策**为 App 卡片添加一条或多条权限规则，并使用删除操作将其移除。 ##### 9.16. 轨道 ID 设备可以访问的 App 封闭测试轨道 ID 列表。如果选择了多个轨道 ID，设备将收到所有可访问轨道中的最新版本。如果未选择任何轨道 ID，设备只能访问该 App 的生产轨道。

**轨道 ID**选项仅适用于至少有一个轨道 ID 可供您的组织使用的 App。有关如何为特定 App 将您的组织添加到封闭测试轨道的更多详细信息，请阅读[此处](https://developers.google.com/android/management/apps#distribute_apps_for_closed_testing)。

#### 10. 默认应用程序设置 为受支持的类型设置默认 App。当至少为一种类型设置了默认 App 后，用户将无法在该资料中更改默认 App。

每个**默认应用程序类型**只允许一个默认应用程序设置。默认应用程序列表不得包含重复项。

##### 10.1. 默认应用程序类型 选择要配置的 App 类别（例如浏览器、拨号器、短信、钱包或数字助理）。可用性取决于 Android 版本和管理模式。 ##### 10.2. 默认应用程序范围 选择默认 App 的适用范围（完全受管理、工作资料或个人资料）。只能选择所选类型支持的范围。

如果所选范围均不适用于设备的管理模式，设备会报告一条不合规详细信息。

##### 10.3. 默认应用程序 可设置为所选类型默认值的 App 列表。第一个已安装且符合条件的 App 将设为默认值。

如果范围包括**完全受管理**或**工作资料**，则每个 App 还必须存在于**应用程序**列表中，且其**安装类型**未设置为**已阻止**。

#### 11. 私钥选择 允许在设备上显示界面，以便在没有匹配**选择私钥规则**的规则时让用户选择私钥别名。

对于低于 Android P 的设备，设置此选项可能会使企业密钥面临风险。

#### 12. 选择私钥规则 控制 App 对私钥的访问权限。该规则决定 Android Device Policy 向指定 App 授予哪个私钥（如果有）。当 App 调用 KeyChain.choosePrivateKeyAlias（或任何重载）为给定 URL 请求私钥别名时，会授予访问权限；对于不特定于 URL 的规则（即未设置 urlPattern，或将其设置为空字符串或 .\*），在 Android 11 及更高版本上，会直接授予访问权限，以便 App 可以调用 KeyChain.getPrivateKey，而无需先调用 KeyChain.choosePrivateKeyAlias。当 App 调用 KeyChain.choosePrivateKeyAlias 且有多条 choosePrivateKeyRules 匹配时，最后匹配的规则决定要返回的密钥别名。 使用**添加私钥规则**创建条目，并使用删除操作将其移除。 ##### 12.1. 私钥别名 要使用的私钥别名。 ##### 12.2. URL 模式 用于与请求 URL 匹配的 URL 模式。如果未设置或为空，则匹配所有 URL。这使用 java.util.regex.Pattern 的正则表达式语法。 ##### 12.3. 包名 此规则适用的包名。每个 App 的签名证书哈希都会与 Play 提供的哈希进行验证。如果未指定包名，则会向所有调用 KeyChain.choosePrivateKeyAlias 或任何重载的 App 提供该别名（但即使是在 Android 11 及更高版本上，也必须调用 KeyChain.choosePrivateKeyAlias）。任何与此处指定的包具有相同 Android UID 的 App，在调用 KeyChain.choosePrivateKeyAlias 时将获得访问权限。 使用**添加包名**添加条目，并使用删除操作将其移除。

要删除 App，请点击 App 卡片底部的**回收站**图标。

# Kiosk 模式 使用 Kiosk 模式，你可以将设备的功能限制为单个应用或多个应用。选择单应用还是多应用 Kiosk 模式取决于你的业务目标。 在**单应用 Kiosk 模式**下，设备配置为仅使用单个应用，并且不允许最终用户访问设备上的其他应用。他们也无法退出该应用，从而使其成为该特定应用的专用设备。要启用此模式，请在[**应用管理**](https://enterprise.cerberusapp.com/docs/books/8efb1/page/app "App management")部分中指定一个应用，并将**安装类型**设置为**Kiosk**。 在**多应用 Kiosk 模式**下，设备可以访问多个应用。最终用户可以通过自定义启动器在多个应用之间导航。要启用此模式，请开启**Kiosk 自定义启动器**选项。 启用 Kiosk 模式后，你还可以配置最终用户是否可以访问某些系统功能，例如系统设置和状态栏。 ##### Kiosk 自定义启动器 是否启用 Kiosk 自定义启动器。这会将主屏幕替换为启动器，将设备锁定为通过[**应用管理**](https://enterprise.cerberusapp.com/docs/books/8efb1/page/app "App management")设置安装的应用。应用按字母顺序显示在单个页面上。 ##### 电源按钮操作 设置 Kiosk 模式下的设备在用户按住（长按）电源按钮时的行为。 **可用（默认）**：当用户长按 Kiosk 模式下设备的电源按钮时，会显示电源菜单（例如关机、重启）。 **已阻止**：当用户长按 Kiosk 模式下设备的电源按钮时，不会显示电源菜单（例如关机、重启）。注意：这可能会阻止用户关闭设备。 ##### 系统错误警告 指定在 Kiosk 模式下是否阻止崩溃或无响应应用的系统错误对话框。阻止后，系统将强制停止该应用，就像用户在界面上选择“关闭应用”选项一样。 **已阻止（默认）**：所有系统错误对话框，例如崩溃和应用无响应（ANR）都会被阻止。阻止后，系统会强制停止该应用，就像用户从界面关闭应用一样。 **已启用**：会显示所有系统错误对话框，例如崩溃和应用无响应（ANR）。 ##### 系统导航 指定 Kiosk 模式下启用哪些导航功能（例如主屏幕、概览按钮）。 **已禁用（默认）**：无法访问主屏幕和概览按钮。 **仅主屏幕**：仅启用主屏幕按钮。 **已启用**：启用主屏幕和概览按钮。 ##### 状态栏 指定在 Kiosk 模式下是否禁用系统信息和通知。 **已禁用（默认）**：在 Kiosk 模式下禁用系统信息和通知。 **仅系统**：状态栏上仅显示系统信息。 **已启用**：在 Kiosk 模式下，状态栏上会显示系统信息和通知。注意：要使此政策生效，必须使用 kioskCustomization.systemNavigation 启用设备的主屏幕按钮。 ##### 设备设置 指定在 Kiosk 模式下是否允许使用设置应用。 **允许（默认）**：在 Kiosk 模式下允许访问设置应用。 **已阻止**：在 Kiosk 模式下不允许访问设置应用。 # 安全 在本节中，您可以配置与安全相关的政策。 #### 安全风险操作 选择当设备在状态报告中报告 SecurityRisk 时要执行的操作。 支持的 SecurityRisk 类型： **未知操作系统**：Play Integrity API 检测到设备运行未知操作系统（basicIntegrity 检查成功，但 ctsProfileMatch 失败）。 **已入侵的操作系统**：Play Integrity API 检测到设备运行已入侵的操作系统（basicIntegrity 检查失败）。 **硬件支持的评估失败**：如果设备完整性字段中未显示 MEETS\_STRONG\_INTEGRITY 标签，Play Integrity API 会检测到设备不具备强大的系统完整性保证。 可用操作： **清除企业数据（默认）**：取消注册并清除工作数据（完全托管时清除整个设备，配置文件所属时仅清除工作配置文件）。 **不执行操作**：保持设备注册状态，不自动执行任何操作。 当您选择**清除企业数据**时，还可以配置清除选项： **保留恢复出厂设置保护**：清除设备时保留恢复出厂设置保护 (FRP) 数据。 **清除外部存储**：执行清除时，同时清除设备的外部存储（如 SD 卡）。 **清除 eSIM**：对于企业所有设备，清除设备时会移除设备上的所有 eSIM。在个人所有设备上，这会移除设备上受管理的 eSIM（通过 ADD\_ESIM 命令添加的 eSIM），不会移除任何个人所有的 eSIM。 #### 1. 最长锁定时间 设备锁定前允许用户活动的最长时间（秒）。值为 0 表示无限制。 #### 2. 充电时保持开启 设备保持开启的电池接入模式。使用此设置时，建议清除**最长锁定时间**，以免设备在保持开启时自行锁定。 **交流充电器**：电源为交流充电器。 **USB 端口**：电源为 USB 端口。 **无线充电器**：电源为无线。 #### 3. 锁屏已停用 如果为 true，则会为主显示器和/或辅助显示器停用锁定屏幕。此政策仅在专用设备管理模式中受支持。 #### 4. 密码要求 密码要求政策。 使用**配置密码要求**添加一个或多个密码要求块。使用**全部清除**移除所有已配置的密码要求。 密码要求可以使用**自动**范围（单一要求），或分别使用**设备**/**工作配置文件**范围。基于复杂度的要求必须与同一范围的基于质量的要求配合使用。 ##### 4.1. 范围 密码要求适用的范围。 **自动**：未指定范围。对于工作配置文件设备，密码要求应用于工作配置文件；对于完全托管或专用设备，应用于整个设备。 **设备**：密码要求仅应用于设备。 **工作配置文件**：密码要求仅应用于工作配置文件。 ##### 4.2. 密码历史长度 密码历史的长度。设置此字段后，用户将无法输入与历史记录中任何密码相同的新密码。值为 0 表示无限制。 ##### 4.3. 清除前最多失败密码次数 设备被清除前可输入的错误设备解锁密码次数。值为 0 表示无限制。 ##### 4.4. 密码过期超时（天） 此设置强制用户在指定天数后定期更新密码。 ##### 4.5. 要求密码解锁 设备或工作配置文件使用强身份验证形式（密码、PIN、图案）解锁后，仍可使用任何其他身份验证方法（例如指纹、信任代理、人脸）解锁的时长。指定时间段过后，只能使用强身份验证形式解锁设备或工作配置文件。 **设备默认值**：超时时间设置为设备默认值。 **每天**：超时时间设置为 24 小时。 ##### 4.6. 密码质量 所需的密码质量。 **高复杂度**：将高密码复杂度等级定义为：在 Android 12 及更高版本上：PIN 不含重复 (4444) 或有序 (1234、4321、2468) 序列，长度至少为 8；字母密码长度至少为 6；字母数字密码长度至少为 6。 **中复杂度**：将中密码复杂度等级定义为：PIN 不含重复 (4444) 或有序 (1234、4321、2468) 序列，长度至少为 4；字母密码长度至少为 4；字母数字密码长度至少为 4。 **低复杂度**：将低密码复杂度等级定义为：图案；PIN 包含重复 (4444) 或有序 (1234、4321、2468) 序列。 **无**：没有密码要求。 **弱**：设备至少必须使用低安全性生物识别技术进行保护。这包括能够识别个人身份且大致相当于 3 位 PIN 的技术（误检率低于 1/1,000）。 **任意**：需要密码，但对密码必须包含的内容没有限制。 **数字**：密码必须包含数字字符。 **复杂数字**：密码必须包含数字字符，且不含重复 (4444) 或有序 (1234、4321、2468) 序列。 **字母**：密码必须包含字母（或符号）字符。 **字母数字**：密码必须同时包含数字和字母（或符号）字符。 **复杂**：密码必须满足 passwordMinimumLength、passwordMinimumLetters、passwordMinimumSymbols 等中指定的最低要求。例如，如果 passwordMinimumSymbols 为 2，则密码必须至少包含两个符号。 ##### 4.7. 最小长度 允许的最小密码长度。值为 0 表示无限制。 ##### 4.8. 最少字母数 密码中所需的最少字母数。 ##### 4.9. 最少小写字母数 密码中所需的最少小写字母数。 ##### 4.10. 最少大写字母数 密码中所需的最少大写字母数。 ##### 4.11. 最少非字母字符数 密码中所需的最少非字母字符数（数字或符号）。 ##### 4.12. 最少数字位数 密码中所需的最少数字位数。 ##### 4.13. 最少符号数 密码中所需的最少符号数。 ##### 4.14. 统一锁 控制运行 Android 9 及更高版本且带工作配置文件的设备是否允许为设备和工作配置文件使用统一锁。对其他设备无效。 **允许统一锁**：允许为设备和工作配置文件使用共同的锁。 **要求单独的工作锁**：工作配置文件需要单独的锁。 #### 5. 恢复出厂设置已停用 是否停用从设置中恢复出厂设置。仅适用于完全托管设备。 #### 6. 恢复出厂设置保护 用于恢复出厂设置保护的设备管理员电子邮件地址。当设备遭遇未经授权的恢复出厂设置时，需要其中一名管理员使用 Google 账户电子邮件和密码登录才能解锁设备。如果未指定管理员，设备将不提供恢复出厂设置保护。仅适用于完全托管设备。 **管理员电子邮件**：使用**启用恢复出厂设置保护**开始配置管理员。然后使用**添加管理员电子邮件**添加地址，并使用删除操作将其移除。 #### 7. 锁屏功能 可以停用的锁屏（锁定屏幕）功能。 ##### 7.1. 全部停用 停用所有当前和将来的锁屏自定义项。 ##### 7.2. 停用相机 在安全锁屏屏幕（例如 PIN）上停用相机。 ##### 7.3. 停用通知 在安全锁屏屏幕上停用显示所有通知。 ##### 7.4. 停用未隐藏内容的通知 在安全锁屏屏幕上停用未隐藏内容的通知。 ##### 7.5. 忽略信任代理状态 在安全锁屏屏幕上忽略信任代理状态。 ##### 7.6. 停用指纹 在安全锁屏屏幕上停用指纹传感器。 ##### 7.7. 停用向通知输入文本 在安全锁屏屏幕上停用向通知输入文本。 ##### 7.8. 停用人脸身份验证 在安全锁屏屏幕上停用人脸身份验证。 ##### 7.9. 停用虹膜身份验证 在安全锁屏屏幕上停用虹膜身份验证。 ##### 7.10. 停用所有生物识别身份验证 在安全锁屏屏幕上停用所有生物识别身份验证。 ##### 7.11. 停用所有快捷方式 在 Android 14 及更高版本上，在安全锁屏屏幕上停用所有快捷方式。 # 多媒体 在本部分中，你可以配置摄像头/麦克风行为、USB 数据访问、打印以及显示相关限制。 #### 1. 摄像头访问 控制摄像头的使用以及用户是否可以访问摄像头访问开关（Android 12+）。通常，禁用摄像头在完全受管设备上适用于整个设备，而在工作配置文件设备上仅适用于工作配置文件内部。 **用户选择（默认）**：默认设备行为。摄像头可用，并且（Android 12+）用户可以切换摄像头访问权限。 **已禁用**：所有摄像头均已禁用（完全受管：整个设备；工作配置文件：仅限工作配置文件应用）。摄像头访问开关在受管范围内不起作用。 **强制执行**：摄像头可用。在运行 Android 12+ 的完全受管设备上，用户无法切换摄像头访问权限。在其他设备/版本上，其行为与用户选择相同。 #### 2. 麦克风访问 在完全受管设备上，控制麦克风的使用以及用户是否可以访问麦克风访问开关（Android 12+）。此设置对非完全受管设备不起作用。 **用户选择（默认）**：默认行为。麦克风可用，并且（Android 12+）用户可以切换麦克风访问权限。 **已禁用**：麦克风已禁用（整个设备）。麦克风访问开关不起作用。 **强制执行**：麦克风可用。在 Android 12+ 上，用户无法切换麦克风访问权限。在 Android 11 或更低版本上，其行为与用户选择相同。 #### 3. USB 数据访问 控制可以通过 USB 传输哪些文件和/或数据。仅在公司所有设备上受支持。 **禁止文件传输（默认）**：禁止文件传输，但允许其他 USB 数据连接（例如鼠标/键盘）。 **禁止数据传输**：禁止所有类型的 USB 数据传输（Android 12+ 且 USB HAL 1.3+）。如果不支持，设备将回退到“禁止文件传输”。 **允许数据传输**：允许所有类型的 USB 数据传输。 #### 4. 打印 控制是否允许打印（Android 9+）。 **允许（默认）**：允许打印。 **不允许**：不允许打印（Android 9+）。 #### 5. 屏幕亮度设置 控制屏幕亮度模式以及（可选）亮度值。 屏幕亮度模式： **用户选择（默认）**：允许用户配置屏幕亮度。 **自动**：亮度自动调节，用户无法更改。你仍然可以设置亮度值，该值会用于自动调节的一部分（完全受管 Android 9+；公司所有 Android 15+ 上的工作配置文件）。 **固定**：亮度设置为配置的值，用户无法更改。亮度值为必填项（完全受管 Android 9+；公司所有 Android 15+ 上的工作配置文件）。 屏幕亮度： 值范围为 1 到 255（1 = 最低，255 = 最高）。值为 0 表示未设置亮度值。 #### 6. 屏幕超时设置 控制用户是否可以配置屏幕超时，以及在强制执行时的超时值。 **屏幕超时模式**字段用于在用户控制和强制执行行为之间进行选择。 **用户选择（默认）**：允许用户配置屏幕超时。 **强制执行**：屏幕超时设置为配置的值，用户无法更改（完全受管 Android 9+；公司所有 Android 15+ 上的工作配置文件）。 屏幕超时： 超时持续时间（秒）。值必须大于 0。如果大于**最长锁定时间**，系统可能会将其限制，并报告不合规。 #### 7. 屏幕截图已禁用 是否禁用屏幕捕获。 #### 8. 调节音量已禁用 是否禁用调节主音量。 #### 9. 装载物理介质已禁用 是否禁用装载物理外部介质。 # 蜂窝网络 在本部分中，您可以配置与蜂窝网络相关的政策。 #### 1. 飞行模式 控制用户是否可以切换飞行模式。 **用户选择（默认）**：允许用户打开或关闭飞行模式。 **已禁用**：飞行模式已禁用。不允许用户打开飞行模式。在 Android 9 及更高版本上受支持。 #### 2. 蜂窝网络 2G 控制用户是否可以切换蜂窝网络 2G 设置。 **用户选择（默认）**：允许用户打开或关闭蜂窝网络 2G。 **已禁用**：蜂窝网络 2G 已禁用。不允许用户通过设置打开蜂窝网络 2G。在 Android 14 及更高版本上受支持。 #### 3. 覆盖 APN 控制覆盖 APN 是启用还是禁用。启用后，将仅使用配置的覆盖 APN，设备上的所有其他 APN 都将被忽略。 **已禁用（默认）**：所有已配置的 APN 设置都会保存在设备上，但处于禁用状态且不生效。设备上的其他所有 APN 仍会继续使用。 **已启用**：仅使用覆盖 APN，其他所有 APN 均被忽略。此设置只能在运行 Android 10 及以上版本的完全受管设备上配置。 #### 4. APN 设置 配置一个或多个 APN 条目。使用**添加 APN**创建条目，使用**移除 APN**将其删除。 每个 APN 都有必填字段： **APN 类型**：为此 APN 选择一种或多种流量类型（可用性取决于管理模式和 Android 版本）。 **APN 名称**：运营商提供的 APN 标识符。 **显示名称**：在界面中显示的友好名称。 可选 APN 字段： **认证类型**、**用户名**、**密码**：配置运营商认证（如需要）。 **协议**和**漫游协议**：IP 协议配置。 **网络类型**：限制此 APN 可使用的蜂窝技术（例如 LTE/5G NR）。 **代理地址**和**代理端口**：用于数据流量的 HTTP 代理（如适用）。 **MMS 代理地址**、**MMS 代理端口**、**MMSC（MMS 中心 URI）**：MMS 相关设置。 **数字运营商 ID（MCC+MNC）**和**运营商 ID**：运营商标识字段。 **始终开启设置**：此 APN 激活的 PDU 会话是否应始终开启。支持 Android 15 及以上版本。 **MVNO 类型**：移动虚拟网络运营商标识符类型。 **MTU IPv4**和**MTU IPv6**：IPv4/IPv6 路由的最大传输单元。支持 Android 13 及以上版本。 #### 5. 小区广播配置已禁用 是否禁用小区广播配置。 #### 6. 移动网络配置已禁用 是否禁用移动网络配置。 #### 7. 漫游数据已禁用 是否禁用漫游数据服务。 #### 8. 拨出电话已禁用 是否禁用拨出电话。 #### 9. SMS 已禁用 是否禁用发送和接收 SMS 消息。 #### 10. 5G 网络切片配置 配置优先网络服务设置以启用企业 5G 网络切片。最多可设置 5 个企业切片，并将应用分配到特定网络以优化流量路由。 ##### 10.1. 默认优先网络 用于不在应用列表中的应用，或应用的**优先网络**未设置时的默认优先网络 ID。必须为指定的网络 ID 提供配置（除非设置为**无优先网络**）。 注意：**com.google.android.apps.work.clouddpc**和**com.google.android.gms**等关键应用不包含在此默认设置中。 ##### 10.2. 网络服务配置 使用**添加网络配置**创建切片配置。最多可添加 5 个配置。每个配置包含： **优先网络 ID（自动分配）**：网络 ID 会自动分配，无法更改。 **回退到默认连接**：是否允许回退到设备范围的默认网络。如果不允许，当 5G 切片不可用时，应用将无法访问互联网。 **非匹配网络**：受此配置约束的应用是否可以使用优先服务以外的网络。如果设置为**不允许**，**回退到默认连接**也必须设置为**不允许**。需要 Android 14 及以上版本。 # 网络 在本部分中，你可以配置与网络相关的政策。

Wi‑Fi 配置可以由系统通过**WiFi 配置**预置和管理。根据**配置 Wi‑Fi**上设置的值，用户对添加/修改网络可能拥有有限的控制权或没有控制权。

## 设备无线状态 #### 1. Wi‑Fi 状态 控制 Wi‑Fi 的当前状态以及用户是否可以更改其状态。 **用户选择（默认）**：允许用户启用/禁用 Wi‑Fi。 **已启用**：Wi‑Fi 处于开启状态，不允许用户将其关闭（Android 13+）。 **已禁用**：Wi‑Fi 处于关闭状态，不允许用户将其开启（Android 13+）。 #### 2. 最低 Wi‑Fi 安全级别 设备可连接的 Wi‑Fi 网络的最低要求安全级别。在 Android 13 及以上版本上，支持完全受管设备以及公司所有设备上的工作配置文件。 **开放网络（默认）**：设备可以连接所有类型的 Wi‑Fi 网络。 **个人网络**：不允许开放 Wi‑Fi 网络；要求至少达到个人安全级别（例如 WPA2‑PSK）。 **企业网络**：要求企业 EAP 网络；不允许低于此安全级别的 Wi‑Fi 网络。 **192 位企业网络**：要求 192 位企业网络；这是最严格的选项。 #### 3. 超宽带 (UWB) 状态 控制超宽带设置的状态以及用户是否可以将其开启或关闭。 **用户选择（默认）**：允许用户开启或关闭 UWB。 **已禁用**：UWB 已禁用，不允许用户通过设置将其开启（Android 14+）。 ## 设备连接管理 #### 4. 蓝牙共享 控制是否允许蓝牙共享。 **允许**：允许蓝牙共享（完全受管设备上的默认值，Android 8+）。 **不允许**：不允许蓝牙共享（工作配置文件上的默认值，Android 8+）。 #### 5. 配置 Wi‑Fi 控制 Wi‑Fi 配置权限。根据所选选项，用户在配置 Wi‑Fi 网络时拥有完全、有限或无控制权。 **允许配置 Wi‑Fi（默认）**：允许用户配置 Wi‑Fi。 **不允许添加 Wi‑Fi 配置**：不允许添加新的 Wi‑Fi 配置。用户可以在已配置的网络之间切换（Android 13+；完全受管和公司所有的工作配置文件）。 **不允许配置 Wi‑Fi**：不允许配置 Wi‑Fi 网络。对于完全受管设备，这会移除用户配置的网络，仅保留通过**WiFi 配置**配置的网络。对于公司所有的工作配置文件，现有网络不受影响，但用户无法添加/移除/修改 Wi‑Fi 网络。

当禁用配置 Wi‑Fi 且设备在启动时无法连接时，系统可以显示**网络逃生通道**，让用户临时连接并刷新政策。

#### 6. Wi‑Fi 直连设置 控制 Wi‑Fi 直连设置的配置和使用。在运行 Android 13 及以上版本的公司所有设备上受支持。 **允许（默认）**：允许用户使用 Wi‑Fi 直连。 **不允许**：不允许用户使用 Wi‑Fi 直连。 #### 7. 网络共享设置 控制网络共享设置。根据设置的值，用户会被部分或完全禁止使用不同形式的网络共享。 **允许所有网络共享（默认）**：允许配置和使用所有形式的网络共享。 **不允许 Wi‑Fi 网络共享**：不允许用户使用 Wi‑Fi 网络共享（公司所有 Android 13+）。 **不允许所有网络共享**：不允许所有形式的网络共享（完全受管 + 公司所有的工作配置文件）。 #### 8. Wi‑Fi SSID 政策 限制设备可以连接到哪些 Wi‑Fi SSID（这不会影响可以在设备上配置哪些网络）。在运行 Android 13 及以上版本的公司所有设备上受支持。 **SSID 拒绝列表（默认）**：设备无法连接到任何 SSID 已列出的 Wi‑Fi 网络，但可以连接到其他网络。 **SSID 允许列表**：设备只能连接到已列出的 SSID。SSID 列表不能为空。 使用**添加 SSID**添加条目。根据所选政策类型，该列表会被解释为允许或拒绝的 SSID。 在政策编辑器界面中，对于允许列表，SSID 列表标记为**允许的 Wi‑Fi SSID**；对于拒绝列表，标记为**拒绝的 Wi‑Fi SSID**。 #### 9. Wi‑Fi 漫游设置 按 SSID 配置 Wi‑Fi 漫游模式。使用**添加 Wi‑Fi 漫游设置**创建条目。 每个条目包括： **SSID**：漫游设置适用的 SSID（必填）。 **Wi‑Fi 漫游模式**：默认 / 已禁用 / 积极。已禁用和积极需要 Android 15+，并且仅在完全受管设备和公司所有设备上的工作配置文件中受支持。 ## 网络限制 #### 10. 蓝牙已禁用 是否禁用蓝牙。优先使用此设置而不是“蓝牙配置已禁用”，因为用户可以绕过“蓝牙配置已禁用”。 #### 11. 蓝牙联系人共享已禁用 是否禁用蓝牙联系人共享。 #### 12. 蓝牙配置已禁用 是否禁用蓝牙配置。 #### 13. 网络重置已禁用 是否禁用重置网络设置。 #### 14. 传出 Beam 已禁用 是否禁用使用 NFC 从应用传输数据。 ## VPN #### 15. 始终开启的 VPN 应用 指定始终开启的 VPN 包名，以确保指定受管应用的数据始终通过已配置的 VPN。

注意：此功能需要部署同时支持始终开启和按应用 VPN 功能的 VPN 客户端。

#### 16. VPN 锁定 当 VPN 未连接时不允许联网。 #### 17. VPN 配置已禁用 是否禁用 VPN 配置。 ## 代理和网络服务 #### 18. 优先网络服务 控制是否在工作配置文件上启用优先网络服务。例如，组织可能与运营商达成协议，通过专供企业使用的运营商网络服务发送工作数据（例如 5G 网络上的企业切片）。这对完全受管设备没有影响。 **已禁用**：工作配置文件上的优先网络服务已禁用。 **已启用**：工作配置文件上的优先网络服务已启用。

如果你使用企业网络切片，还请在**蜂窝网络**政策面板下配置**5G 网络切片配置**，并使用应用的**优先网络**设置将其分配到切片。

#### 19. 推荐的全局代理 与网络无关的全局 HTTP 代理。通常，应在 WiFi 配置中按网络配置代理。全局代理可能对常规内部过滤等特殊配置有用。全局代理仅是建议，某些应用可能会忽略它。 **已禁用** **直接代理** **代理自动配置 (PAC)** ##### 19.1. 主机 直接代理的主机。 ##### 19.2. 端口 直接代理的端口。 ##### 19.3. PAC URI 用于配置代理的 PAC 脚本 URI。 ##### 19.4. 排除的主机 对于直接代理，指绕过代理的主机。主机名可以包含通配符，例如 **\*.example.com**。 使用**添加排除的主机**添加条目（仅适用于直接代理）。 ## Wi-Fi 配置 定义系统将在设备上应用的 Wi‑Fi 网络配置。使用**添加 Wi‑Fi 配置**创建条目，并使用删除操作将其移除。 #### 20. Wi‑Fi 配置字段 每个配置包括： **配置名称**：必填。 **SSID**：必填。 **自动连接**：是否应在网络处于范围内时自动连接。 **快速转换**：客户端是否应尝试使用快速转换 (IEEE 802.11r-2008) 连接网络。 **隐藏 SSID**：SSID 是否会被广播。 **MAC 随机化模式**：硬件或自动 (Android 13+)。 ##### 20.1. 安全 Wi‑Fi 安全选项： **WEP‑PSK**：WEP（预共享密钥）。 **WPA‑PSK**：WPA/WPA2/WPA3-Personal（预共享密钥）。 **WPA‑EAP**：WPA/WPA2/WPA3-Enterprise（可扩展身份验证协议）。 **WPA3 192 位模式**：仅允许 WPA3 192 位模式的 WPA‑EAP 网络。 ##### 20.2. 密码短语（预共享密钥） 当安全类型为**WEP‑PSK**或**WPA‑PSK**时显示。密码短语为必填项。 ##### 20.3. EAP 方法（企业） 当安全类型为**WPA‑EAP**或**WPA3 192 位模式**时显示。选择一种 EAP 外部方法： **EAP‑TLS** **EAP‑TTLS** **PEAP** **EAP‑SIM** **EAP‑AKA** ##### 20.4. 第 2 阶段身份验证 仅对隧道外部方法（**EAP‑TTLS**和**PEAP**）显示。 **MSCHAPv2** **PAP** ##### 20.5. 来自用户的 EAP 凭据 启用后，系统会按用户自动在设备上应用 EAP 凭据。您可以在**用户**部分配置用户凭据。 ##### 20.6. 客户端证书 对于**EAP‑TLS**，您可以分配用于 Wi‑Fi 身份验证的客户端证书。有关详细信息，请阅读[**证书管理**](https://enterprise.cerberusapp.com/docs/books/8efb1/page/115f8 "Certificate management")页面。 如果已分配证书，您可以使用**打开证书**查看，或使用**更改证书**选择其他证书。 或者，您可以指定**客户端证书密钥对别名**，它引用存储在 Android 密钥库中并允许用于 Wi‑Fi 身份验证的客户端证书。

如果同时设置了**客户端证书**和**客户端证书密钥对别名**，则忽略密钥对别名。

##### 20.7. 身份 用户身份。对于隧道外部协议 (PEAP、EAP‑TTLS)，它用于在隧道内进行身份验证，而**匿名身份**用于隧道外的 EAP 身份。对于非隧道外部协议，它用于 EAP 身份。 ##### 20.8. 匿名身份 仅适用于隧道协议，表示向外部协议呈现的用户身份。 ##### 20.9. 密码 用户密码。如果未指定，则默认提示用户输入。 ##### 20.10. 服务器 CA 证书 用于验证主机证书链的 CA 证书列表。至少有一个 CA 证书必须匹配。有关详细信息，请阅读[**证书管理**](https://enterprise.cerberusapp.com/docs/books/8efb1/page/115f8 "Certificate management")页面。 使用**添加服务器 CA 证书**添加条目，并使用删除操作将其移除。 ##### 20.11. 域后缀匹配 服务器域名的约束列表。这些条目用作对身份验证服务器证书备用使用者名称的 DNS 名称进行后缀匹配的要求。 # 系统 在本节中，您可以配置与系统相关的政策。 #### 1. 最低 API 级别 允许的最低 Android API 级别。 #### 2. 加密政策 是否启用加密。 **默认**：此值会被忽略，即不需要加密。 **启用但不使用密码**：需要加密，但启动时不需要密码。 **启用并使用密码**：需要加密，且启动时需要密码。 #### 3. 自动日期和时间 是否在企业所有设备上启用自动日期、时间和时区。 **用户选择（默认）**：自动日期、时间和时区由用户选择。 **强制**：在设备上强制使用自动日期、时间和时区。 #### 4. 开发者设置 控制对开发者设置的访问权限：开发者选项和安全启动。 **已禁用（默认）**：禁用所有开发者设置并阻止用户访问这些设置。 **已允许**：允许所有开发者设置。用户可以访问并选择性地配置这些设置。 #### 5. 通用准则模式 控制通用准则模式——信息技术安全评估通用准则 (CC) 所定义的安全标准。启用通用准则模式会增强设备上的特定安全组件（例如：蓝牙长期密钥的 AES-GCM 加密、对某些网络证书的额外验证以及加密策略完整性检查）。通用准则模式仅在运行 Android 11 或更高版本的公司自有设备上受支持。警告：通用准则模式会强制执行严格的安全模型，通常只有高度敏感的机构才需要。可能会影响设备的正常使用；请仅在需要时启用。 **已禁用（默认）**：禁用通用准则模式。 **已启用**：启用通用准则模式。 #### 6. Memory Tagging Extension (MTE) 控制设备上的 Memory Tagging Extension (MTE)。 **用户选择（默认）**：用户可以选择在设备上启用或禁用 MTE（如果设备支持）。 **强制启用**：MTE 已启用，且不允许用户更改（Android 14+；在完全托管设备以及公司自有设备上的工作资料上受支持）。 **已禁用**：MTE 已禁用，且不允许用户更改（Android 14+；仅在完全托管设备上受支持）。 #### 7. 内容保护 控制是否启用内容保护（会扫描欺骗性应用）。此功能在 Android 15 及更高版本上受支持。 **已禁用（默认）**：内容保护已禁用，用户无法更改此设置。 **强制启用**：内容保护已启用，用户无法更改此设置（Android 15+）。 **用户选择**：内容保护不受政策控制；用户可以选择（Android 15+）。 #### 8. 辅助内容 控制是否允许将 AssistContent 发送到特权应用（例如助手应用，如圈选搜索）。AssistContent 包含截图和有关应用的信息，例如包名。此功能在 Android 15 及更高版本上受支持。 **已允许（默认）**：允许将辅助内容发送到特权应用（Android 15+）。 **已禁止**：禁止将辅助内容发送到特权应用（Android 15+）。 #### 9. 创建窗口已禁用 是否禁用创建应用窗口之外的窗口。此选项会阻止显示以下系统界面：Toast 和 snackbar、电话活动（如来电）和优先电话活动（如通话中）、系统提醒、系统错误和系统叠加层。 #### 10. 网络应急通道 是否启用网络应急通道。如果启动时无法建立网络连接，应急通道会提示用户临时连接到网络，以便刷新设备政策。应用政策后，临时网络将被遗忘，设备将继续启动。这样可以避免在上一项政策中没有合适的网络、且设备以锁定任务模式启动到某个应用，或用户因其他原因无法访问设备设置时，出现无法连接网络的情况。 #### 11. 默认活动 用于处理与特定 intent 过滤器匹配的 intent 的默认活动列表。例如，此功能允许 IT 管理员选择由哪个浏览器应用自动打开网页链接，或点按主屏幕按钮时使用哪个启动器应用。 使用**添加默认活动**创建条目。在条目中，使用 **添加操作** 和 **添加类别** 构建 intent 过滤器。 ##### 11.1. 接收方活动 应作为默认 intent 处理程序的活动。这应是 Android 组件名称，例如 com.android.enterprise.app/.MainActivity。或者，该值也可以是应用的包名，此时 Android Device Policy 会从该应用中选择合适的活动来处理 intent。 ##### 11.2. 操作 要在过滤器中匹配的 intent 操作。如果过滤器中包含任何操作，则 intent 的操作必须是这些值之一才能匹配。如果未包含任何操作，则忽略 intent 操作。 ##### 11.3. 类别 要在过滤器中匹配的 intent 类别。intent 包含其所需的类别，所有这些类别都必须包含在过滤器中才能匹配。换言之，除非 intent 中指定了某个类别，否则向过滤器添加该类别不会影响匹配。 #### 12. 允许的输入法 指定允许的输入法。 **全部允许**：未应用限制。允许所有输入法。 **仅系统**：仅允许系统内置输入法。 **仅系统和提供的输入法**：仅允许提供的输入法以及系统内置输入法。 ##### 12.1. 允许的输入法 允许的输入法包名。仅当 **允许的输入法** 设置为 **仅系统和提供的输入法** 时适用。 使用 **添加输入法** 添加条目，并使用删除操作移除条目。 #### 13. 允许的无障碍服务 指定允许的无障碍服务。 **全部允许**：可以使用任何无障碍服务。 **仅系统**：只能使用系统内置的无障碍服务。 **仅系统和提供的服务**：只能使用提供的服务以及系统内置的无障碍服务。 ##### 13.1. 允许的无障碍服务 允许的无障碍服务。仅当 **允许的无障碍服务** 设置为 **仅系统和提供的服务** 时适用。 使用 **添加无障碍服务** 添加条目，并使用删除操作移除条目。 #### 14. 系统更新政策 用于管理系统更新的配置。 **默认**：遵循设备的默认更新行为，通常需要用户接受系统更新。 **自动**：一旦有更新可用就自动安装。 **窗口化**：在每日维护窗口内自动安装。这还会将 Play 应用配置为在该窗口内更新。强烈建议自助服务终端设备使用此选项，因为这是 Play 更新持续固定在前台的应用的唯一方式。 **推迟**：最多可将自动安装推迟 30 天。 ##### 14.1. 维护窗口（仅窗口化） 当 **系统更新政策** 设置为 **窗口化** 时，可以使用 **from** 和 **to** 字段定义每日维护窗口。 ##### 14.2. 系统更新冻结期 每年重复的时间段，在此期间推迟无线 (OTA) 系统更新，以冻结设备上运行的 OS 版本。为防止设备无限期冻结，每个冻结期之间必须至少间隔 60 天。每个冻结期不得超过 90 天。 使用 **添加系统更新冻结期** 创建条目。 #### 15. 凭据提供程序默认值 控制哪些应用可以在 Android 14 及更高版本上充当凭据提供程序。 **已禁止（默认）**：未指定 credentialProviderPolicy 的应用不允许充当凭据提供程序。 **除系统外禁止**：未指定 credentialProviderPolicy 的应用不允许充当凭据提供程序，但 OEM 默认凭据提供程序除外。 # 位置和地理围栏 此面板汇总了控制设备位置报告、位置强制执行和地理围栏定义的 Android 政策设置。当你希望 Cerberus Enterprise 收集设备位置，或检测设备进入或离开已配置区域时，请使用此面板。 ## 位置报告 ### 报告位置 启用设备地理位置报告。通过此设置收集的位置数据用于[**仪表板位置地图**](https://enterprise.cerberusapp.com/docs/books/8efb1/page/24b16 "Dashboard location map")、设备概览位置历史和地理围栏处理。

位置历史记录和地理围栏事件保留 **90 天**，更早的数据每晚自动删除。每台已注册设备的最新位置始终保留，因此它会保留在地图上。

在未完全受管理的设备上，位置数据可能仍取决于 Cerberus Enterprise 应用是否拥有所需的位置权限，以及设备是否启用了位置服务。

在个人 Apple 设备（用户注册）上，位置和地理围栏默认关闭：仅当 Apple 政策开启**个人设备上的位置和地理围栏**，且用户允许 Cerberus Enterprise 应用使用位置时，它们才可用。

### 位置模式 控制公司所有设备上的设备位置设置。 - **用户选择**：位置服务不受政策限制。 - **强制执行**：设备上已启用位置服务。 - **已禁用**：设备上的位置服务已禁用。 ### 共享位置已禁用 为工作应用禁用位置共享。在配置文件所有者设备上，这会影响工作配置文件。在完全受管设备上，这会禁用整个设备的位置并覆盖设备位置模式。 ## 启用地理围栏时的自动行为 活动地理围栏需要位置报告才能正常工作。当至少有一个地理围栏处于活动状态时，Cerberus Enterprise 会自动保持相关位置设置一致。 - 存在活动地理围栏时，**报告位置**会被强制开启。 - **位置模式**被强制设置为**强制执行**。 - **共享位置已禁用**会被强制关闭。 如果你在一个或多个地理围栏处于活动状态时尝试禁用**报告位置**，Cerberus Enterprise 会显示确认对话框。如果继续，政策中的所有活动地理围栏都将被停用。 ## 地理围栏列表 一个政策最多可包含**10 个地理围栏**。地理围栏名称在政策内必须唯一。 使用**添加地理围栏**创建新条目。每个地理围栏包含以下主要字段： - **名称**：必填且唯一。 - **纬度**和**经度**：区域的中心。 - **半径（米）**：必填，范围为**200**至**10000**米。 - **描述**：供管理员使用的可选备注。 - **报告进入**和**报告退出**：选择应生成哪些转换事件。 - **活动**：启用或禁用地理围栏而不删除它。

每个地理围栏必须至少保持启用**报告进入**或**报告退出**中的一项。

此前最小半径为 100 米。小于 200 米的现有地理围栏会继续正常工作，并且在保存政策时会保持原样，即使你移动或重命名它们也是如此。如果你更改其半径，则半径必须至少为 200 米。

## 地图编辑工具 每个地理围栏卡片都包含该区域的地图预览。你可以在地图上或通过数值字段编辑几何形状。 - 当区域编辑已解锁时，点击地图可移动地理围栏中心。 - 使用**当前位置**按钮将地图居中到浏览器的当前位置。 - 使用**重新居中地图**按钮恢复该地理围栏的首选视口。 - 使用锁定按钮防止意外更改地理围栏几何形状。 ## 地理围栏数据的显示位置 可以在 Android 的[**设备概览**](https://enterprise.cerberusapp.com/docs/books/8efb1/page/37bc2 "Device overview")页面中，通过位置面板的**地理围栏**标签页查看地理围栏转换。该标签页会在专用地图上显示转换，并提供筛选工具和转换列表。 # 用户管理 ##### 添加用户已禁用 是否禁用添加新用户和配置文件。对于 managementMode 为 **DEVICE\_OWNER** 的设备，此字段会被忽略，且绝不允许用户添加或移除用户。 ##### 修改账户已禁用 是否禁用添加或移除账户。 ##### 用户凭据配置已禁用 是否禁用配置用户凭据。 ##### 移除用户已禁用 是否禁用移除其他用户。 ##### 设置用户图标已禁用 是否禁用更改用户图标。 ##### 设置壁纸已禁用 是否禁用更改壁纸。 ##### 工作账户设置身份验证 控制用户在工作账户设置期间进行身份验证的方式。此选项仅适用于由受管理的 Google 域 (Google Workspace) 提供支持的 Android 企业。 在设备设置/注册期间，此政策会影响是否需要登录工作账户，但 Google Admin Console 设置 **使用 Google 进行身份验证** 和注册令牌类型仍可能要求身份验证。 对于已注册的设备，此政策仅在设备由受管理的 Google Play 账户管理时适用（即注册时未使用 **使用 Google 注册进行身份验证**）。 有关更多详细信息和故障排除，请参阅 [**使用 Google 注册进行身份验证**](https://enterprise.cerberusapp.com/docs/books/8efb1/page/authenticate-using-google-enrollment "Authenticate Using Google enrollment")。 ##### 阻止的账户类型 用户无法管理的账户类型。此选项可防止设备用户添加未经批准的账户。 使用 **添加阻止的账户类型** 添加一个或多个账户类型。 每个条目都有一个 **账户类型** 字段（必填）。输入诸如 **com.google** 的字符串。使用删除操作移除条目。 # 个人使用 当[为工作和个人用途配置企业所有设备](https://enterprise.cerberusapp.com/docs/books/8efb1/page/f7177 "Company-owned devices for work and personal use")时，您可以指定一些规则，以限制用户在工作配置文件之外将设备用于个人用途的方式。

本节仅适用于带工作配置文件的企业所有设备。对完全托管或个人所有设备无效。

#### 1. 相机已停用 相机是否已停用。 #### 2. 屏幕截图已停用 屏幕截图是否已停用。 #### 3. 工作关闭的最长天数 控制工作配置文件可保持关闭的时长。 #### 4. 蓝牙共享 控制是否允许在带工作配置文件的企业所有设备的个人配置文件中进行蓝牙共享。 #### 5. 私人空间 控制是否允许在设备上使用私人空间。 #### 6. Play 商店模式 此模式控制个人配置文件的 Play 商店中允许或阻止用户使用哪些应用。 **阻止名单（默认）**：所有应用均可用，任何不应出现在设备上的应用都应在**应用**部分明确标记为**已阻止**。 **允许名单**：只有在**应用**部分明确指定且**安装类型**设为**可用**的应用才允许安装到个人配置文件。 #### 7. 应用 必须在个人配置文件中允许或阻止的应用列表。列表内容的行为取决于**Play 商店模式**的设置值。 要从 Play 商店添加新应用，请点击**+**图标。 ##### 7.1. 安装类型 个人配置文件应用可以采用的安装行为类型。 **已阻止**：该应用被阻止，无法安装到个人配置文件。 **可用**：该应用可安装到个人配置文件。 #### 8. 阻止的账户类型 用户无法管理的账户类型。此选项可防止设备用户在其个人配置文件中添加未经批准的账户。
# 跨配置文件政策 仅适用于同时具有个人配置和工作配置的设备。 ##### 跨配置文件复制/粘贴 从一个配置文件（个人或工作）复制的文本是否可以粘贴到另一个配置文件。 **不允许（默认）**：阻止用户将从工作配置文件复制的文本粘贴到个人配置文件。从个人配置文件复制的文本可以粘贴到工作配置文件。 **允许**：在任一配置文件中复制的文本都可以粘贴到另一个配置文件。 ##### 跨配置文件数据共享 来自一个配置文件（个人或工作）的数据是否可以与其他配置文件中的应用共享。具体控制通过 intent 进行的简单数据共享。其他跨配置文件通信渠道（例如联系人搜索、复制/粘贴、 或已连接的工作 & 个人应用）的管理需单独配置。 **不允许**：阻止从个人配置文件向工作配置文件以及从工作配置文件向个人配置文件共享数据。 **不允许从工作配置文件共享到个人配置文件（默认）**：阻止用户将工作配置文件中的数据共享到个人配置文件中的应用。个人数据可以与工作应用共享。 **允许**：来自任一配置文件的数据都可以与另一个配置文件共享。 ##### 工作配置文件小组件默认值 工作配置文件小组件的默认行为。如果特定应用未定义小组件政策，则遵循此处设置的默认值。 ##### 跨配置文件应用功能 控制个人配置文件中的应用是否可以调用工作配置文件应用的应用功能。这需要 Android 16 及以上版本。

此设置取决于政策级别的**应用功能**选项（位于应用管理部分）。如果应用功能设置为**不允许**，API 将拒绝将跨配置文件应用功能设置为**允许**。

##### 个人配置文件中的工作联系人 存储在工作配置文件中的联系人是否可以显示在个人配置文件的联系人搜索和来电中。 **允许（默认）**：允许工作配置文件联系人显示在个人配置文件中。 **不允许**：阻止个人应用访问工作配置文件联系人以及查找工作联系人。 **除系统应用外不允许**：阻止大多数个人应用访问工作配置文件联系人，但 OEM 默认电话、信息与联系人应用除外（Android 14+）。 配置“个人配置文件中的工作联系人”后，你可以选择定义**豁免包名**条目列表。根据所选模式，这些豁免对个人应用表现为允许列表或阻止列表。 # 状态报告 在本节中，您可以配置应从设备检索哪些数据。可以在[**设备状态**](https://enterprise.cerberusapp.com/docs/books/8efb1/chapter/1a5b1 "Device status")仪表板页面中查看状态数据。 ##### 应用报告 是否启用应用报告。（报告的关于已安装应用的信息。）

此选项是系统所需的（用于配套应用集成），始终启用；无法停用。

##### 包括已移除的应用 应用报告中是否包括已移除的应用。 ##### 设备设置 是否启用设备设置报告。（有关设备上安全相关设备设置的信息。） ##### 软件信息 是否启用软件信息报告。（有关设备软件的信息。） ##### 内存信息 是否启用内存报告。（与内存和存储测量相关的事件。） ##### 网络信息 是否启用网络信息报告。（设备网络信息。） ##### 显示信息 是否启用显示器报告。个人所有且带工作配置文件的设备无法使用报告数据。（设备显示信息。） ##### 电源管理事件 是否启用电源管理事件报告。个人所有且带工作配置文件的设备无法使用报告数据。 ##### 硬件状态 是否启用硬件状态报告。个人所有且带工作配置文件的设备无法使用报告数据。 ##### 系统属性 是否启用系统属性报告。 ##### 通用准则模式 是否启用通用准则模式报告。 # 其他 #### 1. 彩蛋游戏已禁用 是否禁用设置中的彩蛋游戏。 #### 2. 跳过首次使用提示 用于在首次使用时跳过提示的标志。企业管理员可以启用系统建议，让应用在首次启动时跳过用户教程和其他介绍性提示。 #### 3. 简短支持消息 当管理员禁用了某些功能时，在设置界面中向用户显示的消息。如果消息超过 200 个字符，可能会被截断。 #### 4. 长支持消息 在设备管理员设置界面中向用户显示的消息。 #### 5. 所有者锁屏信息 要在锁屏上显示的设备所有者信息。 #### 6. 设置操作 在设置过程中要执行的操作。在注册期间，你可以要求用户打开设备设置所需的一个或多个应用。 使用**添加设置操作**创建条目，并使用删除操作将其移除。 ##### 6.1. 启动应用 要启动的应用的包名 ##### 6.2. 标题 提供面向用户的消息，向用户解释为什么需要启动该应用。 ##### 6.3. 描述 提供面向用户的消息，向用户解释为什么需要启动该应用。 #### 7. 企业显示名称可见性 控制企业显示名称是否在设备上可见（例如，在公司所有设备上作为锁屏消息）。 **可见（默认）**：企业显示名称在设备上可见（支持 Android 7+ 上的工作配置文件和 Android 8+ 上的完全受管设备）。 **隐藏**：企业显示名称在设备上隐藏。 # 合规性规则 如果设备或工作配置文件未遵守下面列出的任何政策设置，Android Device Policy 默认会立即阻止使用该设备或工作配置文件： - **密码要求** - **加密政策** - **锁屏已停用** - **允许的输入法** - **允许的无障碍服务** 如果设备或工作配置文件在 10 天后仍不合规，Android Device Policy 会将设备恢复出厂设置或删除工作配置文件。 在本节中，您可以覆盖默认的合规性执行规则或添加新规则。 #### 规则 定义特定政策无法应用于设备时的行为的规则列表。 使用**添加规则**创建新规则。可以使用删除操作移除每个规则卡片。 ##### 设置名称 要执行的顶级政策。例如**应用**或**密码要求**。 **必填。**该值必须与受支持的顶级政策名称匹配；否则该字段会被标记为无效。 ##### 多少天后阻止 政策不合规多少天后阻止设备或工作配置文件。要立即阻止访问，请设为 0。**多少天后阻止**必须小于**多少天后清除**。仅适用于企业所有设备。 允许范围：0–300。 ##### 阻止范围 指定阻止操作的范围。仅适用于企业所有设备。 默认（新规则）：**工作配置文件**。 **工作配置文件**：阻止操作仅应用于工作配置文件中的应用。个人配置文件中的应用不受影响。 **整个设备**：阻止操作应用于整个设备，包括个人配置文件中的应用。 ##### 多少天后清除 政策不合规多少天后清除设备或工作配置文件。 **多少天后清除**必须大于**多少天后阻止**。仅适用于企业所有设备。 **必填。**默认（新规则）：**1**。 允许范围：1–300。 ##### 保留恢复出厂设置保护 是否在设备上保留恢复出厂设置保护数据。此设置不适用于工作配置文件。 默认（新规则）：已启用。 # 策略 - Apple # Apple 政策 Apple 政策定义了 Cerberus Enterprise 通过 MDM 应用于 Apple 设备的管理设置。这些设置可在仪表板的 Apple 政策编辑器中进行配置。 ## 开始之前 Apple 设备管理要求配置 Apple Management (APNs)。如有需要，请阅读[Apple Management 设置 (APNs)](https://enterprise.cerberusapp.com/docs/books/8efb1/page/apple-management-apns "Apple Management setup (APNs)")页面。 ## 打开 Apple 政策编辑器 在仪表板中，打开**政策**，然后点击**创建新的 Apple 政策**。要编辑现有 Apple 政策，请在政策表格中点击其所在行。 ## 编辑器布局 Apple 政策编辑器由一组可展开的部分组成。在页面顶部，您可以随时编辑： - **名称**（必填） - **ID**（只读） - **描述**（可选） ## 政策部分 以下部分与 Apple 政策编辑器中当前可用的面板相对应。打开已保存的政策时，设置已更改的部分已经展开，其他部分则保持关闭： - **App 管理**：配置与 App 相关的限制、受管理的 App 以及 Cerberus Enterprise App 设置。 - **Kiosk 模式与主屏幕**：单一 App 模式、允许和阻止的 App、主屏幕布局、Web Clip、通知设置和锁定屏幕信息。 - **安全**：控制自动解锁和生物识别解锁等功能。 - **密码设置**：配置密码要求及相关规则。 - **多媒体**：允许/禁止相机及相关功能。 - **蜂窝网络**：控制与蜂窝网络相关的设置（应用的蜂窝数据设置、eSIM、套餐变更）以及蜂窝 APN。 - **网络**：Wi-Fi 网络（也包括企业 802.1X）、VPN、证书、全局代理、加密 DNS 和 Web 内容过滤器，以及 AirDrop 和蓝牙等连接限制。 - **系统与用户界面**：限制 Handoff、设备名称和屏幕保护程序等系统功能。 - **软件更新**：要求在截止日期前使用某个 OS 版本，并控制更新的下载和安装方式。 - **macOS**：Mac 的防火墙、Gatekeeper、屏幕保护程序与锁定、外部和网络存储、屏幕共享、隐私权限和登录项。 - **Apple 应用与服务**：限制 iMessage、Game Center 和“查找”等 Apple 应用与服务。 - **Siri 与 Apple Intelligence**：限制 Siri、听写和 Apple Intelligence 功能。 - **iCloud**：允许或禁止特定的 iCloud 服务（备份、钥匙串同步、私人中继等）。 - **位置和地理围栏**：安装了 Cerberus Enterprise 应用的 iPhone 和 iPad 会在进入或离开这些区域时报告，供事件规则使用。 - **账户**：限制账户修改，并配置邮件、Exchange、Google、日历、通讯录和目录账户。 - **合规性规则**：使设备不合规的要求（密码、最低 OS 版本、监督、FileVault），并可选择阻止设备。

Apple 政策编辑器中的许多选项都包含工具提示，其中说明了要求和受支持的 OS 版本。

## 保存、删除和关联设备 使用**保存政策**应用您的更改。当没有待处理的编辑或许可证已过期时，该按钮会被禁用。 编辑现有政策时，页面还会显示**删除政策**操作。编辑器可在底部显示**关联设备**列表，以便您查看当前有多少台设备正在使用该政策。 ## 后续页面 - App 与描述文件：配置已安装的 App 和配置描述文件。 - Kiosk 模式与主屏幕：单一 App 模式、允许的 App、主屏幕布局和 Web Clip。 - 密码：配置密码要求及相关安全选项。 - 限制：定义允许的功能和 OS 级别的限制。 - 网络：Wi-Fi 网络、VPN、证书和连接限制。 - 软件更新：必需的 OS 更新和软件更新设置。 - macOS：Mac 的防火墙、Gatekeeper、屏幕锁定、存储、隐私权限和登录项。 - 位置和地理围栏：iPhone 和 iPad 报告进入和离开的区域，以及它们正常工作所需的条件。 - 账户：邮件、Exchange、Google、日历、通讯录和目录账户。 - 合规性规则：设备要求以及阻止不合规设备。 # 应用与描述文件 本节介绍如何为 Apple 设备配置受管应用和账户负载。 ## 应用管理 **应用管理**面板包含与应用相关的常规限制以及受管应用列表。 ### 常规应用限制 - **允许 App Clip** - **允许安装应用** - **允许移除应用** - **允许自动下载应用** - **允许隐藏应用** - **允许锁定应用** - **允许 App 内购买** - **允许修改默认浏览器** - **允许信任企业应用** ### 受管应用 使用**添加应用**将应用添加到政策。每个受管应用都会显示为一张卡片。您可以展开卡片以编辑其设置，并使用删除操作移除该应用。 - **App Store ID**：受管应用的 App Store 标识符。 - **Bundle ID**：应用包标识符。 - **安装行为**：控制应用必须保持安装，还是可以由用户安装/移除。 - **分配**：许可证类型，由 Cerberus 为每台设备选择：公司设备使用设备许可证，个人 iPhone 和 iPad（用户注册）使用 Managed Apple Account 的用户许可证。该字段无法更改。 - **VPP 许可证**：通过 App Store 安装时使用的 VPP 许可证类型。 应用选择列表会显示每个应用的可用许可证和总许可证。免费应用会显示**无限制**：Apple 为其提供无限许可证。一个应用只能添加到政策一次：如果应用的 App Store ID 或 Bundle ID 与政策中已有的应用相同，则会被拒绝；保存时列出同一应用两次的政策也会被拒绝。 应用选择列表会显示您的 Apple Business 资料库中的应用。要添加应用，请在 Apple Business 中打开**Apps & Services** → **Apps & Books** → **App Store**，搜索该应用并点击**View**。对于免费应用，点击**Add**，选择**All current and future**（或**Organizational Units**中与您的 Apps and Books 令牌对应的组织单位），点击**Add**，然后**Review**并确认。对于付费应用，点击其价格，选择**Managed Licenses**作为**License Type**（Cerberus Enterprise 无法使用兑换代码），选择您的 Apps and Books 令牌的**Organizational Unit**，输入**Licenses**数量（每个订单最多 1,000 个），然后**Review**并购买。必须先通过**Settings** → **Payments & Billing** → **Apps & Services** → **Payment Methods**设置付款方式。随后应用会显示在应用选择列表中。 ### 个人设备上的应用（用户注册） 使用用户注册注册的个人 iPhone 和 iPad 没有序列号，因此它们会获得政策中 App Store 应用，并使用设备上登录的 Managed Apple Account 的**用户许可证**。Cerberus 会自行向 Apps and Books 注册该账户并分配许可证，包括免费应用。Managed Apple Accounts 和 Apps and Books 令牌必须属于同一个 Apple Business 组织。付费应用每个账户使用一个许可证，由该账户的所有个人设备共享。 - **正在等待用户许可证**：只有在 Apple 确认许可证后（通常在几分钟内），应用才会发送到设备。设备的**应用程序**面板会显示原因。 - **用户许可证失败**：Apple 无法分配许可证，例如付费应用已无剩余许可证。请在 Apple Business 中添加许可证，然后使用**再次请求**；Cerberus 也会每天自行重试。 - **安装提示**：iOS 会在安装每个应用前询问用户。如果用户取消，应用会显示**正在等待用户批准安装**；**再次请求**会再次显示提示。 - **释放**：从政策中移除应用，或取消注册该账户的最后一台个人设备，都会移除应用并释放其许可证，除非同一账户的另一台已注册设备仍需要它。 有关详细信息，请参阅[**Apple 账户驱动注册**](https://enterprise.cerberusapp.com/docs/books/8efb1/page/apple-So2 "Apple account-driven enrollment")。 ### 受管配置 受管配置会按照应用供应商的文档说明为应用提供其设置（例如服务器地址或账户名称）。在政策中打开该应用，然后点击**添加受管配置**。它会发送到运行**iOS 或 iPadOS 18.4 或更高版本**的 iPhone 和 iPad，以及运行**macOS 27 或更高版本**的 Mac；目前不会发送到 Apple Vision Pro。应用必须支持受管配置：不读取它的应用会忽略它。应用面板会在应用名称旁边显示键的数量。 - **键**：每一行都有一个键、一个类型和一个值。类型包括文本、整数、十进制数、布尔值、日期、文本列表和整数列表。键区分大小写且必须唯一。**添加键**会添加一行；**移除配置**会移除所有键。 - **变量**：文本和文本列表值可以包含 $EMAIL$、$USERNAME$、$FULLNAME$、$SERIAL$ 和 $UDID$，它们会被替换为每台设备及其用户的值。没有值的变量（例如没有用户的设备上的 $EMAIL$）会留空，系统日志会说明这一点。当用户的详细信息更改时，设备会获得新值；对于从 Google Directory 同步的用户，这些值会在下次更改政策或设备时更新。 - **导入配置**：打开或粘贴应用供应商为 MDM 发布的文件，然后点击**读取**。**AppConfig 规范文件**（specfile.xml）会列出应用支持的每个键及其描述、类型、默认值和允许值：选择要导入的键（具有默认值的键已预先选中），并在导入后填写其他键。如果规范文件属于另一个应用，会出现警告。**属性列表**（整个属性列表或仅其 <dict>）会按原样导入。然后选择是替换当前键还是添加到其中。不支持嵌套字典、数据值以及包含混合或未知类型的列表，它们会被列为已跳过。Apple 不会发布应用的配置键，因此如果供应商的文档中没有该文件，请向他们索取。**复制为 plist**会按设备接收时的原样复制配置，此时变量尚未替换。 - **限制**：每个应用最多 200 个键；键最多 255 个字符；文本值最多 4,096 个字符；列表最多 200 个项目，每个项目最多 1,024 个字符；日期介于 1970 和 9999 之间；每个应用总共 64 KB。 - **不适用于密码**：配置只会发送到为其构建的设备，日志仅显示键名称和类型，但仪表板管理员可以读取这些值，而且设备下载配置的地址会随值变化，因此容易猜测的值（布尔值或小数字）可能会被推断出来。请勿在受管配置中放置密码或其他机密信息。 - **状态**：当设备报告应用未接受其配置时，设备的应用程序面板会在应用旁边显示**配置未接受**。这不会使设备不合规。设备无法下载配置则会使设备不合规。 ### 应用选项 政策中的每个应用（App Store 应用和自定义应用）都有这些选项。**设备默认值**将选择权留给设备。不支持某个选项的设备不会获得该选项；应用仍会安装。 - **自动更新**：App Store 设置，始终或从不。iOS、iPadOS、macOS 和 visionOS 26 或更高版本。对于自定义应用，App Store 设置的行为与“从不”相同。 - **通过蜂窝网络下载**：App Store 设置，始终或从不，用于自动安装和更新。仅适用于运行 iOS 或 iPadOS 26 或更高版本的受监管 iPhone 和 iPad。 - **备份应用数据**：应用数据是否会包含在设备备份中。不适用于 Mac。 - **用户可以隐藏应用**和**用户可以锁定应用**：iOS 和 iPadOS 18.1 或更高版本，在受监管设备上强制执行。不允许锁定也会阻止隐藏。**允许隐藏应用**和**允许锁定应用**限制适用于所有应用。 - **在需要客户 PIN 的 Tap to Pay 交易后锁定设备**：仅限 iPhone。 - **关联域名**：与应用关联的域名（例如用于通用链接或密码自动填充），最多 50 个。请输入纯主机名，例如 www.example.com，不要包含 applinks:、通配符或 ?mode=。不适用于 Mac。 - **直接验证域名**：设备直接检查域名的站点关联文件，而不是通过 Apple 的服务器。仅对无法从互联网访问的内部域名启用此功能。 - **移除**：以**必需**方式安装的应用无法由用户移除。 ### Mac App Store 应用 应用选择列表会显示每个应用的平台（iPhone/iPad、Mac、Apple TV、Vision）；仅适用于 Mac 的应用会显示其 Mac 图标。仅适用于 Mac 的应用在添加时会应用到 Mac。没有 Mac 版本的 App Store 应用不会发送到 Mac：政策会在**适用于**下显示“此应用没有 Mac 版本：不会发送到 Mac”。Mac 会通过其 App Store ID 获取 App Store 应用，因此在 Mac 上 Bundle ID 不同的应用也能正确安装。 ### Cerberus Enterprise 应用 Cerberus 会在每台 iPhone 和 iPad 上安装其 **Cerberus Enterprise** 应用（要求 **iOS 或 iPadOS 18.4 或更高版本**），无论是否有政策。该应用会共享设备位置，并接收通知和实时跟踪请求。它以 **必需** 方式安装，并使用来自 Apps and Books 的设备许可证（个人设备上为用户许可证），因此用户无法删除它。 - **一次性设置**：将免费应用添加到您的资料库一次。在 Apple Business 中，打开**Apps & Services** → **Apps & Books** → **App Store**，搜索 "Cerberus Enterprise"，点击**View**，然后**Add**，选择**All current and future**（位于**Organizational Units**中），点击**Add**，然后**Review**并确认。如果应用显示**Manage**，则表示它已在您的资料库中：打开它并检查其组织单位是否为**All current and future units**。在此之前，仪表板会显示横幅，设备会将应用显示为未安装。请参阅**账户设置**。 - **不在政策中**：该应用无法添加到政策。它会在应用选择列表中被禁用，并会作为自定义应用被拒绝（相同的 Bundle ID）。已列出它的政策在打开时该条目会被移除：保存政策以确认。 - **不安装于**：运行低于 18.4 的 iOS 或 iPadOS 的设备。共享 iPad 支持安装，但应用功能尚未在那里验证。 - **个人设备**：在使用用户注册的 iPhone 和 iPad 上，也会安装该应用，并显示安装提示，且使用 Managed Apple Account 的用户许可证。它会接收来自您组织的消息，并且除非政策开启 **个人设备上的位置和地理围栏** 且用户允许，否则不会访问位置。 - **保持安装**：如果 Apps and Books 令牌过期或应用离开您的资料库，应用会保留在设备上，设备页面会显示 Apps and Books 需要处理。只有在 24 小时后应用中仍不在您的资料库中时，它才会被移除。 ### 自定义应用 自定义应用是您自己的 iPhone 和 iPad 应用（.ipa 文件），不经 App Store 分发。在 Xcode 中，将应用导出为**Enterprise**分发（Apple Developer Enterprise Program：可安装到每台设备）或**Ad Hoc**分发（仅安装到其描述文件中注册的设备）。无法上传 App Store 构建版本。 点击**添加自定义应用**打开您组织的自定义应用。**上传应用**会添加一个 .ipa 文件（最大 2 GB）。选择一个应用并点击**添加到政策**。列表会显示版本、签名类型、ad hoc 应用描述文件中的设备数量以及描述文件的到期日期。 - **新版本**：上传具有相同 Bundle ID 的应用。它会替换以前的版本，使用该应用的政策的设备会更新该应用。 - **要求**：运行 iOS 17.2 或更高版本的 iPhone 和 iPad。无法安装该应用的设备不会获得它：例如 iPhone 上的仅 iPad 应用、低于应用要求的旧版 iOS、不在 ad hoc 应用描述文件中的设备，或已过期的描述文件。 - **到期**：当描述文件过期时，应用将无法再打开。请在到期日期之前上传使用新描述文件签名的版本。 - **保留的 Bundle ID**：Bundle ID 为 Cerberus Enterprise 应用（com.lsdroid.Cerberus.Enterprise）的自定义应用无法添加到政策，因为 Cerberus 会自行安装该应用。 - **删除**：先将该应用从其政策中移除；随后设备会将其删除。 ### Mac 软件包 自定义应用还接受 Mac 安装包（.pkg 文件）。该安装包必须是使用 **productbuild** 构建的分发包（仅使用 pkgbuild 制作的组件包会被拒绝），并使用 **Developer ID Installer** 证书签名。建议对其进行公证并附加票据（**notarytool** 和 **stapler**）。未签名的安装包、签名后更改过的安装包以及使用其他证书签名的安装包都会被拒绝。 使用**上传应用**上传 .pkg 文件，并将其添加到政策中：它会显示在**Mac 软件包**下。iPhone 和 iPad 会忽略它。 运行 **macOS 26 或更高版本**的 Mac（受监管，包括手动注册的 Mac，但不包括用户注册）会以**声明**形式获取该安装包：Mac 会自行下载、安装、重试和更新它，并报告其状态。较旧的 Mac，以及作为受管理应用安装的安装包，会通过 **MDM 命令**获取，适用于任何 macOS 版本。升级到 macOS 26 的 Mac 会自行改用声明；它可能会再次安装每个安装包。当 Mac 迁移到另一个包含相同安装包的政策时，也可能发生同样的情况。 - **新版本**：上传具有相同安装包标识符的安装包。它会替换之前的版本，使用它的政策中的 Mac 会安装新版本。 - **已跳过的 Mac**：macOS 版本低于安装包要求的 Mac，以及对于仅为 Apple silicon 构建的安装包而言的 Intel Mac。设备页面会将该安装包显示为已跳过，并说明原因；之前安装的版本会保留在 Mac 上。 - **安装**：**必需**（默认）会在 Mac 上安装该安装包；**可选**会使该安装包在 Mac 上可用但不安装。macOS 26 不会在“系统设置”或 App Store 中向用户显示可选安装包（已在 macOS 26.3 上测试），因此必须由 Mac 上的应用或脚本安装它们；仅当你已有此类应用或脚本时才选择“可选”。此设置适用于运行 macOS 26 或更高版本的 Mac；较旧的 Mac 始终会安装该安装包。作为受管理应用安装的安装包无法使用此选项。 - **安装包离开政策时移除其文件（macOS 27 或更高版本）**：当安装包从政策中移除时，运行 macOS 27 或更高版本的 Mac 会删除它安装的文件。此选项默认关闭。在较旧的 Mac 上，文件会保留。作为受管理应用安装的安装包无法使用此功能。 - **作为受管理应用安装**：为政策中的某个安装包开启此选项，以将其应用作为受管理应用安装（macOS 11 或更高版本，不适用于用户注册）。随后 macOS 会在安装失败时报告，MDM 可以移除该应用。应用必须直接安装在“应用程序”文件夹中，使用 **Developer ID Application** 证书签名并经过公证；在 macOS 11 到 13 上，安装包必须只包含该应用（不能有其他文件或脚本）。自定义应用会显示哪些安装包符合条件。当无法在 Mac 上应用此选项时，安装包会照常安装在该 Mac 上，设备页面会说明原因。 - 受管理应用的**移除选项**：**安装包从政策中移除时移除应用**（默认开启）和**Mac 离开管理时移除应用**。移除应用还会删除其数据。如果用户已经安装了同一个应用，该副本会变为受管理应用并被一并移除。 - **移除**：MDM 命令无法卸载安装包。对于作为受管理应用安装的安装包，从政策中移除它会移除该应用（当该选项开启时）；它的其他文件和安装包收据会保留。开启**移除安装包文件**的安装包会从运行 macOS 27 或更高版本的 Mac 上移除。其他安装包：从政策中移除它们只会停止新的安装，文件会保留在 Mac 上。被跳过的 Mac（例如在新版本需要更新的 macOS 之后）在安装包仍位于政策中时会保留该应用；此时从政策中移除安装包也会将其移除。请手动移除 Mac 上残留的文件（例如使用安装包自带卸载程序），并运行 `sudo pkgutil --forget ` 以清除安装包收据。 - **设备上的状态**：Mac 的“应用程序”面板会将政策中的每个安装包显示为排队中、已接受（Mac 已接受该命令）、已下载、已安装（仅适用于包含应用的安装包，且在 Mac 上找到这些应用时）或失败（并显示错误）。macOS 不会报告通过命令发送的安装包的安装情况，因此对于不含应用的安装包，“已下载”是最后的状态。当 macOS 报告应用无法安装或已从 Mac 上移除时，作为受管理应用安装的安装包也会变为“失败”。**重新安装**会再次将安装包发送到 Mac。 - **使用声明时的状态**：以声明形式交付的安装包会显示**声明**标签以及 Mac 报告的状态：排队中、可用（用户尚未安装的可选安装包）、等待用户操作、下载中、安装中、已安装或失败（并说明原因，例如下载或安装失败，或 Mac 拒绝了声明）。**随政策移除文件**标签会标记那些在离开政策时由运行 macOS 27 的 Mac 移除其文件的安装包。**重新安装**仅在失败后出现，用于请求 Mac 重试；当 Mac 拒绝了声明时不会提供。 ## 账户 **账户**面板可让你配置应用于受管理设备的账户。它还包含一个用于账户修改的限制开关。 ### 限制 - **允许修改账户**：禁用后，用户无法修改 Apple 账户和互联网账户等账户。 ### 添加账户 使用**添加 Google 账户**或**添加邮件账户**将账户有效负载添加到政策中。每个账户会以卡片形式显示，并带有其配置字段。 ### 来自用户的账户凭据 Google 和邮件账户卡片都提供一个**来自用户的账户凭据**开关。启用后，系统会按用户分别应用账户凭据。禁用后，你需要在政策中输入账户身份。 ### Google 账户字段 - **显示名称**：向用户显示的账户名称。 - **Google 电子邮件地址**：用户的电子邮件地址。 - **全名**：用户的全名。 ### 邮件账户字段 邮件账户包括身份字段以及接收/发送服务器配置。主机名为必填项。 - **显示名称**：向用户显示的邮件账户名称。 - **电子邮件地址**：用户的电子邮件地址。 - **全名**：用户的全名。 #### 接收服务器 - **服务器类型**：邮件协议（例如 IMAP 或 POP）。 - **认证方法**：服务器的认证方法。 - **IMAP 路径前缀**：仅当服务器类型为 IMAP 时显示。 - **主机名**：必填。 - **端口**：服务器端口（1–65535）。 #### 发送服务器 - **认证方法** - **主机名**：必填。 - **端口**：服务器端口（1–65535）。 ### S/MIME 选项 对于邮件账户，你还可以配置 S/MIME 加密和签名行为。 #### 加密 - **S/MIME 加密** - **身份可由用户覆盖** - **启用单封邮件开关** - **可由用户覆盖** #### 签名 - **S/MIME 签名** - **身份可由用户覆盖** - **可由用户覆盖**

账户和限制选项在仪表板中包含工具提示，用于记录先决条件和支持的操作系统版本。

# 自助服务终端与主屏幕 Apple 政策编辑器的**自助服务终端与主屏幕**部分可将设备锁定到单个应用、选择允许打开哪些应用、排列主屏幕并添加网站图标。每项设置都会作为配置描述文件安装到设备上。

Apple 只会将其中大多数设置应用于受监督的 iPhone 和 iPad（通过 Automated Device Enrollment 注册或使用 Apple Configurator 准备的设备）。其他设备不会获得这些设置。Web Clip 也可在未受监督的 iPhone 和 iPad 上使用。Mac 不会获得这些设置中的任何一项。

## 选择应用 应用通过其 bundle ID 标识。输入应用名称即可从内置 Apple 应用和政策中的应用中选择，也可以输入任意 bundle ID，例如 `com.example.app`。 ## 单应用模式 设备仅运行所选应用：用户无法返回主屏幕或打开其他应用。请先通过政策安装该应用。关闭此设置或移除该应用后，设备会退出单应用模式。 - **选项**：禁用触摸屏、旋转、音量按钮、响铃/静音开关、侧边按钮或自动锁定，并开启旁白或缩放等辅助功能。 - **用户可开启的辅助功能**：用户可通过连按三次侧边按钮开启的功能。 ## 允许和阻止的应用 - **阻止的应用**：设备会隐藏这些应用并且不打开它们。`com.apple.webapp` 会阻止所有 Web Clip。设置以及 iPhone 上的电话无法被阻止。 - **仅允许部分应用**：设备仅显示这些应用。将列表留空可允许所有应用。**政策应用**会添加由政策安装的应用；`com.apple.webapp`会允许所有 Web Clip。 - **可以启动单应用模式的应用**：可以在需要时（例如考试期间）将设备锁定到自身的应用。

使用 **仅允许部分应用** 时，不在列表中的所有应用都会从设备上消失，包括政策中的应用。设置以及 iPhone 上的电话始终保留。

## 主屏幕布局 安排程序坞和主屏幕页面。添加应用、应用文件夹和政策的 Web Clip，并使用**添加到**选择位置，然后拖动图标以在程序坞和页面之间移动它们。点击文件夹可更改其名称和应用。 用户无法移动图标或从主屏幕移除应用。不在布局中的应用会进入您定义页面之后的页面。iPhone 在程序坞中显示四个图标。用户仍然可以在设置的存储空间中删除非必需的应用。要阻止此操作，请在应用管理中关闭 **允许移除应用**。 ## Web Clip Web Clip 是主屏幕上的一个图标，用于打开网站。设置标签和 URL，并可选择一张图像（PNG 或 JPEG，裁剪为正方形）。 - **用户可以移除它**：关闭后可将该图标保留在设备上。 - **全屏**：网站会以 Web 应用形式打开，不显示 Safari 地址栏。**在其他网站上保持全屏**还会在 Web 应用中打开指向其他网站的链接。 - **使用此应用打开**：使用某个应用代替 Safari 打开该 URL。 ## 通知设置 选择设备如何显示某些应用的通知：是否允许、显示位置（锁定屏幕、通知中心、CarPlay）、标记、声音、重要警告、横幅样式、分组和预览。用户无法更改这些设置。 ## 锁定屏幕消息 显示在锁定屏幕底部的消息，例如设备被找到时该联系谁，以及资产标签。两者都可以包含变量 $EMAIL$、$USERNAME$、$FULLNAME$、$SERIAL$ 和 $UDID$：设备没有对应值的变量会留空。 # 密码 **密码设置**部分用于控制设备密码要求及相关安全规则（例如最小长度和复杂性）。在 Mac 上（macOS 13 或更高版本，不适用于用户注册），这些规则适用于用户的登录密码。 ## 选项 在 Apple 政策编辑器中，密码选项通过开关和数字字段组合进行配置。许多字段都包含工具提示，用于说明支持的操作系统版本和监管要求。 ### 密码开关 - **下次认证时更改**：在用户下次认证时强制重置密码。 - **要求字母数字密码**：要求至少包含一个字母字符和一个数字。 - **要求复杂密码**：要求使用“复杂”密码（不得包含重复或连续模式，并且至少包含一个非字母数字字符）。 - **要求密码**：要求设置密码，但不附加长度或质量要求。注意：设置其他密码相关键会隐式要求设置密码。 ### 数字字段 - **失败尝试重置时间（分钟）**：失败尝试计数器重置前的分钟数（需要“最大失败尝试次数”）。 - **最大失败尝试次数**：在 iPhone 或 iPad 被擦除或 Mac 被锁定之前允许的失败尝试次数（范围：2–11）。 - **最大宽限期（分钟）**：设备无需输入密码即可保持解锁的时间（0 = 无）。 - **最大不活动时间（分钟）**：设备锁定前的空闲时间（范围：0–15）。 - **最大密码有效期（天）**：强制更改密码前的最大密码有效期（范围：0–730）。 - **最少复杂字符数**：“复杂”字符的最小数量（范围：0–4）。 - **最小长度**：密码的最小长度（范围：0–16）。 - **密码重用限制**：用于防止重复使用旧密码的密码历史长度（范围：1–50）。 # 限制 “限制”部分用于控制受管理 Apple 设备上允许使用哪些操作系统功能。在 Apple 政策编辑器中，这些选项以包含多个开关的分组面板形式呈现。 **应用管理** 和 **网络** 面板的开关在 Apple 政策的 [应用与描述文件](https://enterprise.cerberusapp.com/docs/books/8efb1/page/33e75 "Apps & profiles") 和 [网络](https://enterprise.cerberusapp.com/docs/books/8efb1/page/5737c "Networking") 页面中描述。

许多限制仅在特定的操作系统版本上受支持，并且可能需要受监管设备。请使用仪表板中的工具提示获取权威要求。

在使用用户注册的设备（通过使用工作账户登录注册的个人设备）上，Apple 不允许的限制不会被发送。如果政策的限制均不适用，这些设备不会获得限制描述文件。政策编辑器会显示有多少限制不适用于用户注册设备。

## 安全性 - **允许自动解锁** - **允许使用指纹解锁** - **允许修改指纹** - **允许抹掉内容和设置** - **允许启用限制** - **允许用户安装描述文件** - **允许主机配对** - **允许提交诊断** - **允许修改诊断提交** - **允许 Apple 个性化广告** - **允许修改远程管理** ## 多媒体 - **允许相机** - **允许修改文件共享** - **允许“文件”访问 USB 驱动器** - **允许通话录音** - **允许 AirPrint** - **允许存储 AirPrint 凭据** - **允许发现 AirPrint iBeacon** ## 蜂窝网络 - **允许修改 App 蜂窝数据** - **允许修改蜂窝套餐** - **允许修改 eSIM** - **允许向外转移 eSIM** - **设备擦除时保留 eSIM** - **允许漫游时后台获取** ### 蜂窝 APN **蜂窝 APN**用于设置运营商提供的接入点名称 (APN)，例如用于专用或企业移动网络。设置**接入点名称**，并在运营商要求时设置认证（PAP 或 CHAP）、用户名（允许使用 $EMAIL$ 等变量）、密码、IP 版本（漫游时也适用）、代理服务器及其端口和 XLAT464。仅当运营商为你提供用于连接网络的单独 APN 时，才开启**附加 APN**。 - 只有 iPhone 和蜂窝版 iPad 会获得此设置，且无需受监管。使用用户注册（个人设备）注册的设备不会获得此设置。 - 它仅适用于用于蜂窝数据的 SIM 卡。已通过其他方式安装 APN 描述文件的设备不会安装它。 - 密码与其他网络密码一样受到保护：描述文件只会发送到为其创建的设备，并且密码不会写入日志。

错误的 APN 会导致设备没有蜂窝数据：请先在装有该运营商 SIM 卡的测试设备上尝试这些设置。

## 系统与用户界面 - **允许 Handoff** - **允许自动更正** - **允许自动调暗** - **允许自动屏幕保护程序** - **允许 QuickPath 键盘** - **允许定义查询** - **允许修改设备名称** - **允许设备睡眠** - **允许 iPhone 镜像** - **允许 Mac 上的 iPhone 小组件** - **允许键盘快捷键** ## Apple 应用与服务 - **允许 iMessage** - **允许 Game Center** - **允许添加 Game Center 好友** - **允许查找设备** - **允许查找朋友** - **允许修改查找朋友** - **允许图书商店** - **允许图书商店成人内容** - **允许企业图书备份** - **允许企业图书元数据同步** - **允许 iTunes Store** - **允许成人内容** ## Siri 与 Apple Intelligence - **允许 Siri** - **允许 Siri 用户生成内容** - **允许在锁定时使用 Siri** - **允许听写** - **允许外部智能集成** - **允许外部智能登录** - **允许 Genmoji** - **允许 Image Playground** - **允许 Image Wand** ## iCloud - **允许 iCloud 通讯录** - **允许 iCloud 备份** - **允许 iCloud 书签** - **允许 iCloud 日历** - **允许 iCloud 桌面和文档** - **允许 iCloud 文档同步** - **允许 iCloud Freeform** - **允许 iCloud 钥匙串同步** - **允许 iCloud 邮件** - **允许 iCloud 备忘录** - **允许 iCloud 照片图库** - **允许 iCloud 私人中继** - **允许 iCloud 提醒事项** ## 账户（限制） 账户面板同时包含一项限制和（可选的）账户配置。限制开关控制用户是否可以修改系统账户。 - **允许修改账户** # 网络 Apple 政策编辑器的 **网络** 部分在设备上配置 Wi-Fi 网络和 VPN，安装证书，并限制 AirDrop 和蓝牙等连接功能。每个 Wi-Fi 网络、VPN 和证书都会作为独立的配置描述文件安装，您可以在设备的 **设置 > 通用 > VPN 与设备管理** 中看到它（Mac：**系统设置 > 通用 > 设备管理**，或在 macOS 13 和 14 上为 **隐私与安全 > 描述文件**），也可以在设备页面的 **描述文件、证书和安全** 面板中看到它。

证书取自[**证书**](https://enterprise.cerberusapp.com/docs/books/8efb1/page/115f8 "Certificate management")页面：请先在那里导入它们。政策只会引用它们，因此证书绝不会被复制到政策中。

## 限制 - **允许 AirDrop** - **允许 AirPlay 传入请求** - **允许修改蓝牙** - **允许修改蓝牙共享** - **允许“文件”访问网络驱动器** - **允许修改互联网共享** - **允许内容缓存** - **允许 iTunes 文件共享** ## Wi-Fi 网络 点击**添加 Wi-Fi 网络**并填写： - **网络名称 (SSID)**：网络的名称，最多 32 个字符。 - **安全性**：无（开放网络）、WEP、WPA 或 WPA2、WPA2 或 WPA3、仅 WPA3，或任意。 - **密码**：个人网络的密码。 - **自动加入**和**隐藏网络**（适用于不广播名称的网络）。 - **代理**：无、手动（服务器和端口）或自动（PAC 文件 URL，留空则通过 WPAD 在网络中查找设置）。 - **描述文件名称**（可选）和**应用于**，用于将网络限制为某些设备类型。 ### 企业网络 (802.1X) 当用户使用自己的凭据或证书而非共享密码进行认证时，请开启**企业网络 (802.1X)**。 - **认证**：PEAP、TTLS（及其内部认证，例如 MSCHAPv2）或 TLS（仅证书）。 - **设备用户的凭据**：每台设备使用其用户的 EAP 身份、匿名身份和密码，这些在“用户”页面中设置。没有用户的设备不会获得该网络。 - **身份**、**匿名身份**和**密码**：对所有设备都相同。身份可以包含变量 $EMAIL$、$USERNAME$、$FULLNAME$、$SERIAL$ 和 $UDID$。将密码留空可让用户在设备上输入。 - **身份证书**：设备出示的客户端证书（TLS 必需）。请参阅下方的证书选项。 - **受信任的证书**：签发 RADIUS 服务器证书的 CA 证书。它们会随网络一起安装。 - **受信任的服务器名称**：设备接受的 RADIUS 服务器证书名称，例如 radius.example.com 或 \*.example.com。 ## VPN 点击**添加 VPN**以配置 IKEv2 或 Cisco IPSec VPN，这些协议内置于 iOS、iPadOS 和 macOS（无需 VPN 应用）。 - **类型**和**服务器**。对于 IKEv2，还需设置**远程标识符**（服务器身份，留空表示服务器地址）和**本地标识符**，它们可以包含变量 $EMAIL$、$USERNAME$、$FULLNAME$、$SERIAL$ 和 $UDID$。 - 设备的**认证**：证书（来自“证书”页面、设备用户的证书，或从 SCEP 服务器请求）、共享密钥（IPSec 可附带组名称），或对于仅检查用户名和密码的 IKEv2 服务器则不使用认证。 - **受信任的证书**：VPN 服务器的 CA 证书，会随 VPN 一起安装。对于 IKEv2，你还可以设置预期的服务器证书签发者和名称。 - **用户名和密码**：用户还需使用用户名（允许变量）和密码进行认证（IKEv2 使用 EAP，IPSec 使用 XAuth）。将密码留空可让用户在设备上输入。 - **VPN 名称**（显示在“设置”中）和**应用于**。 ### 连接 - **用户在“设置”中连接**：VPN 已安装，用户在需要时开启它。 - **按需连接**：设备会自动连接 VPN。启用**受信任的 Wi-Fi 时除外**后，VPN 不会在你列出的 Wi-Fi 网络上使用，例如办公室网络。 - **始终开启**（仅限 IKEv2、受监管的 iPhone 和 iPad）：所有流量在蜂窝网络和 Wi-Fi 上都会经过 VPN，用户无法将其关闭。其他设备不会获得此 VPN。如果 VPN 使用用户名，则必须在政策中设置密码。 - **按应用 VPN**：只有部分应用使用 VPN。请在**应用管理**部分中为每个应用选择 VPN（应用的**VPN**字段，在 Mac 上不可用），并可选择列出使用它的 Safari 域。

请先在测试设备上测试“始终开启”或按需 VPN：如果无法访问服务器，设备可能会没有连接。

## 全局代理、加密 DNS 和 Web 内容过滤器 这些设置应用于设备的所有流量。请使用各自的开关开启它们。 - **全局 HTTP 代理**（受监管的 iPhone 和 iPad、Mac）：所有 HTTP 流量都会在每个网络上经过代理。设置服务器和端口（可附带用户名和密码），或设置自动配置（PAC 文件 URL，留空则在网络上查找）。**允许 Wi-Fi 登录页面**可让用户在不使用代理的情况下登录公共 Wi-Fi 网络。 - **加密 DNS**：设备通过 DNS over HTTPS（服务器 URL）或 DNS over TLS（服务器名称）使用你的 DNS 服务器解析名称，可选择仅对某些域生效。在受监管设备上，你可以阻止用户将其关闭。 - **Web 内容过滤器**（受监管的 iPhone 和 iPad）：iOS 内置的过滤器会限制成人网站，可使用始终允许或始终阻止的网站列表，或仅允许网站列表，并在 Safari 中显示为书签。

错误的代理或 DNS 服务器可能导致设备没有连接：请先在测试设备上尝试这些设置。

## 证书 点击**添加证书**以单独安装证书：Safari 和应用必须信任的证书颁发机构，或应用使用的身份。Wi-Fi 网络或 VPN 的证书无需在此添加。 ### 证书选项 - **“证书”页面中的证书**：在所有设备上使用相同的证书。点击**选择证书**来选择它。 - **设备用户的证书**：每台设备会获得与其用户关联的客户端证书。用户没有证书的设备不会获得它。当你将另一份证书关联到用户时，设备会更新。 - **从 SCEP 服务器请求**：每台设备从你的 SCEP 服务器（例如 Microsoft NDES）请求自己的证书，因此私钥永远不会离开设备。设置服务器 URL、服务器要求时的质询、主题（例如 CN=$EMAIL$）、备用名称、密钥大小和密钥用途。

使用旧版 RC2 加密保护的客户端证书（.p12）无法安装在 Apple 设备上。请在导入前使用 3DES 或 AES 加密重新导出它们。

## 安全性 包含密码或私钥的描述文件只会发送到为其创建的设备：设备必须使用其管理证书对请求进行签名。密码和证书不会写入日志。 # 软件更新 Apple 政策编辑器中的**软件更新**部分可让设备保持最新：它可以要求设备在截止日期前使用特定 OS 版本，并控制设备下载和安装更新的方式。 ## 必需的 OS 更新 点击**添加必需更新**以要求某个 OS 版本。设备会下载更新，告知用户截止日期，并在用户之前未安装的情况下于截止日期安装。已运行该版本或更高版本的设备会忽略它。需要 iOS 和 iPadOS 17 或 macOS 14。 - **适用于**（必填）：iPhone 和 iPad，或 Mac。每个 OS 都有自己的版本号，因此请分别为每个 OS 添加一条必需更新。 - **OS 版本**：要安装的版本，例如 18.5 或 15.4.1。 - **构建版本**（可选）：特定构建版本，例如测试版或后台安全改进。 - **安装期限**：截止日期，采用每台设备的本地时间。过去的日期会使设备尽快安装更新。 - **详细信息 URL**（可选）：向用户显示的关于该更新的网页。

设备会在设备页面的**设备状态**面板中报告更新进度（下载、安装、失败）。

## 软件更新设置 打开**iPhone 和 iPad 的软件更新设置**或**Mac 的软件更新设置**，以控制这些设备上的更新。开关关闭时，设备会保留自己的设置。需要 iOS 和 iPadOS 18 或 macOS 15：较旧的设备会忽略这些设置。 - **延迟更新**：仅在经过指定天数（1 到 90 天）后向用户显示新更新。在 Mac 上，您可以为重大更新、次要更新和其他系统更新设置不同的时间段。 - **向用户显示的更新**（iPhone 和 iPad）：当有多个更新可用时，显示全部更新、仅显示最旧的次要更新或仅显示最新的更新。 - **标准用户可以安装更新**（Mac）：没有管理员权限的用户可以安装 macOS 更新。 - **通知用户有关必需更新的信息**：显示有关必需更新及其截止日期的通知。 - **自动下载**、**自动安装**和**自动安全更新**：让用户决定（Apple 的默认设置），或将它们始终开启或始终关闭。 - **后台安全改进**：向用户提供 Apple 的快速安全修复，并选择用户是否可以移除它们。 - **测试版计划**：允许用户加入 Apple 测试版计划，或将设备从计划中移除并加以阻止（在 iPhone 和 iPad 上，仅限受监督的设备）。 ## 从设备页面安装更新 设备的**设备状态**面板会列出可用于该设备的更新。使用**检查更新**让设备提供列表，使用**安装**立即安装某个更新，或下载该更新并让用户安装。这适用于受监督的 iPhone 和 iPad 以及 Mac。Apple 会在 iOS、iPadOS 和 macOS 27 中移除这些命令：在这些版本上，请使用政策中的必需更新。 # macOS Apple 政策编辑器的**macOS**部分可管理 Mac 的安全性、隐私和登录设置：FileVault、防火墙、Gatekeeper、屏幕保护程序与锁定、外部和网络存储、屏幕共享、隐私权限、登录项，以及允许载入的系统和内核扩展。它还会安装系统服务和后台任务的配置文件。政策中的其他设备不会获得这些设置。开启某项设置即可管理它；关闭时，用户保留自己的选择。

大多数设置会作为配置描述文件安装到 Mac 上，可在“系统设置”>“通用”>“设备管理”中查看。FileVault、隐私权限、登录项和扩展设置需要用户批准的 MDM：对于通过注册 URL 或二维码注册的 Mac，用户需在“系统设置”中批准注册描述文件。设备页面会在**用户批准的 MDM**字段中显示该状态。当用户稍后批准后，Mac 会自动获得这些设置。

## FileVault FileVault 会加密 Mac 的磁盘。开启此设置后，用户会被要求使用其密码开启 FileVault，Mac 会将其个人恢复密钥发送到 Cerberus Enterprise，并使用仅属于贵组织的密钥加密。该密钥会显示在设备页面的**FileVault**字段中，也可在该字段中更改（请参阅设备命令）。此设置需要 macOS 13 或更高版本以及用户批准的 MDM；没有用户批准的 MDM 时，Mac 不会被要求开启 FileVault，但如果用户自行开启，其密钥会被存储。 - **登录时要求**：在下次登录时、跳过若干次之后（用户每次登录和注销时都会被再次询问），或仅在用户注销时。 - **注销时不询问**：仅在登录时询问用户。不能与“仅在注销时询问”同时使用。 - **向用户显示恢复密钥**：默认关闭，因此只有管理员可以从设备页面获知密钥。 - **阻止关闭 FileVault**：默认开启。 - **待机时从内存中移除密钥**：Mac 从待机状态唤醒时，用户需要再次输入密码。 - **密钥的存放位置**：在登录窗口中向用户显示的文本，例如恢复 Mac 时应联系谁（默认为“Cerberus Enterprise”）。

获得此设置时已经加密的 Mac 会保留其当前密钥，Cerberus Enterprise 不会收到该密钥：只有在用户关闭并重新开启 FileVault 后（且“阻止关闭 FileVault”已关闭），密钥才会被存储。关闭此设置或将 Mac 从管理中移除不会关闭 FileVault，已存储的密钥仍然有效。当服务器未配置为存储恢复密钥时，无法保存此设置。

## 防火墙 - **开启防火墙**：关闭时，防火墙会保持关闭，用户无法将其开启。 - **阻止所有传入连接**：只有基本的网络服务（DHCP、Bonjour、IPSec）可以接收连接。 - **隐身模式**：Mac 不会响应 ping 请求以及发往已关闭端口的连接。 - **允许内置软件**和**允许已下载的签名应用**在不询问用户的情况下接收连接（macOS 12.3 或更高版本）。 - **特定应用的规则**：按 bundle ID 允许或阻止某个应用的传入连接。 ## Gatekeeper Gatekeeper 会在应用打开前对其进行检查。选择 Mac 仅打开 App Store 应用，还是也打开已识别开发者的应用。关闭 Gatekeeper 后，任何应用都可以打开，包括未签名或已损坏的应用。在 macOS 15 或更高版本上，你还可以选择是否询问用户将阻止的恶意软件发送给 Apple。 ## 屏幕保护程序与锁定 在一段无操作时间后启动屏幕保护程序，并在屏幕保护程序启动或显示器睡眠时要求输入密码，可立即要求或延迟要求。保留为**不受管理**的设置将维持用户的选择。 ## 外部和网络存储 允许、设为只读或阻止 Mac 的外部存储（USB 驱动器、SD 卡、外置磁盘）和网络存储（文件共享）。需要 macOS 15 或更高版本。 ## 屏幕共享 限制使用屏幕共享连接到这些 Mac 的人员：从 Mac 复制文件或向 Mac 复制文件、高性能连接以及虚拟显示器的数量。开启屏幕共享仍由用户自行选择。需要 macOS 14 或更高版本。 ## 隐私权限 授予或拒绝应用在“系统设置”>“隐私与安全性”中本应由用户允许的访问权限，例如为备份应用授予完全磁盘访问权限，或拒绝某个应用访问相机。对于每项权限，请选择： - **权限**：完全磁盘访问权限、辅助功能、自动化、文件夹、联系人、日历、照片、相机、麦克风、屏幕录制以及“隐私与安全性”中的其他权限。 - **访问权限**：允许或拒绝。相机、麦克风、屏幕录制和输入监控无法通过描述文件允许，只能拒绝；对于屏幕录制和输入监控，你还可以让用户在没有管理员权限的情况下允许它们。 - **应用**：应用的 bundle ID，或程序的路径（例如命令行工具）。 - **代码要求**：通过签名标识应用。可在“终端”中使用 `codesign -dr - /Applications/Example.app` 获取，并复制 `designated =>` 之后的文本。 - **自动化**还需要受控制的应用（例如访达）及其代码要求。 ## 登录项和后台项 与规则匹配的登录项和后台项会受到管理：它们无需询问即可运行，并且用户无法在“系统设置”>“通用”>“登录项”中将其关闭。规则可匹配应用的开发者团队 ID、其 bundle ID，或启动守护进程或代理的标签（也可匹配其第一部分）。需要 macOS 13 或更高版本。 ## 系统扩展 系统扩展是应用扩展 macOS 功能的现代方式：网络过滤器与 VPN、终端安全代理和驱动程序。开启此设置后，所列开发者团队的系统扩展无需询问用户即可载入。需要 macOS 10.15 或更高版本以及用户批准的 MDM。 - **团队 ID**：开发者的 10 个字符的团队 ID（例如可在应用的“签名者”详细信息中查看，或使用 `codesign -dv` 获取）。每个团队只能出现一次。 - **允许**：该团队的所有扩展，或仅具有所列 bundle ID 的扩展。 - **类型**：将团队限制为驱动程序、网络或终端安全扩展。未选择任何类型时，允许所有类型。 - **移除**（仅适用于所列扩展）：应用可以在没有管理员的情况下移除其扩展（macOS 12 及更高版本），在系统完整性保护开启时无法关闭或移除该扩展，或者无法在“系统设置”和“访达”中移除它（macOS 15 及更高版本）。运行较旧 macOS 的 Mac 仍允许该扩展，但没有移除选项。 - **用户可以批准其他系统扩展**：默认开启。关闭后，只有描述文件允许的扩展可以载入；如果 Mac 上的任何描述文件将其关闭，则它处于关闭状态。

在 macOS 11.3 及更高版本上，移除此设置会关闭它曾允许的系统扩展，例如安全代理或网络过滤器。当关闭此设置、删除政策以及 Mac 迁移到不包含此设置的政策时，就会发生这种情况。编辑器在关闭此设置前会请求确认。

## 内核扩展（旧版） 内核扩展是扩展 macOS 的较旧且已弃用的方式：当供应商提供系统扩展时，请优先使用系统扩展。所列团队的内核扩展（团队的所有扩展，或仅所列 bundle ID 的扩展）会在重新启动后无需询问用户即可载入。需要 macOS 10.13.2 或更高版本以及用户批准的 MDM。 - **用户可以批准其他内核扩展**：默认关闭，因此只有所列团队可以载入内核扩展。 - **标准用户也可以批准它们**：在用户批准开启时，没有管理员权限的用户也可以批准它们（macOS 11 及更高版本）。

在搭载 Apple silicon 的 Mac 上，仅靠描述文件还不够：必须有人以恢复模式启动 Mac，在“启动安全性实用工具”中选择“降低安全性”，并允许用户管理来自已识别开发者的内核扩展。Mac 还可能需要一个托管在 Cerberus Enterprise 中的 Bootstrap Token 来批准它们（请参阅设备页面的 Bootstrap Token 字段）。

## Mac 文件 服务配置文件和后台任务使用的文件需要上传到贵组织的**Mac 文件**中：zip 归档和属性列表（.plist），最大 20 MB。可使用 macOS 部分的**Mac 文件**按钮，或在某项设置中使用**选择文件**来上传文件、检查其使用位置或删除它们。政策正在使用的文件无法删除。要更改文件，请上传新版本并在政策中选择它：Mac 会重新下载它。 ## 服务配置文件 从 zip 归档安装系统服务的配置文件。内置服务包括 SSH 服务器 (sshd)、sudo、PAM、打印 (CUPS)、Apache Web 服务器、bash、zsh、智能卡登录和授权。你也可以使用自己的服务，并使用类似 `com.example.service` 的反向 DNS 标识符：它会通过 macOS 的受管理配置文件库查找文件。每个服务只能有一项设置。需要 macOS 14 或更高版本。

内置服务仅使用归档中的文件，并忽略其自身文件（例如 sshd 的 /etc/ssh）：请将完整配置放入归档中，并使用从磁盘根目录开始的文件夹（例如 `etc/ssh/sshd_config`）。这些文件在 Mac 上是只读的，并会随此设置一起移除。请先在一台 Mac 上测试归档：错误的 sudo 或 PAM 配置可能导致用户无法登录或无法使用管理员权限。

## 后台任务 由 launchd 启动的后台运行程序和脚本。用户无法关闭它们，它们会随此设置一起移除。需要 macOS 15 或更高版本。对于每个任务，请选择： - **任务标识符**：一个反向 DNS 标识符，例如 `com.example.task`，每个任务必须不同。 - **程序和脚本**（可选）：一个 zip 归档，Mac 会将其解压到 `/var/db/ManagedConfigurationFiles/BackgroundTaskServices/Services/` 后接任务标识符。请保留文件的可执行权限，并且不要在其中放入属性列表。 - **launchd 属性列表**：启动这些程序的作业，作为守护进程（针对整个系统，以 root 身份）或代理（在每个用户会话中）载入。请使用上述文件夹中的路径引用这些程序。 任务需要程序或至少一个属性列表。当文件发生变化时，Mac 会重新启动该任务。 # 位置和地理围栏 Apple 政策编辑器的 **位置和地理围栏** 部分定义了区域，例如站点或仓库。安装了 Cerberus Enterprise 应用的 iPhone 和 iPad 会在进入或离开这些区域时报告，事件规则可以对此做出反应：发送电子邮件、锁定或停用设备，或再次启用设备。Mac 不使用地理围栏。 ## 地理围栏字段 使用**添加地理围栏**创建新条目。一个政策最多可包含**10 个地理围栏**，并且它们的名称在政策内必须唯一。每个地理围栏包含以下字段： - **名称**：必填且唯一。 - **纬度**和**经度**：区域的中心。你也可以点击地图来设置。 - **半径（米）**：必填，范围为 **200** 到 **10000** 米。 - **描述**：供管理员使用的可选备注。 - **报告进入**和**报告离开**：选择要生成哪些事件。至少需保持开启一个。 - **活动**：启用或停用地理围栏而不删除它。 每个地理围栏都有一个地图预览。已保存的地理围栏的中心和半径处于锁定状态：使用地图上的锁定按钮进行更改。其他按钮会将地图居中到该区域或你的当前位置。 保存政策时，Cerberus Enterprise 会要求政策中的 iPhone 和 iPad 获取新的地理围栏。这通常需要几分钟，但 iOS 可能会延迟，例如在低电量模式下或没有网络连接时。设备页面会显示应用何时尚未应用最新的地理围栏。 ## 要求 地理围栏在安装了 Cerberus Enterprise 应用的 iPhone 和 iPad 上有效。Mac 会忽略它们。在设备上： - 已安装 Cerberus Enterprise 应用（Cerberus 会安装它），并且用户至少打开过它一次； - 该应用的位置访问权限设置为**始终**； - **精确位置**已为该应用开启； - **后台 App 刷新**已开启。

位于该部分顶部的**个人设备上的位置和地理围栏**默认关闭。关闭期间，Cerberus 不会收集个人设备（用户注册）的位置，不会生成它们的地理围栏事件，其设备页面也不会提供定位或实时追踪。开启后，政策中的个人设备会像公司设备一样共享其位置和地理围栏事件，但前提是用户允许 Cerberus Enterprise 应用访问位置；iOS 询问之前，该应用会向用户说明这一点。贵组织有责任告知用户并遵守有关员工位置的当地规定。丢失模式和 MDM 位置请求在个人设备上始终不可用（Apple 不允许）。

在**低电量模式**下，地理围栏仍会继续工作，但 iOS 会延迟报告离开某个区域，并且位置不够精确；政策更改后，它还可能将获取新地理围栏的时间延迟数小时，直到应用再次运行（例如在下一次跨越边界时，或用户打开应用时）。 ## 事件如何到达 iOS 会代表应用监视这些区域，并在设备跨越边界时唤醒应用，即使应用未打开也是如此。事件可能会在跨越边界几分钟后到达，而较小的区域或短暂的停留可能会被遗漏：iOS 需要设备越过边界移动一段距离，并在那里停留一段时间。 如果应用无法运行，例如在设备解锁前重新启动之后，服务器稍后也会根据应用发送的位置检测跨越。无论由应用还是服务器检测到，每次跨越只会触发一次事件规则。 当应用数小时未联系服务器时，服务器会请求 iOS 唤醒它，以便它能再次检查其地理围栏。iOS 不保证这些请求。 ## 设备页面 在设备页面上，**地理围栏**标签页（位于**位置地图**面板中）会显示设备的进出记录。当政策包含活动地理围栏时，状态行会说明地理围栏功能在该设备上是否有效，或为何无法使用：应用尚未联系服务器或需要更新，位置访问权限未设为**始终**，**精确位置**或**后台 App 刷新**已关闭，应用上次报告其设置时**低电量模式**处于开启状态，或者应用尚未应用最新的地理围栏。

地理围栏转换记录和位置保留 **90 天**，更早的数据每晚自动删除。每台已注册设备的最新位置始终保留，因此它会保留在地图上。

## 限制 - 复制政策不会复制其地理围栏：请在副本中重新添加。 - iPhone 和 iPad 上的地理围栏事件属于尽力而为：由 iOS 决定应用何时可以运行。

要响应地理围栏事件，请为**设备进入地理围栏**或**设备离开地理围栏**创建事件规则。请参阅[**事件规则**](https://enterprise.cerberusapp.com/docs/books/8efb1/page/1a5b1 "Event rules")。

# 账户 Apple 政策编辑器的**账户**部分可为 iPhone、iPad 和 Mac 添加邮件、Exchange、Google、日历、通讯录和目录账户。点击**添加账户**并选择类型。该部分还包含**允许修改账户**限制（受监管设备）。

在 Mac（macOS 13 或更高版本）上，账户会在已注册管理的用户（通常是注册该 Mac 的用户）登录时安装到其会话中。设备页面会在**Mac 用户**下列出这些用户及其账户状态。使用设备用户电子邮件地址的账户会采用 Cerberus Enterprise 中分配给该 Mac 的用户。

## 常用设置 - **设备用户的名称和电子邮件**（邮件、Exchange、Google）：每台设备使用其用户的名称和电子邮件地址，这些信息在用户页面中设置（对于 Google，为用户自己的 Google 账户）。没有用户或用户没有电子邮件地址的设备不会获得该账户。否则，请设置固定的电子邮件地址和全名。 - **账户名称**（可选）：账户在“设置”和应用中的名称。 - **用户名**和**密码**（可选）：用户名可以包含变量 $EMAIL$、$USERNAME$、$FULLNAME$、$SERIAL$ 和 $UDID$。将密码留空可让用户在设备上输入，或将两者都留空以让用户输入。 - **适用于**：将账户限制为某些设备类型。 ## 账户类型 - **邮件账户**：IMAP 或 POP 接收服务器和发送服务器，及其端口和身份验证。发送服务器可以使用与接收服务器相同的用户名和密码。 - **Exchange 账户**（Exchange ActiveSync）：服务器，留空则从电子邮件地址中查找。选择服务（邮件、通讯录、日历、提醒事项、备忘录）以及用户是否可以更改它们。使用**新式身份验证 (OAuth)**时，用户通过您的身份提供商（例如 Microsoft 365）的页面登录。**身份验证证书**（iOS 17 或更高版本）使用证书对设备进行身份验证。 - **Google 账户**：用户使用指定的电子邮件地址登录 Google 账户。 - **日历账户 (CalDAV)**和**通讯录账户 (CardDAV)**：服务器、端口和路径。 - **目录 (LDAP)**：服务器和端口，以及用于查找联系人的搜索（搜索基点、范围和描述）。 - **订阅日历**：日历的 URL（https、http 或 webcal）。 ## S/MIME 邮件和 Exchange 账户可以使用 S/MIME 对邮件进行签名和加密（iOS 17 或更高版本）。对于每个账户，请选择证书：证书页面中的某个证书、设备用户的证书，或从 SCEP 服务器请求的证书。您可以允许用户将其关闭、选择其他证书，并且对于加密，为每封邮件显示一个开关。 ## 安全 密码和证书不属于发送到设备的设置：每台设备都会使用其管理证书签署请求，从 Cerberus Enterprise 下载自己的凭据。它们不会写入日志。 # 合规性规则 Apple 政策编辑器的**合规性规则**部分会为政策中的设备设定要求。违反规则的设备会立即变为不合规：设备页面会在**设备不合规的原因**中说明原因，设备列表也会将其显示为不合规。当政策中的某项设置无法应用到设备上时，该设备也会被视为不合规。 ## 规则 - **密码**：设备设有密码，并且符合政策的密码设置。 - **最低操作系统版本**：适用于 iPhone 和 iPad，或适用于 Mac。要更新设备，请在“软件更新”中添加必需的更新。 - **受监管设备**：使用注册描述文件或通过用户注册方式注册的设备不受监管。 - **FileVault 已开启（Mac）**：Mac 的磁盘已使用 FileVault 加密。其他设备不受影响。 当设备发送状态时、保存政策时以及每小时都会检查规则。状态未知的设备（例如尚未报告 FileVault 的 Mac）不会违反规则。 ## 阻止设备 开启**如果设备仍不合规则阻止设备**，并设置多少天后（0 表示立即阻止）。受监管的 iPhone 和 iPad 会进入丢失模式，并显示你设置的消息。其他设备会被锁定一次；Mac 会重新启动并要求输入 PIN，该 PIN 会显示在命令历史记录中该命令的详细信息里。 - **解除阻止**：当设备再次合规时，丢失模式会自动关闭。 - **自行关闭丢失模式**：在设备再次合规并再次违反规则之前，它不会被再次阻止。可使用此操作让用户修复设备。

要收到通知或以其他方式做出响应，请为**设备变为不合规**创建事件规则：该事件还会包含原因。

# 设备状态 # 设备概览 从**仪表板** → **设备**中点击设备行即可打开设备。页面标题会显示设备**型号**（在可用时）和内部**ID**。 ## 历史数据与当前注册 当设备有多个注册时，Cerberus Enterprise 可以显示只读的历史记录。在这种情况下，页面会显示**历史数据**横幅以及一个返回当前注册数据的按钮。 ## 顶部字段 顶部区域汇总设备身份、分配和管理状态。某些字段特定于平台，仅对 Android 或 Apple 设备显示。 - **ID**和**型号**：只读标识符。 - **用户**：显示当前分配的用户（如果有）。从用户菜单中，您可以**打开用户**或**更改用户**，或在未设置用户时分配用户。 - **管理模式**和**所有权**：在界面中通过工具提示显示。 - **状态**：当前设备状态（包含图标和工具提示详细信息）。处于丢失模式的设备在 Android 和 Apple 上都会显示 **丢失**，页面顶部的横幅会说明下一步该怎么做。 - **ADE 配置描述文件**（仅限 Apple）：显示已分配的自动设备注册配置描述文件（如果有），并允许您打开或更改它。 - **政策**：显示已分配的政策，并允许您打开或更改它，或在未设置时分配一个政策。 - **政策合规性状态**（已分配政策时）：指示设备是否合规。 - **政策版本**（已分配政策时）：指示设备是否已应用最新的政策版本。 - **Cerberus Enterprise 应用**（仅限 iPhone 和 iPad）：Cerberus 在设备上安装的 Cerberus Enterprise 应用的状态。**不可用**（iOS 或 iPadOS 低于 18.4、公司设备没有序列号，或个人设备没有 Managed Apple Account）；**个人设备上尚不可用**；**正在等待设备信息**；**正在等待 Managed Apple Account 的用户许可证**（个人设备，Apple 正在确认许可证）；**未安装**（应用不在您的 Apple Business 资料库中，或未设置 Apps and Books，并提供指向 **账户设置** 的链接）；**已安装 · Apps and Books 需要注意**（令牌已过期或应用已离开您的资料库：应用会保持安装状态）；**配置不可用**；**正在安装…**（如果设备在 30 分钟内未发送状态报告，工具提示会建议检查设备是否在线并重新启动它，这通常会重新开始安装）；**正在等待用户批准**；**用户已拒绝**和 **安装失败**（两者都会显示 **重试**，它会再次询问设备）；**已安装 · 正在等待应用启动**（应用尚未打开）；**已安装 · 配置未被接受**；并且，在应用注册后，还会显示其版本、最后联系时间以及通知是否已开启。 - **注册时间**和**上次状态报告**：注册和上次报告状态的时间戳。 - **已取消注册**：当设备已取消注册时显示。

某些数据和面板仅在设备政策中启用了相应类别时才可用。有关更多信息，请阅读 [**状态报告**](https://enterprise.cerberusapp.com/docs/books/8efb1/page/74071 "Status reporting") 和 [**位置和地理围栏**](https://enterprise.cerberusapp.com/docs/books/8efb1/page/ffd52 "Location and geofences") 页面。

## 面板 设备页面由可展开的部分组成。根据平台和状态，您可能会看到以下一个或多个面板： - **位置地图**：一个带有选项卡的面板，包含当前设备的**位置**历史记录，在 Android 设备、iPhone 和 iPad 上还包含用于地理围栏转换的**地理围栏**选项卡。 - **SIM 卡管理**：设备 EID 以及已安装的 SIM 卡和 eSIM。在 Android 上还包括 eSIM 命令及其历史记录；在公司所有的 iPhone 和蜂窝网络 iPad 上还包括数据漫游、个人热点和**刷新蜂窝套餐**。请参阅专门的[**SIM 卡管理**](https://enterprise.cerberusapp.com/docs/books/8efb1/page/sim-lri "SIMs management")页面。 - **命令**：向设备发送命令并查看命令历史记录（特定于平台）。 - **安全态势**：设备的安全状态及其风险。在 Android 上还包括 Play Integrity 判定结果。在设备报告之前，会显示 **未指定**，或在尚未发送任何安全数据的 Android 设备上显示 **尚未报告**。 - **设备不合规的原因**：仅在设备不合规时显示，并带有红色警告图标；打开后可查看原因。在 Android 上，它会列出不符合要求的政策设置；在 Apple 上，它还会说明是否有合规性规则阻止了设备。 - **设备状态**（仅限 Apple）：设备报告的 OS 版本、软件更新进度、密码、FileVault、电池和账户，以及可用于该设备的 OS 更新。请参阅[**命令**](https://enterprise.cerberusapp.com/docs/books/8efb1/page/34ed0 "Commands")页面。 - **应用**（Android）：已安装的应用及其反馈和错误报告。 - **应用**（仅限 Apple）：由政策安装的应用、通过命令安装的应用以及用户安装的应用，包括其安装状态、错误和操作（重试、移除）。在 Mac 上，它还会列出由政策安装的软件包，包括其状态和**重新安装**；作为受管应用安装的软件包带有**受管**标签，备注会说明软件包何时以非受管方式安装及其原因，或何时在下载后一小时仍未找到其应用。在 iPhone 和 iPad 上，Cerberus Enterprise 应用带有**由 Cerberus 安装**标签；它不会列在**政策**筛选条件下。设备未接受其受管配置的应用带有**配置未被接受**标签。在个人 iPhone 和 iPad（用户注册）上，有一行显示其用户许可证供 App Store 应用使用的 Managed Apple Account，等待许可证的应用会显示**正在等待用户许可证**或**用户许可证失败**，用户取消了安装提示的应用会显示**正在等待用户批准安装**，而**再次请求**会再次向 Apple 请求许可证或再次显示提示。请参阅[**命令**](https://enterprise.cerberusapp.com/docs/books/8efb1/page/34ed0 "Commands")页面。 - **描述文件、证书和安全**（仅限 Apple）：设备报告的配置描述文件、证书和安全状态。 - **清单变更**（仅限 Apple）：设备上安装、移除或更新的应用、描述文件和证书的时间线，可搜索并按类型和变更进行筛选。请参阅[**命令**](https://enterprise.cerberusapp.com/docs/books/8efb1/page/34ed0 "Commands")页面。 - **共享 iPad 用户**和 **Mac 用户**（仅限 Apple）：共享 iPad 的用户和 Mac 的用户。请参阅 [**命令**](https://enterprise.cerberusapp.com/docs/books/8efb1/page/34ed0 "Commands") 页面。 - **状态报告**：设备报告的额外数据，以类别和值的树状结构显示。 - **注册历史记录**：同一物理设备的先前注册记录，以列表形式显示。 ## 位置面板选项卡 **位置地图** 面板使用标签页将位置历史记录和地理围栏转换分开显示。 - **位置**：显示当前设备的历史记录筛选条件、日期范围搜索、位置标记、准确度圆圈和实时跟踪控件。 - **地理围栏**（Android、iPhone 和 iPad）：在专用地图上显示地理围栏转换历史记录，包含时间段筛选条件、可选的已归档地理围栏开关以及侧边转换列表。在 iPhone 和 iPad 上，状态行还会告知您设备上地理围栏功能何时无法正常工作。 有关这些选项卡的完整行为，请参阅[**位置地图**](https://enterprise.cerberusapp.com/docs/books/8efb1/page/5ef05 "Location map")。 ## 操作 在页面底部，您可以根据平台、设备状态和许可证状态刷新数据并执行操作。 - **刷新数据**：重新加载设备记录。 - **停用设备** / **启用设备**（仅限 Android）：在支持的状态下可用。 - **取消注册设备**：从设备移除管理。具体行为取决于平台和所有权（例如，Android 可能会抹掉工作资料或恢复出厂设置）。 - **删除设备**：当设备已取消注册且其记录可以移除时可用。 # 位置地图 本页面介绍[**设备概览**](https://enterprise.cerberusapp.com/docs/books/8efb1/page/37bc2 "Device overview")中可用的特定设备位置工具。该面板包含用于查看位置历史的**位置**标签页，以及在 Android 设备、iPhone 和 iPad 上用于查看地理围栏转换的**地理围栏**标签页。 ## 先决条件 在 Android 上，仅当设备政策中启用了位置报告时，才会显示设备位置数据。要启用该功能，请打开政策并开启 **位置和地理围栏** → **报告位置**。有关更多详细信息，请参阅 [**位置和地理围栏**](https://enterprise.cerberusapp.com/docs/books/8efb1/page/ffd52 "Location and geofences")。 在 iPhone 和 iPad 上，位置来自 Cerberus Enterprise 应用（在用户允许后），或来自设备处于丢失模式时的 **定位设备** 命令。Mac 和其他 Apple 设备不会报告其位置。

在未完全受管理的设备上，位置数据可能仍取决于 Cerberus Enterprise 应用是否拥有所需的位置权限，以及设备是否启用了位置服务。

在个人设备（用户注册）上，仅当 Apple 政策开启了**个人设备上的位置和地理围栏**，并且用户允许 Cerberus Enterprise 应用使用位置时，位置和地理围栏才可用。否则，其设备页面不会显示位置操作或实时跟踪。丢失模式在个人设备上始终不可用。

有关可从仪表板使用的全局多设备地图，请参阅[**仪表板位置地图**](https://enterprise.cerberusapp.com/docs/books/8efb1/page/24b16 "Dashboard location map")。

## 加载和无数据状态 - 位置数据加载时，面板会在地图上显示加载覆盖层。 - 如果设备没有可用的位置数据，面板会显示一条消息，内容为 **无可用位置数据**。在 Android 上，如果位置报告已关闭，它还会提醒您在分配的政策中启用位置报告。在 Apple 上，它会说明位置来自何处，或此类型的设备不会报告位置。 - 如果日期筛选条件处于活动状态且没有匹配的样本，面板会显示**所选日期范围内无可用数据**。 ## 位置标签页 打开**位置**标签页，查看单台设备的历史记录。可用的筛选条件包括最后已知位置、最近历史范围、自定义日期范围和实时跟踪。 - **最后**：显示最后已知位置。 - **今天**、**最近 7 天**和**最近 30 天**：显示所选时间段内记录的位置。 - **搜索**：让您选择自定义日期范围。 - **实时**：启动或停止当前设备的实时跟踪。

位置保留 **90 天**：更早的位置每晚自动删除。每台已注册设备的最新位置始终保留，因此即使设备长时间未报告，它也会保留在地图上。对于已移除的设备和过去的注册，超过 90 天的位置会全部删除。因此，**搜索**日期范围的开始时间不能早于 90 天前。

## 标记详情 点击位置标记时，会打开一个信息窗口，其中包含： - 位置记录的时间戳。 - 报告的**准确度**（以米为单位）。 - 报告的**速度**，前提是设备提供该信息。 - 报告的**航向**或方位，前提是设备提供该信息。 ## 准确度圆圈 打开信息窗口后，标记周围会显示一个准确度圆圈。圆圈半径与报告的准确度（以米为单位）相对应。关闭信息窗口后，圆圈会隐藏。 ## 实时跟踪 在设备历史记录视图中，选择**实时**筛选条件会针对该特定设备启动实时跟踪请求。Cerberus Enterprise 会在启动请求前请求确认。 - 实时跟踪的最长持续时间为**15 分钟**。 - 实时跟踪处于活动状态时，Android 设备会显示通知，iPhone 和 iPad 会显示位置指示器。 - 实时跟踪处于活动状态时，面板会持续刷新最新位置，实时指示器保持可见。 - 再次选择实时筛选条件，即可在超时结束前停止实时跟踪。 - 在**iPhone 和 iPad**上，实时跟踪通过 Cerberus Enterprise 应用运行，位置访问权限设为**始终**。通常情况下，即使应用未打开，该请求也会唤醒应用，随后应用会为整个会话发送位置。iOS 并不保证这些请求：它可能会延迟发送或根本不发送，例如在低电量模式下或没有网络连接时。如果 2 分钟内没有收到位置，仪表板会取消该请求：请让用户打开一次应用，然后重试。 ## 地理围栏标签页 在 Android 设备、iPhone 和 iPad 上，第二个标签页显示根据已分配政策中定义的地理围栏生成的地理围栏转换记录。 - 地图显示当前地理围栏区域以及记录的转换点。 - 右侧的转换列表可让您查看**进入**和**退出**事件。 - 可用的筛选条件包括**今天**、**最近 7 天**、**最近 30 天**以及自定义日期范围搜索。 - **包括已归档**还会显示与当前政策中已不再存在的旧地理围栏定义相关的转换记录。 - 地理围栏转换记录保留 **90 天**，更早的记录每晚自动删除，因此自定义日期范围搜索的开始时间不能早于 90 天前。 在 iPhone 和 iPad 上，当政策包含活动地理围栏时，标签页顶部的状态行会显示地理围栏功能在该设备上是否正常工作。当该功能无法正常工作时，它会告知您原因：Cerberus Enterprise 应用尚未联系服务器或需要更新；位置访问权限未设为**始终**；**精确位置**或**后台 App 刷新**已关闭；应用上次报告其设置时**低电量模式**处于开启状态（此时地理围栏事件和变更可能会延迟数小时）；或者应用尚未应用最新的地理围栏。一切正常时，它会显示应用正在监控多少个地理围栏。 ## 地理围栏转换详情 选择某个转换后，会在地图上打开其详情，并高亮显示列表中对应的条目。在可用的情况下，Cerberus Enterprise 还会显示该转换的设备坐标和报告的准确度。 # SIM 卡管理 设备页面提供了一个 **SIM 卡管理** 面板。在 Android 设备上，它管理设备上安装的 SIM 卡和 eSIM 配置文件，添加或移除 eSIM 配置文件，并显示发送到设备的 eSIM 命令历史记录。在公司所有的 iPhone 和蜂窝版 iPad 上，它会显示设备报告的 SIM 卡和 eSIM 套餐，并让设备下载运营商准备好的 eSIM 套餐：请参阅下方的 **iPhone 和 iPad**。

当设备政策中启用了**网络信息**报告时，完全托管设备会报告 SIM 信息（此选项由 Cerberus Enterprise 始终启用）。请参阅[**状态报告**](https://enterprise.cerberusapp.com/docs/books/8efb1/page/74071 "Status reporting")页面。

## 设备 EID EID（eUICC 标识符）用于标识设备的 eSIM 硬件。运营商使用它将 eSIM 配置文件绑定到设备，因此获取 EID 通常是 eSIM 配置工作流的第一步。 - **公司所有设备**（Android 13 及更高版本）：EID 会随设备状态自动报告，无需用户交互。 - **个人所有设备**（Android 13 及更高版本）：使用**请求 EID**按钮。用户会在设备上看到一条通知，请求共享 EID，并可批准或拒绝该请求。仅在用户批准后才会显示 EID。请求处于待处理状态时，该按钮保持禁用。

发送 EID 请求前会先显示确认对话框，因为用户会在设备上看到通知。

## 已安装的 SIM 卡 **已安装的 SIM 卡**表格列出当前已知的设备 SIM 卡，包括实体 SIM 卡和 eSIM 配置文件。在个人所有设备上，即使设备未报告 SIM 信息，通过**添加 eSIM**命令安装的 eSIM 配置文件也会显示。 - **运营商**：与 SIM 卡关联的运营商名称（当报告时）。 - **电话号码**：与 SIM 卡关联的电话号码（当报告时）。 - **ICCID**：SIM 卡的集成电路卡标识符。 - **激活状态**：eSIM 是否已激活。仅在 Android 15 及更高版本的 eSIM 上报告。 - **配置模式**：eSIM 是由管理员配置还是由用户配置。仅在 Android 15 及更高版本的 eSIM 上报告。 - **SIM 卡类型**：显示设备是否将该条目报告为 eSIM。

存在进行中或已执行（未失败）的移除命令的 eSIM 会显示临时的**正在移除**激活状态。当设备报告更新后的 SIM 卡列表时，该条目会从列表中消失。移除正在进行期间，移除按钮不可用，以避免重复发送同一命令。

### 移除 eSIM 使用已安装 eSIM 旁边的移除按钮，从设备中移除其配置文件。发送命令前，确认对话框会要求您确认要移除的 eSIM 的 ICCID。移除 eSIM 在 Android 15 及更高版本上受支持。 ## 添加 eSIM **添加 eSIM**部分会在设备上安装新的 eSIM 配置文件（在 Android 15 及更高版本上受支持）。它需要： - **有效期**：如果命令无法立即执行，其有效期有多长。 - **激活码**：eSIM 配置文件的激活码，由运营商提供。您可以输入完整激活码，或仅输入 SM-DP+ 地址，让设备发现运营商已链接到其 EID 的配置文件。 - **激活状态**：eSIM 配置文件应在下载后自动激活，还是保持未激活状态以便用户手动激活。 ## 命令历史记录 在添加 eSIM 部分下方，面板显示发送到设备的 eSIM 命令历史记录：**添加 eSIM**、**移除 eSIM**和**请求 EID**。该表格可排序并支持分页。某些行可以展开，以查看命令参数（例如激活码或 ICCID）和执行状态，包括操作在设备上失败时的 eSIM 错误详情。 - **创建日期** - **命令** - **有效期** - **状态** - **错误**：当命令执行报告 eSIM 错误状态时，显示该状态（例如*用户拒绝*、*激活码无效*或*找不到 ICCID*）。 - **执行日期** ## 抹掉和取消注册时抹掉 eSIM 当您从命令面板抹掉设备时，**抹掉 eSIM**标志控制是否在抹掉时移除 eSIM 配置文件。在具有工作资料的个人所有设备上，此标志默认启用（受管 eSIM 会被移除，个人所有的 eSIM 不受影响）。**取消注册设备**确认对话框中提供相同的标志。 ## iPhone 和 iPad 该面板仅在公司所有且不是用户注册的设备上，为 iPhone 和报告了蜂窝数据的 iPad（仅 Wi-Fi 的 iPad 没有）显示。设备信息会请求设备的蜂窝信息：注册时、每天、使用**刷新设备信息**时、其所有权变为公司所有时，以及**刷新蜂窝套餐**后几分钟。 - **设备 EID**：随 SIM 卡报告的 EID，并有一个按钮可将其复制给运营商。如果设备未报告 EID，用户可在设置 > 通用 > 关于本机中找到它。 - **已报告**、**数据漫游**、**个人热点**和**调制解调器固件**：设备是否已响应及其报告的状态。数据漫游和个人热点可通过命令面板中的**设备设置**进行更改，该面板也会显示当前状态。 - **SIM 卡**：每个 SIM 卡或 eSIM 套餐一行（双 SIM 设备有两行），包含设备报告的卡槽、其标签和类型（当设备随带 EID 报告时为**eSIM**，否则为**SIM 卡**）、运营商（设备漫游到其他网络时，工具提示中显示归属运营商）、电话号码、ICCID、EID、IMEI、用于数据和通话的 SIM 卡以及漫游状态。没有套餐的 eSIM 卡槽会以灰显方式显示为**无套餐**。 - **此设备未报告 SIM 卡**表示设备已响应但没有任何 SIM 卡；**尚无蜂窝信息**表示设备尚未响应：请使用**刷新设备信息**。

电话号码、ICCID、IMEI 和 EID 可识别个人和线路：绝不会向个人所有设备或用户注册请求这些信息。当设备变为个人所有时，这些信息会立即移除，并在命令历史记录中旧设备信息命令的结果中隐藏。它不会被导出，也不会写入系统日志。

### 刷新蜂窝套餐 iPhone 和 iPad 无法通过激活码安装 eSIM。运营商会在其 eSIM 服务器（SM-DP+）上将 eSIM 套餐绑定（预留）到设备的 EID，并向您提供该服务器的地址；随后**刷新蜂窝套餐**会要求设备下载等待它的套餐。面板中的**刷新蜂窝套餐**按钮会在命令面板中选择该命令，您可以在其中输入**运营商 eSIM 服务器 URL**： - **一个 https:// 地址**，按原样发送。包含 http://、用户名或密码或 # 部分的地址不被接受。 - **一个主机名**，例如*smdp.carrier.example*，按 https://smdp.carrier.example 发送。 - **一个 LPA 激活码**（LPA:1$server$code，即 eSIM 二维码的文本）：仅使用服务器部分，因为该命令无法携带激活码。运营商必须将该套餐绑定到设备 EID，否则设备找不到可下载的内容。 设备会在不询问用户的情况下安装并激活套餐，即使设备未受监督也是如此。命令历史记录中的成功仅表示设备接受了请求，并不表示已安装套餐：安装最多可能需要三分钟，Cerberus Enterprise 会在约三分钟后再次向设备请求其 SIM 卡，因此新套餐会出现在面板中。错误 36001（设备无法连接到其蜂窝系统）、36002（不支持 eSIM）和 36003（蜂窝系统繁忙，请稍后重试）会在系统日志中说明。已下载过一次的套餐无法再次下载：如果安装失败，请联系运营商。该命令也可在设备页面的**Apple 设备操作**菜单中同时对多台设备使用。 ### Apple 不允许的操作 - **通过激活码添加 eSIM**：不可行，请使用**刷新蜂窝套餐**并配合已绑定到 EID 的套餐。 - **移除 eSIM**：无法远程逐个移除 eSIM。抹掉设备且关闭**保留 eSIM 数据套餐**会移除所有 eSIM。要停用单个套餐，请让运营商将其停用：套餐会保留在设备上，但无法连接。 - **请求 EID**：无需此操作，公司所有设备的 EID 会随 SIM 卡一起提供。 - **Mac** 没有蜂窝或 eSIM 管理功能。 # 命令 设备页面提供了一个 **命令** 面板，用于向受管设备发送远程命令。可用命令取决于平台（Android 或 Apple）和设备状态。 只能向当前已注册的设备发送命令。对于已取消注册的设备、尚未注册的 ADE 设备以及过去注册的历史记录，面板仅显示命令历史记录。

如果设备当前不在线，命令将在设备连接到互联网后立即送达并执行。对于 Android 命令，您可以设置**有效期**参数，以确定未送达命令的有效时长。

## Android (AMAPI) 命令 对于 Android 设备，命令面板包含**有效期**字段（数值 + 单位）和**命令**选择器。某些命令需要额外参数，这些参数会在您选择命令时动态显示。 ### 常用参数 - **有效期**：如果命令无法立即执行，其有效时长。 - **命令**：选择要发送到设备的操作。 ### 无额外字段的命令 - **锁定设备**：锁定设备。 - **重新启动设备**：重新启动设备。需要 Android 7.0 或更高版本。 - **关闭丢失模式**：使设备退出丢失模式。 - **放弃所有权**：从运行 Android 8.0 或更高版本的公司所有设备上移除工作配置文件及所有政策，并将其留作个人使用。个人配置文件的应用和数据会保留。设备确认该命令后，将从服务器中删除。此操作无法撤销。 ### 带有额外字段的命令 - **重置密码**：需要**新密码**和**确认新密码**。可选开关包括**立即锁定**、**要求输入**和**启动时不要求凭据**。 - **清除应用数据**：需要目标**包名**。 - **启用丢失模式**：需要 **丢失消息**，并支持可选的联系信息字段（街道地址、组织、电话号码、电子邮件）。当设备报告已启用后，其状态会变为 **丢失**，设备页面会显示横幅，并且此命令会隐藏，直到丢失模式被关闭。 - **擦除设备**：支持 **擦除原因消息**（向个人设备上的用户显示）以及可选的擦除标志，包括 **擦除 eSIM**。

eSIM 命令（**添加 eSIM**、**移除 eSIM**、**请求 EID**）在专用的[**SIM 管理**](https://enterprise.cerberusapp.com/docs/books/8efb1/page/sim-lri "SIMs management")面板中提供。

### 命令历史记录 在发送控件下方，仪表板会显示命令历史记录表格。该表格可排序并支持分页。某些行可以展开，以查看其他参数或执行详情。 #### Android 历史记录列 - **创建日期** - **命令** - **有效期** - **状态** - **错误** - **执行日期** ## Apple (MDM) 命令 对于 Apple 设备，命令面板提供**命令**选择器。某些命令需要额外输入。与 Android 一样，下方会显示命令历史记录表格。 ### 带有额外字段的命令 - **安装应用**：需要应用 **Bundle ID**。 - **发送通知**：需要 **通知消息**（最大长度 200 个字符）。 在 iPhone 和 iPad 上，**发送通知**和实时跟踪通过 **Cerberus Enterprise** 应用到达设备：在应用安装并注册通知之前，这些功能处于禁用状态（请参阅 **Cerberus Enterprise 应用** 字段）。开始实时跟踪会显示“已向设备发送实时跟踪请求”：当设备发送第一个位置后，跟踪就会开始。iOS 可能会延迟请求或无法送达，例如在低电量模式下或没有网络连接时：如果 2 分钟内没有收到位置，请让用户打开一次应用。请求失败时，消息会说明原因，例如应用尚未注册、服务器通知密钥缺失，或设备的通知令牌不再有效。 ### 设备操作 仅列出设备支持的命令：有些需要受监督的 iPhone 或 iPad，另一些在 Mac 上不可用。破坏性操作会要求确认。 - **锁定设备**：锁定屏幕，可附带可选的消息和电话号码。Mac 会重新启动并使用六位 PIN 锁定，该 PIN 会在发送命令后显示一次，并显示在命令详情中。iPhone 会在您的消息上方显示“丢失的 iPhone”标题，即使此命令不会启用丢失模式。 - **启用丢失模式**（受监督的 iPhone 和 iPad）：锁定设备，并在锁定屏幕上显示您的消息、电话号码和脚注。丢失模式启用期间，页面会显示横幅以及**定位设备**（位置会显示在位置地图上）、**播放声音**和**禁用丢失模式**命令。 - 设备会告知持有者其位置已被定位：执行 **定位设备** 后，锁定屏幕会显示 **iPhone 已定位**，以及时间和接收位置的服务器名称，并显示 **继续** 按钮。iOS 会显示此通知，且无法关闭。 - **清除密码**：移除 iPhone 或 iPad 的密码，例如当用户忘记密码时。如果政策要求密码，系统会要求用户设置新密码。 - **刷新设备信息**：向设备请求其信息（监督状态、操作系统版本、安全状态、MDM 证书）及其清单。 - **设备设置**：打开一个窗口，用于更改设备名称、Mac 的主机名、蓝牙、数据漫游、个人热点、时区、墙纸、是否允许激活锁，以及在共享 iPad 上更改其设置（见下文）。仅会发送您更改的设置；设备不支持的设置会被禁用并显示原因。设备可以确认数据漫游或个人热点但并未实际应用（例如 SIM 套餐不包含个人热点），因此 Cerberus Enterprise 会在约 30 秒后重新读取这些设置，如果未更改，则会在系统日志中写入警告。 - **重新启动设备**和 **关闭设备**：在确认后立即重新启动或关闭设备。 - **擦除设备**：擦除所有内容和设置，并将设备从管理中移除。在 iPhone 和 iPad 上，您可以保留 eSIM 数据计划并跳过近距离设置；Mac 会获得六位 PIN。 - **恢复服务**（**擦除设备**的选项，适用于 iOS 17 或更高版本的 iPhone 和 iPad）：擦除后，设备会在无人操作的情况下自行重新设置，并使用其当前政策、用户和所有权重新注册。请为设置选择设备政策中的 Wi-Fi 网络，除非设备有以太网或蜂窝数据：只能使用个人网络（带密码、不带证书），因为设备尚无用户或证书。激活锁必须关闭。 - **刷新蜂窝数据计划**（iPhone 和蜂窝版 iPad，iOS 13 或更高版本，不适用于用户注册）：输入运营商提供的**运营商 eSIM 服务器 URL**（https:// 地址、主机名或 LPA 激活码，其中仅使用服务器部分），设备将下载运营商绑定到其 EID 的 eSIM 计划。设备 EID 显示在字段下方，以便发送给运营商。请参阅[**SIM 管理**](https://enterprise.cerberusapp.com/docs/books/8efb1/page/sim-lri "SIMs management")页面。 - 关闭**保留 eSIM 数据计划**会在擦除时移除所有 eSIM。政策限制**设备擦除时保留 eSIM**（受监督设备，iOS 17.2 或更高版本）适用于在设备上发起的擦除（密码尝试失败次数过多、抹掉所有内容和设置）：Apple 未记录其对此命令的影响。 - **注销用户**（共享 iPad）：注销当前用户并返回登录屏幕。尚未同步到 iCloud 的数据仍保留在 iPad 上。 ### 共享 iPad 共享 iPad 可由多人使用，每人拥有自己的 Managed Apple Account，或由访客使用临时会话。它通过启用共享 iPad 的 ADE 配置文件进行设置（请参阅[**Apple Automated Device Enrollment**](https://enterprise.cerberusapp.com/docs/books/8efb1/page/apple-ade-rNM "Apple Automated Device Enrollment")页面），其**注册类型**字段显示**共享 iPad**。 - **共享 iPad 用户**：iPad 的用户，包括已登录的用户、他们使用的存储空间，以及是否有某些数据尚未同步到 iCloud。使用**刷新**再次向 iPad 请求列表。用户可以连同其数据一起删除，但已登录的用户除外（请先将其注销）；**删除所有用户**需要 iPadOS 14 或更高版本。数据尚未同步时，确认对话框会警告数据将丢失。 - **设备设置**：每个用户的存储空间、预期用户数、用户和访客会话被注销前的闲置时间、仅限访客会话、登录屏幕上建议的 Managed Apple Account 域、用户无需在线检查密码即可登录的天数，以及为新用户跳过语言和地区设置。空字段会保留其当前值；需要较新 iPadOS 的设置会被禁用。 ### Mac 用户 在 Mac 上，**Mac 用户**面板列出已注册到管理中的用户，通常是注册该 Mac 的用户。政策的账户会在其会话中安装。对于每个用户，它会显示其注册时间、其会话的最后一次报告以及账户状态：**已是最新**、**等待用户**（用户登录后 Mac 会安装它们）、**未应用**（附 Mac 报告的原因），或政策没有账户时的**无账户**。使用**重新加载**再次读取列表。 ### 激活锁 **激活锁**字段显示激活锁是否开启。开启后，已擦除的设备只能使用用户的 Apple 账户或设备的绕过代码重新设置。受监督设备仅在**设备设置**中允许时才会开启激活锁。Cerberus Enterprise 会向受监督设备请求其绕过代码并存储：使用字段菜单中的**显示绕过代码**查看（仅管理员可查看，且每次查看都会记录到系统日志中），然后在设备的激活锁屏幕上将其作为密码输入，并将 Apple 账户留空。 ### 恢复锁和固件密码 (Mac) 搭载 Apple 芯片的 Mac 会显示**恢复锁**字段，基于 Intel 的 Mac 则显示**固件密码**字段。两者都会在启动时保护 Mac：使用恢复锁时，recoveryOS 会要求输入密码；使用固件密码时，Mac 在从其他磁盘或恢复模式启动时会要求输入密码。该字段显示 Mac 是否报告了密码，并在工具提示中显示 Cerberus Enterprise 存储该密码的时间以及上次验证的时间。 - **设置或更改密码**：Cerberus Enterprise 会生成一个由 20 个字母组成的密码，这些字母在任何键盘布局下都位于相同按键上；或者由管理员输入一个密码（8 到 64 个字符，不带重音符号；其他角色只能生成密码，因为他们无法查看已存储的密码）。密码在发送前会加密存储，并且仅在 Mac 确认后才替换已存储的密码。如果 Mac 已在 Cerberus Enterprise 之外设置密码，请将其作为当前密码输入：它仅使用一次且不会被存储。 - **验证密码**：询问 Mac 存储的密码是否正确。结果会显示在工具提示和系统日志中。 - **显示密码**：只有管理员可以查看存储的密码，且每次查看都会记录到系统日志中。生成的密码会以四个字母为一组显示：输入时请不要带空格。 - **清除密码**：从 Mac 中移除密码。 基于 Intel 的 Mac 会重新启动以应用固件密码更改：在此之前仍需要旧密码（“显示密码”会列出它），并且无法发送另一个更改。Apple 每 30 秒只接受一个固件密码命令。密码在命令历史记录中会被隐藏。 当 Mac 离开管理时（取消注册、被用户移除或擦除），macOS 会自行移除恢复锁，Cerberus Enterprise 会删除存储的恢复锁密码；当 Mac 报告它没有恢复锁时（例如重新注册后），也会执行相同操作。当您取消注册 Mac（或删除其政策）时，会先清除存储的固件密码，然后 Mac 重新启动并离开管理。如果清除失败，Mac 仍会离开管理，密码会保留存储，以便您仍可查看。被用户从管理中移除或已擦除的 Mac 会保留其固件密码：Cerberus Enterprise 也会保留。删除设备记录会删除存储的密码，因此系统会先要求您确认：请记下密码，因为没有它，只有 Apple 可以移除密码。 ### FileVault (Mac) **FileVault** 字段显示 Mac 的磁盘是否已加密，并在其工具提示中显示 Cerberus Enterprise 是否存储其个人恢复密钥。当 Mac 在获取其政策的 FileVault 设置后开启 FileVault 时，它会发送该密钥（请参阅 Apple 政策的 [**macOS**](https://enterprise.cerberusapp.com/docs/books/8efb1/page/macos "macOS") 页面）。 - **显示恢复密钥**：只有管理员可以查看该密钥，且每次查看都会记录到系统日志中。可在 Mac 的登录窗口使用它来重置用户密码，或在恢复模式下解锁磁盘。Mac 离开管理后它仍可用；删除设备记录会删除它。 - **更改恢复密钥**：Mac 会替换其个人恢复密钥并发送加密后的新密钥；旧密钥将停止工作。仅当存储的密钥可读取时才可行：Mac 会用它解锁，且无需用户密码。存储的密钥在命令历史记录中会被隐藏，并在 Mac 应答后（或无应答 7 天后）从服务器移除。 ### Bootstrap Token (Mac) 搭载 macOS 10.15 或更高版本的 Mac 会在拥有安全令牌的用户登录时，将其**Bootstrap Token**发送到管理服务器。服务器会保留它，并且仅将其交还给该 Mac，该 Mac 用它为新用户提供安全令牌，并在搭载 Apple 芯片的 Mac 上安装软件更新和批准内核扩展，而无需管理员密码。无论是在仪表板还是其他地方，任何人都无法查看该令牌。**Bootstrap Token**字段显示其状态： - **已托管**：服务器拥有该令牌；工具提示会显示 Mac 发送它的时间。 - **较早托管**：存储的令牌是在 Mac 最近一次注册或 MDM 证书续订之前发送的。续订后这是预期情况：令牌会被保留，Mac 不会再次发送它。重新注册后它可能不再有效：请在 Mac 的“终端”中运行 `sudo profiles install -type bootstraptoken`。 - **未托管**：Mac 尚未发送令牌。要立即发送，Mac 的管理员可在终端中运行`sudo profiles install -type bootstraptoken`（`sudo profiles status -type bootstraptoken`会显示其是否已托管）。 工具提示还会说明 Mac 是否允许将该令牌用于身份验证。通过 Automated Device Enrollment 设置的 Mac 会自动允许；在其他搭载 Apple 芯片的 Mac 上，用户可以在 recoveryOS 的启动安全性实用工具中允许。Intel Mac 无法将令牌用于身份验证（**不支持**），但已托管的令牌仍可为新用户提供安全令牌。每次 Mac 发送、移除或请求其令牌时，都会记录到系统日志中。 ### 设备状态和操作系统更新 **设备状态**面板显示设备报告的自身信息：操作系统版本和构建号、软件更新进度（待安装版本、截止时间、启动更新的原因、失败情况）、是否设置了密码以及是否符合政策、Mac 上的 FileVault、电池健康状况以及在设备上配置的账户。 **可用更新** 列表显示设备可安装的操作系统更新，这些信息在注册时和每周收集。使用 **检查更新** 立即请求，使用 **安装** 立即安装更新（设备将在确认后重新启动），或仅下载并让用户安装。此功能适用于受监督的 iPhone 和 iPad 以及 Mac，最高支持 iOS、iPadOS 和 macOS 26：在更高版本上，以及要更新多台设备时，请使用政策的必需更新（请参阅 Apple 政策的 [**软件更新**](https://enterprise.cerberusapp.com/docs/books/8efb1/page/2b24d "Software updates") 页面）。 搭载 Apple 芯片的 Mac 只有在允许其 Bootstrap Token 用于身份验证且该令牌已托管时，才会在安装更新时不要求管理员密码（请参阅上文 Bootstrap Token）。否则，确认对话框会说明用户可能需要在更新安装前输入管理员密码。 ### 应用和清单 **应用**面板在一个表格中列出设备的所有应用。由政策或命令安装的应用的安装状态由设备实时报告；版本、大小和用户安装的应用来自最后一次应用列表，该列表在注册时和每周收集。使用**询问设备**立即请求。 - **管理**：**政策** 用于由设备政策安装的应用，**受管理** 用于通过 **安装应用** 等命令安装的应用，**不受管理** 用于用户安装的应用。Cerberus Enterprise 应用带有 **由 Cerberus 安装** 标签。 - **需要注意**：安装失败、被用户拒绝或移除，或正在等待用户操作的应用。打开某一行可查看错误；失败的政策应用可以通过重试按钮重新安装。设备报告为未验证的内置应用和 App Store 应用不计入其中。 - **移除应用**：可以移除受管理的应用及其数据。要移除由政策安装的应用，请将其从政策中移除。当作为受管理应用安装的 Mac 软件包从政策中移除时，政策也会自行发送此命令。 **配置文件、证书和安全**面板显示设备报告的配置描述文件、证书和安全状态（密码、加密、Mac 上的 FileVault 和防火墙）。

在个人所有的设备上，不会收集用户安装的应用，仅列出由 Cerberus Enterprise 管理的配置描述文件和证书。

**清单变更**面板显示设备发送的两个列表之间发生的变化：安装、移除或更新的应用（包含旧版本和新版本）、安装、移除或更新的配置文件，以及添加或移除的证书。当设备发送新列表时会检测到变更：应用和配置文件每周一次，证书每天一次，或者当您使用**询问设备**时：显示的日期是检测到变更的日期，变更发生在上一列表和该列表之间。设备的第一个列表，以及新注册或所有权变更后的第一个列表，仅作为起点记录。可按名称或标识符搜索，并按类型和变更进行筛选。变更会保留 365 天。

当操作系统更新一次性替换许多 Apple 应用时，它们会显示为一行（例如“23 Apple apps updated”），您可以展开该行。MDM 证书续期会显示为**MDM 证书已续期**。在个人所有的设备上，仅显示由 Cerberus Enterprise 管理的项目的变更。

#### Apple 历史记录列 - **创建日期** - **命令** - **状态**：**已发送**（等待设备，设备一连接就会送达），**成功**，**已回答**（打开该行查看结果），**正在等待设备**（设备当前无法运行此命令），**失败**（打开该行查看原因）或 **已取消**（设备的命令队列已清空，例如设备重新注册时）。 - **执行日期** ## 刷新 使用命令面板中的刷新操作重新加载命令历史记录。 # 仪表板位置地图 仪表板位置地图提供全局视图，显示正在报告位置数据的设备的最新已知位置。从**仪表板**打开它，即可在同一 Google 地图上查看多台设备。 ## 先决条件 仅当设备所分配的政策中启用了位置报告时，设备才会显示在此地图上。要启用该功能，请打开政策并开启 **位置和地理围栏** → **报告位置**。有关更多详细信息，请参阅 [**位置和地理围栏**](https://enterprise.cerberusapp.com/docs/books/8efb1/page/ffd52 "Location and geofences")。

在未完全受管理的设备上，位置数据可能仍取决于 Cerberus Enterprise 应用是否拥有所需的位置权限，以及设备是否启用了位置服务。

个人设备（用户注册）仅当其 Apple 政策开启了**个人设备上的位置和地理围栏**，并且用户允许 Cerberus Enterprise 应用使用位置时，才会共享其位置。否则，Cerberus 不会收集它们的位置，也无法对它们使用实时跟踪。

有关设备编辑器中可用的单台设备历史记录和地理围栏转换，请参阅[**位置地图**](https://enterprise.cerberusapp.com/docs/books/8efb1/page/5ef05 "Location map")。

位置历史记录保留 **90 天**，更早的位置每晚自动删除。每台已注册设备的最新位置始终保留，因此长时间未报告的设备仍会显示在地图上。

## 加载和无数据状态 - 位置数据加载时，地图会显示加载覆盖层。 - 如果当前没有任何设备有可用的位置数据，页面会显示**无可用位置数据**消息。 ## 标记和聚合 每台有可用位置数据的设备都会显示为一个标记。当许多设备彼此靠近时，标记会自动聚合，以保持地图可读。 当前正在实时跟踪的设备会用动态标记突出显示，以便在地图上更容易找到。 ## 地图控件 当地图包含设备位置时，Cerberus Enterprise 会在地图右上角显示操作按钮。 - **当前位置**：使用您的浏览器位置将地图移动到您的当前位置，并适配所报告的精度区域。 - **重新居中地图**：围绕当前显示的设备标记重新适配地图。 - **已跟踪**实时跟踪标签：当一台或多台设备正在进行实时跟踪时显示，并显示当前活动设备的数量。 - **停止所有实时跟踪**：实时跟踪标签内的图标按钮会在确认后停止所有当前受跟踪设备的实时跟踪。 ## 标记详情 点击标记会打开一个信息窗口，其中包含： - 设备的**型号**和内部**ID**。 - 最新报告位置的时间戳。 - 所报告的**精度**（以米为单位）。 - 所报告的**速度**（如可用）。 - 所报告的**航向**或方位（如可用）。 信息窗口中的设备标识符是一个链接，可打开相应的[**设备概览**](https://enterprise.cerberusapp.com/docs/books/8efb1/page/37bc2 "Device overview")页面。 ## 信息窗口操作 每个信息窗口还包含所选设备的操作按钮。 - **设备链接**：信息窗口顶部的设备名称和 ID 可打开相应的设备概览页面。 - **放大**：将地图居中到所选设备，并让所报告的精度圆圈更贴合地围绕该设备。 - **实时**：开始对该设备进行实时跟踪。如果实时跟踪已处于活动状态，同一按钮会在确认后停止跟踪。 - **实时跟踪已启用**：显示时，该状态行表示所选设备正在被实时跟踪。 ## 精度圆圈 选择标记后，地图会围绕该位置显示一个精度圆圈。圆圈的半径与所报告的精度相符。 ## 实时跟踪行为 从信息窗口启动实时跟踪会向该设备发送实时跟踪请求。随后，Cerberus Enterprise 会在会话活动期间自动刷新地图。 - 每个实时跟踪会话最长持续**15 分钟**。 - 实时跟踪启用期间，Android 设备会显示通知，iPhone 和 iPad 会显示位置指示器。 - 实时跟踪可以从所选设备的信息窗口停止，也可以从地图上的全局**停止所有实时跟踪**按钮停止。 - 在**iPhone 和 iPad**上，实时跟踪通过 Cerberus Enterprise 应用运行，位置访问权限设置为**始终**。该请求通常会在应用未打开时唤醒应用，随后应用会在整个会话期间发送位置。iOS 不保证这些请求：它可能会延迟或不发送请求，例如在低电量模式下或没有网络连接时。如果 2 分钟内没有收到位置，仪表板会取消请求：请用户打开一次应用，然后重试。 # 私有应用 在仪表板的此部分，你可以上传自己的私有 Android 应用，或创建 Web 应用以分发到你的设备上。 你只需提供应用的标题和 APK。私有应用会自动为你的组织批准，通常在 10 分钟内即可分发。你每天总共可以上传 15 个私有应用。请注意，Web 应用也计入此总数。 首次发布私有应用时，你需要提供一个电子邮件地址，以接收 Play Console 关于你的应用和 Google Play 开发者账户的通知。此外，受管理的 Play 会自动代表你的组织创建 Play 开发者账户。你无需为此账户支付注册费。 从 iframe 发布的私有应用： - 不受与其他应用相同的检查约束。因此，它们无法转换为公开应用。 - 不可转让。你无法将应用的所有权转让给其他 Play 开发者账户。 有关更多详细信息，请访问 [Managed Google Play 帮助 ](https://support.google.com/googleplay/work/answer/9146439) # 证书管理 仪表板包含**证书**部分，可用于导入、查看和删除证书。点击证书行会打开证书编辑器。 ## 证书列表 证书显示在可排序、分页的表格中。列表包括客户端证书和证书颁发机构 (CA)。 ### 筛选条件 在页面顶部，您可以使用标签列表启用筛选条件。某些筛选条件互斥。 - **全部**：显示所有证书。 - **客户端**：仅显示客户端证书。 - **证书颁发机构 (CA)**：仅显示 CA 证书。 - **搜索**：显示一个文本字段（标签为**名称或文件名**），用于按证书名称或导入的文件名搜索。 - **无用户**：显示未与任何用户关联的客户端证书。 ### 表格列 - **名称** - **类型** - **到期时间** - **用户**（针对客户端证书显示） - **导入的文件名** - **导入日期** ### 操作 - **打开证书**：点击某一行以打开证书编辑器。 - **删除证书**：仅在证书未与用户/政策关联且未被设备使用时可用。许可证过期时，该操作也可能被禁用。 - **多行选择**：您可以启用多行选择，一次删除多个证书。只能选择可删除的证书。 - **刷新**：重新加载证书列表。 ## 导入证书 要导入证书，请点击**导入证书**并选择一个或多个文件。支持的格式显示在导入按钮的工具提示中。 ### 客户端 支持的格式：Base64 编码的 PKCS#12（.p12 / .pfx）。 客户端证书用于标识企业网络上的用户或设备。客户端证书可以与特定用户关联。 每个客户端证书都可以选择分配给特定用户：这样便可在多台设备上部署相同的 Wi‑Fi EAP 配置。您可以在政策的[网络配置](https://enterprise.cerberusapp.com/docs/books/8efb1/page/b6d76 "Networking")部分使用**来自用户的 EAP 凭据**选项来完成此操作。

或者，您可以从**用户**页面将证书分配给用户。

在 Apple 设备上，证书通过 Apple 政策的 **网络** 部分安装，您还可以在其中选择 **设备用户的证书**。请参阅 Apple 政策的 [网络](https://enterprise.cerberusapp.com/docs/books/8efb1/page/5737c "Networking") 页面。 ### 证书颁发机构 (CA) 支持的格式：Base64 编码的 X.509（.crt / .pem / .cer / .der）。 CA 证书用于标识证书颁发机构，并向设备表明应信任由该 CA 签发的任何证书。仪表板会验证导入的 X.509 证书是否为 CA。 ## 证书编辑器 打开证书时，编辑器会显示其主要字段和一个只读的**证书信息**面板。 ### 主要字段 - **名称**（必填） - **ID**（只读） - **类型**（只读） - **到期时间**（只读） - **导入日期**（只读） - **导入的文件名**（只读） ### 用户关联（客户端证书） 对于**客户端**证书，编辑器会显示**用户**字段。如果已分配用户，菜单可让您**打开用户**、**更改用户**或**取消关联用户**。如果未分配用户，您可以使用用户操作按钮进行分配。 ### 删除证书 当证书当前与用户关联或在政策中使用时，删除操作将被禁用。许可证过期时，该操作也可能被禁用。 # 事件规则 事件规则可让您自动响应支持的设备事件。打开**仪表板** → **事件规则**，创建监视注册、取消注册、不合规和地理围栏事件（Android 和 Apple 设备；地理围栏事件来自 Android 设备、iPhone 和 iPad）的规则，然后自动触发一个或多个操作。 ## 事件规则可以做什么 每条规则都包含一个**主体**、一个**事件**以及一个或两个**操作**。支持的主体包括**所有设备**、**特定设备**和**政策**。 - **事件**：设备已注册、设备已取消注册、设备变为不合规、进入地理围栏、离开地理围栏。 - **设备操作**：停用设备、启用设备、锁定设备。 - **电子邮件操作**：向管理员发送通知电子邮件，并在启用时向委派管理员发送。

一条规则可以仅包含电子邮件操作、仅包含设备操作，或包含一个设备操作加一个电子邮件操作。如果同时配置了两种操作，Cerberus Enterprise 会先执行设备操作，再执行电子邮件操作。

## 平台和兼容性规则 可用的事件和操作取决于所选主体以及适用于该主体的平台。 - **Android** 支持注册、取消注册、不合规和地理围栏事件。 - **Apple** 支持注册、取消注册、不合规和地理围栏事件。地理围栏事件来自装有 Cerberus Enterprise 应用的 iPhone 和 iPad。 - **停用设备**在 Android 和 Apple 上均可用。在受监督的 iPhone 和 iPad 上，它会开启丢失模式；其他 Apple 设备则会被锁定（Mac 会使用六位 PIN 锁定，PIN 显示在设备的命令历史记录中）。丢失模式可从设备页面关闭。 - **启用设备** 仅在地理围栏事件中提供，适用于 Android 和 Apple。在 iPhone 和 iPad 上，它会关闭丢失模式。 - **停用设备**和 **启用设备**会跳过处于丢失模式的 Android 设备：只有 **关闭丢失模式** 命令能使设备退出丢失模式。规则的其他操作仍会执行，系统日志会说明为何跳过该设备操作。 - **锁定设备**和**发送电子邮件**在 Android 和 Apple 上均可用，前提是所选事件支持它们。Mac 会使用六位 PIN 锁定，PIN 显示在设备的命令历史记录中。 - **设备已取消注册**仅支持电子邮件。 ## 规则列表 事件规则列表是此功能的主要管理页面。它包含一个可搜索的表格，显示规则名称、对象、事件、操作、平台、启用状态和更新时间。 - 使用筛选标签在所有规则、已启用规则、已禁用规则和文本搜索之间切换。 - 使用**刷新**按钮重新加载当前表格视图。 - 使用每行中的启用开关临时启用或禁用规则。 - 使用多行选择模式一起删除多条规则。 - 使用**创建事件规则**打开新规则的编辑器。 ## 规则编辑器 编辑器分为**常规**、**范围**、**触发器**和**操作**几个部分。页面底部的固定操作栏会在您滚动时保持主要按钮可见。 ### 常规 - **名称**：必填，最多 150 个字符。 - **描述**：可选，最多 2000 个字符。 - **规则已启用**：以启用或禁用状态保存规则。 ### 范围 范围定义规则可以匹配哪些设备。编辑器还会显示解析后的平台，以及可用时的有效政策上下文。 - **所有设备**：规则可以匹配企业内所有受支持的设备。 - **特定设备**：从选择器对话框中选择一台受管设备。 - **政策**：从选择器对话框中选择一个政策模板。 ### 触发器 触发器部分会根据所选范围和平台自动筛选可用事件。 #### 地理围栏触发器 地理围栏进入和退出规则适用于 Android 设备、iPhone 和 iPad，针对设备或政策的规则需要有效的政策上下文。有关地理围栏定义，请参阅 [**位置和地理围栏**](https://enterprise.cerberusapp.com/docs/books/8efb1/page/ffd52 "Location and geofences")（Android）和 [**位置和地理围栏**](https://enterprise.cerberusapp.com/docs/books/8efb1/page/3295c "Location and geofences")（Apple）。 - 如果对象是**所有设备**，则规则始终适用于**任何地理围栏**。 - 如果对象是设备或政策，您可以选择**任何地理围栏**或一个**特定地理围栏**。 - 特定地理围栏列表从所选设备或政策的有效政策上下文中加载。 - 在 iPhone 和 iPad 支持地理围栏之前保存的所有设备地理围栏规则仍仅适用于 Android 设备。再次打开并保存这些规则，即可将其也应用到 Apple 设备。 ### 操作 操作部分允许您选择可选的设备操作和可选的电子邮件通知。界面会自动隐藏不支持的组合。电子邮件通知默认开启，即使您选择了设备操作也是如此：如果您只需要设备操作，请将其关闭。 - 如果所选事件和范围没有可用的设备操作，您仍可保存仅发送电子邮件的规则。 - 如果所选事件和平台禁用了电子邮件，则电子邮件开关不可用。 - 不含任何操作的规则无效，无法保存。 ## 电子邮件收件人 电子邮件操作始终包含具有**ADMIN**角色的企业用户。如果企业通过多租户管理，您可以扩展收件人以包括 MT 管理员。 - **仅主要管理员**：包括企业管理员和主要 MT 管理员联系人。 - **主要管理员和子账户管理员**：还会添加已分配的子账户管理员。 - 预览列表显示规则运行时将使用的实际电子邮件地址。 - 只有被授予企业访问权限的委托管理员才会包含在最终收件人列表中。 ## 执行行为 当 Cerberus Enterprise 从后端集成收到受支持的事件时，事件规则会立即运行。已禁用的规则会自动跳过。 成功、跳过和失败的执行都会以人类可读的消息记录在系统日志中，包括规则或设备操作被跳过时的原因。

系统日志会将设备状态和位置事件，以及成功或跳过的规则执行记录保留 **90 天**。其他事件（例如管理员操作、登录、警告和错误，包括失败的规则执行）保留 **12 个月**。更早的条目每晚自动删除。

# 设备 # 设备 仪表板中的**设备**部分（*仪表板* → *设备*）会列出你账户中的所有已注册设备。在此页面上，你可以筛选列表、打开设备记录，并执行停用或取消注册等设备操作。 ## 筛选条件 在页面顶部，你可以使用标签列表启用一个或多个筛选条件。选中的标签表示当前活动的筛选条件。 筛选条件取决于您账户中设置的平台：Apple 或 Android 设备的筛选条件仅在该平台已设置时才会显示，而 Android 和 Apple 筛选条件仅在两者都已设置时才会显示。 ### 可用筛选条件 - **全部**：显示所有设备。 - **已注册**：显示已注册设备，无论其状态如何（例如活动、丢失或停用）。已取消注册的设备和尚未注册的 ADE 设备不会显示。页面打开时会默认选中此项：选择“全部”可查看已取消注册的设备以及从 Apple Business 同步但尚未注册的设备。 - **不合规**：显示不符合政策要求的设备。 - **不安全**：显示具有不安全状态的设备。 - **应用错误**：显示应用已发送错误反馈的 Android 设备，以及具有需要注意的受管理应用的 Apple 设备（安装失败、被用户拒绝或移除，或正在等待用户操作）。 - **丢失**：显示处于丢失模式的设备，适用于 Android 和 Apple。其状态显示为丢失。 - **状态未更新**：显示过去 72 小时内未报告状态的设备。 - **政策未更新**：显示有待处理政策更改的设备。 - **MDM 证书即将过期**：显示 MDM 证书已过期或将在 14 天内过期的 Apple 设备。 - **Android**：仅显示 Android 设备。 - **Apple**：仅显示 Apple 设备。 - **iPhone**、**iPad**、**Mac**：仅显示这些 Apple 设备。你可以选择多个。 - **公司拥有**：仅显示公司拥有的设备。 - **个人拥有**：仅显示个人拥有的设备。 - **设备所有者**：仅显示 Android 完全受管理的设备。 - **资料所有者**：仅显示 Android 工作资料设备。 - **受监督** / **未受监督**：显示受监督或未受监督的 Apple 设备。 - **搜索**：启用文本搜索字段。 ### 搜索 启用**搜索**筛选条件后，会出现一个带有**ID、型号、用户、序列号或操作系统**标签的文本字段：它会搜索设备 ID、型号、用户名、序列号和操作系统版本。停止输入后，列表会自动更新。 ## 设备表格 设备会显示在可排序、可分页的表格中。点击某一行会打开设备编辑器。 ### 列 - **型号**：设备型号。 - **用户**：关联的用户（具体显示姓名、电子邮件或 ID，取决于可用信息）。 - **状态**：设备状态（工具提示中包含详细信息）。 - **合规性**：合规性状态指示器。 - **安全**：安全状态（工具提示中包含详细信息）。在 Apple 设备上：未设置密码，以及 Mac 上关闭了 FileVault 或安全启动时，会显示**存在风险**；Mac 上关闭了系统完整性保护或签名系统卷时，会显示**可能已受损**。设备页面会列出这些风险。Apple 不会向设备管理报告已越狱的 iPhone 和 iPad。 - **应用错误**：应用错误指示器。 - **上次状态报告**：最近一次状态报告的时间戳（如果可用）。 - **政策**：当前分配的政策。 - **操作系统**：操作系统和版本（例如 iOS 17.7 或 Android 14）。排序先按系统，再按版本。 - **所有权**：公司拥有或个人拥有（工具提示中包含详细信息）。 - **管理模式**：管理模式（工具提示中包含详细信息）。 - **Id**：内部设备标识符。 ### 刷新和分页 - 使用刷新操作重新加载列表。 - 表格已分页（每页 10/25/50 项）。 ## 设备操作 每个设备行都会根据平台和设备状态提供操作。当你的许可证已过期或已终止时，某些操作会被禁用。 ### 单个设备操作 - **停用设备** / **启用设备**：适用于处于支持状态的 Android 设备。 - **取消注册设备**：移除管理。在 Android 上，这可能会清除工作资料或恢复出厂设置（取决于所有权）；在 Apple 上，这会移除政策设置。 - **删除设备**：适用于已取消注册的设备（从系统中移除记录）。如果 Mac 的固件密码仍存储在 Cerberus Enterprise 中，则只有在确认后才会删除该设备，因为密码会随之删除。 ### 多行选择 你可以从表格下方的操作栏启用多行选择。启用后，你可以选择多行并根据所选设备应用批量操作（停用、启用、取消注册或删除）。 对于 Apple 设备，**Apple 设备操作**菜单会锁定、重新启动、关机、刷新所有所选设备的信息或抹掉所有所选设备。仅当每个所选设备都是支持该操作的已注册 Apple 设备时，该操作才可用。被锁定或抹掉的 Mac 的 PIN 会在发送命令后显示一次。取消注册 Apple 设备会移除其注册描述文件和政策设置，而不会抹掉设备。 **刷新蜂窝网络套餐**会要求所选的 iPhone 和 iPad 从同一个运营商 eSIM 服务器（在一个窗口中为所有设备输入）下载运营商绑定到其 EID 的 eSIM 套餐。与其他操作不同，此操作只会发送给支持它的所选设备：Mac、User Enrollment 设备、运行较旧 iOS 的设备以及从未报告蜂窝数据的 iPad 会被跳过，并列在结果中。请参阅[**SIM 卡管理**](https://enterprise.cerberusapp.com/docs/books/8efb1/page/sim-lri "SIMs management")页面。 ## Apple Business 同步 如果已配置 Apple Management 且存在 Automated Device Enrollment 令牌，页面可能会显示 **从 Apple Business 同步** 操作，以从 Apple Business 导入设备。消息会说明添加了多少台设备。当添加了一些设备后，列表会切换到 **全部** 筛选条件，因为尚未注册的设备不会通过 **已注册** 筛选条件显示。 ## 注册设备 使用**注册设备**打开注册令牌部分，并开始注册新设备。 # 用户 # 用户 仪表板的 **用户** 部分（*仪表板* → *用户*）列出你账户中配置的所有用户。在此页面上，你可以搜索用户、打开用户编辑器、创建新用户，以及删除当前未与设备关联的用户。 ## 搜索 页面顶部有一个搜索字段，标签为 **搜索**，占位符为 **姓名、用户名或电子邮件**。停止输入后，列表会自动更新。 ## 用户表格 用户显示在可排序、分页的表格中。点击某一行会打开用户编辑器。 ### 列 - **姓名**：用户的名字和姓氏。表格默认按姓名排序。 - **电子邮件**：用户的电子邮件地址。 - **用户名**：用户名（通常是目录用户名）。 - **设备**：当前与该用户关联的设备数量，不包括已取消注册的设备。它包含已分配给该用户但尚未注册的 Apple 设备。 - **最近设备活动**：该用户的任一设备发送的最近一次状态报告。当用户没有设备时显示为空。按此列排序可找出不活跃用户。 - **WiFi 证书**：分配给该用户的 Wi‑Fi 证书名称，带有一个图标。当用户没有证书时显示为空。 - **Id**：内部用户标识符。 ### 刷新和分页 - 刷新操作会重新加载列表。 - 表格已分页（每页 10/25/50 项）。 ## 用户操作 ### 创建新用户 使用 **创建新用户** 打开用户创建对话框。许可证过期时，此操作会被禁用。 ### 从 Google Workspace 同步 如果你的账户可以使用 Google Workspace 目录同步，页面会显示 **从 Google Workspace 同步**。启动同步后，请求运行期间会显示进度指示器。 ### 删除用户 只有当用户未与任何设备关联时（**设备** 列必须为 0），才能删除用户。许可证过期或终止时，删除操作会被禁用。 ### 多行选择和批量删除 通过表格下方的操作栏，你可以启用多行选择。在此模式下，你可以选择多个用户并批量删除它们。 - **资格**：只有 **设备** = 0 的用户才能被选中删除。 - **全选**：**全部** 复选框会选择当前页面上所有符合条件的行。 - **批量删除**：未选择任何行，或许可证过期或终止时，**删除选中的用户** 会被禁用。 ## Wi‑Fi 证书和 EAP **WiFi 证书**列显示当前分配给用户的证书名称。用户证书通常用于 Wi‑Fi EAP（例如 EAP‑TLS）配置。有关证书分配和管理，请参阅 [**证书管理**](https://enterprise.cerberusapp.com/docs/books/8efb1/page/115f8 "Certificate management")。 # 用户编辑器 用户编辑器可通过点击用户行从 *仪表板* → *用户* 打开。它可用于编辑用户详细信息、配置每用户 Wi‑Fi EAP 凭据，以及查看用户关联的设备。 ## 用户详细信息 顶部区域包含用户的主要字段。某些字段为必填项，当这些字段缺失或无效时，编辑器会显示验证错误。 - **Id**：只读标识符。 - **名字**：必填。 - **姓氏**：必填。 - **用户名**：必填。 - **电子邮件**：必填，且必须是有效的电子邮件地址。 - **电话号码**：可选。 - **Google 账户**：可选，提供时必须是有效的电子邮件地址。 - **Apps and Books**（只读，用户通过用户注册注册个人 iPhone 或 iPad 后，显示在 **受管理的 Apple 账户** 字段下）：Cerberus 为受管理的 Apple 账户创建的 Apps and Books 用户的状态，用于向用户的个人设备分配应用许可证：*已关联*、*已注册，正在等待 Apple*、*正在创建*、*失败* 或 *已停用*。保持注册状态的用户仍可接收许可证；*失败* 通常表示该账户与 Apps and Books 令牌不在同一个 Apple Business 组织中。 ## Google 身份验证默认政策 在启用了 Google 身份验证的 Google Workspace 环境中，编辑器可以显示 **Google 身份验证默认政策**。这是应用于此用户使用 Google 身份验证注册的设备所采用的政策。 - **更改政策**：打开政策选择对话框。 - **打开政策**：在政策编辑器中打开选定的政策（已设置政策时）。 - 选择新的默认政策后，必须保存用户才能应用更改。编辑器会显示通知，提醒你保存。 ## Wi‑Fi EAP 凭据 **WiFi EAP 凭据** 部分用于配置每用户凭据，当其分配的政策包含需要这些凭据的 Wi‑Fi EAP 配置时，这些凭据会自动安装到用户的设备上。Wi‑Fi EAP 配置是 Android 政策 [网络配置](https://enterprise.cerberusapp.com/docs/books/8efb1/page/b6d76 "Networking") 的一部分。 ### 客户端证书 你可以选择为用户分配客户端证书。分配证书后，它会显示在 **客户端证书** 字段中，并提供操作菜单。未分配证书时，该字段会显示 **未分配证书**，你可以分配一个证书。 - **分配证书**：打开证书选择对话框。 - **打开证书**：打开证书编辑器。 - **更改证书**：选择其他客户端证书。 - **取消关联证书**：从用户中移除证书。系统还会从与此用户关联的所有设备中移除该证书。 有关证书导入和管理，请参阅 [**证书管理**](https://enterprise.cerberusapp.com/docs/books/8efb1/page/115f8 "Certificate management")。 ### 身份、匿名身份和密码 - **身份**：用户的身份。对于隧道外部协议（PEAP、EAP‑TTLS），此身份用于隧道内部。 - **匿名身份**：用于隧道外部协议，作为在隧道外部呈现的身份。未指定时，默认为空字符串。 - **密码**：需要密码的 EAP 方法所使用的用户密码。如果未指定，设备可以提示用户输入。显示/隐藏操作可切换密码可见性。 ## 关联的设备 **关联的设备** 部分显示当前与该用户关联的设备列表。如果用户拥有一个或多个关联设备，则无法删除该用户。 ## 保存和删除 - **保存用户**：仅当表单有效、存在待处理的更改且许可证处于有效状态时启用。保存时会显示进度指示器。 - **删除用户**：当用户与设备关联或许可证已过期/已终止时禁用。允许删除时，会显示确认对话框。如果用户被分配到注册令牌，对话框会警告使用这些令牌注册的设备将不再分配给任何用户。删除用户还会释放其 Apps and Books 用户的应用许可证，并在 Apple 处将其停用。 ## 未保存更改警告 如果你有未保存的更改并尝试离开页面，仪表板会询问你是否要放弃这些更改。 # 账户 # 设置 **设置**页面（*仪表板* → *设置*）汇总账户和许可证信息，并提供管理账单、平台设置（Android Management 和 Apple 管理）以及可选目录/令牌集成的操作。 ## 许可证横幅（即将过期 / 已过期） 当您的许可证**即将过期**、**已过期**或**已终止**时，页面顶部会显示醒目的横幅。根据您的订阅状态，横幅会提供**管理账单**操作（Stripe 客户门户）或**购买许可证**操作。

许可证过期后，账户将仅限于取消设备注册。宽限期结束后，账户可能会被取消，设备可能会被自动取消注册。

## Apple 证书和令牌横幅（即将过期 / 已过期） Apple Push Certificate (APNs)、Apple Business 令牌（Automated Device Enrollment）和 Apps and Books 令牌（原 VPP）必须每年续期。从**到期前 30 天**开始，仪表板顶部会为每个**即将过期**或**已过期**的证书或令牌显示横幅，并附上到期日期或已停止工作的功能。**如何续期**操作会打开本页面，并展开相应的续期说明。 当部分 Apple 设备的 MDM 证书在 14 天内到期且自动续期尚未完成，或证书已过期时，也会显示一条横幅：这些设备必须重新注册。**显示设备**操作会打开设备列表，并应用**MDM 证书即将过期**筛选条件。

Apple Push Certificate 过期后，Apple 设备将无法接收命令或政策更新。Apple Business 令牌过期后，Automated Device Enrollment 将停止工作。Apps and Books 令牌过期后，应用将无法分发。

## Cerberus Enterprise 应用横幅 Cerberus 通过 Apps and Books 设备许可证，在 iPhone 和 iPad（iOS 和 iPadOS 18.4 或更高版本）上安装其免费的 **Cerberus Enterprise** 应用。当该应用不在您的 Apple Business 资料库中、Apps and Books 令牌缺失或已过期，或者某些 iPhone 和 iPad 仍在等待该应用（并显示数量）时，仪表板顶部会显示横幅。**如何添加**会打开本页面并定位到 **Cerberus Enterprise 应用** 行及相应步骤；**如何设置**（在 Apps and Books 令牌缺失或已过期时显示）会打开 Apps and Books 令牌说明。 ## 企业管理员访问权限 **企业管理员访问权限**卡片仅对由多租户账户（例如托管服务提供商）管理的企业显示。它让您查看哪些管理员账户可以对您的企业进行操作，并控制其访问权限。 该卡片显示： - 企业的**所有者**。所有者始终拥有访问权限，且其访问权限无法撤销。 - 多租户账户的每个管理员账户，标记为**主管理员**或**子账户**，并显示其名称、用户名和访问状态（**已授予**、**已撤销**或**未授予**）。 ### 授予和撤销访问权限 使用**授予**允许管理员账户进入并管理您的企业，使用**撤销**移除该访问权限。每个操作都会要求确认。访问权限被撤销的管理员将无法再对企业进行操作，即使其当前正在操作中。 - 作为企业管理员，您可以为列表中任意管理员账户授予或撤销访问权限。 - 主管理员可以为其子账户授予或撤销访问权限，但仅在其自身访问权限已授予时才能执行。它无法为自身授予访问权限，也无法撤销自身的访问权限。

撤销**主管理员**的访问权限也会撤销其所有子账户的访问权限。适用时，确认对话框会列出将失去访问权限的子账户。

## 账户信息 **账户信息**卡片显示只读字段： - **用户名** - **企业名称** - **企业 ID** ### 更改密码 如果您未使用 Google、Apple 或 Microsoft 登录，卡片还会显示**更改密码**操作。这会打开一个对话框，以继续密码更改流程。 您也可以随时通过顶部工具栏中的用户菜单使用**更改密码**来更改密码。这对于多租户账户很有用，因为它们无需进入企业即可更改密码。

如果管理员创建了您的账户或重置了您的密码，您将使用临时密码登录，并且必须先选择新密码才能继续。

## 许可证信息 **许可证信息**卡片显示当前许可证状态和设备数量上限。它还提供联系销售以及管理账单或购买许可证的操作。 - **许可证状态**：显示为**有效**或**已过期**（带有图标徽章和工具提示）。 - **免费试用**：当账户当前处于试用模式时显示。 - **已许可设备**：许可证允许的最大设备数量。*需要更多设备？*链接会打开一条联系支持人员的消息。已注册设备无论处于何种状态（例如活动、丢失或停用）都会计入。已取消注册的设备不计入，从 Apple Business 同步但尚未注册的设备也不计入。达到上限时，不会添加新设备，其注册会被移除：该事件会记录在系统日志中，账户管理员会收到电子邮件。在 Apple 设备上，移除大约需要一分钟，已计入的设备可以再次注册，使用“恢复服务”擦除的设备也可以。 - **下次计划续期**：对自动续期的有效订阅显示。否则，卡片会显示**到期日期**。 ## Android Management **Android Management**卡片显示您企业的 Android Management 状态。如果尚未配置 Android Management，卡片会提供**设置 Android Management**操作，以打开设置流程。 ### 已配置状态 配置 Android Management 后，卡片可显示： - **管理 ID** - **绑定类型**：标识企业使用的是**Managed Google Play 账户**还是**Managed Google 域**。 - **已与 Google Workspace 同步**（目录同步启用时显示徽章） - **与 Google Workspace 同步**（未配置目录同步时显示；打开页面底部的说明面板） ### Android 企业绑定 Android Management 可以与**Managed Google Play 账户**或**Managed Google 域**关联。**绑定类型**字段显示当前与您企业关联的选项。 **Managed Google Play 账户**是一种轻量级 Android Enterprise 账户。它适合通过 Cerberus Enterprise 管理 Android 设备和应用，但与 Google Workspace 或 Cloud Identity 组织相互独立。它不提供托管 Google 域所提供的集中式 Google 管理体验。 **Managed Google 域**会将 Android Enterprise 与您组织的 Google 身份关联。IT 管理员可以从 Google Admin console 管理 Google Workspace、Cloud Identity 和 Gemini 等 Google 产品，同时继续在 Cerberus Enterprise 中管理 Android 应用和政策。这为 Android 管理提供了更精简、更集成的方法，并支持基于 Google Workspace 的注册和用户管理工作流。 当企业使用 Managed Google Play 账户时，“设置”卡片会提供**升级到托管 Google 域**和一个信息操作。升级会打开 Google 的引导流程，将现有 Android 企业迁移到托管域。

升级期间，Google 可以绑定与您的工作电子邮件地址关联的现有 Google Admin 账户，或自动创建新的免费 Google Admin 账户。请使用类似 *name@enterprise.com* 的工作电子邮件地址，以继续完成 Google 的引导设置。

## Apple Device Management **Apple Device Management**卡片显示您企业的 Apple 设备管理 (MDM) 状态。如果尚未配置 Apple 管理，卡片会提供**设置 Apple 管理**操作，以打开设置流程。 ### 已配置状态 配置 Apple 管理后，卡片可显示： - **Apple ID** - **Apple Push Certificate 到期时间**：显示到期日期和图标徽章。如果证书即将过期/已过期，该徽章可点击并打开续期说明。 - **Apple Business 令牌到期时间**：显示用于 Automated Device Enrollment 的 Apple Business 令牌的到期时间（需要操作时带有可点击的徽章）。 - **Apps and Books 令牌**：显示 Apple Apps and Books 内容令牌（原 Volume Purchase Program (VPP)）的组织名称和到期时间（需要操作时带有可点击的徽章）。 - **Cerberus Enterprise 应用**：在 Apps and Books 令牌卡片上，显示该应用是否在您的 Apple Business 资料库中：**在您的资料库中（许可证数量不限）**、**不在您的资料库中**或**不可用：Apps and Books 令牌已过期**，以及有多少 iPhone 和 iPad 正在等待它。应用缺失时，该行会列出添加步骤（在 Apple Business 中，打开 **Apps & Services** → **Apps & Books** → **App Store**，搜索 "Cerberus Enterprise"，点击 **View**，然后点击 **Add**，在 **Organizational Units** 中选择 **All current and future**，点击 **Add**，然后 **Review** 并确认）。**Check again** 会重新读取资料库（最多每 5 分钟一次）；等待该应用的设备随后会获取它。 - **Apple Business**：指向 Apple Business 门户的链接，存在 Apple Business 令牌时显示。 - **与 Apple Business 同步**和**与 Apple Apps and Books 同步**：令牌缺失时显示。

Apple 管理需要完成 APNs 证书设置。如有需要，请参阅[**Apple Management 设置 (APNs)**](https://enterprise.cerberusapp.com/docs/books/8efb1/page/apple-management-apns "Apple Management setup (APNs)")。

## 偏好设置与隐私 **偏好设置与隐私**卡片包含营销偏好开关以及服务条款和隐私政策的链接。使用**保存偏好设置**应用更改（保存时会显示进度指示器）。 ## 发送反馈 为账户启用订阅后，页面可能会显示**发送反馈**卡片，其中包含以下链接：**提出功能请求**和外部评价平台。 ## 内联设置和续期说明 在页面底部，仪表板可根据当前状态显示可展开的说明面板（例如证书/令牌缺失或即将过期时）。 ### 续期 Apple Push Certificate (APNs) 当 APNs 证书即将过期或已过期时，页面会显示一个面板，其中包含下载 CSR、在 Apple 门户上续期证书，以及将新证书上传到 Cerberus Enterprise 的步骤。

当证书或令牌仍然有效时，其旁边的上传按钮会打开相同的步骤。当您下载了新的 Apple Business 或 Apps and Books 令牌时使用它，因为旧令牌会停止工作，或者提前续订 Apple Push Certificate。务必续订当前的 Apple Push Certificate：在 Apple 设备已注册期间，其他证书会被拒绝，因为设备将无法再被联系到。

### 与 Apple Business 同步 当 Apple Business 令牌缺失、已过期或即将过期时，页面会显示一个面板，其中包含从 Apple Business 下载令牌并将其上传到 Cerberus Enterprise 的步骤。对于新连接，请在 Cerberus Enterprise 中生成公钥证书，然后在 Apple Business 中打开 **Devices** → **Management Services**，在 **Device Management Services** 下点击 **Add**，选择 **Connect external device management** 并点击 **Continue**；输入**Service Name**（例如 Cerberus Enterprise），使用 **Upload Certificate** 上传证书，点击 **Next**，然后点击 **Download Service Token** 和 **Done**。要续期令牌，请在 **Management Services** 中选择 Cerberus Enterprise 服务，点击右上角的**…**（更多）按钮，然后选择 **Download Token**。

只有在 Apple Business 中将设备分配到 Cerberus Enterprise 服务后，设备才会注册到 Cerberus Enterprise：打开 **Devices** → **Management Services** → **Default Device Assignment** 可按设备类型自动分配新设备，或者打开 **Devices** → **Inventory**，选择设备并点击 **Assign Device Management**。

### 与 Apple Apps and Books (VPP) 同步 当 Apps and Books 令牌缺失、已过期或即将过期时，页面会显示一个面板，其中包含从 Apple Business 下载内容令牌并将其上传到 Cerberus Enterprise 的步骤：在 Apple Business 中，打开右上角的组织菜单（您的组织名称）→ **Settings** → **Organizational Units**，选择组织单位（默认单位是您的组织），然后在 **Content Token** 部分点击 **Download**。令牌在一年后过期；如果下载它的 Apple 账户密码发生更改，则会提前过期。 Apps and Books 设置的最后一步会将免费的 Cerberus Enterprise 应用添加到您的 Apple Business 资料库，以便 Cerberus 将其安装到您的 iPhone 和 iPad 上。 ### 与 Google Workspace 同步 当未配置 Google Workspace 目录同步时，页面会显示一个面板，说明该集成并提供授权按钮。它还会列出所需的 Google OAuth 范围：**https://www.googleapis.com/auth/admin.directory.user.readonly**。

有关初始 Android 设置，请参阅[**Android Management 设置**](https://enterprise.cerberusapp.com/docs/books/8efb1/page/android-management "Android Management setup")。

# 多租户 # 多租户概述 **多租户**部分适用于通过单次登录管理多个客户企业的 MSP 和企业管理员账户。本章介绍企业范围模型、企业切换、受管企业管理以及子账户。

如需申请多租户账户，请联系[**enterprise@cerberusapp.com**](mailto:enterprise@cerberusapp.com)。

## 核心概念 - **主多租户账户**：可以访问全局多租户工作区的主管理员账户。 - **子账户**：由主账户创建的委托管理员账户，可选企业分配。 - **所选企业上下文**：当前在仪表板中打开用于日常运营的活动企业。 - **委托**：由企业所有者授予的权限，允许管理员账户进入并管理该企业。 ## 导航模型 未选择企业上下文时，侧边导航会显示多租户区域，例如**企业**，对于主账户还会显示**子账户**。进入企业后，仪表板会切换到标准的单企业导航（主页、用户、设备、注册、政策等）。 ## 所有权与委托 每个受管企业都有一个所有者。所有者始终可以访问该企业。非所有者管理员账户只有在授予委托后才能访问企业。 - 当企业拥有自己的管理员用户时，该管理员即为所有者，并决定哪些管理员账户可以访问该企业。 - 当企业没有自己的管理员用户时，主多租户账户即为所有者。 - 对于由客户管理员拥有的企业，只要主账户自身已被授予访问权限，它就可以为其自己的子账户授予或撤销访问权限，但无法为自己授予访问权限。 - 如果企业管理员撤销了主账户的访问权限，其子账户的访问权限也会被撤销。 - 从子账户的分配中移除企业也会移除该子账户对企业的访问权限。如果之后再次分配，必须重新授予访问权限。 企业管理员从**企业管理员访问**卡片（位于**设置**页面）管理访问权限。

所有者和委托状态会直接显示在企业卡片上，以便在进入企业之前明确访问范围。

## 许可证和账单操作 多租户视图会显示许可证状态、设备上限和企业账单操作。根据企业订阅状态和您的权限，卡片可能会显示**管理账单**或**购买许可证**。 对于由多租户账户创建的企业，许可证由多租户用户管理。主账户始终可以管理许可证，而子账户只有在主账户为该子账户启用**可管理许可证**时才能管理许可证。 ## 本章页面 - [**受管企业**](https://enterprise.cerberusapp.com/docs/books/8efb1/page/a01a0 "Managed enterprises")：搜索、筛选、卡片详情和企业创建。 - [**企业切换**](https://enterprise.cerberusapp.com/docs/books/8efb1/page/2b449 "Enterprise switching")：顶部切换器行为和范围转换。 - [**子账户**](https://enterprise.cerberusapp.com/docs/books/8efb1/page/1651c "Sub-accounts")：委托操作员、分配和凭据管理。 # 受管企业 **企业**页面（*仪表板* → *企业*）是受管企业访问的控制中心。它列出您的多租户账户可见的所有企业，并允许您筛选、检查所有权/委托、进入企业上下文以及创建新的受管企业（仅限主账户）。 ## 搜索和筛选 - **搜索企业**：按企业名称或企业 ID 筛选。 - **委托**：**全部**、**已委托**或**未委托**。 - **许可证状态**：**全部**、**有效**、**即将过期**、**已过期**或**已终止**。 ## 企业卡片 每张企业卡片都会显示关键管理元数据： - **许可证状态**，带有图标徽章和上下文工具提示。 - **已许可设备**（企业设备上限）。 - **下次计划续订**或**到期日期**，具体取决于订阅状态。 - **委托**状态（**所有者**、**已授予**或**未授予**）。 - **所有者**的显示名称和用户名。 ### 最近选择的企业 您最近访问过的企业会固定到**最近选择**部分，以加快重复的上下文切换。 ## 企业操作 - **进入企业**：在委托/所有权允许访问时打开所选企业上下文。 - **管理账单**：在可用且获准的情况下打开企业账单管理。 - **购买许可证**：在账单未激活时打开企业购买流程。 ### 谁可以管理许可证 对于由多租户账户创建的企业，许可证管理由多租户用户控制。主账户始终可以管理这些企业的账单和许可证操作。 只有当主账户授予**可管理许可证**权限，并在[**子账户**](https://enterprise.cerberusapp.com/docs/books/8efb1/page/1651c "Sub-accounts")页面中设置后，子账户才能管理账单和许可证操作。 ## 创建受管企业 主多租户账户可以从底部操作区域展开**创建受管企业**。 - **企业名称**为必填项。 - **创建企业专属管理员用户**控制所有权模式。 - 启用后，**管理员用户名**（电子邮件格式）和**管理员名称**为必填项。 - 创建前，确认对话框会概述该操作，并在适用时警告临时凭据会通过电子邮件发送给新的管理员用户。

新管理员用户首次使用临时密码登录时必须选择新密码。

### 所有权模式 - **启用企业专属管理员**：新管理员用户拥有该企业，并可将管理委托给您的多租户账户。 - **禁用企业专属管理员**：该企业直接由您的多租户账户拥有。 ### 企业配额 如果账户达到配置的企业配额，创建将被阻止，表单会显示支持联系方式消息，其中包含当前和最大企业数量。

达到企业配额后，在提高上限之前，您无法创建更多受管企业。

# 企业切换 顶部工具栏中的企业切换器让多租户用户无需退出登录即可在委托企业之间切换。当至少可以选择一个企业上下文时，它便可用。 ## 切换器行为 - 触发器显示当前企业名称（如果没有名称，则显示企业 ID）。 - 菜单列出已委托/可访问的企业，并将当前企业标记为已选中。 - 切换期间，切换器操作会暂时禁用，以防止并发更改范围。 ## 退出企业 切换器菜单包含**退出企业**，它会清除当前企业上下文并将您带回全局多租户工作区。 ## 上下文重置规则 切换企业或退出企业会重置仪表板范围。特定于企业的页面和数据会为新选择的上下文刷新，菜单可见性也会根据当前是否选择了企业而变化。 所选企业会应用于您所有打开的浏览器标签页。如果您在一个标签页中切换或退出企业，其他标签页会在下次操作时重新加载仪表板，因此它们绝不会在不同于所显示企业的企业上运行。

使用切换器可快速更改运营上下文，但在执行政策更新或设备命令等敏感操作之前，请确认所选企业名称。

# 子账户 **子账户**页面（*仪表板* → *子账户*）适用于主多租户账户。它允许您创建委托管理员用户、分配受管企业、控制账单权限并维护子账户凭据。 ## 子账户列表 每张子账户卡片都会显示身份和管理控制项： - **名称**和**用户名/电子邮件**。 - **受管企业**多选分配。 - **可管理许可证**权限开关。 - **重置密码**和**删除**操作。 ## 受管企业分配 企业分配通过**受管企业**多选字段进行编辑。更改后关闭选择器时，仪表板会在保存更新前请求确认。 分配企业会使其对该子账户可用，但子账户只有在授予访问权限后才能进入。从分配中移除企业也会移除该子账户对它的访问权限。 ## 许可证管理权限 **可管理许可证**开关控制子账户是否可以访问企业账单/许可证管理操作。 对于由多租户账户创建的企业，主账户始终拥有许可证管理权限。只有当主账户启用此开关时，子账户才会获得许可证管理权限。 ## 密码重置 **重置密码**会生成新的临时密码，并在确认后通过电子邮件发送给子账户。

使用临时密码登录时，无论是在重置后还是对新创建的子账户，用户都必须先选择新密码才能继续。

## 删除子账户 删除子账户需要确认，并会永久移除该账户的委托访问权限。 ## 创建子账户 使用底部操作面板**创建子账户**添加新的委托管理员。 - **电子邮件**：必填，并验证为电子邮件格式。 - **名称**：必填的显示名称。 - **可管理许可证**：可选的初始账单权限。 - 创建前，确认对话框会警告临时密码电子邮件会发送到提供的地址。 # 洞察 以下是一些深入探讨 MDM 如何帮助您的企业的文章： ## [什么是 Kiosk 模式？锁定企业 Android & Apple 设备指南](https://enterprise.cerberusapp.com/zh/insights/what-is-kiosk-mode-lock-down-android-apple-business) Kiosk 模式可将普通手机和平板电脑转变为专注的业务工具。Cerberus Enterprise 帮助组织将设备锁定到单个应用或一小组获准应用，适用于零售 POS、面向访客的签到和车队导航等场景，同时让这些专用设备在大规模环境下更易于保护、支持和管理。 ## [如何选择合适的 MDM 解决方案：小型企业七点检查清单](https://enterprise.cerberusapp.com/zh/insights/choose-right-mdm-solution-small-business-checklist) 在采购流程后期选择 MDM 时，只要比较保持务实就会更容易。此检查清单帮助小型企业按照实际部署中通常最重要的七项标准评估供应商：安全性、Android 和 Apple 支持、精简团队的使用便捷性、可扩展性、隐私边界、总拥有成本和日常支持能力。 ## [打造安全且专注的数字课堂：K-12 学校 MDM 指南](https://enterprise.cerberusapp.com/zh/insights/k12-schools-mdm-safe-focused-digital-classroom) 学校管理的设备在以学习为中心时效果最佳。Cerberus Enterprise 帮助 K-12 机构通过受管应用、Kiosk 式限制、标准化的共享或借用设备设置以及远程恢复操作，让学生设备保持专注，从而减少丢失、偏离和课堂干扰。 ## [装备您的外勤技术人员：MDM 如何提升现场效率与安全性](https://enterprise.cerberusapp.com/zh/insights/field-technicians-mdm-onsite-efficiency-security) 外勤技术人员在现场工作时依赖移动设备查看日程、服务记录、技术参考资料、客户历史和作业更新。Cerberus Enterprise 通过受管应用、标准化设备型号、远程支持命令和位置感知可见性，帮助这些设备保持就绪，从而改善调度协调，同时加强现场安全。 ## [超越地图：使用 MDM 实现更智能的车队管理和驾驶员安全](https://enterprise.cerberusapp.com/zh/insights/mdm-smarter-fleet-management-driver-safety) 车队运营依赖移动设备进行导航、调度、消息传递、日志记录和现场执行。Cerberus Enterprise 通过受管应用、Kiosk 和专用设备控制、安全通信政策、远程故障排除和位置感知监督，帮助这些设备专注于已批准的工作流程，从而减少停机时间并支持更安全的驾驶操作。 ## [地理围栏、实时跟踪和位置地图如何改善企业运营](https://enterprise.cerberusapp.com/zh/insights/geofences-live-tracking-location-maps) Cerberus Enterprise 中的位置感知功能帮助组织从简单的设备可见性迈向更实用的运营控制。定期位置报告、实时跟踪、地理围栏切换和交互式地图可以支持物流、现场服务、医疗、零售、建筑以及其他分布式团队，帮助他们更好地了解工作发生的地点以及设备何时进入或离开重要区域。 ## [多租户如何帮助 MSP 扩展 MDM 服务并创造新的收入来源](https://enterprise.cerberusapp.com/zh/insights/multi-tenancy-mdm-msp-growth) 多租户允许 MSP、经销商和多公司组织通过单个 Cerberus Enterprise 账户管理多个企业，同时保持每个环境相互独立。此模式可减少运营摩擦、提升服务可扩展性，并通过子账户和客户明确控制的管理支持委托访问。它还为希望将软件许可与入门、支持、合规性和托管移动服务相结合的提供商创造更强的业务机会。 ## [借助 MDM 解决方案提升企业运营能力](https://enterprise.cerberusapp.com/zh/insights/mdm-operativity) 移动设备管理集中控制公司设备，简化注册、配置和维护。自动化配置和批量操作可减少手动 IT 工作，并确保所有设备上的政策保持一致。加密、合规性监控和远程擦除等安全功能可保护企业数据。总体而言，MDM 在提高生产力的同时降低支持成本和运营复杂性。 ## [Android Enterprise 管理中的高级安全](https://enterprise.cerberusapp.com/zh/insights/android-enterprise-security) Android Enterprise 使用工作资料将企业应用和数据与同一设备上的个人内容隔离。这种容器化会创建独立的加密环境，由 IT 管理员独立管理。安全政策可以控制企业数据共享，而不影响个人应用。即使个人应用遭到入侵，该架构也能保护业务数据。 ## [Apple iPhone MDM 与自动注册](https://enterprise.cerberusapp.com/zh/insights/apple-iphone-mdm) Apple 的 MDM 框架可在企业环境中集中管理 iPhone。结合 Apple Business Manager，设备可在首次激活时自动注册并自行配置。管理员可以静默部署和配置企业应用、强制执行安全设置并监控合规性。这种自动化可确保设备配置一致并减少设置错误。 ## [了解移动设备管理](https://enterprise.cerberusapp.com/zh/insights/understanding-mdm) 移动设备管理提供集中式平台，用于监控、保护和控制访问企业系统的移动设备。核心能力包括强制执行安全政策、管理应用以及远程锁定或擦除丢失的设备。MDM 有助于保护企业数据，同时保持设备合规性。它使各种规模的组织都能安全管理不断增长的移动办公人员。 ## [企业设备部署模式](https://enterprise.cerberusapp.com/zh/insights/device-deployment-models) 组织可以采用多种设备所有权模式，例如 BYOD、CYOD、COPE、COBO 和 COSU。每种模式在成本、用户灵活性和安全控制之间有不同的平衡。BYOD 优先考虑用户便利性，而 COBO 和 COSU 则最大化企业控制力和安全性。选择正确的模式取决于法规要求、员工需求和 IT 管理能力。 ## [MDM、EMM 与 UEM 对比](https://enterprise.cerberusapp.com/zh/insights/mdm-emm-uem-difference) MDM 侧重于通过政策执行、配置控制和远程管理来管理和保护移动设备。EMM 将范围扩展到应用和内容管理，而 UEM 则尝试管理包括笔记本电脑和台式机在内的所有端点。对于许多中小企业而言，完整的 EMM 或 UEM 套件会增加不必要的复杂性。在实践中，强大的 MDM 能力通常能满足大多数移动管理需求。 ## [个人手机上的 MDM 与员工隐私](https://enterprise.cerberusapp.com/zh/insights/mdm-personal-phone-privacy) 现代 MDM 系统使用容器化将员工自有设备上的工作数据和个人数据分开。雇主只能管理和监控工作环境，包括企业应用和设备合规性信息。照片、消息和浏览历史等个人数据对公司仍不可访问。这种技术隔离可支持安全的 BYOD 计划，同时保护员工隐私。 ## [MDM 投资回报与业务价值](https://enterprise.cerberusapp.com/zh/insights/mdm-roi-business-value) MDM 应被视为一项战略投资，而非简单的安全支出。它通过减少设备丢失、降低 IT 支持成本和提高运营效率来产生财务回报。自动化管理还能提高员工生产力并减少停机时间。此外，更强的安全性可降低数据泄露的风险和财务影响。 ## [符合 HIPAA 的设备管理](https://enterprise.cerberusapp.com/zh/insights/hipaa-compliant-device-management) 医疗机构必须根据 HIPAA 安全要求保护电子患者数据。MDM 有助于实施加密、身份验证控制、安全数据传输和详细审计日志。它还能为访问医疗系统的设备提供远程擦除和集中式政策执行。这些控制措施可降低合规风险，同时在医疗环境中支持移动工作流程。 ## [面向零售运营和安全的 MDM](https://enterprise.cerberusapp.com/zh/insights/retail-operations-mdm-security) 零售组织依赖移动设备进行 POS 系统、库存管理和店内运营。MDM 确保这些设备保持安全、更新并符合 PCI-DSS 等标准。集中管理可减少停机时间，并简化多个地点的设备部署。其结果是提高运营效率并降低支付相关安全事件的风险。