命令

设备页面提供了一个 命令 面板，用于向受管设备发送远程命令。可用命令取决于平台（Android 或 Apple）和设备状态。

只能向当前已注册的设备发送命令。对于已取消注册的设备、尚未注册的 ADE 设备以及过去注册的历史记录，面板仅显示命令历史记录。

如果设备当前不在线，命令将在设备连接到互联网后立即送达并执行。对于 Android 命令，您可以设置有效期参数，以确定未送达命令的有效时长。

Android (AMAPI) 命令

对于 Android 设备，命令面板包含有效期字段（数值 + 单位）和命令选择器。某些命令需要额外参数，这些参数会在您选择命令时动态显示。

常用参数

• 有效期：如果命令无法立即执行，其有效时长。
• 命令：选择要发送到设备的操作。

无额外字段的命令

• 锁定设备：锁定设备。
• 重新启动设备：重新启动设备。需要 Android 7.0 或更高版本。
• 关闭丢失模式：使设备退出丢失模式。
• 放弃所有权：从运行 Android 8.0 或更高版本的公司所有设备上移除工作配置文件及所有政策，并将其留作个人使用。个人配置文件的应用和数据会保留。设备确认该命令后，将从服务器中删除。此操作无法撤销。

带有额外字段的命令

• 重置密码：需要新密码和确认新密码。可选开关包括立即锁定、要求输入和启动时不要求凭据。
• 清除应用数据：需要目标包名。
• 启用丢失模式：需要 丢失消息，并支持可选的联系信息字段（街道地址、组织、电话号码、电子邮件）。当设备报告已启用后，其状态会变为 丢失，设备页面会显示横幅，并且此命令会隐藏，直到丢失模式被关闭。
• 擦除设备：支持 擦除原因消息（向个人设备上的用户显示）以及可选的擦除标志，包括 擦除 eSIM。

eSIM 命令（添加 eSIM、移除 eSIM、请求 EID）在专用的SIM 管理面板中提供。

命令历史记录

在发送控件下方，仪表板会显示命令历史记录表格。该表格可排序并支持分页。某些行可以展开，以查看其他参数或执行详情。

Android 历史记录列

• 创建日期
• 命令
• 有效期
• 状态
• 错误
• 执行日期

Apple (MDM) 命令

对于 Apple 设备，命令面板提供命令选择器。某些命令需要额外输入。与 Android 一样，下方会显示命令历史记录表格。

带有额外字段的命令

• 安装应用：需要应用 Bundle ID。
• 发送通知：需要 通知消息（最大长度 200 个字符）。

在 iPhone 和 iPad 上，发送通知和实时跟踪通过 Cerberus Enterprise 应用到达设备：在应用安装并注册通知之前，这些功能处于禁用状态（请参阅 Cerberus Enterprise 应用 字段）。开始实时跟踪会显示“已向设备发送实时跟踪请求”：当设备发送第一个位置后，跟踪就会开始。iOS 可能会延迟请求或无法送达，例如在低电量模式下或没有网络连接时：如果 2 分钟内没有收到位置，请让用户打开一次应用。请求失败时，消息会说明原因，例如应用尚未注册、服务器通知密钥缺失，或设备的通知令牌不再有效。

设备操作

仅列出设备支持的命令：有些需要受监督的 iPhone 或 iPad，另一些在 Mac 上不可用。破坏性操作会要求确认。

• 锁定设备：锁定屏幕，可附带可选的消息和电话号码。Mac 会重新启动并使用六位 PIN 锁定，该 PIN 会在发送命令后显示一次，并显示在命令详情中。iPhone 会在您的消息上方显示“丢失的 iPhone”标题，即使此命令不会启用丢失模式。
• 启用丢失模式（受监督的 iPhone 和 iPad）：锁定设备，并在锁定屏幕上显示您的消息、电话号码和脚注。丢失模式启用期间，页面会显示横幅以及定位设备（位置会显示在位置地图上）、播放声音和禁用丢失模式命令。
• 设备会告知持有者其位置已被定位：执行 定位设备 后，锁定屏幕会显示 iPhone 已定位，以及时间和接收位置的服务器名称，并显示 继续 按钮。iOS 会显示此通知，且无法关闭。
• 清除密码：移除 iPhone 或 iPad 的密码，例如当用户忘记密码时。如果政策要求密码，系统会要求用户设置新密码。
• 刷新设备信息：向设备请求其信息（监督状态、操作系统版本、安全状态、MDM 证书）及其清单。
• 设备设置：打开一个窗口，用于更改设备名称、Mac 的主机名、蓝牙、数据漫游、个人热点、时区、墙纸、是否允许激活锁，以及在共享 iPad 上更改其设置（见下文）。仅会发送您更改的设置；设备不支持的设置会被禁用并显示原因。设备可以确认数据漫游或个人热点但并未实际应用（例如 SIM 套餐不包含个人热点），因此 Cerberus Enterprise 会在约 30 秒后重新读取这些设置，如果未更改，则会在系统日志中写入警告。
• 重新启动设备和 关闭设备：在确认后立即重新启动或关闭设备。
• 擦除设备：擦除所有内容和设置，并将设备从管理中移除。在 iPhone 和 iPad 上，您可以保留 eSIM 数据计划并跳过近距离设置；Mac 会获得六位 PIN。
• 恢复服务（擦除设备的选项，适用于 iOS 17 或更高版本的 iPhone 和 iPad）：擦除后，设备会在无人操作的情况下自行重新设置，并使用其当前政策、用户和所有权重新注册。请为设置选择设备政策中的 Wi-Fi 网络，除非设备有以太网或蜂窝数据：只能使用个人网络（带密码、不带证书），因为设备尚无用户或证书。激活锁必须关闭。
• 刷新蜂窝数据计划（iPhone 和蜂窝版 iPad，iOS 13 或更高版本，不适用于用户注册）：输入运营商提供的运营商 eSIM 服务器 URL（https:// 地址、主机名或 LPA 激活码，其中仅使用服务器部分），设备将下载运营商绑定到其 EID 的 eSIM 计划。设备 EID 显示在字段下方，以便发送给运营商。请参阅SIM 管理页面。
• 关闭保留 eSIM 数据计划会在擦除时移除所有 eSIM。政策限制设备擦除时保留 eSIM（受监督设备，iOS 17.2 或更高版本）适用于在设备上发起的擦除（密码尝试失败次数过多、抹掉所有内容和设置）：Apple 未记录其对此命令的影响。
• 注销用户（共享 iPad）：注销当前用户并返回登录屏幕。尚未同步到 iCloud 的数据仍保留在 iPad 上。

共享 iPad

共享 iPad 可由多人使用，每人拥有自己的 Managed Apple Account，或由访客使用临时会话。它通过启用共享 iPad 的 ADE 配置文件进行设置（请参阅Apple Automated Device Enrollment页面），其注册类型字段显示共享 iPad。

• 共享 iPad 用户：iPad 的用户，包括已登录的用户、他们使用的存储空间，以及是否有某些数据尚未同步到 iCloud。使用刷新再次向 iPad 请求列表。用户可以连同其数据一起删除，但已登录的用户除外（请先将其注销）；删除所有用户需要 iPadOS 14 或更高版本。数据尚未同步时，确认对话框会警告数据将丢失。
• 设备设置：每个用户的存储空间、预期用户数、用户和访客会话被注销前的闲置时间、仅限访客会话、登录屏幕上建议的 Managed Apple Account 域、用户无需在线检查密码即可登录的天数，以及为新用户跳过语言和地区设置。空字段会保留其当前值；需要较新 iPadOS 的设置会被禁用。

Mac 用户

在 Mac 上，Mac 用户面板列出已注册到管理中的用户，通常是注册该 Mac 的用户。政策的账户会在其会话中安装。对于每个用户，它会显示其注册时间、其会话的最后一次报告以及账户状态：已是最新、等待用户（用户登录后 Mac 会安装它们）、未应用（附 Mac 报告的原因），或政策没有账户时的无账户。使用重新加载再次读取列表。

激活锁

激活锁字段显示激活锁是否开启。开启后，已擦除的设备只能使用用户的 Apple 账户或设备的绕过代码重新设置。受监督设备仅在设备设置中允许时才会开启激活锁。Cerberus Enterprise 会向受监督设备请求其绕过代码并存储：使用字段菜单中的显示绕过代码查看（仅管理员可查看，且每次查看都会记录到系统日志中），然后在设备的激活锁屏幕上将其作为密码输入，并将 Apple 账户留空。

恢复锁和固件密码 (Mac)

搭载 Apple 芯片的 Mac 会显示恢复锁字段，基于 Intel 的 Mac 则显示固件密码字段。两者都会在启动时保护 Mac：使用恢复锁时，recoveryOS 会要求输入密码；使用固件密码时，Mac 在从其他磁盘或恢复模式启动时会要求输入密码。该字段显示 Mac 是否报告了密码，并在工具提示中显示 Cerberus Enterprise 存储该密码的时间以及上次验证的时间。

• 设置或更改密码：Cerberus Enterprise 会生成一个由 20 个字母组成的密码，这些字母在任何键盘布局下都位于相同按键上；或者由管理员输入一个密码（8 到 64 个字符，不带重音符号；其他角色只能生成密码，因为他们无法查看已存储的密码）。密码在发送前会加密存储，并且仅在 Mac 确认后才替换已存储的密码。如果 Mac 已在 Cerberus Enterprise 之外设置密码，请将其作为当前密码输入：它仅使用一次且不会被存储。
• 验证密码：询问 Mac 存储的密码是否正确。结果会显示在工具提示和系统日志中。
• 显示密码：只有管理员可以查看存储的密码，且每次查看都会记录到系统日志中。生成的密码会以四个字母为一组显示：输入时请不要带空格。
• 清除密码：从 Mac 中移除密码。

基于 Intel 的 Mac 会重新启动以应用固件密码更改：在此之前仍需要旧密码（“显示密码”会列出它），并且无法发送另一个更改。Apple 每 30 秒只接受一个固件密码命令。密码在命令历史记录中会被隐藏。

当 Mac 离开管理时（取消注册、被用户移除或擦除），macOS 会自行移除恢复锁，Cerberus Enterprise 会删除存储的恢复锁密码；当 Mac 报告它没有恢复锁时（例如重新注册后），也会执行相同操作。当您取消注册 Mac（或删除其政策）时，会先清除存储的固件密码，然后 Mac 重新启动并离开管理。如果清除失败，Mac 仍会离开管理，密码会保留存储，以便您仍可查看。被用户从管理中移除或已擦除的 Mac 会保留其固件密码：Cerberus Enterprise 也会保留。删除设备记录会删除存储的密码，因此系统会先要求您确认：请记下密码，因为没有它，只有 Apple 可以移除密码。

FileVault (Mac)

FileVault 字段显示 Mac 的磁盘是否已加密，并在其工具提示中显示 Cerberus Enterprise 是否存储其个人恢复密钥。当 Mac 在获取其政策的 FileVault 设置后开启 FileVault 时，它会发送该密钥（请参阅 Apple 政策的 macOS 页面）。

• 显示恢复密钥：只有管理员可以查看该密钥，且每次查看都会记录到系统日志中。可在 Mac 的登录窗口使用它来重置用户密码，或在恢复模式下解锁磁盘。Mac 离开管理后它仍可用；删除设备记录会删除它。
• 更改恢复密钥：Mac 会替换其个人恢复密钥并发送加密后的新密钥；旧密钥将停止工作。仅当存储的密钥可读取时才可行：Mac 会用它解锁，且无需用户密码。存储的密钥在命令历史记录中会被隐藏，并在 Mac 应答后（或无应答 7 天后）从服务器移除。

Bootstrap Token (Mac)

搭载 macOS 10.15 或更高版本的 Mac 会在拥有安全令牌的用户登录时，将其Bootstrap Token发送到管理服务器。服务器会保留它，并且仅将其交还给该 Mac，该 Mac 用它为新用户提供安全令牌，并在搭载 Apple 芯片的 Mac 上安装软件更新和批准内核扩展，而无需管理员密码。无论是在仪表板还是其他地方，任何人都无法查看该令牌。Bootstrap Token字段显示其状态：

• 已托管：服务器拥有该令牌；工具提示会显示 Mac 发送它的时间。
• 较早托管：存储的令牌是在 Mac 最近一次注册或 MDM 证书续订之前发送的。续订后这是预期情况：令牌会被保留，Mac 不会再次发送它。重新注册后它可能不再有效：请在 Mac 的“终端”中运行 sudo profiles install -type bootstraptoken。
• 未托管：Mac 尚未发送令牌。要立即发送，Mac 的管理员可在终端中运行sudo profiles install -type bootstraptoken（sudo profiles status -type bootstraptoken会显示其是否已托管）。

工具提示还会说明 Mac 是否允许将该令牌用于身份验证。通过 Automated Device Enrollment 设置的 Mac 会自动允许；在其他搭载 Apple 芯片的 Mac 上，用户可以在 recoveryOS 的启动安全性实用工具中允许。Intel Mac 无法将令牌用于身份验证（不支持），但已托管的令牌仍可为新用户提供安全令牌。每次 Mac 发送、移除或请求其令牌时，都会记录到系统日志中。

设备状态和操作系统更新

设备状态面板显示设备报告的自身信息：操作系统版本和构建号、软件更新进度（待安装版本、截止时间、启动更新的原因、失败情况）、是否设置了密码以及是否符合政策、Mac 上的 FileVault、电池健康状况以及在设备上配置的账户。

可用更新 列表显示设备可安装的操作系统更新，这些信息在注册时和每周收集。使用 检查更新 立即请求，使用 安装 立即安装更新（设备将在确认后重新启动），或仅下载并让用户安装。此功能适用于受监督的 iPhone 和 iPad 以及 Mac，最高支持 iOS、iPadOS 和 macOS 26：在更高版本上，以及要更新多台设备时，请使用政策的必需更新（请参阅 Apple 政策的 软件更新 页面）。

搭载 Apple 芯片的 Mac 只有在允许其 Bootstrap Token 用于身份验证且该令牌已托管时，才会在安装更新时不要求管理员密码（请参阅上文 Bootstrap Token）。否则，确认对话框会说明用户可能需要在更新安装前输入管理员密码。

应用和清单

应用面板在一个表格中列出设备的所有应用。由政策或命令安装的应用的安装状态由设备实时报告；版本、大小和用户安装的应用来自最后一次应用列表，该列表在注册时和每周收集。使用询问设备立即请求。

• 管理：政策 用于由设备政策安装的应用，受管理 用于通过 安装应用 等命令安装的应用，不受管理 用于用户安装的应用。Cerberus Enterprise 应用带有 由 Cerberus 安装 标签。
• 需要注意：安装失败、被用户拒绝或移除，或正在等待用户操作的应用。打开某一行可查看错误；失败的政策应用可以通过重试按钮重新安装。设备报告为未验证的内置应用和 App Store 应用不计入其中。
• 移除应用：可以移除受管理的应用及其数据。要移除由政策安装的应用，请将其从政策中移除。当作为受管理应用安装的 Mac 软件包从政策中移除时，政策也会自行发送此命令。

配置文件、证书和安全面板显示设备报告的配置描述文件、证书和安全状态（密码、加密、Mac 上的 FileVault 和防火墙）。

在个人所有的设备上，不会收集用户安装的应用，仅列出由 Cerberus Enterprise 管理的配置描述文件和证书。

清单变更面板显示设备发送的两个列表之间发生的变化：安装、移除或更新的应用（包含旧版本和新版本）、安装、移除或更新的配置文件，以及添加或移除的证书。当设备发送新列表时会检测到变更：应用和配置文件每周一次，证书每天一次，或者当您使用询问设备时：显示的日期是检测到变更的日期，变更发生在上一列表和该列表之间。设备的第一个列表，以及新注册或所有权变更后的第一个列表，仅作为起点记录。可按名称或标识符搜索，并按类型和变更进行筛选。变更会保留 365 天。

当操作系统更新一次性替换许多 Apple 应用时，它们会显示为一行（例如“23 Apple apps updated”），您可以展开该行。MDM 证书续期会显示为MDM 证书已续期。在个人所有的设备上，仅显示由 Cerberus Enterprise 管理的项目的变更。

Apple 历史记录列

• 创建日期
• 命令
• 状态：已发送（等待设备，设备一连接就会送达），成功，已回答（打开该行查看结果），正在等待设备（设备当前无法运行此命令），失败（打开该行查看原因）或 已取消（设备的命令队列已清空，例如设备重新注册时）。
• 执行日期

刷新

使用命令面板中的刷新操作重新加载命令历史记录。