Skip to main content

Apple 账户驱动注册

通过账户驱动注册，用户可在设备设置中使用工作账户（例如Managed Apple Account，如name@company.com）登录，从而注册其 iPhone、iPad 或 Mac。无需下载描述文件，也无需二维码：Cerberus Enterprise 会自动找到用户、应用政策并设置所有权。

两种模式

  • 用户注册（个人设备）：仅管理工作应用、账户和数据，它们位于设备的单独区域中。Cerberus 无法查看个人数据、抹掉设备、定位设备或读取其序列号。设备会被设为个人所有。需要 iOS 和 iPadOS 15 或 macOS 14 或更高版本。
  • 设备注册（不在 Apple Business 中的公司设备）：管理整个设备，就像手动注册一样。以此方式注册的 Mac 受监督；iPhone 或 iPad 则不受监督。设备会被设为公司所有。需要 iOS 和 iPadOS 17.1 或 macOS 14.1 或更高版本。

您可以分别为 iPhone 和 iPad 以及 Mac 选择模式：例如，为个人 iPhone 选择用户注册，为 Mac 选择设备注册。您可以稍后在设备页面上更改设备的所有权。

当配置了 Apple Management (APNs) 时，可使用账户驱动注册。如果您尚未完成 APNs 设置，请阅读Apple Management 设置 (APNs)。

设置 Apple Business

用户使用在 Apple Business 中创建的 Managed Apple Account 登录。开始之前：

  1. 在 Apple Business 中验证您的域（例如company.com），该域属于您组织的域。
  2. 创建用户的 Managed Apple Account，或将 Apple Business 连接到 Google Workspace 或 Microsoft Entra ID：然后每个用户的账户就是其工作电子邮件地址，他们使用该密码登录。
  3. 对于用户注册，请在访问管理设置中检查 Managed Apple Account 是否可以在个人设备上登录：如果它们只能在受监督设备上登录，用户注册会失败。
  4. 仅适用于下面的Apple Business选项：打开设备 → 管理服务 → 默认设备分配（编辑），并为 iPhone、iPad 和 Mac 选择 Cerberus Enterprise 设备管理服务。

在设备使用 Managed Apple Account 注册期间，请将 Cerberus Enterprise 设备管理服务及其令牌保留在 Apple Business 中：移除它们可能会导致账户无法在设备上正常工作。

设置 Cerberus Enterprise

打开仪表板的注册部分，然后选择Apple 账户登录选项卡。顶部的检查清单会显示仍缺少的内容。只有管理员可以更改设置。

  • 允许通过工作账户登录进行注册：为整个组织开启或关闭账户驱动注册。
  • 域：用户账户的域（例如company.com），最多 20 个。只有这些域的账户可以注册，且必须在验证域之后（见下文）。
  • iPhone 和 iPad和Mac：为每个设备系列选择关闭、用户注册或设备注册。
  • 每种模式的政策：设备注册后立即应用。如果没有政策，设备将在没有政策的情况下注册。更改后的政策会应用于后续注册。
  • 用户：仅现有用户（Cerberus Enterprise 中用户的电子邮件地址必须与设备上输入的账户匹配），或为没有用户的域账户创建用户。

设备上输入的账户会先与用户的Managed Apple Account字段匹配，然后与其电子邮件地址匹配。验证码始终发送到用户的电子邮件地址。为用户设置的 Managed Apple Account 即使其域未在 Cerberus 中验证也可以注册，例如 Apple Business 保留的org.appleid.com域的账户。使用 Apple Business 服务发现时，用户始终输入其 Managed Apple Account。

验证域

保存设置后，域验证部分会为每个域显示一条 TXT 记录。将其添加到该域的 DNS 中，然后点击验证。DNS 更改可能需要一些时间才能生效。已验证的域会保持已验证状态：之后您可以移除该记录。未验证域的用户无法注册。

服务发现：设备如何找到 Cerberus Enterprise

当用户登录时，设备会询问账户的域（例如https://company.com）由哪台服务器管理。请至少设置以下三个选项之一。选项卡的服务发现部分会显示您组织的发现 URL 以及每个选项要复制的确切文本。

选项 1：Apple Business（推荐）

点击在 Apple Business 中注册：Cerberus Enterprise 会将其发现 URL 存储在您的 Apple Business 组织中，无需在您的域上发布任何内容。在 Apple Business 中检查会显示 Apple Business 当前的 URL，而从 Apple Business 中移除会将其移除。

  • 需要 iOS 和 iPadOS 18.2 或 macOS 15.2 或更高版本。较旧的设备需要选项 2 或 3。
  • 需要在 Cerberus Enterprise 中连接 Apple Business（自动设备注册服务令牌），以及上述默认设备分配。
  • 设备仅在您的域不响应时才会询问 Apple Business：地址https://company.com/.well-known/com.apple.remotemanagement必须不存在（例如“未找到”之类的错误）。如果您的网站用网页响应它，设备会停在那里。使用检查配置查看它会响应什么。

Apple Business 为每个组织保留一个发现 URL：注册该 URL 会将组织的每个 Managed Apple Account 发送到此 Cerberus Enterprise 组织。请勿从使用同一 Apple Business 组织的两个 Cerberus Enterprise 组织注册它。

选项 2：从您的网站重定向

在每个域的 Web 服务器上，将/.well-known/com.apple.remotemanagement重定向到您组织的发现 URL，保留查询字符串（其中包含用户输入的账户）。这适用于所有支持账户驱动注册的 OS 版本，并且 iPhone 和 Mac 的模式可以不同。从选项卡中复制适用于 Apache 或 nginx 的文本；它看起来像下面这样，其中包含您组织的密钥：

Apache（.htaccess 或虚拟主机）：

RewriteEngine On
RewriteRule ^\.well-known/com\.apple\.remotemanagement$ https://enterprise.cerberusapp.com/account-enroll/YOUR-KEY/discovery [R=302,L,QSA]

nginx：

location = /.well-known/com.apple.remotemanagement {
    return 302 https://enterprise.cerberusapp.com/account-enroll/YOUR-KEY/discovery$is_args$args;
}

在其他 Web 服务器或服务（IIS、Cloudflare、托管控制面板）上，创建一条从同一路径到发现 URL 的重定向规则（302），并使用保留或转发查询字符串的选项。

选项 3：您网站上的静态文件

如果您无法添加重定向，请在https://company.com/.well-known/com.apple.remotemanagement（无文件扩展名）发布一个文件，并以Content-Type: application/json提供。从选项卡中复制其内容。静态文件无法按设备选择模式：它对 iPhone、iPad 和 Mac 使用相同的模式。对于用户注册，它看起来像这样： 

{"Servers":[{"Version":"mdm-byod","BaseURL":"https://enterprise.cerberusapp.com/account-enroll/YOUR-KEY/byod"}]}

对于设备注册：

{"Servers":[{"Version":"mdm-adde","BaseURL":"https://enterprise.cerberusapp.com/account-enroll/YOUR-KEY/adde"}]}

文件的模式还必须与选项卡中为设备系列设置的模式一致，否则注册会被拒绝。

检查配置

在检查配置中，选择一个域和一个设备（iPhone 或 Mac），然后点击检查：Cerberus Enterprise 会像设备一样询问该域并显示答案、每次重定向以及结论。域指向 Cerberus Enterprise 表示选项 2 或 3 有效；错误答案（例如“未找到”）对于选项 1 没问题；指向其他位置的网页或文件会阻止设备。如果重定向丢失了查询字符串，或文件未以application/json提供，检查也会发出警告。

注册密钥

发现和注册 URL 包含您组织的密钥。如果 URL 被错误发布，请点击重新生成密钥：旧 URL 会立即停止工作，因此请更新您网站上的重定向和静态文件。使用选项 1 时，Cerberus Enterprise 会自行在 Apple Business 中注册新 URL。

用户如何注册

  1. iPhone 和 iPad：打开设置 → 通用 → VPN 与设备管理 → 登录工作或学校账户。Mac：系统设置 → 通用 → 设备管理 → 登录。
  2. 输入 Managed Apple Account，或用户在 Cerberus 中的工作电子邮件地址（例如name@company.com）。当用户的 Managed Apple Account 与输入的账户不同时，设备随后会要求使用该账户登录。
  3. 随后会打开一个 Cerberus Enterprise 页面：点按发送验证码，然后输入通过电子邮件收到的 6 位验证码。验证码在 10 分钟后过期；输入 5 次错误验证码后，用户必须关闭页面并重新登录。
  4. 使用 Managed Apple Account 的密码登录（或当 Apple Business 连接到 Google Workspace 或 Microsoft Entra ID 时，使用公司的登录页面），然后允许设备管理。

无法注册的账户（域未验证、未自动创建用户时没有匹配的用户、多个用户使用同一电子邮件地址）会看到“此账户未设置为可注册。请联系您的 IT 管理员。”这些事件会记录在仪表板的系统日志中。

注册后

  • 设备页面显示用于注册的Managed Apple Account以及注册类型（用户注册或账户驱动设备注册）。在设备列表中，用户注册设备会显示“用户注册”。
  • 在用户注册设备上，Apple 不允许的命令和政策设置（抹掉、定位、丢失模式、OS 更新、许多限制）不会提供也不会发送。政策中的 App Store 应用使用用户许可证而不是设备许可证（请参阅下文的个人设备上的应用）。
  • 在用户注册设备上，Web Clip 会出现在主屏幕上，但不会列在设置 → 通用 → VPN 与设备管理中。
  • 这些设备的 MDM 证书不会自动续期，且恢复服务不可用：在 MDM 证书过期之前（注册后一年，请参阅设备页面），请让用户重新注册设备。
  • 要退出管理，用户可在设置的同一位置退出工作账户，或者您从 Cerberus Enterprise 取消注册设备。使用用户注册时，仅移除工作应用、账户和数据；个人数据会保留。再次注册的设备会显示为新设备。

注册后，政策中的某些配置文件（证书、Wi-Fi 网络、Web Clip）可能会因未知错误而被报告为失败，设备可能会在一段时间内显示为 不合规。设备会自行重试，这些配置文件会在一段时间后安装，无需任何操作。请勿因此再次保存政策或重新注册设备。

个人设备上的应用

使用用户注册的 iPhone 和 iPad 没有序列号，因此 Apps and Books 无法为它们提供设备许可证。Cerberus Enterprise 改为为其政策中的 App Store 应用提供用户许可证：许可证会授予设备上登录的 Managed Apple Account。政策本身没有任何变化：同一政策同时服务于公司和个人设备，Cerberus 会为每台设备选择许可证类型。

  • 自动：在首次注册时，Cerberus 会在 Apps and Books 中注册 Managed Apple Account，然后向 Apple 请求政策中每个 App Store 应用的许可证。免费应用也需要许可证；Apple 会为其提供无限许可证。付费应用每个 Managed Apple Account 使用一个许可证，由该账户的所有个人设备共享。
  • 同一组织：Managed Apple Account 和 Cerberus Enterprise 的 Apps and Books 令牌必须属于同一 Apple Business 组织，并且这些应用必须位于该令牌位置的资料库中。
  • 先获取许可证：只有在 Apple 确认其许可证后，应用才会发送到设备，通常需要几分钟。在此之前，设备的应用面板会将其显示为正在等待用户许可证，并附上原因。
  • 安装提示：个人设备永远不会被监督，因此 iOS 会在安装每个应用前询问用户，包括 Cerberus 在这些设备上也会安装的 Cerberus Enterprise 应用（安装 或 取消）；无需登录 Apple 账户。如果用户取消，应用会显示 正在等待用户批准安装：使用设备页面上的 重新请求 再次显示提示。以 必需 安装的应用无法被用户删除。
  • 注册前已安装的应用：Apple 不允许组织接管用户在通过用户注册的设备上自行安装的应用。请让用户在注册前删除其自己的副本，或先删除它，然后在设备页面上使用再次请求：组织随后会安装受管副本。
  • 退出管理：当设备取消注册时，iOS 会移除受管应用及其数据。当同一 Managed Apple Account 没有其他已注册设备需要某个许可证时（例如应用离开政策或最后一台设备取消注册），该许可证会被释放；不再需要的许可证会在一天内通过每日检查释放。

当 Apple 无法分配许可证时（例如付费应用没有剩余许可证），应用会显示用户许可证失败以及 Apple 的消息。请在 Apple Business 中添加许可证，然后在设备页面上使用再次请求；Cerberus 也会在每日检查时自行重试。应用列表上方的行会显示 Managed Apple Account 及其 Apps and Books 用户的状态；用户页面也会显示相同的状态。

用户许可证仅用于 iPhone 和 iPad。不支持通过用户注册的 Mac、图书和个人 Apple Account。