تسجيل Apple الموجّه بالحساب

باستخدام التسجيل الموجّه بالحساب، يسجّل المستخدمون أجهزة iPhone أو iPad أو Mac الخاصة بهم عن طريق تسجيل الدخول بحساب العمل (حساب Managed Apple، على سبيل المثال name@company.com) في إعدادات الجهاز. لا ملف تعريف لتنزيله ولا رمز QR: يعثر Cerberus Enterprise على المستخدم ويطبّق السياسة ويضبط الملكية بنفسه.

وضعان

• تسجيل المستخدم (الأجهزة الشخصية): تتم إدارة تطبيقات العمل والحسابات والبيانات فقط، في منطقة منفصلة على الجهاز. لا يمكن لـ Cerberus رؤية البيانات الشخصية أو مسح الجهاز أو تحديد موقعه أو قراءة رقمه التسلسلي. ويُضبط الجهاز على أنه مملوك شخصيًا. يتطلب iOS وiPadOS 15 أو macOS 14 أو أحدث.
• تسجيل الجهاز (أجهزة الشركة غير الموجودة في Apple Business): تتم إدارة الجهاز بالكامل، كما في التسجيل اليدوي. يكون جهاز Mac المسجّل بهذه الطريقة خاضعًا للإشراف؛ أما iPhone أو iPad فلا. ويُضبط الجهاز على أنه مملوك للشركة. يتطلب iOS وiPadOS 17.1 أو macOS 14.1 أو أحدث.

تختار الوضع لأجهزة iPhone وiPad وبشكل منفصل لأجهزة Mac: على سبيل المثال تسجيل المستخدم لأجهزة iPhone الشخصية وتسجيل الجهاز لأجهزة Mac. ويمكنك تغيير ملكية الجهاز لاحقًا في صفحة الجهاز.

يتوفر التسجيل الموجّه بالحساب عند تكوين Apple Management (APNs). إذا لم تكمل إعداد APNs بعد، فاقرأ إعداد Apple Management (APNs).

إعداد Apple Business

يسجّل المستخدمون الدخول بحسابات Managed Apple، التي تُنشأ في Apple Business. قبل أن تبدأ:

1. تحقّق من نطاقك (على سبيل المثال company.com) في Apple Business، ضمن نطاقات مؤسستك.
2. أنشئ حسابات Managed Apple للمستخدمين لديك، أو اربط Apple Business بـ Google Workspace أو Microsoft Entra ID: عندئذٍ يكون حساب كل مستخدم عنوان بريده الإلكتروني للعمل ويسجّل الدخول بكلمة مروره.
3. لتسجيل المستخدم، تحقّق في إعدادات إدارة الوصول من أن حسابات Managed Apple يمكنها تسجيل الدخول على الأجهزة الشخصية: عندما يمكنها تسجيل الدخول على الأجهزة الخاضعة للإشراف فقط، يفشل تسجيل المستخدم.
4. فقط لخيار Apple Business أدناه: افتح الأجهزة → خدمات الإدارة → تعيين الجهاز الافتراضي (تعديل) واختر خدمة إدارة أجهزة Cerberus Enterprise لأجهزة iPhone وiPad وMac.

احتفظ بخدمة إدارة أجهزة Cerberus Enterprise ورمزها المميز في Apple Business ما دامت الأجهزة مسجّلة بحسابات Managed Apple: فقد تؤدي إزالتها إلى توقف عمل الحسابات على الأجهزة.

إعداد Cerberus Enterprise

افتح قسم التسجيل في لوحة التحكم وحدد علامة التبويب تسجيل الدخول بحساب Apple. وتعرض قائمة تحقق في الأعلى ما لا يزال ناقصًا. ولا يمكن إلا للمسؤولين تغيير الإعدادات.

• السماح بالتسجيل عن طريق تسجيل الدخول بحساب عمل: يفعّل أو يعطّل التسجيل الموجّه بالحساب للمؤسسة بأكملها.
• النطاقات: نطاقات حسابات المستخدمين لديك (على سبيل المثال company.com)، حتى 20 نطاقًا. ولا يمكن إلا لحسابات هذه النطاقات التسجيل، وذلك فقط بعد التحقق من النطاق (انظر أدناه).
• iPhone وiPad وMac: إيقاف أو تسجيل المستخدم أو تسجيل الجهاز لكل فئة أجهزة.
• السياسة لكل وضع: تُطبَّق على الأجهزة بمجرد تسجيلها. وبدون سياسة، تسجّل الأجهزة دونها. وتُطبَّق السياسة المتغيّرة على عمليات التسجيل التالية.
• المستخدمون: المستخدمون الموجودون فقط (يجب أن يتطابق عنوان البريد الإلكتروني للمستخدم في Cerberus Enterprise مع الحساب المكتوب على الجهاز)، أو إنشاء مستخدم للحسابات في النطاقات التي ليس لديها واحد.

تتم مطابقة الحساب المكتوب على الجهاز مع حقل حساب Managed Apple الخاص بالمستخدمين، ثم مع عنوان بريدهم الإلكتروني. ويُرسل الرمز دائمًا إلى عنوان البريد الإلكتروني للمستخدم. ويمكن لحساب Managed Apple المعيّن لمستخدم التسجيل حتى عندما لا يكون نطاقه متحققًا منه في Cerberus، على سبيل المثال حساب من النطاق المحجوز org.appleid.com الخاص بـ Apple Business. ومع اكتشاف خدمة Apple Business، يكتب المستخدمون دائمًا حساب Managed Apple الخاص بهم.

التحقق من النطاقات

بعد حفظ الإعدادات، يعرض قسم التحقق من النطاق سجل TXT لكل نطاق. أضفه إلى DNS الخاص بالنطاق، ثم انقر تحقّق. قد تستغرق تغييرات DNS بعض الوقت لتظهر. ويبقى النطاق المتحقق منه متحققًا: يمكنك إزالة السجل بعد ذلك. ولا يمكن لمستخدمي نطاق غير متحقق منه التسجيل.

اكتشاف الخدمة: كيف تجد الأجهزة Cerberus Enterprise

عند تسجيل أحد المستخدمين، يسأل الجهاز نطاق الحساب (على سبيل المثال https://company.com) عن الخادم الذي يديره. أعدّ واحدًا على الأقل من هذه الخيارات الثلاثة. ويعرض قسم اكتشاف الخدمة في علامة التبويب عنوان URL للاكتشاف الخاص بمؤسستك والنص الدقيق المراد نسخه لكل خيار.

الخيار 1: Apple Business (موصى به)

انقر التسجيل في Apple Business: يخزّن Cerberus Enterprise عنوان URL للاكتشاف في مؤسسة Apple Business لديك ولا يلزم نشر أي شيء على نطاقاتك. ويعرض التحقق في Apple Business عنوان URL الذي لدى Apple Business الآن، ويؤدي الإزالة من Apple Business إلى إزالته.

• يتطلب iOS وiPadOS 18.2 أو macOS 15.2 أو أحدث. وتحتاج الأجهزة الأقدم إلى الخيار 2 أو 3.
• يتطلب ربط Apple Business في Cerberus Enterprise (رمز خدمة Automated Device Enrollment)، وتعيين الجهاز الافتراضي الموضح أعلاه.
• لا يسأل الجهاز Apple Business إلا عندما لا يجيب نطاقك: يجب ألا يكون العنوان https://company.com/.well-known/com.apple.remotemanagement موجودًا (خطأ مثل "not found"). وإذا أجاب موقعك الإلكتروني عنه بصفحة ويب، تتوقف الأجهزة عند ذلك. استخدم التحقق من التكوين لمعرفة ما يجيب عنه.

يحتفظ Apple Business بعنوان URL واحد للاكتشاف لكل مؤسسة: فتسجيله يوجّه كل حساب Managed Apple في المؤسسة إلى مؤسسة Cerberus Enterprise هذه. لا تسجّله من مؤسستي Cerberus Enterprise تستخدمان مؤسسة Apple Business نفسها.

الخيار 2: إعادة التوجيه من موقعك الإلكتروني

على خادم الويب لكل نطاق، أعِد توجيه /.well-known/com.apple.remotemanagement إلى عنوان URL للاكتشاف الخاص بمؤسستك، مع الاحتفاظ بسلسلة الاستعلام (فهي تحمل الحساب الذي كتبه المستخدم). يعمل هذا مع كل إصدار نظام تشغيل يدعم التسجيل الموجّه بالحساب، ويمكن أن يكون الوضع مختلفًا لأجهزة iPhone وMac. انسخ النص الخاص بـ Apache أو nginx من علامة التبويب؛ ويبدو هكذا، مع مفتاح مؤسستك:

Apache (.htaccess أو المضيف الظاهري):

RewriteEngine On
RewriteRule ^\.well-known/com\.apple\.remotemanagement$ https://enterprise.cerberusapp.com/account-enroll/YOUR-KEY/discovery [R=302,L,QSA]

nginx:

location = /.well-known/com.apple.remotemanagement {
    return 302 https://enterprise.cerberusapp.com/account-enroll/YOUR-KEY/discovery$is_args$args;
}

على خوادم أو خدمات ويب أخرى (IIS، Cloudflare، لوحات التحكم في الاستضافة)، أنشئ قاعدة إعادة توجيه (302) من المسار نفسه إلى عنوان URL للاكتشاف باستخدام الخيار الذي يحتفظ بسلسلة الاستعلام أو يمررها.

الخيار 3: ملف ثابت على موقعك الإلكتروني

إذا تعذّر عليك إضافة إعادة توجيه، فانشر ملفًا على https://company.com/.well-known/com.apple.remotemanagement (دون امتداد ملف)، يُقدَّم مع Content-Type: application/json. انسخ محتواه من علامة التبويب. ولا يمكن للملف الثابت اختيار الوضع لكل جهاز: فهو يستخدم الوضع نفسه لأجهزة iPhone وiPad وMac. ولتسجيل المستخدم يبدو هكذا:

{"Servers":[{"Version":"mdm-byod","BaseURL":"https://enterprise.cerberusapp.com/account-enroll/YOUR-KEY/byod"}]}

ولتسجيل الجهاز:

{"Servers":[{"Version":"mdm-adde","BaseURL":"https://enterprise.cerberusapp.com/account-enroll/YOUR-KEY/adde"}]}

يجب أن يكون وضع الملف أيضًا هو الوضع المضبوط في علامة التبويب لفئة الجهاز، وإلا يُرفض التسجيل.

التحقق من التكوين

في التحقق من التكوين، اختر نطاقًا وجهازًا (iPhone أو Mac) وانقر تحقّق: يسأل Cerberus Enterprise النطاق ما الذي سيسأله الجهاز ويعرض الإجابة، وكل إعادة توجيه، وحكمًا. ويعني أن النطاق يشير إلى Cerberus Enterprise أن الخيارين 2 أو 3 يعملان؛ وإجابة خطأ (مثل "not found") مقبولة للخيار 1؛ أما صفحة ويب أو ملف يشير إلى مكان آخر فيوقف الأجهزة. ويحذر الفحص أيضًا عندما تُسقط إعادة التوجيه سلسلة الاستعلام أو عندما لا يُقدَّم الملف كـ application/json.

مفتاح التسجيل

يحتوي عنوانا URL للاكتشاف والتسجيل على مفتاح لمؤسستك. وإذا نُشرت عناوين URL بالخطأ، فانقر إعادة إنشاء المفتاح: تتوقف عناوين URL القديمة فورًا، لذا حدّث عمليات إعادة التوجيه والملفات الثابتة على مواقعك الإلكترونية. ويسجّل Cerberus Enterprise عنوان URL الجديد في Apple Business بنفسه عند استخدام الخيار 1.

كيف يسجّل المستخدمون

1. iPhone وiPad: افتح الإعدادات → عام → VPN وإدارة الأجهزة → تسجيل الدخول إلى حساب العمل أو المدرسة. على Mac: إعدادات النظام → عام → إدارة الأجهزة → تسجيل الدخول (على macOS 14: الخصوصية والأمان → ملفات التعريف → تسجيل الدخول).
2. اكتب حساب Managed Apple، أو عنوان البريد الإلكتروني للعمل للمستخدم في Cerberus (على سبيل المثال name@company.com). وعندما يختلف حساب Managed Apple الخاص بالمستخدم عما تم كتابته، يطلب الجهاز بعد ذلك تسجيل الدخول بذلك الحساب.
3. تُفتح صفحة Cerberus Enterprise: اضغط إرسال الرمز، ثم أدخل الرمز المكوّن من 6 أرقام الذي وصلك عبر البريد الإلكتروني. تنتهي صلاحية الرمز بعد 10 دقائق؛ وبعد 5 رموز خاطئة، يجب على المستخدم إغلاق الصفحة وتسجيل الدخول مرة أخرى.
4. سجّل الدخول بكلمة مرور حساب Managed Apple (أو بصفحة تسجيل الدخول الخاصة بالشركة عندما يكون Apple Business مرتبطًا بـ Google Workspace أو Microsoft Entra ID)، ثم اسمح بإدارة الجهاز.

تعرض الحسابات التي لا يمكنها التسجيل (نطاق غير متحقق منه، أو عدم وجود مستخدم مطابق عندما لا يتم إنشاء المستخدمين تلقائيًا، أو وجود عدة مستخدمين بعنوان البريد الإلكتروني نفسه) الرسالة "هذا الحساب غير مُعدّ للتسجيل. اتصل بمسؤول تكنولوجيا المعلومات لديك." وتظهر الأحداث في سجلات النظام في لوحة التحكم.

بعد التسجيل

• تعرض صفحة الجهاز حساب Managed Apple المستخدم للتسجيل ونوع التسجيل (تسجيل المستخدم أو تسجيل الجهاز الموجّه بالحساب). وفي قائمة الأجهزة، تعرض أجهزة تسجيل المستخدم "تسجيل المستخدم".
• على أجهزة تسجيل المستخدم، لا تُعرض الأوامر وإعدادات السياسة التي لا تسمح بها Apple (المسح، الموقع، وضع الفقدان، تحديثات نظام التشغيل، العديد من القيود) أو لا تُرسل. وتستخدم تطبيقات App Store في السياسة ترخيص مستخدم بدلًا من ترخيص جهاز (راجع التطبيقات على الأجهزة الشخصية أدناه).
• على أجهزة تسجيل المستخدم، تظهر مقاطع الويب على الشاشة الرئيسية ولكنها لا تُدرج في الإعدادات → عام → VPN وإدارة الأجهزة.
• لا تُجدَّد شهادة MDM لهذه الأجهزة تلقائيًا ولا تتوفر إعادة الخدمة: قبل انتهاء صلاحية شهادة MDM (بعد سنة من التسجيل، راجع صفحة الجهاز)، اطلب من المستخدم إعادة تسجيل الجهاز.
• لمغادرة الإدارة، يسجّل المستخدم الخروج من حساب العمل في المكان نفسه من الإعدادات، أو تلغي تسجيل الجهاز من Cerberus Enterprise. ومع تسجيل المستخدم، تُزال تطبيقات العمل والحسابات والبيانات فقط؛ وتبقى البيانات الشخصية. ويظهر الجهاز الذي يعيد التسجيل جهازًا جديدًا.

بعد التسجيل مباشرة، قد يُبلّغ عن بعض ملفات تعريف السياسة (الشهادات وشبكات Wi-Fi ومقاطع الويب) بأنها فشلت بسبب خطأ غير معروف، وقد يظهر الجهاز غير ممتثل لفترة. يعيد الجهاز محاولتها من تلقاء نفسه وتُثبَّت بعد فترة، دون الحاجة إلى أي إجراء. لا تحفظ السياسة مجددًا أو تسجّل الجهاز مجددًا بسبب ذلك.

التطبيقات على الأجهزة الشخصية

لا تملك أجهزة iPhone وiPad المسجّلة بتسجيل المستخدم رقمًا تسلسليًا، لذا لا يمكن لـ Apps and Books منحها ترخيص جهاز. ويمنح Cerberus Enterprise تطبيقات App Store في سياستها ترخيص مستخدم بدلًا من ذلك: يذهب الترخيص إلى حساب Managed Apple المسجّل الدخول على الجهاز. لا يتغير شيء في السياسة: فالسياسة نفسها تخدم أجهزة الشركة والأجهزة الشخصية، ويختار Cerberus نوع الترخيص لكل جهاز.

• تلقائي: عند أول تسجيل، يسجّل Cerberus حساب Managed Apple لدى Apps and Books، ثم يطلب من Apple ترخيصًا لكل تطبيق App Store في السياسة. وتحتاج التطبيقات المجانية إلى ترخيص أيضًا؛ وتمنحها Apple تراخيص غير محدودة. ويستخدم التطبيق المدفوع ترخيصًا واحدًا لكل حساب Managed Apple، تشترك فيه جميع الأجهزة الشخصية لذلك الحساب.
• المؤسسة نفسها: يجب أن تنتمي حسابات Managed Apple ورمز Apps and Books الخاص بـ Cerberus Enterprise إلى مؤسسة Apple Business نفسها، ويجب أن تكون التطبيقات في مكتبة موقع الرمز المميز.
• الترخيص أولًا: لا يُرسل التطبيق إلى الجهاز إلا بعد أن تؤكد Apple ترخيصه، عادةً خلال بضع دقائق. وحتى ذلك الحين، تعرضه لوحة التطبيقات للجهاز على أنه بانتظار ترخيص مستخدم، مع السبب.
• طلب التثبيت: الأجهزة الشخصية لا تكون خاضعة للإشراف أبدًا، لذلك يسأل iOS المستخدم قبل تثبيت كل تطبيق، بما في ذلك تطبيق Cerberus Enterprise، الذي يثبّته Cerberus على هذه الأجهزة أيضًا (تثبيت أو إلغاء)؛ لا حاجة لتسجيل الدخول إلى Apple Account. إذا ألغى المستخدم، يعرض التطبيق في انتظار موافقة المستخدم على التثبيت: استخدم اطلب مرة أخرى في صفحة الجهاز لإظهار الطلب مجددًا. لا يمكن للمستخدم حذف التطبيقات المثبَّتة بصفتها مطلوبة.
• التطبيقات المثبتة قبل التسجيل: لا تسمح Apple للمؤسسة بالاستيلاء على تطبيق ثبّته المستخدم شخصيًا على جهاز مسجّل بتسجيل المستخدم. اطلب من المستخدم حذف نسخته قبل التسجيل، أو احذفها ثم استخدم طلب مرة أخرى في صفحة الجهاز: عندئذٍ تثبّت المؤسسة النسخة المُدارة.
• مغادرة الإدارة: عندما يُلغى تسجيل الجهاز، يزيل iOS التطبيقات المُدارة وبياناتها. ويُحرَّر الترخيص عندما لا يحتاجه أي جهاز مسجّل آخر لحساب Managed Apple نفسه، على سبيل المثال عندما يغادر التطبيق السياسة أو يُلغى تسجيل آخر جهاز؛ وتُحرَّر التراخيص التي لم يعد أحد يحتاجها بواسطة الفحص اليومي خلال يوم.

عندما يتعذّر على Apple تعيين ترخيص، على سبيل المثال لأن تطبيقًا مدفوعًا لم يعد لديه ترخيص متاح، يعرض التطبيق فشل ترخيص المستخدم مع رسالة Apple. أضف تراخيص في Apple Business، ثم استخدم طلب مرة أخرى في صفحة الجهاز؛ ويحاول Cerberus أيضًا مرة أخرى بنفسه في الفحص اليومي. ويعرض السطر أعلى قائمة التطبيقات حساب Managed Apple وحالة مستخدم Apps and Books الخاص به؛ والحالة نفسها موجودة في صفحة المستخدم.

تُستخدم تراخيص المستخدم على أجهزة iPhone وiPad فقط: على أجهزة Mac المسجّلة بتسجيل المستخدم، لا تُثبَّت تطبيقات App Store الخاصة بالسياسة. الكتب وحسابات Apple الشخصية غير مدعومة.