Подготовка устройств - Apple

Обзор подготовки устройств Apple

Cerberus Enterprise поддерживает регистрацию и управление iPhone, iPad и Mac. Для подготовки Apple требуется сертификат APNs, а регистрацию можно выполнить различными способами.

Предварительное условие: настройка управления Apple (APNs)

Перед регистрацией любого устройства Apple выполните настройку управления Apple (APNs).

Выберите способ регистрации

Ручная регистрация (профиль регистрации)

Автоматическая регистрация устройств (ADE)

Регистрация по аккаунту (вход с рабочим аккаунтом)

На личных iPhone и iPad, зарегистрированных с помощью регистрации пользователя, приложения App Store из политики устанавливаются с пользовательской лицензией управляемого аккаунта Apple, которую Cerberus назначает автоматически; пользователю предлагается установить каждое приложение. Управляемые аккаунты Apple и токен Apps and Books должны принадлежать одной организации Apple Business. См. Приложения на личных устройствах.

Приложение Cerberus Enterprise на iPhone и iPad

После регистрации Cerberus устанавливает приложение Cerberus Enterprise на iPhone и iPad с iOS или iPadOS 18.4 или новее, с политикой или без неё. Приложение передаёт местоположение устройства и получает уведомления и запросы отслеживания в реальном времени; на личных устройствах (User Enrollment) оно получает сообщения и передаёт местоположение, только если в политике включено Местоположение и геозоны на личных устройствах и пользователь это разрешил. Требуется одноразовый шаг: добавьте бесплатное приложение в свою библиотеку Apple Business (Apps & Books → App Store, найдите «Cerberus Enterprise», Добавить для всех текущих и будущих организационных единиц). На устройствах под наблюдением оно устанавливается без запроса; на других устройствах пользователя просят установить его. Если пользователь уже установил его из App Store, устройство запросит разрешение вашей организации управлять приложением, и приложение сохранит свои данные и разрешения. Если пользователь откажется, используйте Повторить на странице устройства. Пользователь не может удалить приложение, и оно остаётся установленным, даже если срок действия токена Apps and Books истёк. На Mac приложение не устанавливается.

Вы можете использовать ручную регистрацию и ADE параллельно, в зависимости от парка устройств и процесса закупки.

Ручная регистрация Apple (профиль регистрации)

Cerberus Enterprise поддерживает ручную регистрацию устройств Apple с помощью QR-кода, URL-адреса регистрации или файла профиля регистрации.

Ручная регистрация доступна, когда настроено управление Apple (APNs). Если вы ещё не завершили настройку APNs, прочитайте Настройка управления Apple (APNs).

Токены регистрации

У токена регистрации есть собственные URL-адрес регистрации и QR-код, и он назначает следующие параметры устройствам, которые с ним регистрируются:

Чтобы создать токен, откройте раздел Регистрация на панели управления, выберите вкладку Ручная регистрация Apple (профиль регистрации) и нажмите Новый токен регистрации. Задайте имя и параметры, затем нажмите Создать токен: страница токена показывает его URL-адрес регистрации, QR-код и кнопку Загрузить профиль регистрации.

Таблица токенов показывает для каждого токена его Статус (Активен, Срок истёк или Использован), Срок действия, число Регистраций из разрешённых и Последнее использование — время последней регистрации устройства с ним. Затем идут Политика, Пользователь (наведите, чтобы увидеть адрес эл. почты), Принадлежность и дата Создания (наведите, чтобы увидеть, кто создал токен). Сначала показываются самые новые токены, и вы можете сортировать по любому столбцу. Сортируйте по Последнему использованию, чтобы найти активные токены, которые больше никто не использует, и удалите их, чтобы их URL-адрес регистрации перестал работать. Политика или пользователь, удалённые после сохранения токена, показываются как Удалённая политика или Удалённый пользователь со значком предупреждения: измените токен, чтобы выбрать другой.

Изменения токена применяются к последующим регистрациям: уже зарегистрированные устройства сохраняют свою политику и пользователя. Когда токен удалён, истёк или достиг разрешённого числа регистраций, его URL-адрес регистрации перестаёт работать.

Регистрация без токена

Панель Регистрация без токена на той же вкладке содержит URL-адрес регистрации вашей организации. Устройства, зарегистрированные с его помощью, не получают ни политику, ни пользователя: назначьте их на странице устройства.

Политика и пользователь устройства зависят от способа его регистрации: политика и пользователь токена при использовании токена регистрации; политика профиля ADE при автоматической регистрации устройств с сохранением пользователя, назначенного на странице устройства; без политики и пользователя при использовании URL-адреса регистрации, QR-кода или профиля без токена (даже если у устройства есть профиль ADE). Устройство, зарегистрированное повторно, не сохраняет политику и пользователя предыдущей регистрации: страница устройства показывает их, только если новая регистрация их назначает. Только устройство, стёртое с помощью Возврат в эксплуатацию, регистрируется повторно со своей текущей политикой и пользователем.

Получите URL-адрес регистрации и профиль

Как зарегистрировать iPhone или iPad

iOS/iPadOS 15.0+

Сначала скачайте профиль регистрации на устройство, используя один из следующих способов:

Способ 1: QR-код

Откройте приложение Камера на устройстве и наведите его на QR-код рядом с URL регистрации, затем коснитесь появившейся ссылки. Safari откроет URL регистрации и запросит разрешение на скачивание профиля конфигурации: коснитесь Разрешить.

Способ 2: URL регистрации

Отправьте URL регистрации пользователю (например, действием «Отправить по электронной почте») и откройте его в Safari на устройстве, затем коснитесь Разрешить, чтобы скачать профиль конфигурации.

Способ 3: файл профиля регистрации

Скачайте файл профиля регистрации (enroll.mobileconfig) и отправьте его на устройство, например как вложение в письме или через AirDrop, затем откройте его на устройстве.

Затем завершите регистрацию на устройстве:

  1. На устройстве откройте Настройки → Профиль загружен → Установить, затем следуйте инструкциям.
  2. После регистрации вы можете проверить статус в Настройки → Основные → VPN и управление устройством (или Профили и управление устройством).

После регистрации на iPhone и iPad с iOS или iPadOS 18.4 или новее появляется приложение Cerberus Enterprise. На устройстве, зарегистрированном вручную (не под наблюдением), пользователю предлагается установить его или разрешить вашей организации управлять им, если оно уже было установлено из App Store. Если пользователь отказывается, используйте Повторить на странице устройства. Приложение должно один раз появиться в вашей библиотеке Apple Business (см. Настройки аккаунта).

На iPhone и iPad загруженный профиль, который не установлен в течение 8 минут, удаляется устройством. В этом случае загрузите его снова.

Как зарегистрировать Mac

macOS 13.0+

QR-код работает только на iPhone и iPad. Загрузите профиль регистрации на Mac одним из следующих способов:

Способ 1: URL регистрации

Отправьте пользователю URL регистрации (например, с помощью действия «Отправить по эл. почте») и откройте его в Safari на Mac, затем разрешите загрузку, если появится запрос. Если профиль не открывается сам, откройте загруженный файл enroll.mobileconfig.

Способ 2: Файл профиля регистрации

Загрузите файл профиля регистрации (enroll.mobileconfig) и отправьте его на Mac, например как вложение в письме или через AirDrop, затем откройте его на Mac.

Открытие профиля только добавляет его в загруженные профили. Затем завершите регистрацию на Mac, войдя в систему как его основной пользователь:

  1. Откройте Системные настройки → Основные → Управление устройством (в macOS 13 и 14: Конфиденциальность и безопасность → Профили). В разделе Загруженные дважды щёлкните Профиль регистрации, нажмите Зарегистрировать (или Установить) и следуйте инструкциям. Если появится запрос, введите имя и пароль администратора Mac.
  2. После регистрации Профиль регистрации отображается в том же месте. В Терминале команда profiles status -type enrollment показывает MDM enrollment: Yes (User Approved).

Mac, зарегистрированные вручную, находятся под наблюдением, а пользователь, который устанавливает профиль, отображается на панели Пользователи Mac страницы устройства. На Mac приложение Cerberus Enterprise не устанавливается. Если профиль больше не находится в разделе Загруженные, загрузите его снова.

Устанавливайте только профили регистрации, полученные из вашей панели управления Cerberus Enterprise.

Автоматическая регистрация устройств Apple (ADE)

Automated Device Enrollment (ADE) интегрируется с Apple Business (ранее Apple Business Manager), чтобы автоматически регистрировать корпоративные iPhone, iPad и Mac при первом включении (или после сброса к заводским настройкам).

Для ADE сначала необходимо настроить управление Apple (APNs). При необходимости прочитайте Настройка управления Apple (APNs).

Как регистрировать устройства автоматически

  1. Добавьте устройства в свой аккаунт Apple Business и назначьте их службе управления устройствами Cerberus Enterprise: в Apple Business откройте Устройства → Инвентарь, выберите устройства и нажмите Назначить управление устройствами или назначайте новые устройства автоматически из Устройства → Службы управления → Назначение устройств по умолчанию. См. Управление поставщиками устройств и Добавление устройств с помощью Apple Configurator.
  2. После добавления новых устройств в свой аккаунт Apple Business синхронизируйте их в Cerberus Enterprise из раздела Устройства с помощью действия Синхронизировать из Apple Business. Синхронизированные устройства используют лицензию только после регистрации.
  3. Создайте профиль ADE на панели управления: Регистрация → Автоматическая регистрация устройств Apple (ADE) → Новый профиль ADE.
  4. Назначьте профиль ADE устройству на странице сведений об устройстве с помощью поля Профиль ADE.

После регистрации iPhone и iPad с iOS или iPadOS 18.4 или новее получают приложение Cerberus Enterprise. Устройства, зарегистрированные с помощью ADE, находятся под наблюдением, поэтому приложение устанавливается без запроса к пользователю; настройка не ждёт его. Приложение должно один раз присутствовать в вашей библиотеке Apple Business (см. Настройки аккаунта). На Mac приложение не устанавливается.

Параметры профиля ADE (обзор)

Профиль ADE определяет, как регистрируется устройство и как ведёт себя помощник настройки. В Cerberus Enterprise профиль ADE включает имя, необязательную начальную политику, параметры регистрации, пропускаемые панели помощника настройки, контакты поддержки и доверенные сертификаты.

Имя профиля

Понятное для человека имя профиля (например, Профиль ADE по умолчанию).

Политика

Политика, применяемая к устройствам при их регистрации с помощью автоматической регистрации устройств (помощник настройки). Устройства профиля, зарегистрированные по URL-адресу регистрации или QR-коду, вместо этого получают политику своего токена регистрации или не получают политику при отсутствии токена. Изменение только политики не изменяет сам профиль.

Параметры регистрации

Помощник настройки

Список профилей ADE

В списке отображаются имя каждого профиля, его политика, его устройства и его Id — идентификатор, который Apple присваивает профилю. Замок после имени обозначает обязательный профиль, управление которого пользователи не могут удалить. Без политики или Политика удалена предупреждают, что устройства, зарегистрированные с этим профилем, не получат начальную политику.

Столбец Устройства считает зарегистрированные устройства профиля, а рядом с ними — ожидающие устройства: назначенные профилю в Apple Business, но ещё не зарегистрированные. Удалённые устройства не учитываются.

Изменение профиля

Apple не разрешает изменять профиль ADE. Когда вы изменяете профиль (кроме изменения только политики), Cerberus Enterprise создаёт новый профиль с тем же именем и назначает его устройствам старого профиля; старый профиль больше не отображается, когда ни одно устройство его не использует. Устройства, уже завершившие помощник настройки, используют новый профиль при следующем стирании.

Профиль, который не использует ни одно устройство — ни зарегистрированное, ни ожидающее, — можно удалить из списка профилей ADE. Apple не позволяет удалять профиль, поэтому он остаётся в Apple Business неиспользуемым.

После назначения устройству профиля ADE оно готово к автоматической регистрации.

Регистрация Apple по аккаунту

При регистрации по аккаунту пользователи регистрируют свои iPhone, iPad или Mac, входя со своим рабочим аккаунтом (управляемым аккаунтом Apple, например name@company.com) в настройках устройства. Не нужно загружать профиль и использовать QR-код: Cerberus Enterprise сам находит пользователя, применяет политику и устанавливает владение.

Два режима

Вы выбираете режим для iPhone и iPad, а также отдельно для Mac: например, регистрацию пользователя для личных iPhone и регистрацию устройства для Mac. Владение устройством можно изменить позже на странице устройства.

Регистрация по аккаунту доступна, когда настроено управление Apple (APNs). Если вы ещё не завершили настройку APNs, прочитайте Настройка управления Apple (APNs).

Настройка Apple Business

Пользователи входят с управляемыми аккаунтами Apple, которые создаются в Apple Business. Перед началом:

  1. Подтвердите свой домен (например, company.com) в Apple Business, в разделе доменов вашей организации.
  2. Создайте управляемые аккаунты Apple для своих пользователей или подключите Apple Business к Google Workspace или Microsoft Entra ID: тогда аккаунтом каждого пользователя будет его рабочий адрес электронной почты, и он будет входить со своим паролем.
  3. Для регистрации пользователя проверьте в настройках управления доступом, что управляемые аккаунты Apple могут входить на личных устройствах: если они могут входить только на устройствах под надзором, регистрация пользователя не удастся.
  4. Только для параметра Apple Business ниже: откройте Устройства → Службы управления → Назначение устройств по умолчанию (Изменить) и выберите службу управления устройствами Cerberus Enterprise для iPhone, iPad и Mac.

Сохраняйте службу управления устройствами Cerberus Enterprise и её токен в Apple Business, пока устройства зарегистрированы с управляемыми аккаунтами Apple: их удаление может привести к тому, что аккаунты перестанут работать на устройствах.

Настройка Cerberus Enterprise

Откройте раздел Регистрация на панели управления и выберите вкладку Вход по аккаунту Apple. Контрольный список в верхней части показывает, чего ещё не хватает. Только администраторы могут изменять настройки.

Аккаунт, введённый на устройстве, сопоставляется с полем Управляемый аккаунт Apple пользователей, затем с их адресом электронной почты. Код всегда отправляется на адрес электронной почты пользователя. Управляемый аккаунт Apple, заданный для пользователя, может зарегистрироваться, даже если его домен не подтверждён в Cerberus, например аккаунт зарезервированного домена Apple Business org.appleid.com. При обнаружении службы Apple Business пользователи всегда вводят свой управляемый аккаунт Apple.

Подтверждение доменов

После сохранения настроек в разделе Подтверждение домена для каждого домена отображается запись TXT. Добавьте её в DNS домена, затем нажмите Подтвердить. Изменения DNS могут стать видимыми не сразу. Подтверждённый домен остаётся подтверждённым: запись можно удалить позже. Пользователи неподтверждённого домена не могут зарегистрироваться.

Обнаружение службы: как устройства находят Cerberus Enterprise

Когда пользователь входит, устройство запрашивает у домена аккаунта (например, https://company.com), какой сервер им управляет. Настройте хотя бы один из этих трёх вариантов. Раздел Обнаружение службы на вкладке показывает URL-адрес обнаружения вашей организации и точный текст для копирования для каждого варианта.

Вариант 1: Apple Business (рекомендуется)

Нажмите Зарегистрировать в Apple Business: Cerberus Enterprise сохраняет свой URL-адрес обнаружения в вашей организации Apple Business, и ничего не нужно публиковать в ваших доменах. Проверить в Apple Business показывает URL-адрес, который Apple Business использует сейчас, а Удалить из Apple Business удаляет его.

Apple Business хранит один URL-адрес обнаружения на организацию: при его регистрации все управляемые аккаунты Apple организации направляются в эту организацию Cerberus Enterprise. Не регистрируйте его из двух организаций Cerberus Enterprise, использующих одну и ту же организацию Apple Business.

Вариант 2: перенаправление с вашего веб-сайта

На веб-сервере каждого домена перенаправьте /.well-known/com.apple.remotemanagement на URL-адрес обнаружения вашей организации, сохраняя строку запроса (в ней передаётся аккаунт, введённый пользователем). Это работает во всех версиях ОС, поддерживающих регистрацию по аккаунту, а режим может различаться для iPhone и Mac. Скопируйте текст для Apache или nginx со вкладки; он выглядит так, с ключом вашей организации:

Apache (.htaccess или виртуальный хост):

RewriteEngine On
RewriteRule ^\.well-known/com\.apple\.remotemanagement$ https://enterprise.cerberusapp.com/account-enroll/YOUR-KEY/discovery [R=302,L,QSA]

nginx:

location = /.well-known/com.apple.remotemanagement {
    return 302 https://enterprise.cerberusapp.com/account-enroll/YOUR-KEY/discovery$is_args$args;
}

На других веб-серверах или в сервисах (IIS, Cloudflare, панели управления хостингом) создайте правило перенаправления (302) с того же пути на URL-адрес обнаружения с параметром, который сохраняет или передаёт строку запроса.

Вариант 3: статический файл на вашем веб-сайте

Если вы не можете добавить перенаправление, опубликуйте файл по адресу https://company.com/.well-known/com.apple.remotemanagement (без расширения файла), отдаваемый с Content-Type: application/json. Скопируйте его содержимое со вкладки. Статический файл не может выбирать режим для каждого устройства: он использует один и тот же режим для iPhone, iPad и Mac. Для регистрации пользователя он выглядит так: 

{"Servers":[{"Version":"mdm-byod","BaseURL":"https://enterprise.cerberusapp.com/account-enroll/YOUR-KEY/byod"}]}

а для регистрации устройства:

{"Servers":[{"Version":"mdm-adde","BaseURL":"https://enterprise.cerberusapp.com/account-enroll/YOUR-KEY/adde"}]}

Режим в файле также должен совпадать с режимом, заданным на вкладке для семейства устройств, иначе в регистрации будет отказано.

Проверить конфигурацию

В разделе Проверить конфигурацию выберите домен и устройство (iPhone или Mac) и нажмите Проверить: Cerberus Enterprise запрашивает у домена то же, что запросило бы устройство, и показывает ответ, каждое перенаправление и результат. Домен, указывающий на Cerberus Enterprise, означает, что варианты 2 или 3 работают; ответ с ошибкой (например, "not found") подходит для варианта 1; веб-страница или файл, указывающие в другое место, останавливают устройства. Проверка также предупреждает, если перенаправление теряет строку запроса или файл отдаётся не как application/json.

Ключ регистрации

URL-адреса обнаружения и регистрации содержат ключ вашей организации. Если URL-адреса были опубликованы по ошибке, нажмите Создать новый ключ: старые URL-адреса сразу перестанут работать, поэтому обновите перенаправления и статические файлы на ваших веб-сайтах. Cerberus Enterprise сам регистрирует новый URL-адрес в Apple Business, если используется вариант 1.

Как регистрируются пользователи

  1. iPhone и iPad: откройте Настройки → Основные → VPN и управление устройством → Вход в рабочий или учебный аккаунт. Mac: Системные настройки → Основные → Управление устройством → Войти (в macOS 14: Конфиденциальность и безопасность → Профили → Войти).
  2. Введите управляемый аккаунт Apple или рабочий адрес электронной почты пользователя в Cerberus (например, name@company.com). Если управляемый аккаунт Apple пользователя отличается от введённого, устройство затем попросит войти с этим аккаунтом.
  3. Откроется страница Cerberus Enterprise: коснитесь Отправить код, затем введите 6-значный код, полученный по электронной почте. Код действует 10 минут; после 5 неверных кодов пользователь должен закрыть страницу и войти снова.
  4. Войдите с паролем управляемого аккаунта Apple (или на странице входа компании, если Apple Business подключено к Google Workspace или Microsoft Entra ID), затем разрешите управление устройством.

Аккаунты, которые не могут зарегистрироваться (домен не подтверждён, нет подходящего пользователя, когда пользователи не создаются автоматически, несколько пользователей с одинаковым адресом электронной почты), видят сообщение "Этот аккаунт не настроен для регистрации. Обратитесь к администратору ИТ." События записываются в системные журналы панели управления.

После регистрации

Сразу после регистрации некоторые профили политики (сертификаты, сети Wi-Fi, веб-клипы) могут отображаться как не выполненные с неизвестной ошибкой, а устройство некоторое время может показываться как Не соответствует требованиям. Устройство повторяет попытки само, и через некоторое время они устанавливаются без каких-либо действий. Не сохраняйте политику повторно и не регистрируйте устройство заново из-за этого.

Приложения на личных устройствах

У iPhone и iPad, зарегистрированных с регистрацией пользователя, нет серийного номера, поэтому Apps and Books не может выдать им лицензию устройства. Вместо этого Cerberus Enterprise выдаёт приложениям App Store из их политики лицензию пользователя: лицензия привязывается к управляемому аккаунту Apple, в который выполнен вход на устройстве. В политике ничего не меняется: одна и та же политика используется для корпоративных и личных устройств, а Cerberus выбирает тип лицензии для каждого устройства.

Когда Apple не может назначить лицензию, например потому что у платного приложения не осталось лицензий, приложение показывает Ошибка лицензии пользователя с сообщением Apple. Добавьте лицензии в Apple Business, затем используйте Запросить повторно на странице устройства; Cerberus также повторяет попытку самостоятельно при ежедневной проверке. Строка над списком приложений показывает управляемый аккаунт Apple и статус его пользователя Apps and Books; тот же статус есть на странице пользователя.

Лицензии пользователей используются только на iPhone и iPad: на Mac, зарегистрированных с User Enrollment, приложения App Store из политики не устанавливаются. Книги и личные аккаунты Apple не поддерживаются.