Apple MDM (Mobile Device Management) 字面理解就是一种管理移动设备的方式，覆盖 iOS 5 及更高版本的 iPhone/iPod touch/iPad、Mac OS X 10.7 及更高版本的 Mac、TVOS 9 及更高版本的 Apple TV，标题中的 “iOS” 非常片面，因为我只在 iOS 中应用过，其他平台大致相同罢。网络上对 MDM 的介绍还是比较少的，希望这篇文章能补充一些空白。距离上次 《iOS应用发布方式盘点+苹果商务详解》 发表已经有两年多的时间，当时在文章里提到了可以通过 MDM 分发应用，后来很多同学留言或私信我想多了解一点 MDM，实在抱歉，今天它终于来了。

插播一条广告，对 iOS 相关技术有兴趣的同学可以私信我，拉你进某信群聊，简书评论区实在不方便交流。

原创文章，如需转载请在下面留言让我知道。不留言不在开头标明出处链接的坏同学，1字1元索赔

其实很多公司都在用 MDM 管理企业或员工的 iOS 设备，比如阿里的同学必装的“阿里郎”。 被管理的 iOS 设备会在 设置 - 通用 - 设备管理 里面多出一个描述文件，如下图。这表示你的设备被阿里郎远程管理了。

苹果对 MDM 的介绍是这样的：

通过部署移动设备管理 (MDM) 解决方案，管理员可以安全地远程配置注册设备。管理员使用 Apple 校园教务管理或 Apple 商务管理来注册组织拥有的设备，用户也可以注册自己的设备。注册设备后，管理员可以更新软件和设备设置、监控组织政策的遵守情况、远程擦除或锁定设备，以及安装内部开发或通过 Apple 校园教务管理或 Apple 商务管理购买的 app 和书籍。

因为 MDM 的权限和能做的事情还是很多的，看完苹果的定义很难有直观的理解。别着急，我们继续来深入探索一下。

加入 MDM 的设备分为监督和非监督，管理员可以决定设备加入哪种类型的 MDM。

一般来说比较敏感的操作只能在“监督”设备上执行，加入（注册到）“监督” MDM 的设备需要在注册时抹掉设备（除非你的设备是全新的），并且在设置或锁屏页面中会出现非常明显的提示。适合应用于企业或学校等机构购买的设备，控制能力强。再也不需要担心员工或学生登陆自己的 AppleID 并开启“查找我的 iPhone”这类功能，抹掉设备后不需要登录 AppleID 解除 ID 锁，这点对我工作的场景非常实用。当然，监督设备独享的敏感操作和限制等功能还有很多。

非监督设备也有一定优势，比如加入非监督 MDM 的设备不需要先抹掉，只要访问一个网址或者从电子邮件附件中安装一个特定的描述文件就可以了。退出 MDM 也很容易，用户只要在 iOS 设备上删掉描述文件就可以了。比较适合应用于员工自己的手机，比如你作为企业的 IT 人员，想让员工手机连接办公室 Wi-Fi，但又不想让员工知道 Wi-Fi 密码，就可以把员工手机加入到非监督 MDM。

具体要把设备注册为哪种类型，要看设备所属和你需要的功能是否是监督设备专用的。

上面的清单很长，几乎控制到了 iOS 设备的方方面面，连 壁纸 都能设置，但这可能还不是完整的清单，随着时间的推移，苹果会加入更多功能，大家自己探索一下吧。这些功能和具体的信息（比如要连接的 Wi-Fi 名称和密码、加密方式、证书等等）大部分都是通过描述文件 (Profile，文件后缀 .mobileconfig) 承载的，只要把描述文件安装到设备上就可以生效。安装途径有很多种，比如把 iOS 设备通过 USB 数据线连接到 Mac 上、通过 MDM 命令远程安装（详见下文）、加入 MDM 时随注册描述文件一同安装等（设备注册到 MDM 方法见下文）。

创建描述文件的方法有很多种，最简单的就是使用 Apple Configurator 2 应用，可以在 Mac App Store 中下载到，是一款苹果官方出品的 macOS 应用。打开应用后点击菜单栏 File - New Profile，会弹出一个窗口用于编辑限制和配置信息，如下图：

这些都是作为企业、组织或学校等机构，可以查询到的设备的信息。查询动作都是通过服务器远程进行的，只要设备联入了互联网就可以做到。

命令和查询类似，也是通过服务器给设备下发的。这里我们看到了一些很敏感的操作，比如擦除设备，这种都是需要监督设备才能支持的，所以在决定设备是否需要“监督”之前，可以先了解一下你想要的功能或限制是否为 supervised only。

上图中的 APNs 就是 Apple Push Notification service，iOS上所有的推送消息都是通过这个服务到达用户设备上的（如微信消息），这套机制大家应该很熟悉。MDM 消息不同点是不会让用户感知到，无任何提示。

这里有个问题，为什么 MDM 服务不直接给设备发指令 ，而是要通过 APNs 通知呢？ 如果直接给设备发指令，需要服务和设备直接保持长连接，功耗会增加。所以 MDM "复用"了 APNs 这个 iOS 的统一推送服务，无需为设备增加额外的长连接。

下面是我使用过的功能，对于建设一个标准化自动化测试机房来说非常有用。

MDM 内容比较多，所以我分两篇文章呈现。上篇主要是入门和原理性的内容，到此结束。下篇主要是 MDM 系统搭建和设备注册到 MDM 等动手实战的内容，近期面世，敬请期待。