藉由MDM服務,企業可以用來控管配發給員工的iOS Device。可以採用Apple官方推出的工具,也可以採用第三方開發的服務。
MDM server傳送描述檔和指令的流程
- 管理員傳送一個設定描述檔(Configuration Profile)到使用者的iOS裝置上。
- 使用者安裝該設定描述檔。
- 該台iOS裝置向MDM server註冊,開始被監管。
- MDM server透過Apple Push Notification Service發送推播訊息到給iOS裝置,請裝置向server確認是否有新的指令或query。
- iOS裝置藉由HTTPS和MDM server連接,MDM server傳送指令給裝置、或是向裝置要求回傳資訊。
Apple Push Notification
當MDM server要和iOS裝置溝通,Apple Push Notification會送一則通知給在螢幕鎖定中的iOS裝置,請iOS裝置向MDM server做check in,看看有沒有新的環境設定、或工作任務需要被推送到裝置上。
如果iOS裝置決定接收新的資料,Configuration Profile及其他設定,會在背景用被SSL/TLS加密的方式在裝置和MDM server之間做傳輸。
為了讓Apple Push Notification服務正確辨認來自MDM server送出的指令,必須申請及下載Apple Push Certificate,將其安裝到MDM server中,如此才能讓iOS裝置向MDM server註冊。 網路設定
- MDM server最好是連接到一個固定網域,而非一個IP位置。(The IP address range for the push service is subject to change; the expectation is that an MDM server will connect by hostname rather than by IP address. The push service uses a load-balancing scheme that yields a different IP address for the same hostname. This hostname is gateway.push.apple.com (and gateway.sandbox.push.apple.com for the development push notification environment). Additionally, the entire 17.0.0.0/8 address block is assigned to Apple so firewall rules can be established to specify that range)
- 把這台MDM server建置在企業內部時,建議打開以下port:
- Port TCP 80 (http)
- Port TCP 443 (https)
- Port TCP 1640 (SCEP)
- Port TCP 5223 (APNS)
- 讓iOS裝置連接到push service。
- Port TCP 2195 (APNS)
- 讓MDM server傳送通知到Apple Push Notification service。
- Port TCP 2196 (APNS)
- feedback service
註冊
iOS裝置註冊(Enrollment) 裝置註冊是讓iOS裝置接受被某台MDM server管理。可以把iOS裝置插線到電腦、或是用無線(Over-the-Air Enrollment)傳輸的方式來接收註冊描述檔(Enrollment Profile),多半都是後者,其流程包括:
- User Authentication
- 管理員可透過email、簡訊、網頁、App來請使用者在iOS裝置上進行註冊。
- Certificate Enrollment
- iOS會透過SCEP(Simple Certificate Enrollment Protocal)產生一個certificate enrollment request,這個request傳送到CA(Certificate Authority),接著使iOS裝置收到identity certificate。
- Device Configuration
- 安裝好identity certificate後,iOS裝置就可以OTA收到加密過的環境設定(configuration information)。
上面可以掠過不看,總之就是,使用者必須在iOS裝置上下載安裝由MDM server發出的profile(描述檔),接著該台裝置就會自動向MDM server進行註冊。註冊完成後,這台iOS裝置就能接收來從MDM server發出的環境設定、資訊更新、被遠端鎖定、被遠端清除資料等工作。
用Apple Configurator來啟用監管
- 透過Apple Configurator,iOS裝置可以變成supervised的狀態。
- 你可以搭配iPhone Configuration Utility,在Apple Configurator中就先設定好iOS裝置的環境設定,也可以隨後再用MDM server來設定。
- 接著這台裝置當然也可以透過OTA被MDM server監管。
缺點是,如果採用Apple Configuration,必須把各台iOS裝置連接到電腦上,逐次做啟用監管的動作。
管理
- 可從MDM Server藉由推播設定描述檔(Configuration Profile)來改變iOS裝置中的環境設定,包括:禁止使用相機、App Store下載功能、預設wifi帳號密碼、VPN設定…等。
- MDM server可推播App Store上的免費App、企業內部開發的in-house App到iOS裝置上進行安裝。使用者會在iOS裝置上收到請安裝該App的通知,使用者有決定安裝或是取消安裝的權力。
- 這些由MDM server發送給使用者的App,其中儲存的資料不會被備份到iTunes或iCloud中。
- 如果管理者想要購買某款付費App來發送給使用者的iOS裝置,則可以先藉由Volume Purchasing Program(VPP)來購買授權碼(Redemption Code),並且將授權碼交給使用者,使用者即可用來安裝該App,而不必自己付錢。
- MDM server可以移除先前推播給iOS裝置的App,並且查看當profile描述檔被移除時,這些App是否也被移除了。
遠端清除iOS裝置中的資料
當有iOS裝置遺失或是疑似遭竊,管理員可以透過MDM server遠端發送指令到裝置上,將必要的資料刪除,以防企業內部資料被有心人士洩漏出去。指令送出之後,一旦該台iOS裝置連接到無線網路,指令就會在裝置中執行。
- 如果iOS裝置遺失,MDM server 可以遠端發送指令,將裝置的螢幕鎖定,必須輸入該使用者先前設定好的密碼,才能解除鎖定。
- 管理員可以刪除從MDM server推播給iOS裝置的MDM Configuration Profile,如此一來,裝置中所有藉由這些描述檔接收的環境設定、App,都會消失。
- 承上,當然管理員也可以指單獨刪除某些設定描述檔(Configuration Profile)和App。
- MDM server可以發送指令,清除掉整台iOS裝置中的所有資料,回到出廠時的狀態。
另外,如果使用者不小心忘記了自己設定的螢幕鎖定密碼,可以請管理員透過MDM server遠端發送指令,將該台iOS裝置的密碼清除,但同時要求60分鐘之內必須設定新的密碼。
( 以上資料來自:http://tinyurl.com/br55zxr )
感謝大大關於MDM文章,幫了我很大的忙
有個問題想請問你
當手機接到MDM Server的訊息時,有辨法Trigger
某一個自己寫的APP做事情嗎?(例如取得定位)
因為我想把手機的某些資訊再回傳給Server
感謝!
據我所知,這部份Apple只有開放給有合作關係的MDM服務開發商。
感謝你的回覆。
做得到但有點麻煩跟資訊不好找
可以google 一下關鍵字 Python mdm github
你的文章很有作用呀!我想用profilemanager把in-house apps push to iPad, but it show “pending”, 有什麼原因嗎? Thanks!
謝謝您的文章
想請教一下
關於架設MDM server 有哪邊可以找到相關的資料呢?
利用MDM 是否可以控制iphone手機禁止使用相機功能呢?
謝謝您。
https://www.apple.com/ipad/business/it/#management
https://developer.apple.com/enterprise/
謝謝您的文章
想請教一下
透過mdm server 登記產生的描述檔是否能設定讓USER無法移除
根據模糊的印象,不能
描述檔可以設定吧
請問
如果MDM Server建置好了之後,因故更改了主機的IP
且相對應的DNS紀錄也更改了
對於已經被監管的裝置來說,會不會有無法監管的狀況
目前是還在建置MDM Server中,未來有可能MDM Server所使用的IP
跟建置時所使用的IP會不同的狀況
所以先請問一下
麻煩了
感謝
我沒遇過,我猜會有影響。你google看看吧。
你好,以下一些問題請教:
1.請問若被管制的手機,一開始是否需要先重制才能納管?
2.是不是一定要透過APNS才能納管,所以手機一定要連上internet才收得到?
3.若員工離開公司要恢復未管制狀態,是要怎麼處理呢?
謝謝~
事隔多年我印象不深了…
1 —> 貌似是不用先重置
2 —> 你讀一下以下這幾篇…
http://blog.nienyiho.com/2012/04/28/在profile-manager中無線推播app和描述檔給ios裝置/
http://blog.nienyiho.com/2012/06/01/lion-server之profile-manager監管大量ios設備-進階篇/
http://blog.nienyiho.com/2012/04/04/use-apple-configurator-to-distribute-app-and-configuration-profile/
3 —> 事隔太久,我忘了員工能不能自給刪除描述檔….貌似可以用Mac的Apple Configurator來刪除手機中的描述檔