通过 Apple 部署计划部署设备
Apple 部署计划 (ADP) 允许您在用户收到 Apple 设备之前，无需接触或准备设备即可自动将其注册到 Citrix Endpoint Management。用户拆开包装并激活设备后，设备会自动注册到 Citrix Endpoint Management，并且所有管理设置、应用程序和书籍都可供用户使用。
ADP 包括适用于商业组织的 Apple Business Manager (ABM) 和适用于教育组织的 Apple School Manager (ASM)。ABM 和 ASM 适用于 iOS、iPadOS 和 macOS 设备。有关设备资格的更多信息，请参阅Apple Business Manager 用户指南和Apple School Manager 用户指南。
注意：
ABM 和 ASM 结合了 Apple 之前的设备注册计划和批量采购计划。
本文将引导您完成使用 ABM 或 ASM 的一般部署工作流程：
完成此部署过程后，设备即可拆箱并激活，以进行自动化设备注册。
先决条件
打开 Citrix Endpoint Management 和 Apple 之间连接所需的端口。有关详细信息，请参阅端口要求。
注册 ABM 或 ASM
要开始在 Apple 部署设备，请注册 ABM 或 ASM。
ABM 和 ASM 适用于组织而非个人。您必须提供许多组织详细信息和资料才能创建帐户。请求和接收帐户批准可能需要时间。
注册 ABM
要注册 ABM，请访问 business.apple.com。单击 Enroll now 申请新帐户。
最佳做法是使用您组织的电子邮件地址，例如
deployment@company.com。注册过程可能需要几天时间。收到登录凭据后，请按照 ABM 中提供的步骤创建帐户。
注册 ASM
要创建您的 ASM 帐户，请访问 Apple School Manager 并按照说明注册。首次登录 ASM 时，将打开“设置助理”。
-
有关 ASM 先决条件、“设置助理”和管理任务的信息，请参阅 Apple School Manager 用户指南。
-
设置 ASM 用户帐户时，请使用与 Active Directory 域名不同的域名。例如，为 ASM 域名添加类似
appleid的前缀。 -
将 ASM 连接到您的名册数据时，ASM 会为教师和学生创建托管式 Apple ID。您的名册数据包括教师、学生和班级。有关将名册数据添加到 ASM 的信息，请参阅此列表中前面链接的《Apple School Manager 用户指南》。
-
您可以自定义您机构的托管式 Apple ID 格式，如本列表中前面链接的《Apple School Manager 用户指南》中所述。重要提示：将 ASM 信息导入 Citrix Endpoint Management 后，请勿更改托管式 Apple ID。
-
如果您通过经销商或运营商购买了设备，请将这些设备链接到 ASM。有关信息，请参阅此列表中前面链接的《Apple School Manager 用户指南》。
将您的 ABM 或 ASM 帐户连接到 Citrix Endpoint Management
创建 ABM 或 ASM 帐户后，将其连接到您的 Citrix Endpoint Management 服务器部署。
步骤 1: 从 Citrix Endpoint Management 服务器下载公钥
-
在 Citrix Endpoint Management 控制台中，转到设置 > Apple 部署计划。
-
在下载公钥下，单击下载。
步骤 2: 从您的 Apple 帐户创建并下载服务器令牌文件
-
使用管理员或设备注册管理器帐户登录 Apple Business Manager 或 Apple School Manager。
-
在侧边栏底部，单击设置，然后单击设备管理设置 > 添加 MDM 服务器。
-
在MDM 服务器名称设置中，键入 Citrix Endpoint Management 服务器的名称。您键入的服务器名称仅供参考。它不是服务器 URL 或名称。
-
在上传公钥下，单击选择文件。上传您从 Citrix Endpoint Management 下载的公钥，然后保存更改。
-
单击下载令牌将服务器令牌文件下载到您的计算机。在将 ABM 或 ASM 帐户添加到 Citrix Endpoint Management 时，您需要上传服务器令牌文件。导入令牌文件后，您的令牌信息将显示在 Citrix Endpoint Management 控制台中。
-
在默认设备分配下，单击更改。选择您希望如何分配设备，然后提供所需信息。有关详细信息，请参阅 ABM 用户指南 或 Apple School Manager 用户指南。
步骤 3: 将您的帐户添加到 Citrix Endpoint Management
您可以将多个 ABM 或 ASM 帐户添加到 Citrix Endpoint Management。此功能使您能够按国家/地区、部门等使用不同的注册设置和设置助理选项。然后，您可以将 ABM 或 ASM 帐户与不同的设备策略关联。
例如，您可以将来自不同国家/地区的所有 ABM 或 ASM 帐户集中到同一个 Citrix Endpoint Management 服务器上，以导入和监督所有 ABM 或 ASM 设备。您首先根据部门、组织层次结构或其他结构自定义注册设置和设置助理选项。然后，您配置策略以在整个组织中提供适当的功能，并让用户获得适当的帮助。
-
在 Citrix Endpoint Management 控制台中，转到 设置 > Apple Deployment Program，然后在 添加 Apple Deployment Program 帐户 下，单击 添加。
-
在 服务器令牌 页面中，指定您的服务器令牌文件，然后单击 上载。
您的服务器令牌信息随即显示。 -
在 帐户信息 页面中，指定以下设置：
-
Apple Deployment Program 帐户名称： 此 ADP 帐户的唯一描述性名称，用于标识您组织 ADP 帐户的方式，例如按国家/地区或组织层次结构。
-
业务/教育单位： 设备分配到的业务单位或部门。此字段为必填项。
-
唯一服务 ID： 可选的唯一 ID，可帮助您进一步识别帐户。
-
支持电话号码： 用户在设置过程中寻求帮助时拨打的支持电话号码。此字段为必填项。
-
支持电子邮件地址： 可供最终用户使用的可选支持电子邮件地址。
-
教育后缀： 适用于 ASM 帐户。键入通过此帐户注册的设备分配到的后缀。
-
-
在 iOS 设置 中，指定以下设置：
注册设置：-
要求设备注册： 是否要求用户注册其设备。默认值为 开。
-
要求设备注册凭据： 是否要求用户在 ABM 和 ASM 设置期间输入其凭据。我们建议您要求所有用户在设备注册期间输入其凭据，仅允许授权用户注册设备。默认值为 开。如果您在首次设置之前启用 ABM 或 ASM 且未选择此选项，Citrix Endpoint Management 将创建 ABM 或 ASM 组件。此创建包括用户、Citrix Secure Hub、软件清单和部署组等组件。如果您选择此选项，Citrix Endpoint Management 不会创建这些组件。因此，如果您以后清除此选项，未输入凭据的用户将无法注册 ABM 或 ASM，因为这些组件不存在。在这种情况下，要添加 ABM 或 ASM 组件，请禁用然后重新启用 ABM 或 ASM 帐户。
-
使用 Citrix Identity Provider 注册： 是否使用 Citrix Identity Provider 注册。此设置仅适用于 ABM 帐户。如果设置为 开，则启用 ADP 的 iOS 设备只能通过 Citrix 身份提供程序注册。默认值为 关。要启用此设置，您必须首先将 Citrix Identity Provider 配置为您的身份提供程序。转至 设置 > 身份提供程序 (IDP)，单击 添加，然后选择 Citrix Identity Provider。如果此设置设置为 开，请注意以下事项：
-
您无法在 设置 > 身份提供程序 (IDP) 页面上删除相应的 Citrix Identity Provider 配置。
-
编辑相应的 Citrix Identity Provider 配置时，您无法切换到其他身份提供程序。
-
-
等待配置完成设置： 是否要求用户的设备处于“设置助理”模式，直到所有 MDM 资源部署到设备。此设置适用于受监督模式下的设备。默认值为 关。
-
Apple 文档指出，当设备处于“设置助理”模式时，以下命令可能无法工作：
-
InviteToProgram
-
InstallApplication
-
ApplyRedemptionCode
-
InstallMedia
-
请求镜像
-
设备锁定
-
设备设置：-
受监督模式： 如果您使用 Apple Configurator 管理已注册设备，或者启用了“等待配置完成设置”时，请将其设置为“开”。默认值为“开”。有关将 iOS 设备置于受监督模式的详细信息，请参阅使用 Apple Configurator 2 部署设备。
-
允许移除注册配置文件： 是否允许设备使用可远程移除的配置文件。默认值为“关”。
-
允许设备配对： 是否可以通过 Apple Music 和 Apple Configurator 管理已注册设备。默认值为“关”。
所需最低版本
-
允许旧设备注册： 如果启用，即使设备无法升级到当前所需的最低版本，也可以注册。默认值为“开”。此选项仅适用于 iOS 17.0 及更高版本。
-
指定版本选项： 是否允许管理员手动输入指定版本。默认值为“关”。此选项仅适用于 iOS 17.0 及更高版本。
-
可用 iOS 版本： 您可以从列表中选择可用的 iOS 版本。如果设备的 iOS 版本低于当前版本，它将启动设备上的更新过程。如果版本将来过期，则使用可用版本列表中的最低版本。默认值为“无”，设置为“无”时将不生效。此选项仅适用于 iOS 17.0 及更高版本。
-
指定版本： 如果设备的 iOS 版本低于当前版本，它将启动设备上的更新过程。如果版本将来过期，则使用可用版本列表中的最低版本。请输入正确的版本号，否则可能会出现未知错误。
监督身份如果您使用 GroundControl 工具，可以添加证书以执行以下操作：-
覆盖配对限制以避免出现“信任此主机”提示。
-
通过 USB 升级受管设备操作，以在无需用户交互的情况下执行配置文件安装等活动。这样做允许 GroundControl 启用单应用模式和设备锁定以进行签出。
-
将备份恢复到 ABM 或 ASM 设备。
有关 GroundControl 的更多信息，请参阅 GroundControl 网站。 -
-
在 macOS 设置中，指定以下设置：
注册设置：-
要求设备注册： 是否要求用户注册其设备。默认值为“开”。
-
使用 Citrix Identity Provider 注册： 是否使用 Citrix Identity Provider 注册。此设置仅适用于 ABM 帐户。如果设置为“开”，则启用 ADP 的 macOS 设备只能通过 Citrix 身份提供程序注册。默认值为“关”。要启用此设置，您必须首先将 Citrix Identity Provider 配置为您的身份提供程序。转到“设置 > 身份提供程序 (IDP)”，单击“添加”，然后选择“Citrix Identity Provider”。如果此设置设置为“开”，请注意以下注意事项：
-
您无法在“设置 > 身份提供程序 (IDP)”页面上删除相应的 Citrix Identity Provider 配置。
-
编辑相应的 Citrix Identity Provider 配置时，您无法切换到其他身份提供程序。
-
-
等待配置完成设置： 如果设置为“开”，则 macOS 设备不会在设置助手中继续，直到 MDM 资源密码部署到设备。该部署发生在本地帐户创建之前。此设置适用于 macOS 10.11 及更高版本的设备。默认值为“关”。
设备设置：-
允许删除注册配置文件： 是否允许设备使用可远程删除的配置文件。默认值为“关”。
-
-
在 Apple TV 设置中，指定以下设置：
-
要求设备注册： 阻止用户跳过注册。
-
要求设备注册凭据： 在注册期间要求提供凭据。当此设置关闭时，Apple TV 将注册为默认的“设备注册计划用户”。
-
等待配置完成设置： 设备在 设置助理 屏幕中等待，直到所有资源部署完毕。
-
监管模式： 在配置限制时为管理员提供更多功能。
-
允许移除注册配置文件： 允许用户移除注册配置文件。
-
允许设备配对： 允许通过设备注册计划注册的设备通过 Apple 工具进行管理，例如 Apple App Store 和 Apple Configurator。
-
-
在 iOS 设置助理选项中，选择用户首次启动设备时 iOS 设置助理跳过的步骤。当屏幕被跳过时，相关功能将使用默认设置。除非您完全限制对这些功能的访问，否则用户可以在设置完成后配置跳过的功能。有关限制对功能访问的更多信息，请参阅限制设备策略。所有项目的默认值均已清除。以下说明解释了选择某个设置时会发生什么。
-
定位服务： 阻止用户在设备上设置定位服务。
-
触控 ID： 阻止用户在 iOS 设备上设置触控 ID 或面容 ID。在 iOS 15 中已弃用。
-
密码锁： 阻止用户为设备设置密码。如果不存在密码，用户将无法使用触控 ID 或 Apple Pay。
-
设置为新设备或恢复： 阻止用户将设备设置为新设备或从 iCloud 或 Apple App Store 备份恢复。
-
从 Android 迁移： 阻止用户将数据从 Android 设备传输到 iOS 设备。此选项仅在选择设置为新设备或恢复时可用（即，跳过该步骤）。
-
**Apple ID：**阻止用户为设备设置托管式 Apple ID 帐户。
-
**条款和条件：**阻止用户阅读并接受设备使用条款和条件。
-
**Apple Pay：**阻止用户设置 Apple Pay。如果此设置已清除，则用户必须设置触控 ID 和 Apple ID。请确保这些设置已清除。
-
**Siri：**阻止用户配置 Siri。
-
**应用分析：**阻止用户设置是否与 Apple 共享崩溃数据和使用统计信息。
-
**显示缩放：**阻止用户在 iOS 设备上设置显示分辨率（标准或缩放）。在 iOS 17 中已弃用。
-
**原彩显示：**阻止用户设置四通道传感器以动态调整显示屏的白平衡。
-
**主屏幕按钮：**阻止用户设置主屏幕按钮的反馈样式。在 iOS 15 中已弃用。
-
**新功能亮点：**阻止用户查看显示 Apple 软件新功能信息的屏幕。
-
**隐私：**阻止用户查看数据和隐私面板。适用于 iOS 11.3 及更高版本。
-
**软件更新：**阻止用户将 iOS 更新到最新版本。适用于 iOS 12.0 及更高版本。
-
**屏幕使用时间：**阻止用户启用屏幕使用时间。适用于 iOS 12.0 及更高版本。
-
**SIM 卡设置：**阻止用户设置蜂窝网络套餐。适用于 iOS 12.0 及更高版本。
-
**iMessage 与 FaceTime：**阻止用户启用 iMessage 和 FaceTime。适用于 iOS 12.0 及更高版本。
-
**外观：**阻止用户选择外观模式。适用于 iOS 13.0 及更高版本。
-
欢迎：阻止用户看到“开始使用”屏幕。适用于 iOS 13.0 及更高版本。
-
恢复完成：阻止用户在设置过程中看到恢复是否完成。适用于 iOS 14.0 及更高版本。
-
更新完成：阻止用户在设置过程中看到软件更新是否完成。适用于 iOS 14.0 及更高版本。
-
App Store：阻止用户设置 App Store。适用于 iOS 11.1 及更高版本。
-
操作按钮：阻止用户看到“操作按钮”配置窗格。适用于 iOS 17.0 及更高版本。
-
锁定模式：如果已设置 Apple 帐户，则阻止用户看到“锁定模式”窗格。适用于 iOS 17.1 及更高版本。
-
智能：阻止用户看到“智能”窗格。适用于 iOS 18.0 及更高版本。
-
相机按钮：阻止用户看到“相机按钮”窗格。适用于 iOS 18.0 及更高版本。
该帐户显示在设置 > Apple 部署计划。 -
-
在“macOS 设置助理选项”中，选择用户首次启动设备时 macOS 设置助理跳过的步骤。跳过某个屏幕时，相关功能将使用默认设置。除非您完全限制对这些功能的访问，否则用户可以在设置完成后配置跳过的功能。有关限制对功能访问的更多信息，请参阅限制设备策略。所有项目的默认设置均已清除。以下说明解释了选择某个设置时会发生什么。
-
设置为新设备或恢复：阻止用户将设备设置为新设备，或从时间机器备份恢复，或执行系统迁移。
-
定位服务：阻止用户在设备上设置定位服务。适用于 macOS 10.11 及更高版本。
-
Apple ID：阻止用户为设备设置托管式 Apple ID 帐户。
-
条款和条件：阻止用户阅读和接受设备使用条款和条件。
-
Siri： 阻止用户配置 Siri。适用于 macOS 10.12 及更高版本。
-
FileVault： 使用 FileVault 加密启动磁盘。Citrix Endpoint Management 仅在系统具有单个本地用户帐户且该帐户已登录 iCloud 时才应用 FileVault 设置。您可以使用 macOS FileVault 磁盘加密功能通过加密其内容来保护系统卷 (https://support.apple.com/zh-cn/HT204837)。如果您在未启用 FileVault 的新型便携式 Mac 上运行设置助理，系统可能会提示您启用此功能。此提示会出现在新系统以及升级到 OS X 10.10 或 10.11 的系统上，但前提是系统具有单个本地管理员帐户且该帐户已登录 iCloud。
-
应用分析： 阻止用户设置是否与 Apple 共享崩溃数据和使用统计信息。
-
隐私： 阻止用户查看“数据与隐私”窗格。适用于 macOS 10.13 及更高版本。
-
iCloud 分析： 阻止用户选择是否将诊断 iCloud 数据发送给 Apple。适用于 macOS 10.13 及更高版本。
-
iCloud 文稿和桌面： 阻止用户设置 iCloud 桌面和文稿。适用于 macOS 10.13 及更高版本。
-
外观： 阻止用户选择外观模式。适用于 macOS 10.14 及更高版本。
-
辅助功能： 阻止用户自动听到 Voice Over。仅当设备连接到以太网时可用。适用于 macOS 11 及更高版本。
-
生物识别： 阻止用户设置触控 ID 和面容 ID。适用于 macOS 10.12.4 及更高版本。
-
原彩显示： 阻止用户设置四通道传感器以动态调整显示器的白平衡。适用于 macOS 10.13.6 及更高版本。
-
Apple Pay： 阻止用户设置 Apple Pay。如果此设置被清除，用户必须设置触控 ID 和 Apple ID。确保已清除Apple ID和生物识别设置。
-
屏幕使用时间： 阻止用户启用屏幕使用时间。适用于 macOS 10.15 及更高版本。
-
App Store： 阻止用户设置 App Store。适用于 macOS 11.1 及更高版本。
-
使用 Apple Watch 解锁： 阻止用户使用 Apple Watch 解锁其 Mac。适用于 macOS 12 及更高版本。
-
本地账户设置选项： 指定在设备上创建账户的设置。Citrix Endpoint Management 首先使用您在此处指定的信息创建本地管理员账户。当用户激活其设备时，将创建一个用户账户作为主账户。将主账户创建为标准用户选项决定主账户是否具有管理员权限。
重要提示：您只能在将 macOS 设置页面上的等待配置完成设置设置为开之后，才能选择将主账户创建为标准用户。-
将主账户创建为标准用户： 选中此选项后，Citrix Endpoint Management 将创建具有标准权限的用户，而不是授予用户设备上的管理员权限。如果您希望授予用户设备上的管理员权限，请跳过此选项。默认情况下，此选项未选中。
-
管理员全名： 键入系统为管理员账户显示的名称。
-
管理员短名称： 键入设备为主文件夹和 shell 中显示的名称。
-
管理员密码： 为管理员账户键入一个安全密码。
-
在“用户与群组”中显示管理员账户： 如果取消选中，管理员账户将不会显示在 macOS 设置的用户与群组中。如果您将主账户创建为标准用户，请启用此设置以隐藏 Citrix Endpoint Management 首先创建的管理员账户。
为了增强安全性，Citrix Endpoint Management 会检查是否每天轮换管理员账户的密码。默认情况下，Citrix Endpoint Management 每 7 天轮换一次密码。要更改默认设置，请更新mac.dep.admin.passwd.rotate服务器属性。有关详细信息，请参阅服务器属性。为了提高密码强度和安全性，Citrix Endpoint Management 生成的密码如下：-
12 个字符长
-
3 个大写字母
-
3 个小写字母
-
3 个数字
-
3 个特殊字符：
! \@ # \$ % \^ * ? + = -
要查看设备的上一个密码、当前密码和密码更改状态，请转至管理 > 设备。单击该设备，单击显示更多，然后查看设备详细信息 > 常规页面。安全部分显示以下内容：-
上一个管理员密码： 允许您查看上一个密码。Citrix Endpoint Management 仅显示最后一个密码。单击“显示密码”以查看密码。
-
当前管理员密码： 允许您查看当前密码。
-
更改管理员密码： 允许您查看密码更改状态。根据实际状态，可能会显示以下信息：
-
已在 \<特定时间值\> 请求更改密码。
-
密码已在 \<特定时间值\> 更改。
-
尝试更改密码失败，时间为 \<特定时间值\>。
-
密码尚未更改。
-
-
-
在“Apple TV 设置助理选项”中，选择用户首次启动设备时跳过的 Apple TV 设置助理步骤。所有项目的默认设置均为未选中。保存更改。
-
该帐户显示在“设置 > Apple 部署计划”中。要测试 Citrix Endpoint Management 与 Apple 之间的连接，请选择该帐户，然后单击“测试连接”。
将显示状态消息。
订购设备
您可以直接通过以下渠道订购设备：
-
Apple。向卖家提供您的 Apple 客户编号。
-
参与的 Apple 授权经销商或运营商。向卖家提供您的组织 ID 并获取其经销商 ID。
有关管理设备供应商的更多信息，请参阅Apple Business Manager 用户指南或Apple School Manager 用户指南。
订单发货后，您购买的 Apple 设备将添加到您的 ABM 或 ASM 帐户中。
将设备分配给 Citrix Endpoint Management
在 ABM 或 ASM 门户中，搜索订单号并使用它将此订单中的设备分配给您的 Citrix Endpoint Management。您还可以使用 Apple Configurator 2 将 iPhone、iPad、iPod touch 和 Apple TV 设备添加到 ABM 或 ASM，无论设备是在何处购买的。
批量购买内容并将其同步到 Citrix Endpoint Management
ABM 和 ASM 允许您从单个组织帐户批量购买、分发和管理应用程序和图书的许可证。要使您的 Citrix Endpoint Management 能够与 ABM 或 ASM 通信以获取分发许可证信息，请完成以下步骤：
-
在 ABM 或 ASM 门户中，从“应用程序和图书”购买公共应用程序和图书，并从“自定义应用程序”购买为您的 Citrix Endpoint Management 开发的自定义应用程序。
-
在 ABM 或 ASM 门户中，下载分配给您的 Citrix Endpoint Management 的内容令牌。有关步骤 1 和 2 的更多信息，请参阅Apple Business Manager 用户指南或Apple School Manager 用户指南。
-
在 Citrix Endpoint Management 控制台中，根据您下载的内容令牌创建批量购买帐户。有关详细信息，请参阅通过 Apple 批量购买添加应用程序。创建批量购买帐户后，您购买的应用程序和图书将显示在管理 > 应用程序中，您分配给 Citrix Endpoint Management 服务器的设备将显示在管理 > 设备中。
配置设备策略和应用程序的部署规则
在配置设备策略和应用程序时，可以将 ABM 或 ASM 帐户与不同的设备策略和应用程序关联。
-
在“配置 > 设备策略”和“配置 > 应用程序”页面上，展开“部署规则”。
-
指定策略或应用程序部署到特定的 ABM 帐户，或部署到除所选帐户之外的所有 ABM 帐户。
ABM 帐户列表仅包含状态为“已启用”或“已禁用”的帐户。如果 ABM 帐户已禁用，则 ABM 设备不属于此帐户。因此，Citrix Endpoint Management 不会将应用程序或策略部署到该设备。
在以下示例中，设备策略仅部署到 ABM 帐户名称为“ABM Account NR.”的设备。
Apple 设备计划设置屏幕(/en-us/citrix-endpoint-management/media/apple-dep-deployment-rule-policy-example.png)