iOS

Last published : Oct 21, 2026
要在 Citrix Endpoint Management 中管理 iOS 设备，您需要设置 Apple 的 Apple Push Notification service (APNs) 证书。有关信息，请参阅 APNs 证书。
注册配置文件决定 iOS 设备是否注册到 MDM+MAM，用户可以选择退出移动设备管理 (MDM)。Citrix Endpoint Management 支持 MDM+MAM 中 iOS 设备的以下身份验证类型。有关信息，请参阅以下文章：
iOS 13 中受信任证书的要求：
Apple 对 TLS 服务器证书有新的要求。请验证所有证书是否符合 Apple 的新要求。请参阅 Apple 的出版物 <https://support.apple.com/zh-cn/HT210176>。有关管理证书的帮助，请参阅 上载证书。
启动 iOS 设备管理的一般工作流程如下：
  1. 完成入门过程。请参阅 入门和资源设置 和 准备注册设备和交付资源。
  2. 选择并配置注册方法。请参阅 支持的注册方法。
  3. 配置 iOS 设备策略。
  4. 注册 iOS 设备。
  5. 设置设备和应用程序安全操作。请参阅 安全操作。
有关支持的操作系统，请参阅 支持的设备操作系统。
Related information
设备管理

iOS 14 兼容性

Citrix Endpoint Management 和 Citrix 移动应用程序与 iOS 14 兼容，但目前不支持新的 iOS 14 功能。
对于受监督的 iOS 设备，您可以将软件升级推迟最多 90 天。在 iOS 的限制设备策略中，使用以下设置：
  • 强制延迟软件更新
  • 强制软件更新延迟
请参阅 iOS 设置。这些设置不适用于用户注册模式或非监督（完全 MDM）模式下的设备。

必须保持开放的 Apple 主机名

某些 Apple 主机名必须保持开放，以确保 iOS、macOS 和 Apple App Store 的正常运行。阻止这些主机名可能会影响以下各项的安装、更新和正常运行：iOS、iOS 应用程序、MDM 操作以及设备和应用程序注册。有关详细信息，请参阅 <https://support.apple.com/zh-cn/HT201999>。

支持的注册方法

您可以在注册配置文件中指定如何管理 iOS 设备。您可以选择以下注册设置：
  • Apple 用户注册： 对于 BYOD 设备，可在个人数据隐私和企业数据安全之间取得平衡。此注册模式作为公共预览版提供。要启用此功能，请联系您的支持团队。
  • Apple 设备注册： 适用于受监督的 iOS 设备，设备上具有独立的个人和企业配置文件。
  • 不管理设备： 如果您只想管理应用程序，请将这些设备从 MDM 中排除。
有关创建注册配置文件的详细信息，请参阅 注册配置文件。
Citrix Endpoint Management 支持以下 iOS 设备注册方法：
方法 受支持
苹果商务管理 是
苹果学校管理 是
苹果配置器 是
手动注册 是
注册邀请 是
Apple 部署计划包括面向商业组织的 Apple Business Manager (ABM) 和面向教育组织的 Apple School Manager (ASM)。有关详细信息，请参阅通过 Apple 部署计划部署设备。
Apple School Manager 是一种教育版 Apple 部署计划。请参阅与 Apple 教育功能集成。
使用 Apple 部署计划批量注册 iOS、iPadOS 和 macOS 设备。您可以直接从 Apple、参与的 Apple 授权经销商或运营商处购买这些设备。无论您是否直接从 Apple 购买 iOS 设备，都可以使用 Apple Configurator 注册这些设备。请参阅批量注册 Apple 设备。

受管 Apple ID

用户注册与受管 Apple ID 紧密集成。您可以使用 ABM/ASM 手动创建受管 Apple ID，也可以使用 Azure Active Directory (AAD) 动态创建。
对于非联合身份验证，请使用 ABM/ASM 创建受管 Apple ID 以添加帐户。有关在 ABM/ASM 中添加帐户的信息，请参阅 https://support.apple.com/guide/apple-business-manager/welcome/web 处的 Apple 文档和 https://support.apple.com/guide/apple-school-manager/welcome/web 处的 ASM 文档。为避免用户注册时出现额外步骤，我们建议执行以下操作：
  • 创建受管 Apple ID 时，使用与公司电子邮件地址匹配的电子邮件。
  • 将用户角色设置为 Staff。
  • 让用户在注册前手动更改密码。告知用户我们建议他们使用与公司账户相同的密码。
要动态创建托管式 Apple ID，请将 Citrix Cloud 配置为使用 AAD 作为其身份提供程序。有关将 Citrix Cloud 配置为使用 AAD 的更多信息，请参阅通过 Citrix Cloud 使用 Azure Active Directory 进行身份验证。此外，在 ABM/ASM 中配置联合身份验证。要了解有关在 ABM 或 ASM 中配置联合身份验证的更多信息，请参阅Apple Business Manager 用户指南和Apple School Manager 用户指南。
手动创建托管式 Apple ID 时，可以配置自定义域以替代默认域。您配置的自定义域将替换现有域。例如，您的公司电子邮件地址遵循 first.last@company.com 格式，但您希望使用 mycompany.website.com 作为托管式 Apple ID 的域。在 ABM/ASM 上创建托管式 Apple ID 时，电子邮件地址将变为 first.last@mycompany.website.com。

手动添加 iOS 设备

如果要手动添加 iOS 设备（例如用于测试目的），请按照以下步骤操作。
  1. 在 Citrix Endpoint Management 控制台中，单击“管理 > 设备”。“设备”页面随即显示。
    设备页面
  2. 单击“添加”。“添加设备”页面随即显示。
    添加设备页面
  3. 配置以下设置：
    • 选择平台： 单击“iOS”。
    • 序列号： 键入设备序列号。
  4. 单击“添加”。“设备”表随即显示，设备已添加到列表底部。要查看和确认设备详细信息：选择您添加的设备，然后在出现的菜单中单击“编辑”。
    注意：
    当您选中设备旁边的复选框时，选项菜单会显示在设备列表上方。如果您单击列表中的其他任何位置，选项菜单会显示在列表的右侧。
    • 已配置 LDAP
    • 如果使用本地组和本地用户：
      • 一个或多个本地组。
      • 分配给本地组的本地用户。
      • 交付组与本地组关联。
    • 如果使用 Active Directory：
      • 交付组与 Active Directory 组关联。
      设备详细信息列表(/en-us/citrix-endpoint-management/media/manage-devices-details-general.png)
  5. 常规页面列出了设备标识符，例如序列号和平台类型的其他信息。对于设备所有权，请选择公司或BYOD。
    常规页面还列出了设备安全属性，例如强 ID、锁定设备、激活锁绕过以及平台类型的其他信息。完全擦除设备字段包含用户 PIN 码。设备擦除后，用户必须输入该代码。如果用户忘记了代码，您可以在此处查找。
  6. 属性页面列出了 Citrix Endpoint Management 预配的设备属性。此列表显示了用于添加设备的预配文件中包含的任何设备属性。要添加属性，请单击添加，然后从列表中选择一个属性。有关每个属性的有效值，请参阅 PDF 设备属性名称和值。
    添加属性后，它最初会显示在您添加它的类别下。单击下一步，然后返回属性页面后，该属性将显示在相应的列表中。
    要删除属性，请将鼠标悬停在列表上，然后单击右侧的X。Citrix Endpoint Management 会立即删除该项目。
  7. 其余设备详细信息部分包含设备的摘要。
    • 用户属性：显示 RBAC 角色、组成员身份、批量购买帐户以及用户的属性。您可以从此页面停用批量购买帐户。
    • 分配的策略：显示已部署、待处理和失败的策略数量。提供每个策略的策略名称、类型和上次部署信息。允许您将部署状态重置为待处理并重新部署用户已删除的策略。
    • 应用程序： 显示上次盘点中已安装、待处理和失败的应用程序部署数量。提供应用程序名称、标识符、类型及其他信息。有关 iOS 和 macOS 盘点键（例如 HasUpdateAvailable）的说明，请参阅移动设备管理 (MDM) 协议。
    • 媒体： 显示上次盘点中已部署、待处理和失败的媒体部署数量。
    • 操作： 显示已部署、待处理和失败的操作数量。提供操作名称和上次部署时间。
    • 交付组： 显示成功、待处理和失败的交付组数量。对于每次部署，提供交付组名称和部署时间。选择一个交付组可查看更详细的信息，包括状态、操作以及渠道或用户。
    • iOS 配置文件： 显示上次 iOS 配置文件盘点，包括名称、类型、组织和描述。
    • iOS 预配配置文件： 显示企业分发预配配置文件信息，例如 UUID、过期日期和托管状态。
    • 证书： 显示有效、已过期或已吊销证书的信息，例如类型、提供商、颁发者、序列号以及过期前的剩余天数。
    • 连接： 显示首次连接状态和上次连接状态。为每个连接提供用户名、倒数第二次（上次）身份验证时间和上次身份验证时间。
    • MDM 状态： 显示 MDM 状态、上次推送时间和上次设备回复时间等信息。

配置 iOS 设备策略

使用这些策略配置 Citrix Endpoint Management 如何与运行 iOS 或 iPadOS 的设备交互。此表列出了适用于 iOS 和 iPadOS 设备的所有设备策略。
AirPlay 镜像 AirPrint APN
应用程序访问 应用程序属性 应用程序配置
应用程序清单 应用程序锁定 应用程序卸载
应用程序通知 蓝牙 日历 (CalDAV)
蜂窝网络 联系人 (CardDAV) 凭据
设备名称 教育配置 企业邮件
字体 主屏幕布局 导入 iOS 和 macOS 配置文件
LDAP 位置 锁屏消息
邮件 托管域 最大驻留用户数
MDM 选项 网络 网络使用情况
组织信息 操作系统更新 密码
密码锁定宽限期 个人热点 配置文件删除
预配配置文件 预配配置文件删除 代理
限制 漫游 SCEP
SSO 帐户 商店 订阅日历
条款和条件 VPN 壁纸
Web 内容筛选器 Web 剪辑

注册 iOS 设备

本节介绍用户如何将 iOS 设备（12.2 或更高版本）注册到 Citrix Endpoint Management。有关 iOS 注册的更多信息，请观看以下视频：
iOS 注册视频
  1. 在 iOS 设备上前往 Apple Store，下载 Citrix Secure Hub 应用程序，然后点击该应用程序。
  2. 当系统提示安装应用程序时，点击下一步，然后点击安装。
  3. Citrix Secure Hub 安装完成后，点击打开。
  4. 输入您的公司凭据，例如 Citrix Endpoint Management 服务器名称、用户主体名称 (UPN) 或电子邮件地址。然后，点击下一步。
  5. 点击是，注册以注册您的 iOS 设备。
  6. 将显示 Citrix Endpoint Management 收集的数据列表。点击下一步。将显示有关组织如何使用该数据的说明。点击下一步。
  7. 输入凭据后，在出现提示时点击允许以下载配置文件。下载配置文件后，点击关闭。
  8. 在您的设备设置中，安装 XenMobile® 配置文件。
    • 转到设置 > 通用 > 配置文件 > XenMobile Profile Service，然后点击安装以添加配置文件。
    • 在通知窗口中，点击信任以将您的设备注册到远程管理。 添加配置文件
  9. 注册成功后，打开 Citrix Secure Hub。如果您要注册 MDM+MAM：凭据验证后，在出现提示时创建并确认您的 Citrix PIN。
  10. 工作流程完成后，设备将注册。然后，您可以访问应用商店以查看可在 iOS 设备上安装的应用。

安全操作

iOS 设备注册支持以下安全操作。有关每个安全操作的说明，请参阅安全操作。
  • 激活锁绕过
  • 应用锁定
  • 应用擦除
  • ASM 激活锁
  • 证书续订
  • 清除限制
  • 启用/禁用丢失模式
  • 启用/禁用跟踪
  • 完全擦除
  • 定位
  • 锁定
  • 响铃
  • 请求/停止 AirPlay 镜像
  • 重新启动/关机
  • 撤销/授权
  • 选择性擦除
  • 解锁
iOS 的用户注册支持以下安全操作：
  • 撤销
  • 锁定
  • 选择性擦除
  • 证书续订

锁定 iOS 设备

您可以锁定丢失的 iOS 设备，并在设备锁定屏幕上显示附带的消息和电话号码。
要在锁定的设备上显示消息和电话号码，请在 Citrix Endpoint Management 控制台中将 密码 策略设置为 true。用户也可以手动在设备上启用密码。
  1. 单击 管理 > 设备。将显示“设备”页面。
    设备页面
  2. 选择要锁定的 iOS 设备。
    选中设备旁边的复选框以在设备列表上方显示选项菜单。单击列表中的其他任意位置以在列表右侧显示选项菜单。
    选项菜单选项菜单
  3. 在选项菜单中，单击“安全”。此时将显示“安全操作”对话框。
  4. 单击“锁定”。此时将显示“安全操作”确认对话框。
  5. （可选）键入要在设备锁定屏幕上显示的消息和电话号码。
    iOS 会将“Lost iPad”字样附加到您在“消息”字段中键入的内容。
    如果您将“消息”字段留空并提供电话号码，Apple 会在设备锁定屏幕上显示消息“Call owner”。
  6. 单击“锁定设备”。

将 iOS 设备置于丢失模式

Citrix Endpoint Management 丢失模式设备属性可将 iOS 设备置于丢失模式。与 Apple 托管的丢失模式不同，Citrix Endpoint Management 丢失模式不需要用户执行以下任一操作即可启用设备定位：配置“查找我的 iPhone/iPad”设置或为 Citrix Secure Hub 启用定位服务。
在 Citrix Endpoint Management 丢失模式下，只有 Citrix Endpoint Management 才能解锁设备。（相比之下，如果您使用 Citrix Endpoint Management 设备锁定功能，用户可以使用您提供的 PIN 码直接解锁设备。
要启用或禁用丢失模式：转到 管理 > 设备，选择一个受监管的 iOS 设备，然后单击 安全。然后，单击 启用丢失模式 或 禁用丢失模式。
丢失模式选项
如果单击 启用丢失模式，请键入在设备处于丢失模式时要显示的信息。
要在设备上显示的信息
使用以下任一方法检查丢失模式状态：
  • 在 安全操作 窗口中，验证按钮是否设置为 禁用丢失模式。
  • 从 管理 > 设备，在 安全 下的 常规 选项卡中，查看上次的启用丢失模式或禁用丢失模式操作。
常规选项卡
  • 从 管理 > 设备，在 属性 选项卡中，验证 MDM 丢失模式已启用 设置的值是否正确。
MDM 丢失模式已启用设置
如果在 iOS 设备上启用 Citrix Endpoint Management 丢失模式，Citrix Endpoint Management 控制台也会发生如下更改：
  • 在 配置 > 操作 中，操作 列表不包括以下自动化操作：吊销设备、选择性擦除设备 和 完全擦除设备。
  • 在 管理 > 设备 中，安全操作 列表不再包含 吊销 和 选择性擦除 设备操作。您仍然可以根据需要使用安全操作执行 完全擦除 操作。
iOS 会将“丢失的 iPad”字样附加到您在 安全操作 屏幕的 消息 中键入的内容。
如果将 消息 留空并提供电话号码，Apple 会在设备锁定屏幕上显示“呼叫所有者”消息。

绕过 iOS 激活锁

激活锁是“查找我的 iPhone/iPad”的一项功能，可防止丢失或被盗的受监管设备被重新激活。激活锁要求用户提供 Apple ID 和密码，然后才能执行以下操作：关闭“查找我的 iPhone/iPad”、抹掉设备或重新激活设备。对于贵组织拥有的设备，绕过激活锁是必要的，例如，用于重置或重新分配设备。
要启用激活锁，请配置并部署 Citrix Endpoint Management MDM 选项设备策略。然后，您可以从 Citrix Endpoint Management 控制台管理设备，而无需用户的 Apple 凭据。要绕过激活锁的 Apple 凭据要求，请从 Citrix Endpoint Management 控制台发出“激活锁绕过”安全操作。
例如，如果用户归还了丢失的手机，或者在完全擦除之前或之后设置设备：当手机提示输入 Apple App Store 帐户凭据时，通过发出“激活锁绕过”安全操作来跳过该步骤。

激活锁绕过的设备要求

  • 通过 Apple Configurator 或 Apple 部署计划进行监管
  • 配置了 iCloud 帐户
  • 启用了“查找我的 iPhone/iPad”
  • 已在 Citrix Endpoint Management 中注册
  • 已将启用激活锁的 MDM 选项设备策略部署到设备
要在对设备执行完全擦除之前绕过激活锁：
  1. 转到“管理 > 设备”，选择设备，单击“安全”，然后单击“激活锁绕过”。
  2. 擦除设备。设备设置期间不会出现激活锁屏幕。
要在对设备执行完全擦除之后绕过激活锁：
  1. 重置或擦除设备。设备设置期间会出现激活锁屏幕。
  2. 前往 管理 > 设备，选择设备，点击 安全，然后点击 激活锁绕过。
  3. 轻触设备上的“返回”按钮。主屏幕随即出现。
请注意以下事项：
  • 建议您的用户不要关闭“查找我的 iPhone/iPad”。不要从设备执行完全擦除。在上述任何一种情况下，系统都会提示用户输入 iCloud 帐户密码。帐户验证后，用户在擦除所有内容和设置后将不会看到“激活 iPhone/iPad”屏幕。
  • 对于已生成激活锁绕过代码且已启用激活锁的设备：如果在完全擦除后无法绕过“激活 iPhone/iPad”页面，则无需从 Citrix Endpoint Management 中删除设备。您或用户可以直接联系 Apple 支持以解除设备锁定。
  • 在硬件清单盘点期间，Citrix Endpoint Management 会查询设备以获取激活锁绕过代码。如果绕过代码可用，设备会将其发送到 Citrix Endpoint Management。然后，要从设备中删除绕过代码，请从 Citrix Endpoint Management 控制台发送“激活锁绕过”安全操作。此时，Citrix Endpoint Management 和 Apple 都拥有解除设备锁定所需的绕过代码。
  • “激活锁绕过”安全操作依赖于 Apple 服务的可用性。如果该操作不起作用，您可以使用以下方法之一解除设备锁定：
    • 在设备上，手动输入 iCloud 帐户的凭据。
    • 将用户名字段留空，并在密码字段中键入绕过代码。要查找绕过代码，请前往 管理 > 设备，选择设备，点击 编辑，然后点击 属性。激活锁绕过代码 位于 安全信息 下。