macOS
为了在 Citrix Endpoint Management 中管理 macOS 设备，您需要设置 Apple 的 Apple Push Notification service (APNs) 证书。有关详细信息，请参阅 APNs 证书。
Citrix Endpoint Management 将 macOS 设备注册到 MDM 中。Citrix Endpoint Management 支持 MDM 中 macOS 设备的以下注册身份验证类型。
-
域
-
域加一次性密码
-
邀请 URL 加一次性密码
macOS 15 中受信任证书的要求：
Apple 对 TLS 服务器证书有新的要求。请验证所有证书是否符合 Apple 的新要求。请参阅 Apple 的出版物
<https://support.apple.com/zh-cn/HT210176>。有关管理证书的帮助，请参阅 上载证书。
启动 macOS 设备管理的一般工作流程如下：
-
完成入门过程。请参阅 入门和资源设置 和 准备注册设备和交付资源。
-
选择并配置注册方法。请参阅 支持的注册方法。
-
设置设备和应用程序安全操作。请参阅 安全操作。
有关支持的操作系统，请参阅 支持的设备操作系统。
必须保持开放的 Apple 主机名
某些 Apple 主机名必须保持开放，以确保 iOS、macOS 和 Apple App Store 的正常运行。阻止这些主机名可能会影响以下各项的安装、更新和正常运行：iOS、iOS 应用程序、MDM 操作以及设备和应用程序注册。有关详细信息，请参阅
<https://support.apple.com/zh-cn/HT201999>。
支持的注册方法
下表列出了 Citrix Endpoint Management 支持的 macOS 设备注册方法：
| 方法 | 受支持 |
|---|---|
| 苹果部署计划 | 是 |
| 苹果学校管理 | 是 |
| 苹果配置器 | 否 |
| 手动注册 | 是 |
| 注册邀请 | 是 |
Apple 为商业和教育帐户提供了设备注册计划。对于商业帐户，您可以注册 Apple Deployment Program，以便在 Citrix Endpoint Management 中使用 Apple Deployment Program 进行设备注册和管理。该计划适用于 iOS、macOS 和 Apple TV 设备。请参阅 通过 Apple Deployment Program 部署设备。
对于教育帐户，您可以创建 Apple School Manager 帐户。Apple School Manager 统一了 Deployment Program 和批量采购。Apple School Manager 是一种教育版 Apple Deployment Program。请参阅 与 Apple 教育功能集成。
您可以使用 Apple Deployment Program 批量注册 iOS、macOS 和 Apple TV 设备。您可以直接从 Apple、参与的 Apple 授权经销商或运营商处购买这些设备。
配置 macOS 设备策略
使用这些策略来配置 Citrix Endpoint Management 如何与运行 macOS 的设备交互。此表列出了适用于 macOS 设备的所有设备策略。
| 隔空播放镜像 | 应用清单 | 应用卸载 |
| 日历 (CalDAV) | 通讯录 (CardDAV) | 凭据 |
| 设备名称 | Exchange 邮件 | FileVault |
| 防火墙 | 字体 | 导入 iOS 和 macOS 配置文件 |
| 操作系统更新 | 密码 | 配置文件移除 |
| 限制 | SCEP | VPN |
| Web 剪辑 |
注册 macOS 设备
Citrix Endpoint Management 提供了两种注册运行 macOS 的设备的方法。这两种方法都允许 macOS 用户通过无线方式直接从其设备注册。
-
**向用户发送注册邀请：**此注册方法允许您为 macOS 设备设置以下任何注册安全模式：
-
用户名 + 密码
-
用户名 + PIN
-
双因素身份验证
当用户按照注册邀请中的说明操作时，将显示一个已填写用户名的登录屏幕。 -
-
**向用户发送注册链接：**此 macOS 设备注册方法会向用户发送一个注册链接，用户可以在 Safari 或 Chrome 浏览器中打开该链接。然后，用户通过提供其用户名和密码进行注册。要阻止将注册链接用于 macOS 设备，请将服务器属性 Enable macOS OTAE 设置为 false。因此，macOS 用户只能通过注册邀请进行注册。
向 macOS 用户发送注册邀请
向 macOS 用户发送安装链接
-
发送注册链接
https://serverFQDN:8443/instanceName/macos/otae，用户可以在 Safari 或 Chrome 浏览器中打开该链接。-
serverFQDN 是运行 Citrix Endpoint Management 的服务器的完全限定域名 (FQDN)。
-
端口 8443 是默认的安全端口。如果您配置了不同的端口，请使用该端口而不是 8443。
-
instanceName（通常显示为
zdm）是服务器安装期间指定的名称。
有关发送安装链接的更多信息，请参阅发送安装链接。 -
-
用户根据需要安装证书。如果您为 iOS 和 macOS 配置了公共信任的 SSL 证书和数字签名证书，用户会看到安装证书的提示。有关证书的信息，请参阅证书和身份验证。
-
用户登录其 Mac。Mac 设备策略已安装。您现在可以像管理移动设备一样，使用 Citrix Endpoint Management 管理 macOS 设备。
安全操作
macOS 支持以下安全操作。有关每个安全操作的说明，请参阅安全操作。
| 吊销 | 锁定 | 选择性擦除 |
| 完全擦除 | 证书续订 | 轮换个人恢复密钥 |
锁定 macOS 设备
您可以远程锁定丢失的 macOS 设备。Citrix Endpoint Management 会锁定设备。然后，它会生成一个 PIN 码并将其设置到设备中。要访问设备，用户需要输入 PIN 码。使用 取消锁定 可从 Citrix Endpoint Management 控制台中移除锁定。
-
单击 管理 > 设备。此时将显示 设备 页面。
-
选择要锁定的 macOS 设备。选中设备旁边的复选框，以在设备列表上方显示选项菜单。您也可以单击列表项中的其他任意位置，以在列表右侧显示选项菜单。
-
在选项菜单中，单击“安全”。将显示“安全操作”对话框。
-
单击“锁定”。将显示“安全操作”确认对话框。
-
单击“锁定设备”。
重要提示：
您还可以指定密码，而不是使用 Citrix Endpoint Management 生成的代码。如果指定的代码不符合设备或现有工作配置文件的代码要求，则锁定操作将失败。
引导令牌
引导令牌有助于在您登录 macOS 设备时向帐户授予 SecureToken macOS 属性。SecureToken 从一个受信任的帐户传递到另一个帐户。启用 SecureToken 的帐户可以在设备上执行加密操作。如果没有引导令牌，您需要在该设备上创建帐户，然后才能添加单个用户帐户，这需要遵循复杂的工作流。
Citrix Endpoint Management 支持为通过 Apple 部署计划注册的 macOS 设备托管引导令牌。您可以使用 Apple 部署计划注册直接从 Apple、参与的 Apple 授权经销商或运营商购买的 macOS 设备。有关注册 Apple 部署计划的信息，请参阅通过 Apple 部署计划部署设备。
引导令牌在设置助理工作流期间生成。具体来说，它们是在创建本地用户帐户期间生成的。设置助理在用户首次启动设备时运行。令牌保存在 Citrix Endpoint Management 数据库中，您和最终用户不可见。从 Citrix Endpoint Management 站点删除设备会删除令牌。执行出厂重置不会删除它们。
先决条件：
-
macOS 11.0 或更高版本
-
配备 Apple T2 安全芯片的 macOS 设备
-
通过 Apple 部署计划注册的 macOS 设备
将引导令牌托管到 Citrix Endpoint Management 的一个好处是，可以为 FileVault 启用远程帐户，并能够解锁 FileVault 宗卷。有关 FileVault 的信息，请参阅 FileVault 设备策略。