Deploy Apple devices using zero-touch
App Store & Distribution 进阶 20m

使用零触摸部署 Apple 设备

Deploy Apple devices using zero-touch

2020年6月24日

在 Apple 官方观看视频

一句话判断

如果你是 IT 管理员或企业移动化负责人，这场 Session 展示了如何让员工拆开新设备后只需连上 Wi-Fi 就自动完成全部企业配置——真正的零触摸体验。

这场 Session 讲了什么

这场 Session 详细介绍了 Apple 的零触摸部署（Zero-Touch Deployment）方案。核心思路是：当企业采购的 Apple 设备被员工首次开机激活时，设备会自动联系 Apple 的激活服务器，发现自己属于某个企业组织，然后自动触发 MDM 注册和配置流程。

演讲者首先讲解了整个零触摸部署的架构。关键组件包括：Apple Business Manager（或 Apple School Manager）用于关联设备序列号和组织信息，MDM 服务器用于推送配置策略，以及 Automated Device Enrollment（ADE，前身是 DEP）作为连接设备和企业管理的桥梁。

Session 的中间部分通过一个完整的演示展示了零触摸部署的用户体验——从设备开箱到完全配置好企业邮箱、VPN、Wi-Fi、安全策略和内部 App，整个过程员工只需要选择语言、连 Wi-Fi 和登录企业账号。演讲者还讨论了如何配置 Setup Assistant 的跳过项，减少员工在初始设置中需要做的选择。

后半部分聚焦于 Advanced Payload 和一些特殊场景，比如共享 iPad 的部署、临时设备的快速回收重置，以及如何通过脚本实现更灵活的设备命名和分组。

值得深挖的点

  • ADE Profile 的信任链：零触摸部署的安全性建立在设备对 MDM 服务器的信任链上。这个信任链由 Apple 签发的设备证书保证。理解这一点很重要——如果 MDM 服务器证书过期或配置错误，新设备将无法自动注册，后果可能是灾难性的。
  • Setup Assistant 自定义的平衡：你可以跳过很多 Setup Assistant 步骤（Apple ID 登录、Siri 设置、隐私选择等），但跳得太多会让员工感到困惑。Apple 的建议是只跳过那些与企业 IT 策略直接冲突的步骤，其他的留给用户选择。

代码片段

# 通过终端命令触发设备重新进入零触摸注册流程
# 适用于设备需要重新分配的场景
profiles renew -type enrollment

# 查看当前设备的 MDM 注册信息
profiles show -type enrollment
# MDM 服务器端的设备注册配置示例（Python 伪代码）
enrollment_profile = {
    "payload_type": "com.apple.mdm",
    "server_url": "https://mdm.company.com/mdm/connect",
    "server_caps": ["com.apple.mdm.token-update",
                    "com.apple.mdm.bootstraptoken"],
    "topic": "com.apple.mgmt.company.12345",
    "sign_message": True,
    "checkin_url": "https://mdm.company.com/mdm/checkin",
    # 设备需要安装的初始配置
    "payload_content": {
        "skip_setup_items": ["AppleID", "Siri", "Diagnostics"],
        "await_device_configured": True,
        "is_mandatory": True,
        "is_supervised": True
    }
}
# 使用 cfgutil（Apple Configurator 命令行工具）批量准备设备
# 适用于需要手动触发的场景
cfgutil prepare \
  --enroll-url "https://mdm.company.com/enroll" \
  --skip-language-setup \
  --skip-region-setup \
  --wifi-profile enterprise-wifi.mobileconfig

最佳实践

  • 在 Apple Business Manager 中为设备添加订单号和采购日期等自定义属性，方便后续的资产追踪
  • 为不同部门创建不同的 MDM 策略组，而非对全公司使用同一套配置
  • 定期测试零触摸注册流程，确保 MDM 服务器证书和连接正常工作
  • 共享设备场景使用 Guest User 模式，配合自动登出策略保证数据安全

还有什么值得关注

  • Apple Business Manager 的 REST API 支持自动化设备管理，可以与企业的 IT 服务管理系统集成
  • 如果你在做教育场景，Apple School Manager 提供了类似的零触摸部署，还额外支持课堂管理功能
  • 搭配 “Create custom apps for employees” 和 “What’s new in managing Apple devices” 一起看，可以构建完整的企业部署知识体系
WWDC 2020